個人情報取扱事業者等が法に違反した場合、どのような措置が採られるのでしょうか。
個人情報取扱事業者が個人情報を不適切に取り扱う事例等があったときには、個人情報保護委員会は個人情報取扱事業者に対して、①個人情報の取扱いに関する報告の徴収及び立入検査（法第 146 条第１項）、指導及び助言（第 147 条）、②個人情報取扱事業者が一定の義務に違反した場合における、違反行為を是正するための必要な措置に係る勧告（第 148 条第１項）、命令（第 148条第２項又は第３項）を行う場合があります。このとき、個人情報取扱事業者が、①個人情報保護委員会の命令（第 148 条第２項又は第３項）に違反した場合、②個人情報保護委員会からの報告徴収（第 146 条第１項）に対して、報告をせず又は虚偽報告をした場合、立入検査を拒んだ場合には、個人情報取扱事業者に対して、罰則が科せられることになっています（同法第 178 条・第 182条）。
リスクベース・アプローチによる顧客管理においては、犯収法等の法令に定める取引時確認は、最低限の対応ですので、それに加えて、何らかの追加的措置を講ずることは必然的にあり得るものと考えます。いずれにせよ、各金融機関等には、その規模や特性等に応じて、本ガイドラインの趣旨に沿った適切な対応が求められています。
実務指針１－２で定める「個人データの安全管理に係る取扱規程」は、管理段階ごとに措置内容等を明確化することを求めるものであり、その名称や形式の統一を求めるものではありません。

したがって、個々の規程の構成を実務指針の記載と一致させる必要は必ずしもないほか、管理段階ごとの取扱規程を、業務単位や商品単位ごとのように、実務に即して盛り込むことも可能です。

ただし、その際には、事業者全体として、①実務指針７－１から７－６－１までに定められた事項が管理段階ごとに全て盛り込まれていること、②事業者内の部署や商品ごとに定めた規程において盛り込まない事項がある場合には合理的な理由があること、が求められます。
番号法第 29 条の４の報告対象と、個人情報保護法第 26 条第１項の報告対象はそれぞれ個別に判断するため、双方の報告対象に該当する場合は、双方の法に基づく報告を行う必要があります。この場合、個人情報保護委員会のホームページにおいて双方の法に基づく報告を一括して行うためのフォームを設置していますので、これを利用することが考えられます。（令和４年４月追加）
大学病院（又は大学病院の医師）（注：個人情報保護法の適用に基づきここでは私立大学をいいます。）、その他の学術研究を目的とする機関若しくは団体又はそれらに属する者が学術研究に供する目的で個人情報等を取り扱う場合には、個人情報保護法における個人情報取扱事業者の義務等が課せられないとされています。
委託元の個人情報データベース等を加工・分析等をせずにそのまま利用する場合でも、委託された業務を行うために利用するのであれば「事業の用に供している」ことになり、委託先も個人情報取扱事業者に該当します。
「土地開発公社」は、法第2条第11項第2号の「地方公共団体の機関」に含まれません。なお、土地開発公社が個人情報データベース等を事業の用に供している場合には、個人情報取扱事業者に当たり（法第16条第2項）、個人情報の取扱いについて法第4章の規定を遵守する必要があります。（令和4年4月追加）
個人関連情報取扱事業者は、一般に、提供先の第三者における個人関連情報の取扱いを確認する義務を負うものではありません。しかし、提供先の第三者の事業内容、提供先の第三者との取引状況、提供する個人関連情報の項目、提供先の第三者における個人データの利用状況等の客観的事情に照らし、提供先の第三者が個人関連情報を個人データとして利用することが窺われる場合には、提供先の第三者における個人関連情報の取扱いを確認した上で、「個人データとして取得する」ことが想定されるかどうかを判断する必要があります。
これまで取扱いがなかった商品・サービス等の提供を開始する場合のほか、例えば、国内外の事業を買収することや業務提携等により、新たな商品・サービスの取扱いが発生する場合、直面するリスクが変化することから、営業部門と管理部門とが連携して、事前にマネロン・テロ資金供与リスクを分析・検証することが求められます。これまで取扱いがなかった商品・サービス等の提供を開始する場合として、例えば、金融機関等が顧客に対して法人口座に紐づく入金専用の仮想口座（バーチャル口座）等を提供することを検討している場合に、仮想口座を利用する事業者等の利用目的等を踏まえ、マネロン・テロ資金供与リスクを検証することが考えられます。なお、顧客が仮想口座を介して実質的に第三者の資金を移転させるような場合には、当該利用状況を踏まえたリスク低減措置を講ずることが必要となるものと考えます。また、他業態の事業者と提携して新たな商品・サービスを提供する場合に、例えば、当該他業態の事業者の取引時確認の結果に依拠する場合には、当該他の事業者のマネロン・テロ資金供与リスク管理態勢の有効性を確認することが必要となるものと考えます。さらに、提携先等これらの実質的支配者を含む必要な関係者を確認し、反社会的勢力でないか、あるいは制裁対象者でないかといったことを検証することが必要となるものと考えます。このほか、提携先等がどのようなマネロン・テロ資金供与リスクに直面し、その提携等している業務のリスクに対して、どのようなマネロン・テロ資金供与リスク管理を行っているかを把握し、リスクに応じて継続的にモニタリングすることが考えられます。また、新たな商品・サービス等の提供後に、当該商品・サービス等の内容の変更等により、事前に分析・検証したものと異なるリスクを検知した場合には、リスクの見直しを行った上で、見直し後のリスクを低減させるための措置を講ずる必要があります。当然ながら、提携先等と連携して提供する業務が特定業務（犯収法別表及び同法施行令第６条）に該当する場合には、特定業務に係る取引を行った場合の取引記録等の作成・保存、疑わしい取引の届出を行う義務があり、加えて、取引記録等の保存、疑わしい取引の届出の措置を的確に実施するための態勢整備を行う必要があります（犯収法第 11 条、同法施行規則第 32 条第１項各号参照。）。