日本《個人信息保護法》跨境傳輸規則｜向境外第三方提供個人數據

日本企業向境外第三方提供個人數據，原則上須具備以下依據之一：本人同意、接收方建立了符合基準的體制、接收方位於歐盟或英國（《個人信息保護法》（個人情報保護法）第28條）。取得同意時，須向本人告知接收國名稱及該國的制度等信息。與中國母公司共享員工數據，同樣適用這一規則。

第28條的適用對象：什麼是“向境外第三方提供”

第28條是關於向境外第三方提供個人數據的特別規定，其條件比向境內第三方提供更為嚴格。

屬於“第三方”的對象

• 位於中國內地、香港等地的母公司或集團公司（只要是另一法人，即屬於第三方）
• 海外業務受託方（呼叫中心、系統開發、薪資計算等）
• 由外國企業運營、且該企業會處理個人數據的雲服務

另一方面，同一法人內部的轉移不屬於向“第三方”提供。中國企業的日本分公司向中國總部傳輸數據，一般也被視為同一法人內部的轉移。但該法人須履行日本《個人信息保護法》規定的義務。關於不同據點形式的區別，也可參閱日本分公司與日本法人（子公司）的區別。

委託和共同使用同樣適用境外規則

在日本境內，基於業務委託或共同使用的提供，可以不經本人同意進行。但如果接收方是境外第三方，即使是委託或共同使用，也適用第28條，原則上須採用下一章所述三種方式之一。

不過，依據法令的情形，或為保護人的生命、身體、財產所必需且難以取得本人同意的情形等，屬於第27條第1款各項規定的，可作為例外處理。

向境外提供個人數據的三種方式

① 本人同意與事先告知

同意須以認可向境外第三方提供為內容。根據2022年4月1日施行的修訂法，取得同意前須向本人告知以下信息：

• 接收國的名稱
• 該國關於個人信息保護的制度
• 接收方為保護個人信息所採取的措施

取得同意時無法確定接收國的，應告知這一情況、原因以及可供本人蔘考的信息。關於外國制度，個人信息保護委員會公佈了對主要國家制度的調查結果，其中也包括中華人民共和國的制度。

實務中，員工可通過入職時的同意書、客戶可通過網站註冊頁面等，將說明與同意一併完成。說明不充分而取得的同意，可能無法成為有效依據。若要將已取得的數據新傳輸至境外，還應確認是否需要重新取得同意。

② 符合基準的體制（合同、內部規章、認證）

如果接收方建立了持續採取與日本企業應遵守義務相當的措施的體制，就可以不經本人同意提供。通常通過提供方與接收方之間的合同或集團統一的個人信息處理規章來保障。接收方取得基於國際框架的認證（APEC的CBPR體系認證）的，也屬於這種情形。

採用這種方式時，提供後還須履行以下義務（第28條第3款）：

• 定期確認接收方措施的實施情況，以及是否存在可能影響其實施的外國制度及其內容
• 出現障礙時採取必要措施，難以繼續時停止提供
• 本人提出要求時，提供所採取措施的相關信息

③ 位於歐盟、英國的第三方

個人信息保護委員會已將歐盟和英國認定為具有與日本相當水平制度的外國。日本與歐盟之間旨在實現雙向順暢數據傳輸的框架於2019年啟動。此時適用與境內第三方提供相同的規則（第27條）。中國內地、香港、美國等不在該認定範圍內。

使用海外雲服務時的思路

將個人數據存放在外國企業的雲上，並不一定構成“提供”。判斷的關鍵在於雲服務商是否會處理這些個人數據。

• 如果合同約定服務商不處理個人數據，且訪問控制得當，一般認為不屬於提供。
• 即使服務器位於日本境內，只要由外國企業處理個人數據，就屬於向境外第三方提供。

即使不屬於提供，作為自身的安全管理措施，也須掌握處理數據所涉及的外國制度（把握外部環境）。作為保有個人數據的安全管理措施，還須將雲服務商及服務器所在國的名稱等置於本人可知悉的狀態。

向中國母公司傳輸員工、客戶數據的實務

日本法人向中國母公司共享人事信息或客戶信息的情況並不少見。按以下順序梳理，可以避免遺漏。

1. 數據盤點：列出將哪些個人數據、為何目的、傳給誰、傳至哪個國家。
2. 選擇依據：決定依靠本人同意，還是通過集團內部數據傳輸協議等建立符合基準的體制。
3. 完善文件：準備同意書、入職說明材料、數據傳輸協議及內部規章。
4. 更新隱私政策：重新審視利用目的、向境外提供以及作為安全管理措施須公佈的事項。
5. 提供記錄：可能適用向第三方提供時製作和保存記錄的義務（第29條），須確認實際操作。
6. 定期複覈：採用符合基準的體制時，須定期確認接收方的情況和中國的相關制度。

錄用的外籍員工信息同樣適用。招聘的整體流程請參閱外籍員工的招聘與工作簽證。另外，從中國向日本傳輸數據時，另行適用中國的法律法規。存在雙向數據流動時，請向兩國的專業人士確認。

2026年修法與今後的注意事項

2026年7月17日，《個人信息保護法》等的修正法公佈（令和8年法律第56號）。內容包括新設課徵金制度、調整統計編制等情形下的本人同意要件，以及關於未滿16歲兒童個人信息的規定等。施行日原則上為“自公佈之日起不超過2年的範圍內由政令規定的日期”，部分規定預計在其他時間施行。修法後第28條的跨境傳輸規制仍然保留，但相關政令和規則仍在制定中。在施行之前，請通過個人信息保護委員會公佈的資料確認最新內容。

違反規則的，可能受到個人信息保護委員會的指導、勸告或命令。在應客戶或母公司要求匆忙傳輸數據之前，務必先確認一下依據。

TIMOA可以提供的支持

向境外第三方提供個人數據，須具備本人同意、符合基準的體制或接收方位於歐盟/英國這三項依據之一。集團公司和受託方也不例外，使用雲服務時同樣須掌握並公佈相關外國制度。

TIMOA與合作律師攜手，協助您梳理數據流向，完善同意書、隱私政策和集團內部數據傳輸協議，並建立內部管理體制。關於品牌保護，另請參閱在日本註冊商標的流程。詳情請參閱知識產權・風險・合規頁面。