คำตอบสั้น
กฎหมายคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น (APPI) ใช้กับข้อมูลที่ฉันโฮสต์บน VPS ในโตเกียวหรือไม่
APPI ใช้กับธุรกิจที่ใช้ข้อมูลส่วนบุคคลและเจ้าของข้อมูล ไม่มีมาตราใดที่อ่านเมื่อวันที่ 2 พฤศจิกายน 2026 ระบุว่าตำแหน่งที่ตั้งของเซิร์ฟเวอร์เป็นเงื่อนไข triggering มาตรา 16 ครอบคลุมผู้ใดก็ตามที่ใช้ฐานข้อมูลข้อมูลส่วนบุคคลเพื่อธุรกิจ และมาตรา 171 ครอบคลุมการจัดการในต่างประเทศที่เชื่อมโยงกับการให้บริการแก่บุคคลในญี่ปุ่น Lacquerbay สรุป ไม่ใช่คำแนะนำทางกฎหมาย
ใครต้องปฏิบัติตาม APPI ของญี่ปุ่น?
พระราชบัญญัติผูกพัน "ผู้ประกอบการจัดการข้อมูลส่วนบุคคล": ผู้ใดก็ตามที่ใช้ฐานข้อมูลข้อมูลส่วนบุคคลเพื่อธุรกิจ (มาตรา 16(2)) ข้อความยกเว้นเฉพาะองค์กรของรัฐ องค์กรปกครองส่วนท้องถิ่น และหน่วยงานสาธารณะ ไม่กำหนดขนาดขั้นต่ำและไม่กำหนดสัญชาติ
"ข้อมูลส่วนบุคคล" คือข้อมูลเกี่ยวกับบุคคลที่ยังมีชีวิตอยู่ซึ่งระบุตัวบุคคลนั้นได้ ไม่ว่าจะโดยลำพังหรือโดยการจับคู่กับข้อมูลอื่นได้ง่าย หรือมีรหัสระบุตัวตน: รหัสที่ได้จากลักษณะของร่างกาย หรือหมายเลขที่กำหนดให้บุคคลนั้นบนบัตรหรือเอกสาร ตามประเภทที่พระราชกฤษฎีกากำหนด (มาตรา 2(1) และ (2)) "ฐานข้อมูลข้อมูลส่วนบุคคล" คือชุดของข้อมูลดังกล่าวที่จัดระบบเพื่อให้คอมพิวเตอร์ค้นหาบุคคลที่กำหนดได้ (มาตรา 16(1)) ยกเว้นประเภทที่พระราชกฤษฎีกายกเว้น
APPI ครอบคลุมบริษัทนอกญี่ปุ่นหรือไม่?
ใช่ เมื่อข้อมูลเป็นของบุคคลในญี่ปุ่นและถูกจัดการเพื่อจัดหาสินค้าหรือบริการให้พวกเขา มาตรา 171 ใช้พระราชบัญญัติกับผู้ประกอบการที่จัดการ ในต่างประเทศ ซึ่งข้อมูลส่วนบุคคลของบุคคลในญี่ปุ่นที่เชื่อมโยงกับการจัดหาสินค้าหรือบริการให้บุคคลในญี่ปุ่น เงื่อนไขคือบุคคลที่ให้บริการ ไม่ใช่สถานที่ตั้งของเซิร์ฟเวอร์: ร้านค้าในต่างประเทศที่ขายให้ผู้ซื้อในญี่ปุ่นอยู่ในขอบเขต แม้ฐานข้อมูลของร้านจะทำงานในสิงคโปร์
กรณีกลับกันไม่ได้ระบุไว้ บริษัทนอกญี่ปุ่นที่เก็บข้อมูลของบุคคลนอกญี่ปุ่นบน VPS ในโตเกียวไม่อยู่ในคำอธิบายของมาตรา 171 และไม่มีมาตราใดที่อ่านสำหรับหน้านี้ชี้ขาดเรื่องนี้ คำถามนั้นควรปรึกษาทนายความในญี่ปุ่น
ไม่ใช่กรณีที่พบได้ยาก ตามการสำรวจของ Lacquerbay เมื่อวันที่ 2 พฤศจิกายน 2026 มีผู้ให้บริการโฮสติ้ง 22 ราย ไม่นับคลาวด์ขนาดใหญ่ ที่ขาย VPS ในโตเกียว และคำถามข้างต้นใช้กับลูกค้าทุกรายของแต่ละราย
ข้อความทางการกล่าวถึงแต่ละกรณีอย่างไร?
ข้อความไม่ได้ขึ้นอยู่กับว่าดิสก์ตั้งอยู่ที่ใด แต่ขึ้นอยู่กับว่าคุณเป็นใครและถือข้อมูลของใคร
| สถานการณ์ของคุณ | สิ่งที่ข้อความทางการกล่าว | มาตรา |
|---|---|---|
| คุณดำเนินธุรกิจในญี่ปุ่นและเก็บบันทึกลูกค้าบน VPS | คุณเป็นผู้ประกอบการหากใช้ฐานข้อมูลข้อมูลส่วนบุคคลเพื่อธุรกิจ คุณต้องใช้มาตรการควบคุมความปลอดภัยและกำกับดูแลผู้ที่คุณมอบหมายข้อมูลให้ | 16(2), 23, 25 |
| คุณอยู่นอกญี่ปุ่นและขายให้บุคคลในญี่ปุ่น | พระราชบัญญัติใช้กับการจัดการข้อมูลส่วนบุคคลของพวกเขาในต่างประเทศของคุณ | 171 |
| คุณอยู่นอกญี่ปุ่น บุคคลเหล่านั้นอยู่นอกญี่ปุ่น VPS อยู่ในโตเกียว | ไม่อยู่ในคำอธิบายของมาตรา 171 ไม่ได้ชี้ขาดโดยมาตราที่อ่าน | — |
| คุณให้ข้อมูลส่วนบุคคลแก่ผู้อื่น | ต้องได้รับความยินยอมล่วงหน้าจากเจ้าของข้อมูล นอกกรณีที่ระบุไว้ ผู้รับจ้างที่จัดการข้อมูลให้คุณภายในวัตถุประสงค์ของคุณไม่ถือเป็นบุคคลที่สาม | 27(1), 27(5)(i) |
| คุณให้ข้อมูลส่วนบุคคลแก่บุคคลที่สามในอีกประเทศ | ต้องได้รับความยินยอมล่วงหน้าสำหรับการโอนไปต่างประเทศนั้น เว้นแต่ประเทศหรือผู้รับจะเป็นไปตามมาตรฐานของ PPC | 28(1) |
| การรั่วไหลที่อาจสร้างความเสียหายแก่บุคคลที่เกี่ยวข้อง | รายงานต่อ PPC และแจ้งบุคคลที่เกี่ยวข้อง | 26 |
ผู้ประกอบการต้องทำอะไรหลังข้อมูลรั่วไหล?
เหตุการณ์สี่ประเภทต้องรายงานต่อ PPC: ข้อมูลอ่อนไหว ความเสี่ยงต่อความเสียหายทางการเงิน การกระทำโดยเจตนาที่น่าจะเกิดขึ้นเช่นการบุกรุก และการรั่วไหลใดๆ ที่กระทบมากกว่า 1,000 คน (กฎบังคับใช้ มาตรา 7) ข้อมูลที่ได้รับการป้องกันด้วยการเข้ารหัสขั้นสูง หรือมาตรการที่มีผลเดียวกัน ไม่อยู่ในทั้งสี่ประเภท
รายงานฉบับแรกต้องส่งโดยเร็วหลังจากผู้ประกอบการทราบเหตุการณ์ และรายงานฉบับเต็มภายใน 30 วัน หรือภายใน 60 วันเมื่อเหตุการณ์ดูเหมือนเป็นโดยเจตนา (กฎ มาตรา 8) ต้องแจ้งบุคคลที่เกี่ยวข้องด้วย (พระราชบัญญัติ มาตรา 26(2)) ผู้ประกอบการที่จัดการข้อมูลในนามของผู้ประกอบการรายอื่นสามารถแจ้งผู้ประกอบการรายนั้นแทนการแจ้ง PPC ได้ (มาตรา 26(1) ข้อกำหนดยกเว้น)
การเก็บข้อมูลส่วนบุคคลบน VPS ถือเป็นการให้ข้อมูลแก่บุคคลที่สามหรือไม่?
พระราชบัญญัติกำหนดให้ขอความยินยอมก่อนที่ข้อมูลส่วนบุคคลจะถูกส่งไปยังบุคคลที่สาม แต่ผู้รับจ้างที่จัดการข้อมูลให้ผู้ประกอบการ ภายในวัตถุประสงค์การใช้ ไม่ถือเป็นบุคคลที่สาม (มาตรา 27(1) และ 27(5)(i)) การที่ผู้ให้บริการ VPS ที่ไม่เคยเปิดไฟล์ของคุณถือเป็นผู้รับจ้างดังกล่าวหรือไม่ หรือไม่ถือเป็นผู้รับเลยนั้น มีคำตอบในแนวปฏิบัติและถาม-ตอบของ PPC เราไม่สามารถเปิด ppc.go.jp ได้เมื่อวันที่ 2 พฤศจิกายน 2026 ดังนั้นหน้านี้จึงไม่ได้สรุปเนื้อหาเหล่านั้น
สิ่งที่พระราชบัญญัติกล่าวไว้ชัดเจน: ผู้ประกอบการต้องรักษาข้อมูลส่วนบุคคลให้ปลอดภัยจากการรั่วไหล สูญหาย และเสียหาย (มาตรา 23) และต้องกำกับดูแลผู้รับจ้างที่รับมอบข้อมูลนั้น (มาตรา 25)
APPI กำหนดบทลงโทษอะไรบ้าง?
บทลงโทษทางอาญาใช้กับการไม่ปฏิบัติตามคำสั่งของหน่วยงานกำกับดูแล และการส่งมอบหรือใช้ฐานข้อมูลในทางที่ผิดเพื่อผลประโยชน์อันมิชอบ โดยมีค่าปรับสูงถึง ¥100 ล้านสำหรับบริษัท จำนวนเงินด้านล่างมาจากพระราชบัญญัติที่อ่านบน e-Gov เมื่อวันที่ 2 พฤศจิกายน 2026
| การกระทำ | บทลงโทษ | มาตรา |
|---|---|---|
| การฝ่าฝืนคำสั่งของ PPC ที่ออกตามมาตรา 148(2) หรือ (3) | จำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน ¥1,000,000 | 178 |
| การส่งมอบหรือใช้ฐานข้อมูลข้อมูลส่วนบุคคลในทางที่ผิดเพื่อผลประโยชน์อันมิชอบ | จำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน ¥500,000 | 179 |
| ความผิดใดความผิดหนึ่งข้างต้น ซึ่งกระทำโดยพนักงานเพื่อบริษัท | ปรับบริษัทได้ไม่เกิน ¥100,000,000 | 184(1)(i) |
| ไม่รายงาน หรือรายงานเท็จ เมื่อ PPC ร้องขอตามมาตรา 146(1) | ปรับไม่เกิน ¥500,000 | 182 |
Lacquerbay อยู่ตรงไหน?
Lacquerbay ดำเนินการโดย DomaineGoat LLC บริษัทที่จัดตั้งในปานามา และกฎหมายปานามาเป็นกฎหมายเดียวที่บริษัทต้องรับผิดชอบ ศูนย์ข้อมูลแต่ละแห่งอยู่ภายใต้กฎหมายของดินแดนของตนเอง: ฮ่องกง สิงคโปร์ หรือญี่ปุ่น. Lacquerbay เป็นผู้ให้เช่าเครื่อง สิ่งที่คุณเก็บไว้บนเครื่อง และเก็บเกี่ยวกับใคร เป็นหน้าที่ของคุณในการประเมิน การจัดการข้อมูลลูกค้าของเราเองอยู่ในหน้าความเป็นส่วนตัว
สำหรับด้านปฏิบัติของการใช้เซิร์ฟเวอร์ในโตเกียว ดูที่ ฉันเช่า VPS ญี่ปุ่น (โตเกียว) และจ่ายด้วยคริปโตได้ที่ไหน?, ชาวต่างชาติเช่า VPS ในญี่ปุ่นได้ไหมถ้าไม่มีเบอร์โทรศัพท์หรือบัตรประชาชนญี่ปุ่น? และ VPS "สิงคโปร์" ของฉันอยู่ที่สิงคโปร์จริงหรือไม่ และจะตรวจสอบได้อย่างไรว่า VPS ตั้งอยู่ที่ไหน?
APPI กับ VPS โตเกียว: คำตอบสั้น ๆ
APPI ใช้บังคับกับบริษัทญี่ปุ่นเท่านั้นหรือไม่?
ไม่ใช่ มาตรา 16(2) ไม่ได้ระบุสัญชาติ และมาตรา 171 ใช้กฎหมายกับการจัดการในต่างประเทศเมื่อเชื่อมโยงกับการจัดหาสินค้าหรือบริการให้แก่บุคคลในญี่ปุ่น นี่เป็นบทสรุปของข้อความทางการ ไม่ใช่คำแนะนำทางกฎหมาย
เว็บไซต์ขนาดเล็กนับเป็นผู้ประกอบธุรกิจภายใต้ APPI หรือไม่?
ข้อความไม่ได้กำหนดเกณฑ์ขนาด ผู้ใดก็ตามที่ใช้ฐานข้อมูลข้อมูลส่วนบุคคลเพื่อธุรกิจอยู่ในข่ายบังคับ รายชื่อลูกค้าที่คอมพิวเตอร์ค้นหาตามรายบุคคลได้ถือเป็นฐานข้อมูลดังกล่าว เว้นแต่พระราชกฤษฎีกาจะยกเว้นประเภทนั้น (มาตรา 16(1))
ฉันต้องได้รับความยินยอมเพื่อเก็บข้อมูลผู้ใช้บน VPS โตเกียวหรือไม่?
มาตรา 27 กำหนดให้ต้องได้รับความยินยอมก่อนให้ข้อมูลส่วนบุคคลแก่บุคคลที่สาม และถือว่าผู้รับจ้างที่จัดการข้อมูลให้คุณอยู่นอกกฎเกณฑ์นั้น การที่ PPC จะจัดประเภทโฮสต์ VPS อย่างไรอยู่ในแนวปฏิบัติของ PPC ซึ่งหน้านี้ไม่ได้ครอบคลุม
ต้องรายงานการรั่วไหลของข้อมูลในญี่ปุ่นเร็วเพียงใด?
โดยทันทีหลังจากผู้ประกอบการทราบเรื่อง แล้วรายงานฉบับเต็มภายใน 30 วัน หรือ 60 วันหากคาดว่าเป็นการกระทำโดยเจตนา ตามมาตรา 8 ของ Enforcement Rules ของ PPC ที่อ่านเมื่อวันที่ 2 พฤศจิกายน 2026 ต้องแจ้งให้ผู้ที่เกี่ยวข้องทราบด้วย
ฉันอ่าน APPI ฉบับภาษาอังกฤษได้ที่ไหน?
รัฐบาลญี่ปุ่นเผยแพร่คำแปลบน japaneselawtranslation.go.jp และ PPC บนหน้าเว็บภาษาอังกฤษ ทั้งสองแห่งปฏิเสธการเชื่อมต่อของเราเมื่อวันที่ 2 พฤศจิกายน 2026 หน้านี้จึงไม่ได้อ้างข้อความจากทั้งสองแหล่ง ข้อความที่มีผลผูกพันคือฉบับภาษาญี่ปุ่นบน e-Gov
แหล่งที่มา (3)
- 個人情報の保護に関する法律 (Act on the Protection of Personal Information, Act No. 57 of 2003) ฉบับที่ใช้บังคับเมื่อวันที่ 2 พฤศจิกายน 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- 個人情報の保護に関する法律施行規則 (Enforcement Rules, PPC Rules No. 3 of 2016) ฉบับที่ใช้บังคับตั้งแต่ 14 มิถุนายน 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- ข้อความกฎหมายผ่าน e-Gov law API (มาตรา 2, 16, 23, 25 ถึง 28, 148, 171, 178, 179, 182, 184) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)