Японский Закон о защите персональной информации (APPI) и Общий регламент Европейского союза по защите данных (GDPR) - два крупных нормативных режима в области конфиденциальности, которые регулируют обработку и защиту персональных данных. С 2019 года между Японией и ЕС действует взаимное признание адекватности, которое поддерживает международные потоки данных между двумя юрисдикциями. Однако адекватность не означает, что APPI и GDPR идентичны. Их подходы к законности обработки, правам физических лиц, международной передаче данных, подотчётности, действиям при утечках и правоприменению по-прежнему различаются. Кроме того, в июле 2026 года Япония приняла новые поправки к APPI. Большинство из них должны вступить в силу в дату, которую правительство определит в течение двух лет после обнародования, а подзаконные акты и руководства ещё разрабатываются. Поэтому компаниям, работающим и в Японии, и в ЕС, следует отслеживать как действующие требования, так и предстоящие изменения APPI.
Сравнение: APPI против GDPR
| Параметр | 🇯🇵 APPI | 🇪🇺 GDPR |
|---|---|---|
| Основной законодательный акт | Закон о защите персональной информации (APPI) | Регламент (ЕС) 2016/679 |
| Основной регулятор | Комиссия по защите персональной информации (PPC) | Надзорные органы государств - членов ЕС + EDPB |
| Территориальная сфера действия | Охватывает определённые случаи экстерриториальной обработки, связанной с лицами в Японии | Применяется к организациям, учреждённым в ЕС, и к определённой обработке, затрагивающей физических лиц в ЕС |
| Основа обработки | Определение цели, надлежащее получение, ограничения на использование и требования закона | Шесть правовых оснований по статье 6 |
| Чувствительные данные | Персональная информация, требующая особого внимания | Особые категории персональных данных |
| Права физических лиц | Доступ, исправление, прекращение использования/удаление и другие предусмотренные законом права | Доступ, исправление, удаление, ограничение обработки, переносимость, возражение и другие |
| Переносимость данных | Общего права на переносимость, аналогичного GDPR, нет | Право на переносимость данных по статье 20 |
| Международная передача данных | Механизмы статьи 28, включая согласие, признанные режимы защиты и эквивалентные гарантии | Адекватность, SCCs, BCRs и другие механизмы главы V |
| Ответственный за конфиденциальность | Прямого требования о DPO по образцу GDPR нет | DPO обязателен в определённых обстоятельствах |
| Обязанности при утечках | Предусмотренные законом требования об уведомлении для инцидентов, отвечающих установленным критериям | Уведомление надзорного органа в течение 72 часов, когда оно требуется |
| Автоматизированное принятие решений | Прямого аналога статьи 22 GDPR нет | Специальный режим статьи 22 |
| Отношения ЕС и Японии в сфере данных | ЕС признал уровень защиты в Японии адекватным | Япония признана ЕС обеспечивающей адекватную защиту |
Что такое APPI?
Японский Закон о защите персональной информации (APPI) - основной нормативный режим страны, который защищает персональную информацию и регулирует её использование компаниями и другими организациями.
Комиссия по защите персональной информации (PPC) - независимый надзорный орган Японии, отвечающий за применение APPI и контроль за его соблюдением.
APPI регулирует, в частности, следующие области:
- Сбор и получение персональной информации
- Определение и ограничение целей использования
- Меры контроля безопасности
- Предоставление третьим лицам
- Международная передача данных
- Права физических лиц
- Реагирование на утечки данных
- Анонимно обработанная информация
- Псевдонимно обработанная информация
- Подотчётность и организационные меры контроля
Японский режим защиты конфиденциальности продолжает развиваться. В июле 2026 года были обнародованы новые поправки к APPI; подзаконные акты и руководства разрабатываются до их вступления в силу.
Что такое GDPR?
Общий регламент по защите данных (GDPR) - комплексный нормативный режим ЕС в области защиты персональных данных.
Он применяется к организациям, учреждённым в ЕС, а в определённых обстоятельствах - и к организациям за пределами ЕС, которые обрабатывают персональные данные в связи с предложением товаров или услуг физическим лицам в ЕС либо с мониторингом их поведения.
GDPR устанавливает подробные правила, охватывающие:
- Правовые основания обработки
- Прозрачность и уведомления о конфиденциальности
- Права субъектов данных
- Защиту данных на этапе проектирования и по умолчанию
- Реестр операций по обработке
- DPIA
- Управление обработчиками
- Международную передачу данных
- Уведомление об утечке данных
- Инспекторов по защите данных (DPO)
- Взаимодействие с надзорными органами
APPI vs GDPR: территориальная сфера действия
Оба режима могут применяться к организациям за пределами своей юрисдикции, но критерии у них разные.
APPI
По APPI под экстерриториальное действие закона иностранные компании могут подпадать, если обрабатывают персональную информацию о лицах в Японии в связи с предоставлением этим лицам товаров или услуг - при соблюдении условий, установленных законом.
GDPR
Статья 3 GDPR содержит собственные правила экстерриториального действия, которые охватывают в том числе обработку, связанную с предложением товаров или услуг физическим лицам в ЕС либо с мониторингом их поведения.
Главный вывод: Отсутствие физического офиса в Японии или ЕС не выводит организацию из-под действия соответствующего режима автоматически.
APPI vs GDPR: правовое основание и ограничение цели
Одно из важнейших различий - структура двух законов.
APPI
APPI уделяет особое внимание следующему:
- Определение цели использования
- Использование персональной информации в пределах, необходимых для этой цели
- Надлежащее получение
- Ограничения на предоставление третьим лицам
- Требования о согласии для отдельных операций обработки
- Особые требования к персональной информации, требующей особого внимания
GDPR
GDPR требует от организаций определить применимое правовое основание по статье 6, например:
- Согласие
- Договор
- Юридическая обязанность
- Жизненно важные интересы
- Задача в общественных интересах
- Законные интересы
К данным особых категорий применяются дополнительные требования статьи 9.
Практический вывод: анализ правовых оснований по GDPR нельзя просто перенести в программу соответствия APPI. Организациям следует отдельно сопоставить цель обработки, получение, использование, раскрытие данных и применимые требования APPI.
Чувствительная персональная информация
APPI
APPI выделяет персональную информацию, требующую особого внимания: к ней относятся, в частности, определённые сведения о расе, убеждениях, истории болезни и судимости.
GDPR
GDPR отдельно определяет особые категории персональных данных, включая сведения о здоровье, расовом или этническом происхождении, религиозных или философских убеждениях и другие защищаемые категории.
Оба режима предусматривают усиленную защиту, но структура норм и исключения различаются.
Права физических лиц: APPI vs GDPR
Оба режима наделяют физических лиц важными правами, но GDPR в целом предусматривает более широкий и детализированный набор прав.
APPI
APPI предусматривает права, касающиеся:
- Раскрытия/доступа
- Исправления
- Дополнения или удаления
- Прекращения использования
- Прекращения предоставления в применимых обстоятельствах
GDPR
GDPR предусматривает:
- Право на доступ
- Право на исправление
- Право на удаление
- Право на ограничение обработки
- Право на переносимость данных
- Право на возражение
- Права, связанные с определёнными видами автоматизированного принятия решений и профилирования
Заметное различие - переносимость данных. Статья 20 GDPR предусматривает отдельное право на переносимость; в APPI общего аналогичного права нет.
Международная передача данных
Международную передачу данных необходимо анализировать отдельно по каждому из режимов.
APPI
Статья 28 регулирует предоставление персональных данных третьим лицам в иностранных государствах. В зависимости от обстоятельств механизмами передачи могут быть:
- Согласие физического лица
- Передача в юрисдикцию, признанную обеспечивающей эквивалентный уровень защиты
- Получатель, поддерживающий отвечающую требованиям систему постоянных эквивалентных мер
- Предусмотренные законом исключения
Если используется согласие, APPI требует предоставить физическому лицу определённую информацию, в том числе о системе защиты персональной информации в стране назначения.
GDPR
Глава V GDPR предусматривает следующие механизмы:
- Решения об адекватности
- Стандартные договорные условия (SCCs)
- Обязательные корпоративные правила (BCRs)
- Отдельные исключения в применимых обстоятельствах
Главный вывод: Взаимная адекватность ЕС и Японии упрощает передачу данных, но не избавляет от необходимости оценивать правовые требования, применимые к конкретной передаче.
APPI vs GDPR: требования при утечках данных
Оба режима требуют от организаций поддерживать надлежащий уровень безопасности и реагировать на инциденты с персональными данными.
APPI
APPI устанавливает собственный порядок отчётности и уведомления для инцидентов, отвечающих установленным критериям, включая случаи, когда необходимо уведомить PPC и затронутых лиц.
GDPR
По GDPR, если об утечке персональных данных необходимо уведомлять, контролёр, как правило, обязан уведомить компетентный надзорный орган без неоправданной задержки и, по возможности, в течение 72 часов с момента, когда ему стало о ней известно.
Поэтому организациям, работающим в обоих режимах, следует вести согласованный процесс реагирования на инциденты и при этом сохранять отдельные для каждой юрисдикции схемы принятия решений об уведомлении.
APPI vs GDPR: инспектор по защите данных
APPI
APPI не вводит прямого аналога универсальной роли DPO.
Вместо этого организациям следует закрепить внутри компании надлежащую ответственность за управление конфиденциальностью, средства контроля безопасности, мониторинг соответствия и запросы физических лиц.
GDPR
GDPR содержит формальные правила об инспекторе по защите данных (DPO) в статьях 37–39, и в определённых обстоятельствах его назначение обязательно.
Важно: не следует считать, что назначение DPO по GDPR автоматически выполняет все организационные требования APPI.
APPI vs GDPR: автоматизированное принятие решений и ИИ
APPI
APPI не содержит прямого аналога статьи 22.
Однако APPI может применяться, когда системы ИИ обрабатывают персональную информацию, поэтому организациям, использующим ИИ в Японии, всё равно необходимо учитывать:
- Цель обработки
- Получение данных
- Точность и качество данных
- Средства контроля безопасности
- Раскрытие данных третьим лицам
- Международную передачу данных
- Права физических лиц
- Прозрачность и подотчётность
Требования, связанные с ИИ, могут также вытекать из других японских законов, руководств и нормативных режимов.
GDPR
GDPR содержит специальные положения, включая статью 22, об исключительно автоматизированном принятии решений, которые влекут правовые или сопоставимые по значимости последствия.
APPI vs GDPR: данные детей
Два режима различаются и в подходе к информации о детях.
APPI
В APPI нет системы возрастных порогов, идентичной GDPR. Вместо этого организациям следует оценивать обстоятельства сбора, согласие, представительство и характер обработки в соответствии с применимыми японскими требованиями и руководствами.
GDPR
GDPR устанавливает специальные правила о согласии детей в отношении услуг информационного общества: возрастной порог, как правило, составляет 16 лет, при этом государства-члены вправе снизить его, но не ниже 13 лет.
APPI vs GDPR: санкции и правоприменение
Модели правоприменения различаются.
APPI
APPI предусматривает административные и уголовные механизмы правоприменения, включая денежные санкции в определённых обстоятельствах. Применимая санкция зависит от характера нарушения и соответствующей нормы закона.
GDPR
GDPR допускает административные штрафы до 20 млн евро или 4% мирового годового оборота - в зависимости от того, какая сумма больше - за определённые нарушения.
Поэтому компаниям не стоит считать одну громкую цифру штрафа показательной для любого нарушения APPI.
Взаимная адекватность Японии и ЕС
С 2019 года Япония и Европейский союз признают режимы защиты данных друг друга адекватными.
Это стратегически важно для организаций, передающих персональные данные между ЕС и Японией.
Однако решение об адекватности не означает, что соответствие GDPR автоматически равнозначно соответствию APPI.
Организациям всё равно могут потребоваться отдельные для каждой юрисдикции средства контроля, охватывающие:
- Уведомления о конфиденциальности
- Определение цели
- Раскрытие данных третьим лицам
- Документацию по международной передаче данных
- Запросы физических лиц
- Меры безопасности
- Реагирование на инциденты
- Распределение ответственности за управление
APPI vs GDPR: может ли одна комплаенс-программа охватить оба режима?
Да - но её следует выстроить как единую согласованную программу конфиденциальности со средствами контроля, учитывающими особенности каждой юрисдикции, а не считать два закона взаимозаменяемыми.
Глобальная программа конфиденциальности может установить общие средства контроля для следующих областей:
- Инвентаризация данных
- Реестр обработки
- Управление поставщиками
- Безопасность
- Уведомления о конфиденциальности
- Права физических лиц
- Реагирование на инциденты
- Международная передача данных
- Управление конфиденциальностью
Затем там, где режимы расходятся, программа применяет правовые требования, специфичные для APPI и GDPR.
Практическая модель соответствия APPI + GDPR
- Единая глобальная карта данных
- Единая система средств контроля
- Правовые надстройки для отдельных юрисдикций
- Непрерывный регуляторный мониторинг
Такой подход сокращает дублирование и сохраняет различия, значимые для соответствия.
Часто задаваемые вопросы
APPI - это японская версия GDPR?
Нет. У APPI и GDPR схожие цели в области конфиденциальности, но разные правовые структуры, терминология, права и механизмы обеспечения соответствия.
Если моя компания соответствует GDPR, соответствует ли она автоматически APPI?
Нет. Соответствие GDPR может стать прочной основой, но могут потребоваться дополнительный анализ и средства контроля по APPI - особенно в части определения цели, раскрытия данных третьим лицам, международной передачи данных, мер безопасности и прав, специфичных для Японии.
Применяется ли APPI к компаниям за пределами Японии?
Может применяться. APPI действует экстерриториально в определённых обстоятельствах, связанных с обработкой персональной информации о лицах в Японии при предоставлении товаров или услуг в Японии.
Требует ли APPI назначать инспектора по защите данных?
APPI не устанавливает прямого требования о DPO по образцу GDPR, которое распространялось бы на организации в целом. Организациям следует выстроить надлежащие структуры управления конфиденциальностью и подотчётности.
Действует ли между Японией и ЕС признание адекватности?
Да. Между Японией и ЕС действует взаимное признание адекватности, которое поддерживает трансграничные потоки данных.
Совпадают ли правила международной передачи данных по APPI и GDPR?
Нет. Статья 28 APPI и глава V GDPR используют разные механизмы передачи и предъявляют разные требования. В зависимости от обстоятельств APPI допускает опору на согласие, на юрисдикции, признанные обеспечивающими эквивалентную защиту, или на отвечающие требованиям постоянные гарантии.
Изменился ли APPI в 2026 году?
Да. 17 июля 2026 года Япония приняла и обнародовала новые поправки к APPI. Большинство поправок должны вступить в силу в дату, которая будет определена в течение двух лет после обнародования, а подробные подзаконные акты и руководства ещё разрабатываются.
Выстройте программу соответствия APPI + GDPR
Чтобы работать и в Японии, и в ЕС, недостаточно перенести один режим защиты конфиденциальности на другой.
RegulatoryBridge помогает организациям выстраивать согласованные программы конфиденциальности, охватывающие APPI, GDPR и другие законы о защите данных по всему миру, - сочетая регуляторный анализ, средства контроля соответствия, представительство по вопросам конфиденциальности, управление данными и постоянный регуляторный мониторинг.
Определите свои обязанности в области конфиденциальности один раз. Применяйте нужные правовые требования в каждой юрисдикции.
Охватите APPI и GDPR в рамках одной программы.
Сопоставьте средства контроля один раз, соответствуйте дважды. RegulatoryBridge предоставляет вам единый конвейер DSAR, единого DPO, единый план реагирования на нарушения - охватывающий обе системы.