Kas yra APPI?

APPI yra pagrindinis Japonijos duomenų apsaugos įstatymas, kurį vykdo Asmens informacijos apsaugos komisija (PPC). Jis taikomas bet kuriam verslui, tvarkančiam Japonijoje esančių asmenų asmens informaciją, neatsižvelgiant į tai, kur verslas yra įsikūręs.

2022 m. pakeitimai pristatė "asmeniškai susiejamos informacijos" sąvoką - duomenis, kurie, nors ir nėra asmens informacija patys savaime, gali identifikuoti asmenis, kai yra sujungti su kitais duomenimis. Ši kategorija apima daugelį slapukų ir sekimo identifikatorių tipų.

Kaip APPI traktuoja slapukus

Pagal pradinį APPI slapukai nebuvo aiškiai reglamentuojami, nes nebuvo laikomi "asmens informacija", nebent jie galėtų tiesiogiai identifikuoti asmenį. 2022 m. pakeitimai šį kraštovaizdį reikšmingai pakeitė.

Slapukai dabar yra tikrinami, kai jie dalijami su trečiosiomis šalimis, galinčiomis juos susieti su asmens informacija. Konkrečiai, jei perduodate slapukų duomenis trečiajai šaliai (pvz., reklamos tinklui ar analitikos teikėjui), kuri gali juos susieti su identifikuojamais asmenimis, prieš tokį perdavimą turite gauti vartotojo sutikimą.

Tai reiškia, kad nors APPI nereikalauja visuotinio slapukų sutikimo kaip GDPR, sutikimas yra privalomas trečiųjų šalių slapukų dalijimui daugelyje įprastų reklamos ir analitikos scenarijų.

Pagrindiniai svetainių operatorių įsipareigojimai

• Duomenų teikimas trečiosioms šalims: Gaukite aktyvų sutikimą prieš dalydamiesi slapukų duomenimis su trečiosiomis šalimis, galinčiomis juos susieti su asmens informacija.
• Privatumo politikos atskleidimas: Aiškiai atskleiskite, kokius slapukus naudojate, jų tikslus ir kurios trečiosios šalys gauna duomenis.
• Tarpvalstybiniai perdavimai: Jei slapukų duomenys siunčiami į serverius už Japonijos ribų, informuokite vartotojus apie paskirties šalies duomenų apsaugos standartus arba gaukite aiškų sutikimą.
• Pranešimas apie duomenų pažeidimą: Praneškite PPC apie pažeidimus, susijusius su asmens duomenimis (įskaitant su slapukais susijusius duomenis), per nustatytą terminą.
• Individualios teisės: Atsakykite į vartotojų prašymus atskleisti, ištaisyti ar ištrinti jų asmens duomenis, įskaitant iš slapukų gautus duomenis.

APPI ir GDPR: pagrindiniai skirtumai

Nors abu įstatymai siekia apsaugoti asmens duomenis, jie skiriasi apimtimi ir požiūriu:

• Sutikimo apimtis: GDPR reikalauja sutikimo beveik visiems nebūtiniems slapukams. APPI sutikimo reikalavimus sutelkia į trečiųjų šalių duomenų dalijimąsi, o ne į patį slapukų įdėjimą.
• Teisiniai pagrindai: GDPR siūlo šešis teisinius pagrindus duomenų tvarkymui. APPI daugiausia remiasi sutikimu ir teisėtu verslo tikslu, turėdamas mažiau formalių kategorijų.
• Baudos: GDPR baudos gali siekti 4% pasaulinių pajamų. APPI baudos istoriškai buvo mažesnės, tačiau 2022 m. pakeitimai padidino maksimalias baudas iki ¥100 million (maždaug $700,000) korporacijoms.
• Ekstrateritorialus taikymas: Abu įstatymai taikomi užsienio verslams, tvarkantiems vietinių gyventojų duomenis, tačiau vykdymo mechanizmai reikšmingai skiriasi.

APPI atitinkančio slapukų sutikimo įgyvendinimas

Norėdami laikytis APPI ir kartu išlaikyti gerą vartotojo patirtį, atlikite šiuos veiksmus:

1. Auditokite savo slapukus: Nustatykite, kurie slapukai renka duomenis, kurie dalijami su trečiosiomis šalimis, ypač reklamos tinklais ir analitikos platformomis.
2. Klasifikuokite pagal riziką: Atskirkite slapukus, kurie lieka pirmosios šalies, nuo tų, kurie dalyvauja trečiųjų šalių duomenų perdavimuose. Tik pastariesiems reikalingas aiškus APPI sutikimas.
3. Įdiekite sutikimo juostą: Naudokite CMP, palaikantį APPI specifines sutikimo eigas. Juosta turėtų aiškiai paaiškinti trečiųjų šalių duomenų dalijimąsi japonų kalba.
4. Gerbkite vartotojų pasirinkimus: Blokuokite trečiųjų šalių slapukų scenarijus, kol bus gautas sutikimas. Pirmosios šalies funkciniai slapukai gali būti įkelti be sutikimo pagal APPI.
5. Dokumentuokite viską: Saugokite sutikimo rinkimo įrašus, slapukų inventorių ir trečiųjų šalių duomenų tvarkymo sutartis.

Tarpvalstybiniai duomenų perdavimai pagal APPI

APPI turi specifines taisykles asmens duomenų perdavimui už Japonijos ribų. Jei jūsų slapukų duomenys keliauja į kitų šalių serverius - tai įprasta naudojant pasaulines analitikos ir reklamos platformas - turite:

• Gauti aiškų asmens sutikimą tarpvalstybiniam perdavimui.
• Patvirtinti, kad priimanti šalis turi PPC pripažintus Japonijai lygiaverčius duomenų apsaugos standartus.
• Užtikrinti, kad priimanti organizacija yra įgyvendinusi APPI standartus atitinkančias duomenų apsaugos priemones sutartinėmis ar kitomis priemonėmis.

PPC šiuo metu pripažįsta ES ir JK kaip turinčias tinkamą duomenų apsaugą. Kitoms jurisdikcijoms paprastai reikės vartotojo sutikimo arba sutartinių apsaugos priemonių.

Geriausios praktikos Japonijos rinkos atitikčiai

• Lokalizuokite savo sutikimo sąsają: Pateikite slapukų sutikimo informaciją japonų kalba. Mašininiu būdu išversti skydeliai gali sukelti atitikties spragas, jei teisiniai terminai yra netikslūs.
• Derinkite APPI su GDPR: Jei aptarnaujate ir Japonijos, ir Europos vartotojus, sukonfigūruokite CMP taikyti GDPR taisykles ES ir APPI taisykles Japonijoje. Vieninga sutikimo sluoksnis sumažina kūrimo sąnaudas.
• Stebėkite PPC gaires: PPC reguliariai skelbia atnaujintas gaires ir klausimų-atsakymų dokumentus. Sekite vykdymo tendencijas ir naujas interpretacijas.
• Planuokite pakeitimams: Japonija peržiūri APPI trejų metų ciklu. Kita peržiūra tikimasi 2025-2026 m., galimai įvedant griežtesnius slapukų reglamentus.

Išvada

APPI gali nereikalauti sutikimo kiekvienam slapukui, tačiau jo taisyklės dėl trečiųjų šalių duomenų dalijimosi ir tarpvalstybinių perdavimų sukuria realius įsipareigojimus bet kuriai svetainei, naudojančiai reklamos ar analitikos slapukus su Japonijos lankytojais. Gerai sukonfigūruotas CMP, kuris atskiria pirmosios ir trečiųjų šalių slapukus - ir pateikia aiškias, lokalizuotas sutikimo parinktis - yra praktiškiausias kelias į atitiktį.