日本個資法沒有「集團內部」這個概念。你的台灣母公司，在條文裡就是一個位於外國的第三方。
一家台灣公司的日本子公司做完年度檢討，總部要業務名單與往來紀錄回台灣做客戶分析。日本的管理部長說要走個資的手續，台灣端覺得奇怪——這是同一個集團，資料本來就是我們的。
同一年，這家公司把日本員工的薪資計算外包給台灣總部的人資系統，理由也是「內部作業」。兩件事在日本個人資料保護法下都是同一件事：向外國的第三方提供個人資料。本文制度以 2026 年 8 月 23 日時點為準。
第 28 條把門關上，只留三條路
個人資料保護法第 28 條第 1 項的結構是：向外國的第三方提供個人資料，原則上要事前取得本人同意。條文用兩個括號把兩類對象排除在「外國」與「第三方」之外，那就是另外兩條路。
| 路徑 | 依據 | 條件 |
|---|---|---|
| 認定為同等水準的國家 | 施行規則第 15 條 | 目前只有歐盟與英國 |
| 基準適合體制 | 施行規則第 16 條 | 對方持續採取相當措施 的體制符合規定基準 |
| 本人同意 | 第 28 條第 1 項 | 事前同意， 並先履行第 2 項的資訊提供 |
→ 第一條路對台灣直接關閉。被認定為與日本同等水準的外國，目前只有歐盟與英國兩個。台灣不在名單上，這一點沒有解釋空間。
→ 第二條路是實務上多數跨國集團走的：與對方簽署包含相當措施的契約，或建立集團內部的拘束性規則，讓對方持續採取相當於日本法要求的措施。走這條路不需要逐一取得本人同意，但第 28 條第 3 項加了一組持續義務——你要採取必要措施確保對方持續實施那些相當措施，並且在本人要求時提供關於那些措施的資訊。也就是說它不是簽完就結束，是一個要維護的狀態。
→ 第三條路是逐一取得同意。這條路看起來最單純，實際上最難維持，理由在下一節。
最反直覺的一點：委外也算
→ 在國內，把個人資料的處理委外給廠商，依第 27 條的規定不構成「第三方提供」，所以不需要本人同意。很多人把這個直覺帶到跨境，認為「我們只是委託母公司處理，不是提供給第三方」。
→ 個人資料保護委員會的問答直接回答了這件事：委託給位於外國的第三方處理個人資料時，一樣要依第 28 條第 1 項取得「認可向外國第三方提供」的本人同意。國內委外的豁免，不會延伸到第 28 條。
→ 所以下面這些常見的「內部作業」，全部落在第 28 條裡：把日本子公司的客戶資料傳回台灣做分析、把日本員工的薪資計算交給台灣的人資系統、把日本的訂單資料同步到台灣的伺服器、讓台灣的工程師遠端連線維護存有日本個資的系統。
→ 這條寫錯的代價很具體：大手企業的採購契約與委託契約幾乎都有個資條款，一旦你這一邊被認定違反日本個資法並被公表，對方是依約終止，不是跟你談。
→ 順帶一提，日本員工的僱用契約書、勞動條件通知書這類文件本身就含有個人資料，而它們同時還受電子帳簿保存法的保存要求管——人事這一塊的資料流，往往是台商日本子公司裡最沒有人在管的一段。人的成本怎麼算在人頭成本那篇，這裡談的是那些資料能不能往台灣送。
走同意這條路，你要揭露三件事——而其中一件你可能拿到過期版本
→ 第 28 條第 2 項要求：要取得同意之前，必須先向本人提供參考資訊。施行規則第 17 條第 2 項把它具體化成三項：
| 要揭露的 | 內容 |
|---|---|
| 一 | 該外國的名稱 |
| 二 | 以適切且合理的方法取得的 該外國個資保護制度資訊 |
| 三 | 該第三方所採取的 個資保護措施資訊 |
→ 第二項是麻煩所在。你要提供的是「台灣的個資保護制度」的資訊，而且取得方法要適切合理。多數人會直接去引用個人資料保護委員會自己公布的外國制度調查——那份台灣報告確實存在，也是最權威的現成材料。
→ 但那份報告的更新日期是令和 4 年 1 月 25 日（2022 年 1 月 25 日），根據的是令和 3 年度的調查。它記載台灣的個人資料保護法是 2012 年 10 月 1 日施行、2016 年 3 月 15 日修正生效，並指出台灣自 2018 年 12 月加入 APEC 的 CBPR 體系，同時標註台灣的制度未涵蓋經濟合作暨發展組織隱私保護原則的第八項（責任義務）。
→ 而台灣端在那之後動過。個人資料保護法修正條文於 2025 年 11 月 11 日經總統公布（立法院同年 10 月 17 日三讀通過），設置個人資料保護委員會作為主管機關，並就資料外洩的通知與通報義務、行政檢查制度做了調整，施行日期由行政院定之，另設有主管機關移轉的過渡安排。
→ 所以會發生一件很尷尬的事：你拿日本官方的台灣制度資訊去向日本的資料主體揭露，揭露的是一份停在 2021 年度調查的版本，而台灣的法在 2025 年底已經公布修正。個人資料保護委員會自己也把那些調查定位成參考性質的補助資料，確認責任在提供方身上。
→ 實務上的處理方式是把兩層都寫進去：引用日本官方調查作為基礎，另外註明該調查的基準時點，並補上台灣端的最新修法狀態與施行狀況。這比只貼一個連結麻煩，但那個麻煩正是條文說的「適切且合理」。
你實際要做的四件事
→ 第一，先盤點資料流向而不是先寫政策。把「日本子公司的哪些資料、以什麼方式、流到台灣的哪一個系統或哪一個人手上」畫出來。遠端連線維護、雲端服務的伺服器所在地、以及台灣同事共用的協作平台，這三項最常被漏掉。
→ 第二，決定每一條資料流走哪一條路。集團內部長期、大量、例行的流動走基準適合體制比較務實；一次性、特定目的、對象明確的流動走同意比較快。混著走是可以的，但每一條流要說得出自己走的是哪一條。
→ 第三，如果走基準適合體制，要把第 28 條第 3 項的持續義務落成具體動作：定期確認對方仍在實施那些措施、留下確認紀錄、以及準備好在本人要求時提供資訊的窗口。簽完契約就收進抽屜，等於沒有建立體制。
→ 第四，別忘了第 29 條的紀錄義務——向第三方提供個人資料時要作成並保存紀錄。這件事和第 28 條是兩條獨立的義務，不會因為你取得了同意就免除。另外，個人資料一旦發生外洩等事態，第 26 條另有向個人資料保護委員會報告與通知本人的義務，那是完全獨立的一條線。
→ 這條線的其他題目在日本商務禮儀習慣全集。
我們沒有查到的兩件事
→ 個人資料保護委員會沒有公表「台商日本子公司因跨境提供被處分」的個案統計，所以這篇不給你被抓的機率，也不引用任何具名個案——查不到可具名引用的公表事例。
→ 台灣 2025 年 11 月公布的個資法修正，施行日期由行政院定之，我們沒有查到已經指定的施行日。所以在你撰寫揭露資訊時，「已公布」與「已施行」要分開寫，不要把公布日當成施行日。
一分鐘收個尾：
| 你可能以為 | 實際上 |
|---|---|
| 傳回自己的母公司算內部作業 | 母公司在條文裡就是外國的第三方 |
| 委外處理不算第三方提供 | 那個豁免不延伸到第 28 條的跨境 |
| 台灣有個資法所以應該算同等水準 | 認定名單目前只有歐盟與英國 |
| 取得同意就結束了 | 同意前要先揭露三件事，事後還有紀錄義務 |
| 引用日本官方的台灣制度資訊最保險 | 那份調查停在 2021 年度，台灣 2025 年底已修法 |
行動：把你們現在從日本流向台灣的資料列成一張表，每一列只回答三個問題——是不是個人資料、走的是哪一條路、以及那條路的維護動作由誰負責。答不出第三欄的那幾列，就是你目前真正的缺口。
先問你：你公司裡有沒有人能說出，日本員工的薪資資料現在存在哪一台伺服器上、在哪一個國家？
讀者來信：三個你大概最想問的問題
我們只是讓台灣的工程師遠端連進日本的系統看資料，沒有複製出來，這樣也算提供嗎？
作者： 這是實務上最常爭的一種形態，而且答案取決於細節，不是一句話能定的。可以先用兩個問題自我判斷：對方能不能實際取得並利用那些個人資料（能看到內容通常就已經構成取得），以及那台伺服器與那份資料的管理權在誰手上。單純的畫面瀏覽與可下載、可查詢、可匯出，在風險上不是同一件事。實務上比較安全的作法不是去論證「這不算提供」，而是把它當成提供來設計——因為就算你論證成功，第 28 條之外還有安全管理措施的要求，其中包含要掌握資料所在的外部環境。也就是說，繞過第 28 條並不會讓你回到零義務的狀態。打個比方：這像把東西放在別人家的保險箱裡，你說東西沒搬走，但鑰匙已經有兩把了。
我們用的是日本廠商的雲端服務，資料存在哪裡我們也不知道，這樣怎麼辦？
作者： 先去問，而且要書面答覆。這件事有兩層：如果伺服器在日本境內、且服務商只是單純保管而不取用內容，處理起來相對單純；但只要資料實際落在外國，或服務商在外國有能取用的關聯公司，就會回到第 28 條的射程。條文第 2 項還有一個補充規則值得知道——取得同意時若無法特定移轉目的國，可以改為說明「無法特定的理由」與可提供的替代資訊，這代表立法者本來就預期會有查不清楚的情形，但它給的出路是誠實說明，不是省略。所以正確的順序是先問服務商、問不到就把問不到這件事寫進揭露內容。打個比方：這像託運行李，你至少要知道它會經過哪幾個機場。
如果我們什麼都沒做，最壞會發生什麼？
作者： 直接的行政處分是一條線，但對台商而言更現實的是契約那條線。日本大手企業的採購契約、業務委託契約、以及多數的個資處理附約，幾乎都有「遵守個人資料保護法」的條款與違反時的解除權。所以真正的順序通常不是主管機關先找上你，是你的日本客戶在稽核或事故發生時發現這件事，然後依約處理——而依約終止不需要跟你協商。另外要提醒的是，這類問題被發現的時點往往是最糟的時點：對方做供應商稽核、或已經發生資料外洩正在追責的時候。那時候要補文件已經來不及，因為同意必須是事前取得的。打個比方：這像沒保險的車出了事，罰單是小的，賠償才是大的。