○徳島大学病院保有個人情報の保護に関する規則
平成17年3月18日
医学部・歯学部附属病院長制定
第1章 趣旨
(趣旨)
第1条 この規則は、徳島大学個人情報の保護に関する規則(平成16年度規則第135号。以下「保護規則」という。)第22条の規定に基づき、徳島大学病院における個人情報(診療等の病院業務にかかわるものに限る。以下同じ。)の適切な管理について、必要な事項を定めるものとする。
第2章 定義
(定義)
第2条 この規則における用語の意義は、保護規則第2条に定めるところによる。
2 前項のほか、この規則にいう「徳島大学病院」には、徳島大学大学院医歯薬学研究部医学域及び歯学域の臨床系分野を含むものとする。
第3章 管理体制
(病院業務保護管理者)
第3条 保護規則第3条第2項に規定する部局等総括保護管理者(以下「病院総括保護管理者」という。)の下に、病院業務保護管理者(以下「病院保護管理者」という。)を置き、病院長が指名する者をもって充てる。
2 病院保護管理者は、徳島大学病院(以下「本院」という。)における診療等の病院業務にかかわる保有個人情報(以下「保有個人情報」という。)の管理に関する事務を行い、保有個人情報の適切な管理とその徹底に努めるものとする。
(病院業務保護担当者)
第4条 本院に、病院業務保護担当者(以下「病院保護担当者」という。)を置き、診療科長(徳島大学病院の院内組織に関する内規第3条に規定する診療科長をいう。)、中央診療施設等の部長、室及びセンターの長、薬剤部長、看護部長、医療技術部長、栄養部長及び事務部長をもって充てる。
2 病院保護担当者は、病院保護管理者を補佐し、保有個人情報の適切な管理に努めるものとする。
(プライバシープロテクションマネージャー)
第5条 病院保護担当者が必要と認めた場合は、本院にプライバシープロテクションマネージャー(以下「PPマネージャー」という。)を置くことができる。
2 PPマネージャーは、個人情報の運用が適切に行われるよう管理を行うとともに、教育訓練、内部監査及びインシデント対応の実務担当者となる。
(病院業務保護監査責任者)
第6条 本院に、病院業務保護監査責任者を置き、病院総括保護管理者が指名する者をもって充てる。
2 病院業務保護監査責任者は、本院の保有個人情報の適切な管理を検証するため、関係法令及び本院における保有個人情報の管理の状況(この規則に規定する措置の状況を含む。)について、必要に応じ監査を行い、その結果を病院総括保護管理者に報告するものとする。
(病院業務保護教育責任者)
第7条 本院に、病院業務保護教育責任者を置き、病院保護管理者が指名する者をもって充てる。
2 病院業務保護教育責任者は、本院において業務に従事する者への個人情報保護に関する教育を実施するものとする。
第4章 職員等の責務
(職員等の責務)
第8条 職員等(本院に所属する者(有期雇用職員を含む。)のほか、保有個人情報を取り扱うことのある大学院生、学生、受託実習生、研修生、本院の許可を得て診療等を行う者、派遣労働者として本院において業務に従事する者及び業務委託その他の契約により本院の業務に関与する者等を含む。以下同じ。)は、個人情報の保護に関する法律(平成15年法律第57号。以下「保護法」という。)及び個人情報の保護に関する法律施行規則(平成28年個人情報保護委員会規則第3号)の趣旨に則り、関連する法令及び規程等の定め並びに徳島大学総括保護管理者(保護規則第3条第1項に規定するものをいう。以下「総括保護管理者」という。)、病院総括保護管理者、病院保護管理者及び病院保護担当者の指示に従い、保有個人情報を取り扱わなければならない。
第5章 教育研修
(教育研修)
第9条 病院総括保護管理者は、職員等に対し、保有個人情報の適切な管理のために必要な研修等を行い、総括保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。
第6章 保有個人情報の取扱い
(アクセス制限)
第10条 病院総括保護管理者は、保有個人情報の秘匿性等その内容に応じて、保有個人情報にアクセスする権限を有する者をその利用目的を達成するために必要最小限の職員等に制限する。
2 アクセス権限を有しない職員等は、保有個人情報にアクセスしてはならない。
3 職員等は、アクセス権限を有する場合であっても、業務上の目的以外の目的で保有個人情報にアクセスしてはならない。
4 病院総括保護管理者は、各職種等のアクセス制限を別に定める。
(複製等の制限)
第11条 職員等は、業務上の目的で保有個人情報を取り扱う場合であっても、次に掲げる行為については、病院総括保護管理者の指示に従い行う。
(1) 保有個人情報の複製
(2) 保有個人情報の送信
(3) 保有個人情報が記録されている媒体の外部への送付又は持出し
(4) その他保有個人情報の適切な管理に支障を及ぼすおそれのある行為
(誤りの訂正等)
第12条 職員等は、保有個人情報の内容に誤り等を発見した場合には、病院総括保護管理者の指示に従い、訂正等を行う。
(媒体の管理等)
第13条 職員等は、病院総括保護管理者の指示に従い、保有個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行う。
(廃棄等)
第14条 職員等は、保有個人情報又は保有個人情報が記録されている媒体(端末及びサーバに内蔵されているものを含む。)が不要となった場合には、病院総括保護管理者の指示に従い、復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。
(保有個人情報の取扱状況の記録)
第15条 病院総括保護管理者は、保有個人情報の秘匿性等その内容に応じて、台帳等を整備して、保有個人情報の利用及び保管等の取扱いの状況について記録する。
第7章 病院情報システムにおける安全の確保等
(アクセス制御)
第16条 病院総括保護管理者は、保有個人情報(病院情報システムで取り扱うものに限る。以下第19条において同じ。)の秘匿性等その内容に応じて、ID・パスワード等の記憶、ICカード等の物理媒体、指紋や虹彩等の生体計測等(以下「パスワード等」という。)を使用して権限を識別する機能(以下「認証機能」という。)を設定する等のアクセス制御のために必要な措置を講ずる。
2 病院総括保護管理者は、前項の措置を講ずる場合には、パスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。)、パスワード等の読取防止等を行うために必要な措置を講ずる。
3 アクセス権限を有しない者は、保有個人情報にアクセスしてはならない。
(アクセス記録)
第17条 病院総括保護管理者は、保有個人情報の秘匿性等その内容に応じて、保有個人情報へのアクセス状況を記録し、その記録(以下「アクセス記録」という。)を一定の期間保存し、及びアクセス記録を定期に又は随時に分析するために必要な措置を講ずる。
2 病院総括保護管理者は、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講ずる。
(外部からの不正アクセスの防止)
第18条 病院総括保護管理者は、保有個人情報を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォール等の必要な措置を講ずる。
(コンピュータウイルスによる漏えい等の防止)
第19条 病院総括保護管理者は、コンピュータウイルスによる保有個人情報の漏えい、滅失又はき損の防止のため、外部記憶媒体の使用を極力制限する等コンピュータウイルスの感染防止等に必要な措置を講ずる。
(暗号化)
第20条 病院総括保護管理者は、保有個人情報の秘匿性等その内容に応じて、その暗号化のために必要な措置を講ずる。
2 職員等は、その処理する保有個人情報について、当該保有個人情報の秘匿性等に応じて適正に暗号化を行うものとする。
(入力情報の照合等)
第21条 職員等は、病院情報システムで取り扱う保有個人情報の重要度に応じて、入力原票と入力内容との照合、処理前後の当該保有個人情報の内容の確認、既存の保有個人情報との照合等を行う。
(バックアップ)
第22条 病院総括保護管理者は、保有個人情報の重要度に応じて、バックアップを作成し、その媒体は耐火金庫等に分散保管する等の必要な措置を講ずる。
(情報システム設計書等の管理)
第23条 病院総括保護管理者は、保有個人情報に係る情報システムの設計書、構成図等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講ずる。
(端末の限定)
第24条 病院総括保護管理者は、保有個人情報の秘匿性等その内容に応じて、その処理を行う端末を限定するために必要な措置を講ずる。
(端末の盗難防止等)
第25条 病院総括保護管理者は、端末の盗難又は紛失の防止のため、端末の固定、執務室の施錠等の必要な措置を徹底する。
2 職員等は、病院総括保護管理者が必要があると認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
(第三者の閲覧防止)
第26条 職員等は、端末の使用に当たっては、保有個人情報が第三者に閲覧されることがないよう、使用状況に応じて病院情報システムからログオフを行うことを徹底する等の必要な措置を講ずる。
第8章 情報システム室等の安全管理
(入退室の管理)
第27条 病院総括保護管理者は、保有個人情報を取り扱う基幹的なサーバ等の機器を設置する室等(以下「情報システム室等」という。)に入室する権限を有する者を定めるとともに、用件の確認、入退室の記録、部外者についての識別化、部外者が入室する場合の職員の立会い等の措置を講ずる。また、保有個人情報を記録する媒体を保管するための施設を設けている場合においても、同様の措置を講ずる。
2 病院総括保護管理者は、情報システム室等の出入口の特定化による入退室の管理の容易化、所在表示の制限等の措置を講ずる。
3 病院総括保護管理者は、情報システム室等及び保管施設の入退室の管理について、入室に係る認証機能を設定し、及びパスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。)、パスワード等の読取防止等を行うために必要な措置を講ずる。
(情報システム室等の管理)
第28条 病院総括保護管理者は、外部からの不正な侵入に備え、情報システム室等に施錠装置、警報装置、監視設備の設置等の措置を講ずる。
2 病院総括保護管理者は、災害等に備え、情報システム室等に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずる。
第9章 業務の委託等
(業務の委託等)
第29条 保有個人情報の取扱いに係る業務を外部に委託する場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講ずる。また、契約書に、次に掲げる事項を明記するとともに、委託先における責任者等の管理体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認する。
(1) 個人情報に関する秘密保持等の義務
(2) 再委託の制限又は条件に関する事項
(3) 個人情報の複製等の制限に関する事項
(4) 個人情報の漏えい等の事案の発生時における対応に関する事項
(5) 委託終了時における個人情報の消去及び媒体の返却に関する事項
(6) 違反した場合における契約解除の措置その他必要な事項
(7) 従業者に対する個人情報に関する教育研修の実施
2 保有個人情報の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記する。
第10章 安全確保上の問題への対応
(事案の報告及び再発防止措置)
第30条 職員等は、個人情報の漏えい等保有個人情報の安全確保の上で問題となる事実を認識したときは、直ちにPPマネージャー及び病院保護管理者に報告するものとする。
2 前項の報告を受けた病院保護管理者は、速やかに保有個人情報の安全確保に必要な措置を講じるとともに、被害の拡大の防止又は復旧等のために必要な措置を講じるものとする。
3 病院保護管理者は、保有個人情報の安全確保の上で問題となる事実が発生した経緯、被害状況等を調査し、速やかに病院総括保護管理者に報告するものとする。ただし、重大と認める事案にあっては直ちにその概要を報告しなければならない。
4 病院総括保護管理者は、前項の報告を受けた場合は必要と認める事案について速やかにその内容、経緯、被害状況、再発防止措置等を総括保護管理者に報告するものとする。ただし、重大と認める事案にあっては直ちにその概要を報告しなければならない。
5 病院総括保護管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずる。
(公表等)
第31条 病院総括保護管理者は事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る本人への対応等の措置を総括保護管理者と協議の上、講ずる。
第11章 点検の実施等
(点検)
第32条 病院総括保護管理者は、自ら管理責任を有する保有個人情報の記録媒体、処理経路、保管方法等について、定期に又は随時に点検を行い、必要があると認めるときは、その結果を総括保護管理者に報告する。
(評価及び見直し)
第33条 病院総括保護管理者は、保有個人情報の適切な管理のための措置については、点検又は保護規則第46条に定める監査の結果等を踏まえ、実効性等の観点から評価し、必要があると認めるときは、その見直し等の措置を講じ、総括保護管理者に報告する。
第12章 開示、訂正及び利用停止請求への対応
(開示請求等への対応)
第34条 本院の患者(未成年者又は成年被後見人の法定代理人を含む。)が本院に対して行う保有個人情報の開示請求、訂正請求又は利用停止請求(以下「開示請求等」という。)への対応及び診療情報の提供等に係る事務手続きは、徳島大学病院における診療情報の提供に関する取扱要領に定めるところによる。
2 開示請求等の対応に当たっては、開示請求等をしようとする者がそれぞれ容易かつ的確に開示請求等をすることができるよう、保有個人情報の特定に資する情報の提供その他開示請求等をしようとする者の利便を考慮した適切な措置を講ずるものとする。
第13章 苦情等への対応
(苦情等への対応)
第35条 病院総括保護管理者は、個人情報の取扱いに関する患者からの苦情について、迅速かつ適切に対応できるよう体制整備を行う。
2 患者からの個人情報の取扱いに関する苦情及び相談への対応は、患者支援センターを窓口として行う。
第14章 病院個人情報保護委員会
(病院個人情報保護委員会)
第36条 本院に、保有個人情報の保護に関する事項を審議するため、徳島大学病院個人情報保護委員会(以下「委員会」という。)を置く。
2 委員会について必要な事項は、別に定める。
第15章 雑則
(雑則)
第37条 この規則に定めるもののほか、本院における個人情報の適切な管理について、必要な事項は別に定める。
附則
この規則は、平成17年4月1日から施行する。
附則(平成21年2月27日改正)
この規則は、平成21年3月1日から施行する。
附則(平成22年3月18日改正)
この規則は、平成22年4月1日から施行する。
附則(平成24年3月23日改正)
この規則は、平成24年4月1日から施行する。
附則(平成29年3月31日改正)
この規則は、平成29年4月1日から施行する。
附則(平成30年3月15日改正)
この規則は、平成30年4月1日から施行する。
附則(平成31年3月20日改正)
この規則は、平成31年4月1日から施行する。
附則(令和2年1月16日改正)
この規則は、令和2年4月1日から施行する。
附則(令和3年2月17日改正)
この規則は、令和3年3月1日から施行する。
附則(令和4年3月31日改正)
この規則は、令和4年4月1日から施行する。