Krótka odpowiedź
Czy japońska ustawa o ochronie danych osobowych (APPI) ma zastosowanie do danych, które hostujesz na VPS w Tokio?
APPI dotyczy firmy, która wykorzystuje dane osobowe, oraz osób, których te dane dotyczą; żaden z artykułów czytanych 2 listopada 2026 nie wskazuje lokalizacji serwera jako przesłanki. Artykuł 16 obejmuje każdego, kto wykorzystuje bazę danych osobowych do celów działalności gospodarczej, a artykuł 171 obejmuje przetwarzanie za granicą powiązane ze świadczeniem usług osobom w Japonii. Lacquerbay to streszczenie, nie porada prawna.
Kto musi przestrzegać japońskiej APPI?
Ustawa wiąże „podmiot przetwarzający informacje osobowe": każdego, kto wykorzystuje bazę danych osobowych do celów działalności gospodarczej (artykuł 16 ust. 2). Tekst wyłącza jedynie organy państwowe, samorządy i instytucje publiczne. Nie ustala minimalnego rozmiaru ani obywatelstwa.
„Informacja osobowa” to informacja o żyjącej osobie, która pozwala ją zidentyfikować samodzielnie lub przez łatwe dopasowanie z innymi danymi, albo która zawiera kod identyfikacyjny: kod wyprowadzony z cechy ciała lub numer przypisany osobie na karcie lub dokumencie, w rodzajach wymienionych w rozporządzeniu gabinetowym (artykuł 2 ust. 1 i 2). „Baza danych osobowych” to zbiór takich informacji zorganizowany tak, by komputer mógł wyszukać w nim daną osobę (artykuł 16 ust. 1), z wyjątkiem typów wyłączonych rozporządzeniem gabinetowym.
Czy APPI obejmuje firmę spoza Japonii?
Tak, gdy dane dotyczą osób w Japonii i są przetwarzane w celu dostarczania im towarów lub usług. Artykuł 171 stosuje ustawę do podmiotu, który za granicą przetwarza informacje osobowe osoby w Japonii w związku ze świadczeniem towarów lub usług osobom w Japonii. Przesłanką są obsługiwane osoby, a nie miejsce serwerów: sklep za granicą sprzedający kupującym w Japonii jest objęty, nawet jeśli jego baza danych działa w Singapurze.
Odwrotny przypadek nie jest zapisany. Firma spoza Japonii, która trzyma dane o osobach spoza Japonii na VPS w Tokio, nie jest opisana przez artykuł 171, a żaden z artykułów czytanych do tej strony tego nie rozstrzyga. To pytanie należy do prawnika w Japonii.
To nie jest rzadki przypadek. Według badania Lacquerbay z 2 listopada 2026 22 dostawców, nie licząc dużych chmur, sprzedawało VPS w Tokio, a powyższe pytanie dotyczy każdego klienta każdego z nich.
Co mówi oficjalny tekst dla każdego przypadku?
Tekst nie opiera się na tym, gdzie leży dysk; opiera się na tym, kim jesteś i czyje dane posiadasz.
| Twoja sytuacja | Co mówi oficjalny tekst | Artykuły |
|---|---|---|
| Prowadzisz firmę w Japonii i trzymasz dane klientów na VPS | Jesteś podmiotem, jeśli wykorzystujesz bazę danych osobowych do celów działalności gospodarczej; musisz podjąć środki kontroli bezpieczeństwa i nadzorować każdego, komu powierzasz dane | 16(2), 23, 25 |
| Sprzedajesz osobom w Japonii spoza Japonii | Ustawa stosuje się do Twojego przetwarzania za granicą ich informacji osobowych | 171 |
| Jesteś spoza Japonii, osoby są spoza Japonii, VPS jest w Tokio | Nieopisane przez artykuł 171; nierozstrzygnięte przez czytane artykuły | — |
| Przekazujesz dane osobowe komuś innemu | Uprzednia zgoda osoby, poza wymienionymi przypadkami; wykonawca przetwarzający dane dla Ciebie w ramach Twojego celu nie jest stroną trzecią | 27 ust. 1, 27 ust. 5 pkt i |
| Przekazujesz dane osobowe stronie trzeciej w innym kraju | Uprzednia zgoda na to przekazanie za granicę, chyba że kraj lub odbiorca spełnia standardy PPC | 28(1) |
| Wyciek, który może zaszkodzić osobom, których dotyczy | Zgłoszenie do PPC i poinformowanie osób, których dotyczy | 26 |
Co musi zrobić podmiot po wycieku danych?
Cztery rodzaje incydentów trzeba zgłosić do PPC: dane wrażliwe, ryzyko straty finansowej, prawdopodobne działanie umyślne, takie jak wtargnięcie, oraz każdy wyciek dotyczący ponad 1 000 osób (przepisy wykonawcze, artykuł 7). Dane chronione zaawansowanym szyfrowaniem lub środkiem o tym samym skutku są wyłączone ze wszystkich czterech.
Pierwsze zgłoszenie należy złożyć niezwłocznie po tym, jak podmiot dowie się o incydencie, a pełne zgłoszenie w ciągu 30 dni, lub w ciągu 60 dni, gdy incydent wygląda na umyślny (przepisy wykonawcze, artykuł 8). Osoby, których dotyczy, również trzeba poinformować (ustawa, artykuł 26 ust. 2). Podmiot przetwarzający dane w imieniu innego podmiotu może zamiast PPC powiadomić ten podmiot (artykuł 26 ust. 1, zastrzeżenie).
Czy umieszczenie danych osobowych na VPS to przekazanie stronie trzeciej?
Ustawa wymaga zgody przed przekazaniem danych osobowych stronie trzeciej, ale wykonawca, który przetwarza dane dla podmiotu w ramach celu wykorzystania, nie jest stroną trzecią (artykuł 27 ust. 1 i 27 ust. 5 pkt i). Czy dostawca VPS, który nigdy nie otwiera Twoich plików, liczy się jako taki wykonawca, czy w ogóle jako odbiorca — odpowiadają na to wytyczne i Q&A PPC. 2 listopada 2026 nie udało nam się otworzyć ppc.go.jp, więc ta strona ich nie streszcza.
Co ustawa mówi wyraźnie: podmiot musi chronić dane osobowe przed wyciekiem, utratą i uszkodzeniem (artykuł 23) oraz nadzorować każdego wykonawcę, któremu powierza te dane (artykuł 25).
Jakie kary przewiduje APPI?
Kary karne grożą za nieposłuszeństwo wobec regulatora oraz za przekazanie lub niewłaściwe wykorzystanie bazy danych dla nielegalnego zysku, z grzywnami do 100 mln ¥ dla firm. Kwoty poniżej pochodzą z ustawy czytanej na e-Gov 2 listopada 2026.
| Czyn | Kara | Artykuł |
|---|---|---|
| Naruszenie nakazu PPC wydanego na podstawie art. 148 ust. 2 lub 3 | Kara do 1 roku pozbawienia wolności lub grzywna do ¥1 000 000 | 178 |
| Przekazanie lub niewłaściwe wykorzystanie bazy danych osobowych w celu osiągnięcia nielegalnej korzyści | Kara do 1 roku pozbawienia wolności lub grzywna do ¥500 000 | 179 |
| Popełnienie któregokolwiek z powyższych przestępstw na rzecz firmy przez jej pracownika | Grzywna do ¥100 000 000 dla firmy | 184(1)(i) |
| Brak zgłoszenia lub fałszywe zgłoszenie, gdy PPC o nie poprosi na podstawie art. 146 ust. 1 | Grzywna do ¥500 000 | 182 |
Jak wypada Lacquerbay?
Lacquerbay jest obsługiwany przez DomaineGoat LLC, spółkę zarejestrowaną w Panamie, i jedynym prawem, któremu spółka podlega, jest prawo panamskie. Każde centrum danych podlega prawu własnego terytorium: Hongkongu, Singapuru lub Japonii. Lacquerbay wynajmuje maszynę; co na niej przechowujesz i o kim, oceniasz sam. Nasze własne postępowanie z danymi klientów opisujemy na stronie prywatności.
Praktyczną stronę serwera w Tokio znajdziesz w Gdzie mogę wynająć VPS w Japonii (Tokio) i zapłacić kryptowalutą?, Czy obcokrajowiec może wynająć VPS w Japonii bez japońskiego numeru telefonu lub dokumentu tożsamości? oraz Czy mój VPS „Singapore” naprawdę jest w Singapurze i jak sprawdzić, gdzie znajduje się VPS?
APPI i VPS w Tokio: krótkie odpowiedzi
Czy APPI dotyczy tylko japońskich firm?
Nie. Art. 16 ust. 2 nie wymienia żadnej narodowości, a art. 171 stosuje ustawę do przetwarzania za granicą, gdy jest ono związane z dostarczaniem towarów lub usług osobom w Japonii. To streszczenie oficjalnego tekstu, nie porada prawna.
Czy mała strona internetowa liczy się jako podmiot gospodarczy w rozumieniu APPI?
Tekst nie ustala progu wielkości: podlega mu każdy, kto wykorzystuje bazę danych osobowych do celów działalności gospodarczej. Lista klientów, którą komputer może przeszukać według osoby, jest taką bazą, chyba że rozporządzenie gabinetowe wyłącza jej rodzaj (art. 16 ust. 1).
Czy potrzebuję zgody, aby przechowywać dane użytkowników na VPS w Tokio?
Art. 27 wymaga zgody na przekazanie danych osobowych stronie trzeciej i traktuje wykonawcę przetwarzającego je dla Ciebie jako wyłączonego z tej reguły. To, jak PPC klasyfikuje dostawcę hostingu VPS, opisano w jego wytycznych, których ta strona nie omawia.
Jak szybko trzeba zgłosić wyciek danych w Japonii?
Niezwłocznie po tym, jak operator się o nim dowie, a następnie w pełni w ciągu 30 dni lub 60 dni w przypadku prawdopodobnego działania umyślnego, zgodnie z art. 8 zasad egzekwowania PPC czytanych 2 listopada 2026. Należy także poinformować osoby, których to dotyczy.
Gdzie mogę przeczytać APPI po angielsku?
Rząd japoński publikuje tłumaczenie na japaneselawtranslation.go.jp, a PPC na swoich stronach angielskich; oba odrzuciły nasze połączenie 2 listopada 2026, więc ta strona nie cytuje żadnego z nich. Wiążący jest tekst japoński w e-Gov.
Źródła (3)
- 個人情報の保護に関する法律 (Act on the Protection of Personal Information, Act No. 57 of 2003), wersja obowiązująca 2 listopada 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- 個人情報の保護に関する法律施行規則 (Enforcement Rules, PPC Rules No. 3 of 2016), wersja obowiązująca od 14 czerwca 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- Tekst ustawy przez e-Gov law API (artykuły 2, 16, 23, 25 do 28, 148, 171, 178, 179, 182, 184) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)