Co je APPI?

APPI je hlavní zákon Japonska o ochraně údajů, vymáhaný Komisí pro ochranu osobních údajů (PPC). Vztahuje se na jakýkoli podnik, který zpracovává osobní údaje jednotlivců v Japonsku, bez ohledu na to, kde se podnik nachází.

Novely z roku 2022 zavedly koncept "osobně odkazovatelných informací" - údajů, které samy o sobě nejsou osobními údaji, ale mohou identifikovat jednotlivce při kombinaci s jinými daty. Tato kategorie zahrnuje mnoho typů cookies a sledovacích identifikátorů.

Jak APPI zachází s cookies

Podle původního APPI nebyly cookies výslovně regulovány, protože nebyly považovány za "osobní údaje", pokud nemohly přímo identifikovat jednotlivce. Novely z roku 2022 tuto situaci výrazně změnily.

Cookies nyní podléhají kontrole, když jsou sdíleny s třetími stranami, které je mohou propojit s osobními údaji. Konkrétně, pokud předáváte data cookies třetí straně (jako je reklamní síť nebo poskytovatel analytiky), která je může přiřadit k identifikovatelným osobám, musíte před tímto přenosem získat souhlas uživatele.

To znamená, že ačkoli APPI nevyžaduje plošný souhlas s cookies jako GDPR, souhlas je povinný pro sdílení cookies s třetími stranami v mnoha běžných reklamních a analytických scénářích.

Klíčové povinnosti provozovatelů webových stránek

• Poskytování dat třetím stranám: Získejte souhlas předem, než budete sdílet data cookies s třetími stranami, které je mohou propojit s osobními údaji.
• Zveřejnění zásad ochrany soukromí: Jasně uveďte, jaké cookies používáte, jejich účely a které třetí strany data přijímají.
• Přeshraniční přenosy: Pokud jsou data cookies odesílána na servery mimo Japonsko, informujte uživatele o standardech ochrany údajů v cílové zemi nebo získejte výslovný souhlas.
• Oznámení o narušení dat: Hlaste narušení zahrnující osobní údaje (včetně dat propojených s cookies) PPC v předepsané lhůtě.
• Práva jednotlivců: Reagujte na žádosti uživatelů o zpřístupnění, opravu nebo vymazání jejich osobních údajů, včetně dat odvozených z cookies.

APPI vs. GDPR: Klíčové rozdíly

Ačkoli oba zákony směřují k ochraně osobních údajů, liší se rozsahem a přístupem:

• Rozsah souhlasu: GDPR vyžaduje souhlas pro téměř všechny nepodstatné cookies. APPI zaměřuje požadavky na souhlas na sdílení dat s třetími stranami spíše než na samotné umísťování cookies.
• Právní základy: GDPR nabízí šest právních základů pro zpracování. APPI se spoléhá především na souhlas a oprávněný obchodní účel s menším počtem formálních kategorií.
• Sankce: Pokuty GDPR mohou dosáhnout 4 % globálních příjmů. Sankce APPI byly historicky nižší, ale novely z roku 2022 zvýšily maximální pokuty na ¥100 million (přibližně $700,000) pro korporace.
• Extrateritoriální dosah: Oba zákony se vztahují na zahraniční podniky zpracovávající údaje domácích rezidentů, ale mechanismy vymáhání se výrazně liší.

Implementace souhlasu s cookies v souladu s APPI

Pro dodržování APPI při zachování dobrého uživatelského zážitku postupujte podle těchto kroků:

1. Proveďte audit cookies: Identifikujte, které cookies shromažďují data sdílená s třetími stranami, zejména reklamními sítěmi a analytickými platformami.
2. Klasifikujte podle rizika: Oddělte cookies, které zůstávají vlastní, od těch zapojených do přenosu dat třetím stranám. Pouze ty druhé vyžadují výslovný souhlas podle APPI.
3. Nasaďte banner souhlasu: Použijte CMP, který podporuje specifické toky souhlasu APPI. Banner by měl jasně vysvětlovat sdílení dat s třetími stranami v japonštině.
4. Respektujte volby uživatelů: Blokujte skripty cookies třetích stran, dokud není udělen souhlas. Vlastní funkční cookies se mohou načítat bez souhlasu podle APPI.
5. Dokumentujte vše: Udržujte záznamy o sběru souhlasů, inventář cookies a smlouvy o zpracování dat s třetími stranami.

Přeshraniční přenosy dat podle APPI

APPI má specifická pravidla pro přenos osobních údajů mimo Japonsko. Pokud vaše data cookies proudí na servery v jiných zemích - což je běžné u globálních analytických a reklamních platforem - musíte buď:

• Získat výslovný souhlas jednotlivce s přeshraničním přenosem.
• Potvrdit, že přijímající země má standardy ochrany údajů uznané PPC jako rovnocenné japonským.
• Zajistit, že přijímající organizace zavedla opatření na ochranu údajů splňující standardy APPI prostřednictvím smluvních nebo jiných prostředků.

PPC v současnosti uznává EU a Spojené království jako země s odpovídající ochranou údajů. Pro ostatní jurisdikce budete obvykle potřebovat souhlas uživatele nebo smluvní záruky.

Osvědčené postupy pro dodržování předpisů na japonském trhu

• Lokalizujte rozhraní pro souhlas: Prezentujte informace o souhlasu s cookies v japonštině. Strojově přeložené bannery mohou vytvořit mezery v dodržování předpisů, pokud jsou právní termíny nepřesné.
• Kombinujte APPI s GDPR: Pokud obsluhujete jak japonské, tak evropské uživatele, nakonfigurujte CMP tak, aby v EU uplatňovalo pravidla GDPR a v Japonsku pravidla APPI. Sjednocená vrstva souhlasu snižuje náklady na vývoj.
• Sledujte pokyny PPC: PPC pravidelně zveřejňuje aktualizované pokyny a dokumenty s otázkami a odpověďmi. Sledujte trendy vymáhání a nové interpretace.
• Plánujte pro novely: Japonsko přezkoumává APPI v tříletém cyklu. Další přezkum se očekává do roku 2025-2026 a potenciálně může zavést přísnější regulaci cookies.

Závěr

APPI nemusí vyžadovat souhlas pro každý cookie, ale jeho pravidla týkající se sdílení dat s třetími stranami a přeshraničních přenosů vytvářejí skutečné povinnosti pro jakýkoli web používající reklamní nebo analytické cookies s japonskými návštěvníky. Dobře nakonfigurovaný CMP, který rozlišuje mezi vlastními cookies a cookies třetích stran - a který nabízí jasné, lokalizované možnosti souhlasu - je nejpraktičtější cestou k dodržování předpisů.