个人信息保护法（个人情報の保護に関する法律）
日本国会 · 个人信息保护委员会（PPC）执法 · Act No. 57 of 2003 (平成十五年法律第五十七号)
APPI 是日本统一的个人信息保护法，核心义务包括：特定并公示利用目的、不得超目的利用、取得要配虑个人信息须事前同意、安全管理措施、对委托方的监督、向第三方提供的同意与记录、以及向外国第三方提供的特别限制。第 171 条确立域外适用：境外事业者在与向日本境内者提供商品或服务相关联的情形下处理日本境内本人的个人信息的，同样适用本法。2026 年 7 月已公布大规模修订法，但尚未施行。
中国 AI 企业在以下情形落入 APPI：（1）通过应用商店、网站或 API 向日本境内用户提供产品或服务，并因此处理其账号、对话、位置、影像或语音数据——即便服务器全部在境外，第 171 条仍适用；（2）在日本设立法人或雇佣员工；（3）承接日本客户的数据标注、模型微调或运维外包，成为其“委托方”，受第 25 条监督义务链条约束；（4）把日本客户数据回传中国境内处理，触发第 28 条“向外国第三方提供”的同意与信息提供义务。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、计算机视觉、具身智能与机器人
2022-04-01
2020 年修订法（令和二年法律第 44 号）全面施行
泄露报告与本人通知义务化、外国第三方提供的信息提供义务、假名加工信息制度、域外适用与执法权强化自此适用。该修订法附则第十条同时确立了“每三年检讨”机制。
2026-07-17
《部分修订个人信息保护法等的法律》公布，进入过渡期
修订内容尚未施行；施行期日原则上为公布之日起 2 年内由政令指定，政令、委员会规则与指南正在制定。详见 jp-appi-2026-amendment 条目。
每条都写明触发条件、需要留存的证据与条款出处
取得个人信息时须尽可能特定利用目的，并以公示或通知方式告知本人；变更目的须在与原目的具有合理关联的范围内，并重新告知。把日本用户数据用于模型训练前，须确认训练用途已落在已公示的利用目的之内，否则须先扩充目的或取得同意。
首次达标投入估算：4–10 人日（估算，非承诺）
信仰、病历、犯罪经历等可能导致歧视的“要配虑个人信息”，除法定例外外须事前取得本人同意方可取得。对 AI 企业而言，抓取含健康、宗教、政治倾向内容的公开网页用于训练，不因其公开而免除该同意要求，须逐案核查例外是否成立。
首次达标投入估算：6–15 人日（估算，非承诺）
对所处理的个人数据实施组织、人员、物理与技术层面的安全管理措施，防止泄露、灭失或毁损；委托境外处理时还须掌握境外相关制度并实施必要且适当的措施。
首次达标投入估算：10–25 人日（估算，非承诺）
将个人数据处理的全部或一部分委托他方时，须对受托方实施必要且适当的监督，通常体现为：适当选定受托方、签订含安全管理要求的委托合同、掌握受托方的实际处理状况。中国 AI 企业作为日本客户的受托方时，须准备好接受该监督并配合审计。
首次达标投入估算：5–12 人日（估算，非承诺）
发生个人信息保护委员会规则规定的、对个人权利利益有较大侵害之虞的泄露、灭失、毁损等事态时，须按规则向 PPC 报告，并向本人通知该事态已发生；本人通知困难且已采取替代保护措施的除外。受托方在向委托方通知后可免于自行报告。报告采速报与确报两阶段。
首次达标投入估算：5–12 人日（估算，非承诺）
向外国第三方提供个人数据，原则上须事前取得本人“同意向外国第三方提供”的同意，且取得同意前须按 PPC 规则向本人提供该外国的个人信息保护制度、该第三方所采取的保护措施等参考信息。两类情形除外：接收方所在国被 PPC 规则认定为具有与日本同等水平保护制度的外国；或接收方已建立符合 PPC 规则基准的“相当措施”持续实施体制。依赖后者时，提供方须采取确保相当措施持续实施的必要措施，并应本人要求提供该等措施的信息。
首次达标投入估算：10–25 人日（估算，非承诺）
第 171 条规定：个人信息处理事业者、假名加工信息处理事业者、匿名加工信息处理事业者或个人关联信息处理事业者，在与向日本境内者提供商品或服务相关联的情形下，于外国处理以日本境内者为本人的个人信息、拟作为该个人信息取得的个人关联信息、或以该个人信息制作的假名加工信息、匿名加工信息的，同样适用本法。境外企业据此须具备接收本人请求、接受 PPC 询问与报告要求的实际能力。
首次达标投入估算：4–10 人日（估算，非承诺）
现行法下 PPC 可发出指导、建议与命令；违反命令构成刑事犯罪，并有法人两罚规定。2026 年 7 月公布的修订法将提高刑事罚则法定刑，并新设课徵金制度（详见 jp-appi-2026-amendment）。本轮未逐条核实现行法罚则的具体金额，故不在此列明具体数额。
现行法的罚则具体金额、泄露速报与确报的天数、以及“相当措施体制”的具体基准均规定于个人信息保护委员会规则与政令，本轮仅核实了法律条文本身，未逐条核实规则；引用这些数值前须回到 PPC 规则原文。PPC 认定的“同等水平”外国名单亦可能变动。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。