シナリオ
次の質問に答える際は、以下の情報を使用してください。
ARRAホテルズにとって、今年は財務的に非常に好調な年となりました。ギリシャ（5軒）、イタリア（15軒）、スペイン（1軒）に所在する同社の21軒のホテルは、過去最高の収益を記録しました。この成果を祝して、ARRAホテルズのイタリア本社に拠点を置く人事部は、スペインのホテルで420名の従業員とその家族を対象としたチームイベントを開催しました。
ホテル到着時、従業員とその家族全員にフロントデスクで電子リストバンドが渡されます。このリストバンドにはいくつかの機能があります。
ホテル内の「パーティゾーン」へのアクセスを許可し、ユーザーが許可されていないエリアに近づくとブザー音を発します。
法定年齢に達した人1人につき最大3杯まで無料ドリンクを提供し、その上限に達するとブザーが鳴ります。
計画されているゲームやコンテストに参加するための固有のID番号を付与します。
リストバンドとともに、各ゲストにはリストバンドの使用に関するオンラインプライバシーポリシーへのリンクとなるQRコードが配布されます。このページには、同意を示すチェックボックス（未チェック）も含まれています。16歳未満の従業員の家族の場合は、保護者の同意が必要です。
イベントのために企画された様々なアクティビティの中でも、ARRAホテルズの人事部は、メイン会場とは別に、従業員が伝統的なカーニバル衣装を着て写真撮影ができるフォトコールエリアを独自に設置した。
これらの写真は、一般的なマーケティング目的でARRA Hotelsのメインウェブサイトに掲載されます。
イベント当夜、ARRA傘下のギリシャのホテル従業員が、自分が写っている写真の出来栄えに不満を抱き、以下の点について関係監督当局に苦情を申し立てる予定である。
写真撮影専用エリアにプライバシーに関する告知が一切ないこと
彼の個人データの違法な国境を越えた処理
彼の写真の美的結果は容認できない。
個人データの国境を越えた処理が行われていると仮定した場合、ギリシャ人従業員の苦情を担当する主たる監督当局が、データ管理者の主要事業所の所在地を特定しようとする際に、以下の基準のうちどれが役に立たないでしょうか？

欧州司法裁判所によるGoogle対スペイン訴訟の判決の結果、EEA域外の検索エンジンも、規則の「忘れられる権利」の対象となる可能性が高い。これは、EU子会社とその米国親会社の活動がどのような場合に当てはまるか？

GDPR第32条で規定されているセキュリティ領域は3つあり、これらは管理者と処理者の両方に適用されます。これらには、以下のすべてが含まれますが、例外はどれですか？

EU法に基づく権利を行使しようとする個人による訴訟について、どの司法機関が決定を下すのか？

GDPRは、企業が当初の収集目的を超えてデータを処理する際に、どのような場合に裁量権を拡大するのでしょうか？