APPI

APPI 关于目的的要求尤为重要：利用目的应足够具体，使个人能够理解其个人信息将如何被使用。仅写“改进服务”之类的笼统描述可能不够具体。

APPI 下的利用目的

APPI 的核心要求之一是，企业必须尽可能特定个人信息的利用目的。

利用目的应足够具体，以便：

• 组织了解信息将如何被使用
• 个人能够合理预见其信息将如何被使用
• 组织能够证明后续处理与所述目的一致

因此，组织应避免含糊的目的表述，并清晰记录与每类个人信息相关的目的。

示例

不要写成：

“为了改进我们的服务。”

更具体的目的可以说明客户信息用于：

• 提供所请求的服务
• 处理客户支持请求
• 发送与服务相关的通知
• 为明确的业务目的分析服务使用情况

合适的措辞取决于实际的处理活动。

APPI 下的同意

APPI 并不要求每一类个人信息处理都取得同意。

但是，同意在以下若干情形中发挥重要作用：

• 处理某些敏感个人信息
• 在需要同意的情形下向第三方提供个人数据
• 向境外第三方进行的某些个人数据传输
• 根据适用规定以其他方式需要个人授权的处理

在需要同意时，组织应确保个人能够基于有关处理的适当信息作出知情决定。

敏感个人信息

APPI 规定了通常被称为敏感个人信息的需特别注意的个人信息。

该类别包括与以下事项相关的信息：

• 种族
• 信条
• 社会身份
• 病史
• 犯罪记录
• 因犯罪而受害的事实
• APPI 规定的其他信息

作为一般规则，组织在取得需特别注意的个人信息之前，除法定例外外，必须事先取得个人的同意。

因此，处理此类信息的组织应针对识别、收集、访问、披露和同意分别维持控制措施。

向第三方共享数据

除法律规定的例外外，APPI 原则上限制在未取得个人事先同意的情况下向第三方提供个人数据。

例外可能包括以下情形：

• 依法要求的提供
• 涉及保护生命、身体或财产且难以取得同意的情形
• 涉及公共卫生或儿童保护的情形
• 向满足规定条件的主体进行的某些提供
• 其他法定例外

PPC 确认，第三方可以包括家庭成员或相关业务经营者以外的其他人。

选择退出机制

APPI 规定了一个有限的框架：在满足适用法定要求的前提下，某些向第三方的提供可以通过选择退出程序而非个人同意进行。

这并不是同意的一般替代方式，需要履行适当的通知和监管程序。

敏感个人信息的同意与向第三方共享的区别

这些要求不应被视为 APPI 下的同一项义务。

敏感个人信息

在取得需特别注意的个人信息之前，除例外情形外，原则上需要事先同意。

向第三方提供

在向第三方提供个人数据之前，除法定例外和有限的选择退出框架外，原则上需要事先同意。

跨境传输

向外国的第三方提供个人数据时，适用额外要求。

区分这些同意场景有助于组织构建更准确的 APPI 合规工作流。

APPI 下的个人权利

APPI 为个人提供了与保有个人数据相关的权利。

视具体情况，个人可以请求采取的措施包括：

• 通知利用目的
• 披露保有个人数据
• 更正不准确的信息
• 补充信息
• 在适用时删除
• 停止利用
• 在适用时消除
• 停止向第三方提供
• APPI 规定的其他救济措施

组织应建立有文档记录的流程，用于接收、验证身份、评估和回复个人请求。

隐私声明与透明度

组织应向个人提供有关其个人信息如何被处理的适当信息。

隐私信息应涵盖以下相关事项：

• 业务经营者的身份
• 利用目的
• 所收集信息的类别
• 处理方式
• 权利与请求程序
• 向第三方提供
• 适用时的跨境传输
• 法律要求的安全相关信息

APPI 的透明度要求使隐私声明成为组织合规框架的重要组成部分。

数据安全与安全管理

APPI 要求组织采取必要且适当的安全管理措施，以防止个人信息泄露、灭失或毁损。

安全措施可以包括：

组织性控制

• 内部隐私政策
• 明确分配职责
• 访问管理程序
• 员工培训
• 事件响应程序
• 对第三方的监督

技术性控制

• 访问控制
• 身份验证
• 适当时进行加密
• 监控
• 漏洞管理
• 防范未经授权的访问

物理性控制

• 安全的设施
• 保护文件和存储介质
• 防止盗窃或遗失的措施

PPC 将组织性、人员性、物理性和技术性安全措施列为 APPI 安全管理措施的相关组成部分。

数据泄露通知

APPI 对涉及个人数据的某些泄露、灭失或毁损事件规定了义务。

发生符合条件的泄露时，业务经营者必须采取所需的补救和报告措施，包括在适用时通知 PPC 和受影响的个人。

当事件涉及属于 APPI 域外适用范围的个人信息时，受 APPI 约束的外国企业也可能适用这些与泄露相关的要求。

组织应维护：

• 事件检测程序
• 泄露分类标准
• 内部上报流程
• 向监管机构报告的程序
• 通知个人的程序
• 补救记录
• 纠正措施的证据

跨境数据传输

APPI 对向位于日本境外的第三方提供个人数据的情形规定了具体要求。

作为一般规则，除非适用法定机制或例外，业务经营者在向外国第三方提供个人数据之前必须取得个人的同意。

组织也可以依据规定的替代方式，包括以下情形：

• 接收方位于被认定提供同等水平个人信息保护的国家
• 接收方已建立符合所需标准的体制，能够持续实施同等的保护措施
• 适用法定例外

PPC 现行的跨境传输指南还要求，在以同意作为传输机制时，向个人提供适当的信息。

某些境外传输所需提供的信息

为向外国第三方提供个人数据而取得同意时，个人必须获得有关境外传输的所需信息。

这可以包括：

• 目的地国家的名称
• 该国个人信息保护制度的相关信息
• 接收方所实施保护措施的相关信息
• 适用规则要求的其他信息

PPC 特别强调，组织应评估与跨境传输相关的风险，并向个人提供易于理解的信息。

APPI 与 Cookie

APPI 并不是一部独立的 Cookie 同意法。

但是，Cookie、广告标识符、设备标识符、分析技术及其他在线标识符，可能会视信息的收集、合并、提供和使用方式而落入 APPI 的规则范围。

组织应评估：

• 该技术是否收集个人信息
• 信息是否可以与可识别的个人相关联
• 利用目的
• 信息是否被提供给第三方
• 是否适用个人相关信息规则
• 境外供应商是否接收该信息
• 是否需要同意或其他法律机制

因此，对于网站，组织应梳理其 Cookie 和跟踪器，而不是假定每个 Cookie 都需要 APPI 同意横幅。

个人相关信息

APPI 还包含关于个人相关信息的规则。个人相关信息可以包括本身不构成个人信息、但在被接收方取得后可能成为个人数据的有关个人的信息。

例如，某些在线标识符或与浏览相关的信息，在提供给预计会将其作为个人数据取得的其他企业时，可能需要额外考虑。

PPC 明确指出，相关的第三方规则适用于预计接收方会将个人相关信息作为个人数据取得的情形。

这与广告、分析、受众测量和数据共享生态系统尤其相关。

假名化信息与匿名化信息

APPI 针对以下信息规定了专门的框架：

• 假名加工信息
• 匿名加工信息

这些框架可以允许组织为特定目的使用经过加工的信息，同时适用与普通个人信息不同的义务。

但是，仅仅对信息进行遮蔽或匿名化，并不会自动使其在法律上被归类为假名加工信息或匿名加工信息。必须遵循适用的法定加工标准。

数据保存与删除

组织应制定适当的个人信息保存和删除政策。

保存实践应考虑：

• 收集信息的目的
• 是否有必要继续保存
• 适用的法律要求
• 个人的请求
• 安全要求
• 合同义务
• 内部保存时间表

不再需要的信息应被安全删除，或按照适用的 APPI 要求以其他方式处理。

APPI 与数据受托方

组织经常依赖服务提供商、云平台、分析服务提供商、营销平台和其他供应商来处理个人信息。

因此，企业应对委托处理维持适当的控制措施，包括：

• 供应商尽职调查
• 合同要求
• 安全措施
• 处理范围
• 保密
• 事件报告
• 再受托方管理
• 数据删除与返还
• 跨境处理
• 合规监控

当境外服务提供商接收个人数据时，组织应另行评估适用的 APPI 跨境传输要求。

2026 年 APPI 修正

经国会批准，日本于2026年7月通过了 APPI 的又一次修正。

该修正于2026年7月17日公布。根据 PPC 的说明，大部分条款将在公布后两年内由政令规定的日期施行。相关政令、PPC 规则和指南仍在制定中。

这意味着组织应区分：

现行 APPI 要求

已经生效并适用于当前处理活动的规则。

即将实施的 APPI 变化

由 2026 年修正引入、将在各自生效日期之后适用的要求。

ConsentX 的 APPI 内容应随着实施规则和指南的最终确定而进行审查。

APPI 执法

个人信息保护委员会（PPC）是日本主要的隐私监管机构，在监督 APPI 合规方面发挥核心作用。

PPC 为受 APPI 约束的组织提供指南、常见问题、规则、执法信息以及跨境传输指南。