APPI چیست؟

APPI قانون اصلی حفاظت از داده‌های ژاپن است که توسط کمیسیون حفاظت از اطلاعات شخصی (PPC) اجرا می‌شود. این قانون بر هر کسب‌وکاری که اطلاعات شخصی افراد در ژاپن را مدیریت می‌کند اعمال می‌شود، صرف‌نظر از محل استقرار کسب‌وکار.

اصلاحات ۲۰۲۲ مفهوم «اطلاعات قابل ارجاع شخصی» را معرفی کرد — داده‌هایی که اگرچه به خودی خود اطلاعات شخصی نیستند، اما در ترکیب با داده‌های دیگر می‌توانند افراد را شناسایی کنند. این دسته بسیاری از انواع کوکی‌ها و شناسه‌های ردیابی را در بر می‌گیرد.

APPI چگونه با کوکی‌ها برخورد می‌کند

تحت APPI اصلی، کوکی‌ها به صراحت تنظیم نشده بودند زیرا «اطلاعات شخصی» محسوب نمی‌شدند مگر اینکه بتوانند مستقیماً فردی را شناسایی کنند. اصلاحات ۲۰۲۲ این وضعیت را به طور قابل توجهی تغییر داد.

کوکی‌ها اکنون زمانی مورد بررسی قرار می‌گیرند که با اشخاص ثالثی به اشتراک گذاشته شوند که می‌توانند آن‌ها را به اطلاعات شخصی مرتبط کنند. به طور خاص، اگر داده‌های کوکی را به شخص ثالثی (مانند شبکه تبلیغاتی یا ارائه‌دهنده تحلیل) منتقل کنید که می‌تواند آن را با افراد قابل شناسایی تطبیق دهد، باید قبل از آن انتقال رضایت کاربر را کسب کنید.

این بدان معناست که اگرچه APPI مانند GDPR نیاز به رضایت فراگیر کوکی ندارد، رضایت برای اشتراک‌گذاری کوکی با اشخاص ثالث در بسیاری از سناریوهای رایج تبلیغات و تحلیل الزامی است.

تعهدات کلیدی برای اپراتورهای وب‌سایت

• ارائه داده به اشخاص ثالث: قبل از اشتراک‌گذاری داده‌های کوکی با اشخاص ثالثی که می‌توانند آن را به اطلاعات شخصی مرتبط کنند، رضایت صریح کسب کنید.
• افشای سیاست حریم خصوصی: به وضوح مشخص کنید از چه کوکی‌هایی استفاده می‌کنید، اهداف آن‌ها چیست و کدام اشخاص ثالث داده‌ها را دریافت می‌کنند.
• انتقال فرامرزی: اگر داده‌های کوکی به سرورهای خارج از ژاپن ارسال می‌شود، کاربران را در مورد استانداردهای حفاظت از داده کشور مقصد مطلع کنید یا رضایت صریح کسب کنید.
• اطلاع‌رسانی نقض داده: نقض‌هایی که شامل داده‌های شخصی (از جمله داده‌های مرتبط با کوکی) می‌شوند را در بازه زمانی تعیین‌شده به PPC گزارش دهید.
• حقوق فردی: به درخواست‌های کاربران برای افشا، اصلاح یا حذف داده‌های شخصی‌شان، از جمله داده‌های مستخرج از کوکی‌ها، پاسخ دهید.

APPI در مقابل GDPR: تفاوت‌های کلیدی

در حالی که هر دو قانون هدف حفاظت از داده‌های شخصی را دارند، در دامنه و رویکرد متفاوتند:

• دامنه رضایت: GDPR برای تقریباً همه کوکی‌های غیرضروری نیاز به رضایت دارد. APPI الزامات رضایت را بر اشتراک‌گذاری داده با اشخاص ثالث متمرکز می‌کند نه بر خود قرار دادن کوکی.
• مبانی قانونی: GDPR شش مبنای قانونی برای پردازش ارائه می‌دهد. APPI عمدتاً بر رضایت و هدف تجاری مشروع تکیه می‌کند، با دسته‌بندی‌های رسمی کمتر.
• جریمه‌ها: جریمه‌های GDPR می‌تواند به ۴٪ درآمد جهانی برسد. جریمه‌های APPI از نظر تاریخی کمتر بود اما اصلاحات ۲۰۲۲ حداکثر جریمه را برای شرکت‌ها به ¥100 million (تقریباً $700,000) افزایش داد.
• دسترسی فراسرزمینی: هر دو قانون بر کسب‌وکارهای خارجی که داده‌های ساکنان داخلی را مدیریت می‌کنند اعمال می‌شوند، اما سازوکارهای اجرایی به طور قابل توجهی متفاوتند.

پیاده‌سازی رضایت کوکی مطابق با APPI

برای انطباق با APPI و در عین حال حفظ تجربه کاربری خوب، این مراحل را دنبال کنید:

1. کوکی‌های خود را بررسی کنید: مشخص کنید کدام کوکی‌ها داده‌هایی جمع‌آوری می‌کنند که با اشخاص ثالث به اشتراک گذاشته می‌شوند، به ویژه شبکه‌های تبلیغاتی و پلتفرم‌های تحلیلی.
2. بر اساس ریسک طبقه‌بندی کنید: کوکی‌هایی که اول‌شخص باقی می‌مانند را از آن‌هایی که در انتقال داده به اشخاص ثالث دخیلند جدا کنید. فقط دسته دوم نیاز به رضایت صریح APPI دارد.
3. بنر رضایت مستقر کنید: از CMP استفاده کنید که از جریان‌های رضایت خاص APPI پشتیبانی کند. بنر باید اشتراک‌گذاری داده با اشخاص ثالث را به وضوح به زبان ژاپنی توضیح دهد.
4. انتخاب‌های کاربران را محترم بشمارید: اسکریپت‌های کوکی اشخاص ثالث را تا زمان اعطای رضایت مسدود کنید. کوکی‌های عملکردی اول‌شخص می‌توانند تحت APPI بدون رضایت بارگذاری شوند.
5. همه چیز را مستند کنید: سوابق جمع‌آوری رضایت، فهرست کوکی‌ها و توافق‌نامه‌های پردازش داده اشخاص ثالث را نگهداری کنید.

انتقال فرامرزی داده تحت APPI

APPI قوانین خاصی برای انتقال داده‌های شخصی به خارج از ژاپن دارد. اگر داده‌های کوکی شما به سرورهای کشورهای دیگر منتقل می‌شوند — که با پلتفرم‌های جهانی تحلیل و تبلیغات رایج است — باید یکی از موارد زیر را انجام دهید:

• رضایت صریح فرد را برای انتقال فرامرزی کسب کنید.
• تأیید کنید که کشور دریافت‌کننده استانداردهای حفاظت از داده‌ای دارد که PPC آن‌ها را معادل استانداردهای ژاپن به رسمیت شناخته است.
• اطمینان حاصل کنید که سازمان دریافت‌کننده اقدامات حفاظت از داده مطابق با استانداردهای APPI را از طریق قرارداد یا ابزارهای دیگر اجرا کرده است.

PPC در حال حاضر اتحادیه اروپا و بریتانیا را به عنوان دارای حفاظت کافی از داده به رسمیت می‌شناسد. برای سایر حوزه‌های قضایی، معمولاً به رضایت کاربر یا تضمین‌های قراردادی نیاز خواهید داشت.

بهترین شیوه‌ها برای انطباق با بازار ژاپن

• رابط کاربری رضایت خود را بومی‌سازی کنید: اطلاعات رضایت کوکی را به زبان ژاپنی ارائه دهید. بنرهای ترجمه‌شده با ماشین می‌توانند در صورت نادرست بودن اصطلاحات حقوقی، شکاف‌های انطباقی ایجاد کنند.
• APPI را با GDPR ترکیب کنید: اگر هم به کاربران ژاپنی و هم اروپایی خدمات می‌دهید، CMP خود را طوری پیکربندی کنید که قوانین GDPR را در اتحادیه اروپا و قوانین APPI را در ژاپن اعمال کند. یک لایه رضایت یکپارچه هزینه‌های توسعه را کاهش می‌دهد.
• راهنمایی‌های PPC را رصد کنید: PPC به طور منظم دستورالعمل‌های به‌روز و اسناد پرسش و پاسخ منتشر می‌کند. از روندهای اجرایی و تفسیرهای جدید مطلع باشید.
• برای اصلاحات برنامه‌ریزی کنید: ژاپن APPI را در چرخه‌های سه‌ساله بازبینی می‌کند. بازبینی بعدی تا ۲۰۲۵-۲۰۲۶ انتظار می‌رود و ممکن است مقررات سخت‌گیرانه‌تری برای کوکی‌ها معرفی کند.

نتیجه‌گیری

APPI ممکن است برای هر کوکی نیاز به رضایت نداشته باشد، اما قوانین آن در مورد اشتراک‌گذاری داده با اشخاص ثالث و انتقال فرامرزی، تعهدات واقعی برای هر وب‌سایتی ایجاد می‌کند که از کوکی‌های تبلیغاتی یا تحلیلی با بازدیدکنندگان ژاپنی استفاده می‌کند. یک CMP به خوبی پیکربندی‌شده که بین کوکی‌های اول‌شخص و اشخاص ثالث تمایز قائل شود — و گزینه‌های رضایت واضح و بومی‌سازی‌شده ارائه دهد — عملی‌ترین مسیر به سوی انطباق است.