解説

GDPRは、EUの個人データ保護に関する法規制で、その適用範囲は「EU域内の個人データの保護」に焦点を当てています。GDPRの適用対象は、(1)EU域内で事業を行う組織、(2)EU域内の個人に対してサービスを提供する組織、のいずれかに該当する場合です。つまり、EU域内の個人データに関わる事業活動を行っているかどうかが重要なポイントとなります。選択肢Cは「EU域内に拠点がなく、かつEU域外のみでサービスを提供している」ケースを示しており、EU域内の個人データを一切扱わないため、GDPRの適用対象外となります。

なぜ他の選択肢は違うのか

選択肢 ア

この記述は正しいため、不適切な記述とは言えません。EU域内に拠点があり、EU域内にサービスを提供する場合は、まさにGDPRの中心的な適用対象となります。

選択肢 イ

この記述は誤りです。EU域内に拠点がある事業者は、たとえサービス提供先がEU域外であっても、その事業活動にGDPRが適用されます。

選択肢 エ

この記述は誤りです。EU域内に拠点がなくても、EU域内の個人に対してサービスを提供する場合は、GDPRの適用対象となります（域外適用）。

解くときのポイント

GDPRの適用範囲を判断する際は、「EU域内の個人データが関係しているか」という点に着目しましょう。EU域内の拠点の有無だけでなく、サービスの提供先がEU域内か域外かという点も重要な判断基準となります。