总部要日本员工数据之前：个人信息保护法的跨境传输

全球统一的人事系统下个月上线，总部发来一张表：日本员工的姓名、职级、工资、考评、体检结果，周五前导进去。表本身没什么问题，问题在顺序。在日本，把员工数据发给海外母公司，按《个人信息保护法》算「向外国第三者提供」，有它自己的一套手续。手续没走就先导数据，等于先上车后买票，而且这张票补起来比买的时候贵。

员工数据发给海外母公司，算「提供给外国第三者」吗？

算。日本个人信息保护委员会的指南写得很清楚：是不是「第三者」，看是不是另一个法人。日本法人和海外母公司是两个法人，母公司就是外国的第三者。同一个法人在国外的分支机构不算。

员工的信息也是个人信息，这一点同一份指南也写了。很多总部的理解是「员工数据是公司自己的数据」，在日本这句话只对了一半：数据是日本法人的，发给母公司就是一次提供。

云服务要分开看。个人信息保护委员会的问答（Q7-53、Q12-3、Q12-4）的意思是，如果云厂商按合同不碰你存的个人数据，只是替你保管，那不算提供。但母公司的HR在系统里能看、能改日本员工的记录，那就是母公司在处理这些数据，跟服务器放在哪个国家无关。服务器放在东京，也照样是提供。

能走的路有哪几条

《个人信息保护法》第28条给了几条路，日本法人要先选一条，再上系统。

第一条，拿员工本人的同意。2022年4月1日起，同意之前要先告诉员工：数据去哪个国家，那个国家的个人信息保护制度是什么样，接收方采取了什么保护措施。只写一句「同意向集团公司提供」已经不够了。

第二条，接收方建立了「基准适合体制」。说白了，是用合同或者集团内部规定，保证母公司对这些数据采取和日本法要求相当的措施。个人信息保护委员会的问答（Q12-6）认可委托合同加内部规定的组合。走这条路的代价是持续性的：日本法人要定期确认母公司有没有照做，指南的理解是一年一次以上；员工要求的话，要告诉他体制的内容和确认的方法；母公司那边如果做不到了，要停止提供。

第三条，接收方所在国被认定为和日本水平相当。目前只有EU和英国。母公司在美国、中国、新加坡，这条路走不了。

我自己的倾向是以第二条为主。原因很简单：雇佣关系里拿来的同意不太结实。员工不签，入职手续就办不下去，这种同意算不算本人真心愿意，迟早会有人问。个人信息保护委员会的问答（Q1-60）也说过，一段时间没回复，不能一律当成同意。基准适合体制麻烦在每年要复查，但它不靠每个员工的一个签名撑着。

人事系统上线，按什么顺序走

先盘点，再定路，最后才导数据。顺序一反，后面每一步都在补。

先定数据出境走哪条路，再导数据；顺序反了，每一步都在补

依据：個人情報保護法第28条、個人情報保護委員会「外国にある第三者への提供編」ガイドライン及びQ&A、厚生労働省「事業場における労働者の健康情報等の取扱規程を策定するための手引き」（2019年3月）。步骤顺序为作者整理

1. 1盘点字段要传哪些项目，谁要用，为什么。体检结果等要配慮个人信息单独列出
2. 2定路线本人同意，还是基准适合体制（合同加集团内部规定）。EU、英国以外的母公司只能二选一
3. 3告知员工公表利用目的；走同意的，先告知国家名、该国制度、接收方措施
4. 4签合同、定规则集团内的数据处理协议，谁能看哪些字段
5. 5导最少的数据只导第1步列出且有用途的字段，健康信息不进全球系统
6. 6每年复查确认母公司照做，留下记录，员工问起时能回答

第2步决定后面所有的文件怎么写，它要在系统上线之前定下来。

第1步最容易被跳过。总部的表上往往有几十个字段，日本法人照单全收。其实盘点的目的就是删：本人的家庭成员信息、银行账户、体检结果，母公司真的需要吗？要多少，传多少。

第3步里，还要看一眼日本的就业规则和个人信息处理规定。利用目的写的是「用于本公司的人事管理」，那发给母公司做全球人才盘点，很可能就超出了原来的目的。在原目的的合理关联范围内可以变更并告知员工，超出这个范围，就要另取同意。

体检结果，为什么要单独处理

因为它是「要配慮个人信息」。个人信息保护委员会的指南把按《劳动安全卫生法》做的健康诊断结果列在里面。取得这类信息原则上要本人同意（法律规定的健康诊断等有例外），提供给第三者时也不能用opt-out的方式。

厚生劳动省2019年出的手引更具体：健康信息的处理要通过劳资协商定出「取扱规程」，写清楚目的、方法、谁有权限，并告知员工；产业医、保健师之外的人拿到的，最好是加工过的信息，够用来保护员工健康就行；压力测试的结果，有人事权的人没有本人同意不能碰。

把这些放进一个全球HR系统，让总部的HRBP点开就能看，我看在日本基本行不通。我的建议是健康信息留在日本，按日本的规程管，全球系统里最多放一个「需要就业上的照顾：是/否」。

系统能看到的越多，越要先说清楚

人事系统上了线，下一步往往是考勤、电脑操作日志、远程办公的监控。法律上，个人信息保护委员会的问答（Q5-7）列了几条要留意的：监控的目的先定好，写进内部规定，明示给员工；定好负责人和他的权限；监控的规则先定下来，让操作的人照着做。问答的说法是，最好能让员工知情并理解。

法律之外还有一层。监控能不能换来绩效，研究的结论并不乐观，我在监控越多，绩效越好吗：2.3万人的答案里拆过。总部想远程看日本团队之前该先想清楚的事，在总部想用系统远程盯日本团队之前那篇。

日本员工对这类事的反应通常很安静。不会有人在会上反对，但信任会一点点掉。他们看的是公司有没有先讲清楚：传什么、给谁、用来干什么。这件事先讲了，后面很多事就好办。

同意和体制哪条路更省事，跟集团的规模有关。几十人的日本法人，母公司只有一个HR系统，也许本人同意配合清楚的告知就够了；几千人、跨好几个国家的集团，体制那条路更稳。这个判断值得请日本的律师一起做。

---