問題 No.3416
EU一般データ保護規則（GDPR）に関する記述として不適切なものはどれか。
【正解の解説】
個人データの処理に関する同意は、一度与えられた場合、データ主体はいかなる理由があっても撤回することができない。
GDPRでは一度した同意もいつでも自由に取り消せる「撤回権」が認められています。これは紙の契約書にハンコを押したら二度と破り捨てられないようなものではなく、自分のプライバシーに関する主導権を常に自分が握り続けられる仕組みであり、いつでも「やっぱりやめた」と言えるのが大原則です。
スポンサーリンク
【その他の選択肢の解説】
EU域内に拠点を持たない企業であっても、EU域内の個人に対して商品やサービスを提供する場合、本規則の適用対象となる。
日本にある企業であっても、ネットショップ等でEUに住む人に商品を販売していればGDPRのルールを守る義務が生じます。社内にヨーロッパの支店や担当者がいなくても、インターネットを通じてEU圏の顧客データを扱う時点で対象になるという、地理的境界を超えた適用範囲の広さが大きなポイントです。
個人データの侵害が発生した場合、監督機関に対して原則として72時間以内に通知を行わなければならない。
ハッキングなどで顧客情報が漏洩した際、企業はのんびり対応してはならず、発覚後からわずか72時間という厳しいタイムリミット以内に国の機関へ報告しなければなりません。これは火事が発生した際にすぐ消防署へ通報するようなものであり、被害の拡大を防ぐために迅速な情報共有が厳しく求められています。
データ主体は、自らに関する個人データの提供を受けた場合、管理者の同意を得ることで別事業者への移転を請求できる。
「データポータビリティ権」と呼ばれる権利で、スマホの機種変更時に電話帳データを新しい端末へ簡単に引き継ぐように、自分が預けた個人データを別の会社へ移行することを事業者の同意なしに請求できます。ユーザーがサービスを乗り換えやすくするための消費者に有利な強力な仕組みです。