Violation de données au Japon : notifier la PPC et la CNIL en parallèle

Votre filiale japonaise découvre une intrusion dans son système de gestion clients. Les données touchées concernent des clients au Japon, mais aussi des salariés détachés depuis la France et des contacts gérés par le siège. Deux régimes de notification s’appliquent alors en même temps : la loi japonaise sur la protection des informations personnelles (Act on the Protection of Personal Information, APPI) et le RGPD.

Sur le principe, les deux textes se ressemblent : prévenir l’autorité, puis les personnes concernées. En pratique, ils ne déclenchent pas l’obligation de la même façon, ne comptent pas les délais de la même manière et ne traitent pas l’information des personnes selon la même logique. Une équipe qui applique au Japon ses réflexes RGPD risque de manquer l’échéance japonaise, ou de ne pas informer des personnes que la loi japonaise oblige à prévenir. Le sujet n’a rien de marginal : d’avril à juin 2026, la Commission japonaise de protection des informations personnelles (Personal Information Protection Commission, PPC) a traité 6 101 rapports de violation portant sur des informations personnelles, dont 5 451 émanant d’entreprises.

Cet article compare les deux régimes, fait le point sur la réforme japonaise votée en juillet 2026 et propose une organisation pour un incident qui touche à la fois des données japonaises et européennes. Il s’agit d’une présentation générale, pas d’un avis juridique : faites valider votre procédure par vos conseils au Japon et en France.

L’essentiel en trois points

• Au Japon, pas d’analyse de risque au cas par cas : quatre catégories fixées par les textes (données sensibles, risque de préjudice financier, acte malveillant, plus de 1 000 personnes) imposent un rapport à la PPC, même lorsque la violation n’est que possible. Les personnes concernées doivent alors, en principe, être informées.
• Deux rapports au Japon, une notification en Europe : un rapport préliminaire « promptement » (de l’ordre de 3 à 5 jours selon la PPC), puis un rapport définitif sous 30 jours, ou 60 jours en cas d’acte malveillant. Le RGPD impose de notifier la CNIL dans les 72 heures si possible.
• La réforme japonaise est votée, pas encore applicable : la loi promulguée le 17 juillet 2026 permettra de ne plus informer individuellement les personnes en cas de fuite à faible risque. Elle n’est pas en vigueur et ses modalités sont en cours de rédaction à la PPC.

Au Japon : quand faut-il faire un rapport à la PPC ?

Quatre situations qui imposent le rapport

L’article 26 de l’APPI oblige toute entreprise qui traite des données personnelles à faire un rapport à la PPC lorsqu’une fuite, une perte ou une altération de ces données présente un risque important pour les droits des personnes. Le règlement d’application de la PPC (Enforcement Rules, article 7) traduit ce critère en quatre situations :

• la violation porte sur des données sensibles (« special care-required personal information ») : antécédents médicaux, résultats d’examens de santé, antécédents judiciaires, origine, croyances, handicap… ;
• les données peuvent causer un préjudice financier si elles sont utilisées frauduleusement : numéros de carte bancaire, identifiants et mots de passe d’un service de paiement ou de transfert ;
• la violation résulte d’un acte commis dans un but illicite contre l’entreprise : accès non autorisé, rançongiciel, vol de documents ou de supports, détournement par un salarié, site web modifié pour transmettre à un tiers ce que saisissent les clients ;
• la violation concerne plus de 1 000 personnes.

Trois précisions comptent en pratique. D’abord, le rapport est dû lorsque la violation « s’est produite ou a pu se produire » : une simple possibilité suffit. Ensuite, les données protégées par un chiffrement de haut niveau ou une mesure équivalente sont exclues. Enfin, la catégorie « acte malveillant » couvre aussi les informations que l’entreprise est en train de collecter, ce qui vise notamment le vol de données saisies sur un formulaire web compromis.

Le destinataire est en principe la PPC. Dans certains secteurs, la PPC a délégué la réception des rapports au ministère de tutelle, avec les mêmes délais. Cette liste est mise à jour chaque année : vérifiez le destinataire applicable à votre filiale avant tout incident.

Deux rapports : préliminaire, puis définitif

Le règlement d’application (article 8) organise le rapport en deux temps.

• Le rapport préliminaire doit être fait « promptement » après la prise de connaissance, avec les informations disponibles à ce moment. Les lignes directrices générales de la PPC donnent un ordre de grandeur : environ 3 à 5 jours à compter de la prise de connaissance, selon le cas.
• Le rapport définitif doit être remis dans les 30 jours suivant la prise de connaissance, ou dans les 60 jours lorsque la violation résulte d’un acte commis dans un but illicite, y compris si une autre catégorie s’applique aussi. Il couvre neuf rubriques : résumé, données concernées, nombre de personnes, cause, dommages secondaires avérés ou possibles, mesures prises à l’égard des personnes, publication, mesures de prévention et autres informations utiles. Ce qui reste inconnu malgré des efforts raisonnables est complété ensuite.

Si tout est connu dès le départ, un seul rapport peut valoir les deux. Le décompte, lui, diffère de la pratique européenne. Pour une personne morale, le délai court à partir du moment où un service quelconque de l’entreprise a connaissance de la situation. Le jour de la prise de connaissance compte comme premier jour, les week-ends et jours fériés sont inclus, et l’échéance tombant un jour de fermeture des administrations est reportée au lendemain.

Le rapport se fait sur le formulaire en ligne de la PPC, rédigé en japonais. Pour les rançongiciels et les autres cyberattaques, un formulaire commun aux administrations japonaises peut aussi être envoyé par courriel à la PPC : depuis le 1er octobre 2025 pour les rançongiciels, depuis le 1er octobre 2026 pour les autres cyberattaques.

Informer les personnes concernées

Dès qu’une situation entre dans l’une des quatre catégories, l’entreprise doit aussi en informer les personnes concernées, « promptement selon la situation » (règlement d’application, article 10). Il n’y a pas de second seuil comparable au « risque élevé » du RGPD : l’obligation d’informer suit celle du rapport.

Le droit actuel ne prévoit qu’une exception : l’information individuelle est difficile, par exemple parce que les coordonnées manquent ou sont périmées. L’entreprise prend alors une mesure de substitution, comme la publication de l’incident ou un guichet de renseignement qui permet à chacun de vérifier s’il est concerné.

Le calendrier peut être adapté. Les lignes directrices admettent d’attendre lorsqu’une information prématurée aggraverait le dommage, par exemple tant que des données publiées sur un forum n’ont pas été retirées, ou lorsque les faits sont encore trop flous pour que les personnes puissent se protéger. Le contenu se limite à ce qui est utile aux personnes : résumé, données concernées, cause, dommages secondaires et autres informations utiles.

Le sous-traitant a ses propres obligations

Au Japon, le sous-traitant qui subit une violation est lui aussi tenu, en principe, de faire le rapport et d’informer les personnes. Il en est dispensé s’il informe son donneur d’ordre, qui fait alors le rapport. Il doit ensuite aider son donneur d’ordre à informer les personnes. Dans le cadre du RGPD, le sous-traitant n’a qu’une obligation à ce stade : prévenir le responsable du traitement dans les meilleurs délais.

Un défaut de rapport peut conduire la PPC à adresser une recommandation, puis, si la situation l’exige, un ordre. La violation d’un ordre est punie d’un an d’emprisonnement ou d’un million de yens d’amende, et d’une amende pouvant atteindre 100 millions de yens pour la personne morale.

RGPD : ce que vous connaissez déjà, et deux précisions utiles

Pour mémoire, le RGPD distingue deux obligations du responsable du traitement.

• Article 33 : notifier l’autorité de contrôle compétente « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Une notification tardive doit être motivée. Les informations peuvent être transmises de manière échelonnée. Toute violation, notifiée ou non, doit être documentée en interne.
• Article 34 : communiquer la violation aux personnes concernées dans les meilleurs délais lorsqu’elle est susceptible d’engendrer un risque élevé. Cette communication n’est pas nécessaire si les données étaient chiffrées ou protégées de façon équivalente, si des mesures ultérieures ont supprimé ce risque élevé, ou si elle exigerait des efforts disproportionnés, auquel cas une communication publique la remplace.

En France, la notification se fait sur le téléservice de la CNIL : une notification initiale dans les 72 heures, puis une notification complémentaire lorsque de nouvelles informations sont disponibles. En cas de doute sur l’information des personnes, la CNIL conseille de notifier et indiquera s’il faut les prévenir. Les manquements aux articles 33 et 34 exposent à une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial.

Deux précisions des lignes directrices 9/2022 du Comité européen de la protection des données (CEPD) sont utiles pour un groupe présent au Japon. Le responsable « prend connaissance » d’une violation lorsqu’il est raisonnablement certain qu’un incident de sécurité a compromis des données personnelles. Et un responsable établi hors de l’UE mais soumis au RGPD au titre de l’article 3, paragraphe 2, ne bénéficie pas du guichet unique : il doit notifier chaque autorité des États membres où résident des personnes concernées.

APPI et RGPD : le comparatif

Ce qui surprend le plus une équipe européenne

L’absence d’appréciation du risque. Un DPO européen se demande d’abord si la violation présente un risque. Au Japon, la question est différente : la situation entre-t-elle dans l’une des quatre catégories ? Une fuite de 1 200 adresses électroniques par erreur d’envoi, que vous jugeriez peut-être sans risque au sens du RGPD, impose un rapport à la PPC et l’information des 1 200 personnes. À l’inverse, une fuite de quelques adresses par erreur humaine, sans donnée sensible ni financière, n’impose aucun rapport au Japon.

Le soupçon suffit. Un serveur compromis contenant des données de clients japonais doit être traité comme une violation à signaler, même si l’exfiltration n’est pas encore établie. Les lignes directrices citent par exemple une alerte reçue d’un spécialiste externe de la détection de fraude.

Le calendrier du rapport définitif. Trente ou soixante jours peuvent sembler confortables. Mais le rapport définitif doit couvrir la cause et les mesures de prévention : prévoyez votre investigation numérique en conséquence.

Qui relève de quoi : filiale, siège et données transférées

La filiale japonaise

Elle est soumise à l’APPI pour toutes les données personnelles qu’elle traite. Si elle traite des données de personnes situées dans l’UE dans le cadre d’une offre de biens ou de services à ces personnes, ou pour suivre leur comportement dans l’UE, elle peut aussi être soumise directement au RGPD (article 3, paragraphe 2). Elle devrait alors, selon le CEPD, notifier chaque autorité concernée, faute de guichet unique.

Le siège français

Il est soumis au RGPD. Il peut aussi relever de l’APPI : son article 171 l’applique aux entreprises étrangères qui traitent, hors du Japon, des données de personnes au Japon en lien avec la fourniture de biens ou de services à des personnes au Japon. Selon les lignes directrices de la PPC, cela vise aussi le siège étranger d’une entreprise qui a une succursale au Japon. Un site e-commerce exploité depuis la France pour des clients japonais est un cas typique.

Les lignes directrices donnent en revanche un contre-exemple qui concerne directement les groupes : la société mère étrangère qui gère les données des salariés de sa filiale japonaise pour l’administration du groupe ne relève pas, à ce titre, de l’application extraterritoriale. C’est la filiale qui, en communiquant ces données à la société mère, doit respecter les règles japonaises sur les transferts vers l’étranger.

Les transferts entre le Japon et l’Europe

Depuis 2019, l’UE et le Japon se reconnaissent mutuellement un niveau de protection adéquat. Côté européen, la décision d’exécution (UE) 2019/419 du 23 janvier 2019 permet de transférer des données vers les entreprises japonaises soumises à l’APPI, complétée par des « règles complémentaires » (Supplementary Rules). Côté japonais, la PPC a désigné les pays de l’Espace économique européen, dont la France, et le Royaume-Uni comme disposant d’un système équivalent : la filiale n’a pas besoin du consentement spécifique au transfert à l’étranger pour envoyer des données au siège, mais les règles générales sur la communication à un tiers continuent de s’appliquer. Le premier réexamen conjoint, conclu en avril 2023, a confirmé ce cadre.

Les règles complémentaires ont un effet direct sur la notification. Les données reçues de l’UE relatives à la vie sexuelle, à l’orientation sexuelle ou à l’appartenance syndicale doivent être traitées au Japon comme des données sensibles. Une fuite de telles données transférées depuis l’Europe, même en petit nombre, devrait donc être analysée comme une violation de données sensibles au sens de l’APPI, et donc à rapporter.

La réforme de l’APPI de 2026 : ce qui est voté, ce qui reste à écrire

L’APPI fait l’objet d’un réexamen tous les trois ans environ. Le dernier cycle a abouti en 2026 :

• 9 janvier 2026 : la PPC publie ses orientations de réforme ;
• 7 avril 2026 : le projet de loi est approuvé en conseil des ministres et déposé à la Diète ;
• 10 juillet 2026 : la loi est adoptée ;
• 17 juillet 2026 : la loi est promulguée.

Pour l’essentiel, la loi entrera en vigueur à une date fixée par décret, au plus tard deux ans après sa promulgation. Seules certaines dispositions, notamment pénales, s’appliquent six mois après la promulgation. À la date de cet article (octobre 2026), les règles de notification décrites plus haut restent donc celles qui s’appliquent.

Ce que la loi change pour les violations

• Information des personnes assouplie (article 26, paragraphe 2) : l’information individuelle pourra être remplacée par une mesure de substitution lorsque son absence ne nuit guère à la protection des personnes. La PPC cite l’exemple d’identifiants internes de clients, sans usage hors du service et sans signification pris isolément. Les deux chambres de la Diète ont demandé que le règlement définisse précisément ces cas pour éviter les abus.
• Sous-traitants : un nouveau régime s’applique aux sous-traitants dont les modalités de traitement sont fixées par contrat. Ce contrat devra notamment prévoir que le sous-traitant informe « promptement » son donneur d’ordre d’une violation. Les obligations de sécurité et de rapport restent applicables au sous-traitant.
• Sanction pécuniaire administrative : la loi crée un système de « surcharges » proportionnées au profit tiré de certaines violations graves. Il vise certains traitements illicites dont l’entreprise a tiré un revenu, comme la communication illicite de données à des tiers ou l’utilisation de données obtenues frauduleusement, et en principe au-delà de 1 000 personnes. Il ne vise ni le défaut de notification ni l’insuffisance des mesures de sécurité. La logique reste donc différente de l’article 83 du RGPD.

Ce qui est encore en discussion

Le reste relève du règlement de la PPC, en cours de rédaction. Le document présenté à la séance de la PPC du 1er octobre 2026 avance les pistes suivantes, qui ne sont ni adoptées ni en vigueur :

• dispenser de rapport préliminaire, dans certains cas, les entreprises dont le dispositif de gestion des incidents a été vérifié par un tiers, par exemple une organisation agréée de protection des informations personnelles ;
• autoriser, pour ces entreprises, des rapports définitifs regroupés par période pour les incidents touchant une seule personne, comme les erreurs d’envoi ou de remise. Selon le bilan intermédiaire publié par la PPC en juin 2024, 84 % des rapports reçus concernaient une seule personne ;
• aligner les critères de rapport des violations d’origine cyber sur ceux du signalement d’incidents prévu par la loi japonaise de 2025 sur la cyberdéfense, dont le volet signalement s’applique depuis le 1er octobre 2026 aux opérateurs d’infrastructures essentielles désignés ;
• soumettre au rapport la communication illicite de données à un tiers, quel que soit le nombre de personnes.

La feuille de route publiée par la PPC le 31 juillet 2026 prévoit une consultation publique sur les textes d’application, puis une période de préparation suffisante avant l’entrée en vigueur. Suivez ces publications : elles fixeront les dispenses dont votre filiale pourra bénéficier.

Un incident, deux régimes : l’organisation à prévoir

Prenons le scénario de départ : un rançongiciel chiffre et exfiltre une partie du système de la filiale japonaise, qui contient des données de clients japonais et des données de salariés et de contacts européens. Voici comment organiser la réponse.

Avant l’incident : décider qui décide

• Un pilote unique de l’incident, deux décideurs réglementaires. La filiale, en tant qu’entité soumise à l’APPI, signe le rapport à la PPC. Le siège, avec son DPO, décide de la notification à la CNIL. Écrivez dans la procédure de groupe qui valide chaque rapport et dans quel délai.
• Une cartographie des données par régime. Pour chaque système de la filiale, indiquez si l’on y trouve des données de personnes au Japon, des données transférées de l’UE et des données sensibles, y compris au sens des règles complémentaires. C’est ce qui permettra de savoir en quelques heures quels régimes s’appliquent.
• Des modèles prêts, en japonais. Préparez le rapport préliminaire selon les rubriques de la PPC et un modèle de message aux personnes, rédigés en japonais par quelqu’un qui connaît le vocabulaire de la PPC. Une traduction faite dans l’urgence produit des erreurs.
• Des contrats de sous-traitance à jour. Vérifiez que vos prestataires au Japon et en Europe doivent vous alerter immédiatement, avec les informations nécessaires aux deux régimes.
• Le destinataire japonais confirmé. Vérifiez chaque année si votre secteur relève d’un ministère de tutelle plutôt que de la PPC.

Les premières heures : deux horloges en parallèle

Notez l’heure de la première détection, par n’importe quel service : c’est le point de départ japonais. Le point de départ européen peut être un peu plus tardif, puisqu’il suppose une certitude raisonnable. Ne comptez pas sur cet écart : en pratique, traitez les deux échéances comme si elles partaient du même moment.

Une seule version des faits

La PPC, la CNIL, les personnes concernées et, le cas échéant, la presse japonaise recevront des informations sur le même incident. Tenez une chronologie unique, en anglais par exemple, dont les rapports japonais et français sont tirés. Faites relire par le DPO du siège la traduction des passages qui engagent le groupe : cause, nombre de personnes, mesures prises. Une différence entre deux versions sera difficile à expliquer ensuite.

L’information des personnes

C’est souvent là que les deux régimes divergent le plus. Il est fréquent que les clients japonais doivent être informés au titre de l’APPI, alors que les personnes européennes ne doivent pas l’être au regard du RGPD, faute de risque élevé. Assumez cette différence et documentez-la. Au Japon, prévoyez un message clair en japonais, un guichet de renseignement et, si besoin, une publication sur le site de la filiale : les lignes directrices de la PPC recommandent de publier les faits et les mesures de prévention lorsque cela aide à éviter des dommages secondaires.

Questions fréquentes

Q1. Notre filiale japonaise compte moins de 1 000 clients. Est-elle à l’abri de l’obligation de rapport ?

Non. Le seuil de 1 000 personnes n’est qu’une des quatre catégories. Une seule donnée de santé, un numéro de carte bancaire ou un accès non autorisé suffit à imposer le rapport à la PPC, quel que soit le nombre de personnes.

Q2. Une notification à la CNIL vaut-elle notification à la PPC ?

Non. Chaque régime a ses propres obligations et ses propres destinataires. La filiale doit faire son propre rapport à la PPC, en japonais, dans les délais japonais.

Q3. Le siège français héberge le CRM de la filiale japonaise. Qui fait le rapport en cas de fuite en France ?

Pour les données des clients japonais, la filiale reste tenue de faire le rapport à la PPC et d’informer les personnes, même si l’incident s’est produit en France. Le siège, sous-traitant, doit l’alerter sans attendre : prévoyez-le dans le contrat intragroupe. Le siège peut aussi relever lui-même de l’APPI s’il traite ces données en lien avec la fourniture de biens ou de services à des personnes au Japon : faites qualifier le montage par un conseil.

Q4. La réforme de 2026 nous dispense-t-elle déjà d’informer les clients pour une fuite mineure ?

Non. La loi est promulguée, mais la disposition n’est pas encore en vigueur et le règlement qui définira les cas concernés est en cours de rédaction. D’ici là, l’information des personnes reste obligatoire dès que le rapport à la PPC l’est.

Q5. Peut-on rédiger le rapport à la PPC en anglais ?

Le formulaire en ligne de la PPC et ses modèles sont en japonais. Prévoyez une rédaction en japonais par la filiale ou par un partenaire local, à partir de la chronologie du groupe.

Parler à AEVUS

AEVUS est une entreprise de cybersécurité basée au Japon. Nous accompagnons les filiales japonaises de groupes étrangers dans la réponse aux incidents : investigation numérique, établissement des faits nécessaires aux rapports préliminaire et définitif à la PPC, et coordination avec les équipes du siège et leur DPO. Nous pouvons aussi tester, avant tout incident, votre procédure de notification sur un scénario mêlant données japonaises et européennes. Si vous préparez ou révisez cette procédure, contactez-nous.

En résumé

• Au Japon, quatre catégories objectives imposent un rapport à la PPC, même si la violation n’est que possible : données sensibles, risque de préjudice financier, acte malveillant, plus de 1 000 personnes.
• Le rapport se fait en deux temps : préliminaire dans un délai d’environ 3 à 5 jours, définitif sous 30 jours ou 60 jours en cas d’acte malveillant. Le RGPD impose 72 heures à la CNIL.
• Au Japon, l’information des personnes suit le rapport ; au RGPD, elle dépend d’un risque élevé.
• Les données reçues de l’UE sur la vie sexuelle, l’orientation sexuelle ou l’appartenance syndicale sont traitées comme sensibles au Japon.
• La réforme promulguée le 17 juillet 2026 assouplira l’information des personnes pour les fuites à faible risque, mais elle n’est pas en vigueur ; les dispenses de rapport sont encore en discussion.
• Préparez à l’avance les décideurs, la cartographie des données, des modèles en japonais et une chronologie unique pour les deux autorités.

Sources

• Loi sur la protection des informations personnelles (APPI), articles 26, 28, 148 et 171 (en japonais)
• Règlement d’application de l’APPI (Enforcement Rules), articles 7 à 10 (en japonais)
• PPC, lignes directrices générales sur l’APPI, version de juin 2026 (en japonais, PDF)
• PPC, page sur le rapport des violations et formulaires (en japonais)
• PPC, traitement des rapports de violation au premier trimestre de l’exercice 2026 (en japonais, PDF)
• PPC, page sur la loi de réforme de 2026 (texte, tableau comparatif, présentation) (en japonais)
• PPC, travaux prévus après l’adoption de la loi de réforme et feuille de route, 31 juillet 2026 (en japonais, PDF)
• PPC, orientations pour les textes d’application de la réforme, séance du 1er octobre 2026 (en japonais, PDF)
• PPC, règles complémentaires applicables aux données transférées de l’UE et du Royaume-Uni (en japonais, PDF)
• PPC, avis désignant les pays de l’EEE et le Royaume-Uni comme disposant d’un système équivalent (en japonais, PDF)
• Cabinet Office, explication du signalement des incidents au titre de la loi de 2025 sur la cyberdéfense, 1er octobre 2026 (en japonais, PDF)
• Règlement (UE) 2016/679 (RGPD), articles 3, 33, 34, 56 et 83
• Décision d’exécution (UE) 2019/419 de la Commission relative au niveau de protection adéquat assuré par le Japon
• Commission européenne, déclaration conjointe sur le premier réexamen de l’adéquation mutuelle UE-Japon, 4 avril 2023
• CEPD, lignes directrices 9/2022 sur la notification des violations de données à caractère personnel, version 2.0 (PDF)
• CNIL, notifier une violation de données personnelles

Articles connexes

• Les cyberattaques au Japon en 2026 : principaux incidents
• Commerce en ligne et distribution au Japon : les cyberattaques de 2026