（目的）

第1条この規定は、医療法人桂名会重工記念病院（以下「当院」とする）が保有している患者その他関係者の個人情報の適切な保護のための個人情報保護方針に基づく基本規定であり、当院の従業者はこの規定に従って個人情報を保護していかなければならない。

（対象）

第2条この規定は、当院において、その全部又は一部がコンピュータ等の自動的手段により処理されている個人情報及び手作業により処理されている個人情報であって、組織的に保有するファイリングシステムの全部又は一部をなすものを対象とする。

（定義）

第3条この規定おいて、次の各号に掲げる用語の意義は、当該各号に定めるところによる。

1. 個人情報
   生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により、特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
2. 情報主体
   一定の情報によって識別される、又は識別され得る個人をいう。
3. 当院の従業者
   役員、医師・看護師・療法士・介護士等の医療従事者、事務職員、その他職員、実習生、ボランティア、パートタイマー、派遣労働者、顧問、委託契約に基づき当院内の業務を行う者をいう。
4. 個人情報管理者
   個人情報保護のための業務について統括的責任と権限を有する者をいい、個人情報管理者には木村病院院長が就任する。
5. 苦情相談窓口
   　　個人情報のコンピュータへの入力・出力、修正・削除、台帳・申込書等の個人情報を記載した帳票・帳表を保管・管理等をする者に木村病院医事課長が就任する。
6. 利用者
   診療等の当院の業務遂行のために雇用契約・委任契約・請負契約に基づき個人情報を取り扱いあるいは利用する者をいう。

（収集の原則）

第4条個人情報の収集は、収集目的を明確に定め、その目的の達成に必要な限度において行わなければならない。

（収集方法の制限）

第5条個人情報の収集は、適法、かつ公正な手段によって行わなければならない。

（個人情報に関する禁止事項）

第6条次に示す内容を含む個人情報の収集、利用又は提供を行ってはならない。

1. 思想、信条及び宗教に関する事項
2. 人種、民族、門地、犯罪歴、その他社会的差別の原因となる事項
3. 勤労者の団結権、団体交渉及びその他団体行動の行為に関する事項
4. 集団示威行為への参加、請願権の行使及びその他の政治的権利の行使に関する事項

（情報主体から対面で個人情報を直接収集する場合の措置）

第7条情報主体から対面で直接に個人情報を収集する場合、情報主体から個人情報を入手する者は、情報主体に対して、利用目的その他法令で定める事項を通知しなければならない。

（その他の方法により個人情報を収集する場合の措置）

第8条個人情報管理者は、第7条に定めた方法での通知ができなかったときのために、個人情報保護方針及び第7条の内容を当院インターネットホームページおよび院内の見やすい場所に掲示し、かつ最新の状態を維持しなければならない。

（間接的に個人情報を収集する場合の措置）

第9条情報主体以外から間接的に個人情報を収集する場合、個人情報管理者は、以下の措置を講じ、監督しなければならない。

1. 当院インターネットホームページに第7条の内容を掲示すること。
2. 個人情報を入手する者が、適法かつ公正な手段によって当該個人情報を収集するよ　うに監督すること。
3. 第三者から入手する当該個人情報が適法かつ公正な手段により収集されたものであることを確認すること。

（利用範囲の制限）

第10条個人情報の利用は、原則として収集目的の範囲内で、具体的な業務に応じ権限を与えられた者のみが、業務の遂行上必要な限りにおいて行うものとする。

（目的内の利用の場合の措置）

第11条収集目的の範囲内で行う当院の個人情報の利用は、次の一．から五．までに掲げるいずれかの場合についてのみこれを行うことができる。

1. 情報主体が同意を与えた場合もしくは同等の措置を講じた場合
2. 情報主体が当事者である診療契約等の準備又は履行、医療費請求のために必要な場合
3. 当院が従うべき法的義務の履行のために必要な場合
4. 情報主体の生命、健康、財産等の重大な利益を保護するために必要な場合
5. 監督行政機関、警察、裁判所等の公的機関からの法令に基づく権限の行使による開　示請求等があった場合

（目的外の利用の場合の措置）

第12条収集目的の範囲を超えて個人情報の利用を行う場合または前条一号から五号までに掲げるいずれの場合にも当たらない個人情報の利用を行う場合においては、個人情報管理者は第7条に掲げる事項、その他必要な事項を個人情報の主体へ通知しあらかじめ情報主体の同意を得るか、又はその旨を事前に桂名会木村病院インターネットホームページおよび院内の見やすい場所に掲示して情報主体に拒絶の機会を与えなければならない。

（個人情報の入出力、保管等）

第13条個人情報のコンピュータへの入力・出力の個人情報を記載した帳票の保管・管理等は、苦情相談窓口担当者が行わなければならない。ただし、苦情相談窓口担当は、個人情報管理者の承諾を得て信頼できる履行補助者にこれを代行させることができる。

（個人情報の正確性の確保）

第14条個人情報管理者は、個人情報を利用目的に応じ必要な範囲内において、正確かつ最新の状態で管理しなければならない。

（個人情報の安全性の確保）

第15条個人情報管理者は、当院の個人情報を格納したコンピュータへの不正なアクセス又は個人情報の紛失、破壊、改ざん、漏えい等の危険に対してセキュリティ対策を講じ、安全性を確保しなければならない。

（自己情報に関する権利）

第16条当院が保有している個人情報について、情報主体から自己の情報について開示を求められた場合、個人情報管理者は、遅滞なく当該情報主体の個人情報（当該個人情報が存在しない場合はその旨）を、当該情報主体に開示するための措置を講じなければならない。

1. 開示した結果、誤った情報があった場合で、訂正、追加または削除を求められたときは、個人情報管理者は、遅滞なく訂正等を行い、訂正等の後、情報主体に対して通知をしなければならない。

（自己情報の利用または提供の拒否権）

第17条当院が保有している個人情報について、情報主体から自己情報についての利用または第三者への提供を拒まれた場合は、これに応じなければならない。ただし、診療、監督行政機関・警察・裁判所等の公的機関からの法令に基づく権限の行使による開示請求または法令に定められている義務の履行、医療費請求等のために必要な場合については、この限りでない。

（個人情報保護苦情・相談窓口の設置）

第18条個人情報管理者は、個人情報の取り扱いの苦情・相談を受け付けて対応する窓口を常設し、この連絡先を情報主体に告知しなければならない。

（個人情報の廃棄）

第19条個人情報を廃棄する場合は、シュレッダーにかけて読み取り不能にした上で廃棄する。

1. 個人情報を大量に廃棄するときは、信頼できる廃棄物処理業者に依頼して溶解処理　
   もしくは焼却処理を行い廃棄の状況を撮影したビデオテープおよび廃棄証明書を受領するか、もしくは廃棄処理に立ち会わなければならない。
2. 個人情報を記録したコンピュータ、記憶媒体を廃棄するときは、特別のソフトウェアを使用して個人情報を完全に消去するか記憶媒体を物理的に破壊してから廃棄する。
3. 個人情報を記録したコンピュータを他に転用するときは、特別のソフトウェアを使用して個人情報を完全に消去してから転用する。
4. 個人情報の廃棄作業は苦情相談窓口担当が行う。

（新しい目的の個人情報の収集手続き）

第20条新しい診療・研究等のため新しい目的で個人情報を収集するときは、利用者は個人情報管理者に届け出なければならない。

1. 前項の届け出を受けた苦情窓口担当者は、個人情報管理者と協議して承諾を得なければならない。
2. 新しい目的での個人情報の収集は、個人情報管理者の承諾を得て、個人情報管理者　が必要な措置を講じた後でなければならない。

（個人情報の利用手続き）

第21条診療等の通常の使用目的で個人情報を利用するときは、担当事務職員等の権限者が定められた保管場所から取り出し、担当医師等の権限者に直接渡す。診療等が終了したときは担当事務職員等の権限者が所定の場所に返却し保管する。

1. 診療・請求等の通常の利用目的を超えて利用者が個人情報を利用する場合、以下の事項を個人情報管理者に届け出てその承諾を得なければならない。
   1. 利用する個人情報の範囲
   2. 利用目的
   3. 利用時期
2. 利用者は、個人情報管理者の承諾を得ないで、個人情報の目的外利用、第三者への提供・預託、通常の利用場所からの持ち出し、外部への送信等の行為をしてはならない。

（個人情報の委託処理等に関する手続き）

第22条情報処理や作業を第三者に委託するために、個人情報を第三者に預託する場合（派遣労働者の受け入れを含む）においては、利用者は事前に個人情報管理者に届け出なければならない。

1. 利用者は、個人情報管理者の承諾を得てから委託しなければならない。
2. 個人情報を第三者に預託する場合、個人情管理者は以下の措置を講じなければならない。
   1. 新規の個人情報の預託先（派遣労働者の受け入れを含む）については、預託先責任者との面接、預託先の処理施設の現場視察等により個人情報保護およびセキュリティ管理の水準が適正であること、個人情報保護およびセキュリティ管理の教育の水準が適正であることを確認すること。
   2. 次の事項について契約すること。
      （1）守秘義務の存在、取り扱うことのできる者の範囲に関する事項
      （2）預託先における個人情報の秘密保持方法、管理方法ついての事項
      （3）契約終了時の個人情報の返却および複製物の消去に関する事項
      （4）個人情報が漏えい、その他事故の場合の措置、責任分担についての事項
      （5）再委託に関する事項
3. 委託中、利用者は、必要に応じ預託先が当院との契約を遵守しているかどうかを確認し、万一、契約に抵触する事項を発見したときは、その旨を個人情報管理者に通知しなければならない。
4. 前項の通知を受けた苦情窓口担当者は、直ちに個人情報管理者と協議して個人情報の預託先に対して必要な措置を講じなければならない。

（個人情報の第三者への提供・公表手続き）

第23条個人情報の第三者への提供を禁止する。ただし、業務上あるいは公共上、利用者が第三者への提供（公表・開示等を含む）の必要性を認めた場合、個人情報管理者に届け出るものとする。

1. 前項の通知を受けた苦情窓口担当者は、個人情報管理者と協議して承諾を得なければならない。
2. 第三者への提供は、個人情報管理者の承諾を得て、個人情報管理者が必要な措置を講じた後でなければならない。

（漏洩事故発生時の対応）

第24条個人情報の漏洩事故が発生した場合には、苦情窓口担当者は速やかに以下の対応を行うとともに、必要な対応を行う。

1. 対策本部を病院運営会議内に設置する。
2. 個人情報管理責任者に報告する。
3. 漏洩事故の対象となった本人に対して事実関係を通知する。

2対策本部の本部長は個人情報管理者とし、副本部長は苦情窓口担当者とする。
3対策本部長は事故の内容を必要により二次被害の防止、類似事案の発生回避等の観点から愛知県に報告する。