委託元から個人データの取扱いの委託を受けている場合において、委託元において報告対象となる個人データの漏えい等が発生した場合、委託先は報告義務を負いますか。
委託先が取り扱う個人データの漏えい等が生じていないことから、委託先は報告義務を負わないと考えられます。
通話内容から特定の個人を識別することが可能な場合には個人情報に該当します。個人情報に該当する場合、個人情報取扱事業者は、個人情報保護法上、利用目的を通知又は公表する義務を負いますが、録音していることについて伝える義務までは負いません。（令和４年４月更新）
事業を委託する場合でも、その委託の内容や形態は非常に多岐にわたっており、一概にどちらとはいえません。このため、以下のように整理しております。委託先のB事業者の担当している工程での事業活動をA事業者が管理している(B事業者の化学物質の取扱いについての責任者がA事業者に存在する)場合は、委託している工程を含めてA事業者が全体の排出量等を届け出てください。この場合、その工程で働いているB事業者の従業員はA事業者の従業員とみなされます。
逆に、B事業者の事業活動をB事業者が自ら管理している(B事業者の化学物質の取扱いについての責任者がB事業者自身に存在する)場合は、委託された一部の工程からの排出量等についてはB事業者が、その他のA事業者の持つ工程(A事業者が排出量等を把握)とは別に届出を行ってください。
法第 29 条により、第三者提供に係る記録が義務付けられており、「本人同意、第三者氏名等、本人氏名等」のデータ項目を原則３年間保存することとなります。ただし、以下の場合においては同義務を適用されないことに留意が必要です。
外部事業者に対する委託と整理した上で、委託先である当該外部事業者において提供を受けた個人データを本人ごとに突合して統計情報を作成する場合には、A 社及びB 社においてそれぞれに対する第三者提供に関する本人の同意を取得する等の対応を行う必要があります。
中核機関では事業総括や科学技術コーディネーター等が研究管理に従事される部分については管理が必要であり、その部分については、ガイドラインに基づく体制の整備を行っていただく必要があると考えています。
　また、ガイドラインの報告の対象としては、再委託先までを対象とはしていませんが、中核機関は、文部科学省や科学技術振興機構に対して事業の遂行に全面的に責任を負う立場にありますので、委託先の研究実施機関においてガイドラインの第1節から第7節に規定される、体制整備、報告の提出、文部科学省等の行う現地調査への協力等が行われるようにするとともに、中核機関として行う資金管理等についても遺漏なきようご対応いただきたいと考えます。
本件のような場合は、「合併その他の事由による事業の承継に伴って個人データが提供される場合」（個人情報保護法第２３条第５項第２号） であり、承継先の医療機関は第三者に該当しないので、患者の同意がなくても提供可能です。
（基本的には）改めて委託事業主と「特定個人情報等の取扱い」を追加した労働保険事務等委託書を取り交わすことが考えられます。また、既存の委託書を継続して使用する場合には、当該委託書に加えて、別途、特定個人情報の取扱いに関する事項ついて契約を取り交わす等が考えられます。なお、委託書交付時に事業主に交付している「労働保険事務組合事務処理規約」にマイナンバーの取扱いを追加して再交付しておくことも必要と考えられます。（ＱＡ３－５～７参照）
委託に基づいて個人番号関係事務又は個人番号利用事務を業務として行う事業者は、中小規模事業者に該当しません。委託先における安全管理措置については、委託する事務の内容等に応じて、番号法に基づき委託者自らが果たすべき安全管理措置と同等の措置が講じられるよう必要かつ適切な監督を行う必要があります。