ITパスポート 令和5年度 問18

✓ これが正解ウ a，c

解説

域内拠点のaと、域外だけに提供するcが正しい記述です。

GDPRと呼ばれる一般データ保護規則は、EU域内にいる人の個人データを守るための決まりです。日本の個人情報保護法と同じく、守られるのはデータを持つ人の側です。適用の目印は二つあり、どちらか一方に当たれば対象になります。一つ目は拠点の基準で、事業者がEU域内に拠点を置いているかどうかを見ます。二つ目は提供先の基準で、域内の人に向けて商品やサービスを差し出しているかどうかを見ます。aは域内の拠点が域内へ提供する形なので、二つとも当たって対象になります。bは一つ目に当たるため、提供先が域外でも対象になり、対象とならないという書き方が誤りです。cはどちらにも当たらないので、対象から外れます。dは二つ目に当たるため対象になり、こちらも書き方が誤りです。よって適切なのはaとcです。

ほかの選択肢の解説

• ア a：aだけを挙げていますが、cも正しい記述です。拠点も提供先もEU域外にとどまる場合は、域内の人のデータを扱っていないため対象から外れます。cを落とすと、適切な記述を数え落とすことになります。
• イ a，b，c：bを含めている点が誤りです。域内に拠点がある事業者は、提供先が域外であっても対象になります。拠点が域内にあること自体が適用の入口の一つなので、提供先が域外だという理由だけで外れると読むことはできません。
• エ a，c，d：dを含めている点が誤りです。域内に拠点がなくても、EU域内に向けてデータやサービスを提供していれば対象になります。むしろこの点こそが、この規則が域外の事業者にも及ぶといわれる理由になっています。