○和水町病院事業個人情報保護規程
平成25年12月24日
病院事業管理規程第12号
(目的)
第1条 この規程は、国民健康保険和水町立病院(以下「病院」という。)が個人情報保護の体制を確立し、個人情報保護に関する施策の実施、見直し及び改善を図るサイクルを確立させ、病院を利用される全ての患者等の個人情報を保護するとともに、その情報の活用を両立させることを目的とする。
(この規程の対象)
第2条 この規程は、病院において処理されている個人情報であって、組織的に保有するファイリングシステムの全部又は一部をなすものを対象とする。
(定義)
第3条 この規程における用語の意義は、個人情報の保護に関する法律(平成15年法律第57号。以下「法」という。)第2条の定めるところによる。
(保護管理者)
第4条 病院に、保護管理者を置き、病院事業管理者(以下「管理者」という。)をもって充てる。
2 保護管理者は、病院の保有する患者の個人情報を適切に管理する任に当たる。
(保護担当者)
第5条 病院に保護担当者を2人置き、医療安全管理者及び事務部長をもって充てる。
2 保護担当者は、保護管理者を補佐し、保護管理者と同等の権限をもって病院の保有する患者の個人情報の管理に関する事務を担当する。
(保護分担管理者)
第6条 保護管理者、保護担当者の指示に基づき病院各部署で保有する患者の個人情報の適切な管理を行うために、保護分担管理者を置く。
(個人情報保護管理委員会)
第7条 個人情報の保護の推進を図るため、病院に個人情報保護管理委員会(以下「委員会」という。)を置く。
2 委員会に委員長を置き、管理者がこれを任命する。
3 委員長は、委員会を統括し、議長を務める。
4 委員長は、各部署から委員を任命する。
5 委員の任期は2年とし、再任は妨げない。任期途中で交代した場合の補充委員の任期は、前任者の残任期間とする。
6 委員会が必要と認めた場合は、委員以外の者の出席を求めることができる。
7 委員会の任務は、次に掲げる事項とする。
(1) 個人情報の利用目的の特定及び利用目的の通知に関すること。
(2) 個人情報の適正な取得及び正確性の確保に関すること。
(3) 安全管理措置及び個人情報の漏えい等の措置に関すること。
(4) 職員等(個人データを取り扱うことのある大学院生及び学生を含む。以下同じ。)の監督及び委託先の監督に関すること。
(5) 個人データの第三者提供に関すること。
(6) 保有個人データの訂正及び利用停止に関すること。
(7) その他個人情報の保護全般に関すること。
8 委員会は、1年に1回の開催を原則とする。
9 委員会は、委員長が招集する。
10 委員長が必要と認めた場合は、臨時に委員会を開催することができる。
11 委員会の事務は、総務係が担当する。
12 委員会の運営に関し必要な事項は、委員会が別に定める。
(職員等の責務)
第8条 職員等は、法の趣旨にのっとり、関連する法令及び規程等の定め並びに保護管理者及び保護担当者の指示に従い、個人データを取り扱わなければならない。
2 職員等は、その職種のいかんを問わず、病院の従業者として職務上知り得た患者の個人情報を、正当な理由なく第三者に漏らしてはならない。病院を退職した後においても、同様とする。
(教育研修)
第9条 保護管理者は、職員等に対し、個人データの適切な管理のために必要な研修を定期的に実施しなければならない。
(個人情報の取得)
第10条 個人情報を取得するときは、その利用目的を公表し、又は本人に明示した上、病院の業務遂行に必要な範囲に限定して、適正かつ公正な手段によって取得しなければならない。
(アクセス制限)
第11条 保護管理者は、個人データの秘匿性等その内容に応じて、個人データにアクセスする権限を有する者をその利用目的を達成するために必要な職員等に制限する。
2 アクセス権限を有しない職員等は、個人データにアクセスしてはならない。
3 職員等は、アクセス権限を有する場合であっても、業務上の目的以外で個人データにアクセスしてはならない。
4 保護管理者は、各職種等のアクセス権限を別に定める。
(複製等の制限)
第12条 職員等は、業務上の目的で個人データを取り扱う場合であっても、次に掲げる行為については、保護管理者の指示に従わなければならない。
(1) 個人データの複製
(2) 個人データの送信
(3) 個人データが記録されている媒体(端末及びサーバに内臓されているものを含む。以下「媒体」という。)の外部への送付又は持ち出し
(4) その他個人データの適切な管理に支障を及ぼすおそれのある行為
(訂正等)
第13条 職員等は、個人データの内容に誤り等を発見した場合には、保護管理者の指示に従い、訂正等を行わなければならない。
(媒体の管理等)
第14条 職員等は、保護管理者の指示に従い、媒体を定められた場所に保管しなければならない。
(廃棄等)
第15条 職員等は、個人データ又は媒体が不要となった場合には、保護管理者の指示に従い、復元又は判読が不可能な方法により当該情報の消去又は媒体の廃棄を行わなければならない。
(個人データの取扱状況の記録)
第16条 保護管理者は、個人データの秘匿性等その内容に応じて、台帳等を整備して、個人データの利用及び保管等の取扱いの状況について記録しなければならない。
(アクセス制御)
第17条 保護管理者は、個人データ(病院情報管理システムで取り扱うものに限る。)の秘匿性及びその内容に応じて、パスワード等を使用して権限の有無を識別する機能を設定する等のアクセス制御のために必要な措置を講じなければならない。
2 保護管理者は、前項の措置を講ずる場合には、パスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。)、パスワード等の読取防止等を行うために必要な措置を講じなければならない。
(外部からの不正アクセスの防止)
第18条 保護管理者は、個人データを取り扱う病院情報管理システムへの外部からの不正アクセスを防止するため、経路制御等の必要な措置を講じなければならない。
(コンピューターウイルスによる漏えい等の防止)
第19条 保護管理者は、コンピューターウイルスによる個人データの漏えい、滅失又は毀損の防止のため、コンピューターウイルスの感染防止等に必要な措置を講じなければならない。
(入力情報等の照合等)
第20条 職員等は、病院情報管理システムで取り扱う個人データの重要度に応じて、入力原票と入力内容との照合、処理前後の当該個人データの内容の確認、既存の個人データとの照合等を行わなければならない。
(バックアップ)
第21条 保護管理者は、個人データの重要度に応じて、バックアップを作成し、分散保管するために必要な措置を講じなければならない。
(端末の盗難防止等)
第22条 保護管理者は、端末の盗難又は紛失の防止のため、端末の固定、執務室の施錠等の必要な措置を講じなければならない。
2 職員等は、保護管理者が必要であると認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
(第三者の閲覧防止)
第23条 職員等は、端末の使用に当たっては、個人データが第三者に閲覧されることがないよう、使用状況に応じて病院情報管理システムからログオフを行うことを徹底する等の必要な措置を講じなければならない。
(入退室の管理)
第24条 保護管理者は、個人データを取り扱う基幹的なサーバ等の機器を設置する部屋(以下「サーバ室」という。)に入室する権限を有する者を定めるとともに、用件の確認、入退室の記録、部外者についての識別化、部外者が入室する場合の職員の立会い等の措置を講じなければならない。
(サーバ室の管理)
第25条 保護管理者は、外部からの不正な侵入に備え、サーバ室に施錠装置等の設置の措置を講じなければならない。
2 保護管理者は、災害等に備え、サーバ室に必要な措置を講ずるとともに、予備電源の確保、配線の損傷防止等の措置を講じなければならない。
(個人データの提供)
第26条 職員等は、患者本人の同意が無い限り、個人情報を取得の目的以外に利用し、又は第三者に提供してはならない。ただし、法第27条第1項各号のいずれかに該当する場合は、この限りでない。
2 保護管理者は、法第27条第1項の規定により個人データを提供する場合には、提供先における利用目的、利用する業務の根拠法令、利用する記録範囲及び記録項目、利用形態等について記録を残さなければならない。
3 保護管理者は、法第27条第1項の規定に基づき個人データを提供する場合には、安全確保の措置を要求するとともに、提供前又は随時に実地の調査等を行い措置状況を確認し、その結果を記録するとともに、改善要求等の措置を講じなければならない。
(業務の委託等)
第27条 個人データの取扱いに係る業務を外部に委託する場合には、個人データの適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講じなければならない。
2 個人データの取扱いに係る業務を外部に委託する場合の契約書には、次に掲げる事項を明記するとともに、委託先における責任者等の管理体制、個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認しなければならない。
(1) 個人データに関する秘密保持等の義務
(2) 再委託の制限又は条件に関する事項
(3) 個人データの複製等の制限に関する事項
(4) 個人データの漏えい等の事案の発生時における対応に関する事項
(5) 委託終了時における個人情報の消去及び媒体の返却に関する事項
(6) 違反した場合における契約解除の措置その他必要な事項
3 個人データの取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記しなければならない。
(事案の報告及び再発防止措置)
第28条 保有個人情報の漏えい等安全確保の上で問題となる事案が発生した場合に、その事実を知った職員等は、速やかに保護管理者に報告しなければならない。
2 保護管理者は、被害の拡大防止又は復旧のために必要な措置を講じなければならない。
3 保護管理者は、事案の発生した経緯、被害状況等を調査し、また、その原因を分析し、再発防止のために必要な措置を講じなければならない。
(公表等)
第29条 保護管理者は、保有個人情報の漏えい等安全確保の上で問題となる事案が発生した場合に、事案の内容、影響等に応じて、事実関係及び再発防止策の公表、当該事案に係る本人への対応等の措置を講じなければならない。
(点検)
第30条 保護管理者は、自ら管理責任を有する個人データの媒体、処理経路、保管方法等について、定期又は随時に点検を行わなければならない。
(評価及び見直し)
第31条 保護管理者は、個人データの適切な管理のための措置について、点検の結果等を踏まえ、実効性等の観点から評価し、必要があると認めるときは、その見直し等の措置を講じなければならない。
(開示、訂正及び利用停止)
第32条 法第33条に定める開示の請求に係る事項ついては、管理者が別に定めなければならない。
2 個人情報の開示、当該情報の訂正、利用停止等の希望を受けた場合は、各部署保護担当管理者又は医事出納係長が窓口とならなければならない。
3 前項に規定する請求があった場合、保護管理者は、速やかに必要な調査を行い、回答しなければならない。
(改廃)
第33条 この規程の改廃については、委員会の議を経なければならない。
附則
この規程は、公布の日から施行し、平成25年4月1日から適用する。
附則(令和5年病管規程第2号)
この規程は、デジタル社会の形成を図るための関係法律の整備に関する法律(令和3年法律第37号)附則第1条第7号に掲げる規定(同法第51条の規定に限る。)の施行の日から施行する。