G検定（ジェネラリスト検定） AIに関する法律と契約 練習問題 第9問: 日本の事業者がAIを使ったサービスを海外にも提供する場合に関係する、EUの一般データ保護規則（GDPR）の適用範囲の説明として、最も適切なものはどれか。

正解: 3. EU域外に拠点を置く事業者でも、EU域内の個人に商品やサービスを提供する場合や、EU域内の個人の行動を監視する場合には適用され得る

肢3が正解です。欧州委員会の解説ページ（Data protection explained）は、GDPRがEU域内に拠点を持つ管理者・処理者に加え、EU域外に拠点を持つ者でも、EU域内の個人に有償・無償を問わず商品やサービスを提供する場合や、EU域内の個人の行動を監視する場合に適用されると説明しています。個人情報保護委員会も、GDPRはEU域内の事業者だけでなくEU域外の事業者にも適用されると案内しています。肢1は、提供が無料でも適用され得ます。肢2は、GDPRは技術的に中立で、一定の基準で整理された手作業の処理にも適用されます。肢4は、仮名化や暗号化をしても再識別に使えるデータは個人データのままとされています。EUに拠点がないから関係ない、という思い込みに注意しましょう。

関連キーワード: GDPR・域外適用・個人データ・EU