جزء من سلسلة Compliance & Regulation

اليابان APPI: الامتثال لحماية المعلومات الشخصية

يعد قانون حماية المعلومات الشخصية الياباني (APPI — 個人情報の保護に関する法律) واحدًا من أطر حماية البيانات الأكثر شمولاً في آسيا. تم تعديل APPI بشكل كبير في عام 2022 (اعتبارًا من 1 أبريل 2022) ويخضع لدورة مراجعة إلزامية مدتها ثلاث سنوات، وقد تقاربت APPI تدريجيًا مع معايير حماية البيانات العالمية مع الاحتفاظ بالمناهج التنظيمية اليابانية الفريدة.

قدمت تعديلات عام 2022 الحق في طلب الحذف، والإفصاح الإلزامي عن معلومات النقل عبر الحدود، وقواعد المعلومات المعالجة بأسماء مستعارة، وتعزيز الإنفاذ بعقوبات تصل إلى 100 مليون ين (660 ألف دولار أمريكي) لانتهاكات الشركات. أصبحت لجنة حماية المعلومات الشخصية (PPC) في اليابان نشطة بشكل متزايد، حيث أصدرت التوجيهات، وأجرت التحقيقات، ورفعت إجراءات إنفاذ ضد الشركات المحلية والأجنبية الكبرى.

الوجبات الرئيسية

ينطبق تطبيق APPI على مشغلي الأعمال الذين يتعاملون مع المعلومات الشخصية في اليابان؛ يغطي التطبيق خارج الحدود الإقليمية المشغلين في الخارج الذين يقومون بجمع بيانات الأشخاص في اليابان

تغطي قواعد التعامل مع المعلومات الشخصية عملية التجميع والاستخدام وتوفير الطرف الثالث وإدارة الأمان

تتطلب المعلومات الشخصية التي تتطلب رعاية خاصة (البيانات الحساسة) موافقة مسبقة صريحة لجمعها

عمليات النقل عبر الحدود مقيدة - مسموح بها لأطراف ثالثة في البلدان التي تتمتع بحماية مماثلة، أو بموافقة فردية صريحة والكشف عن المعلومات

أحكام 2022 الجديدة: الحق في طلب الحذف/التعليق، وإشعار إلغاء الاشتراك الإلزامي لتوفير الطرف الثالث عن طريق إلغاء الاشتراك، وقواعد المعالجة بأسماء مستعارة

تتمتع لجنة حماية المشتريات (PPC) بصلاحيات تحقيق واسعة ويمكنها إصدار أوامر بتعليق الأعمال

لدى اليابان والاتحاد الأوروبي قرارات كفاية متبادلة - يمكن للكيانات المتوافقة مع APPI التحويل من/إلى الاتحاد الأوروبي بموجب قواعد مبسطة

يخضع APPI لمراجعة إلزامية كل ثلاث سنوات - وستكون دورة المراجعة التالية أكثر توافقًا مع المعايير العالمية

إطار عمل ونطاق APPI

التطبيق الإقليمي

ينطبق APPI على:

مشغلو الأعمال في اليابان يتعاملون مع المعلومات الشخصية
المشغلون الخارجيون الذين يتعاملون مع المعلومات الشخصية للأشخاص في اليابان فيما يتعلق بتقديم السلع أو الخدمات (المادة 180 - تمت إضافة التطبيق خارج الحدود الإقليمية في تعديلات عام 2022)

يعد التطبيق خارج الحدود الإقليمية أمرًا مهمًا: فالشركات الأجنبية التي لديها مستخدمين يابانيين تخضع الآن بشكل مباشر لـ APPI دون أن يكون لها كيان قانوني ياباني. يمكن لـ PPC إصدار أوامر للمشغلين في الخارج وتقديم المعلومات إلى السلطات الأجنبية.

من هو "مشغل الأعمال الذي يتعامل مع المعلومات الشخصية"؟

أي شخص يستخدم قاعدة بيانات للمعلومات الشخصية لأغراض تجارية. في السابق، كان المشغلون الذين يتعاملون مع بيانات أقل من 5000 فرد معفيين - وقد ألغى تعديل عام 2015 هذا الإعفاء للمشغلين الصغار. يتم الآن تغطية جميع الشركات التي تستخدم قواعد بيانات المعلومات الشخصية لأغراض تجارية.

** الفئات الرئيسية: **

المعلومات الشخصية (個人情報): معلومات عن فرد حي يمكنه التعرف عليه بالاسم أو تاريخ الميلاد أو أي وصف آخر؛ يتضمن معرفات فريدة (رقمي، رقم جواز السفر، رقم رخصة القيادة، البيانات البيومترية)
البيانات الشخصية (個人データ): معلومات شخصية تشتمل على قاعدة بيانات
البيانات الشخصية المحفوظة (保有個人データ): البيانات الشخصية التي يتمتع المشغل بسلطة الكشف عنها أو تصحيحها أو الإضافة إليها أو حذفها أو إيقاف استخدامها أو إزالتها أو إيقاف توفير الطرف الثالث

التزامات APPI الأساسية

مواصفات أغراض الاستخدام

تتطلب المادة 17 من مشغلي الأعمال تحديد أغراض استخدام المعلومات الشخصية على وجه التحديد قدر الإمكان. عند جمع المعلومات الشخصية، يجب أن يكون الغرض:

تم الكشف عنها علنًا مسبقًا (في سياسة الخصوصية)
أو صرح بذلك بوضوح للفرد عند التحصيل
أو إذا تم تحصيلها مباشرة من الفرد كتابيا، بشكل واضح في النموذج

تقييد الغرض: يجب عدم استخدام المعلومات الشخصية بما يتجاوز الأغراض المحددة دون موافقة الفرد.

قيود التجميع

يجب جمع المعلومات الشخصية من خلال وسائل عادلة ومناسبة. قيود محددة:

لا يمكن الحصول على معلومات شخصية عن طريق الخداع أو أي وسيلة أخرى غير مناسبة
بالنسبة للتحصيل الكتابي المباشر، حدد الغرض من الاستخدام بوضوح في النموذج
الاستخدام ضمن الغرض المحدد؛ تغيير الغرض يتطلب الإخطار أو الموافقة

المعلومات الشخصية التي تتطلب رعاية خاصة (要配慮個人情報): يتطلب التجميع موافقة صريحة مسبقة. وهذا يشمل:

سباق
العقيدة (الدين أو المعتقدات الدينية)
الوضع الاجتماعي (التمييز الرسمي في سجل الأسرة الذي قد يؤدي إلى التمييز)
التاريخ الطبي
السجل الجنائي
الحالة كضحية لجريمة
الإعاقة الجسدية أو العقلية
الاضطرابات والإصابات المعلومات الطبية
نتائج الفحص للأمراض الوراثية

تدابير إدارة الأمن

تتطلب المادة 23 من مشغلي الأعمال اتخاذ التدابير اللازمة والمناسبة للإدارة الآمنة للبيانات الشخصية لمنع التسرب أو الخسارة أو الضرر. تحدد إرشادات PPC أربع فئات من التدابير:

التدابير التنظيمية: وضع السياسات الأساسية؛ تنظيم نظم الإدارة؛ فهم حالة التعامل؛ الاستجابة للتسرب
مقاييس شؤون الموظفين: تدريب الموظفين؛ تنفيذ اتفاقيات السرية
التدابير المادية: إدارة الدخول/الخروج إلى مناطق معالجة البيانات الشخصية؛ إدارة الأجهزة؛ منع السرقة/الخسارة
التدابير الفنية: التحكم في الوصول؛ مصادقة الوصول؛ تدابير مكافحة الفيروسات. مراقبة نظام المعلومات

القيود المفروضة على توفير الطرف الثالث

تقيد المادة 27 تقديم البيانات الشخصية لأطراف ثالثة دون الحصول على موافقة مسبقة من الفرد. الاستثناءات:

مطلوب بموجب القانون
حماية حياة الإنسان أو جسده أو ممتلكاته عندما لا يمكن الحصول على الموافقة
تحسين الصحة العامة حيث لا يمكن الحصول على الموافقة
التعاون مع الجهات الحكومية الوطنية أو المحلية
أساس إلغاء الاشتراك: يُسمح بتوفير الطرف الثالث دون موافقة إذا قام المشغل بإخطار PPC ومنح الأفراد فرصة إلغاء الاشتراك (مع متطلبات إفصاح مهمة)

توفير الطرف الثالث للكيانات الخارجية: يخضع لمتطلبات إضافية (راجع قسم عمليات النقل عبر الحدود).

الحقوق الفردية

وسّعت تعديلات 2022 الحقوق الفردية بشكل كبير:

حق	الوصف	الجدول الزمني للاستجابة
الإفصاح	طلب الكشف عن البيانات الشخصية المحتجزة (بما في ذلك سجلات توفير الطرف الثالث)	دون تأخير (معيار الاستجابة السريعة)
تصحيح	طلب تصحيح البيانات الشخصية المحتفظ بها إذا كانت غير دقيقة	بدون تأخير
تعليق الاستخدام	طلب تعليق الاستخدام في حالة استخدامه خارج نطاق الغرض، أو جمعه بشكل غير قانوني، أو تعرض الحقوق الشخصية للخطر	بدون تأخير
محو	اطلب الحذف في حالة وجود أسباب للتعليق وكان استمرار الاحتفاظ غير ضروري	بدون تأخير
تعليق توفير الطرف الثالث	طلب تعليق توفير الطرف الثالث حيث يؤدي الاحتفاظ به/توفيره إلى ضرر محتمل	بدون تأخير
الكشف عن سجلات الطرف الثالث	طلب الكشف عن سجلات توفير البيانات الشخصية من طرف ثالث	بدون تأخير

التعامل مع الشكاوى: يجب أن يسعى مشغلو الأعمال إلى التعامل بشكل مناسب وسريع مع الشكاوى المتعلقة بالتعامل مع المعلومات الشخصية. يمكن لهيئات تسوية المنازعات التابعة لجهات خارجية والمعتمدة من قبل PPC أن توفر حلاً بديلاً.

متطلبات الاستجابة: لا يحدد APPI فترة استجابة محددة ليوم تقويمي (على عكس 30 يومًا في اللائحة العامة لحماية البيانات). يجب على المشغلين الاستجابة "دون تأخير" - تشير إرشادات الدفع لكل نقرة (PPC) إلى أن الاستجابات يجب أن تكون عمومًا في غضون 2-3 أشهر على الأكثر للطلبات المعقدة.

عمليات نقل البيانات عبر الحدود

تقيد المادة 28 توفير البيانات الشخصية في الخارج. يتطلب توفير الطرف الثالث للمستلمين في الخارج واحدًا مما يلي:

الموافقة الفردية: موافقة مسبقة من الفرد، بعد تقديم معلومات محددة حول الوجهة والنظام الخارجي
الدولة ذات الحماية المكافئة: النقل إلى دولة تم تحديدها بأمر من مجلس الوزراء PPC على أنها تتمتع بمستوى حماية مماثل (حاليًا: دول الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية بموجب ترتيب الملاءمة بين اليابان والاتحاد الأوروبي)
المشغل ذو الحماية المكافئة: قام المستلم الخارجي بتنفيذ تدابير حماية البيانات المكافئة (موثقة من خلال العقد، أو قواعد الشركة الملزمة، أو وسائل أخرى)

الكشف عن المعلومات المطلوبة للحصول على الموافقة: بالنسبة لعمليات النقل القائمة على الموافقة، يجب على المشغل أن يقدم للفرد مسبقًا ما يلي:

إسم الدولة الأجنبية
نظام حماية المعلومات الشخصية في تلك الدولة
الإجراءات التي يتخذها الطرف الثالث للتعامل مع المعلومات الشخصية

توفر صفحة معلومات الدولة PPC معلومات مرجعية حول أنظمة الحماية في البلدان الأخرى.

الملاءمة بين اليابان والاتحاد الأوروبي: لدى اليابان والاتحاد الأوروبي ترتيبات كفاية متبادلة - لدى اليابان قرار كفاية من مفوضية الاتحاد الأوروبي، وتعترف اليابان بأن الدول الأعضاء في الاتحاد الأوروبي تتمتع بحماية متكافئة. وهذا يبسط تدفق البيانات في اليابان والاتحاد الأوروبي بشكل كبير.

المعالجة بأسماء مستعارة لعمليات النقل الخارجية: يمكن تقديم المعلومات التي تمت معالجتها بأسماء مستعارة إلى أطراف ثالثة في الخارج على أساس إلغاء الاشتراك (بدلاً من طلب الموافقة)، مع مراعاة إشعار PPC وفرصة إلغاء الاشتراك الفردية.

معلومات المعالجة بأسماء مستعارة (仮名加工情報)

أدخلت تعديلات عام 2021 معلومات معالجة بأسماء مستعارة (仮名加工情報) – وهي فئة جديدة بين البيانات الشخصية والمعلومات المعالجة بشكل مجهول. المتطلبات:

الإنشاء: معالجة المعلومات الشخصية عن طريق استبدال المعلومات التعريفية (الاسم وتاريخ الميلاد والعناوين) برموز محددة أو تدابير أخرى تجعل من المستحيل تحديد هوية الفرد دون معلومات أخرى.

الاستخدامات: يمكن استخدام المعلومات التي تمت معالجتها بأسماء مستعارة لأغراض التحليل والبحث الداخلي دون موافقة فردية - مما يتيح تحليل البيانات مع تقليل مخاطر الخصوصية.

القيود:

لا يمكن توفيرها لأطراف ثالثة (باستثناء المشغلين المعتمدين وضمن مجموعات الشركات بموجب شروط محددة)
لا يمكن مقارنتها بمعلومات أخرى لتحديد هوية الأفراد
لا يمكن استخدامها للاتصال بالأفراد

الأمان: يجب إدارته بأمان مثل إدارة البيانات الشخصية.

المعلومات التي تمت معالجتها بشكل مجهول (匿名加工情報)

بيانات مجهولة المصدر حقًا ولا يمكن إعادة تحديد هويتها حتى مع معلومات أخرى. المتطلبات:

اتبع معايير إخفاء الهوية المحددة بواسطة PPC (المعالجة غير القابلة للعكس بما في ذلك: استبدال الاسم/العنوان، وتعميم البيانات الدقيقة، وقمع القيم المتطرفة، وحذف معلومات الربط)
نشر فئات المعلومات مجهولة المصدر التي تم إنشاؤها
يمكن تقديمها لأطراف ثالثة مع نشر الفئات
لا يمكن للمستلمين محاولة إعادة تحديد المعلومات

إشعار الانتهاك (تعديل 2022)

جعلت تعديلات 2022 إشعار الانتهاك إلزاميًا (موصى به بشدة سابقًا). متطلبات:

إخطار PPC (المادة 26): مطلوب عند حدوث تسرب أو خسارة أو ضرر من المحتمل أن يضر بالحقوق والمصالح الفردية، بما في ذلك:

تسرب المعلومات الشخصية التي تتطلب رعاية خاصة
من المحتمل أن يؤدي التسرب إلى تلف الممتلكات من خلال الاستخدام غير القانوني (المعلومات المالية/معلومات الحساب)
التسرب الناجم عن غرض غير لائق (من الداخل الخبيث)
التسرب يؤثر على 1000 فرد أو أكثر

الجدول الزمني:

التقرير الأولي: خلال 3 إلى 5 أيام عمل من تاريخ العلم
التقرير الكامل: في غضون 30 يومًا (60 يومًا للانتهاكات الخبيثة من الداخل)

الإشعار الفردي: مطلوب لنفس الأحداث المؤهلة — يجب إخطار الأفراد دون تأخير.

** محتوى الإشعارات (للدفع لكل نقرة (PPC) والأفراد) **:

نظرة عامة على الحادث
أنواع وعدد أصحاب البيانات والبيانات الشخصية المتأثرة
الأسباب والظروف
ما إذا كان هناك خطر حدوث أضرار ثانوية
الإجراءات المتخذة والمخطط لها

إنفاذ PPC والعقوبات

لجنة حماية المعلومات الشخصية (PPC) (個人情報保護委員会) هي هيئة مستقلة لحماية البيانات في اليابان. تأسست لجنة السياسة النقدية في عام 2016، وتتمتع بصلاحيات إشرافية واسعة.

الصلاحيات الإدارية:

التقارير/طلبات التحقيق من أصحاب الأعمال (المادة 146)
عمليات التفتيش في الموقع
الإرشاد والمشورة (المادة 147)
التوصيات (المادة 148)
الأوامر (المادة 148 (2)) - يجب على مشغلي الأعمال الالتزام بها
الإعلان عن عدم الامتثال (المادة 148 (3))

** العقوبات **:

انتهاك أمر PPC: غرامة تصل إلى 100 مليون ين على الشركات + مليون ين** للأفراد
الفشل في الإبلاغ/التقرير الكاذب ردًا على تحقيق PPC: ما يصل إلى 500,000 ين
توفير قاعدة بيانات تابعة لجهات خارجية بشكل غير قانوني: ما يصل إلى مليون ين + 300000 ين للأفراد + السجن لمدة تصل إلى عام واحد (جنائي)
إساءة استخدام المعلومات الشخصية لتحقيق ربح غير قانوني: عقوبة جنائية تصل إلى السجن لمدة عام واحد

أصبحت لجنة حماية المستهلك نشطة بشكل متزايد - وتشمل الإجراءات الأخيرة إجراء تحقيقات في الشركات اليابانية الكبرى، وتوجيهات بشأن التزامات مشغلي الأعمال في الخارج، والتعاون مع وكالات حماية البيانات الأجنبية.

قائمة التحقق من الامتثال لـ APPI

الأسئلة المتداولة

هل ينطبق تطبيق APPI على شركتي الخارجية التي تضم مستخدمين يابانيين؟

نعم منذ تعديلات 2022. تطبق المادة 180 من قانون APPI قانون APPI على الشركات الخارجية التي تتعامل مع المعلومات الشخصية للأشخاص في اليابان فيما يتعلق بتوفير السلع أو الخدمات. يتضمن ذلك أي موقع ويب أو تطبيق أو خدمة خارجية تجمع البيانات من المستخدمين اليابانيين. يجب على المشغلين في الخارج الالتزام بجميع أحكام APPI المعمول بها ويخضعون لرقابة PPC. يمكن لـ PPC إصدار أوامر للمشغلين في الخارج ويمكنها مشاركة المعلومات مع نظيراتها الأجنبية في اليابان بموجب ترتيبات المساعدة المتبادلة.

ما هي "المعلومات الشخصية التي تتطلب رعاية خاصة" وما سبب أهميتها؟

المعلومات الشخصية التي تتطلب رعاية خاصة (要配慮個人情報) هي ما يعادل البيانات الحساسة الخاصة بـ APPI - وهي المعلومات التي قد يؤدي جمعها إلى تمييز أو تحيز غير عادل. ويشمل العرق والعقيدة والحالة الاجتماعية والتاريخ الطبي والسجل الجنائي وحالة الإعاقة والحالة كضحية جريمة. الالتزام الرئيسي: يجب عليك الحصول على موافقة صريحة مسبقة قبل جمع أي من هذه الفئات، حتى لو كان لديك أسباب أخرى لجمعها. لا تنطبق الموافقة الضمنية وأساس إلغاء الاشتراك ومعايير الموافقة الأقل الأخرى على المعلومات الخاصة المطلوبة للرعاية.

كيف تعمل تدفقات البيانات بين اليابان والاتحاد الأوروبي في ظل ترتيبات الملاءمة المتبادلة؟

أنشأت اليابان والاتحاد الأوروبي كفاءة متبادلة في عام 2019 ــ وهو ترتيب ثنائي فريد من نوعه. وتبنت المفوضية الأوروبية قراراً بشأن الملاءمة بالنسبة لليابان، وعدلت اليابان تطبيق API لتضمين البيانات الشخصية للاتحاد الأوروبي ضمن إطارها الحالي (مع قواعد تكميلية). وهذا يعني: أن التحويلات من الاتحاد الأوروبي إلى اليابان مسموح بها دون آليات إضافية (بموجب قرار الملاءمة الصادر عن المفوضية الأوروبية)؛ يُسمح بالتحويلات من اليابان إلى الاتحاد الأوروبي حيث تعامل اليابان دول الاتحاد الأوروبي كوجهات حماية متساوية. لا يزال كلا الاتجاهين يتطلبان الامتثال لجميع التزامات APPI (بالنسبة لليابان → الاتحاد الأوروبي) وجميع التزامات القانون العام لحماية البيانات في الاتحاد الأوروبي (بالنسبة للاتحاد الأوروبي → اليابان). تتضمن القواعد التكميلية للبيانات الشخصية للاتحاد الأوروبي في اليابان وسائل حماية إضافية تتوافق مع متطلبات اللائحة العامة لحماية البيانات.

ما هي السجلات التي يتطلبها APPI لتوفير الطرف الثالث؟

يتطلب APPI من مشغلي الأعمال إنشاء سجلات عند تقديم البيانات الشخصية إلى أطراف ثالثة، وعند تلقي البيانات الشخصية من أطراف ثالثة. يجب أن تتضمن سجلات التقديم ما يلي: تاريخ التقديم، والاسم والتفاصيل الأخرى للطرف الثالث، وفئات البيانات الشخصية المقدمة، وظروف التقديم (الأساس القانوني)، ومعلومات حول الفرد إذا تم الحصول عليها من طرف ثالث. يجب الاحتفاظ بهذه السجلات لفترة محددة (3 سنوات من تاريخ الإنشاء لمعظمها، وسنة واحدة للحالات التي يمكن فيها مشاركة السجلات مع الأفراد عند الطلب). يمكن للأفراد طلب الكشف عن سجلات توفير الطرف الثالث هذه.

متى يكون تقييم تأثير حماية البيانات (DPIA) أو تقييم تأثير الخصوصية مطلوبًا بموجب APPI؟

لا يفرض APPI على وجه التحديد تقييمات تأثير حماية البيانات (DPIAs) كما يفعل القانون العام لحماية البيانات في الاتحاد الأوروبي. ومع ذلك، أصدرت PPC مبادئ توجيهية تشجع عمليات تقييم الأثر الطوعية لأنشطة المعالجة عالية المخاطر، ولا سيما: الأنظمة أو الخدمات الجديدة التي تتضمن جمع البيانات الشخصية على نطاق واسع، ومشاريع النقل عبر الحدود، والاستخدامات الجديدة للبيانات الحساسة، والتوصيف أو اتخاذ القرار الآلي. يعتبر إجراء تقييمات PIA من أفضل الممارسات من قبل PPC ويشير إلى المساءلة التنظيمية. بالنسبة للشركات الخاضعة لكل من APPI وGDPR، ستنطبق متطلبات حماية البيانات العامة الإلزامية الخاصة باللائحة العامة لحماية البيانات (GDPR) على أنشطة المعالجة ذات الصلة بالاتحاد الأوروبي.

الخطوات التالية

يستمر مؤشر APPI الياباني في التطور من خلال دورة المراجعة الإلزامية التي مدتها ثلاث سنوات - ومن المتوقع أن تؤدي مراجعة 2025 إلى زيادة مواءمة APPI مع المعايير الدولية. إن بناء برنامج امتثال يستجيب للتحديثات المستمرة، مع تلبية الالتزامات الحالية، يتطلب خبرة فنية ووعيًا قانونيًا.

يساعد فريق ECOSIRE الشركات التي تدخل السوق اليابانية وتوسعها في تنفيذ ممارسات البيانات المتوافقة مع APPI، وسياسات الخصوصية للمستخدمين اليابانيين، وآليات نقل البيانات عبر الحدود.

البدء: خدمات ECOSIRE

إخلاء المسؤولية: هذا الدليل لأغراض إعلامية فقط ولا يشكل مشورة قانونية. يخضع APPI للمراجعة والتعديل المنتظم. استشر مستشارًا قانونيًا يابانيًا مؤهلًا للحصول على مشورة خاصة بمؤسستك.

الوسوم:japan appi compliance data-protection privacy

E

بقلم

ECOSIRE Research and Development Team

بناء منتجات رقمية بمستوى المؤسسات في ECOSIRE. مشاركة رؤى حول تكاملات Odoo وأتمتة التجارة الإلكترونية وحلول الأعمال المدعومة بالذكاء الاصطناعي.

عرض جميع المقالات

Japan APPI: Personal Information Protection Compliance