システム監査技術者試験 令和3年度 秋期 午前II 問13

【正解】ア

データポータビリティの権利とは、本人が事業者に提供した自己に関する個人データを、構造化され、一般的に利用され、機械で読み取れる形式で受け取る権利です。条件を満たす場合には、そのデータを別の事業者へ移行したり、技術的に可能であれば事業者間で直接移転させたりすることも求められます。特定のサービスにデータが囲い込まれることを防ぎ、利用者がサービスを選択しやすくする権利なので、アが正解です。

イの説明は誤りです。これはGDPR第17条の消去の権利、いわゆる忘れられる権利に当たります。保存の必要がなくなった場合などに、一定の条件の下で個人データの消去を求める権利です。

ウの説明は誤りです。これはGDPR第22条の、自動化された意思決定のみに服さない権利です。プロファイリングなどによる自動処理だけで、本人に法的効果又は重大な影響を生じさせる決定が行われることを制限します。

エの説明は誤りです。これはGDPR第21条の異議を述べる権利です。特にダイレクトマーケティングについて異議が述べられた場合、事業者はその目的での個人データの取扱いを継続できません。

【ポイント】 ポータビリティは「持ち運ぶ」、消去は「消してもらう」と整理します。 自動化された意思決定への制限や、マーケティングへの異議も別個の権利です。 「一般的に利用され、機械可読性のある形式」がポータビリティを見分ける語句です。