４ 当院職員、派遣職員、委託外注職員および関係者は、個人情報の含まれた USB 等の電磁的記録媒体、紙媒体の外部への持ち出し及び私物パソコンの持込み等の情報紛失・漏洩を惹起する行為を行ってはならない。

（目 的）

個人情報保護規程

第１章 総則

xxxxの上病院

第１条 この規程は、当院の個人情報保護方針に基づいて当院が取り扱う個人情報の適切な保護のための基本規程である。当院職員はこの規定に従って個人情報を保護していかなければならない。

（本規定の対象）

第２条 この規程は、当院において保有・処理されている個人情報を対象とする。

（定 義）

第３条 この規程において、次の各号に掲げる用語の意義は、当該各号に定めるところによる。

(１) 個人情報

生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む）をいう。

個人情報を以下に例示する。 個人識別符号が含まれるもの。

診療録、処方箋、手術記録、助産録、看護記録、検査所見記録、エックス線写真、紹介状（診療情報提供書）、診療要約、調剤録等の診療記録。検査等の目的で、患者から採取された血液等の検体の情報。介護サービス提供にかかる計画、提供したサービス内容等の記録。

職員（研修医，各部門実習生を含む）に関する情報（採用時の履歴書・身上書，職員検診記録等）。ただし、医療においては死者の情報も個人情報保護の対象とすることが求められており、当院では個人情報と同様に取り扱う。

(２) 要配慮個人情報

本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして 政令で定める記述等が含まれる個人情報をいう。

(３）特定個人情報

個人番号をその内容に含む個人情報をいう。

(４）個人情報データベース

特定の個人情報を一定の規則（例えば、五十xx、生年月日順など）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態においているものをいう。紙媒体、電子媒体の如何を問わない。

(５) 個人データ

「個人情報データベース等」を構成する個人情報をいう。検査結果については、診療録等と同様に検索可能な状態として保存されることから、個人データに該当する。診療録等の診療記録や看護関係記録については、媒体の如何にかかわらず個人データに該当する。

(６) 保有個人データ

個人データのうち、個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有するものをいう。ただし、①その存否が明らかになることにより、公益その他の利益が害されるもの、②６ヶ月以内に消去する（更新することは除く）ものは除く。

(７) 個人情報管理責任者

個人情報保護計画の策定、実施、評価、改善等の個人情報保護のための業務について、統括的責任と権限を有する者をいう。

(８) 個人情報取扱担当者

個人情報のコンピュータへの入力・出力、台帳・申込書等の個人情報を記載した帳票・帳表を保管・管理等する担当者をいう。

第２章 個人情報の収集

（収集の原則）

第４条 個人情報の収集は、収集目的（第７条に記載）を明確に定め、その目的の達成に必要な限度において行わなければならない。

２ 新しい目的で個人情報を収集するときは、担当者は個人情報管理責任者に届け出なければならない。

３ 前項の届け出を受けた個人情報管理責任者は、速やかに院長の承諾を得なければならない。承諾後、新しい目的での個人情報の収集が可能となる。

（収集方法の制限）

第５条 個人情報の収集は、適法、かつxxな手段（第８条に記載）によって行わなければならない。

２ 新しい方法又は間接的に個人情報を収集するときは、担当者は個人情報管理責任者に届け出なければならない。

３ 前項の届け出を受けた個人情報管理責任者は、速やかに院長の承諾を得なければならない。承諾後新しい目的での個人情報の収集が可能となる。

（要配慮個人情報の収集の禁止）

第６条 次に示す内容を含む個人情報の収集、利用又は提供を行ってはならない

１）門地、本籍地（所在都道府県に関する情報を除く）、犯罪歴、その他社会的差別の原因となる事項

２）思想、信条及び宗教に関する事項

３）上記１）および２）は疾病と関連する場合に限定し利用、収集できる

４）勤労者の団結権、団体交渉及びその他団体行動の行為に関する事項

５）集団示威行為への参加、請願権の行使及びその他の政治的権利の行使に関する事項

（個人情報を収集する目的）

第７条 患者・利用者・関係者から個人情報を取得する目的は、患者・利用者・関係者に対する医療・介護の提供、医療保険事務、入退院等の病棟管理等、病院運営に必要な事項などで利用することである。

２ 職員についての個人情報収集の目的は雇用管理のためである。

３ 通常の業務で想定される個人情報の利用目的（別表１）はインターネットホームページ、院内の掲示、書面の配布等にて広報する。

（個人情報を収集する方法）

第８条 患者・利用者・関係者から個人情報を取得する方法は以下である

１）本人の申告および提供

２）直接の問診または面談

３）患者家族、知人、目撃者、救急隊員、関係者等からの提供

４）他の医療機関、介護施設等からの紹介状（診療情報提供書）等による提供

５）１５歳未満の方の個人情報については、診療に関して必要な事項以外は原則として保護者等から提供をうける。

６）その他の場合は、本人、もしくは家族、法定後見人の（意識不明、認知症等で判断できない時）同意をえて収集する。

第３章 個人情報の利用

（利用範囲の制限）

第９条 個人情報の利用は、原則として収集目的の範囲内で、具体的な業務に応じ権限を与えられた者が、業務の遂行上必要な限りにおいて行う。

２ 個人情報管理責任者の承諾を得ないで、個人情報の目的外利用、第三者への提供・預託、通常の利用場所からの持ち出し、外部への送信等の個人情報の漏えい行為をしてはならない。

３ 当院職員、派遣職員、委託外注職員および関係者は、業務上知り得た個人情報の内容をみだりに第三者に知らせ、又は不当な目的に使用してはならない。その業務に係る職を退いた後も、同様とする。

４ 当院職員、派遣職員、委託外注職員および関係者は、個人情報の含まれた USB 等の電磁的記録媒体、紙媒体の外部への持ち出し及び私物パソコンの持込み等の情報紛失・漏洩を惹起する行為を行ってはならない。

５ 特定個人情報の取扱いに関しては、特段の注意配慮が必要である。

（利用目的の範囲）

第１０条 個人情報は、通常の業務で想定される個人情報の利用目的（別表１）および、通常の業務以外として次の１）号から５）号について使用する。

１）患者・利用者・関係者が同意した医療業務

２）患者・利用者・関係者が当事者である契約の準備又は履行のために必要な場合

３）当院が従うべき法的義務の履行のために必要な場合

４）患者・利用者・関係者の生命、健康、財産等の重大な利益を保護するために必要な場合

５）裁判所および令状に基づく権限の行使による開示請求等があった場合

（目的範囲外利用の措置）

第１１条 収集目的の範囲を超えて個人情報の利用を行う場合は、患者・利用者・関係者本人の同意を必要とする。

（個人情報の入出力、保管等）

第１２条 診療情報、台帳・申込書等の個人情報を記載した帳票・帳表の保管・管理等は、「診療情報管理規定」に規定する。

第４章 個人情報の適正管理

（個人情報の正確性の確保）

第１３条 個人情報管理責任者は、個人情報を利用目的に応じ必要な範囲内において、正確かつ最新の状態で管理しなければならない。診療情報に関する管理は「診療情報管理規定」に記載する。

２ 患者・利用者・関係者から、個人情報の開示、当該情報の訂正、追加、削除、利用停止等の希望を受けた場合は、各部署責任者または病院受付が窓口となり、個人情報管理責任者は、すみやかに処理しなければならない。

（個人情報システムの安全管理）

第１４条 個人情報管理責任者は、個人情報への不当なアクセス又は個人情報の紛失、破壊、改ざん、漏えい等の危険に対して、次のとおり必要なセキュリティ対策を講じ、実施および改善をしなければならない。（当院では電子カルテを導入しておらず、個人情報をデータベース化し院内で.全職員が共有する院内ネットワークは現存していない。）

１）アクセス制御

個人データを取り扱うシステムには、パスワード等を使用して権限の有無を識別する機能を設定する等のアクセス制御のために必要な措置を講ずる。またレセプトコンピューターについては独立したシステムとし外部からのアクセスが不可能なものとする。

２）コンピューターウイルスによる漏洩等の防止

コンピューターウイルスによる個人データの漏洩、消滅または毀損の防止のためメールウイルスチェック、ホームページウイルスチェック等感染防止に必要な措置を講ずる。

３）メール盗聴防止

個人データの有無にかかわらずメール送受信の通信を暗号化することにより盗聴を防止するための処置を講ずる。

４）バックアップ

個人データの重要度に応じてバックアップを作成し情報の消滅を防止し、分散保管するために必要な措置を講じる。

５）第三者の閲覧防止

システムを使用するものは、端末の操作にあたり第三者に閲覧されることがないよう使用 状況に応じてログオフを行う、モニター画面の可視角度を工夫する等必要な措置を講ずる。

６）レセプトオンライン請求システムの安全管理

レセプトは患者の氏名や傷病名等慎重な取り扱いを要する。請求システムに係る管理は別に定める「レセプトのオンライン請求システムに係る安全対策の規程」に記載する。

７）職員管理・指導

当院職員等がシステム使用に際してUSB 等の電磁的記録媒体の外部持ち出し及び私物パソコンの持込み等の禁止行為を行わないよう管理・指導する。

（個人情報の委託処理等に関する措置）

第１５条 情報処理や作業を第三者に委託するために、個人情報を第三者に預託する場合においては、委託担当者は事前に個人情報管理責任者に届け出なければならない。

２ 第三者より個人情報の預託を受ける場合においては第三者の定める管理計画を考慮して当院規定に従うものとする。

３ 個人情報管理責任者は、以下の各号の措置を講じ、院長の承諾を得てから基本契約を締結しなければならない。基本契約締結後に個別契約を締結し、当該個人情報の預託は、個別契約締結後にしなければならない。

(1) 個人情報の預託先について預託先責任者との面接、必要に応じて預託先の情報処理施設の状況を視察あるいは把握し、個人情報保護及びセキュリティ管理が当院の基準に合致することを確認すること。再委託に関しては、同様の取り扱いをするか、あるいは、委託先の責任で同様の取り扱いを保証することが必要である。

(2) 次の事項を入れた基本契約書案を作成すること。

① 守秘義務の存在、取り扱うことのできる者の範囲に関する事項

② 預託先における個人情報の秘（機）密保持方法、管理方法ついての事項

③ 預託先の個人情報の取扱担当者に対する個人情報保護のための教育・訓練に関する事項

④ 契約終了時の個人情報の返却及び消去に関する事項

⑤ 個人情報が漏えい、その他事故の場合の措置、責任分担についての事項

⑥ 再委託に関する事項

⑦ 当院からの監査の受け入れについての事項

４ 個別契約に基づき個人情報を預託先に提供するときは、担当者は前項③の事項を記した書面を預託先に交付して、注意を促さなければならない。

５ 委託中、担当者は、預託先が当社との契約を遵守しているかどうかを確認し、万一、契約に抵触する事項を発見したときは、その旨を個人情報管理責任者に通知しなければならない。

６ 前項の通知を受けた個人情報管理責任者は、直ちに院長と協議して個人情報の預託先に対して必要な措置を講じなければならない。

７ 個人情報管理責任者は、年に一度以上、個人情報の預託先責任者と面接し、必要に応じて預託先の情報処理を把握あるいは視察し、監査しなければならない。

８ 個人情報管理責任者は、本条に基づき作成された基本契約、個別契約、監査報告書、通知書等の文書（電磁的記録を含む）を当該個人情報の預託先との個別契約終了後７年間保存しなければならない。

（個人情報の第三者への提供）

第１６条 個人情報の第三者への提供は本人の同意がない場合は禁止する。例外として、以下の場合には第三者に提供することがある。

① 令状等により要求された場合（届出、通知）

② 公衆衛生、児童の健全育成に特に必要な場合（疫学調査等）

③ 人の生命、身体又は財産の保護に必要な場合

２ 第三者への提供は、原則として個人情報管理責任者の承諾を得て、必要な措置を講じた後でなければならない。

３ 前記の通知あるいは報告を受けた個人情報管理責任者は、速やかにその是非を検討しなければならない。

（個人情報の共同利用）

第１７条 個人情報を第三者との間で共同利用する場合、本人の同意をえた後、担当者は個人情報管理責任者に届け出なければならない。

２ 前項の通知を受けた個人情報管理責任者は、直ちにその是非を検討し、院長の承諾を得なければならない。

第５章 自己情報に関する情報主体からの諸請求に対する対応

（自己情報に関する権利）

第１８条 当院が保有している個人情報について、患者・利用者から説明、開示を求められた場合、診療の現場における診療内容に関する事項は、主治医は、遅滞なく当院が保有している患者・利用者の診療に関する個人情報を、希望する方法で説明、開示しなければならない。

２ 家族あるいは第三者への個人情報の提供は、あらかじめ、本人に対象者を確認し、同意を得る。一方、意識不明の患者や認知症などで合理的判断ができない場合は、本人の同意を得ずに家族等に提供する場合もある。この場合、本人の家族等であることを確認した上で、本人の意識が回復した際には、速やかに、提供及び取得した個人情報の内容とその相手について本人に説明する。

３ 開示した結果、誤った情報があった場合で、訂正、追加又は削除を求められたときは、主治医、個人情報管理責任者は、遅滞なくその請求が妥当であるかを判断し、妥当であると判断した場合には、訂正等を行い、遅滞なく患者・利用者に対してその内容を通知しなければならない。訂正しない場合は、遅滞なく患者・利用者に対してその理由を通知しなければならない。

４ 死者の情報は、患者・利用者本人の生前の意思、名誉等を十分に尊重しつつ、遺族であることを確認のうえ診療情報・介護関係の記録の提供を行なう。

５ 個人情報についての開示・訂正等の請求及を郵送で受ける場合は、本人確認のため必ず免許証等の写しの添付を条件とする。

（自己情報の利用又は提供の拒否権）

第１９条 当院が保有している個人情報について、患者・利用者から自己情報についての利用又は第三者への提供を拒まれた場合、これに応じなければならない。ただし、裁判所および令状に基づく権限の行使による開示請求等又は当院が法令に定められている義務を履行するために必要な場合については、この限りでない。

第６章 管理組織・体制

（個人情報管理責任者）

第２０条 個人情報管理責任者は、個人情報の保護についての統括的責任と権限を有する責任者であって、別に定める業務を行わなければならない。

２ 個人情報管理責任者は、各部に個人情報管理担当者を選任し、自己に代わり必要な個人情報保護についての業務を行わせ、これを管理・監督しなければならない。

３ 個人情報管理担当者は各部に所属する者のなかから、個人情報取扱担当者を選任しなければならない。

（個人情報保護対策委員会）

第２１条 個人情報保護の推進・管理を円滑に行うため、「個人情報保護対策委員会」を設置する。

２ 対策委員会は院長を委員長とし個人情報管理責任者と各部の個人情報管理担当者を委員として毎年1回定期的に会議を行う。緊急時には臨時会議を行う。

３ 対策委員会は、次の内容の協議・推進を行う。

① 個人情報の収集、利用、適正管理に関すること

② 個人データの第三者への提供に関すること

③ 個人データの開示、訂正、利用停止に関すること

④ 個人情報の漏洩等の措置に関すること

⑤ その他、職員研修等個人情報の保護全般に関すること

４ 対策委員会の記録その他庶務は事務部が行う。

（個人情報の漏洩等の場合の連絡先及び対応）

第２２条 個人情報の漏洩等が疑われる場合は直ちに個人情報管理担当者（各部署所属長）に報告しなければならない。

２ 個人情報漏洩等に伴う報告ルートは，「個人情報漏洩等に伴う報告フローチャート」に従う。

３ 個人情報漏洩後の対応は個人情報取扱統括責任者（病院長）の指示に従う。

４ 個人情報取扱統括責任者は二次被害防止，類似事例発生回避等の観点から当該患者への連絡，警察への通報，ホームページ等による公表，マスコミ等への対応を適切に実施するものとする。

（個人情報保護苦情・相談の窓口）

第２３条 個人情報管理責任者は、個人情報保護に関しての苦情・相談を受付窓口で受ける。この連絡先を患者・利用者に告知しなければならない。

第７章 個人情報管理責任者の職務

（個人情報の特定とリスク調査）

第２４条 個人情報管理責任者は、当院が保有するすべての個人情報を特定し、危機を調査・分析するための手順・方法を確立し、維持しなければならない。

２ 個人情報管理責任者は、各部ごとに前項の手順に従って各部における個人情報を特定し、個人情報に関する危険要因（個人情報への不正アクセス、個人情報の紛失、破壊、改ざん 及び漏えい等）を調査・分析の上、適切な保護措置を講じない場合の影響を認識し、必要 な対策を策定し、維持しなければならない。

（法令及びその他の法規範）

第２５条 個人情報管理責任者は、個人情報に関する法令及びその他の法規範を特定し、参照できる手順を確立し、維持しなければならない。

（文書の管理）

第２６条 個人情報管理責任者は、この規定に基づき作成される文書（電磁的記録を含む）を管理しなければならない。

第９章 廃棄

（個人情報の廃棄）

第２７条 個人情報を廃棄する場合は、匿名化もしくは、適切な廃棄物処理業者に廃棄を委託する。

２ 個人情報を記録したコンピュータを廃棄するときは、特別のソフトウェア等を使用して個人情報を消去し，CD、USB 等の記憶媒体は物理的に破壊する。

３ 個人情報を記録したコンピュータを他に転用するときは、特別のソフトウェア等を使用して個人情報を消去してから転用する。

４ 研修医，実習生等の雇用管理に利用した個人情報についても，同様の処理をする。

５ 個人情報の廃棄作業は個人情報取扱担当者が行う。

第10章 罰則

（罰則）

第２８条 当院は、本規定に違反した職員に対して就業規則に基づき制裁を行うことがある。

２ 制裁の手続きは職員就業規則に定める。

第11章 追加補足

（個人情報保護法及びマイナンバー法の改正）

第２９条 個人情報の定義の明確化として特定の個人の身体的特徴を変換したもの（顔認識データ）

等は、特定の個人を識別する情報であるためこれを個人情報として明確化する。個人識別番号（マイナンバー）も含む。

２ 本人に対する不当な差別や偏見が生じないように人種・信条・病歴等が含まれる個人情報については、本人同意を得て取得することを原則義務化し、本人の同意を得ない第三者提供の特例（オプトアウト）を禁止とする。

３ 特定の個人を識別することができないように、個人情報を加工したものを匿名加工情報と定義し、その加工方法を定めていく。

４ 内閣府の外局として新設された個人情報保護委員会からの発信に関して、医療に関する情報に関しては担当者にかかわらず適時、個人情報保護対策委員会へ情報を提供する。

５ マイナンバーは、法律で限定的に明記された場合以外で提供を求めたり利用したりすることは禁止されている。

本人の同意があったとしても法律で認められる場合以外でマイナンバーの提供や利用はできない。

６ なりすまし防止のためには本人確認を厳格に行うこと。

第12章 追加補足 2

（開示の拒否）

第３０条 個人情報保護対策委員会は、開示対象の保有個人データの項目が個人情報保護法第２５条

１項ならびに「医療・介護関係事業者における個人情報の適切な取扱いのためのガイドライン」の「開示の例外」に適当すると判断された場合は、その保有個人データの項目について、その全部または一部を開示しないことができる。

２ 開示請求にかかわる保有個人データが存在しない場合、開示を拒否することができる。

３ 開示を請求する者が所定の手数料を支払わない場合には、開示を拒否することができる。

４ 開示を行わない措置をよる場合は、その理由を開示請求する者に通知をする。

５ その他

（研修実施）

第３１条 個人情報管理責任者は、当院職員その他個人情報の預託先等の関係者に対して、個人情報保護計画に基づき次のような研修を行い、評価しなければならない。

１) 個人情報保護法の内容

２) 個人情報保護方針、本規定の内容

３) 個人情報保護計画の内容と役割分担

４) セキュリティ教育

２ 個人情報管理責任者は、個人情報管理担当者に対して下記の如く研修を行い、評価しなければならない。

１) 個人情報保護法の内容

２) 個人情報保護方針、本規定の内容と個人情報管理担当者の役割

３) 個人情報保護計画の内容と個人情報管理担当者の役割

４) セキュリティ管理教育

５) 個人情報の預託先の調査と監査

６) 個人情報の漏えい事故等が発生した場合の対応

３ 個人情報管理責任者は、第１項、前項の研修を効果的に行い、個人情報の重要性を自覚させる手順・方法を確立し維持しなければならない。

第13章 規程の改廃

（規程の改廃）

第３２条 この規程平成17年7月1日制定の「個人情報保護規程」を改正のうえ制定するものである。必要に応じて改正するとともに、研修などを通じて職員に周知する。

（附則）

第１条 この規程は 平成１９年１０月１日から施行する。

平成２１年 ９月１日改定する。平成２３年 ３月１日改定する。

平成２８年１０月１日追加補足する。

第２条 この規程は、病院名称を変更したうえで、平成２９年１２月１日から施行する。

第３条 この規程は、第３１条に研修実施の条項を定めたため規程の改廃を第３２条とする。平成３０年 １月 １日追加補足する。

別表１

当院における個人情報の利用目的

１． 院内での利用

（１） 患者さんに提供する医療サービス

（２） 患者さんへの医療サービス向上

（３） 医療保険事務

（４） 入退院時の病棟管理

（５） 会計・経理

（６） 医療事故等の報告

（７） 院内医療実習への協力

（８） 医療の質の向上を目的とした院内症例研究

（９） その他、患者さんに係る管理運営業務

２．院外への情報提供としての利用

（１） 他の病院、診療所、薬局、介護サービス事業者等との連携

（２） 他の医療機関等からの照会への回答

（３） 患者さんの診療等のため、外部医師等の意見・助言を求める場合

（４） 検体検査業務等の業務委託

（５） ご家族等への病状説明

（６） 審査支払機関又は保険者へのレセプトの提供

（７） 審査支払期間又は保険者からの照会への回答

（８） 医療賠償責任保険等に係る、医療に関する専門の団体や保険会社等への相談又は届出等

（９） 事業者等から委託を受けた健康診断に係る、事業者等へのその結果の通知

（１０） 第3 者機関への質向上・安全確保・医療事故対応・未然防止等のための報告

３．その他の利用

（１） 医療や業務の維持・改善のための基礎資料

（２） 外部監査機関への情報提供

（３） 学会・医学誌等への報告・発表（匿名化する。匿名化困難な場合は、本人の同意を得る。）

※ １．上記のうち、同意しがたい事項が有る場合はその旨を受付窓口までお申し出ください。

２．お申し出がないものにつきましては、同意していただけたものとさせていただきます。

３．これらのお申し出は、後からいつでも撤回・変更等をすることができます。

利用目的の変更

利用目的を変更する場合は、改めて患者さんに変更内容を通知するか、院内掲示等で公表します。