GDPRの適用範囲と規律

日本国内にのみ拠点をもつEC事業者のH社は、EU域内の消費者向けに商品を販売する通販サイトを開設し、注文時に後払いを認めるかどうかをAIで自動的に判定する仕組みを導入しようとしている。EUの一般データ保護規則（GDPR）に関する説明として、最も適切なものを1つ選べ。

正解と解説を見る

解説

正解A

ポイント

GDPRは、EU域内に拠点がない事業者にも域外適用されることがあります。EU域内の消費者に商品を販売する日本企業も対象になりえます。

選択肢ごとの解説

A

適切 ◯ 正解

GDPRには域外適用の規定があります（3条2項）。EU域内に拠点がない事業者でも、EU域内の個人への商品・サービスの提供や、域内での行動の監視に関連する取扱いには適用されます。
B

不適切

日本は2019年1月にEUから十分性認定を受けました。この認定にもとづく移転であれば、標準契約条項の締結は必須ではありません。移転を受けた日本の事業者は、補完的ルールに従う必要があります。
C

不適切

重大な違反の制裁金の上限は、2,000万ユーロか、企業の場合は前会計年度の全世界年間売上高の4%のいずれか高い方です（83条5項）。売上高の大きい企業ほど上限が高くなります。
D

不適切

GDPR22条は、法的効果や同様の重大な影響をもたらす決定について、プロファイリングを含む自動化された処理のみにもとづく決定の対象とされない権利を定めています。例外的に認められる場合も、人の介入を求める権利などの保護措置が必要です。

試験での狙われ方

域外適用、十分性認定、制裁金の水準、自動化された意思決定に関する権利が、選択肢の論点として並びやすいテーマです。

関連用語

GDPR、十分性認定

参考

G検定試験出題範囲（シラバス2024）第1.4版（法律・倫理分野項目1 個人情報保護法） 2026年10月30日閲覧
一般データ保護規則（GDPR）の条文（個人情報保護委員会による仮日本語訳）（3条2項、22条1項・3項、83条5項） 2026年10月30日閲覧
個人情報保護委員会「EU（外国制度）」 2026年10月30日閲覧

オリジナル問題（過去問ではありません） AIで作成人による確認：未誤りを報告

出典と作成について

作成：ウカトレ編集部（AIで作成し、別のAIが一次資料と照合。手順は編集方針）

公開日：2026年10月30日最終更新日：2026年10月30日最終確認日：2026年10月30日

2026年10月30日時点の法令・ガイドライン等にもとづく内容です。

シラバス第1.4版法律・倫理1「個人情報保護法」の問題です。