(1)

Ο κανονισμός (ΕΕ) 2016/679 θεσπίζει τους κανόνες που διέπουν τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από υπευθύνους επεξεργασίας ή εκτελούντες την επεξεργασία στην Ευρωπαϊκή Ένωση προς τρίτες χώρες και διεθνείς οργανισμούς, εφόσον η εν λόγω διαβίβαση εμπίπτει στο πεδίο εφαρμογής του. Οι κανόνες για τις διεθνείς διαβιβάσεις δεδομένων προσωπικού χαρακτήρα ορίζονται στο κεφάλαιο V του εν λόγω κανονισμού, και ειδικότερα στα άρθρα 44 έως 50. Η κυκλοφορία δεδομένων προσωπικού χαρακτήρα προς και από χώρες εκτός της Ευρωπαϊκής Ένωσης είναι αναγκαία για τη διεύρυνση της διεθνούς συνεργασίας και των διεθνών συναλλαγών, παρέχοντας παράλληλα εγγυήσεις ότι δεν υποβαθμίζεται το επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που προσφέρεται στην Ευρωπαϊκή Ένωση.

(2)

Σύμφωνα με το άρθρο 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679, η Επιτροπή μπορεί να αποφασίσει, μέσω εκτελεστικής πράξης, ότι εξασφαλίζεται επαρκές επίπεδο προστασίας από τρίτη χώρα ή έδαφος ή έναν ή περισσότερους συγκεκριμένους τομείς σε τρίτη χώρα ή από διεθνή οργανισμό. Μ’ αυτή την προϋπόθεση, οι διαβιβάσεις δεδομένων προσωπικού χαρακτήρα στην εν λόγω τρίτη χώρα, έδαφος, τομέα ή διεθνή οργανισμό μπορούν να πραγματοποιούνται χωρίς να απαιτείται περαιτέρω άδεια, όπως ορίζεται στο άρθρο 45 παράγραφος 1 και στην αιτιολογική σκέψη 103 του κανονισμού.

(3)

Όπως ορίζεται στο άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2016/679, η έκδοση απόφασης επάρκειας πρέπει να βασίζεται σε ολοκληρωμένη ανάλυση της έννομης τάξης της τρίτης χώρας, όσον αφορά τόσο τους κανόνες στους οποίους υπάγονται οι εισαγωγείς δεδομένων όσο και τους περιορισμούς και τις εγγυήσεις σχετικά με την πρόσβαση των δημόσιων αρχών σε δεδομένα προσωπικού χαρακτήρα. Η εκτίμηση πρέπει να προσδιορίζει αν η τρίτη χώρα εγγυάται επίπεδο προστασίας «ουσιωδώς ισοδύναμο» με αυτό που διασφαλίζεται εντός της Ευρωπαϊκής Ένωσης (αιτιολογική σκέψη 104 του κανονισμού (ΕΕ) 2016/679). Όπως έχει διευκρινιστεί από το Δικαστήριο της Ευρωπαϊκής Ένωσης, αυτό δεν συνεπάγεται απαίτηση για το ίδιο ακριβώς επίπεδο προστασίας (2). Ειδικότερα, τα μέσα που χρησιμοποιεί η τρίτη χώρα μπορεί να διαφέρουν από αυτά που εφαρμόζονται εντός της Ευρωπαϊκής Ένωσης, εφόσον αποδεικνύονται στην πράξη αποτελεσματικά ώστε να διασφαλίζουν το επαρκές επίπεδο προστασίας (3). Συνεπώς, το κριτήριο της επάρκειας δεν επιβάλλει πιστή αντιγραφή των κανόνων της Ένωσης. Το καθοριστικό στοιχείο είναι κυρίως εάν, μέσω της ουσίας των δικαιωμάτων περί προστασίας της ιδιωτικής ζωής, της αποτελεσματικής εφαρμογής τους, καθώς και της δυνατότητας επιβολής και εποπτείας τους, το σύστημα της τρίτης χώρας ως σύνολο προσφέρει το απαιτούμενο επίπεδο προστασίας (4).

(4)

Η Επιτροπή ανέλυσε με προσοχή την ιαπωνική νομοθεσία και πρακτική. Με βάση τις διαπιστώσεις που παρατίθενται στις αιτιολογικές σκέψεις 6 έως 175, η Επιτροπή διαπιστώνει ότι η Ιαπωνία διασφαλίζει επαρκές επίπεδο προστασίας για τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται στους οργανισμούς οι οποίοι εμπίπτουν στο πεδίο εφαρμογής του Νόμου περί Προστασίας Προσωπικών Πληροφοριών (5) και υπόκεινται στις επιπλέον προϋποθέσεις που αναφέρονται στην παρούσα απόφαση. Οι προϋποθέσεις αυτές ορίζονται στους Συμπληρωματικούς Κανόνες (παράρτημα I) που εγκρίθηκαν από την Επιτροπή Προστασίας Προσωπικών Πληροφοριών (ΕΠΠ) (6) και στις επίσημες παρουσιάσεις, διασφαλίσεις και δεσμεύσεις της ιαπωνικής κυβέρνησης προς την Ευρωπαϊκή Επιτροπή (παράρτημα II).

(5)

Η παρούσα απόφαση συνεπάγεται ότι μπορούν να πραγματοποιούνται διαβιβάσεις από υπεύθυνο επεξεργασίας ή εκτελούντα την επεξεργασία στον Ευρωπαϊκό Οικονομικό Χώρο (ΕΟΧ) (7) στους εν λόγω οργανισμούς στην Ιαπωνία χωρίς να απαιτείται περαιτέρω άδεια. Η παρούσα απόφαση δεν επηρεάζει την απευθείας εφαρμογή του κανονισμού (ΕΕ) 2016/679 στους οργανισμούς αυτούς όταν πληρούνται οι συνθήκες του άρθρου 3 του εν λόγω κανονισμού.

(6)

Το νομικό σύστημα που διέπει την προστασία της ιδιωτικής ζωής και των δεδομένων στην Ιαπωνία έχει τις ρίζες του στο Σύνταγμα που τέθηκε σε ισχύ το 1946.

(7)

Το άρθρο 13 του Συντάγματος ορίζει:

«Όλοι οι άνθρωποι τυγχάνουν σεβασμού ως άτομα. Το δικαίωμά τους στη ζωή, την ελευθερία και την επιδίωξη της ευτυχίας, στον βαθμό που δεν θίγει το δημόσιο συμφέρον, αποτελεί την ύψιστη μέριμνα στη νομοθεσία και τις λοιπές κρατικές υποθέσεις».

(8)

Με βάση αυτό το άρθρο, το Ανώτατο Δικαστήριο της Ιαπωνίας αποσαφήνισε τα δικαιώματα των ατόμων όσον αφορά την προστασία των προσωπικών πληροφοριών. Σε απόφαση του 1969, αναγνώρισε το δικαίωμα στην ιδιωτικότητα και στην προστασία των δεδομένων ως συνταγματικό δικαίωμα (8). Συγκεκριμένα, το Δικαστήριο έκρινε ότι «κάθε άτομο είναι ελεύθερο να προστατεύει τις προσωπικές πληροφορίες του από την κοινοποίηση σε τρίτους ή τη δημοσιοποίηση χωρίς βάσιμο λόγο». Επιπροσθέτως, σε απόφαση της 6ης Μαρτίου 2008 («Juki-Net») (9), το Ανώτατο Δικαστήριο υποστήριξε ότι «το δικαίωμα των πολιτών στην ιδιωτικότητα προστατεύεται έναντι της κρατικής εξουσίας, και μπορεί να έχει την έννοια ότι, ως μία από τις ελευθερίες των ατόμων στο πλαίσιο της ιδιωτικότητας, κάθε άτομο είναι ελεύθερο να προστατεύει τις προσωπικές πληροφορίες του από την κοινοποίηση σε τρίτους ή τη δημοσιοποίηση χωρίς βάσιμο λόγο». (10)

(9)

Στις 30 Μαΐου 2003, η Ιαπωνία έθεσε σε ισχύ μια σειρά νόμων σχετικά με την προστασία των δεδομένων:

(10)

Οι δύο τελευταίοι νόμοι (που τροποποιήθηκαν το 2016) περιέχουν διατάξεις που άπτονται της προστασίας των προσωπικών πληροφοριών από φορείς του δημόσιου τομέα. Η επεξεργασία δεδομένων που εμπίπτει στο πεδίο εφαρμογής αυτών των νόμων δεν αποτελεί αντικείμενο της διαπίστωσης επάρκειας που περιέχεται στην παρούσα απόφαση, η οποία περιορίζεται στην προστασία των προσωπικών πληροφοριών από «επιχειρηματικούς φορείς που χειρίζονται προσωπικές πληροφορίες» (ΕΦΧΠΠ) κατά την έννοια του ΝΠΠΠ.

(11)

Ο ΝΠΠΠ υποβλήθηκε σε αναθεώρηση πριν από λίγα χρόνια. Ο τροποποιημένος ΝΠΠΠ δημοσιεύθηκε στις 9 Σεπτεμβρίου 2015 και τέθηκε σε ισχύ στις 30 Μαΐου 2017. Με την τροποποίηση θεσπίστηκε σειρά νέων εγγυήσεων, ενώ ενισχύθηκαν και οι υφιστάμενες εγγυήσεις, φέροντας έτσι το ιαπωνικό σύστημα προστασίας δεδομένων πιο κοντά στο ευρωπαϊκό. Σ’ αυτές περιλαμβάνεται, π.χ., μια δέσμη εκτελεστών ατομικών δικαιωμάτων ή η ίδρυση ανεξάρτητης εποπτικής αρχής (ΕΠΠ) στην οποία έχει ανατεθεί η εποπτεία και επιβολή του ΝΠΠΠ.

(12)

Επιπροσθέτως του ΝΠΠΠ, η επεξεργασία προσωπικών πληροφοριών που εμπίπτουν στο πεδίο εφαρμογής της παρούσας απόφασης υπόκειται στους εκτελεστικούς κανόνες που έχουν εκδοθεί βάσει του ΝΠΠΠ. Σ’ αυτούς περιλαμβάνεται μια τροποποίηση του Διατάγματος του Υπουργικού Συμβουλίου για την Επιβολή του Νόμου περί Προστασίας Προσωπικών Πληροφοριών της 5ης Οκτωβρίου 2016, καθώς και οι αποκαλούμενοι «Κανόνες Επιβολής για τον Νόμο περί Προστασίας Προσωπικών Πληροφοριών» που εξέδωσε η ΕΠΠ (11). Πρόκειται για δύο νομικά δεσμευτικά και εκτελεστά σύνολα κανόνων που τέθηκαν σε ισχύ ταυτόχρονα με τον αναθεωρημένο ΝΠΠΠ.

(13)

Εξάλλου, στις 28 Οκτωβρίου 2016 το Υπουργικό Συμβούλιο της Ιαπωνίας (αποτελούμενο από τον Πρωθυπουργό και τους Υπουργούς που συγκροτούν την κυβέρνησή του) εξέδωσε μια «Βασική Πολιτική» με σκοπό «να προωθήσει με συνολικό και ολοκληρωμένο τρόπο μέτρα που αφορούν την προστασία των προσωπικών πληροφοριών». Σύμφωνα με το άρθρο 7 του ΝΠΠΠ, η «Βασική Πολιτική» εκδίδεται υπό μορφή Απόφασης του Υπουργικού Συμβουλίου και περιλαμβάνει προσανατολισμούς πολιτικής σχετικά με την επιβολή του ΝΠΠΠ, που απευθύνονται τόσο στην κεντρική κυβέρνηση όσο και στην τοπική αυτοδιοίκηση.

(14)

Προσφάτως, με Απόφαση του Υπουργικού Συμβουλίου που εκδόθηκε στις 12 Ιουνίου 2018, η κυβέρνηση της Ιαπωνίας επέφερε τροποποιήσεις στη «Βασική Πολιτική». Με στόχο τη διευκόλυνση των διεθνών διαβιβάσεων δεδομένων, η εν λόγω Απόφαση του Υπουργικού Συμβουλίου αναθέτει στην ΕΠΠ, ως αρμόδια αρχή για τη διαχείριση και εφαρμογή του ΝΠΠΠ, «την εξουσία να λαμβάνει τα αναγκαία μέτρα για τη γεφύρωση των διαφορών σε επίπεδο συστημάτων και λειτουργιών μεταξύ της Ιαπωνίας και της εκάστοτε τρίτης χώρας με βάση το άρθρο 6 του Νόμου, προκειμένου να διασφαλίζεται ο σωστός χειρισμός των προσωπικών πληροφοριών που λαμβάνονται από τη χώρα αυτή». Η Απόφαση του Υπουργικού Συμβουλίου ορίζει ότι σ’ αυτή την εξουσία εμπεριέχεται η εξουσία θέσπισης διατάξεων αυξημένης προστασίας μέσω της έκδοσης από την ΕΠΠ αυστηρότερων κανόνων οι οποίοι συμπληρώνουν και υπερβαίνουν τους κανόνες που ορίζονται στον ΝΠΠΠ και στο Διάταγμα του Υπουργικού Συμβουλίου. Σύμφωνα με την εν λόγω απόφαση, οι αυστηρότεροι αυτοί κανόνες είναι δεσμευτικοί και εκτελεστοί για τους επιχειρηματικούς φορείς της Ιαπωνίας.

(15)

Βάσει του άρθρου 6 του ΝΠΠΠ και της ανωτέρω Απόφασης του Υπουργικού Συμβουλίου, η ΕΠΠ εξέδωσε στις 15 Ιουνίου 2018«Συμπληρωματικούς Κανόνες δυνάμει του Νόμου Προστασίας Προσωπικών Πληροφοριών για τον Χειρισμό των Δεδομένων Προσωπικού Χαρακτήρα που Διαβιβάζονται από την ΕΕ βάσει Απόφασης Επάρκειας» (εφεξής «Συμπληρωματικοί Κανόνες») με σκοπό την ενίσχυση της προστασίας των προσωπικών πληροφοριών που διαβιβάζονται από την Ευρωπαϊκή Ένωση στην Ιαπωνία με βάση την παρούσα απόφαση επάρκειας. Οι Συμπληρωματικοί Κανόνες είναι νομικά δεσμευτικοί για τους επιχειρηματικούς φορείς της Ιαπωνίας και εκτελεστοί, τόσο από την ΕΠΠ όσο και από τα δικαστήρια, κατά τον ίδιο τρόπο με τις διατάξεις του ΝΠΠΠ τις οποίες οι Κανόνες συμπληρώνουν με αυστηρότερους και/ή πιο λεπτομερείς κανόνες (12). Καθώς οι επιχειρηματικοί φορείς της Ιαπωνίας που λαμβάνουν ή επεξεργάζονται περαιτέρω δεδομένα προσωπικού χαρακτήρα από την Ευρωπαϊκή Ένωση θα έχουν νομική υποχρέωση να συμμορφώνονται με του Συμπληρωματικούς Κανόνες, θα πρέπει να διασφαλίζουν [π.χ. με τεχνικά («σήμανση») ή οργανωτικά μέσα (αποθήκευση σε ειδική βάση δεδομένων)] ότι μπορούν να εντοπίζουν τα εν λόγω δεδομένα προσωπικού χαρακτήρα καθ’ όλη τη διάρκεια του «κύκλου ζωής» τους (13). Στις επόμενες ενότητες, αναλύεται το περιεχόμενο του κάθε Συμπληρωματικού Κανόνα στο πλαίσιο της αξιολόγησης των άρθρων του ΝΠΠΠ που συμπληρώνει.

(16)

Σε αντίθεση με το προ της τροποποίησης του 2015 καθεστώς το οποίο ανέθετε αυτή τη αρμοδιότητα σε διάφορα ιαπωνικά υπουργεία σε επιμέρους τομείς, ο ΝΠΠΠ εξουσιοδοτεί την ΕΠΠ να εκδίδει «Κατευθυντήριες Γραμμές»«με στόχο να διασφαλίζεται η ορθή και αποτελεσματική υλοποίηση των ενεργειών στις οποίες πρέπει να προβαίνουν οι επιχειρηματικοί φορείς» βάσει των κανόνων προστασίας των δεδομένων. Μέσω των κατευθυντήριων γραμμών της, η ΕΠΠ παρέχει δεσμευτική ερμηνεία αυτών των κανόνων, και ιδίως του ΝΠΠΠ. Σύμφωνα με τα στοιχεία που υπέβαλε η ΕΠΠ, οι εν λόγω κατευθυντήριες γραμμές αποτελούν αναπόσπαστο μέρος του νομικού πλαισίου, σε συνδυασμό με το κείμενο του ΝΠΠΠ, το Διάταγμα του Υπουργικού Συμβουλίου, τους Κανόνες της ΕΠΠ και μια σειρά Ερωτήσεων και Απαντήσεων (14) που έχει εκπονήσει η ΕΠΠ. Επομένως, είναι «δεσμευτικές για τους επιχειρηματικούς φορείς». Στα σημεία όπου οι Κατευθυντήριες Γραμμές ορίζουν ότι ένας επιχειρηματικός φορέας «πρέπει» ή «δεν πρέπει» να ενεργεί με συγκεκριμένο τρόπο, η ΕΠΠ θα θεωρεί ότι η μη συμμόρφωση με τις οικείες διατάξεις ισοδυναμεί με παράβαση της νομοθεσίας (15).

(17)

Το πεδίο εφαρμογής του ΝΠΠΠ οριοθετείται από τις οριζόμενες έννοιες των προσωπικών πληροφοριών, των δεδομένων προσωπικού χαρακτήρα και του επιχειρηματικού φορέα που χειρίζεται προσωπικές πληροφορίες. Παράλληλα, ο ΝΠΠΠ προβλέπει ορισμένες σημαντικές εξαιρέσεις από το πεδίο εφαρμογής του, με σημαντικότερες τις διατάξεις για τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία και για ειδικές μορφές επεξεργασίας από ορισμένους φορείς. Αν και ο ΝΠΠΠ δεν χρησιμοποιεί τον όρο «επεξεργασία», βασίζεται στην ισοδύναμη έννοια του «χειρισμού» η οποία, σύμφωνα με τις πληροφορίες που υπέβαλε η ΕΠΠ, καλύπτει «κάθε πράξη που αφορά δεδομένα προσωπικού χαρακτήρα», συμπεριλαμβανομένης της απόκτησης, της εισαγωγής, της συσσώρευσης, της οργάνωσης, της αποθήκευσης, της επιμέλειας/επεξεργασίας, της ανανέωσης, της διαγραφής, της εξαγωγής, της χρήσης ή της παροχής πληροφοριών προσωπικού χαρακτήρα.

(18)

Κατά πρώτον, όσον αφορά το καθ’ ύλην πεδίο εφαρμογής του, ο ΝΠΠΠ διακρίνει τις προσωπικές πληροφορίες από τα δεδομένα προσωπικού χαρακτήρα, και προβλέπει εφαρμογή ορισμένων μόνο διατάξεων του Νόμου στην πρώτη κατηγορία. Σύμφωνα με το άρθρο 2 παράγραφος 1 του ΝΠΠΠ, η έννοια των «προσωπικών πληροφοριών» περιλαμβάνει όλες τις πληροφορίες σχετικά με εν ζωή άτομο οι οποίες επιτρέπουν την ταυτοποίηση του εν λόγω ατόμου. Ο ορισμός διακρίνει δύο κατηγορίες προσωπικών πληροφοριών: i) τους ατομικούς κωδικούς αναγνώρισης και ii) άλλες προσωπικές πληροφορίες μέσω των οποίων είναι δυνατή η ταυτοποίηση ενός συγκεκριμένου ατόμου. Στη δεύτερη κατηγορία περιλαμβάνονται επίσης πληροφορίες που δεν επιτρέπουν από μόνες τους την ταυτοποίηση αλλά οι οποίες, εάν «αντιπαραβάλλονται εύκολα» με άλλες πληροφορίες, καθιστούν δυνατή την ταυτοποίηση ενός συγκεκριμένου ατόμου. Σύμφωνα με τις κατευθυντήριες γραμμές της ΕΠΠ (16), το αν μια πληροφορία μπορεί να θεωρηθεί «ευκόλως αντιπαραβαλλόμενη» κρίνεται χωριστά για κάθε περίπτωση, λαμβανομένης υπόψη της πραγματικής κατάστασης (εφεξής «κατάσταση») του επιχειρηματικού φορέα. Αυτό θεωρείται ότι ισχύει εάν η αντιπαραβολή πραγματοποιείται (ή μπορεί να πραγματοποιηθεί) από έναν συνήθη («κανονικό») επιχειρηματικό φορέα ο οποίος χρησιμοποιεί τα μέσα που έχει στη διάθεσή του. Π.χ., μια πληροφορία δεν είναι «ευκόλως αντιπαραβαλλόμενη» με άλλες πληροφορίες αν ένας επιχειρηματικός φορέας πρέπει να καταβάλει ασυνήθιστα μεγάλες προσπάθειες ή να διαπράξει παρανομίες για την απόκτηση των προς αντιπαραβολή πληροφοριών από έναν ή περισσότερους επιχειρηματικούς φορείς.

(19)

Μόνον ορισμένες μορφές προσωπικών πληροφοριών εμπίπτουν στην έννοια των «δεδομένων προσωπικού χαρακτήρα» δυνάμει του ΝΠΠΠ. Πράγματι, τα «δεδομένα προσωπικού χαρακτήρα» ορίζονται ως «προσωπικές πληροφορίες οι οποίες αποτελούν μια βάση προσωπικών πληροφοριών», δηλαδή ένα «σύνολο πληροφοριών» το οποίο περιλαμβάνει προσωπικές πληροφορίες «συστηματικά οργανωμένες με τρόπο που να καθιστά δυνατή την αναζήτηση συγκεκριμένων προσωπικών πληροφοριών μέσω υπολογιστή» (17) ή «προσδιοριζόμενες με διάταγμα του Υπουργικού Συμβουλίου ως συστηματικά οργανωμένες με τρόπο που να καθιστά δυνατή την εύκολη αναζήτηση συγκεκριμένων προσωπικών πληροφοριών» —αλλά «εξαιρουμένων των πληροφοριών οι οποίες προσδιορίζονται με διάταγμα του Υπουργικού Συμβουλίου ως πληροφορίες που είναι ελάχιστα πιθανό να θίξουν τα δικαιώματα και τα συμφέροντα ενός ατόμου λαμβανομένης υπόψη της μεθόδου χρήσης τους» (18).

(20)

Η εξαίρεση αυτή διευκρινίζεται περαιτέρω στο άρθρο 3 παράγραφος 1 του Διατάγματος του Υπουργικού Συμβουλίου, σύμφωνα με την οποία πρέπει να πληρούνται σωρευτικά οι τρεις ακόλουθες προϋποθέσεις: i) το σύνολο πληροφοριών πρέπει να έχει «εκδοθεί με σκοπό την πώλησή του σε μεγάλο αριθμό μη προσδιοριζομένων προσώπων και χωρίς η εν λόγω έκδοση να έχει διεξαχθεί κατά παράβαση των διατάξεων νόμου ή διατάγματος που βασίζεται σ’ αυτό»· ii) πρέπει να είναι δυνατή «ανά πάσα στιγμή η αγορά του από μεγάλο αριθμό μη προσδιοριζομένων προσώπων» και iii) τα δεδομένα προσωπικού χαρακτήρα που περιέχονται στο εν λόγω σύνολο πρέπει να «παρέχονται για τον αρχικό τους σκοπό χωρίς να προσθέτουν άλλες πληροφορίες σχετικά με εν ζωή άτομο». Σύμφωνα με τις εξηγήσεις που έδωσε η ΕΠΠ, η περιορισμένη αυτή εξαίρεση θεσπίστηκε με σκοπό την εξαίρεση των τηλεφωνικών καταλόγων ή παρόμοιων τύπων καταλόγων.

(21)

Για τα δεδομένα που συλλέγονται στην Ιαπωνία, η διάκριση μεταξύ «προσωπικών πληροφοριών» και «δεδομένων προσωπικού χαρακτήρα» είναι σημαντική επειδή οι εν λόγω πληροφορίες μπορεί να μην αποτελούν πάντοτε μέρος «βάσης προσωπικών πληροφοριών» (όπως π.χ. ένα ενιαίο σύνολο δεδομένων τα οποία συλλέγονται και υποβάλλονται σε επεξεργασία χωρίς χρήση υπολογιστή), με αποτέλεσμα να μην έχουν εφαρμογή οι διατάξεις του ΝΠΠΠ που αφορούν αποκλειστικά τα δεδομένα προσωπικού χαρακτήρα (19).

(22)

Αντιθέτως, η διάκριση δεν έχει νόημα για τα δεδομένα προσωπικού χαρακτήρα που εισάγονται από την Ευρωπαϊκή Ένωση στην Ιαπωνία βάσει απόφασης επάρκειας. Καθώς τα δεδομένα αυτά διαβιβάζονται συνήθως με ηλεκτρονικά μέσα (δεδομένου ότι, στη σημερινή ψηφιακή εποχή, αυτός είναι και ο συνήθης τρόπος ανταλλαγής δεδομένων, ιδίως για μεγάλες αποστάσεις όπως μεταξύ της ΕΕ και της Ιαπωνίας) και, ως εκ τούτου, εντάσσονται στο ηλεκτρονικό σύστημα αρχειοθέτησης του εισαγωγέα δεδομένων, τα δεδομένα της ΕΕ εμπίπτουν πάντοτε στην κατηγορία των «δεδομένων προσωπικού χαρακτήρα» βάσει του ΝΠΠΠ. Στην εξαιρετική περίπτωση διαβίβασης δεδομένων προσωπικού χαρακτήρα από την ΕΕ με άλλα μέσα (π.χ. σε έντυπη μορφή), τα εν λόγω δεδομένα εξακολουθούν να καλύπτονται από τον ΝΠΠΠ εάν, μετά τη μεταφορά, εντάσσονται σε «σύνολο πληροφοριών» συστηματικά οργανωμένο κατά τρόπο με τρόπο που να καθιστά δυνατή την εύκολη αναζήτηση συγκεκριμένων πληροφοριών [άρθρο 2 παράγραφος 4 σημείο ii) του ΝΠΠΠ]. Σύμφωνα με το άρθρο 3 παράγραφος 2 του Διατάγματος του Υπουργικού Συμβουλίου, αυτό συμβαίνει όταν οι πληροφορίες κατηγοριοποιούνται «σύμφωνα με ορισμένο κανόνα» και η βάση δεδομένων περιλαμβάνει εργαλεία όπως π.χ. πίνακα περιεχομένων ή ευρετήριο με σκοπό τη διευκόλυνση της αναζήτησης. Αυτό αντιστοιχεί στον ορισμό του «συστήματος αρχειοθέτησης», κατά την έννοια του άρθρου 2 παράγραφος 1 του ΓΚΠΔ.

(23)

Ορισμένες διατάξεις του ΝΠΠΠ, και κυρίως τα άρθρα 27 έως 30 σχετικά με τα ατομικά δικαιώματα, έχουν εφαρμογή μόνο σε μια επιμέρους κατηγορία δεδομένων προσωπικού χαρακτήρα, τα «διατηρούμενα δεδομένα προσωπικού χαρακτήρα». Αυτά ορίζονται δυνάμει του άρθρου 2 παράγραφος 7 του ΝΠΠΠ ως δεδομένα προσωπικού χαρακτήρα άλλα από εκείνα τα οποία είτε i) «έχουν προσδιοριστεί με διάταγμα του Υπουργικού Συμβουλίου ως πιθανό να θίξουν το δημόσιο ή άλλα συμφέροντα εάν αποκαλυφθεί η ύπαρξη ή η απουσία τους» είτε ii) «προορίζονται να διαγραφούν εντός περιόδου έως ενός έτους η οποία καθορίζεται με διάταγμα του Υπουργικού Συμβουλίου».

(24)

Η πρώτη από τις δύο ανωτέρω κατηγορίες περιγράφεται στο άρθρο 4 του Διατάγματος του Υπουργικού Συμβουλίου και καλύπτει τέσσερα είδη εξαιρέσεων (20). Οι εξαιρέσεις αυτές έχουν παρεμφερείς στόχους με τις εξαιρέσεις που απαριθμούνται στο άρθρο 23 παράγραφος 1 του κανονισμού (ΕΕ) 2016/679, δηλαδή την προστασία του υποκειμένου των δεδομένων (του «εντολέα» σύμφωνα με την ορολογία του ΝΠΠΠ) και την ελευθερία τρίτων, την εθνική ασφάλεια, τη δημόσια ασφάλεια, την επιβολή της ποινικής νομοθεσίας ή άλλους σημαντικούς στόχους γενικού δημόσιου συμφέροντος. Επιπλέον, από τη διατύπωση του άρθρου 4 παράγραφος 1 στοιχεία i)-iv) του Διατάγματος του Υπουργικού Συμβουλίου προκύπτει ότι η εφαρμογή τους προϋποθέτει συγκεκριμένο κίνδυνο για ένα από τα προστατευόμενα σημαντικά συμφέροντα (21).

(25)

Η δεύτερη κατηγορία προσδιορίζεται περαιτέρω στο άρθρο 5 του Διατάγματος του Υπουργικού Συμβουλίου. Σε συνδυασμό με το άρθρο 2 παράγραφος 7 του ΝΠΠΠ, εξαιρεί από το πεδίο εφαρμογής της έννοιας των διατηρούμενων δεδομένων προσωπικού χαρακτήρα, και, ως εκ τούτου, από τα ατομικά δικαιώματα που απορρέουν από τον ΝΠΠΠ, τα δεδομένα προσωπικού χαρακτήρα που «προορίζονται να διαγραφούν» εντός εξαμήνου. Η ΕΠΠ εξήγησε ότι η συγκεκριμένη εξαίρεση έχει ως στόχο την παροχή κινήτρων στους επιχειρηματικούς φορείς ώστε να διατηρούν και να υποβάλλουν σε επεξεργασία τα δεδομένα για το μικρότερο κατά τον δυνατόν χρονικό διάστημα. Ωστόσο, αυτό συνεπάγεται ότι τα υποκείμενα δεδομένων από την ΕΕ δεν θα μπορούν να απολαμβάνουν σημαντικά δικαιώματα με μοναδική αιτιολογία την περίοδο διατήρησης των δεδομένων τους από τον επιχειρηματικό φορέα.

(26)

Για να αντιμετωπιστεί αυτή η κατάσταση, ο Συμπληρωματικός Κανόνας 2 ορίζει ότι τα δεδομένα προσωπικού χαρακτήρα που έχουν διαβιβαστεί από την Ευρωπαϊκή Ένωση «αντιμετωπίζονται ως διατηρούμενα δεδομένα προσωπικού χαρακτήρα κατά την έννοια του άρθρου 2 παράγραφος 7 του Νόμου, ανεξαρτήτως της περιόδου εντός της οποίας προορίζονται να διαγραφούν». Ως εκ τούτου, η περίοδος διατήρησης δεν θίγει τα δικαιώματα που απολαμβάνουν τα υποκείμενα δεδομένων από την ΕΕ.

(27)

Οι εφαρμοζόμενες απαιτήσεις όσον αφορά προσωπικές πληροφορίες υποβαλλόμενες σε ανωνυμοποιημένη επεξεργασία όπως ορίζονται στο άρθρο 2 παράγραφος 9 του ΝΠΠΠ, θεσπίζονται στο κεφάλαιο 4 τμήμα 2 του Νόμου («Καθήκοντα επιχειρηματικών φορέων που χειρίζονται προσωπικές πληροφορίες υποβαλλόμενες σε ανωνυμοποιημένη επεξεργασία»). Αντιστρόφως, οι πληροφορίες αυτές δεν διέπονται από τις διατάξεις του κεφαλαίου IV τμήμα 1 του ΝΠΠΠ στο οποίο περιλαμβάνονται τα άρθρα που θεσπίζουν τις εγγυήσεις και τα δικαιώματα για την προστασία των δεδομένων τα οποία εφαρμόζονται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα δυνάμει του εν λόγω Νόμου. Ως εκ τούτου, ενώ οι «προσωπικές πληροφορίες που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία» δεν υπόκεινται στους «συνήθεις» κανόνες προστασίας των δεδομένων (όπως ορίζονται στο κεφάλαιο IV τμήμα 1 και στο άρθρο 42 του ΝΠΠΠ), εμπίπτουν στο πεδίο εφαρμογής του ΝΠΠΠ, και ειδικότερα στα άρθρα 36 έως 39.

(28)

Σύμφωνα με το άρθρο 2 παράγραφος 9 του ΝΠΠΠ, ως «προσωπικές πληροφορίες υποβαλλόμενες σε ανωνυμοποιημένη επεξεργασία» ορίζονται πληροφορίες σχετικά με ένα άτομο οι οποίες «προήλθαν από επεξεργασία προσωπικών πληροφοριών» με μεθόδους που προβλέπονται στον ΝΠΠΠ (άρθρο 36 παράγραφος 1) και προσδιορίζονται στους Κανόνες της ΕΠΠ (άρθρο 19), με αποτέλεσμα να έχει καταστεί αδύνατη η ταυτοποίηση συγκεκριμένου ατόμου ή η αποκατάσταση των προσωπικών πληροφοριών.

(29)

Όπως συνάγεται από τις εν λόγω διατάξεις, και επιβεβαιώνεται από την ΕΠΠ, η διαδικασία «ανωνυμοποίησης» των προσωπικών πληροφοριών δεν χρειάζεται να είναι τεχνικώς μη αναστρέψιμη. Σύμφωνα με το άρθρο 36 παράγραφος 2 του ΝΠΠΠ, επιχειρηματικοί φορείς οι οποίοι χειρίζονται «προσωπικές πληροφορίες υποβαλλόμενες σε ανωνυμοποιημένη επεξεργασία» οφείλουν απλώς να αποτρέπουν την επαναταυτοποίηση λαμβάνοντας μέτρα για την εγγύηση της ασφάλειας «των περιγραφών κ.λπ. και των ατομικών κωδικών αναγνώρισης που διαγράφονται από τις προσωπικές πληροφορίες οι οποίες χρησιμοποιούνται για την παραγωγή των υποβαλλόμενων σε ανωνυμοποιημένη επεξεργασία πληροφοριών, καθώς και [της ασφάλειας] των πληροφοριών που σχετίζονται με εφαρμοζόμενη μέθοδο επεξεργασίας».

(30)

Δεδομένου ότι στις «προσωπικές πληροφορίες που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία», όπως ορίζονται από τον ΝΠΠΠ, περιλαμβάνονται δεδομένα για τα οποία είναι ακόμη δυνατή η επαναταυτοποίηση του ατόμου, αυτό μπορεί να συνεπάγεται ότι τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση ενδέχεται να χάνουν εν μέρει την προβλεπόμενη προστασία μέσω διαδικασίας που, βάσει του κανονισμού (ΕΕ) 2016/679, θα θεωρούνταν μάλλον ως μια μορφή «ψευδωνυμοποίησης» παρά ως «ανωνυμοποίηση» (με αποτέλεσμα να μην μεταβάλλεται ο προσωπικός χαρακτήρας των δεδομένων).

(31)

Για την αντιμετώπιση αυτή της κατάστασης, οι Συμπληρωματικοί Κανόνες θεσπίζουν πρόσθετες απαιτήσεις οι οποίες ισχύουν μόνο για τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση βάσει της παρούσας απόφασης. Σύμφωνα με τον Κανόνα (5) των Συμπληρωματικών Κανόνων, οι εν λόγω προσωπικές πληροφορίες θεωρούνται προσωπικές πληροφορίες υποβαλλόμενες σε ανωνυμοποιημένη επεξεργασία κατά την έννοια του ΝΠΠΠ μόνον «εάν ο επιχειρηματικός φορέας που χειρίζεται τις προσωπικές πληροφορίες λαμβάνει μέτρα που καθιστούν την επαναταυτοποίηση του ατόμου μη αναστρέψιμη για όλους, μεταξύ άλλων με τη διαγραφή πληροφοριών που σχετίζονται με τη μέθοδο επεξεργασίας κ.λπ.». Οι τελευταίες προσδιορίζονται στους Συμπληρωματικούς Κανόνες ως πληροφορίες σχετιζόμενες με τις περιγραφές και τους ατομικούς κωδικούς αναγνώρισης που διαγράφηκαν από τις προσωπικές πληροφορίες οι οποίες χρησιμοποιήθηκαν για την παραγωγή των «υποβαλλόμενων σε ανωνυμοποιημένη επεξεργασία προσωπικών πληροφοριών», καθώς και ως πληροφορίες σχετιζόμενες με μέθοδο επεξεργασίας η οποία εφαρμόστηκε κατά τη διαγραφή των εν λόγω περιγραφών και ατομικών κωδικών αναγνώρισης. Με άλλα λόγια, οι Συμπληρωματικοί Κανόνες ορίζουν ότι ο επιχειρηματικός φορέας ο οποίος παράγει προσωπικές πληροφορίες υποβαλλόμενες σε ανωνυμοποιημένη επεξεργασία πρέπει να καταστρέφει το «κλειδί» που καθιστά δυνατή την επαναταυτοποίηση των δεδομένων. Αυτό σημαίνει ότι τα δεδομένα προσωπικού χαρακτήρα με προέλευση την Ευρωπαϊκή Ένωση εμπίπτουν στις διατάξεις του ΝΠΠΠ σχετικά με τις «προσωπικές πληροφορίες που υποβάλλονται σε ανωνυμοποιημένη επεξεργασία» μόνον εάν τα εν λόγω δεδομένα θα θεωρούνταν ομοίως ανώνυμες πληροφορίες βάσει του κανονισμού (ΕΕ) 2016/679 (22).

(32)

Όσον αφορά το προσωπικό πεδίο εφαρμογής του, ο ΝΠΠΠ εφαρμόζεται μόνο στους Επιχειρηματικούς Φορείς που Χειρίζονται Προσωπικές Πληροφορίες (ΕΦΧΠΠ). Ο ΕΦΧΠΠ ορίζεται στο άρθρο 2 παράγραφος 5 του ΝΠΠΠ «ως πρόσωπο το οποίο παρέχει βάση προσωπικών πληροφοριών κ.λπ. για χρήση στο πλαίσιο επιχειρηματικής δραστηριότητας», εξαιρουμένων των κρατικών και διοικητικών φορέων, τόσο σε κεντρικό όσο και σε τοπικό επίπεδο.

(33)

Σύμφωνα με τις Κατευθυντήριες Γραμμές της ΕΠΠ, ως «επιχειρηματική δραστηριότητα» νοείται κάθε «ενέργεια που αποσκοπεί στην άσκηση, για ορισμένο σκοπό, ανεξαρτήτως του κερδοσκοπικού ή μη χαρακτήρα, κατ’ επανάληψη και σε διαρκή βάση, κοινωνικά αποδεκτού εμπορικού εγχειρήματος». Φορείς χωρίς νομική προσωπικότητα (όπως οι de facto συμπράξεις) ή επιμέρους άτομα χαρακτηρίζονται ως ΕΦΧΠΠ εάν παρέχουν (χρησιμοποιούν) βάση προσωπικών πληροφοριών κ.λπ. για την επιχειρηματική δραστηριότητά τους (23). Συνεπώς, η έννοια της «επιχειρηματικής δραστηριότητας» βάσει του ΝΠΠΠ είναι πολύ ευρεία καθώς εμπεριέχει όχι μόνο κερδοσκοπικές αλλά και μη κερδοσκοπικές δραστηριότητες από κάθε είδους φορείς και άτομα. Επιπροσθέτως, η έννοια της «χρήσης στο πλαίσιο επιχειρηματικής δραστηριότητας» καλύπτει επίσης τις προσωπικές πληροφορίες που δεν χρησιμοποιούνται στις (εξωτερικές) εμπορικές σχέσεις του επιχειρηματικού φορέα, αλλά εσωτερικά, π.χ. για την επεξεργασία των δεδομένων των υπαλλήλων.

(34)

Όσον αφορά όσους υπάγονται στις διατάξεις προστασίας που θεσπίζονται στον ΝΠΠΠ, ο Νόμος δεν κάνει διακρίσεις βάσει της εθνικότητας, του τόπου διαμονής ή της γεωγραφικής θέσης ενός ατόμου. Το ίδιο ισχύει για τις δυνατότητες προσφυγής που διαθέτει ένα άτομο, είτε μέσω της ΕΠΠ είτε ενώπιον δικαστηρίου.

(35)

Βάσει του ΝΠΠΠ, δεν υφίσταται συγκεκριμένη διάκριση μεταξύ των υποχρεώσεων που επιβάλλονται στους υπεύθυνους επεξεργασίας και τους εκτελούντες την επεξεργασία. Η απουσία αυτής της διάκρισης δεν επηρεάζει το επίπεδο προστασίας, επειδή όλοι οι ΕΦΧΠΠ υπάγονται σε όλες τις διατάξεις του Νόμου. Οι ΕΦΧΠΠ που αναθέτουν τον χειρισμό δεδομένων σε εντολοδόχο (το ισοδύναμο του εκτελούντος την επεξεργασία στον ΓΚΠΔ) εξακολουθούν να υπόκεινται στις υποχρεώσεις που ορίζονται στον ΝΠΠΠ και τους Συμπληρωματικούς Κανόνες σε ό,τι αφορά τα δεδομένα που έχουν αναθέσει. Επιπλέον, βάσει του άρθρου 22 του ΝΠΠΠ, δεσμεύονται να «ασκούν αναγκαία και κατάλληλη εποπτεία» του εντολοδόχου. Με τη σειρά του, όπως έχει επιβεβαιώσει η ΕΠΠ, ο εντολοδόχος δεσμεύεται και ο ίδιος από όλες τις υποχρεώσεις που προβλέπονται στον ΝΠΠΠ και τους Συμπληρωματικούς Κανόνες.

(36)

Το άρθρο 76 του ΝΠΠΠ εξαιρεί ορισμένα είδη επεξεργασίας δεδομένων από την εφαρμογή του κεφαλαίου IV του Νόμου, το οποίο περιέχει τον πυρήνα των διατάξεων προστασίας των δεδομένων (βασικές αρχές, υποχρεώσεις των επιχειρηματικών φορέων, ατομικά δικαιώματα, εποπτεία από την ΕΠΠ). Η επεξεργασία που καλύπτεται από την τομεακή εξαίρεση του άρθρου 76 εξαιρείται επίσης από τις εξουσίες επιβολής της ΕΠΠ, σύμφωνα με το άρθρο 43 παράγραφος 2 του ΝΠΠΠ (24).

(37)

Οι συναφείς κατηγορίες για την τομεακή εξαίρεση του άρθρου 76 του ΝΠΠΠ καθορίζονται με τη χρήση διπλού κριτηρίου βάσει του είδους του ΕΦΧΠΠ που χειρίζεται τις προσωπικές πληροφορίες και του σκοπού της επεξεργασίας. Ειδικότερα, η εξαίρεση αφορά: i) οπτικοακουστικούς οργανισμούς, εκδότες εφημερίδων, οργανισμούς επικοινωνιών ή άλλους δημοσιογραφικούς οργανισμούς (συμπεριλαμβανομένων των ατόμων που ασκούν δημοσιογραφική δραστηριότητα ως επάγγελμα) στο μέτρο που επεξεργάζονται προσωπικές πληροφορίες για δημοσιογραφικούς σκοπούς· ii) πρόσωπα που ασχολούνται επαγγελματικά με τη συγγραφή, στο μέτρο που πρόκειται για προσωπικές πληροφορίες· iii) πανεπιστήμια και άλλους οργανισμούς ή ομάδες που ανήκουν στον χώρο των ακαδημαϊκών σπουδών, ή πρόσωπα που ανήκουν σε τέτοιους οργανισμούς, στο μέτρο που επεξεργάζονται προσωπικές πληροφορίες για ακαδημαϊκούς σκοπούς· iv) θρησκευτικούς φορείς στο μέτρο που επεξεργάζονται προσωπικές πληροφορίες για θρησκευτικού σκοπούς (συμπεριλαμβανομένων όλων των σχετικών δραστηριοτήτων)· και v) πολιτικούς φορείς στο μέτρο που επεξεργάζονται προσωπικές πληροφορίες για τους σκοπούς της πολιτικής δράσης τους (συμπεριλαμβανομένων όλων των σχετικών δραστηριοτήτων). Η επεξεργασία προσωπικών πληροφοριών για σκοπό που περιλαμβάνεται στο άρθρο 76 από άλλες κατηγορίες ΕΦΧΠΠ καθώς και η επεξεργασία προσωπικών πληροφοριών από κατηγορία ΕΦΧΠΠ που περιλαμβάνεται στο εν λόγω άρθρο για άλλους σκοπούς, π.χ. στο πλαίσιο της απασχόλησης, συνεχίζουν να καλύπτονται από τις διατάξεις του κεφαλαίου IV.

(38)

Για να διασφαλιστεί επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση σε επιχειρηματικούς φορείς στην Ιαπωνία, η παρούσα απόφαση θα πρέπει να καλύπτει μόνο την επεξεργασία προσωπικών πληροφοριών που εμπίπτουν στο πεδίο εφαρμογής του κεφαλαίου IV του ΝΠΠΠ —δηλαδή την επεξεργασία από ΕΦΧΠΠ στο μέτρο που η περίπτωση επεξεργασίας δεν υπάγεται σε μία από τις τομεακές εξαιρέσεις. Το πεδίο εφαρμογής της θα πρέπει επομένως να ευθυγραμμιστεί με αυτό του ΝΠΠΠ. Σύμφωνα με τις πληροφορίες που υπέβαλε η ΕΠΠ, όταν ένα ΕΦΧΠΠ που καλύπτεται από την παρούσα απόφαση τροποποιεί εκ των υστέρων τον σκοπό χρήσης (στο βαθμό που αυτό επιτρέπεται) ώστε να καλύπτεται από μία από τις τομεακές εξαιρέσεις του άρθρου 76 του ΝΠΠΠ, αυτό θα μπορεί να θεωρηθεί διεθνής διαβίβαση (δεδομένου ότι, στις περιπτώσεις αυτές, η επεξεργασία των προσωπικών πληροφοριών δεν θα καλύπτεται πλέον από το κεφάλαιο IV του ΝΠΠΠ και, επομένως, δεν θα εμπίπτει στο πεδίο εφαρμογής του). Το ίδιο θα ισχύει σε περίπτωση που ένας ΕΦΧΠΠ παρέχει προσωπικές πληροφορίες σε οντότητα που καλύπτεται από το άρθρο 76 του ΝΠΠΠ προς χρήση για έναν από τους σκοπούς επεξεργασίας που αναφέρονται στην εν λόγω διάταξη. Όσον αφορά τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση, αυτό θα συνιστά επομένως περαιτέρω διαβίβαση, η οποία υπόκειται στις σχετικές εγγυήσεις (ιδίως εκείνες που προσδιορίζονται στο άρθρο 24 του ΝΠΠΠ και στον Συμπληρωματικό Κανόνα 4). Όταν ο ΕΦΧΠΠ βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων (25), θα πρέπει να του παρέχει όλες τις απαραίτητες πληροφορίες, όπως μεταξύ άλλων ότι οι προσωπικές πληροφορίες δεν θα προστατεύονται πλέον από τον ΝΠΠΠ.

(39)

Τα δεδομένα προσωπικού χαρακτήρα πρέπει να υποβάλλονται σε επεξεργασία για συγκεκριμένο σκοπό και στη συνέχεια να χρησιμοποιούνται μόνο στο μέτρο που αυτό δεν είναι ασύμβατο με τον σκοπό της επεξεργασίας. Αυτή η αρχή προστασίας των δεδομένων κατοχυρώνεται στα άρθρα 15 και 16 του ΝΠΠΠ.

(40)

Ο ΝΠΠΠ βασίζεται στην αρχή ότι οι επιχειρηματικοί φορείς πρέπει να προσδιορίζουν τον σκοπό χρήσης «όσο το δυνατόν σαφέστερα» (άρθρο 15 παράγραφος 1) και στη συνέχεια δεσμεύονται από τον σκοπό αυτό κατά την επεξεργασία των δεδομένων.

(41)

Επ’ αυτού, το άρθρο 15 παράγραφος 2 του ΝΠΠΠ ορίζει ότι ο αρχικός σκοπός δεν πρέπει να τροποποιείται από τον ΕΦΧΠΠ «πέραν του πεδίου εφαρμογής που αναγνωρίζεται ως ευλόγως συναφές με τον προ της τροποποίησης σκοπό χρήσης», το οποίο, κατά την ερμηνεία που δίδεται στις Κατευθυντήριες Γραμμές της ΕΠΠ, αντιστοιχεί σε αυτό που μπορεί αντικειμενικά να προσδοκάται από το υποκείμενο των δεδομένων με βάση τις «συνήθεις κοινωνικές συμβάσεις» (26).

(42)

Επιπροσθέτως, βάσει του άρθρου 16 παράγραφος 1 του ΝΠΠΠ, απαγορεύεται στους ΕΦΧΠΠ να χειρίζονται προσωπικές πληροφορίες πέραν του «πεδίου εφαρμογής που είναι αναγκαίο για την επίτευξη σκοπού χρήσης» όπως ορίζεται βάσει του άρθρου 15 χωρίς προηγούμενη συγκατάθεση του υποκειμένου των δεδομένων, εκτός εάν ισχύει μία από τις παρεκκλίσεις του άρθρου 16 παράγραφος 3 (27).

(43)

Όσον αφορά προσωπικές πληροφορίες που λαμβάνονται από άλλον επιχειρηματικό φορέα, ο ΕΦΧΠΠ έχει, κατ’ αρχήν, την ευχέρεια να ορίσει νέο σκοπό χρήσης (28). Προκειμένου να διασφαλίζεται ότι, σε περίπτωση διαβίβασης από την Ευρωπαϊκή Ένωση, ο εν λόγω αποδέκτης δεσμεύεται από τον σκοπό για τον οποίο πραγματοποιήθηκε η διαβίβαση των δεδομένων, ο Συμπληρωματικός Κανόνας 3 ορίζει ότι, στις περιπτώσεις «όπου ένας [ΕΦΧΠΠ] λαμβάνει δεδομένα προσωπικού χαρακτήρα από την ΕΕ με βάση απόφαση επάρκειας» ή όπου ένας τέτοιος φορέας «λαμβάνει από άλλον [ΕΦΧΠΠ] δεδομένα προσωπικού χαρακτήρα τα οποία είχαν προηγουμένως διαβιβαστεί από την ΕΕ με βάση απόφαση περί επάρκειας» (περαιτέρω κοινοποίηση), ο αποδέκτης οφείλει να «προσδιορίζει τον σκοπό χρήσης των προαναφερόμενων δεδομένων προσωπικού χαρακτήρα εντός του πεδίου εφαρμογής του σκοπού χρήσης για τον οποίο ελήφθησαν αρχικώς ή σε επόμενο χρόνο τα δεδομένα». Με άλλα λόγια, ο κανόνας διασφαλίζει ότι σε ένα πλαίσιο διαβίβασης ο σκοπός που προσδιορίστηκε δυνάμει του κανονισμού (ΕΕ) 2016/679 συνεχίζει να καθορίζει την επεξεργασία, και ότι τυχόν μεταβολή αυτού του σκοπού σε οποιοδήποτε στάδιο της αλυσίδας επεξεργασίας στην Ιαπωνία απαιτεί συγκατάθεση του υποκειμένου δεδομένων από την ΕΕ. Αν και, προκειμένου να εξασφαλίσει την εν λόγω συγκατάθεση, ο ΕΦΧΠΠ υποχρεούται να επικοινωνήσει με το υποκείμενο των δεδομένων, όταν αυτό δεν είναι δυνατόν, η μόνη συνέπεια είναι ότι πρέπει να διατηρείται ο αρχικός σκοπός.

(44)

Η πρόσθετη προστασία που αναφέρεται στην αιτιολογική σκέψη 43 αποκτά ακόμη μεγαλύτερη σημασία δεδομένου ότι, μέσω της αρχής περιορισμού του σκοπού, το ιαπωνικό σύστημα διασφαλίζει επίσης τη νόμιμη και αντικειμενική επεξεργασία των δεδομένων προσωπικού χαρακτήρα.

(45)

Βάσει του ΝΠΠΠ, όταν ένας ΕΦΧΠΠ συλλέγει προσωπικές πληροφορίες, πρέπει να προσδιορίζει λεπτομερώς τον σκοπό χρήσης των προσωπικών πληροφοριών (29) και να ενημερώνει αμέσως το υποκείμενο των δεδομένων (ή να πληροφορεί το ευρύ κοινό) για τον εν λόγω σκοπό χρήσης (30). Επιπροσθέτως, το άρθρο 17 του ΝΠΠΠ ορίζει ότι οι ΕΦΧΠΠ δεν πρέπει να γίνονται κάτοχοι προσωπικών πληροφοριών χρησιμοποιώντας δόλο ή άλλα αθέμιτα μέσα. Όσον αφορά ορισμένες κατηγορίες δεδομένων όπως, π.χ., τις προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα, η απόκτησή τους προϋποθέτει τη συγκατάθεση του υποκειμένου των δεδομένων (άρθρο 17 παράγραφος 2 του ΝΠΠΠ).

(46)

Συνεπώς, όπως εξηγείται στις αιτιολογικές σκέψεις 41 και 42, απαγορεύεται στον ΕΦΧΠΠ να επεξεργάζεται τις προσωπικές πληροφορίες για άλλους σκοπούς, εκτός εάν το υποκείμενο των δεδομένων συγκατατίθεται σ’ αυτή την επεξεργασία ή όταν ισχύει μία από τις παρεκκλίσεις του άρθρου 16 παράγραφος 3 του ΝΠΠΠ.

(47)

Τέλος, όσον αφορά την περαιτέρω παροχή προσωπικών πληροφοριών σε τρίτο (31), το άρθρο 23 παράγραφος 1 του ΝΠΠΠ περιορίζει την κοινοποίηση σε ειδικές περιπτώσεις, ορίζοντας ως γενικό κανόνα την προηγούμενη συγκατάθεση του υποκειμένου των δεδομένων. (32) Το άρθρο 23 παράγραφοι 2, 3 και 4 του ΝΠΠΠ προβλέπουν εξαιρέσεις στην απαίτηση συγκατάθεσης. Ωστόσο, οι εξαιρέσεις αυτές ισχύουν μόνο για μη ευαίσθητα δεδομένα και απαιτούν από τον επιχειρηματικό φορέα να ενημερώνει εκ των προτέρων τα ενδιαφερόμενα άτομα για την πρόθεσή του να κοινοποιήσει τις προσωπικές τους πληροφορίες σε τρίτο και για τη δυνατότητά τους να αρνηθούν την περαιτέρω κοινοποίηση (33).

(48)

Όσον αφορά τις διαβιβάσεις από την Ευρωπαϊκή Ένωση, τα δεδομένα προσωπικού χαρακτήρα πρέπει υποχρεωτικά να έχουν πρώτα συλλεχθεί και υποβληθεί σε επεξεργασία στην ΕΕ σύμφωνα με τον κανονισμό (ΕΕ) 2016/679. Αυτό περιλαμβάνει, αφενός, τη συλλογή και την επεξεργασία, μεταξύ άλλων για τη διαβίβαση από την Ευρωπαϊκή Ένωση στην Ιαπωνία, σύμφωνα με μία από τις νομικές βάσει που απαριθμούνται στο άρθρο 6 παράγραφος 1 του κανονισμού και, αφετέρου, τη συλλογή για καθορισμένο, ρητό και νόμιμο σκοπό και την απαγόρευση περαιτέρω επεξεργασίας, μεταξύ άλλων μέσω διαβίβασης, κατά τρόπο ασύμβατο με τον εν λόγω σκοπό όπως ορίζεται στο άρθρο 5 παράγραφος 1 στοιχείο β) και στο άρθρο 6 παράγραφος 4 του κανονισμού.

(49)

Μετά τη διαβίβαση, σύμφωνα με τον Συμπληρωματικό Κανόνα 3, ο ΕΦΧΠΠ που λαμβάνει τα δεδομένα πρέπει να «επιβεβαιώσει» τον ή τους ειδικούς σκοπούς για τους οποίους πραγματοποιείται η διαβίβαση [δηλ. τον σκοπό που προσδιορίζεται βάσει του κανονισμού (ΕΕ) 2016/679] και να υποβάλλει σε περαιτέρω επεξεργασία τα δεδομένα σύμφωνα με τον ή τους εν λόγω σκοπούς (34). Αυτό σημαίνει ότι όχι μόνον ο αρχικός αποδέκτης των δεδομένων προσωπικού χαρακτήρα στην Ιαπωνία αλλά και κάθε μελλοντικός αποδέκτης των δεδομένων, συμπεριλαμβανομένων των εντολοδόχων, δεσμεύεται από τον ή τους προσδιοριζόμενους σκοπούς βάσει του κανονισμού.

(50)

Επιπλέον, εάν ο ΕΦΧΠΠ επιθυμεί να τροποποιήσει τον σκοπό που είχε προηγουμένως προσδιοριστεί βάσει του κανονισμού (ΕΕ) 2016/679, σύμφωνα με το άρθρο 16 παράγραφος 1 του ΝΠΠΠ, πρέπει, κατ’ αρχήν, να εξασφαλίσει τη συγκατάθεση του υποκειμένου των δεδομένων. Χωρίς αυτή τη συγκατάθεση, οποιαδήποτε επεξεργασία δεδομένων η οποία υπερβαίνει το πεδίο εφαρμογής που είναι αναγκαίο για την επίτευξη αυτού του σκοπού χρήσης συνιστά παράβαση του άρθρου 16 παράγραφος 1 της οποίας επιλαμβάνονται η ΕΠΠ και τα δικαστήρια.

(51)

Ως εκ τούτου, με δεδομένο ότι βάσει του κανονισμού (ΕΕ) 2016/679 η διαβίβαση προϋποθέτει έγκυρη νομική βάση και συγκεκριμένο σκοπό, που αντανακλώνται στον σκοπό χρήσης που «επιβεβαιώνεται» βάσει του ΝΠΠΠ, ο συνδυασμός των σχετικών διατάξεων του ΝΠΠΠ και του Συμπληρωματικού Κανόνα 3 διασφαλίζει τη συνεχή νομιμότητα της επεξεργασίας των δεδομένων με προέλευση την ΕΕ στην Ιαπωνία.

(52)

Τα δεδομένα πρέπει να είναι ακριβή και, όπου χρειάζεται, επικαιροποιημένα. Πρέπει επίσης να είναι κατάλληλα, συναφή προς το θέμα και όχι υπερβολικά, λαμβανομένων υπόψη των σκοπών για τους οποίους υποβάλλονται σε επεξεργασία.

(53)

Οι αρχές αυτές κατοχυρώνονται στο ιαπωνικό δίκαιο με το άρθρο 16 παράγραφος 1 του ΝΠΠΠ, που απαγορεύει τον χειρισμό των προσωπικών πληροφοριών πέραν του «πεδίου εφαρμογής που είναι αναγκαίο για την επίτευξη σκοπού χρήσης». Όπως εξηγήθηκε από την ΕΠΠ, αυτό αφενός αποκλείει τη χρήση των δεδομένων με ακατάλληλο τρόπο και την υπερβολική χρήση των δεδομένων (πέραν του αναγκαίου για την επίτευξη του σκοπού χρήσης) και αφετέρου συνεπάγεται απαγόρευση χειρισμού δεδομένων που δεν είναι συναφή με τον σκοπό χρήσης.

(54)

Όσον αφορά την υποχρέωση για ακριβή και επικαιροποιημένα δεδομένα, το άρθρο 19 του ΝΠΠΠ ορίζει ότι ο ΕΦΧΠΠ πρέπει να «προσπαθεί να διατηρεί τα δεδομένα προσωπικού χαρακτήρα ακριβή και επικαιροποιημένα εντός του πεδίου εφαρμογής που είναι αναγκαίο για την επίτευξη του σκοπού χρήσης». Η διάταξη αυτή πρέπει να συνδυάζεται με το άρθρο 16 παράγραφος 1 του ΝΠΠΠ: σύμφωνα με τις εξηγήσεις που έδωσε η ΕΠΠ, αν ένας ΕΦΧΠΠ δεν πληροί τα προβλεπόμενα πρότυπα ακρίβειας, θεωρείται ότι η επεξεργασία των προσωπικών πληροφοριών δεν επιτυγχάνει τον σκοπό χρήσης και, συνεπώς, ο χειρισμός τους καθίσταται παράνομος βάσει του άρθρου 16 παράγραφος 1.

(55)

Τα δεδομένα πρέπει κατ’ αρχήν να μη διατηρούνται για διάστημα μεγαλύτερο του αναγκαίου για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.

(56)

Σύμφωνα με το άρθρο 19 του ΝΠΠΠ, οι ΕΦΧΠΠ πρέπει να «προσπαθούν […] να διαγράφουν χωρίς καθυστέρηση τα δεδομένα προσωπικού χαρακτήρα όταν η χρήση τους δεν είναι πλέον αναγκαία». Η διάταξη αυτή πρέπει να συνδυάζεται με το άρθρο 16 παράγραφος 1 του ΝΠΠΠ, που απαγορεύει τον χειρισμό των προσωπικών πληροφοριών πέραν του «πεδίου εφαρμογής που είναι αναγκαίο για την επίτευξη σκοπού χρήσης». Μόλις επιτευχθεί ο σκοπός χρήσης, η επεξεργασία των προσωπικών πληροφοριών δεν μπορεί πλέον να θεωρείται αναγκαία και, συνεπώς, δεν μπορεί να συνεχιστεί (εκτός εάν ο ΕΦΧΠΠ εξασφαλίσει σχετική συγκατάθεση του υποκειμένου των δεδομένων).

(57)

Τα δεδομένα προσωπικού χαρακτήρα πρέπει να υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ασφάλειά τους, συμπεριλαμβανομένης της προστασίας τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά. Για τον σκοπό αυτό, οι επιχειρηματικοί φορείς πρέπει να λαμβάνουν τα κατάλληλα τεχνικά ή οργανωτικά μέτρα για την προστασία των δεδομένων προσωπικού χαρακτήρα από πιθανές απειλές. Τα μέτρα αυτά πρέπει να αξιολογούνται με βάση την πιο προηγμένη τεχνολογία και το σχετικό κόστος.

(58)

Η αρχή αυτή κατοχυρώνεται στην ιαπωνική νομοθεσία με το άρθρο 20 του ΝΠΠΠ, το οποίο ορίζει ότι ο ΕΦΧΠΠ «προβαίνει σε όλες τις αναγκαίες και κατάλληλες ενέργειες για τον έλεγχο ασφάλειας των δεδομένων προσωπικού χαρακτήρα συμπεριλαμβανομένης της αποτροπής ενδεχόμενης διαρροής, απώλειας ή φθοράς των υποβαλλόμενων σε επεξεργασία δεδομένων προσωπικού χαρακτήρα». Οι Κατευθυντήριες Γραμμές της ΕΠΠ εξηγούν τα μέτρα που πρέπει να λαμβάνονται, συμπεριλαμβανομένων των μεθόδων για τη θέσπιση βασικών πολιτικών, κανόνων για τον χειρισμό των δεδομένων και διαφόρων «ενεργειών ελέγχου» (σχετικά με την οργανωσιακή ασφάλεια καθώς και με την ανθρώπινη, φυσική και τεχνολογική ασφάλεια) (35). Επιπροσθέτως, οι Κατευθυντήριες Γραμμές της ΕΠΠ και μια ειδική Ανακοίνωση (προσάρτημα 8 στα «Περιεχόμενα των μέτρων διαχείρισης ασφάλειας που πρέπει να λαμβάνονται») που δημοσίευσε η ΕΠΠ παρέχουν περισσότερες λεπτομέρειες σχετικά με μέτρα που αφορούν συμβάντα ασφαλείας, όπως, π.χ. η διαρροή προσωπικών πληροφοριών, στο πλαίσιο των μέτρων διαχείρισης ασφάλειας που πρέπει να λαμβάνουν οι ΕΦΧΠΠ (36).

(59)

Επιπροσθέτως, όταν τις προσωπικές πληροφορίες χειρίζονται υπάλληλοι ή υπεργολάβοι, πρέπει να διασφαλίζεται η «αναγκαία και κατάλληλη εποπτεία» βάσει των άρθρων 20 και 21 του ΝΠΠΠ για τους σκοπούς του ελέγχου ασφαλείας. Τέλος, σύμφωνα με το άρθρο 83 του ΝΠΠΠ, η σκόπιμη διαρροή ή κλοπή προσωπικών πληροφοριών τιμωρείται με ποινή φυλάκισης έως ενός έτους.

(60)

Τα υποκείμενα των δεδομένων πρέπει να ενημερώνονται για τα βασικά χαρακτηριστικά της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα τους.

(61)

Το άρθρο 18 παράγραφος 1 του ΝΠΠΠ ορίζει ότι ο ΕΦΧΠΠ διαθέτει στο υποκείμενο των δεδομένων πληροφορίες σχετικά με τον σκοπό χρήσης των προσωπικών πληροφοριών που έχουν συλλεχθεί, με εξαίρεση τις «περιπτώσεις στις οποίες ο σκοπός χρήσης έχει κοινοποιηθεί εκ των προτέρων στο ευρύ κοινό». Η ίδια υποχρέωση ισχύει σε περίπτωση επιτρεπόμενης μεταβολής σκοπού (άρθρο 18 παράγραφος 3). Με τον τρόπο αυτό διασφαλίζεται επίσης ότι το υποκείμενο των δεδομένων ενημερώνεται για το γεγονός ότι έχουν συλλεχθεί δεδομένα του. Παρόλο που ο ΝΠΠΠ δεν ορίζει γενικά ότι ο ΕΦΧΠΠ πρέπει να πληροφορεί το υποκείμενο των δεδομένων σχετικά με τους αναμενόμενους αποδέκτες των προσωπικών πληροφοριών στο στάδιο της συλλογής, η πληροφόρηση αυτή αποτελεί αναγκαία προϋπόθεση για κάθε μεταγενέστερη κοινοποίηση πληροφοριών σε τρίτο (αποδέκτη) βάσει του άρθρου 23 παράγραφος 2, όταν, δηλαδή, η διαβίβαση πραγματοποιείται χωρίς προηγούμενη συγκατάθεση του υποκειμένου των δεδομένων.

(62)

Όσον αφορά τα «διατηρούμενα δεδομένα προσωπικού χαρακτήρα», το άρθρο 27 του ΝΠΠΠ ορίζει ότι ο ΕΦΧΠΠ ενημερώνει το υποκείμενο των δεδομένων σχετικά με την ταυτότητά του (στοιχεία επικοινωνίας), τον σκοπό χρήσης και τις διαδικασίες απάντησης σε αιτήματα που αφορούν τα ατομικά δικαιώματα του υποκειμένου των δεδομένων βάσει των άρθρων 28, 29 και 30 του ΝΠΠΠ.

(63)

Όπως ορίζεται και στους Συμπληρωματικούς Κανόνες, τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση θεωρούνται «διατηρούμενα δεδομένα προσωπικού χαρακτήρα» ανεξαρτήτως της περιόδου διατήρησης (εκτός εάν καλύπτονται από εξαιρέσεις), και υπόκεινται πάντοτε στις απαιτήσεις διαφάνειας που θεσπίζονται από αμφότερες τις προαναφερθείσες διατάξεις.

(64)

Τόσο οι απαιτήσεις του άρθρου 18 όσο και η υποχρέωση ενημέρωσης σχετικά με τον σκοπό χρήσης βάσει του άρθρου 27 του ΝΠΠΠ υπόκεινται στην ίδια δέσμη εξαιρέσεων, οι οποίες άπτονται κυρίως του δημόσιου συμφέροντος και της προστασίας των δικαιωμάτων και των συμφερόντων του υποκειμένου των δεδομένων, των τρίτων και του υπευθύνου επεξεργασίας (37). Σύμφωνα με την ερμηνεία που παρατίθεται στις Κατευθυντήριες Γραμμές της ΕΠΠ, οι εν λόγω εξαιρέσεις εφαρμόζονται σε πολύ ειδικές περιπτώσεις, π.χ. όταν υπάρχει κίνδυνος οι πληροφορίες σχετικά με τον σκοπό της χρήσης να υπονομεύσουν νόμιμα μέτρα τα οποία έχουν ληφθεί από τον επιχειρηματικό φορέα με σκοπό την προστασία ορισμένων συμφερόντων (π.χ. μέτρα για την καταπολέμηση της απάτης, της βιομηχανικής κατασκοπείας, της δολιοφθοράς).

(65)

Πρέπει να προβλέπονται ειδικές εγγυήσεις για την επεξεργασία «ειδικών κατηγοριών δεδομένων».

(66)

Οι «προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα» ορίζονται στο άρθρο 2 παράγραφος 3 του ΝΠΠΠ. Η εν λόγω διάταξη αναφέρεται σε «προσωπικές πληροφορίες όπως η φυλή, οι πεποιθήσεις, η κοινωνική θέση, το ιατρικό ιστορικό, το ποινικό μητρώο του εντολέα, το γεγονός ότι υπήρξε θύμα εγκληματικής ενέργειας, ή άλλες περιγραφές κ.λπ. των οποίων ο χειρισμός, όπως ορίζεται με διάταγμα του Υπουργικού Συμβουλίου, απαιτεί ειδική μέριμνα ώστε να μην προκαλείται αθέμιτη διάκριση, βλάβη ή άλλου είδους δυσμενής αντιμετώπιση εις βάρος του εντολέα». Οι κατηγορίες αυτές αντιστοιχούν σε μεγάλο βαθμό στις κατηγορίες ευαίσθητων δεδομένων που απαριθμούνται στα άρθρα 9 και 10 του κανονισμού (ΕΕ) 2016/679. Ειδικότερα, το «ιατρικό ιστορικό» αντιστοιχεί στα δεδομένα που αφορούν την υγεία, ενώ το «ποινικό μητρώο και το γεγονός ότι [ένα άτομο] υπήρξε θύμα εγκληματικής ενέργειας» ουσιαστικά ταυτίζονται με τις κατηγορίες που αναφέρονται στο άρθρο 10 του κανονισμού (ΕΕ) 2016/679. Οι κατηγορίες που αναφέρονται στο άρθρο 2 παράγραφος 3 του ΝΠΠΠ διευκρινίζονται περαιτέρω στο Διάταγμα του Υπουργικού Συμβουλίου και στις Κατευθυντήριες Γραμμές της ΕΠΠ. Σύμφωνα με την ενότητα 2.3 σημείο 8) των Κατευθυντήριων Γραμμών της ΕΠΠ, οι υποκατηγορίες του «ιατρικού ιστορικού» που αναφέρονται στο άρθρο 2 σημεία ii) και iii) του Διατάγματος του Υπουργικού Συμβουλίου θεωρείται ότι καλύπτουν τα γενετικά και βιομετρικά δεδομένα. Επίσης, αν και ο κατάλογος δεν περιλαμβάνει ρητά τους όρους «εθνοτική προέλευση» και «πολιτικά φρονήματα», περιλαμβάνει αναφορές στη «φυλή» και στις «πεποιθήσεις». Όπως εξηγείται στην ενότητα 2.3 σημεία 1) και 2) των Κατευθυντήριων Γραμμών της ΕΠΠ, η αναφορά στη «φυλή» καλύπτει «εθνοτικούς δεσμούς ή δεσμούς με ορισμένη περιοχή του κόσμου», ενώ οι «πεποιθήσεις» θεωρείται ότι εμπερικλείουν τόσο τα θρησκευτικά όσο και τα πολιτικά φρονήματα.

(67)

Όπως προκύπτει από τη διατύπωση της διάταξης, δεν πρόκειται για έναν κλειστό κατάλογο καθώς είναι δυνατή η προσθήκη και άλλων κατηγοριών δεδομένων στο μέτρο που η επεξεργασία τους δημιουργεί κίνδυνο «αθέμιτης διάκρισης, βλάβης ή άλλου είδους δυσμενούς αντιμετώπισης εις βάρος του εντολέα».

(68)

Παρόλο που η έννοια των «ευαίσθητων» δεδομένων αποτελεί από τη φύση της κοινωνικό κατασκεύασμα το οποίο θεμελιώνεται σε πολιτισμικές και νομικές παραδόσεις, ηθικές παραμέτρους, επιλογές πολιτικής κ.λπ. μιας δεδομένης κοινωνίας, λόγω της σπουδαιότητας της διασφάλισης επαρκών εγγυήσεων για τα ευαίσθητα δεδομένα κατά τη διαβίβασή τους σε επιχειρηματικούς φορείς στην Ιαπωνία, η Επιτροπή εξασφάλισε την επέκταση των ειδικών διατάξεων προστασίας που, βάσει της ιαπωνικής νομοθεσίας, προβλέπονται για τις «προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα» σε όλες τις κατηγορίες που αναγνωρίζονται ως «ευαίσθητα δεδομένα» στον κανονισμό (ΕΕ) 2016/679. Για τον σκοπό αυτό, ο Συμπληρωματικός Κανόνας 1 ορίζει ότι δεδομένα που διαβιβάζονται από την Ευρωπαϊκή Ένωση και αφορούν τη σεξουαλική ζωή ενός ατόμου, τον σεξουαλικό προσανατολισμό του ή τη συμμετοχή του σε συνδικαλιστικές ενώσεις υποβάλλονται σε επεξεργασία από ΕΦΧΠΠ «κατά τον ίδιο τρόπο με τις προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα κατά την έννοια του άρθρου 2 παράγραφος 3 του [ΝΠΠΠ]».

(69)

Όσον αφορά τις πρόσθετες ουσιαστικές εγγυήσεις για τις προσωπικές πληροφορίες που απαιτούν ειδική μέριμνα, σύμφωνα με το άρθρο 17 παράγραφος 2 του ΝΠΠΠ, οι ΕΦΧΠΠ δεν επιτρέπεται να αποκτούν δεδομένα αυτού του είδους χωρίς προηγούμενη συγκατάθεση του ενδιαφερόμενου ατόμου, με την επιφύλαξη περιορισμένων εξαιρέσεων (38). Επιπροσθέτως, η συγκεκριμένη κατηγορία προσωπικών πληροφοριών εξαιρείται από τη δυνατότητα κοινοποίησης σε τρίτους με βάση τη διαδικασία που προβλέπεται βάσει του άρθρου 23 παράγραφος 2 του ΝΠΠΠ (η οποία επιτρέπει τη διαβίβαση δεδομένων σε τρίτους χωρίς προηγούμενη συγκατάθεση του υποκειμένου των δεδομένων).

(70)

Βάσει της αρχής της λογοδοσίας, οι φορείς που υποβάλλουν σε επεξεργασία δεδομένα πρέπει να θεσπίζουν τα κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να συμμορφώνονται ουσιαστικά με τις υποχρεώσεις τους όσον αφορά την προστασία των δεδομένων και να είναι σε θέση να αποδεικνύουν τη συμμόρφωσή τους, ειδικά στην αρμόδια εποπτική αρχή.

(71)

Όπως αναφέρεται στην υποσημείωση 34 (αιτιολογική σκέψη 49), οι ΕΦΧΠΠ υποχρεούνται, βάσει του άρθρου 26 παράγραφος 1 του ΝΠΠΠ, να επαληθεύουν την ταυτότητα τρίτου ο οποίος τους παρέχει δεδομένα προσωπικού χαρακτήρα και τις «περιστάσεις» υπό τις οποίες περιήλθαν στην κατοχή αυτού του τρίτου τα εν λόγω δεδομένα (στην περίπτωση δεδομένων προσωπικού χαρακτήρα που καλύπτονται από την παρούσα απόφαση, σύμφωνα με τον ΝΠΠΠ και τον Συμπληρωματικό Κανόνα 3, στις περιστάσεις αυτές περιλαμβάνεται το γεγονός ότι τα δεδομένα προέρχονται από την Ευρωπαϊκή Ένωση, καθώς και ο σκοπός της αρχικής διαβίβασης των δεδομένων). Μεταξύ άλλων, το μέτρο αυτό έχει ως στόχο να διασφαλιστεί η νομιμότητα της επεξεργασίας των δεδομένων σε όλο το μήκος της αλυσίδας χειρισμού των δεδομένων προσωπικού χαρακτήρα από τους ΕΦΧΠΠ. Επιπροσθέτως, βάσει του άρθρου 26 παράγραφος 3 του ΝΠΠΠ, οι ΕΦΧΠΠ πρέπει να τηρούν αρχείο όπου σημειώνονται η ημερομηνία παραλαβής και οι (υποχρεωτικές) πληροφορίες που έχει παράσχει ο τρίτος βάσει της παραγράφου 1, καθώς και το όνομα του ενδιαφερόμενου ατόμου (υποκείμενο των δεδομένων), οι κατηγορίες των υπό επεξεργασία δεδομένων και, κατά περίπτωση, το γεγονός ότι το υποκείμενο των δεδομένων συγκατατίθεται στην κοινοποίηση των δεδομένων προσωπικού χαρακτήρα του. Όπως ορίζεται στο άρθρο 18 των Κανόνων της ΕΠΠ, τα αρχεία αυτά πρέπει να φυλάσσονται για περίοδο τουλάχιστον ενός έως τριών ετών, ανάλογα με τις συνθήκες. Κατά την άσκηση των καθηκόντων της, η ΕΠΠ μπορεί να ζητήσει την υποβολή των εν λόγω αρχείων (39).

(72)

Οι ΕΦΧΠΠ πρέπει να αντιμετωπίζουν άμεσα και με τον κατάλληλο τρόπο τις καταγγελίες που λαμβάνουν από ενδιαφερόμενα άτομα σχετικά με την επεξεργασία των προσωπικών πληροφοριών τους. Για να διευκολυνθεί η διεκπεραίωση των καταγγελιών, πρέπει να θεσπίσουν «σύστημα το οποίο είναι αναγκαίο για την επίτευξη [αυτού] του σκοπού», δηλαδή να εφαρμόσουν κατάλληλες διαδικασίες στο πλαίσιο του οργανισμού τους (π.χ. να αναθέσουν αρμοδιότητες ή να ορίσουν ένα σημείο επαφής).

(73)

Τέλος, ο ΝΠΠΠ δημιουργεί ένα πλαίσιο για τη συμμετοχή φορέων του κάθε κλάδου στη διασφάλιση υψηλού επιπέδου συμμόρφωσης (βλέπε κεφάλαιο IV τμήμα 4). Ο ρόλος αυτών των διαπιστευμένων φορέων προστασίας των προσωπικών πληροφοριών (40) είναι να προωθήσουν την προστασία των προσωπικών πληροφοριών αξιοποιώντας την εμπειρογνωμοσύνη τους για την υποστήριξη των επιχειρήσεων, αλλά και να συμβάλουν στην εφαρμογή των εγγυήσεων, κυρίως με τη διεκπεραίωση μεμονωμένων καταγγελιών και τη συνδρομή στην επίλυση των σχετικών αντιδικιών. Για τον σκοπό αυτό, δύνανται να ζητήσουν από τους συμμετέχοντες ΕΦΧΠΠ, εάν κρίνεται ενδεδειγμένο, να λάβουν τα αναγκαία μέτρα (41). Επιπλέον, σε περιπτώσεις παραβίασης δεδομένων ή άλλων συμβάντων ασφαλείας, οι ΕΦΧΠΠ ενημερώνουν, κατ’ αρχήν, την ΕΠΠ καθώς και το υποκείμενο των δεδομένων (ή το κοινό) και λαμβάνουν τα αναγκαία μέτρα για ελαχιστοποίηση της ζημίας και αποτροπή της επανάληψης ανάλογων συμβάντων (42). Παρά τον οικειοθελή χαρακτήρα της συμμετοχής, στις 10 Αυγούστου 2017 η ΕΠΠ είχε εγγεγραμμένους 44 φορείς, εκ των οποίων ο μεγαλύτερος, η Japan Information Processing and Development Center (JIPDEC), αριθμεί μόνος του 15 436 συμμετέχοντες επιχειρηματικούς φορείς (43). Στους διαπιστευμένους φορείς περιλαμβάνονται κλαδικές ενώσεις όπως π.χ. η Japan Securities Dealers Association, η Ένωση Σχολών Οδήγησης Ιαπωνίας ή η Ένωση Γραφείων Γνωριμιών Γάμου (44).

(74)

Οι διαπιστευμένοι φορείς προστασίας προσωπικών πληροφοριών υποβάλλουν ετήσιες εκθέσεις των εργασιών τους. Σύμφωνα με την «Επισκόπηση της κατάστασης εφαρμογής του ΝΠΠΠ κατά το ΟΕ 2015» που δημοσιεύθηκε από την ΕΠΠ, οι διαπιστευμένοι φορείς προστασίας προσωπικών πληροφοριών έλαβαν συνολικά 442 καταγγελίες, υπέβαλαν 123 αιτήματα για εξηγήσεις σε επιχειρηματικούς φορείς που υπάγονται στη δικαιοδοσία τους, ζήτησαν έγγραφα από τους εν λόγω φορείς σε 41 περιπτώσεις, απηύθυναν 181 οδηγίες και διατύπωσαν δύο συστάσεις (45).

(75)

Το επίπεδο προστασίας που παρέχεται στα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση σε επιχειρηματικούς φορείς στην Ιαπωνία δεν πρέπει να υποβαθμίζεται από την περαιτέρω διαβίβαση των εν λόγω δεδομένων σε αποδέκτες σε τρίτη χώρα εκτός της Ιαπωνίας. Αυτές οι «περαιτέρω διαβιβάσεις», οι οποίες από τη σκοπιά των επιχειρηματικών φορέων της Ιαπωνίας συνιστούν διεθνείς διαβιβάσεις από την Ιαπωνία, πρέπει να επιτρέπονται μόνον όταν ο επόμενος αποδέκτης εκτός της Ιαπωνίας υπόκειται επίσης σε κανόνες που διασφαλίζουν ανάλογο επίπεδο προστασίας με εκείνο που εγγυάται η ιαπωνική έννομη τάξη.

(76)

Μια πρώτη προστασία κατοχυρώνεται στο άρθρο 24 του ΝΠΠΠ, το οποίο γενικά απαγορεύει τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτους εκτός της επικράτειας της Ιαπωνίας χωρίς προηγούμενη συγκατάθεση του ενδιαφερόμενου ατόμου. Ο Συμπληρωματικός Κανόνας 4 διασφαλίζει ότι στην περίπτωση των διαβιβάσεων δεδομένων από την Ευρωπαϊκή Ένωση η συγκατάθεση αυτή είναι ιδιαιτέρως τεκμηριωμένη, καθώς ορίζεται ότι πρέπει να «παρέχονται [στο ενδιαφερόμενο άτομο] οι αναγκαίες πληροφορίες για τις συνθήκες της διαβίβασης προκειμένου να μπορεί ο/η εντολέας να αποφασίζει όσον αφορά τη συγκατάθεσή του/της». Βάσει αυτής της διάταξης, το υποκείμενο των δεδομένων ενημερώνεται για το γεγονός ότι τα δεδομένα θα διαβιβαστούν στο εξωτερικό (εκτός του πεδίου εφαρμογής του ΝΠΠΠ) και για τη συγκεκριμένη χώρα προορισμού. έτσι ώστε να μπορεί να αξιολογήσει τον κίνδυνο για την προστασία της ιδιωτικής ζωής που συνδέεται με τη διαβίβαση. Επίσης, όπως μπορεί να συναχθεί από το άρθρο 23 του ΝΠΠΠ (βλ. αιτιολογική σκέψη 47), οι πληροφορίες που παρέχονται στον/στην εντολέα θα πρέπει να περιλαμβάνουν τα υποχρεωτικά στοιχεία που ορίζονται στην παράγραφο 2 του εν λόγω άρθρου, δηλαδή τις κατηγορίες δεδομένων προσωπικού χαρακτήρα που παρέχονται σε τρίτους και τον τρόπο κοινοποίησης.

(77)

Το άρθρο 24 του ΝΠΠΠ, εφαρμοζόμενο σε συνδυασμό με το άρθρο 11-2 των Κανόνων της ΕΠΠ, προβλέπει εξαιρέσεις σε αυτόν τον κανόνα της συγκατάθεσης. Επιπροσθέτως, σύμφωνα με το άρθρο 24, οι παρεκκλίσεις που ορίζονται στο άρθρο 23 παράγραφος 1 του ΝΠΠΠ εφαρμόζονται επίσης στις διεθνείς διαβιβάσεις δεδομένων (46).

(78)

Για να διασφαλιστεί η συνέχεια της προστασίας στην περίπτωση των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση στην Ιαπωνία βάσει της παρούσας απόφασης, ο Συμπληρωματικός Κανόνας 4 ενισχύει το επίπεδο προστασίας για τις περαιτέρω διαβιβάσεις δεδομένων αυτού του είδους από ΕΦΧΠΠ σε αποδέκτες σε τρίτες χώρες. Αυτό επιτυγχάνεται με τον περιορισμό και την οριοθέτηση των νομικών βάσεων για διεθνείς διαβιβάσεις τις οποίες μπορεί να χρησιμοποιήσει ο ΕΦΧΠΠ ως εναλλακτική λύση αντί συγκατάθεσης. Ειδικότερα, και με την επιφύλαξη των παρεκκλίσεων που προβλέπονται στο άρθρο 23 παράγραφος 1 του ΝΠΠΠ, τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται βάσει της παρούσας απόφασης μπορούν να αποτελέσουν αντικείμενο (περαιτέρω) διαβιβάσεων χωρίς συγκατάθεση μόνο σε δύο περιπτώσεις: i) όταν τα δεδομένα αποστέλλονται σε τρίτη χώρα η οποία αναγνωρίζεται από την ΕΠΠ βάσει του άρθρου 24 του ΝΠΠΠ ως παρέχουσα ισοδύναμο επίπεδο προστασίας με το επίπεδο που εγγυάται η Ιαπωνία (47)· ή ii) όταν ο ΕΦΧΠΠ και ο αποδέκτης τρίτος έχουν από κοινού θέσει σε εφαρμογή μέτρα τα οποία παρέχουν επίπεδο προστασίας ισοδύναμο του ΝΠΠΠ, σε συνδυασμό με τους Συμπληρωματικούς Κανόνες, μέσω σύμβασης, άλλων μορφών δεσμευτικών συμφωνιών ή δεσμευτικών ρυθμίσεων στο πλαίσιο ομίλου εταιρειών. Η δεύτερη κατηγορία αντιστοιχεί στα μέσα που χρησιμοποιούνται βάσει του κανονισμού (ΕΕ) 2016/679 για τη διασφάλιση των κατάλληλων εγγυήσεων (ιδίως συμβατικές ρήτρες και δεσμευτικοί εταιρικοί κανόνες). Επιπλέον, όπως επιβεβαίωσε η ΕΠΠ, ακόμη και σ’ αυτές τις περιπτώσεις, η διαβίβαση εξακολουθεί να υπόκειται στους γενικούς κανόνες που εφαρμόζονται σε κάθε παροχή δεδομένων προσωπικού χαρακτήρα σε τρίτο βάσει του ΝΠΠΠ (δηλαδή την υποχρέωση εξασφάλισης συγκατάθεσης βάσει του άρθρου 23 παράγραφος 1 ή, εναλλακτικά, την υποχρέωση ενημέρωσης με δυνατότητα άρνησης της συγκατάθεσης βάσει του άρθρου 23 παράγραφος 2 του ΝΠΠΠ). Σε περίπτωση που δεν είναι δυνατή η επικοινωνία με το υποκείμενο των δεδομένων προκειμένου να του υποβληθεί αίτημα συγκατάθεσης ή προκειμένου να παρασχεθεί η απαιτούμενη εκ των προτέρων ενημέρωση σύμφωνα με το άρθρο 23 παράγραφος 2 του ΝΠΠΠ, δεν επιτρέπεται η πραγματοποίηση της διαβίβασης.

(79)

Κατά συνέπεια, με εξαίρεση τις περιπτώσεις στις οποίες η ΕΠΠ έχει διαπιστώσει ότι η τρίτη χώρα εγγυάται επίπεδο προστασίας ισοδύναμο με εκείνο που εγγυάται ο ΝΠΠΠ (48), οι απαιτήσεις που θεσπίζονται στον Συμπληρωματικό Κανόνα 4 απαγορεύουν τη χρήση μέσων διαβίβασης που δεν δημιουργούν δεσμευτική σχέση μεταξύ του εξαγωγέα δεδομένων στην Ιαπωνία και του εισαγωγέα των δεδομένων στην τρίτη χώρα και που δεν εγγυώνται το απαιτούμενο επίπεδο προστασίας. Μια τέτοια περίπτωση είναι, π.χ., το σύστημα διασυνοριακών κανόνων για την ιδιωτικότητα (ΔΚΙ) της ΟΣΑΕ, όπου συμμετέχει η Ιαπωνία (49), καθώς στο σύστημα αυτό οι διατάξεις προστασίας δεν απορρέουν από δεσμευτική ρύθμιση μεταξύ του εξαγωγέα και του εισαγωγέα στο πλαίσιο της διμερούς σχέσης τους και είναι σαφώς χαμηλότερου επιπέδου από την προστασία που εγγυάται ο συνδυασμός του ΝΠΠΠ και των Συμπληρωματικών Κανόνων (50).

(80)

Τέλος, μια περαιτέρω εγγύηση για τις (περαιτέρω) διαβιβάσεις απορρέει από τα άρθρα 20 και 22 του ΝΠΠΠ. Σύμφωνα με τις εν λόγω διατάξεις, όταν ένας φορέας τρίτης χώρας (εισαγωγέας δεδομένων) ενεργεί εξ ονόματος του ΕΦΧΠΠ (εξαγωγέας δεδομένων), δηλαδή ως εκτελών την επεξεργασία ή υπεργολάβος επεξεργασίας, ο ΕΦΧΠΠ πρέπει να διασφαλίζει την εποπτεία του εν λόγω φορέα όσον αφορά την ασφάλεια της επεξεργασίας δεδομένων.

(81)

Όπως και η νομοθεσία της ΕΕ περί προστασίας των δεδομένων, ο ΝΠΠΠ παρέχει στα άτομα μια σειρά εκτελεστών δικαιωμάτων. Σ’ αυτά περιλαμβάνονται το δικαίωμα πρόσβασης («κοινοποίηση»), διόρθωσης και διαγραφής καθώς και το δικαίωμα εναντίωσης («παύση χρήσης»).

(82)

Πρώτον, σύμφωνα με το άρθρο 28 παράγραφοι 1 και 2 του ΝΠΠΠ, ένα υποκείμενο δεδομένων έχει δικαίωμα να ζητήσει από ΕΦΧΠΠ τη «κοινοποίηση διατηρούμενων δεδομένων προσωπικού χαρακτήρα που μπορούν να τον ή την ταυτοποιήσουν» και, όταν λαμβάνει ένα τέτοιο αίτημα, ο ΕΦΧΠΠ «[…] κοινοποιεί τα διατηρούμενα δεδομένα προσωπικού χαρακτήρα» στο υποκείμενο των δεδομένων. Τα άρθρα 29 (δικαίωμα διόρθωσης) και 30 (δικαίωμα παύσης χρήσης) έχουν την ίδια δομή με το άρθρο 28.

(83)

Το άρθρο 9 του Διατάγματος του Υπουργικού Συμβουλίου ορίζει ότι η κοινοποίηση προσωπικών πληροφοριών, όπως αναφέρεται στο άρθρο 28 παράγραφος 2 του ΝΠΠΠ, πραγματοποιείται εγγράφως, εκτός εάν ο ΕΦΧΠΠ και το υποκείμενο των δεδομένων έχουν συμφωνήσει αλλιώς.

(84)

Τα δικαιώματα αυτά υπόκεινται σε τρία είδη περιορισμών, που σχετίζονται με τα δικαιώματα και τα συμφέροντα του ίδιου του ατόμου ή τρίτων (51), την πρόκληση σοβαρών εμποδίων στις δραστηριότητες του ΕΦΧΠΠ (52) καθώς και με περιπτώσεις στις οποίες η κοινοποίηση θα συνιστούσε παράβαση άλλων νόμων ή κανονισμών (53). Οι καταστάσεις στις οποίες εφαρμόζονται οι περιορισμοί αυτοί είναι παρεμφερείς με κάποιες από τις εξαιρέσεις που ισχύουν βάσει του άρθρου 23 παράγραφος 1 του κανονισμού (ΕΕ) 2016/679, το οποίο προβλέπει περιορισμούς των δικαιωμάτων των ατόμων για λόγους που σχετίζονται με την προστασία «του υποκειμένου των δεδομένων ή των δικαιωμάτων και των ελευθεριών τρίτων» ή άλλους σημαντικούς στόχους «γενικού δημόσιου συμφέροντος». Παρόλο που η κατηγορία των περιπτώσεων στις οποίες η κοινοποίηση θα συνιστούσε παράβαση «άλλων νόμων ή κανονισμών» μπορεί να δείχνει ευρεία, οι νόμοι και οι κανονισμοί που προβλέπουν σχετικούς περιορισμούς πρέπει να σέβονται το συνταγματικό δικαίωμα στην ιδιωτικότητα και μπορούν να επιβάλλουν περιορισμούς μόνο στο μέτρο που η άσκηση αυτού του δικαιώματος «θίγει το δημόσιο συμφέρον» (54). Αυτό προϋποθέτει στάθμιση των συμφερόντων που διακυβεύονται.

(85)

Σύμφωνα με το άρθρο 28 παράγραφος 3 του ΝΠΠΠ, αν τα αιτούμενα δεδομένα δεν υφίστανται, ή όταν ο εμπλεκόμενος ΕΦΧΠΠ αποφασίζει να μη χορηγήσει πρόσβαση στα διατηρούμενα δεδομένα, το άτομο πρέπει να ενημερώνεται χωρίς καθυστέρηση.

(86)

Δεύτερον, σύμφωνα με το άρθρο 29 παράγραφοι 1 και 2 του ΝΠΠΠ, ένα υποκείμενο δεδομένων έχει δικαίωμα να ζητήσει τη διόρθωση, την προσθήκη ή τη διαγραφή των διατηρούμενων δεδομένων προσωπικού χαρακτήρα που το αφορούν εάν τα δεδομένα δεν είναι ακριβή. Όταν παραλαμβάνει ένα τέτοιο αίτημα, ο ΕΦΧΠΠ «[…] διενεργεί την αναγκαία έρευνα» και με βάση τα αποτελέσματα αυτής της έρευνας «προβαίνει σε διόρθωση κ.λπ. του περιεχομένου των διατηρούμενων δεδομένων».

(87)

Τρίτον, σύμφωνα με το άρθρο 30 παράγραφοι 1 και 2 του ΝΠΠΠ, ένα υποκείμενο δεδομένων έχει δικαίωμα να ζητήσει από ΕΦΧΠΠ τη διακοπή χρήσης προσωπικών πληροφοριών, ή τη διαγραφή αυτών των πληροφοριών, όταν ο χειρισμός τους συνιστά παράβαση του άρθρου 16 (περιορισμός του σκοπού) ή όταν αποκτήθηκαν κατά παράβαση του άρθρου 17 του ΝΠΠΠ (απόκτηση με δόλο, άλλο καταχρηστικό μέσο ή, στην περίπτωση των ευαίσθητων δεδομένων, χωρίς συγκατάθεση). Ομοίως, βάσει του άρθρου 30 παράγραφοι 3 και 4 του ΝΠΠΠ, το άτομο έχει δικαίωμα να ζητήσει από τον ΕΦΧΠΠ να σταματήσει την παροχή των πληροφοριών σε τρίτο σε περίπτωση παράβασης των διατάξεων του άρθρου 23 παράγραφος 1 ή του άρθρου 24 του ΝΠΠΠ (παροχή σε τρίτο, συμπεριλαμβανομένων των διεθνών διαβιβάσεων).

(88)

Όταν το αίτημα είναι βάσιμο, ο ΕΦΧΠΠ διακόπτει αμέσως τη χρήση των δεδομένων ή την παροχή σε τρίτο, στο μέτρο που είναι αναγκαίο για την επανόρθωση της παράβασης ή, αν η περίπτωση καλύπτεται από εξαίρεση (κυρίως αν η παύση χρήσης θα προκαλούσε ιδιαίτερα υψηλό κόστος) (55), εφαρμόζει τα αναγκαία εναλλακτικά μέτρα για την προστασία των δικαιωμάτων και των συμφερόντων του ενδιαφερόμενου ατόμου.

(89)

Σε αντίθεση με την ενωσιακή νομοθεσία, ο ΝΠΠΠ και οι σχετικοί δευτερεύοντες κανόνες δεν περιέχουν νομικές διατάξεις οι οποίες αντιμετωπίζουν συγκεκριμένα τη δυνατότητα εναντίωσης στην επεξεργασία για σκοπούς απευθείας εμπορικής προώθησης. Ωστόσο, βάσει της παρούσας απόφασης, η επεξεργασία αυτή πραγματοποιείται στο πλαίσιο διαβίβασης δεδομένων προσωπικού χαρακτήρα που είχαν προηγουμένως συλλεχθεί στην Ευρωπαϊκή Ένωση. Δυνάμει του άρθρου 21 παράγραφος 2 του κανονισμού (ΕΕ) 2016/679, το υποκείμενο των δεδομένων έχει πάντοτε τη δυνατότητα να εναντιωθεί σε διαβίβαση δεδομένων προς επεξεργασία για σκοπούς απευθείας εμπορικής προώθησης. Επιπλέον, όπως εξηγήθηκε στην αιτιολογική σκέψη 43, βάσει του Συμπληρωματικού Κανόνα 3, ο ΕΦΧΠΠ οφείλει να επεξεργάζεται τα δεδομένα που λαμβάνει βάσει της απόφασης στο πλαίσιο του ίδιου σκοπού για τον οποίο διαβιβάστηκαν τα δεδομένα από την Ευρωπαϊκή Ένωση, εκτός εάν το υποκείμενο των δεδομένων συγκατατίθεται σε μεταβολή του σκοπού χρήσης.Ως εκ τούτου, αν η διαβίβαση πραγματοποιήθηκε για σκοπό άλλο από την απευθείας εμπορική προώθηση, απαγορεύεται στους ΕΦΧΠΠ στην Ιαπωνία να επεξεργάζονται τα δεδομένα για σκοπούς απευθείας εμπορικής προώθησης χωρίς τη συγκατάθεση του υποκειμένου δεδομένων από την ΕΕ.

(90)

Σε όλες τις περιπτώσεις που αναφέρονται στα άρθρα 28 και 29 του ΝΠΠΠ, ο ΕΦΧΠΠ υποχρεούται να ενημερώνει χωρίς καθυστέρηση το άτομο σχετικά με την έκβαση του αιτήματός του και πρέπει, επιπλέον, να εξηγήσει τυχόν (μερική) άρνηση με βάση τις νομικές εξαιρέσεις που προβλέπονται στα άρθρα 27 έως 30 (άρθρο 31 του ΝΠΠΠ).

(91)

Όσον αφορά τις προϋποθέσεις για την υποβολή αιτήματος, το άρθρο 32 του ΝΠΠΠ (σε συνδυασμό με το Διάταγμα του Υπουργικού Συμβουλίου) επιτρέπει στον ΕΦΧΠΠ να θεσπίσει εύλογες διαδικασίες, μεταξύ άλλων όσον αφορά τις πληροφορίες που απαιτούνται για την ταυτοποίηση των διατηρούμενων δεδομένων προσωπικού χαρακτήρα. Ωστόσο, σύμφωνα με την παράγραφο 4 του εν λόγω άρθρου, οι ΕΦΧΠΠ δεν πρέπει να επιβάλλουν «υπερβολική επιβάρυνση σ’ έναν εντολέα». Σε ορισμένες περιπτώσεις, οι ΕΦΧΠΠ μπορούν επίσης να επιβάλλουν τέλη, εφόσον το ύψος τους παραμένει «εντός του πεδίου εφαρμογής που θεωρείται εύλογο λαμβανομένου υπόψη του πραγματικού κόστους» (άρθρο 33 του ΝΠΠΠ).

(92)

Τέλος, το άτομο δύναται να εναντιωθεί στην παροχή των προσωπικών πληροφοριών του σε τρίτο βάσει του άρθρου 23 παράγραφος 2 του ΝΠΠΠ, ή να αρνηθεί να συγκατατεθεί βάσει του άρθρου 23 παράγραφος 1 (εμποδίζοντας έτσι την κοινοποίησή τους εάν δεν υφίσταται άλλη νομική βάση). Ομοίως, το άτομο μπορεί να σταματήσει την επεξεργασία των δεδομένων για άλλο σκοπό αρνούμενο να παράσχει συγκατάθεση δυνάμει του άρθρου 16 παράγραφος 1 του ΝΠΠΠ.

(93)

Σε αντίθεση με την ενωσιακή νομοθεσία, ο ΝΠΠΠ και οι σχετικοί δευτερεύοντες κανόνες δεν περιέχουν γενικές διατάξεις οι οποίες αντιμετωπίζουν το ζήτημα των αποφάσεων που έχουν αντίκτυπο στο υποκείμενο των δεδομένων και βασίζονται αποκλειστικά στην αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα. Ωστόσο, το ζήτημα αυτό αντιμετωπίζεται σε ορισμένους τομεακούς κανόνες που εφαρμόζονται στην Ιαπωνία και είναι ιδιαίτερα συναφείς για το συγκεκριμένο είδος επεξεργασίας. Στους εν λόγω τομείς οι εταιρείες έχουν περισσότερες πιθανότητες να καταφύγουν στην αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα για λήψη αποφάσεων που έχουν αντίκτυπο σε άτομα (π.χ. στον χρηματοοικονομικό τομέα). Εν είδει παραδείγματος, οι «Ολοκληρωμένες Κατευθυντήριες Γραμμές για την εποπτεία των μεγάλων τραπεζών», μετά την αναθεώρηση τους τον Ιούνιο του 2017, ορίζουν ότι πρέπει να δίδονται συγκεκριμένες εξηγήσεις σ’ έναν αιτούντα για τους λόγους απόρριψης του αιτήματός του για σύναψη σύμβασης δανείου. Οι κανόνες αυτοί παρέχουν, συνεπώς, προστασία στον πιθανότατα μάλλον περιορισμένο αριθμό περιπτώσεων στις οποίες οι αυτοματοποιημένες αποφάσεις λαμβάνονται από τον ίδιο τον «εισάγοντα» επιχειρηματικό φορέα στην Ιαπωνία (και όχι από τον «εξάγοντα» υπεύθυνο επεξεργασίας των δεδομένων στην ΕΕ).

(94)

Σε κάθε περίπτωση, όσον αφορά τα δεδομένα προσωπικού χαρακτήρα που έχουν συλλεχθεί στην Ευρωπαϊκή Ένωση, οι αποφάσεις που βασίζονται σε αυτοματοποιημένη επεξεργασία λαμβάνονται συνήθως από τον υπεύθυνο επεξεργασίας των δεδομένων στην Ένωση (ο οποίος έχει άμεση σχέση με το ενδιαφερόμενο υποκείμενο των δεδομένων) και, συνεπώς, εμπίπτουν στις διατάξεις του κανονισμού (ΕΕ) 2016/679 (56). Εδώ περιλαμβάνονται σενάρια διαβίβασης στα οποία η επεξεργασία πραγματοποιείται από επιχειρηματικό φορέα της αλλοδαπής (π.χ. της Ιαπωνίας) ο οποίος ενεργεί ως αντιπρόσωπος (εκτελών την επεξεργασία) για λογαριασμό του υπευθύνου επεξεργασίας στην ΕΕ (ή ως υπεργολάβος για λογαριασμό του εκτελούντα την επεξεργασία στην ΕΕ ο οποίος έλαβε τα δεδομένα από υπεύθυνο επεξεργασίας στην ΕΕ ο οποίος τα συνέλεξε), ο οποίος βάσει των ανωτέρω λαμβάνει στη συνέχεια την απόφαση. Συνεπώς, η απουσία συγκεκριμένων κανόνων σχετικά με την αυτοματοποιημένη λήψη αποφάσεων στον ΝΠΠΠ δύσκολα μπορεί να επηρεάσει το επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται βάσει της παρούσας απόφασης.

(95)

Για να είναι εγγυημένη η διασφάλιση επαρκούς επιπέδου προστασίας των δεδομένων και στην πράξη, είναι αναγκαία η ίδρυση ανεξάρτητης εποπτικής αρχής στην οποία ανατίθενται εξουσίες παρακολούθησης και επιβολής της συμμόρφωσης με τους κανόνες προστασίας των δεδομένων. Η αρχή αυτή πρέπει να λειτουργεί με πλήρη ανεξαρτησία και αμεροληψία κατά την εκτέλεση των καθηκόντων και την άσκηση των εξουσιών της.

(96)

Στην Ιαπωνία, η αρμόδια αρχή για την παρακολούθηση και εφαρμογή του ΝΠΠΠ είναι η ΕΠΠ. Αποτελείται από Πρόεδρο και οκτώ Επιτρόπους που διορίζονται από τον Πρωθυπουργό με τη συγκατάθεση αμφότερων των Σωμάτων του Κοινοβουλίου (Δίαιτας). Η διάρκεια της θητείας του Προέδρου και του κάθε Επιτρόπου είναι πέντε έτη, με δυνατότητα ανανέωσης (άρθρο 64 του ΝΠΠΠ). Οι Επίτροποι μπορούν να αποπέμπονται μόνον εάν συντρέχουν σοβαροί λόγοι στο πλαίσιο ενός περιορισμένου αριθμού εξαιρετικών περιστάσεων (57) και δεν πρέπει να συμμετέχουν ενεργά σε πολιτικές δραστηριότητες. Επιπλέον, βάσει του ΝΠΠΠ, οι Επίτροποι που απασχολούνται αποκλειστικά σ’ αυτή τη θέση πρέπει να απέχουν από άλλες αμειβόμενες δραστηριότητες, ή από επιχειρηματική δραστηριότητα. Όλοι οι Επίτροποι υπόκεινται επίσης σε εσωτερικούς κανόνες οι οποίοι απαγορεύουν τη συμμετοχή τους σε διαβουλεύσεις σε περίπτωση πιθανής σύγκρουσης συμφερόντων. Την ΕΠΠ υποστηρίζει Γραμματεία, με προϊστάμενο Γενικό Γραμματέα, η οποία έχει συσταθεί με αποστολή την εκτέλεση των καθηκόντων που έχουν ανατεθεί στην ΕΠΠ (άρθρο 70 του ΝΠΠΠ). Τόσο οι Επίτροποι όσο και όλοι οι αξιωματούχοι της Γραμματείας δεσμεύονται από αυστηρούς κανόνες εμπιστευτικότητας (άρθρα 72, 82 του ΝΠΠΠ).

(97)

Οι εξουσίες της ΕΠΠ, τις οποίες ασκεί με πλήρη ανεξαρτησία (58), ορίζονται κατά κύριο λόγο στα άρθρα 40, 41 και 42 του ΝΠΠΠ. Βάσει του άρθρου 40, η ΕΠΠ δύναται να ζητεί από τους ΕΦΧΠΠ να υποβάλλουν εκθέσεις ή έγγραφα σχετικά με τις εργασίες επεξεργασίας, καθώς επίσης να διενεργεί ελέγχους, τόσο επιτόπου όσο και σε βιβλία και άλλα έγγραφα. Στο μέτρο που είναι αναγκαίο για την εφαρμογή του ΝΠΠΠ, η ΕΠΠ μπορεί επίσης να παρέχει στους ΕΦΧΠΠ κατευθύνσεις ή συμβουλές σχετικά με τον χειρισμό των προσωπικών πληροφοριών. Η ΕΠΠ έχει ήδη κάνει χρήση αυτής της εξουσίας βάσει του άρθρου 41 του ΝΠΠΠ μέσα από την παροχή κατευθύνσεων στο Facebook, μετά τις αποκαλύψεις για το Facebook και την Cambridge Analytica.

(98)

Πρωτίστως όμως, η ΕΠΠ έχει την εξουσία —μετά από καταγγελία ή με δική της πρωτοβουλία— να εκδίδει συστάσεις και διαταγές με σκοπό την επιβολή του ΝΠΠΠ και των άλλων δεσμευτικών κανόνων (συμπεριλαμβανομένων των Συμπληρωματικών Κανόνων) σε μεμονωμένες περιπτώσεις. Οι εξουσίες αυτές περιγράφονται στο άρθρο 42 του ΝΠΠΠ. Ενώ οι παράγραφοι 1 και 2 του άρθρου θεσπίζουν έναν μηχανισμό σε δύο φάσεις βάσει του οποίου η ΕΠΠ μπορεί να εκδίδει διαταγή (μόνο) αφού έχει προηγηθεί σύσταση, η παράγραφος 3 αφήνει περιθώριο για απευθείας έκδοση διαταγής σε επείγουσες περιπτώσεις.

(99)

Αν και δεν απαριθμούνται όλες οι διατάξεις του κεφαλαίου IV τμήμα 1 του ΝΠΠΠ στο άρθρο 42 παράγραφος 1 —το οποίο καθορίζει επίσης το πεδίο εφαρμογής του άρθρου 42 παράγραφος 2— αυτό εξηγείται από το γεγονός ότι ορισμένες από τις εν λόγω διατάξεις δεν αφορούν υποχρεώσεις του ΕΦΧΠΠ (59) και ότι όλες οι βασικές προστασίες παρέχονται ήδη από άλλες διατάξεις οι οποίες απαριθμούνται στην εν λόγω παράγραφο. Για παράδειγμα, παρόλο που το άρθρο 15 (που ορίζει ότι ο ΕΦΧΠΠ πρέπει να προσδιορίζει τον σκοπό χρήσης και να υποβάλλει τις προσωπικές πληροφορίες σε επεξεργασία αποκλειστικά στο πλαίσιο αυτού του σκοπού) δεν αναφέρεται, η μη συμμόρφωση με τη συγκεκριμένη απαίτηση μπορεί να έχει ως αποτέλεσμα την έκδοση σύστασης για παράβαση του άρθρου 16 παράγραφος 1 (που απαγορεύει στους ΕΦΧΠΠ να επεξεργάζονται προσωπικές πληροφορίες πέραν του αναγκαίου για την επίτευξη του σκοπού χρήσης, εκτός εάν έχουν τη συγκατάθεση του υποκειμένου των δεδομένων) (60). Άλλη διάταξη που δεν αναφέρεται στο άρθρο 42 παράγραφος 1 είναι το άρθρο 19 του ΝΠΠΠ σχετικά με την ακρίβεια και τη διατήρηση των δεδομένων. Η μη συμμόρφωση με την εν λόγω διάταξη μπορεί να στοιχειοθετηθεί είτε ως παράβαση του άρθρου 16 παράγραφος 1 ή να βασιστεί σε παράβαση του άρθρου 29 παράγραφος 2, εάν το ενδιαφερόμενο άτομο ζητήσει διόρθωση ή διαγραφή εσφαλμένων ή υπερβολικών δεδομένων και ο ΕΦΧΠΠ αρνηθεί να ικανοποιήσει το αίτημά του. Όσον αφορά τα δικαιώματα του υποκειμένου των δεδομένων σύμφωνα με το άρθρο 28 παράγραφος 1, το άρθρο 29 παράγραφος 1 και το άρθρο 30 παράγραφος 1, η εποπτεία από την ΕΠΠ διασφαλίζεται με τη εκχώρηση εξουσιών επιβολής στην ΕΠΠ σε σχέση με τις αντίστοιχες υποχρεώσεις του ΕΦΧΠΠ όπως ορίζονται στα συγκεκριμένα άρθρα.

(100)

Σύμφωνα με το άρθρο 42 παράγραφος 1 του ΝΠΠΠ, η ΕΠΠ μπορεί, εάν αναγνωρίζει ότι υφίσταται «ανάγκη προστασίας των δικαιωμάτων και των συμφερόντων ενός ατόμου σε περιπτώσεις στις οποίες ο [ΕΦΧΠΠ] έχει παραβιάσει» συγκεκριμένες διατάξεις του ΝΠΠΠ, να εκδώσει σύσταση με στόχο την «αναστολή της παράβασης ή τη λήψη άλλων αναγκαίων μέτρων για την επανόρθωση της παράβασης». Η σύσταση αυτή δεν έχει δεσμευτικό χαρακτήρα, αλλά ανοίγει τον δρόμο για την έκδοση δεσμευτικής διαταγής σύμφωνα με το άρθρο 42 παράγραφος 2 του ΝΠΠΠ. Σύμφωνα με τη συγκεκριμένη διάταξη, αν δεν υπάρξει συμμόρφωση με τη σύσταση «χωρίς να συντρέχουν νόμιμοι λόγοι» και αν η ΕΠΠ «διαπιστώσει ότι επίκειται σοβαρή παραβίαση των δικαιωμάτων και συμφερόντων ενός ατόμου», μπορεί να διατάξει τον ΕΦΧΠΠ να λάβει τα αναγκαία μέτρα σύμφωνα με τη σύσταση.

(101)

Οι Συμπληρωματικοί Κανόνες διευκρινίζουν και ενισχύουν περαιτέρω τις εξουσίες επιβολής της ΕΠΠ. Ειδικότερα, όσον αφορά τα δεδομένα που εισάγονται από την Ευρωπαϊκή Ένωση, η ΕΠΠ θεωρεί σε όλες τις περιπτώσεις ότι η μη συμμόρφωση ενός ΕΦΧΠΠ με σύσταση που έχει εκδοθεί βάσει του άρθρου 42 παράγραφος 1 του ΝΠΠΠ, χωρίς να συντρέχει νόμιμος λόγος, συνιστά σοβαρή επικείμενη παραβίαση των δικαιωμάτων και συμφερόντων ενός ατόμου κατά την έννοια του άρθρου 42 παράγραφος 2, και, ως εκ τούτου, παράβαση που δικαιολογεί την έκδοση δεσμευτικής διαταγής. Επιπλέον, η ΕΠΠ δέχεται ως μοναδικό «νόμιμο λόγο» για τη μη συμμόρφωση με μια σύσταση «συμβάν εξαιρετικού χαρακτήρα [που εμποδίζει τη συμμόρφωση] πέραν του ελέγχου του [ΕΦΧΠΠ] το οποίο δεν μπορεί εύλογα να προβλεφθεί (όπως π.χ. οι φυσικές καταστροφές)» ή περιπτώσεις στις οποίες η ανάγκη για λήψη μέτρων μετά από σύσταση «δεν υφίσταται πλέον επειδή ο [ΕΦΧΠΠ] έχει λάβει εναλλακτικά μέτρα που επανορθώνουν πλήρως την παράβαση».

(102)

Η μη συμμόρφωση με διαταγή της ΕΠΠ θεωρείται ποινικό αδίκημα βάσει του άρθρου 84 του ΝΠΠΠ και ο ΕΦΧΠΠ που κρίνεται ένοχος μπορεί να τιμωρηθεί με ποινή φυλάκισης με εργασία για διάστημα έως και έξι μηνών ή με χρηματική ποινή έως και 300 000 γιεν. Επιπροσθέτως, σύμφωνα με το άρθρο 85 σημείο i) του ΝΠΠΠ, η απροθυμία συνεργασίας με την ΕΠΠ ή η παρεμπόδιση των ερευνών της τιμωρείται με χρηματική ποινή έως και 300 000 γιεν. Οι εν λόγω ποινικές κυρώσεις εφαρμόζονται επιπλέον εκείνων που ενδέχεται να επιβληθούν για ουσιαστικές παραβιάσεις του ΝΠΠΠ (βλ. αιτιολογική σκέψη 108).

(103)

Για να διασφαλίζεται επαρκής προστασία και ειδικότερα η επιβολή των ατομικών δικαιωμάτων, το υποκείμενο των δεδομένων πρέπει να έχει στη διάθεση του αποτελεσματικά μέσα διοικητικής και δικαστικής προσφυγής, συμπεριλαμβανομένης της αποζημίωσης.

(104)

Πριν ή αντί να ασκήσει διοικητική ή δικαστική προσφυγή, το ενδιαφερόμενο άτομο μπορεί να αποφασίσει να υποβάλει καταγγελία σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του στον ίδιο τον υπεύθυνο επεξεργασίας. Με βάση το άρθρο 35 του ΝΠΠΠ, οι ΕΦΧΠΠ πρέπει να επιδιώκουν να αντιμετωπίζουν «αμέσως και με τον κατάλληλο τρόπο» τις καταγγελίες και να θεσπίσουν εσωτερικά συστήματα διεκπεραίωσης των καταγγελιών προκειμένου να επιτύχουν αυτόν τον στόχο. Επιπλέον, σύμφωνα με το άρθρο 61 σημείο ii) του ΝΠΠΠ, η ΕΠΠ είναι υπεύθυνη για την «αναγκαία διαμεσολάβηση σε σχέση με υποβληθείσα καταγγελία και την προσφορά συνεργασίας σε επιχειρηματικό φορέα που ασχολείται με την καταγγελία», το οποίο περιλαμβάνει και στις δύο περιπτώσεις τις καταγγελίες που υποβάλλονται από αλλοδαπούς. Επ’ αυτού, ο Ιάπωνας νομοθέτης έχει επίσης αναθέσει στην κεντρική κυβέρνηση το καθήκον να λαμβάνει τα «αναγκαία μέτρα» προκειμένου να καθιστά δυνατή και να διευκολύνει την επίλυση των καταγγελιών από τους ΕΦΧΠΠ (άρθρο 9), ενώ η τοπική αυτοδιοίκηση πρέπει σε ανάλογες περιπτώσεις να επιδιώκει τη διασφάλιση διαμεσολάβησης (άρθρο 13). Σχετικά, τα άτομα μπορούν να υποβάλλουν καταγγελία σε ένα ή περισσότερα από το 1 700 κέντρα καταναλωτών που έχουν συστήσει οι φορείς τοπικής αυτοδιοίκησης με βάση τον Νόμο για την Ασφάλεια των Καταναλωτών (61), επιπροσθέτως της δυνατότητας υποβολής καταγγελίας στο Εθνικό Κέντρο Καταναλωτικών Υποθέσεων της Ιαπωνίας. Καταγγελίες μπορούν επίσης να υποβάλλονται για παραβάσεις του ΝΠΠΠ. Σύμφωνα με το άρθρο 19 του Βασικού Νόμου για τους Καταναλωτές (62), οι φορείς τοπικής αυτοδιοίκησης πρέπει να ασκούν διαμεσολάβηση στις καταγγελίες και να προσφέρουν εμπειρογνωμοσύνη στους αντιδίκους. Οι εν λόγω μηχανισμοί επίλυσης διαφορών αποδεικνύονται αρκετά αποτελεσματικοί, με ποσοστό επίλυσης που ανήλθε στο 91,2 % για περισσότερες από 75 000 υποθέσεις καταγγελιών το έτος 2015.

(105)

Οι παραβιάσεις των διατάξεων του ΝΠΠΠ από ΕΦΧΠΠ μπορούν να εγείρουν αγωγές καθώς και ποινικές διώξεις και κυρώσεις. Κατά πρώτον, αν ένα άτομο θεωρεί ότι έχουν παραβιαστεί τα δικαιώματά του βάσει των άρθρων 28, 29 και 30 του ΝΠΠΠ, μπορεί να επιδιώξει δικαστική προστασία ζητώντας από το δικαστήριο να διατάξει τον ΕΦΧΠΠ να ικανοποιήσει το αίτημά του βάσει μίας από τις ανωτέρω διατάξεις, δηλαδή να κοινοποιήσει διατηρούμενα δεδομένα προσωπικού χαρακτήρα (άρθρο 28), να διορθώσει διατηρούμενα δεδομένα προσωπικού χαρακτήρα που είναι εσφαλμένα (άρθρο 29) ή να σταματήσει την παράνομη επεξεργασία ή παροχή σε τρίτο (άρθρο 30). Μια τέτοια αγωγή μπορεί να ασκηθεί χωρίς να βασίζεται στο άρθρο 709 του Αστικού Κώδικα (63) ή, σε άλλη περίπτωση, στο δίκαιο των αδικοπραξιών (64). Αυτό σημαίνει, συγκεκριμένα, ότι το άτομο δεν είναι υποχρεωμένο να αποδείξει την ύπαρξη βλάβης.

(106)

Δεύτερον, στην περίπτωση όπου η υποτιθέμενη παραβίαση δεν αφορά ατομικά δικαιώματα βάσει των άρθρων 28, 29 και 30, αλλά γενικές αρχές προστασίας των δεδομένων ή υποχρεώσεις του ΕΦΧΠΠ, το ενδιαφερόμενο άτομο μπορεί να ασκήσει αγωγή κατά του επιχειρηματικού φορέα με βάση τις διατάξεις περί αδικοπραξιών του ιαπωνικού Αστικού Κώδικα, και ειδικά το άρθρο 709. Αν και μια αγωγή βάσει του άρθρου 709 απαιτεί, εκτός από την υπαιτιότητα (εκ προθέσεως ή εξ αμελείας), απόδειξη της βλάβης, σύμφωνα με το άρθρο 710 του Αστικού Κώδικα η βλάβη αυτή μπορεί να είναι τόσο υλική όσο και ηθική. Δεν επιβάλλεται κανένας περιορισμός ως προς το ποσό της αποζημίωσης.

(107)

Όσον αφορά τις διαθέσιμες επανορθώσεις, το άρθρο 709 του ιαπωνικού Αστικού Κώδικα αναφέρεται σε χρηματική αποζημίωση. Ωστόσο, σύμφωνα με την ιαπωνική νομολογία, το εν λόγω άρθρο παρέχει επίσης το δικαίωμα εξασφάλισης δικαστικής προστασίας (65). Κατά συνέπεια, αν ένα υποκείμενο δεδομένων ασκήσει αγωγή βάσει του άρθρου 709 του Αστικού Κώδικα υποστηρίζοντας ότι τα δικαιώματα ή τα συμφέροντά του έχουν υποστεί βλάβη λόγω παραβίασης διάταξης του ΝΠΠΠ από τον εναγόμενο, η αξίωση αυτή μπορεί να περιλαμβάνει, εκτός της αποζημίωσης, αίτημα για δικαστική προστασία, κυρίως με στόχο την παύση κάθε παράνομης επεξεργασίας.

(108)

Τρίτον, εκτός από τα μέσα προσφυγής αστικής ευθύνης (δίκαιο των αδικοπραξιών), ένα υποκείμενο δεδομένων μπορεί να υποβάλει καταγγελία σε εισαγγελέα ή αξιωματικό της δικαστικής αστυνομίας για παραβάσεις του ΝΠΠΠ που μπορεί να οδηγήσουν σε ποινικές κυρώσεις. Το κεφάλαιο VII του ΝΠΠΠ περιέχει σειρά διατάξεων ποινικού χαρακτήρα. Η σημαντικότερη από αυτές (άρθρο 84) σχετίζεται με τη μη συμμόρφωση του ΕΦΧΠΠ με διαταγές της ΕΠΠ σύμφωνα με το άρθρο 42 παράγραφοι 2 και 3. Αν ένας επιχειρηματικός φορέας δεν συμμορφωθεί με διαταγή της ΕΠΠ, ο πρόεδρος της ΕΠΠ (καθώς και οποιοσδήποτε άλλος κρατικός αξιωματούχος) (66) μπορεί να προωθήσει την υπόθεση στον εισαγγελέα ή στον αξιωματικό της δικαστικής αστυνομίας κινώντας έτσι διαδικασίες ποινικής δίωξης. Η ποινή για την παράβαση διαταγής της ΕΠΠ συνίσταται σε φυλάκιση με εργασία για διάστημα έως και έξι μηνών ή πρόστιμο έως 300 000 γιεν. Στις διατάξεις του ΝΠΠΠ οι οποίες προβλέπουν κυρώσεις σε περίπτωση παραβάσεων του ΝΠΠΠ που επηρεάζουν τα δικαιώματα και συμφέροντα των υποκειμένων των δεδομένων συγκαταλέγονται επίσης το άρθρο 83 του ΝΠΠΠ (σχετικά με την «λαθραία παροχή ή χρήση» βάσης προσωπικών πληροφοριών «με σκοπό την απόκτηση […] παράνομων κερδών») και το άρθρο 88 σημείο i) του ΝΠΠΠ (σχετικά με την παράλειψη τρίτου να ενημερώσει σωστά τον ΕΦΧΠΠ όταν ο τελευταίος λαμβάνει δεδομένα προσωπικού χαρακτήρα σύμφωνα με το άρθρο 26 παράγραφος 1 του ΝΠΠΠ, ιδίως σχετικά με τις λεπτομέρειες της προγενέστερης απόκτησης των εν λόγω δεδομένων από τον ίδιο τον τρίτο). Οι ισχύουσες ποινές για τις ανωτέρω παραβάσεις του ΝΠΠΠ είναι, αντίστοιχα, φυλάκιση με εργασία έως ένα έτος ή πρόστιμο έως 500 000 γιεν (στην περίπτωση του άρθρου 83), ή διοικητικό πρόστιμο έως 100 000 γιεν [στην περίπτωση του άρθρου 88 σημείο i)]. Αν και ήδη η απειλή ποινικής κύρωσης έχει πιθανότατα ισχυρό αποτρεπτικό αποτέλεσμα για τα διοικητικά στελέχη επιχειρήσεων που διευθύνουν τις εργασίες επεξεργασίας του ΕΦΧΠΠ καθώς και για τα άτομα που χειρίζονται τα δεδομένα, το άρθρο 87 του ΝΠΠΠ διευκρινίζει ότι όταν ένας εκπρόσωπος, υπάλληλος ή άλλος εργαζόμενος νομικού προσώπου έχει διαπράξει παράβαση σύμφωνα με τα άρθρα 83 έως 85 του ΝΠΠΠ, «ο παραβάτης τιμωρείται και στο εν λόγω νομικό πρόσωπο επιβάλλεται το πρόστιμο που ορίζεται στα αντίστοιχα άρθρα». Σ’ αυτή την περίπτωση, τόσο στον υπάλληλο όσο και στην εταιρεία μπορούν να επιβληθούν κυρώσεις μέχρι το πλήρες ανώτατο ποσό.

(109)

Τέλος, ένα άτομο μπορεί να ασκήσει προσφυγή για πράξεις ή παραλείψεις της ΕΠΠ. Η ιαπωνική νομοθεσία παρέχει σχετικά διάφορες οδούς διοικητικής και δικαστικής προσφυγής.

(110)

Όταν ένα άτομο δεν είναι ικανοποιημένο με τους χειρισμούς της ΕΠΠ, μπορεί να καταθέσει διοικητική προσφυγή βάσει του Νόμου περί Εξέτασης των Διοικητικών Καταγγελιών (67). Αντιστρόφως, αν ένα άτομο θεωρεί ότι η ΕΠΠ έπρεπε να έχει ενεργήσει αλλά δεν το έπραξε, μπορεί να αιτηθεί από την ΕΠΠ βάσει του άρθρου 36-3 του εν λόγω Νόμου να προχωρήσει σε διευθέτηση ή να παράσχει διοικητική καθοδήγηση εάν θεωρεί ότι «δεν υπήρξε παροχή ή επιβολή διευθέτησης ή διοικητικής καθοδήγησης που ήταν αναγκαία για την επανόρθωση της παράβασης».

(111)

Όσον αφορά τη δικαστική προσφυγή, βάσει του Νόμου περί Προσφυγής σε Διοικητικές Υποθέσεις, άτομο που δεν είναι ικανοποιημένο με διοικητική διευθέτηση της ΕΠΠ δύναται να υποβάλει αγωγή mandamus (68) ζητώντας από το δικαστήριο να διατάξει την ΕΠΠ να προβεί σε περαιτέρω ενέργειες (69). Σε ορισμένες περιπτώσεις, το δικαστήριο μπορεί επίσης να εκδώσει προσωρινή απόφαση mandamus, προκειμένου να αποφευχθεί η πρόκληση μη αναστρέψιμης βλάβης (70). Επιπλέον, βάσει του ίδιου νόμου, ένα άτομο μπορεί να επιδιώξει ανάκληση απόφασης της ΕΠΠ (71).

(112)

Τέλος, ένα άτομο μπορεί επίσης να καταθέσει αγωγή για αποζημίωση από το Δημόσιο κατά της ΕΠΠ βάσει του άρθρου 1 παράγραφος 1 του Νόμου περί Προσφυγών κατά του Δημοσίου εάν έχει υποστεί βλάβη λόγω παράνομης διαταγής που εξέδωσε η ΕΠΠ για επιχειρηματικό φορέα ή παράλειψης άσκησης των αρμοδιοτήτων της από την ΕΠΠ.

(113)

Η Επιτροπή αξιολόγησε επίσης τους περιορισμούς και τις εγγυήσεις, συμπεριλαμβανομένων των μηχανισμών εποπτείας και ατομικής προσφυγής, που προβλέπει το ιαπωνικό δίκαιο σε σχέση με τη συλλογή και επακόλουθη χρήση δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται σε επιχειρηματικούς φορείς στην Ιαπωνία από δημόσιες αρχές προς το δημόσιο συμφέρον, ιδίως για σκοπούς επιβολής της ποινικής νομοθεσίας και εθνικής ασφάλειας («κρατική πρόσβαση»). Για τον σκοπό αυτό, η ιαπωνική κυβέρνηση υπέβαλε στην Επιτροπή επίσημες παρουσιάσεις, διασφαλίσεις και δεσμεύσεις οι οποίες υπογράφηκαν σε ανώτατο υπουργικό επίπεδο και επίπεδο οργανισμών και περιέχονται στο παράρτημα II της παρούσας απόφασης.

(114)

Ως πράξη άσκησης δημόσιας εξουσίας, η κρατική πρόσβαση στην Ιαπωνία πρέπει να πραγματοποιείται με απόλυτο σεβασμό του κανόνων δικαίου (αρχή της νομιμότητας). Επ’ αυτού, το Σύνταγμα της Ιαπωνίας περιέχει διατάξεις που περιορίζουν και οριοθετούν τη συλλογή δεδομένων προσωπικού χαρακτήρα από δημόσιες αρχές. Όπως έχει ήδη αναφερθεί σε σχέση με την επεξεργασία από επιχειρηματικούς φορείς, βασιζόμενο στο άρθρο 13 του Συντάγματος το οποίο, μεταξύ άλλων, κατοχυρώνει το δικαίωμα στην ελευθερία, το Ανώτατο Δικαστήριο της Ιαπωνίας αναγνώρισε το δικαίωμα στην ιδιωτικότητα και στην προστασία των δεδομένων (72). Μία σημαντική πτυχή αυτού του δικαιώματος είναι η ελευθερία της μη κοινοποίησης των προσωπικών πληροφοριών ενός ατόμου σε τρίτο χωρίς την άδεια του ενδιαφερομένου (73). Αυτό συνεπάγεται δικαίωμα σε ουσιαστική προστασία των δεδομένων προσωπικού χαρακτήρα από την κατάχρηση και (ιδίως) την παράνομη πρόσβαση. Πρόσθετη προστασία διασφαλίζεται με το άρθρο 35 του Συντάγματος όσον αφορά το δικαίωμα όλων των προσώπων να αισθάνονται ασφάλεια για την κατοικία, τα έγγραφα και τα υπάρχοντά τους, γεγονός που συνεπάγεται ότι οι δημόσιες αρχές πρέπει να διαθέτουν δικαστικό ένταλμα που έχει εκδοθεί για «επαρκή αιτία» (74) σε όλες τις περιπτώσεις «ερευνών και κατασχέσεων». Σε απόφαση με ημερομηνία 15 Μαρτίου 2017 (υπόθεση GPS), το Ανώτατο Δικαστήριο διευκρίνισε ότι αυτή η απαίτηση για έκδοση εντάλματος ισχύει στις περιπτώσεις που η κυβέρνηση εισβάλλει («εισέρχεται») στην ιδιωτική σφαίρα κατά τρόπο που καταστέλλει τη βούληση του ατόμου και, κατά συνέπεια, μέσω «υποχρεωτικής έρευνας». Οι δικαστές μπορούν να εκδίδουν εντάλματα μόνον όταν υπάρχει συγκεκριμένη υποψία εγκληματικής ενέργειας, δηλαδή όταν τους παρέχονται αποδεικτικά στοιχεία βάσει των οποίων μπορεί να θεωρηθεί ότι το εμπλεκόμενο πρόσωπο διέπραξε ποινικό αδίκημα (75). Κατά συνέπεια, οι ιαπωνικές αρχές δεν διαθέτουν νομική εξουσιοδότηση να συλλέγουν προσωπικές πληροφορίες με υποχρεωτικά μέσα σε καταστάσεις στις οποίες δεν έχει ακόμη συντελεστεί παράβαση του νόμου (76), π.χ. με στόχο την αποτροπή εγκληματικής ενέργειας ή άλλου κινδύνου για την ασφάλεια (όπως στην περίπτωση των ερευνών για λόγους εθνικής ασφάλειας).

(115)

Βάσει της αρχής της επιφύλαξης του νόμου, η συλλογή δεδομένων στο πλαίσιο αναγκαστικής έρευνας πρέπει να επιτρέπεται ρητώς από τη νομοθεσία [όπως φαίνεται π.χ. στο άρθρο 197 παράγραφος 1 του Κώδικα Ποινικής Δικονομίας («ΚΠΔ») σχετικά με την υποχρεωτική συλλογή πληροφοριών για σκοπούς ποινικής έρευνας]. Η απαίτηση αυτή ισχύει και για την πρόσβαση σε ηλεκτρονικές πληροφορίες.

(116)

Είναι σημαντικό ότι το άρθρο 21 παράγραφος 2 του Συντάγματος εγγυάται το απόρρητο όλων των μέσων επικοινωνίας και η νομοθεσία θεσπίζει περιορισμούς μόνο για λόγους δημόσιου συμφέροντος. Το άρθρο 4 του Νόμου για τον Κλάδο των Τηλεπικοινωνιών, βάσει του οποίου οι φορείς τηλεπικοινωνιών δεν παραβιάζουν το απόρρητο των επικοινωνιών τις οποίες χειρίζονται, εφαρμόζει αυτή την απαίτηση απορρήτου στο επίπεδο του γραπτού δικαίου. Αυτό έχει ερμηνευθεί ως απαγόρευση της κοινοποίησης πληροφοριών από επικοινωνίες, εκτός εάν υπάρχει συγκατάθεση των χρηστών ή αν ισχύει ρητή εξαίρεση από την ποινική ευθύνη βάσει του Ποινικού Κώδικα (77).

(117)

Το Σύνταγμα εγγυάται επίσης το δικαίωμα πρόσβασης στα δικαστήρια (άρθρο 32) και το δικαίωμα άσκησης αγωγής κατά του Δημοσίου στην περίπτωση κατά την οποία ένα άτομο υφίσταται βλάβη από παράνομη πράξη δημόσιου αξιωματούχου (άρθρο 17).

(118)

Όσον αφορά ειδικά το δικαίωμα προστασίας των δεδομένων, το κεφάλαιο III τμήματα 1, 2 και 3 του ΝΠΠΠ θεσπίζει γενικές αρχές που καλύπτουν όλους τους τομείς, συμπεριλαμβανομένου του δημόσιου τομέα. Πιο συγκεκριμένα, το άρθρο 3 του ΝΠΠΠ ορίζει ότι ο χειρισμός όλων των προσωπικών πληροφοριών πρέπει να είναι σύμφωνος με την αρχή του σεβασμού της προσωπικότητας των ατόμων. Όταν συλλέγονται («αποκτώνται») προσωπικές πληροφορίες από δημόσια αρχή (78), μεταξύ άλλων στο πλαίσιο ηλεκτρονικών αρχείων, ο χειρισμός τους διέπεται από τον Νόμο περί Προστασίας Προσωπικών Πληροφοριών που Τηρούνται από Διοικητικά Όργανα («ΝΠΠΠΚΔΟ») (79). Εδώ εμπίπτει κατ’ αρχήν (80) και η επεξεργασία προσωπικών πληροφοριών για σκοπούς επιβολής της ποινικής νομοθεσίας ή εθνικής ασφάλειας. Μεταξύ άλλων, ο ΝΠΠΠΚΔΟ ορίζει ότι οι δημόσιες αρχές: i) μπορούν να διατηρούν προσωπικές πληροφορίες μόνον στον βαθμό που αυτό είναι αναγκαίο για την άσκηση των καθηκόντων τους· ii) δεν χρησιμοποιούν αυτές τις πληροφορίες για «αθέμιτους» σκοπούς ούτε τις αποκαλύπτουν σε τρίτους αν δεν συντρέχει λόγος· iii) προσδιορίζουν τον σκοπό και δεν τροποποιούν τον σκοπό αυτό πέραν αυτού που μπορεί ευλόγως να θεωρηθεί συναφές με τον αρχικό σκοπό (περιορισμός του σκοπού)· iv) δεν χρησιμοποιούν ούτε παρέχουν, κατ’ αρχήν, σε τρίτους τις διατηρούμενες προσωπικές πληροφορίες για άλλους σκοπούς και, αν το κρίνουν αναγκαίο, επιβάλλουν περιορισμούς στον σκοπό ή στη μέθοδο χρήσης από τρίτους· v) προσπαθούν να διασφαλίσουν την ορθότητα των πληροφοριών (ποιότητα των δεδομένων)· vi) λαμβάνουν τα αναγκαία μέτρα για τη σωστή διαχείριση των πληροφοριών και την αποτροπή διαρροής, απώλειας ή φθοράς των πληροφοριών (ασφάλεια των δεδομένων)· και vii) προσπαθούν να διεκπεραιώσουν σωστά και γρήγορα τις καταγγελίες που αφορούν την επεξεργασία των πληροφοριών (81).

(119)

Το ιαπωνικό δίκαιο περιέχει σειρά περιορισμών σχετικά με την πρόσβαση και χρήση των δεδομένων προσωπικού χαρακτήρα για σκοπούς επιβολής της ποινικής νομοθεσίας καθώς και μηχανισμούς εποπτείας και προσφυγής που παρέχουν επαρκείς εγγυήσεις για την αποτελεσματική προστασία των εν λόγω δεδομένων κατά της παράνομης επεξεργασίας και του κινδύνου καταχρηστικής χρήσης τους.

(120)

Στο ιαπωνικό νομικό πλαίσιο, η συλλογή ηλεκτρονικών πληροφοριών για σκοπούς επιβολής της ποινικής νομοθεσίας επιτρέπεται στη βάση εντάλματος (υποχρεωτική συλλογή) ή αιτήματος για οικειοθελή κοινοποίηση.

(121)

Όπως αναφέρθηκε στην αιτιολογική σκέψη 115, η συλλογή δεδομένων στο πλαίσιο αναγκαστικής έρευνας πρέπει να επιτρέπεται ρητώς από τη νομοθεσία και μπορεί να πραγματοποιείται μόνο με δικαστικό ένταλμα που εκδίδεται για «επαρκή αιτία» (άρθρο 35 του Συντάγματος). Όσον αφορά τη διερεύνηση ποινικών αδικημάτων, η απαίτηση αυτή αντικατοπτρίζεται στις διατάξεις του Κώδικα Ποινικής Δικονομίας («ΚΠΔ»). Σύμφωνα με το άρθρο 197 παράγραφος 1 του ΚΠΔ, υποχρεωτικά μέτρα «δεν εφαρμόζονται εκτός εάν ο παρών Κώδικας έχει θεσπίσει ειδικές διατάξεις». Όσον αφορά τη συλλογή ηλεκτρονικών πληροφοριών, οι μόνες συναφείς (82) νομικές βάσεις από αυτή την άποψη είναι το άρθρο 218 του ΚΠΔ (έρευνα και κατάσχεση) και το άρθρο 222-2 του ΚΠΔ, σύμφωνα με τα οποία τα υποχρεωτικά μέτρα για την υποκλοπή ηλεκτρονικών επικοινωνιών χωρίς τη συγκατάθεση ενός εκ των δύο μερών εκτελούνται στη βάση άλλων νομοθετημάτων, και συγκεκριμένα του Νόμου σχετικά με την Παρακολούθηση Τηλεπικοινωνιών στο πλαίσιο Ποινικής Έρευνας (εφεξής «Νόμος για την Παρακολούθηση Τηλεπικοινωνιών»). Και στις δυο περιπτώσεις, ισχύει η απαίτηση για έκδοση εντάλματος.

(122)

Ειδικότερα, σύμφωνα με το άρθρο 218 παράγραφος 1 του ΚΠΔ, εισαγγελέας, βοηθός εισαγγελέα ή αξιωματικός της δικαστικής αστυνομίας μπορεί, αν είναι αναγκαίο για τη διερεύνηση μιας παράβασης, να διενεργήσει έρευνα ή κατάσχεση (συμπεριλαμβανομένης της εντολής για υποβολή αρχείων) με ένταλμα που έχει εκδοθεί εκ των προτέρων από δικαστή (83). Μεταξύ άλλων, ένα τέτοιο ένταλμα περιέχει το όνομα του υπόπτου ή του κατηγορουμένου, το αδίκημα με το οποίο βαρύνεται (84), τα ηλεκτρομαγνητικά αρχεία προς κατάσχεση και τον «τόπο ή τα αντικείμενα» προς έλεγχο (άρθρο 219 παράγραφος 1 του ΚΠΔ).

(123)

Όσον αφορά την υποκλοπή επικοινωνιών, το άρθρο 3 του Νόμου για την Παρακολούθηση Τηλεπικοινωνιών παρέχει άδεια για μέτρα αυτού του είδους μόνον υπό πολύ αυστηρές προϋποθέσεις. Συγκεκριμένα, οι δημόσιες αρχές υποχρεούνται να διαθέτουν εκ των προτέρων δικαστικό ένταλμα το οποίο μπορεί να εκδοθεί μόνο για τη διερεύνηση συγκεκριμένων σοβαρών εγκλημάτων (που απαριθμούνται στο παράρτημα του Νόμου) (85) και όταν είναι «εξαιρετικά δύσκολο να ταυτοποιηθεί ο εγκληματίας ή να διευκρινιστούν οι συνθήκες/λεπτομέρειες της τέλεσης με άλλους τρόπους» (86). Σύμφωνα με το άρθρο 5 του Νόμου για την Παρακολούθηση Τηλεπικοινωνιών, το ένταλμα εκδίδεται για περιορισμένο χρονικό διάστημα, ενώ ο δικαστής μπορεί να επιβάλει πρόσθετες προϋποθέσεις. Επιπλέον, ο Νόμος για την Παρακολούθηση Τηλεπικοινωνιών προβλέπει μια σειρά από περαιτέρω εγγυήσεις, όπως για παράδειγμα την ανάγκη για παρουσία μαρτύρων (άρθρα 12, 20), την απαγόρευση παρακολούθησης των τηλεπικοινωνιών ορισμένων προνομιούχων ομάδων (π.χ. γιατροί, δικηγόροι) (άρθρο 15), την υποχρέωση τερματισμού της παρακολούθησης εάν αυτή δεν είναι πλέον δικαιολογημένη, ακόμη και εντός της περιόδου ισχύος του εντάλματος (άρθρο 18), ή τη γενική απαίτηση για ενημέρωση του ενδιαφερόμενου ατόμου και παροχή δυνατότητας πρόσβασης στα αρχεία εντός τριάντα ημερών από τον τερματισμό της παρακολούθησης (άρθρα 23, 24).

(124)

Για όλα τα υποχρεωτικά μέτρα που λαμβάνονται βάσει εντάλματος, επιτρέπεται η διενέργεια εξέτασης μόνον «όταν είναι αναγκαία για την επίτευξη του στόχου της» —δηλαδή όταν οι στόχοι που επιδιώκονται με την έρευνα δεν μπορούν να επιτευχθούν με άλλο τρόπο (άρθρο 197 παράγραφος 1 του ΚΠΔ). Παρόλο που τα κριτήρια για τον καθορισμό της αναγκαιότητας δεν προσδιορίζονται περισσότερο στη νομοθεσία, το Ανώτατο Δικαστήριο της Ιαπωνίας έκρινε ότι ένας δικαστής που εκδίδει ένταλμα πρέπει να προβαίνει σε γενική εκτίμηση λαμβάνοντας υπόψη συγκεκριμένα i) τη σοβαρότητα του αδικήματος και τον τρόπο με τον οποίο διαπράχθηκε· ii) την αξία και τη σπουδαιότητα των υλικών που πρόκειται να κατασχεθούν ως αποδεικτικά στοιχεία· iii) την πιθανότητα (κίνδυνο) απόκρυψης ή καταστροφής των αποδεικτικών στοιχείων· και iv) το κατά πόσο η κατάσχεση μπορεί να προκαλέσει βλάβη στο εμπλεκόμενο άτομο (87).

(125)

Στο πλαίσιο της αρμοδιότητάς τους, οι δημόσιες αρχές μπορούν επίσης να συλλέγουν ηλεκτρονικές πληροφορίες με βάση αιτήματα για οικειοθελή κοινοποίηση. Πρόκειται για μια μη υποχρεωτική μορφή συνεργασίας στην οποία η συμμόρφωση με το αίτημα δεν μπορεί να επιβληθεί (88), γεγονός που απαλλάσσει τις δημόσιες αρχές από το καθήκον εξασφάλισης δικαστικού εντάλματος.

(126)

Στον βαθμό που ένα αίτημα απευθύνεται σε επιχειρηματικό φορέα και αφορά προσωπικές πληροφορίες, ο επιχειρηματικός φορέας οφείλει να συμμορφώνεται με τις απαιτήσεις του ΝΠΠΠ. Σύμφωνα με το άρθρο 23 παράγραφος 1 του ΝΠΠΠ, οι επιχειρηματικοί φορείς μπορούν να κοινοποιούν προσωπικές πληροφορίες σε τρίτους χωρίς τη συγκατάθεση του ενδιαφερομένου μόνον σε ορισμένες περιπτώσεις, μεταξύ άλλων όταν η κοινοποίηση βασίζεται «σε νόμους και κανονισμούς» (89). Στον τομέα της επιβολής της ποινικής νομοθεσίας, η νομική βάση για τα εν λόγω αιτήματα παρέχεται από το άρθρο 197 παράγραφος 2 του ΚΠΔ βάσει του οποίου «μπορεί να ζητηθεί από ιδιωτικούς οργανισμούς να παράσχουν στοιχεία σε σχέση με αναγκαία ζητήματα που άπτονται της έρευνας». Δεδομένου ότι το «φύλλο ερωτήσεων» επιτρέπεται μόνο στο πλαίσιο ποινικής έρευνας, προϋποθέτει πάντοτε συγκεκριμένη υποψία για εγκληματική πράξη που έχει ήδη τελεστεί (90). Επιπλέον, δεδομένου ότι οι εν λόγω έρευνες διεξάγονται συνήθως από τη Νομαρχιακή Αστυνομία, ισχύουν οι περιορισμοί βάσει του άρθρου 2 παράγραφος 2 του Νόμου περί Αστυνομίας (91). Σύμφωνα με την εν λόγω διάταξη, οι δραστηριότητες της αστυνομίας «περιορίζονται αυστηρά» στην άσκηση των αρμοδιοτήτων και των καθηκόντων της (δηλαδή στην πρόληψη, καταστολή και διερεύνηση εγκληματικών πράξεων). Επιπροσθέτως, κατά την εκτέλεση των καθηκόντων της, η αστυνομία ενεργεί με αμεροληψία, δικαιοσύνη και χωρίς προκαταλήψεις και δεν πρέπει ποτέ να καταχράται την εξουσία της «με τρόπο που υπονομεύει τα δικαιώματα και τις ελευθερίες του ατόμου που κατοχυρώνονται στο Σύνταγμα της Ιαπωνίας» (μεταξύ άλλων, όπως έχει αναφερθεί, το δικαίωμα στην ιδιωτικότητα και στην προστασία των δεδομένων) (92).

(127)

Ειδικά σε σχέση με το άρθρο 197 παράγραφος 2 του ΚΠΔ, η Εθνική Αστυνομική Υπηρεσία («ΕΑΥ») —ως αρμόδια ομοσπονδιακή αρχή, μεταξύ άλλων, για όλα τα θέματα που αφορούν την αστυνομία δίωξης του εγκλήματος— έχει εκδώσει οδηγίες προς τη Νομαρχιακή Αστυνομία (93) σχετικά με την «ορθή χρήση των γραπτών ερωτήσεων σε ερευνητικά ζητήματα». Σύμφωνα με την κοινοποίηση αυτή, τα αιτήματα πρέπει να υποβάλλονται σε τυποποιημένο έντυπο (το «Έντυπο αριθ. 49» ή «φύλλο ερωτήσεων») (94), να αφορούν αρχεία «σχετικά με συγκεκριμένη έρευνα» και οι πληροφορίες που ζητούνται πρέπει να είναι «αναγκαίες για την [εν λόγω] έρευνα». Σε κάθε περίπτωση, ο προϊστάμενος ερευνητής «εξετάζει διεξοδικά την αναγκαιότητα, το περιεχόμενο, κ.λπ. [της] εκάστοτε ερώτησης » και πρέπει να λάβει εσωτερική έγκριση από υψηλόβαθμο αξιωματικό.

(128)

Επιπροσθέτως, σε δύο αποφάσεις από το 1969 και το 2008 (95), το Ανώτατο Δικαστήριο της Ιαπωνίας θέσπισε περιορισμούς σε σχέση με τα μη υποχρεωτικά μέτρα που θίγουν το δικαίωμα στην ιδιωτικότητα (96). Συγκεκριμένα, το δικαστήριο έκρινε ότι αυτά τα μέτρα πρέπει να είναι «εύλογα» και να παραμένουν εντός «γενικώς επιτρεπτών ορίων», δηλαδή πρέπει να είναι αναγκαία για τη διερεύνηση ενός υπόπτου (συλλογή αποδεικτικών στοιχείων) και να εκτελούνται «με τις κατάλληλες μεθόδους για την επίτευξη του σκοπού [της] έρευνας». (97) Οι αποφάσεις δείχνουν ότι αυτό προϋποθέτει έλεγχο της αναλογικότητας, που θα λαμβάνει υπόψη όλες τις συνθήκες της υπόθεσης (π.χ. τον βαθμό στον οποίο θίγεται στο δικαίωμα στην ιδιωτικότητα, συμπεριλαμβανομένης της προσδοκίας ιδιωτικότητας, τη σοβαρότητα του εγκλήματος, την πιθανότητα εξασφάλισης χρήσιμων αποδεικτικών στοιχείων, τα πιθανά εναλλακτικά μέσα έρευνας κ.λπ.) (98).

(129)

Εκτός από αυτούς τους περιορισμούς για την άσκηση της δημόσιας εξουσίας, οι ίδιοι οι επιχειρηματικοί φορείς είναι υποχρεωμένοι να ελέγχουν («επιβεβαιώνουν») την αναγκαιότητα και τη «λογική» της παροχής σε τρίτο (99). Εδώ περιλαμβάνεται το ερώτημα αν τους απαγορεύεται εκ του νόμου να συνεργαστούν. Αυτές οι αντικρουόμενες νομικές υποχρεώσεις μπορεί ειδικότερα να απορρέουν από υποχρεώσεις εμπιστευτικότητας όπως το άρθρο 134 του Ποινικού Κώδικα (σχετικά με τη σχέση μεταξύ του γιατρού, του δικηγόρου, του ιερέα κ.λπ. και των πελατών τους). Επίσης, «όσοι δραστηριοποιούνται στον κλάδο των τηλεπικοινωνιών φυλάσσουν, στη διάρκεια της θητείας τους, τα μυστικά τρίτων που γίνονται γνωστά μέσω της διαχείρισης επικοινωνιών από τον φορέα τηλεπικοινωνιών» (άρθρο 4 παράγραφος 2 του Νόμου για τον Κλάδο των Τηλεπικοινωνιών). Την υποχρέωση αυτή ενισχύει η κύρωση που ορίζεται στο άρθρο 179 του Νόμου για τον Κλάδο των Τηλεπικοινωνιών, βάσει της οποίας όσοι παραβιάζουν το απόρρητο επικοινωνιών τις οποίες χειρίζεται φορέας τηλεπικοινωνιών διαπράττουν ποινικό αδίκημα και τιμωρούνται με ποινή φυλάκισης με εργασία έως δύο έτη ή πρόστιμο έως ένα εκατομμύριο γιεν (100). Αν και η απαίτηση αυτή δεν είναι απόλυτη και, συγκεκριμένα, προβλέπει μέτρα που παραβιάζουν το απόρρητο των επικοινωνιών τα οποία θεωρούνται «δικαιολογημένες πράξεις» κατά την έννοια του άρθρου 35 του Ποινικού Κώδικα (101), η εξαίρεση αυτή δεν καλύπτει την απάντηση σε μη υποχρεωτικά αιτήματα από δημόσιες αρχές για την αποκάλυψη ηλεκτρονικών πληροφοριών σύμφωνα με το άρθρο 197 παράγραφος 2 του ΚΠΔ.

(130)

Όταν περιέρχονται στην κατοχή των ιαπωνικών δημόσιων αρχών, οι προσωπικές πληροφορίες εμπίπτουν στο πεδίο εφαρμογής του ΝΠΠΠΚΔΟ. Ο εν λόγω νόμος ρυθμίζει τον χειρισμό (επεξεργασία) των «διατηρούμενων προσωπικών πληροφοριών» και επιβάλλει σχετικά μια σειρά περιορισμών και εγγυήσεων (βλ. αιτιολογική σκέψη 118) (102). Επιπλέον, το γεγονός ότι ένα Διοικητικό Όργανο δύναται να διατηρεί προσωπικές πληροφορίες «μόνον όταν η διατήρηση είναι αναγκαία για τον χειρισμό των υποθέσεων της αρμοδιότητάς του όπως προβλέπεται από νόμους και κανονισμούς» (άρθρο 3 παράγραφος 1 του ΝΠΠΠΚΔΟ) επιβάλλει επίσης περιορισμούς —τουλάχιστον έμμεσα— στην αρχική συλλογή.

(131)

Στην Ιαπωνία, η συλλογή ηλεκτρονικών πληροφοριών στον τομέα της επιβολής της ποινικής νομοθεσίας εμπίπτει πρωτίστως (103) στις αρμοδιότητες της Νομαρχιακής Αστυνομίας (104), η οποία υπόκειται σχετικά σε διάφορα επίπεδα εποπτείας.

(132)

Πρώτον, σε όλες τις περιπτώσεις συλλογής ηλεκτρονικών πληροφοριών με υποχρεωτικά μέσα (έρευνα και κατάσχεση), η αστυνομία πρέπει να πρώτα να έχει εξασφαλίσει δικαστικό ένταλμα (βλ. αιτιολογική σκέψη 121). Συνεπώς, η συλλογή στις περιπτώσεις αυτές ελέγχεται εκ των προτέρων από δικαστή, με βάση αυστηρό κριτήριο «επαρκούς αιτίας».

(133)

Αν και δεν υπάρχει εκ των προτέρων έλεγχος από δικαστή στην περίπτωση αιτημάτων για οικειοθελή κοινοποίηση, οι επιχειρηματικοί φορείς στους οποίους απευθύνονται σχετικά αιτήματα μπορούν να την αρνηθούν χωρίς να διατρέχουν κίνδυνο για αρνητικές συνέπειες (και πρέπει να συνεκτιμούν τις επιπτώσεις της οποίας κοινοποίησης στην ιδιωτικότητα). Επιπροσθέτως, σύμφωνα με το άρθρο 192 παράγραφος 1 του ΚΠΔ, οι αξιωματικοί της αστυνομίας συνεργάζονται και συντονίζουν τις ενέργειές τους με την εισαγγελία (και τη Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας) (105). Με τη σειρά της, η εισαγγελία μπορεί να απευθύνει τις αναγκαίες γενικές οδηγίες διατυπώνοντας προδιαγραφές για μια σωστή έρευνα και/ή να εκδίδει ειδικές διαταγές σε σχέση με μεμονωμένες έρευνες (άρθρο 193 του ΚΠΔ). Όταν οι εν λόγω οδηγίες και/ή διαταγές δεν ακολουθούνται, η εισαγγελία μπορεί να ασκήσει πειθαρχική δίωξη (άρθρο 194 του ΚΠΔ). Συνεπώς, η Νομαρχιακή Αστυνομία λειτουργεί υπό την εποπτεία της εισαγγελίας.

(134)

Δεύτερον, σύμφωνα με το άρθρο 62 του Συντάγματος, τα δύο Σώματα του ιαπωνικού κοινοβουλίου (της Δίαιτας) μπορούν να διενεργούν έρευνες που έχουν ως αντικείμενο την κυβέρνηση, μεταξύ άλλων σε σχέση με τη νομιμότητα της συλλογής πληροφοριών από την αστυνομία. Για τον σκοπό αυτό, μπορούν να ζητούν την παρουσία και κατάθεση μαρτύρων, και/ή την υποβολή αρχείων. Αυτές οι ερευνητικές αρμοδιότητες καθορίζονται περαιτέρω στον ιαπωνικό Νόμο περί της Δίαιτας, ιδίως δε στο κεφάλαιο XII. Συγκεκριμένα, το άρθρο 104 του Νόμου περί της Δίαιτας ορίζει ότι το Υπουργικό Συμβούλιο, οι κρατικοί οργανισμοί και τα άλλα μέρη της κυβέρνησης «πρέπει να συμμορφώνονται με τα αιτήματα Σώματος του Κοινοβουλίου ή επιτροπής του Κοινοβουλίου για την υποβολή εκθέσεων και αρχείων που είναι αναγκαία για την εξέταση του ενδεχομένου έρευνας». Η άρνηση συμμόρφωσης θεωρείται επιτρεπτή μόνον εάν η κυβέρνηση παράσχει πειστική αιτιολογία η οποία κρίνεται αποδεκτή από τη Δίαιτα, ή με την έκδοση επίσημης δήλωσης ότι η υποβολή των εκθέσεων ή αρχείων θα «ήταν εξαιρετικά ζημιογόνα για το εθνικό συμφέρον» (106). Επιπροσθέτως, τα μέλη της Δίαιτας μπορούν να καταθέτουν γραπτές ερωτήσεις στο Υπουργικό Συμβούλιο (άρθρα 74, 75 του Νόμου περί της Δίαιτας), και κατά το παρελθόν τέτοιες «γραπτές ερωτήσεις» είχαν επίσης ως αντικείμενο τον χειρισμό προσωπικών πληροφοριών από τη διοίκηση (107). Ο ρόλος της Δίαιτας στην εποπτεία της εκτελεστικής εξουσίας υποστηρίζεται από τις υποχρεώσεις υποβολής εκθέσεων, π.χ. σύμφωνα με το άρθρο 29 του Νόμου για την Παρακολούθηση Τηλεπικοινωνιών.

(135)

Τρίτον, επίσης στο πλαίσιο του εκτελεστικού σκέλους, η Νομαρχιακή Αστυνομία υπόκειται σε ανεξάρτητη εποπτεία. Εδώ υπάγονται ειδικότερα οι Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας που έχουν συσταθεί σε νομαρχιακό επίπεδο για τη διασφάλιση της δημοκρατικής διοίκησης και της πολιτικής ουδετερότητας της αστυνομίας (108). Οι επιτροπές αυτές αποτελούνται από μέλη τα οποία διορίζονται από τον Νομαρχιακό Κυβερνήτη με την έγκριση της Νομαρχιακής Συνέλευσης (μεταξύ των πολιτών χωρίς θέση δημόσιου αξιωματούχου στην αστυνομία κατά τα πέντε τελευταία έτη) και ασκούν μόνιμη θητεία (συγκεκριμένα, υπάρχει δυνατότητα αποπομπής τους μόνον εάν συντρέχουν σοβαροί λόγοι) (109). Με βάση τις πληροφορίες που δόθηκαν, δεν δέχονται εντολές και μπορούν, συνεπώς, να θεωρηθούν απολύτως ανεξάρτητες (110). Σε ό,τι αφορά τα καθήκοντα και τις εξουσίες των Νομαρχιακών Επιτροπών Δημόσιας Ασφάλειας, σύμφωνα με το άρθρο 38 παράγραφος 3 σε συνδυασμό με το άρθρο 2 και το άρθρο 36 παράγραφος 2 του Νόμου περί Αστυνομίας, αυτές είναι υπεύθυνες για «την προστασία [των] δικαιωμάτων και ελευθεριών ενός ατόμου». Για τον σκοπό αυτό, έχουν την εξουσία να «εποπτεύουν» (111) όλες τις ερευνητικές δραστηριότητες της Νομαρχιακής Αστυνομίας, συμπεριλαμβανομένης της συλλογής δεδομένων προσωπικού χαρακτήρα. Κυρίως, οι επιτροπές «μπορούν να κατευθύνουν τη [Ν]ομαρχιακή [Α]στυνομία λεπτομερώς ή σε συγκεκριμένη μεμονωμένη υπόθεση επιθεώρησης παραπτώματος αστυνομικού προσωπικού, αν χρειάζεται» (112). Όταν ο/η Αρχηγός της Νομαρχιακής Αστυνομίας (113) λάβει σχετική καθοδήγηση ή αντιληφθεί ο ίδιος/η ίδια πιθανή υπόθεση παραπτώματος (π.χ. παράβαση νόμων ή άλλη παράβαση καθήκοντος), πρέπει να προχωρήσει αμέσως σε έλεγχο σχετικά με την υπόθεση και να αναφέρει το πόρισμα του ελέγχου στη Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας (άρθρο 56 παράγραφος 3 του Νόμου περί Αστυνομίας). Αν η εν λόγω Επιτροπή το κρίνει αναγκαίο, μπορεί επίσης να αναθέσει σε ένα από τα μέλη της επισκόπηση της κατάστασης εφαρμογής. Η διαδικασία συνεχίζεται έως ότου η Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας δηλώσει ικανοποιημένη από τον τρόπο αντιμετώπισης του περιστατικού.

(136)

Επιπροσθέτως, όσον αφορά την ορθή εφαρμογή του ΝΠΠΠΚΔΟ, ο αρμόδιος υπουργός ή επικεφαλής οργανισμού (δηλαδή ο Γενικός Επίτροπος της ΕΑΥ) κατέχει εξουσία επιβολής, με την επιφύλαξη της εποπτείας από το Υπουργείο Εσωτερικών Υποθέσεων και Επικοινωνιών (ΥΕΕ). Σύμφωνα με το άρθρο 49 του ΝΠΠΠΚΔΟ, το ΥΕΕ «μπορεί να λαμβάνει εκθέσεις σχετικά με την κατάσταση εφαρμογής του εν λόγω Νόμου» από τους προϊσταμένους των Διοικητικών Οργάνων (Υπουργός). Αυτή η εποπτική λειτουργία υποστηρίζεται από τα 51 «ολοκληρωμένα κέντρα πληροφόρησης» του ΥΕΕ (ένα σε κάθε νομαρχία της Ιαπωνίας) τα οποία διεκπεραιώνουν κάθε χρόνο χιλιάδες ερωτήσεις από άτομα (114) (που μπορεί, με τη σειρά τους, να φέρουν στο φως πιθανές παραβάσεις του νόμου). Εάν το θεωρεί αναγκαίο για τη διασφάλιση της συμμόρφωσης με τον Νόμο, το ΥΕΕ δύναται να ζητεί εξηγήσεις και υποβολή υλικού, και να εκδίδει γνωμοδοτήσεις, σχετικά με τον χειρισμό των προσωπικών πληροφοριών από το αντίστοιχο Διοικητικό Όργανο (άρθρα 50, 51 του ΝΠΠΠΚΔΟ).

(137)

Εκτός από την αυτεπάγγελτη εποπτεία, τα μεμονωμένα άτομα έχουν επίσης δυνατότητες να προσφύγουν ατομικά, τόσο μέσω ανεξάρτητων αρχών (όπως οι Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας ή η ΕΠΠ) όσο και ενώπιον των ιαπωνικών δικαστηρίων.

(138)

Κατά πρώτον, όσον αφορά τις προσωπικές πληροφορίες που συλλέγονται από Διοικητικά Όργανα, τα εν λόγω όργανα υποχρεούνται να «προσπαθούν να διεκπεραιώσουν σωστά και γρήγορα τις καταγγελίες» σχετικά με τη μεταγενέστερη επεξεργασία των πληροφοριών (άρθρο 48 του ΝΠΠΠΚΔΟ). Αν και το κεφάλαιο IV του ΝΠΠΠΚΔΟ σχετικά με τα ατομικά δικαιώματα δεν έχει εφαρμογή στις προσωπικές πληροφορίες που είναι καταχωρισμένες σε «έγγραφα που σχετίζονται με δίκες και κατασχεθέντα αντικείμενα» (άρθρο 53-2 παράγραφος 2 του ΚΠΔ) —στις οποίες περιλαμβάνονται οι προσωπικές πληροφορίες που συλλέγονται στο πλαίσιο ποινικών ερευνών — ένα άτομο δύναται να υποβάλει καταγγελία επικαλούμενο τις γενικές αρχές προστασίας των δεδομένων, όπως π.χ. την υποχρέωση για διατήρηση προσωπικών πληροφοριών μόνον «όταν η διατήρηση είναι αναγκαία για την εκτέλεση [αρμοδιοτήτων επιβολής του νόμου]» (άρθρο 3 παράγραφος 1 του ΝΠΠΠΚΔΟ).

(139)

Επιπλέον, το άρθρο 79 του Νόμου περί Αστυνομίας εγγυάται στα άτομα που έχουν ανησυχίες σχετικά με την «εκτέλεση των καθηκόντων» από το αστυνομικό προσωπικό το δικαίωμα υποβολής καταγγελίας στην (αρμόδια) ανεξάρτητη Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας. Η εν λόγω Επιτροπή διεκπεραιώνει «ευσυνείδητα» τις καταγγελίες αυτές σύμφωνα με τη νομοθεσία και τα κατά τόπους διατάγματα και κοινοποιεί εγγράφως τα πορίσματα στον καταγγέλλοντα. Στο πλαίσιο της εξουσίας της για εποπτεία και «καθοδήγηση» της Νομαρχιακής Αστυνομίας όσον αφορά τα «παραπτώματα του προσωπικού» (άρθρα 38 παράγραφος 3 και 43-2 παράγραφος 1 του Νόμου περί Αστυνομίας), η Επιτροπή μπορεί να ζητήσει από τη Νομαρχιακή Αστυνομία να ερευνήσει τα γεγονότα, να λάβει τα κατάλληλα μέτρα με βάση την έκβαση της έρευνας και να υποβάλει έκθεση σχετικά με τα αποτελέσματα. Αν κρίνει ότι η έρευνα που διενεργήθηκε από την Αστυνομία δεν ήταν ικανοποιητική, η Επιτροπή μπορεί επίσης να παράσχει οδηγίες σχετικά με τον χειρισμό της καταγγελίας.

(140)

Για να διευκολυνθεί η διεκπεραίωση των καταγγελιών, η ΕΑΥ εξέδωσε «Ανακοίνωση» προς την Αστυνομία και τις Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας σχετικά με τον σωστό χειρισμό των καταγγελιών που σχετίζονται με την εκτέλεση των καθηκόντων από τους αστυνομικούς. Στο έγγραφο αυτό, η ΕΑΥ θεσπίζει πρότυπα για την ερμηνεία και την εφαρμογή του άρθρου 79 του Νόμου περί Αστυνομίας. Μεταξύ άλλων, ορίζεται ότι η Νομαρχιακή Αστυνομία πρέπει να θεσπίσει «σύστημα για τη διεκπεραίωση των καταγγελιών» και να διεκπεραιώνει και να υποβάλει «αμέσως» αναφορά για όλες τις καταγγελίες στην αρμόδια Νομαρχιακή Επιτροπή Δημόσιας Ασφάλειας. Η Ανακοίνωση ορίζει τις καταγγελίες ως αξιώσεις με τις οποίες ζητείται η διόρθωση «ειδικού μειονεκτήματος που προκλήθηκε ως αποτέλεσμα παράνομης ή ανάρμοστης συμπεριφοράς» (115) ή «της μη λήψης αναγκαίων μέτρων από αστυνομικό κατά την εκτέλεση των καθηκόντων του/της» (116), καθώς και κάθε «παράπονο ή έκφραση δυσαρέσκειας για ανάρμοστο τρόπο εκτέλεσης από αστυνομικό των καθηκόντων του/της». Ως εκ τούτου, δίνεται ένας ευρύς ορισμός για το καθ’ ύλην πεδίο εφαρμογής μιας καταγγελίας, το οποίο καλύπτει κάθε αξίωση για παράνομη συλλογή δεδομένων, και ο καταγγέλλων δεν υποχρεούται να αποδείξει ότι υπέστη βλάβη ως αποτέλεσμα των ενεργειών του/της αστυνομικού. Ένα σημαντικό στοιχείο που ορίζεται στην Ανακοίνωση είναι ότι στους αλλοδαπούς (μεταξύ άλλων) παρέχεται συνδρομή για τη σύνταξη καταγγελίας. Όταν υποβάλλεται μια καταγγελία, οι Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας υποχρεούνται να μεριμνούν ώστε η Νομαρχιακή Αστυνομία να εξετάζει τα γεγονότα, να εφαρμόζει μέτρα «σύμφωνα με το πόρισμα της εξέτασης» και να υποβάλλει έκθεση σχετικά με τα αποτελέσματα. Όταν η Επιτροπή θεωρεί ότι η εξέταση είναι ανεπαρκής, εκδίδει οδηγίες σχετικά με τον χειρισμό της καταγγελίας, τις οποίες υποχρεούται να ακολουθήσει η Νομαρχιακή Αστυνομία. Με βάση τις εκθέσεις που της υποβάλλονται και τα μέτρα που έχουν ληφθεί, η Επιτροπή ενημερώνει τον καταγγέλλοντα αναφέροντας, μεταξύ άλλων, τα μέτρα που λήφθηκαν για την αντιμετώπιση της καταγγελίας. Η Ανακοίνωση της ΕΑΥ υπογραμμίζει ότι οι καταγγελίες πρέπει να διεκπεραιώνονται με «εντιμότητα» και ότι το αποτέλεσμα πρέπει να κοινοποιείται «εντός του χρονικού διαστήματος […] που θεωρείται ενδεδειγμένο με βάση τα κοινωνικά πρότυπα και την κοινή λογική».

(141)

Δεύτερον, με δεδομένο ότι η προσφυγή πρέπει, όπως είναι φυσικό, να ασκηθεί στην αλλοδαπή σε ξένο σύστημα και σε ξένη γλώσσα, προκειμένου να διευκολυνθεί η προσφυγή για τους πολίτες της ΕΕ των οποίων τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται σε επιχειρηματικούς φορείς στην Ιαπωνία και, ακολούθως, καθίστανται προσβάσιμα από δημόσιες αρχές, η ιαπωνική κυβέρνηση αποφάσισε να δημιουργήσει ειδικό μηχανισμό, υπό τη διαχείριση και εποπτεία της ΕΠΠ, για τον χειρισμό και την επίλυση των καταγγελιών σε αυτόν τον τομέα. Ο εν λόγω μηχανισμός στηρίζεται στην υποχρέωση συνεργασίας η οποία επιβάλλεται στις ιαπωνικές δημόσιες αρχές βάσει του ΝΠΠΠ και στον ειδικό ρόλο της ΕΠΠ στις διεθνείς διαβιβάσεις δεδομένων από τρίτες χώρες βάσει του άρθρου 6 του ΝΠΠΠ και της Βασικής Πολιτικής (όπως καθορίστηκε από την ιαπωνική κυβέρνηση μέσω Διατάγματος του Υπουργικού Συμβουλίου). Οι λεπτομέρειες αυτού του μηχανισμού περιγράφονται στις επίσημες παρουσιάσεις, διασφαλίσεις και δεσμεύσεις που υποβλήθηκαν από την ιαπωνική κυβέρνηση και επισυνάπτονται στην παρούσα απόφαση ως παράρτημα II. Ο μηχανισμός δεν υπόκειται σε καμία απαίτηση νομιμοποίησης και είναι ανοικτός σε οποιοδήποτε άτομο, ανεξάρτητα από το αν αυτό είναι ύποπτο ή κατηγορείται για ποινικό αδίκημα.

(142)

Βάσει του μηχανισμού, ένα άτομο που έχει την υποψία ότι τα διαβιβασθέντα από την Ευρωπαϊκή Ένωση δεδομένα του συλλέχθηκαν ή χρησιμοποιήθηκαν από δημόσιες αρχές στην Ιαπωνία (συμπεριλαμβανομένων των αρχών που είναι αρμόδιες για την επιβολή της ποινικής νομοθεσίας) κατά παράβαση των ισχυόντων κανόνων μπορεί να υποβάλει καταγγελία στην ΕΠΠ (ατομικά ή μέσω της αρχής προστασίας δεδομένων στην οποία υπάγεται κατά την έννοια του άρθρου 51 του ΓΚΠΔ). Η ΕΠΠ υποχρεούται να διεκπεραιώσει την καταγγελία και σε πρώτη φάση να ενημερώσει σχετικά τις αρμόδιες δημόσιες αρχές, συμπεριλαμβανομένων των αντίστοιχων εποπτικών φορέων. Οι εν λόγω αρχές υποχρεούνται να συνεργαστούν με την ΕΠΠ, «μεταξύ άλλων παρέχοντας τις αναγκαίες πληροφορίες και το σχετικό υλικό, προκειμένου η ΕΠΠ να μπορεί να αξιολογήσει κατά πόσο η συλλογή ή η επακόλουθη χρήση προσωπικών πληροφοριών πραγματοποιήθηκε σε συμμόρφωση με τους ισχύοντες κανόνες» (117). Η υποχρέωση αυτή, η οποία απορρέει από το άρθρο 80 του ΝΠΠΠ (το οποίο υποχρεώνει τις ιαπωνικές δημόσιες αρχές να συνεργάζονται με την ΕΠΠ), έχει γενική εφαρμογή και, ως εκ τούτου, επεκτείνεται στην επανεξέταση τυχόν ερευνητικών μέτρων που έχουν ληφθεί από τις εν λόγω αρχές, οι οποίες επιπλέον έχουν δεσμευτεί για την εν λόγω συνεργασία μέσω γραπτών διαβεβαιώσεων από τα αρμόδια υπουργεία και τους αρμόδιους επικεφαλής οργανισμών, όπως αναφέρεται στο παράρτημα ΙΙ.

(143)

Αν η αξιολόγηση καταδείξει ότι υπήρξε πράγματι παράβαση των εφαρμοστέων κανόνων, «η συνεργασία των αντίστοιχων δημόσιων αρχών με την ΕΠΠ εμπεριέχει την υποχρέωση επανόρθωσης της παράβασης», η οποία σε περίπτωση παράνομης συλλογής προσωπικών πληροφοριών περιλαμβάνει τη διαγραφή των εν λόγω δεδομένων. Είναι σημαντικό ότι η υποχρέωση αυτή εκπληρώνεται υπό την επίβλεψη της ΕΠΠ η οποία «επιβεβαιώνει, πριν από την ολοκλήρωση της αξιολόγησης, ότι υπήρξε πλήρης επανόρθωση της παράβασης».

(144)

Μετά την ολοκλήρωση της αξιολόγησης, η ΕΠΠ ενημερώνει, εντός ευλόγου χρονικού διαστήματος, το άτομο για το αποτέλεσμα της αξιολόγησης, συμπεριλαμβανομένων των διορθωτικών μέτρων που ενδεχομένως έχουν ληφθεί. Παράλληλα, η ΕΠΠ ενημερώνει επίσης το άτομο σχετικά με τη δυνατότητα να ζητήσει επιβεβαίωση του αποτελέσματος από την αρμόδια δημόσια αρχή και σχετικά με την ταυτότητα της αρχής στην οποία πρέπει να υποβληθεί το εν λόγω αίτημα επιβεβαίωσης. Η δυνατότητα εξασφάλισης μιας τέτοιας επιβεβαίωσης, συμπεριλαμβανομένων των λόγων στους οποίους θεμελιώθηκε η απόφαση της αρμόδιας αρχής, μπορεί να βοηθήσει το άτομο στα επόμενα βήματά του, συμπεριλαμβανομένης της περίπτωσης δικαστικής προσφυγής. Οι λεπτομέρειες σχετικά με το αποτέλεσμα της αξιολόγησης μπορεί να είναι περιορισμένες όταν θεωρείται ευλόγως ότι η γνωστοποίηση αυτών των πληροφοριών είναι πιθανό να θέσει σε κίνδυνο την υπό εξέλιξη έρευνα.

(145)

Τρίτον, ένα άτομο που διαφωνεί με απόφαση κατάσχεσης (ένταλμα) (118) που έχει εκδοθεί από δικαστή σχετικά με δεδομένα προσωπικού χαρακτήρα του, ή με τα μέτρα της αστυνομίας ή της εισαγγελίας για την εκτέλεση μιας τέτοιας απόφασης, μπορεί να υποβάλει αίτημα για ανάκληση ή τροποποίηση της εν λόγω απόφασης ή των εν λόγω μέτρων (άρθρο 429 παράγραφος 1, άρθρο 430 παράγραφοι 1 και 2 του ΚΠΔ, άρθρο 26 του Νόμου για την Παρακολούθηση Τηλεπικοινωνιών) (119). Στην περίπτωση που το αρμόδιο για την επανεξέταση δικαστήριο κρίνει ότι είτε το ένταλμα αυτό καθαυτό είτε η εκτέλεσή του («διαδικασία για την κατάσχεση») έχουν παράνομο χαρακτήρα, ικανοποιεί το αίτημα και διατάσσει την επιστροφή των κατασχεθέντων αντικειμένων (120).

(146)

Τέταρτον, ως μια πιο έμμεση μορφή δικαστικού ελέγχου, ένα άτομο που θεωρεί ότι η συλλογή των προσωπικών πληροφοριών του στο πλαίσιο ποινικής έρευνας ήταν παράνομη δύναται, στην ποινική δίκη του, να επικαλεστεί αυτόν τον παράνομο χαρακτήρα. Αν το δικαστήριο συμφωνήσει, αυτό θα έχει ως αποτέλεσμα την εξαίρεση των αποδεικτικών στοιχείων ως μη παραδεκτών.

(147)

Τέλος, βάσει του άρθρου 1 παράγραφος 1 του Νόμου περί Προσφυγών κατά του Δημοσίου, ένα δικαστήριο μπορεί να επιδικάσει αποζημίωση όταν ένας δημόσιος αξιωματούχος που ασκεί τη δημόσια εξουσία του Κράτους έχει, κατά την άσκηση των καθηκόντων του, παρανόμως και υπαιτίως (εσκεμμένα ή εξ αμελείας) προκαλέσει βλάβη στο ενδιαφερόμενο άτομο. Σύμφωνα με το άρθρο 4 του Νόμου περί Προσφυγών κατά του Δημοσίου, η υποχρέωση του Δημοσίου για καταβολή αποζημίωσης απορρέει από τις διατάξεις του Αστικού Κώδικα. Το άρθρο 710 του Αστικού Κώδικα ορίζει σχετικά ότι η υποχρέωση καλύπτει επίσης την αποζημίωση για βλάβη πέραν της περιουσίας, δηλαδή για ηθική βλάβη (π.χ. υπό μορφή «ψυχικής οδύνης»). Αυτό περιλαμβάνει περιπτώσεις στις οποίες η ιδιωτικότητα ενός ατόμου έχει παραβιαστεί λόγω παράνομης παρακολούθησης και/ή της συλλογής των προσωπικών πληροφοριών του (π.χ. λόγω της παράνομης εκτέλεσης ενός εντάλματος) (121).

(148)

Εκτός από τη χρηματική αποζημίωση, ένα άτομο μπορεί υπό ορισμένες προϋποθέσεις να επιτύχει επίσης δικαστική προστασία (π.χ. τη διαγραφή δεδομένων προσωπικού χαρακτήρα που έχουν συλλεχθεί από δημόσιες αρχές) με βάση τα δικαιώματά του στην ιδιωτικότητα δυνάμει του άρθρου 13 του Συντάγματος (122).

(149)

Όσον αφορά όλα τα ανωτέρω μέσα προσφυγής, ο μηχανισμός επίλυσης διαφορών που έχει καθιερώσει η ιαπωνική κυβέρνηση ορίζει ότι ένα άτομο που παραμένει μη ικανοποιημένο από την έκβαση της διαδικασίας μπορεί να απευθυνθεί στην ΕΠΠ «η οποία θα ενημερώσει το άτομο για τις διάφορες δυνατότητες και τις αναλυτικές διαδικασίες προσφυγής βάσει των ιαπωνικών νόμων και κανονισμών». Επιπροσθέτως, η ΕΠΠ «θα παράσχει στο άτομο υποστήριξη, συμπεριλαμβανομένης της παροχής συμβουλών και της συνδρομής για άσκηση περαιτέρω προσφυγής ενώπιον του σχετικού διοικητικού ή δικαστικού σώματος».

(150)

Σε αυτό περιλαμβάνεται η χρήση των διαδικαστικών δικαιωμάτων βάσει του Κώδικα Ποινικής Δικονομίας. Για παράδειγμα, «[ό]ταν η αξιολόγηση αποκαλύψει ότι ένα άτομο είναι ύποπτο σε ποινική υπόθεση, η ΕΠΠ ενημερώνει το άτομο για το γεγονός αυτό» (123) καθώς και για τη δυνατότητα σύμφωνα με το άρθρο 259 του ΚΠΔ να ζητήσει από την εισαγγελία να ειδοποιηθεί όταν η τελευταία αποφασίσει να μην ασκήσει ποινική δίωξη. Επίσης, αν η αξιολόγηση αποκαλύψει ότι μια υπόθεση στην οποία ενέχονται οι προσωπικές πληροφορίες του ατόμου έχει ανοίξει και ότι η υπόθεση έχει κλείσει, η ΕΠΠ θα ενημερώσει το άτομο ότι μπορεί να εξετάσει τη δικογραφία σύμφωνα με το άρθρο 53 του ΚΠΔ (και το άρθρο 4 του Νόμου σχετικά με τις Τελικές Ποινικές Δικογραφίες). Η δυνατότητα πρόσβασης στη δικογραφία του είναι σημαντική καθώς βοηθά το άτομο να κατανοήσει καλύτερα την έρευνα που διενεργήθηκε εις βάρος του και, συνεπώς, να προετοιμαστεί για ενδεχόμενη δικαστική προσφυγή (π.χ. αγωγή αποζημίωσης) εάν θεωρεί ότι τα δεδομένα του συλλέχθηκαν ή χρησιμοποιήθηκαν παρανόμως.

(151)

Σύμφωνα με τις ιαπωνικές αρχές, δεν υπάρχει στην Ιαπωνία νόμος που να επιτρέπει υποχρεωτικά αιτήματα για παροχή πληροφοριών ή «διοικητική παρακολούθηση τηλεπικοινωνιών» εκτός του πλαισίου των ποινικών ερευνών. Ως εκ τούτου, για λόγους εθνικής ασφάλειας, πληροφορίες μπορούν να λαμβάνονται μόνον από πηγή πληροφοριών που είναι ελεύθερα προσβάσιμη από όλους ή με οικειοθελή κοινοποίηση. Οι επιχειρηματικοί φορείς που λαμβάνουν αίτημα για οικειοθελή συνεργασία (με τη μορφή κοινοποίησης ηλεκτρονικών πληροφοριών) δεν έχουν νομική υποχρέωση να παράσχουν τις πληροφορίες αυτές (124).

(152)

Επίσης, σύμφωνα με τις πληροφορίες που υποβλήθηκαν, μόνον τέσσερις κρατικοί φορείς εξουσιοδοτούνται να συλλέγουν ηλεκτρονικές πληροφορίες που τηρούνται από επιχειρηματικούς φορείς της Ιαπωνίας για λόγους εθνικής ασφάλειας, και συγκεκριμένα: i) το Γραφείο Πληροφοριών και Έρευνας του Υπουργικού Συμβουλίου (ΓΠΕΥΣ)· ii) το Υπουργείο Άμυνας («ΥΑ»)· iii) η αστυνομία [τόσο η Εθνική Αστυνομική Υπηρεσία (ΕΑΥ) (125) όσο και η Νομαρχιακή Αστυνομία]· και iv) ο Οργανισμός Πληροφοριών για τη Δημόσια Ασφάλεια («ΟΠΔΑ»). Ωστόσο, το ΓΠΕΥΣ δεν συλλέγει ποτέ πληροφορίες απευθείας από επιχειρηματικούς φορείς, ούτε μέσω υποκλοπής επικοινωνιών. Όταν λαμβάνει πληροφορίες από άλλες κρατικές αρχές προκειμένου να παρέχει αναλύσεις στο Υπουργικό Συμβούλιο, οι εν λόγω άλλες αρχές με τη σειρά τους οφείλουν να συμμορφώνονται με τη νομοθεσία, συμπεριλαμβανομένων των περιορισμών και των εγγυήσεων που αναλύονται στην παρούσα απόφαση. Οι δραστηριότητές του δεν άπτονται, συνεπώς, του τομέα των διαβιβάσεων.

(153)

Σύμφωνα με τα στοιχεία που έχουν υποβληθεί, το ΥΑ συλλέγει (ηλεκτρονικές) πληροφορίες με βάση τον Ιδρυτικό Νόμο του ΥΑ. Σύμφωνα με το άρθρο 3, αποστολή του ΥΑ είναι η διαχείριση και λειτουργία του στρατεύματος και «η διεκπεραίωση των υποθέσεων που σχετίζονται μ’ αυτό με στόχο την εγγύηση της ειρήνης και της εθνικής ανεξαρτησίας, καθώς και της ασφάλειας του έθνους». Το άρθρο 4 παράγραφος 4 ορίζει ότι το ΥΑ είναι αρμόδιο για την «άμυνα και προστασία», για τις επιχειρήσεις των αμυντικών δυνάμεων καθώς για την ανάπτυξη των στρατιωτικών δυνάμεων, συμπεριλαμβανομένης της συλλογής των αναγκαίων πληροφοριών για τη διεκπεραίωση αυτών των υποθέσεων. Μπορεί να συλλέγει (ηλεκτρονικές) πληροφορίες από επιχειρηματικούς φορείς μόνο μέσω οικειοθελούς συνεργασίας.

(154)

Όσον αφορά τη Νομαρχιακή Αστυνομία, οι αρμοδιότητες και τα καθήκοντά της περιλαμβάνουν τη «διατήρηση της δημόσιας ασφάλειας και τάξης» (άρθρο 35 παράγραφος 2 σε συνδυασμό με το άρθρο 2 παράγραφος 1 του Νόμου περί Αστυνομίας). Σ’ αυτό το πλαίσιο δικαιοδοσίας, η αστυνομία δύναται να συλλέγει πληροφορίες, αλλά μόνο σε οικειοθελή βάση χωρίς νομική ισχύ. Εξάλλου, οι δραστηριότητες της αστυνομίας «περιορίζονται αυστηρά» σε ό,τι είναι αναγκαίο για την εκτέλεση των καθηκόντων της. Επιπροσθέτως, η αστυνομία ενεργεί με «αμεροληψία, δικαιοσύνη, ακομμάτιστα και χωρίς προκαταλήψεις» και δεν καταχράται ποτέ την εξουσία της «με τρόπο που υπονομεύει τα δικαιώματα και τις ελευθερίες του ατόμου που κατοχυρώνονται στο Σύνταγμα της Ιαπωνίας» (άρθρο 2 του Νόμου περί Αστυνομίας).

(155)

Τέλος, ο ΟΠΔΑ μπορεί να διενεργεί έρευνες στο πλαίσιο του Νόμου περί Πρόληψης της Ανατρεπτικής Δράσης («ΝΠΑΔ») και του Νόμου για τον Έλεγχο Οργανώσεων που έχουν τελέσει Πράξεις Μαζικής Δολοφονίας χωρίς Διάκριση («ΝΕΟ») όταν οι εν λόγω έρευνες είναι αναγκαίες για την προετοιμασία της θέσπισης μέτρων ελέγχου κατά ορισμένων οργανώσεων (126). Βάσει των δύο αυτών Νόμων, κατόπιν αιτήματος του Γενικού Διευθυντή του ΟΠΔΑ, η Επιτροπή Εξέτασης Δημόσιας Ασφάλειας μπορεί να εκδίδει ορισμένες «διευθετήσεις» (παρακολούθηση/απαγορεύσεις στην περίπτωση του ΝΕΟ (127), διάλυση/απαγορεύσεις στην περίπτωση του ΝΠΑΔ (128)) και σε αυτό το πλαίσιο ο ΟΠΔΑ μπορεί να διενεργεί έρευνες (129). Σύμφωνα με τα στοιχεία που έχουν υποβληθεί, οι έρευνες αυτές διενεργούνται πάντοτε οικειοθελώς, το οποίο σημαίνει ότι ο ΟΠΔΑ δεν μπορεί να υποχρεώσει έναν κάτοχο προσωπικών πληροφοριών να παράσχει πληροφορίες (130). Οι έλεγχοι και οι έρευνες πρέπει, κάθε φορά, να διενεργούνται μόνο στην ελάχιστη αναγκαία έκταση για την επίτευξη του σκοπού του ελέγχου και δεν πρέπει να πραγματοποιούνται σε καμία περίπτωση με σκοπό τον «παράλογο» περιορισμό των δικαιωμάτων και των ελευθεριών που εγγυάται το Σύνταγμα της Ιαπωνίας (άρθρο 3 παράγραφος 1 του ΝΠΑΔ/ΝΕΟ). Επιπροσθέτως, σύμφωνα με το άρθρο 3 παράγραφος 2 του ΝΠΑΔ/ΝΕΟ, ο ΟΠΔΑ δεν πρέπει σε καμία περίπτωση να καταχράται αυτούς τους ελέγχους, ή τις έρευνες που πραγματοποιούνται για την προετοιμασία αυτών των ελέγχων. Εάν αξιωματικός του Οργανισμού Πληροφοριών για τη Δημόσια Ασφάλεια έχει καταχραστεί την εξουσία του/της δυνάμει του αντίστοιχου Νόμου εξαναγκάζοντας ένα πρόσωπο να κάνει κάτι για το οποίο δεν είναι υποχρεωμένο, ή παρεμποδίζοντας την άσκηση των δικαιωμάτων ενός προσώπου, μπορεί να υποστεί ποινικές κυρώσεις βάσει του άρθρου 45 του ΝΠΑΔ ή του άρθρου 42 του ΝΕΟ. Τέλος, και οι δύο Νόμοι ορίζουν ρητώς ότι οι διατάξεις τους, συμπεριλαμβανομένων των εκχωρούμενων εξουσιών, «δεν υπόκεινται σε καμία περίπτωση σε διευρυμένη ερμηνεία» (άρθρο 2 του ΝΠΑΔ/ΝΕΟ).

(156)

Σε όλες τις περιπτώσεις κρατικής πρόσβασης για λόγους εθνικής ασφάλειας που περιγράφονται στην παρούσα ενότητα, ισχύουν οι περιορισμοί που έχουν θεσπιστεί από το Ανώτατο Δικαστήριο της Ιαπωνίας για τις οικειοθελείς έρευνες, πράγμα που σημαίνει ότι η συλλογή (ηλεκτρονικών) πληροφοριών πρέπει να συμμορφώνεται με τις αρχές της αναγκαιότητας και της αναλογικότητας («κατάλληλη μέθοδος») (131). Όπως επιβεβαίωσαν ρητά οι ιαπωνικές αρχές, «η συλλογή και η επεξεργασία πληροφοριών πραγματοποιούνται μόνο στον βαθμό που είναι αναγκαίος για την άσκηση συγκεκριμένων καθηκόντων της αρμόδιας δημόσιας αρχής, καθώς και βάσει συγκεκριμένων απειλών». Ως εκ τούτου, «αυτό αποκλείει τη μαζική και χωρίς διακρίσεις συλλογή ή πρόσβαση σε πληροφορίες προσωπικού χαρακτήρα για λόγους εθνικής ασφάλειας» (132).

(157)

Επίσης, μετά τη συλλογή τους, οι προσωπικές πληροφορίες που διατηρούνται από δημόσιες αρχές για λόγους εθνικής ασφάλειας εμπίπτουν και, συνεπώς, επωφελούνται από τις διατάξεις προστασίας βάσει του ΝΠΠΠΚΔΟ όσον αφορά την επακόλουθη αποθήκευση, χρήση και κοινοποίηση (βλ. αιτιολογική σκέψη 118).

(158)

Η συλλογή προσωπικών πληροφοριών για λόγους εθνικής ασφάλειας υπόκειται σε διάφορα επίπεδα εποπτείας από τους τρεις κλάδους της κυβέρνησης.

(159)

Κατά πρώτον, η ιαπωνική Δίαιτα (Κοινοβούλιο) με τις εξειδικευμένες επιτροπές της μπορεί να εξετάζει τη νομιμότητα των ερευνών στο πλαίσιο των αρμοδιοτήτων κοινοβουλευτικού ελέγχου (άρθρο 62 του συντάγματος, άρθρο 104 του Νόμου περί της Δίαιτας· βλ. αιτιολογική σκέψη 134). Αυτή η εποπτική λειτουργία υποστηρίζεται από τις ειδικές υποχρεώσεις υποβολής εκθέσεων σχετικά με τις δραστηριότητες που πραγματοποιούνται στο πλαίσιο ορισμένων από τις προαναφερόμενες νομικές βάσεις (133).

(160)

Δεύτερον, η εκτελεστική εξουσία διαθέτει επίσης εποπτικούς μηχανισμούς.

(161)

Όσον αφορά το ΥΑ, η εποπτεία ασκείται από την Υπηρεσία Νομικής Συμμόρφωσης (ΥΝΣ) του Γενικού Επιθεωρητή (134), η οποία συστάθηκε δυνάμει του άρθρου 29 του Ιδρυτικού Νόμου του ΥΑ ως υπηρεσία εντός του Υπουργείου Άμυνας υπό την επίβλεψη του Υπουργού Άμυνας (στον οποίο και υπάγεται) αλλά ανεξάρτητη από τα επιχειρησιακά τμήματα του ΥΑ. Η ΥΝΣ έχει καθήκον να διασφαλίζει τη συμμόρφωση με τους νόμους και τους κανονισμούς καθώς και την ορθή εκτέλεση των καθηκόντων από τους αξιωματούχους του ΥΑ. Στις αρμοδιότητές της περιλαμβάνεται η διενέργεια των λεγόμενων «Επιθεωρήσεων Άμυνας», ανά τακτά διαστήματα («Τακτικές Επιθεωρήσεις Άμυνας») και σε επιμέρους περιπτώσεις («Ειδικές Επιθεωρήσεις Άμυνας»), οι οποίες στο παρελθόν κάλυπταν επίσης τον σωστό χειρισμό των προσωπικών πληροφοριών (135). Στο πλαίσιο αυτών των επιθεωρήσεων, η ΥΝΣ μπορεί να εισέρχεται σε χώρους εργασίας (γραφεία) και να ζητεί την υποβολή εγγράφων ή πληροφοριών, συμπεριλαμβανομένων εξηγήσεων από τον Αναπληρωτή Υφυπουργό του ΥΑ. Η επιθεώρηση ολοκληρώνεται με υποβολή έκθεσης προς τον Υπουργό Άμυνας στην οποία παρουσιάζονται τα πορίσματα και τα μέτρα βελτίωσης (η εφαρμογή των οποίων μπορεί και πάλι να ελέγχεται μέσω περαιτέρω επιθεωρήσεων). Η έκθεση αποτελεί με τη σειρά της τη βάση για τις οδηγίες που δίνονται από τον Υπουργό Άμυνας με σκοπό την εφαρμογή των αναγκαίων μέτρων για την αντιμετώπιση της κατάστασης· ο Αναπληρωτής Υφυπουργός αναλαμβάνει την εκτέλεση των μέτρων και πρέπει να υποβάλλει εκθέσεις παρακολούθησης.

(162)

Όσον αφορά τη Νομαρχιακή Αστυνομία, η εποπτεία διασφαλίζεται από τις ανεξάρτητες Νομαρχιακές Επιτροπές Δημόσιας Ασφάλειας, όπως εξηγείται στην αιτιολογική σκέψη 135 σχετικά με την επιβολή της ποινικής νομοθεσίας.

(163)

Τέλος, όπως έχει αναφερθεί, ο ΟΠΔΑ μπορεί να διενεργεί έρευνες μόνο στον βαθμό που είναι αναγκαίο για την έκδοση διευθέτησης απαγόρευσης, διάλυσης ή παρακολούθησης βάσει των ΝΠΑΔ/ΝΕΟ, και για τις εν λόγω διατάξεις ασκεί εκ των προτέρων εποπτεία η ανεξάρτητη (136) Επιτροπή Εξέτασης Δημόσιας Ασφάλειας. Επιπροσθέτως, πραγματοποιούνται τακτικές/περιοδικές επιθεωρήσεις (οι οποίες εξετάζουν ολοκληρωμένα τις επιχειρήσεις του ΟΠΔΑ) (137) και ειδικές εσωτερικές επιθεωρήσεις (138) σχετικά με τις δραστηριότητες μεμονωμένων τμημάτων/υπηρεσιών κ.λπ. από ειδικά διορισμένους επιθεωρητές οι οποίες μπορεί να οδηγήσουν στη διατύπωση οδηγιών προς τους προϊσταμένους των αντίστοιχων τμημάτων κ.λπ. για τη λήψη διορθωτικών ή βελτιωτικών μέτρων.

(164)

Οι εν λόγω εποπτικοί μηχανισμοί, που ενισχύονται περαιτέρω με τη δυνατότητα των ατόμων να προκαλούν παρέμβαση της ΕΠΠ υπό την ιδιότητα της ανεξάρτητης εποπτικής αρχής (βλέπε κατωτέρω αιτιολογική σκέψη 168), παρέχουν επαρκείς εγγυήσεις κατά του κινδύνου κατάχρησης από τις ιαπωνικές αρχές των εξουσιών τους στον τομέα της εθνικής ασφάλειας, και κατά της παράνομης συλλογής ηλεκτρονικών πληροφοριών.

(165)

Όσον αφορά την ατομική προσφυγή, σε σχέση με προσωπικές πληροφορίες που συλλέγονται και, συνεπώς, «διατηρούνται» από Διοικητικά Όργανα, τα εν λόγω όργανα έχουν υποχρέωση να «προσπαθούν να διεκπεραιώσουν σωστά και γρήγορα τις καταγγελίες» σχετικά με αυτή την επεξεργασία (άρθρο 48 του ΝΠΠΠΚΔΟ).

(166)

Επιπλέον, σε αντίθεση με τις ποινικές έρευνες, τα άτομα (συμπεριλαμβανομένων των αλλοδαπών υπηκόων που ζουν στο εξωτερικό) έχουν κατ’ αρχήν δικαίωμα κοινοποίησης (139), διόρθωσης (συμπεριλαμβανομένης της διαγραφής) και αναστολής της χρήσης/παροχής δυνάμει του ΝΠΠΠΚΔΟ. Ωστόσο, ο προϊστάμενος του Διοικητικού Οργάνου μπορεί να αρνηθεί την κοινοποίηση πληροφοριών «για τις οποίες μπορεί ευλόγως να θεωρηθεί […] ότι η κοινοποίηση είναι πιθανό να υπονομεύσει την εθνική ασφάλεια» [άρθρο 14 σημείο iv) του ΝΠΠΠΚΔΟ] και μάλιστα αυτό μπορεί να γίνει ακόμη και χωρίς να αποκαλυφθεί η ύπαρξη αυτών των πληροφοριών (άρθρο 17 του ΝΠΠΠΚΔΟ). Κατά τον ίδιο τρόπο, ενώ ένα άτομο μπορεί να ζητήσει αναστολή της χρήσης ή διαγραφή βάσει του άρθρου 36 παράγραφος 1 σημείο i) του ΝΠΠΠΚΔΟ σε περίπτωση που το Διοικητικό Όργανο έχει λάβει τις πληροφορίες παρανόμως ή τις διατηρεί/χρησιμοποιεί πέραν του αναγκαίου για την επίτευξη του καθορισμένου σκοπού, η αρχή μπορεί να αρνηθεί το αίτημα εάν κρίνει ότι η αναστολή της χρήσης «είναι πιθανό να παρεμποδίσει την ορθή διεκπεραίωση των υποθέσεων που άπτονται του σκοπού χρήσης των διατηρούμενων προσωπικών πληροφοριών λόγω της φύσης των εν λόγω υποθέσεων» (άρθρο 38 του ΝΠΠΠΚΔΟ). Πάντως, όταν είναι δυνατός ο εύκολος διαχωρισμός και παράλειψη των τμημάτων που υπόκεινται σε εξαίρεση, τα Διοικητικά Όργανα υποχρεούνται να χορηγούν τουλάχιστον μερική κοινοποίηση (βλ. π.χ. άρθρο 15 παράγραφος 1 του ΝΠΠΠΚΔΟ) (140).

(167)

Σε κάθε περίπτωση, το Διοικητικό Όργανο πρέπει να λάβει γραπτή απόφαση εντός ορισμένης περιόδου (30 ημέρες, οι οποίες μπορεί υπό ορισμένες συνθήκες να παραταθούν για άλλες 30 ημέρες). Εάν το αίτημα απορριφθεί ή ικανοποιηθεί μόνον εν μέρει, ή εάν το άτομο θεωρήσει για άλλους λόγους ότι η συμπεριφορά του Διοικητικού Οργάνου ήταν «παράνομη ή άδικη», το εν λόγω άτομο δύναται να ζητήσει διοικητική επανεξέταση βάσει του Νόμου περί Εξέτασης των Διοικητικών Καταγγελιών (141). Σ’ αυτή την περίπτωση, ο προϊστάμενος του Διοικητικού Οργάνου που αποφασίζει σχετικά με την προσφυγή διαβουλεύεται με το Συμβούλιο Εξέτασης της Κοινοποίησης Πληροφοριών και της Προστασίας Προσωπικών Πληροφοριών (άρθρα 42 και 43 του ΝΠΠΠΚΔΟ), ένα εξειδικευμένο, ανεξάρτητο συμβούλιο τα μέλη του οποίου διορίζονται από τον Πρωθυπουργό με τη συγκατάθεση αμφότερων των Σωμάτων της Δίαιτας. Σύμφωνα με τα στοιχεία που έχουν υποβληθεί, το Συμβούλιο Εξέτασης μπορεί να διενεργήσει εξέταση (142) και, στο πλαίσιό της, να ζητήσει από το Διοικητικό Όργανο να παράσχει τις διατηρούμενες προσωπικές πληροφορίες, συμπεριλαμβανομένου του απόρρητου περιεχομένου, καθώς και περαιτέρω πληροφορίες και έγγραφα. Παρόλο που η τελική έκθεση που αποστέλλεται στον καταγγέλλοντα και στο Διοικητικό Όργανο και δημοσιοποιείται δεν είναι νομικά δεσμευτική, ακολουθείται σχεδόν σε όλες τις περιπτώσεις (143). Επιπροσθέτως, το άτομο έχει δυνατότητα να κινήσει δικαστική διαδικασία κατά της απόφασης σχετικά με την προσφυγή δυνάμει του Νόμου περί Προσφυγής σε Διοικητικές Υποθέσεις. Αυτό ανοίγει τον δρόμο για τον δικαστικό έλεγχο της χρήσης των εξαιρέσεων εθνικής ασφάλειας, συμπεριλαμβανομένου του αν μια εξαίρεση έχει χρησιμοποιηθεί καταχρηστικά ή είναι ακόμη δικαιολογημένη.

(168)

Για να διευκολυνθεί η άσκηση των προαναφερόμενων δικαιωμάτων βάσει του ΝΠΠΠΚΔΟ, το ΥΕΕ ίδρυσε 51 «ολοκληρωμένα κέντρα πληροφόρησης» τα οποία παρέχουν συγκεντρωτικές πληροφορίες σχετικά με τα εν λόγω δικαιώματα, τις διαδικασίες που ισχύουν για την υποβολή αιτήματος και τα πιθανά μέσα προσφυγής (144). Όσον αφορά τα Διοικητικά Όργανα, υποχρεούνται να παρέχουν «πληροφορίες που συμβάλλουν στον προσδιορισμό των Διατηρούμενων Προσωπικών Πληροφοριών» (145) και να λαμβάνουν «άλλα κατάλληλα μέτρα με κριτήριο τη διευκόλυνση του προσώπου που προτίθεται να υποβάλει το αίτημα» (άρθρο 47 παράγραφος 1 του ΝΠΠΠΚΔΟ).

(169)

Όπως και στην περίπτωση των ερευνών στον τομέα της επιβολής της ποινικής νομοθεσίας, στον τομέα της εθνικής ασφάλειας τα άτομα μπορούν επίσης να προσφύγουν ατομικά επικοινωνώντας απευθείας με την ΕΠΠ. Μ’ αυτόν τον τρόπο ενεργοποιείται η ειδική διαδικασία επίλυσης διαφορών που έχει δημιουργήσει η ιαπωνική κυβέρνηση για πολίτες της ΕΕ των οποίων τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται στο πλαίσιο της παρούσας απόφασης (βλ. αναλυτικές εξηγήσεις στις αιτιολογικές σκέψεις 141 έως 144, 149).

(170)

Επιπροσθέτως, τα άτομα μπορούν να ασκούν δικαστική προσφυγή με τη μορφή αγωγής για αποζημίωση δυνάμει του Νόμου περί Προσφυγών κατά του Δημοσίου, ο οποίος καλύπτει και την ηθική βλάβη και, υπό ορισμένες συνθήκες, τη διαγραφή των συλλεγέντων δεδομένων (βλέπε αιτιολογική σκέψη 147).

(171)

Η Ευρωπαϊκή Επιτροπή θεωρεί ότι ο ΝΠΠΠ, όπως συμπληρώνεται από τους Συμπληρωματικούς Κανόνες που περιέχονται στο παράρτημα I, και σε συνδυασμό με τις επίσημες παρουσιάσεις, διασφαλίσεις και δεσμεύσεις που περιέχονται στο παράρτημα II, διασφαλίζει επίπεδο προστασίας για τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση το οποίο είναι ουσιωδώς ισοδύναμο με το επίπεδο που εγγυάται ο κανονισμός (ΕΕ) 2016/679.

(172)

Επιπλέον, η Επιτροπή θεωρεί ότι, συνολικά, οι εποπτικοί μηχανισμοί και τα μέσα προσφυγής που προβλέπονται στην ιαπωνική νομοθεσία επιτρέπουν τον προσδιορισμό και την πραγματική τιμωρία των παραβάσεων από τους αποδέκτες ΕΦΧΠΠ και προσφέρουν μέσα ένδικης προστασίας στα υποκείμενα δεδομένων προκειμένου να επιτυγχάνουν την πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που τα αφορούν και, τελικώς, τη διόρθωση ή διαγραφή των εν λόγω δεδομένων.

(173)

Τέλος, με βάση τις διαθέσιμες πληροφορίες σχετικά με την ιαπωνική έννομη τάξη, συμπεριλαμβανομένων των παρουσιάσεων, διασφαλίσεων και δεσμεύσεων από την ιαπωνική κυβέρνηση που περιέχονται στο παράρτημα II, η Επιτροπή θεωρεί ότι τυχόν παρεμβάσεις στα θεμελιώδη δικαιώματα των ατόμων των οποίων δεδομένα προσωπικού χαρακτήρα διαβιβάζονται από την Ευρωπαϊκή Ένωση στην Ιαπωνία, από ιαπωνικές δημόσιες αρχές για σκοπούς δημόσιου συμφέροντος, και ιδίως για σκοπούς επιβολής της ποινικής νομοθεσίας και δημόσιας ασφάλειας, περιορίζονται στο απολύτως αναγκαίο για την επίτευξη των εν λόγω νόμιμων στόχων, και ότι υπάρχει αποτελεσματική νομική προστασία κατά των παρεμβάσεων αυτού του είδους.

(174)

Κατά συνέπεια, βάσει των διαπιστώσεων της παρούσας απόφασης, η Επιτροπή θεωρεί ότι η Ιαπωνία εξασφαλίζει επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση σε ΕΦΧΠΠ στην Ιαπωνία και υπάγονται στις διατάξεις του ΝΠΠΠ, με εξαίρεση τις περιπτώσεις στις οποίες ο αποδέκτης εμπίπτει σε μία από τις κατηγορίες που απαριθμούνται στο άρθρο 76 παράγραφος 1 του ΝΠΠΠ και το σύνολο ή μέρος των σκοπών της επεξεργασίας αντιστοιχεί/-ούν σε έναν από τους σκοπούς που καθορίζονται στην εν λόγω διάταξη.

(175)

Βάσει των ανωτέρω, η Επιτροπή καταλήγει στο συμπέρασμα ότι ικανοποιείται το κριτήριο της επάρκειας που προβλέπεται στο άρθρο 45 του κανονισμού (ΕΕ) 2016/679, όπως ερμηνεύεται με βάση τον Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, και ιδίως στην απόφαση Schrems (146).

(176)

Σύμφωνα με τη νομολογία του Δικαστηρίου (147), και όπως αναγνωρίζεται στο άρθρο 45 παράγραφος 4 του κανονισμού (ΕΕ) 2016/679, η Επιτροπή θα πρέπει να παρακολουθεί σε συνεχή βάση τις σχετικές εξελίξεις στην τρίτη χώρα μετά την έκδοση απόφασης επάρκειας, προκειμένου να αξιολογεί εάν η Ιαπωνία εξακολουθεί να παρέχει ουσιωδώς ισοδύναμο επίπεδο προστασίας. Ο έλεγχος αυτός είναι, σε κάθε περίπτωση, επιβεβλημένος όταν περιέρχονται στην Επιτροπή πληροφορίες που προκαλούν δικαιολογημένες αμφιβολίες ως προς το ζήτημα αυτό.

(177)

Κατά συνέπεια, η Επιτροπή πρέπει σε μόνιμη βάση να παρακολουθεί την κατάσταση όσον αφορά το νομικό πλαίσιο και την εφαρμοζόμενη πρακτική για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα όπως αξιολογείται στην παρούσα απόφαση, συμπεριλαμβανομένης της συμμόρφωσης των ιαπωνικών αρχών με τις παρουσιάσεις, διασφαλίσεις και δεσμεύσεις που περιέχονται στο παράρτημα II. Προκειμένου να διευκολύνουν αυτή τη διαδικασία, οι ιαπωνικές αρχές οφείλουν να ενημερώνουν την Επιτροπή για ουσιώδεις εξελίξεις σε σχέση με την παρούσα απόφαση, τόσο όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα από επιχειρηματικούς φορείς όσο και σε σχέση με τους περιορισμούς και τις διασφαλίσεις που ισχύουν για την πρόσβαση στα δεδομένα προσωπικού χαρακτήρα από τις δημόσιες αρχές. Αυτό συνεπάγεται ότι θα πρέπει να την ενημερώνουν και για όλες τις αποφάσεις που λαμβάνει η ΕΠΠ βάσει του άρθρου 24 του ΝΠΠΠ για την αναγνώριση τρίτης χώρας ως παρέχουσας ισοδύναμο επίπεδο προστασίας με το επίπεδο που εγγυάται η Ιαπωνία.

(178)

Επιπροσθέτως, για να μπορεί η Επιτροπή να εκτελέσει με αποτελεσματικότητα το καθήκον της παρακολούθησης, τα κράτη μέλη θα πρέπει να ενημερώνουν την Επιτροπή για κάθε συναφή δράση των εθνικών αρχών προστασίας δεδομένων («ΑΠΔ»), ιδίως σε σχέση με ερωτήσεις ή καταγγελίες από υποκείμενα δεδομένων της ΕΕ σχετικά με τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από την Ευρωπαϊκή Ένωση σε επιχειρηματικούς φορείς στην Ιαπωνία. Η Επιτροπή θα πρέπει επίσης να λαμβάνει γνώση οποιασδήποτε ένδειξης ότι οι ενέργειες των ιαπωνικών δημόσιων αρχών που είναι αρμόδιες για την πρόληψη, τη διερεύνηση, την ανίχνευση ή τη δίωξη ποινικών αδικημάτων, ή για τη δημόσια ασφάλεια, συμπεριλαμβανομένων των εποπτικών φορέων, δεν διασφαλίζουν το απαιτούμενο επίπεδο προστασίας.

(179)

Τα κράτη μέλη και τα όργανά τους υποχρεούνται να λαμβάνουν τα αναγκαία μέτρα προκειμένου να συμμορφώνονται με τις νομοθετικές πράξεις των θεσμικών οργάνων της Ένωσης, καθώς αυτές θεωρείται ότι είναι σύννομες και, ως εκ τούτου, παράγουν έννομα αποτελέσματα έως ότου ανακληθούν, ακυρωθούν μετά από αγωγή ακύρωσης ή κηρυχθούν άκυρες μετά από υποβολή προδικαστικού ερωτήματος ή άσκηση αγωγής με αιτιολογία τον παράνομο χαρακτήρα. Κατά συνέπεια, η απόφαση επάρκειας που εκδίδεται από την Επιτροπή δυνάμει του άρθρου 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679 είναι δεσμευτική για όλα τα όργανα των κρατών μελών στα οποία απευθύνεται η εν λόγω απόφαση, συμπεριλαμβανομένων των ανεξάρτητων εποπτικών αρχών τους. Παράλληλα, όπως εξηγεί το Δικαστήριο στην απόφαση Schrems (148) και αναγνωρίζεται στο άρθρο 58 παράγραφος 5 του κανονισμού, σε περίπτωση που μια ΑΠΔ αμφισβητεί, μεταξύ άλλων κατόπιν καταγγελίας, τη συμμόρφωση μιας απόφασης επάρκειας που έχει εκδοθεί από την Επιτροπή με την προστασία του θεμελιώδους δικαιώματος του ατόμου στην ιδιωτικότητα και στην προστασία των δεδομένων, το εθνικό δίκαιο πρέπει να παρέχει στην εν λόγω αρχή μέσα ένδικης προστασίας βάσει των οποίων η οικεία αρχή δύναται να προβάλει τις εν λόγω αιτιάσεις ενώπιον εθνικού δικαστηρίου, το οποίο, σε περίπτωση αμφιβολίας, οφείλει να αναστείλει τη διαδικασία και να υποβάλει προδικαστικό ερώτημα στο Δικαστήριο της Ευρωπαϊκής Ένωσης (149).

(180)

Κατ’ εφαρμογή του άρθρου 45 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679 (150), και με δεδομένο ότι μπορεί να επέλθουν μεταβολές στο επίπεδο προστασίας που προσφέρει η ιαπωνική έννομη τάξη, η Ευρωπαϊκή Επιτροπή, μετά την έκδοση της παρούσας απόφασης, θα πρέπει κατά διαστήματα να ελέγχει εάν οι διαπιστώσεις σχετικά με την επάρκεια του επιπέδου προστασίας που εγγυάται η Ιαπωνία συνεχίζουν πρακτικά και νομικά να ισχύουν.

(181)

Για τον σκοπό αυτό, η παρούσα απόφαση θα πρέπει να αποτελέσει αντικείμενο μιας πρώτης επανεξέτασης εντός δύο ετών μετά την έναρξη ισχύος της. Μετά την πρώτη αυτή επανεξέταση και ανάλογα με την έκβασή της, η Επιτροπή θα αποφασίσει, σε στενή διαβούλευση με την επιτροπή που συστάθηκε βάσει του άρθρου 93 παράγραφος 1 του ΓΚΠΔ, αν θα πρέπει να διατηρηθεί ο διετής κύκλος. Σε κάθε περίπτωση, οι επόμενες επανεξετάσεις θα πρέπει να πραγματοποιούνται τουλάχιστον κάθε τέσσερα έτη (151). Η επανεξέταση θα πρέπει να καλύπτει όλες τις πτυχές της λειτουργίας της παρούσας απόφασης, και ιδίως την εφαρμογή των Συμπληρωματικών Κανόνων (με ιδιαίτερη προσοχή στις διατάξεις προστασίας που προβλέπονται στην περίπτωση των περαιτέρω διαβιβάσεων), την εφαρμογή των κανόνων σχετικά με τη συγκατάθεση, συμπεριλαμβανομένης της περίπτωσης απόσυρσης της εν λόγω συγκατάθεσης, την αποτελεσματικότητα της άσκησης των ατομικών δικαιωμάτων, καθώς και τους περιορισμούς και τις εγγυήσεις όσον αφορά την κρατική πρόσβαση, συμπεριλαμβανομένου του μηχανισμού προσφυγής που περιγράφεται στο παράρτημα II της παρούσας απόφασης. Θα πρέπει επίσης να καλύπτει την αποτελεσματικότητα της εποπτείας και επιβολής, όσον αφορά τους κανόνες που ισχύουν τόσο για τους ΕΦΧΠΠ όσο και στον τομέα επιβολής της ποινικής νομοθεσίας και εθνικής ασφάλειας.

(182)

Για τη διενέργεια της επανεξέτασης, η Επιτροπή θα πρέπει να πραγματοποιεί συνάντηση με την ΕΠΠ, συνοδευόμενη, κατά περίπτωση, από άλλες ιαπωνικές αρχές αρμόδιες για την κρατική πρόσβαση, συμπεριλαμβανομένων των αντίστοιχων εποπτικών φορέων. Η συμμετοχή σ’ αυτή τη συνάντηση θα πρέπει να είναι ανοικτή στους εκπροσώπους των μελών του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ). Στο πλαίσιο της κοινής επανεξέτασης, η Επιτροπή θα πρέπει να ζητεί από την ΕΠΠ να υποβάλει ολοκληρωμένες πληροφορίες για όλες τις πτυχές που σχετίζονται με τη διαπίστωση της επάρκειας, συμπεριλαμβανομένων των περιορισμών και εγγυήσεων όσον αφορά την κρατική πρόσβαση (152). Η Επιτροπή θα πρέπει επίσης να ζητεί εξηγήσεις σχετικά με τυχόν πληροφορίες συναφείς με την παρούσα απόφαση των οποίων έλαβε γνώση, συμπεριλαμβανομένων δημοσιοποιημένων εκθέσεων από ιαπωνικές αρχές ή άλλα ενδιαφερόμενα μέρη στην Ιαπωνία, το ΕΣΠΔ, μεμονωμένες ΑΠΔ, ομάδες της κοινωνίας των πολιτών, εκθέσεις μέσων μαζικής επικοινωνίας, ή άλλες διαθέσιμες πηγές πληροφοριών.

(183)

Βάσει της κοινής επανεξέτασης, η Ευρωπαϊκή Επιτροπή θα πρέπει να καταρτίζει δημόσια έκθεση που θα υποβάλλεται στο Ευρωπαϊκό Κοινοβούλιο και στο Συμβούλιο.

(184)

Σε περίπτωση που, βάσει των τακτικών και ad hoc ελέγχων ή άλλων διαθέσιμων πληροφοριών, η Επιτροπή καταλήξει στο συμπέρασμα ότι το επίπεδο προστασίας που προσφέρει η ιαπωνική έννομη τάξη δεν μπορεί πλέον να θεωρείται ουσιωδώς ισοδύναμο μ’ εκείνο της Ευρωπαϊκής Ένωσης, θα πρέπει να ενημερώσει σχετικά τις αρμόδιες ιαπωνικές αρχές και να ζητήσει τη λήψη κατάλληλων μέτρων εντός καθορισμένου, εύλογου χρονοδιαγράμματος. Στα εν λόγω μέτρα περιλαμβάνονται οι κανόνες που ισχύουν τόσο για τους επιχειρηματικούς φορείς όσο και για τις ιαπωνικές δημόσιες αρχές που είναι αρμόδιες για την επιβολή της ποινικής νομοθεσίας ή την εθνική ασφάλεια. Για παράδειγμα, η εν λόγω διαδικασία μπορεί να ενεργοποιηθεί σε περιπτώσεις όπου η πραγματοποίηση περαιτέρω διαβιβάσεων, μεταξύ άλλων βάσει αποφάσεων που λαμβάνει η ΕΠΠ βάσει του άρθρου 24 του ΝΠΠΠ για την αναγνώριση τρίτης χώρας ως παρέχουσας ισοδύναμο επίπεδο προστασίας με το επίπεδο που εγγυάται η Ιαπωνία, δεν θα γίνεται πλέον βάσει εγγυήσεων που διασφαλίζουν τη συνέχεια της προστασίας κατά την έννοια του άρθρου 44 του ΓΚΠΔ.

(185)

Εάν, μετά την παρέλευση του καθορισμένου χρονικού διαστήματος, οι αρμόδιες ιαπωνικές αρχές δεν αποδείξουν με ικανοποιητικό τρόπο ότι η παρούσα απόφαση συνεχίζει να έχει ως βάση ένα επαρκές επίπεδο προστασίας, η Επιτροπή πρέπει, κατ’ εφαρμογή του άρθρου 45 παράγραφος 5 του κανονισμού (ΕΕ) 2016/679, να κινήσει τη διαδικασία για τη μερική ή πλήρη αναστολή ή κατάργηση της παρούσας απόφασης. Εναλλακτικά, η Επιτροπή θα πρέπει να κινήσει τη διαδικασία για την τροποποίηση της παρούσας απόφασης, ιδίως μέσα από την υποβολή των διαβιβάσεων δεδομένων σε πρόσθετες προϋποθέσεις ή τον περιορισμό του πεδίου εφαρμογής της διαπίστωσης επάρκειας μόνο στις διαβιβάσεις δεδομένων για τις οποίες διασφαλίζεται η συνέχεια της προστασίας κατά την έννοια του άρθρου 44 του ΓΚΠΔ.

(186)

Συγκεκριμένα, η Επιτροπή θα πρέπει να κινεί τη διαδικασία αναστολής ή κατάργησης όταν υπάρχουν ενδείξεις ότι οι Συμπληρωματικοί Κανόνες που περιέχονται στο παράρτημα I δεν εφαρμόζονται από τους επιχειρηματικούς φορείς που λαμβάνουν δεδομένα προσωπικού χαρακτήρα βάσει της παρούσας απόφασης και/ή δεν επιβάλλονται κατ’ αποτελεσματικό τρόπο, ή ότι οι ιαπωνικές αρχές δεν συμμορφώνονται με τις παρουσιάσεις, διασφαλίσεις και δεσμεύσεις που περιέχονται στο παράρτημα II της παρούσας απόφασης.

(187)

Η Επιτροπή θα πρέπει επίσης να εξετάζει το ενδεχόμενο κίνησης της διαδικασίας τροποποίησης, αναστολής ή κατάργησης της παρούσας απόφασης εάν, στο πλαίσιο της κοινής επανεξέτασης ή σε άλλη περίπτωση, οι αρμόδιες ιαπωνικές αρχές δεν παρέχουν τις αναγκαίες πληροφορίες ή διευκρινίσεις για την εκτίμηση του επιπέδου προστασίας που παρέχεται στα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση στην Ιαπωνία ή της συμμόρφωσης με την παρούσα απόφαση. Επ’ αυτού, η Επιτροπή θα πρέπει να λαμβάνει υπόψη κατά πόσον οι συναφείς πληροφορίες μπορούν να εξασφαλιστούν από άλλες πηγές.

(188)

Για δεόντως αιτιολογημένους λόγους επείγουσας ανάγκης, όπως ο κίνδυνος σοβαρής παραβίασης των δικαιωμάτων των υποκειμένων των δεδομένων, η Επιτροπή θα πρέπει να εξετάζει το ενδεχόμενο έκδοσης απόφαση για αναστολή ή κατάργηση της παρούσας απόφασης με άμεση έναρξη ισχύος, σύμφωνα με το άρθρο 93 παράγραφος 3 του κανονισμού (ΕΕ) 2016/679 σε συνδυασμό με το άρθρο 8 του κανονισμού αριθ. 182/2011 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (153).

(189)

Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων δημοσίευσε τη γνώμη του (154), η οποία ελήφθη υπόψη κατά την εκπόνηση της παρούσας απόφασης.

(190)

Το Ευρωπαϊκό Κοινοβούλιο εξέδωσε ψήφισμα σχετικά με την πορεία προς μια στρατηγική για το ψηφιακό εμπόριο η οποία καλεί την Επιτροπή να δώσει προτεραιότητα και να επιταχύνει την υιοθέτηση αποφάσεων περί επάρκειας με σημαντικούς εμπορικούς εταίρους υπό τις προϋποθέσεις που θεσπίζονται στον κανονισμό (ΕΕ) 2016/679 ως σημαντικό μηχανισμό για τη διασφάλιση της διαβίβασης δεδομένων προσωπικού χαρακτήρα από την Ευρωπαϊκή Ένωση (155). Το Ευρωπαϊκό Κοινοβούλιο εξέδωσε επίσης ψήφισμα σχετικά με την επάρκεια της παρεχόμενης από την Ιαπωνία προστασίας των δεδομένων προσωπικού χαρακτήρα (156).

(191)

Τα μέτρα που προβλέπονται στην παρούσα απόφαση είναι σύμφωνα με τη γνώμη της επιτροπής που συστάθηκε βάσει του άρθρου 93 παράγραφος 1 του ΓΚΠΔ.