AIによる自動化された意思決定との関係で、EUの一般データ保護規則（GDPR）に関する記述として、最も適切なものはどれか。
- 1データ主体は、プロファイリングを含む自動化された処理のみに基づく決定であって、本人に法的効果またはそれと同様の重大な影響を及ぼすものの対象とされない権利を有する。
- 2GDPRはEU域内に拠点を持つ事業者にのみ適用され、EU域外の事業者がEU域内の個人に商品やサービスを提供する場合には適用されない。
- 3プロファイリングは、本人の明示的な同意がある場合を含め、あらゆる場合に全面的に禁止されている。
- 4自動化された処理のみに基づく決定について、データ主体が人間の介入を求める権利は認められていない。
正解と解説を見る
正解：1
GDPR第22条は、プロファイリングを含む専ら自動化された処理による決定のうち、法的効果やそれと同様の重大な影響をもたらすものについて、その対象とされない権利をデータ主体に認めています。契約の締結・履行に必要な場合や明示的な同意がある場合などは例外として認められます。ただしその場合も、人間の介入を得る権利や、意見を述べて決定に異議を申し立てる権利などの保護措置が必要です。また、GDPRには、EU域内の個人に商品やサービスを提供するEU域外の事業者にも適用される域外適用の規定があります。「完全に自動化された重要な決定には、人間の関与を求める権利がある」と覚えておきましょう。
根拠：GDPR第22条（プロファイリングを含む自動化された個人に関する意思決定）、第3条第2項（域外適用）