Apakah undang-undang privasi Jepang (APPI) berlaku untuk data yang saya host di VPS Tokyo?

Siapa yang wajib mematuhi APPI Jepang?

Undang-undang ini mengikat "personal information handling business operator": siapa pun yang menggunakan basis data informasi pribadi untuk bisnis (Pasal 16(2)). Teksnya hanya mengecualikan organ negara, pemerintah daerah dan lembaga publik. Tidak ada ukuran minimum dan tidak ada kewarganegaraan.

"Informasi pribadi" adalah informasi tentang orang yang masih hidup yang mengidentifikasinya, baik dengan sendirinya atau dengan mudah dicocokkan dengan data lain, atau yang berisi kode identifikasi: kode yang berasal dari ciri tubuh, atau nomor yang diberikan kepada orang tersebut pada kartu atau dokumen, dari jenis yang tercantum dalam Cabinet Order (Pasal 2(1) dan (2)). "Basis data informasi pribadi" adalah kumpulan informasi tersebut yang diorganisir sehingga komputer dapat mencarinya untuk orang tertentu (Pasal 16(1)), kecuali jenis yang dikecualikan oleh Cabinet Order.

Apakah APPI menjangkau perusahaan di luar Jepang?

Ya, ketika datanya tentang orang di Jepang dan ditangani untuk memasok barang atau jasa kepada mereka. Pasal 171 menerapkan Undang-undang ini kepada operator yang menangani, di negara asing, informasi pribadi orang di Jepang sehubungan dengan penyediaan barang atau jasa kepada orang di Jepang. Pemicunya adalah orang yang dilayani, bukan lokasi server: toko di luar negeri yang menjual kepada pembeli di Jepang tercakup meskipun basis datanya berjalan di Singapura.

Kasus sebaliknya tidak tertulis. Perusahaan di luar Jepang yang menyimpan data tentang orang di luar Jepang di VPS Tokyo tidak dijelaskan oleh Pasal 171, dan tidak ada pasal yang dibaca untuk halaman ini yang menyelesaikannya. Pertanyaan itu adalah urusan pengacara di Jepang.

Ini bukan kasus langka. Menurut survei Lacquerbay pada 2 November 2026, 22 host, tidak termasuk cloud besar, menjual VPS di Tokyo, dan pertanyaan di atas berlaku untuk setiap pelanggan masing-masing.

Apa kata teks resmi untuk setiap kasus?

Teksnya tidak bergantung pada di mana disk berada; teksnya bergantung pada siapa Anda dan data siapa yang Anda pegang.

Apa yang harus dilakukan operator setelah kebocoran data?

Empat jenis insiden harus dilaporkan ke PPC: data sensitif, risiko kerugian finansial, kemungkinan tindakan sengaja seperti intrusi, dan kebocoran apa pun yang menyentuh lebih dari 1.000 orang (Peraturan Pelaksanaan, Pasal 7). Data yang dilindungi enkripsi canggih, atau oleh tindakan dengan efek yang sama, dikecualikan dari keempatnya.

Laporan pertama jatuh tempo segera setelah operator mengetahui insiden tersebut, dan laporan lengkap dalam 30 hari, atau dalam 60 hari bila insiden tampak disengaja (Peraturan, Pasal 8). Orang yang bersangkutan juga harus diberi tahu (Undang-undang, Pasal 26(2)). Operator yang menangani data atas nama operator lain dapat memberi tahu operator tersebut alih-alih PPC (Pasal 26(1), ketentuan).

Apakah menempatkan data pribadi di VPS merupakan pemberian kepada pihak ketiga?

Undang-undang meminta persetujuan sebelum data pribadi diberikan kepada pihak ketiga, tetapi kontraktor yang menangani data untuk operator, dalam tujuan penggunaan, bukan pihak ketiga (Pasal 27(1) dan 27(5)(i)). Apakah host VPS yang tidak pernah membuka file Anda dihitung sebagai kontraktor semacam itu, atau bukan penerima sama sekali, dijawab dalam pedoman dan Q&A PPC. Kami tidak dapat membuka ppc.go.jp pada 2 November 2026, jadi halaman ini tidak meringkasnya.

Apa yang secara jelas dikatakan Undang-undang: operator harus menjaga data pribadi aman dari kebocoran, kehilangan dan kerusakan (Pasal 23), dan harus mengawasi kontraktor mana pun yang dipercayakan data tersebut (Pasal 25).

Sanksi apa yang ditetapkan APPI?

Sanksi pidana melekat pada pembangkangan terhadap regulator dan pada penyerahan atau penyalahgunaan basis data untuk keuntungan terlarang, dengan denda hingga ¥100 juta untuk perusahaan. Jumlah di bawah ini berasal dari Undang-undang yang dibaca di e-Gov pada 2 November 2026.

Di mana posisi Lacquerbay?

Lacquerbay dijalankan oleh DomaineGoat LLC, perusahaan yang didirikan di Panama, dan hukum Panama adalah satu-satunya hukum yang tunduk kepadanya. Setiap data centre berada di bawah hukum wilayahnya sendiri: Hong Kong, Singapura, atau Jepang. Lacquerbay menyewakan mesinnya; apa yang Anda simpan di atasnya, dan tentang siapa, adalah untuk Anda nilai sendiri. Penanganan data pelanggan oleh kami ada di halaman privasi.

Untuk sisi praktis server Tokyo, lihat Di mana saya bisa menyewa VPS Jepang (Tokyo) dan membayar dengan kripto?, Bisakah orang asing menyewa VPS di Jepang tanpa nomor telepon atau ID Jepang? dan Apakah VPS "Singapura" saya benar-benar berada di Singapura, dan bagaimana cara memeriksa lokasi sebuah VPS?