岐阜大学医学部附属病院個人情報保護規程
平成１７年４月１日
制
定
目次
第１章
第２章
第３章
第４章
第５章
第６章
第７章
第８章
附則

総則（第１条－第３条）
個人情報保護の管理体制（第４条－第６条）
教育研修（第７条）
個人情報の取扱い（第８条－第１７条）
情報システムにおける安全の確保等（第１８条）
安全確保上の問題への対応（第１９条－第２０条）
苦情処理（第２１条）
雑則（第２２条・第２３条）

第１章 総則（趣旨）
第１条 この規程は，国立大学法人岐阜大学個人情報管理規程（以下「個人情報管理規程」という。）第５条第３項に基づき，岐阜大学医学部附属病院（以下「本病院」という。）の保有する個人情報の適切な保護に関し必要な事項を定めるものとする。
（対象とする個人情報等）
第２条 この規程は，本病院の保有個人情報について適用し，この規程の対象としない
個人情報及びこの規程に定めのない事項については，個人情報管理規程及び国立大学法人岐阜大学における保有個人情報の開示等に関する取扱規程の定めるところによる。
（定義）
第３条 この規程において，次に掲げる用語の意義は，当該各号に定めるところによる。
一 個人情報 生存する個人に関する情報であって，当該情報に含まれる氏名，生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と照合することができ，それにより特定の個人を識別することができることとなるものを含む。）をいう。
二 保有個人情報 本病院において医療を提供する上で作成し，又は取得した個人情報であって，本病院が組織的に利用するものとして，保有しているもの（岐阜大学法人文書として管理しているものに限る。）をいう。
三 個人情報ファイル 保有個人情報を含む情報の集合物であって，次に掲げるものをいう。
イ 医療を提供するために特定の保有個人情報を電子計算機を用いて検索することができるように体系的に構成したもの
ロ イに掲げるもののほか，医療を提供するために氏名，生年月日，その他の記述等により特定の保有個人情報を容易に検索することができるように体系的に構成したもの

四 個人情報について「本人」 個人情報によって識別される特定の個人をいう。
第２章 個人情報保護の管理体制（保護管理者）
第４条 本病院に，個人情報保護管理者（以下「保護管理者」という。）を置き，病院長をもって充てる。
２ 保護管理者は，保有個人情報を適切に管理する任に当たる。
（保護担当者）
第５条 本病院に，個人情報保護担当者（以下「保護担当者」という。）を置き，診療録管理室長をもって充てる。
２ 保護担当者は，保護管理者を補佐し，保護管理者と同等の権限を持って保有個人情報の管理に関する業務を行う。
３ 保護担当者は，必要があると認めるときは，診療録管理委員会において保有個人情報の管理及び取扱いに関し連絡・調整等を行うものとする。
（監査担当者）
第６条 本病院に，個人情報保護監査担当者（以下「監査担当者」という。）を置き，事務部長をもって充てる。
２ 監査担当者は，監査員を組織し,保有個人情報の保護に係わる体制及び運用状況を定期に又は臨時に監査する。
第３章 教育研修第７条 保護管理者は，個人情報の取扱いに従事する職員に対し，保有個人情報を適切に保護するために，個人情報管理規程第３条に規定する総括保護管理者（以下「総括保護管理者」という。）の実施する教育研修への参加の機会を付与し，又は自ら教育研修を行う等の必要な措置を講ずるものとする。
第４章 個人情報の取扱い（職員等の責務）
第８条 職員は，法の趣旨に則り，個人情報保護又は守秘義務に関する他の法令等を遵守し，並びに保護管理者及び保護担当者の指示に従い，個人情報を取り扱わなければならない。
２ 次に掲げる者は，その取扱いに関して知り得た個人情報の内容をみだりに他人に知らせ，又は不当な目的に利用してはならない。
一 個人情報の取扱いに従事する職にあった者
二 教育系職員の指示のもとに診療を行う学生又は行っていた学生
三 臨床又は看護学の実習を受けている学生若しくは受けていた学生
四 第１３条第２項の受託業務に従事している者又は従事していた者
五 その他本病院において個人情報を取り扱う者又は取り扱っていた者（個人情報の保有の制限等）
第９条 個人情報の保有に当たっては，医療の提供に必要な場合に限り，かつ，その利用の目的をできる限り特定しなければならない。

２ あらかじめ本人の同意を得ないで，前項の規定により特定された利用の目的（以下「利用目的」という。）の達成に必要な範囲を超えて，個人情報を保有してはならない。
３ 利用目的を変更する場合には，変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。
（利用目的の明示）
第１０条 本人から直接書面（電子的方式，磁気的方式その他人の知覚によっては認識することができない方式で作られる記録を含む。）に記録された当該本人の個人情報を取得するときは，次に掲げる場合を除き，あらかじめ，本人に対し，その利用目的を明示しなければならない。
一 人の生命，身体又は財産の保護のために緊急に必要があるとき。
二 利用目的を本人に明示することにより，本人又は第三者の生命，身体，財産その他の権利利益を害するおそれがあるとき。
三 利用目的を本人に明示することにより，国の機関，独立行政法人等，地方公共団体又は地方独立行政法人が行う事務又は事業の適正な遂行に支障を及ぼすおそれがあるとき。
四 取得の状況からみて利用目的が明らかであると認められるとき。
（適正な取得）第１１条 職員は，偽りその他不正な手段により個人情報を取得してはならない。
（正確性の確保）第１２条 職員は，利用目的の達成に必要な範囲内で，保有個人情報が過去又は現在の事実と合致するよう努めなければならない。
２ 職員は，利用目的の達成のために必要があると認めるときは，次に掲げる事項を含む保有個人情報の正確性を確保するための措置を講じなければならない。
一 入力時の照合，確認等の手続き
二 誤り等を発見した場合の訂正等の手続き
三 記録事項の更新（安全確保の措置）
第１３条 保護管理者は，保有個人情報の漏えい，滅失又はき損の防止その他保有個人情報の適切な管理のために必要な措置を講じなければならない。
２ 前項の規定は，本病院から個人情報の取扱いの委託を受けたものが受託した業務を行う場合について準用する。
３ 保護管理者は，保有個人情報の適切な管理のために必要があると認めるときは，次に掲げる事項を含む合理的な安全対策を講じなければならない。
一 利用者等の制限
二 利用方法の制限
三 保管場所及び保管方法の制限
四 複製及び持ち出しの制限
五 廃棄方法の制限（業務の委託等）
第１４条 保有個人情報の取扱いに係る業務を外部に委託する場合には，個人情報の適切な管理を行う能力を有しない者を選定することがないよう，必要な措置を講じなければならない。
２ 前項の業務の外部委託に当たっては，当該契約書に，次に掲げる事項を明記するとともに，委託先における責任者等の管理体制，個人情報の管理状況についての検査等に関する必要事項について書面で確認するものとする。
一 個人情報に関する秘密保持等の義務
二 再委託の制限又は条件に関する事項
三 個人情報の複製等の制限に関する事項
四 個人情報の漏えい等の事案の発生時における対応に関する事項
五 委託終了時における個人情報の消去及び媒体の返却に関する事項
六 違反した場合における契約解除の措置その他必要な事項
３ 個人情報の取扱いを派遣労働者によって行わせる場合には，労働者派遣契約書に秘密保持等個人情報の適正な取扱いに関する事項を盛り込まなければならない。
（利用及び提供の制限）
第１５条 職員は，法令に基づく場合を除き，利用目的以外の目的のために保有個人情報を自ら利用し，又は提供してはならない。
２ 前項の規定にかかわらず，職員は，次の各号のいずれかに該当すると認めるときは，利用目的以外の目的のために保有個人情報を自ら利用し，又は提供することができる。
ただし，保有個人情報を利用目的以外の目的のために自ら利用し，又は提供することによって，本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは，この限りでない。
一 本人の同意があるとき，又は本人に提供するとき。
二 法令の定める業務の遂行に必要な限度で保有個人情報を内部で利用する場合であって，当該保有個人情報を利用することについて相当な理由のあるとき。
三 行政機関，他の独立行政法人等，地方公共団体又は地方独立行政法人に保有個人情報を提供する場合において，保有個人情報の提供を受ける者が，法令の定める事務又は業務の遂行に必要な限度で提供に係る個人情報を利用し，かつ，当該個人情報を利用することについて相当な理由のあるとき。
四 前３号に掲げる場合のほか，専ら統計の作成又は学術研究の目的のために保有個人情報を提供するとき，本人以外の者に提供することが明らかに本人の利益になるとき，その他保有個人情報を提供することについて特別の理由のあるとき。
（保有個人情報の提供を受ける者に対する措置要求）
第１６条 保護管理者は，前条第２項第３号及び第４号の規定に基づき行政機関及び独立行政法人等以外の者に保有個人情報を提供する場合には，提供先における利用目的，利用する業務の根拠法令，利用する記録範囲及び記録項目，利用形態等について書面を取り交わすものとする。
２ 保護管理者は，前項の保有個人情報の提供に当たっては，安全確保の措置を要求するとともに，必要があると認めるときは，提供前又は随時の実地調査等による措置状況の確認を行い，その結果を記録するとともに，改善要求等の措置を講ずるものとする。
３ 保護管理者は，前条第２項第３号の規定に基づき行政機関又は独立行政法人等に保有個人情報を提供する場合において，必要があると認めるときは，前２項に規定する措置を講ずるものとする。

（学術研究の目的の利用）
第１７条 職員は，第１５条第２項第４号の規定に基づき，保有個人情報を学術研究の目的に利用しようとする場合には，「医療情報の研究目的利用に係る提供基準（岐阜大学医学部附属病院医療情報セキュリティ委員会）」に定める申請書を保護管理者に提出し，許可を受けなければならない。
２ 保護管理者は，提出された申請書について，必要に応じ，利用目的の詳細並びに個人情報の管理及び安全確保に係る措置を調査し，利用の許諾を決定するものとする。
第５章 情報システムにおける安全の確保等
第１８条 保護管理者は，個人情報ファイル（情報システムで扱うものに限る。）を故意及び偶然の区別に関係なく，漏えい，滅失又はき損等から保護するために必要な次に掲げる情報システムの安全の確保等の措置を講じなければならない。
一 情報の機密性，完全性及び利用の可用性の維持
二 情報及び情報処理施設・設備に対する脅威，それらの影響及び脆弱性並びにそれらが起こる可能性の評価
三 情報システムに影響を及ぼす可能性があるセキュリティリスクを明確にし，制御し，最小限に抑制するか又は除去する方法
四 自然災害，機器障害，悪意のある行為等，損失を発生させる直接要因への対策
五 建物の構造上の欠陥，定期点検の不備，情報セキュリティに関する規程・要員教育の不備等，脅威を発生し易くさせる要因又は脅威を増加させる要因（脆さ，弱点）への対策
第６章 安全確保上の問題への対応（事案の報告及び再発防止措置）
第１９条 職員は，保有個人情報の漏えい等安全確保の上で問題となる事案が発生した事実を知った場合には，速やかに保護管理者に報告しなければならない。
２ 保護管理者は，被害の拡大防止又は復旧等のために必要な措置を速やかに講じなければならない。
３ 保護管理者は，事案の発生した経緯，被害状況等を調査し，総括保護管理者に報告する。ただし，特に重大と認める事案が発生した場合には，直ちに総括保護管理者に当該事案の内容等について報告しなければならない。
４ 保護管理者は，事案の発生した原因を分析し，再発防止のために必要な措置を講じなければならない。
（公表等）
第２０条 保護管理者は，事案の内容，影響等に応じて，事実関係及び再発防止策の公表，当該事案に係る本人への対応等の措置を講じなければならない。
第７章 苦情処理
第２１条 個人情報の取扱いに関する苦情（以下単に「苦情」という。）の適切かつ迅速な処理を行うため，医療支援課に苦情の相談の受付等を行う窓口を置く。
２ 苦情を受付けたときは，当該苦情に関する当該個人情報の取扱いの状況等を迅速に調査し，その適切な措置について保護管理者に協議するものとする。
３ 苦情の処理は，必要があると認めるときは保護管理者のもとで行わなければならない。
４ 苦情の処理結果は，必要があると認めるときは苦情を申し出た者に書面で通知するものとする。
第８章 雑則（点検，評価及び見直し）第２２条 保護管理者は，この規程の施行の状況に関して，定期に又は随時に点検を行わなければならない。
２ 保護管理者は，保有個人情報の適切な管理の措置について，監査又は点検の結果等を踏まえ，実効性の観点から評価し，必要があると認めるときは，その是正措置を講じなければならない。
（規程の細目及び運用）
第２３条 この規程の実施に必要な事項は，別に定める。
附 則
この規程は，平成１７年４月１日から施行する。
附 則
この規程は，平成１９年１０月１０日から施行する。
附 則
この規程は，平成２２年４月１日から施行する。
附 則
この規程は，平成２４年４月１日から施行する。