Le cadre juridique
Le Japon encadre les données personnelles par la loi relative à la protection des informations personnelles (APPI), qui date de 2003 et relève de la supervision de la Commission de protection des informations personnelles.
La position est hybride. La collecte est régie par l'obligation d'information et le principe de limitation des finalités, et le consentement est réservé aux cas sensibles, ce qui rend le marketing first-party plus praticable ici que sur des marchés strictement opt-in.
Principaux textes
APPI (modifiée en 2020/2021)
Spécification de la finalité et notification lors de la collecte ; opt-in pour les données sensibles ; communication à des tiers par consentement ou par opt-out déclaré auprès de la PPC ; portée extraterritoriale ; signalement des violations ; catégories de données pseudonymisées et anonymisées.
Amendement de 2026 à l'APPI (loi n° 56 de 2026)
Ajoute des exceptions de consentement pour le traitement statistique et le développement de l'IA, assorties de garanties de transparence, un consentement parental pour les mineurs de moins de 16 ans et une obligation d'agir dans l'intérêt supérieur de l'enfant pour les données des mineurs, des règles sur les données biométriques, une nouvelle infraction d'acquisition irrégulière, et des sanctions administratives pécuniaires pour les violations touchant plus de 1 000 personnes.
Marketing et publicité
Une collecte fondée sur la notification, avec limitation de la finalité ; un consentement opt-in principalement pour les données sensibles et la communication à des tiers (une procédure d'opt-out déclaré existe pour les données non sensibles). L'amendement de 2026 ajoute des exceptions de consentement pour les statistiques et le développement de l'IA, ainsi qu'un consentement parental pour les mineurs de moins de 16 ans. La plupart des décisions relatives aux canaux découlent ici de cette règle de consentement.
Transferts transfrontaliers
Consentement, ou transfert vers un pays offrant des normes équivalentes (l'UE et le Royaume-Uni figurent sur la liste blanche), ou garanties assorties d'obligations d'information.
Application et sanctions
Des injonctions d'abord, puis des amendes pouvant atteindre JPY 100 M pour les violations commises par des entreprises ; l'amendement de 2026 ajoute des sanctions pénales renforcées à compter de janvier 2027 et des sanctions administratives pécuniaires pour les violations touchant plus de 1 000 personnes, d'ici juillet 2028.