ガイダンスｐ２９に記載されている、「医療情報システムの安全管理に関するガイドライン」に基づき安全管理措置を行う際の留意点はあるでしょうか。
「医療情報システムの安全管理に関するガイドライン」は、本ガイダンス（医療・介護関係事業者における個人情報の適切な取扱いに関するガイダン ス）と対になるものですが、個人情報保護は決して情報システムにかかわる対策 だけで達成されるものではありません。したがって、「医療情報システムの安全 管理に関するガイドライン」を使用する場合、情報システムの担当者であっても、本ガイダンスの内容を十分理解し、情報システムにかかわらない部分でも個人 情報保護に関する対策が達成されていることを確認することが必要です。
本ガイドラインに記載のとおり、金融機関等においては、関係法令等を遵守して、確認記録・取引記録等を正確に記録するほか、IT システムを有効に活用する前提として、データを正確に把握・蓄積し、分析可能な形で整理するなど、データの適切な管理を行うことを求めるものです。そのため、例えば、顧客数や取引の数が限定的であり、IT システムを活用する必要がなく、マニュアルで十分管理できる場合等において、確認記録・取引記録をデータベースで管理することまでを求めるものではありません。
医療・介護関係事業者内部の利用であり、利用目的が既に公表されていれば、あらためて本人の同意を得る必要はありません。ただし、公表された利用目的の範囲内であっても、できる限り氏名等を消去するなど、必要最小限の利用とすることが望ましいです。
委託元が法第 20 条が求める水準を超える高い水準の措置を講じている場合に、委託先はこれと同等の措置を講じることまで法により義務付けられるわけではなく、法 律上は、委託先は法第 20 条が求める水準の安全管理措置を講じれば足りると解されます。
個人情報取扱事業者は、外国にある支店や営業所に個人データを取り扱わせる場合、外国において個人データを取り扱うこととなるため、支店等が所在する外国の個人情報の保護に関する制度等を把握した上で、安全管理措置を講じる必要があります。
前者の「受付」が、ガイドラインの「受付」に当たります。 
安全管理措置が必要となる削除情報等に該当する加工の方法に関する情報とは、その情報を用いることによって元の個人情報を復元することができるものです。したがって、例えば、住所を都道府県レベルに加工したことや、年齢を10歳刻みにしたこといった情報などについては、元の個人情報を復元できるものではなく、委託先などに伝えることも可能です。
ご指摘の事情は、マネロン・テロ資金供与リスクを高める一要素になり得るものと考えますが、「自らが定める適切な顧客管理を実施できない」場合に該当するかどうかについては、各金融機関等の方針や顧客のリスク等に応じて、個別具体的に判断されることになります。また、判断に当たっては、マネロン・テロ資金供与対策の名目のみを理由とし、合理的な理由なく謝絶することなく、預金規定等の内容等、顧客との契約関係に照らして、総合的に判断される必要があると考えられます。
規則により禁止していますので、ご理解とご協力をお願いします。