GDPR第47条(2)(a)項によれば、拘束的企業準則（BCR）は法的拘束力を有し、共同経済活動を行う企業グループ（または企業集団）の全ての関係会社（従業員を含む）に適用され、執行されなければならない1。これは、グループ内のすべての従業員が、所在地や事業管轄区域に関わらず、BCRを遵守しなければならないことを意味します。その他の選択肢は、GDPRの要件や欧州データ保護委員会（EDPB）のBCRに関するガイダンスを反映していないため、誤りです23。参考：
GDPR第47条(2)(a)
GDPRの適用範囲に関するEDPBガイドライン3/2018
規則2016/679に基づく第49条の例外に関するEDPBガイドライン2/2018

参考：https://www.coe.int/en/web/data-protection/convention108/background 個人データの自動処理に関する個人の保護に関する条約としても知られる条約108は、1981年に欧州評議会によって採択されました。これは、データ保護に関する最初の法的拘束力のある国際文書であり、署名国は、個人データの処理に関してすべての個人の基本的人権が自国で尊重されることを確保するために、国内法においてこの条約に定められた原則を適用する措置を講じることを義務付けられました1。この条約は、公共部門と民間部門の両方を対象とし、自動化の有無にかかわらず、あらゆる種類のデータ処理に適用されます。また、独立した監督機関の設立と国境を越えたデータフローの促進についても規定しています2。
その他のオプションは、次の理由により正しくありません。
B) 一般データ保護規則（GDPR）は、2018年に施行された欧州連合（EU）の規則です。これは、データ保護に関する最初の法的拘束力のある国際文書ではありませんが、1995年に採択され、EU加盟国が国内法で実施しているEU指令95/46/ECの後継です。
C) 世界人権宣言（UDHR）は、1948年に採択された国連総会決議です。法的拘束力のある国際文書ではありませんが、人権法の発展を導く共通の原則と価値観の宣言です。UDHRはデータ保護について明示的に言及していませんが、第124条においてプライバシー権を基本的人権として認めています。
D) EUプライバシー及び電子通信に関する指令（eプライバシー指令）は、2002年に採択され、2009年に改正された欧州連合の指令です。これは、データ保護に関する最初の法的拘束力のある国際文書ではありませんが、電子通信サービスにおける個人データの保護に関する追加ルールを規定することにより、EU指令95/46/ECとGDPRを補完する特定の文書です5。
参照: 5 2002年7月12日の欧州議会及び理事会の指令2002/58/EC（電子通信分野における個人データの処理及びプライバシーの保護に関する指令） | EUR-Lex53 2016年4月27日の欧州議会及び理事会の規則（EU）2016/679（個人データの処理及びそのデータの自由な移動に関する自然人の保護並びに指令95/46/ECの廃止に関する規則） | EUR-Lex34 世界人権宣言 | 国連42 条約108及び議定書 - データ保護 - 欧州評議会21 条約とは
108? - プライバシー熟練者1。

欧州司法裁判所（CJEU）は、eプライバシー指令でクッキーの使用に求められる同意は、GDPRに定められた条件を満たす必要があると判決を下しました。つまり、同意は具体的で、十分な情報に基づいた、明確な、そして自由意志に基づくものでなければなりません。したがって、チェックボックスに事前にチェックを入れたり、スクロールすることで暗黙的に同意を得たりすることは、クッキーに関する有効な同意の形式ではありません。また、欧州司法裁判所は、eプライバシー指令は、個人データであるかどうかに関わらず、ユーザーのデバイスに保存またはアクセスされるあらゆる情報に適用されることを明確にしました。さらに、欧州司法裁判所は、クッキーに関してユーザーに提供される情報には、クッキーの有効期間と第三者がクッキーにアクセスする可能性を含める必要があると述べました。
参考文献: CIPP/E 学習ガイド、29 ページ; CIPP/E 教科書、137 ページ; Planet49 事例

データポータビリティの権利は、データ処理がデータ主体の同意またはデータ主体との契約に基づく場合にのみ適用されます12。したがって、処理が公共の利益のために行われる業務、または管理者に付与された公的な権限の行使に必要な場合、データポータビリティの権利は適用されません12。これは、データ主体がそのような場合、処理の目的または手段に直接的な影響力を持たないためです3。参考文献：1：GDPR第20条 2：データポータビリティの権利 | ICO 3：データポータビリティの権利（GDPR第20条） 参考文献：https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/individual-rights/right-to-data-portability/

サンディは、ダンとマーケティングチームにこのフィードバックを伝えるべきです。これはデータ最小化の原則を反映しており、収集される個人データは適切かつ関連性があり、処理目的に必要な範囲に限定されなければならないとされています1。ホワイトペーパーのダウンロードやイベントへの登録を希望する顧客から生年月日や給与情報を収集することは、これらの目的には不要であり、データ保護とセキュリティにリスクをもたらす可能性があります2。さらに、このような情報は、データ主体からの明示的な同意が必要であり、特定の条件下でのみ処理できる特別なデータに該当する可能性があります2。
その他のオプションは、オプションであったり括弧で囲まれていても、必要以上のデータを収集するため、データ最小化の原則に準拠していません。参考文献：
* 無料のCIPP/E学習ガイド、23ページ、セクション3.1
* CIPP/E認証、18ページ、セクション3.1
* 2023年版CIPP/E究極学習ガイド、16ページ、セクション3.1
* 原則 - 一般データ保護規則（GDPR）第5条
* 個人データの特別なカテゴリ - 一般データ保護規則（GDPR）第9条