APPI

تكتسب متطلبات الغرض في قانون APPI أهمية خاصة: إذ ينبغي أن يكون غرض الاستخدام محددًا بما يكفي ليفهم الفرد كيف ستُستخدم معلوماته الشخصية. وقد لا تكون الأوصاف العامة، مثل الاكتفاء بعبارة «تحسين الخدمات»، محددة بما يكفي.

غرض الاستخدام بموجب قانون APPI

من المتطلبات الأساسية لقانون APPI أن الشركات يجب أن تحدد غرض استخدام المعلومات الشخصية بأكبر قدر ممكن من الدقة.

ينبغي أن يكون الغرض ملموسًا بما يكفي بحيث:

• تفهم المؤسسة كيف ستُستخدم المعلومات
• يتمكن الأفراد من توقّع كيفية استخدام معلوماتهم بصورة معقولة
• تتمكن المؤسسة من إثبات أن المعالجة اللاحقة تتوافق مع الغرض المعلن

لذلك ينبغي للمؤسسات تجنّب صياغة الأغراض بعبارات مبهمة، والاحتفاظ بسجلات واضحة للأغراض المرتبطة بكل فئة من فئات المعلومات الشخصية.

مثال

بدلًا من:

«لتحسين خدماتنا.»

يمكن لصياغة أكثر تحديدًا للغرض أن توضح أن معلومات العملاء تُستخدم من أجل:

• تقديم الخدمات المطلوبة
• معالجة طلبات دعم العملاء
• إرسال الاتصالات المتعلقة بالخدمة
• تحليل استخدام الخدمة لأغراض تجارية محددة

تعتمد الصياغة المناسبة على أنشطة المعالجة الفعلية.

الموافقة بموجب قانون APPI

لا يشترط قانون APPI الحصول على الموافقة لكل نوع من أنواع معالجة المعلومات الشخصية.

غير أن الموافقة تؤدي دورًا مهمًا في عدة حالات، منها:

• معالجة معلومات شخصية حساسة معينة
• تقديم البيانات الشخصية إلى أطراف ثالثة في الحالات التي تُشترط فيها الموافقة
• بعض عمليات نقل البيانات الشخصية إلى أطراف ثالثة في الخارج
• المعالجة التي تتطلب بخلاف ذلك إذنًا من الفرد بموجب الأحكام المعمول بها

عندما تكون الموافقة مطلوبة، ينبغي للمؤسسات ضمان قدرة الفرد على اتخاذ قرار مستنير استنادًا إلى معلومات مناسبة عن المعالجة.

المعلومات الشخصية الحساسة

يعترف قانون APPI بـ المعلومات الشخصية التي تتطلب عناية خاصة، والتي يُشار إليها عادةً بالمعلومات الشخصية الحساسة.

تشمل هذه الفئة المعلومات المتعلقة بمسائل مثل:

• العرق
• المعتقد
• المكانة الاجتماعية
• التاريخ الطبي
• السجل الجنائي
• التعرّض للإيذاء نتيجة جريمة
• معلومات أخرى يحددها قانون APPI

كقاعدة عامة، يجب على المؤسسة الحصول على الموافقة المسبقة من الفرد قبل الحصول على المعلومات الشخصية التي تتطلب عناية خاصة، مع مراعاة الاستثناءات القانونية.

لذلك ينبغي للمؤسسات التي تتعامل مع هذه المعلومات الحفاظ على ضوابط منفصلة لتحديدها وجمعها والوصول إليها والإفصاح عنها والموافقة عليها.

مشاركة البيانات مع أطراف ثالثة

يقيّد قانون APPI عمومًا تقديم البيانات الشخصية إلى أطراف ثالثة دون الموافقة المسبقة من الفرد، مع مراعاة الاستثناءات التي يحددها القانون.

يمكن أن تشمل الاستثناءات حالات مثل:

• التقديم الذي يفرضه القانون
• الحالات المتعلقة بحماية الحياة أو السلامة الجسدية أو الممتلكات عندما يصعب الحصول على الموافقة
• ظروف الصحة العامة أو حماية الأطفال
• بعض عمليات النقل إلى جهات تستوفي شروطًا محددة
• استثناءات قانونية أخرى

تؤكد PPC أن الطرف الثالث يمكن أن يشمل أحد أفراد الأسرة أو أي شخص آخر خارج الجهة التجارية المعنية.

آلية إلغاء الاشتراك

يوفّر قانون APPI إطارًا محدودًا يمكن بموجبه إجراء بعض عمليات الإفصاح لأطراف ثالثة عبر إجراء إلغاء الاشتراك بدلًا من الموافقة الفردية، شريطة استيفاء المتطلبات القانونية المعمول بها.

ولا يُعد ذلك بديلًا عامًا عن الموافقة، ويتطلب إجراءات إخطار وإجراءات تنظيمية مناسبة.

الموافقة على المعلومات الشخصية الحساسة مقابل المشاركة مع أطراف ثالثة

لا ينبغي التعامل مع هذه المتطلبات على أنها الالتزام نفسه بموجب قانون APPI.

المعلومات الشخصية الحساسة

تُشترط الموافقة المسبقة عمومًا قبل الحصول على المعلومات الشخصية التي تتطلب عناية خاصة، مع مراعاة الاستثناءات.

الإفصاح لأطراف ثالثة

تُشترط الموافقة المسبقة عمومًا قبل تقديم البيانات الشخصية إلى طرف ثالث، مع مراعاة الاستثناءات القانونية وإطار إلغاء الاشتراك المحدود.

عمليات النقل الدولي

تنطبق متطلبات إضافية عند تقديم البيانات الشخصية إلى طرف ثالث في بلد أجنبي.

يساعد الفصل بين سيناريوهات الموافقة هذه المؤسسات على بناء مسارات عمل أدق للامتثال لقانون APPI.

حقوق الأفراد بموجب قانون APPI

يمنح قانون APPI الأفراد حقوقًا تتعلق بالبيانات الشخصية المحتفظ بها.

بحسب الظروف، يمكن للأفراد طلب إجراءات تشمل:

• الإخطار بغرض الاستخدام
• الإفصاح عن البيانات الشخصية المحتفظ بها
• تصحيح المعلومات غير الدقيقة
• إضافة معلومات
• الحذف حيثما ينطبق
• وقف الاستخدام
• المحو حيثما ينطبق
• وقف التقديم إلى أطراف ثالثة
• سبل انتصاف أخرى ينص عليها قانون APPI

ينبغي للمؤسسات وضع عملية موثّقة لاستلام طلبات الأفراد والتحقق من هويتهم وتقييم طلباتهم والرد عليها.

إشعارات الخصوصية والشفافية

ينبغي للمؤسسات تزويد الأفراد بمعلومات مناسبة عن كيفية التعامل مع معلوماتهم الشخصية.

ينبغي أن تتناول معلومات الخصوصية المسائل ذات الصلة مثل:

• هوية الجهة التجارية
• غرض الاستخدام
• فئات المعلومات التي يتم جمعها
• أساليب التعامل مع المعلومات
• الحقوق وإجراءات تقديم الطلبات
• عمليات الإفصاح لأطراف ثالثة
• عمليات النقل الدولي حيثما ينطبق
• المعلومات المتعلقة بالأمن التي يشترطها القانون

تجعل متطلبات الشفافية في قانون APPI إشعار الخصوصية جزءًا مهمًا من إطار الامتثال لدى المؤسسة.

أمن البيانات وإدارة السلامة

يُلزم قانون APPI المؤسسات باتخاذ تدابير الرقابة الأمنية اللازمة والمناسبة لمنع تسرّب المعلومات الشخصية أو فقدانها أو تلفها.

يمكن أن تشمل التدابير الأمنية:

الضوابط التنظيمية

• سياسات الخصوصية الداخلية
• تحديد المسؤوليات
• إجراءات إدارة الوصول
• تدريب الموظفين
• إجراءات الاستجابة للحوادث
• الإشراف على الأطراف الثالثة

الضوابط التقنية

• ضوابط الوصول
• المصادقة
• التشفير حيثما يكون مناسبًا
• المراقبة
• إدارة الثغرات
• الحماية من الوصول غير المصرّح به

الضوابط المادية

• المرافق المؤمَّنة
• حماية المستندات ووسائط التخزين
• تدابير منع السرقة أو الفقدان

تحدد PPC التدابير الأمنية التنظيمية والبشرية والمادية والتقنية بوصفها مكونات ذات صلة بضوابط الأمن بموجب قانون APPI.

الإخطار بخروقات البيانات

يضع قانون APPI التزامات تتعلق ببعض حوادث تسرّب البيانات الشخصية أو فقدانها أو تلفها.

عند وقوع خرق مستوفٍ للشروط، يجب على الجهة التجارية اتخاذ التدابير العلاجية وتدابير الإبلاغ المطلوبة، بما في ذلك إخطار PPC والأفراد المتأثرين حيثما ينطبق.

يمكن أن تخضع الشركات الأجنبية الخاضعة لقانون APPI أيضًا لهذه المتطلبات المتعلقة بالخروقات عندما تتعلق الحادثة بمعلومات شخصية يشملها التطبيق خارج الإقليم لقانون APPI.

ينبغي للمؤسسات الحفاظ على:

• إجراءات اكتشاف الحوادث
• معايير تصنيف الخروقات
• عمليات التصعيد الداخلي
• إجراءات الإبلاغ التنظيمي
• إجراءات إخطار الأفراد
• سجلات المعالجة والتصحيح
• أدلة على الإجراءات التصحيحية

نقل البيانات عبر الحدود

يتضمن قانون APPI متطلبات محددة عند تقديم البيانات الشخصية إلى طرف ثالث موجود خارج اليابان.

كقاعدة عامة، يجب على الجهة التجارية الحصول على موافقة الفرد قبل تقديم البيانات الشخصية إلى طرف ثالث أجنبي، ما لم تنطبق آلية قانونية أو استثناء معمول به.

ويجوز للمؤسسة أيضًا الاعتماد على بدائل محددة، بما في ذلك الحالات التي:

• يكون فيها المتلقي موجودًا في بلد معترف بأنه يوفر مستوى مكافئًا من حماية المعلومات الشخصية
• يكون فيها المتلقي قد أنشأ نظامًا يستوفي المعايير المطلوبة للاستمرار في تطبيق تدابير حماية مكافئة
• ينطبق فيها استثناء قانوني

تشترط إرشادات PPC الحالية بشأن النقل الدولي أيضًا تزويد الأفراد بالمعلومات المناسبة عند استخدام الموافقة آليةً للنقل.

المعلومات المطلوبة لبعض عمليات النقل إلى الخارج

عند الحصول على الموافقة لتقديم البيانات الشخصية إلى طرف ثالث أجنبي، يجب أن يتلقى الفرد المعلومات المطلوبة بشأن النقل إلى الخارج.

يمكن أن يشمل ذلك:

• اسم بلد الوجهة
• معلومات عن نظام حماية المعلومات الشخصية في ذلك البلد
• معلومات عن تدابير الحماية التي ينفذها المتلقي
• معلومات أخرى تشترطها القواعد المعمول بها

تؤكد PPC تحديدًا أنه ينبغي للمؤسسات تقييم المخاطر المرتبطة بعمليات النقل الدولي وتزويد الأفراد بمعلومات مفهومة.

قانون APPI وملفات تعريف الارتباط

لا يعمل قانون APPI بوصفه قانونًا مستقلًا للموافقة على ملفات تعريف الارتباط.

غير أن ملفات تعريف الارتباط ومعرّفات الإعلانات ومعرّفات الأجهزة وتقنيات التحليلات وغيرها من المعرّفات الإلكترونية قد تندرج ضمن قواعد قانون APPI بحسب طريقة جمع المعلومات ودمجها وتقديمها واستخدامها.

ينبغي للمؤسسات تقييم:

• ما إذا كانت التقنية تجمع معلومات شخصية
• ما إذا كان يمكن ربط المعلومات بفرد يمكن التعرف عليه
• غرض الاستخدام
• ما إذا كانت المعلومات تُقدَّم إلى أطراف ثالثة
• ما إذا كانت قواعد المعلومات المتصلة بالأشخاص تنطبق
• ما إذا كان موردون في الخارج يتلقون المعلومات
• ما إذا كانت الموافقة أو آلية قانونية أخرى مطلوبة

لذلك، بالنسبة إلى المواقع الإلكترونية، ينبغي للمؤسسات حصر ملفات تعريف الارتباط وأدوات التتبع لديها بدلًا من افتراض أن كل ملف تعريف ارتباط يتطلب لافتة موافقة بموجب قانون APPI.

المعلومات المتصلة بالأشخاص

يتضمن قانون APPI أيضًا قواعد تتعلق بـ المعلومات المتصلة بالأشخاص، والتي يمكن أن تشمل معلومات عن فرد لا تُعد في حد ذاتها معلومات شخصية، لكنها قد تصبح بيانات شخصية عندما يحصل عليها متلقٍّ.

على سبيل المثال، قد تتطلب بعض المعرّفات الإلكترونية أو المعلومات المتعلقة بالتصفح نظرًا إضافيًا عند تقديمها إلى شركة أخرى يُتوقع أن تحصل عليها بوصفها بيانات شخصية.

توضح PPC أن قاعدة الطرف الثالث ذات الصلة تنطبق عندما يُتوقع أن يحصل المتلقي على المعلومات المتصلة بالأشخاص بوصفها بيانات شخصية.

ويكتسب ذلك أهمية خاصة في منظومات الإعلانات والتحليلات وقياس الجمهور ومشاركة البيانات.

المعلومات ذات الأسماء المستعارة والمعلومات مجهولة الهوية

يوفّر قانون APPI أطرًا خاصة لـ:

• المعلومات المعالَجة بأسماء مستعارة
• المعلومات المعالَجة بإخفاء الهوية

يمكن أن تتيح هذه الأطر للمؤسسات استخدام المعلومات المحوَّلة لأغراض محددة مع تطبيق التزامات تختلف عن تلك المفروضة على المعلومات الشخصية العادية.

غير أن مجرد إخفاء المعلومات أو جعلها مجهولة الهوية لا يجعلها تلقائيًا مصنّفة قانونًا على أنها معلومات معالَجة بأسماء مستعارة أو بإخفاء الهوية. إذ يجب اتباع معايير المعالجة القانونية المعمول بها.

الاحتفاظ بالبيانات وحذفها

ينبغي للمؤسسات وضع سياسات مناسبة للاحتفاظ بالمعلومات الشخصية وحذفها.

ينبغي أن تراعي ممارسات الاحتفاظ ما يلي:

• الغرض الذي جُمعت المعلومات من أجله
• ما إذا كان استمرار الاحتفاظ ضروريًا
• المتطلبات القانونية المعمول بها
• طلبات الأفراد
• المتطلبات الأمنية
• الالتزامات التعاقدية
• جداول الاحتفاظ الداخلية

ينبغي حذف المعلومات التي لم تعد مطلوبة بشكل آمن أو التعامل معها بطريقة أخرى وفقًا لمتطلبات قانون APPI المعمول بها.

قانون APPI ومعالِجو البيانات

كثيرًا ما تعتمد المؤسسات على مزودي الخدمات ومنصات الحوسبة السحابية ومزودي التحليلات ومنصات التسويق وغيرهم من الموردين لمعالجة المعلومات الشخصية.

لذلك ينبغي للشركات الحفاظ على ضوابط مناسبة على المعالجة المُسندة إلى جهات خارجية، بما في ذلك:

• العناية الواجبة تجاه الموردين
• المتطلبات التعاقدية
• التدابير الأمنية
• نطاق المعالجة
• السرية
• الإبلاغ عن الحوادث
• إدارة المتعاقدين من الباطن
• حذف البيانات وإعادتها
• المعالجة عبر الحدود
• مراقبة الامتثال

عندما يتلقى مزود خدمة في الخارج بيانات شخصية، ينبغي للمؤسسات تقييم متطلبات النقل الدولي المعمول بها بموجب قانون APPI بشكل منفصل.

تعديل قانون APPI لعام 2026

أصدرت اليابان تعديلًا آخر لقانون APPI في يوليو 2026 بعد موافقة البرلمان الياباني (الدايت).

صدر التعديل رسميًا في 17 يوليو 2026. ووفقًا لـ PPC، ستدخل معظم الأحكام حيز النفاذ في تاريخ يُحدَّد بموجب أمر مجلس الوزراء خلال عامين من الإصدار. ولا تزال أوامر مجلس الوزراء وقواعد PPC والإرشادات ذات الصلة قيد الإعداد.

وهذا يعني أنه ينبغي للمؤسسات التمييز بين:

متطلبات قانون APPI الحالية

القواعد السارية بالفعل والمنطبقة على أنشطة المعالجة الحالية.

تغييرات قانون APPI المقبلة

المتطلبات التي أدخلها تعديل 2026 والتي ستنطبق بعد تواريخ سريانها الخاصة بكل منها.

ينبغي مراجعة محتوى ConsentX المتعلق بقانون APPI مع استكمال اللوائح التنفيذية والإرشادات.

إنفاذ قانون APPI

تُعد Personal Information Protection Commission (PPC) الجهة التنظيمية الرئيسية للخصوصية في اليابان، وتؤدي دورًا محوريًا في الإشراف على الامتثال لقانون APPI.

تقدّم PPC الإرشادات والأسئلة الشائعة والقواعد ومعلومات الإنفاذ وإرشادات النقل الدولي للمؤسسات الخاضعة لقانون APPI.