日本公司把客戶資料交給台灣團隊或外包後，要持續做什麼？施行規則第 18 條的定期確認、停止提供與本人可求的 7 項資訊

資料要不要先取得同意、對方屬不屬於指定國或符合基準的體制，是跨境提供的入口問題，現網文章已有整理。本文談入口之後的義務：日本公司已經把客戶資料交給台灣母公司、客服團隊或外包，之後還要持續確認什麼、對方出問題時怎麼辦、本人來問時要答什麼。依 e-Gov 的個人情報保護法第 28 條、施行規則第 18 條與個人情報保護委員會的 FAQ 整理，查證日 2026-11-01；個案請洽日本律師，本文不判斷任何具體資料流是否合法。入口規則見日本個資法對台灣業者的 3 個重點：日本子公司傳資料回台灣要同意、外洩超過 1,000 人須報告、30 日內提確報。

先確認：委託處理也屬第 28 條的範圍

個人情報保護委員會 FAQ（Q&A 12-1）問的是：委託不屬第 27 條第 1 項的第三者提供，那把資料處理委託給外國的第三者，要不要依第 28 條第 1 項取得本人同意？答覆寫明，這點「外国にある第三者に個人データの取扱いを委託する場合も同様です」，也就是委託處理一樣適用同一規則。所以把名單交給台灣的外包客服，與交給台灣母公司，在這一條上並無不同。

第 28 條第 3 項：走體制路線的業者，提供後還有義務

第 28 條第 1 項把「已整備符合規則基準的體制」的外國第三者，排除在要取得同意的對象之外。施行規則第 16 條的基準之一，是提供方與接受方之間以適切且合理的方法，確保接受方處理資料時，實施符合個資法第 4 章第 2 節規定趣旨的措施。

走這條路的業者，依第 28 條第 3 項，要採取「確保對方持續實施相當措施」所必要的措施，並在本人要求時提供有關該必要措施的資訊。施行規則第 18 條把這些措施寫成兩項：

1. 以適切且合理的方法，定期確認對方相當措施的實施狀況，以及可能影響對方實施的該國制度的有無與內容。
2. 對方的實施出現障礙時，採取必要且適切的措施；若已難以確保持續實施，要停止向該對方提供個人資料。

本人來問時：第 18 條第 3 項的 7 項資訊

本人依第 28 條第 3 項提出要求時，業者要遲滯なく提供下列 7 項資訊：

1. 對方整備第 28 條第 1 項所稱體制的方法。
2. 對方實施的相當措施概要。
3. 前述定期確認的頻率與方法。
4. 該外國的名稱。
5. 可能影響對方實施相當措施的該國制度的有無與概要。
6. 對方實施相當措施時有無障礙及其概要。
7. 針對該障礙，業者依第 1 項第 2 款採取的措施概要。

但資訊提供「有明顯妨礙業者業務適當實施之虞」時，可以不提供全部或一部分。決定不提供時，要遲滯なく通知本人其旨，並努力說明理由（第 18 條第 4、5 項）。資訊提供的方式可以是電磁記錄、書面或其他適切方法（第 18 條第 2 項）。

同意路線：取得同意時的資訊提供

不走體制路線、改取得本人同意時，施行規則第 17 條第 2 項要求同意前提供 3 項：該外國的名稱、以適切合理方法取得的該國保護制度資訊、該第三者採取的保護措施資訊；取得同意時還無法特定外國名稱，或無法提供措施資訊時，第 17 條第 3、4 項要求改以「無法特定（無法提供）的旨趣及理由」等資訊代替。

2026 年修法：尚未施行

個人情報保護委員會 2026 年 7 月 17 日公告：個人情報保護法等修正法於 2026 年 7 月 10 日成立，7 月 17 日公布，除一部分外，自公布日起 2 年內由政令訂定日施行。本文講的是目前施行中的第 28 條與施行規則第 16 至 18 條；修法對這些規定有無影響，要等政令與委員會規則公布後再核對。

算例（本站假設，非官方範例）

假設日本公司把 8,000 名會員的訂單資料，交給台灣的客服外包處理，並以合約要求對方依個資法第 4 章第 2 節的趣旨採取措施，走體制路線。公司每年 1 次請對方填寫實施狀況，並查認台灣是否有可能影響對方實施的制度變動；某年對方通報有 1 次存取權限管理缺失，公司要求改善並確認；若改善後仍無法確保持續實施，依第 18 條第 1 項第 2 款，公司要停止提供資料。有會員來問時，公司要在遲滯なく提供上述 7 項資訊，除非有可能明顯妨礙業務適當實施的情形。這個算例中的頻率與情節只示範順序，不代表法定頻率；規則只要求「定期」。

怎麼做

1. 先畫資料流：台灣母公司、外包或雲端各自接收哪些資料，是提供還是委託。
2. 走體制路線時，在合約寫明對方要實施的措施，並約定定期回報與出問題時的通報方式。
3. 建立確認排程：實施狀況與該國制度的變化兩件都要確認並留紀錄；頻率由公司依風險自訂，規則只寫「定期」。
4. 約定中止條款：對方出現障礙或難以持續時，能暫停傳資料。
5. 準備本人詢問的回覆範本，涵蓋上述 7 項；可能不提供的情形，也要有通知本人與說明理由的流程。
6. 外洩時的對應見日本個資外洩後要通知本人與委託方嗎？通知本人寫 5 項、通知委託方寫 9 項，2026 年修法放寬尚未施行；資料若是經網站上的第三方標籤送到海外業者，電氣通信事業法另有外部送信的通知規定，見日本網站放第三方分析或廣告標籤，要依外部送信規律通知嗎？電氣通信事業法第 27 條之 12 的適用範圍，兩者要分開檢查。

容易踩雷

• 只在簽約時寫了措施，之後沒有定期確認：施行規則第 18 條第 1 項第 1 款要求定期確認。
• 只確認對方的措施，不看該國制度：條文要求同時確認可能影響實施的外國制度。
• 對方出問題仍繼續傳資料：難以確保持續實施時，要停止提供。
• 本人來問就一律拒絕：只有「明顯妨礙業務適當實施之虞」時才可不提供，且要通知本人並努力說明理由。

常見問題

委託台灣外包處理個資，也要取得同意或走體制路線嗎？

要。FAQ Q12-1 寫明委託處理外國第三者也適用第 28 條第 1 項的規則。

定期確認要多久一次？

施行規則只寫「定期」，沒有規定頻率；通知本人時要說明確認的頻率與方法（第 3 項第 3 款），頻率由業者自訂。

本人要求資訊，一定要全部提供嗎？

不一定。提供會明顯妨礙業務適當實施時，可以不提供全部或一部分，但要遲滯なく通知本人，並努力說明理由。

來源

• 個人情報の保護に関する法律（e-Gov）（2026-11-01 查證）：あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。
• 個人情報の保護に関する法律施行規則（e-Gov）（2026-11-01 查證）：当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること。
• 個人情報保護委員会：FAQ Q12-1（外国にある第三者への委託）（2026-11-01 查證）：この点は、外国にある第三者に個人データの取扱いを委託する場合も同様です。
• 個人情報保護委員会：「個人情報の保護に関する法律等の一部を改正する法律」の公布について（令和８年７月17日）（2026-11-01 查證）：改正法は、一部を除き、公布日から起算して２年以内で政令で定める日から施行されます。

資訊查核｜最後查證日：2026-11-01｜通則整理，非個案法律或稅務建議；實際規定以官方最新公告為準。

本文由「喵宇宙 Meow Universe」製作，過程使用 AI 工具協助整理與撰稿，未經逐篇人工覆核。