令和5年度 ITパスポート 問18（ストラテジ）
出典：令和5年度 ITパスポート試験 公開問題 問18（独立行政法人情報処理推進機構（IPA））
EUの一般データ保護規則（GDPR）に関する記述として，適切なものだけを全て挙げたものはどれか。
a EU域内に拠点がある事業者が，EU域内に対してデータやサービスを提供している場合は，適用の対象となる。
b EU域内に拠点がある事業者が，アジアや米国などEU域外に対してデータやサービスを提供している場合は，適用の対象とならない。
c EU域内に拠点がない事業者が，アジアや米国などEU域外に対してだけデータやサービスを提供している場合は，適用の対象とならない。
d EU域内に拠点がない事業者が，アジアや米国などからEU域内に対してデータやサービスを提供している場合は，適用の対象とならない。
- アa
- イa，b，c
- ウa，c
- エa，c，d
正解と解説を見る
正解：ウ
【GDPRの適用範囲】
GDPR（General Data Protection Regulation、一般データ保護規則）は、EU（欧州連合）の個人データの保護に関する規則です。主に次の場合に適用されます。
・EU域内に拠点がある事業者：その拠点の活動の中で個人データを扱う場合は、扱う相手がEU域内か域外かにかかわらず適用されます
・EU域内に拠点がない事業者：EU域内にいる人に商品やサービスを提供したり、EU域内での行動を監視したりする場合は適用されます
したがって、EU域内に拠点がなく、EU域外だけを相手にしている場合は、適用されません。
【a〜dの検討】
a：EU域内に拠点がある事業者が、EU域内にサービスを提供しているので、適用の対象になります。適切です。
b：EU域内に拠点がある事業者は、提供先がEU域外でも、その拠点の活動に関わる個人データの扱いには適用されます。「適用の対象とならない」は誤りです。
c：EU域内に拠点がなく、EU域外だけにサービスを提供している場合は、適用の対象になりません。適切です。
d：EU域内に拠点がなくても、EU域内の人にサービスを提供している場合は、適用の対象になります。「適用の対象とならない」は誤りです。
適切なのはaとcです。よって、正解は選択肢ウです。