個人データの取扱いが委託される場合、当該個人データは委託元と委託先のどちらの保有個人データとなりますか。
特に定めのない限り、委託元の保有個人データになると考えられますが、具体的には個別の事例ごとに判断することとなります。
クラウドサービスが番号法上の委託に該当しない場合、委託先の監督義務は課されませんが、クラウドサービスを利用する事業者は、自ら果たすべき安全管理措置の一環として、クラウドサービス事業者内にあるデータについて、適切な安全管理措置を講ずる必要があります。
個人情報取扱事業者は、顔識別機能付きカメラシステムにより特定の個人を識別することができるカメラ画像やそこから得られた顔特徴データを取り扱う場合、個人情報を取り扱うことになるため、利用目的をできる限り特定し、当該利用目的の範囲内でカメラ画像や顔特徴データ等を利用しなければなりません。
法第 29 条により、第三者提供に係る記録が義務付けられており、「本人同意、第三者氏名等、本人氏名等」のデータ項目を原則３年間保存することとなります。ただし、以下の場合においては同義務を適用されないことに留意が必要です。
個人情報取扱事業者が、外国にある第三者に個人データを提供する場合には、以下の①から③までのいずれかに該当する場合を除き、法第28条第１項に基づきあらかじめ「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要があります。この点は、外国にある第三者に個人データの取扱いを委託する場合も同様です。
登録通知データは、個人事業者である関与先のマイナンバーカードがなくても、確認することができます。
※ 登録通知データの確認には関与先の利用者識別番号と暗証番号が必要です。
個人情報取扱事業者は、外国（注１）にある第三者に個人データを提供する場合、本人に以下の情報を提供した上で、本人から当該第三者への個人データの提供を認める旨の同意を得る必要があります（個人情報保護法第28条第１項及び第２項並びに個人情報保護法施行規則第17条第２項）。
漏えい等した情報が個人データに該当するかどうかは、当該個人データを漏えい等した個人情報取扱事業者を基準に判断するため、報告対象事態に該当すれば、報告が必要となります。
提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した場合、提供元の個人情報取扱事業者は、当該第三者において当該個人データの取扱いが継続する限り、法第28条第３項に基づく措置等を講ずる必要があり、かかる義務は、提供元の個人情報取扱事業者と当該第三者との間の契約等が解除された場合でも、免除されるものではありません。（令和３年９月追加）