シナリオ
次の質問に答えるには、以下を使用してください。
ARRAホテルズにとって、財務的には非常に好調な一年となりました。ギリシャ（5）、イタリア（15）、スペイン（1）にある21のホテルは、過去最高の収益を記録しました。この成果を祝うため、イタリア本社に拠点を置くARRAホテルズの人事部は、スペインのホテルで420名の従業員とその家族を対象としたチームイベントを開催しました。
ホテルに到着すると、従業員とそのご家族全員に受付で電子リストバンドが渡されます。このリストバンドにはいくつかの機能があります。
ホテルの「パーティーゾーン」へのアクセスを許可し、ユーザーが許可されていないエリアに近づくとブザーを鳴らします。
法定年齢の人1人につき最大3杯まで無料でドリンクをお楽しみいただけます。この制限に達すると、ブザーが鳴ります。
企画されているゲームやコンテストに参加するための固有のID番号を付与します。
リストバンドと一緒に、各ゲストにQRコードが配布されます。このQRコードをクリックすると、リストバンドの使用に関するオンラインプライバシー通知が表示されます。このページには、チェックが入っていない同意チェックボックスがあります。16歳未満の従業員の家族の場合は、親の同意が必要です。
イベントのために計画されたさまざまなアクティビティの中で、ARRA ホテルの人事部は、メインイベント会場とは別に、従業員が伝統的なカーニバルの衣装を着て写真を撮ることができるフォトコールエリアを自主的に設置しました。
写真は一般的なマーケティングの目的で ARRA Hotels のメイン Web サイトに掲載されます。
事件発生当夜、ARRA傘下のギリシャのホテル従業員が、自分が写った写真の出来栄えに不満を抱き、以下の点について監督当局に苦情を申し立てる意向を示しました。
別個のフォトコールエリアにプライバシーに関する通知がない
個人データの違法な国境を越えた処理
彼の写真の受け入れ難い美的結果
なぜ同意はパーティーゾーンにアクセスするための十分な法的根拠とみなされないのでしょうか?

ある民間企業は、フランス、ポーランド、イギリス、そして本社所在地であるドイツに拠点を有しています。同社は世界中でサービスを提供しています。サービスの大部分はドイツで設計され、他の拠点でサポートされています。しかし、サービスの一つであるSaaS（Software as a Service）アプリケーションは、ポーランドの拠点で定義・実装され、他の拠点でもサポートされています。
SaaS サービスの主たる監督機関は何ですか?

多国籍企業が、ヨーロッパに拠点を置く従業員を含むすべての現従業員および潜在的な従業員に対して身元調査を実施したい場合、その企業はどのような重要な規定に従う必要がありますか?

GDPR によれば、詐欺防止の目的で個人データを処理したいオンライン ショップにとって最も適切な法的根拠はどれでしょうか?

EU のデータ保護法執行指令に基づき、政府は、法律で定められ、必要かつ適切な措置である限り、個人データに関する秘密の調査を行うことができます。