Respuesta rápida
¿Se aplica la ley de privacidad de Japón (APPI) a los datos que alojo en un VPS en Tokio?
La APPI se aplica a la empresa que usa datos personales y a las personas a las que se refieren los datos; ninguno de los artículos consultados el 2 de noviembre de 2026 menciona la ubicación de un servidor como desencadenante. El artículo 16 abarca a cualquiera que use una base de datos de información personal para su actividad, y el artículo 171 alcanza el tratamiento en el extranjero vinculado a la prestación de servicios a personas en Japón. Lacquerbay resumen, no es asesoramiento jurídico.
¿Quién debe cumplir la APPI de Japón?
La Ley vincula a un «operador de tratamiento de información personal»: cualquiera que use una base de datos de información personal para su actividad (artículo 16(2)). El texto excluye solo a los órganos del Estado, los gobiernos locales y los organismos públicos. No fija un tamaño mínimo ni una nacionalidad.
La «información personal» es la información sobre una persona viva que la identifica, por sí sola o mediante una fácil combinación con otros datos, o que contiene un código de identificación: un código derivado de una característica del cuerpo, o un número asignado a la persona en una tarjeta o documento, de los tipos que enumera una Orden del Gabinete (artículo 2(1) y (2)). Una «base de datos de información personal» es una colección de dicha información organizada de modo que un ordenador pueda buscarla para una persona determinada (artículo 16(1)), salvo los tipos que excluye una Orden del Gabinete.
¿Alcanza la APPI a una empresa fuera de Japón?
Sí, cuando los datos son de personas en Japón y se tratan para suministrarles bienes o servicios. El artículo 171 aplica la Ley a un operador que trata, en un país extranjero, la información personal de una persona en Japón en relación con el suministro de bienes o servicios a personas en Japón. El desencadenante son las personas a las que se atiende, no el lugar de los servidores: una tienda en el extranjero que vende a compradores en Japón está cubierta aunque su base de datos funcione en Singapur.
El caso inverso no está recogido. Una empresa fuera de Japón que guarda datos de personas fuera de Japón en un VPS en Tokio no está descrita por el artículo 171, y ninguno de los artículos consultados para esta página lo resuelve. Esa cuestión corresponde a un abogado en Japón.
No es un caso raro. Según el estudio de Lacquerbay del 2 de noviembre de 2026, 22 proveedores, sin contar las grandes nubes, vendían un VPS en Tokio, y la pregunta anterior se aplica a cada cliente de cada uno de ellos.
¿Qué dice el texto oficial para cada caso?
El texto no depende de dónde está el disco; depende de quién eres y de los datos de quién tienes.
| Tu situación | Lo que dice el texto oficial | Artículos |
|---|---|---|
| Tienes una empresa en Japón y guardas registros de clientes en un VPS | Eres un operador si usas una base de datos de información personal para tu actividad; debes adoptar medidas de control de seguridad y supervisar a cualquiera a quien confíes los datos | 16(2), 23, 25 |
| Eres de fuera de Japón y vendes a personas en Japón | La Ley se aplica a tu tratamiento, en el extranjero, de su información personal | 171 |
| Eres de fuera de Japón, las personas son de fuera de Japón, el VPS está en Tokio | No descrito por el artículo 171; no resuelto por los artículos consultados | — |
| Das datos personales a otra persona | Consentimiento previo de la persona, fuera de los casos enumerados; un contratista que trata los datos por ti dentro de tu finalidad no es un tercero | 27(1), 27(5)(i) |
| Das datos personales a un tercero en otro país | Consentimiento previo a esa transferencia al extranjero, salvo que el país o el destinatario cumplan las normas de la PPC | 28(1) |
| Una filtración que pueda perjudicar a las personas afectadas | Notificar a la PPC e informar a las personas afectadas | 26 |
¿Qué debe hacer un operador tras una filtración de datos?
Cuatro tipos de incidentes deben notificarse a la PPC: datos sensibles, riesgo de pérdida económica, un acto probablemente deliberado como una intrusión, y cualquier filtración que afecte a más de 1.000 personas (Reglamento de Aplicación, artículo 7). Los datos protegidos con cifrado avanzado, o con una medida de efecto equivalente, quedan excluidos de los cuatro.
El primer informe debe presentarse sin demora tras conocer el operador el incidente, y el informe completo en un plazo de 30 días, o de 60 días cuando el incidente parece deliberado (Reglamento, artículo 8). También hay que informar a las personas afectadas (Ley, artículo 26(2)). Un operador que trata los datos por cuenta de otro operador puede notificar a ese operador en lugar de a la PPC (artículo 26(1), salvedad).
¿Es poner datos personales en un VPS un suministro a un tercero?
La Ley exige consentimiento antes de que los datos personales vayan a un tercero, pero un contratista que trata los datos por el operador, dentro de la finalidad de uso, no es un tercero (artículos 27(1) y 27(5)(i)). Si un proveedor de VPS que nunca abre tus archivos cuenta como tal contratista, o como ningún destinatario, se responde en las directrices y el Q&A de la PPC. No pudimos abrir ppc.go.jp el 2 de noviembre de 2026, por lo que esta página no los resume.
Lo que la Ley sí dice claramente: el operador debe mantener la información personal segura frente a filtraciones, pérdidas y daños (artículo 23), y debe supervisar a cualquier contratista al que confíe esos datos (artículo 25).
¿Qué sanciones establece la APPI?
Las sanciones penales se aplican a desobedecer al regulador y a entregar o usar indebidamente una base de datos para lucro ilícito, con multas de hasta ¥100 millones para las empresas. Los importes siguientes proceden de la Ley tal como se consultó en e-Gov el 2 de noviembre de 2026.
| Conducta | Sanción | Artículo |
|---|---|---|
| Incumplir una orden de la PPC dictada en virtud del artículo 148(2) o (3) | Hasta 1 año de prisión o una multa de hasta ¥1,000,000 | 178 |
| Entregar o hacer un uso indebido de una base de datos de información personal para obtener un beneficio ilícito | Hasta 1 año de prisión o una multa de hasta ¥500,000 | 179 |
| Cualquiera de los dos delitos anteriores, cometido por su personal en nombre de una empresa | Una multa de hasta ¥100,000,000 para la empresa | 184(1)(i) |
| No informar, o informar falsamente, cuando la PPC lo solicita en virtud del artículo 146(1) | Una multa de hasta ¥500,000 | 182 |
¿Dónde se posiciona Lacquerbay?
Lacquerbay está operada por DomaineGoat LLC, una empresa constituida en Panamá, y la ley panameña es la única ley a la que responde la empresa. Cada centro de datos está sujeto a la ley de su propio territorio: Hong Kong, Singapur o Japón. Lacquerbay alquila la máquina; lo que guardas en ella, y sobre quién, es cosa tuya evaluarlo. Nuestro propio tratamiento de los datos de los clientes está en la página de privacidad.
Para la parte práctica de un servidor en Tokio, consulta ¿Dónde puedo alquilar un VPS de Japón (Tokio) y pagar con criptomonedas?, ¿Puede un extranjero alquilar un VPS en Japón sin número de teléfono ni documento de identidad japonés? y ¿Mi VPS de "Singapur" está realmente en Singapur y cómo puedo comprobar dónde se ubica un VPS?
APPI y un VPS en Tokio: respuestas breves
¿La APPI se aplica solo a empresas japonesas?
No. El artículo 16(2) no menciona ninguna nacionalidad, y el artículo 171 aplica la ley al tratamiento en el extranjero cuando está vinculado al suministro de bienes o servicios a personas en Japón. Esto es un resumen del texto oficial, no asesoramiento jurídico.
¿Un sitio web pequeño cuenta como operador de negocios según la APPI?
El texto no fija ningún umbral de tamaño: cualquiera que use una base de datos de información personal para su negocio queda cubierto. Una lista de clientes que un ordenador puede buscar por persona es una base de datos de ese tipo, salvo que una Orden del Gabinete excluya su tipo (artículo 16(1)).
¿Necesito consentimiento para almacenar datos de usuarios en un VPS en Tokio?
El artículo 27 exige consentimiento para ceder datos personales a un tercero y considera fuera de esa regla a un contratista que los trate por ti. Cómo clasifica la PPC a un proveedor de VPS está en su guía, que esta página no cubre.
¿Con qué rapidez debe notificarse una filtración de datos en Japón?
Sin demora después de que el operador la conozca, y luego de forma completa en un plazo de 30 días, o 60 días si es probable que haya sido un acto deliberado, según el artículo 8 de las Reglas de Aplicación de la PPC, leídas el 2 de noviembre de 2026. También hay que informar a las personas afectadas.
¿Dónde puedo leer la APPI en inglés?
El gobierno japonés publica una traducción en japaneselawtranslation.go.jp y la PPC en sus páginas en inglés; ambas rechazaron nuestra conexión el 2 de noviembre de 2026, así que esta página no cita ninguna de las dos. El texto vinculante es el japonés en e-Gov.
Fuentes (3)
- 個人情報の保護に関する法律 (Act on the Protection of Personal Information, Act No. 57 of 2003), versión vigente el 2 de noviembre de 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- 個人情報の保護に関する法律施行規則 (Enforcement Rules, PPC Rules No. 3 of 2016), versión vigente desde el 14 de junio de 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- Texto de la ley a través de la API de leyes de e-Gov (artículos 2, 16, 23, 25 a 28, 148, 171, 178, 179, 182, 184) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)