秋田大学医学部附属病院の保有する個人情報の適切な管理のための措置に関する規程
（定義）
第１条
保

この規程における用語の意義は，「独立行政法人等の保有する個人情報の護に関する法律」（平成 15 年法律第 59 号。以下「法」という。）第２条の定めるところによる。

（保護管理者）
第２条

国立大学法人秋田大学個人情報保護規程第３条第２項及び第３項第２号に基づき，秋田大学医学部附属病院（以下「本院」という。）に，総括保護管理者のもとに保護管理者を置き，附属病院長をもって充てる。
２

保護管理者は，本院の保有する個人情報（以下「保有個人情報」という。）を適切に管理する任に当たる。
（保護担当者）

第３条

国立大学法人秋田大学個人情報保護規程第 ３条第２項及び第４項に基づ

き，本院に，保護担当者を置き，医療情報部長，医療安全管理部長及び事務部長をもって充てる。
２

保護担当者は，保護管理者を補佐し，保護管理者と同等の権限を持って保有個人情報の管理に関する事務を担当する。
（協議）

第４条
担保有個人情報を適切に管理するため，必要に応じて，保護管理者及び保護当者が協議を行うものとする。
（職員等の責務）

第５条
同

職員等（保有個人情報を取り扱うことのある学生，実習生等を含む。以下じ。）は，法の趣旨に則り，関連する法令及び規程等の定め並びに総括保護管理者，ばならな保護管理者及び保護担当者の指示に従い，保有個人情報を取り扱わなけれい。

（教育研修）
第６条

保護管理者は，職員等に対し，保有個人情報の適切な管理のために，国立大学法人秋田大学の総括保護管理者（以下「総括保護管理者」という。）の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。
（アクセス制限）第７条

保護管理者は，保有個人情報の秘匿性等その内容に応じて，保有個人情報にアクセスする権限を有する者をその利用目的を達成するために必要最小限の職員に制限する。
２

アクセス権限を有しない職員等は，保有個人情報にアクセスしてはならない。

３

職員等は，アクセス権限を有する場合であっても，業務上の目的以外の目的で保有個人情報にアクセスしてはならない。

４

保護管理者は，職務遂行上の必要最小限の職員にアクセス権限を与えるとともに，権限の取り消しを行うことができる。
（複製等の制限）第８条

職員等は，業務上の目的で保有個人情報を取り扱う場合であっても，次に掲げる行為については，保護管理者の指示に従い行う。
一保有個人情報の複製

二保有個人情報の送信

三保有個人情報が記録されている媒体の外部への送付又は持出し

四その他保有個人情報の適切な管理に支障を及ぼすおそれのある行為（誤りの訂正等）
第９条

職員等は，保有個人情報の内容に誤り等を発見した場合には，保護管理者の指示に従い，訂正等を行う。
（媒体の管理等）
第 10 条

職員等は，保護管理者の指示に従い，保有個人情報が記録されている媒体を定められた場所に保管するとともに，必要があると認めるときは，耐火金庫への保管及び施錠等を行う。
（廃棄等）
第 11 条

職員等は，保有個人情報又は保有個人情報が記録されている媒体（端末及びサーバに内蔵されているものを含む。）が不要となった場合には，保護管理者の指示に従い，復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。
（保有個人情報の取扱状況の記録）
第 12 条

保護管理者は，保有個人情報の秘匿性等その内容に応じて，台帳等を整備して，保有個人情報の利用及び保管等の取扱いの状況について記録する。
（アクセス制御）
第 13 条

保護管理者は，保有個人情報の秘匿性等その内容に応じて，暗証番号等を使用して権限を識別する機能（以下「認証機能」という。）を設定する等のアクセス制御のために必要な措置を講ずる。
２

保護管理者は，前項の措置を講ずる場合には，暗証番号等の管理に関する定めの整備（その定期又は随時の見直しを含む。），暗証番号等の読取防止等を行うために必要な措置を講ずる。
（アクセス記録）

第 14 条

保護管理者は，保有個人情報の秘匿性等その内容に応じて，保有個人情報へのアクセス状況を記録し，その記録（以下「アクセス記録」という。）を一定の期間保存するとともにアクセス記録を定期に又は随時に分析するために必要な措置を講ずる。
２

保護管理者は，アクセス記録の改ざん，窃取又は不正な消去の防止のために必要な措置を講ずる。
（情報システムへの外部からの不正アクセスの防止）

第 15 条

保護管理者は，保有個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため，経路制御等の必要な措置を講ずる。
（コンピュータウイルスによる漏えい等の防止）
第 16 条

保護管理者は，コンピュータウイルスによる保有個人情報の漏えい，滅失又はき損の防止のため，コンピュータウイルスの感染防止等に必要な措置を講ずる。
（暗号化）第 17 条

保護管理者は，保有個人情報の秘匿性や保護状況等，その内容と状況に応じて，その暗号化のために必要な措置を講ずる。
（入力情報の照合等）
第 18 条

職員等は，本院情報システムで取り扱う保有個人情報の重要度に応じて，入力原票と入力内容との照合，処理前後の当該保有個人情報の内容の確認，既存の保有個人情報との照合等を行う。
（バックアップ）
第 19 条

保護管理者は，保有個人情報の重要度に応じて，バックアップを作成し，分散保管するために必要な措置を講ずる。
（設計書等の管理）
第 20 条

保護管理者は，保有個人情報に係る設計書，構成図等の文書について外部に知られることがないよう，その保管，複製，廃棄等について必要な措置を講ずる。
（機器等の限定）
第 21 条

保護管理者は，保有個人情報の秘匿性等その内容に応じて，その処理を行う機器等を限定するために必要な措置を講ずる。
（機器等の盗難防止等）
第 22 条

保護管理者は，機器等の盗難又は紛失の防止のため，端末の固定，執務室の施錠等の必要な措置を講ずる。
２

職員等は，保護管理者が必要があると認めるときを除き，機器等を外部へ持ち出し，又は外部から持ち込んではならない。
（第三者の閲覧防止）

第 23 条

職員等は，機器等の使用に当たっては，保有個人情報が第三者に閲覧されることがないよう，状況に応じて使用を終了することを徹底する等の必要な措置を講ずる。
（入退室の管理）第 24 条保護管理者は，保有個人情報を取り扱う基幹的なサーバ等の機器を設置する室等（以下「情報システム室等」という。）に入室する権限を有する者を定めるとともに，用件の確認，入退室の記録，部外者についての識別化，部外者が入室する場合の職員の立会い等の措置を講ずる。また，保有個人情報を記録する媒体を保管するための施設を設けている場合においても，同様の措置を講ずる。
２

保護管理者は，情報システム室等の出入口の特定化による入退室の管理の容易化，所在表示の制限等の措置を講ずる。

３

保護管理者は，情報システム室等及び保管施設の入退室の管理について，入室に係る認証機能を設定し，及び暗証番号等の管理に関する定めの整備（その定期又は随時の見直しを含む。），暗証番号等の読取防止等を行うために必要な措置を講ずる。
（情報システム室等の管理）

第 25 条

保護管理者は，外部からの不正な侵入に備え，情報システム室等に施錠装置，警報装置，監視設備の設置等の措置を講ずる。
２

保護管理者は，災害等に備え，情報システム室等に，耐震，防火，防煙，防水等の必要な措置を講ずるとともに，サーバ等の機器の予備電源の確保，配線の損傷防止等の措置を講ずる。
（保有個人情報の提供）

第 26 条

保護管理者は，法第９条第２項第３号及び第４号の規定に基づき，行政機関及び独立行政法人等以外の第三者に保有個人情報を提供する場合には，原則として，提供先における利用目的，利用する業務の根拠法令，利用する記録範囲及び記録項目，利用形態等について書面を取り交わすとともに，可及的に匿名化等の対策を講ずる。
２

保護管理者は，法第９条第２項第３号及び第４号の規定に基づき，行政機関及び独立行政法人等以外の第三者に保有個人情報を提供する場合には，安全確保の措置を要求するとともに，必要があると認めるときは，提供前又は随時に実地の調査等を行い措置状況を確認し，その結果を記録するとともに，改善要求等の措置を講ずる。

３

保護管理者は，法第９条第２項第３号の規定に基づき行政機関又は独立行政法人等に保有個人情報を提供する場合において，必要があると認めるときは，利用する業務の根拠法令の確認を行なうとともに，前２項に規定する措置を講ずる。
（業務の委託等）

第 27 条保有個人情報の取扱いに係る業務を外部に委託する場合には，個人情報の適切な管理を行う能力を有しない者を選定することがないよう，必要な措置を講ずる。また，契約書に，次に掲げる事項を明記するとともに，委託先における責任者等の管理体制，個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認する。

２

一

個人情報に関する秘密保持等の義務

二

再委託の制限又は条件に関する事項

三

個人情報の複製等の制限に関する事項

四

個人情報の漏えい等の事案の発生時における対応等に関する事項

五

委託終了時における個人情報の消去及び媒体の返却に関する事項

六違反した場合における契約解除の措置その他必要な事項
保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には，労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記する。
（事案の報告及び再発防止措置）
第 28 条保有個人情報の漏えい等安全確保の上で問題となる事案が発生した場合に，その事実を知った職員等は，速やかに保護管理者に報告する。
２

保護管理者は，被害の拡大防止又は復旧等のために必要な措置を講ずる。

３

保護管理者は，事案の発生した経緯，被害状況等を調査し，総括保護管理者に報告する。ただし，特に重大と認める事案が発生した場合には，直ちに総括保護管理者に当該事案の内容等につい４て報告する。

保護管理者は，事案の発生した原因を分析し，再発防止のために必要な措置を講ずる。
（公表等）

第 29 条

保護管理者は事案の内容，影響等に応じて，事実関係及び再発防止策の公表，当該事案に係る本人への対応等の措置を総括保護管理者と協議の上，講ずる。
（点検）第 30 条

保護管理者は，自ら管理責任を有する保有個人情報の記録媒体，処理経路，保管方法等について，定期に又は随時に点検を行い，必要があると認めるときは，その結果を総括保護管理者に報告する。
（評価及び見直し）
第 31 条

保護管理者は，保有個人情報の適切な管理のための措置については，点検又は国立大学法人秋田大学個人情報保護規程第 ２９条に定める監査又は点検の結果等を踏まえ，実効性等の観点から評価し，必要があると認めるときは，その見直し等の措置を講じ，総括保護管理者に報告する。
（苦情への対応）
第 32 条処

保護管理者は，個人情報の取扱いに関する苦情について，迅速かつ適切な理に務めなければならない。
附則

この規程は，平成 17 年４月 12 日から施行し，平成 17 年４月１日から適用する。
附則

この規程は，平成 21 年４月１日から施行する。