国立大学法人山梨大学におけるＥＵ一般データ保護規則（ＧＤＰＲ）に基づくプライバシーポリシー
令和６年１月２３日
学長 裁 定１ 目的
このプライバシーポリシーは、国立大学法人山梨大学（以下本学といいます。
）においてＧＤＰＲに対応するため、ＧＤＰＲ適用国に所在するデータ主体（国籍及び居住地を問いません。
）の個人データの取り扱い及び域外移転に関する方針を示すことを目的とします。
２ 定義
このプライバシーポリシーにおける用語の定義は、次の表に掲げるとおりです。
用語

ＧＤＰＲ定

義

General Data Protection Regulation：ＥＵ一般データ保護規則第２０１６／６７９号

ＧＤＰＲ適用国欧州経済領域（European Economic Area）の構成国（ＥＵ加盟国、アイスランド共和国、リヒテンシュタイン公国、ノルウェー王国）及び英国（グレートブリテン及び北アイルランド連合王国）をいいます。
※ 英 国 の 個 人 情 報 保 護 監 督 機 関 で あ る Ｉ Ｃ Ｏ （ Information
Commissioner’s Office）により、ＧＤＰＲに準拠する旨が公表されています。

データ主体

識別された自然人または識別可能な自然人をいいます。ここでいう識別可能な自然人とは、特に氏名、識別番号、位置情報、オンライン識別子（ＩＰアドレス、Cookie、ＭＡＣアドレスなど）のような識別子を参照することによって、又は当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的若しくは社会的な同一性を示す一つ若しくは複数の要素を参照することによって、直接的または間接的に識別され得るものをいいます。

個人データ

データ主体に関する情報をいいます。

取扱い

自動的な手段によるか否かを問わず、収集、記録、編集、構成、記録保存、修正若しくは変更、検索、参照、使用、送信による開示、配布
若しくはそれら以外に利用可能なものとすること、整列若しくは結合、制限又は消去若しくは破壊のような、個人データまたは一群の個人データに実施される業務遂行又は一群の業務遂行をいいます。

取扱いの制限将来におけるその取扱いを限定するために、記録保存された個人デー

タに目印をつけることをいいます。
プロファイリン

自然人と関連する一定の個人的側面を評価（特に当該自然人の業務遂グ

行能力、経済状態、健康、個人的思考、興味関心、信頼性、行動、位置及び移動に関する側面を分析又は予測）するための、個人データの利用によって構成される、個人データの自動的な取り扱いをいいます。

管理者

自然人若しくは法人、公的機関又はその他の組織であって、単独でまたは他者と共同して、個人データの取り扱いの目的及び方法を決定する者をいいます。

処理者

管理者の代わりに個人データを取り扱う自然人若しくは法人、公的機関又はその他の組織をいいます。

第三者

データ主体、管理者、処理者及び管理者または処理者の直接の承認のもとで個人データの取り扱いを承認されている者以外の自然人若し
くは法人、公的機関又はこれら以外の組織をいいます。

データ主体の同データ主体に同意の可否を選択する自由が与えられ、同意により収得意される個人データの取り扱いが明確に特定され、事前にこれらの説明を受けたうえでのデータ主体の明瞭な意思の表示であって、データ主体が陳述又は明確な積極的行為により、自身に関連する個人データの取り扱いの同意を表明することをいいます。

ＳＣＣ

Standard Contractual Clauses：標準契約条項※ＧＤＰＲの要件を確実に遵守するために定められた委員会実施決
定２０２１／９１５及び委員会実施決定２０２１／９１４により定められているもので、ＥＵ域内にいる事業者とＥＵ域外にいる事業者との間で締結される域外移転の合意書のことをいいます。
※２０２２年１２月２７日までに限り、同日まで有効な旧ＳＣＣ（ＥＵ加盟国に適用されていたデータ保護指令（Data ProtectionDirective：９５／４６／ＥＣ）により定められていたものをいいます。
）も本ポリシーにいう「ＳＣＣ」に含みます。

ＳＤＰＣStandard Data Protection Clauses：標準データ保護条項※ＧＤＰＲにより定められているもので、ＳＣＣに代わるものです。

十分性認定

十分なデータの保護の水準を確保している国または地域であると、欧州委員会（European Commission）が決定することをいいます。
※決定された場合は、特段の手続きを踏まずに、個人データの域外移転が可能となります。
※日本国は令和元年１月に十分性認定を受けていますが、政府機関及び独立行政法人等は、十分性認定の枠組みの対象外となっています。
３ 管理者の名称及び住所名称：国立大学法人山梨大学
住所：山梨県甲府市武田４－４－３７
４ 個人データの取り扱いの対象となる業務
本学は、次に掲げる個人データについて、それぞれ当該個人データごとに定める業務の遂行のためにのみ、当該個人データを取り扱います。
（１） 本学（山梨大学が設置する組織を含む。
）とＧＤＰＲ適用国の大学又は研究機関との教育研究上の交流について締結した協定（以下「交流協定」といいます。
）に基づき実施する交換留学等の国際学術交流を希望する者の個人データ
ア

交換留学等の国際学術交流に関する手続き

イ

交換留学等の国際学術交流に付随する手続き（奨学金等）

ウ

緊急時等の連絡エその他業務上必要な諸手続、連絡等（２） 前号に規定するもの以外の者の個人データ
ア

各種事業の申請及び手続等

イ

謝金、旅費等の支払及び諸料金の徴収

ウ

税務等の手続

エ

アンケート

オ

その他業務上必要な諸手続、連絡等

５ 個人データの取得元
本学は、前項の業務の遂行のため、次に掲げる取得元から個人データを取得します。
（１） データ主体（個人データの取り扱いにデータ主体（１６歳未満（ＧＤＰＲ適用国の国内法で定めがある場合は当該法で定める年齢未満）である場合は親権者）が同意を与えたことを証明できる場合に限る。
）（２） 交流協定の締結先
６ 個人データの保存期間
個人データは、日本国の法令又は本学の規則等により定められた期間保存します。
７ 個人データの取り扱い
本学は、次に掲げる場合に個人データを取り扱います。
（１） データ主体が、一つまたは複数の特定の目的のために、自己の個人データの取り扱

いに関し同意を与えた場合（２） データ主体が契約当事者となっている契約を履行するために取扱いが必要な場合又は契約の締結前にデータ主体の求めに応じて手続きを履行するために取扱いが必要な場合（３） 管理者が従うべき法的義務を遵守するために取扱いが必要な場合（４） データ主体または他の自然人の重大な利益を保護するために取扱いが必要な場合（５） 公共の利益または管理者に与えられた公的権限を行使するために行われる業務の遂行において取扱いが必要な場合（６） 管理者または第三者によって追及される合法的な利益のために取扱いが必要な場合。
ただし、個人データの保護を求めているデータ主体における基本的権利及び自由が当該利益に優先する場合を除きます。
８ データ主体の権利
データ主体には、次に掲げる権利があります。ただし、日本国の個人情報の保護に関する法律（平成１５年法律第５７号。以下「個人情報保護法」といいます。
）に定める開示請求に該当する場合は、データ主体に費用を求めます。
（１） アクセスの権利
データ主体は、管理者に対し、自己の個人データその他のＧＤＰＲに定める情報の提供を求めることができます。
（２） 訂正の権利
データ主体は、管理者に対し、不正確な自己の個人データを遅滞なく訂正することを求めることができます。
（３） 消去の権利（忘れられる権利）
データ主体は、自己の個人データが次に掲げる事項に該当すると認めるときは、管理者に対し、当該個人データを遅滞なく消去することを求めることができます。
ア

収集された目的又はその他の取り扱いの目的との関係で必要がなくなったとき。

イ

データ主体が取扱いの同意を撤回したときで、かつ、取扱いのための法的根拠が他に存在しないとき。
ウ

データ主体が、ＧＤＰＲ第２１条第１項に基づき異議を述べ、かつ取扱いのための法的根拠がほかに存在しないとき又は同条第２項に基づき異議を述べたとき。
エ個人データが違法に取り扱われたとき。

オ

管理者が服するＥＵ法又は加盟国の国内法の法的義務を遵守するために消去されなければならないとき。
カ

ＧＤＰＲ第８条第１項に規定する情報社会サービスの提供に関係して収集されたとき。
（４） 取扱いの制限の権利

データ主体は、ＧＤＰＲ第１８条第１項に該当する場合には、管理者に対し、個人データの取り扱いを制限するよう求めることができます。
（５） データポータビリティの権利
データ主体は、ＧＤＰＲ第２０条第１項に該当する場合には、管理者から自己が提供した個人データを、構造化され、一般的に利用され、機械可読性のある形式で受け取ることができます。また、データ主体は、当該個人データの提供を受けた管理者から妨げられることなく、別の管理者に当該個人データを移行することができます。
（６） 異議を述べる権利
データ主体は、自己の特別な状況と関連する根拠に基づき、前項第５号又は第６号の規定に基づき行われる自己と関係する個人データの取り扱いに関して、当該状況に基づくプロファイリングの場合を含め、いつでも異議を述べることができます。
（７） プロファイリングを含む自動化された取扱いに基づいた意思決定を受けない権利
データ主体は、自己に関する法的効果をもたらすか又は当該データ主体に同様の重大な影響をもたらすプロファイリングなどの自動化された取扱いのみに基づいた決定に服しない権利を有します。
９ 個人データの提供
本学は、第５項の業務の遂行のため、データ主体の同意を得ている他、個人情報保護法第２７条第１項各号に規定する場合に、個人データを第三者に提供することがあります。ただし、原則として、ＧＤＰＲ第９条第１項に規定する特別な種類のデータはデータ主体の同意を得ている場合に限ります。
１０ データ移転
個人データは、データ移転先の国又は地域が十分性認定を取得している場合、ＳＣＣ又はＳＤＰＣに定められている場合、ＧＤＰＲ第４９条第１項に定める事由に該当する場合その他適法性を担保されている場合に限り、ＧＤＰＲ適用国以外の第三国に移転することがあります。
１１ 安全管理措置
本学は、個人データの保護に関して、個人情報保護法その他関係法令等に規定する水準の安全管理措置を講じています。
１２ 一般条項
本学は、法令に基づき、又は法人の方針により、このプライバシーポリシーを変更する可能性があります。ただし、データ主体の同意を得ることなく変更後の利用目的のために利用することはありません。