説明/参考資料: https://iapp.org/news/a/is-it-possible-to-choose-your-lead-supervisory-authority-under-the-gdpr/

GDPR第5条1項(a)に規定されている透明性原則は、個人データがデータ主体との関係において適法、公正かつ透明性のある方法で処理されることを要求しています。この原則は、GDPR第13条および第14条に規定されている情報提供を受ける権利と密接に関連しています。これらの権利は、管理者に対し、データ主体に対し、個人データの処理に関する特定の情報（管理者の身元および連絡先、処理の目的および法的根拠、個人データの受領者または受領者の区分、データ主体の権利の有無、個人データの保存期間または基準など）を提供することを義務付けています。情報提供を受ける権利は、データ主体が処理の適法性を認識し、検証できるようにし、かつ、データ主体が権利を効果的に行使できるようにすることを目的としています。したがって、透明性原則は情報提供を受ける権利と最も直接的に関連しています。参考文献：
* GDPR第5条(1)(a)
* GDPR第13条
* GDPR第14条
* IAPP CIPP/E 学習ガイド、31ページ

GDPR第35条に基づき、データ処理が個人の権利と自由に重大なリスクをもたらす可能性がある場合、データ保護影響評価（DPIA）の実施が義務付けられます。これには、新しい技術を伴う処理、体系的な監視、または機密データの大規模な処理が含まれます。
* DPIA はいつ実施すべきですか?
* 新しい高リスク処理アクティビティ（生体認証アクセス システムなど）を実装する前に。
* リスクに大きな変化が生じたとき (例: セキュリティ更新、規制の変更、新たな脅威)。
* 定期的に新たなリスクを再評価し、軽減します。
* なぜBが正解なのでしょうか?
* DPIA は 1 回限りのプロセスではなく、新しいリスクを評価するために定期的に見直す必要があります。
* 他の回答が間違っているのはなぜですか?
* A (苦情後) # DPIA は事前対策であり、苦情後にのみ行われるものではありません。
* C (シーズン終了時) # GDPR では、評価をイベント サイクルに結び付ける必要はありません。
* D (規制通知後) # DPIA は、対応としてではなく、調査の前に実行する必要があります。
結論: 新たなリスクが発生した場合は、定期的に DPIA を実施する必要があるため、B が正解です。

GDPRでは、処理とは「個人データまたは個人データ集合体に対して行われるあらゆる操作または一連の操作（自動的な手段によるか否かを問わず、収集、記録、整理、構造化、保管、適応または変更、検索、照会、使用、送信による開示、頒布またはその他の方法による利用可能化、整合または結合、制限、消去または破棄など）」と定義されています（第4条(2)）。これは、使用される方法や手段に関わらず、個人データに関わるほぼあらゆる活動を網羅する広範な定義です。GDPRではまた、処理は合法、公正、かつ透明性のあるものでなければならないこと、また設計によるデータ保護およびデフォルトのデータ保護の原則を尊重する必要があることも規定しています（第5条）。参考資料：CIPP/E認定 - 国際プライバシー専門家協会、無料CIPP/E学習ガイド - 国際プライバシー専門家協会、[GDPR - EUR-Lex] これがお役に立てば幸いです。他にご質問がございましたら、お気軽にお問い合わせください。#

The accountability principle found in Article 5, Section 2 of the GDPR requires data controllers to take responsibility for complying with the GDPR and to be able to demonstrate their compliance1. This means that data controllers must implement appropriate technical and organisational measures to ensure and show that they process personal data in accordance with the GDPR2. One of the measures that can demonstrate compliance with the accountability principle is conducting regular audits of the data protection program. Audits are systematic and independent assessments of the data processing activities and the data protection policies and procedures of an organisation3. They can help to identify and address any gaps or risks in the data protection program, as well as to verify the effectiveness and efficiency of the data protection measures3. Audits can also provide evidence of compliance to the supervisory authorities and the data subjects, as well as to enhance the trust and reputation of the organisation3. Therefore, conducting regular audits of the data protection program is a way to demonstrate compliance with the accountability principle.
References: 1: CIPP/E study guide, page 15; Art. 5 GDPR; Accountability principle | ICO2: CIPP/E study guide, page 16; Art. 24 GDPR; [Guide to accountability and governance | ICO]3: CIPP/E study guide, page
91; [Auditing | ICO]; [GDPR Audits: What You Need to Know - IT Governance Blog].