Resposta rápida
A lei de privacidade do Japão (APPI) se aplica aos dados que hospedo em um VPS em Tóquio?
A APPI acompanha a empresa que usa dados pessoais e as pessoas a quem os dados se referem; nenhum dos artigos lidos em 2 de novembro de 2026 cita a localização de um servidor como gatilho. O Artigo 16 abrange qualquer pessoa que use um banco de dados de informações pessoais para fins comerciais, e o Artigo 171 alcança o tratamento no exterior vinculado ao atendimento de pessoas no Japão. Lacquerbay resumo, não é aconselhamento jurídico.
Quem deve cumprir a APPI do Japão?
A Lei vincula um "operador de negócios de tratamento de informações pessoais": qualquer pessoa que use um banco de dados de informações pessoais para fins comerciais (Artigo 16(2)). O texto exclui apenas órgãos estatais, governos locais e agências públicas. Não estabelece tamanho mínimo nem nacionalidade.
"Informações pessoais" são informações sobre uma pessoa viva que a identifiquem, por si só ou por correspondência fácil com outros dados, ou que contenham um código de identificação: um código derivado de uma característica do corpo, ou um número atribuído à pessoa em um cartão ou documento, dos tipos listados por Ordem do Gabinete (Artigo 2(1) e (2)). Um "banco de dados de informações pessoais" é uma coleção dessas informações organizada de modo que um computador possa pesquisá-la para uma determinada pessoa (Artigo 16(1)), exceto os tipos excluídos por Ordem do Gabinete.
A APPI alcança uma empresa fora do Japão?
Sim, quando os dados se referem a pessoas no Japão e são tratados para lhes fornecer bens ou serviços. O Artigo 171 aplica a Lei a um operador que trata, em um país estrangeiro, as informações pessoais de uma pessoa no Japão em conexão com o fornecimento de bens ou serviços a pessoas no Japão. O gatilho são as pessoas atendidas, não o local dos servidores: uma loja no exterior que vende a compradores no Japão está coberta mesmo que seu banco de dados rode em Singapura.
O caso inverso não está escrito. Uma empresa fora do Japão que mantém dados sobre pessoas fora do Japão em um VPS em Tóquio não é descrita pelo Artigo 171, e nenhum dos artigos lidos para esta página resolve isso. Essa questão deve ser tratada com um advogado no Japão.
Não é um caso raro. Segundo o levantamento da Lacquerbay de 2 de novembro de 2026, 22 provedores, sem contar as grandes nuvens, vendiam um VPS em Tóquio, e a pergunta acima se aplica a cada cliente de cada um deles.
O que o texto oficial diz para cada caso?
O texto não depende de onde fica o disco; depende de quem você é e de quem são os dados que você guarda.
| Sua situação | O que o texto oficial diz | Artigos |
|---|---|---|
| Você tem uma empresa no Japão e mantém registros de clientes em um VPS | Você é um operador se usa um banco de dados de informações pessoais para fins comerciais; deve adotar medidas de controle de segurança e supervisionar quem você encarrega dos dados | 16(2), 23, 25 |
| Você está fora do Japão e vende para pessoas no Japão | A Lei se aplica ao seu tratamento, no exterior, das informações pessoais delas | 171 |
| Você está fora do Japão, as pessoas estão fora do Japão, o VPS está em Tóquio | Não descrito pelo Artigo 171; não resolvido pelos artigos lidos | — |
| Você fornece dados pessoais a outra pessoa | Consentimento prévio da pessoa, fora dos casos listados; um contratado que trata os dados por você dentro da sua finalidade não é terceiro | 27(1), 27(5)(i) |
| Você fornece dados pessoais a um terceiro em outro país | Consentimento prévio para essa transferência ao exterior, a menos que o país ou o destinatário atenda aos padrões da PPC | 28(1) |
| Um vazamento que possa prejudicar as pessoas envolvidas | Comunicar à PPC e informar as pessoas envolvidas | 26 |
O que um operador deve fazer após um vazamento de dados?
Quatro tipos de incidente devem ser comunicados à PPC: dados sensíveis, risco de perda financeira, provável ato deliberado como uma intrusão, e qualquer vazamento que atinja mais de 1.000 pessoas (Regras de Execução, Artigo 7). Dados protegidos por criptografia avançada, ou por medida de efeito equivalente, ficam fora de todos os quatro.
Uma primeira comunicação é devida prontamente após o operador tomar conhecimento do incidente, e uma comunicação completa em até 30 dias, ou em até 60 dias quando o incidente parecer deliberado (Regras, Artigo 8). As pessoas envolvidas também devem ser informadas (Lei, Artigo 26(2)). Um operador que trata os dados em nome de outro operador pode notificar esse operador em vez da PPC (Artigo 26(1), ressalva).
Colocar dados pessoais em um VPS é fornecimento a terceiro?
A Lei exige consentimento antes de os dados pessoais irem a um terceiro, mas um contratado que trata os dados para o operador, dentro da finalidade de uso, não é terceiro (Artigo 27(1) e 27(5)(i)). Se um provedor de VPS que nunca abre seus arquivos conta como tal contratado, ou como nenhum destinatário, é respondido nas diretrizes e no Q&A da PPC. Não conseguimos abrir ppc.go.jp em 2 de novembro de 2026, então esta página não os resume.
O que a Lei diz claramente: o operador deve manter os dados pessoais seguros contra vazamentos, perda e danos (Artigo 23), e deve supervisionar qualquer contratado a quem confie esses dados (Artigo 25).
Quais penalidades a APPI prevê?
Penalidades criminais se aplicam a quem descumpre a determinação do regulador e a quem entrega ou usa indevidamente um banco de dados para ganho ilícito, com multas de até ¥100 milhões para empresas. Os valores abaixo são da Lei conforme lida no e-Gov em 2 de novembro de 2026.
| Conduta | Penalidade | Artigo |
|---|---|---|
| Descumprir uma ordem da PPC emitida com base no Artigo 148(2) ou (3) | Pena de até 1 ano de prisão ou multa de até ¥1.000.000 | 178 |
| Entregar ou usar indevidamente um banco de dados de informações pessoais para obtenção de vantagem ilícita | Pena de até 1 ano de prisão ou multa de até ¥500.000 | 179 |
| Qualquer uma das infrações acima, cometida por funcionário em nome de uma empresa | Multa de até ¥100.000.000 para a empresa | 184(1)(i) |
| Não apresentar relatório, ou apresentar relatório falso, quando a PPC solicitar com base no Artigo 146(1) | Multa de até ¥500.000 | 182 |
Qual é a posição da Lacquerbay?
A Lacquerbay é operada pela DomaineGoat LLC, uma empresa constituída no Panamá, e a lei panamenha é a única lei à qual a empresa responde. Cada data center está sujeito à lei do seu próprio território: Hong Kong, Singapura ou Japão. A Lacquerbay aluga a máquina; o que você armazena nela, e sobre quem, cabe a você avaliar. Nosso próprio tratamento de dados de clientes está na página de privacidade.
Para o lado prático de um servidor em Tóquio, veja Onde posso alugar um VPS no Japão (Tóquio) e pagar com cripto?, Um estrangeiro pode alugar um VPS no Japão sem número de telefone japonês ou documento de identificação? e Meu VPS "de Singapura" está mesmo em Singapura, e como posso verificar onde um VPS está localizado?
APPI e um VPS em Tóquio: respostas rápidas
A APPI se aplica apenas a empresas japonesas?
Não. O Artigo 16(2) não menciona nacionalidade, e o Artigo 171 aplica a Lei ao tratamento no exterior quando ele está ligado ao fornecimento de bens ou serviços a pessoas no Japão. Este é um resumo do texto oficial, não é orientação jurídica.
Um site pequeno conta como operador de negócio sob a APPI?
O texto não estabelece limite de porte: qualquer um que use um banco de dados de informações pessoais para fins comerciais está coberto. Uma lista de clientes que um computador consegue pesquisar por pessoa é esse banco de dados, a menos que um Cabinet Order exclua seu tipo (Artigo 16(1)).
Preciso de consentimento para armazenar dados de usuários em um VPS em Tóquio?
O Artigo 27 exige consentimento para fornecer dados pessoais a terceiros e trata um prestador que os manipula para você como fora dessa regra. Como a PPC classifica um provedor de VPS está na orientação dela, que esta página não cobre.
Em quanto tempo um vazamento de dados deve ser reportado no Japão?
Imediatamente após o operador tomar conhecimento, depois integralmente em até 30 dias, ou 60 dias em caso de provável ato deliberado, conforme o Artigo 8 das Regras de Execução da PPC, lidas em 2 de novembro de 2026. As pessoas afetadas também devem ser avisadas.
Onde posso ler a APPI em inglês?
O governo japonês publica uma tradução em japaneselawtranslation.go.jp e a PPC em suas páginas em inglês; ambos recusaram nossa conexão em 2 de novembro de 2026, então esta página não cita nenhum dos dois. O texto vinculante é o japonês no e-Gov.
Fontes (3)
- 個人情報の保護に関する法律 (Act on the Protection of Personal Information, Act No. 57 of 2003), versão em vigor em 2 de novembro de 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- 個人情報の保護に関する法律施行規則 (Enforcement Rules, PPC Rules No. 3 of 2016), versão em vigor desde 14 de junho de 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- Texto da Lei via e-Gov law API (artigos 2, 16, 23, 25 a 28, 148, 171, 178, 179, 182, 184) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)