令和3年度秋期 システム監査技術者 午前Ⅱ 問13

本人の権利を整理する視点

本人に認められる権利を考えるときは、制度が守ろうとしている利益と、本人が関与できる場面との対応に注目し、個別の表現だけで判断せず、設問全体の関係を丁寧に整理します。

この問題で問われていること

一つの権利の名称を覚えるよりも、本人が自分のデータについてどの局面で関与できる仕組みなのかという観点に絞り、問題文の条件や説明の範囲と慎重に照らし合わせてください。

視点

個人データ保護の権利は、用語の印象だけでなく、本人の関与が想定される局面、保護される利益、制度上の位置付けを結び付けて読むと整理しやすくなります。

確認ポイント

• 問題文が示す本人の関与の場面を、抽象的な目的と区別して捉える
• 権利の説明に含まれる条件や対象が、どの利益に結び付くかを確認する
• 似た表現を単独で決めず、問題文全体の関係性と整合するかを見直す

正解

ア

解説

GDPR第20条のデータポータビリティは、本人が事業者に提供した自己に関係する個人データを、一般的に利用され機械可読性のある形式で受け取る権利です。

理由

データポータビリティは、本人が自分に関係する個人データを事業者から受け取り、別のサービスなどでも利用しやすくするための権利です。したがって、一般的に利用され、機械可読性のある形式で受け取るという説明が該当する。

比較

他の選択肢は、個人データの消去を求める権利、自動化された決定に服しない権利、ダイレクトマーケティングへの異議を通じて利用を止める権利を説明している。いずれもデータポータビリティとは目的が異なる。

選択肢ア（正解）

これは正解だよ。事業者に提供した自己と関係する個人データを、一般的に利用され、機械可読性のある形式で本人が受け取るという内容は、データを別のサービスなどでも扱いやすくするデータポータビリティの権利を正しく説明している。

選択肢イ

これは不正解だよ。不当に遅滞することなく、自己と関係する個人データを消去させる内容は、保有されたデータの削除を求める権利に関する説明である。データを機械可読形式で受け取るデータポータビリティとは、求める対応が異なる。

選択肢ウ

これは不正解だよ。プロファイリングなどの自動化された取扱いだけに基づく、法的効果をもたらす決定に服しない内容は、自動化された意思決定に関する権利の説明である。データの受取りを求める権利ではない。

選択肢エ

これは不正解だよ。ダイレクトマーケティングを目的とする個人データの取扱いに異議を唱え、その目的で扱わせない内容は、特定目的の利用停止を求める権利の説明である。機械可読形式でデータを受け取る権利とは異なる。

学習のポイント

個人データに関する権利を、データの受領・消去・自動決定・利用停止に分類して整理する。