正解：イ
各選択肢の解説
ア個人データを日本国内のサーバだけで処理していれば、GDPRの適用を受けることはない。
誤り。適用されるかどうかは、データを置く場所ではなく、誰に向けたサービスかで 決まります。EU域内の人に向けて販売し、その人の個人データを扱う以上、処理を日本で 行っていても対象になりえます。サーバの所在地は判断の決め手ではありません。
イEU域内に拠点がなくても、EU域内の人に商品やサービスを提供する場合は適用されうる。
正解。GDPRはEU域内に拠点を持つ事業者だけでなく、域外の事業者にも及びます。 EU域内の人への商品・サービスの提供や、その行動の監視を行う場合が対象です。
ウ日本はEUから十分性認定を受けているので、日本の企業にGDPRが適用されることはない。
誤り。十分性認定は、EUから日本へ個人データを移す際に追加の契約などがなくても 移転できるという、移転の手続に関する仕組みです。GDPRが適用されるかどうかとは 別の話で、認定があっても域外適用が免除されるわけではありません。
エEU域内で取得した個人データは、どのような場合でもEU域外へ移すことが禁止されている。
誤り。禁止ではなく、根拠が要るという規律です。十分性認定を受けた国への移転や、 標準契約条項の締結など、定められた根拠があれば域外へ移せます。日本はその認定を 受けているため、条件を満たせば日本への移転ができます。
理解を深めるために
「EUに支社がないから関係ない」が通じない規則
GDPR（一般データ保護規則）は、EUが定めた個人データ保護の規則で、2018年から適用されて います。特徴は域外適用です。EU域内に拠点を持つ事業者だけでなく、拠点がなくても
- EU域内にいる人へ商品やサービスを提供する
- EU域内にいる人の行動を監視する（サイト上の行動履歴の追跡など）
という場合には、域外の事業者にも及びます。日本語サイトを日本人向けに運営しているだけなら 対象外ですが、多言語化やユーロ建て決済などでEU域内の顧客を明らかに狙っているなら、 「EUに支社がないから関係ない」とは言えません。
域外へ持ち出すときには根拠が要る
GDPRは、EU域内で取得した個人データをEU域外へ移すことを禁止してはいません。ただし 移転には根拠が必要で、代表的なものが十分性認定です。EUが「その国は十分な保護水準を 備えている」と認めた国へは、個別の契約を結ばなくても移転できます。日本はこの認定を 受けているため、条件を満たせば日本の企業へ移転できます。認定のない国へ移す場合は、 標準契約条項を結ぶなど別の根拠を用意します。
混同しやすいものとの違い
| 用語 | 中身 |
|---|---|
| GDPR（一般データ保護規則） | EUの規則。域外の事業者にも及び、違反時の制裁金が重い |
| 個人情報保護法 | 日本の法律。国内で個人情報を扱う事業者に適用される |
| 十分性認定 | EUから域外の国へ個人データを移せるようにする、移転側の仕組み |
試験では「拠点がなければ適用されない」「十分性認定があるから適用されない」の2つが 狙われます。適用されるかの話と、データを移せるかの話は別だと切り分けてください。