GDPR における「個人データ」の定義に含まれない可能性が最も高いのは次のうちどれですか?

シナリオ
次の質問に答えるには、以下を使用してください。
Joe は、DNA 分析を提供するカナダの企業 Who-RU の新しいプライバシー マネージャーです。同社はモントリオールに本社を置き、従業員全員がモントリオールに居住しています。同社はカナダ人のみにサービスを提供しています。Web サイトは英語とフランス語で、カナダの通貨のみを受け入れ、カナダ国外からのインターネット トラフィックをブロックします (ただし、このソリューションはカナダ以外のすべてのトラフィックを阻止するわけではありません)。また、カナダ国外への DNA 報告書の送付を求める注文の処理も拒否し、カナダ国外の返送先住所が記載された注文は返品します。
Who-RU の社長であるボブ氏は、EU ではこの製品に対する関心が高く、同社は顧客ベースを拡大するためのさまざまな計画を検討していると考えています。
最初の計画は総称して We-Track-U と呼ばれ、アプリを使用して現在のカナダの顧客ベースに関する情報を収集します。この拡張により、カナダの顧客は海外旅行中にアプリを使用できるようになります。彼は、会社がこのアプリを使用して位置情報を収集することを提案しました。この計画が有望であれば、ボブはプッシュ通知とテキスト メッセージを使用して、既存の顧客に EU バージョンのサービスへの事前登録を促すことを提案します。ボブはこの作業計画を We-Text-U と呼びます。同社は十分な事前登録を集めたら、EU 固有のコンテンツとサービスを開発する予定です。
もう 1 つのプランは Customer for Life と呼ばれます。その考えは、同社のアプリを通じて、DNA情報の保存や他のアプリケーションや医療提供者との共有などの追加サービスを提供することだ。同社の契約には、顧客のDNAを無期限に保持し、それを利用して新しいサービスを提供し、顧客にマーケティングできると書かれている。また、顧客はダイレクトマーケティングの同意を撤回しないことに同意するとも述べている。マーケティングディレクターのポールは、会社がこれらの条項を最大限に活用すべきであり、契約が無効であるという理由で顧客が同意を撤回しようとする試みを回避できると提案しています。
最終的な計画は、EU 内でブランドの存在感を高めることです。同社はすでにこのプロセスを開始しています。同社はドイツにある建物の命名権を購入する手続きを進めており、この建物には Who-RU 幹部が海外旅行中に使用できるいくつかのオフィスが付属することになる。オフィスにはテクノロジーやインフラストラクチャは含まれていません。むしろ、机と椅子がいくつかあるだけの部屋です。
命名権契約に関する最近の旅行中、ボブのラップトップが盗まれました。このラップトップには、5,000 人の Who-RU 顧客に関する暗号化されていない DNA レポートが保存されており、その全員がカナダ在住です。レポートには、顧客の名前、生年月日、民族、人種的背景、親族の名前、性別、および場合によっては健康情報が含まれます。
Who-RU がアプリを使用して位置を追跡することにした場合、GDPR に準拠するために何をする必要がありますか?

国境を越えたデータ転送を合法化するために最も頻繁に使用されるメカニズムは何ですか?

企業が国際データ転送を契約ルートに基づいて行うことを選択した場合、標準契約条項の有効なセットではないものは次のうちどれですか?

GDPR 準拠の証拠を提供するために、企業は内部監査を実行します。その結果、クライアントのすべてのソーシャル ネットワークのフォロワーがリストされた、パスワードで保護されたデータベースが見つかりました。
コントローラーとプロセッサーの関係の領域に関して、この状況はどのように考慮されますか?