個人データ等の漏えい等が発生した場合、金融機関は本人に通知する義務を負うか。
金融機関は、個人データ等の漏えい等が発生した場合、以下のとおり、本人に通知等する義務又は努力義務を負います。
個人情報保護法第33条に基づいて開示の請求を行った本人に開示を行う場合は、支払調書等の写しを本人に送付することができます。その際の開示の請求を受け付ける方法として、書面による方法のほか、口頭による方法等を定めることも考えられます。なお、当該支払調書等の写しに本人以外の個人番号が含まれている場合には、本人以外の個人番号を記載しない措置や復元できない程度にマスキングする等の工夫が必要となります。（平成29年5月更新・令和４年４月更新）
国際的租税回避の防止を目的として、銀行等の口座情報を税務当局間で自動的に交換するための国際的な統一基準（以下「共通報告基準」）がOECDにおいて策定されているところであり、交換の対象となる情報にはマイナンバー（個人番号）も含まれています。

そのため、日本と共通報告基準に基づく自動的情報交換が可能な租税条約等がある国・地域(注)に所在する金融機関から、所在地国・地域の法令に基づいて、税務当局へ報告を行うためにマイナンバー（個人番号）の提供を求められることがあります。この場合、当該外国金融機関にマイナンバー（個人番号）を提供することは問題ありません。

 (注) 令和4年9月1日現在、共通報告基準に基づく自動的情報交換の実施に参加する又は今後参加を予定している164カ国・地域（日本を除く。）のうち、日本と共通報告基準に基づく自動的情報交換が可能な租税条約等がある国・地域は※2のとおりです。 

※1 非居住者に係る金融口座情報の自動的交換のための報告制度の導入について（平成28年7月）（PDF/233KB）

 ※2 自動的情報交換の実施時期に関する国際的な状況（令和4年9月1日現在）（PDF/269KB） 

    ※3 AEOI：STATUS OF COMMITMENTS（OECDホームページ内の自動的情報交換の実施時期に関する国際的な状況の一覧へ移動します。）
医療機関等が要配慮個人情報を第三者提供の方法により取得した場合、提供元が個人情報保護法第１７条第２項及び第２３条第１項の規定に基づいて本人から必要な同意（要配慮個人情報の取得及び第三者提供に関する同 意）を取得していることが前提となるため、提供を受けた当該医療機関等が、改めて本人から同法第１７条第２項の規定に基づく同意を得る必要はないものと解されます。（参照：ガイダンスｐ２３）
健保組合が個人データの取扱いを委託している場合において、委託先において個人データの漏えい等が発生した場合には、委託先から速やかに報告を受け、健保組合としても、事業者内における漏えい等事案の発生時の対応と同様に、迅速かつ適切に対応する必要があります。（「問２０２」参照）このため、個人データの取扱いを委託する際には、委託先において個人データの漏えい等が発生した場合における委託先と健保組合との間の報告連絡体制を整備しておくことが必要です。
全額政府出資により設立された公法人であり、民間金融機関では取扱が困難なものに対して、政府に代わって投融資活動を行う政策金融の実施機関です。平成20年10月に、(株)日本政策金融公庫（日本公庫）が設立されたことに伴い、公庫の名称が付されている機関は、現在では、日本公庫と沖縄振興開発金融公庫（沖縄公庫）の2つとなっています。公庫のうち、業務上の現金を国庫に預託する義務を有する公庫については国庫内として取り扱うこととしていますが、平成20年10月以降は国庫預託義務を有する公庫は沖縄公庫のみとなっています。従来、財政資金対民間収支（対民収支）上に「公庫」という項目があり、国庫預託義務を有する中小企業金融公庫、農林漁業金融公庫及び沖縄公庫について、民間との間の受払を計上していました。しかしながら、平成20年10月の日本公庫の設立に伴い中小企業金融公庫と農林漁業金融公庫が廃止されたことから、「公庫」に計上されるのは沖縄公庫のみとなり、「公庫」の受払額の規模も非常に小さくなりました。このため、対民収支の平成21年4月中見込から「公庫」の項目を廃止し、沖縄公庫は「特別会計等」の「その他」に計上することとしました。なお、国庫預託義務を有しない日本公庫については、国庫に準ずるものとして、対民収支上は「調整項目」に計上されています。
金融分野ガイドライン第５条第１項は、機微（センシティブ）情報を「法第２条第３項に定める要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人、国の機関、地方公共団体、法第 76 条第１項各号若しくは施行規則第６条各号に掲げる者により公開されているもの、又は、本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。）」と規定し、その取得、利用又は第三者提供を原則として禁止していますが、同項各号に掲げる事項に該当する場合に限り、これらの行為を行うことができるものとしています。

金融分野ガイドライン第５条第１項第８号は、当該取得、利用又は第三者提供が、①各種法令や社会通念等に照らして「適切な業務運営」と判断されること、②「本人の同意」があること、③「業務遂行上必要な範囲」内であることを要件としています。

例えば、金融機関が保険金の支払いや借り手の与信判断をするために、被保険者や借り手の健康状態に関する情報を各種法令や社会通念等に照らし適切といえる方法で、かつ保険金の支払いや与信判断のために必要な範囲内で、被保険者や借り手から同意を得て取得することが考えられます。反対に、保険金の支払いや借り手の与信判断のために本籍地等に関する情報を取得することは、｢業務遂行上必要な範囲｣内であるとは認められないことから、原則として、取得等を行うことはできないものと考えられます。ただし、業務遂行上、本籍地の取得等の必要性が認められる場合は、例外として本籍地の取得等が認められることもあり得ます。

また、金融機関においては、機微（センシティブ）情報について、金融分野ガイドラインに加え、銀行法等の各業法の施行規則が適用されることに留意する必要があります。
マイナンバーの提供を受ける都度、本人確認を行う必要があります。例えば、従業員からマイナンバーを記載した扶養控除等申告書を毎年提出してもらう場合、本人確認も毎回行う必要があります。ただし、2回目以降の番号確認は、マイナンバーカード、マイナンバーの記載された住民票の写し、通知カード（※）などの提示を受けることが困難であれば、事業者が初回に本人確認を行って取得したマイナンバーの記録と照合する方法でも構いません。 なお、身元確認については、雇用関係にあることなどから本人に相違ないことが明らかに判断できると個人番号利用事務実施者が認めるときは、身元確認のための書類の提示は必要ありません。 ※「通知カード」は2020年5月25日に廃止されますが、通知カードに記載された氏名、住所等が住民票に記載されている事項と一致している場合に限り、引き続き通知カードを番号確認書類として使用できます。 （2020年5月更新）
過失によるマイナンバーや特定個人情報の漏えいの場合、ただちに罰則が適用されるということはありません。ただし、漏えいの様態によっては、個人情報保護委員会から指導・助言や勧告・命令を受ける場合があり、命令に違反した場合には、罰則が適用される可能性があります。 以上は刑事罰の場合ですが、民事の場合は、過失でも損害賠償請求をされる可能性はあります。 （2023年6月更新） 参考 刑法法規の解釈・適用は裁判所や捜査機関の権限となりますので、一般論となりますが、特定個人情報の漏えいが起きた場合に、 マイナンバー法 第48条から第57条にそれぞれ規定する構成要件に該当すれば、処罰される可能性があるところ、これらの罰則は、故意がなければ構成要件を満たしません。 関連リンク