まず、個人情報保護法では、「個人情報」とは生存する個人に関する情報としています。ただし、患者が死亡した後でも、これらの患者に関する情報を保存している場合には、情報の漏洩、滅失または毀損などのを防止するために安全管理措置を講じるように求められています。
「個人に関する情報」とは、氏名、性別、生年月日など個人を識別できる情報だけでなく、個人の身体、財産、職種、肩書などの属性に関する、事実・判断・評価を表す全ての情報のことを指します。（暗号化されているか否かは問わない）
「個人に関する情報」のうち、生存する個人により、その情報が誰のものかを特定することができる情報のことを「個人情報」といいます。 また、医療機関が保有する個人情報は患者情報に限りません。その医療機関に勤務する医師、看護師、事務職員などの従業員に関する氏名、住所、人事、健康診断などの情報も「個人情報」に該当します。
医療機関での保護の対象となるのは個人情報は｢患者｣と｢職員｣の2種類です。