国立研究開発法人国立国際医療研究センターの保有する
個人情報の保護に関する規程

平成２２年４月１日規程第４１号
国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程（目的）
第１条 この規程は、デジタル社会の進展に伴い国立研究開発法人国立国際医療研究センター（以下「センター」 という。）において個人情報の利用が著しく拡大していることに鑑み、センターにおける個人情報等の取扱いに関する基本的事項及び行政機関
等匿名加工情報（行政機関等匿名加工情報ファイルを構成するものに限る。）の提供
に関する事項を定めることにより、センターの事務及び事業の適正かつ円滑な運営を図り、並びに個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ 、個人の権利利益を保護することを目的とする。
２ センターにおける個人情報等の取扱いについては、法令に定めるもののほか、この規程に定めるところによる。
（定義）
第２条 この規程における用語の意義については、個人情報の保護に関する法律（平成１５年法律第５７号。以下「個人情報保護法」という。）第２条、第１６条及び第６０条の定めるところによる。
（総括保護管理者）
第３条 センターに総括保護管理者を置き、企画戦略局長をもって充てる。
２ 総括保護管理者は、センターにおける個人情報の管理に関する事務を総括する。
３ 総括保護管理者は、前項に規定する事務のうち、それぞれの部署に関するものについては、次の副総括保護管理者に行わせることができる。
部

署

副総括個人情報保護管理者

研究所

研究所長

臨床研究センター

臨床研究センター長センター病院

センター病院長

国府台病院

国府台病院長国際医療協力局

国際医療協力局長

国立看護大学校

国立看護大学校長

統括事務部

統括事務部長

医療情報基盤センター

医療情報基盤センター長

上記以外

企画戦略局長（主任保護管理者）
第４条 副総括保護管理者はセンターに主任保護管理者を置き、次のとおりそれぞれの役職者をもって充てる。
部

署

主任保護管理者

研究所

副所長、糖尿病研究センター長、肝炎・免疫研究センター長、
メディカルゲノムセンター長、国際ウイルス感染症研究センター長

臨床研究センター

臨床研究統括部長

センター病院

センター副院長、救命救急センター長、エイズ治療・研究開発センター長、国際感染症センター長 人間ドックセンター長、がん総合診療センター長、脳卒中センター長

国府台病院

国府台病院副院長

国際医療協力局

運営企画部長国立看護大学校

事務部長

統括事務部

総務部長

医療情報基盤センタ 医療情報基盤センター副センター長
ー
上記以外
２

企画戦略局長主任保護管理者は、研究所、臨床研究センター、センター病院、国府台病院、国際医療協力局、国立看護大学校、統括事務部及び医療情報基盤センター（以下「研究所等」という。）における個人情報の適切な管理を確保するとともに、個人情報保護に関する事務をつかさどる。

３

個人情報を取り扱う部（部門）、課（科）、室（以下「課等」という。）の長を各課等に保護管理者として置き、各課等における個人情報を適切な管理を確保する任に当たるとともに、個人情報を情報システムで取り扱う場合、保護管理者は、当該情報システムを管理する者と連携して、その適切な管理に当たるものとする。

（保護担当者）
第５条 保護管理者は、当該課等の職員のうちから保護担当者を指名し、複数置くことができる。
２ 保護担当者は保護管理者を補佐し、当該課等における個人情報を管理する事務を担当する。
（報告連絡体制の整備）
第６条 保護管理者は、個人情報を取り扱う者がこの規程等に違反している事実又は兆候を把握した場合の報告連絡体制を整備する。
（監査責任者）
第７条 センターに監査責任者を置き、監査室長をもって充てる。
２ 監査責任者は、センターにおける個人情報の管理の状況を監査する事務を担当する。
（個人情報管理委員会）
第８条 総括保護管理者は、センターにおける個人情報の管理に係る重要事項の決定、連絡調整等を行うため必要があると認めるときは、センター個人情報管理委員会（以下「委員会」という。）を随時に開催するものとする。
２ 委員会に係る事項は、国立研究開発法人国立国際医療研究センター個人情報管理委
員会（平成２４年４月１日規程第２２号）に定める。
（教育研修）
第９条 総括保護管理者は、個人情報の取扱いに従事する役職員に対し、個人情報の取扱いについて理解を深め、個人情報の保護に関する意識の高揚を図るための啓発その他必要な教育研修を行うものとする。
２ 総括保護管理者は、個人情報を取り扱う情報システムの管理に関する事務に従事する役職員に対し、個人情報の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行うものとする。
３ 総括保護管理者は、保護管理者及び個人情報の取扱いに従事する役職員に対し、現場における個人情報の適切な管理のための教育研修を実施するものとする。

４

保護管理者は、当該課等の役職員に対し、個人情報の適切な管理のために、総括保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずるものとする。

（役職員の責務）
第１０条 役職員は、関連する法令、この規程その他の規程等の定め並びに総括保護管理者、副総括保護管理者、主任保護管理者、保護管理者及び保護担当者の指示に従い、個人情報等を取り扱うものとする。
（利用目的の特定）第１１条 役職員は、業務として個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定するものとする。
２ 役職員は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有す
ると合理的に認められる範囲を超えて行ってはならない。
（利用目的による制限）
第１２条 役職員は、あらかじめ本人の同意を得ないで、前条の規定により特定された
利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
２ 役職員は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。
３ 前２項の規定は、次に掲げる場合については、適用しない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害する
おそれ がある場合を除く。）。
（不適正な利用の禁止）

第１３条 役職員は、違法または不当な行為を助長し、又は誘発のおそれがある方法により個人情報を利用してはならない。
（適正な取得）第１４条 役職員は、偽りその他不正の手段により個人情報を取得してはならない。
２ 役職員は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮
個人情報を取得してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個
人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する
目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれが場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
六 当該要配慮個人情報が、本人、国の期間、地方公共団体、学術研究機関等、個人情報保護法第５７条第１項各号に掲げる者その他個人情報の保護に関する法律施行規則（平成２８年個人情報保護施行規則第３号。以下「個人情報保護施行規則」という。）第６条で定める者により公開されている場合
七 その他前各号に掲げる場合に準ずるものとして個人情報の保護に関する法律施行
令（平成１５年政令第５０７号。以下「個人情報保護施行令」という。）第９条で定める場合（取得に際しての利用目的の通知等）
第１４条の２ 役職員は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかにその利用目的を本人に通知し、又は公表するものとする。
２ 役職員は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合、その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ本人に対し、その利用目的を明示するものとする。ただし、人の生命、身体または財産の保護のために緊急に必要がある場合は、
この限りではない。
（データ内容の正確性の確保等）
第１５条 役職員は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めるものとする。
（安全管理措置）第１６条 役職員は、その取扱う個人データの漏えい、滅失又は毀損の防止その他の個
人データの安全な管理のために必要な措置を講じるものとする。
（役職員の監督）第１７条 保護管理者は、その役職員に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該役職員に対する必要かつ適切な監督を行うものとする。
（委託先の監督）第１７条の２ 役職員は、個人データの取扱の全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行うものとする。
（漏えい等の報告等）
第１７条の３ 総括保護管理者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって、個人の権利利益を害するおそれが大きいものとして個人情報保護施行規則第７条で定めるものが生じたときは、個人情報保護施行規則第８条で定めるところにより、当該事態が生じた旨を個人情報保護委
員会に報告するものとする。ただし、センターが、他の個人情報取扱事業者または行政機関等から当該個人データの取扱いの全部または一部の委託を受けた場合であって、個人情報保護施行規則第９条で定めるところにより、当顔事態が生じた旨を当該他の個人情報取扱事業者または行政機関等に通知したときは、この限りではない。
２ 前項に規定する場合には、保護管理者（同項ただし書きの規定による通知をした場
合を除く。）は、本人に対し、個人情報保護施行規則第１０条で定めるところにより、当該事態が生じた旨を通知するものとする。ただし、本人への通知が困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りではない。

（第三者提供の制限）
第１７条の４ 役職員は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
一 法令に基づく場合
二 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれ がある場合を除く。）。
２ 保護管理者は、第三者に提供される個人データについて、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護施行規則第１１条で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。ただし、第三者に提供される個人データが要配慮個人情報又は第１４条第１項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。
一 第三者への提供を行う場合において、センターの名称及び住所並びに保護管理者（以下この条、第１７条の７第１項第１号において同じ。）の氏名
二 第三者への提供の利用目的（利用目的が具体的に分かる内容とすること。）
三 第三者に提供される個人データの項目（具体的に列挙すること。）
四 第三者に提供される個人データの取得の方法
五 第三者への提供の方法
六 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止す
る旨
七 本人の求めを受け付ける方法（例：郵送、メール送信、ホームページ上の指定フォームへの入力 等）
八 その他個人の権利利益を保護するために必要なものとして次に掲げる事項
イ 第三者に提供される個人データの更新の方法
ロ 当該届出に係る個人データの第三者への提供を開始する予定日

３

保護管理者は、前項第１号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく、同項第３号から第５号まで、第７号又は第８号に掲げる事項を変更しようとするときはあらかじめ、その旨について、個人情報保護施行規則第１１条で定めるところにより、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出るものとする。
４ 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
一 センターが利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って委託先に当該個人データが提供される場合
二 合併その他の事由による事業の承継に伴って事業の承継先へ個人データが提供される場合
三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場
合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、
あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
５ 保護管理者は、前項第３号に規定する個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名に変更があったときは遅滞なく、同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ、その旨について、本人に通知し、又は本人が容易に知り得る状態に置くものとする。
（外国にある第三者への提供の制限）
第１７条の５ 保護管理者は、外国（本邦の域外にある国又は地域をいう。以下この条及び第１７条の８第１項第２号において同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護施行規則第１５条で定めるものを除く。以下この条及び同号において同じ。）にある第三者（個人データの取扱いについてセンターが講ずべきこととされている措置に相当する措置（第３項において「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保護施行規則第１６条で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。）に個
人データを提供する場合には、前条第１項各号に掲げる場合を除くほか、あらかじめ外国にある第三者への提供を認める旨の本人の同意を得るものとする。この場合においては、同条の規定は、適用しない。
２ 保護管理者は、前項の規定により本人の同意を得ようとする場合には、個人情報保護施行規則第１７条で定めるところにより、あらかじめ、当該外国における個人情報

の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本
人に参考となるべき情報を当該本人に提供するものとする。
３ 保護管理者は、個人データを外国にある第三者（第１項に規定する体制を整備している者に限る。）に提供した場合には、個人情報保護施行規則第１８条で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供するものとする。
（第三者提供に係る記録の作成等）
第１７条の６ 保護管理者は、個人データを第三者（個人情報保護法第１６条第２項各号に掲げる者を除く。以下この条及び次条（第１７条の８第３項において読み替えて準用する場合を含む。）において同じ。）に提供したときは、個人情報保護施行規則第１９条で定めるところにより、当該個人データを提供した年月日、当該第三者の氏名又は名称その他の個人情報保護施行規則第２０条で定める事項に関する記録を作成す
るものとする。ただし、当該個人データの提供が第１７条の４第１項各号又は第４項各号のいずれか（前条第１項の規定による個人データの提供にあっては、第１７条の４第１項各号のいずれか）に該当する場合は、この限りでない。
２ 保護管理者は、前項の記録を、当該記録を作成した日から個人情報保護施行規則第２１条で定める期間保存するものとする。
（第三者提供を受ける際の確認等）
第１７条の７ 保護管理者は、第三者から個人データの提供を受けるに際しては、個人情報保護施行規則第２２条で定めるところにより、次に掲げる事項の確認を行うものとする。ただし、当該個人データの提供が第１７条の４第１項各号又は第４項各号のいずれかに該当する場合は、この限りでない。
一 当該第三者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名
二 当該第三者による当該個人データの取得の経緯
２ 保護管理者は、前項の規定による確認を行ったときは、個人情報保護施行規則第２３条で定めるところにより、当該個人データの提供を受けた年月日、当該確認に係る事項その他の個人情報保護施行規則第２４条で定める事項に関する記録を作成するものとする。
３ 保護管理者は、前項の記録を、当該記録を作成した日から個人情報保護施行規則第２５条で定める期間保存するものとする。
（個人関連情報の第三者提供の制限等）
第１７条の８ 保護管理者は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。）を個人データとして取得することが想定されるときは、第１７条の４第１項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護施行規則第２６条で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。
一 当該第三者がセンターから個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること
二 外国にある第三者への提供にあっては、前号の本人の同意を得ようとする場合において、個人情報保護施行規則第１７条第１項及び第２項で定めるところにより、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該該本人に提供されていること。
２ 第１７条の５第３項の規定は、前項の規定により役職員が個人関連情報を提供する
場合について準用する。この場合において、同条第３項中「講ずるとともに、本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは、「講じ」と読み替えるものとする。
３ 前条第２項及び第３項までの規定は、第１項の規定により役職員が確認する場合について準用する。この場合において、同条第２項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。
（仮名加工情報の作成等）
第１７条の９ 役職員は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護施行規則第３１条で定める基準に従い、個人情報を加工するものとする。
２ 保護管理者は、管下の役職員が仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第３項において読み替えて準用する第７項において同じ。）を取得したときは、削除情報等の漏えいを防止するために必要なもの
として個人情報保護施行規則第３２条で定める基準に従い、削除情報等の安全管理のための措置を講じるものとする。
３ 役職員は、第１２条の規定にかかわらず、法令に基づく場合を除くほか、第１１条
第１項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。
４ 仮名加工情報についての第１４条の２の規定の適用については、同条第１項及び第３項中「、本人に通知し、又は公表」とあるのは「公表」と、同条第４項第１号から第３号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。

５

役職員は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めるものとする。
６ 役職員は、第１７条の４第１項及び第２項並びに第１７条の５第１項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第１７条の４第４項中「前各項」とあるのは「第１７条の９第６項」と、同項第３号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第５項中「、本人に通知し、又は本人が容易に知り得る状態に置く」とあるのは「公表する」と、第１７条の６第１項ただし書中「第１７条の４第１項各号又は第４項各号のいずれか（前条第１項の規定による個人データの提供にあっては、第２０条第１項各号のいずれか）」とあり、及び第１７条の７第１項ただし書中「第１７条の４第１項各号又は第４項各号のいずれか」とあるのは「法令に基づく場合又は第１７条の４第４項各号のいずれか」とする。
７ 役職員は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。
８ 役職員は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律（平成１４年法律第９９号）第２条第６項に規定する一般信書便事業者若しくは同条第９項に規定する特定信書便事業者による同条第２項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法
であって個人情報保護施行規則第３３条で定めるものをいう。）を用い送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
９ 仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについては、第１２条第２項及び第１７条の３までの規定は、適用しない。
（仮名加工情報の第三者提供の制限等）
第１７条の１０ 役職員は、法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く。次項及び第３項において同じ。）を第三者に提供してはならない。
２ 第１７条の４第４項及び第５項の規定は、仮名加工情報の提供を受ける者について準用する。この場合において、同条第４項中「前各項」とあるのは「第１７条の１０第１項」と、同項第３号中「本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第５項中「、本人に通知し、又は本人が容易に知り得る状態に置く」とあるのは「公表する」と読み替えるものとする。

３

第１６条から第１７条の２まで、第５５条並びに前条第７項及び第８項の規定は、
仮名加工情報の取扱いについて準用する。この場合において、第１６条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第７項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。

（個人情報の提供に係る措置等）
第１７条の１１ 保護管理者は、個人情報保護法の規定に基づき行政機関等以外の者に個人情報を提供する場合には、原則として、提供先における利用目的、利用する業務の根拠法令、利用する記録範囲及び記録項目、利用形態等について書面を取り交わすものとする。
２ 保護管理者は、前項に規定する場合には、安全確保の措置を要求するとともに、必要があると認めるときは、提供前又は随時に実地の調査等を行い、措置状況を確認してその結果を記録するとともに、改善要求等の措置を講じるものとする。
３ 保護管理者は、個人情報保護法の規定に基づき行政機関等に個人情報を提供する場
合において、必要があると認めるときは、前２項に規定する措置を講じるものとする。
（個人情報ファイル簿の作成及び公表）
第１８条 保護管理者は、個人情報保護施行令第２１条第１項から第５項で定めるところにより、センターが保有している個人情報ファイルについて、それぞれ個人情報保護法第７４条第１項第１号から第７号まで、第９号及び第１０号に掲げる事項その他
個人情報保護施行令第２１条第６項で定める事項を記載した帳簿（以下「個人情報フ
ァイル簿」という。）を作成し、作成した個人情報ファイル簿を総務部長に送付するとともに公表するものとする。
２ 前項の規定は、次に掲げる個人情報ファイルについては、適用しない。
一 個人情報保護法第７４条第２項第１号から第１０号までに掲げる個人情報ファイル
二 前項の規定による公表に係る個人情報ファイルに記録されている記録情報の全部又は一部を記録した個人情報ファイルであって、その利用目的、記録項目及び記録範囲が当該公表に係るこれらの事項の範囲内のもの
三 前号に掲げる個人情報ファイルに準ずるものとして個人情報保護施行令第２１条
第７項で定める個人情報ファイル
３ 第１項の規定にかかわらず、保護管理者は、記録項目の一部若しくは個人情報保護法第７４条第１項第５号若しくは第７号に掲げる事項を個人情報ファイル簿に記載し、又は個人情報ファイルを個人情報ファイル簿に掲載することにより、利用目的に係る事務又は事業の性質上、当該事務又は事業の適正な遂行に著しい支障を及ぼすおそれがあると認めるときは、その記録項目の一部若しくは事項を記載せず、又はその個人情報ファイルを個人情報ファイル簿に掲載しないことができる。

４

保護管理者は、個人情報ファイル（第２項各号に掲げるもの及び第３項の規定により個人情報ファイル簿に掲載しないものを除く。以下同じ。）を保有するに至ったと
きは、直ちに、個人情報ファイル簿を作成するものとする。
５ 保護管理者は、個人情報ファイル簿に記載すべき事項に変更があったときは、直ちに、当該個人情報ファイル簿を修正するものとする。
６ 保護管理者は、個人情報ファイル簿に掲載した個人情報ファイルの保有をやめたと
き、又はその個人情報ファイルが個人情報保護法第７４条第２項第９号に該当するに至ったときは、遅滞なく、当該個人情報ファイルについての記載を消除するものとする。
７ 保護管理者は、前２項の規定により個人情報ファイル簿を修正又は消除した場合、その旨を総務部長に報告するものとする。
（個人情報ファイル管理簿の作成）
第１９条 保護管理者は、個人情報を含む文書ファイルについて、それぞれ次の各号に掲げる事項を記載した帳簿を作成するものとする。
一 個人情報ファイルの名称、当該個人情報ファイルの名称を利用する事務を所掌する課等の名称並びに当該個人情報ファイルの名称の管理責任者、記録媒体の種別及び保管場所
二 個人情報ファイルの利用目的
三 個人情報ファイルに記録される項目及び個人の範囲
四 個人情報ファイルに記録される個人情報の収集方法
五 個人情報ファイルに記録される個人情報に要配慮個人情報が含まれるときは、その旨
六 当該個人情報ファイルに関して講じている安全管理措置
七 個人情報をセンター以外の者に経常的に提供する場合には、その提供先
八 当該個人情報ファイルを廃棄する際の廃棄方法
九 その他必要と認められる事項（開示、訂正及び利用停止）
第２０条 センターに対しセンターの保有する自己を本人とする個人情報の開示、訂正
又は利用停止を請求する手続、当該手続を受けてセンターが行う手続等については、
開示等規程の定めるところによる。
（アクセス制限）第２１条 保護管理者は、個人情報の秘匿性等の内容に応じて、当該個人情報にアクセスする権限を有する役職員とその権限の内容を定めるものとする。その権限は当該役職員が業務を行う上で必要最小限の範囲に限るものとする。
２
３

アクセス権限を有しない役職員は、個人情報にアクセスしてはならない。
アクセス権限を有する役職員であっても、業務上の目的以外の目的で個人情報にアクセスしてはならない。

（外部への持ち出し等の制限）第２２条 役職員は、次の各号に掲げる行為を行ってはならない。ただし、やむを得ない事由がある場合であって、事前に別添様式１１を用いて主任保護管理者または保護管理者の許可を受けたときは、この限りでない。
一 個人情報の外部への送信
二 個人情報が記録されている媒体の外部への送付または持ち出し
三 その他個人情報の適切な管理に支障を及ぼす恐れのある行為
２ 主任保護管理者は、個人情報の秘匿性等その内容に応じて、個人情報の複製を行なうことができる場合を限定し、役職員は、主任保護管理者の指示に従い、当該行為を行うものとする。
（誤りの訂正等）
第２３条 役職員は、個人情報の内容に誤り等を発見した場合には、主任保護管理者又は保護管理者の指示に従い、訂正等を行うものとする。
（媒体の管理等）
第２４条 役職員は、保護管理者の指示に従い、個人情報が記録されている媒体を定められた場所に保管するとともに、必要に応じ、耐火金庫等への保管、施錠等を行うも
のとする。
（廃棄等）
第２５条 役職員は、個人情報又は個人情報が記録されている媒体（端末及びサーバに内蔵されているものを含む。）が不要となった場合には、保護管理者の指示に従い、
当該個人情報の復元又は判読が不可能な方法による当該情報の消去又は当該媒体の廃棄を行うものとする。
（廃棄等の業務の委託等）
第２６条 役職員は、前条の規定における廃棄等を外部に委託する場合は、委託事業者との間に機密保持契約を締結するとともに、データ消去の証明書を取得する等、漏えい防止に必要な措置を講じるものとする。

（アクセス制御）第２７条 保護管理者（情報システムを取り扱う保護管理者に限る。以下次条から第４６条において同じ）は、取り扱う個人情報（情報システムで取り扱うものに限る。以
下次条から第４６条（第３６条を除く。）及び次章において同じ。）については、パス
ワード、ＩＣカード、生体情報等（以下「パスワード等」という。）を使用して権限を識別する機能を設定する等のアクセス制御のために必要な措置を講じるものとする。
２ 保護管理者は、前項の措置を講じる場合には、パスワード等の管理に関する定めを整備するとともに、パスワード等の読み取り防止等を行うために必要な措置を講じるものとする。
（アクセス記録）第２８条 保護管理者は、個人情報（特定個人情報を除く。）の秘匿性等その内容に応じて、当該個人情報へのアクセス状況を記録し、その記録（以下「アクセス記録」という。）を一定の期間保存し、及びアクセス記録を定期的に分析するために必要な措置を講じるものとする。
２ 保護管理者は、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講じるものとする。
（アクセス状況の監視）
第２９条 保護管理者は、個人情報の秘匿性等その内容及びその量に応じて、当該個人情報への不適切なアクセスの監視のため、個人情報を含む又は含むおそれがある一定
量以上の情報が情報システムからダウンロードされた場合に警告表示がなされる機能の設定、当該設定の定期的確認等の必要な措置を講じるものとする。
（管理者権限の設定）
第３０条 保護管理者は、個人情報の秘匿性等その内容に応じて、情報システムの管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため、当該特権を最小限とする等の必要な措置を講じるものとする。
（外部からの不正アクセスの防止）
第３１条 保護管理者は、個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォールの設定によるネットワーク経路制御等の必要な措置を講じるものとする。
（不正プログラムによる漏えい等の防止）

第３２条 保護管理者は、不正プログラムによる個人情報の漏えい、滅失又は毀損の防止のため、ソフトウエアに関する公開された脆弱性の解消、把握された不正プログラ
ムの感染防止等に必要な措置（導入したソフトウエアを常に最新の状態に保つことを含む。）を講じるものとする。
（情報システムにおける個人情報の処理）
第３３条 役職員は、個人情報について、一時的に加工等の処理を行うため複製等を行う場合には、その対象を必要最小限に限り、一時的に加工等の処理を行うため複製等を行う場合には、その対象を必要最小限に限り、処理終了後は不要となった情報を速やかに消去するものとする。
２ 保護管理者は、前項の個人情報の秘匿性等その内容に応じて、随時、消去等の実施
状況を重点的に確認するものとする。
（暗号化）
第３４条 保護管理者は、個人情報の秘匿性等その内容に応じて、その暗号化のために必要な措置を講じるものとする。
２ 役職員は、その処理する個人情報について当該個人情報の秘匿性等その内容に応じて、適切に暗号化（適切なパスワードの選択、パスワードの漏えい防止の措置等を含む。）を行うものとする。
（情報システム端末等の取扱いについて）
第３５条 情報システム端末等の取扱いについては、センター病院情報システム運用管理規程第１５条に定めるものとする。
（入力情報の照合等）
第３６条 役職員は、情報システムで取り扱う個人情報の重要度に応じて、入力原票と入力内容との照合、処理前後の当該個人情報の内容の確認、既存の個人情報との照合等を行うものとする。
（バックアップ）
第３７条 保護管理者は、保有個人情報の重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講じるものとする。
（情報システム設計書等の管理）第３８条 保護管理者は、個人情報に係る情報システムの設計書、仕様書、ネットワー
ク構成図等の文書について漏えい等が行われないよう、その保管、複製、廃棄等について必要な措置を講じるものとする。

（情報システム端末等の限定）
第３９条 保護管理者は、個人情報の秘匿性等その内容に応じて、その処理を行う情報システム端末等を限定するために必要な措置を講じるものとする。
（情報システム端末等の盗難防止等）
第４０条 保護管理者は、端末の盗難又は紛失の防止のため、情報システム端末等の固定、執務室の施錠等の必要な措置を講じるものとする。
２ 役職員は、端末を外部へ持ち出し、又は外部から持ち込んではならない。ただし、保護管理者の指示に従い、業務の必要最小限の範囲において行うときはこの限りではない。
３ 役職員は、前項の規定に基づき、端末を外部へ持ち出したときは、紛失による漏えい等が行われないよう取扱いに注意するものとする。
（第三者の閲覧防止）
第４１条 役職員は、情報システム端末等の使用に当たっては、個人情報が第三者に閲覧されることがないよう、使用状況に応じて情報システムからログオフを行うことを徹底する等の必要な措置を講じるものとする。
（記録機能を有する機器・媒体の接続制限）
第４２条 保護管理者は、個人情報の秘匿性等その内容に応じて、当該個人情報の漏えい、滅失又は毀損の防止のため、スマートフォン、ＵＳＢメモリ等の記録機能を有する機器・媒体の情報システム端末等への接続の制限（当該機器の更新への対応を含
む。）等の必要な措置を講じるものとする。
（入退管理）
第４３条 保護管理者は、個人情報を取り扱う基幹的なサーバ等の機器を設置する室その他の区域（以下「情報システム室等」という。）に立ち入る権限を有する者を定めるとともに、用件の確認、入退の記録、部外者について識別できるようにすること、部外者が立ち入る場合の職員の立会い又は監視設備による監視、外部電磁的記録媒体
等の持込み、利用及び持ち出しの制限又は検査等の措置を講じるものとする。また、個人情報を記録する媒体を保管するための施設（以下「保管施設」という。）を設けている場合においても、必要があると認めるときは、同様の措置を講じるものとする。
２ 保護管理者は、必要があると認めるときは、情報システム室等の出入口を特定して入退の管理を容易にすることや所在表示の制限等の措置を講じるものとする。
３ 保護管理者は、情報システム室等及び保管施設の入退の管理について、必要があると認めるときは、立入りに係る認証機能を設定し、及びパスワード等の管理に関する定めの整備（その定期又は随時の見直しを含む。）、パスワード等の読取防止等を行うために必要な措置を講じるものとする。
（情報システム室等の管理）第４４条 保護管理者は、外部からの不正な侵入に備え、情報システム室等への施錠装
置、警報装置、監視設備等の設置等の措置を講じるものとする。
２ 保護管理者は、災害等に備え、情報システム室等に、耐震、防火、防煙、防水等の必要な措置を講じるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講じるものとする。
（保管施設の管理）第４５条 保護管理者は、個人情報を記録する電磁的記録媒体を保管するための施設を設けている場合において、必要があると認めるときは、前２条に規定する措置に準じて、所要の措置を講じるものとする。
（執務室等に設置する場合の特例）
第４６条 保護管理者は、情報システム室等について、専用の部屋を確保するのが困難である等の理由により執務室内にサーバ等を設置する場合において、必要があると認めるときは、第４３条から第４５条に規定する措置に準じて、所要の措置を講じるものとする。
（特定個人情報の取扱い）
第４７条 センターは、番号法で定めるもののほか、特定個人情報の取扱いを別に定めるものとする。
（業務の委託等）
第４８条 役職員は、個人情報の取扱いに係る業務を外部に委託する場合には、個人情報の適切な管理を行う能力を有しない者を選定してはならない。
２ 役職員は、前項の場合においては、契約書に、次に掲げる事項並びに規程及びその他のセンターにおける個人情報の取扱いに関する取り決めを遵守する旨を明記するとともに、委託先における責任者及び業務従事者の管理及び実施体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認するものとする。
一 個人情報に関する秘密保持、目的外利用の禁止等の義務
二 再委託の制限又は事前承認等再委託に係る条件に関する事項
三 個人情報の複製等の制限に関する事項
四 個人情報の漏えい等の事案の発生時における対応に関する事項
五 委託終了時における個人情報の消去及び媒体の返却に関する事項
六 違反した場合における契約解除、損害賠償責任その他必要な事項

３

個人情報の取扱いに係る業務を外部に委託する場合には、役職員は委託する個人情報の秘匿性等その内容に応じて、委託先における個人情報の管理の状況について、年１回以上の定期的検査等により確認するものとする。
４ 委託先において、保有個人情報の取扱いに係る業務が再委託される場合には、委託先に第１項の措置を講じさせるとともに、再委託される業務に係る保有個人情報の秘匿性等その内容に応じて、委託先を通じて又は委託元自らが第２項の措置を実施する。保有個人情報の取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。
５ 役職員は、個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記するものとする。
６ 保護管理者及び保護担当者は、前５項に規定する事項について、役職員に必要な指示及び助言を行うものとする。
（安全確保上の問題への対応）
第４９条 個人情報の漏えい等安全確保の上で問題となる事案又は問題となる事案の発生のおそれを認識した場合に、その事案等を認識した役職員は、直ちに当該個人情報を管理する保護管理者に報告するものとする。
２

前項の報告を受けた保護管理者は、被害の拡大防止又は復旧等のために必要な措置を速やかに講じるものとする。ただし、外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のＬＡＮケーブルを抜くなど、被害拡大防止のため直ちに行い得る措置については、直ちに行う（役職員に行わせることを含む。）ものとする。

３

第１項の報告を受けた保護管理者は、様式１により直ちに総括保護管理者に報告し、その後事案の発生した経緯、被害状況等を調査し、判明次第追加して様式２により報告するものとする。

４

総括保護管理者は、前項の報告を受けた場合には、事案の内容等に応じて、当該事案の内容、経緯、被害状況等を理事長に速やかに報告するものとする。

５

総括保護管理者は、事案の内容等に応じて、事案の内容、経緯、被害状況等について、厚生労働省に対し、速やかに情報提供を行う。

６

保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講じるものとする。

（行政機関等匿名加工情報の作成及び提供等）
第５０条 役職員は、第５０条から第５０条の１５までの規定に従い、行政機関等匿名加工情報（行政機関等匿名加工情報ファイルを構成するものに限る。以下第５０条から第５０条の１６までにおいて同じ。）を作成することができる。
２ 役職員は、次の各号のいずれかに該当する場合を除き、行政機関等匿名加工情報を提供してはならない。

一
二

法令に基づく場合（第５０条から第５０条の１６の規定に従う場合を含む。）
個人情報を利用目的のために第三者に提供することができる場合において、当該個人情報を加工して作成した行政機関等匿名加工情報を当該第三者に提供するとき。
３ 役職員は、法令に基づく場合を除き、利用目的以外の目的のために削除情報（ただし、行政機関等匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識
別符号をいう。個人情報に該当するものに限る。）を自ら利用し、又は提供してはならない。
（提案の募集に関する事項の個人情報ファイル簿への記載）
第５０条の２ 保護管理者は、センターが保有している個人情報ファイルが個人情報保護法第６０条第３項各号のいずれにも該当すると認めるときは、当該個人情報ファ
イルについては、個人情報ファイル簿に次に掲げる事項を記載するものとする。この場合における当該個人情報ファイルについての第１８条第１項の規定の適用については、同項中「第１０号」とあるのは、「第１０号並びに第５０条の２各号」とする。
一 第５０条の４第１項の提案の募集をする個人情報ファイルである旨
二 第５０条の４第１項の提案を受けるセンターの名称及び所在地（提案の募集）第５０条の３ 保護管理者は、個人情報保護施行規則第５３条で定めるところにより、定期的に、保有している個人情報ファイル（個人情報ファイル簿に前条第１号に掲げる事項の記載があるものに限る。第５０条から第５０条の１５までにおいて同じ。）
について、次条第１項の提案を募集するものとする。
（行政機関等匿名加工情報をその用に供して行う事業に関する提案）
第５０条の４ 前条の規定による募集に応じて個人情報ファイルを構成する個人情報を加工して作成する行政機関等匿名加工情報をその事業の用に供しようとする者は、
当該行政機関等匿名加工情報を保有するセンターに対し、当該事業に関する提案をすることができる。
２ 前項の提案は、次に掲げる事項を記載した様式３を、当該行政機関等匿名加工情報を有するセンターに提出しなければならない。代理人によって提案をする場合にあっては、様式３に当該代理人の権限を証する書面を添え行うものとする。
一 提案をする者の氏名又は名称及び住所又は居所並びに法人その他の団体にあっては、その代表者の氏名
二 提案に係る個人情報ファイルの名称
三 提案に係る行政機関等匿名加工情報の本人の数四前号に掲げるもののほか、提案に係る行政機関等匿名加工情報の作成に用いる第５０条の８第１項の規定による加工の方法を特定するに足りる事項
五 提案に係る行政機関等匿名加工情報の利用の目的及び方法その他当該行政機関等
匿名加工情報がその用に供される事業の内容
六 提案に係る行政機関等匿名加工情報を前号の事業の用に供しようとする期間
七 提案に係る行政機関等匿名加工情報の漏えいの防止その他当該行政機関等匿名加
工情報の適切な管理のために講じる措置
八 前各号に掲げるもののほか、個人情報保護施行規則第５４条第３項で定める事項
３ 前項の様式３には、次に掲げる書面その他個人情報保護施行規則第５４条第４項で定める書類を添付しなければならない。
一 第１項の提案をする者が次条各号のいずれにも該当しないことを誓約する書面（様式４（第５０条の１０第２項で準用する場合を含む。）
二 前項第５号の事業が新たな産業の創出又は活力ある経済社会若しくは豊かな国民生活の実現に資するものであることを明らかにする書面
４ 前項の規定は、代理人によって第１項の提案をする場合に準用する。この場合において、個人情報保護施行規則第５４条第４項第１号から第３号までの規定中「提案をする者」とあるのは「代理人」と読み替えるものとする。
５ 保護管理者は、第２項の規定により提出された書面又は第３項の規定により添付された書類に不備があり、又はこれらに記載すべき事項の記載が不十分であると認めるときは、第１項の提案をした者又は代理人に対して、説明を求め、又は当該書面若しくは書類の訂正を求めることができる。
（欠格事由）
第５０条の５ 次の各号のいずれかに該当する者は、前条第１項の提案をすることができない。
一 未成年者
二 心身の故障により前条第１項の提案に係る行政機関等匿名加工情報をその用に供して行う事業を適正に行うことができない者として個人情報保護施行規則第５５条
で定めるもの
三 破産手続開始の決定を受けて復権を得ない者
四 禁錮以上の刑に処せられ、又は個人情報保護法の規定により刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から起算して２年を経過しない者
五 第５０条の１２の規定により行政機関等匿名加工情報の利用に関する契約を解除され、その解除の日から起算して２年を経過しない者
六 法人その他の団体であって、その役員のうちに前各号のいずれかに該当する者があるもの（提案の審査等）

第５０条の６ 保護管理者は、第５０条の４第１項の提案があったときは、当該提案が次に掲げる基準に適合するかどうかを担当の役職員に審査させるものとする。
一 第５０条の４第１項の提案をした者が前条各号のいずれにも該当しないこと。
二 第５０条の４第２項第３号の提案に係る行政機関等匿名加工情報の本人の数が、行政機関等匿名加工情報の効果的な活用の観点からみて個人情報保護施行規則第５６条で定める数以上であり、かつ、提案に係る個人情報ファイルを構成する個人情報の本人の数以下であること。
三 第５０条の４第２項第３号及び第４号に掲げる事項により特定される加工の方法
が第５０条の８第１項の基準に適合するものであること。
四 第５０条の４第２項第５号の事業が新たな産業の創出又は活力ある経済社会若し
くは豊かな国民生活の実現に資するものであること。
五 第５０条の４第２項第６号の期間が行政機関等匿名加工情報の効果的な活用の観点からみて個人情報保護施行規則第５７条で定める期間を超えないものであること。
六第５０条の４第２項第５号の提案に係る行政機関等匿名加工情報の利用の目的及び方法並びに同項第７号の措置が当該行政機関等匿名加工情報の本人の権利利益を保護するために適切なものであること。
七 前各号に掲げるもののほか、個人情報保護施行規則第５８条で定める基準に適合するものであること。
２

保護管理者は、前項の規定により審査した結果、第５０条の４第１項の提案が前項各号に掲げる基準に適合すると認めるときは、様式５（第５０条の１０第２項
で準用する場合を含む。）により作成した第５０条の７の規定による行政機関等匿名加工情報の利用に関する契約の締結の申込みに関する書類及び当該契約の締結に関する書類を添えて様式６の通知書により当該提案をした者に対し、次に掲げる事項を通知するものとする。
一 次条の規定により当該行政機関等匿名加工情報を有するセンターとの間で行政機関等匿名加工情報の利用に関する契約を締結することができる旨
二 前号に掲げるもののほか、個人情報保護施行規則第５９条第２項で定める事項
３ 保護管理者は、第１項の規定により審査した結果、第５０の４条第１項の提案が第１項各号に掲げる基準のいずれかに適合しないと認めるときは、様式７により、当該提案をした者に対し、理由を付して、その旨を通知するものとする。
（行政機関等匿名加工情報の利用に関する契約の締結）
第５０条の７ 前条第２項の規定による通知を受けた者は、第５０条の６第２項の書類を提出することにより、センターとの間で、行政機関等匿名加工情報の利用に関する契約を締結することができる。
（行政機関等匿名加工情報の作成等）

第５０条の８ 保護管理者は、行政機関等匿名加工情報を作成するときは、担当する役
職員に特定の個人を識別することができないように及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護施行規則第６２条で定める基準に従い、当該個人情報を加工させるものとする。
２ 前項の規定は、当該行政機関等匿名加工情報を有するセンターから行政機関等匿名加工情報の作成の委託（二以上の段階にわたる委託を含む。）を受けた者が受託した業務を行う場合について準用する。
（行政機関等匿名加工情報に関する事項の個人情報ファイル簿への記載）
第５０条の９ 保護管理者は、行政機関等匿名加工情報を作成したときは、当該行政機関等匿名加工情報の作成に用いた個人情報を含む個人情報ファイルについては、個人情報ファイル簿に次に掲げる事項を記載するものとする。この場合における当該個人情報ファイルについての第５０条の２の規定により読み替えて適用する第１８条第１項の規定の適用については、同項中「並びに第５０条の２各号」とあるのは、「、第５０条の２各号及び第５０条の各号」とする。
一 行政機関等匿名加工情報の概要として個人情報保護施行規則第６３条で定める事
項
二 次条第１項の提案を受ける組織の名称及び所在地
三 次条第１項の提案をすることができる期間（作成された行政機関等匿名加工情報をその用に供して行う事業に関する提案等）
第５０条の１０ 前条の規定により個人情報ファイル簿に同条第１号に掲げる事項が記載された行政機関等匿名加工情報をその事業の用に供しようとする者は、センターに対し、当該事業に関する提案をすることができる。当該行政機関等匿名加工情報について第５０条の７の規定により行政機関等匿名加工情報の利用に関する契約を締結した者が、当該行政機関等匿名加工情報をその用に供する事業を変更しようとするときも、同様とする。
２ 第５０条の４第２項から第３項並びに第５０条の５から第５０条の７までの規定は、前項の提案について準用する。この場合において、第５０条の４第２項中「次に」とあるのは「第１号及び第４号から第８号までに」と、「様式５」とあるのは「様式８」と、同項第４号中「前号に掲げるもののほか、提案」とあるのは「提案」と、「の作成に用いる第５０条の８第１項の規定による加工の方法を特定する」とあるのは「を特定する」と、同項第８号中「前各号」とあるのは「第１号及び第４号から前号まで」と、同条第３項中「様式５」とあるのは「様式８」と、第５０条の６第１項中「次に」とあるのは「第１号及び第４号から第７号までに」と、同項第７号中「前各号」とあるのは「前項第１号及び第１号及び第３号」と、同条第２項中「前項各号」とあるのは「前項第１号及び第４号から第７号まで」と、「様式６」とあるのは「様式９」と、同条第３項中「第１項各号」とあるのは「第１項第１号及び第４号から第７号まで」と、「様式７」とあるのは「様式１０」と読み替えるものとする。

（手数料）
第５０条の１１ 第５０条の７の規定により行政機関等匿名加工情報の利用に関する契約をセンターと締結する者は、個人情報保護施行令第３１条第１項で定める額の手数料を納めなければならない。
２ 前条第２項において準用する第５０条の７の規定により行政機関等匿名加工情報の利用に関する契約をセンターと締結する者は、個人情報保護施行令第３１条第２項で定める額の手数料を納めなければならない。
（行政機関等匿名加工情報の利用に関する契約の解除）
第５０条の１２ センターは、第５０条の７の規定により、行政機関等匿名加工情報の利用に関する契約を締結した者が次の各号のいずれかに該当するときは、当該契約を解除することができる。
一 偽りその他不正の手段により当該契約を締結したとき。
二 第５０条の５各号（第５０条の１０第２項において準用する場合を含む。）のい
ずれかに該当することとなったとき。
三 当該契約において定められた事項について重大な違反があったとき。
（識別行為の禁止等）
第５０条の１３ 役職員は、行政機関等匿名加工情報を取り扱うに当たっては、法令に基づく場合を除き、当該行政機関等匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該行政機関等匿名加工情報を他の情報と照合してはならない。
２ 保護管理者は、行政機関等匿名加工情報、第３６条第３項に規定する削除情報及び第５０条の８第１項の規定により行った加工の方法に関する情報（以下この条及び次条において「行政機関等匿名加工情報等」という。）の漏えいを防止するために必要なものとして個人情報保護施行規則第６５条で定める基準に従い、行政機関等匿名加
工情報等の適切な管理のために必要な措置を講じるものとする。
３ 役職員は、前２項の規定において、センターから行政機関等匿名加工情報等の取扱
いの委託（二以上の段階にわたる委託を含む。）を受けた者が受託した業務を行う場
合について準用させるものとする。
（役職員の義務）第５０条の１４ 行政機関等匿名加工情報等の取扱いに従事する役職員若しくは役職員であった者、前条第３項の委託を受けた業務に従事している者若しくは従事していた者又はセンターにおいて行政機関等匿名加工情報等の取扱いに従事している派遣労働者若しくは従事していた派遣労働者は、その業務に関して知り得た行政機関等匿名加
工情報等の内容をみだりに他人に知らせ、又は不当な目的に利用してはならない。

（匿名加工情報の取扱いに係る義務）
第５０条の１５ 保護管理者は、匿名加工情報（行政機関等匿名加工情報を除く。以下
この条において同じ。）を第三者に提供するときは、法令に基づく場合を除き、個人情報保護施行規則第６６条で定めるところにより、あらかじめ、第三者に提供される
匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示するものとする。
２ 役職員は、匿名加工情報を取り扱うに当たっては、法令に基づく場合を除き、当該
匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは個人情報保護法第４３条第１項の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。
３ 保護管理者は、匿名加工情報の漏えいを防止するために必要なものとして個人情報保護施行規則第６７条で定める基準に従い、匿名加工情報の適切な管理のために必要な措置を講じるものとする。
４ 役職員は、前２項の規定において、当該行政機関等匿名加工情報を有するセンター
から匿名加工情報の取扱いの委託（二以上の段階にわたる委託を含む。）を受けた者が受託した業務を行う場合について準用させるものとする。
（開示請求等をしようとする者に対する情報の提供等）
第５０条の１６ 保護管理者は、開示請求、訂正請求若しくは利用停止請求又は第５０
条の４第１項若しくは第５０条の１０第１項の提案（以下この条において「開示請求等」という。）をしようとする者がそれぞれ容易かつ的確に開示請求等をすることができるよう、センターが保有する個人情報の特定又は当該提案に資する情報の提供その他開示請求等をしようとする者の利便を考慮した適切な措置を講じるものとする。
（監査）第５１条 監査責任者は、個人情報の適切な管理を検証するため、この規程第３条から前条までに規定する措置の状況を含むセンターにおける個人情報の管理の状況について、定期に及び必要に応じ随時に監査を行い、その結果を総括保護管理者に報告するものとする。
（点検）第５２条 主任保護管理者はセンターにおける個人情報の記録媒体、処理経路、保管方法等について、定期に及び必要に応じ随時に点検を行い、必要があると認めるときは、その結果を総括保護管理者に報告するものとする。
（評価及び見直し）

第５３条 保護管理者は、監査又は点検の結果等を踏まえ、実効性等の観点から個人情報の適切な管理のための措置について評価し、必要があると認めるときは、その見直し等の措置を講じるものとする。
（行政機関との連携）
第５４条 センターは、「個人情報の保護に関する基本方針」（平成１６年４月２日閣議決定）４を踏まえ、厚生労働省と緊密に連携して、その保有する個人情報の適切な管理を行う。
（苦情処理）
第５５条 保護管理者は、個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めるものとする。
２ 保護管理者は、個人情報の取扱いに関する苦情・相談を受け付ける窓口を設けるものとする。
３ センターにおける苦情・相談を受け付ける窓口は総務課に置くものとする。
附則（施行期日）
この規程は、平成２２年４月１日から施行する。
附則（平成２３年規程第９号）（施行期日）
この規程は、平成２３年１１月１日から施行する。
附則（平成２４年４月１日規程第８号）（施行期日）
この規程は、平成２４年４月１日から施行する。
附則（平成２７年３月３１日規程第９号）（施行期日）
この規程は、平成２７年４月１日から施行する。
附則（平成２７年３月３１日規程第１９号）

（施行期日）
この規程は、平成２７年４月１日から施行する。
附則（平成２８年４月２８日規程第１１号）（施行期日）
この規程は、平成２８年４月２９日から施行する。
附則（平成３０年８月２４日規程第８１号）（施行期日）
この規程は、平成３０年９月１日から施行する。
附則（令和元年 7 月２５日規程第２９号）（施行期日）
この規程は、令和元年７月２５日から施行する。
附則（令和元年９月２日規程第３８号）（施行期日）
この規程は、令和元年９月２日から施行する。
附則（令和４年１０月１３日規程第４５号）（施行期日）
この規程は、令和４年１０月１３日から施行し、令和４年４月１日に遡って適用する。
附則（令和５年１月１８日規程第２号）（施行期日）
この規程は、令和５年１月１８日から施行し、令和４年４月１日に遡って適用する。

様式１
個人情報事故報告書（第１報）
年月日

病院等の名称
事故発生日
事故発生場所（院内か院外かを記載すること。また、院外の場合
は、保護管理者等の許可の有無を記載すること。
）
漏えい等の発生者氏名及びその職名
媒体・情報の内容（「媒体」については、ＵＳ
Ｂメモリ等外部電磁的記録
媒体の場合は、パスワー
ド、暗号化設定の有無及び保護管理者の許可の有無を記載すること。
）（「 情報 の内 容」 につい ては、何名分の何の情報かを分かる限りで記載するこ
と。
）
事故の種類
（例）ＵＳＢメモリの紛失
ＦＡＸの誤送信問い合わせ先職 名：
電 話：
Email：

氏 名：（留意事項）
・上記の記載事項が全て埋まらない状態であったとしても、迅速性を第一に考えて第１報の報告を直ちに行うようにすること。
・コンピューターセキュリティに関連したインシデントを確認した場合は、この様式を使用するのではなく、直ちにＣＳＩＲＴ（情報管理室）に連絡をすること。

様式２
個人情報事故報告書（第２報）
年
病院等の名称
事故発生日
事故発生場所（院内か院外かを記載すること。また、院外の場合
は、保護管理者等の許可の有無を記載すること。
）
漏えい等の発生者氏名及びその職名
媒体・情報の内容（「媒体」については、ＵＳ
Ｂメモリ等外部電磁的記録
媒体の場合は、パスワー
ド、暗号化設定の有無及び保護管理者の許可の有無を記載すること。
）（「 情報 の内 容」 につい ては、何名分の何の情報かを分かる限りで記載するこ
と。
）
事故の種類
（例）ＵＳＢメモリの紛失
ＦＡＸの誤送信問い合わせ先

事故の経緯

職 名：
電 話：
Email：

氏 名：

月日

被害の拡大防止又は復旧のためにとった措置

事故の原因

再発防止策

※１
※２

事故の内容等に係る記載については、個人名は伏せること
媒体・情報の内容において、漏えい等対象数を記載すること

様式３
行政機関等匿名加工情報をその用に供して行う事業に関する提案書
年

国立研究開発法人
国立国際医療研究センター

月

日

殿

郵 便 番 号
（ふりがな）
住所又は居所（法人その他の団体にあっては、本店又は主たる事務所の所在地を記載すること。）（ふりがな）
氏
名（自筆で記入したときは、押印を省略できる。法人その他の団体にあっては、名称及び代表者の氏名を記載することとし、代表者が自筆で記入したときは押印を省略できる。）
印
連 絡 先（連絡のとれる電話番号及び電子
メールアドレスを記載すること。
担当部署等がある場合は、当該担当部署名及び担当者を記載すること。
）
国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程（平成２２年４月１日規程第４１号）第５０条の４第１項の規定により、以下のとおり行政機関等
匿名加工情報をその用に供して行う事業に関する提案をします。
１．個人情報ファイルの名称
２．行政機関等匿名加工情報の本人の数
３．加工の方法を特定するに足りる事項

４．行政機関等匿名加工情報の利用（１）利用の目的（２）利用の方法（３）利用に供する事業の内容（４）上記（３）の事業の用に供しようとする期間
５．漏えいの防止等行政機関等匿名加工情報の適切な管理のために講ずる措置
６．行政機関等匿名加工情報の提供の方法（１）提供媒体□ ＣＤ－Ｒ□ ＤＶＤ－Ｒ（２）提供方法□ 窓口受領□ 郵送
記載要領
１．「個人情報ファイルの名称」には、センターのホームページにおいて公表されている個人
情報ファイル簿（国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程（平成２２年４月１日規程第４１号）第５０条の４第１項の提案の募集をする個人情報ファイルである旨が個人情報ファイル簿に記載されている個人情報ファイルに限る。以下同じ。
）の「個人情報ファイルの名称」を記載すること。
２．
「行政機関等匿名加工情報の本人の数」には、提案をする者が提供を求める行政機関等匿名加工情報に含まれる本人の数（下限は千人）を記載すること。
３．「加工の方法を特定するに足りる事項」には、センターにおいて具体的かつ明確に加工の方法を特定できる情報を記載すること。具体的には、個人情報ファイル簿に掲載されている「記録項目」のうち行政機関等匿名加工情報として提供を希望する記録項目名及び当該記録項目名ごとの情報の程度（例えば、記録項目が「住所」であれば「都道府県名のみ」とする。
）を記載すること。なお、提案のあった個人情報ファイルを構成する保有個人情報に、独立行政法人等の保有する情報の公開に関する法律（平成１３年法律第１４０号）
第５条第１号以外の不開示情報が含まれる場合、当該不開示情報に該当する部分は加工対象から除かれることに注意すること。
４．「行政機関等匿名加工情報の利用」には、（１）から（４）までの事項を具体的に記載すること。また、（４）の「上記（３）の事業の用に供しようとする期間」には、事業の目
的、内容並びに行政機関等匿名加工情報の利用目的及び方法からみて必要な期間を記載すること。
５．「漏えいの防止等行政機関等匿名加工情報の適切な管理のために講ずる措置」には、「個
人情報の保護に関する法律についてのガイドライン（行政機関編）」を踏まえて記載する
こと。
６．
「行政機関等匿名加工情報の提供の方法」には、該当する□のチェックボックスに「レ」
マークを入れること。
７．用紙の大きさは、日本産業規格Ａ４とすること。

様式４
誓

約

書
年

国立研究開発法人
国立国際医療研究センター

月

日

殿

（ふりがな）
氏
名（自筆で記入したときは、押印を省略できる。
法人その他の団体にあっては、名称及び代表者の氏名を記載することとし、代表者が自筆で記入したときは押印を省略できる。）
印

国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程（平成２２年４月１日規程第４１号）第５０条の４第３項、第５０条の１０第２項において準用する
第５０条の４第３項の規定により提案する者（及びその役員）が、同規程第５０条の５各号に該当しないことを誓約します。
記載要領
１．不要な文字は、抹消すること。
２．役員とは、取締役、執行役、業務執行役員、監査役、理事及び監事又はこれらに準ずるものをいう。
３．用紙の大きさは、日本産業規格Ａ４とすること。

様式５
行政機関等匿名加工情報の利用に関する契約の締結の申込書
年

国立研究開発法人
国立国際医療研究センター

月

日

殿

郵 便 番 号
（ふりがな）
住所又は居所（法人その他の団体にあっては、本店又は主たる事務所の所在地を記載すること。）（ふりがな）
氏
名（自筆で記入したときは、押印を省略できる。法人その他の団体にあっては、名称及び代表者の氏名を記載することとし、代表者が自筆で記入したときは押印を省略できる。）
印
連 絡 先（連絡のとれる電話番号及び電子
メールアドレスを記載すること。
担当部署等がある場合は、当該担当部署名及び担当者を記載するこ
と。
）
年
月
日付け第
号の「審査結果通知書」を受領しましたので、国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程（平成２２年４月１日規程第４１号）第５０条の７、第５０条の１０第２項で準用する第５０条の７の規定により、行政機関等匿名加工情報の利用に関する契約の締結を申し込みます。
記載要領
１．不要の文字は、抹消すること。
２．行政機関等匿名加工情報の利用に係る手数料は、国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程による様式６により通知した事項に従って納付すること。
３．用紙の大きさは、日本産業規格Ａ４とすること。

様式６
国際医セン発第
年

審

（提案者）

月

号
日

査 結 果 通 知 書

様国立研究開発法人
国立国際医療研究センター

印

年月日付け「行政機関等匿名加工情報をその用に供して行う事業に関する提案書」について、国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程（平成２２年４月１日規程第４１号）第５０条の６第１項各号に掲げる基準に適合すると認めるので、同条第２項の規定により、以下の事項を通知します。
１．契約の締結
センターとの間で行政機関等匿名加工情報の利用に関する契約を締結することができます。
行政機関等匿名加工情報の利用に関する契約の締結を申し込む場合は、下記２．に従って手数料を納付の上、国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程５０条の６第２項に掲げる書類を
年月日（必着）までに提出してください。
２．手数料（１）納付すべき手数料の額（２）手数料の納付方法（３）手数料の納付期限
３．行政機関等匿名加工情報の提供の方法
４．その他

注

用紙の大きさは、日本産業規格Ａ４とすること。

様式７
国際医セン発第
年

審

（提案者）

月

号
日

査 結 果 通 知 書

様国立研究開発法人
国立国際医療研究センター

印

年月日付け「行政機関等匿名加工情報をその用に供して行う事業に関する提案書」について、以下の理由により、国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程（平成２２年４月１日規程第４１号）第５０条の６第１項各号に掲げる基準に適合しないと認めるので、同条第３項の規定により、以下の事項を通知します。
（提案が国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程第５０条の６第１項各号に掲げる基準に適合しないと認める理由）

記載要領
１．「提案が国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程第５０条の６第１項各号に掲げる基準に適合しないと認める理由」は、適合しないと認める該当基準及びその判定内容をできる限る具体的に記載すること。
２．用紙の大きさは、日本産業規格Ａ４とすること。

様式８
作成された行政機関等匿名加工情報をその用に供して行う事業に関する提案書
年
国立研究開発法人
国立国際医療研究センター

月

日

殿

郵 便 番 号
（ふりがな）
住所又は居所（法人その他の団体にあっては、本店又は主たる事務所の所在地を記載すること。）（ふりがな）
氏
名（自筆で記入したときは、押印を省略できる。法人その他の団体にあっては、名称及び代表者の氏名を記載することとし、代表者が自筆で記入したときは押印を省略できる。）
印
連 絡 先（連絡のとれる電話番号及び電子
メールアドレスを記載すること。
担当部署等がある場合は、当該担当部署名及び担当者を記載すること。
）
国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程（平成２２年４月１日規程第４１号）第５０条の１０前段、第５０条の１０第１項後段の規定により、以下のとおり作成された行政機関等匿名加工情報をその用に供して行う事業（又は事業の変更）に関する提案をします。
１．提案に係る行政機関等匿名加工情報を特定するに足りる事項
２．行政機関等匿名加工情報の利用（１）利用の目的（２）利用の方法（３）利用に供する事業の内容

（４）上記（３）の事業の用に供しようとする期間
３．漏えいの防止等行政機関等匿名加工情報の適切な管理のために講ずる措置
４．行政機関等匿名加工情報の提供の方法（１）提供媒体□ ＣＤ－Ｒ□ ＤＶＤ－Ｒ（２）提供方法□ 窓口受領□ 郵送

記載要領
１．不要な文字は、抹消すること。
２．「提案に係る行政機関等匿名加工情報を特定するに足りる事項」には、国立研究開発法人
国立国際医療研究センターの保有する個人情報の保護に関する規程（以下「規程」という。）第５０条の９の規定により個人情報ファイル簿に記載された行政機関等匿名加工情報の概要を記載すること。
３．「行政機関等匿名加工情報の利用」には、（１）から（４）までの事項を具体的に記載すること。また、（４）の「上記（３）の事業の用に供しようとする期間」には、事業の目
的、内容並びに行政機関等匿名加工情報の利用目的及び方法からみて必要な期間を記載すること。
４．「漏えいの防止等行政機関等匿名加工情報の適切な管理のために講ずる措置」には、「個
人情報の保護に関する法律についてのガイドライン（行政機関等編）」を踏まえて記載すること。
５．「行政機関等匿名加工情報の提供の方法」には、該当する□のチェックボックスに「レ」
マークを入れること（規程第５０条の１０第１項前段の提案をする場合に限る。）。
６．用紙の大きさは、日本産業規格Ａ４とすること。

様式９
国際医セン発第
年

審

（提案者）

月

号
日

査 結 果 通 知 書

様国立研究開発法人
国立国際医療研究センター

印

年月日付け「作成された行政機関等匿名加工情報をその用に供して行う事業に関する提案書」について、国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程（平成２２年４月１日規程第４１号）第５０条の１０第２項で準用する第５０条の６第１項各号に掲げる基準に適合すると認めるので、同条第２項の規定により、以下の事項を通知します。
１．契約の締結
センターとの間で行政機関等匿名加工情報の利用に関する契約を締結することができます。
行政機関等匿名加工情報の利用に関する契約の締結を申し込む場合は、下記２．に従って手数料を納付の上、国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程第５０条の６第２項に掲げる書類を
年月日（必着）までに提出してください。
２．手数料（１）納付すべき手数料の額（２）手数料の納付方法（３）手数料の納付期限
３．行政機関等匿名加工情報の提供の方法
４．その他

注

用紙の大きさは、日本産業規格Ａ４とすること。

様式１０
国際医セン発第
年

審

（提案者）

月

号
日

査 結 果 通 知 書

様国立研究開発法人
国立国際医療研究センター

印

年月日付け「作成された行政機関等匿名加工情報をその用に供して行う事業に関する提案書」について、以下の理由により、国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程（平成２２年４月１日規程第４１号）第５０条の１０第２項で準用する第５０条の６第１項各 号の基準に適合しないと認めるので、同条第３項の規定により通知します。
（提案が国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程第５０条の１０第２項で準用する第５０条の６第１項各号に掲げる基準に適合しないと認
める理由）

記載要領
１．「提案が国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程第５０条の１０第２項で準用する第５０条の６第１項各号に掲げる基準に適合しないと認める理由」は、適合しないと認める該当基準及びその判定内容をできる限る具体的に記載すること。
２．用紙の大きさは、日本産業規格Ａ４とすること。

様式１１
年
個人情報の外部への送信・持ち出しに係る許可申請書

月日

殿（主任保護管理者又は保護管理者）
申請者（所属）（氏名）

印

国立研究開発法人国立国際医療研究センターの保有する個人情報の保護に関する規程（平成２２年４月１日規程第４１号）第２２条第１項の規定に基づき、下記のとおり個人情報の外部への送信・持ち出しについて許可申請します。
記
１．個人情報の内容

２．許可内容□メールによる送信□外部への持ち出し

３．理由【許可権者記入欄】（主任保護管理者または保護管理者）
□許可

□不許可

許可日

年

月

日

申請者（所属）（氏名）

印※本書の原本は総務部、写しは申請者が保管する

「個人情報の外部への送信・持ち出しに係る許可申請書（裏面）＜許可に係る留意事項＞〇診療連携や医療保険事務において個人情報の送信・持ち出しが必要であると主任保護管理者
が事前に認める場合は、この申請は省略することができるものとする。この場合、当該個人情報を取扱う役職員は関連する規程を遵守し、主任保護責任者並びに保護責任者は当該役職員の行為に責任を負う。
〇『外部への持ち出し』に係る申請については、研修レポートの作成や自己学習のため等個人情報を外部に持ち出すことの必要性が認められないものは許可を行わないこと。また、それ以外の理由であった場合であっても、基本的に外部への持ち出しが禁止であるという認識のもと、許可は最小限に止めること。
〇許可権者は個人データ等の抽出に際しては、国立研究開発法人国立国際医療研究センター情報セキュリティポリシーを遵守した諸手続きをとっていることを確認すること。