GDPRでは、処理の目的と手段に関する決定が別のEU施設で行われ、その施設がそれらの決定を実施する権限を有する場合を除き、EU内の管理者の「主要施設」をEU内での中央管理の場所として定めています（GDPR第4条（16））。
EDP​​B意見04/2024では以下が明確にされています。
* GDPR コンプライアンスの意思決定と実装が他の場所で行われる場合、主要な施設は自動的に中央管理部門 (HQ) になるわけではありません。
* むしろ、処理の目的と手段に関する決定が効果的に行われ、実行される場所です。
* EU 内にそのような機関が存在しない場合は、各加盟国の監督当局が権限を持つことになります (違反通知が複数回行われることを意味します)。
#このシナリオでは:
* ドイツは本部ですが、中央行政だけでは EU の処理に関する決定は行われません。
* アイルランドはサーバーをホストしていますが、目的を決定したり、GDPR の遵守を確保したりすることはありません。
* フランスには、EU における GDPR の実装とコンプライアンスの責任が明確に与えられています。
したがって、フランスは、GDPR 第 56 条および EDPB ガイダンスに基づく「主要事業所」として適格となります。
つまり、データ侵害はすべての加盟国ではなく、フランスの監督機関 (CNIL) に報告する必要があるということです。
＃参照：
* GDPR第4条(16)（主要事業所の定義）。
* GDPR、第56条（ワンストップショップメカニズム）。
* 主要事業所の概念に関する EDPB 意見 04/2024 (管理者は、GDPR コンプライアンス決定が実施される監督機関に報告する必要があります)。
* CIPP/E 教科書（第 3 版）、第 13 章「監督と執行」（主要事業所および主導監督機関）。

参考：https://www.jdsupra.com/legalnews/let-s-face-it-facial-recognition-1134180/

A. 同意の管理と撤回。GDPR第32条は、管理者と処理者に対し、処理のリスクに応じたセキュリティレベルを確保するための適切な技術的および組織的措置を実施することを義務付けています。これらの措置は、最新の技術水準、実施費用、処理の性質、範囲、状況および目的、そして自然人の権利と自由に対する様々な発生可能性と重大性のリスクを考慮する必要があります。第32条が対象とするセキュリティの3つの領域は以下のとおりです。
予防的セキュリティ：これは、個人データへの不正アクセス、開示、改ざん、紛失、破壊といったセキュリティインシデントの発生を防止または低減することを目的とした対策を指します。予防的セキュリティ対策の例としては、暗号化、仮名化、アクセス制御、ファイアウォール、ウイルス対策ソフトウェアなどが挙げられます。
インシデント検知・対応：セキュリティインシデントを検知、分析、封じ込め、根絶、復旧し、関係当局およびデータ主体に通知し、事実と対応内容を文書化することを目的とした対策を指します。インシデント検知・対応策の例としては、セキュリティ監視、ログ記録、監査、インシデント対応計画、侵害通知手順などが挙げられます。
救済的セキュリティ：これは、物理的または技術的なインシデントが発生した場合に、個人データの可用性とアクセスを適時に回復し、セキュリティインシデントがデータ主体に及ぼす悪影響を軽減することを目的とした措置を指します。救済的セキュリティ対策の例としては、バックアップ、災害復旧、事業継続、補償などが挙げられます。
同意の管理と撤回は、GDPR第32条で規定されているセキュリティの領域ではなく、GDPR第6条(1)(a)項および第7条に基づく同意に基づく処理の合法性に関する要件です。同意の管理と撤回には、特定の処理目的についてデータ主体から同意を取得、記録、更新、撤回するとともに、データ主体がいつでも同意を撤回できる権利があることを通知することが含まれます。参考：無料CIPP/E学習ガイド、35ページ、CIPP/E認定資格、17ページ、GDPR第32条、第6条(1)(a)項、第7条。