Какво е APPI?

APPI е основният закон за защита на данните в Япония, прилаган от Комисията за защита на личната информация (PPC). Той се прилага за всяка организация, която обработва лична информация на лица в Япония, независимо от местоположението на организацията.

Измененията от 2022 г. въведоха концепцията за "лично препращаща информация" - данни, които сами по себе си не са лична информация, но могат да идентифицират лица, когато се комбинират с други данни. Тази категория обхваща много видове бисквитки и идентификатори за проследяване.

Как APPI третира бисквитките

Съгласно оригиналния APPI, бисквитките не бяха изрично регулирани, тъй като не се считаха за "лична информация", освен ако не можеха директно да идентифицират лице. Измененията от 2022 г. промениха тази ситуация значително.

Бисквитките сега подлежат на контрол, когато се споделят с трети страни, които могат да ги свържат с лична информация. По-конкретно, ако предавате данни от бисквитки на трета страна (като рекламна мрежа или доставчик на анализи), която може да ги свърже с идентифицируеми лица, трябва да получите съгласието на потребителя преди този трансфер.

Това означава, че въпреки че APPI не изисква общо съгласие за бисквитки като GDPR, съгласието е задължително за споделяне на бисквитки с трети страни в много обичайни рекламни и аналитични сценарии.

Основни задължения за оператори на уебсайтове

• Предоставяне на данни на трети страни: Получете изрично съгласие преди споделяне на данни от бисквитки с трети страни, които могат да ги свържат с лична информация.
• Разкриване в политиката за поверителност: Ясно разкрийте какви бисквитки използвате, техните цели и кои трети страни получават данните.
• Трансгранични трансфери: Ако данните от бисквитки се изпращат до сървъри извън Япония, информирайте потребителите за стандартите за защита на данните в страната получател или получете изрично съгласие.
• Уведомяване при нарушение на данните: Докладвайте нарушения, включващи лични данни (включително данни, свързани с бисквитки) на PPC в определен срок.
• Индивидуални права: Отговаряйте на искания от потребители за разкриване, коригиране или изтриване на техните лични данни, включително данни, получени от бисквитки.

APPI срещу GDPR: Основни разлики

Въпреки че и двата закона имат за цел да защитят личните данни, те се различават по обхват и подход:

• Обхват на съгласието: GDPR изисква съгласие за почти всички несъществени бисквитки. APPI фокусира изискванията за съгласие върху споделянето на данни с трети страни, а не върху самото поставяне на бисквитки.
• Правни основания: GDPR предлага шест правни основания за обработка. APPI разчита предимно на съгласие и легитимна бизнес цел, с по-малко формални категории.
• Санкции: Глобите по GDPR могат да достигнат 4% от глобалните приходи. Санкциите по APPI исторически бяха по-ниски, но измененията от 2022 г. увеличиха максималните глоби до ¥100 million (приблизително $700,000) за корпорации.
• Екстратериториален обхват: И двата закона се прилагат за чуждестранни организации, обработващи данни на местни жители, но механизмите за прилагане се различават значително.

Внедряване на съответстващо на APPI съгласие за бисквитки

За да спазите APPI, като същевременно поддържате добро потребителско изживяване, следвайте тези стъпки:

1. Одитирайте вашите бисквитки: Идентифицирайте кои бисквитки събират данни, които се споделят с трети страни, особено рекламни мрежи и аналитични платформи.
2. Класифицирайте по риск: Разделете бисквитките, които остават собствени, от тези, участващи в трансфери на данни към трети страни. Само последните изискват изрично съгласие по APPI.
3. Разгърнете банер за съгласие: Използвайте CMP, който поддържа специфични за APPI потоци за съгласие. Банерът трябва ясно да обяснява споделянето на данни с трети страни на японски език.
4. Уважавайте избора на потребителите: Блокирайте скриптове за бисквитки на трети страни, докато не бъде дадено съгласие. Собствените функционални бисквитки могат да се зареждат без съгласие по APPI.
5. Документирайте всичко: Поддържайте записи за събирането на съгласие, вашия инвентар от бисквитки и споразумения за обработка на данни с трети страни.

Трансгранични трансфери на данни по APPI

APPI има специфични правила за трансфер на лични данни извън Япония. Ако вашите данни от бисквитки се предават на сървъри в други страни - което е обичайно при глобални аналитични и рекламни платформи - трябва да:

• Получите изричното съгласие на лицето за трансграничния трансфер.
• Потвърдите, че приемащата страна има стандарти за защита на данните, признати от PPC като еквивалентни на японските.
• Осигурите приемащата организация да е внедрила мерки за защита на данните, отговарящи на стандартите на APPI, чрез договорни или други средства.

PPC понастоящем признава ЕС и Обединеното кралство като имащи адекватна защита на данните. За други юрисдикции обикновено ще ви е необходимо съгласие на потребителя или договорни гаранции.

Най-добри практики за съответствие на японския пазар

• Локализирайте вашия интерфейс за съгласие: Представяйте информацията за съгласие за бисквитки на японски език. Машинно преведените банери могат да създадат пропуски в съответствието, ако правните термини са неточни.
• Комбинирайте APPI с GDPR: Ако обслужвате както японски, така и европейски потребители, конфигурирайте вашия CMP да прилага правилата на GDPR в ЕС и правилата на APPI в Япония. Единен слой за съгласие намалява разходите за разработка.
• Следете насоките на PPC: PPC редовно публикува актуализирани насоки и документи с въпроси и отговори. Бъдете в крак с тенденциите в прилагането и новите тълкувания.
• Планирайте за изменения: Япония преразглежда APPI на тригодишен цикъл. Следващият преглед се очаква през 2025-2026 г. и потенциално ще въведе по-строги регулации за бисквитки.

Заключение

APPI може да не изисква съгласие за всяка бисквитка, но правилата му относно споделянето на данни с трети страни и трансграничните трансфери създават реални задължения за всеки уебсайт, използващ рекламни или аналитични бисквитки с японски посетители. Добре конфигуриран CMP, който разграничава собствените от бисквитките на трети страни - и който представя ясни, локализирани опции за съгласие - е най-практичният път към съответствие.