ITパスポート 令和5年度公開問題科目A問18

GDPR（EU一般データ保護規則）は、EU（欧州連合）が2018年に施行した個人データ保護の包括的な法規制です。
特徴は「場所ではなく処理の対象」を基準に適用範囲を決める点にあり、事業者の拠点がEU域外であっても、EU居住者の個人データを取り扱う場合は原則として適用されるという越境的効力を持ちます。
そのため、適用の可否は「事業者の所在地」だけでなく、①誰のデータか、②どこに向けて商品・サービスを提供しているか、③どこでデータが処理されているかの3点で判断されます。

a：EU域内に拠点があり、EU居住者にデータやサービスを提供している事業者は典型的にGDPRの適用対象となります。
b：EU域内に拠点がある事業者は、提供先がEU域外であっても自らの処理活動にはGDPRが及びます。
c：EU域外の事業者であっても、EU居住者向けにのみデータやサービスを提供している場合は通常GDPRの対象になりません。
d：EU域外の事業者であっても、EU居住者向けにデータやサービスを提供している場合はGDPRが適用され得ます。