「個人データの取扱状況を確認する手段の整備」に関して、いわゆる「個人情報取扱台帳」のようなものを作成しなければいけませんか。
この項目について、講じていただく必要があるのは、個人データの取扱状況を確認できるように手段を整備することであるため、いわゆる「個人情報取扱台帳」を作成することが義務付けられているわけではありません。
個人データの取扱いの委託に当たり、委託先の監督の一環として、委託先の従業員等から守秘義務等に係る誓約書を取得したり、委託先の従業員等の個人情報の提出を求めたりすることも、その手法の一つと考えられますが、これが義務付けられるわけではありません。なお、委託元は、委託先からその従業員等の個人情報又は個人データの提供を受ける場合には、これに伴い必要となる個人情報保護法上の義務（利用目的の通知又は公表等）を果たす必要があります。
ガイドライン（通則編）で定めている技術的安全管理措置は、情報システムを使用して個人データを取り扱う場合に講じなければならないものであるため、紙でのみ個人情報を管理している場合には、技術的安全管理措置を講じる必要はありません。
個人情報取扱事業者は、個人情報保護法第22条に基づいて、データ内容の正確性の確保に努めることが求められています。したがって、個人番号が変更されたときは本人から事業者に申告するよう周知しておくとともに、一定の期間ごとに個人番号の変更がないか確認することが考えられます。（平成29年5月更新・令和４年４月更新）
個人情報取扱事業者は、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはなりませんが、公衆衛生の向上のために特に必要がある場合であって、本人の同意を得ることが困難であるときには、あらかじめ本人の同意を得ないで、個人データを第三者へ提供することが許容されています（法第27条第１項第３号）。
① 「個人データ」とは、「個人情報データベース等を構成する個人情報」をいいます（個人情報保護法第16 条第３項）。データベース化されていない個人情報は、たとえ通常データベース管理される性質のもので、かつ、これからデータベース化される予定であったとしても、「個人データ」には当たりません。
② また、記載されている情報がデータベース化され、「個人データ」となったとしても、契約書等の書類そのものは、「個人情報データベース等を構成する」とは言えないため、「個人データ」には該当しません。
もっとも、当該契約書等が、ファイリングされるなどして、それ自体「特定の個人情報を容易に検索することができるよう体系的に構成したものであって、目次、索引、符号等により一般的に容易に検索可能な状態に置かれている」と言える場合には、当該契約書等は「個人情報データベース等を構成する」と言え、「個人データ」に該当します。
③ また、「個人情報データベース等」から紙面に出力されたものやそのコピーは、それ自体が容易に検索可能な形で体系的に整理された一部でなくとも、「個人データ」の「取扱い」の結果であり、個人情報保護法上の様々な規制がかかります。
「個人情報データベース等」から紙にメモするなどして取り出された情報についても、同様に「個人データ」に該当します。

なお、その出力されたものやそのコピーが、委託先や第三者に提供された場合は、当該委託先や第三者にとっては、（その出力されたものやコピーが容易に検索可能な形で体系的に整理されない限り）当該情報は「個人データ」には該当しないと考えられます。ただし、委託元や第三者提供元にとっては、それらを委託・提供する行為は「個人データ」の「取扱い」であり、個人情報保護法上の様々な規制がかかります。
事業者における特定個人情報の漏えい事案等が発生した場合の対応について（告示案）が公表され、７，８月パブリックコメントがなされておりますので、そちらを参照としてください。なお、事業者における特定個人情報の漏えい事案等が発生した場合の対応について（告示案）によれば、万が一、情報漏えい等の事案が発生した場合には、次の措置を講じることが望ましいとされています（告示案では、特定個人情報の本人の数が１００人を超える場合には個人情報保護委員会への報告）。
・事業者内部における報告、被害の拡大防止
・事実関係の調査、原因の究明
・影響範囲の特定
・再発防止策の検討
・実施
・影響を受ける可能性のある本人への連絡等
・事実関係、再発防止策等の公表等（「事業者における特定個人情報の漏えい事案等が発生した場合の対応について（案）に関する意見募集について」参照）
本人が第三者に個人情報取扱事業者の取り扱う個人データと同じ内容の情報を詐取されたのみでは、第三者に当該個人情報取扱事業者の取り扱う個人データが漏えいしていないことから、当該個人情報取扱事業者による報告対象にならないと考えられます。
個人データの取扱いの委託（法第27条第５項第１号）において、委託先は、委託に伴って委託元から提供された個人データを、独自に取得した個人データ又は個人関連情報と本人ごとに突合することはできません。