個人データ等の漏えい等が発生した場合、金融機関は個人情報保護委員会又は監督当局に報告する義務を負うか。
金融機関は、個人データ等の漏えい等が発生した場合、以下のとおり、個人情報保護委員会又は監督当局に報告する義務又は努力義務を負います。
自らの会員、顧問先又は事業性融資先等から求めがあった場合には、積極的にご対応いただけますようお願い申し上げます。また、自らの会員、顧問先又は事業性融資先等以外からの申請希望者から事前確認の求めがあった場合についても、可能な範囲でご対応いただけますようお願い申し上げます。なお、申請希望者の求めがあったとしても、自らが事前確認を実施できない旨を説明した上で、事前確認を行わないことを判断しても差し支えありません。その場合、申請希望者に対して、事務局が設置するホームページで他の登録確認機関を検索するか、事務局の相談窓口まで問い合わせるようお伝えください。
開示義務の対象は「保有個人データ」とされていますが、御指摘の場合には、特定の個人情報を検索することができない状態ですので、「個人データ」に該当しません。したがって、開示義務の対象となる「保有個人データ」にも該当しません。そのため、開示の請求に応じる法的義務は課されないと解されます。
まず、「調査」の目的は、調査結果を踏まえて顧客リスク評価を見直すことにより、実効的なリスク低減措置を講ずることにあります。そのため、個別の顧客について、保有している全ての情報を一律に更新することは、必ずしも必要ではなく、同顧客について、リスク管理上必要な情報を調査することが必要となります。調査すべき情報としては、ご指摘の例のほか、顧客のリスクに応じて、例えば、顧客及びその実質的支配者の資産・収入の状況、資金源等が含まれ得るものと考えます。また、申告されている属性から判断した資産・収入に比べて、入出金金額が不自然に高額な場合には、疑わしい取引の届出の対象として検証する仕組みの構築が求められます。いずれにせよ、いかなる項目を調査対象とするかについては、対象となる顧客の顧客リスク評価や取引の特性等に応じて、個別具体的に判断することになりますが、顧客リスク評価に必要な情報を収集するために必要な調査を実施することが求められています。なお、継続的顧客管理における顧客情報の更新については、顧客に対してより一層丁寧な説明を行うことが必要になるものと考えます。
(1) イについては、電子メールなどで加入者のパソコン等に電磁的記録を送信する方法
(2) ロについては、運営管理機関のホームページに電磁的記録を掲載し、それを加入者等がダウンロードできる状態に置く方法となる。
いずれにせよ、「私的年金分野における個人情報保護に関するガイドライン」（平成28年厚生労働省告示第290号）に沿って、実施する必要がある。
個人関連情報取扱事業者は、一般に、提供先の第三者における個人関連情報の取扱いを確認する義務を負うものではありません。しかし、提供先の第三者の事業内容、提供先の第三者との取引状況、提供する個人関連情報の項目、提供先の第三者における個人データの利用状況等の客観的事情に照らし、提供先の第三者が個人関連情報を個人データとして利用することが窺われる場合には、提供先の第三者における個人関連情報の取扱いを確認した上で、「個人データとして取得する」ことが想定されるかどうかを判断する必要があります。
選択できるのは報告の義務がある電気通信事業法第 26 条第１項第１号及び第２号の役務のみとなります。
委託元と委託先の双方が委員会へ報告する義務を負う場合、委託元及び委託先の連名で報告することができます。
金融分野ガイドライン第５条第３項については、機微（センシティブ）情報を、同条第１項に掲げる場合に取得、利用又は第三者提供する場合には、個人情報の保護に関する法令等の規制が前提となることを確認的に規定しているものです。