顧客から提出された書類と「個人データ」について、
① 「個人データ」とは、「個人情報データベース等を構成する個人情報」をいいます（個人情報保護法第16 条第３項）。データベース化されていない個人情報は、たとえ通常データベース管理される性質のもので、かつ、これからデータベース化される予定であったとしても、「個人データ」には当たりません。
② また、記載されている情報がデータベース化され、「個人データ」となったとしても、契約書等の書類そのものは、「個人情報データベース等を構成する」とは言えないため、「個人データ」には該当しません。
もっとも、当該契約書等が、ファイリングされるなどして、それ自体「特定の個人情報を容易に検索することができるよう体系的に構成したものであって、目次、索引、符号等により一般的に容易に検索可能な状態に置かれている」と言える場合には、当該契約書等は「個人情報データベース等を構成する」と言え、「個人データ」に該当します。
③ また、「個人情報データベース等」から紙面に出力されたものやそのコピーは、それ自体が容易に検索可能な形で体系的に整理された一部でなくとも、「個人データ」の「取扱い」の結果であり、個人情報保護法上の様々な規制がかかります。
「個人情報データベース等」から紙にメモするなどして取り出された情報についても、同様に「個人データ」に該当します。

なお、その出力されたものやそのコピーが、委託先や第三者に提供された場合は、当該委託先や第三者にとっては、（その出力されたものやコピーが容易に検索可能な形で体系的に整理されない限り）当該情報は「個人データ」には該当しないと考えられます。ただし、委託元や第三者提供元にとっては、それらを委託・提供する行為は「個人データ」の「取扱い」であり、個人情報保護法上の様々な規制がかかります。
一つの事務室で事務を行っている場合を想定すると、例えば、来客スペースから特定個人情報等に係る書類やパソコンの画面が見えないよう各種の工夫をすることが考えられます。盗難防止については、留守にする際には確実にドアに施錠をする、特定個人情報等を取り扱う機器、電子媒体や個人番号が記載された書類等は、施錠できるキャビネット、引出等に収納し、使用しないときには施錠しておくなど盗まれないように保管することは、他の重要な書類等と同様です。（平成27年8月追加）
金融機関等の規模・特性や業務実態等に照らしたリスク評価を踏まえ、リスクが限定されるといえる場合には、組合員と非組合員、法人と個人、生活口座として利用する顧客とそれ以外の目的で口座を利用する顧客といった観点で類型化し顧客リスク評価を行うことが可能である場合も考えられます。例えば、金融機関等の業務内容からしてリスクが低い特性を有し、顧客が会員・組合員に限定されていて、担当者が各顧客の実態について適切に把握できるのであれば、「顧客の類型」に依拠した顧客リスク評価も妥当であると考えられます。
国内外の制裁に係る法規制等の遵守については、例えば、国際連合安全保障理事会（以下「国連安保理」といいます。）決議等で指定される経済制裁対象者については、外国為替及び外国貿易法第 16 条及び第 21 条等に基づき、同決議等を踏まえた外務省告示が発出された場合に、直ちに該当する経済制裁対象者との取引がないことを確認し、取引がある場合には資産凍結等の措置を講ずるものとされています。さらに、国際的な基準等（注）を踏まえると、外務省告示の発出前においても、国連安保理決議で経済制裁対象者が追加されたり、同対象者の情報が変更されたりした場合には、遅滞なく自らの制裁リストを更新して顧客等の氏名等と照合するとともに、制裁リストに該当する顧客等が認められる場合には、より厳格な顧客管理を行い、同名異人か本人かを見極めるなどの適切かつ慎重な対応が必要と考えています。さらに、国連安保理における決議を経ることなく、特定の国・地域から特定の国・地域に対して経済制裁が行われることもあり得るため、取引に関係する者や物品・サービスが特定の国・地域の制裁対象に関係していないか、慎重な確認が必要となる場合もあることに留意が必要であるものと考えます。したがって、このような対応を確実に実施するために必要なデータベースやシステム等の整備、人材の確保、資金の手当てを、直面しているリスクに応じて実施していただくことが重要であると考えています。なお、昨今、データ復旧等に身代金を要求するランサムウェアの感染被害が報告されています。海外ではランサムウェアの身代金がテロ資金等に悪用される可能性もあると指摘されており、米国においては、金融機関等に向けて、ランサムウェアの身代金の支払いへの関与には制裁リスクがあるという点について注意喚起の勧告も出されました。サイバー空間には国境がないことから、このような身代金の支払いに金融機関等が利用されてはならず、顧客の送金について、この種のテロ資金供与リスクがあることも留意する必要があります。（注）FATF においては、テロ資金供与や大量破壊兵器の拡散に関する金融制裁として、国連安保理により制裁対象として指定された個人・団体が保有する資金・資産を遅滞なく凍結することを求めております。
診療録等に記載された情報は、個人情報取扱事業者である病院が管理しているものであり、これを退職した医師に提供することは、個人データの（事業者である病院から医師個人に対する）第三者提供に該当します。したがって、医師に氏名、住所等を提供する場合には、あらかじめ患者本人の同意を得る必要があり、同意を得た範囲の患者の個人データについては、医師に提供することは可能です。
国税分野の手続において事業者の方が従業員や顧客のマイナンバー（個人番号）を電子メールなどにより電子的に提供を受ける場合には、従業員や顧客に対して一に限り発行したID及びパスワードの入力により、身元確認を行うことができます。  この場合のID及びパスワードは、事業者の方が従業員や顧客に発行する際、番号法や税法などで定めるものと同程度の本人確認書類による本人確認を行っている必要があります。（関係告示はこちら） なお、この場合であっても番号確認は必要になりますのでご留意ください。
「リスクに応じた簡素な顧客管理（SDD）」を行う対象は、一般的に、なりすま しや不正利用等のリスクが低いことが考えられる顧客や口座を想定しています。その上で、以下の点に留意することが必要と考えており、当庁としては、以下の①から⑥及び（注１）から（注３）に即している限り、SDD の対象とすることが可能と考えます。
① 法人及び営業性個人の口座は対象外であること（注１）
② 全ての顧客に対して、具体的・客観的な根拠に基づき、商品・サービス、取引形態、国・地域、顧客属性等に対するマネロン・テロ資金供与リスクの評価結果を総合して顧客リスク評価を実施し、低リスク先顧客の中から SDD 対象顧客を選定すること
③ 定期・随時に有効性が検証されている取引モニタリングを活用して、SDD対象口座の動きが把握され、不正取引等が的確に検知されていること
④ SDD 対象顧客については、本人確認済みであること（注２）
⑤ SDD 対象顧客は、直近１年間において、捜査機関等からの外部照会、疑わしい取引の届出及び口座凍結依頼を受けた実績がないこと
⑥ SDD 対象顧客についても、取引時確認等を実施し、顧客情報が更新された場合には、顧客リスク評価を見直した上で、必要な顧客管理措置を講ずること（注３）
（注１）法人や営業性個人は、取引関係者や親子会社等、関与する者が相当に多いことが一般的であり、法人や営業性個人の行う取引に犯罪収益やテロリストに対する支援金等が含まれる可能性が相応にあるものと考えられるため、SDD 対象とすることは相当ではないと考えます。
（注２）④の「本人確認済み」とは、基本的には、2016 年 10 月の改正犯収法 施行以降に同法に基づく取引時確認を実施したことを意味しています。また、1990 年 10 月１日以降に取引を開始した顧客についても、当時の規制等に沿った手続が確認されれば、「本人確認済み」と整理することは可能であると考えます。一方で、1990 年 10 月１日より前に取引を開始した顧客については、公的又は他の信頼できる証明書類等に基づき、氏名、住所及び生年月日を確認した証跡が存在しない限り、「本人確認済み」と整理することはできないものと考えます。
（注３）⑥については、SDD 対象顧客に対して顧客リスク評価の見直しを実施した場合に、再度SDD 先と整理することを妨げるものではありません。
保険会社が、前の保険契約を締結した際に支払調書作成事務のために提供を受けた個人番号は、後の保険契約に基づく支払調書作成事務のために利用することができると解されますので、保険契約の都度個人番号の提供を求める必要はありません。なお、保険代理店（保険窓販を行う銀行等を含む。）は、個人番号関係事務の委託を受けた保険会社が顧客から既に個人番号の提供を受けているか確認できる手法・システムを構築することが考えられます。
顧客及びその実質的支配者の本人確認事項、取引目的等の調査において、「信頼に足る証跡」を求めているのは、顧客の申告の真正性等にも留意しながら必要な証跡を求める趣旨です。したがって、あらゆる確認事項について一律に書類等の証跡を求めるものではなく、リスクに応じて、顧客の申告内容の真正性を基礎付ける証跡を求めることが必要となるものと考えます。ただし、このような対応を場当たり的に実施するのではなく、事前に基準や方針等を文書化しておくことで、実効性を確保することも必要と考えます。また、犯収法令上定められた項目については、犯収法令上定められた方法、書類に従い確認を行った上で、リスクに応じて、追加的に証跡を取得することについて判断することとなります。