Что такое APPI?

APPI — основной закон Японии о защите данных, исполнение которого обеспечивает Комиссия по защите персональной информации (PPC). Он применяется к любому бизнесу, который обрабатывает персональную информацию физических лиц в Японии, независимо от того, где этот бизнес расположен.

Поправки 2022 года ввели концепцию «информации, относящейся к лицу» — данных, которые сами по себе не являются персональной информацией, но могут идентифицировать лиц при объединении с другими данными. Эта категория охватывает многие типы файлов cookie и идентификаторов отслеживания.

Как APPI трактует файлы cookie

Согласно первоначальному APPI, файлы cookie не регулировались прямо, поскольку не считались «персональной информацией», если только не могли напрямую идентифицировать лицо. Поправки 2022 года существенно изменили этот ландшафт.

Теперь файлы cookie попадают под пристальное внимание, когда они передаются третьим сторонам, способным связать их с персональной информацией. В частности, если вы передаёте данные cookie третьей стороне (например, рекламной сети или поставщику аналитики), которая может сопоставить их с идентифицируемыми лицами, вы должны получить согласие пользователя до этой передачи.

Это означает, что хотя APPI не требует сплошного согласия на файлы cookie, как GDPR, согласие обязательно для передачи файлов cookie третьим сторонам во многих распространённых рекламных и аналитических сценариях.

Ключевые обязательства для операторов сайтов

• Предоставление данных третьим сторонам: Получайте согласие (opt-in) до передачи данных cookie третьим сторонам, способным связать их с персональной информацией.
• Раскрытие в политике конфиденциальности: Чётко раскрывайте, какие файлы cookie вы используете, их цели и какие третьи стороны получают данные.
• Трансграничные передачи: Если данные cookie отправляются на серверы за пределами Японии, информируйте пользователей о стандартах защиты данных страны назначения или получайте явное согласие.
• Уведомление об утечке данных: Сообщайте об утечках, затрагивающих персональные данные (включая связанные с cookie), в PPC в установленные сроки.
• Права физических лиц: Отвечайте на запросы пользователей о раскрытии, исправлении или удалении их персональных данных, включая данные, полученные из файлов cookie.

APPI против GDPR: ключевые различия

Хотя оба закона нацелены на защиту персональных данных, они различаются по сфере действия и подходу:

• Сфера согласия: GDPR требует согласия почти на все несущественные файлы cookie. APPI фокусирует требования к согласию на передаче данных третьим сторонам, а не на самом размещении файлов cookie.
• Правовые основания: GDPR предлагает шесть правовых оснований для обработки. APPI опирается в основном на согласие и законную деловую цель, с меньшим числом формальных категорий.
• Штрафы: Штрафы GDPR могут достигать 4 % глобального дохода. Штрафы APPI исторически были ниже, но поправки 2022 года увеличили максимальные штрафы до 100 млн иен (примерно 700 000 долларов) для корпораций.
• Экстерриториальный охват: Оба закона применяются к иностранным компаниям, обрабатывающим данные местных жителей, но механизмы правоприменения существенно различаются.

Внедрение согласия на файлы cookie, соответствующего APPI

Чтобы соответствовать APPI, сохраняя при этом хороший пользовательский опыт, выполните следующие шаги:

1. Проведите аудит файлов cookie: Определите, какие файлы cookie собирают данные, которые передаются третьим сторонам, особенно рекламным сетям и аналитическим платформам.
2. Классифицируйте по риску: Отделите файлы cookie, остающиеся первой стороной, от тех, что участвуют в передаче данных третьим сторонам. Только последние требуют явного согласия по APPI.
3. Разверните баннер согласия: Используйте CMP, поддерживающую специфичные для APPI потоки согласия. Баннер должен чётко объяснять передачу данных третьим сторонам на японском языке.
4. Уважайте выбор пользователей: Блокируйте скрипты сторонних файлов cookie до предоставления согласия. Функциональные файлы cookie первой стороны могут загружаться без согласия согласно APPI.
5. Документируйте всё: Ведите записи о сборе согласия, инвентаризацию файлов cookie и соглашения об обработке данных третьими сторонами.

Трансграничные передачи данных согласно APPI

APPI имеет особые правила для передачи персональных данных за пределы Японии. Если ваши данные cookie направляются на серверы в других странах — что характерно для глобальных аналитических и рекламных платформ — вы должны либо:

• Получить явное согласие лица на трансграничную передачу.
• Подтвердить, что принимающая страна имеет стандарты защиты данных, признанные PPC эквивалентными японским.
• Убедиться, что принимающая организация внедрила меры защиты данных, соответствующие стандартам APPI, через договорные или иные средства.

В настоящее время PPC признаёт ЕС и Великобританию как обеспечивающие адекватную защиту данных. Для других юрисдикций вам обычно потребуется согласие пользователя или договорные гарантии.

Лучшие практики соответствия для японского рынка

• Локализуйте интерфейс согласия: Представляйте информацию о согласии на файлы cookie на японском языке. Машинно переведённые баннеры могут создавать пробелы в соответствии, если юридические термины неточны.
• Сочетайте APPI с GDPR: Если вы обслуживаете как японских, так и европейских пользователей, настройте вашу CMP на применение правил GDPR в ЕС и правил APPI в Японии. Единый слой согласия снижает накладные расходы на разработку.
• Отслеживайте руководства PPC: PPC регулярно публикует обновлённые рекомендации и документы вопросов и ответов. Будьте в курсе тенденций правоприменения и новых толкований.
• Планируйте изменения: Япония пересматривает APPI с трёхлетним циклом. Следующий пересмотр ожидается к 2025–2026 годам и может ввести более строгое регулирование файлов cookie.

Заключение

APPI может не требовать согласия на каждый файл cookie, но его правила в отношении передачи данных третьим сторонам и трансграничных передач создают реальные обязательства для любого сайта, использующего рекламные или аналитические файлы cookie с японскими посетителями. Хорошо настроенная CMP, которая различает файлы cookie первой и третьей сторон — и которая представляет ясные, локализованные опции согласия — это наиболее практичный путь к соответствию.