地方独立行政法人桑名市総合医療センター個人情報取扱規程
平成 28 年６月８日（目的）
第１条 この規程は、地方独立行政法人桑名市総合医療センター（以下、「法人」という。）
が、「個人情報の保護に関する法律」（以下、「個人情報保護法」という。）、「個人情報の保護に関する法律施行令」、厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」、「桑名市個人情報保護条例」、「桑名市個人情報保護条例施行規則」
及び、厚生労働省「診療情報の提供等に関する指針」等に基づき、法人の取扱う個人情報等の適正な取扱いを確保するために定めるものとする。
（用語の定義）
第２条 この規程において、用語の定義は、次のとおりとする。
(1) 個人情報
個人情報とは、個人情報保護法に規定する個人情報であって、生存する個人に関する個人に関する情報であり、当該情報に含まれる氏名、生年月日、住所その他の記述等により特定の個人を識別することができるもの（他の情報と照合することができ、それにより特定の個人を識別することができるものを含む。）をいう。既往症、診療の内容、受けた処置の内容、検査結果、それらに基づいて医療従事者がなした診断・判断、評価・観察等の診療に関する情報だけでなく職員に関する情報や採用に関する情報も保護対象とする。
(2) 診療記録等
診療の過程で患者等の身体状況、症状、治療等について作成または収集された書面、画像等の一切をいう。代表的な記録としては、診療録、手術記録、麻酔記録、各種検査記録、検査成績、エックス線・CT・MRI 画像、助産記録、看護記録、紹介状、処方箋の控え、電子媒体に記録されたデータ等をいう。
(3) 匿名化
個人情報の一部を削除または加工することにより、特定の個人を識別できない状態にすることをいう。匿名化された情報は個人情報としては扱われないものとする。ただし、その情報を主として利用する者が、他の情報と照合することで特定の個人を識別できる場合には、匿名化が不十分なものとする。
(4) 職員
法人の組織内にあって直接又は間接に法人の業務に従事している者をいい、雇用関係にある従業者（正職員、契約職員、嘱託職員、パート職員、アルバイト職員等）のみならず、法人との間の雇用関係にない者（監査役、派遣職員等）を含む。
(5) 学生など
法人に研修や教育を受けるため、あるいは見学のために滞在する者で個人情報等に接する機会を持つ者すべてをいう。具体的には、医学生、看護学生、あるいは医療施設や公的・私的機関から医療を受けることを目的とせず、業務内容を見学することを主な目的としたも1

のなどをいう。
(6) 開示患者本人又は別に定める関係者に対して、これらの者が法人の保有する患者本人に関する情報を自ら確認するために、患者等からの請求に応じて、情報の内容を書面（電磁的記録媒体を含む）で示すことをいう。書面として記録されている情報を開示する場合には、そのコピーを交付する。
(7) 開示等請求者(ａ) 患者本人が 18 歳以上の成人で判断能力がある場合は患者本人とする。ただし、満 15歳以上 18 歳未満の未成年者については、疾病の内容によっては本人のみの請求を認めることができる。また、患者が 15 歳未満の場合は、親族（原則一親等）のみの請求を認めることができる。
(ｂ) 本人に法定代理人（親等）がある場合は、法定代理人とする。ただし、情報主体から代理権を与えられた親族者が成人で判断能力に疑義がある場合は、現実に情報主体の世話をしている親族、及びこれに準ずる縁故者とする。
(ｃ) 患者の診療記録等の開示請求をすることについて患者本人から委任を受けた代理人とする。
（守秘義務）
第３条 職員は、職種の如何を問わず、職務上知り得た患者等の個人情報を正当な理由なく第三者に漏らしてはならない。退職した後においても同様とする。また、職員は、守秘義務を遵守することを書面によって誓約するものとする。
２ 学生などは、職員と同様に扱うものとし、実習や見学の前に守秘義務を遵守することを書面によって誓約するものとする。
（管理体制等）第４条 保有個人情報を適切に管理するため、個人情報保護責任者を置き、病院長をもって充てる。
２ 個人情報保護責任者を補佐し、保有個人情報に関する実務を担当する個人情報保護管理者を置くことができる。個人情報保護管理者は病院長が任命する。
（安全管理措置）
第５条 個人情報保護責任者は、医療において収集される個人情報を機密性、真正性及び正確性を確保した上、厳重に保存・管理しなければならない。
２ 個人情報保護責任者は、個人情報の保護のために必要な措置を講じ、かつ当該措置の内容を公表しなければならない。
（教育・研修）
第６条 個人情報保護管理者は、本規程に定められた事項を理解し、遵守するとともに、職員に本規程を遵守させるための教育訓練を企画・運営する責任を負う。
２ 職員は、個人情報保護管理者が主催する本規程を遵守させるための教育を受けなければ2ならない。研修の内容及びスケジュールは、事業年度毎に個人情報保護管理者が定める。
（利用目的）
第７条 保有個人情報の利用目的は、次のとおりとする。
(1) 患者等に提供する医療・介護サービス（紹介、他施設との連携、他施設からの照会への回答、外部の医師等の意見・助言要請、院外処方、検査等の業務委託、家族等への病状の説明を含む。
）(2) 患者に係る入退院等の病棟管理、会計・経理業務、医療事務の業務委託(3) 医療事故等の報告・調査(4) 医療・介護サービスの向上(5) 医療保険事務の委託、審査支払機関へのレセプトの提出、審査支払機関又は保険者からの照会への回答(6) 健康診断等における結果の通知、医師損害賠償責任保険などに係る相談又は届出等(7) 医療サービス及び業務の維持・改善のための基礎資料(8) 症例に基づく研究(9) 学生の臨床実習、医療従事者の研修(10) 職員の人事管理業務
２ 保有個人情報の利用目的は、病院内に掲示し、周知するものとする。
（利用の同意）第８条 前条第２項をもって、診察の申込時に患者本人等により保有個人情報の利用目的が同意されたものとみなす。
２ 前項の規定にかかわらず、保有個人情報を利用目的以外に利用しようとする場合で、十分な匿名化が困難なときは、本人の同意を得なければならない。
３ 一度特定した利用目的を後に変更する場合には、改めて本人等に利用目的の変更内容を通知しなければならない。ただし、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると認められる範囲を超えることのないよう留意しなければならない。
（利用目的による制限）第９条 保有個人情報を利用目的以外で利用しようとする場合は、本人へ通知し、予め本人の同意を得なければならない。ただし、次の各号のいずれかに該当すると認められるときは、この限りではない。
(1) 法令の定める業務の遂行に必要な限度で保有個人情報を内部で利用する場合であって、当該保有個人情報を利用することについて相当な理由のあるとき。
(2) 行政機関、独立行政法人等、地方公共団体又は地方独立行政法人に保有個人情報を提供する場合において、保有個人情報の提供を受ける者が、法令の定める事務又は業務の遂行に必要な限度で提供に係る個人情報を利用し、かつ、当該個人情報を提供することについて相当な理由のあるとき。
(3) 前３号に掲げる場合のほか、専ら統計の作成又は学術研究の目的のために保有個人情報

3

を提供するとき、その他保有個人情報を提供することについて特別の理由のあるとき。
２ 本人の同意があった後、本人から利用目的の一部を取り消したい旨の申し出があった場
合は、その範囲内で取扱わなければならない。
（個人情報の適正な取得）
第１０条 第７条に掲げる利用目的以外で個人情報を取得する場合は、本人へ通知し、予め本人の同意を得なければならない。
２ 個人情報及び特定個人情報は、偽りその他の不正な手段により取得してはならない。
（個人情報の正確性の確保）第１１条 利用目的の達成に必要な範囲内において、個人情報を正確かつ最新の内容に保つよう努めなければならない。
２ 第三者からの提供により入手した個人情報の内容に疑義が生じた場合には、事実関係を明らかにするため、本人に確認をとらなければならない。
３ 本人より、個人情報の訂正、追加、削除、利用停止等の希望を受けた場合は、速やかに処理しなければならない。
４ 一度作成した紙媒体の診療記録等を、書き改める場合には、元の記載が判別できるように二重線で抹消し、訂正箇所に日付及び訂正者印を押印するものとする。
（盗難等に対する予防対策）
第１２条 個人情報保護責任者は、個人情報及び個人情報を記録した資料等を漏洩、盗難、紛失、滅失又は毀損から保護する措置を講じなければならない。また、記録の内容が他の患者など部外者等の目に触れないように配慮しなければならない。
２ 個人情報及び個人情報を記録した資料等は、個人情報保護責任者の承認を得ず、電子媒体又は印字出力等で持ち出してはならない。個人情報等を取扱う機器、電子媒体及び書類等を施錠できるキャビネット・書庫等に保管する。個人情報を利用しないときは保管するキャビネット・書庫等に施錠する。診療記録等の持ち出し及び返却に関して、日時、利用者、持ち出しの目的等を記録し、5 年間保存するものとする。病歴室における手続きは別にこれを定める。
３ 個人情報保護責任者は、職員に個人情報を取り扱わせるに当たっては、当該個人情報の安全管理が図られるよう教育及び監督を行うものとする。
（物理的安全管理措置）
第１３条 個人情報保護責任者は、個人情報を保管する場所を限定し、安全対策を講じなければならない。
２ 電算機室及び病歴室への入室は、個人情報保護責任者の許可を受けた者に限るものとし、個人情報保護管理者は入退室履歴を管理するものとする。
３ 電算機室内のサーバ・ディスク装置等は、固定等の方策で保護し、情報の毀損を防止しなければならない。
４ その他物理的安全管理の方策について必要な事項は、別に定める。

4

（技術的安全管理措置）
第１４条 個人情報保護責任者は、個人情報の秘匿性等その内容に応じて、次に掲げる安全管理措置を講じなければならない。
(1) アクセス制御(2) アクセス状況の記録及び保存(3) 外部から不正アクセスの防止(4) 通信を暗号化するなど不正な情報の取得を防止(5) パスワード等を定期的に更新する(6) コンピュータウイルスによる漏洩等の防止等(7) 機械的な故障等により情報が滅失または見読不能となることのないよう適宜バックアップの措置を取る。
（利用者の管理）第１５条 個人情報保護責任者は、職員及び学生などの個人情報保護の遵守状況を管理しなければならない。
２ 個人情報の利用者に関する具体的な管理項目、内容及び手順については別に定める。
（個人情報の委託処理等に関する措置）
第１６条 情報処理や作業を第三者に委託するために、必要と認められる範囲内で個人情報を提供する場合は、契約内容に安全管理措置を遵守させる規定等を盛り込み、必要かつ適切な監督を行うものとする。
２ 委託先に安全管理措置を遵守させるために必要な契約の締結については、契約内容に以下の規定等を盛り込むものとする。
(1) 秘密保護義務に関する規定(2) 事業所内からの個人情報の持ち出しの禁止(3) 個人情報の目的外利用の禁止(4) 再委託の禁止(5) 漏洩事案等が発生した場合の委託先の責任に関する規定(6) 委託契約終了後の個人情報の返却又は廃棄に関する規定
３ 委託先において情報漏洩事案等が発生した場合に、適切な対応がなされ、速やかに報告される体制になっていることを確認するものとする。
（保有個人情報の訂正及び利用停止等）
第１７条 保有個人情報の本人は、内容が事実に反すると判断した場合、保有個人情報の内容の訂正、追加または削除を求めることができる。
２ 個人情報保護責任者は、利用目的の達成に必要な範囲内において、遅滞なく必要な調査を行い、その結果に基づき、当該保有個人情報の内容の訂正等を行わなければならない。
３ 個人情報保護責任者は、保有個人情報の訂正等を行ったときまたは行わない旨の決定をしたときは、本人に対し、遅滞なく、その理由（訂正等の内容を含む。）を付して通知しな

5

ければならない。
４ 保有個人情報の本人は、取得及び取扱いが法の規定に反していると判断した場合、利用の停止を求めることができる。
５ 個人情報保護責任者は、保有個人情報の取得及び取扱いが法の規定に反していることが確認された場合には、違反を是正するため、必要な範囲内で、遅滞なく当該保有個人情報の利用停止等を行わなければならない。
６ 個人情報保護責任者は、利用停止等が経費等により困難な場合、本人の権利利益の保護をするための必要な代替措置をとることで利用停止等に代えることができるものとする。
（研究への利用）第１８条 個人情報保護責任者は、研究目的での保有個人情報の利用者が自主的に個人情報の適正な取扱いを確保するための措置を講じなければならない。
２ 研究における保有個人情報の利用に当たっては、個人情報の匿名化により個人が特定できないように配慮しなければならない。
（事案の報告及び再発防止措置）
第１９条 保有個人情報の漏洩等安全確保の上で問題となる事案が発生した場合に、その事実を知った利用者は、速やかに個人情報保護責任者に報告するものとする。
２ 個人情報保護責任者は、被害の拡大防止又は復旧等のために必要な措置を講じなければならない。
３ 個人情報保護責任者は、事案の発生した原因を分析し、再発防止のために必要な措置を講じなければならない。
４ 個人情報保護責任者は、事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る本人への対応等の措置を講じなければならない。
（第三者への提供）
第２０条 個人情報を第三者に提供する場合には、予め通知している場合を除き、原則として本人の同意を得なくてはならない。法令に基づく第三者提供であっても第三者提供をするか否かを病院が任意に判断しうる場合には、提供に際して原則として本人の同意を得るものとする。
２ 他の医療機関から診療の目的で提供依頼のあった個人情報については、当該提供が使用目的に該当することを確認しなければならない。
３ 確認の結果、使用目的に該当する場合は、本人の承諾を得ずに提供することができるものとする。
４ 法人が運営する病院又は提供を受けた他の医療機関は、個人情報の提供があった場合、その事実を本人に告知しなければならない。
５ 外国にある第三者に個人情報を提供する場合には、あらかじめ、当該外国における個人情報の保護に関する制度、当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供するものとする。

6

（診療記録等の廃棄）第２１条 法定保存年限又は法人所定の保存年限を経過した診療記録等個人情報を廃棄処分する場合には、復元できない状態にして廃棄しなければならない。この場合、適切な廃棄物処理業者に廃棄を委託することができるものとする。また、病院で保管中の診療録等につき、安全かつ継続的な保管が困難な特別の事由が生じた場合には、個人情報保護責任者はその記録類の取扱いについて、速やかに病院を所管する保健所と協議するものとする。
２ 診療記録等個人情報を記録したコンピュータを廃棄するときは、特別のソフトウェア等を使用して個人情報を消去するものとする。HDD・FD・CD・DVD・MO・SD カード・USBメモリ等の記憶媒体の廃棄が必要な場合には、物理的に破壊するものとする。
３ 職員、学生などの雇用管理に利用した個人情報についても、同様の処理をするものとする。
（電磁的に保存されている診療記録等の取扱い）
第２２条 診療記録等をコンピュータに保存している部署では、コンピュータの利用実態等に応じて、情報へのアクセス制限等を適宜実施するものとする。また、通信回線等を経由しての情報漏出、外部からの不正アクセス等の被害を未然に防ぐよう厳重な措置を講ずるものとする。
２ コンピュータに格納された診療記録等は、機械的な故障等により情報が滅失したり、見読不能となることのないよう、各部署において適宜バックアップの措置を講じるものとする。また、バックアップファイル及び記憶媒体等の取扱い、保管は、各部署の責任者の管理の下に厳重に取扱うものとする。
３ 職員は原則として、私物のコンピュータや記憶媒体で個人情報を私的に管理・保存してはならない。ただし、職務遂行上やむを得ず私物のコンピュータや記憶媒体で個人情報を管理する必要がある場合は、情報の漏洩、紛失、盗難、滅失、毀損の防止に必要な措置を講じ、所定の様式に従い、個人情報保護責任者に届出、許可を得なければいけないものとする。私物のコンピュータや記憶媒体における個人情報の利用が完了したときは、速やかに情報を記憶媒体等から消去するものとする。
４ コンピュータ等に電磁的に保存された個人情報を印刷した場合には、紙媒体の診療記録と同等に厳重な取扱いをするものとする。使用目的を終えた印刷物は、裁断（破砕）又は溶解処理など、他の者が見読不可能な状態にして速やかに廃棄しなければならない。
（個人情報の委託処理等に関する措置）
第２３条 情報処理や作業を第三者に委託するために、個人情報を第三者に提供する場合は、業務委託者との委託契約書作成時に、個人情報取扱い事務委託基準に基づく特記事項を併記するものとする。また、第三者より個人情報の預託を受ける場合においては第三者の定める管理計画を考慮するものとする。
２ 委託中、担当者は委託先が契約を遵守しているかどうかを確認し、万一、契約に抵触する事項を発見したときは、速やかに個人情報保護責任者に報告するものとする。

7

３ 本条に基づき作成された契約書と特記事項の写し、監査報告書、通知書等の文書（電磁的記録を含む）を当該個人情報の委託先との個別契約終了後 5 年以上保存するものとする。
（個人情報の本人或いはその代理人への開示と訂正）
第２４条 患者或いはその代理人は、病院が保有する個人情報について、診療録などの開示申込みの書面に基づいて開示を請求することができるものとする。個人情報保護責任者は、患者或いはその代理人から個人情報の開示を求められた場合には、主治医とその所属長と協議の上、開示請求に応じるか否かを決定し、開示請求を受けた時から原則として 10 日以内に、開示請求回答書の書面により、開示を拒む場合にはその理由も付して、請求者に回答する。
２ 個人情報開示請求手続きは次のとおりとする。
(1) 申請者は、所定の書式を満たし、書面でもって請求する。
(2) 担当者は、申請者と開示を受けたい患者との関係を住民票や運転免許証等の写し等で必ず確認する。
(3) 担当者は、書面を確認し、主治医及び個人情報保護責任者に連絡する。
(4) 個人情報保護責任者は、主治医、必要であればその所属長と協議し、諾否を判断する。
(5) 開示が許可されたときは、速やかに開示を実施する。
(6) 開示が不可となったときは、申請者にその理由を付して開示請求回答書を交付する。
(7) 複写などの必要経費は別途定める基準に従って申請者が支払うものとする。
(8) 開示請求書と回答書の原本を厳重に保管する。
３ 個人情報の開示請求が、次のいずれかの事由に該当すると判断された場合には、開示を拒むことができる。
(1) 本人又は第三者の生命、身体、財産その他の権利利益を害する恐れがある場合(2) 病院の業務の適正な実施に著しい支障を及ぼす恐れがある場合(3) 開示することが法令に違反する場合
４ 診療記録等の開示を請求し得る者は、次のとおりとする。
(1) 患者本人(2) 患者の法定代理人(3) 患者の診療記録等の開示請求をすることについて患者本人から委任を受けた代理人
５ 代理人など、患者本人以外の者からの開示請求に応ずる場合には、開示する記録の内容、範囲、請求者と患者本人との関係等につき、患者本人に対して確認のための説明を行うものとする。
６ 病院の保有する患者本人に関する情報に事実でない内容を発見した場合には、個人情報に関する訂正・追加・削除すべき旨を書面により申し出ることができる。個人情報保護責任者は、訂正等の請求を受けた際には、主治医とその所属長と協議の上、訂正等の請求に応じるか否かを決定し、訂正等の請求を受けた時から原則として 3 週間以内に、書面により請求者に対して回答するものとする。

8

７ 患者からの個人情報の訂正等の求めが、次のいずれかの事由に該当すると判断された場
合には、個人情報保護責任者は訂正等を拒むことができる。
(1) 当該情報の利用目的からみて訂正等が必要でない場合(2) 当該情報に誤りがあるとの指摘が正しくない場合(3) 訂正等の対象が事実でなく評価に関する情報である場合(4) 訂正となる情報について病院には訂正等の権限がない場合
８ 患者が、病院が保有する当該患者の個人情報の利用停止、第三者提供の停止、又は消去（以下、「利用停止等」という。
）を希望する場合は、個人情報に関する利用停止請求書の書面によりその旨を申し出ることができる。個人情報保護責任者は、利用停止等の請求を受けた際には主治医、所属長と協議の上、利用停止等の請求に応じるか否かを決定し、請求を受けた時から原則として 1 週間以内に、書面により請求者に対して回答するものとする。
（情報漏洩事案等への対応）
第２５条 個人情報保護管理者は、特定個人情報の漏洩、滅失又は毀損による事故（以下、「漏洩事案等」という。
）が発生したことを知った場合又はその可能性が高いと判断した場合は、本規程に基づき、適切に対処するものとする。
２ 個人情報保護管理者は、個人情報保護責任者等と連携して漏洩事案等に対応する。
３ 個人情報保護責任者は、漏洩事案等が発生したと判断した場合は、その旨及び調査結果を理事長に報告し、当該漏洩事案等の対象となった情報主体に対して、事実関係の通知、謝意の表明、原因関係の説明等を速やかに行うものとする。また、本人に通知し、必要に応じて公表する。
４ 個人情報保護管理者は、漏洩事案等が発生した場合、個人情報保護法第 68 条第１項で定めるところにより個人情報保護委員会に対して必要な報告を速やかに行う。
（苦情処理の体制）
第２６条 個人情報保護責任者は、保有個人情報の取扱いにおける苦情処理体制を整備しなければならない。
２ 苦情処理体制の整備について必要な事項は、別に定める。
（取得状況の確認並びに安全管理措置の見直し）
第２７条 個人情報保護管理者は、年１回以上の頻度又は臨時に個人情報の運用状況の記録及び個人情報ファイルの取扱状況を確認しなければならない。
２ 個人情報保護管理者は、前項の確認の結果に基づき、安全管理措置の評価、見直し及び改善に取り組むものとする。
附 則
この規程は、公布の日から施行する。
附 則（平成 30 年４月 11 日制定）
この規程は、平成 30 年５月１日から施行する。
附 則（令和５年３月 31 日制定）

9

この規程は、令和５年４月１日から施行する。

10