シナリオ
次の質問に答える際は、以下の情報を使用してください。
ジェーン・スタンは、マルタに拠点を置く企業でデータ保護責任者（DPO）として新たな役割を担っています。この企業は、オンラインプラットフォームを通じて誰でも仮想通貨を売買できるサービスを提供しています。同社は顧客の個人データをマルタ（EU）にある専用データセンターに保存・処理しています。
仮想通貨の取引を希望する人は、プラットフォーム上でオンラインアカウントを開設する必要があります。その後、資金洗浄の防止と適用される金融規制の遵守を目的とした本人確認（KYC）手続きに合格しなければなりません。
欧州以外の顧客は、プラットフォーム上でアカウントを承認してもらうために、別のページに太字で記載され、チェックボックスにチェックが入った免責事項を読み、GDPRに基づくすべての権利を放棄する必要があります。
顧客も同様にプラットフォームの利用規約に同意する必要があります。利用規約にはプライバシーポリシーのセクションも含まれており、AWSクラウドで運用されているバックアップシステムに潜在的に問題がある場合、などと記載されています。

シナリオ
次の質問に答える際は、以下の情報を使用してください。
従業員数の急増に伴い、A社は給与計算業務をB社にアウトソーシングすることを決定しました。B社は、実績のある給与計算サービスプロバイダーであり、多数の顧客を抱え、業界で確固たる評判を築いています。
B社がA社に提供する給与計算ソリューションは、A社の各工場に設置された生体認証システムを通じて取得される勤怠データの収集に依存しています。B社自身は生体認証データを一切保持しませんが、関連データはB社の英国サーバーにアップロードされ、給与計算サービスの提供に使用されます。B社の稼働中のシステムには、A社の各従業員について以下の情報が含まれます。
名前
住所
生年月日
給与番号
国民保険番号
病気休暇手当の受給資格
産休・育児休暇手当の受給資格
休暇取得資格
年金および福利厚生費の拠出
労働組合の拠出金
ジェニーはA社のコンプライアンス担当者です。彼女はまず、A社が新しい勤怠管理システムに関してデータ保護影響評価を実施する必要があるかどうかを検討しますが、それが本当に必要なのかどうか確信が持てません。
しかし、ジェニーは、GDPRに基づき、B社が勤怠データを給与計算サービスの提供のみを目的として使用し、データの保護のために適切な技術的および組織的なセキュリティ対策を講じることを義務付ける正式な書面による合意が必要であることを知っています。ジェニーは、B社がデータ保護責任者（DPO）に相談することを提案します。B社にはDPOがいませんが、契約を締結するために、条項に全面的に同意することに同意します。A社は契約を締結します。
数週間後、B社はA社との契約期間中にもかかわらず、給与計算サービスの機能強化を目的とした別のプロジェクトに着手し、C社に協力を依頼した。C社は、B社の稼働中のシステムからすべての個人データを抽出し、B社用の新しいデータベースを作成することに同意した。
このデータベースは、C社の米国サーバー上でホストされるテスト環境に保存されます。データはITテスト目的のみに使用されるため、両社はサービス契約にデータ処理に関する条項を含めないことに合意しました。
残念ながら、C社の米国サーバーは旧式のITセキュリティシステムでしか保護されておらず、C社がプロジェクトに着手して間もなくサイバーセキュリティインシデントが発生しました。その結果、A社の従業員に関するデータがC社のウェブサイトを訪れた人なら誰でも閲覧できる状態になってしまいました。A社はこの事態に気付かず、ジェニーがその後の調査に関連して監督当局から書簡を受け取るまで、その事実を知りませんでした。ジェニーは情報漏洩に気づくとすぐに、影響を受けた全従業員に通知しました。
GDPRの下で、B社の行為のうち、執行措置の対象となる可能性が低いのはどれですか？

シナリオ
次の質問に答える際は、以下の情報を使用してください。
ドイツに本社を置くTシャツ専門会社T-Crazeは、ドイツの大都市圏を中心に順調に販売活動を行っていました。しかし、より広範なヨーロッパ市場をターゲットとする別のドイツ企業との合併を機に、T-Crazeはより幅広い顧客層への販売を目指し、マーケティング戦略を刷新しました。この刷新には、合併を反映させるためのロゴの全面的なデザイン変更や、Cookieを活用して訪問者に関するより多くの情報を収集するためのウェブサイトの改善などが含まれています。
T-Craze は事業拡大のため、ヨーロッパ各地にオフィスを開設しました。ドイツには引き続き T-Craze の本社と主要製品設計オフィスが置かれていましたが、フランスの関連会社がすべてのマーケティングおよび販売活動を担当することになりました。フランスの関連会社は最近、フィリピンに拠点を置く著名なマーケティング会社である Right Target のサービスを利用して、最新のマーケティング キャンペーンを実施しました。徹底的な調査の結果、Right Target は T-Craze が 18 歳から 22 歳の顧客に最も成功していると判断しました。そのため、最初のキャンペーンではヨーロッパのいくつかの首都の大学生をターゲットにし、1 四半期で T-Craze の新規顧客が 40% 近く増加しました。Right Target は T-Craze のためにその後もキャンペーンを実施しましたが、成功はそれほど大きくありませんでした。
直近の2つのキャンペーンでは、より幅広い層のユーザーを対象とし、スペインを含む多数の購読解除リクエストが寄せられました。実際、スペインのデータ保護当局は、中堅投資銀行家のソフィアさんから苦情を受けました。ソフィアさんは、T-Crazeに代わってRight Targetからマーケティングメールの配信停止を申請したにもかかわらず、再びメールが届いたことに憤慨していました。
T-Crazeの最高監督機関は次のうちどれですか？

シナリオ
次の質問に答える際は、以下の情報を使用してください。
ベンはフィットネスクラブ「STAYFIT」の会員です。この会社はEU加盟国の多くに支店がありますが、GDPR（一般データ保護規則）の適用上、本社はフランスにあります。ベンは北アイルランド（イギリス領）のニューリーに住んでおり、国境を越えてアイルランドのダンドークまで通勤しています。2年前、出張中にドイツのフランクフルトにあるSTAYFITの支店でトレーニングをしているところを写真に撮られました。当時、写真は宣伝目的のみに使用されると説明されていたため、ベンは写真に写ることに同意しました。それ以来、この写真はクラブのイギリス版パンフレットに使用され、イギリス版ウェブサイトのランディングページにも掲載されています。しかし、最近、このフィットネスクラブはEU加盟国の複数の支店で会員に対する広範な虐待行為が発覚し、評判を落としています。そのため、ベンは自分の写真がフィットネスクラブと公に結びつけられることに不快感を抱くようになりました。
この件について地元の支店長と話し合うための面会を何度も試みたものの失敗に終わったベンは、STAYFIT社に手紙を送り、ウェブサイトとすべての販促資料から自分の写真を削除するよう要求した。数ヶ月が経過しても何の返事もなかったため、ベンはこの件について非常に不安になった。別の手段でSTAYFIT社に何度も連絡を取ろうとしたが失敗に終わったため、彼は同社に対して法的措置を取ることを決意した。
ベンはこの件について苦情を申し立てるため、英国情報コミッショナー事務局（ICO：英国の監督機関）に連絡を取った。
複数のEU諸国にまたがるSTAYFITの複数の支店がそれぞれ独立したデータ管理者として機能しており、それらの支店それぞれがベンの要求を不適切に処理した責任を負っていると仮定した場合、ベンは賠償を求めるためにどのような手続きを取るべきでしょうか？

多国籍企業が、ヨーロッパに拠点を置く従業員を含む、現在および将来の全従業員に対して身元調査を実施したい場合、企業はどのような重要な規定に従う必要があるでしょうか？