# 日本の個人情報保護法（APPI）は、東京のVPSでホストするデータに適用されますか？

> 日本のAPPIは東京のVPS上のデータに適用されますか？第16条、第26条、第27条、第28条、第171条を、2026年11月2日にe-Govの公式テキストで確認しました。法的助言ではありません。

- URL: https://lacquerbay.com/ja/japan-appi-tokyo-vps/
- 最終更新: 2026-11-02
- 発行者: Lacquerbay (https://lacquerbay.com)

個人情報の保護に関する法律が、誰に適用されるか、海外で取り扱われるデータ、第三者提供、漏えい、罰則について定めている内容を、日本の公式テキストから要約したものです。法的助言ではありません。

**簡単な回答 — 日本の個人情報保護法（APPI）は、東京のVPSでホストするデータに適用されますか？**

APPIは個人データを利用する事業者と、そのデータの対象となる人に適用されます。2026年11月2日に確認した条文のいずれも、サーバーの所在地を適用の根拠として挙げていません。第16条は事業のために個人情報データベースを利用する者を対象とし、第171条は日本にいる人への商品・サービスの提供に関連して海外で行われる取扱いに及びます。Lacquerbayの要約であり、法的助言ではありません。

> **法的助言ではありません** このページは、個人情報の保護に関する法律（平成15年法律第57号）およびその施行規則の公式日本語テキストを、Lacquerbay独自の英語で要約したものです。法的助言ではありません。データに関する判断については、日本で資格を持つ弁護士にご相談ください。2026年11月2日時点で、政府の英語翻訳サイトおよび個人情報保護委員会（PPC）の英語ページへの接続は拒否されたため、以下の各条文はe-Govで、その日に有効とされた版の日本語テキストで確認しました。

## 日本のAPPIに従う必要があるのは誰ですか？

**この法律は「個人情報取扱事業者」、すなわち事業のために個人情報データベースを利用する者を拘束します（第16条第2項）。** 除外されるのは国の機関、地方公共団体、公共機関のみです。規模の下限も国籍も定めていません。

「個人情報」とは、生存する個人に関する情報であって、それ自体または他のデータとの容易な照合によって特定の個人を識別できるもの、あるいは識別符号を含むものをいいます。識別符号とは、身体の特徴から導かれる符号や、カード・書類上で個人に割り当てられた番号で、政令で定める種類のものです（第2条第1項・第2項）。「個人情報データベース」とは、こうした情報を、コンピュータで特定の個人を検索できるように整理した集合物をいい（第16条第1項）、政令で除外される種類を除きます。

## APPIは日本国外の企業にも適用されますか？

**はい、データが日本にいる人に関するもので、その人に商品やサービスを提供するために取り扱われる場合です。** 第171条は、日本にいる人への商品・サービスの提供に関連して、外国において日本にいる人の個人情報を取り扱う事業者にこの法律を適用します。適用の根拠は提供する相手であり、サーバーの所在地ではありません。海外の店舗が日本国内の購入者に販売する場合、データベースがシンガポールで稼働していても対象になります。

逆のケースは明記されていません。日本国外の企業が、日本国外の人に関するデータを東京のVPSに保管する場合は第171条に該当せず、このページで確認した条文でも結論は出ていません。この問題は日本国内の弁護士にご相談ください。

これは珍しいケースではありません。2026年11月2日時点のLacquerbayの調査によると、大規模クラウドを除いて22のホストが東京でVPSを販売しており、上記の問いはその各社の全顧客に当てはまります。

## 各ケースについて公式テキストは何と定めていますか？

**テキストはディスクの所在ではなく、あなたが誰で、誰のデータを保有しているかで判断します。**

| あなたの状況 | 公式テキストの定め | 条文 |
| --- | --- | --- |
| 日本で事業を行い、顧客記録をVPSに保管している | 事業のために個人情報データベースを利用する場合は事業者に該当し、安全管理措置を講じ、データを委託した相手を監督する必要があります | 16(2), 23, 25 |
| 日本国外にいて、日本にいる人に販売している | その人の個人情報を海外で取り扱う行為にこの法律が適用されます | 171 |
| 日本国外にいて、対象者も日本国外、VPSは東京にある | 第171条には該当せず、確認した条文では結論が出ていません | — |
| 個人データを他者に提供する | 列挙された場合を除き、本人の事前同意が必要です。利用目的の範囲内でデータを取り扱う委託先は第三者に該当しません | 27(1), 27(5)(i) |
| 個人データを他国の第三者に提供する | その外国への移転について事前同意が必要です。ただし国または受領者がPPCの基準を満たす場合を除きます | 28(1) |
| 本人に危害が及ぶおそれのある漏えい | PPCへの報告と本人への通知が必要です | 26 |

## データ漏えい後、事業者は何をしなければなりませんか？

**PPCへの報告が必要なのは4種類の事案です。要配慮データ、財産的被害のおそれ、侵入などの故意による可能性が高い行為、および1,000人を超える人が関わる漏えいです**（施行規則第7条）。高度な暗号化や、それと同等の効果を持つ措置で保護されたデータは、この4種類のいずれからも除外されます。

事業者が事案を認識した後、速やかに第一報を、30日以内に詳細な報告を提出する必要があります。故意によるものと思われる場合は60日以内です（施行規則第8条）。本人への通知も必要です（法第26条第2項）。他の事業者に代わってデータを取り扱う事業者は、PPCの代わりにその事業者へ通知できます（第26条第1項ただし書き）。

## 個人データをVPSに置くことは第三者提供に当たりますか？

**この法律は個人データを第三者に提供する前に同意を求めますが、利用目的の範囲内で事業者のためにデータを取り扱う委託先は第三者に該当しません**（第27条第1項・第27条第5項第1号）。あなたのファイルを一切開かないVPSホストがこうした委託先に当たるのか、そもそも受領者に当たらないのかは、PPCのガイドラインおよびQ&Aで示されています。2026年11月2日時点でppc.go.jpを開けなかったため、このページではそれらを要約していません。

この法律が明確に定めているのは、事業者は個人データを漏えい・滅失・毀損から安全に保護し（第23条）、データを委託した相手を監督しなければならない（第25条）ということです。

## APPIが定める罰則は何ですか？

**刑事罰は、規制当局の命令に違反した場合と、不正な利益を得るためにデータベースを提供・悪用した場合に科され、企業には最大1億円の罰金が課されます。** 以下の金額は、2026年11月2日にe-Govで確認した法律のものです。

| 行為 | 罰則 | 条文 |
| --- | --- | --- |
| 第148条第2項または第3項に基づき発出されたPPC命令に違反すること | 1年以下の懲役または100万円以下の罰金 | 178 |
| 不正な利益を得る目的で個人情報データベースを提供または不正利用すること | 1年以下の懲役または50万円以下の罰金 | 179 |
| 上記のいずれかの罪を、従業員が会社のために犯した場合 | 会社に対して1億円以下の罰金 | 184(1)(i) |
| 第146条第1項に基づきPPCが求めた際に、報告をしない、または虚偽の報告をすること | 50万円以下の罰金 | 182 |

## Lacquerbayの立場は？

Lacquerbayはパナマで設立されたDomaineGoat LLCが運営しており、当社が従う法はパナマ法のみです。各データセンターはそれぞれの地域の法（香港、シンガポール、日本）の下にあります。Lacquerbayはマシンを貸し出しますが、その上に何を、誰について保存するかはご自身で評価していただくものです。当社による顧客データの取り扱いについては、[プライバシーページ](https://lacquerbay.com/ja/privacy/ "プライバシーポリシー")をご覧ください。

東京サーバーの実務的な側面については、[日本（東京）のVPSを暗号資産で支払ってレンタルできる場所は？](https://lacquerbay.com/ja/japan-vps-tokyo/ "日本（東京）のVPSを暗号資産で支払ってレンタルできる場所は？")、[日本人の電話番号やIDがなくても外国人が日本でVPSをレンタルできますか？](https://lacquerbay.com/ja/rent-japan-vps-as-a-foreigner/ "日本の電話番号や身分証明書なしで、外国人は日本でVPSをレンタルできますか？")、[私の「シンガポール」VPSは本当にシンガポールにあるのか、VPSの所在を確認する方法は？](https://lacquerbay.com/ja/check-vps-location/ "私の「シンガポール」VPSは本当にシンガポールにありますか？VPSの所在地はどうやって確認できますか？")をご覧ください。

## APPIと東京VPS：短い回答

### APPIは日本企業にのみ適用されますか？

いいえ。第16条第2項は国籍を問わず、第171条は日本国内の人々への商品・サービスの提供と結びつく場合、海外での取り扱いにも本法を適用します。これは公式テキストの要約であり、法的助言ではありません。

### 小規模なウェブサイトもAPPI上の事業者に該当しますか？

テキストには規模の基準が設けられていません。事業のために個人情報データベースを使用する者はすべて対象です。コンピュータで個人ごとに検索できる顧客リストは、政令でその種類が除外されない限り、そうしたデータベースに該当します（第16条第1項）。

### 東京VPSにユーザーデータを保存するには同意が必要ですか？

第27条は、個人データを第三者に提供するには同意を求め、委託先がご自身のために取り扱う場合はこの規則の対象外としています。VPSホストをPPCがどのように分類するかは同委員会のガイダンスに記載されており、本ページでは扱っていません。

### 日本ではデータ漏えいをどのくらいの速さで報告する必要がありますか？

事業者が漏えいを把握した後、速やかに、その後30日以内に詳細を報告する必要があり、故意の行為の可能性がある場合は60日以内です。これは2026年11月2日時点で読んだPPC施行規則第8条に基づきます。関係者への通知も必要です。

### APPIは英語でどこで読めますか？

日本政府はjapaneselawtranslation.go.jpで翻訳を公開しており、PPCも英語ページで公開していますが、2026年11月2日時点でいずれも当社の接続を拒否したため、本ページではどちらからの引用も行っていません。拘束力のあるテキストはe-Gov上の日本語版です。

## 出典

1. [個人情報の保護に関する法律 (Act on the Protection of Personal Information, Act No. 57 of 2003)、2026年11月2日時点で有効な版](https://laws.e-gov.go.jp/law/415AC0000000057) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
2. [個人情報の保護に関する法律施行規則 (Enforcement Rules, PPC Rules No. 3 of 2016)、2026年6月14日以降有効な版](https://laws.e-gov.go.jp/law/428M60020000003) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
3. [e-Gov法令API経由の法律テキスト（第2条、第16条、第23条、第25条から第28条、第148条、第171条、第178条、第179条、第182条、第184条）](https://laws.e-gov.go.jp/api/2/law_data/415AC0000000057) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)

---

Lacquerbay: Lacquerbayは香港、シンガポール、東京でLinux KVM VPSを販売しており、暗号資産で支払いができ、IDのアップロードは不要です。運営はパナマに登記された企業DomaineGoat LLCです。各プランは3都市すべてで同じ価格で、12か月契約の場合、12のKYC不要の暗号資産ホストの中から選ばれ、2026年11月2日に確認された特定の比較対象プランより少なくとも25%安い価格に設定されています。