Japanin henkilötietosuojakomissio (PPC) valvoo henkilötietojen suojaa koskevaa lakia (APPI), jonka 2022 muutokset laajensivat merkittävästi suojaa, mukaan lukien uusia säännöksiä pseudonymisoidusta tiedosta, rajat ylittävistä siirroista ja AI-koulutustietojen hallinnasta. PPC antoi 45 täytäntöönpanopäätöstä vuonna 2024 ja julkaisi ensimmäiset Japanille spesifiset AI-tietosuojan ohjeet.
APPI 2022: Mitä muuttui
Vuoden 2022 APPI-muutokset edellyttävät 2,4 miljoonan japanilaisen yrityksen päivittävän tietosuojakäytäntöjä ja toteuttavan uusia käsittelymenettelyjä:
Pseudonymisoitu tieto (仮名加工情報): Uusi kategoria — henkilötietoja, joita on käsitelty tunnistettavien tietojen poistamiseksi, mutta joiden uudelleen tunnistaminen on teoreettisesti mahdollista erillisellä avaimella. Pseudonymisoitua tietoa voidaan jakaa sisäisesti ilman samoja suostumusvaatimuksia kuin henkilötiedoille, mutta sitä ei voida antaa kolmansille osapuolille. Tämä luo Japanille spesifisen välikategorian henkilötietojen ja anonymisoidun tiedon välille.
Anonymisoitu tieto (匿名加工情報): On käsiteltävä niin, että uudelleen tunnistaminen on teknisesti mahdotonta — varmennettuna pätevän kolmannen osapuolen toimesta. Japanin anonymisointistandardi on tiukempi kuin GDPR:ssä yhdessä keskeisessä asiassa: kolmannen osapuolen vahvistus on pakollista, ei valinnaista.
Rajat ylittävät siirrot: Vuoden 2022 muutokset vahvistivat siirtojen rajoituksia, edellyttäen, että siirroissa kolmansille maille on tarjottava suojaustaso, joka on "verrattavissa" Japanin standardeihin. PPC ylläpitää hyväksyttyjen maiden luetteloa. EU:lla on riittävyys Japanin kanssa APPI-kehyksen alaisena.
AI-koulutustiedot: PPC julkaisi vuonna 2024 ohjeet, jotka käsittelevät nimenomaan AI-koulutusdatasettiä. Keskeiset vaatimukset:
- AI-koulutuksessa käytettävien henkilötietojen on oltava joko aidosti anonymisoituja (täyttäen Japanin tiukat kolmannen osapuolen vahvistamat standardit) tai käsiteltyjä tietyn oikeudellisen perusteen mukaan (yleensä suostumus)
- APPI:n "tilastollisen käsittelyn poikkeus" koskee AI-koulutusta vain, kun tuloksena olevaa mallia ei voida käyttää yksilöiden tunnistamiseen tuloksista
- LLM-yritysten, jotka kouluttavat japanilaisilla henkilötiedoilla verkkosivustoilta kerättyjä tietoja, on osoitettava laillinen peruste keräykselle
My Number: Japanin kansallinen tunniste
Japanin My Number (マイナンバー) — virallisesti yksilönumero (個人番号) — on 12-numeroista kansallista henkilötunnusta, joka myönnetään kaikille Japanin asukkaille, mukaan lukien ulkomaalaiset. My Number on myönnetty vuodesta 2016 alkaen 1,36 miljardille japanilaiselle asukkaalle, ja sitä käytetään verohallinnossa, sosiaaliturvassa ja katastrofivastauksessa.
Tekninen rakenne: My Number käyttää Verhoeff-algoritmia tarkistussumman laskemiseen — samaa monimutkaista ryhmäteoreettista virheentunnistusmenetelmää, jota käytetään Aadhaarissa Intiassa. Tämä algoritmi on huomattavasti monimutkaisempaa toteuttaa kuin Luhn-algoritmi (jota käytetään ruotsalaisissa henkilönumeroissa, SIN) ja modulus-pohjaisia algoritmeja, joita useimmat Euroopan kansalliset tunnisteet käyttävät.
Tunnistushaasteet:
- Yleisluonteinen 12-numeroisten numeroiden kaavan tunnistaminen tuottaa valtavasti vääriä positiivisia tuloksia japanilaisissa asiakirjoissa (päivämäärät, postinumerot yhdistettynä puhelinnumeroihin, laskunumerot)
- Verhoeff-validointi vaatii ryhmätoimintataulukoiden täydellistä toteutusta — ei yksinkertaista modulaarista aritmeettista laskentaa
- My Number esiintyy japaninkielisissä merkeissä numeroiden rinnalla joissakin asiakirjakonteksteissa
PPC:n vuoden 2024 tekninen arviointi havaitsi, että 63% käytössä olevista yleisistä NLP-työkaluista ei pysty tunnistamaan My Numberia tarkasti japanilaisissa asiakirjoissa.
Japanin kielen käsittely: Kirjoitusjärjestelmän haaste
Japanin teksti käyttää kolmea kirjoitusjärjestelmää samanaikaisesti — Hiragana, Katakana ja Kanji (kiinalaiset merkit) — sekä roomalaista kirjoitusta (Romaji) joissakin konteksteissa. Nimet voivat esiintyä näiden kirjoitusjärjestelmien missä tahansa yhdistelmässä, ja sama nimi voi esiintyä eri tavoin eri konteksteissa.
Japanille erityiset NER-haasteet:
- Nimen tunnistaminen vaatii japaninkielisiä malleja (spaCy ja_core_news japanilaisella tokenisoinnilla)
- Japanissa ei käytetä välilyöntejä sanojen välillä — tokenisointi itsessään on erillinen käsittelyvaihe, joka vaatii japanitietoista tokenisoijaa
- Henkilön nimet kirjoitetaan tyypillisesti Kanji-merkeillä, joissa on furigana (ääniohje Hiraganassa/Katakana) — työkalujen on tunnistettava sekä Kanji-muoto että äänimuoto
- Japanilaiset organisaation nimet (会社名, 株式会社) vaativat Japanille spesifisiä organisaation tunnistamismalleja
Muita japanilaisia tunnisteita
Ajokortin numero: 12-numeroista muotoa, jossa on prefektuurikoodin etuliite. Prefektuurikoodit ovat standardoituja (Tokio = 10, Osaka = 62 jne.), mikä mahdollistaa maantieteellisen komponentin vahvistamisen.
Japanilainen passi: Standardi ICAO-muoto japanilaisilla myöntämiskäytännöillä.
Terveydenhuollon vakuutustodistus (健康保険証): Vakuutussymboli (記号) + numeroformaatti, jossa on myöntäjäkohtaisia muotoeroja Japanin useissa terveysvakuutusjärjestelmissä.
Oleskelukortti (在留カード): Muoto ulkomaalaisille asukkaille — 2 kirjainta + 8 numeroa + 2 kirjainta, MOJ-spesifisellä validoinnilla.
Japanin ja EU:n tietojen siirron tila
Japanilla ja EU:lla on keskinäiset riittävyysratkaisut — henkilötietojen virrat EU:n ja Japanin välillä ilman lisäsiirtojärjestelyjä. Tämä kaksipuolinen järjestely (voimassa vuodesta 2019) tekee Japanista yhden harvoista ei-eurooppalaisista maista, joilla on täysi EU:n riittävyys.
Keskinäinen riittävyys kattaa standardit liiketoiminnan henkilötiedot. Tietyt kategoriat — herkät terveystiedot, rikosrekisterit — vaativat lisäsuojatoimia jopa riittävyysjärjestelyn alaisena.
Organisaatioille, jotka käsittelevät japanilaisia henkilötietoja: My Numberin tunnistus Verhoeff-validoinnilla on teknisesti vaativin vaatimus, jota seuraa japaninkielisen NER-tuen tarjoaminen japaninkieliselle tekstille koulutetuilla malleilla. Kaksikielinen japanin/englannin käsittely on yhä enemmän vaadittu monikansallisilta organisaatioilta, joilla on japanilaisia toimintoja.
Lähteet: