個人情報の処理を外部の業者に委託する場合には、理事会に諮ることとされています（遵守基準）が、理事長の承認とすることができるのでしょうか。また、契約期間の更新や委託金額の変更の場合にも理事会に諮る必要があるのでしょうか。
遵守基準においては、理事会に諮ることとされていますが、緊急やむを得ない場合等にあたっては、理事長の承認にすることが認められます。
「法人役員」については、賃金の決定を含む施設・事業所の経営判断に携わる者を想定しており、例えば、社会福祉法人や学校法人においては、理事、監事及び評議員が該当します。
なお、個人立については法人ではないため、個人事業主は「法人の役員」に該当しません。
既存の個人情報の保護に係る取扱規程等がある場合には、特定個人情報の取扱いを追記することも可能と考えられます。 （2015年9月回答）
「サプライチェーンを通じた温室効果ガス排出量算定に関する基本ガイドライン（ver.2.5）」において、カテゴリ1の対象は以下のように示されています。・自社が購入・取得した原材料、中間製品、最終製品（仕入れ商品を含む）・自社が購入・取得したソフトウェア等のサービス※購入した燃料・エネルギーの採取・製造等に係る排出量はカテゴリ3にて算定します。
※その他、後述するカテゴリ2～8 に含まれるものは算定対象外となります。
※直接調達（事業者の製品の製造に直接関係する物品等）だけではなく、間接調達（事業者の製品の製造に直接関係しない物品・サービス）も含みます。出典：サプライチェーンを通じた温室効果ガス排出量算定に関する基本ガイドライン（ver.2.5）第2部 2.1 【カテゴリ1】購入した製品・サービス購入した製品は、算定事業者の営利活動に関連した物品（メーカー等が製品製造にあたり調達する原材料等、卸売業者や小売業者が仕入れる最終製品等）だけでなく、事務用品、ユニフォーム、社員食堂用の食材等も該当します。購入したサービスは、クリーニング、修理・修繕、外部のレンタルサーバー利用等が該当します。なお、OEMのような製造プロセスの外部委託は、算定事業者が原材料を調達して委託先に供給しているか否かで、考え方が異なります。委託先が原材料を調達して製造を行っている場合、算定事業者はOEM製品という物品を購入していると言えます。一方、算定事業者が原材料を調達して委託先に供給している場合、算定事業者は原材料という物品とOEM製造というサービスを購入していると言えます。
証明規則別表第５号2の規定により、特性試験の試験の一部（輸入業者の場合は全部又は一部）は他の者に委託することが可能です。この場合は、証明規則様式第12号の技術基準適合自己確認の届出書にその旨を記載するとともに、証明規則第39条第4項の規定によりその旨を記録し保存することが求められます。 なお、特性試験のうち、測定器等を使用して試験項目を計測する「試験」の業務は他の者に委託することはできますが、その試験の結果が技術基準に適合するものであるかどうかの「判定」は、製造業者及び輸入業者は、他の者に委託することはできません。自らの能力の下で特性試験の検証を行っていただくのが技術基準適合自己確認制度の趣旨ですので、特性試験の判定業務までを他人に委託することはできません。
個別の事案ごとに判断する必要がありますが、例えば、提供先の外国にある第三者に確認する方法や、提供先の外国にある第三者との間で締結している契約において、当該第三者による個人データの取扱いについて定めている場合に、当該契約を確認する方法等が考えられます。（令和３年９月追加）
施行規則第17条第２項第２号の「外国における個人情報の保護に関する制度に関する情報」は、一般的な注意力をもって「適切かつ合理的な方法」により確認したものである必要がありますが、「適切かつ合理的な方法」により確認を行った「外国における個人情報の保護に関する制度に関する情報」を提供した上で外国にある第三者への個人データの提供を認める旨の本人の同意を取得した後に、当該外国における個人情報の保護に関する制度についての変更があった場合であっても、既に取得された同意の有効性には影響を及ぼさないものと考えられます。
一般的に、外部事業者を利用して、個人情報データベース等に含まれる相手の氏名、住所等宛に荷物等を送付する行為は、委託に該当すると解されます。
個人情報を提供して仮名加工情報の作成を委託した場合においては、委託元と委託先が共同して作成したものとして、削除情報等を共有することは可能です。ただし、削除情報等を取り扱う者の権限を委託元においても明確に定めるなど、委託元も含め施行規則第32条に定める基準に従って適切な安全管理措置を講じる必要があります。