Què és l'APPI?

L'APPI és la llei principal de protecció de dades del Japó, aplicada per la Comissió de Protecció de la Informació Personal (PPC). S'aplica a qualsevol empresa que gestioni informació personal de persones al Japó, independentment d'on estigui ubicada l'empresa.

Les esmenes de 2022 van introduir el concepte d'"informació personalment referenciable" — dades que, tot i no ser informació personal per si soles, poden identificar persones quan es combinen amb altres dades. Aquesta categoria inclou molts tipus de galetes i identificadors de seguiment.

Com tracta l'APPI les galetes

Sota l'APPI original, les galetes no estaven regulades explícitament perquè no es consideraven "informació personal" tret que poguessin identificar directament una persona. Les esmenes de 2022 van canviar significativament aquest panorama.

Les galetes ara estan sota escrutini quan es comparteixen amb tercers que poden vincular-les a informació personal. Concretament, si passeu dades de galetes a un tercer (com una xarxa publicitària o un proveïdor d'analítica) que pot relacionar-les amb persones identificables, heu d'obtenir el consentiment de l'usuari abans d'aquesta transferència.

Això significa que, tot i que l'APPI no requereix un consentiment general de galetes com el GDPR, el consentiment és obligatori per a la compartició de galetes amb tercers en molts escenaris habituals de publicitat i analítica.

Obligacions clau per als operadors de llocs web

• Provisió de dades a tercers: Obteniu el consentiment previ abans de compartir dades de galetes amb tercers que puguin vincular-les a informació personal.
• Divulgació de la política de privacitat: Divulgueu clarament quines galetes utilitzeu, els seus propòsits i quins tercers reben les dades.
• Transferències transfrontereres: Si les dades de galetes s'envien a servidors fora del Japó, informeu els usuaris sobre els estàndards de protecció de dades del país de destinació o obteniu el consentiment explícit.
• Notificació de violació de dades: Informeu les violacions que impliquin dades personals (incloses les dades vinculades a galetes) al PPC dins d'un termini prescrit.
• Drets individuals: Responeu a les sol·licituds dels usuaris per divulgar, corregir o eliminar les seves dades personals, incloses les dades derivades de galetes.

APPI vs. GDPR: Diferències clau

Tot i que ambdues lleis pretenen protegir les dades personals, difereixen en abast i enfocament:

• Abast del consentiment: El GDPR requereix consentiment per a gairebé totes les galetes no essencials. L'APPI centra els requisits de consentiment en la compartició de dades amb tercers més que en la col·locació de galetes en si.
• Bases legals: El GDPR ofereix sis bases legals per al tractament. L'APPI es basa principalment en el consentiment i el propòsit empresarial legítim, amb menys categories formals.
• Sancions: Les multes del GDPR poden arribar al 4% dels ingressos globals. Les sancions de l'APPI eren històricament inferiors, però les esmenes de 2022 van augmentar les multes màximes a ¥100 million (aproximadament $700,000) per a corporacions.
• Abast extraterritorial: Ambdues lleis s'apliquen a empreses estrangeres que gestionen dades de residents nacionals, però els mecanismes d'aplicació difereixen significativament.

Implementació del consentiment de galetes conforme a l'APPI

Per complir amb l'APPI mantenint una bona experiència d'usuari, seguiu aquests passos:

1. Auditeu les vostres galetes: Identifiqueu quines galetes recullen dades que es comparteixen amb tercers, especialment xarxes publicitàries i plataformes d'analítica.
2. Classifiqueu per risc: Separeu les galetes que romanen de primera part de les implicades en transferències de dades a tercers. Només les últimes requereixen consentiment explícit de l'APPI.
3. Desplegeu un bàner de consentiment: Utilitzeu un CMP que suporti fluxos de consentiment específics de l'APPI. El bàner ha d'explicar clarament la compartició de dades amb tercers en japonès.
4. Respecteu les eleccions dels usuaris: Bloquegeu els scripts de galetes de tercers fins que s'atorgui el consentiment. Les galetes funcionals de primera part es poden carregar sense consentiment sota l'APPI.
5. Documenteu-ho tot: Manteniu registres de la recollida de consentiment, l'inventari de galetes i els acords de tractament de dades amb tercers.

Transferències transfrontereres de dades sota l'APPI

L'APPI té regles específiques per a la transferència de dades personals fora del Japó. Si les dades de les vostres galetes flueixen cap a servidors d'altres països — habitual amb plataformes globals d'analítica i publicitat — heu de:

• Obtenir el consentiment explícit de la persona per a la transferència transfronterera.
• Confirmar que el país receptor té estàndards de protecció de dades reconeguts pel PPC com a equivalents als del Japó.
• Assegurar que l'organització receptora ha implementat mesures de protecció de dades que compleixen els estàndards de l'APPI mitjançant mitjans contractuals o d'altres.

El PPC reconeix actualment la UE i el Regne Unit com a països amb protecció de dades adequada. Per a altres jurisdiccions, normalment necessitareu el consentiment de l'usuari o garanties contractuals.

Millors pràctiques per al compliment al mercat japonès

• Localitzeu la vostra interfície de consentiment: Presenteu la informació de consentiment de galetes en japonès. Els bàners traduïts automàticament poden crear llacunes de compliment si els termes legals són inexactes.
• Combineu l'APPI amb el GDPR: Si serviu tant usuaris japonesos com europeus, configureu el vostre CMP per aplicar les regles del GDPR a la UE i les regles de l'APPI al Japó. Una capa de consentiment unificada redueix la càrrega de desenvolupament.
• Monitoritzeu les directrius del PPC: El PPC publica regularment directrius actualitzades i documents de preguntes i respostes. Manteniu-vos al dia amb les tendències d'aplicació i les noves interpretacions.
• Planifiqueu per a esmenes: El Japó revisa l'APPI en un cicle de tres anys. La pròxima revisió s'espera per al 2025–2026, que potencialment introduirà regulacions de galetes més estrictes.

Conclusió

L'APPI pot no requerir consentiment per a cada galeta, però les seves regles sobre la compartició de dades amb tercers i les transferències transfrontereres creen obligacions reals per a qualsevol lloc web que utilitzi galetes publicitàries o d'analítica amb visitants japonesos. Un CMP ben configurat que distingeixi entre galetes de primera part i de tercers — i que presenti opcions de consentiment clares i localitzades — és el camí més pràctic cap al compliment.