実務指針１－２において整備することが求められている「個人データの安全管理に係る取扱規程」は、各事業者においては「細則」「マニュアル」等、名称や形式を問わないという理解でよいか。また、個々の規程の構成が実務指針と一致せずとも、当該事業者で定めるルール全体として実務指針に規定する措置に対応していれば、事業者全体の「個人データの安全管理に係る取扱規程」として問題ないか。
実務指針１－２で定める「個人データの安全管理に係る取扱規程」は、管理段階ごとに措置内容等を明確化することを求めるものであり、その名称や形式の統一を求めるものではありません。

したがって、個々の規程の構成を実務指針の記載と一致させる必要は必ずしもないほか、管理段階ごとの取扱規程を、業務単位や商品単位ごとのように、実務に即して盛り込むことも可能です。

ただし、その際には、事業者全体として、①実務指針７－１から７－６－１までに定められた事項が管理段階ごとに全て盛り込まれていること、②事業者内の部署や商品ごとに定めた規程において盛り込まない事項がある場合には合理的な理由があること、が求められます。
・　事例1から事例4までについては、照会意見のとおりで差し支えありません。
【関係法令通達】 法人税基本通達2−2−14
１．「本マニュアルにより検査を行うに際しての留意事項」（以下「留意事項」という。）において、金融検査の基本的考え方等については、「金融検査に関する基本指針（金検第369号）」（平成17年７月1日）において示されているところであり、本マニュアルの解釈及び運用は、当該基本指針に基づいて行うとしています。２．当該基本指針の中で、金融検査の使命とは、法令が求める金融機関の業務の健全性及び適切性の確保のため、立入検査の手法を中心に活用しつつ、金融機関の各管理態勢を検証し、その問題点を指摘するとともに、金融機関の認識を確認することと明記しています。３．金融検査の使命を的確に果たすため、５つの基本原則（①利用者視点の原則、②補強性の原則、③効率性の原則、④実効性の原則、⑤プロセス・チェックの原則）に即して検査を実施することとしています。
法第２条に規定する税理士業務に該当する「税務書類の作成」とは、他人の求めに応じ、業として、税務官公署に対する申告等に係る申告書等を自己の判断に基づいて作成することをいいます（問６−１参照）。
　したがって、提出義務者である事業者自身が法定調書などの申告書等の記載事項のうち番号以外の部分を自己の判断に基づき作成したのであれば、個人番号関係事務の受託者が事業者に代わり収集等した番号のみをその法定調書などの申告書等に記入したとしても、法第２条第１項第２号の「税務書類の作成」に該当しません。
【参考法令等】
　法第２条第１項第２号、第52条
　基通２−５
　番号制度概要に関するＦＡＱ（Ｑ３−11）

委託に基づいて個人番号関係事務又は個人番号利用事務を業務として行う事業者は、中小規模事業者に該当しません。委託先における安全管理措置については、委託する事務の内容等に応じて、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行う必要があります。
個人データの第三者提供に当たっては、個人データを保有し、第三者提供を行う個人情報取扱事業者である医療機関が、本人の同意を得る必要があります。このため、民間保険会社から照会があった際に、本人の「同意書」を提出した場合であっても、医療機関は、当該同意書の内容について本人の意思を確認する必要があります。
「リスクに応じた簡素な顧客管理（SDD）」を行う対象は、一般的に、なりすま しや不正利用等のリスクが低いことが考えられる顧客や口座を想定しています。その上で、以下の点に留意することが必要と考えており、当庁としては、以下の①から⑥及び（注１）から（注３）に即している限り、SDD の対象とすることが可能と考えます。
① 法人及び営業性個人の口座は対象外であること（注１）
② 全ての顧客に対して、具体的・客観的な根拠に基づき、商品・サービス、取引形態、国・地域、顧客属性等に対するマネロン・テロ資金供与リスクの評価結果を総合して顧客リスク評価を実施し、低リスク先顧客の中から SDD 対象顧客を選定すること
③ 定期・随時に有効性が検証されている取引モニタリングを活用して、SDD対象口座の動きが把握され、不正取引等が的確に検知されていること
④ SDD 対象顧客については、本人確認済みであること（注２）
⑤ SDD 対象顧客は、直近１年間において、捜査機関等からの外部照会、疑わしい取引の届出及び口座凍結依頼を受けた実績がないこと
⑥ SDD 対象顧客についても、取引時確認等を実施し、顧客情報が更新された場合には、顧客リスク評価を見直した上で、必要な顧客管理措置を講ずること（注３）
（注１）法人や営業性個人は、取引関係者や親子会社等、関与する者が相当に多いことが一般的であり、法人や営業性個人の行う取引に犯罪収益やテロリストに対する支援金等が含まれる可能性が相応にあるものと考えられるため、SDD 対象とすることは相当ではないと考えます。
（注２）④の「本人確認済み」とは、基本的には、2016 年 10 月の改正犯収法 施行以降に同法に基づく取引時確認を実施したことを意味しています。また、1990 年 10 月１日以降に取引を開始した顧客についても、当時の規制等に沿った手続が確認されれば、「本人確認済み」と整理することは可能であると考えます。一方で、1990 年 10 月１日より前に取引を開始した顧客については、公的又は他の信頼できる証明書類等に基づき、氏名、住所及び生年月日を確認した証跡が存在しない限り、「本人確認済み」と整理することはできないものと考えます。
（注３）⑥については、SDD 対象顧客に対して顧客リスク評価の見直しを実施した場合に、再度SDD 先と整理することを妨げるものではありません。
個人情報取扱事業者が個人情報を不適切に取り扱う事例等があったときには、個人情報保護委員会は個人情報取扱事業者に対して、①個人情報の取扱いに関する報告の徴収及び立入検査（法第 146 条第１項）、指導及び助言（第 147 条）、②個人情報取扱事業者が一定の義務に違反した場合における、違反行為を是正するための必要な措置に係る勧告（第 148 条第１項）、命令（第 148条第２項又は第３項）を行う場合があります。このとき、個人情報取扱事業者が、①個人情報保護委員会の命令（第 148 条第２項又は第３項）に違反した場合、②個人情報保護委員会からの報告徴収（第 146 条第１項）に対して、報告をせず又は虚偽報告をした場合、立入検査を拒んだ場合には、個人情報取扱事業者に対して、罰則が科せられることになっています（同法第 178 条・第 182条）。
様式に定めはありません。
ついては、法定の記載項目が網羅されてあれば、自社の様式を用いていただいて構いません。