Réponse rapide
La loi japonaise sur la protection des données (APPI) s'applique-t-elle aux données que j'héberge sur un VPS de Tokyo ?
L'APPI s'attache à l'entreprise qui utilise des données personnelles et aux personnes concernées par ces données ; aucun des articles lus le 2 novembre 2026 ne cite l'emplacement d'un serveur comme critère déclencheur. L'article 16 vise toute personne utilisant une base de données d'informations personnelles à des fins professionnelles, et l'article 171 couvre le traitement à l'étranger lié à la fourniture de biens ou de services à des personnes au Japon. Lacquerbay résumé, pas un avis juridique.
Qui doit respecter l'APPI japonaise ?
La loi lie un « opérateur traitant des informations personnelles » : toute personne qui utilise une base de données d'informations personnelles à des fins professionnelles (article 16, paragraphe 2). Le texte exclut uniquement les organes de l'État, les collectivités locales et les organismes publics. Il ne fixe ni taille minimale ni nationalité.
Les « informations personnelles » sont des informations sur une personne vivante qui permettent de l'identifier, seules ou par rapprochement facile avec d'autres données, ou qui contiennent un code d'identification : un code dérivé d'une caractéristique corporelle, ou un numéro attribué à la personne sur une carte ou un document, parmi les types énumérés par décret (article 2, paragraphes 1 et 2). Une « base de données d'informations personnelles » est un ensemble de ces informations organisé de façon à ce qu'un ordinateur puisse y rechercher une personne donnée (article 16, paragraphe 1), à l'exception des types exclus par décret.
L'APPI s'applique-t-elle à une entreprise hors du Japon ?
Oui, lorsque les données concernent des personnes au Japon et sont traitées pour leur fournir des biens ou des services. L'article 171 applique la loi à un opérateur qui traite, dans un pays étranger, les informations personnelles d'une personne au Japon dans le cadre de la fourniture de biens ou de services à des personnes au Japon. Le critère est celui des personnes servies, pas l'emplacement des serveurs : une boutique à l'étranger qui vend à des acheteurs au Japon est couverte même si sa base de données tourne à Singapour.
Le cas inverse n'est pas écrit. Une entreprise hors du Japon qui conserve sur un VPS de Tokyo des données sur des personnes hors du Japon n'entre pas dans la description de l'article 171, et aucun des articles lus pour cette page ne tranche la question. Cette question relève d'un avocat au Japon.
Le cas n'est pas rare. Selon l'enquête de Lacquerbay du 2 novembre 2026, 22 hébergeurs, sans compter les grands clouds, vendaient un VPS à Tokyo, et la question ci-dessus s'applique à chaque client de chacun d'eux.
Que dit le texte officiel pour chaque cas ?
Le texte ne dépend pas de l'emplacement du disque ; il dépend de qui vous êtes et de qui relèvent les données que vous détenez.
| Votre situation | Ce que dit le texte officiel | Articles |
|---|---|---|
| Vous exploitez une entreprise au Japon et conservez des dossiers clients sur un VPS | Vous êtes un opérateur si vous utilisez une base de données d'informations personnelles à des fins professionnelles ; vous devez prendre des mesures de contrôle de sécurité et superviser toute personne à qui vous confiez les données | 16(2), 23, 25 |
| Vous êtes hors du Japon et vendez à des personnes au Japon | La loi s'applique à votre traitement, à l'étranger, de leurs informations personnelles | 171 |
| Vous êtes hors du Japon, les personnes sont hors du Japon, le VPS est à Tokyo | Non décrit par l'article 171 ; non tranché par les articles lus | — |
| Vous communiquez des données personnelles à quelqu'un d'autre | Consentement préalable de la personne, hors cas énumérés ; un prestataire qui traite les données pour vous dans le cadre de votre finalité n'est pas un tiers | 27(1), 27(5)(i) |
| Vous communiquez des données personnelles à un tiers dans un autre pays | Consentement préalable à ce transfert à l'étranger, sauf si le pays ou le destinataire répond aux standards de la PPC | 28(1) |
| Une fuite susceptible de porter atteinte aux personnes concernées | Déclaration à la PPC et information des personnes concernées | 26 |
Que doit faire un opérateur après une fuite de données ?
Quatre types d'incidents doivent être déclarés à la PPC : les données sensibles, un risque de perte financière, un acte vraisemblablement délibéré tel qu'une intrusion, et toute fuite touchant plus de 1 000 personnes (règles d'application, article 7). Les données protégées par un chiffrement avancé, ou par une mesure d'effet équivalent, sont exclues des quatre.
Une première déclaration est due rapidement après que l'opérateur a connaissance de l'incident, et une déclaration complète dans les 30 jours, ou dans les 60 jours lorsque l'incident semble délibéré (règles, article 8). Les personnes concernées doivent aussi être informées (loi, article 26, paragraphe 2). Un opérateur qui traite les données pour le compte d'un autre opérateur peut notifier cet opérateur au lieu de la PPC (article 26, paragraphe 1, réserve).
Mettre des données personnelles sur un VPS constitue-t-il une communication à un tiers ?
La loi exige le consentement avant que des données personnelles soient communiquées à un tiers, mais un prestataire qui traite les données pour l'opérateur, dans le cadre de la finalité d'utilisation, n'est pas un tiers (articles 27(1) et 27(5)(i)). La question de savoir si un hébergeur de VPS qui n'ouvre jamais vos fichiers compte comme un tel prestataire, ou comme aucun destinataire, est tranchée dans les lignes directrices et la FAQ de la PPC. Nous n'avons pas pu ouvrir ppc.go.jp le 2 novembre 2026, cette page ne les résume donc pas.
Ce que la loi dit clairement : l'opérateur doit protéger les données personnelles contre les fuites, la perte et les dommages (article 23), et doit superviser tout prestataire à qui il confie ces données (article 25).
Quelles sanctions l'APPI prévoit-elle ?
Des sanctions pénales s'appliquent en cas de non-respect des injonctions du régulateur et en cas de remise ou de détournement d'une base de données à des fins illicites, avec des amendes allant jusqu'à 100 millions de yens pour les entreprises. Les montants ci-dessous proviennent de la loi telle que lue sur e-Gov le 2 novembre 2026.
| Comportement | Sanction | Article |
|---|---|---|
| Non-respect d'une ordonnance de la PPC prise en vertu de l'article 148(2) ou (3) | Jusqu'à 1 an d'emprisonnement ou une amende pouvant atteindre 1 000 000 ¥ | 178 |
| Cession ou détournement d'une base de données de données personnelles à des fins de profit illicite | Jusqu'à 1 an d'emprisonnement ou une amende pouvant atteindre 500 000 ¥ | 179 |
| L'une ou l'autre des infractions ci-dessus, commise pour le compte d'une entreprise par son personnel | Une amende pouvant atteindre 100 000 000 ¥ pour l'entreprise | 184(1)(i) |
| Absence de rapport, ou rapport mensonger, lorsque la PPC le demande en vertu de l'article 146(1) | Une amende pouvant atteindre 500 000 ¥ | 182 |
Où se situe Lacquerbay ?
Lacquerbay est exploité par DomaineGoat LLC, une société constituée au Panama, et le droit panaméen est le seul droit auquel la société répond. Chaque centre de données relève du droit de son propre territoire : Hong Kong, Singapour ou Japon. Lacquerbay loue la machine ; ce que vous y stockez, et sur qui, relève de votre appréciation. Notre propre traitement des données clients figure sur la page confidentialité.
Pour l'aspect pratique d'un serveur à Tokyo, voir Où puis-je louer un VPS au Japon (Tokyo) et payer en crypto ?, Un étranger peut-il louer un VPS au Japon sans numéro de téléphone ni pièce d'identité japonaise ? et Mon VPS « Singapour » est-il vraiment à Singapour, et comment vérifier où se trouve un VPS ?
APPI et un VPS à Tokyo : réponses courtes
L'APPI ne s'applique-t-elle qu'aux entreprises japonaises ?
Non. L'article 16(2) ne mentionne aucune nationalité, et l'article 171 applique la loi au traitement effectué à l'étranger lorsqu'il est lié à la fourniture de biens ou de services à des personnes au Japon. Ceci est un résumé du texte officiel, pas un avis juridique.
Un petit site web compte-t-il comme opérateur d'entreprise au titre de l'APPI ?
Le texte ne fixe aucun seuil de taille : quiconque utilise une base de données de données personnelles à des fins professionnelles est concerné. Une liste de clients qu'un ordinateur peut rechercher par personne constitue une telle base, sauf si un décret exclut son type (article 16(1)).
Ai-je besoin du consentement pour stocker des données utilisateurs sur un VPS à Tokyo ?
L'article 27 exige le consentement pour communiquer des données personnelles à un tiers et considère un prestataire qui les traite pour votre compte comme hors de cette règle. La façon dont la PPC classe un hébergeur de VPS figure dans ses lignes directrices, que cette page ne couvre pas.
Dans quel délai une fuite de données doit-elle être signalée au Japon ?
Sans délai après que l'opérateur en a connaissance, puis intégralement sous 30 jours, ou 60 jours en cas de probable acte délibéré, au titre de l'article 8 du Règlement d'exécution de la PPC consulté le 2 novembre 2026. Les personnes concernées doivent également être informées.
Où puis-je lire l'APPI en anglais ?
Le gouvernement japonais publie une traduction sur japaneselawtranslation.go.jp et la PPC sur ses pages en anglais ; les deux ont refusé notre connexion le 2 novembre 2026, cette page ne cite donc ni l'une ni l'autre. Le texte contraignant est la version japonaise sur e-Gov.
Sources (3)
- 個人情報の保護に関する法律 (Act on the Protection of Personal Information, Act No. 57 of 2003), version en vigueur au 2 novembre 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- 個人情報の保護に関する法律施行規則 (Enforcement Rules, PPC Rules No. 3 of 2016), version en vigueur depuis le 14 juin 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- Texte de la loi via l'API de lois e-Gov (articles 2, 16, 23, 25 à 28, 148, 171, 178, 179, 182, 184) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)