ITパスポート 2023年 問18

GDPR の適用範囲に関する記述【ITパスポート 解説】

正解の理由

解法ステップ

1. GDPRの「どこに適用されるか」を整理する。
   • Article 3(1)：EU内に「拠点（establishment）」がある場合、その拠点に関連する業務で行う個人データの処理はGDPR対象。
   • Article 3(2)：EU外の事業者でも、EUに居住する人（データ主体）に対して商品・サービスを提供する場合や、EU内での行動を監視する場合はGDPR対象（＝域外適用）。
2. 各選択肢が上のルールに合致するかを検討する。
3. 「EUと関係が全くない」ケース（拠点がなく、対象もEU外のみ）はGDPRの対象外であると判断する。

選択肢別の誤答解説

• 誤り扱いになっている理由（紛らわしさ）：一見正しいように思えますが、GDPRは「拠点がEUにある場合、その拠点の活動に関する処理はGDPRの対象となる」ため、適用はもっと広い範囲です。選択肢は「提供している場合は適用」と限定的に述べており、文として不十分・誤解を招くため不適切と判断されます。
• 実務では：EU拠点があれば、その拠点に関わる個人データ処理全体に注意が必要です（相手がEU外でも適用され得る）。

• 誤り：EUに拠点がある事業者は、その拠点の活動で行われる個人データ処理についてGDPRの適用を受けます。つまり、たとえ顧客がEU外であっても、EU拠点が存在するだけでGDPR適用の可能性があります。

• 正しい：拠点が無く、かつ対象（データ主体やサービスの受け手）がすべてEU外であるなら、GDPRの域外適用条件（EU居住者への提供や行動の監視）に当てはまらないため、原則としてGDPRの適用対象外になります。

• 誤り：拠点がなくても、EU居住者に商品・サービスを提供したり、EU内での行動を監視したりする場合は、GDPRの域外適用により規制対象になります。したがって、この選択肢は誤りです。

よくある誤解

1. 「EUに拠点がなければ絶対に関係ない」
   • 間違い。拠点がなくても、EU居住者を対象に商売したりウェブで行動を追跡したりするとGDPRが適用されます（域外適用）。
2. 「EU拠点がある＝すべての国の個人データにGDPRが掛かる」
   • 誤解の元。GDPRは拠点に関連する処理が対象になりますが、具体的な適用範囲や例外は事案ごとに検討が必要です（ただし広く適用されると理解しておくと安全です）。
3. 「日本向けサービスなら安心」
   • EU居住者が利用できる状態（言語や通貨表示、EU向け配送など）だと、EU居住者を「対象」にしていると見なされる場合があります。

補足コラム

• GDPRの「域外適用」の具体例：
  • EU向けに多言語で商品ページを用意し、EU向け配送やユーロ決済を提示しているECサイト → 対象になる可能性が高い。
  • SNS解析でEU内のユーザーの行動を追跡して広告配信する場合 → 「行動の監視」に該当し適用される。
• EUに拠点がない海外事業者は、GDPR適用時に「EU内の代表者（Article 27で規定）」を置く義務が生じることがあります（例外あり）。

FAQ