According to Article 14 of the GDPR, where personal data is not obtained directly from the data subject, the controller must provide the data subject with certain information about the processing, such as the identity of the controller, the purposes and legal basis of the processing, the categories of personal data concerned, the recipients or categories of recipients of the personal data, and the rights of the data subject12. However, there are some exceptions to this obligation, as specified in Article 14(5). One of them is when the provision of such information proves impossible or would involve a disproportionate effort, in particular for processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes, subject to the conditions and safeguards referred to in Article 89(1) or in so far as the obligation is likely to render impossible or seriously impair the achievement of the objectives of that processing12. In such cases, the controller must take appropriate measures to protect the data subject's rights and freedoms and legitimate interests, including making the information publicly available12. Reference: CIPP/E Certification - International Association of Privacy Professionals, Free CIPP/E Study Guide - International Association of Privacy Professionals, GDPR - EUR-Lex, Right to be Informed - General Data Protection Regulation (GDPR)

仮名化とは、元のデータセット（メールアドレスや名前など）を別名や仮名、つまり個人を直接特定できない値に置き換える手法です1。これは可逆的なプロセスであり、データを匿名化しますが、必要に応じて後で再識別できます1。これは、一般データ保護規則（GDPR）でデータ保護手法の一つとして強く推奨されている、よく知られたデータ管理手法です2。個人データを仮名化するには、データ管理者は、キーやコードなど、データとデータ主体を結び付ける情報をすべて別途保持し、この情報が安全に保管され、不正アクセスや再識別を防ぐための技術的および組織的な措置が講じられていることを保証する必要があります23。その他の選択肢は、暗号化や匿名化などの他のデータ保護手法を説明しているか、GDPRにおける仮名化の定義を満たしていないため、正しくありません。参考資料: GDPRに基づく仮名化、仮名化 - Wikipedia、匿名化と仮名化 | データ保護コミッショナー

データ侵害は、個人データへの不正アクセス、開示、改ざん、または破壊につながるあらゆるインシデントとして広く定義されています。選択肢AとBは一見妥当に見えるかもしれませんが、侵害の解釈が狭くなっています。
ここで重要なのは、機密性および／または完全性の喪失です。たとえ誰かが積極的にデータを盗んだわけではないとしても、銀行はもはや情報の機密性を保証することも、安全にアクセスまたは変更できないためデータの完全性を保証することもできません。これはデータに対する制御の喪失に相当し、データ侵害に該当します。
参照：
IAPP CIPP/E教科書、第5章：データ侵害通知（特に、個人データ侵害の定義）GDPR第4条（12） - 個人データ侵害の定義

GDPRでは、事業所内でのCCTVの使用は個人データの処理に該当し、データ保護の原則と義務の遵守が求められます。ただし、適切なデータ保護機関（DPA）への通知は、DPAが明示的に要求している場合、またはCCTVが事前協議を必要とする高リスクの処理を伴う場合を除き、企業がCCTVを使用する前に行うべき手順ではありません。GDPRの遵守を確実にするためには、以下の手順が必要です。
データ保護影響評価（DPIA）の実施は、公共エリアの大規模または体系的な監視など、個人の権利と自由に高いリスクをもたらす可能性のあるあらゆる種類の処理において必須です。DPIAは、CCTVの使用に伴う潜在的なプライバシーリスクを特定し、軽減し、それらに対処するために講じられた対策を文書化するプロセスです。DPIAには、処理の内容、その目的と必要性、リスクとメリット、安全対策とセキュリティ対策、そして利害関係者との協議内容を含める必要があります。DPIAは、CCTVシステムの設置またはアップグレード前に実施し、定期的に、または処理内容に大きな変更があるたびに見直す必要があります。
Creating an information retention policy for those who operate the system is a good practice to ensure that the personal data collected by CCTV is not kept longer than necessary for the purpose for which it was collected, and that it is securely deleted or anonymised when no longer needed. The retention period should be determined by the specific purpose and context of using CCTV, and take into account any legal or contractual obligations, as well as the expectations and rights of the data subjects. The retention policy should also specify who is responsible for managing and deleting the CCTV footage, and how the deletion process is verified and documented.
Ensuring that safeguards are in place to prevent unauthorized access to the footage is an essential requirement to comply with the GDPR principle of integrity and confidentiality, which states that personal data must be processed in a manner that ensures appropriate security of the data, including protection against unauthorized or unlawful processing and accidental loss, destruction or damage. The safeguards may include technical and organisational measures, such as encryption, access control, logging, audit, training, policies and procedures, that aim to protect the CCTV footage from unauthorized or unlawful access, disclosure, alteration, or destruction, both during transmission and storage. Reference: GDPR Article 35, GDPR Article 36, GDPR Article 5, CCTV and video surveillance | ICO, 5 Step Guide to Check if Your CCTV is GDPR Compliant