# La legge giapponese sulla privacy (APPI) si applica ai dati che ospito su un VPS a Tokyo?

> La APPI giapponese si applica ai dati su un VPS a Tokyo? Articoli 16, 26, 27, 28 e 171, letti nel testo ufficiale e-Gov il 2 novembre 2026. Non è parere legale.

- URL: https://lacquerbay.com/it/japan-appi-tokyo-vps/
- Ultimo aggiornamento: 2026-11-02
- Editore: Lacquerbay (https://lacquerbay.com)

Cosa dice la legge sulla protezione delle informazioni personali su chi deve rispettarla, sui dati trattati all'estero, sui trasferimenti, sulle violazioni e sulle sanzioni, riassunto dal testo ufficiale giapponese. Non è un parere legale.

**Risposta rapida — La legge giapponese sulla privacy (APPI) si applica ai dati che ospito su un VPS a Tokyo?**

La APPI segue l'impresa che usa i dati personali e le persone a cui i dati si riferiscono; nessuno degli articoli letti il 2 novembre 2026 indica la posizione di un server come elemento scatenante. L'articolo 16 riguarda chiunque usi un database di informazioni personali per la propria attività, e l'articolo 171 copre il trattamento all'estero collegato alla fornitura di beni o servizi a persone in Giappone. Lacquerbay riassunto, non è un parere legale.

> **Non è un parere legale** Questa pagina riassume, con parole inglesi proprie di Lacquerbay, il testo ufficiale giapponese della legge sulla protezione delle informazioni personali (legge n. 57 del 2003) e delle sue norme di attuazione. Non è un parere legale: per una decisione sui tuoi dati, rivolgiti a un avvocato abilitato in Giappone. Il 2 novembre 2026 il sito della traduzione inglese del governo e le pagine in inglese della Commissione per la protezione delle informazioni personali (PPC) hanno rifiutato le nostre connessioni, quindi ogni articolo qui sotto è stato letto in giapponese su e-Gov, nella versione indicata come in vigore quel giorno.

## Chi deve rispettare la APPI giapponese?

**La legge vincola un "operatore che tratta informazioni personali": chiunque usi un database di informazioni personali per la propria attività (articolo 16(2)).** Il testo esclude solo gli organi dello Stato, gli enti locali e gli enti pubblici. Non fissa dimensioni minime né nazionalità.

Le "informazioni personali" sono informazioni su una persona vivente che la identificano, da sole o tramite un facile incrocio con altri dati, oppure che contengono un codice identificativo: un codice derivato da una caratteristica del corpo, o un numero assegnato alla persona su una tessera o un documento, dei tipi elencati da un decreto del Gabinetto (articolo 2(1) e (2)). Un "database di informazioni personali" è una raccolta di tali informazioni organizzata in modo che un computer possa cercarvi una determinata persona (articolo 16(1)), esclusi i tipi che un decreto del Gabinetto esclude.

## La APPI si applica a un'azienda fuori dal Giappone?

**Sì, quando i dati riguardano persone in Giappone e sono trattati per fornire loro beni o servizi.** L'articolo 171 applica la legge a un operatore che, in un paese straniero, tratta le informazioni personali di una persona in Giappone in relazione alla fornitura di beni o servizi a persone in Giappone. L'elemento scatenante sono le persone servite, non il luogo dei server: un negozio all'estero che vende ad acquirenti in Giappone è coperto anche se il suo database gira a Singapore.

Il caso inverso non è scritto. Un'azienda fuori dal Giappone che conserva dati su persone fuori dal Giappone su un VPS a Tokyo non è descritta dall'articolo 171, e nessuno degli articoli letti per questa pagina lo risolve. Quella questione va posta a un avvocato in Giappone.

Non è un caso raro. Secondo l'indagine di Lacquerbay del 2 novembre 2026, 22 host, senza contare i grandi cloud, vendevano un VPS a Tokyo, e la domanda qui sopra vale per ogni cliente di ciascuno di essi.

## Cosa dice il testo ufficiale per ogni caso?

**Il testo non si basa su dove si trova il disco; si basa su chi sei e di chi sono i dati che conservi.**

| La tua situazione | Cosa dice il testo ufficiale | Articoli |
| --- | --- | --- |
| Gestisci un'attività in Giappone e conservi le schede dei clienti su un VPS | Sei un operatore se usi un database di informazioni personali per la tua attività; devi adottare misure di controllo della sicurezza e supervisionare chiunque a cui affidi i dati | 16(2), 23, 25 |
| Sei fuori dal Giappone e vendi a persone in Giappone | La legge si applica al tuo trattamento, all'estero, delle loro informazioni personali | 171 |
| Sei fuori dal Giappone, le persone sono fuori dal Giappone, il VPS è a Tokyo | Non descritto dall'articolo 171; non risolto dagli articoli letti | — |
| Cedi dati personali a qualcun altro | Consenso preventivo della persona, al di fuori dei casi elencati; un incaricato che tratta i dati per te nell'ambito della tua finalità non è un terzo | 27(1), 27(5)(i) |
| Cedi dati personali a un terzo in un altro paese | Consenso preventivo a quel trasferimento all'estero, salvo che il paese o il destinatario soddisfi gli standard della PPC | 28(1) |
| Una violazione che può danneggiare le persone coinvolte | Segnalazione alla PPC e comunicazione alle persone coinvolte | 26 |

## Cosa deve fare un operatore dopo una violazione dei dati?

**Quattro tipi di incidente vanno segnalati alla PPC: dati sensibili, un rischio di perdita finanziaria, un atto probabilmente doloso come un'intrusione, e qualsiasi violazione che coinvolga più di 1.000 persone** (norme di attuazione, articolo 7). I dati protetti da crittografia avanzata, o da una misura di pari effetto, sono esclusi da tutti e quattro.

Una prima segnalazione va fatta tempestivamente dopo che l'operatore viene a conoscenza dell'incidente, e una segnalazione completa entro 30 giorni, o entro 60 giorni quando l'incidente appare doloso (norme, articolo 8). Anche le persone coinvolte devono essere informate (legge, articolo 26(2)). Un operatore che tratta i dati per conto di un altro operatore può notificare a quest'ultimo invece che alla PPC (articolo 26(1), riserva).

## Mettere dati personali su un VPS è una cessione a un terzo?

**La legge richiede il consenso prima che i dati personali vadano a un terzo, ma un incaricato che tratta i dati per l'operatore, nell'ambito della finalità di utilizzo, non è un terzo** (articolo 27(1) e 27(5)(i)). Se un host di VPS che non apre mai i tuoi file rientri tra tali incaricati, o non sia affatto un destinatario, è risolto nelle linee guida e nelle Q&A della PPC. Il 2 novembre 2026 non siamo riusciti ad aprire ppc.go.jp, quindi questa pagina non le riassume.

Ciò che la legge dice chiaramente: l'operatore deve mantenere i dati personali al sicuro da violazioni, perdita e danni (articolo 23), e deve supervisionare qualsiasi incaricato a cui affida tali dati (articolo 25).

## Quali sanzioni prevede la APPI?

**Le sanzioni penali si applicano a chi disattende l'autorità di regolamentazione e a chi cede o usa impropriamente un database per un illecito guadagno, con multe fino a 100 milioni di ¥ per le aziende.** Gli importi qui sotto provengono dalla legge letta su e-Gov il 2 novembre 2026.

| Reato | Sanzione | Articolo |
| --- | --- | --- |
| Violare un ordine PPC emesso ai sensi dell'articolo 148(2) o (3) | Fino a 1 anno di reclusione o una multa fino a ¥1.000.000 | 178 |
| Cedere o usare impropriamente un database di informazioni personali per un guadagno illecito | Fino a 1 anno di reclusione o una multa fino a ¥500.000 | 179 |
| Uno dei reati sopra, commesso da un dipendente per conto di un'azienda | Una multa fino a ¥100.000.000 per l'azienda | 184(1)(i) |
| Nessuna segnalazione, o una segnalazione falsa, quando il PPC la richiede ai sensi dell'articolo 146(1) | Una multa fino a ¥500.000 | 182 |

## Dov'è Lacquerbay in tutto questo?

Lacquerbay è gestita da DomaineGoat LLC, una società costituita a Panama, e la legge panamense è l'unica legge a cui la società risponde. Ogni data center è soggetto alla legge del proprio territorio: Hong Kong, Singapore o Giappone. Lacquerbay affitta la macchina; quello che ci archivi, e su chi, sta a te valutarlo. Come trattiamo noi i dati dei clienti è nella [pagina sulla privacy](https://lacquerbay.com/it/privacy/ "Informativa sulla privacy").

Per il lato pratico di un server a Tokyo, vedi [Dove posso affittare un VPS in Giappone (Tokyo) e pagare in criptovalute?](https://lacquerbay.com/it/japan-vps-tokyo/ "Dove posso affittare un VPS in Giappone (Tokyo) e pagare in criptovalute?"), [Un straniero può affittare un VPS in Giappone senza numero di telefono giapponese né documento d'identità?](https://lacquerbay.com/it/rent-japan-vps-as-a-foreigner/ "Uno straniero può noleggiare un VPS in Giappone senza un numero di telefono o un documento giapponese?") e [Il mio VPS "Singapore" è davvero a Singapore, e come posso verificare dove si trova un VPS?](https://lacquerbay.com/it/check-vps-location/ "Il mio VPS ’Singapore’ è davvero a Singapore, e come posso verificare dove si trova un VPS?")

## APPI e un VPS a Tokyo: risposte brevi

### L'APPI si applica solo alle aziende giapponesi?

No. L'articolo 16(2) non nomina alcuna nazionalità, e l'articolo 171 applica la legge al trattamento all'estero quando è collegato alla fornitura di beni o servizi a persone in Giappone. Questa è una sintesi del testo ufficiale, non un parere legale.

### Un piccolo sito web conta come operatore commerciale ai sensi dell'APPI?

Il testo non fissa alcuna soglia dimensionale: chiunque usi un database di informazioni personali per attività d'impresa rientra nella norma. Una lista clienti che un computer può cercare per persona è un tale database, a meno che un Cabinet Order non ne escluda il tipo (articolo 16(1)).

### Serve il consenso per archiviare dati degli utenti su un VPS a Tokyo?

L'articolo 27 richiede il consenso per cedere dati personali a terzi e considera fuori da quella regola un incaricato che li tratti per te. Come il PPC classifica un provider VPS è nella sua guida, che questa pagina non tratta.

### Con quale rapidità va segnalata una fuga di dati in Giappone?

Subito dopo che l'operatore ne viene a conoscenza, poi in modo completo entro 30 giorni, o 60 giorni in caso di probabile atto doloso, ai sensi dell'articolo 8 delle Enforcement Rules del PPC, consultate il 2 novembre 2026. Vanno informate anche le persone coinvolte.

### Dove posso leggere l'APPI in inglese?

Il governo giapponese pubblica una traduzione su japaneselawtranslation.go.jp e il PPC sulle sue pagine in inglese; entrambi hanno rifiutato la nostra connessione il 2 novembre 2026, quindi questa pagina non cita nessuno dei due. Il testo vincolante è quello giapponese su e-Gov.

## Fonti

1. [個人情報の保護に関する法律 (Act on the Protection of Personal Information, Act No. 57 of 2003), versione in vigore il 2 novembre 2026](https://laws.e-gov.go.jp/law/415AC0000000057) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
2. [個人情報の保護に関する法律施行規則 (Enforcement Rules, PPC Rules No. 3 of 2016), versione in vigore dal 14 giugno 2026](https://laws.e-gov.go.jp/law/428M60020000003) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
3. [Testo della legge tramite l'API delle leggi di e-Gov (articoli 2, 16, 23, 25-28, 148, 171, 178, 179, 182, 184)](https://laws.e-gov.go.jp/api/2/law_data/415AC0000000057) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)

---

Lacquerbay: Lacquerbay vende VPS KVM Linux a Hong Kong, Singapore e Tokyo, pagabili in criptovalute senza caricare documenti d'identità. È gestita da DomaineGoat LLC, una società registrata a Panama. Ogni piano costa lo stesso in tutte e tre le città e, con un contratto di 12 mesi, ha un prezzo inferiore di almeno il 25% rispetto a un piano comparabile nominato esplicitamente, scelto tra 12 provider crypto senza KYC e rilevato il 2 novembre 2026.