患者等の個人情報保護に関する規程

患者等の個人情報保護に関する規程
平成 28 年４月１日
改正

平成 31 年３月 15 日

改正

令和５年３月 31 日

目次
第１章

総則（第１条−第３条）

第２章

組織及び体制（第４条・第５条）

第３章

個人情報の取得等（第６条−第 11 条）

第４章

個人データ等の安全管理措置等（第 12 条−第 24 条）

第５章

個人情報の第三者への提供（第 25 条−第 27 条）

第６章

個人情報の本人への開示と訂正等（第 28 条−第 38 条）

第7章

教育（第 39 条）

第８章

雑則（第 40 条）

附則
第１章

総則

（趣旨）
第１条

この規程は、地方独立行政法人総合病院国保旭中央病院（以下「法人」という。）が個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。）に基づき、保有する患者・利用者とその関係者（以下「患者等」という。）に関する個人情報を適切に扱うため、必要な事項を定めるものとする。
（定義）
第２条

この規程において、次の各号に掲げる用語の意義は、その各号に掲げるところによる。
(１)

個人情報

患者等の個人を特定することができる情報であって法の定めるところによるもの
(２)

診療記録等

診療の過程で患者の身体状況、症状、治療等について作成又は収集された書面、画像等の情報
(３)

匿名化

個人情報の一部を削除又は加工することにより、法の定める匿名加工情報とし、他の情報と照合しても特定の個人を識別できない状態にすること。
(４)

職員等

役員及び法人に雇用される職員のほか、法人の名において法人の1

患者等の個人情報保護に関する規程ために職務を行う者をいう。
(５)

開示

法人が保有する患者等に関する個人情報を、患者等が確認するための請求に応じて、その診療情報等の個人情報を書面等で示すこと。
(６)

個人データ 「個人情報データベース等」を構成する個人情報をいう。「個人情報データベース等」とは、特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した個人情報を含む情報の集合体、又はコンピュータを用いていない場合であっても、紙面で処理した個人情報を一定の規則（例えば、五十音順、生年月日順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態においているものをいう。
（職員等の責務）
第３条
２

職員等は、偽りその他不正の手段により個人情報を取得してはならない。

職員等は、法の趣旨に則り、関連する法令及び規程等を遵守し、保有する個人情報を取り扱わなければならない

３

職員等は、その職種を問わず、職務上知り得た患者等の個人情報を第三者に漏らしてはならない。退職後も同様とする。
第２章

組織及び体制（管理体制）
第４条

法人は、保有個人情報の管理のため、次の各号に掲げる者を置き、その者の職務等は、当該各号に定めるとおりとする。
(１)

総括保護管理者

総括保護管理者は、病院長をもって充て、個人情報保護に関する規程の整備、安全対策の実施、教育訓練の推進、職員等への周知徹底など個人情報の安全管理措置を講ずるとともに、保有個人情報が適正に取り扱われるよう、職員等に対して必要かつ適切な監督を行う。
(２)

保護管理者

保護管理者は、部署長（科・課・室の長（空席の場合は当該局 長 ）、 看 護 師 長 、 施 設 長 ） を も っ て 充 て 、 部 署 内 の 個 人 情 報 の 取 り 扱 い が 法
令、規程等により適正に取り扱われているか管理し、職員等に対して必要かつ適切な監督を行う。また、次の体制を整備する。
ア

職員等が法令、規程等に違反している事実又は兆候を把握した場合の総括
保護管理者への報告連絡体制

イ

保有個人情報を複数の部署で取り扱う場合の各部署の任務分担及び責任の2

患者等の個人情報保護に関する規程明確化
(３)

保護担当者

保護担当者は、保護管理者から指名された者をもって充て、保護管理者を補佐する。
(４)

委託先保護管理者

委託先保護管理者は、契約課長をもって充て、委託先が個人情報の取り扱いが法令、規程等により適正に取り扱われているかなど委託先に対する必要かつ適切な監督を行う。
(５)

システム管理者

システム管理者は、医療情報室長をもって充て、情報システムで保有する診療情報の取り扱いに関する規程を整備する。
(６)

システム外安全管理者

システム外安全管理者は、診療情報管理室長をもって充て、情報システム以外で保有する診療情報の取り扱いに関する規程を整備する。
(７)

監査責任者

監査責任者は、内部監査室長をもって充て、保有個人情報の管理状況について、定期及び必要に応じ随時監査を実施する。
（個人情報保護管理委員会）
第５条

法人は、個人情報の管理に係る重要事項の決 定 、連 絡 調 整 等 を 行 う た め 、個 人 情 報 保 護 管 理 委 員 会 （以下「委員会」という。）を設置する。なお、委員会に関し必要な事項は、総括保護管理者が別に定める。
第３章

個人情報の取得等（利用目的の特定）第６条

法人は、個人情報を取扱うに当たり、その利用目的を特定又は変更する場

合には、事前に委員会の意見を聞かなければならない。
（利用目的の告知）
第７条

患者等から個人情報を取得する場合には、あらかじめ、法人の掲示板への掲示又はインターネットを利用して閲覧に供する方法（以下「掲示等」という。）により、公表しなければならない。
（利用目的の変更）
第８条

前条の規定により取得した患者等の個人情報の利用目的等を変更した場合には、その変更の内容を、掲示等により公表しなければならない。
２

患者等の個人情報の利用目的等を変更する場合には、変更前の利用目的等と相当の関連性を有すると認められる範囲を超えることのないよう留意しなければならない。

3

患者等の個人情報保護に関する規程（目的外利用の禁止）
第９条

職員等は、法律に規定する利用目的の制限の例外に該当する場合を除き、あらかじめ本人の同意を得ないで、特定した利用目的から逸脱し、患者等の個人情報を取り扱ってはならない。
（匿名化による利用）
第 10 条

患者等の診療記録等に含まれる情報を、診療及び診療報酬請求事務以外に利用する場合には、その利用目的を達し得る範囲内で、可能な限り匿名化しなければならない。
（個人情報ファイル簿の作成及び公表）
第 11条

総括保護管理者は、法人で保有している個人情報ファイルについて、法の 規 定 に 基 づ き 、名 称 や 利 用 目 的 等 を 記 載 し た 帳 簿（ 以 下「 個 人 情 報 フ ァ イ ル簿」という。）を作成し、公表しなければならない。
第４章

個人データ等の安全管理措置等（個人データ等の保管）
第 12 条

個人データ及び診療記録等の保管については、毎日の業務終了後に所定の保 管 場 所 に 収納 し 、 滅失 、 毀 損 、 盗難 等 の 防止 に 充 分 留 意し な け れ ば な ら な い 。
（個人データ等の利用）
第 13 条

患者の診療中及び事務作業中に個人データ及び診療記録等を利用する場

合には、滅失、毀損、盗難等の防止に充分留意するとともに、記録の内容が他の患者など第三者の目に触れぬよう、配慮しなければならない。
（個人データ等の修正）
第 14 条

個人データ及び診療記録等を後日書き改める場合には、もとの記載が判別できるよう、二重線で抹消し、訂正箇所に訂正年月日及び訂正者印を押印しなければならない。
２

電子媒体上の診療記録等を後日書き改める場合には、前項の規定に準じた処理を別に行うものとする。
（個人データ等の院外持出禁止）

第 15 条

個人データ及び診療記録等は、原則として法人施設の外へ持ち出してはならない。ただし、職務遂行上やむを得ず持ち出す場合には、当該個人データ及び
診 療 記 録 等 の管 理 責 任者 の 許 可 を 得る も の とし 、 返 却 時 にお い て も 同 様 と す る 。
（個人データ等の廃棄）

4

患者等の個人情報保護に関する規程

第 16 条

法定保存年限又は法人所定の保存年限を経過した個人データ及び診療記録等を廃棄処分する場合には、裁断又は焼却等により、患者等の個人情報が他に漏れないように処分しなければならない。
（コンピュータ情報のセキュリティの確保）
第 17 条

個人データ及び診療記録等をコンピュータを用いて保存している部署においては、通信回線、補助記録媒体等を経由しての情報漏出、外部からの不正侵入等の被害を未然に防ぐよう、厳重な措置を講じなければならない。
２

前項の措置のため、法人は、業務運営上の利用実態等に応じて、情報へのアクセス制限を適宜実施することができる。

３

第１項に規定する部署のうち、職員等以外の者が立ち入る場所においてコンピュータ上で診療記録等を利用する場合には、患者等の個人情報が第三者の目に触れぬよう、配慮しなければならない。
（データバックアップの取扱い）

第 18 条コンピュータに記録された個人データ及び診療記録等は、機械的な故障により情報が滅失し、又は見読不能となることのないよう、各部署において適宜バックアップ等の措置を講じなければならない。この場合において、バックアップファイル等の記録媒体の取扱い及び保管は、保護管理者の管理のもとに厳重に行わなければならない。
（データのコピー利用の禁止）
第 19 条コンピュータに記録された個人データ及び診療記録等の全部又は一部を法人施設外で利用するため、他のコンピュータ、記録媒体等に複写することは、原則として禁止する。ただし、職務遂行上又は医学臨床上の理由等やむを得ない場合には、保護管理者の許可を得て、その管理のもとに行うことができる。
２

前項ただし書きの規定により複写した情報の利用が完了した場合は、速やかにその複写情報を記録媒体等から消去しなければならない。
（データのプリントアウト）

第 20 条コンピュータ等に記録された個人情報をプリントアウトした場合には、紙媒体の診療記録等と同様に厳重な取扱いをしなければならない。
２

使用目的を終えたプリントアウト紙片は、裁断又は焼却等により、患者等の個人情報が他に漏れないように処分しなければならない。
（紙媒体記録に関する規定の準用）

5

患者等の個人情報保護に関する規程

第 21 条

電磁的な保存がなされている個人データ及び診療記録等の保管については、第 12 及び第 15 条の規定を準用する。
（その他個人データ等の取扱い）
第 22 条

この章で定めるほか個人データ及び診療記録等の取扱いについては、別に定める。
（漏えい等の報告等）
第 23 条保有個人情報を漏えい、滅失、毀損その他個人情報の安全の確保に係る事態であって個人の権利利益を害するおそれのあるものが発生した場合は、職員等は、直ちに保護管理者に報告し、医療安全管理推進室へインシデントレポートを提出しなければならない。
２

個人情報の取り扱い等に関する法令等に違反している事実が生じた場合、又はその兆候が高いと判断した場合は、直ちに保護管理者を経由して総括保護管理者へ報告しなければならない。

３

前２項の漏えいが法第 26 条に該当する場合は、報告書を作成し、当該職員等の保護管理者が総括保護管理者へ報告しなければならない。また、総括保護管理者は、当該報告書を個人情報保護委員会へ提出しなければならない。

４

第１項の漏えいが法第 26 条に該当する場合は、次の各号に掲げる事項を文書又は電子メールで本人へ通知しなければならない。

５

(１)

概要

(２)

保有個人情報の項目(３)

二次被害又はそのおそれの有無及び内容(４)

その他参考となる事項

前項の規定による通知が難しい場合は、事案の公表を行なうものとする。
（苦情等への対応）

第 24 条

個人情報の取扱いに関する患者等からの苦情、相談等に対しては、広報患者相談課で対応するものとする。なお、当該手続き等については別に定める。
第５章

個人情報の第三者への提供（患者本人の同意に基づく第三者提供）
第 25 条

患者等の個人情報を第三者に提供する場合には、原則として本人の同意を得なければならない。ただし、法の規定に基づき、本人の同意を得ることなく、患者等の個人情報を第三者に提供することができる。

6患者等の個人情報保護に関する規程（記録の作成等）
第 26 条

患者等の個人情報を第三者に提供した時は、原則として記録を作成しなければならない。なお、記載事項等は別に定める。
（その他保有個人情報の第三者への提供）
第 27 条保有個人情報の第三者への提供については、この章で定めるほか別に定める。
第６章

個人情報の本人への開示と訂正等（個人情報開示の請求）
第 28 条

患者等は、法人が保有する自己の個人情報について、開示の請求をすることができる。
２

前項の開示請求は、個人情報に関する開示請求書により行わなければならない。
（開示及び不開示の決定）

第 29 条

前条の規定により個人情報の開示請求があったときは、法人は、当該開示請求に係る個人情報の全部若しくは一部を開示し、又は全部を開示しない旨の決定をし、やむを得ない事由がある場合を除いて開示請求があった日から 30 日以内に、請求者にその旨を通知しなければならない。ただし、決定を行うに当たり、開示請求に係る個人情報の全部又は一部を不開示とする必要があると認めると
き は 、 あ ら か じ め 別 に 定 め る 診 療 記 録 開 示 審 査 委 員 会 (以 下 「 審 査 委 員 会 」 と いう。)に諮問するものとする。
２

前項に規定する通知は、次の各号に掲げる区分に応じ、その各号に掲げるとおりとする。
(１)

個人情報の全部を開示する旨の決定をしたとき個人情報に関する開示決定通知書(２)

個人情報の一部を開示する旨の決定をしたとき個人情報に関する部分開示決定通知書(３)

個人情報を開示しない旨の決定をしたとき個人情報に関する不開示決定通知書（開示請求のできる本人以外の者）
第 30 条

第 28 条第１項の規定にかかわらず、次の各号に掲げる者は、患者等の個人情報の開示を請求することができる。
(１)

患者等の法定代理人

7

患者等の個人情報保護に関する規程(２)

患者等の個人情報の開示を請求することについて、委任状により患者等が委任した者（内容の訂正等の請求）
第 31 条法人の患者等が、法人の保有する患者等本人に関する情報に事実でないとき は 、 そ の 情 報 の 訂 正 、 追 加 又 は 削 除 （ 以 下 「 訂 正 等 」 と い う 。） を 求 め る こ とができる。
２

前項の訂正等の請求は、個人情報に関する訂正（追加・削除）請求書により行わなければならない。

３

前２項の請求については、第 30 条の規定を準用する。
（訂正等の決定）第 32 条

前条の規定により個人情報の訂正等を求められたときは、法人は遅滞なく調査を実施し、必要に応じて、審査委員会に諮って訂正等に応じるか否かを決定し、やむを得ない事由がある場合を除いて訂正等の請求があった日から原則として 30 日以内に、請求者にその結果を通知しなければならない。
２

前項の通知は、訂正等を承認する場合には、個人情報に関する訂正（追加・削除）決定通知書によるものとし、訂正等を拒む場合には、個人情報に関する訂正（追加・削除）拒否通知書によるものとする。
（訂正等を拒み得る場合）

第 33 条患者等からの個人情報の訂正等の請求に対し、その請求を拒むことができる場合は、次の各号に掲げる場合とする。
(１)

その情報の利用目的からみて、訂正等が必要でないと認められる場合(２)

その情報に誤りがあるとの指摘が正しくない場合(３)

訂正等の対象が事実でなく、評価に関する情報である場合(４)

対象となる情報について法人には訂正等の権限がない場合（訂正等の方法）
第 34 条

個人情報の訂正等を決定し、その個人情報の訂正を行う場合には、訂正前の記載が判読できるよう訂正箇所を二重線で抹消し、新しい記載の挿入を明示し、併せて訂正等の年月日、事由等を付記するものとする。なお、個人情報の訂正等に応じなかった場合においても、訂正等の請求があった事実を、その部分に注記するものとする。
２

電子媒体の記録に訂正等を行う場合には、前項に準じた処理を別に行うものと8

患者等の個人情報保護に関する規程する。
（利用停止等の請求）
第 35 条

患者等は、法人が保有するその患者等の個人情報の利用停止、第三者提供の 停 止 又 は 消 去 （ 以 下 「 利 用 停 止 等 」 と い う 。） を 希 望 す る 場 合 は 、 そ の 旨 を 請求することができる。
２

前項の請求は、個人情報に関する利用停止（第三者提供の停止・消去）請求書により行わなければならない。

３

前２項の請求については、第 30 条の規定を準用する。
（利用停止等の決定）

第 36 条

前条の規定により個人情報の利用停止等の請求があったときは、法人は、速やかに違反等の調査を行い、必要に応じて審査委員会に諮って利用停止等に応じるか否かを決定し、やむを得ない事由がある場合を除いて利用停止等の請求があった日から原則として 30 日以内に、請求者にその結果を通知しなければならない。
２

前項の通知は、利用停止等を承認する場合には、個人情報に関する利用停止（第三者提供の停止・消去）決定通知書によるものとし、利用停止等を拒む場合には、個人情報に関する利用停止（第三者提供の停止・消去）拒否通知書によるものとする。
（利用停止等を拒み得る場合）

第 37 条患者等からの個人情報の利用停止等の請求に対し、その請求を拒むことができる場合は、次の各号に掲げる場合とする。
(１)

利用目的等の逸脱が認められない場合(２)

その情報の取得に際して、不正が認められなかった場合（その他保有個人情報の開示、訂正及び利用停止）
第 38 条保有個人情報の開示、訂正及び利用停止については、診療情報管理室において取り扱うものとし、当該手続き等はこの章で定めるほか別に定める。
第７章

教育（教育研修）
第 39 条

総括保護管理者は、職員等に対し、保有個人情報の取扱いについて理解を深め、保有個人情報の保護に関する意識の高揚を図るため、啓発その他必要な教育研修を行う。

9

患者等の個人情報保護に関する規程

２

総括保護管理者は、保有個人情報を取り扱う情報システムの管理に関する事務に従事する職員等に対し、保有個人情報の適切な管理のために、情報システムの管理、運用及びセキュリティ対策に関して必要な教育研修を行う。

３

保護管理者は、当該部署の職員等に対し、保有個人情報の適切な管理のために、総括保護管理者の実施する教育研修への参加の機会を与える等の必要な措置を講ずる。
第８章

雑則

（その他）
第 40 条

この規程に定めるもののほか、個人情報保護業務に実施に関し必要な事項は、法人が別に定める。
附則

この規程は、平成 28 年４月１日から施行する。
附則（平成 31 年３月 15 日改正）

この規程は、平成 31 年３月 15 日から施行する。
附則（令和５年３月 31 日改正）

この規程は、令和５年４月１日から施行する。

10