日本《个人信息保护法》跨境传输规则｜向境外第三方提供个人数据

日本企业向境外第三方提供个人数据，原则上须具备以下依据之一：本人同意、接收方建立了符合基准的体制、接收方位于欧盟或英国（《个人信息保护法》（個人情報保護法）第28条）。取得同意时，须向本人告知接收国名称及该国的制度等信息。与中国母公司共享员工数据，同样适用这一规则。

第28条的适用对象：什么是“向境外第三方提供”

第28条是关于向境外第三方提供个人数据的特别规定，其条件比向境内第三方提供更为严格。

属于“第三方”的对象

• 位于中国内地、香港等地的母公司或集团公司（只要是另一法人，即属于第三方）
• 海外业务受托方（呼叫中心、系统开发、薪资计算等）
• 由外国企业运营、且该企业会处理个人数据的云服务

另一方面，同一法人内部的转移不属于向“第三方”提供。中国企业的日本分公司向中国总部传输数据，一般也被视为同一法人内部的转移。但该法人须履行日本《个人信息保护法》规定的义务。关于不同据点形式的区别，也可参阅日本分公司与日本法人（子公司）的区别。

委托和共同使用同样适用境外规则

在日本境内，基于业务委托或共同使用的提供，可以不经本人同意进行。但如果接收方是境外第三方，即使是委托或共同使用，也适用第28条，原则上须采用下一章所述三种方式之一。

不过，依据法令的情形，或为保护人的生命、身体、财产所必需且难以取得本人同意的情形等，属于第27条第1款各项规定的，可作为例外处理。

向境外提供个人数据的三种方式

① 本人同意与事先告知

同意须以认可向境外第三方提供为内容。根据2022年4月1日施行的修订法，取得同意前须向本人告知以下信息：

• 接收国的名称
• 该国关于个人信息保护的制度
• 接收方为保护个人信息所采取的措施

取得同意时无法确定接收国的，应告知这一情况、原因以及可供本人参考的信息。关于外国制度，个人信息保护委员会公布了对主要国家制度的调查结果，其中也包括中华人民共和国的制度。

实务中，员工可通过入职时的同意书、客户可通过网站注册页面等，将说明与同意一并完成。说明不充分而取得的同意，可能无法成为有效依据。若要将已取得的数据新传输至境外，还应确认是否需要重新取得同意。

② 符合基准的体制（合同、内部规章、认证）

如果接收方建立了持续采取与日本企业应遵守义务相当的措施的体制，就可以不经本人同意提供。通常通过提供方与接收方之间的合同或集团统一的个人信息处理规章来保障。接收方取得基于国际框架的认证（APEC的CBPR体系认证）的，也属于这种情形。

采用这种方式时，提供后还须履行以下义务（第28条第3款）：

• 定期确认接收方措施的实施情况，以及是否存在可能影响其实施的外国制度及其内容
• 出现障碍时采取必要措施，难以继续时停止提供
• 本人提出要求时，提供所采取措施的相关信息

③ 位于欧盟、英国的第三方

个人信息保护委员会已将欧盟和英国认定为具有与日本相当水平制度的外国。日本与欧盟之间旨在实现双向顺畅数据传输的框架于2019年启动。此时适用与境内第三方提供相同的规则（第27条）。中国内地、香港、美国等不在该认定范围内。

使用海外云服务时的思路

将个人数据存放在外国企业的云上，并不一定构成“提供”。判断的关键在于云服务商是否会处理这些个人数据。

• 如果合同约定服务商不处理个人数据，且访问控制得当，一般认为不属于提供。
• 即使服务器位于日本境内，只要由外国企业处理个人数据，就属于向境外第三方提供。

即使不属于提供，作为自身的安全管理措施，也须掌握处理数据所涉及的外国制度（把握外部环境）。作为保有个人数据的安全管理措施，还须将云服务商及服务器所在国的名称等置于本人可知悉的状态。

向中国母公司传输员工、客户数据的实务

日本法人向中国母公司共享人事信息或客户信息的情况并不少见。按以下顺序梳理，可以避免遗漏。

1. 数据盘点：列出将哪些个人数据、为何目的、传给谁、传至哪个国家。
2. 选择依据：决定依靠本人同意，还是通过集团内部数据传输协议等建立符合基准的体制。
3. 完善文件：准备同意书、入职说明材料、数据传输协议及内部规章。
4. 更新隐私政策：重新审视利用目的、向境外提供以及作为安全管理措施须公布的事项。
5. 提供记录：可能适用向第三方提供时制作和保存记录的义务（第29条），须确认实际操作。
6. 定期复核：采用符合基准的体制时，须定期确认接收方的情况和中国的相关制度。

录用的外籍员工信息同样适用。招聘的整体流程请参阅外籍员工的招聘与工作签证。另外，从中国向日本传输数据时，另行适用中国的法律法规。存在双向数据流动时，请向两国的专业人士确认。

2026年修法与今后的注意事项

2026年7月17日，《个人信息保护法》等的修正法公布（令和8年法律第56号）。内容包括新设课征金制度、调整统计编制等情形下的本人同意要件，以及关于未满16岁儿童个人信息的规定等。施行日原则上为“自公布之日起不超过2年的范围内由政令规定的日期”，部分规定预计在其他时间施行。修法后第28条的跨境传输规制仍然保留，但相关政令和规则仍在制定中。在施行之前，请通过个人信息保护委员会公布的资料确认最新内容。

违反规则的，可能受到个人信息保护委员会的指导、劝告或命令。在应客户或母公司要求匆忙传输数据之前，务必先确认一下依据。

TIMOA可以提供的支持

向境外第三方提供个人数据，须具备本人同意、符合基准的体制或接收方位于欧盟/英国这三项依据之一。集团公司和受托方也不例外，使用云服务时同样须掌握并公布相关外国制度。

TIMOA与合作律师携手，协助您梳理数据流向，完善同意书、隐私政策和集团内部数据传输协议，并建立内部管理体制。关于品牌保护，另请参阅在日本注册商标的流程。详情请参阅知识产权・风险・合规页面。