Hızlı yanıt
Japonya'nın kişisel veri koruma yasası (APPI), Tokyo'daki bir VPS üzerinde barındırdığım verilere uygulanır mı?
APPI, kişisel verileri kullanan işletmeyi ve verilerin kendisine ait olduğu kişileri esas alır; 2 Kasım 2026 tarihinde okunan maddelerin hiçbiri bir sunucunun konumunu tetikleyici olarak belirtmez. 16. madde, kişisel bilgi veri tabanını ticari amaçla kullanan herkesi kapsar; 171. madde ise Japonya'daki kişilere hizmet sunmakla bağlantılı yurt dışı işlemeyi kapsar. Lacquerbay özet, hukuki tavsiye değildir.
Japonya'nın APPI Yasası'na kimler uymak zorundadır?
Kanun, "kişisel bilgi işleme işletmecisini" bağlar: kişisel bilgi veri tabanını ticari amaçla kullanan herkes (16. madde, 2. fıkra). Metin yalnızca devlet organlarını, yerel yönetimleri ve kamu kurumlarını hariç tutar. Asgari bir büyüklük veya uyruk şartı koymaz.
"Kişisel bilgi", yaşayan bir kişiyi tek başına ya da başka verilerle kolayca eşleştirilerek tanımlayan veya bir tanımlama kodu içeren bilgidir: bedenin bir özelliğinden türetilen bir kod ya da kişiye bir kart veya belge üzerinde verilen, Bakanlar Kurulu Kararnamesi'nde listelenen türden bir numara (2. madde, 1. ve 2. fıkralar). "Kişisel bilgi veri tabanı", Bakanlar Kurulu Kararnamesi'nin hariç tuttuğu türler dışında, bu tür bilgilerin bir bilgisayarın belirli bir kişiyi arayabileceği şekilde düzenlenmiş bir koleksiyonudur (16. madde, 1. fıkra).
APPI Yasası Japonya dışındaki bir şirketi kapsar mı?
Evet, veriler Japonya'daki kişilere aitse ve onlara mal veya hizmet sunmak amacıyla işleniyorsa. 171. madde, yurt dışında, Japonya'daki bir kişinin kişisel bilgilerini Japonya'daki kişilere mal veya hizmet sunmakla bağlantılı olarak işleyen bir işletmeciye Kanun'u uygular. Tetikleyici unsur sunucuların konumu değil, hizmet verilen kişilerdir: yurt dışındaki bir mağaza, veri tabanı Singapur'da çalışsa bile Japonya'daki alıcılara satış yapıyorsa kapsama girer.
Ters durum yazılı olarak belirtilmemiştir. Japonya dışındaki kişilere ait verileri Tokyo'daki bir VPS üzerinde tutan Japonya dışı bir şirket, 171. madde kapsamında tanımlanmamıştır ve bu sayfa için okunan maddelerin hiçbiri bu konuyu kesinleştirmez. Bu soru Japonya'da bir avukata aittir.
Bu nadir bir durum değildir. Lacquerbay tarafından 2 Kasım 2026 tarihinde yapılan ankete göre, büyük bulut sağlayıcıları hariç 22 barındırma sağlayıcısı Tokyo'da VPS satıyordu ve yukarıdaki soru bunların her birinin her müşterisi için geçerlidir.
Resmi metin her durum için ne söylüyor?
Metin, diskin nerede olduğuna değil, sizin kim olduğunuza ve kimin verilerini tuttuğunuza bağlıdır.
| Durumunuz | Resmi metnin söyledikleri | Maddeler |
|---|---|---|
| Japonya'da bir işletme yürütüyorsunuz ve müşteri kayıtlarını bir VPS üzerinde tutuyorsunuz | Kişisel bilgi veri tabanını ticari amaçla kullanıyorsanız bir işletmecisiniz; güvenlik kontrol önlemleri almalı ve verileri emanet ettiğiniz herkesi denetlemelisiniz | 16(2), 23, 25 |
| Japonya dışındasınız ve Japonya'daki kişilere satış yapıyorsunuz | Kanun, onların kişisel bilgilerini yurt dışında işlemenize uygulanır | 171 |
| Japonya dışındasınız, kişiler Japonya dışında, VPS Tokyo'da | 171. madde kapsamında tanımlanmamıştır; okunan maddelerce kesinleştirilmemiştir | — |
| Kişisel verileri başka birine veriyorsunuz | Listelenen durumlar dışında, ilgili kişinin önceden rızası; kullanım amacınız kapsamında verileri sizin adınıza işleyen bir yüklenici üçüncü taraf sayılmaz | 27(1), 27(5)(i) |
| Kişisel verileri başka bir ülkedeki üçüncü tarafa veriyorsunuz | Ülke veya alıcı PPC'nin standartlarını karşılamıyorsa, bu yurt dışı aktarım için önceden rıza | 28(1) |
| İlgili kişilere zarar verebilecek bir sızıntı | PPC'ye bildirim ve ilgili kişilere bilgi verme | 26 |
Bir veri sızıntısından sonra işletmeci ne yapmalıdır?
Dört tür olay PPC'ye bildirilmelidir: hassas veriler, maddi kayıp riski, izinsiz giriş gibi kasıtlı olma olasılığı yüksek bir eylem ve 1.000'den fazla kişiyi etkileyen her türlü sızıntı (Uygulama Yönetmeliği, 7. madde). Gelişmiş şifreleme veya aynı etkiye sahip bir önlemle korunan veriler bu dört türün dışında bırakılır.
İlk bildirim, işletmecinin olayı öğrenmesinin ardından derhal, tam bildirim ise 30 gün içinde, olay kasıtlı görünüyorsa 60 gün içinde yapılmalıdır (Yönetmelik, 8. madde). İlgili kişilere de bilgi verilmelidir (Kanun, 26. madde, 2. fıkra). Başka bir işletmeci adına verileri işleyen bir işletmeci, PPC yerine o işletmeciye bildirimde bulunabilir (26. madde, 1. fıkra, istisna hükmü).
Kişisel verileri bir VPS'e koymak üçüncü bir tarafa sağlama sayılır mı?
Kanun, kişisel veriler üçüncü bir tarafa gitmeden önce rıza ister, ancak kullanım amacı kapsamında verileri işletmeci adına işleyen bir yüklenici üçüncü taraf sayılmaz (27. madde, 1. fıkra ve 27. madde, 5. fıkra, i bendi). Dosyalarınızı hiç açmayan bir VPS sağlayıcısının böyle bir yüklenici mi yoksa hiç alıcı olmayan biri mi sayıldığı PPC'nin kılavuzlarında ve Soru-Cevap belgelerinde yanıtlanır. 2 Kasım 2026 tarihinde ppc.go.jp adresini açamadık, bu nedenle bu sayfa bunları özetlemez.
Kanun'un açıkça söylediği şudur: işletmeci kişisel verileri sızıntıya, kayba ve zarara karşı güvende tutmalı (23. madde) ve bu verileri emanet ettiği her yükleniciyi denetlemelidir (25. madde).
APPI Yasası hangi cezaları öngörür?
Cezai yaptırımlar düzenleyiciye karşı gelmeye ve bir veri tabanını hukuka aykırı kazanç için devretmeye veya kötüye kullanmaya bağlıdır; şirketler için para cezaları ¥100 milyona kadar çıkar. Aşağıdaki tutarlar, 2 Kasım 2026 tarihinde e-Gov üzerinden okunan Kanun'dan alınmıştır.
| Eylem | Ceza | Madde |
|---|---|---|
| 148(2) veya (3) uyarınca verilen bir PPC emrinin ihlali | 1 yıla kadar hapis veya 1.000.000 ¥'ye kadar para cezası | 178 |
| Kişisel bilgi veritabanının hukuka aykırı kazanç için devredilmesi veya kötüye kullanılması | 1 yıla kadar hapis veya 500.000 ¥'ye kadar para cezası | 179 |
| Yukarıdaki suçlardan birinin bir şirket için çalışanları tarafından işlenmesi | Şirket için 100.000.000 ¥'ye kadar para cezası | 184(1)(i) |
| PPC 146(1) uyarınca istediğinde bildirimde bulunulmaması veya yanlış bildirim | 500.000 ¥'ye kadar para cezası | 182 |
Lacquerbay nerede duruyor?
Lacquerbay, Panama'da kurulmuş bir şirket olan DomaineGoat LLC tarafından işletilmektedir ve şirketin tabi olduğu tek hukuk Panama hukukudur. Her veri merkezi kendi bölgesinin hukukuna tabidir: Hong Kong, Singapur veya Japonya. Makineyi Lacquerbay kiralar; üzerinde ne sakladığınız ve kimlere ait olduğu sizin değerlendirmenize bağlıdır. Müşteri verilerini kendi işleyişimiz gizlilik sayfasında yer alıyor.
Tokyo sunucusunun pratik yönü için Japonya (Tokyo) VPS'i nereden kiralayıp kripto ile ödeyebilirim?, Bir yabancı, Japon telefon numarası veya kimliği olmadan Japonya'da VPS kiralayabilir mi? ve "Singapur" VPS'im gerçekten Singapur'da mı ve bir VPS'in nerede bulunduğunu nasıl kontrol edebilirim? sayfalarına bakın
APPI ve Tokyo VPS: kısa yanıtlar
APPI yalnızca Japon şirketleri için mi geçerli?
Hayır. Madde 16(2) hiçbir uyruk belirtmez ve Madde 171, Japonya'daki kişilere mal veya hizmet sunmakla bağlantılı olduğunda Kanunu yurt dışındaki işlemeye de uygular. Bu, resmi metnin bir özetidir, hukuki tavsiye değildir.
APPI kapsamında küçük bir web sitesi işletmeci sayılır mı?
Metin hiçbir büyüklük eşiği koymaz: kişisel bilgi veritabanını ticari amaçla kullanan herkes kapsamdadır. Bir bilgisayarın kişiye göre arayabildiği bir müşteri listesi, türü bir Kabine Emri ile hariç tutulmadıkça böyle bir veritabanıdır (Madde 16(1)).
Kullanıcı verilerini bir Tokyo VPS'inde saklamak için onay gerekir mi?
Madde 27, kişisel verilerin üçüncü bir tarafa verilmesi için onay gerektirir ve verileri sizin için işleyen bir yükleniciyi bu kuralın dışında tutar. PPC'nin bir VPS sağlayıcısını nasıl sınıflandırdığı, bu sayfanın kapsamadığı rehberliğinde yer alır.
Japonya'da bir veri sızıntısı ne kadar hızlı bildirilmelidir?
İşletmeci öğrendikten sonra derhal, ardından 30 gün içinde tam olarak veya kasıtlı bir eylem olasılığı varsa 60 gün içinde, PPC'nin 2 Kasım 2026'da okunan Uygulama Kuralları'nın 8. maddesi uyarınca. İlgili kişilere de bilgi verilmelidir.
APPI'yi İngilizce olarak nereden okuyabilirim?
Japon hükümeti japaneselawtranslation.go.jp üzerinde bir çeviri, PPC ise İngilizce sayfalarında bir çeviri yayımlıyor; her ikisi de 2 Kasım 2026'da bağlantımızı reddetti, bu nedenle bu sayfa hiçbirinden alıntı yapmıyor. Bağlayıcı metin e-Gov üzerindeki Japonca metindir.
Kaynaklar (3)
- 個人情報の保護に関する法律 (Act on the Protection of Personal Information, Act No. 57 of 2003), 2 Kasım 2026'da yürürlükte olan sürüm — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- 個人情報の保護に関する法律施行規則 (Enforcement Rules, PPC Rules No. 3 of 2016), 14 Haziran 2026'dan beri yürürlükte olan sürüm — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- e-Gov law API aracılığıyla Kanun metni (madde 2, 16, 23, 25 ila 28, 148, 171, 178, 179, 182, 184) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)