# Is de Japanse privacywet (APPI) van toepassing op data die ik host op een Tokyo VPS?

> Valt een Tokyo VPS onder de Japanse APPI? Artikelen 16, 26, 27, 28 en 171 uit de officiële e-Gov-tekst van 2 november 2026. Geen juridisch advies.

- URL: https://lacquerbay.com/nl/japan-appi-tokyo-vps/
- Laatst bijgewerkt: 2026-11-02
- Uitgever: Lacquerbay (https://lacquerbay.com)

Wat de Act on the Protection of Personal Information zegt over wie zich eraan moet houden, gegevensverwerking in het buitenland, doorgiften, datalekken en sancties, samengevat uit de officiële Japanse tekst. Geen juridisch advies.

**Snel antwoord — Is de Japanse privacywet (APPI) van toepassing op data die ik host op een Tokyo VPS?**

De APPI volgt het bedrijf dat persoonsgegevens gebruikt en de personen op wie de gegevens betrekking hebben; geen van de artikelen die op 2 november 2026 zijn gelezen, noemt de locatie van een server als trigger. Artikel 16 heeft betrekking op iedereen die een persoonsgegevensdatabase voor een bedrijf gebruikt, en artikel 171 strekt zich uit tot verwerking in het buitenland die verband houdt met het dienen van personen in Japan. Lacquerbay samenvatting, geen juridisch advies.

> **Geen juridisch advies** Deze pagina vat de officiële Japanse tekst van de Act on the Protection of Personal Information (Wet nr. 57 van 2003) en van de bijbehorende Enforcement Rules samen in de eigen Engelse woorden van Lacquerbay. Het is geen juridisch advies: vraag voor een beslissing over je gegevens een in Japan bevoegde advocaat. Op 2 november 2026 weigerden de Engelse vertaalsite van de overheid en de Engelse pagina's van de Personal Information Protection Commission (PPC) onze verbindingen, dus elk artikel hieronder is in het Japans gelezen op e-Gov, in de versie die die dag als van kracht stond vermeld.

## Wie moet zich aan de Japanse APPI houden?

**De wet bindt een "personal information handling business operator": iedereen die een persoonsgegevensdatabase voor een bedrijf gebruikt (artikel 16, lid 2).** De tekst laat alleen staatsorganen, lokale overheden en publieke instanties buiten beschouwing. Er geldt geen minimumomvang en geen nationaliteit.

"Persoonsgegevens" zijn gegevens over een levend persoon die hem identificeren, op zichzelf of door eenvoudige koppeling met andere gegevens, of die een identificatiecode bevatten: een code die is afgeleid van een kenmerk van het lichaam, of een nummer dat aan de persoon is toegekend op een kaart of document, van de soorten die een Cabinet Order opsomt (artikel 2, leden 1 en 2). Een "persoonsgegevensdatabase" is een verzameling van zulke gegevens die zo is georganiseerd dat een computer er een bepaalde persoon in kan opzoeken (artikel 16, lid 1), afgezien van soorten die een Cabinet Order uitsluit.

## Reikt de APPI tot een bedrijf buiten Japan?

**Ja, wanneer de gegevens over personen in Japan gaan en worden verwerkt om hun goederen of diensten te leveren.** Artikel 171 past de wet toe op een operator die in een vreemd land de persoonsgegevens van een persoon in Japan verwerkt in verband met het leveren van goederen of diensten aan personen in Japan. De trigger is de personen die worden gediend, niet de plaats van de servers: een winkel in het buitenland die aan kopers in Japan verkoopt, valt eronder, ook als zijn database in Singapore draait.

Het omgekeerde geval staat er niet in. Een bedrijf buiten Japan dat gegevens over personen buiten Japan op een Tokyo VPS bewaart, wordt niet door artikel 171 beschreven, en geen van de artikelen die voor deze pagina zijn gelezen, beslecht dat. Die vraag hoort bij een advocaat in Japan.

Het is geen zeldzaam geval. Volgens de enquête van Lacquerbay van 2 november 2026 verkochten 22 hosts, de grote clouds niet meegerekend, een VPS in Tokyo, en de vraag hierboven geldt voor elke klant van elk van hen.

## Wat zegt de officiële tekst voor elk geval?

**De tekst draait niet om waar de schijf staat; hij draait om wie je bent en van wie je gegevens houdt.**

| Je situatie | Wat de officiële tekst zegt | Artikelen |
| --- | --- | --- |
| Je runt een bedrijf in Japan en bewaart klantgegevens op een VPS | Je bent een operator als je een persoonsgegevensdatabase voor een bedrijf gebruikt; je moet maatregelen voor beveiligingsbeheer nemen en toezicht houden op iedereen aan wie je de gegevens toevertrouwt | 16(2), 23, 25 |
| Je zit buiten Japan en verkoopt aan personen in Japan | De wet is van toepassing op jouw verwerking in het buitenland van hun persoonsgegevens | 171 |
| Je zit buiten Japan, de personen zitten buiten Japan, de VPS staat in Tokyo | Niet beschreven door artikel 171; niet beslecht door de gelezen artikelen | — |
| Je geeft persoonsgegevens aan iemand anders | Voorafgaande toestemming van de persoon, buiten de opgesomde gevallen; een opdrachtnemer die de gegevens voor jou verwerkt binnen jouw doel is geen derde partij | 27, lid 1; 27, lid 5, onder i |
| Je geeft persoonsgegevens aan een derde partij in een ander land | Voorafgaande toestemming voor die doorgifte naar het buitenland, tenzij het land of de ontvanger aan de normen van de PPC voldoet | 28(1) |
| Een datalek dat de betrokkenen kan schaden | Melden aan de PPC en de betrokkenen informeren | 26 |

## Wat moet een operator doen na een datalek?

**Vier soorten incidenten moeten aan de PPC worden gemeld: gevoelige gegevens, een risico op financieel verlies, een waarschijnlijke opzettelijke handeling zoals een inbraak, en elk lek dat meer dan 1.000 personen raakt** (Enforcement Rules, artikel 7). Gegevens die door geavanceerde versleuteling of een maatregel met hetzelfde effect zijn beschermd, vallen buiten alle vier.

Een eerste melding is direct na het vernemen van het incident verschuldigd, en een volledige melding binnen 30 dagen, of binnen 60 dagen wanneer het incident opzettelijk lijkt (Rules, artikel 8). De betrokkenen moeten ook worden geïnformeerd (wet, artikel 26, lid 2). Een operator die de gegevens namens een andere operator verwerkt, kan die operator in plaats van de PPC inlichten (artikel 26, lid 1, voorbehoud).

## Is persoonsgegevens op een VPS zetten een verstrekking aan een derde partij?

**De wet vraagt om toestemming voordat persoonsgegevens naar een derde partij gaan, maar een opdrachtnemer die de gegevens voor de operator verwerkt, binnen het doel van gebruik, is geen derde partij** (artikel 27, lid 1 en 27, lid 5, onder i). Of een VPS-host die je bestanden nooit opent als zo'n opdrachtnemer geldt, of helemaal niet als ontvanger, wordt beantwoord in de richtlijnen en Q&A van de PPC. We konden ppc.go.jp op 2 november 2026 niet openen, dus deze pagina vat ze niet samen.

Wat de wet wel duidelijk zegt: de operator moet persoonsgegevens beveiligen tegen lekken, verlies en schade (artikel 23), en moet toezicht houden op elke opdrachtnemer aan wie hij die gegevens toevertrouwt (artikel 25).

## Welke sancties kent de APPI?

**Strafrechtelijke sancties gelden voor het trotseren van de toezichthouder en voor het overdragen of misbruiken van een database voor wederrechtelijk gewin, met boetes tot ¥100 miljoen voor bedrijven.** De onderstaande bedragen komen uit de wet zoals gelezen op e-Gov op 2 november 2026.

| Handeling | Straf | Artikel |
| --- | --- | --- |
| Het overtreden van een PPC-bevel dat is uitgevaardigd op grond van artikel 148 lid 2 of lid 3 | Tot 1 jaar gevangenisstraf of een boete tot ¥1.000.000 | 178 |
| Het overdragen of oneigenlijk gebruiken van een persoonsgegevensdatabase voor wederrechtelijk voordeel | Tot 1 jaar gevangenisstraf of een boete tot ¥500.000 | 179 |
| Een van beide bovenstaande overtredingen, door werknemers begaan voor een bedrijf | Een boete tot ¥100.000.000 voor het bedrijf | 184(1)(i) |
| Geen melding, of een valse melding, wanneer de PPC daarom vraagt op grond van artikel 146 lid 1 | Een boete tot ¥500.000 | 182 |

## Waar staat Lacquerbay?

Lacquerbay wordt beheerd door DomaineGoat LLC, een bedrijf opgericht in Panama, en alleen het Panamese recht is bindend voor het bedrijf. Elk datacenter valt onder het recht van zijn eigen territorium: Hongkong, Singapore of Japan. Lacquerbay verhuurt de machine; wat je erop opslaat, en over wie, is aan jou om te beoordelen. Hoe wij zelf met klantgegevens omgaan staat op de [privacypagina](https://lacquerbay.com/nl/privacy/ "Privacybeleid").

Voor de praktische kant van een server in Tokio, zie [Waar kan ik een Japan (Tokio) VPS huren en met crypto betalen?](https://lacquerbay.com/nl/japan-vps-tokyo/ "Waar kan ik een Japan (Tokio) VPS huren en met crypto betalen?"), [Kan een buitenlander een VPS in Japan huren zonder Japans telefoonnummer of ID?](https://lacquerbay.com/nl/rent-japan-vps-as-a-foreigner/ "Kan een buitenlander een VPS huren in Japan zonder Japans telefoonnummer of ID?") en [Staat mijn "Singapore" VPS echt in Singapore, en hoe kan ik controleren waar een VPS staat?](https://lacquerbay.com/nl/check-vps-location/ "Zit mijn ’Singapore’ VPS echt in Singapore, en hoe kan ik controleren waar een VPS staat?")

## APPI en een Tokio VPS: korte antwoorden

### Geldt de APPI alleen voor Japanse bedrijven?

Nee. Artikel 16 lid 2 noemt geen nationaliteit, en artikel 171 maakt de wet van toepassing op verwerking in het buitenland wanneer die samenhangt met het leveren van goederen of diensten aan mensen in Japan. Dit is een samenvatting van de officiële tekst, geen juridisch advies.

### Telt een kleine website als bedrijfsmatige verwerker onder de APPI?

De tekst stelt geen omvanggrens: iedereen die een persoonsgegevensdatabase bedrijfsmatig gebruikt, valt eronder. Een klantenlijst die een computer per persoon kan doorzoeken is zo'n database, tenzij een kabinetsbesluit dat type uitsluit (artikel 16 lid 1).

### Heb ik toestemming nodig om gebruikersgegevens op een Tokio VPS op te slaan?

Artikel 27 vereist toestemming om persoonsgegevens aan een derde te verstrekken en beschouwt een opdrachtnemer die ze voor jou verwerkt als buiten die regel vallend. Hoe de PPC een VPS-host classificeert staat in haar richtlijnen, die deze pagina niet behandelt.

### Hoe snel moet een datalek in Japan worden gemeld?

Onverwijld nadat de verwerker ervan op de hoogte is, en daarna volledig binnen 30 dagen, of 60 dagen bij een vermoedelijke opzettelijke daad, op grond van artikel 8 van de handhavingsregels van de PPC zoals gelezen op 2 november 2026. Ook de betrokkenen moeten worden geïnformeerd.

### Waar kan ik de APPI in het Engels lezen?

De Japanse overheid publiceert een vertaling op japaneselawtranslation.go.jp en de PPC op haar Engelse pagina's; beide weigerden onze verbinding op 2 november 2026, dus deze pagina citeert geen van beide. De bindende tekst is de Japanse op e-Gov.

## Bronnen

1. [個人情報の保護に関する法律 (Act on the Protection of Personal Information, Act No. 57 of 2003), versie van kracht op 2 november 2026](https://laws.e-gov.go.jp/law/415AC0000000057) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
2. [個人情報の保護に関する法律施行規則 (Enforcement Rules, PPC Rules No. 3 of 2016), versie van kracht sinds 14 juni 2026](https://laws.e-gov.go.jp/law/428M60020000003) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
3. [Wettekst via de e-Gov law API (artikelen 2, 16, 23, 25 tot 28, 148, 171, 178, 179, 182, 184)](https://laws.e-gov.go.jp/api/2/law_data/415AC0000000057) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)

---

Lacquerbay: Lacquerbay verkoopt Linux KVM VPS in Hongkong, Singapore en Tokio, betaalbaar met crypto zonder ID-upload. Het wordt beheerd door DomaineGoat LLC, een bedrijf geregistreerd in Panama. Elk plan kost hetzelfde in alle drie de steden, en bij een termijn van 12 maanden is het minstens 25% goedkoper dan een genoemd vergelijkbaar plan, geselecteerd uit 12 no-KYC crypto-hosts en gelezen op 2 november 2026.