L’APPI japonaise et les cookies : ce que les sites doivent faire

Quelles sont les règles cookies au Japon ?

Deux lois se partagent le sujet. L’Act on the Protection of Personal Information (APPI, loi nº 57 de 2003) est la loi générale japonaise sur la protection des données, supervisée par la Personal Information Protection Commission (PPC). Le Telecommunications Business Act, supervisé par le ministère des Affaires intérieures et des Communications (MIC), s’est doté d’une règle sur la « transmission externe » des informations des utilisateurs, entrée en vigueur le 16 juin 2023. C’était la première règle japonaise écrite pour les cookies, les balises et les SDK en tant que tels.

Aucune des deux lois n’impose le modèle européen du consentement préalable pour chaque cookie non essentiel. Le Japon s’appuie sur la transparence, avec un consentement exigé dans des situations précises.

À qui s’appliquent ces règles ?

L’APPI s’applique à toute entreprise qui utilise une base de données d’informations personnelles pour son activité, sans seuil de taille. L’article 171 l’étend aux entreprises situées hors du Japon qui traitent les informations personnelles de personnes au Japon dans le cadre de la fourniture de biens ou de services à celles-ci : une boutique en ligne ou une application étrangère ayant des clients japonais est donc dans le champ.

La règle de transmission externe de l’article 27-12 a un champ plus étroit. Elle couvre les opérateurs de télécommunications et les exploitants de services en ligne de quatre catégories listées dans l’ordonnance et la FAQ du MIC : la messagerie entre utilisateurs ; les réseaux sociaux, forums et places de marché en ligne ; les services de recherche ; et les services qui diffusent des actualités, la météo, des cartes ou des informations similaires. La FAQ du MIC précise qu’un site d’entreprise qui se contente de présenter sa propre activité, ou une page qui ne sert qu’à réserver les services de l’entreprise elle-même, n’est pas couvert.

Les cookies exigent-ils un consentement au Japon ?

Pas en règle générale. Ce qui s’applique dépend de la situation.

• La règle de transmission externe. Lorsqu’un service couvert fait envoyer par le navigateur ou l’application d’un utilisateur des informations à un tiers (un fournisseur de mesure d’audience, un réseau publicitaire, un module social), l’exploitant doit soit en informer l’utilisateur, soit rendre facilement accessibles les informations envoyées, le nom du destinataire et la finalité. Obtenir un consentement ou proposer une opposition sont les alternatives. La FAQ du MIC ajoute que les informations doivent être lisibles en japonais et qu’un identifiant contenu dans un cookie interne envoyé uniquement à l’exploitant lui-même échappe à l’obligation d’information.
• Les informations rattachables à une personne. L’APPI qualifie des données comme un identifiant de cookie ou un historique de navigation, qui n’identifient personne à elles seules, d’« informations liées à des informations personnelles » (article 2(7)). Selon l’article 31, une entreprise ne peut pas les communiquer à un tiers susceptible de les obtenir en tant que données personnelles, par exemple en les rapprochant de ses propres fichiers clients, sans avoir vérifié que la personne a consenti à cette acquisition. La règle a été ajoutée après l’affaire Rikunabi de 2019, décrite plus bas, et s’applique depuis le 1er avril 2022.
• Les informations personnelles. Lorsque des données de cookies sont liées à une personne identifiée, l’APPI impose de préciser la finalité d’utilisation et de la notifier ou de la publier, un consentement pour tout usage au-delà de cette finalité, un consentement avant de communiquer les données à un tiers (article 27), et un consentement avant d’acquérir des informations personnelles sensibles.

À quoi doit ressembler le consentement ?

L’APPI ne définit pas le consentement en détail. Les lignes directrices générales de la PPC le traitent comme l’expression par la personne de son accord, obtenue d’une manière raisonnable et appropriée pour l’entreprise, après que la personne a reçu assez d’éléments pour décider. Un choix clair dans un bandeau ou un formulaire d’inscription correspond à cette description. Pour l’article 31, le consentement est normalement recueilli par le destinataire, comme la plateforme publicitaire, et le site qui fournit les données doit vérifier et consigner qu’il a été obtenu.

Comment les transferts à l’étranger sont-ils encadrés ?

L’article 28 exige le consentement préalable de la personne avant que des données personnelles soient communiquées à un tiers situé dans un pays étranger, et l’article 28(2) impose d’indiquer d’abord à la personne de quel pays il s’agit, quel est son système de protection des données et quelles mesures prend le destinataire. Le consentement n’est pas nécessaire lorsque le pays est reconnu par la PPC comme disposant d’un système équivalent (l’EEE et le Royaume-Uni), ou lorsque le destinataire maintient un dispositif conforme aux standards de la PPC, par exemple au moyen d’un contrat, auquel cas l’entreprise doit s’assurer que ces mesures sont appliquées en continu. L’article 31 ajoute les informations sur le pays étranger à la vérification exigée pour les données de cookies envoyées à l’étranger.

Qui fait appliquer ces règles, et quelles sont les sanctions ?

La PPC peut émettre des lignes directrices, des recommandations et, lorsqu’une recommandation est ignorée et qu’une atteinte grave est imminente, des ordres (article 148). Enfreindre un ordre est un délit : jusqu’à un an d’emprisonnement ou une amende jusqu’à 1 million de yens pour la personne physique (article 178), et une amende jusqu’à 100 millions de yens pour l’entreprise (article 184). La PPC peut aussi rendre l’infraction publique. Pour la règle de transmission externe, le MIC peut recourir aux ordres d’amélioration de l’activité prévus par le Telecommunications Business Act.

Le régime des sanctions évolue. Un projet de loi modifiant l’APPI a été adopté par la Diète le 10 juillet 2026 et promulgué le 17 juillet 2026. Il introduit une sanction pécuniaire administrative pour les cas graves d’acquisition ou d’utilisation irrégulière, qui serait limitée aux cas touchant plus de 1 000 personnes, ajoute des règles pour les enfants de moins de 16 ans, et autorise certains usages de données à des fins statistiques sans consentement. La plupart des dispositions entreront en vigueur à une date fixée par ordonnance du Cabinet dans les deux ans suivant la promulgation.

Qu’a fait la PPC jusqu’ici ?

L’affaire la plus connue est Rikunabi. Le 26 août 2019, la PPC a adressé une recommandation à Recruit Career, dont le service prédisait la probabilité que des étudiants en recherche d’emploi refusent des offres et transmettait ces scores à des entreprises clientes ; les données de 7 983 personnes avaient été communiquées sans consentement. C’est en raison de cette affaire que la modification de 2020 a créé la règle de l’article 31 pour les données issues de cookies.

Le 28 mars 2024, la PPC a adressé une recommandation à LY Corporation (LINE Yahoo) au titre de l’article 148, après qu’une infection par un logiciel malveillant chez un sous-traitant a entraîné une fuite de données d’utilisateurs de LINE, et elle a depuis publié des rapports de suivi sur les mesures correctrices de la société. Les contrôles japonais restent surtout administratifs : recommandations, lignes directrices et déclarations publiques plutôt qu’amendes.

Que doit faire un site qui s’adresse au Japon ?

• Recenser les balises et les SDK qui envoient des données à des tiers, avec le destinataire et la finalité de chacun. Un scanner de cookies vous donne la liste de départ.
• Si votre service relève des quatre catégories, publier en japonais un avis sur les transmissions externes facilement accessible depuis chaque page, ou demander un consentement.
• Vérifier auprès des partenaires publicitaires et de mesure d’audience s’ils relieront vos données de cookies à des utilisateurs identifiés, et si oui comment ils recueillent le consentement qu’exige l’article 31.
• Demander un consentement avant les transferts de données personnelles à l’étranger, sauf exception, et lister les pays dans votre politique de confidentialité.

Le Japon ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet, mais le ciblage géographique est gratuit dans chaque offre et vous pouvez ajouter le Japon à une liste personnalisée. Les 24 langues du bandeau n’incluent pas encore le japonais, et chaque texte est modifiable par langue. Les sites qui ont des visiteurs européens devront aussi appliquer le modèle de consentement préalable du RGPD ; pour les voisins du Japon, voir la Corée du Sud et la Chine.