Decisión de Ejecución (UE) 2019/419 de la Comisión, de 23 de enero de 2019, con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativa a la adecuación de la protección de los datos personales por parte de Japón en virtud de la Ley sobre la protección de la información personal (Texto pertinente a efectos del EEE)

• Section: Decisión de ejecución
• Issuing Organization: Comisión de las Comunidades Europeas

19.3.2019 ES Diario Oficial de la Unión Europea L 76/1

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (1) («RGPD»), y en particular su artículo 45, apartado 3,

Previa consulta al Supervisor Europeo de Protección de Datos,

(1) El Reglamento (UE) 2016/679 establece las normas que regulan la transferencia de datos personales desde los responsables o encargados del tratamiento en la Unión Europea a terceros países y organizaciones internacionales, en la medida en que tales transferencias se encuentren comprendidas dentro de su ámbito de aplicación. Las normas sobre transferencias internacionales de datos personales se establecen en el capítulo V de dicho Reglamento, más concretamente en los artículos 44 a 50. El flujo de datos personales hacia y desde países no pertenecientes a la Unión Europea es necesario para la expansión de la cooperación y el comercio internacionales, y garantiza al mismo tiempo que el nivel de protección de los datos personales en la Unión Europea no se vea menoscabado.

(2) De conformidad con el artículo 45, apartado 3, del Reglamento (UE) 2016/679, la Comisión puede decidir, mediante un acto de ejecución, que un tercer país, un territorio o uno o varios sectores específicos de un tercer país, o una organización internacional garantizan un nivel de protección adecuado. En tal caso, la transferencia de datos personales a dicho tercer país, territorio, sector u organización internacional puede realizarse sin necesidad de obtener ninguna otra autorización, de conformidad con lo dispuesto en el artículo 45, apartado 1, y en el considerando 103 del Reglamento.

(3) Tal como se especifica en el artículo 45, apartado 2, del Reglamento (UE) 2016/679, la adopción de una decisión de adecuación ha de basarse en un análisis exhaustivo del ordenamiento jurídico del tercer país, por lo que se refiere tanto a las normas aplicables a los importadores de datos como a las limitaciones y salvaguardas en lo que respecta al acceso a los datos personales por parte de las autoridades públicas. La evaluación debe determinar si el tercer país en cuestión garantiza un nivel de protección «equivalente en lo esencial» al ofrecido en la Unión Europea [considerando 104 del Reglamento (UE) 2016/679]. Tal como ha precisado el Tribunal de Justicia de la Unión Europea, no se exige un nivel de protección idéntico (2). En particular, los medios de que se sirve el tercer país en cuestión pueden ser diferentes de los aplicados en la Unión Europea, siempre que, en la práctica, sean eficaces para garantizar un nivel de protección adecuado (3). Por consiguiente, el nivel de adecuación no exige que se reproduzcan al pie de la letra las normas de la Unión. Se trata más bien de determinar si el sistema extranjero ofrece, en su conjunto y por la esencia de los derechos de privacidad y su aplicación, fuerza ejecutiva y supervisión efectivas, el nivel de protección exigido (4).

(4) La Comisión ha analizado detenidamente la legislación y las prácticas japonesas. Sobre la base de las constataciones expuestas en los considerandos 6 a 175, la Comisión concluye que Japón garantiza un nivel adecuado de protección de los datos personales transferidos a las organizaciones que entran dentro del ámbito de aplicación de la Ley sobre la protección de la información personal (5) y siempre que se cumplan las condiciones adicionales contempladas en la presente Decisión. Estas condiciones se establecen en las Reglas complementarias (anexo I) adoptadas por la Comisión de Protección de la Información Personal (CPIP) (6) y en las declaraciones, garantías y compromisos oficiales del Gobierno japonés a la Comisión Europea (anexo II).

(5) La presente Decisión tiene por efecto que las transferencias desde un responsable o encargado del tratamiento en el Espacio Económico Europeo (EEE) (7) hacia dichas organizaciones en Japón pueden realizarse sin necesidad de obtener ninguna otra autorización. No tiene ninguna incidencia en la aplicación directa del Reglamento (UE) 2016/679 a dichas organizaciones cuando se cumplan las condiciones enunciadas en su artículo 3.

(6) El régimen jurídico que rige la privacidad y la protección de datos en Japón tiene sus raíces en la Constitución de 1946.

(7) El artículo 13 de la Constitución dispone: «Todos los ciudadanos serán respetados como personas individuales. Su derecho a la vida, la libertad y al logro de la felicidad, será, en tanto que no interfiera con el bienestar público, el objetivo supremo de la legislación y de los demás actos de Gobierno.».

(8) Sobre la base de dicho artículo, el Tribunal Supremo japonés ha precisado los derechos de las particulares en lo que respecta a la protección de la información personal. En una resolución de 1969, reconoció el derecho a la vida privada y a la protección de datos como un derecho constitucional (8). Entre otras cosas, el Tribunal sostuvo que «cada particular es libre de proteger su propia información personal de modo que no sea comunicada a terceros ni hecha pública sin un motivo justificado». Por otra parte, en una resolución de 6 de marzo de 2008 («Juki-Net») (9), el Tribunal Supremo mantuvo que «la libertad de los ciudadanos en su vida privada estará protegida contra el ejercicio de la autoridad pública y puede considerarse que, como una de las libertades de las personas en su vida privada, cada particular es libre de proteger su propia información personal de modo que no sea comunicada a terceros ni hecha pública sin un motivo justificado.» (10).

(9) El 30 de mayo de 2003, Japón promulgó una serie de leyes en el ámbito de la protección de datos: — la Ley sobre la protección de la información personal (LPIP),

— la Ley sobre la protección de la información personal en poder de órganos administrativos (LPIPPOA),

— la Ley sobre la protección de la información personal en poder de agencias administrativas incorporadas (LPIPPAAI).

(10) Las dos últimas Leyes (modificadas en 2016) contienen disposiciones aplicables a la protección de la información personal por parte de las entidades del sector público. El tratamiento de datos comprendido en el ámbito de aplicación de dichas Leyes no es objeto de la constatación de adecuación contenida en la presente Decisión, que se limita a la protección de la información personal por parte de los «operadores económicos que manejan información personal» (OEMIP) en el sentido de la LPIP.

(11) La LPIP ha sido reformada en los últimos años. La LPIP modificada fue promulgada el 9 de septiembre de 2015 y entró en vigor el 30 de mayo de 2017. La modificación introdujo una serie de nuevas salvaguardas y reforzó las ya existentes, acercando así el sistema de protección de datos japonés al europeo. Se incluyen, por ejemplo, una serie de derechos individuales exigibles o el establecimiento de una autoridad de control independiente (CPIP) encargada de la supervisión y del control de la aplicación de la LPIP.

(12) Además de la LPIP, el tratamiento de la información personal comprendida en el ámbito de aplicación de la presente Decisión está sujeto a normas de ejecución adoptadas sobre la base de la LPIP. Se trata sobre todo de la modificación de la Orden del Gabinete para asegurar el cumplimiento de la Ley sobre la protección de la información personal, de 5 de octubre de 2016, y las llamadas normas de ejecución de la Ley sobre la protección de la información personal adoptadas por la CPIP (11). Ambos conjuntos de normas son legalmente vinculantes y tienen carácter ejecutivo y entraron en vigor al mismo tiempo que la LPIP modificada.

(13) Por otra parte, el 28 de octubre de 2016, el Gabinete de Japón (compuesto por el primer ministro y los ministros que forman su Gobierno) adoptó una «política de base» con el fin de «promover de manera global e integrada medidas tendentes a la protección de la información personal». De conformidad con el artículo 7 de la LPIP, la «política de base» se adoptó en forma de Decisión del Gabinete e incluye orientaciones estratégicas relativas a la ejecución de la LPIP, dirigidas tanto a la Administración central como a las autoridades locales.

(14) Recientemente, mediante Decisión del Gabinete de 12 de junio de 2018, el Gobierno japonés ha modificado la «política de base». Con el fin de facilitar las transferencias internacionales de datos, dicha Decisión del Gabinete delega en la CPIP, como autoridad competente para la gestión y aplicación de la LPIP, «la facultad de adoptar las medidas necesarias para salvar las diferencias entre los sistemas y las operaciones de Japón y los del país extranjero de que se trate sobre la base del artículo 6 de la Ley, con el fin de garantizar el manejo apropiado de la información personal recibida de dicho país». La Decisión del Gabinete dispone que esta facultad incluye la competencia para asegurar protecciones reforzadas mediante la adopción por parte de la CPIP de normas más estrictas, que complementen y vayan allá de las establecidas en la LPIP y en la Orden del Gabinete. Con arreglo a dicha Decisión, estas normas más estrictas serán vinculantes y tendrán carácter ejecutivo para los operadores económicos japoneses.

(15) Sobre la base del artículo 6 de la LPIP y de la referida Decisión del Gabinete, la CPIP adoptó el 15 de junio de 2018 unas «Reglas complementarias en virtud de la Ley sobre la protección de información personal para el manejo de datos personales transferidos desde la UE sobre la base de una decisión de adecuación» (en lo sucesivo, las «Reglas complementarias»), con miras a reforzar la protección de la información...