GDPRの適用範囲は拠点と提供先の2点で判定する
ITパスポート試験 令和5年度 問18 ／ 法務 › セキュリティ関連法規
過去問にチャレンジ
EUの一般データ保護規則（GDPR）に関する記述として，適切なものだけを全て挙げたものはどれか。 a EU域内に拠点がある事業者が，EU域内に対してデータやサービスを提供している場合は，適用の対象となる。 b EU域内に拠点がある事業者が，アジアや米国などEU域外に対してデータやサービスを提供している場合は，適用の対象とならない。 c EU域内に拠点がない事業者が，アジアや米国などEU域外に対してだけデータやサービスを提供している場合は，適用の対象とならない。 d EU域内に拠点がない事業者が，アジアや米国などからEU域内に対してデータやサービスを提供している場合は，適用の対象とならない。
- ア
a
- イ
a，b，c
- ウ
a，c
- エ
a，c，d
会話形式の解説
講師今回はGDPR、つまりEUの個人データ保護の規則が、どの事業者に適用されるかを問う問題です。注目するのは「事業者の拠点がEUの中か外か」と「誰に向けてデータやサービスを提供しているか」の2点です。
受験者EUの規則なので、EUの中にある会社だけが対象だと思っていました。そう考えると、bとdは適切に見えます。
講師そこがよくある引っかけです。まずは迷いにくいaから確かめましょう。拠点がEU域内にあって、EU域内に提供している場合はどうでしょうか。
受験者拠点も提供先もEUの中なので、適用されるのは当然だと思います。aは適切です。
講師そのとおりです。次はbです。拠点はEU域内にあって、提供先がアジアや米国などEU域外の場合です。
受験者提供先がEUの外なら、EUの人の個人データとは関係が薄いので対象外のような気がします。
講師実際には、EU域内の拠点の活動に関する個人データの取扱いであれば、提供先がEU域外でも適用対象になります。拠点がEU域内にあること自体が判断の手がかりになるので、bは不適切です。
受験者では、拠点がEU域外の場合はどうなるのですか。cとdはどちらも拠点がEU域外です。
講師その場合は、EU域内の人に向けて商品やサービスを提供しているかどうかで判断します。cは拠点も提供先もEU域外だけなので、適用されません。cは適切です。
受験者dは拠点がEU域外でも、EU域内に提供しています。そうすると適用対象になるので、「適用の対象とならない」というdは不適切ですね。
講師正確です。適切なのはaとcの2つなので、その組合せが正解です。aだけを挙げた選択肢はcが足りません。bやdを含む選択肢は、不適切な記述が入っているので誤りです。
受験者整理すると、拠点がEU域内なら提供先がEU域外でも対象になり、拠点がEU域外でもEU域内向けに提供すれば対象になる。対象外なのは、拠点も提供先もEU域外だけの場合ですね。
講師はい、その理解で大丈夫です。補足すると、拠点がEU域外の事業者でも、EU域内の人の行動を監視する場合は適用対象になり得ます。「日本の会社だから関係ない」と決めつけず、「拠点がどこか」と「誰に向けた活動か」を確かめる習慣をつけておきましょう。
まとめ
GDPRはEUで適用される個人データ保護の規則で、適用されるかどうかは事業者の拠点の場所と、誰に向けた活動かで判断します。EU域内に拠点がある事業者は、その拠点の活動に関する個人データの取扱いであれば、提供先がEU域外でも適用対象です。EU域内に拠点がない事業者でも、EU域内の人に商品やサービスを提供すれば適用対象になります。拠点も提供先もEU域外だけの場合は適用されないため、適切な記述はaとcで、正解はウです。
解答・解説
正解はウです
この問題のテーマ
EUの一般データ保護規則（GDPR）が、どの事業者のどのような活動に適用されるかという地理的な適用範囲を問う問題です。
解き方の考え方
GDPRが適用されるかどうかは、2つの観点で判断します。1つ目は、事業者の拠点がEU域内にあるかどうかです。2つ目は、拠点がEU域外の場合に、EU域内の人へ商品やサービスを提供しているかどうかです。拠点がEU域内にあれば、提供先がどこでも適用対象になります。拠点がEU域外でも、EU域内へ提供していれば適用対象になります。この基準でa〜dを1つずつ判定すると、適切なのはaの「域内拠点・域内向け」とcの「域外拠点・域外向けだけ」の2つです。
選択肢ごとの解説
- ×ア aアはaだけを挙げています。aの「EU域内に拠点があり、EU域内へ提供する事業者は適用対象」という記述は適切です。しかし、同じく適切なcの「拠点も提供先もEU域外なら適用されない」が含まれていないため、組合せとして足りません。
- ×イ a，b，cイはa、b、cを挙げていますが、bが不適切です。bは「EU域内に拠点があっても、EU域外向けの提供なら適用されない」としています。実際には、拠点がEU域内にあれば提供先がEU域外でも適用対象になります。
- ○ウ a，cウは、適切なaとcだけを挙げた組合せなので正解です。aの域内拠点の事業者は適用対象です。cのように拠点がEU域外で、提供先もEU域外だけであれば、GDPRは適用されません。
- ×エ a，c，dエはa、c、dを挙げていますが、dが不適切です。dは「EU域外の事業者がEU域内へ提供しても適用されない」としています。実際には、EU域内に拠点がない事業者でも、EU域内の人へ商品やサービスを提供すればGDPRの適用対象になります。
補足
「日本の会社だからGDPRは関係ない」と考えるのは、よくある誤解です。日本企業でも、EU域内の人に向けてサービスを提供すれば対応が必要になります。また、EU域内の人の行動を監視する場合も、域外の事業者に適用され得ます。判定するときは「拠点がどこにあるか」と「誰に向けた活動か」の2点を確認すると整理しやすくなります。
POINT
- GDPRはEUで適用される個人データ保護の規則です。
- EU域内に拠点がある事業者には、提供先がEU域内か域外かを問わず適用されます。
- EU域内に拠点がない事業者でも、EU域内の人へ商品やサービスを提供すれば適用対象になります。
- 拠点がEU域外で、提供先もEU域外だけの場合は適用されません。