---
title: 従業員データを本社に送る前に：個人情報保護法の越境移転
description: 海外の親会社は別法人なので外国にある第三者にあたる。個人情報保護法第28条のもとで本人同意か基準適合体制かを先に決め、健康情報は日本に残す。グローバル人事システム導入の順番と、モニタリング前に説明しておくことを整理する。
image: https://nobusato.jp/hubfs/covers-2026-10/appi-employee-data-transfer-cover-ja-2026-10.png
---

[佐藤伸明 Nobu Sato](https://nobusato.jp/home?hsLang=ja)

[プロフィール](https://nobusato.jp/ja/profile?hsLang=ja) [方法論](https://nobusato.jp/ja/blog/method?hsLang=ja) [記事](https://nobusato.jp/ja/blog?hsLang=ja) [用語集](https://nobusato.jp/ja/blog/glossary?hsLang=ja) [お問い合わせ](https://nobusato.jp/ja/contact?hsLang=ja)

[日本語](https://nobusato.jp/ja/blog/appi-employee-data-transfer)[English](https://nobusato.jp/en/blog/appi-employee-data-transfer)[中文](https://nobusato.jp/zh/blog/appi-employee-data-transfer)

立ち上げの実務

この記事

1. [海外の親会社に送るのは「第三者提供」になるのか](https://nobusato.jp/ja/blog/appi-employee-data-transfer#s1)
2. [移転の根拠は、どれを選ぶか](https://nobusato.jp/ja/blog/appi-employee-data-transfer#s2)
3. [導入の順番で、いちばん飛ばされやすいところ](https://nobusato.jp/ja/blog/appi-employee-data-transfer#s3)
4. [健康診断の結果は、なぜ別扱いなのか](https://nobusato.jp/ja/blog/appi-employee-data-transfer#s4)
5. [見えるものが増えるほど、先に説明しておく](https://nobusato.jp/ja/blog/appi-employee-data-transfer#s5)

1. [ホーム](https://nobusato.jp/home?hsLang=ja)
2. [記事](https://nobusato.jp/ja/blog?hsLang=ja)
3. [立ち上げの実務](https://nobusato.jp/ja/blog/tag/立ち上げの実務)

# 従業員データを本社に送る前に：個人情報保護法の越境移転

個人情報保護法第28条

[佐藤伸明](https://nobusato.jp/ja/profile?hsLang=ja)約7分

目次5

1. [海外の親会社に送るのは「第三者提供」になるのか](https://nobusato.jp/ja/blog/appi-employee-data-transfer#s1)
2. [移転の根拠は、どれを選ぶか](https://nobusato.jp/ja/blog/appi-employee-data-transfer#s2)
3. [導入の順番で、いちばん飛ばされやすいところ](https://nobusato.jp/ja/blog/appi-employee-data-transfer#s3)
4. [健康診断の結果は、なぜ別扱いなのか](https://nobusato.jp/ja/blog/appi-employee-data-transfer#s4)
5. [見えるものが増えるほど、先に説明しておく](https://nobusato.jp/ja/blog/appi-employee-data-transfer#s5)

外資系の日本法人の人事部に、ある日、本社からグローバル人事システムの導入スケジュールが届く。日本の従業員データも来月までに移行してほしい、と書いてある。氏名、等級、給与、評価、健康診断の結果まで項目に並んでいることもある。急ぎたい気持ちは分かる。ただ、日本では海外の親会社へのデータ移転は個人情報保護法上の「外国にある第三者への提供」にあたり、順番を間違えると後から直す手間のほうが大きくなる。

## 海外の親会社に送るのは「第三者提供」になるのか

なる。個人情報保護委員会のガイドライン（外国にある第三者への提供編）は、法人の場合、別の法人格を持つかどうかで第三者にあたるかを判断するとしている。日本法人と海外の親会社は別の法人なので、親会社は外国にある第三者だ。同じ法人の海外支店であれば第三者にはならない。

本社の感覚では「従業員データは自社のデータ」だろう。日本の法律の見方では、データを持っているのは日本法人で、親会社に渡せば提供になる。この認識のずれが、たいていの混乱の出発点である。

クラウドは分けて考える必要がある。委員会のQ&A（Q7-53、Q12-3、Q12-4）によれば、クラウド事業者が契約上その個人データを取り扱わないことになっていれば、提供にはあたらない。一方、親会社の人事担当者がシステム上で日本の従業員の記録を閲覧・編集できるなら、親会社がデータを取り扱っていることになる。サーバーが東京にあっても、そこは変わらない。

## 移転の根拠は、どれを選ぶか

個人情報保護法第28条のもとで、選べる根拠は限られている。システム導入の前に、どれでいくかを決めておく。

一つは本人の同意だ。2022年4月1日からは、同意を得る前に、移転先の国名、その国の個人情報保護制度、移転先が講じている保護措置を本人に情報提供しなければならない。「グループ会社への提供に同意します」の一行では足りなくなった。

もう一つは、移転先が「基準適合体制」を整備していることだ。契約やグループの内部規程で、親会社が日本法と同等の措置をとることを担保する。Q&AのQ12-6は、委託契約と内規の組み合わせでこれを満たしうるとしている。この方法は、導入したら終わりではない。移転先が措置を守っているかを定期的に確認する必要があり、ガイドラインは年1回程度以上と説明している。本人から求められれば、体制の内容や確認の方法を情報提供する。守られなくなれば、提供を止める。

最後が、日本と同等の水準にあると認められた国への移転で、現在はEUと英国だけである。親会社が米国、中国、シンガポールにあるなら、この道はない。

私は、雇用関係のなかでは基準適合体制を主軸にするほうが筋がよいと考えている。理由は、雇用の場面で得た同意が案外もろいからだ。署名しなければ入社手続きが進まない状況での同意を、本人の自由な意思と言い切れるか。いずれ誰かがそこを問う。委員会のQ&A（Q1-60）も、一定期間返事がなかったことだけで一律に同意とみなすことはできないとしている。体制のほうは毎年の確認が手間だが、従業員一人ひとりの署名に寄りかからずに済む。

移転の根拠を先に決め、データは最後に移す。順番が逆だと、後の手続きがすべて手直しになる

根拠：個人情報保護法第28条、個人情報保護委員会「外国にある第三者への提供編」ガイドライン及びQ&A、厚生労働省「事業場における労働者の健康情報等の取扱規程を策定するための手引き」（2019年3月）。手順の並びは筆者の整理

1. 1項目を棚卸しする何を、誰が、何のために使うか。健康診断の結果などの要配慮個人情報は別に分ける
2. 2移転の根拠を決める本人同意か、基準適合体制（契約とグループ内規）か。EU・英国以外の親会社ならこの二つから選ぶ
3. 3従業員に知らせる利用目的の公表。同意による場合は、国名・その国の制度・移転先の措置を先に情報提供
4. 4契約と社内ルールグループ内のデータ取扱契約、誰がどの項目を見られるか
5. 5必要最小限を移す1で用途が確認できた項目だけ。健康情報はグローバルシステムに入れない
6. 6毎年確認する親会社が措置を守っているかを確かめ、記録を残し、本人の求めに答えられるようにする

2番目の判断が、その後のすべての書類の書き方を決める。だからシステム稼働の前に決めておく。

図1　日本法人が従業員データを海外親会社の人事システムに移す場合、個人情報保護法第28条に沿ってまず移転の根拠（本人同意か基準適合体制。EU・英国以外の国には第三の道がない）を決め、従業員への情報提供、グループ内契約、必要最小限の移行、年1回程度以上の確認へと進む。

## 導入の順番で、いちばん飛ばされやすいところ

項目の棚卸しである。本社から届く移行シートには数十の項目が並んでいて、日本側はそのまま埋めてしまいがちだ。棚卸しの目的は、実は減らすことにある。家族の情報、銀行口座、健康診断の結果。本当に親会社が使うのか。使う分だけ渡せばよい。

利用目的も見直しておきたい。就業規則や個人情報取扱規程に「当社の人事管理のため」とだけ書いてあるなら、親会社でのグローバルな人材レビューに使うのは、元の目的の外に出る可能性がある。元の目的と関連性があると合理的に認められる範囲なら変更して本人に通知・公表すればよいが、それを超えるなら改めて同意が要る。

## 健康診断の結果は、なぜ別扱いなのか

要配慮個人情報だからだ。個人情報保護委員会の通則編ガイドラインは、労働安全衛生法にもとづく健康診断の結果をこれに含めている。取得には原則として本人の同意が要り（法令にもとづく場合などの例外はある）、オプトアウトによる第三者提供もできない。

厚生労働省が2019年3月に出した手引きは、さらに踏み込んでいる。健康情報の取扱いは、労使の協議で目的・方法・権限などを取扱規程に定め、労働者に周知する。産業保健スタッフ以外に渡すときは、健康確保に必要な範囲に加工する。ストレスチェックの結果は、人事に直接の権限を持つ人が本人の同意なく取り扱ってはならない。

こうした情報を、本社の人事担当者がクリック一つで開けるシステムに入れるのは、日本ではまず通らないと私は見ている。私なら健康情報は日本に残し、日本の規程で管理する。グローバルシステムには、せいぜい「就業上の配慮：要・不要」くらいを載せる。それで困る場面は、思ったより少ないはずだ。

## 見えるものが増えるほど、先に説明しておく

人事システムの次に来るのは、勤怠、PCの操作ログ、リモートワークのモニタリングであることが多い。委員会のQ&A（Q5-7）は、従業者のモニタリングについて、目的をあらかじめ特定して社内規程に定め従業者に明示すること、実施の責任者と権限を定めること、実施のルールを決めて運用者に徹底することなどを挙げ、従業者への周知と理解を得ることが望ましいとしている。

法律の外側にも論点がある。監視を増やせば成果が上がるのかについては[「監視を増やすと成果は上がるか：2.3万人の答え」](https://nobusato.jp/ja/blog/monitoring-and-performance?hsLang=ja)で研究を読んだ。本社が遠隔で日本チームを見ようとする前に考えておきたいことは[「本社がシステムで日本チームを遠隔監視する前に」](https://nobusato.jp/ja/blog/before-hq-monitors-the-japan-team-remotely?hsLang=ja)にまとめた。

日本の従業員は、こうした変化に声を上げないことが多い。会議で反対する人はいない。ただ、信頼は少しずつ目減りする（目減りは、たいてい誰も気づかないうちに進む）。彼らが見ているのは、会社が先に説明したかどうか。何を、誰に、何のために。これを導入の前に言えた会社は、その後の制度変更でもずいぶん楽をしている、と私は感じている。

同意と体制のどちらが楽かは、グループの規模で変わる。数十人の日本法人で、移転先が親会社の人事システム一つだけなら、丁寧な情報提供をつけた同意で足りることもあるだろう。数千人規模で、複数の国にまたがるなら、体制のほうが安定する。ここは日本の弁護士と一緒に判断する価値がある。

本稿は一般的な情報の提供を目的としており、法的助言ではない。従業員データの越境移転、要配慮個人情報の取扱い、モニタリング規程の策定については、個別の事情に応じて弁護士や社会保険労務士に相談してほしい。法令・ガイドラインの内容は2026年11月時点のもので、個人情報保護委員会と厚生労働省が公表する最新版を確認されたい。

出典（2026年11月時点）

- [個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」](https://www.ppc.go.jp/personalinfo/legal/guidelines_offshore)
- [個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（要配慮個人情報・従業者の監督）](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)
- [個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」（Q1-60、Q5-7、Q7-53、Q12-3、Q12-4、Q12-6）](https://www.ppc.go.jp/personalinfo/faq/APPI_QA/)
- [厚生労働省「事業場における労働者の健康情報等の取扱規程を策定するための手引き」（2019年3月）](https://www.mhlw.go.jp/content/000497426.pdf)

---

筆者

[佐藤伸明](https://nobusato.jp/ja/profile?hsLang=ja)Nobu Sato

日本市場の立ち上げを、人と仕組みから。組織・営業・技術組織の立ち上げについて、日本語・英語・中国語で書いています。

[プロフィール](https://nobusato.jp/ja/profile?hsLang=ja)[お問い合わせ](https://nobusato.jp/ja/contact?hsLang=ja)

## 次に読む

1. 01[外資の日本法人は、縮小をどの順番で決めるのか](https://nobusato.jp/ja/blog/how-foreign-companies-decide-to-shrink-japan?hsLang=ja)約7分
   
   外資系企業が日本事業を縮めるとき、決定の順番の半分は労働法が決めている。整理解雇の四つの観点、退職勧奨の限界、30人以上の離職でのハローワーク届出、フォードと現代自動車の公開事例から、本社と日本法人の判断の順を追う。

[コラムの読み方：立ち上げの実務](https://nobusato.jp/ja/blog/guide-launching-in-japan?hsLang=ja) · [用語集](https://nobusato.jp/ja/blog/glossary?hsLang=ja) · [記事の土台：方法論](https://nobusato.jp/ja/blog/method?hsLang=ja)

[← 記事一覧へ](https://nobusato.jp/ja/blog?hsLang=ja)

## 日本市場での立ち上げについて、三言語で書いています。

[プロフィール](https://nobusato.jp/ja/profile?hsLang=ja) [お問い合わせ](https://nobusato.jp/ja/contact?hsLang=ja)

佐藤伸明 / Nobu Sato

日本市場での立ち上げについて、三言語で書いています。

[info@nobusato.jp](mailto:info@nobusato.jp) [note](https://note.com/nobusato5888)[X](https://x.com/nobusato5888)[Facebook](https://www.facebook.com/profile.php?id=61595570232740)[NewsPicks](https://newspicks.com/user/12904929/)[LinkedIn](https://www.linkedin.com/in/realnobusato/) [RSS](https://nobusato.jp/ja/blog/rss.xml?hsLang=ja)

[プロフィール](https://nobusato.jp/ja/profile?hsLang=ja)[方法論](https://nobusato.jp/ja/blog/method?hsLang=ja)[記事](https://nobusato.jp/ja/blog?hsLang=ja)[用語集](https://nobusato.jp/ja/blog/glossary?hsLang=ja)[お問い合わせ](https://nobusato.jp/ja/contact?hsLang=ja)

記事の内容は個人の見解で、所属する組織の立場を示すものではありません。

© 2026 佐藤伸明·[プライバシーポリシー・免責事項](https://nobusato.jp/ja/privacy?hsLang=ja)

```json
{
  "@context" : "https://schema.org",
  "@type" : "BreadcrumbList",
  "itemListElement" : [ {
    "@type" : "ListItem",
    "item" : "https://nobusato.jp/home",
    "name" : "ホーム",
    "position" : 1
  }, {
    "@type" : "ListItem",
    "item" : "https://nobusato.jp/ja/blog",
    "name" : "記事",
    "position" : 2
  }, {
    "@type" : "ListItem",
    "item" : "https://nobusato.jp/ja/blog/tag/立ち上げの実務",
    "name" : "立ち上げの実務",
    "position" : 3
  }, {
    "@type" : "ListItem",
    "item" : "https://nobusato.jp/ja/blog/appi-employee-data-transfer",
    "name" : "従業員データを本社に送る前に：個人情報保護法の越境移転",
    "position" : 4
  } ]
}
```

```json
{
  "@context" : "https://schema.org",
  "@id" : "https://nobusato.jp/ja/blog/appi-employee-data-transfer",
  "@type" : "WebPage",
  "about" : {
    "@type" : "Thing",
    "name" : "立ち上げの実務"
  },
  "author" : {
    "@id" : "https://nobusato.jp/#person"
  },
  "description" : "海外の親会社は別法人なので外国にある第三者にあたる。個人情報保護法第28条のもとで本人同意か基準適合体制かを先に決め、健康情報は日本に残す。グローバル人事システム導入の順番と、モニタリング前に説明しておくことを整理する。",
  "inLanguage" : "ja",
  "isPartOf" : {
    "@id" : "https://nobusato.jp/ja/blog",
    "@type" : "Blog",
    "name" : "記事"
  },
  "keywords" : "立ち上げの実務",
  "name" : "従業員データを本社に送る前に：個人情報保護法の越境移転",
  "url" : "https://nobusato.jp/ja/blog/appi-employee-data-transfer"
}
```

```json
{
  "@context" : "https://schema.org",
  "@id" : "https://nobusato.jp/#person",
  "@type" : "Person",
  "alternateName" : [ "佐藤伸明", "Nobu Sato", "左滕" ],
  "description" : "日本市場の立ち上げ（組織・営業・技術）",
  "knowsAbout" : [ "Japan market entry", "Organization design", "Talent acquisition", "Sales organization building", "Technology organization building", "Japanese labor law" ],
  "name" : "佐藤伸明",
  "sameAs" : [ "https://www.linkedin.com/in/realnobusato/", "https://x.com/nobusato5888" ],
  "url" : "https://nobusato.jp/ja/profile"
}
```

```json
{
  "@context" : "https://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "Nobu Sato",
    "url" : "https://nobusato.jp/ja/blog/author/nobu-sato"
  },
  "dateModified" : "2026-11-12T11:22:29.284Z",
  "datePublished" : "2026-11-12T11:22:29.000Z",
  "headline" : "従業員データを本社に送る前に：個人情報保護法の越境移転",
  "image" : [ "https://nobusato.jp/hubfs/covers-2026-10/appi-employee-data-transfer-cover-ja-2026-10.png" ],
  "mainEntityOfPage" : {
    "@id" : "https://nobusato.jp/ja/blog/appi-employee-data-transfer",
    "@type" : "WebPage"
  },
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "url" : "https://nobusato.jp/hubfs/seo/logo-nobusato-2026-10.png"
    },
    "name" : "nobusato.jp"
  }
}
```