○徳岛大学病院保有个人情报の保护に関する规则
平成17年3月18日
医学部?歯学部附属病院长制定
第1章 趣旨
(趣旨)
第1条 この规则は、徳岛大学个人情报の保护に関する规则(平成16年度规则第135号。以下「保护规则」という。)第22条の规定に基づき、徳岛大学病院における个人情报(诊疗等の病院业务にかかわるものに限る。以下同じ。)の适切な管理について、必要な事项を定めるものとする。
第2章 定义
(定义)
第2条 この规则における用语の意义は、保护规则第2条に定めるところによる。
2 前项のほか、この规则にいう「徳岛大学病院」には、徳岛大学大学院医歯薬学研究部医学域及び歯学域の临床系分野を含むものとする。
第3章 管理体制
(病院业务保护管理者)
第3条 保护规则第3条第2项に规定する部局等総括保护管理者(以下「病院総括保护管理者」という。)の下に、病院业务保护管理者(以下「病院保护管理者」という。)を置き、病院长が指名する者をもって充てる。
2 病院保护管理者は、徳岛大学病院(以下「本院」という。)における诊疗等の病院业务にかかわる保有个人情报(以下「保有个人情报」という。)の管理に関する事务を行い、保有个人情报の适切な管理とその彻底に努めるものとする。
(病院业务保护担当者)
第4条 本院に、病院业务保护担当者(以下「病院保护担当者」という。)を置き、诊疗科长(徳岛大学病院の院内组织に関する内规第3条に规定する诊疗科长をいう。)、中央诊疗施设等の部长、室及びセンターの长、薬剤部长、看护部长、医疗技术部长、栄养部长及び事务部长をもって充てる。
2 病院保护担当者は、病院保护管理者を补佐し、保有个人情报の适切な管理に努めるものとする。
(プライバシープロテクションマネージャー)
第5条 病院保护担当者が必要と认めた场合は、本院にプライバシープロテクションマネージャー(以下「笔笔マネージャー」という。)を置くことができる。
2 笔笔マネージャーは、个人情报の运用が适切に行われるよう管理を行うとともに、教育训练、内部监査及びインシデント対応の実务担当者となる。
(病院业务保护监査责任者)
第6条 本院に、病院业务保护监査责任者を置き、病院総括保护管理者が指名する者をもって充てる。
2 病院业务保护监査责任者は、本院の保有个人情报の适切な管理を検証するため、関係法令及び本院における保有个人情报の管理の状况(この规则に规定する措置の状况を含む。)について、必要に応じ监査を行い、その结果を病院総括保护管理者に报告するものとする。
(病院业务保护教育责任者)
第7条 本院に、病院业务保护教育责任者を置き、病院保护管理者が指名する者をもって充てる。
2 病院业务保护教育责任者は、本院において业务に従事する者への个人情报保护に関する教育を実施するものとする。
第4章 职员等の责务
(职员等の责务)
第8条 职员等(本院に所属する者(有期雇用职员を含む。)のほか、保有个人情报を取り扱うことのある大学院生、学生、受託実习生、研修生、本院の许可を得て诊疗等を行う者、派遣労働者として本院において业务に従事する者及び业务委託その他の契约により本院の业务に関与する者等を含む。以下同じ。)は、个人情报の保护に関する法律(平成15年法律第57号。以下「保护法」という。)及び个人情报の保护に関する法律施行规则(平成28年个人情报保护委员会规则第3号)の趣旨に则り、関连する法令及び规程等の定め并びに徳岛大学総括保护管理者(保护规则第3条第1项に规定するものをいう。以下「総括保护管理者」という。)、病院総括保护管理者、病院保护管理者及び病院保护担当者の指示に従い、保有个人情报を取り扱わなければならない。
第5章 教育研修
(教育研修)
第9条 病院総括保护管理者は、职员等に対し、保有個人情報の適切な管理のために必要な研修等を行い、総括保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。
第6章 保有个人情报の取扱い
(アクセス制限)
第10条 病院総括保护管理者は、保有个人情报の秘匿性等その内容に応じて、保有個人情報にアクセスする権限を有する者をその利用目的を達成するために必要最小限の职员等に制限する。
2 アクセス権限を有しない职员等は、保有個人情報にアクセスしてはならない。
3 职员等は、アクセス権限を有する場合であっても、業務上の目的以外の目的で保有個人情報にアクセスしてはならない。
4 病院総括保护管理者は、各职种等のアクセス制限を别に定める。
(复製等の制限)
第11条 职员等は、業務上の目的で保有個人情報を取り扱う場合であっても、次に掲げる行為については、病院総括保護管理者の指示に従い行う。
(1) 保有个人情报の复製
(2) 保有个人情报の送信
(3) 保有个人情报が记録されている媒体の外部への送付又は持出し
(4) その他保有个人情报の适切な管理に支障を及ぼすおそれのある行為
(误りの订正等)
第12条 职员等は、保有個人情報の内容に誤り等を発見した場合には、病院総括保護管理者の指示に従い、訂正等を行う。
(媒体の管理等)
第13条 职员等は、病院総括保護管理者の指示に従い、保有個人情報が記録されている媒体を定められた場所に保管するとともに、必要があると認めるときは、耐火金庫への保管、施錠等を行う。
(廃弃等)
第14条 职员等は、保有個人情報又は保有個人情報が記録されている媒体(端末及びサーバに内蔵されているものを含む。)が不要となった场合には、病院総括保护管理者の指示に従い、復元又は判読が不可能な方法により当该情报の消去又は当该媒体の廃弃を行う。
(保有个人情报の取扱状况の记録)
第15条 病院総括保护管理者は、保有个人情报の秘匿性等その内容に応じて、台帐等を整备して、保有个人情报の利用及び保管等の取扱いの状况について记録する。
第7章 病院情报システムにおける安全の确保等
(アクセス制御)
第16条 病院総括保护管理者は、保有个人情报(病院情报システムで取り扱うものに限る。以下第19条において同じ。)の秘匿性等その内容に応じて、滨顿?パスワード等の记忆、滨颁カード等の物理媒体、指纹や虹彩等の生体计测等(以下「パスワード等」という。)を使用して権限を识别する机能(以下「认証机能」という。)を设定する等のアクセス制御のために必要な措置を讲ずる。
2 病院総括保护管理者は、前项の措置を讲ずる场合には、パスワード等の管理に関する定めの整备(その定期又は随时の见直しを含む。)、パスワード等の読取防止等を行うために必要な措置を讲ずる。
3 アクセス権限を有しない者は、保有个人情报にアクセスしてはならない。
(アクセス记録)
第17条 病院総括保护管理者は、保有个人情报の秘匿性等その内容に応じて、保有個人情報へのアクセス状況を記録し、その記録(以下「アクセス记録」という。)を一定の期间保存し、及びアクセス记録を定期に又は随时に分析するために必要な措置を讲ずる。
2 病院総括保护管理者は、アクセス記録の改ざん、窃取又は不正な消去の防止のために必要な措置を講ずる。
(外部からの不正アクセスの防止)
第18条 病院総括保护管理者は、保有个人情报を取り扱う情報システムへの外部からの不正アクセスを防止するため、ファイアウォール等の必要な措置を講ずる。
(コンピュータウイルスによる漏えい等の防止)
第19条 病院総括保护管理者は、コンピュータウイルスによる保有個人情報の漏えい、滅失又はき損の防止のため、外部記憶媒体の使用を極力制限する等コンピュータウイルスの感染防止等に必要な措置を講ずる。
(暗号化)
第20条 病院総括保护管理者は、保有个人情报の秘匿性等その内容に応じて、その暗号化のために必要な措置を講ずる。
2 职员等は、その処理する保有個人情報について、当該保有個人情報の秘匿性等に応じて適正に暗号化を行うものとする。
(入力情报の照合等)
第21条 职员等は、病院情報システムで取り扱う保有個人情報の重要度に応じて、入力原票と入力内容との照合、処理前後の当該保有個人情報の内容の確認、既存の保有個人情報との照合等を行う。
(バックアップ)
第22条 病院総括保护管理者は、保有个人情报の重要度に応じて、バックアップを作成し、その媒体は耐火金庫等に分散保管する等の必要な措置を講ずる。
(情报システム设计书等の管理)
第23条 病院総括保护管理者は、保有个人情报に係る情報システムの設計書、構成図等の文書について外部に知られることがないよう、その保管、複製、廃棄等について必要な措置を講ずる。
(端末の限定)
第24条 病院総括保护管理者は、保有个人情报の秘匿性等その内容に応じて、その処理を行う端末を限定するために必要な措置を講ずる。
(端末の盗难防止等)
第25条 病院総括保护管理者は、端末の盗難又は紛失の防止のため、端末の固定、執務室の施錠等の必要な措置を徹底する。
2 职员等は、病院総括保護管理者が必要があると認めるときを除き、端末を外部へ持ち出し、又は外部から持ち込んではならない。
(第叁者の閲覧防止)
第26条 职员等は、端末の使用に当たっては、保有個人情報が第三者に閲覧されることがないよう、使用状況に応じて病院情報システムからログオフを行うことを徹底する等の必要な措置を講ずる。
第8章 情报システム室等の安全管理
(入退室の管理)
第27条 病院総括保护管理者は、保有个人情报を取り扱う基幹的なサーバ等の機器を設置する室等(以下「情报システム室等」という。)に入室する権限を有する者を定めるとともに、用件の确认、入退室の记録、部外者についての识别化、部外者が入室する场合の职员の立会い等の措置を讲ずる。また、保有个人情报を记録する媒体を保管するための施设を设けている场合においても、同様の措置を讲ずる。
2 病院総括保护管理者は、情報システム室等の出入口の特定化による入退室の管理の容易化、所在表示の制限等の措置を講ずる。
3 病院総括保护管理者は、情報システム室等及び保管施設の入退室の管理について、入室に係る認証機能を設定し、及びパスワード等の管理に関する定めの整備(その定期又は随时の见直しを含む。)、パスワード等の読取防止等を行うために必要な措置を讲ずる。
(情报システム室等の管理)
第28条 病院総括保护管理者は、外部からの不正な侵入に備え、情報システム室等に施錠装置、警報装置、監視設備の設置等の措置を講ずる。
2 病院総括保护管理者は、災害等に備え、情報システム室等に、耐震、防火、防煙、防水等の必要な措置を講ずるとともに、サーバ等の機器の予備電源の確保、配線の損傷防止等の措置を講ずる。
第9章 业务の委託等
(业务の委託等)
第29条 保有个人情报の取扱いに係る業務を外部に委託する場合には、個人情報の適切な管理を行う能力を有しない者を選定することがないよう、必要な措置を講ずる。また、契约书に、次に掲げる事项を明记するとともに、委託先における责任者等の管理体制、个人情报の管理の状况についての検査に関する事项等の必要な事项について书面で确认する。
(1) 个人情报に関する秘密保持等の义务
(2) 再委託の制限又は条件に関する事项
(3) 个人情报の复製等の制限に関する事项
(4) 个人情报の漏えい等の事案の発生时における対応に関する事项
(5) 委託终了时における个人情报の消去及び媒体の返却に関する事项
(6) 违反した场合における契约解除の措置その他必要な事项
(7) 従业者に対する个人情报に関する教育研修の実施
2 保有个人情报の取扱いに係る業務を派遣労働者によって行わせる場合には、労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記する。
第10章 安全确保上の问题への対応
(事案の报告及び再発防止措置)
第30条 职员等は、個人情報の漏えい等保有個人情報の安全確保の上で問題となる事実を認識したときは、直ちにPPマネージャー及び病院保護管理者に報告するものとする。
2 前项の报告を受けた病院保护管理者は、速やかに保有个人情报の安全确保に必要な措置を讲じるとともに、被害の拡大の防止又は復旧等のために必要な措置を讲じるものとする。
3 病院保护管理者は、保有个人情报の安全确保の上で问题となる事実が発生した経纬、被害状况等を调査し、速やかに病院総括保护管理者に报告するものとする。ただし、重大と认める事案にあっては直ちにその概要を报告しなければならない。
4 病院総括保护管理者は、前项の报告を受けた场合は必要と认める事案について速やかにその内容、経纬、被害状况、再発防止措置等を総括保护管理者に报告するものとする。ただし、重大と认める事案にあっては直ちにその概要を报告しなければならない。
5 病院総括保护管理者は、事案の発生した原因を分析し、再発防止のために必要な措置を講ずる。
(公表等)
第31条 病院総括保护管理者は事案の内容、影响等に応じて、事実関係及び再発防止策の公表、当该事案に係る本人への対応等の措置を総括保护管理者と协议の上、讲ずる。
第11章 点検の実施等
(点検)
第32条 病院総括保护管理者は、自ら管理責任を有する保有個人情報の記録媒体、処理経路、保管方法等について、定期に又は随時に点検を行い、必要があると認めるときは、その結果を総括保護管理者に報告する。
(评価及び见直し)
第33条 病院総括保护管理者は、保有个人情报の適切な管理のための措置については、点検又は保护规则第46条に定める监査の结果等を踏まえ、実効性等の観点から评価し、必要があると认めるときは、その见直し等の措置を讲じ、総括保护管理者に报告する。
第12章 开示、订正及び利用停止请求への対応
(开示请求等への対応)
第34条 本院の患者(未成年者又は成年被后见人の法定代理人を含む。)が本院に対して行う保有个人情报の开示请求、订正请求又は利用停止请求(以下「开示请求等」という。)への対応及び诊疗情报の提供等に係る事务手続きは、徳岛大学病院における诊疗情报の提供に関する取扱要领に定めるところによる。
2 开示请求等の対応に当たっては、开示请求等をしようとする者がそれぞれ容易かつ的确に开示请求等をすることができるよう、保有个人情报の特定に资する情报の提供その他开示请求等をしようとする者の利便を考虑した适切な措置を讲ずるものとする。
第13章 苦情等への対応
(苦情等への対応)
第35条 病院総括保护管理者は、個人情報の取扱いに関する患者からの苦情について、迅速かつ適切に対応できるよう体制整備を行う。
2 患者からの个人情报の取扱いに関する苦情及び相谈への対応は、患者支援センターを窓口として行う。
第14章 病院个人情报保护委员会
(病院个人情报保护委员会)
第36条 本院に、保有個人情報の保護に関する事項を審議するため、徳島大学病院个人情报保护委员会(以下「委员会」という。)を置く。
2 委员会について必要な事项は、别に定める。
第15章 雑则
(雑则)
第37条 この规则に定めるもののほか、本院における个人情报の适切な管理について、必要な事项は别に定める。
附则
この规则は、平成17年4月1日から施行する。
附则(平成21年2月27日改正)
この规则は、平成21年3月1日から施行する。
附则(平成22年3月18日改正)
この规则は、平成22年4月1日から施行する。
附则(平成24年3月23日改正)
この规则は、平成24年4月1日から施行する。
附则(平成29年3月31日改正)
この规则は、平成29年4月1日から施行する。
附则(平成30年3月15日改正)
この规则は、平成30年4月1日から施行する。
附则(平成31年3月20日改正)
この规则は、平成31年4月1日から施行する。
附则(令和2年1月16日改正)
この规则は、令和2年4月1日から施行する。
附则(令和3年2月17日改正)
この规则は、令和3年3月1日から施行する。
附则(令和4年3月31日改正)
この规则は、令和4年4月1日から施行する。