保健医療福祉分野のプライバシーマーク付与の認定を受けようとする事業者は、申請書類を以下の一般財団法人医療情報システム開発センターの受付窓口に郵送（配送記録が残る手段を利用してください）または持参します。

• 申請の前に、プライバシーマーク制度設置及び運営要領を必ず一読願います。
• 当財団が定めるプライバシーマーク付与適格性審査に関する約款を承認の上、 申請願います。
• 申請に当たっては、申請内容に関する審査等の経費としての申請料が、審査結果の可否にかかわらず必要です。
• 新規申請の場合、マネジメントシステムが申請までに少なくとも１ヶ月以上実際に運用されていることが必要です。教育履歴、監査報告書などの諸記録については、その期間内にとられたものをご提出ください。

１）受理（チェック）
　申請受付窓口及び郵送等で受領した申請書類については、申請書類の不足及び記載漏れを確認した後、受理するか否かを決定します（形式審査）。 形式審査で不備があり申請書類を返却した場合でも申請料は発生します。
　受理連絡と同時に請求書を送付しますので、プライバシーマーク申請料及び審査料を、指定の口座に速やかに振り込んでください。費用の振り込みのない間、審査を中止することが出来るものとします。

２）書類審査
　申請料及び審査料の振り込みを確認した後、審査を開始します。
　受理された申請書類の記載内容等に関して、コンプライアンス・プログラム(CP)等の個人情報保護の行動指針を定めた規程類の整備状況、それらの規程類に準じた体制整備状況の視点から審査を行います。
＊書類審査の結果については現地審査時に確認します。現地審査前に結果を通知することは原則としてありません。
　基本的には、先に示した 「プライバシーマークの付与を申請できる事業者」 としての２つの条件を満たしていることが必要ですが、特に下記の事項については重要な条件となります。

1. 個人情報の管理者が指名され、個人情報保護についての組織内の責任、 役割分担が明確である等、個人情報を適切に取り扱う体制が整備されていること。
2. 申請までに年１回以上、コンプライアンス・プログラム(CP)の周知徹底の措置 (教育、研修等)を実施ていること。
3. 申請までに１回以上、事業者内部の個人情報の保護の状況を検査（監査および代表者による見直し）していること。
4. 当該者に係る個人情報保護に関する相談窓口が常設され、かつそれが患者様等に明示されていること。
5. 当該者が有する個人情報について、外部からの侵入又は内部からの漏えいが発生しないよう適正な安全措置を講じていること。
6. 組織外部への個人情報の提供、取扱いの委託を行う際には、 責任分担や守秘に係る契約を締結する等、 個人情報について適切な保護が講じられるよう措置していること。

　審査に際して生じた疑義については、別途必要な資料の提供を求めることもあります。

　申請事業者に対して現地審査を実施します（事前にスケジュール調整をいたします）。
　現地審査は、書類上の審査において生じた疑義の確認、およびコンプライアンス・プログラム(CP) の通りに体制が整備され、運用しているか等について確認するために行うものです。
　複数の事業所がある場合は、個人情報の取扱いが異なる事業所について実施します。例えばチェーン薬局等では個人情報の取扱いは薬局により異なることはないはずですので、１つの薬局を調査します。調査場所については距離等を勘案して事前にご相談します。

　現地審査に係る交通費、宿泊費等については、請求書を送付しますので、速やかに指定の口座に振り込んでください。現地審査は、原則として２名の審査員で伺います。従って、現地審査に係る交通費、宿泊費等は二人分をご請求します。２名以上で行く場合もありますが、請求は２名分のみの請求になります。
　交通費、宿泊費については「プライバシーマーク付与適格性審査に係る現地審査の旅費に関する規則」を適用します。
　現地審査に係る費用の振り込みのない間、審査を中止することが出来るものとします。

　現地審査の流れ

　現地審査は基本的に以下の流れで行われます。
　調査時間は申請者の規模に応じて異なりますが概ね半日〜１日です（移動が必要な場合は複数日になる場合もあります）。

１．代表者へのインタビュー

1. 業務内容/経営方針
2. プライバシーマーク申請のきっかけ
3. 個人情報保護方針とその周知方法
4. 個人情報保護管理者・監査責任者の任命の方法
5. マネジメントレビュー（管理体制について）
6. その他

２．運用状況の確認（申請担当者、個人情報保護管理者、監査責任者等へのヒアリング ）

1. 書類審査における不明点の確認
2. 個人情報の特定と取扱の手順
3. 教育・訓練の方法と結果
4. 監査の方法と結果
5. 外部委託業務について
6. リスクの認識と処理（ネットワークセキュリティ等の確認）
7. 情報主体からの要求に対する対応
8. 病院情報システム、電子保存の三原則に対する対応状況など

３．現場確認（組織内で個人情報を取り扱っている全ての部署の実施状況を確認）

1. 個人情報保護方針の周知
2. インハウス情報の管理
3. 新規・再来受付、外来受付、診察室、ナースステーション、病棟、病歴室、その他
4. 入退管理
5. 鍵管理
6. 病院情報システムの状況（電子カルテ、オーダリングシステム等）
   • 障害対応
   • バックアップ媒体、記録媒体の管理
   • アクセス制御、アクセスログ
   • セキュリティ対策

４．総括
　　講評と指摘事項等

1. ３）の書類審査の結果を現地審査前に通知することは原則としてありません（現地審査時に確認します）。
2. ６）〜７）の業務は付与機関（JIPDEC）が行います。付与機関の指示に従ってください。
3. 現地審査は原則として１度のみです。現地審査後指摘された事項についての確認は書類で行います。
4. 指摘事項への回答は、原則として指摘事項通知後３ヶ月以内にお願いいたします。
5. 否認決定（不合格）を受けた申請者は、当該否認決定の日から3か月以内に、その理由となった事項について改善のための措置を講じ再審査の請求をすることができます。ただし、１つの申請について１回が限度です。