「外的環境の把握」について、外国にある第三者に個人データの取扱いを委託する場合には、当該外国の個人情報の保護に関する制度等を把握する必要がありますか。委託先が外国にある第三者に個人データの取扱いを再委託した場合はどうですか。
個人情報取扱事業者は、外国にある支店や営業所に個人データを取り扱わせる場合、外国において個人データを取り扱うこととなるため、支店等が所在する外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。
個別の事案ごとに判断することとなりますが、提供先の第三者が、提供元の個人関連情報取扱事業者に対して、提供を受けた個人関連情報を個人データとして利用しない旨の誓約書を提出した場合には、通常、提供先の第三者は当該誓約に従って個人関連情報を取り扱うものと考えられるため、原則として、「個人データとして取得する」ことは想定されず、法第31条第１項は適用されないと考えられます。
個人情報取扱事業者が個人情報を不適切に取り扱う事例等があったときには、個人情報保護委員会は個人情報取扱事業者に対して、①個人情報の取扱いに関する報告の徴収及び立入検査（法第 146 条第１項）、指導及び助言（第 147 条）、②個人情報取扱事業者が一定の義務に違反した場合における、違反行為を是正するための必要な措置に係る勧告（第 148 条第１項）、命令（第 148条第２項又は第３項）を行う場合があります。このとき、個人情報取扱事業者が、①個人情報保護委員会の命令（第 148 条第２項又は第３項）に違反した場合、②個人情報保護委員会からの報告徴収（第 146 条第１項）に対して、報告をせず又は虚偽報告をした場合、立入検査を拒んだ場合には、個人情報取扱事業者に対して、罰則が科せられることになっています（同法第 178 条・第 182条）。
１．一般に、海外プロジェクトファイナンス（以下「海外PF」という。）に関するシンジケートローンには、①多額の資金を必要とする特定の事業に対して、複数の金融機関から融資が実行される、②案件の現地での状況の把握、事業の収益性、契約や各国の法制の理解などリスク分析や案件審査において、高度なノウハウが必要となる、といった特色があり、こうした点に留意して融資審査・管理を行う必要があります。２．特に地域銀行が海外PFに参加する場合は、自らのリスク分析能力を不断に高め、適切なリスク管理を行うため、まずは、十分な情報収集が重要となります。情報収集に当たっては、地域銀行自らが、そのリソースの中で最善を尽くすことが求められますが、海外PFについてより知見を有するエージェント行等から可能な限り多くの情報提供（例えば、プロジェクト概要のみならずエージェント行等のリスク分析・評価についての情報提供）を受けることも考えられます。その上で、以下の点について、しっかりと取り組む必要があると考えられます。①（エージェント行等から得た情報も参考にしつつ）当該プロジェクトの中身やリスクを、自ら的確に理解すること。②カントリーリスクや与信集中リスク等を踏まえたストレステスト等を実施し、海外PFのリスクが、自らの財務の健全性へ与える影響を分析すること。③（エージェント行等から得た情報も参考にしつつ）原契約書等の内容について、自ら分析する能力の向上を図ること。３．当局は、海外PFに取り組む金融機関のリスク管理態勢について効果的な検証を実施すべく、より知見を有するエージェント行等における管理手法を参考としつつ、参加行における海外PFのリスク管理態勢について検証を行います。具体的には、①地域銀行が参加する海外PFに関して、エージェント行等を中心に、日頃のモニタリングを通じて定期的に情報を収集します。②地域銀行に対しては、日頃のモニタリングを通じて統合的リスク管理態勢の実態を把握し、必要に応じてターゲット検査を実施することとしております。その際、海外PFに参加する地域銀行に対しては、（ⅰ）どのように情報収集を行い、それを基にどのように海外PFのリスク分析・評価を行っているか、（ⅱ）海外PFのリスクが自らの財務の健全性に与える影響について、どのように分析しているか等、多面的に態勢整備の状況について検証を行います。
番号法は、個人番号関係事務の全部又は一部を第三者に委託することができます。番号法において、労働保険事務組合は、個人番号関係事務の全部又は一部の委託を受けた者（個人番号関係事務実施者）となります。個人番号（マイナンバー）の取扱いについて、雇用保険被保険者資格取得届などの様式へのマイナンバーの記載や本人確認事務については、できるだけ事業主に対応いただくことが望ましいと考えています。しかしながら、番号法に基づき、委託先である労働保険事務組合において事業主と同様の事務を行うためには、① 委託者の事業主自ら果たすべき安全管理措置と同等の措置を講じていること② 再委託の際には最初の委託者の許諾が必要であること③ 書類
・データの削除
・廃棄をする場合、溶解
・焼却等の復元不可能な手段で実施されていること（専門業者に削除
・廃棄を委託した場合には証明書等により確認できること）④安全管理措置を遵守できるための必要な契約が締結されていることが求められます。（ＱＡ３－１１、ＱＡ３－１参照）（「よくある質問（ＦＡＱ）」（Ｑ４－１－４参照）、（Ｑ４－３－５参照）
法第31条第１項は、個人関連情報の第三者提供一般に適用されるものではなく、提供先の第三者が個人関連情報を「個人データとして取得することが想定される」場合に限り適用されます。
本ガイダンスでは、利用目的を院内掲示等により公表するに当たり、個人データの取扱いに係わる業務を委託している場合には、その旨を公表することを求めています（参照：ガイダンス別表２）。具体的には個別の事例に応じて対応が異なりますので、医療・介護関係事業者において検討した上で判断すべきですが、委託する業務の内容により、患者・利用者等の関心が高い分野については、委託先の事業者名をあわせて公表することも考えられます。
個人情報を提供して匿名加工情報の作成を委託した場合には、匿名加工情報の作成は委託先事業者において行われることになりますが、匿名加工情報の作成は委託元事業者と委託先事業者が共同で行っているものと解されますので、法第 36 条の規定は委託元事業者と委託先事業者の双方に課せられると考えられます。ただし、匿名加工情報の作成時の公表については、施行規則第 21 条第２項により委託元事業者において行うものとされ、委託先においての公表は必要ありません。
個人情報取扱事業者は、一定の場合を除き、あらかじめ本人の同意を得ないで、「個人データ」を第三者に提供することを禁じられています（個人情報保護法第 27 条）。