日本個資法對台灣業者的 3 個重點：日本子公司傳資料回台灣要同意、外洩超過 1,000 人須報告、30 日內提確報

台灣人在日本開公司、做電商或經營民宿，只要蒐集客戶姓名、電話、電子郵件，就是在處理個人資料。客戶名單放在台灣母公司的雲端就好嗎？日本個人情報保護法對「把資料送到外國」有專門規定，而且答案還取決於你在日本設的是子公司還是分公司。本文依個人情報保護委員會（PPC）的「外國にある第三者への提供編」指引、漏洩報告頁面與施行規則整理，查證日 2026-10-19；細節判斷請洽律師或行政書士。

同主題可接著看：外國人在日本設立公司要報外為法嗎？對內直接投資的事後報告 45 日內、指定業種的事前届出。

適用對象：沒有人數門檻

PPC 的 FAQ 說明，只要把個人情報資料庫用於事業，不論資料庫裡的人數多寡，都是個人情報取扱事業者。2017 年 5 月 30 日修法施行前，5,000 人以下的事業者被排除，施行後就不再排除。日本的株式會社與合同會社自設立起就適用，一家只有 10 位客戶的民宿也一樣。

子公司 vs 分公司：誰才是「外國第三者」

法第 28 條規定：個人資料提供給「外國にある第三者」時，除法定例外外，要事先取得本人同意。PPC 指引明寫，日本企業把資料給「外國法人格的現地子公司」才算外國第三者；同一法人格內的移動，例如現地事業所、分公司之間，不算。

對台灣創業者的意義是：

• 若你在日本設的是「分公司」（外國會社登記），它與台灣總公司是同一法人格，總公司本身就是個人情報取扱事業者，資料在內部流動不屬「提供給外國第三者」；但資料放在台灣的伺服器時，仍須掌握該外國的制度並做好安全管理措施（PPC 通則編 10-7「外的環境の把握」，本站未逐條核對）。
• 若你設的是「日本株式會社或合同會社」（子公司），它與台灣母公司是不同法人，把資料傳給台灣母公司，就是第三者提供，適用第 28 條。

傳到台灣要滿足什麼

取得同意前，須告知三項資訊：

1. 該外國的名稱（例如「台灣」，不必是正式國名，但要讓本人合理知道移轉地）。
2. 以適當合理的方法取得的該外國個人資料保護制度資訊。
3. 該第三者所採取的保護措施資訊。

哪些國家算「與日本同等」而不需要同意？指引寫明，目前認定為同等水準的只有歐盟與英國；台灣不在其中。另一條路是對方已建立與日本法「相當措施」的體制，例如母子公司共通適用的內規或隱私政策，並持續確認其落實；指引另列 APEC CBPR 認證也可作為途徑之一。

外洩時的報告義務

PPC 頁面說明，個資外洩（或有疑慮）時，符合以下任一條件須報告：含有要配慮個人情報（病歷、犯罪經歷等）的資料；外洩後可能造成財產損害的資料（例如信用卡號）；不當目的行為所致的外洩（如駭客、員工竊取）；本人人數超過 1,000 人。群發電子郵件時，本該放在 BCC 的收件人誤放 CC 欄，而會員超過 1,000 人，是頁面列出的典型案例。

時限依施行規則第 8 條：知悉事態後要「速やかに」提出速報；知悉日起 30 日內（不當目的的情形為 60 日內）要提出完整報告（確報）。依規則第 7 條第 1 號，含要配慮個人情報的資料若已採高度加密等措施，不屬該號的報告對象；其他類型不因此自動豁免。

修法動向

PPC 網站載明，修正個資法的法案已於 2026 年 7 月 10 日在國會通過，7 月 17 日公布；政令、規則與指引仍在整備。本文依現行指引撰寫，施行日與細則公告後請重新確認。

怎麼做

1. 盤點日本公司取得的個人資料：員工、客戶、訂房者、應徵者。
2. 先判斷自己是子公司還是分公司，只有子公司傳給台灣母公司時才需要第 28 條的同意流程。
3. 在官網或店內公告「利用目的」（客戶服務、寄送商品等），並整理日文版隱私權政策。
4. 若要傳資料給台灣母公司，在同意畫面寫入上述 3 項資訊，並保留同意紀錄。
5. 建立母子公司共通內規，作為「相當措施」的依據，每年確認落實。
6. 建立外洩應變流程：速報、30 日確報、通知本人，並指定負責人。

容易踩雷

• 把台灣的個資法等同於「歐盟或英國」，日本並未把台灣列入同等水準。
• 在日本子公司的服務條款只寫「依總公司規定處理資料」，沒有告知 3 項資訊。
• 群發電子報時把超過 1,000 位會員放在 CC，造成需報告的外洩。
• 只做了速報，卻忘了在 30 日內提出確報。

常見問題

小公司、只有 10 位客戶也要遵守個資法嗎？

是。個人情報取扱事業者沒有人數門檻，只要把個人資料用於事業，就要遵守利用目的公告等基本義務。

台灣算日本個資法上的「同等水準」國家嗎？

不算。指引只寫歐盟與英國，日本子公司傳到台灣須取得同意，或確保對方具備相當措施的體制。

外洩要在幾天內報告？

知悉後速報；確報原則 30 日內，不當目的的外洩為 60 日內。本人超過 1,000 人須報告；含要配慮個人情報等情形，即使人數少也要報告。

來源

• 個人情報保護委員會 外國にある第三者への提供編（2026-10-19 查證）：個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国は、EU及び英国が該当する
• 個人情報保護委員會 漏えい等の対応（2026-10-19 查證）：個人データに係る本人の数が1,000人を超える漏えい等（又はそのおそれ）
• 個人情報保護法施行規則（e-Gov）（2026-10-19 查證）：当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）に
• 個人情報保護委員會 FAQ Q1-50（2026-10-19 查證）：個人情報データベース等を事業の用に供している者であれば、…特定の個人の数の多寡にかかわらず、個人情報取扱事業者に該当します
• 個人情報保護委員會 令和８年 改正個人情報保護法（2026-10-19 查證）：令和８年７月10日の国会において可決、成立し、令和８年７月17日に…公布されました

資訊查核｜最後查證日：2026-10-19｜通則整理，非個案法律或稅務建議；實際規定以官方最新公告為準。

本文由「喵宇宙 Meow Universe」製作，過程使用 AI 工具協助整理與撰稿，未經逐篇人工覆核。