APPI Nedir?

APPI, Kişisel Bilgi Koruma Komisyonu (PPC) tarafından uygulanan Japonya'nın temel veri koruma yasasıdır. İşletmenin nerede bulunduğuna bakılmaksızın, Japonya'daki bireylerin kişisel bilgilerini işleyen herhangi bir işletmeye uygulanır.

2022 değişiklikleri, "kişisel olarak atıfta bulunulabilir bilgi" kavramını tanıttı — kendi başına kişisel bilgi olmasa da diğer verilerle birleştirildiğinde bireyleri tanımlayabilen veriler. Bu kategori, birçok çerez ve izleme tanımlayıcı türünü kapsar.

APPI Çerezleri Nasıl Ele Alır?

Orijinal APPI kapsamında çerezler, doğrudan bir bireyi tanımlayamadıkları sürece "kişisel bilgi" olarak kabul edilmedikleri için açıkça düzenlenmemişti. 2022 değişiklikleri bu durumu önemli ölçüde değiştirdi.

Çerezler artık, bunları kişisel bilgilerle ilişkilendirebilen üçüncü taraflarla paylaşıldığında incelemeye tabidir. Özellikle, çerez verilerini tanımlanabilir bireylerle eşleştirebilen bir üçüncü tarafa (reklam ağı veya analiz sağlayıcısı gibi) aktarıyorsanız, bu aktarım öncesinde kullanıcının onayını almanız gerekir.

Bu, APPI'nin GDPR gibi kapsamlı bir çerez onayı gerektirmemesine rağmen, birçok yaygın reklam ve analiz senaryosunda üçüncü taraf çerez paylaşımı için onayın zorunlu olduğu anlamına gelir.

Web Sitesi Operatörleri İçin Temel Yükümlülükler

• Üçüncü taraf veri sağlama: Çerez verilerini kişisel bilgilerle ilişkilendirebilen üçüncü taraflarla paylaşmadan önce açık onay alın.
• Gizlilik politikası açıklaması: Hangi çerezleri kullandığınızı, amaçlarını ve hangi üçüncü tarafların verileri aldığını açıkça belirtin.
• Sınır ötesi transferler: Çerez verileri Japonya dışındaki sunuculara gönderiliyorsa, kullanıcıları hedef ülkenin veri koruma standartları hakkında bilgilendirin veya açık onay alın.
• Veri ihlali bildirimi: Kişisel verileri (çerezle bağlantılı veriler dahil) içeren ihlalleri belirlenen süre içinde PPC'ye bildirin.
• Bireysel haklar: Kullanıcıların çerezlerden elde edilen veriler dahil olmak üzere kişisel verilerini açıklama, düzeltme veya silme taleplerine yanıt verin.

APPI ve GDPR: Temel Farklar

Her iki yasa da kişisel verileri korumayı amaçlasa da kapsam ve yaklaşım bakımından farklılık gösterir:

• Onay kapsamı: GDPR, neredeyse tüm zorunlu olmayan çerezler için onay gerektirir. APPI, onay gereksinimlerini çerez yerleştirmenin kendisinden ziyade üçüncü taraf veri paylaşımına odaklar.
• Hukuki dayanaklar: GDPR, işleme için altı hukuki dayanak sunar. APPI öncelikle onay ve meşru ticari amaca dayanır ve daha az resmi kategoriye sahiptir.
• Cezalar: GDPR para cezaları küresel gelirin %4'üne ulaşabilir. APPI cezaları tarihsel olarak daha düşüktü ancak 2022 değişiklikleri kurumsal şirketler için azami para cezalarını ¥100 million'a (yaklaşık $700,000) yükseltti.
• Ülke dışı uygulama: Her iki yasa da yerleşik kişilerin verilerini işleyen yabancı işletmelere uygulanır, ancak uygulama mekanizmaları önemli ölçüde farklılık gösterir.

APPI Uyumlu Çerez Onayının Uygulanması

İyi bir kullanıcı deneyimini korurken APPI'ye uyum sağlamak için şu adımları izleyin:

1. Çerezlerinizi denetleyin: Özellikle reklam ağları ve analiz platformları olmak üzere, üçüncü taraflarla paylaşılan verileri toplayan çerezleri belirleyin.
2. Riske göre sınıflandırın: Birinci taraf olarak kalan çerezleri üçüncü taraf veri transferlerine dahil olanlardan ayırın. Yalnızca ikincisi açık APPI onayı gerektirir.
3. Onay banner'ı dağıtın: APPI'ye özgü onay akışlarını destekleyen bir CMP kullanın. Banner, üçüncü taraf veri paylaşımını Japonca olarak açıkça belirtmelidir.
4. Kullanıcı tercihlerine saygı gösterin: Onay verilene kadar üçüncü taraf çerez komut dosyalarını engelleyin. Birinci taraf işlevsel çerezler APPI kapsamında onay olmadan yüklenebilir.
5. Her şeyi belgeleyin: Onay toplama kayıtlarını, çerez envanterinizi ve üçüncü taraf veri işleme sözleşmelerini muhafaza edin.

APPI Kapsamında Sınır Ötesi Veri Transferleri

APPI, kişisel verilerin Japonya dışına aktarılması için özel kurallara sahiptir. Çerez verileriniz diğer ülkelerdeki sunuculara akıyorsa — küresel analiz ve reklam platformlarında yaygın bir durum — şunlardan birini yapmanız gerekir:

• Sınır ötesi transfer için bireyin açık onayını alın.
• Alıcı ülkenin PPC tarafından Japonya'nınkine eşdeğer olarak tanınan veri koruma standartlarına sahip olduğunu doğrulayın.
• Alıcı kuruluşun sözleşmesel veya diğer yollarla APPI standartlarını karşılayan veri koruma önlemlerini uyguladığından emin olun.

PPC şu anda AB ve Birleşik Krallık'ı yeterli veri korumasına sahip olarak tanımaktadır. Diğer yargı bölgeleri için genellikle kullanıcı onayı veya sözleşmesel güvenceler gerekecektir.

Japon Pazarı Uyumluluğu İçin En İyi Uygulamalar

• Onay arayüzünüzü yerelleştirin: Çerez onay bilgilerini Japonca olarak sunun. Makine çevirisi yapılmış banner'lar, hukuki terimler yanlışsa uyumluluk boşlukları oluşturabilir.
• APPI'yi GDPR ile birleştirin: Hem Japon hem de Avrupalı kullanıcılara hizmet veriyorsanız, CMP'nizi AB'de GDPR kurallarını ve Japonya'da APPI kurallarını uygulayacak şekilde yapılandırın. Birleşik bir onay katmanı geliştirme yükünü azaltır.
• PPC rehberliğini takip edin: PPC düzenli olarak güncellenmiş kılavuzlar ve soru-cevap belgeleri yayınlar. Uygulama eğilimleri ve yeni yorumlarla güncel kalın.
• Değişikliklere hazırlıklı olun: Japonya, APPI'yi üç yıllık döngülerle gözden geçirir. Bir sonraki gözden geçirmenin 2025–2026'da yapılması beklenmekte olup potansiyel olarak daha sıkı çerez düzenlemeleri getirebilir.

Sonuç

APPI her çerez için onay gerektirmese de üçüncü taraf veri paylaşımı ve sınır ötesi transferlerle ilgili kuralları, Japon ziyaretçilerle reklam veya analiz çerezleri kullanan herhangi bir web sitesi için gerçek yükümlülükler oluşturur. Birinci taraf ve üçüncü taraf çerezleri arasında ayrım yapan ve açık, yerelleştirilmiş onay seçenekleri sunan iyi yapılandırılmış bir CMP, uyumluluğa giden en pratik yoldur.