ITパスポート試験
令和5年 第18問

問18

EUの一般データ保護規則（GDPR）に関する記述として、適切なものだけを全て挙げたものはどれか。

1. EU域内に拠点がある事業者が、EU域内に対してデータやサービスを提供している場合は、適用の対象となる。
2. EU域内に拠点がある事業者が、アジアや米国などEU域外に対してデータやサービスを提供している場合は、適用の対象とならない。
3. EU域内に拠点がない事業者が、アジアや米国などEU域外に対してだけデータやサービスを提供している場合は、適用の対象とならない。
4. EU域内に拠点がない事業者が、アジアや米国などからEU域内に対してデータやサービスを提供している場合は、適用の対象とならない。

（令和5年 ITパスポート試験 第18問 ストラテジ系/法務）

解説

EUの一般データ保護規則(GDPR)は、EU(欧州連合)で適用されている個人情報保護に関する法規則です。適用範囲はEU内に限らず、EU外の地域でもEU居住者の個人情報を扱う場合は適用されます。

• a は、EU内に拠点があるので対象です。したがってaは適切。
• b は、EU内に拠点があるので対象です。したがって「適用の対象とならない」は不適切。
• c EU外に拠点があり、EU内にサービスを提供していないためで対象外です。したがってcは適切。
• d EU外に拠点があるもののEU内にサービスを提供しているので対象です。したがって「適用の対象とならない」は不適切。

結局、GDPRが適用されないのは、EU外の事業者でEU内に商品やサービスを提供していない者だけです。つまり、EUに少しでも関わりがあれば適用範囲内ということになります。
GDPRは、違反した場合に高額な制裁金が課される可能性があるため、日本国内の企業も注意が必要です。