既に個人情報の取扱いに係る基本方針を策定している場合、新たに特定個人情報等に係る基本方針を策定する必要がありますか。それとも、既存の個人情報の取扱いに係る基本方針の一部改正で十分ですか。
特定個人情報等の取扱いに係る基本方針は、既存の個人情報の取扱いに関する基本方針（個人情報保護方針等）を改正する方法又は別に策定する方法いずれでも差し支えありません。
ここでの「当該個人情報を含む個人情報データベース等」とは、当該個人情報取扱事業者が匿名加工情報を作成する際に加工対象とする個人情報データベース等を想定しています。すなわち、匿名加工情報を作成する個人情報取扱事業者が保有する加工とは無関係の個人情報を含む全ての個人情報データベース等の性質を勘案することを求めるものではありません。
個別の事案ごとに判断することとなりますが、例えば、契約に基づき個人関連情報を継続的に提供している場合において、提供先の第三者が契約の定めに反して個人関連情報を個人データとして利用したことが明らかになった場合、提供先の第三者は引き続き個人関連情報を個人データとして利用することが窺われるため、その後の個人関連情報の提供については、提供先の第三者における個人関連情報の取扱いを確認した上で、「個人データとして取得する」ことが想定されるかどうかを判断する必要があります。
特に定めのない限り、委託元の保有個人データになると考えられますが、具体的には個別の事例ごとに判断することとなります。
実務指針１－２で定める「個人データの安全管理に係る取扱規程」は、管理段階ごとに措置内容等を明確化することを求めるものであり、その名称や形式の統一を求めるものではありません。

したがって、個々の規程の構成を実務指針の記載と一致させる必要は必ずしもないほか、管理段階ごとの取扱規程を、業務単位や商品単位ごとのように、実務に即して盛り込むことも可能です。

ただし、その際には、事業者全体として、①実務指針７－１から７－６－１までに定められた事項が管理段階ごとに全て盛り込まれていること、②事業者内の部署や商品ごとに定めた規程において盛り込まない事項がある場合には合理的な理由があること、が求められます。
１．法令等遵守方針とは、取締役会が経営方針に則り定めた法令等遵守に係る基本方針のことです。２．コンプライアンス・マニュアルとは、取締役会が管理者に、法令等遵守方針及び法令等遵守に関する取り決めを明確に定めた内部規程（法令等遵守規程）に沿って策定させた、役職員が遵守すべき法令等の解説、違反行為を発見した場合の対処方法等を具体的に示した手引書のことです。３．コンプライアンス・プログラムとは、取締役会が管理者に、コンプライアンスを実現させるために法令等遵守方針及び法令等遵守規程に沿って策定させた具体的な実践計画（内部規程の整備、職員等の研修計画など）のことです。
リスクの特定・評価・低減のための方針・手続・計画等については、金融機関等において、適切に遵守されることに加え、所管部署等による適切な牽制機能が発揮される必要があり、リスク傾向の変化等が把握された場合や運営上の課題等が認められた場合には、不断に検証を実施し、実効性を確保するよう求めたものとなります。したがって、方針・手続・計画等については、策定されただけでは不十分であって、組織的に、実効性を確保する検証や改善を継続的に実施していく必要があると考えます。
提供先の外国にある第三者が施行規則第16条に定める基準に適合する体制を整備していることを根拠として個人データを提供した場合、提供元の個人情報取扱事業者は、当該第三者において当該個人データの取扱いが継続する限り、法第28条第３項に基づく措置等を講ずる必要があり、かかる義務は、提供元の個人情報取扱事業者と当該第三者との間の契約等が解除された場合でも、免除されるものではありません。（令和３年９月追加）
要配慮個人情報の取得を制限することは、行政機関等において要配慮個人情報の取扱いについて特別の制限を設けていない法の規律に抵触する規律を定めるものであり、個人情報保護やデータ流通について直接影響をあたえる事項に当たります。一方で、法はこのような規律を定めることについて委任規定を置いていません。よって、要配慮個人情報の取得制限を法施行条例で規定することは認められません。