「個人データ」の漏えい等が発生した場合、事実関係及び再発防止策等について、公表すべきか。
個人情報取扱事業者は、個人データの漏えい等が発生した場合、漏えい等事案の内容等に応じて、二次被害の防止、類似事案の発生防止等の観点から、事実関係及び再発防止策等について、速やかに公表することが望ましいと考えられます（通則ガイドライン 3-5-2）。
（個人情報保護法との関係）個人情報保護法第 23 条第１項では、個人データの第三者提供には、原則として本人の同意が必要と規定されています。ただし、例外として「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」に該当する場合には、あらかじめ本人の同意を得ることなく個人データを第三者に提供することができるとされています。上記例外的な場合に該当するか否かは、個別具体的な事例に即して総合的な利益衡量により判断されるところ、「個人情報の保護に関する法律についてのガイドライン（通則編）」３－１－５（２）では、これに該当し得る例示として、「暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、い取引の届出に係る顧客情報・取引情報がこれらの情報に該当する場合には、当該顧客情報・取引情報も上記例外的な場合に該当し得るものと考えますが、例外の要件に該当するか否かは個別具体的な事情に照らして判断していただく必要があります。なお、上記例外的な場合に該当しない個人データについては、本人の同意に基づく提供又は共同利用（同法第 23 条第５項第３号）によることが考えられます。（金融商品取引法との関係）金融商品取引法上、金融商品取引業者等がグループ内において顧客等に関する非公開情報を授受することは原則として制限されていますが、本ガイドラインの【対応が求められる事項】である「マネロン・テロ資金供与対策の実効性確保等のために必要なグループ内での情報共有態勢を整備すること」は、法令遵守のために必要なものであり、こうした制限の適用除外規定（金融商品取引業等に関する内閣府令第 153 条第３項第１号等）に該当するものと考えられます。
個人データの取扱いの委託に当たり、委託先の監督の一環として、委託先の従業員等から守秘義務等に係る誓約書を取得したり、委託先の従業員等の個人情報の提出を求めたりすることも、その手法の一つと考えられますが、これが義務付けられるわけではありません。なお、委託元は、委託先からその従業員等の個人情報又は個人データの提供を受ける場合には、これに伴い必要となる個人情報保護法上の義務（利用目的の通知又は公表等）を果たす必要があります。
個人情報保護法上、個人情報取扱事業者は、開示等の請求等をする者の本人確認方法も含め、本人からの開示等の請求等を受け付ける方法を定めることができるとされています（法第 32 条第１項）。
１．顧客情報管理とは、顧客の情報が漏えい防止の観点等から適切に管理されることをいいます。２．個人情報の管理については、個人情報の保護に関する法律や個人情報の保護に関する法律のガイドライン、金融分野における個人情報保護に関するガイドライン等に基づき、個人情報の適切な管理を行うことは、言うまでもありませんが、検証ポイントにおいて、顧客とは、「預金者等を含めた金融機関の業務の利用者」とあるように、顧客情報管理の対象は個人情報に限らず、法人等の情報も含みます。
法法第 90 条第 1 項は、何人も、自己を本人とする保有個人情報の内容が事実でないと思料するときは、当該保有個人情報の訂正を請求することができることとしているところ、請求者が訂正請求に係る保有個人情報の内容を事実でないと考える根拠を示すことを超えて、当該請求の内容が事実に合致することを証明する資料を提出又は提示しなければならないこととすることは、当該請求者に対して一方的に当該請求の内容が事実に合致することの立証責任を課すこととなり、例えば、当該資料を行政機関等のみが保有している場合などにおいて、訂正請求ができる場合を実質的に制限するものであると考えられます。そのため、訂正請求を行う者に対して、当該資料の提出又は提示を求めることはできません。また、法第 108 条は、訂正の手続に関する事項について、法第 5 章第 4 節の規定に反しない限り、条例で必要な規定を定めることができることとしていますが、訂正請求を行う者に対して、当該請求の内容が事実に合致することを証明する資料の提出又は提示を求めることは、訂正請求ができる場合を実質的に制限するものであるため、訂正の手続に関する事項であるとはいえず、これを認める法施行条例の規定を設けることはできません。
申し訳ありませんが、調査の状況についてはお答えできません。調査着手の有無や具体的内容について明らかにすると、現在行っている調査に支障を生じかねないほか、調査に協力をしていただいた関係者の信頼に反し、将来の調査にも影響を与える可能性があるためです。ご理解とご協力をお願いします。
個人番号関係事務実施者となる労働保険事務組合は、個人番号及び特定個人情報の漏えい、滅失又は毀損の防止等、特定個人情報等の管理のために、必要かつ適切な安全管理措置を講じなければなりません。また、従業員に特定個人情報等を取扱わせるに当たっては、特定個人情報等の安全管理措置が適切に講じられるよう、当該従業員に対する必要かつ適切な監督を行わなければなりません。具体的には、個人番号を取扱う事務の範囲の明確化、特定個人情報等の範囲の明確化及び事務取扱担当者の明確化等、「特定個人情報等の適正な取扱規程」等を整備する必要があります。取扱規程等は、①取得する段階、②利用する段階、③保存する段階、④提供する段階、⑤削除・廃棄を行う段階ごとに、取扱方法、責任者・事務取扱担当者及びその任務等について定めるとともに、「組織的な安全管理措置」「人的安全管理措置」「物理的安全管理措置」「技術的安全管理措置」を織り込むこととなります。安全管理措置の整備に当たっては、番号法及び個人情報保護法等関係法令並びにガイドライン（事業者編）等を遵守しなければなりません。また、特定個人情報を取扱う情報システムを管理する区域と、特定個人情報を取扱う事務を実施する区域を明確にして、物理的な安全措置を講じることとなります。なお、特定個人情報等について情報システムによる管理しない場合（パソコン管理・使用しない等）や、特定個人情報等記載書類について紙による保管をしない場合には、その限度において必要な安全管理措置の対象とはならない部分がありますが、行政機関へ提出までの間、施錠できるキャビネット・書架等に保管するなど、適切な保管措置をすることとなります。（ＱＡ１０～１５参照）
クラウドサービス提供事業者が、特定個人情報を取り扱わないこととなっている場合において、報告対象となる特定個人情報の漏えい等が発生したときには、クラウドサービスを利用する事業者が報告義務を負います。この場合、クラウドサービス提供事業者は、番号法第 29 条の４第１項の報告義務を負いませんが、クラウドサービスを利用する事業者が安全管理措置義務及び同項の報告義務を負っていることを踏まえて、契約等に基づいてクラウドサービスを利用する事業者に対して通知する等、適切な対応を行うことが求められます。（令和４年４月追加）