国立大学法人香川大学におけるＥＵ一般データ保護規則(GDPR)に基づく
プライバシーポリシー
令和５年４月１日
１ 目的
このプライバシーポリシーは、国立大学法人香川大学(以下「本法人」といいます。)において GDPR に対応するため、GDPR 適用国に所在するデータ主体(国籍及び居住地を問いません。)の個人データの取扱い及び域外移転に関する方針を示すことを目的とします。
２ 定義
このプライバシーポリシーにおける用語の定義は、次の表に掲げるとおりです。
用語

GDPR

定義

General Data Protection Regulation：EU 一般データ保護規則第 2016／679 号

GDPR 適用国

欧州経済領域(European Economic Area)の構成国(EU 加盟国、アイスランド共和国、リヒテンシュタイン公国、ノルウェー王国)及び英国(グレートブリテン及び北アイルランド連合王国)をいいます。
※英国の個人情報保護監督機関であるICO(InformationCommissioner'sOffice)により、GDPR に準拠する旨が公表されています。
データ主体

識別された自然人又は識別可能な自然人をいいます。ここでいう識別可能な自然人とは、特に氏名、識別番号、位置情報、オンライン識別子(IP アドレス、Cookie、MAC アドレスなど)のような識別子を参照することによって、又は当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的若しくは社会的な同一性を示す一つ若しくは複数の要素を参照することによって、直接的又は間接的に識別され得る者をいいます。

個人データ

データ主体に関する情報をいいます。

取扱い

自動的な手段によるか否かを問わず、収集、記録、編集、構成、記録保存、修正若しくは変更、検索、参照、使用、送信による開示、配布若し
くはそれら以外に利用可能なものとすること、整列若しくは結合、制限又は消去若しくは破壊のような、個人データ又は一群の個人データに実施される業務遂行又は一群の業務遂行をいいます。

取扱いの制限将来におけるその取扱いを限定するために、記録保存された個人データに目印を付けることをいいます。
1

プロファイリ

自然人と関連する一定の個人的側面を評価(特に当該自然人の業務遂ング

行能力、経済状態、健康、個人的嗜好、興味関心、信頼性、行動、位置及び移動に関する側面を分析又は予測)するための、個人データの利用によって構成される、個人データの自動的な取扱いをいいます。

管理者

自然人若しくは法人、公的機関又はその他の組織であって、単独で又は他者と共同して、個人データの取扱いの目的及び方法を決定する者をいいます。

処理者

管理者の代わりに個人データを取り扱う自然人若しくは法人、公的機関又はその他の組織をいいます。

第三者

データ主体、管理者、処理者及び管理者又は処理者の直接の承認の下で個人データの取扱いを承認されている者以外の自然人若しくは法人、公的機関又はこれら以外の組織をいいます。

データ主体のデータ主体に同意の可否を選択する自由が与えられ、同意により収得同意される個人データの取扱いが明確に特定され、事前にこれらの説明を受けた上でのデータ主体の明瞭な意思の表示であって、データ主体が陳述又は明確な積極的行為により、自身に関連する個人データの取扱いの同意を表明することをいいます。

SCC

Standard Contractual Clauses：標準契約条項※ＥＵ加盟国に適用されていたデータ保護指令(Data ProtectionDirective：95／46／EC)により定められていたもので、EU 域内にいる事業者と EU 域外にいる事業者との間で締結される域外移転の合意書のことをいいます。

SDPCStandard Data Protection Clauses：標準データ保護条項※GDPR により定められているもので、SCC に代わるものです。

十分性認定

十分なデータ保護の水準を確保している国又は地域であると、欧州委員会(European Commission)が決定することをいいます。
※決定された場合は、特段の手続を踏まずに、個人データの域外移転が可能となります。
※日本国は平成 31 年１月に十分性認定を受けていますが、当時、政府機関及び独立行政法人等は、十分性認定の枠組の対象外となっていました。
日本国の個人情報の保護に関する法律（平成 15 年法律第 57 号）が改正され、令和４年４月１日から施行されたことによって、政府機関及び独立行政法人等による個人情報の取扱い等についても、一元的に同法の枠内で規定されることになりました。

2

Cookie（クッキー）

Cookie とは、Web サイトで入力した ID やパスワード情報等を、一時的に閲覧されたコンピューターに保存する機能をいいます。
※ホームページ等、ウェブ技術を利用して提供する各種サービス（以下、「ウェブ技術利用サービス」という。
）では、他のページや次回アクセス時に再入力の手間を省くことが可能となるため、その利便性のため利用されることがよくあります。

３ 管理者の名称及び住所
名称：国立大学法人香川大学
住所：香川県高松市幸町 1 番 1 号
４ 個人データの取扱いの対象となる業務
本法人は、次に掲げる個人データについて、それぞれ当該個人データごとに定める業務の遂行のためにのみ、当該個人データを取り扱います。
(1) 香川大学(香川大学が設置する組織を含む。)と GDPR 適用国の大学又は研究機関との教育研究上の交流について締結した協定(以下「交流協定」といいます。)に基づき実施する交換留学等の国際学術交流を希望する者の個人データ
ア 交換留学等の国際学術交流に関する手続
イ 交換留学等の国際学術交流に付随する手続(奨学金等)
ウ 緊急時等の連絡
エ その他業務上必要な諸手続、連絡等(2) 前号に規定する者以外の者の個人データ
ア 各種事業の申請及び手続等
イ 謝金、旅費等の支払及び諸料金の徴収
ウ 税務等の手続
エ アンケートオ その他業務上必要な諸手続、連絡等(3)ウェブ技術利用サービス利用者の個人データ
ア ウェブ技術利用サービスの利用状況の把握
イ ウェブ技術利用サービスの改善
ウ ウェブ技術利用サービスのサービス提供
エ その他業務上必要な連絡等
５ Cookie の取扱いについて
本法人は、Cookie を使用して、本学のウェブ技術利用サービスの利用状況に関するデータ（アクセス数、閲覧ページ、閲覧時間等）を集計しています。Cookie を使用する場合に3

は、当該ウェブページにその旨を明示するとともに、集計したデータは、該当サービスの改善のために利用します。
６ 個人データの取得元
本法人は、前項の業務の遂行のため、次に掲げる取得元から個人データを取得します。
(1) データ主体(個人データの取扱いにデータ主体(16 歳未満(GDPR 適用国の国内法で定めがある場合は当該法で定める年齢未満)である場合は親権者)が同意を与えたことを証明できる場合に限る。)(2) 交流協定の締結先(3) データ主体が本法人のウェブ技術利用サービスを利用し、又は本法人の情報ネットワー
クに接続した際に、法人が取得した IP アドレス、MAC アドレス等のオンライン識別子(4) インターネット上の公開情報(5) ソーシャルメディアによる情報(6) SCC 又は SDPC の締結先
７ 個人データの保存期間
個人データは、日本国の法令又は本法人の規則等により定められた期間保存します。
８ 個人データの取扱い
本法人は、次に掲げる場合に個人データを取り扱います。
(1) データ主体が、一つ又は複数の特定の目的のために、自己の個人データの取扱いに関し同意を与えた場合(2) データ主体が契約当事者となっている契約を履行するために取扱いが必要な場合又は契約の締結前にデータ主体の求めに応じて手続を履行するために取扱いが必要な場合(3) 管理者が従うべき法的義務を遵守するために取扱いが必要な場合(4) データ主体又は他の自然人の重大な利益を保護するために取扱いが必要な場合(5) 公共の利益のため又は管理者に与えられた公的権限を行使するために行われる業務の遂行において取扱いが必要な場合(6) 管理者又は第三者によって追求される合法的な利益のために取扱いが必要な場合。
ただし、個人データの保護を求めているデータ主体における基本的権利及び自由が当該利益に優先する場合を除きます。
９ データ主体の権利
データ主体には、次に掲げる権利があります。ただし、日本国の独立行政法人等の保有する個人情報の保護に関する法律(平成 15 年法律第 59 号。以下「独立行政法人個人情報保護法」といいます。)に定める開示請求に該当する場合は、データ主体に費用を求めます。
4

(1) アクセスの権利
データ主体は、管理者に対し、自己の個人データその他の GDPR に定める情報の提供を求めることができます。
(2) 訂正の権利
データ主体は、管理者に対し、不正確な自己の個人データを遅滞なく訂正することを求めることができます。
(3) 消去の権利(忘れられる権利)
データ主体は、自己の個人データが次に掲げる事項に該当するときは、管理者に対し、当該個人データを遅滞なく消去することを求めることができます。
ア 収集された目的又はその他の取扱いの目的との関係で必要がなくなったとき。
イ データ主体が取扱いの同意を撤回したときで、かつ、取扱いのための法的根拠が他に存在しないとき。
ウ データ主体が、GDPR 第 21 条第１項に基づき異議を述べ、かつ、取扱いのための法的根拠が他に存在しないとき、又は同条第２項に基づき異議を述べたとき。
エ 個人データが違法に取り扱われたとき。
オ 管理者が服するＥＵ法又は加盟国の国内法の法的義務を遵守するために消去されなければならないとき。
カ GDPR 第８条第１項に規定する情報社会サービスの提供に関係して収集されたとき。
(4) 取扱いの制限の権利
データ主体は、GDPR 第 18 条第 1 項に該当する場合には、管理者に対し、個人データの取扱いを制限するよう求めることができます。
(5) データポータビリティの権利
データ主体は、GDPR 第 20 条第 1 項に該当する場合には、管理者から自己が提供した個人データを、構造化され、一般的に利用され、機械可読性のある形式で受け取ることができます。また、データ主体は、当該個人データの提供を受けた管理者から妨げられることなく、別の管理者に当該個人データを移行することができます。
(6) 異議を述べる権利
データ主体は、自己の特別な状況と関連する根拠に基づき、前項第５号又は第６号の規定に基づき行われる自己と関係する個人データの取扱いに関して、当該条項に基づくプロファイリングの場合を含め、いつでも異議を述べることができます。
(7) プロファイリングを含む自動化された取扱いに基づいた意思決定を受けない権利
データ主体は、自己に関する法的効果をもたらすか又は当該データ主体に同様の重大な影響をもたらすプロファイリングなどの自動化された取扱いのみに基づいた決定に服しない権利を有します。
10 個人データの提供及び共有
5

本法人は、第５項の業務の遂行のため、日本国の個人情報の保護に関する法律その他関係法令等を遵守して、法人の内部において個人データを共有し、又は次に掲げる第三者に提供し、若しくは当該第三者と共有する場合があります。
(1) 公的機関(2) 金融機関(3) 民間奨学財団(4) 医療機関(5) 業務委託先(6) SCC 又は SDPC の締結先
(7) その他業務上関係のある機関
11 データ移転
個人データは、データ移転先の国又は地域が十分性認定を取得している場合、SCC 又はSDPC に定められている場合、GDPR 第 49 条第１項に定める事由に該当する場合その他適法性を担保されている場合に限り、GDPR 適用国以外の第三国に移転することがあります。
12 安全管理措置
本法人は、個人データの保護に関して、管理者として十分な技術的及び組織的安全管理措置を講じています。
13 一般条項
本法人は、法令に基づき、又は本法人の方針により、このプライバシーポリシーを変更する可能性があります。ただし、データ主体の同意に基づき収集した個人データについては、本法人が、当該データ主体の同意を得ることなく変更後の利用目的のために利用することはありません。

6