일본은 일반인의 개인정보취급사업자가 정보주체의 개인정보 수집하는데 합법적인 근거가 필요하지 않다. 그러나 이용 목적을 사전에 통지하고, 통지 범위 내에서만 수집/이용/제공해야 한다.
일본은, CCPA와 마찬가지로, 민간의 개인정보취급사업자가 정보주체의 개인정보를 처리(=수집/이용/제공)하는 데에 달리 합법성의 근거를 요구하지 않는다. 따라서 기업을 비롯한 개인정보취급사업자는 원칙적으로 소비자나 이용자의 개인정보를 수집하고 활용함에 있어서 자유를 가진다. 그러나, 위 ‘고지를 받을 권리’ 항목에서 설명한 바와 같이, 적어도 이용/제공 목적을 미리 통지/공표해야 하고 그 통지/공표한 목적 범위 내에서 수집/이용/제공해야 한다. 또한, 개인정보취급사업 자가 본인[정보주체]의 동의 없이 제3자 제공을 하는 경우, 정보주체는 사후적으로 거부권을 행사하여 제3자 제공을 중단시킬 수 있다.