「委託先における個人データ取扱状況の把握」に関して、委託元が委託先に立入検査等を行うことは義務ですか。
法第 22 条に基づく委託先の監督の一環として、委託先における個人データの取扱状況を把握することが必要であり、その手段として、必要に応じて個人データを取り扱う場所に赴くことも考えられますが、これが義務付けられているわけではなく、取扱いを委託する個人データの内容や規模に応じて適切な方法（口頭による確認も含む。）を講じれば足りるものと考えられます。
健保組合は特定保健指導を母体事業所に委託するところ、その利用目的の達成に必要な範囲内において個人データの取扱いを母体事業所に委託することに伴って当該個人データを提供する場合、当該提供先である母体事業所は「第三者」に該当しないため、本人の同意を得る必要はありません（法第 27 条第５項第１号）。
当該事業者が当該契約内容を履行するに当たって個人番号をその内容に含む電子データを取り扱うのかどうかが基準となります。当該事業者が個人番号をその内容に含む電子データを取り扱わない場合には、そもそも、個人番号関係事務又は個人番号利用事務の全部又は一部の委託を受けたとみることはできませんので、番号法上の委託には該当しません。
行政機関等から個人番号利用事務の委託を受けた者は、委託を受けた業務において、行政機関等に求められる安全管理措置を講ずる必要があることから、行政機関等・地方公共団体等編ガイドラインの適用を受けることとしています。
法第 20 条により、個人情報取扱事業者は、取り扱う個人データの安全管理のために必要かつ適切な措置を講じなければなりません。
委託元の個人情報データベース等を加工・分析等をせずにそのまま利用する場合でも、委託された業務を行うために利用するのであれば「事業の用に供している」ことになり、委託先も個人情報取扱事業者に該当します。
コルレス先や委託元金融機関等については、取引開始時に行ったリスク評価に応じた頻度での監視を行い、そこで得られた情報も加味してリスク評価の見直しをすることが求められます。また、マネロン・テロ資金供与リスクの高い取引を把握すること、コルレス先や委託元金融機関等にリスクが高まった具体的な事象等が発生した場合には、これまでの蓄積された情報を活用して、リスク評価の見直しを実施することが求められています。
売買の委託とは、特定、個別の物品等を販売し又は購入することを相手方に委託することをいいます。例えば、自己の名をもって他人のために物品の販売又は買入れをなすことを業とする問屋営業者と販売又は買入れを委託する委託者との間における関係は、売買の委託（委任）に該当します。売買の委託は、もともと委任契約であり、さらに、委託を受けた者（受託者）が別の営業者との間で委託を受けた物品等の売買を行うときには、これは売買の委託ではなく売買になります。なお、証券会社等と顧客との間で有価証券又は商品の売買に関する2以上の取引を継続して委託するための契約書については、令第26条第4号で判断することになります。ご質問の「問屋契約書」は、絹織物の販売を問屋に継続的に委託する契約書であり、2以上の取引に共通して適用される取引条件のうち、目的物の種類、取扱数量、対価の支払方法を定めるものですので第7号文書（継続的取引の基本となる契約書）に該当します。
【関係法令通達】 印紙税法施行令第26条
クラウドサービス提供事業者が、個人データを取り扱わないこととなっている場合において、報告対象となる個人データの漏えい等が発生したときには、クラウドサービスを利用する事業者が報告義務を負います。この場合、クラウドサービス提供事業者は、法第26条第１項の報告義務を負いませんが、クラウドサービスを利用する事業者が安全管理措置義務及び同項の報告義務を負っていることを踏まえて、契約等に基づいてクラウドサービスを利用する事業者に対して通知する等、適切な対応を行うことが求められます。