この問題の解説と、これまでの解答の記録です。
EU の一般データ保護規則 (GDPR) に関する記述として, 適切なものだけを全て挙げたものはどれか。 a EU 域内に拠点がある事業者が, EU 域内に対してデータやサービスを提供している場合は, 適用の対象となる。 b EU 域内に拠点がある事業者が, アジアや米国など EU 域外に対してデータやサービスを提供している場合は, 適用の対象とならない。 c EU 域内に拠点がない事業者が, アジアや米国など EU 域外に対してだけデータやサービスを提供している場合は, 適用の対象とならない。 d EU 域内に拠点がない事業者が, アジアや米国などから EU 域内に対してデータやサービスを提供している場合は, 適用の対象とならない。
正しい記述を a だけに絞っているが、c (域内拠点なし×域外のみへ提供→適用外) も正しい記述である。正しいものを『全て』挙げていないため不適切。
a と c に加えて b を含めている点が誤り。b は『EU 域内に拠点がある事業者が域外へ提供する場合は適用とならない』とするが、域内に拠点 (事業所) がある事業者はその活動に伴う処理が域外向けであっても GDPR の適用対象となるため、b は誤った記述であり組合せに含めてはならない。
正解 GDPR (EU 一般データ保護規則) の適用範囲は、(1) 事業者が EU 域内に拠点をもつか、(2) EU 域内の個人にデータやサービスを提供するか、の二つの観点で決まる。記述 a は『EU 域内に拠点がある事業者が EU 域内へ提供する』ケースで、拠点も提供先も域内なので明確に適用対象であり正しい。記述 c は『EU 域内に拠点がなく、提供先も EU 域外 (アジアや米国) だけ』のケースで、拠点も対象者も域内に存在しないため GDPR の適用外であり正しい。したがって正しい記述だけを全て挙げた組合せは「a と c」であり、ウが正解となる。
a と c に加えて d を含めている点が誤り。d は『EU 域内に拠点がない事業者がアジアや米国などから EU 域内へ提供する場合は適用とならない』とするが、GDPR は域外事業者であっても EU 域内の個人へ商品・サービスを提供する場合に域外適用される。したがって d は誤った記述であり組合せに含めてはならない。