多国籍企業では、必須のデータ保護責任者を任命しています。GDPR の第 37 条 (1) に規定されている規則を考慮することに加えて、企業が事業を展開するすべての EU 管轄区域でのコンプライアンスを確保するために実行する必要があるアクションは次のうちどれですか?

GDPR は、ノートブックやハードコピー ファイルに含まれる情報など、物理的な形式で存在する個人データにどのような状況で適用されますか?

欧州データ保護法では、法執行目的での通信トラフィック データの保持についてどのように対処されていますか?

シナリオ
次の質問に答えるには、以下を使用してください。
Bedrock Insurance の長年の顧客であるルイスは、数か月前に軽い自動車事故に巻き込まれました。誰も怪我をしなかったが、ルイさんは人身傷害に対する賠償金の回収を申し出るAccidentableという会社からのメールや電話に悩まされている。ルイスは、保険会社が顧客のデータを第三者に販売していることを聞いており、Accidentable が自分の情報を Bedrock Insurance から入手したに違いないと確信しています。
ルイはまた、ベッドロックからのマーケティング情報の量も増加しており、保険契約の全種類を彼に売り込もうとしています。
このことに動揺したルイさんは、インターネットの価格比較サイトを調べ始めました。長年忠実な顧客であったにもかかわらず、他の保険会社がベッドロックよりもはるかに安い料金を提供していることに気づきショックを受けました。Bedrock 保険の更新時期が来たとき、彼は Zantrum Insurance に切り替えることにしました。
新しい保険契約を有効にするために、ルイはザントラムにノークレーム ボーナス、車両、運転履歴に関する情報を提供する必要があります。GDPR に基づく自分の権利を調査した後、彼は Bedrock に自分の情報を Zantrum に直接転送するよう依頼する手紙を書きました。彼はまた、この機会を利用して、マーケティング目的での個人データの使用をやめるようベッドロックに要請しました。
Bedrock は、ルイに彼の無請求証明書の PDF および XML (Extensible Markup Language) バージョンを提供しますが、技術的に実行不可能であるため、彼のデータを Zantrum に直接転送することはできないとルイに伝えます。ベッドロック氏はまた、ルイ氏の契約には、ルイ氏が自身のデータをマーケティング目的に使用できることに同意するという条項が含まれていたと説明している。ベッドロックによれば、ルイがこの件について考えを変えるには遅すぎるという。ルイは、法律用語が満載で非常にわかりにくい契約書の文言を思い出して激怒します。
その間、ルイは依然として事故保険から迷惑な電話を受け続けています。彼は Accidentable に手紙を書き、自分の詳細情報を提供した組織の名前を尋ねました。彼は、会社が彼のデータを不法に使用していると考えているため、データ保護当局に苦情を申し立てるつもりだとAccidentableに警告しました。彼の手紙には、自分のデータが彼らにいかなる形でも使用されることを望まないと書かれています。
アクシデンタブル社の返答書簡はルイの疑惑を裏付けるものだった。Accidentable は Bedrock Insurance の完全子会社であり、ルイが事故保険金を提出した直後に、同社はルイの事故に関する情報を Bedrock から受け取りました。Accidentable は、Louis の契約には、ビジネス目的で自分の情報を Bedrock の関連会社と共有することに同意するという条項が含まれていたため、GDPR に違反していないと Louis に保証します。
ルイは、ベッドロックによる自分への扱いにうんざりし、自分の情報をすべてコンピューター システムから消去するよう彼らに手紙を書きました。
ダイレクト マーケティング目的での個人データの使用に関する GDPR の立場に基づいて、データ主体としてのルイの権利について正しいのは次のうちどれですか?

シナリオ
次の質問に答えるには、以下を使用してください。
ジョーは 2000 年に米国バーモント州の自宅から Gummy Bear Company を設立しました。
現在、同社はあらゆる大陸で事業を展開する数十億ドル規模のキャンディー会社です。同社の IT サーバーはすべてバーモント州にあります。今年、ジョーは息子のベンを会社に入社させ、わずか 5 年で総収益を 3 倍にする主要なマーケティング戦略であるプロジェクト ビッグを指揮してもらいます。ベンは一流大学をコンピュータ ソフトウェアの博士号を取得して卒業しました。ベンは父親の会社に入社することを決めましたが、ベン・ノウズ・ベストという新しい世界的なオンライン出会い系サイト会社の立ち上げにも密かに取り組んでいます。
ベンは、Gummy Bear Company に何百万もの顧客がいることを認識しており、その多くが自分にぴったりの相手を見つけることに興味を持っているのではないかと考えています。Project Big のために、Ben は会社のオンライン Web ポータルを再設計し、欧州連合およびその他の地域の顧客に対し、顧客であり続けるために追加の個人情報の提供を要求します。プロジェクト ベンは、顧客の哲学的信念、政治的意見、婚姻状況に関するデータの収集を開始します。
顧客が独身であると判明した場合、ベンはその顧客の個人データをすべて Ben Knows Best の別のデータベースにコピーします。ベンは、情報を受け入れる前にボックスにチェックを入れるよう各顧客に明示的に求めているため、自分は何も悪いことをしていないと信じています。Project Big は重要なプロジェクトであるため、会社はベンを助けるためにコンピューター サイエンスを勉強している大学 1 年生のサムも雇用します。
ベンが声をかけると、サムはベン・ノウズ・ベストのデータベースを発見する。サムは 10 人の友人とともにスプリング ビークを越えてアイルランドに行く予定です。そこで、サムと彼の友人がアイルランドにいるときに連絡できるように、アイルランドに居住する人々の顧客情報をすべてコピーします。
ジョーはまた、米国のロースクールを卒業したばかりの親友の娘アリスを会社の新しい法務顧問として雇います。アリスは GDPR について聞いたことがあるので、それについて調査します。アリスはジョーに近づき、社内の全員が従うべき拘束力のある企業規則を起草したことを伝えます。会社にとって、データを欧州連合での事業から欧州連合へ社内でデータを転送するための法的メカニズムを整備することが重要であるためです。私たち
ジョーは、アリスが素晴らしい仕事をしていると信じており、米国の連邦裁判所で会社に対して起こされた大規模な訴訟の処理も担当することを彼女に伝えます。訴訟の準備をするために、アリスは会社の IT 部門に指示を出します。彼女が全員の情報を確認できるように、欧州連合を含む世界の営業チーム全体からコンピューターのハードドライブのコピーを作成し、すべてを彼女に送信するよう部門に依頼しました。アリスは、ジョーが第 1 レベルの審査を行ったことに満足するだろうと信じています。そうすれば、会社は外部の法律事務所に支払うはずだった多額の費用を節約できるからです。
サムの行動の結果、Gummy Bear Company は GDPR の第 33 条および第 34 条に違反する可能性があり、何をする必要がありますか?