個人情報保護法の越境移転ルール｜外国の第三者への個人データ提供

日本の事業者が外国にある第三者に個人データを提供するには、原則として、本人の同意、提供先の基準適合体制、提供先がEU・英国にあること、のいずれかが必要です（個人情報保護法第28条）。同意を得るときは、移転先の国名やその国の制度などを本人に示します。中国の親会社への従業員データの共有も、このルールの対象です。

個人情報保護法28条の対象：「外国にある第三者への提供」とは

法第28条は、個人データを外国にある第三者に提供する場合の特別なルールです。国内の第三者提供よりも厳しい条件が課されています。

「第三者」に当たる相手

• 中国本土・香港などにある親会社やグループ会社（別の法人であれば第三者です）
• 海外の業務委託先（コールセンター、システム開発、給与計算など）
• 外国の事業者が運営するクラウドサービスで、その事業者が個人データを取り扱う場合

一方、同じ法人の中での移動は「第三者」への提供には当たりません。中国企業の日本支店から中国の本店へ渡す場合も、同じ法人内の移動と整理されるのが一般的です。ただし、その法人は日本の個人情報保護法の義務を負います。拠点の形による違いは日本支店と日本法人（子会社）の違いも参考にしてください。

委託や共同利用でも外国向けのルールが適用される

国内であれば、業務の委託や共同利用による提供は、本人の同意なく行えます。しかし、提供先が外国にある第三者の場合は、委託や共同利用であっても法第28条が適用され、原則として次の章の3つの方法のいずれかが必要です。

ただし、法令に基づく場合や、人の生命・身体・財産の保護に必要で本人の同意を得ることが困難な場合など、法第27条第1項各号に当たるときは例外とされています。

外国に個人データを提供する3つの方法

① 本人の同意と事前の情報提供

同意は、外国にある第三者への提供を認める内容で得ます。2022年4月1日施行の改正法により、同意を得る前に次の情報を本人に示すことが義務になりました。

• 移転先の外国の名称
• その外国の個人情報の保護に関する制度
• 提供先が講じる個人情報の保護のための措置

同意を得る時点で移転先の国を特定できない場合は、その旨と理由、本人の参考となる情報を示します。外国の制度については、個人情報保護委員会が主要国の制度の調査結果を公表しており、中華人民共和国の制度も掲載されています。

実務では、従業員なら入社時の同意書、顧客ならウェブの登録画面などで、説明と同意をセットにします。説明が不十分なまま得た同意は、有効な根拠にならないおそれがあります。すでに取得済みのデータを新たに外国へ送る場合は、改めて同意を得る必要がないかも確認します。

② 基準適合体制（契約・社内規程・認証）

提供先が、日本の事業者が守るべき義務に相当する措置を継続的に講じる体制を整えていれば、本人の同意なく提供できます。典型的には、提供元と提供先の契約や、グループ共通の個人情報取扱規程で担保します。国際的な枠組みに基づく認定（APECのCBPRシステムの認証）を提供先が受けている場合も、これに当たります。

この方法を使う場合、提供後にも次の義務があります（法第28条第3項）。

• 提供先の措置の実施状況と、その実施に影響するおそれのある外国の制度の有無・内容を、定期的に確認する
• 支障が生じたときは必要な措置を講じ、継続が難しくなったときは提供を停止する
• 本人から求めがあれば、講じている措置に関する情報を提供する

③ EU・英国にある第三者

個人情報保護委員会は、EUと英国を、日本と同等の水準の制度を持つ外国として指定しています。日本とEUの間では、相互に円滑なデータ移転を図る枠組みが2019年に始まりました。この場合は国内の第三者提供と同じルール（法第27条）が適用されます。中国本土、香港、米国などは、この指定の対象ではありません。

海外のクラウドサービスを使う場合の考え方

外国の事業者のクラウドに個人データを保存しても、常に「提供」に当たるわけではありません。判断のポイントは、クラウド事業者がその個人データを取り扱うことになっているかどうかです。

• 契約で事業者が個人データを取り扱わないと定め、アクセス制御が適切に行われていれば、提供には当たらないとされています。
• サーバが日本国内にあっても、外国の事業者が個人データを取り扱う場合は、外国にある第三者への提供に当たります。

提供に当たらない場合でも、自社の安全管理措置として、データを取り扱う外国の制度を把握する必要があります（外的環境の把握）。保有個人データの安全管理措置として、クラウド事業者やサーバのある国の名称などを、本人が知り得る状態に置くことも求められます。

中国の親会社に従業員・顧客データを送るときの実務

日本法人から中国の親会社に、人事情報や顧客情報を共有するケースは少なくありません。次の順番で整理すると、抜け漏れを防げます。

1. データの棚卸し：どの個人データを、誰に、どの国へ、何の目的で送るかを一覧にします。
2. 根拠の選択：本人同意によるか、グループ内のデータ移転契約などで基準適合体制を整えるかを決めます。
3. 書類の整備：同意書や入社時の説明資料、データ移転契約、社内規程を用意します。
4. プライバシーポリシーの更新：利用目的、外国への提供、安全管理措置として公表する事項を見直します。
5. 提供の記録：第三者に提供したときの記録の作成・保存義務（法第29条）が適用される場合があるため、運用を確認します。
6. 定期的な見直し：基準適合体制による場合は、提供先の状況と中国の制度を定期的に確認します。

採用した外国人社員の情報も対象になります。採用全体の流れは外国人社員の採用と就労ビザで解説しています。なお、中国から日本へデータを送る場合は、中国側の法令が別に適用されます。双方向のデータの流れがある場合は、両国の専門家に確認してください。

2026年の法改正と今後の注意点

2026年7月17日、個人情報保護法などの改正法が公布されました（令和8年法律第56号）。課徴金制度の新設や、統計作成等での本人同意の要件の見直し、16歳未満の子どもの個人情報に関する規律などが含まれます。施行日は原則として「公布の日から起算して2年を超えない範囲内において政令で定める日」とされ、一部の規定は別の時期に施行される予定です。改正後も法第28条の越境移転の規制は残りますが、関連する政令・規則の整備は進行中です。施行までの間は、個人情報保護委員会の公表資料で最新の内容を確認してください。

ルールに違反した場合、個人情報保護委員会による指導や勧告、命令の対象となることがあります。取引先や親会社から求められて急いでデータを送る前に、根拠を一度確認することが大切です。

TIMOAにできること

外国にある第三者に個人データを提供するには、本人同意、基準適合体制、EU・英国のいずれかの根拠が必要です。グループ会社や委託先でも例外にはならず、クラウドを使う場合も外国の制度の把握と公表が求められます。

TIMOAは、提携する弁護士とともに、データの流れの整理、同意書・プライバシーポリシー・グループ内データ移転契約の整備、社内体制づくりをサポートします。ブランドの保護については日本での商標登録の流れもご覧ください。詳しくは知財・リスク・コンプライアンスのページをご覧ください。