国立大学法人筑波大学におけるＥＵ一般データ保護規則（ＧＤＰＲ）に基づくプライバシーポリシー
令和３年２月４日
学長

決定

このプライバシーポリシーは、国立大学法人筑波大学（以下第１項を除き「法人」といいます。）
においてＧＤＰＲに対応するため、ＧＤＰＲ適用国に所在するデータ主体（国籍及び居住地を問いません。）の個人データの取扱い及び域外移転に関する方針を示すことを目的として定めるものです。
１定義
このプライバシーポリシーにおける用語の定義は、次の表に掲げるとおりです。
用語

ＧＤＰＲ定

義

General Data Protection Regulation：ＥＵ一般データ保護規則第２０１６／６７９号

ＧＤＰＲ適用国

欧州経済領域（European Economic Area）の構成国（ＥＵ加盟国、アイスランド共和国、リヒテンシュタイン公国、ノルウェー王国）及び英国（グレートブリテン及び北アイルランド連合王国）をいいます。
※ 英 国 の 個 人 情 報 保 護 監 督 機 関 で あ る Ｉ Ｃ Ｏ （ Information
Commissioner's Office）により、ＧＤＰＲに準拠する旨が公表されています。

データ主体

識別された自然人又は識別可能な自然人をいいます。ここでいう識別可能な自然人とは、特に氏名、識別番号、位置情報、オンライン識別子（ＩＰアドレス、Cookie、ＭＡＣアドレスなど）のような識別子を参照することによって、又は当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的若しくは社会的な同一性を示す一つ若しくは複数の要素を参照することによって、直接的又は間接的に識別され得る者をいいます。

個人データ

データ主体に関する情報をいいます。

取扱い

自動的な手段によるか否かを問わず、収集、記録、編集、構成、記録保存、修正若しくは変更、検索、参照、使用、送信による開示、配布若し
くはそれら以外に利用可能なものとすること、整列若しくは結合、制限又は消去若しくは破壊のような、個人データ又は一群の個人データに実施される業務遂行又は一群の業務遂行をいいます。

取扱いの制限将来におけるその取扱いを限定するために、記録保存された個人データに目印を付けることをいいます。

プロファイリン

自然人と関連する一定の個人的側面を評価（特に当該自然人の業務遂行

グ

能力、経済状態、健康、個人的嗜好、興味関心、信頼性、行動、位置及び移動に関する側面を分析又は予測）するための、個人データの利用によって構成される、個人データの自動的な取扱いをいいます。

管理者

自然人若しくは法人、公的機関又はその他の組織であって、単独で又は他者と共同して、個人データの取扱いの目的及び方法を決定する者をいいます。
処理者

管理者の代わりに個人データを取り扱う自然人若しくは法人、公的機関又はその他の組織をいいます。

第三者

データ主体、管理者、処理者及び管理者又は処理者の直接の承認の下で個人データの取扱いを承認されている者以外の自然人若しくは法人、公的機関又はこれら以外の組織をいいます。

データ主体の同データ主体に同意の可否を選択する自由が与えられ、同意により収得さ意れる個人データの取扱いが明確に特定され、事前にこれらの説明を受けた上でのデータ主体の明瞭な意思の表示であって、データ主体が陳述又は明確な積極的行為により、自身に関連する個人データの取扱いの同意を表明することをいいます。

ＳＣＣ

Standard Contractual Clauses：標準契約条項※ Ｅ Ｕ 加 盟 国 に 適 用 さ れ て い た デ ー タ 保 護 指 令 （ Data Protection
Directive：９５／４６／ＥＣ）により定められていたもので、ＥＵ域内にいる事業者とＥＵ域外にいる事業者との間で締結される域外移転の合意書のことをいいます。

ＳＤＰＣStandard Data Protection Clauses：標準データ保護条項※ＧＤＰＲにより定められているもので、ＳＣＣに代わるものです。

十分性認定

十分なデータ保護の水準を確保している国又は地域であると、欧州委員会（European Commission）が決定することをいいます。
※決定された場合は、特段の手続を踏まずに、個人データの域外移転が可能となります。
※日本国は令和元年１月に十分性認定を受けていますが、政府機関及び独立行政法人等は、十分性認定の枠組の対象外となっています。

２

管理者の名称及び住所
名称：国立大学法人筑波大学
住所：茨城県つくば市天王台一丁目１番１

３

Cookie の使用
法人の基幹サイトその他の法人のウェブサイト（当該サイトにリンクされた外部のウェブサ
イトを除きます。以下「公式ウェブサイト」といいます。）は、利便性を高めることを目的に、公式ウェブサイトを訪問したブラウザのデータを記録しておくための仕組みである Cookie を使用しています。Cookie を用いることで、入力された情報を一時的に閲覧されたコンピュータに保存し、次回アクセス時に再入力の手間を省くことができます。
また、法人は、データ主体がブラウザの設定で Cookie の送受信を許可している場合には、データ主体のコンピュータに保存された Cookie を取得し、収集した行動履歴と個人データを紐付ける場合があります。

４

個人データの取扱いの対象となる業務
法人は、次に掲げる個人データについて、それぞれ当該個人データごとに定める業務の遂行のためにのみ、当該個人データを取り扱います。

(1)

筑波大学（附属学校を含みます。第１３号カ及びキにおいて同じです。）への入学を志願する者（入学を許可された者を含みます。次号柱書において「入学志願者」といいます。）の個人データ

ア

入学者の選抜イ

検定料及び入学料の納付、免除

ウ

緊急時等の連絡エその他業務上必要な諸手続、連絡等(2)

入学志願者の親権者及び学資負担者（学資を主として負担している者をいいます。第４号
柱書において同じです。）の個人データ

ア

検定料及び入学料の納付、免除

イ

緊急時等の連絡ウ

その他業務上必要な諸手続、連絡等(3)

学生（附属学校の幼児、児童及び生徒を含みます。以下同じです。）の個人データ

ア

教務

イ

学生支援

ウ

キャリア支援エ

国際交流

オ

学内システムへの入力及び管理

カ

保健管理

キ

謝金、旅費等の支払

ク

入学料及び授業料の納付、免除等

ケ

奨学金等の支給手続

コ

税務等の手続サ

緊急時等の連絡

シ

アンケート

ス

その他業務上必要な諸手続、連絡等(4)

学生の親権者、学資負担者及び保証人の個人データ

ア

入学料及び授業料の納付、免除等

イ

奨学金等の支給手続

ウ

緊急時等の連絡エその他業務上必要な諸手続、連絡等(5)

卒業又は修了した学生（イにおいて「卒業生等」といいます。）の個人データ

ア

卒業又は修了、成績、在籍等の証明

イ

卒業生等との連絡

ウ

広報エ

寄附

オ

アンケート

カ

その他業務上必要な諸手続、連絡等(6)

法人への採用を希望する者（採用が決定した者を含みます。次号柱書において「採用希望者」といいます。）の個人データ

ア

採用の選考

イ

採用時の手続ウ

緊急時等の連絡エその他業務上必要な諸手続、 連絡等

(7)

採用希望者の家族（パートナーを含みます。以下同じです。）の個人データ

ア

緊急時等の連絡イ

その他業務上必要な諸手続、 連絡等(8)

職員の個人データア

人事イ

給与、賞与、旅費等の支払

ウ

福利厚生の手続エ

文部科学省共済組合又は全国健康保険協会の手続

オ

労務管理

カ

健康管理

キ

出向先又は出向元との連絡ク

退職時の手続ケ

税務等の手続コ

学内システムへの入力及び管理サ

緊急時等の連絡

シ

アンケート

ス

その他業務上必要な諸手続、連絡等(9)

職員の家族の個人データ

ア

福利厚生の手続イ

文部科学省共済組合又は全国健康保険協会の手続

ウ

税務等の手続エ緊急時等の連絡オ

その他業務上必要な諸手続、連絡等(10) 寄附者の個人データ
ア

寄附受領証明書の発行

イ

返礼品の発送等

ウ

学内システムへの入力及び管理エ

その他業務上必要な諸手続、連絡等(11) 患者及び患者の家族の個人データ
ア

診療

イ

院内システムへの入力及び管理ウ

その他業務上必要な諸手続、連絡等(12) 公式ウェブサイト閲覧者の個人データ
ア公式ウェブサイトの利用状況の把握

イ

公式ウェブサイトの改善

ウ公式ウェブサイトのサービス提供

エその他業務上必要な連絡等(13) 前各号に規定する者以外の者の個人データ
ア

派遣労働に係る契約手続及び管理イ

共同研究等に係る契約及び招へいに係る手続並びに管理ウ

学術研究に係る科学的、歴史的又は統計的な処理

エ

各種事業の申請及び手続等

オ

図書館の利用に係る手続及び管理カ

法人又は筑波大学が実施するイベント等への参加又は招へいに係る手続及び管理５

キ

法人又は筑波大学が実施するイベント等に関連したサービス及び情報の提供

ク

謝金、旅費等の支払及び諸料金の徴収

ケ

税務等の手続

コ

アンケート

サ

その他業務上必要な諸手続、連絡等

個人データの取得元
法人は、前項の業務の遂行のため、次に掲げる取得元から個人データを取得します。
(1)

データ主体（１６歳未満（ＧＤＰＲ適用国の国内法で定めがある場合は当該法で定める年齢未満）である場合は親権者）からの同意に基づき直接的に取得した同意を証明できる書類（電磁的記録を含みます。）(2)

データ主体が法人の情報サービスを利用し、又は法人の情報ネットワークに接続した際に、法人が取得したＩＰアドレス、ＭＡＣアドレス等のオンライン識別子

６(3)

インターネット上の公開情報(4)

ソーシャルメディアによる情報(5)

ＳＣＣ又はＳＤＰＣの締結先

個人データの保存期間
個人データは、日本国の法令又は法人の法人規則等により定められた期間保存します。

７

個人データの取扱いの適法性
法人が個人データを適法に取り扱うことができる場合は、次に掲げるとおりです。
(1)

データ主体が、一つ又は複数の特定の目的のために、自己の個人データの取扱いに関し同意を与えた場合(2)

データ主体が契約当事者となっている契約を履行するために取扱いが必要な場合又は契約の締結前にデータ主体の求めに応じて手続を履行するために取扱いが必要な場合(3)

管理者が従うべき法的義務を遵守するために取扱いが必要な場合(4)

データ主体又は他の自然人の重大な利益を保護するために取扱いが必要な場合(5)

公共の利益又は管理者に与えられた公的権限を行使するために行われる業務の遂行において取扱いが必要な場合(6)

管理者又は第三者によって追求される合法的な利益のために取扱いが必要な場合。ただし、個人データの保護を求めているデータ主体における基本的権利及び自由が当該利益に優先する場合を除きます。

８

データ主体の権利
データ主体には、次に掲げる権利があります。ただし、日本国の独立行政法人等の保有する個人情報の保護に関する法律（平成１５年法律第５９号）に定める開示請求に該当する場合は、データ主体に費用を求めます。
(1)

アクセスの権利データ主体は、管理者に対し、自己の個人データその他のＧＤＰＲに定める情報の提供を求めることができます。

(2)

訂正の権利
データ主体は、管理者に対し、不正確な自己の個人データを遅滞なく訂正することを求めることができます。

(3)消去の権利（忘れられる権利）
データ主体は、自己の個人データが次に掲げる事項に該当すると認めるときは、管理者に対し、当該個人データを遅滞なく消去することを求めることができます。

ア

収集された目的又はその他の取扱いの目的との関係で必要がなくなったとき。

イ

データ主体が取扱いの同意を撤回したときで、かつ、取扱いのための法的根拠が他に存在しないとき。

ウ

データ主体が、ＧＤＰＲ第２１条第１項に基づき異議を述べ、かつ、取扱いのための法的根拠が他に存在しないとき又は同条第２項に基づき異議を述べたとき。

エ個人データが違法に取り扱われたとき。

オ

管理者が服するＥＵ法又は加盟国の国内法の法的義務を遵守するために消去されなければならないとき。

カ(4)

ＧＤＰＲ第８条第１項に規定する情報社会サービスの提供に関係して収集されたとき。
取扱いの制限の権利
データ主体は、ＧＤＰＲ第１８条第１項に該当する場合には、管理者に対し、個人データの取扱いを制限するよう求めることができます。
(5)

データポータビリティの権利
データ主体は、ＧＤＰＲ第２０条第１項に該当する場合には、管理者から自己が提供した個人データを、構造化され、一般的に利用され、機械可読性のある形式で受け取ることができます。また、データ主体は、当該個人データの提供を受けた管理者から妨げられることなく、別の管理者に当該個人データを移行することができます。

(6)

異議を述べる権利
データ主体は、自己の特別な状況と関連する根拠に基づき、前項第５号又は第６号の規定に基づき行われる自己と関係する個人データの取扱いに関して、当該条項に基づくプロファイリングの場合を含め、いつでも異議を述べることができます。

(7)

プロファイリングを含む自動化された取扱いに基づいた意思決定を受けない権利
データ主体は、自己に関する法的効果をもたらすか又は当該データ主体に同様の重大な影響をもたらすプロファイリングなどの自動化された取扱いのみに基づいた決定に服しない権利を有します。

９

個人データの提供及び共有
法人は、第４項の業務の遂行のため、日本国の独立行政法人等の保有する個人情報の保護に関する法律（平成１５年法律第５９号）その他関係法令等を遵守して、法人の内部において個人データを共有し、又は次に掲げる第三者に提供し、若しくは当該第三者と共有する場合があります。
(1)

公的機関

(2)

金融機関

(3)

民間奨学財団

(4)

医療機関

(5)

業務委託先

(6)

ＳＣＣ又はＳＤＰＣの締結先(7)

その他業務上関係のある機関

１０

データ移転
個人データは、ＳＣＣ若しくはＳＤＰＣに定められている場合又はＧＤＰＲ第４９条第１項

に定める事由に該当する場合その他適法性を担保されている場合に限り、ＧＤＰＲ適用国にある海外オフィス（法人の教育研究活動を推進するための国際連携支援等の活動及び当該国の教育研究機関等が日本国において法人と連携して教育研究活動を行う場合における支援を行うための拠点）から、法人、他の海外オフィス（ＧＤＰＲ適用国にある海外オフィスを除きます。）又はＧＤＰＲ適用国以外の第三国（十分性認定を取得している国又は地域を除きます。）に移転することがあります。
１１

安全管理措置法人は、個人データの保護に関して、管理者として十分な技術的・組織的安全管理措置を講じています。
１２

一般条項
法人は、法令に基づき、又は法人の方針により、このプライバシーポリシーを変更する可能性があります。ただし、データ主体の同意に基づき収集した個人データについては、法人が、当該データ主体の同意を得ることなく変更後の利用目的のために利用することはありません。
附記

この決定は、令和３年２月４日から実施する。