Risposta rapida
La legge giapponese sulla privacy (APPI) si applica ai dati che ospito su un VPS a Tokyo?
La APPI segue l'impresa che usa i dati personali e le persone a cui i dati si riferiscono; nessuno degli articoli letti il 2 novembre 2026 indica la posizione di un server come elemento scatenante. L'articolo 16 riguarda chiunque usi un database di informazioni personali per la propria attività, e l'articolo 171 copre il trattamento all'estero collegato alla fornitura di beni o servizi a persone in Giappone. Lacquerbay riassunto, non è un parere legale.
Chi deve rispettare la APPI giapponese?
La legge vincola un "operatore che tratta informazioni personali": chiunque usi un database di informazioni personali per la propria attività (articolo 16(2)). Il testo esclude solo gli organi dello Stato, gli enti locali e gli enti pubblici. Non fissa dimensioni minime né nazionalità.
Le "informazioni personali" sono informazioni su una persona vivente che la identificano, da sole o tramite un facile incrocio con altri dati, oppure che contengono un codice identificativo: un codice derivato da una caratteristica del corpo, o un numero assegnato alla persona su una tessera o un documento, dei tipi elencati da un decreto del Gabinetto (articolo 2(1) e (2)). Un "database di informazioni personali" è una raccolta di tali informazioni organizzata in modo che un computer possa cercarvi una determinata persona (articolo 16(1)), esclusi i tipi che un decreto del Gabinetto esclude.
La APPI si applica a un'azienda fuori dal Giappone?
Sì, quando i dati riguardano persone in Giappone e sono trattati per fornire loro beni o servizi. L'articolo 171 applica la legge a un operatore che, in un paese straniero, tratta le informazioni personali di una persona in Giappone in relazione alla fornitura di beni o servizi a persone in Giappone. L'elemento scatenante sono le persone servite, non il luogo dei server: un negozio all'estero che vende ad acquirenti in Giappone è coperto anche se il suo database gira a Singapore.
Il caso inverso non è scritto. Un'azienda fuori dal Giappone che conserva dati su persone fuori dal Giappone su un VPS a Tokyo non è descritta dall'articolo 171, e nessuno degli articoli letti per questa pagina lo risolve. Quella questione va posta a un avvocato in Giappone.
Non è un caso raro. Secondo l'indagine di Lacquerbay del 2 novembre 2026, 22 host, senza contare i grandi cloud, vendevano un VPS a Tokyo, e la domanda qui sopra vale per ogni cliente di ciascuno di essi.
Cosa dice il testo ufficiale per ogni caso?
Il testo non si basa su dove si trova il disco; si basa su chi sei e di chi sono i dati che conservi.
| La tua situazione | Cosa dice il testo ufficiale | Articoli |
|---|---|---|
| Gestisci un'attività in Giappone e conservi le schede dei clienti su un VPS | Sei un operatore se usi un database di informazioni personali per la tua attività; devi adottare misure di controllo della sicurezza e supervisionare chiunque a cui affidi i dati | 16(2), 23, 25 |
| Sei fuori dal Giappone e vendi a persone in Giappone | La legge si applica al tuo trattamento, all'estero, delle loro informazioni personali | 171 |
| Sei fuori dal Giappone, le persone sono fuori dal Giappone, il VPS è a Tokyo | Non descritto dall'articolo 171; non risolto dagli articoli letti | — |
| Cedi dati personali a qualcun altro | Consenso preventivo della persona, al di fuori dei casi elencati; un incaricato che tratta i dati per te nell'ambito della tua finalità non è un terzo | 27(1), 27(5)(i) |
| Cedi dati personali a un terzo in un altro paese | Consenso preventivo a quel trasferimento all'estero, salvo che il paese o il destinatario soddisfi gli standard della PPC | 28(1) |
| Una violazione che può danneggiare le persone coinvolte | Segnalazione alla PPC e comunicazione alle persone coinvolte | 26 |
Cosa deve fare un operatore dopo una violazione dei dati?
Quattro tipi di incidente vanno segnalati alla PPC: dati sensibili, un rischio di perdita finanziaria, un atto probabilmente doloso come un'intrusione, e qualsiasi violazione che coinvolga più di 1.000 persone (norme di attuazione, articolo 7). I dati protetti da crittografia avanzata, o da una misura di pari effetto, sono esclusi da tutti e quattro.
Una prima segnalazione va fatta tempestivamente dopo che l'operatore viene a conoscenza dell'incidente, e una segnalazione completa entro 30 giorni, o entro 60 giorni quando l'incidente appare doloso (norme, articolo 8). Anche le persone coinvolte devono essere informate (legge, articolo 26(2)). Un operatore che tratta i dati per conto di un altro operatore può notificare a quest'ultimo invece che alla PPC (articolo 26(1), riserva).
Mettere dati personali su un VPS è una cessione a un terzo?
La legge richiede il consenso prima che i dati personali vadano a un terzo, ma un incaricato che tratta i dati per l'operatore, nell'ambito della finalità di utilizzo, non è un terzo (articolo 27(1) e 27(5)(i)). Se un host di VPS che non apre mai i tuoi file rientri tra tali incaricati, o non sia affatto un destinatario, è risolto nelle linee guida e nelle Q&A della PPC. Il 2 novembre 2026 non siamo riusciti ad aprire ppc.go.jp, quindi questa pagina non le riassume.
Ciò che la legge dice chiaramente: l'operatore deve mantenere i dati personali al sicuro da violazioni, perdita e danni (articolo 23), e deve supervisionare qualsiasi incaricato a cui affida tali dati (articolo 25).
Quali sanzioni prevede la APPI?
Le sanzioni penali si applicano a chi disattende l'autorità di regolamentazione e a chi cede o usa impropriamente un database per un illecito guadagno, con multe fino a 100 milioni di ¥ per le aziende. Gli importi qui sotto provengono dalla legge letta su e-Gov il 2 novembre 2026.
| Reato | Sanzione | Articolo |
|---|---|---|
| Violare un ordine PPC emesso ai sensi dell'articolo 148(2) o (3) | Fino a 1 anno di reclusione o una multa fino a ¥1.000.000 | 178 |
| Cedere o usare impropriamente un database di informazioni personali per un guadagno illecito | Fino a 1 anno di reclusione o una multa fino a ¥500.000 | 179 |
| Uno dei reati sopra, commesso da un dipendente per conto di un'azienda | Una multa fino a ¥100.000.000 per l'azienda | 184(1)(i) |
| Nessuna segnalazione, o una segnalazione falsa, quando il PPC la richiede ai sensi dell'articolo 146(1) | Una multa fino a ¥500.000 | 182 |
Dov'è Lacquerbay in tutto questo?
Lacquerbay è gestita da DomaineGoat LLC, una società costituita a Panama, e la legge panamense è l'unica legge a cui la società risponde. Ogni data center è soggetto alla legge del proprio territorio: Hong Kong, Singapore o Giappone. Lacquerbay affitta la macchina; quello che ci archivi, e su chi, sta a te valutarlo. Come trattiamo noi i dati dei clienti è nella pagina sulla privacy.
Per il lato pratico di un server a Tokyo, vedi Dove posso affittare un VPS in Giappone (Tokyo) e pagare in criptovalute?, Un straniero può affittare un VPS in Giappone senza numero di telefono giapponese né documento d'identità? e Il mio VPS "Singapore" è davvero a Singapore, e come posso verificare dove si trova un VPS?
APPI e un VPS a Tokyo: risposte brevi
L'APPI si applica solo alle aziende giapponesi?
No. L'articolo 16(2) non nomina alcuna nazionalità, e l'articolo 171 applica la legge al trattamento all'estero quando è collegato alla fornitura di beni o servizi a persone in Giappone. Questa è una sintesi del testo ufficiale, non un parere legale.
Un piccolo sito web conta come operatore commerciale ai sensi dell'APPI?
Il testo non fissa alcuna soglia dimensionale: chiunque usi un database di informazioni personali per attività d'impresa rientra nella norma. Una lista clienti che un computer può cercare per persona è un tale database, a meno che un Cabinet Order non ne escluda il tipo (articolo 16(1)).
Serve il consenso per archiviare dati degli utenti su un VPS a Tokyo?
L'articolo 27 richiede il consenso per cedere dati personali a terzi e considera fuori da quella regola un incaricato che li tratti per te. Come il PPC classifica un provider VPS è nella sua guida, che questa pagina non tratta.
Con quale rapidità va segnalata una fuga di dati in Giappone?
Subito dopo che l'operatore ne viene a conoscenza, poi in modo completo entro 30 giorni, o 60 giorni in caso di probabile atto doloso, ai sensi dell'articolo 8 delle Enforcement Rules del PPC, consultate il 2 novembre 2026. Vanno informate anche le persone coinvolte.
Dove posso leggere l'APPI in inglese?
Il governo giapponese pubblica una traduzione su japaneselawtranslation.go.jp e il PPC sulle sue pagine in inglese; entrambi hanno rifiutato la nostra connessione il 2 novembre 2026, quindi questa pagina non cita nessuno dei due. Il testo vincolante è quello giapponese su e-Gov.
Fonti (3)
- 個人情報の保護に関する法律 (Act on the Protection of Personal Information, Act No. 57 of 2003), versione in vigore il 2 novembre 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- 個人情報の保護に関する法律施行規則 (Enforcement Rules, PPC Rules No. 3 of 2016), versione in vigore dal 14 giugno 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- Testo della legge tramite l'API delle leggi di e-Gov (articoli 2, 16, 23, 25-28, 148, 171, 178, 179, 182, 184) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)