個人情報の保護について

個人情報保護方針

山口大学医学部附属病院における個人情報の管理に関する規則（部局制定）

(平成17年3月16日病院)

第1章　総則
（趣旨）
第1条　この規則は，国立大学法人山口大学における個人情報の管理に関する規則（令和5年3月規則第40号。以下「規則」という。）第61条に基づき，山口大学医学部附属病院(以下「病院」という。)における個人情報の管理に関し，必要な事項を定める。
（定義）
第2条　この規定における用語の意義は，規則第2条の定めるもののほか，以下のとおりとする。
(1)　「診療記録等」個人データのうち，診療の過程で患者の身体状況，症状，治療等について作成又は収集された書面，画像等の一切をいう。
病院で取り扱う代表的な記録としては以下のとおり。
診療録，手術記録，麻酔記録，各種検査記録，検査成績，エックス線写真，助産録，看護記録，紹介状，処方せんの控え等
(2)　「職員等」病院の業務に従事する者で，常勤職員のほか，非常勤職員，派遣職員，ボランティア，個人データを取り扱うことのある大学院生，学生，研究生，研修登録医，研修生，実習生を含む。

第2章　管理体制
(保護管理者)
第3条　規則第4条に基づき，病院に総括保護管理者のもとに保護管理者を置く。
2　保護管理者は，個人データを適切に管理する任に当たり，病院長をもって充てる。
(保護担当者)
第4条　規則第5条に基づき，病院に保護担当者を置き，各診療科長，各診療施設及び各企画・管理部門の部長又はセンター長，薬剤部長及び看護部長をもって充てる。
2　保護担当者は，保護管理者を補佐し，保護管理者と同等の権限を持って個人データの管理に関する業務を担当する。

第3章　職員等の責務
第5条　職員等は，法の趣旨に則り，関連する法令及び規定等の定め並びに総括保護管理者，保護管理者及び保護担当者の指示に従い，個人データを，取り扱わなければならない。

第4章　教育研修
第6条　保護管理者は，職員等に対し，個人データの適切な管理のために，総括保護管理者の実施する教育研修への参加の機会を付与する等の必要な措置を講ずる。

第5章　個人情報の取り扱い
(利用目的の特定)
第7条　職員等は，個人情報を取り扱うに当たっては，その利用の目的(以下「利用目的」という。)をできる限り特定しなければならない。
2　職員等は，利用目的を変更する場合には，変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。
(利用目的による制限)
第8条　職員等は，あらかじめ本人の同意を得ないで，前条の規定により特定された利用目的の達成に必要な範囲を超えて，個人情報を取り扱ってはならない。
2　前項の規定は，次に掲げる場合については，適用しない。
(1)　法令に基づく場合
(2)　人の生命，身体又は財産の保護のために必要がある場合であって，本人の同意を得ることが困難であるとき。
(3)　公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって，本人の同意を得ることが困難であるとき。
(4)　国の機関若しくは地方公共団体又はその委託を受けた職員等が法令の定める事務を遂行することに対して協力する必要がある場合であって，本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5)　当該個人情報を学術研究の用に供する目的(以下この章において「学術研究目的」という。)で取り扱う必要があるとき(当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み，個人の権利利益を不当に侵害するおそれがある場合を除く。)。
(6)　学術研究機関等に個人データを提供する場合であって，当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み，個人の権利利益を不当に侵害するおそれがある場合を除く。)。
(不適正な利用の禁止)
第9条　職員等は，違法又は不当な行為を助長し，又は誘発するおそれがある方法により個人情報を利用してはならない。
(適正な取得)
第10条　職員等は，偽りその他不正の手段により個人情報を取得してはならない。
2　職員等は，次に掲げる場合を除くほか，あらかじめ本人の同意を得ないで，要配慮個人情報を取得してはならない。
(1)　法令に基づく場合
(2)　人の生命，身体又は財産の保護のために必要がある場合であって，本人の同意を得ることが困難であるとき。
(3)　公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって，本人の同意を得ることが困難であるとき。
(4)　国の機関若しくは地方公共団体又はその委託を受けた職員等が法令の定める事務を遂行することに対して協力する必要がある場合であって，本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5)　当該要配慮個人情報を学術研究目的で取り扱う必要があるとき(当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み，個人の権利利益を不当に侵害するおそれがある場合を除く。)。
(6)　学術研究機関等から当該要配慮個人情報を取得する場合であって，当該要配慮個人情報を学術研究目的で取得する必要があるとき(当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み，個人の権利利益を不当に侵害するおそれがある場合を除く。)( 職員等と当該学術研究機関等が共同して学術研究を行う場合に限る。)。
(7)　当該要配慮個人情報が，本人，国の機関，地方公共団体，学術研究機関等，法第57条第1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
(8)　その他前各号に掲げる場合に準ずるものとして政令で定める場合
(取得に際しての利用目的の通知等)
第11条　職員等は，個人情報を取得した場合は，あらかじめその利用目的を公表している場合を除き，速やかに，その利用目的を，本人に通知し，又は公表しなければならない。
2　職員等は，前項の規定にかかわらず，本人との間で契約を締結することに伴って契約書その他の書面(電磁的記録を含む。以下この項において同じ。)に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は，あらかじめ，本人に対し，その利用目的を明示しなければならない。ただし，人の生命，身体又は財産の保護のために緊急に必要がある場合は，この限りでない。
3　職員等は，利用目的を変更した場合は，変更された利用目的について，本人に通知し，又は公表しなければならない。
4　前3項の規定は，次に掲げる場合については，適用しない。
(1)　利用目的を本人に通知し，又は公表することにより本人又は第三者の生命，身体，財産その他の権利利益を害するおそれがある場合
(2)　利用目的を本人に通知し，又は公表することにより職員等の権利又は正当な利益を害するおそれがある場合
(3)　国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって，利用目的を本人に通知し，又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(4)　取得の状況からみて利用目的が明らかであると認められる場合
5　利用目的の通知又は公表は，文書，電話，電子メール等による本人への直接通知又はWebページ上への掲載，ポスター等の掲示によるもののほか，内容が本人に認識される合理的かつ適切な方法により行うものとする。
(データ内容の正確性の確保等)
第12条　職員等は，利用目的の達成に必要な範囲内において，個人データを正確かつ最新の内容に保つとともに，利用する必要がなくなったときは，当該個人データを遅滞なく消去するよう努めなければならない。
(アクセス制限)
第13条　保護管理者は，個人データ(個人識別の容易性(匿名化の程度等)，要配慮個人情報の有無，漏えい等が発生した場合に生じ得る被害の性質・程度などをいう。以下同じ。)の秘匿性等その内容に応じて，個人データにアクセスする権限を有する職員等の範囲と権限の内容を，業務を行う上で必要最小限の範囲に限るものとする。
2　アクセス権限を有しない職員等は個人データにアクセスしてはならない。
3　職員等は，アクセス権限を有する場合であっても，業務上の目的以外の目的で個人データにアクセスしてはならない。
4　保護管理者は，各職種等のアクセス権限を別に定める。
(複製等の制限)
第14条　保護管理者は，次の行為については，職員等が業務上の目的で取り扱う場合であっても，当該個人データの秘匿性等その内容に応じて，当該行為を行うことができる場合を限定し，当該職員等は，保護管理者の指示に従い行うものとする。
(1)　 個人データの複製
(2)　 個人データの送信
(3)　 個人データが記録されている媒体の外部への送付又は持ち出し
(4)　その他個人データの適切な管理に支障を及ぼすおそれのある行為
(誤りの訂正等)
第15条　職員等は，個人データの内容に誤り等を発見した場合には，保護管理者の指示に従い，訂正等を行う。
(媒体の管理等)
第16条　職員等は，保護管理者の指示に従い，個人データが記録されている媒体を定められた場所に保管するとともに，必要があると認めるときは，金庫等への保管，施錠等を行う。
(廃棄等)
第17条　職員等は，個人データ又は個人データが記録されている媒体(端末及びサーバに内蔵されているものを含む。)が不要となった場合には，保護管理者の指示に従い，当該個人データの復元又は判読が不可能な方法により当該情報の消去又は当該媒体の廃棄を行う。
(取扱状況の記録)
第18条　保護管理者は，個人データの秘匿性等その内容に応じて，台帳等を整備して，当該個人データの利用及び保管等の取扱いの状況について記録するものとし，その取扱いについては別に定める。
(診療記録等の取扱いと保管)
第19条　紙媒体の診療記録等の取扱いと保管については，以下のとおりとする。
(1)　診療記録等の保管については，毎日の業務終了時に所定の保管場所に収納し，滅失，毀損，盗難等の防止に留意するものとする。
(2)　患者の診療中など，診療記録等を業務に利用する際には，滅失，毀損，盗難等の防止に留意するとともに，記録の内容が他の患者など部外者等の目に触れないよう配慮しなくてはならない。
(3)　いったん作成した診療記録等を，後日書き改める場合には，もとの記載が判別できるように二重線で抹消し，訂正箇所に日付及び訂正者印を押印するものとする。この方法によらずに診療記録等を書き改めた場合には，改ざんしたものとみなされることがあるので，留意するものとする。
(4)　診療記録等は原則として院外へ持ち出してはならない。ただし，職務遂行上やむを得ず持ち出す場合には，病院長の許可を得ることとし，返却後にも病院長の確認を得なくてはならない。

第6章　病院情報システムにおける安全の確保等
(アクセス制御)
第20条　保護管理者は，個人データ(病院情報システムで取り扱うものに限る。以下この条から第30条までにおいて同じ。)の秘匿性等その内容に応じて，パスワード等(パスワード，ICカード，生体情報等をいう。以下同じ。)を使用して権限を識別する機能(以下「認証機能」という。)を設定する等のアクセス制御のために必要な措置を講ずる。
2　保護管理者は，前項の措置を講ずる場合には，パスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。)，パスワード等の読み取り防止等を行うために必要な措置を講ずる。
(アクセス記録)
第21条　保護管理者は，個人データの秘匿性等その内容に応じて，個人データへのアクセス状況を記録し，その記録(以下「アクセス記録」という。)を一定の期間保存し，及びアクセス記録を定期に又は随時に分析するために必要な措置を講ずる。
2　保護管理者は，アクセス記録の改ざん，窃取又は不正な消去の防止のために必要な措置を講ずる。
(アクセス状況の監視)
第22条　保護管理者は，個人データの秘匿性等その内容及びその量に応じて，当該個人データへの不適切なアクセスの監視のため，個人データを含むか又は含むおそれがある一定数以上の情報が病院情報システムからダウンロードされた場合に警告表示がなされる機能の設定，当該設定の定期的確認等の必要な措置を講ずるものとする。
(管理者権限の設定)
第23条　保護管理者は，個人データの秘匿性等その内容に応じて，情報管理者権限の特権を不正に窃取された際の被害の最小化及び内部からの不正操作等の防止のため，当該特権を最小限とする等の必要な措置を講ずる。
(外部からの不正アクセスの防止)
第24条　保護管理者は，個人データを取り扱う病院情報システムへの外部からの不正アクセスを防止するため，経路制御等の必要な措置を講ずる。
(不正プログラムによる漏えい等の防止)
第25条　保護管理者は不正プログラムによる個人データの漏えい，滅失又は毀損の防止のため，ソフトウェアに関する公開された脆弱性の解消，把握された不正プログラムの感染防止等に必要な措置を講ずる。
(病院情報システムにおける個人データの処理)
第26条　職員等は，個人データについて，一時的に加工等の処理を行うため複製等を行う場合には，その対象を必要最小限に限り，処理終了後は不要となった情報を速やかに消去し，保護管理者は，当該個人データの秘匿性等その内容に応じて，随時，消去等の実施状況を重点的に確認するものとする。
(暗号化)
第27条　保護管理者は，個人データの秘匿性等その内容に応じて，その暗号化のために必要な措置を講ずる。
2　職員等は処理する個人データについて，当該個人データの秘匿性等その内容に応じて，適切に暗号化を行うものとする。
(入力情報の照合等)
第28条　職員等は，病院情報システムで取り扱う個人データの重要度に応じて，入力原票と入力内容との照合，処理前後の当該個人データの内容の確認，既存の個人データとの照合等を行う。
2　入力済情報の変更を行う場合は，その方法について別に定める。
(バックアップ)
第29条　保護管理者は，個人データの重要度に応じて，バックアップを作成し，分散保管するために必要な措置を講ずる。
(病院情報システム設計書等の管理)
第30条　保護管理者は，個人データに係る病院情報システムの設計書，構成図等の文書について外部に知られることがないよう，その保管，複製，廃棄等について必要な措置を講ずる。
(端末の限定)
第31条　保護管理者は，個人データの秘匿性等その内容に応じて，その処理を行う端末を限定するために必要な措置を講ずる。
(端末の盗難防止等)
第32条　保護管理者は，端末の盗難又は紛失の防止のため，端末の固定，執務室の施錠等の必要な措置を講ずる。
2　職員等は，保護管理者が必要であると認めるときを除き，端末を外部へ持ち出し，又は外部から持ち込んではならない。
(第三者の閲覧防止)
第33条　職員等は端末の使用に当たっては，個人データが第三者に閲覧されることがないよう，使用状況に応じて病院情報システムからログオフを行うことを徹底する等の必要な措置を講ずる。
(記録機能を有する機器・媒体の接続制限)
第34条　保護管理者は，個人データの秘匿性等その内容に応じて，当該個人データの漏えい，滅失又は毀損の防止のため，スマートフォン，USBメモリ等の記録媒体の病院情報システム端末等への接続の制限(当該機器の更新への対応を含む。)等の必要な措置を講ずるものとする。

第7章　病院情報システム室等の安全管理
(入退室の管理)
第35条　保護管理者は，個人データを取り扱う基幹的なサーバ等の機器を設置する室等(以下「病院情報システム室等」という。)に入室する権限を有する者を定めるとともに用件の確認，入退室の記録，部外者についての識別化，部外者が入室する場合の職員の立ち会い等の措置を講ずる。また，個人データを記録する媒体を保管するための施設を設けている場合においても，同様の措置を講ずる。
2　保護管理者は，病院情報システム室等の出入口の特定化による入退室の管理の容易化，所在表示の制限等の措置を講ずる。
3　保護管理者は，病院情報システム室等及び保管施設の入退室の管理について，入室に係る認証機能を設定し，及びパスワード等の管理に関する定めの整備(その定期又は随時の見直しを含む。)，パスワード等の読み取り防止等を行うために必要な措置を講ずる。
(病院情報システム室等の管理)
第36条　保護管理者は，外部からの不正な侵入に備え，病院情報システム室等に施錠装置，警報装置，監視設備の設置等の措置を講ずる。
2　保護管理者は，災害等に備え，病院情報システム室等に，耐震，防火，防煙，防水等の必要な措置を講ずるとともに，サーバ等の機器の予備電源の確保，配線の損傷防止等の措置を講ずる。

第8章　業務の委託等
(業務の委託等)
第37条　個人データの取扱いに係る業務を外部に委託する場合には，個人情報の適切な管理を行う能力を有しない者を選定することがないよう，必要な措置を講ずる。また，契約書に，次に掲げる事項を明記するとともに，委託先における責任者等の管理体制，個人情報の管理の状況についての検査に関する事項等の必要な事項について書面で確認する。
(1)　個人情報に関する秘密保持，目的外利用の禁止等の義務
(2)　再委託の制限又は事前承認等再委託に係る条件に関する事項
(3)　個人情報の複製等の制限に関する事項
(4)　個人情報の漏えい等の事案の発生時における対応に関する事項
(5)　委託終了時における個人情報の消去及び媒体の返却に関する事項
(6)　違反した場合における契約解除の措置，損害賠償責任その他必要な事項
2　保護管理者は，個人データの取扱いに係る業務を外部に委託する場合には，委託する業務に係る個人データの秘匿性等その内容やその量等に応じて，委託先における管理体制及び実施体制や個人情報の管理の状況について，少なくとも年1回以上，原則として実地検査により確認するものとする。
3　保護管理者は，委託先において，個人データの取扱いに係る業務が再委託される場合には，委託先に第1項の措置を講じさせるとともに，再委託される業務に係る個人データの秘匿性等その内容に応じて，委託先を通じて又は委託元自らが前項の措置を実施させるものとする。また，個人データの取扱いに係る業務について再委託先が再々委託を行う場合以降も同様とする。
4　個人データの取扱いに係る業務を派遣労働者によって行わせる場合には，労働者派遣契約書に秘密保持義務等個人情報の取扱いに関する事項を明記する。
5　保護管理者は，個人データを業務委託する場合には，漏えい等による被害発生のリスクを低減する観点から，委託する業務の内容，個人データの秘匿性等その内容などを考慮し，必要に応じ，氏名を番号に置き換える等の匿名化措置を講ずるものとする。

第9章　安全確保上の問題への対応
(事案の報告及び再発防止措置)
第38条　個人データの漏えい等安全確保上問題となる事案又は問題となる事案の発生のおそれを認識した場合に，その事案等を認識した職員は，直ちに当該個人データを管理する保護管理者に報告するものとする
2　保護管理者は，被害の拡大防止又は復旧等のために必要な措置を講ずる。ただし，外部からの不正アクセスや不正プログラムの感染が疑われる当該端末等のLANケーブルを抜くなど，被害拡大防止のため直ちに行い得る措置については，直ちに行う(職員に行わせることを含む。)ものとする。
3　保護管理者は，事案の発生した経緯，被害状況等を調査し，総括保護管理者に報告する。ただし，特に重大だと認める事案が発生した場合には，直ちに総括保護管理者に当該事案の内容等について報告する。
4　保護管理者は，事案の発生した原因を分析し，再発防止のために必要な措置を講ずる。
(公表等)
第39条　保護管理者は事案の内容，影響等に応じて，事実関係及び再発防止策の公表，当該事案に係る本人への対応等の措置を総括保護管理者と協議の上，講ずる。

第10章　第三者提供の制限等
(第三者提供の制限)
第40条　職員等は，次に掲げる場合を除くほか，あらかじめ本人の同意を得ないで，個人データを第三者に提供してはならない。
(1)　法令に基づく場合
(2)　人の生命，身体又は財産の保護のために必要がある場合であって，本人の同意を得ることが困難であるとき。
(3)　公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって，本人の同意を得ることが困難であるとき。
(4)　国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって，本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
(5)　当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき(個人の権利利益を不当に侵害するおそれがある場合を除く。)。
(6)　当該個人データを学術研究目的で提供する必要があるとき(当該個人データを提供する目的の一部が学術研究目的である場合を含み，個人の権利利益を不当に侵害するおそれがある場合を除く。)(本法人と当該第三者が共同して学術研究を行う場合に限る。)。
(7)　当該第三者が学術研究機関等である場合であって，当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき(当該個人データを取り扱う目的の一部が学術研究目的である場合を含み，個人の権利利益を不当に侵害するおそれがある場合を除く。)。
2　職員等は，第三者に提供される個人データについて，本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって，次に掲げる事項について，個人情報保護委員会規則で定めるところにより，あらかじめ，本人に通知し，又は本人が容易に知り得る状態に置くとともに，個人情報保護委員会に届け出たときは，前項の規定にかかわらず，当該個人データを第三者に提供することができる。ただし，第三者に提供される個人データが要配慮個人情報又は第10条第1項の規定に違反して取得されたもの若しくは他の個人情報取扱事業者からこの項本文の規定により提供されたもの(その全部又は一部を複製し，又は加工したものを含む。)である場合は，この限りでない。
(1)　本法人の名称及び住所並びに代表者の氏名
(2)　第三者への提供を利用目的とすること。
(3)　第三者に提供される個人データの項目
(4)　第三者に提供される個人データの取得の方法
(5)　第三者への提供の方法
(6)　本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
(7)　本人の求めを受け付ける方法
(8)　その他個人の権利利益を保護するために必要なものとして個人情報保護委員会規則で定める事項
3　本法人は，前項第1号に掲げる事項に変更があったとき又は同項の規定による個人データの提供をやめたときは遅滞なく，同項第3号から第5号まで，第7号又は第8号に掲げる事項を変更しようとするときはあらかじめ，その旨について，個人情報保護委員会規則で定めるところにより，本人に通知し，又は本人が容易に知り得る状態に置くとともに，個人情報保護委員会に届け出なければならない。
4　次に掲げる場合において，当該個人データの提供を受ける者は，前各項の規定の適用については，第三者に該当しないものとする。
(1)　本法人が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合
(2)　特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって，その旨並びに共同して利用される個人データの項目，共同して利用する者の範囲，利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては，その代表者の氏名について，あらかじめ，本人に通知し，又は本人が容易に知り得る状態に置いているとき。
5　職員等は，前項第2号に規定する個人データの管理について責任を有する者の氏名，名称若しくは住所又は法人にあっては，その代表者の氏名に変更があったときは遅滞なく，同号に規定する利用する者の利用目的又は当該責任を有する者を変更しようとするときはあらかじめ，その旨について，本人に通知し，又は本人が容易に知り得る状態に置かなければならない。
6　個人データを提供する場合には，漏えい等による被害発生のリスクを低減する観点から，提供先の利用目的，個人データの秘匿性等その内容などを考慮し，必要に応じ，氏名を番号に置き換える等の匿名化措置を講ずるものとする。
(外国にある第三者への提供の制限)
第41条　職員等は，外国(本邦の域外にある国又は地域をいう。以下この条及び第39条第1項第2号において同じ。)(個人の権利利益を保護する上で我が国と同等の水準にあると認められる個人情報の保護に関する制度を有している外国として個人情報保護委員会規則で定めるものを除く。以下この条及び同号において同じ。)にある第三者(個人データの取扱いについて法第4章第2節の規定により個人情報取扱事業者が講ずべきこととされている措置に相当する措置(第3項において「相当措置」という。)を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制を整備している者を除く。以下この項及び次項並びに同号において同じ。)に個人データを提供する場合には，前条第1項各号に掲げる場合を除くほか，あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない。この場合においては，同条の規定は，適用しない。
2　職員等は，前項の規定により本人の同意を得ようとする場合には，個人情報保護委員会規則で定めるところにより，あらかじめ，当該外国における個人情報の保護に関する制度，当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報を当該本人に提供しなければならない。
3　職員等は，個人データを外国にある第三者(第1項に規定する体制を整備している者に限る。)に提供した場合には，個人情報保護委員会規則で定めるところにより，当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに，本人の求めに応じて当該必要な措置に関する情報を当該本人に提供しなければならない。
(第三者提供に係る記録の作成等)
第42条　職員等は，個人データを第三者(規則第2条第13号アからエに掲げる者を除く。以下この条及び次条(第44条第3項において読み替えて準用する場合を含む。)において同じ。)に提供したときは，個人情報保護委員会規則で定めるところにより，当該個人データを提供した年月日，当該第三者の氏名又は名称その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。ただし，当該個人データの提供が第40条第1項各号又は第5項各号のいずれか(前条第1項の規定による個人データの提供にあっては，第34条第1項各号のいずれか)に該当する場合は，この限りでない。
2　職員等は，前項の記録を，当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
(第三者提供を受ける際の確認等)
第43条　職員等は，第三者から個人データの提供を受けるに際しては，個人情報保護委員会規則で定めるところにより，次に掲げる事項の確認を行わなければならない。ただし，当該個人データの提供が第40条第1項各号又は第5項各号のいずれかに該当する場合は，この限りでない。
(1)　当該第三者の氏名又は名称及び住所並びに法人にあっては，その代表者の氏名
(2)　当該第三者による当該個人データの取得の経緯
2　職員等は，前項の規定による確認を行ったときは，個人情報保護委員会規則で定めるところにより，当該個人データの提供を受けた年月日，当該確認に係る事項その他の個人情報保護委員会規則で定める事項に関する記録を作成しなければならない。
3　職員等は，前項の記録を，当該記録を作成した日から個人情報保護委員会規則で定める期間保存しなければならない。
(個人関連情報の第三者提供の制限等)
第44条　職員等は，第三者が個人関連情報(個人関連情報データベース等を構成するものに限る。以下同じ。)を個人データとして取得することが想定されるときは，第40条第1項各号に掲げる場合を除くほか，次に掲げる事項について，あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで，当該個人関連情報を当該第三者に提供してはならない。
(1)　当該第三者が職員等から個人関連情報の提供を受けて本人が識別される個人データとして取得することを認める旨の当該本人の同意が得られていること。
(2)　外国にある第三者への提供にあっては，前号の本人の同意を得ようとする場合において，個人情報保護委員会規則で定めるところにより，あらかじめ，当該外国における個人情報の保護に関する制度，当該第三者が講ずる個人情報の保護のための措置その他当該本人に参考となるべき情報が当該本人に提供されていること。
2　第42条第3項の規定は，前項の規定により職員等が個人関連情報を提供する場合について準用する。この場合において，同条第3項中「講ずるとともに，本人の求めに応じて当該必要な措置に関する情報を当該本人に提供し」とあるのは，「講じ」と読み替えるものとする。
3　前条第2項及び第3項の規定は，第1項の規定により職員等が確認する場合について準用する。この場合において，同条第2項中「の提供を受けた」とあるのは，「を提供した」と読み替えるものとする。

第11章　仮名加工情報の取扱い
(仮名加工情報の作成等)
第45条　職員等は，仮名加工情報(仮名加工情報データベース等を構成するものに限る。以下同じ。)を作成するときは，他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い，個人情報を加工しなければならない。
2　職員等は，仮名加工情報を作成したとき，又は仮名加工情報及び当該仮名加工情報に係る削除情報等(仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第3項において読み替えて準用する第7項において同じ。)を取得したときは，削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い，削除情報等の安全管理のための措置を講じなければならない。
3　職員等は，第8条の規定にかかわらず，法令に基づく場合を除くほか，第7条第1項の規定により特定された利用目的の達成に必要な範囲を超えて，仮名加工情報(個人情報であるものに限る。以下この条において同じ。)を取り扱ってはならない。
4　仮名加工情報についての第11条の規定の適用については，同条第1項及び第3項中「，本人に通知し，又は公表し」とあるのは「公表し」と，同条第4項第1号から第3号までの規定中「本人に通知し，又は公表する」とあるのは「公表する」とする。
5　職員等は，仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは，当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては，第11条の規定は，適用しない。
6　職員等は，第40条第1項及び第2項並びに第41条第1項の規定にかかわらず，法令に基づく場合を除くほか，仮名加工情報である個人データを第三者に提供してはならない。この場合において，第40条第4項中「前各項」とあるのは「第45条第6項」と，同項第2号中「，本人に通知し，又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と，同条第5項中「，本人に通知し，又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と，第42条第1項ただし書中「第40条第1項各号又は第5項各号のいずれか(前条第1項の規定による個人データの提供にあっては，第40条第1項各号のいずれか)」とあり，及び第43条第1項ただし書中「第40条第1項各号又は第5項各号のいずれか」とあるのは「法令に基づく場合又は第40条第4項各号のいずれか」とする。
7　職員等は，仮名加工情報を取り扱うに当たっては，当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために，当該仮名加工情報を他の情報と照合してはならない。
8　職員等は，仮名加工情報を取り扱うに当たっては，電話をかけ，郵便若しくは民間事業者による信書の送達に関する法律(平成14年法律第99号)第2条第6項に規定する一般信書便事業者若しくは同条第9項に規定する特定信書便事業者による同条第2項に規定する信書便により送付し，電報を送達し，ファクシミリ装置若しくは電磁的方法(電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。)を用いて送信し，又は住居を訪問するために，当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
9　仮名加工情報及び仮名加工情報である個人データについては，規則第10条第2項及び規則第44条の規定は，適用しない。
(仮名加工情報の第三者提供の制限等)
第46条　職員等は，法令に基づく場合を除くほか，仮名加工情報(個人情報であるものを除く。次項及び第3項において同じ。)を第三者に提供してはならない。
2　第40条第4項及び第5項の規定は，仮名加工情報の提供を受ける者について準用する。この場合において，同条第4項中「前各項」とあるのは「第46条第1項」と，同項第2号中「，本人に通知し，又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と，同条第5項中「，本人に通知し，又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
3　規則第16条から第41条まで，規則第50条並びに第51条第7項及び第8項の規定は，本法人における仮名加工情報の取扱いについて準用する。この場合において，第13条中「漏えい，滅失又は毀損」とあるのは「漏えい」と，前条第7項中「ために，」とあるのは「ために，削除情報等を取得し，又は」と読み替えるものとする。

第12章　開示
(開示)
第47条　個人データのうち診療記録等について開示請求があった場合には「山口大学医学部附属病院診療規情報開示規則」に基づいて対応するものとする。

第13章　ソーシャルメディアの利用
(ソーシャルメディアの利用)
第48条　職員等は，ソーシャルメディア（インターネットやweb技術等を用い，個人による情報発信をもとに不特定多数のユーザーがコミュニケーション可能な媒体を指す。）を用いて業務上知り得た個人データ等を発信してはならない。

第14章　点検の実施等
(点検)
第49条　保護管理者は，自ら管理責任を有する個人データの記録媒体，処理経路，保管方法等について，定期に又は随時に点検を行い，必要があると認めるときは，その結果を総括保護管理者に報告する。
(評価及び見直し)
第50条　保護管理者は，個人データの適切な管理のための措置については，点検又は規則第57条第2項に定める規定に基づき実施される監査の結果等を踏まえ，実効性等の観点から評価し，必要があると認めたときは，その見直し等の措置を講じ，総括保護管理者に報告する。

第15章　苦情への対応
第51条　保護管理者は，個人情報の取扱いに関する苦情について，迅速かつ適切に対応できるよう体制整備を行う。

第16章　雑則
第52条　この規則に定めるもののほか，個人データの管理に関し必要な事項は，別に定める。

附　則
この規則は，平成17年4月1日から施行する。

附　則
この規則は，令和5年10月18日から施行し，令和4年4月1日から適用する。