GDPRでは、個人データが収集される際に、データ主体自身または他の情報源から特定の情報を提供することが義務付けられています12。この情報には、管理者（および該当する場合は管理者の代理人およびデータ保護責任者）の身元情報および連絡先、個人データの処理目的、および処理の法的根拠が含まれます34。この情報は、個人データの公正かつ透明な処理を確保し、データ主体がGDPRに基づく権利を行使できるようにするために必要です5。
したがって、選択肢Cは、個人データの収集前にデータ主体に提供しなければならない必須情報のうち2つを含んでいるため、正解です。選択肢A、B、Dは、必要な情報がすべて含まれていないか、必須ではない情報が含まれているため、不正解です。参考文献：1：記事
GDPR第13条 2: GDPR第14条 3: GDPR第13条(1)(a)項および 4: GDPR第14条(1)(a)項および 5: GDPR第60条

GDPRによれば、データ主体によるアクセス権は、データ管理者による個人データの処理に関する情報を取得するために個人に付与される権利の一つです1。データ管理者は、処理中の個人データのコピーに加え、処理の目的、カテゴリー、受信者、保存期間、権利、情報源、処理の自動化された意思決定などの追加情報を提供しなければなりません1。また、データ管理者は、データ主体に対し、アクセス権の存在とその行使手段について通知しなければなりません2。
GDPRは、データ主体からのアクセス要求への回答期限も規定しています。データ管理者は、要求の受領後1ヶ月以内に、遅滞なく情報を提供しなければなりません1。この期間は、要求の複雑さや件数を考慮し、必要に応じてさらに2ヶ月延長することができますが、データ管理者は、要求の受領後1ヶ月以内に、データ主体に対し、そのような延長について、遅延の理由とともに通知しなければなりません1。また、データ管理者は、情報提供前にデータ主体の身元を確認する必要がありますが、この確認によって要求への回答期限が延長されることはありません3。
このシナリオでは、マイクはEU在住者で、XYZ旅行代理店を通じて旅行プランを予約し、ABCホテルチェーンの施設に宿泊しました。両社は米国に拠点を置く多国籍企業であり、顧客データの収集と共有に共通のプラットフォームを使用しています。マイクはXYZ旅行代理店のリワードプログラム会員契約に署名しました。マイクは同社が保有する個人情報について知りたいと考え、データへのアクセスを要求するメールを送信しました。
両社がEU域内の個人に商品やサービスを提供しているため、あるいはEU域内の個人の行動を監視しているためにGDPRの対象となると仮定すると、両社はデータ主体のアクセス権を遵守し、マイク氏に要求された情報を提供しなければなりません。マイク氏が要求への回答を受け取るべき期間は、期間を2か月延長する根拠がない限り、要求受領後1か月以内です。両社は情報提供前にマイク氏の本人確認を行う必要がありますが、この確認は要求への回答期限に影響を与えてはなりません。
したがって、正解は A です。マイクのリクエストを受け取ってから 1 か月以内です。

GDPR第5条第2項に規定されている説明責任の原則は、データ管理者に対し、GDPRの遵守に責任を負い、その遵守を実証できることを求めています1。これは、データ管理者が個人データをGDPRに従って処理していることを保証し、実証するために、適切な技術的および組織的措置を実施しなければならないことを意味します2。説明責任の原則への遵守を実証できる措置の一つは、データ保護プログラムの定期的な監査の実施です。監査とは、組織のデータ処理活動、データ保護ポリシーおよび手順を体系的かつ独立的に評価することです3。監査は、データ保護プログラムにおけるギャップやリスクを特定し、対処するとともに、データ保護措置の有効性と効率性を検証するのに役立ちます3。また、監査は監督当局とデータ主体に遵守の証拠を提供し、組織の信頼と評判を高めることにもつながります3。したがって、データ保護プログラムの定期的な監査の実施は、説明責任の原則への遵守を実証する方法の一つです。参考文献：1：CIPP/E学習ガイド、15ページ、GDPR第5条、説明責任の原則 | ICO2: CIPP/E 学習ガイド、16 ページ; GDPR 第 24 条; [説明責任とガバナンスのガイド | ICO]3: CIPP/E 学習ガイド、91 ページ; [監査 | ICO]; [GDPR 監査: 知っておくべきこと - IT ガバナンス ブログ]。

GDPR によれば、処理が EU 内で行われるか否かに関わらず、EU 内に管理者または処理者の拠点がある活動に関連して行われる個人データの処理に、この規則が適用されます1。GDPR は、EU 内に拠点がない管理者または処理者による、EU 内にいるデータ主体の個人データの処理にも適用され、処理活動は次に関連します。(a) データ主体の支払いが必要かどうかに関わらず、EU 内のそのようなデータ主体に商品またはサービスを提供すること、または (b) EU 内で行われる限り、その行動を監視すること1。
このシナリオでは、米国企業のウェブサイトがEUの顧客にウィジェットを販売し、顧客の行動を監視するためにCookieを配置しています。これらの要素は、企業がEU域内の商品またはサービスを提供し、データ主体の行動を監視していることを示しているため、GDPRの対象となります2。しかし、ウェブサイトが英語とフランス語で提供され、フランスからアクセス可能であるという事実自体は、必ずしもEU域内の顧客をターゲットとする意図を示唆するものではないため、GDPRの対象にはなりません3。ウェブサイトの言語とアクセシビリティは、EU域内における企業の活動の安定性と継続性について、関連性と妥当性を十分に証明するには不十分です3。したがって、正解はBです。
参照：
GDPR第3条 - 適用範囲
GDPRの適用範囲に関するガイドライン3/2018（第3条）
GDPR における地域範囲とはどういう意味ですか?
GDPRとその適用範囲についてご理解を深めていただければ幸いです。他にご質問がございましたら、お気軽にお問い合わせください。