金沢大学附属病院個人情報取扱規程
平成 20 年 4 月 1 日（趣旨）
第 1 条 この規程は，国立大学法人金沢大学個人情報管理規程（以下「管理規程」という。）
第 50 条の定めるところにより，金沢大学附属病院（以下「本院」という。
）が医療に関して保有する個人情報の取扱いに関する基本的事項を定めるものとする。
（定義）
第 2 条 この規程における用語の定義は，個人情報の保護に関する法律（平成 15 年法律第57 号。以下「法」という。
），個人情報の保護に関する法律施行令（平成 15 年政令第 507号。）及び個人情報の保護に関する法律施行規則(平成 28 年個人情報保護委員会規則第 3号。)の定めるところによる。
（管理体制等）第 3 条 本院に，管理規程第 4 条：第 1 項及び第 2 項の定めるところにより，保有個人情報（本院が医療に関して保有する個人情報をいう。以下同じ｡）を適切に管理するため，副総括保護管理者を置き，金沢大学附属病院長をもって充てる。
2 本院に，管理規程第 4 条第 1 項及び第 3 項に基づき，副総括保護管理者を補佐し，保有個人情報に関する実務を担当する保護管理者を置き，次の各号の者を指名する。
(1) 各診療科長(2) 中央診療施設等の各施設長(3) 薬剤部長(4) 看護部長(5) 経営企画部長
3 本院に，管理規程第 4 条第 1 項及び第 4 項に基づき，保護管理者を補佐し，所掌する保有個人情報の管理に関する業務を行う保護担当者を置き，次の各号の者を指名する。
(1) 診療科の各医局長(2) 中央診療施設等の各副施設長(3) 副薬剤部長のうち，薬剤部長の指名する者 1 人(4) 副看護部長（総務担当）(5) 経営企画部副部長のうち，経営企画部長の指名する者 1 人（利用目的）
第 4 条 保有個人情報の利用目的は，次のとおりとする。
(1) 患者等に提供する医療サービス（紹介，他施設との連携，他施設からの照会への回
答，外部の医師等の意見・助言要請，院外処方，検査等の業務委託，家族等への病状の説明を含む。）(2) 患者に係る入退院等の病棟管理，会計・経理業務，医療事務の業務委託(3) 医療事故等の報告・調査(4) 医療サービスの向上(5) 医療保険事務の委託，審査支払機関へのレセプトの提出（適切な保険者への請求を含む。），審査支払機関又は保険者への照会，審査支払機関又は保険者からの照会への回
答(6) 健康診断等における結果の通知，医師損害賠償責任保険などに係る相談又は届

出等(7) 医療サービス及び業務の維持・改善のための基礎資料(8) 症例に基づく学術研究(9) 学生等の臨床実習，医療従事者の研修
2 保有個人情報の利用目的は，本院内に掲示する方法により，公表する。
（利用の同意）第 5 条 前条第 2 項をもって，診療の申込み時に患者自身等により保有個人情報の利用目的が同意されたものとみなす。
（利用目的による制限等）
第 6 条 保有個人情報を第 4 条に掲げる利用目的以外で利用しようとする場合は，本人へ通知し，あらかじめ本人の同意を得なければならない。
2 利用目的の制限の例外（管理規程第 12 条第 3 項各号に規定するものをいう｡）に該当する場合は，本人の同意を得ずに個人情報を取り扱うことができる。
3 前項に定めるもののほか，第 1 項の規定にかかわらず，匿名加工情報（匿名加工情報データベース等を構成するものを除く。）に加工した場合に限り，本人の同意を得ずに利用目的外で利用することができる。
4 本人の同意があった後，本人から利用目的に係る同意の一部を取り消したい旨の申し出があった場合は，その範囲内で取り扱わなければならない。
（不適切な利用の禁止）
第 7 条 違法又は不当な行為を助長し，又は誘発するおそれがある方法により保有個人情報を利用してはならない。
（個人情報の適正な取得）
第 8 条 第 4 条に掲げる利用目的以外で個人情報を取得する場合は，本人へ通知し，あらかじめ本人の同意を得なければならない。
2 偽りその他不正の手段により個人情報を取得してはならない。
（個人情報の正確性の確保）
第 9 条 利用目的の達成に必要な範囲内において，個人情報を正確かつ最新の内容に保つよう努めなければならない。
（漏えい等に対する予防対策）
第 10 条 副総括保護管理者は，個人情報及び個人情報を記録した資料等を漏えい，滅失又は毀損（以下「漏えい等」という。）から保護する措置を講じなければならない。
2 個人情報及び個人情報を記録した資料等は，副総括保護管理者の承認を得ず，電子媒体又は印字出力等で持ち出してはならない。
（物理的安全管理措置）
第 11 条 副総括保護管理者は，保有個人情報を保管する場所を限定し，安全対策を講じなければならない。
2 電算機室への入室は，金沢大学附属病院情報システム管理運用規程（以下「運用規程」という。）第 12 条第 2 項に定める管理責任者の許可を受けた者に限るものとし，入退室の履歴は，入退室管理システムにより管理責任者が管理するものとする。
3 病歴室への入室は，病歴室管理者の承認を受けた者に限るものとし，入退室の履歴は，病歴室管理者が管理するものとする。
4 電算機室内のサーバ・ディスク装置等は，固定等の方策で保護し，情報の毀損を防止しなければならない。
5 その他物理的安全管理の方策について必要な事項は，運用規程に定めるところによる。
（技術的安全管理措置）
第 12 条 副総括保護管理者は，保有個人情報の秘匿性等その内容に応じて，次に掲げる安全管理上の措置を行わなければならない。
(1) アクセス制御
パスワード等（パスワード，IC カード，生体情報等をいう。）を使用して権限を識別する機能（以下「認証機能」）という。）の設定等並びにパスワード等の管理（定期又は随時の見直しを含む。）及び読取防止等(2) アクセス状況の記録及び保存
個人情報を閲覧・取得した利用者名，IP アドレス，日時，閲覧・取得したデータ等を記録したログファイル等の記録及びその保存(3) 外部から不正アクセスの防止
ファイアウォールの設定による経路制御等(4) コンピュータウイルスによる漏えい等の防止等
コンピュータウイルスの感染防止等，暗号化，入力情報の照合等（入力原票と入力内容との照合，処理前後の内容の確認，既存情報との照合等），バックアップの作成及び分散保管，情報システムの設計書，構成図等の保管，複製，廃棄等，端末の限定及び盗難又は紛失の防止（端末の固定及び外部への持ち出し，外部からの持ち込みの禁止，室の施錠），第三者の閲覧防止（ログオフの徹底等）（職員等の監督）
第 13 条 副総括保護管理者及び保護管理者は，次の各号に定める保有個人情報に接する者（以下「個人情報取扱従事者」という。）に対し，保有個人情報保護の遵守状況を監督しなければならない。
(1) 医療に従事する金沢大学（以下「本学」という。）の職員(2) 医療に従事する本学大学院の学生及び研究生(3) 臨床実習に参加する本学医薬保健学域の学生(4) その他副総括保護管理者が適当と認めた者（教育研修）
第 14 条 副総括保護管理者は，個人情報取扱従事者に対し，管理規程第 9 条に定めるもののほか，必要に応じて，保有個人情報等の取り扱いに関して必要な教育研修を行うことができる。
（保有個人情報の訂正等）
第 15 条 保有個人情報の本人は，内容が事実に反すると判断した場合，保有個人情報の内容の訂正，追加又は削除（以下「訂正等」という。）を求めることができる。
2 副総括保護管理者は，利用目的の達成に必要な範囲内において，遅滞なく必要な調査を行い，その結果に基づき，当該保有個人情報の内容の訂正等を行わなければならない。
3 副総括保護管理者は，保有個人情報の訂正等を行ったとき又は行わない旨の決定をしたときは，本人に対し，遅滞なく，その理由（訂正等の内容を含む。）を付して通知しなければならない。
（保有個人情報の利用停止等）
第 16 条 保有個人情報の本人は，取得及び取扱いが法の規定に反していると判断した場合，利用の停止又は消去（以下「利用停止等」という。）を求めることができる。
2 副総括保護管理者は，保有個人情報の取得及び取扱いが法の規定に反していることが確認された場合には，違反を是正するため，必要な範囲内で，遅滞なく当該保有個人情報の利用停止等を行わなければならない。
3 副総括保護管理者は，利用停止等が経費等により困難な場合，本人の権利利益の保護をするための必要な代替措置をとることで利用停止等に代えることができるものとする。
（診療目的での第三者への提供）
第 17 条 個人情報取扱従事者は，他の医療機関から診療の目的で提供依頼のあった個人情報を提供するときは，当該提供が診療の目的に該当することを確認しなければならない。
2 確認の結果，診療の目的に該当する場合は，本人の承諾を得ずに提供することができるものとする。
3 本院又は提供を受けた他の医療機関は，個人情報の提供があった場合，その事実を本人に通知しなければならない。
（苦情処理窓口の設置）
第 18 条 副総括保護管理者は，保有個人情報の取扱いにおける苦情の適切かつ迅速な処理のため次の各号のとおり窓口を設置する。
(1) 保有個人情報の本人からの苦情対応窓口 病院部医事課課医療安全係(2) 保有個人情報の本人からの相談窓口 病院部医事課医事総括係（学術研究への利用）
第 19 条 副総括保護管理者は，個人情報取扱従事者が学術研究目的での利用に当たって，個人情報の適正な取扱いを自主的に確保するための措置を講じなければならない。
2 学術研究における保有個人情報の利用に当たっては，当該学術研究の目的が達せられる範囲内において，個人情報を匿名加工情報又は仮名加工情報に加工することにより個人が特定できないように配慮しなければならない。
（事案の報告及び再発防止措置）
第 20 条 保有個人情報の漏えい等安全確保の上で問題となる事案が発生した場合に，その事実を知った個人情報取扱従事者は，速やかに保護管理者に報告しなければならない。
2 保護管理者は，被害の拡大防止又は復旧等のために必要な措置を講ずるとともに，当該措置を副総括保護管理者に報告しなければならない。
3 保護管理者は，事案の発生した原因を分析し，再発防止のために必要な措置を講ずるとともに，当該措置を副総括保護管理者に報告しなければならない。
4 副総括保護管理者は，事案の内容，影響等に応じて，事実関係及び再発防止策の公表，当該事案に係る本人への対応等の措置を講じなければならない。
（準用）
第 21 条 病院部で保有個人情報を取り扱う場合においては，原則として本規程を準用する。
この場合にあっては，保護管理者及び保護担当者は，管理規程第 4 条第 1 項の定めるところによる。
（雑則）
第 22 条 本規程に定めのない事項については，管理規程又は医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス（平成 29 年 4 月 14 日通知)の定めるところに従い，対応するものとする。

附 則
１ この規程は，平成 20 年 4 月 1 日から施行する。
２ 金沢大学医学部附属病院個人情報取扱規程は廃止する。
３ 第 2 条第 1 項におけるその他の記述等とは，次に掲げるとおりとする。
(1) 評価情報，公刊物等によって公にされている情報，映像，音声による情報を含み，暗号化の可否を問わない。
(2) 死者に関する情報が，同時に，遺族等の生存する個人に関する情報でもある場合には，当該生存する個人に関する情報となる。
(3) カルテ等の形態に整理されていないもの
４ 第 12 条のアクセス制御とは，次に掲げるものとする。
(1) アクセス制御とは，パスワード等（パスワード，IC カード，生体情報等をいう。）を使用して権限を識別する機能（以下「認証機能」）という。）の設定等並びにパスワード等の管理（定期又は随時の見直しを含む。）及び読取防止等をいう。
(2) アクセス状況の記録とは，個人情報を閲覧・取得した利用者名，IP アドレス，日時，閲覧・取得したデータ等を記録したログファイル等をいう。
(3) 不正アクセスの防止とは，ファイアウォールの設定による経路制御等をいう。
(4) コンピュータウイルスによる漏えい等の防止等とは，コンピュータウイルスの感染防止等，暗号化，入力情報の照合等（入力原票と入力内容との照合，処理前後の内容の確認，既存情報との照合等），バックアップの作成及び分散保管，情報システムの設計書，構成図等の保管，複製，廃棄等，端末の限定及び盗難又は紛失の防止（端末の固定及び外部への持ち出し，外部からの持ち込みの禁止，室の施錠），第三者の閲覧防止（ログオフの徹底等）をいう。
附 則
この規程は，平成 22 年 2 月 1 日から施行する。
附 則
この規程は，平成 30 年 11 月 21 日から施行する。
附 則
この規程は，令和 4 年 4 月 1 日から施行する。
附 則
この規程は，令和 6 年 4 月 1 日から施行する。