特定個人情報を取り扱う情報システムにクラウドサービス契約のように外部の事業者を活用している場合、番号法上の委託に該当しますか。
当該事業者が当該契約内容を履行するに当たって個人番号をその内容に含む電子データを取り扱うのかどうかが基準となります。当該事業者が個人番号をその内容に含む電子データを取り扱わない場合には、そもそも、個人番号関係事務又は個人番号利用事務の全部又は一部の委託を受けたとみることはできませんので、番号法上の委託には該当しません。
外国にある個人情報取扱事業者が、日本の居住者等の日本国内にある者に対する物品又はサービスの提供に関連して、日本国内にある者を本人とする個人情報を外国において取り扱う場合には、個人情報保護法の域外適用の対象となり、法第23条（安全管理措置）や法第26条（漏えい等の報告等）も適用されます（法第171条）。
本人と同姓同名の人が存在する可能性もありますが、氏名のみであっても、社会通念上、特定の個人を識別することができるものと考えられますので、個人情報に該当すると考えられます。
人事・給与関係業務情報システムのヘルプデスク業務においては、特定の個人のデータ処理に係る問合せなどの事例も含まれているため、必然的に個人情報を含む具体的な事例等についてヘルプデスクシステムへの登録・保管・管理を行うこととなります。このため、すべてのクラウド環境の利用を禁止するものではありませんが、情報セキュリティ対策に特に配慮したヘルプデスクシステムを構築していただく必要があります。
法第 22 条に基づく委託先の監督の一環として、委託先における個人データの取扱状況を把握することが必要であり、その手段として、必要に応じて個人データを取り扱う場所に赴くことも考えられますが、これが義務付けられているわけではなく、取扱いを委託する個人データの内容や規模に応じて適切な方法（口頭による確認も含む。）を講じれば足りるものと考えられます。
個人情報保護法では、個人情報取扱事業者に対する義務等が課せられていますので、個人データの漏えいが発生した場合には、事業者における安全管理措置や従業者への監督が義務が適切に行われていなかったのではないかということで責任を負う可能性があります。
個人情報保護法第17条（利用目的の特定）、同法第21条（取得に際しての利用目的の通知等）は、個人情報取扱事業者が個人情報を取り扱う際に適用があるものです。当該個人情報の取得は当該本人から直接取得する場合に限られず、他人から取得する場合も含まれます。他人から当該本人の個人情報を取得する場合であっても、利用目的の通知等を行わなければなりません。
個人情報取扱事業者が個人情報を不適切に取り扱う事例等があったときには、個人情報保護委員会は個人情報取扱事業者に対して、①個人情報の取扱いに関する報告の徴収及び立入検査（個人情報保護法第４０条第１項）、指導及び助言（同法第４１条）、②個人情報取扱事業者が一定の義務に違反した場合における、違反行為を是正するための必要な措置に係る勧告（同法第４２条第１ 項）、命令（同法第４２条第２項又は第３項）、を行う場合があります。このとき、個人情報取扱事業者が、①個人情報保護委員会の命令（同法第４２条第２項又は第３項）に違反した場合、②個人情報保護委員会からの報告徴収（同法第４ ０条第１項）に対して報告をせず、又は虚偽報告をした場合、立入検査を拒んだ場合には、個人情報取扱事業者に対して罰則が科せられることになっています（同法第８４条・第８５条）。
マイナンバー（個人番号）は番号法に定められた利用範囲を超えて利用することはできないほか、特定個人情報をむやみに提供することもできません。

また、特定個人情報を取り扱う際は、特定個人情報の適切な管理のために必要な措置を講じなければなりません。具体的な措置については、平成26年12月に特定個人情報保護委員会（現：個人情報保護委員会）より「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」が示されていますので、このガイドラインに沿った措置が必要になります。

国税に関する手続において、事業者の方は、従業員や顧客のマイナンバー（個人番号）を記載した書類の作成・保管等を行うことになります。事業者の方は、その取扱方法や事業規模等に合った措置が必要となります。ガイドラインや当該ガイドラインに関するQ＆Aにおいて、それぞれの対応方法が詳しく解説されていますので、ご確認の上、必要な対応を行ってください。

「特定個人情報の適正な取扱いに関するガイドライン」はこちら。（個人情報保護委員会ホームページへ移動します）

特定個人情報の適正な取扱いに関するQ&Aはこちら。（個人情報保護委員会ホームページへ移動します）