Шта је APPI?

APPI је примарни јапански закон о заштити података, који спроводи Комисија за заштиту личних информација (PPC). Примењује се на сваки пословни субјект који обрађује личне информације појединаца у Јапану, без обзира на то где се пословни субјект налази.

Измене из 2022. године увеле су концепт тзв. лично упућивих информација — података који, иако сами по себи нису лични подаци, могу идентификовати појединце када се комбинују са другим подацима. Ова категорија обухвата многе врсте колачића и идентификатора за праћење.

Како APPI третира колачиће

Према оригиналном APPI, колачићи нису били експлицитно регулисани јер нису сматрани личним информацијама осим ако нису могли директно идентификовати појединца. Измене из 2022. године значајно су промениле овај пејзаж.

Колачићи сада подлежу контроли када се деле са трећим странама које их могу повезати са личним информацијама. Конкретно, ако прослеђујете податке колачића трећој страни (као што је рекламна мрежа или провајдер аналитике) која их може повезати са идентификованим појединцима, морате добити сагласност корисника пре тог преноса.

То значи да иако APPI не захтева општу сагласност за колачиће као GDPR, сагласност је обавезна за дељење колачића са трећим странама у многим уобичајеним сценаријима оглашавања и аналитике.

Кључне обавезе за оператере веб-сајтова

• Пружање података трећим странама: Добијте opt-in сагласност пре дељења података колачића са трећим странама које их могу повезати са личним информацијама.
• Обелодањивање политике приватности: Јасно обелоданите које колачиће користите, њихове сврхе и које треће стране примају податке.
• Прекогранични преноси: Ако се подаци колачића шаљу на сервере ван Јапана, обавестите кориснике о стандардима заштите података одредишне земље или добијте експлицитну сагласност.
• Обавештење о повреди података: Пријавите повреде које укључују личне податке (укључујући податке повезане са колачићима) комисији PPC у прописаном року.
• Права појединаца: Одговорите на захтеве корисника за обелодањивање, исправку или брисање њихових личних података, укључујући податке изведене из колачића.

APPI наспрам GDPR: кључне разлике

Иако оба закона имају за циљ заштиту личних података, разликују се по обиму и приступу:

• Обим сагласности: GDPR захтева сагласност за скоро све небитне колачиће. APPI фокусира захтеве за сагласност на дељење података са трећим странама уместо на само постављање колачића.
• Правни основи: GDPR нуди шест правних основа за обраду. APPI се ослања превасходно на сагласност и легитимну пословну сврху, са мање формалних категорија.
• Казне: Казне GDPR могу достићи 4% глобалних прихода. Казне APPI су историјски биле ниже, али су измене из 2022. године повећале максималне казне на ¥100 million (приближно $700,000) за корпорације.
• Екстратериторијални домет: Оба закона се примењују на стране пословне субјекте који обрађују податке домаћих резидената, али се механизми спровођења значајно разликују.

Имплементација сагласности за колачиће усклађене са APPI

Да бисте се ускладили са APPI уз одржавање доброг корисничког искуства, пратите ове кораке:

1. Ревидирајте своје колачиће: Идентификујте који колачићи прикупљају податке који се деле са трећим странама, посебно рекламним мрежама и аналитичким платформама.
2. Класификујте по ризику: Раздвојте колачиће који остају првостранички од оних укључених у преносе података трећим странама. Само потоњи захтевају експлицитну APPI сагласност.
3. Поставите банер за сагласност: Користите CMP који подржава токове сагласности специфичне за APPI. Банер треба јасно да објасни дељење података са трећим странама на јапанском.
4. Поштујте изборе корисника: Блокирајте скрипте колачића трећих страна док се не да сагласност. Функционални првостранички колачићи могу се учитати без сагласности према APPI.
5. Документујте све: Одржавајте евиденцију о прикупљању сагласности, инвентар колачића и уговоре о обради података са трећим странама.

Прекогранични преноси података према APPI

APPI има специфична правила за пренос личних података ван Јапана. Ако ваши подаци колачића теку на сервере у другим земљама — уобичајено код глобалних аналитичких и рекламних платформи — морате или:

• Добити експлицитну сагласност појединца за прекогранични пренос.
• Потврдити да земља примаоца има стандарде заштите података које PPC признаје као еквивалентне јапанским.
• Обезбедити да је организација примаоца применила мере заштите података које испуњавају стандарде APPI путем уговорних или других средстава.

PPC тренутно признаје ЕУ и Уједињено Краљевство као земље са адекватном заштитом података. За друге јурисдикције, обично ће вам бити потребна сагласност корисника или уговорне гаранције.

Најбоље праксе за усклађеност на јапанском тржишту

• Локализујте кориснички интерфејс за сагласност: Представите информације о сагласности за колачиће на јапанском. Машински преведени банери могу створити празнине у усклађености ако су правни термини нетачни.
• Комбинујте APPI са GDPR: Ако опслужујете и јапанске и европске кориснике, конфигуришите свој CMP да примењује правила GDPR у ЕУ и правила APPI у Јапану. Обједињени слој сагласности смањује трошкове развоја.
• Пратите смернице PPC: PPC редовно објављује ажуриране смернице и документе са питањима и одговорима. Будите у току са трендовима спровођења и новим тумачењима.
• Планирајте измене: Јапан преиспитује APPI у трогодишњем циклусу. Следеће преиспитивање се очекује до 2025–2026, потенцијално уводећи строжије прописе о колачићима.

Закључак

APPI можда не захтева сагласност за сваки колачић, али његова правила о дељењу података са трећим странама и прекограничним преносима стварају стварне обавезе за сваки веб-сајт који користи рекламне или аналитичке колачиће са јапанским посетиоцима. Добро конфигурисан CMP који разликује између првостраничких и трећестраничких колачића — и који представља јасне, локализоване опције сагласности — најпрактичнији је пут ка усклађености.