シナリオ
次の質問に答えるには、以下を使用してください。
ブレイディ氏はニュージーランドを拠点とするコンピュータプログラマーで、2年間にわたり自身のビジネスを経営しています。ブレイディ氏のビジネスは、欧州経済領域（EEA）全域の顧客に低価格のサービススイートを提供しています。これらのサービスは、新規および意欲的な中小企業経営者をターゲットにしています。ブレイディ氏の会社「Brady Box」は、ウェブページのデザインサービス、ソーシャルネットワーキングサービス（SNS）、そしてオンラインストアの運営を支援するコンサルティングサービスを提供しています。
残念ながら、ブレイディ氏は苦情を受けています。アンナという名の顧客が最近、新製品の企画書をブレイディボックスのチャットエリア（公開されている）にアップロードしました。2週間後に間違いに気づき、その文書を削除したものの、アンナ氏はウェブサイトを定期的に監視していたにもかかわらず、この誤りに気付かなかったとしてブレイディボックスの責任を問うています。ブレイディ氏は、自分が責任を負うべきではないと考えています。
もう一人の顧客、フェリペは、自分の個人情報がHermes Designsというサードパーティの請負業者に転送されたことを知って驚き、自分のビジネス計画に関する機密情報が悪用されるのではないかと心配しています。ブレイディは、欧州のプライバシー規則に違反したとは思っていません。彼は、要求されたサービスの履行において個人データが特定のサードパーティに転送される可能性があることを明示的に記載したプライバシー通知をすべての顧客に提供しています。フェリペはプライバシー通知を読んだが、長くて複雑だったと言います。ブレイディは、Hermes Designsの誠実さを個人的に保証できるため、フェリペが心配する必要はないと主張し続けています。実際、Hermes Designsは、フェリペのような顧客のために、カスタマイズされたバナー広告のサンプルを作成することを率先して行っています。ブレイディは、現在Hermes DesignsのWebページに掲載されているサンプルバナー広告へのリンクを喜んで提供します。Hermes Designsは、これらの顧客へのダイレクトマーケティングをフォローアップする予定です。
ブレイディ氏は、別の顧客であるセルジュ氏から、自身の発言がブレイディボックスのホームページ上のグラフィックコラージュに使用されていることに憤慨していると伝えられ、驚きました。この発言はセルジュ氏の名前で表記されています。しかし、ブレイディ氏は訴訟を懸念していませんでした。セルジュ氏に返信し、この発言はブレイディボックスのソーシャルネットワーキングサービス（SNS）で見つけたと伝えました。セルジュ氏自身がこの発言を投稿したからです。返信の中で、ブレイディ氏は礼儀として発言を削除することを申し出ました。
顧客からの苦情はあるものの、ブレイディ氏のビジネスは好調だ。彼は、明確な役割分担を定めたサードパーティの広告ネットワークを通じたオンライン行動ターゲティング広告（OBA）で収入を補っている。
ブレイディ氏は、一部の顧客が OBA を明確に認識していないにもかかわらず、広告に有用な製品やサービスが含まれていることを喜んでいます。
欧州のプライバシー慣行の現在の傾向に基づくと、Brady Box が欧州に進出した場合、同社のオンライン行動ターゲティング広告 (OBA) のどの側面が不十分になる可能性が高いでしょうか。

シナリオ
次の質問に答えるには、以下を使用してください。
ジャックは、多国籍製薬会社のアイルランド支社で、COVID-19関連の臨床試験に携わる医薬品安全性運用スペシャリストとして勤務していました。入社手続きの一環として、ジャックはプライバシーに関する研修を受けました。業務上、患者の機密データを処理する必要はあるものの、いかなる状況においても、業務関連の（職務遂行上の）業務遂行以外の目的でこのデータを使用することは認められないことが明確に通知されました。これは、研修終了後にジャックが署名したプライバシーポリシーにも明記されていました。
入社数ヶ月後、ジャックは電話で患者と口論になりました。怒りのあまり、彼は後に患者の氏名と心臓情報、そして中傷的なコメントをソーシャルメディアに投稿しました。これが医薬品安全性監視部門の上司に発覚し、ジャックは直ちに解雇されました。ジャックの弁護士は会社に書簡を送り、解雇は不当な制裁であり、14日以内に復職しない場合は会社に対して法的措置を取らざるを得ないと述べました。この書簡には、ジャックからのデータアクセス要求が添付されており、「ジャックが送受信した社内メール、または内容から直接的もしくは間接的にジャックを特定できるメールを含む、すべての個人データ」のコピーを求めていました。* ジャックは、これらのメールに関して、アクセスを必要とする経営陣6名の名前を挙げていました。
同社はまず IT システムの検索を実施し、大量の情報が返されました。その後、ジャックに連絡し、ターゲットを絞った検索ができるよう、必要な情報をより具体的に提供するよう依頼しました。ジャックは、情報要求者の範囲を狭めるつもりはないと述べました。
Jacks のデータ主体のアクセス要求に対する最も適切な対応は何でしょうか?

シナリオ
次の質問に答えるには、以下を使用してください。
ARRAホテルズにとって、財務的には非常に好調な一年となりました。ギリシャ（5）、イタリア（15）、スペイン（1）にある21のホテルは、過去最高の収益を記録しました。この成果を祝うため、イタリア本社に拠点を置くARRAホテルズの人事部は、スペインのホテルで420名の従業員とその家族を対象としたチームイベントを開催しました。
ホテルに到着すると、従業員とそのご家族全員に受付で電子リストバンドが渡されます。このリストバンドにはいくつかの機能があります。
ホテルの「パーティーゾーン」へのアクセスを許可し、ユーザーが許可されていないエリアに近づくとブザーを鳴らします。
法定年齢の人1人につき最大3杯まで無料でドリンクをお楽しみいただけます。この制限に達すると、ブザーが鳴ります。
企画されているゲームやコンテストに参加するための固有のID番号を付与します。
リストバンドと一緒に、各ゲストにQRコードが配布されます。このQRコードをクリックすると、リストバンドの使用に関するオンラインプライバシー通知が表示されます。このページには、チェックが入っていない同意チェックボックスがあります。16歳未満の従業員の家族の場合は、親の同意が必要です。
イベントのために計画されたさまざまなアクティビティの中で、ARRA ホテルの人事部は、メインイベント会場とは別に、従業員が伝統的なカーニバルの衣装を着て写真を撮ることができるフォトコールエリアを自主的に設置しました。
写真は一般的なマーケティングの目的で ARRA Hotels のメイン Web サイトに掲載されます。
事件発生当夜、ARRA傘下のギリシャのホテル従業員が、自分が写った写真の出来栄えに不満を抱き、以下の点について監督当局に苦情を申し立てる意向を示しました。
別個のフォトコールエリアにプライバシーに関する通知がない
個人データの違法な国境を越えた処理
彼の写真の受け入れ難い美的結果
個人データを含むフォトコール写真の処理において、次の原則のうちどれが違反されている可能性がありますか?

DPIA を実施した管理者が監督機関に相談する必要がある可能性が最も高いのはどのような場合ですか?

データ主体がポータビリティの権利を行使できない場合はどのような場合ですか?