O Act on the Protection of Personal Information (APPI) do Japão e o General Data Protection Regulation (GDPR) da União Europeia são dois grandes marcos de privacidade que regem o tratamento e a proteção de dados pessoais. O Japão e a UE mantêm uma relação de adequação mútua desde 2019, o que favorece os fluxos internacionais de dados entre as duas jurisdições. No entanto, adequação não significa que a APPI e o GDPR sejam idênticos. Suas abordagens de tratamento lícito, direitos dos indivíduos, transferências internacionais, responsabilização, gestão de violações e fiscalização continuam diferentes. O Japão também aprovou novas alterações da APPI em julho de 2026. A maior parte dessas alterações está programada para entrar em vigor em data futura a ser designada pelo governo dentro de dois anos da promulgação, enquanto os regulamentos e as orientações de apoio continuam sendo elaborados. Por isso, as empresas que atuam no Japão e na UE devem acompanhar tanto os requisitos existentes quanto as próximas mudanças da APPI.
Lado a lado: APPI vs. GDPR
| Dimensão | 🇯🇵 APPI | 🇪🇺 GDPR |
|---|---|---|
| Legislação principal | Act on the Protection of Personal Information (APPI) | Regulamento (UE) 2016/679 |
| Principal autoridade reguladora | Personal Information Protection Commission (PPC) | Autoridades supervisoras dos Estados-Membros da UE + EDPB |
| Escopo territorial | Inclui tratamento extraterritorial específico relacionado a pessoas no Japão | Aplica-se a estabelecimentos na UE e a determinados tratamentos que envolvem indivíduos na UE |
| Estrutura do tratamento | Especificação da finalidade, obtenção adequada, restrições de uso e requisitos legais | Seis bases legais do artigo 6 |
| Dados sensíveis | Informações pessoais que exigem cuidado especial | Categorias especiais de dados pessoais |
| Direitos dos indivíduos | Acesso, correção, cessação/exclusão e outros direitos legais | Acesso, retificação, eliminação, restrição, portabilidade, oposição e outros |
| Portabilidade de dados | Sem direito geral de portabilidade equivalente ao do GDPR | Direito à portabilidade de dados do artigo 20 |
| Transferências internacionais | Mecanismos do artigo 28, incluindo consentimento, regimes de proteção reconhecidos e salvaguardas equivalentes | Adequação, SCCs, BCRs e outros mecanismos do Capítulo V |
| Encarregado de privacidade | Sem exigência direta de DPO nos moldes do GDPR | DPO exigido em circunstâncias específicas |
| Obrigações em caso de violação | Requisitos legais de notificação para incidentes qualificados | Notificação à autoridade supervisora em até 72 horas, quando exigida |
| Decisões automatizadas | Sem equivalente direto ao artigo 22 do GDPR | Regime específico do artigo 22 |
| Relação de dados UE-Japão | A UE reconheceu o nível de proteção do Japão para fins de adequação | Japão reconhecido pela UE para fins de adequação |
O que é a APPI?
O Act on the Protection of Personal Information (APPI) do Japão é o principal marco do país para proteger informações pessoais e regular seu uso por empresas e outras organizações.
A Personal Information Protection Commission (PPC) é a autoridade supervisora independente do Japão responsável por administrar e aplicar a APPI.
A APPI regula áreas como:
- Coleta e obtenção de informações pessoais
- Especificação e limitação das finalidades de utilização
- Medidas de controle de segurança
- Fornecimento a terceiros
- Transferências internacionais
- Direitos dos indivíduos
- Resposta a violações de dados
- Informações tratadas de forma anonimizada
- Informações tratadas de forma pseudonimizada
- Responsabilização e controles organizacionais
O marco de privacidade do Japão continua evoluindo. Em julho de 2026, foram promulgadas novas alterações da APPI, com regulamentos de implementação e orientações sendo elaborados antes do início da vigência.
O que é o GDPR?
O General Data Protection Regulation (GDPR) é o marco abrangente de proteção de dados pessoais da UE.
Ele se aplica a organizações estabelecidas na UE e, em circunstâncias específicas, a organizações fora da UE que tratam dados pessoais em conexão com a oferta de bens ou serviços a indivíduos na UE ou com o monitoramento de seu comportamento.
O GDPR estabelece um marco detalhado que abrange:
- Bases legais para o tratamento
- Transparência e avisos de privacidade
- Direitos dos titulares dos dados
- Proteção de dados desde a concepção e por padrão
- Registros das atividades de tratamento
- DPIAs
- Gestão de operadores
- Transferências internacionais de dados
- Notificação de violação de dados
- Encarregados de proteção de dados (DPOs)
- Cooperação com autoridades supervisoras
APPI vs GDPR: escopo territorial
Os dois marcos podem se aplicar a organizações fora de sua jurisdição de origem, mas os critérios são diferentes.
APPI
Nos termos da APPI, empresas estrangeiras podem ficar sujeitas à aplicação extraterritorial da lei quando tratam informações pessoais relativas a pessoas no Japão em conexão com o fornecimento de bens ou serviços a pessoas no Japão, observados os requisitos legais.
GDPR
O artigo 3 do GDPR contém seu próprio regime extraterritorial, incluindo o tratamento relacionado à oferta de bens ou serviços a indivíduos na UE ou ao monitoramento de seu comportamento.
Ponto principal: Não ter escritório físico no Japão ou na UE não coloca automaticamente uma organização fora do respectivo marco de privacidade.
APPI vs GDPR: base legal e limitação da finalidade
Uma das diferenças mais importantes é a estrutura das duas leis.
APPI
A APPI dá ênfase significativa a:
- Especificação da finalidade de utilização
- Uso de informações pessoais dentro do escopo necessário a essa finalidade
- Obtenção adequada
- Restrições ao fornecimento a terceiros
- Requisitos de consentimento para atividades de tratamento específicas
- Requisitos especiais para informações pessoais que exigem cuidado especial
GDPR
O GDPR exige que as organizações identifiquem uma base legal aplicável nos termos do artigo 6, como:
- Consentimento
- Contrato
- Obrigação legal
- Interesses vitais
- Missão de interesse público
- Interesses legítimos
Requisitos adicionais se aplicam aos dados de categorias especiais nos termos do artigo 9.
Implicação prática: uma análise de base legal do GDPR não pode simplesmente ser copiada para um programa de conformidade com a APPI. As organizações devem mapear separadamente a finalidade do tratamento, a obtenção, o uso, a divulgação e os requisitos aplicáveis da APPI.
Informações pessoais sensíveis
APPI
A APPI reconhece as informações pessoais que exigem cuidado especial, que incluem categorias como determinadas informações sobre raça, credo, histórico médico e antecedentes criminais.
GDPR
O GDPR define separadamente as categorias especiais de dados pessoais, incluindo informações sobre saúde, origem racial ou étnica, convicções religiosas ou filosóficas e outras categorias protegidas.
Ambos os marcos oferecem proteção reforçada, mas as estruturas legais e as exceções diferem.
Direitos dos indivíduos: APPI vs GDPR
Ambos os marcos conferem direitos importantes aos indivíduos, mas o GDPR geralmente oferece um conjunto de direitos mais amplo e mais detalhado.
APPI
A APPI inclui direitos relativos a:
- Divulgação/acesso
- Correção
- Acréscimo ou exclusão
- Cessação da utilização
- Cessação do fornecimento nas circunstâncias aplicáveis
GDPR
O GDPR inclui:
- Direito de acesso
- Direito de retificação
- Direito à eliminação
- Direito à restrição
- Direito à portabilidade de dados
- Direito de oposição
- Direitos relativos a determinadas decisões automatizadas e à definição de perfis
Uma diferença notável é a portabilidade de dados. O artigo 20 do GDPR prevê um direito específico de portabilidade; a APPI não contém um direito geral equivalente.
Transferências internacionais de dados
As transferências internacionais exigem análise separada em cada um dos marcos.
APPI
O artigo 28 regula o fornecimento de dados pessoais a terceiros em países estrangeiros. Dependendo das circunstâncias, os mecanismos de transferência podem incluir:
- Consentimento do indivíduo
- Transferência para uma jurisdição reconhecida como detentora de nível de proteção equivalente
- Um destinatário que mantenha um sistema qualificado de medidas equivalentes contínuas
- Exceções legais
Quando o consentimento é utilizado, a APPI exige que informações específicas sejam fornecidas ao indivíduo, incluindo informações sobre o sistema de proteção de informações pessoais do país de destino.
GDPR
O Capítulo V do GDPR prevê mecanismos como:
- Decisões de adequação
- Cláusulas contratuais padrão
- Normas corporativas globais
- Derrogações específicas nas circunstâncias aplicáveis
Ponto principal: A adequação UE-Japão facilita as transferências, mas não elimina a necessidade de avaliar os requisitos legais aplicáveis a uma transferência específica.
APPI vs GDPR: requisitos em caso de violação de dados
Ambos os marcos exigem que as organizações mantenham segurança adequada e respondam a incidentes com dados pessoais.
APPI
A APPI estabelece seu próprio regime de comunicação e notificação para incidentes qualificados, incluindo as circunstâncias em que é exigida a notificação à PPC e aos indivíduos afetados.
GDPR
Nos termos do GDPR, quando uma violação de dados pessoais é notificável, o controlador geralmente deve notificar a autoridade supervisora competente sem demora injustificada e, quando possível, em até 72 horas após tomar conhecimento dela.
Por isso, as organizações sujeitas a ambos os regimes devem manter um processo coordenado de resposta a incidentes, preservando árvores de decisão de notificação específicas para cada jurisdição.
APPI vs GDPR: encarregado de proteção de dados
APPI
A APPI não cria uma função universal de DPO diretamente equivalente.
Em vez disso, as organizações devem estabelecer responsabilidade interna adequada pela governança de privacidade, pelos controles de segurança, pelo monitoramento da conformidade e pelas solicitações de indivíduos.
GDPR
O GDPR contém um regime formal de encarregado de proteção de dados (DPO) nos artigos 37 a 39, com designação obrigatória em circunstâncias específicas.
Importante: as organizações não devem presumir que a nomeação de um DPO do GDPR atende automaticamente a todos os requisitos organizacionais da APPI.
APPI vs GDPR: decisões automatizadas e IA
APPI
A APPI não estabelece um equivalente direto ao artigo 22.
No entanto, a APPI pode se aplicar quando sistemas de IA tratam informações pessoais, o que significa que as organizações que usam IA no Japão ainda precisam considerar:
- Finalidade do tratamento
- Obtenção de dados
- Precisão e qualidade dos dados
- Controles de segurança
- Divulgações a terceiros
- Transferências internacionais
- Direitos dos indivíduos
- Transparência e responsabilização
Requisitos relacionados à IA também podem decorrer de outras leis, diretrizes e marcos regulatórios japoneses.
GDPR
O GDPR contém disposições específicas que regem as decisões exclusivamente automatizadas que produzem efeitos jurídicos ou efeitos igualmente significativos, incluindo o artigo 22.
APPI vs GDPR: dados de crianças
Os dois regimes também diferem no tratamento das informações de crianças.
APPI
A APPI não adota um regime de limite de idade idêntico ao do GDPR. Em vez disso, as organizações devem avaliar as circunstâncias da coleta, o consentimento, a representação e a natureza do tratamento à luz dos requisitos e das orientações japonesas aplicáveis.
GDPR
O GDPR estabelece regras específicas para o consentimento de crianças em relação a serviços da sociedade da informação, com o limite de idade geralmente fixado em 16 anos, podendo os Estados-Membros reduzi-lo até o mínimo de 13 anos.
APPI vs GDPR: sanções e fiscalização
Os modelos de fiscalização são diferentes.
APPI
A APPI prevê mecanismos de aplicação administrativos e penais, incluindo sanções pecuniárias em circunstâncias específicas. A sanção aplicável depende da natureza da violação e da disposição legal pertinente.
GDPR
O GDPR permite multas administrativas de até 20 milhões de euros, ou 4% do faturamento anual mundial, o que for maior, para determinadas infrações.
Por isso, as empresas devem evitar tratar um único valor de sanção de destaque como representativo de todas as violações da APPI.
Relação de adequação Japão-UE
O Japão e a União Europeia reconhecem mutuamente seus marcos de proteção de dados para fins de adequação desde 2019.
Isso é estrategicamente importante para organizações que transferem dados pessoais entre a UE e o Japão.
No entanto, uma decisão de adequação não significa que a conformidade com o GDPR equivalha automaticamente à conformidade com a APPI.
As organizações ainda podem precisar de controles específicos por jurisdição que abranjam:
- Avisos de privacidade
- Especificação da finalidade
- Divulgações a terceiros
- Documentação de transferências internacionais
- Solicitações de indivíduos
- Medidas de segurança
- Resposta a incidentes
- Responsabilidades de governança
APPI vs GDPR: um único programa de conformidade pode cobrir ambos?
Sim - mas ele deve ser concebido como um programa de privacidade coordenado, com controles específicos por jurisdição, em vez de tratar as duas leis como intercambiáveis.
Um programa global de privacidade pode estabelecer controles comuns para:
- Inventário de dados
- Registros de tratamento
- Gestão de fornecedores
- Segurança
- Avisos de privacidade
- Direitos dos indivíduos
- Resposta a incidentes
- Transferências internacionais
- Governança de privacidade
O programa pode então aplicar os requisitos legais específicos da APPI e do GDPR nos pontos em que os marcos divergem.
Um modelo prático de conformidade APPI + GDPR
- Um único mapa global de dados
- Uma única estrutura de controles
- Camadas legais específicas por jurisdição
- Monitoramento regulatório contínuo
Essa abordagem reduz a duplicação e preserva as diferenças que importam para a conformidade.
Perguntas frequentes
A APPI é a versão japonesa do GDPR?
Não. A APPI e o GDPR têm objetivos de privacidade semelhantes, mas usam estruturas legais, terminologia, direitos e mecanismos de conformidade diferentes.
Se minha empresa está em conformidade com o GDPR, ela está automaticamente em conformidade com a APPI?
Não. A conformidade com o GDPR pode oferecer uma base sólida, mas podem ser necessários análises e controles adicionais para a APPI, especialmente quanto à especificação da finalidade, às divulgações a terceiros, às transferências internacionais, às medidas de segurança e aos direitos específicos do Japão.
A APPI se aplica a empresas fora do Japão?
Pode se aplicar. A APPI tem aplicação extraterritorial em circunstâncias específicas que envolvem o tratamento de informações pessoais relativas a pessoas no Japão em conexão com o fornecimento de bens ou serviços no Japão.
A APPI exige um encarregado de proteção de dados (DPO)?
A APPI não impõe uma exigência direta de DPO nos moldes do GDPR aplicável às organizações em geral. As organizações devem estabelecer estruturas adequadas de governança de privacidade e de responsabilização.
O Japão tem uma relação de adequação com a UE?
Sim. O Japão e a UE têm um acordo de adequação mútua que favorece os fluxos internacionais de dados.
As transferências internacionais da APPI são iguais às transferências do GDPR?
Não. O artigo 28 da APPI e o Capítulo V do GDPR usam mecanismos e requisitos de transferência diferentes. A APPI pode se basear em consentimento, em jurisdições reconhecidas como de proteção equivalente ou em salvaguardas contínuas qualificadas, dependendo das circunstâncias.
A APPI mudou em 2026?
Sim. O Japão aprovou e promulgou novas alterações da APPI em 17 de julho de 2026. A maior parte das alterações está programada para entrar em vigor em data futura a ser designada dentro de dois anos da promulgação, enquanto as normas de implementação detalhadas e as orientações estão sendo elaboradas.
Construa um programa de conformidade APPI + GDPR
Atuar no Japão e na UE exige mais do que copiar um marco de privacidade para outro.
A RegulatoryBridge ajuda organizações a construir programas de privacidade coordenados que abrangem a APPI, o GDPR e outras leis globais de privacidade - combinando análise regulatória, controles de conformidade, representação de privacidade, governança de dados e monitoramento regulatório contínuo.
Mapeie suas obrigações de privacidade uma única vez. Aplique os requisitos legais corretos em cada jurisdição.
Cubra APPI e GDPR em um único programa.
Mapeie os controles uma vez e cumpra duas. A RegulatoryBridge oferece um único pipeline de DSAR, um único DPO, um único runbook de violações - cobrindo ambas as estruturas.