日本国内にのみ拠点をもつEC事業者のH社は、EU域内の消費者向けに商品を販売する通販サイトを開設し、注文時に後払いを認めるかどうかをAIで自動的に判定する仕組みを導入しようとしている。EUの一般データ保護規則（GDPR）に関する説明として、最も適切なものを1つ選べ。
正解と解説を見る
解説
正解 A
この問題の論点：GDPRの適用範囲と規律
ポイント
GDPRは、EU域内に拠点がない事業者にも域外適用されることがあります。EU域内の消費者に商品を販売する日本企業も対象になりえます。
選択肢ごとの解説
- A
適切 正解
GDPRには域外適用の規定があります（3条2項）。EU域内に拠点がない事業者でも、EU域内の個人への商品・サービスの提供や、域内での行動の監視に関連する取扱いには適用されます。
- B
不適切
日本は2019年1月にEUから十分性認定を受けました。この認定にもとづく移転であれば、標準契約条項の締結は必須ではありません。移転を受けた日本の事業者は、補完的ルールに従う必要があります。
- C
不適切
重大な違反の制裁金の上限は、2,000万ユーロか、企業の場合は前会計年度の全世界年間売上高の4%のいずれか高い方です（83条5項）。売上高の大きい企業ほど上限が高くなります。
- D
不適切
GDPR22条は、法的効果や同様の重大な影響をもたらす決定について、プロファイリングを含む自動化された処理のみにもとづく決定の対象とされない権利を定めています。例外的に認められる場合も、人の介入を求める権利などの保護措置が必要です。
試験での狙われ方
域外適用、十分性認定、制裁金の水準、自動化された意思決定に関する権利が、選択肢の論点として並びやすいテーマです。
参考
- G検定 試験出題範囲（シラバス2024）第1.4版 （法律・倫理分野 項目1 個人情報保護法）
- 一般データ保護規則（GDPR）の条文（個人情報保護委員会による仮日本語訳） （3条2項、22条1項・3項、83条5項）
- 個人情報保護委員会「EU（外国制度）」