令和2年度 III-25

解説

この問題で問われていること

GDPRの適用範囲、域外移転の規則、データポータビリティ権、日本法との関係を確認する問題。

解き方

① GDPR: EU域外の事業者にも適用される、EU域外への個人データの移転を規定している(十分性認定などが条件)、データポータビリティ権もGDPRの権利
② ①は域外移転の規定があるという正しい記述。②域外にも適用、③日本は十分性認定を受けている、④GDPRに基づく、⑤日本の法律にも外国への提供の規定がある
③ ①

正解が正しい理由

GDPRは、EU域内の個人データを、EU域外の第三国に移転することについても規定しており、原則として、十分なレベルの保護がある(十分性認定を受けた)国か、適切な保護措置(標準契約条項など)がある場合に限って移転を認める。したがって①が最も適切である。

各選択肢について

• ① EU域内の個人データのEU域外への移転について規定しており、適切。これが正答。
• ② GDPRは、EU域内の事業者だけでなく、EU域内の個人に対して、商品・サービスを提供する域外の事業者にも適用される(域外適用)。
• ③ 欧州委員会は2019年1月、日本を十分性認定国として決定した。「含まれていない」は誤り(個人情報保護委員会の資料で、十分性認定の通知日が平成31年1月23日であることを確認)。
• ④ データポータビリティの権利は、GDPRで新たに規定された権利で、これに関するガイドラインは、GDPRに基づいて策定されたものである。
• ⑤ 日本の個人情報保護法にも、外国にある第三者への個人データの提供について、原則として本人の同意を要する規定(第24条)があり、規定がないという記述は誤り(個人情報保護委員会の資料で、EU指定が個人情報保護法第24条に基づくことを確認)。

覚えるべきポイント

GDPRは、EU域外の事業者にも適用され、個人データのEU域外への移転は、十分性認定や標準契約条項などの条件を満たす場合に限られる。データポータビリティ権も、GDPRで規定された権利。