国立大学法人富山大学附属病院の保有する個人情報の適切な管理のための措置に関する内規
平成17年12月15日 制 定
平成20年４月１日改正
平成24年10月 １日 改 正
平成27年４月15日 改 正
平成28年２月17日 改 正
令和３年11月16日改正

平 成 18年９月１日改正
平成22年４月１日改正
平 成 27年４月１日改正
平 成 27年６月16日改正
平 成 30年９月19日改正
令和４年９月21日改正

目次
第 １ 章 総 則 （第１条，第２条）
第２章 個人情報保護の管理体制（第３条～第７条）
第３章 個人情報の取扱い（第８条～第21条）
第４章 病院情報システムにおける安全の確保等（第22条～第34条）
第５章 問題への対応等（第35条～第37条）
第６章 点検の実施（第38条～第39条）
第７章 雑則（第40条）
附則
第１章 総則（目的）
第１条 この内規は，国立大学法人富山大学個人情報保護規則（以下「規則」という。）第44条の規定に基づき，富山大学附属病院（以下「病院」という。）の保有する個人情報の適切な管理のために必要な事項を定めることにより， 業務の適正な運営を図るとともに， 個人の権利利益を保護することを目的とする。
（定義）
第２条 この内規における用語の意義は，規則第２条各号に規定するもののほか，次に掲げるとおりとする。
（1）「診療科等」とは，国立大学法人富山大学附属病院規則（以下「病院規則」という。）第４条に定める診療科，中央診療施設等，総合がんセンター，薬剤部，看護部及び臨床研究
管理センター並びに同第15条に定める事務組織をいう。
（2）「病院従業員」とは，次に掲げる者をいう。
ア 国立大学法人富山大学職員就業規則（以下「就業規則」という。）第２ 条第２項に定める職員及び同条第３項に定める職員のうち，病院業務に従事する者
イ 病院業務の外部委託契約に基づき 病院において従事する 請負労働者等及び労働者派
遣契約に基づき病院において従事する派遣労働者
ウ 病院規則第８条各項に定める診察を行うことができる者
エ 本学医学部及び薬学部所属の学生で病院において実習を行う者
オ 研修登録医，診療指導医，受託実習生，受託研修生及び薬剤師実務受託研修生
カ その他病院長が病院において従事することを許可した団体職員及びボランティア等（3）「病院情報システム」とは，病院で運用する電子カルテシステム，医事会計システ
ム並びにこれらシステムと接続する部門システム及び接続機器など診療情報を取り扱うシステムをいう。

第 ２章 個人情報 保護の管 理体制（保護管理責任者）
第３条 病院に，規則第３条に定める総括保護管理者のもとに，規則第４条に定める保護管理責任者を置き，病院長をもって充てる。
２ 保護管理責任者は，病院における保有個人情報の適切な管理の総括業務を行う。
（保護管理補助責任者）
第４条 病院に，保護管理補助責任者を置き，医療情報・経営戦略部長をもって充てる。
２ 保護管理補助責任者は，保護管理責任者を補佐し，病院における保有個人情報の適切な管理を行う。
（保護管理者）
第５条 病院に，保護管理者を置き，診療科等の長をもって充てる。
２ 保護管理者は，当該診療科等における保有個人情報の適切な管理を確保する任に当たる。
３ 保護管理者は，保有個人情報を情報システムで取り扱う場合，当該情報システムの管理者と連携して，その任に当たる。
（保護担当者）
第６条 病院に，保護管理者が指定する保護担当者を１名又は複数名を置く。
２ 保護担当者は，保護管理者を補佐し，保護管理者と同等の権限を持って保有個人情報の管理に関する事務を担当する。
（教育研修）
第７条 保護管理責任者は，病院従業員に対し，保有個人情報の取扱いについて理解を深 め ， 個 人 情 報 の 保 護 に 関 す る 意 識 の 高 揚 を 図 る た め の 啓 発 そ の 他 必要な教育研修を行うものとする。
２ 保護管理責任者は，保護管理者及び保護担当者に対し，診療科等の現場における保有
個人情報の適切な管理のための教育研修を行うものとする。
３ 保護管理者は，病院従業員に対し，保有個人情報の適切な管理のために， 規則第８条に 規 定 す る 総括 保 護 管理 者 の 実 施 する 教 育 研修 及 び 前 項 の保 護 管 理責 任 者 の 実 施する
教育研修への参加の機会を付与する等の必要な措置を講じなければならない。
第 ３ 章 個人 情 報の 取 扱い
（病院従業員の責務）
第８条 病院従業員は，法の趣旨に則り，関連する法令及びこの等の内規等の定め並びに総括保護管理者，保護管理責任者，保護管理補助責任者，保護理者及び保護担当者の指示に従い， 保有個人情報を取り扱わなければならない。
２ 病院 従業員 は，刑法 等に基 づく医 療関係資 格者の 守秘義 務及び病 院業務 に応じ た関係
法律に基づく医療従事者の守秘義務のほか就業規則第27条の規定に基づく守秘義務を遵
守 し，そ の業務 に関して 知り得 た個人 情報の内 容をみだりに他人に知らせ，又は不当な目的に利用してはならない。
３ 前項の規定は，病院従業員を退職（契約終了を含む。）後も適用する。
（利用目的の特定）第９条 病院従業員は，個人情報を取り扱うに当たっては，その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。
２ 病院従業員は，利用目的を変更する場合には，変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（利用目的による制限）
第 10条 病 院 従 業 員 は ， あ ら か じ め 本 人 の 同 意 を 得 な い で ， 前 条 の 規 定 に よ り 特 定 さ れた利用目的の達成に必要な範囲を超えて，個人情報を取り扱ってはならない。
２

病院従業員は，他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は，あらかじめ本人の同意を得ないで，承継前における当該個人情報の利用目的の達成に必要な範囲を超えて，当該個人情報を取り扱ってはならない。
３

前２項の規定は，次に掲げる場合については，適用しない。
(１)法令に基づく場合(２)人の生命，身体又は財産の保護のために必要がある場合であって，本人の同意を得ることが困難であるとき。
(３)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって，本人の同意を得ることが困難であるとき。
(４)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって，本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

(５)当該個人情報を学術研究の用に供する目的（以下「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み，個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(６)大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者（以下「学術研究機関等」という。）に個人データを提供する場合であって，当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み，個人の権利利益を不当に侵害するおそれがある場合を除く。）。
（不適正な利用の禁止）
第10条の２ 病院従業員は，違法又は不当な行為を助長し，又は誘発するおそれがある方法により個人情報を利用してはならない。
（適正な取得）第11条 病院従業員は，偽りその他不正の手段により個人情報を取得してはならない。
２

病院従業員は，次に掲げる場合を除くほか，あらかじめ本人の同意を得ないで，要配慮個人情報を取得してはならない。

(１)法令に基づく場合(２)人の生命，身体又は財産の保護のために必要がある場合であって，本人の同意を得ることが困難であるとき。
(３)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって，本人の同意を得ることが困難であるとき。
(４)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって，本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(５)当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み，個人の権利利益を不当に侵害するおそれがある場合を除く。）。
(６)学術研究機関等から当該要配慮個人情報を取得する場合であって，当該要配慮個人
情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み，個人の権利利益を不当に侵害するおそれがある場合を除く。）（本学と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
(７)当該要配慮個人情報が，本人，国の機関，地方公共団体，学術研究機関等，法第57条第１項各号に掲げる者その他個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第３号。以下「個人情報保護委員会規則」という。）第６条に定める者により公開されている場合(８)その他前各号に掲げる場合に準ずるものとして，個人情報の保護に関する法律施行
令（平成 15 年政令第 507 号）第９条で定める場合

（取得に際しての利用目的の通知等）
第11条の２ 病院従業員は，個人情報を取得した場合は，あらかじめその利用目的を公表している場合を除き，速やかに，その利用目的を，本人に通知し，又は公表しなければならない。
２

病院従業員は，前項の規定にかかわらず，本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は，あらかじめ，本人に対し，その利用目的を明示しなければならない。ただし，人の生命，身体又は財産の保護のために緊急に必要がある場合は，この限りでない。

３

病院従業員は，利用目的を変更した場合は，変更された利用目的について，本人に通知し，又は公表しなければならない。

４

前３項の規定は，次に掲げる場合については，適用しない。
(１)利用目的を本人に通知し，又は公表することにより本人又は第三者の生命，身体，財産その他の権利利益を害するおそれがある場合(２)利用目的を本人に通知し，又は公表することにより本学の権利又は正当な利益を害するおそれがある場合(３)国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって，利用目的を本人に通知し，又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(４)取得の状況からみて利用目的が明らかであると認められる場合（データ内容の正確性の確保等）

第12条 病院従業員は，利用目的の達成に必要な範囲内において，個人データを正確かつ最新の内容に保つとともに，利用する必要がなくなったときは，当該個人データを遅滞なく消去するよう努めなければならない。
２ 病院従業員は，保有個人情報の内容に誤り等を発見した場合には，保護管理者の指示に従い，訂正等を行わなければならない。
（安全管理措置）第13条 保護管理者は，診療科等における個人データの漏えい，滅失又は毀損の防止その
他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
２ 前項 の規定 は， 本学 から 個人 情報の 取扱い の委 託を 受けた 者が受 託し た業 務を行 う
場合について準用する。
（職員の監督）第13条の２ 保護管理者は，病院従業員に個人データを取り扱わせるに当たっては，当該個人
データの安全管理が図られるよう，当該職員に対する必要かつ適切な監督を行わなければならない。
（第三者提供の制限）
第14条 病院従業員は，次に掲げる場合を除くほか，あらかじめ本人の同意を得ないで，
個人データを第三者に提供してはならない。
(１)法令に基づく場合(２)人の生命，身体又は財産の保護のために必要がある場合であって，本人の同意を得ることが困難であるとき。
(３)公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって，本人の同意を得ることが困難であるとき。
(４)国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって，本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(５)当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。

(６)当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み，個人の権利利益を不当に侵害するおそれがある場合を除く。）（本学と当該第三者が共同して学術研究を行う場合に限る。）。
(７)当該第三者が学術研究機関等である場合であって，当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み，個人の権利利益を不当に侵害するおそれがある場合を除く。）。
２ 保護管理者は，第三者に提供される個人データについて，本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって，次に掲げる事項について，個人情報保護委員会規則第11条で定めるところにより，あらかじめ，本人に通知し，又は本人が容易に知り得る状態に置くとともに，個人情報保護委員会に届け出たときは，前項の規定にかかわらず，当該個人データを第三者に提供することができる。ただし，第三者に提供される個人データが要配慮個人情報又は第12条第１項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの（その全部又は一部を複製し，又は加工したものを含む。）である場合は，この限りでない。
(１)本学の住所及び学長名(２)第三者への提供を利用目的とすること。
(３)第三者に提供される個人データの項目(４)第三者に提供される個人データの取得の方法(５)第三者への提供の方法(６)本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
(７)本人の求めを受け付ける方法(８)その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則
第11条第４項で定める事項
３ 保護管理者は，前項第１号に掲げる事項に変更があったとき又は同項の規定による個
人データの提供をやめたときは遅滞なく，同項第３号から第５号まで，第７号又は第８号に掲げる事項を変更しようとするときはあらかじめ，その旨について，個人情報保護委員会規則第11条で定めるところにより，本人に通知し，又は本人が容易に知り得る状態に置くとともに，個人情報保護委員会に届け出なければならない。
４ 保護管理者は，個人情報保護委員会が，個人情報保護委員会規則第13条で定めるところにより，前２項の規定による届出に係る事項を公表した後，速やかにインターネッ
トの利用その他の適切な方法により，個人情報保護委員会規則第14条に定める事項を公表するものとする。
５ 次に掲げる場合において，当該個人データの提供を受ける者は，前各項の規定の適用については，第三者に該当しないものとする。
(１) 病院従業員が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合(２)事業の承継に伴って個人データが提供される場合(３)特定の者との間で共同して利用される個人データが当該特定の者に提供される場合
であって，その旨並びに共同して利用される個人データの項目，共同して利用する者の範囲，利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては，その代表者の氏名について，あらか
じめ，本人に通知し，又は本人が容易に知り得る状態に置いているとき。
６ 保護管理者は，前項第３号に規定する個人データの管理について責任を有する者の氏名，名称若しくは住所又は法人にあっては，その代表者の氏名に変更があったときは遅滞なく，同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ，その旨について，本人に通知し，又は本人が容易に知り得る状

態に置かなければならない。
（外国にある第三者への提供の制限）
第14条の２ 病院従業員は，外国（本邦の域外にある国又は地域をいう。以下同じ。）（個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則第15条で定めるものを除く。以下同じ。）にある第三者（個人データの取扱いについて法第４章第２節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置（第３項において「相当措置」という。）を継続的に講ずるために必要なものとして個人情報保
護委員会規則第16条で定める基準に適合する体制を整備している者を除く。以下同じ。）に個人データを提供する場合には，前条第１項各号に掲げる場合を除くほか，あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては，同条の規定は，適用しない。
２ 病院従業員は，前項の規定により本人の同意を得ようとする場合には，個人情報保護委員会規則第17条で定めるところにより，あらかじめ，当該外国における個人情報の保護に関する制度，当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
３ 病院従業員は，個人データを外国にある第三者（第１項に規定する体制を整備している者に限る。）に提供した場合には，個人情報保護委員会規則第18条で定めるところにより，当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに，本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなけ
ればならない。
（第三者提供に係る記録の作成等）
第14条の３ 病院従業員は，個人データを第三者（規則第２条第18号各号に掲げる者を除く。以下この条及び次条（第14条の５第３項において読み替えて準用する場合を含
む。）において同じ。）に提供したときは，個人情報保護委員会規則第19条で定めるところにより，当該個人データを提供した年月日，当該第三者の氏名又は名称その他の
個人情報保護委員会規則20条で定める事項に関する記録を作成しなければならない。
ただし，当該個人データの提供が第14条第１項各号又は第５項各号のいずれか（前条第１項の規定による個人データの提供にあっては，第14条第1項各号のいずれか）に該当する場合は，この限りでない。
２ 保護管理者は，前項の記録を，当該記録を作成した日から個人情報保護委員会規則第21条で定める期間保存しなければならない。
（第三者提供を受ける際の確認等）
第14条の４ 病院従業員は，第三者から個人データの提供を受けるに際しては，個人情報保護委員会規則第22条で定めるところにより，次に掲げる事項の確認を行わなければならない。
ただし，当該個人データの提供が第14条第１項各号又は第５項各号のいずれかに該当する場
合は，この限りでない。
(１)当該第三者の氏名又は名称及び住所並びに法人にあっては，その代表者の氏名(２)当該第三者による当該個人データの取得の経緯
２ 前項の第三者は，職員が同項の規定による確認を行う場合において，本学に対して，当該確認に係る事項を偽ってはならない。
３ 病院従業員は，第１項の規定による確認を行ったときは，個人情報保護委員会規則第23条
で定めるところにより，当該個人データの提供を受けた年月日，当該確認に係る事項その他の個人情報保護委員会規則第24条で定める事項に関する記録を作成しなければならない。
４ 保護管理者は，前項の記録を，当該記録を作成した日から個人情報保護委員会規則第25条
で定める期間保存しなければならない。
（個人関連情報の第三者提供の制限等）
第14条の５ 病院従業員は，第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下同じ。）を個人データとして取得することが想定されるときは，第14条第１項各号に掲げる場合を除くほか，次に掲げる事項について，あらかじめ個人情報保護委員

会規則第26条で定めるところにより確認することをしないで，当該個人関連情報を当該第三者に提供してはならない。
(１)当該第三者が本学から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
(２)外国にある第三者への提供にあっては，前号の本人の同意を得ようとする場合において，
個人情報保護委員会規則第17条で定めるところにより，あらかじめ，当該外国における個人情報の保護に関する制度，当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること。
２ 第14条の２第３項の規定は，前項の規定により本学が個人関連情報を提供する場合について準用する。この場合において，同条第３項中「講ずるとともに，本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは，「講じ」と読み替えるものとする。
３ 前条第２項から第４項までの規定は，第１項の規定により本学が確認する場合について準用する。この場合において，同条第３項中「の提供を受けた」とあるのは，「を提供した」と読み替えるものとする。
（仮名加工情報の作成等）
第14条の６ 病院従業員は，仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは，他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則第31条で定める基準に従い，個人情報を加工しなければならない。
２ 保護管理者は，病院従業員が仮名加工情報を作成したとき，又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第３項において読み替えて準用する第７項において同じ。）を取得したときは，削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則第32条で定める基準に従い，削除情報等の安全管理のための措置を講じなければならない。
３ 病院従業員は，第10条の規定にかかわらず，法令に基づく場合を除くほか，第９条第１項の規定により特定された利用目的の達成に必要な範囲を超えて，仮名加工情報（個人情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。
４ 仮名加工情報についての第11条の２の規定の適用については，同条第１項及び第３項中「，本人に通知し，又は公表し」とあるのは「公表し」と，同条第４項第１号から第３号までの規定中「本人に通知し，又は公表する」とあるのは「公表する」とする。
５ 病院従業員は，仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは，当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。
この場合においては，第12条の規定は，適用しない。
６ 病院従業員は，第14条第１項及び第２項並びに第14条の２第１項の規定にかかわらず，法令に基づく場合を除くほか，仮名加工情報である個人データを第三者に提供してはならな
い。この場合において，第14条第５項中「前各項」とあるのは「第14条の６第６項」と，同項第３号中「，本人に通知し，又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と，同条第６項中「，本人に通知し，又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と，第14条の３第１項ただし書中「第14条第１項各号又は第５項各号のいずれか（前条第１項の規定による個人データの提供にあっては，第14条第１項各号のいずれか）」とあり，及び第14条の４第第１項ただし書中「第14条第１項各号又は第５項各号のいずれか」とあるのは「法令に基づく場合又は第14条第５項各号のいずれか」とする。
７ 病院従業員は，仮名加工情報を取り扱うに当たっては，当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために，当該仮名加工情報を他の情報と照合してはならない。
８ 病院従業員は，仮名加工情報を取り扱うに当たっては，電話をかけ，郵便若しくは民間事

業者による信書の送達に関する法律（平成14年法律第99号）第２条第６項に規定する一般信書便事業者若しくは同条第９項に規定する特定信書便事業者による同条第２項に規定する信書便により送付し，電報を送達し，ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則
第33条で定めるものをいう。）を用いて送信し，又は住居を訪問するために，当該仮名加工
情報に含まれる連絡先その他の情報を利用してはならない。
９ 仮名加工情報，仮名加工情報である個人データについては，第９条第２項の規定は，適用しない。
（仮名加工情報の第三者提供の制限等）
第15条 病院従業員は，法令に基づく場合を除くほか，仮名加工情報（個人情報であるものを除く。次項及び第３項において同じ。）を第三者に提供してはならない。
２ 第14条第５項及び第６項の規定は，仮名加工情報の提供を受ける者について準用する。この場合において，同条第５項中「前各項」とあるのは「第15条第１項」と，同項第３号中「，本人に通知し，又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と，同条第６項中「，本人に通知し，又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
３ 第13条，第13条の２，前条第７項及び第８項，第16条並びに第37条の規定は，本学の仮名加工情報の取扱いについて準用する。この場合において，第13条中「漏えい，滅失又は毀損」とあるのは「漏えい」と，前条第７項中「ために，」とあるのは「ために，削除情報等を取得し，又は」と読み替えるものとする。
（業務の委託等）
第16条 保有個人情報の取扱いに係る業務（行政機関等匿名加工情報の作成に係る業務を含む。以下この条において同じ。）を外部に委託する場合には，個人情報の適切な管理を行う能力を有しない者を選定することがないよう，必要な措置を講じるとともに，その取扱いを委託された保有個人情報の安全管理が図られるよう，委託を受けた者に対する必要かつ適切な監督を行わなければならない。
２ 前項により外部に委託する場合には，当該契約書に，次に掲げる事項を明記するとともに，委託先における責任者及び業務従事者の管理及び実施体制，個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認しなければならない。
(１)個人情報に関する秘密保持，目的外利用の禁止等の義務(２)再委託（再委託先が委託先の子会社（会社法（平成 17 年法律第86号）第２条第１項第３号に規定する子会社をいう。）である場合も含む。）の制限又は事前承認等再委託に係る条件に関する事項(３)個人情報の複製等の制限に関する事項(４)個人情報の漏えい等の事案の発生時における対応に関する事項(５)委託終了時における個人情報の消去及び媒体の返却に関する事項(６)違反した場合における契約解除，損害賠償責任その他必要な事項
３ 前 項の規定 は，保有 個人情報 の取扱い に係 る業務を 派遣労働 者に よって行 わ せる 場合
及び個人情報を保有している医療設備機器の修理を外部に委託する場合に，準用する。
４ 保 有個人情 報の取扱 いに係る 業務を外 部に 委託する 場合には ，委 託する保 有 個人 情報の秘匿 性等その内容に応じて ，委託先にお ける個人 情報の管理の状況について，少なく
とも年１回以上，原則として実地検査により確認しなければならない。
５ 委 託先にお いて，保 有個人情 報の取扱 いに 係る業務 が再委託 され る場合に は ，委 託先に 第１ 項及 び第 ２項 の措 置を 講じ させ ると とも に， 再委 託さ れる 業務に係る保有個人情報の秘匿性等その内容に応じて， 委託先を通じて又は委託元自らが前項の措置を実施しな けれ ばな らな い。 保有 個人 情報 の取 扱い に係る業務について再委託先が再々委託を行う場合以降も同様とする。
６ 保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には， 労働者派遣
契約書に秘密保持義務等個人情報の取扱いに関する事項を明記しなければならない。
（個人情報ファイル保有の報告）

第17条 保護管理者は，次の各号に掲げる場合を除き，個人情報ファイルを保有するに至ったときは，直ちに，別紙様式「個人情報ファイル簿」を作成し， 保護管理責任者に報告しなければならない。
(１) 専ら試験的な電子計算機処理の用に供するための個人情報ファイル(２) 公表に係る個人情報ファイルに記録されている記録情報の全部又は一部を記録した
個人情報ファイルであって、その利用目的、記録項目及び記録範囲が当該公表に係るこれらの事項の範囲内のもの(３) ６ヶ月以内に消去することとなる記録情報のみを記録する個人情報ファイル(４) 資料等の送付又は業務上必要な連絡のために利用する記録情報を記録した個人情報
ファイルであって，送付又は連絡の相手方の氏名，住所その他の送付又は連絡に必要な事項のみを記録するもの(５) 病院従業員が学術研究の用に供するためその発意に基づき作成し，又は取得する個
人情報ファイルであって，記録情報を専ら当該学術研究の目的のために利用するもの( ６ ) 本 人 の 数 が 1,000人に満たない個人情報ファイル
２ 保護 管理責 任者 は， 前項 の報 告があ った場 合に ，こ れを総 括保護 管理 者に 報告しなけ
ればならない。
３ 前 ２項の規 定は，保 護管理責 任者に報 告済 み個人情 報ファイ ル簿 に記載の 個 人情 報ファイル について，記載事項の 変更，保有し なくなっ たとき，又は第１項各号のいずれかになったときに適用する。
（取扱い制限）第 18条 保 護 管理 者は， 保 有個 人 情報 の秘 匿性 等 その 内 容に 応じ て， 当 該保 有個人情報を取り扱う権限（以下「取扱い権限」という。）を有する病院従業員とその 権 限の 内 容を ，当該病院従業員が業務を行う上で必要最小限の範囲に限るものとする。
２ 取扱い権限を有しない病院従業員は，保有個人情報を取り扱ってはならない。
３ 病院 従業員 は， 取扱 い権 限を 有する 場合で あっ ても ，業務 上の目 的以 外の 目的で保有個人情報を取り扱ってはならない。
（複製等の制限）第19条 病院従業員が業務上の目的で保有個人情報を取り扱う場合であっても， 保護管理者
は，次に掲げる行為については，当該保有個人情報の秘匿性等その内容に応じて，当該行為を行うことができる場合を限定し，病院従業員は， 保護管理者の定める基準又は指示に従い行
わなければならない。
( １) 保有 個人情報 の複 製
( ２) 保有 個人情報 の送 信
(３) 保有個人情報が記録されている媒体の外部への送付又は持出し(４) その他保有個人情報の適切な管理に支障を及ぼすおそれのある行為（媒体の管理等）
第20条 病院従業員は，保護管理者の指示に従い，保有個人情報が記録されている媒体を定められた場所に保管するとともに，必要があると認めるときは， 耐火金庫への保管，施錠等を行わなければならない。
２ 病院従業員は，保有個人情報又は保有個人情報が記録されている媒体（端末及びサー
バに内蔵されているものを含む。）が不要となった場合には，保護管 理 者 の 指 示 に 従 い ，
当 該 保 有 個 人 情 報 の 復 元 又 は 判 読 が 不 可 能 な 方 法 に よ り，当該情報の消去又は当該媒体の廃棄を行わなければならない。
（保有個人情報の取扱状況の記録）
第21条 保護管理者は，保有個人情報の秘匿性等その内容に応じて，台帳等を整備して，当該保有個人情報の利用及び保管等の取扱いの状況について記録するものとする。
第４章 病院情報システムにおける安全の確保等（アクセス制御）第 22条 保 護管 理 者は， 保 有個 人情 報（ 病院情報システムで取り扱うものに限る。以下次条から第26条まで，第28条から第32条までにおいて同じ。）の秘匿性 等そ の 内 容 に 応 じ て ，
パスワード，ＩＣカード，生体情報等（以下「パスワード等」という。）を使用して権限を識別する機能（以下「認証機能」という。）を設定する等のアクセス制御のために必要な措置を講じなければならない。
２ 保護管理者は，前項の措置を講ずる場合には，パスワード等の管理に関する定めについて整備（ その定期又は随時の見直しを含む。）するとともに，パスワード等の読 取防止等を行うために必要な措置を講じなければならない。
（アクセス記録）第23条 保護管理者は，保有個人情報の秘匿性等その内容に応じて，保有個人情報へのア
クセス状況を記録し，その記録（以下「アクセス記録」という。）を 一 定 の 期 間 保 存 する と と も に ， ア ク セ ス 記 録 を 定 期 時 に 分 析 す る た め に 必要な措置を講ずるものとする。
２ 保護管理者は，アクセス記録の改ざん，窃取又は不正な消去の防止のために必要な措置を講ずるものとする。
（アクセス状況の監視）
第24条 保護管理者は，保有個人情報の秘匿性等その内容及びその量に応じて， 当該保有個人情報への不適切なアクセスの監視のため，保有個人情報を含むか又は含むおそれがある一定量以上の情報が情報システムからダウンロードされた場合に警告表示がなされる機能の設定，当該設定の定期的確認等の必要な措置を講ずるものとする。
（管理者権限の設定）
第25条 保護管理者は，保有個人情報の秘匿性等その内容に応じて，情報システムの管理者 権 限 の 特 権を 不 正 に窃 取 さ れ た 際の 被 害 の最 小 化 及 び 内部 か ら の不 正 操 作 等 の防止のため，当該特権を最小限とする等の必要な措置を講ずるものとする。
（不正アクセス等の防止）
第 26条 保 護管 理 者は， 保 有個 人情 報 を取 り扱 う 情報 シス テ ムへ の外 部 から の不正アクセスを防止するため，経路制御等の必要な措置を講ずるものとする。
２ 保護管理者は，不正プログラムによる保有個人情報の漏えい，滅失又は毀損（以下「 漏 え い 等 」 と い う 。 ） の防 止のた め， ソフト ウェ アに 関する 公開さ れ た 脆 弱 性 の 解
消 ， 把 握 さ れ た 不 正 プ ロ グ ラ ム の 感 染 防 止 等 に 必 要 な 措 置 （導入したソフトウェアを
常に最新の状態に保つことを含む。
）を講ずるものとする。
３ 病院従業員は，保有個人情報について，一時的に加工等の処理を行うため複製等を行う 場 合 に は ， そ の 対 象 を 必 要 最 小 限 に 限 り ， 処 理 終 了 後 は 不 要 と なった情報を速やかに消去しなければならない。
４ 保護管理者は，前項の処理が行われた際は，当該保有個人情報の秘匿性等その内容に応じて，随時，消去等の実施状況を重点的に確認するものとする。
５ 保護管理者は，保有個人情報の秘匿性等その内容に応じて，暗号化のために必要な措置を講ずるものとする。
６ 病院従業員は，保護管理者の指示に従い，その処理する保有個人情報について，当該保有個人情報の秘匿性等その内容に応じて，適切に暗号化を行わなければならない。
（入力情報の照合等）
第27条 病院従業員は，病院情報システムで取り扱う保有個人情報の重要度に応じて，入力 原 票 と 入 力 内 容 と の 照 合 ， 処 理 前 後 の 当 該 保 有 個 人 情 報 の 内 容 の確認，既存の保有個人情報との照合等を行うものとする。
（バックアップ）
第28条 保護管理者は，保有個人情報の重要度に応じて，バックアップを作成し，分散保管するために必要な措置を講じなければならない。
（情報システム設計書等の管理）第29条 保護管理者は，保有個人情報に係る情報システムの設計書，構成図等の文書につい て 外 部 に 知 ら れ る こ と が な い よ う ， そ の 保 管 ， 複 製 ， 廃 棄 等 に ついて必要な措置を講じなければならない。

（端末の管理）第30条 保護管理者は，保有個人情報の秘匿性等その内容に応じて，その処理を行う端末を限定するために必要な措置を講じなければならない。
２ 保護管理者は，端末の盗難又は紛失の防止のため，端末の固定，執務室の施錠等の必要な措置を講じなければならない。
３ 病院従業員は，保護管理者が必要であると認めるときを除き，端末を外部へ持ち出し，又は外部から持ち込んではならない。
４ 病院従業員は，端末の使用に当たっては，保有個人情報が第三者に閲覧されることがな い よ う ， 使 用 状 況 に 応 じ て 病 院 情 報 シ ス テ ム か ら ロ グ オ フ を 行 うことを徹底する等の必要な措置を講じなければならない。
（記録機能を有する機器・媒体の接続制限）
第31条 保護管理者は，保有個人情報の秘匿性等その内容に応じて，当該保有個人情報の漏 え い ， 滅 失又 は 毀 損の 防 止 の た め， ス マ ート フ ォ ン ， ＵＳ Ｂ メ モリ 等 の 記 録 機能を有する機 器・媒体の情報システ ム端末等への接続の制 限（当該機器の更新への対応を含
む。）等の必要な措置を講ずるものとする。
（情報システム室等における入退室の管理）
第32条 保護管理者は，保有個人情報を取り扱う基幹的なサーバ等の機器を設置する室その他の区域（ 以下「情報システム室等」という。）に 立ち 入 る権 限を 有 す る 者 を 定 め ると と も に ， 用件 の 確 認， 入 退 の 記 録， 部 外 者に つ い て の 識別 化 ， 部外 者 が 立 ち 入る場
合 の 病 院 従 業員 の 立 会い 又 は 監 視 設備 に よ る監 視 ， 外 部 電磁 的 記 録媒 体 等 の 持 込み，
利 用 及 び 持 ち出 し の 制限 又 は 検 査 等の 措 置 を講 じ な け れ ばな ら な い。 保 有 個 人 情報を記 録 す る 媒 体を 保 管 する た め の 施 設（ 以 下 「保 管 施 設 」 とい う 。 ）を 設 け て い る場合においても，必要があると認めるときは，同様の措置を講ずるものとする。
２ 保護管理者は，必要があると認めるときは，情報システム室等の出入口の特定化による入退の管理の容易化，所在表示の制限等の措置を講ずるものとする。
３ 保護管理者は，情報システム室等及び保管施設の入退の管理について，必要があると認 め る と き は ， 立 入 り に 係 る 認 証 機 能 を 設 定 し ， 及 び パ ス ワ ー ド 等の管理に関する定めを整備（その定期又は随時の見直しを含む。）するととも に， パ スワ ー ド 等の 読 取 防止等を行うために必要な措置を講ずるものとする。
（情報システム室等の管理）
第 33条 保護 管理 者は， 外部 からの 不正 な侵入 に備 え，情 報シ ステム 室等 に施 錠装置，警報装置及び監視設備の設置等の措置を講ずるものとする。
２ 保 護管理者 は，災害 等に備え ，情報シ ステ ム室等に ，耐震， 防火 ，防煙， 防 水 等 の必要な措 置を講ずるとともに， サーバ等の機 器の予備 電源の確保， 配線の損傷防止等の措置を講ずるものとする。
（病院情報システム以外のシステム等の安全確保等）
第34条 第 22条から前条までの規定は，病院情報システム以外のシステム等において保有
個人情報を取扱う場合に，必要な限度において準用する。
第５章 問題への対応等（安全確保上の問題への対応）
第 35条 保有 個人情報の漏 えい等安 全確保の上で 問題とな る事案又は問 題とな る 事案 の発
生のおそれを認識した場合に，その事案等を認識した病院従業員は，直ちに当該保有個人情報を管理する保護管理者に報告しなければならない。
２ 保護 管理者 は， 被害 の拡 大防 止又は 復旧等 のた めに 必要な 措置を 速や かに 講じなければならない。ただし，外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のＬＡＮケーブルを抜くなど，被害拡大防止のため直ちに行い得る措置については，直ちに行う（病院従業員に行わせることを含む。）ものとする。
３ 保護 管理者 は， 事案 の発 生し た経緯 ，被害 状況 等に ついて 調査し ，速 やか に保護管理責任者に報告しなければならない。ただし，特に重大と認める事案が発生したときは，

直ちに保護管理責任者に当該事案の内容等について報告しなければならない。
４ 保護管理責任者は，前項の規定に基づく報告を受けたときは，直ちに，保護管理補助責
任者と協議の上，総括保護管理者に報告するものとする。
５ 保護 管理者 は， 保護 管理 責任 者の指 示のも とに 事案 の発生 した原 因を 分析 し，再発防止のために必要な措置を講じなければならない。
（公表等）
第 36条 保護 管理責任者は ，前条の 事案が発生し たときは ，事案の内容 ，影響 等に 応 じて，
事実関係及び再発防止策の公表，当該事案に係る保有個人情報の本人への対応等の措置を総括保護管理者と協議の上，講じなければならない。
（苦情の処理）第37条 保護管理責任者は，病院における個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
２

保護管理責任者は，前項の目的を達成するために必要な体制の整備に努めなければならない。

第６章 点検の実施（点検）第 38条 保護 管理者は，自 ら管理責 任を有する保 有個人情 報の記録媒体 ，処理 経 路， 保管方法等に ついて，定期に及び必 要に応じ随時に点検を 行い，必要があると認めるときは，その結果を保護管理責任者に報告するものとする。
（評価及び見直し）
第39条 保護管理責任者及び保護管理者等は，監査又は点検の結果等を踏まえ， 実効性等の観点から保有個人情報の適切な管理のための措置について評価し， 必要があると認めるときは，その見直し等の措置を講ずるものとする。
第７章 雑則（雑則）
第40条 この内規に定めるもののほか，病院の保有する個人情報の適切な管理のための措置に関し必要な事項は，別に定める。
附 則
この規則は，平成17年12月15日から施行し，平成17年10月１日から適用する。
附 則
この規則は，平成18年９月１日から施行する。
附 則
この規則は，平成20年４月１日から施行する。附則
この規則は，平成22年４月１日から施行する。
附 則
この規則は，平成24年10月１日から施行する。
附 則
１ こ の 規 則 は ， 平 成 27年４月１日から施行する。
２ この規則施行後，保護管理者は第23条に定める機能が設定されるまでの間， 定期的なア
クセス記録の確認によってアクセスの監視を行うものとする。
附 則
この規則は，平成27年４月15日から施行し，平成27年４月１日から適用する。
附 則
この規則は，平成27年６月16日から施行する。
附 則

この規則は，平成28年２月17日から施行し，平成28年１月１日から適用する。
附 則
この内規は，平成30年９月19日から施行する。
附 則
この内規は，令和３年11月16日から施行し，令和３年４月１日から適用する。
附 則
この内規は，令和４年９月21日から施行し，令和４年８月２日から適用する。

別紙様式

個人情報ファイル簿
年
保護管理責任者（病院長） 殿
保護管理者名（診療科長等）：

次の個人情報ファイルを保有しましたので，個人情報ファイル簿を作成の上，報告します。
区分

個人情報ファイルの名称
保有している部門名
保有場所と保護管理者名（診療科長等）・保護担当者名等
個人情報ファイルの利用目的

個人情報ファイルの記録項目

記録の範囲
記録情報の収集方法
記録情報の経常的提出先
個人情報ファイルの種別
保有している媒体の区分
保管期限が規定されている法令等
その他特記事項

内容月日報告