平成30年度 行政書士試験 問55 欧州データ保護規則（GDPR）

肢ごとの解説

• 1誤り

  ア（欧州経済領域内に本社を置く企業に限る）は誤りで、GDPRはEU域外の企業であっても域内に商品・サービスを提供する場合等に域外適用されます。

• 2誤り

  アは誤りでオも誤り（域外移転規制違反には高額の制裁金あり）であり、組合せとして不正解です。

• 3誤り

  イ（業務を域内で展開する企業も対象）は妥当ですが、ウ（保護対象は欧州各国政府保有データに限る）は誤りで、民間部門の個人データも保護対象です。

• 4正しい

  イ（欧州経済領域内で業務を展開する企業もGDPRの規制対象となる）とエ（GDPRの保護対象は欧州経済領域内で取り扱われている個人データ）はいずれも妥当な記述です。GDPRはEEA内で活動する企業や域内の自然人の個人データを処理する企業に広く適用され、保護対象も民間・公的を問わず域内で扱われる個人データです。よってイ・エの組合せが正解です。

• 5誤り

  ウもオもいずれも誤りで、妥当な組合せにはなりません。

解説

EUの一般データ保護規則（GDPR、2018年5月適用開始）の基本構造を問う問題です。GDPRはEEA（欧州経済領域）内に拠点を置く企業だけでなく、EEA域内の個人にサービス提供や行動監視を行う域外企業にも適用される「域外適用」の特徴を持ちます（肢ア誤り、肢イ妥当）。保護対象は政府保有データに限られず民間部門を含む個人データ全般で（肢ウ誤り、肢エ妥当）、域外移転には十分性認定や標準契約条項等の保護措置が要求され、違反には全世界売上高の最大4％または2,000万ユーロの制裁金が科され得ます（肢オ誤り）。よってイ・エの組合せで肢4が正解です。