正解：ウ
各選択肢の解説
ア違反の内容によらず上限は一律で、EU域内で上げた年間売上高の4%に限られる。
誤り。上限は違反の種類で2段階に分かれており、一律ではありません。 また、売上高の基準はEU域内ではなく、企業の全世界の年間売上高です。 EUの規則なのでEU域内の売上だけが基準になると考えやすい点が混同の原因です。
イ上限は各加盟国の国内法で定められ、GDPR自体は制裁金の上限を定めていない。
誤り。これは、加盟国が国内法に置き換えて実施する「指令」の考え方です。 GDPRは加盟国に直接適用される「規則」で、制裁金の上限も規則自体に定められています。 規則と指令の違いが、この誤解の分かれ目です。
ウ違反の内容で2段階あり、重い区分では2,000万ユーロか全世界年間売上高の4%のいずれか高い方である。
正解。GDPRは制裁金の上限を2段階で定め、基本原則やデータ主体の権利の侵害などの重い区分では、 2,000万ユーロか前会計年度の全世界年間売上高の4%のいずれか高い方が上限です。
エ違反の内容で2段階あり、重い区分では2,000万ユーロか全世界年間売上高の4%のいずれか低い方である。
誤り。数字は合っていますが、GDPRは「いずれか高い方」を上限としています。 大企業ほど売上高の4%が2,000万ユーロを大きく超えるため、「高い方」でないと抑止にならないという設計です。 「低い方」と覚えると、上限を大きく見誤ります。
理解を深めるために
上限は「2段階」で「高い方」
GDPR（一般データ保護規則）は、EU域内の人に商品やサービスを提供する事業者であれば、 EUに拠点がない日本企業にも適用されることがあります。違反したときの制裁金の上限は、 定額と売上高比率のいずれか高い方です。売上が大きい企業ほど上限も大きくなる仕組みです。
なぜそうなっているのか
GDPR第83条は、違反の種類によって制裁金の上限を2つの区分に分けています。
- 重い区分（第83条5項）: 処理の基本原則、データ主体の権利、第三国への移転などの違反。上限は2,000万ユーロか、企業なら前会計年度の全世界年間売上高の4%のいずれか高い方
- 軽い区分（第83条4項）: 管理者・処理者の義務（漏えいの通知など）の違反。上限は1,000万ユーロか2%のいずれか高い方
GDPRは「規則」なので、加盟国が国内法に置き換えなくても、そのまま各国で効力を持ちます。 制裁金の枠組みも規則の中にあり、各国の監督機関がそれに基づいて科します。
混同しやすいものとの違い
| 説明 | どこが違うか | 正誤 |
|---|---|---|
| 2段階、重い区分は2,000万ユーロか全世界売上高4%の高い方 | 第83条の定め | 正しい |
| 一律でEU域内売上高の4% | 区分と売上高の範囲 | 誤り |
| 加盟国の国内法で決まる | 規則と指令の取り違え | 誤り |
| 2,000万ユーロか4%の低い方 | 「高い方」が正しい | 誤り |
試験では、数字は合っていて「高い方／低い方」や「全世界／EU域内」だけを入れ替えた選択肢が置かれます。 4%と2,000万ユーロに加えて、この2つの言葉まで一緒に覚えましょう。