--- title: 总部要日本员工数据之前：个人信息保护法的跨境传输｜左滕 description: 海外母公司是另一个法人，按日本《个人信息保护法》算外国第三者。先定走本人同意还是基准适合体制，再上人事系统；体检结果留在日本；上监控之前先跟员工讲清楚。 image: https://nobusato.jp/hubfs/covers-2026-10/appi-employee-data-transfer-cover-zh-2026-10.png --- [左滕 Nobu Sato](https://nobusato.jp/zh?hsLang=zh-cn) [个人简介](https://nobusato.jp/zh/profile?hsLang=zh-cn) [方法论](https://nobusato.jp/zh/blog/method?hsLang=zh-cn) [文章](https://nobusato.jp/zh/blog?hsLang=zh-cn) [术语表](https://nobusato.jp/zh/blog/glossary?hsLang=zh-cn) [联系我](https://nobusato.jp/zh/contact?hsLang=zh-cn) [日本語](https://nobusato.jp/ja/blog/appi-employee-data-transfer)[English](https://nobusato.jp/en/blog/appi-employee-data-transfer)[中文](https://nobusato.jp/zh/blog/appi-employee-data-transfer) 落地实务 本文 1. [员工数据发给海外母公司，算「提供给外国第三者」吗？](https://nobusato.jp/zh/blog/appi-employee-data-transfer#s1) 2. [能走的路有哪几条](https://nobusato.jp/zh/blog/appi-employee-data-transfer#s2) 3. [人事系统上线，按什么顺序走](https://nobusato.jp/zh/blog/appi-employee-data-transfer#s3) 4. [体检结果，为什么要单独处理](https://nobusato.jp/zh/blog/appi-employee-data-transfer#s4) 5. [系统能看到的越多，越要先说清楚](https://nobusato.jp/zh/blog/appi-employee-data-transfer#s5) 1. [首页](https://nobusato.jp/zh?hsLang=zh-cn) 2. [文章](https://nobusato.jp/zh/blog?hsLang=zh-cn) 3. [落地实务](https://nobusato.jp/zh/blog/tag/落地实务) # 总部要日本员工数据之前：个人信息保护法的跨境传输 个人信息保护法第28条 [左滕](https://nobusato.jp/zh/profile?hsLang=zh-cn)约6分钟 目录5 1. [员工数据发给海外母公司，算「提供给外国第三者」吗？](https://nobusato.jp/zh/blog/appi-employee-data-transfer#s1) 2. [能走的路有哪几条](https://nobusato.jp/zh/blog/appi-employee-data-transfer#s2) 3. [人事系统上线，按什么顺序走](https://nobusato.jp/zh/blog/appi-employee-data-transfer#s3) 4. [体检结果，为什么要单独处理](https://nobusato.jp/zh/blog/appi-employee-data-transfer#s4) 5. [系统能看到的越多，越要先说清楚](https://nobusato.jp/zh/blog/appi-employee-data-transfer#s5) 全球统一的人事系统下个月上线，总部发来一张表：日本员工的姓名、职级、工资、考评、体检结果，周五前导进去。表本身没什么问题，问题在顺序。在日本，把员工数据发给海外母公司，按《个人信息保护法》算「向外国第三者提供」，有它自己的一套手续。手续没走就先导数据，等于先上车后买票，而且这张票补起来比买的时候贵。 ## 员工数据发给海外母公司，算「提供给外国第三者」吗？ 算。日本个人信息保护委员会的指南写得很清楚：是不是「第三者」，看是不是另一个法人。日本法人和海外母公司是两个法人，母公司就是外国的第三者。同一个法人在国外的分支机构不算。 员工的信息也是个人信息，这一点同一份指南也写了。很多总部的理解是「员工数据是公司自己的数据」，在日本这句话只对了一半：数据是日本法人的，发给母公司就是一次提供。 云服务要分开看。个人信息保护委员会的问答（Q7-53、Q12-3、Q12-4）的意思是，如果云厂商按合同不碰你存的个人数据，只是替你保管，那不算提供。但母公司的HR在系统里能看、能改日本员工的记录，那就是母公司在处理这些数据，跟服务器放在哪个国家无关。服务器放在东京，也照样是提供。 ## 能走的路有哪几条 《个人信息保护法》第28条给了几条路，日本法人要先选一条，再上系统。 第一条，拿员工本人的同意。2022年4月1日起，同意之前要先告诉员工：数据去哪个国家，那个国家的个人信息保护制度是什么样，接收方采取了什么保护措施。只写一句「同意向集团公司提供」已经不够了。 第二条，接收方建立了「基准适合体制」。说白了，是用合同或者集团内部规定，保证母公司对这些数据采取和日本法要求相当的措施。个人信息保护委员会的问答（Q12-6）认可委托合同加内部规定的组合。走这条路的代价是持续性的：日本法人要定期确认母公司有没有照做，指南的理解是一年一次以上；员工要求的话，要告诉他体制的内容和确认的方法；母公司那边如果做不到了，要停止提供。 第三条，接收方所在国被认定为和日本水平相当。目前只有EU和英国。母公司在美国、中国、新加坡，这条路走不了。 我自己的倾向是以第二条为主。原因很简单：雇佣关系里拿来的同意不太结实。员工不签，入职手续就办不下去，这种同意算不算本人真心愿意，迟早会有人问。个人信息保护委员会的问答（Q1-60）也说过，一段时间没回复，不能一律当成同意。基准适合体制麻烦在每年要复查，但它不靠每个员工的一个签名撑着。 ## 人事系统上线，按什么顺序走 先盘点，再定路，最后才导数据。顺序一反，后面每一步都在补。 先定数据出境走哪条路，再导数据；顺序反了，每一步都在补 依据：個人情報保護法第28条、個人情報保護委員会「外国にある第三者への提供編」ガイドライン及びQ&A、厚生労働省「事業場における労働者の健康情報等の取扱規程を策定するための手引き」（2019年3月）。步骤顺序为作者整理 1. 1盘点字段要传哪些项目，谁要用，为什么。体检结果等要配慮个人信息单独列出 2. 2定路线本人同意，还是基准适合体制（合同加集团内部规定）。EU、英国以外的母公司只能二选一 3. 3告知员工公表利用目的；走同意的，先告知国家名、该国制度、接收方措施 4. 4签合同、定规则集团内的数据处理协议，谁能看哪些字段 5. 5导最少的数据只导第1步列出且有用途的字段，健康信息不进全球系统 6. 6每年复查确认母公司照做，留下记录，员工问起时能回答 第2步决定后面所有的文件怎么写，它要在系统上线之前定下来。 图1　日本法人把员工数据传给海外母公司的人事系统时，按《个人信息保护法》第28条要先选定路线（本人同意或基准适合体制；EU、英国以外的国家没有第三条路），再告知员工、签集团内合同、只导必要字段，并每年复查。 第1步最容易被跳过。总部的表上往往有几十个字段，日本法人照单全收。其实盘点的目的就是删：本人的家庭成员信息、银行账户、体检结果，母公司真的需要吗？要多少，传多少。 第3步里，还要看一眼日本的就业规则和个人信息处理规定。利用目的写的是「用于本公司的人事管理」，那发给母公司做全球人才盘点，很可能就超出了原来的目的。在原目的的合理关联范围内可以变更并告知员工，超出这个范围，就要另取同意。 ## 体检结果，为什么要单独处理 因为它是「要配慮个人信息」。个人信息保护委员会的指南把按《劳动安全卫生法》做的健康诊断结果列在里面。取得这类信息原则上要本人同意（法律规定的健康诊断等有例外），提供给第三者时也不能用opt-out的方式。 厚生劳动省2019年出的手引更具体：健康信息的处理要通过劳资协商定出「取扱规程」，写清楚目的、方法、谁有权限，并告知员工；产业医、保健师之外的人拿到的，最好是加工过的信息，够用来保护员工健康就行；压力测试的结果，有人事权的人没有本人同意不能碰。 把这些放进一个全球HR系统，让总部的HRBP点开就能看，我看在日本基本行不通。我的建议是健康信息留在日本，按日本的规程管，全球系统里最多放一个「需要就业上的照顾：是/否」。 ## 系统能看到的越多，越要先说清楚 人事系统上了线，下一步往往是考勤、电脑操作日志、远程办公的监控。法律上，个人信息保护委员会的问答（Q5-7）列了几条要留意的：监控的目的先定好，写进内部规定，明示给员工；定好负责人和他的权限；监控的规则先定下来，让操作的人照着做。问答的说法是，最好能让员工知情并理解。 法律之外还有一层。监控能不能换来绩效，研究的结论并不乐观，我在[监控越多，绩效越好吗：2.3万人的答案](https://nobusato.jp/zh/blog/monitoring-and-performance?hsLang=zh-cn)里拆过。总部想远程看日本团队之前该先想清楚的事，在[总部想用系统远程盯日本团队之前](https://nobusato.jp/zh/blog/before-hq-monitors-the-japan-team-remotely?hsLang=zh-cn)那篇。 日本员工对这类事的反应通常很安静。不会有人在会上反对，但信任会一点点掉。他们看的是公司有没有先讲清楚：传什么、给谁、用来干什么。这件事先讲了，后面很多事就好办。 同意和体制哪条路更省事，跟集团的规模有关。几十人的日本法人，母公司只有一个HR系统，也许本人同意配合清楚的告知就够了；几千人、跨好几个国家的集团，体制那条路更稳。这个判断值得请日本的律师一起做。 本文只提供一般信息，不构成法律意见。员工数据的跨境传输、要配慮个人信息的处理、监控规则的制定，具体做法请咨询日本的律师或社会保险劳务士。法条和指南内容以2026年11月为准，以个人信息保护委员会和厚生劳动省公布的最新版本为准。 来源（以2026年11月为准） - [個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」](https://www.ppc.go.jp/personalinfo/legal/guidelines_offshore) - [個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（要配慮個人情報・従業者の監督）](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/) - [個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」（Q1-60、Q5-7、Q7-53、Q12-3、Q12-4、Q12-6）](https://www.ppc.go.jp/personalinfo/faq/APPI_QA/) - [厚生労働省「事業場における労働者の健康情報等の取扱規程を策定するための手引き」（2019年3月）](https://www.mhlw.go.jp/content/000497426.pdf) --- 作者 [左滕](https://nobusato.jp/zh/profile?hsLang=zh-cn)Nobu Sato 在日本落地，先从人和机制开始。用中文、日文、英文写组织、销售和技术组织在日本的落地。 [个人简介](https://nobusato.jp/zh/profile?hsLang=zh-cn)[联系我](https://nobusato.jp/zh/contact?hsLang=zh-cn) ## 本专栏的其他文章 1. 01[外资日本法人收缩时，公司内部按什么顺序决定](https://nobusato.jp/zh/blog/how-foreign-companies-decide-to-shrink-japan?hsLang=zh-cn)约5分钟 外资在日本缩编、转代理或关闭，决策顺序有一半是日本劳动法定的。整理解雇的四个方面、退职劝奨的边界、一个月30人以上离职要提前申报，加上福特和现代汽车的公开案例，讲总部和日本法人该按什么顺序走。 2. 02[日本大企业采购为什么慢：稟議、PoC、安全审查都在排队](https://nobusato.jp/zh/blog/why-japanese-enterprise-buying-is-slow?hsLang=zh-cn)约6分钟 一份稟議64.4%要过3个以上审批人，28.7%要一周以上才批完，76%的人说一半以上的章只是确认。慢在排队，判断本身花不了多久。从稟議、PoC和安全问卷看日本法人第一年该配什么人。 3. 03[日本country manager的薪酬：人、岗位、结果分开定](https://nobusato.jp/zh/blog/country-manager-pay-japan?hsLang=zh-cn)约6分钟 总部的全球职级表套到日本country manager身上，常常对不上。用Robert Walters日本2026年调查看基本工资区间，再讲职级、岗位津贴、奖金和母公司股权怎么分开定，为什么从零搭建那一块要写期限。 [专栏导读：落地实务](https://nobusato.jp/zh/blog/guide-launching-in-japan?hsLang=zh-cn) · [术语表](https://nobusato.jp/zh/blog/glossary?hsLang=zh-cn) · [文章背后的方法论](https://nobusato.jp/zh/blog/method?hsLang=zh-cn) [← 文章列表](https://nobusato.jp/zh/blog?hsLang=zh-cn) ## 用三种语言，写在日本落地这件事。 [个人简介](https://nobusato.jp/zh/profile?hsLang=zh-cn) [联系我](https://nobusato.jp/zh/contact?hsLang=zh-cn) 左滕 / Nobu Sato 用三种语言，写在日本落地这件事。 [info@nobusato.jp](mailto:info@nobusato.jp) [小红书](https://www.xiaohongshu.com/user/profile/6adb8bb40000000013022113)[知乎](https://www.zhihu.com/people/honcho)[LinkedIn](https://www.linkedin.com/in/realnobusato/) [RSS](https://nobusato.jp/zh/blog/rss.xml?hsLang=zh-cn) [个人简介](https://nobusato.jp/zh/profile?hsLang=zh-cn)[方法论](https://nobusato.jp/zh/blog/method?hsLang=zh-cn)[文章](https://nobusato.jp/zh/blog?hsLang=zh-cn)[术语表](https://nobusato.jp/zh/blog/glossary?hsLang=zh-cn)[联系我](https://nobusato.jp/zh/contact?hsLang=zh-cn) 文章仅代表个人观点，与我任职或曾任职的机构无关。 © 2026 左滕·[隐私政策与免责声明](https://nobusato.jp/zh/privacy?hsLang=zh-cn) ```json { "@context" : "https://schema.org", "@type" : "BreadcrumbList", "itemListElement" : [ { "@type" : "ListItem", "item" : "https://nobusato.jp/zh", "name" : "首页", "position" : 1 }, { "@type" : "ListItem", "item" : "https://nobusato.jp/zh/blog", "name" : "文章", "position" : 2 }, { "@type" : "ListItem", "item" : "https://nobusato.jp/zh/blog/tag/落地实务", "name" : "落地实务", "position" : 3 }, { "@type" : "ListItem", "item" : "https://nobusato.jp/zh/blog/appi-employee-data-transfer", "name" : "总部要日本员工数据之前：个人信息保护法的跨境传输", "position" : 4 } ] } ``` ```json { "@context" : "https://schema.org", "@id" : "https://nobusato.jp/zh/blog/appi-employee-data-transfer", "@type" : "WebPage", "about" : { "@type" : "Thing", "name" : "落地实务" }, "author" : { "@id" : "https://nobusato.jp/#person" }, "description" : "海外母公司是另一个法人，按日本《个人信息保护法》算外国第三者。先定走本人同意还是基准适合体制，再上人事系统；体检结果留在日本；上监控之前先跟员工讲清楚。", "inLanguage" : "zh-Hans", "isPartOf" : { "@id" : "https://nobusato.jp/zh/blog", "@type" : "Blog", "name" : "文章" }, "keywords" : "落地实务", "name" : "总部要日本员工数据之前：个人信息保护法的跨境传输", "url" : "https://nobusato.jp/zh/blog/appi-employee-data-transfer" } ``` ```json { "@context" : "https://schema.org", "@id" : "https://nobusato.jp/#person", "@type" : "Person", "alternateName" : [ "佐藤伸明", "Nobu Sato", "左滕" ], "description" : "日本落地：组织・销售・技术组织搭建", "knowsAbout" : [ "Japan market entry", "Organization design", "Talent acquisition", "Sales organization building", "Technology organization building", "Japanese labor law" ], "name" : "左滕", "sameAs" : [ "https://www.linkedin.com/in/realnobusato/", "https://x.com/nobusato5888" ], "url" : "https://nobusato.jp/zh/profile" } ``` ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "左滕", "url" : "https://nobusato.jp/zh/blog/author/nobu-sato" }, "dateModified" : "2026-11-12T11:22:29.283Z", "datePublished" : "2026-11-12T11:22:29.000Z", "headline" : "总部要日本员工数据之前：个人信息保护法的跨境传输", "image" : [ "https://nobusato.jp/hubfs/covers-2026-10/appi-employee-data-transfer-cover-zh-2026-10.png" ], "mainEntityOfPage" : { "@id" : "https://nobusato.jp/zh/blog/appi-employee-data-transfer", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://nobusato.jp/hubfs/seo/logo-nobusato-2026-10.png" }, "name" : "nobusato.jp" } } ```