APPI란 무엇인가?

APPI는 개인정보보호위원회(PPC)가 집행하는 일본의 주요 데이터 보호법입니다. 사업체의 소재지에 관계없이 일본 내 개인의 개인정보를 취급하는 모든 사업체에 적용됩니다.

2022년 개정에서는 "개인관련정보"라는 개념이 도입되었습니다 — 그 자체로는 개인정보가 아니지만, 다른 데이터와 결합하면 개인을 식별할 수 있는 데이터입니다. 이 범주에는 많은 유형의 쿠키와 추적 식별자가 포함됩니다.

APPI의 쿠키 취급 방식

원래 APPI에서는 쿠키가 개인을 직접 식별할 수 없는 한 "개인정보"로 간주되지 않았기 때문에 명시적으로 규제되지 않았습니다. 2022년 개정으로 이 상황이 크게 바뀌었습니다.

쿠키는 이제 개인정보와 연결할 수 있는 제3자와 공유될 때 검토 대상이 됩니다. 구체적으로, 쿠키 데이터를 식별 가능한 개인과 매칭할 수 있는 제3자(예: 광고 네트워크 또는 분석 제공업체)에게 전달하는 경우, 해당 전송 전에 사용자 동의를 얻어야 합니다.

이는 APPI가 GDPR처럼 포괄적인 쿠키 동의를 요구하지는 않지만, 많은 일반적인 광고 및 분석 시나리오에서 제3자 쿠키 공유에 대한 동의가 의무적이라는 것을 의미합니다.

웹사이트 운영자의 주요 의무

• 제3자 데이터 제공: 쿠키 데이터를 개인정보와 연결할 수 있는 제3자와 공유하기 전에 옵트인 동의를 획득하세요.
• 개인정보 처리방침 공개: 어떤 쿠키를 사용하는지, 그 목적, 어떤 제3자가 데이터를 수신하는지 명확히 공개하세요.
• 국경 간 이전: 쿠키 데이터가 일본 외부 서버로 전송되는 경우, 사용자에게 대상국의 데이터 보호 기준을 알리거나 명시적 동의를 획득하세요.
• 데이터 침해 통지: 개인 데이터(쿠키 연결 데이터 포함) 관련 침해를 규정된 기간 내에 PPC에 보고하세요.
• 개인 권리: 쿠키에서 파생된 데이터를 포함한 개인 데이터의 공개, 정정 또는 삭제에 대한 사용자 요청에 응답하세요.

APPI vs. GDPR: 주요 차이점

두 법률 모두 개인 데이터 보호를 목표로 하지만, 범위와 접근 방식이 다릅니다:

• 동의 범위: GDPR은 거의 모든 비필수 쿠키에 대해 동의를 요구합니다. APPI는 쿠키 배치 자체보다 제3자 데이터 공유에 동의 요건을 집중합니다.
• 법적 근거: GDPR은 처리를 위한 6가지 법적 근거를 제공합니다. APPI는 주로 동의와 정당한 사업 목적에 의존하며, 공식적인 범주가 더 적습니다.
• 제재: GDPR 과징금은 전 세계 매출의 4%에 달할 수 있습니다. APPI 제재는 역사적으로 낮았지만 2022년 개정으로 기업에 대한 최대 과징금이 ¥100 million(약 $700,000)으로 인상되었습니다.
• 역외 적용: 두 법률 모두 국내 거주자의 데이터를 취급하는 외국 기업에 적용되지만, 집행 메커니즘은 상당히 다릅니다.

APPI 준수 쿠키 동의 구현

좋은 사용자 경험을 유지하면서 APPI를 준수하려면 다음 단계를 따르세요:

1. 쿠키를 감사하세요: 제3자, 특히 광고 네트워크 및 분석 플랫폼과 공유되는 데이터를 수집하는 쿠키를 식별하세요.
2. 위험별로 분류하세요: 퍼스트파티로 유지되는 쿠키와 제3자 데이터 전송에 관여하는 쿠키를 분리하세요. 후자만 명시적 APPI 동의가 필요합니다.
3. 동의 배너를 배포하세요: APPI 특화 동의 흐름을 지원하는 CMP를 사용하세요. 배너는 일본어로 제3자 데이터 공유를 명확히 설명해야 합니다.
4. 사용자 선택을 존중하세요: 동의가 부여될 때까지 제3자 쿠키 스크립트를 차단하세요. APPI에 따라 퍼스트파티 기능 쿠키는 동의 없이 로드할 수 있습니다.
5. 모든 것을 문서화하세요: 동의 수집 기록, 쿠키 인벤토리, 제3자 데이터 처리 계약을 유지하세요.

APPI에 따른 국경 간 데이터 이전

APPI는 일본 외부로 개인 데이터를 이전하는 데 대한 특정 규칙이 있습니다. 쿠키 데이터가 다른 국가의 서버로 흐르는 경우 — 글로벌 분석 및 광고 플랫폼에서 흔한 일입니다 — 다음 중 하나를 수행해야 합니다:

• 국경 간 이전에 대한 개인의 명시적 동의를 획득합니다.
• 수신국이 PPC가 일본과 동등하다고 인정한 데이터 보호 기준을 보유하고 있는지 확인합니다.
• 수신 조직이 계약적 또는 기타 수단을 통해 APPI 기준을 충족하는 데이터 보호 조치를 구현했는지 확인합니다.

PPC는 현재 EU와 영국을 적절한 데이터 보호를 갖춘 국가로 인정하고 있습니다. 다른 관할권의 경우 일반적으로 사용자 동의 또는 계약적 보호 조치가 필요합니다.

일본 시장 컴플라이언스 모범 사례

• 동의 UI를 현지화하세요: 쿠키 동의 정보를 일본어로 제공하세요. 기계 번역된 배너는 법률 용어가 부정확할 경우 컴플라이언스 격차를 만들 수 있습니다.
• APPI와 GDPR을 결합하세요: 일본과 유럽 사용자 모두에게 서비스를 제공하는 경우, EU에서는 GDPR 규칙을, 일본에서는 APPI 규칙을 적용하도록 CMP를 구성하세요. 통합된 동의 레이어가 개발 비용을 줄여줍니다.
• PPC 지침을 모니터링하세요: PPC는 정기적으로 업데이트된 가이드라인과 Q&A 문서를 발행합니다. 집행 동향과 새로운 해석을 파악하세요.
• 개정에 대비하세요: 일본은 3년 주기로 APPI를 검토합니다. 다음 검토는 2025~2026년에 예정되어 있으며, 더 엄격한 쿠키 규정이 도입될 수 있습니다.

결론

APPI는 모든 쿠키에 대해 동의를 요구하지 않을 수 있지만, 제3자 데이터 공유 및 국경 간 이전에 관한 규칙은 일본 방문자에게 광고 또는 분석 쿠키를 사용하는 모든 웹사이트에 실질적인 의무를 부과합니다. 퍼스트파티와 서드파티 쿠키를 구분하고 — 명확하고 현지화된 동의 옵션을 제시하는 — 잘 구성된 CMP가 컴플라이언스를 달성하는 가장 실용적인 방법입니다.