Коротка відповідь
Чи застосовується закон Японії про приватність (APPI) до даних, які я розміщую на VPS у Токіо?
APPI прив'язується до бізнесу, який використовує персональні дані, і до людей, про яких ці дані; жодна зі статей, прочитаних 2 листопада 2026 року, не називає місцезнаходження сервера підставою для застосування. Стаття 16 охоплює будь-кого, хто використовує базу персональної інформації для бізнесу, а стаття 171 поширюється на обробку за кордоном, пов'язану з наданням послуг людям у Японії. Lacquerbay стислий виклад, не юридична консультація.
Хто має дотримуватися APPI Японії?
Закон зобов'язує «оператора, що обробляє персональну інформацію»: будь-кого, хто використовує базу персональної інформації для бізнесу (стаття 16(2)). Текст виключає лише державні органи, місцеві органи влади та публічні установи. Він не встановлює ні мінімального розміру, ні громадянства.
«Персональна інформація» — це інформація про живу особу, яка ідентифікує її сама по собі або шляхом легкого зіставлення з іншими даними, або яка містить ідентифікаційний код: код, похідний від особливості тіла, чи номер, присвоєний особі на картці або документі, з видів, перелічених у Cabinet Order (стаття 2(1) і (2)). «База персональної інформації» — це сукупність такої інформації, організована так, що комп'ютер може знайти в ній задану особу (стаття 16(1)), за винятком типів, які виключає Cabinet Order.
Чи поширюється APPI на компанію за межами Японії?
Так, коли дані стосуються людей у Японії й обробляються для надання їм товарів чи послуг. Стаття 171 застосовує Закон до оператора, який в іноземній країні обробляє персональну інформацію особи в Японії у зв'язку з наданням товарів чи послуг людям у Японії. Підставою є люди, яким надають послуги, а не місцезнаходження серверів: магазин за кордоном, що продає покупцям у Японії, підпадає під дію, навіть якщо його база даних працює в Сінгапурі.
Зворотний випадок у тексті не прописано. Компанію за межами Японії, яка зберігає дані про людей поза Японією на VPS у Токіо, стаття 171 не описує, і жодна зі статей, прочитаних для цієї сторінки, це не вирішує. Це питання — до юриста в Японії.
Це не рідкісний випадок. За даними опитування Lacquerbay від 2 листопада 2026 року, 22 хостинг-провайдерів, не рахуючи великих хмар, продавали VPS у Токіо, і питання вище стосується кожного клієнта кожного з них.
Що офіційний текст каже для кожного випадку?
Текст не залежить від того, де лежить диск; він залежить від того, хто ви і чиї дані ви зберігаєте.
| Ваша ситуація | Що каже офіційний текст | Статті |
|---|---|---|
| Ви ведете бізнес у Японії й зберігаєте записи про клієнтів на VPS | Ви є оператором, якщо використовуєте базу персональної інформації для бізнесу; ви маєте вживати заходів безпеки та наглядати за будь-ким, кому довіряєте дані | 16(2), 23, 25 |
| Ви за межами Японії й продаєте людям у Японії | Закон застосовується до вашої обробки їхньої персональної інформації за кордоном | 171 |
| Ви за межами Японії, люди за межами Японії, VPS у Токіо | Стаття 171 не описує; прочитані статті не вирішують | — |
| Ви передаєте персональні дані комусь іншому | Попередня згода особи, поза переліченими випадками; підрядник, що обробляє дані для вас у межах вашої мети, не є третьою стороною | 27(1), 27(5)(i) |
| Ви передаєте персональні дані третій стороні в іншій країні | Попередня згода на таке передавання за кордон, якщо країна або одержувач не відповідає стандартам PPC | 28(1) |
| Витік, що може зашкодити відповідним особам | Повідомити PPC і сказати відповідним особам | 26 |
Що має зробити оператор після витоку даних?
Про чотири види інцидентів треба повідомляти PPC: чутливі дані, ризик фінансових втрат, ймовірна навмисна дія, як-от вторгнення, і будь-який витік, що стосується понад 1 000 людей (Правила виконання, стаття 7). Дані, захищені передовим шифруванням або заходом рівноцінної дії, виключено з усіх чотирьох.
Перше повідомлення подається невідкладно після того, як оператор дізнався про інцидент, а повне — протягом 30 днів, або протягом 60 днів, якщо інцидент виглядає навмисним (Правила, стаття 8). Відповідним особам також треба сказати (Закон, стаття 26(2)). Оператор, який обробляє дані від імені іншого оператора, може повідомити того оператора замість PPC (стаття 26(1), застереження).
Чи є розміщення персональних даних на VPS наданням третій стороні?
Закон вимагає згоди, перш ніж персональні дані передадуть третій стороні, але підрядник, який обробляє дані для оператора в межах мети використання, не є третьою стороною (стаття 27(1) і 27(5)(i)). Чи вважається такий хостинг VPS, що ніколи не відкриває ваші файли, таким підрядником, чи взагалі не одержувачем, — відповідь у настановах і Q&A PPC. Ми не змогли відкрити ppc.go.jp 2 листопада 2026 року, тому ця сторінка їх не викладає.
Що Закон каже прямо: оператор має зберігати персональні дані захищеними від витоків, втрати й пошкодження (стаття 23) і має наглядати за будь-яким підрядником, якому довіряє ці дані (стаття 25).
Які штрафи встановлює APPI?
Кримінальні санкції стосуються непокори регулятору та передавання або зловживання базою даних для незаконної вигоди, зі штрафами до ¥100 млн для компаній. Суми нижче — з Закону, прочитаного на e-Gov 2 листопада 2026 року.
| Правопорушення | Стягнення | Стаття |
|---|---|---|
| Порушення припису PPC, виданого за статтею 148(2) або (3) | До 1 року позбавлення волі або штраф до ¥1,000,000 | 178 |
| Передача або неправомірне використання бази персональних даних заради незаконної вигоди | До 1 року позбавлення волі або штраф до ¥500,000 | 179 |
| Будь-яке з наведених правопорушень, вчинене працівником для компанії | Штраф до ¥100,000,000 для компанії | 184(1)(i) |
| Відсутність звіту або неправдивий звіт на запит PPC за статтею 146(1) | Штраф до ¥500,000 | 182 |
Яке становище в Lacquerbay?
Lacquerbay керує DomaineGoat LLC — компанія, зареєстрована в Панамі, і панамське право є єдиним правом, якому компанія підпорядковується. Кожен дата-центр підпадає під право власної території: Гонконгу, Сінгапуру або Японії. Lacquerbay орендує машину; що ви на ній зберігаєте і про кого — оцінювати вам. Наше власне поводження з даними клієнтів описано на сторінці конфіденційності.
Практичний бік сервера в Токіо дивіться тут: Де можна орендувати Japan (Tokyo) VPS і платити криптовалютою?, Чи може іноземець орендувати VPS у Японії без японського номера телефону чи ID? та Чи справді мій VPS «Singapore» у Сінгапурі, і як перевірити, де розташований VPS?
APPI і Tokyo VPS: короткі відповіді
Чи поширюється APPI лише на японські компанії?
Ні. Стаття 16(2) не згадує національність, а стаття 171 застосовує Закон до обробки за кордоном, коли вона пов’язана з постачанням товарів чи послуг людям у Японії. Це виклад офіційного тексту, а не юридична консультація.
Чи вважається невеликий сайт оператором за APPI?
Текст не встановлює порогу за розміром: охоплено кожного, хто використовує базу персональних даних для бізнесу. Список клієнтів, який комп’ютер може шукати за особою, є такою базою, якщо урядовий наказ не виключає його тип (стаття 16(1)).
Чи потрібна згода, щоб зберігати дані користувачів на Tokyo VPS?
Стаття 27 вимагає згоди на передавання персональних даних третій стороні та не поширює це правило на підрядника, який обробляє їх для вас. Як PPC класифікує хостера VPS, викладено в її настановах, які ця сторінка не охоплює.
Як швидко потрібно повідомляти про витік даних у Японії?
Невідкладно після того, як оператор дізнався про нього, а потім повністю протягом 30 днів, або 60 днів, якщо ймовірний навмисний вчинок, згідно зі статтею 8 Правил виконання PPC станом на 2 листопада 2026 року. Також потрібно повідомити постраждалих осіб.
Де можна прочитати APPI англійською?
Уряд Японії публікує переклад на japaneselawtranslation.go.jp, а PPC — на своїх англомовних сторінках; обидва відхилили наше з’єднання 2 листопада 2026 року, тож ця сторінка не цитує жодного з них. Обов’язковим є японський текст на e-Gov.
Джерела (3)
- 個人情報の保護に関する法律 (Act on the Protection of Personal Information, Act No. 57 of 2003), version in force on 2 November 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- 個人情報の保護に関する法律施行規則 (Enforcement Rules, PPC Rules No. 3 of 2016), version in force since 14 June 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- Act text through the e-Gov law API (articles 2, 16, 23, 25 to 28, 148, 171, 178, 179, 182, 184) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)