Act on the Protection of Personal Information
Articles structurants documentés dans la cartographie ACF.
Obligation de spécifier la finalité d'utilisation des données aussi clairement que possible, et d'obtenir le consentement de la personne avant tout changement substantiel non raisonnablement prévisible.
Interdiction de l'acquisition par fraude ou moyens irréguliers. Pour les données sensibles (« special care-required personal information » sous APPI : santé, race, religion, antécédents judiciaires, etc.), consentement préalable obligatoire (sauf exceptions limitées).
Après acquisition, la finalité d'utilisation doit être notifiée promptement à la personne ou publiée (sauf si déjà réalisée au moment de l'acquisition directe).
Obligation de maintenir les données exactes et à jour, de supprimer ce qui n'est plus nécessaire, et de prendre des mesures de sécurité nécessaires et appropriées.
Notification à la Personal Information Protection Commission et à la personne en cas de breach susceptible de violer les droits et intérêts. Notification rapide (~3-5 jours pour rapport préliminaire, 30/60 jours pour rapport complet).
Fourniture à un tiers nécessite en principe le consentement préalable. Exceptions : opt-out enregistré à la PPC, joint use, sous-traitance, fusion/acquisition, obligation légale.
Transfert vers un tiers situé à l'étranger interdit sans consentement spécifique, sauf : pays désigné équivalent par la PPC (UE/UK actuellement), destinataire avec des standards équivalents (mesures contractuelles ou certification APEC CBPR/Cross-Border Privacy Rules).
Obligation de tenir des registres des transferts à des tiers (date, destinataire, catégories de données, base légale) et de les conserver 1 à 3 ans.
Droits de divulgation, correction, suppression, cessation d'utilisation, cessation de fourniture à des tiers. La révision 2022 a étendu la portabilité et le droit de cessation lorsque l'utilisation n'est plus nécessaire.
Catégorie introduite en 2022 : données pseudonymisées permettant l'utilisation interne pour analyse / IA, avec exemptions partielles aux droits si les conditions de pseudonymisation sont respectées.
Obligations actionnables catégorisées : documentation, process, technique, gouvernance, notification.
Spécifier la finalité d'utilisation des données personnelles (art. 17)
Recueillir un consentement explicite pour les données sensibles (« special care-required personal information » sous APPI) (art. 20)
Si : special care-required personal information
Mettre en place des mesures de sécurité nécessaires et appropriées (art. 23)
Notifier la PPC et les personnes concernées en cas de breach (art. 26)
Encadrer la fourniture à des tiers (consentement / opt-out / exceptions) (art. 27)
Encadrer les transferts transfrontaliers (art. 28)
Si : transfert hors Japon hors pays équivalent
Tenir un registre des fournitures à des tiers (art. 30)
Répondre aux demandes de droits (divulgation, correction, suppression) (art. 32-39)
Publier une privacy policy avec finalité, points de contact, droits
Superviser ses sous-traitants (joint use et entrustment, art. 25 et 27(5))
Défaut de respect d'une injonction de la PPC
Détournement / fourniture illégale à but commercial des données personnelles
Fausse déclaration / non-coopération aux enquêtes PPC
Le Japon a obtenu en 2019 (et conserve en 2024) une décision d'adéquation réciproque avec l'UE, ce qui simplifie les transferts EU/JP. Pour un acteur soumis à l'AI Act et à l'APPI, articulation pratique : (1) la spécification de la finalité d'utilisation (art. 17 APPI) recoupe les principes de finalité RGPD / AI Act ; (2) le régime des pseudonymously processed information (art. 41-46 APPI, 2022) facilite l'usage de données pour l'entraînement IA tout en respectant la minimisation, et peut être référencée en plus de l'art. 10 AI Act (data governance) ; (3) la notification de breach (art. 26 APPI) suit un timing proche du RGPD (rapport préliminaire 3-5 j, complet 30 j).