令和5年度 ITパスポート試験 問18
ストラテジ法務・標準個人情報保護・プライバシー
EUの一般データ保護規則 (GDPR) に関する記述として，適切なものだけを全て挙げたものはどれか。
- a EU域内に拠点がある事業者が，EU域内に対してデータやサービスを提供している場合は，適用の対象となる。
- b EU域内に拠点がある事業者が，アジアや米国などEU域外に対してデータやサービスを提供している場合は，適用の対象とならない。
- c EU域内に拠点がない事業者が，アジアや米国などEU域外に対してだけデータやサービスを提供している場合は，適用の対象とならない。
- d EU域内に拠点がない事業者が，アジアや米国などからEU域内に対してデータやサービスを提供している場合は，適用の対象とならない。
解答・解説
正解: ウ. a, c
EUの一般データ保護規則（GDPR）の適用範囲には、主に以下の2つの基準があります。
- 拠点基準：EU域内に拠点がある管理・処理者が行う個人データの処理は、データ主体の所在地（EU域内外）に関わらず適用対象となります。
- 標的基準（域外適用）：EU域内に拠点がない管理・処理者であっても、EU域内のデータ主体に対して物品やサービスを提供する際に行う個人データの処理は、適用対象となります。
この基準に基づいて、各記述を評価します。
- a：EU域内に拠点があるため、拠点基準により適用の対象となります。（適切）
- b：EU域内に拠点があるため、提供先がEU域外（アジアや米国など）であっても拠点基準により適用対象となります。したがって「適用の対象とならない」は誤りです。（不適切）
- c：EU域内に拠点がなく、データやサービスの提供先もEU域外のみであるため、GDPRの適用対象とはなりません。（適切）
- d：EU域内に拠点はありませんが、EU域内に対してデータやサービスを提供しているため、標的基準（域外適用）により適用の対象となります。したがって「適用の対象とならない」は誤りです。（不適切）
以上から、適切な記述は a と c となります。
各選択肢の解説
- ア：適切な記述であるcが含まれていないため誤りです。
- イ：不適切な記述であるbが含まれているため誤りです。
- ウ：適切な記述であるaとcが全て挙げられているため、正解です。
- エ：不適切な記述であるdが含まれているため誤りです。