米国に拠点を置くあるオンラインショップは、高度なソフトウェアを用いてヨーロッパの顧客の閲覧行動を追跡し、将来の購入を予測しています。また、この情報を第三者と共有しています。GDPR（一般データ保護規則）の下で、このようなプロファイリングを行う際のオンラインショップの主な義務は何でしょうか？

GDPR第84条によれば、違反行為に適用される罰則に関する規則は誰によって定められるのでしょうか？

シナリオ
次の質問に答える際は、以下の情報を使用してください。
Building Block Inc.は、シカゴに本社を置き、米国、アジア、ヨーロッパ（ドイツ、イタリア、フランス、ポルトガルを含む）にオフィスを展開する多国籍企業です。昨年、同社はフィッシング攻撃の被害に遭い、重大なデータ漏洩が発生しました。経営陣は、ゼネラルマネージャー、プライバシーオフィス、情報セキュリティチームと連携し、追加のセキュリティ対策を講じることを決定しました。これには、トレーニングによる意識向上プログラム、サイバーセキュリティ監査、およびSecurityScanと呼ばれる新しいソフトウェアツールの使用が含まれます。SecurityScanは、従業員のコンピュータをスキャンして、ベンダーによるサポートが終了し、セキュリティアップデートが提供されていないソフトウェアがインストールされているかどうかを確認します。ただし、このソフトウェアには、従業員のコンピュータの監視など、他の機能も備わっています。
これらの措置は従業員に影響を与える可能性があるため、Building Blockのプライバシーオフィスは、情報セキュリティを強化し、将来のデータ漏洩を防止するための一連の取り組みを実施することを全従業員に通知する一般通知を発行することを決定しました。
これらの対策を実施した後、サーバーのパフォーマンスが低下した。ゼネラルマネージャーは、セキュリティチームに対し、SecurityScanを使用して従業員のコンピューターのアクティビティと位置情報を監視する方法を指示した。
これらの調査活動の中で、情報セキュリティチームは、イタリア在住の従業員1名が毎日映画のビデオライブラリに接続していたこと、そしてドイツ在住の従業員1名が許可なくリモートワークを行っていたことを発見した。
セキュリティチームはこれらの事案をプライバシーオフィスとゼネラルマネージャーに報告した。報告書の中で、チームはイタリア出身の従業員がサーバーのパフォーマンス低下の原因であると結論付けた。
これらの違反行為の重大性を鑑み、会社は両従業員に対し懲戒処分を科すことを決定した。会社のセキュリティおよびプライバシーに関する方針では、従業員が会社のコンピュータにソフトウェアをインストールすること、および許可なくリモートワークを行うことを禁じているからである。
GDPRを遵守するために、Building BlockはSecurityScan対策を実施する前に、まずどのような措置を講じるべきだったのでしょうか？

従業員の個人データを処理するための法的根拠として、以下のうち最も弱いものはどれですか？

シナリオ
次の質問に答える際は、以下の情報を使用してください。
あなたは香港に拠点を置く玩具メーカーに採用されました。この会社は、人形、アクションフィギュア、ぬいぐるみなど幅広い玩具を販売しており、それらは世界中の様々な小売店で取り扱われています。香港以外にオフィスはなく、香港以外で従業員を雇用しているわけでもありませんが、香港国内で複数の販売代理店契約を結んでいます。同社の玩具は、ヨーロッパ、アメリカ、アジアのあらゆる人気玩具店で販売されています。同社の収益の大部分は海外販売によるものです。
同社は現在、子供たちと会話したり対話したりできる、新しいコネクテッド玩具シリーズの発売を計画している。同社のCEOは、これらの玩具が提供する可能性の拡大を理由に、次世代の大きなトレンドになると宣伝している。これらの玩具は、数学の計算や天気など、さまざまなテーマについて子供たちの質問に答えることができる。各玩具にはマイクとスピーカーが搭載されており、Bluetooth経由でスマートフォンやタブレットに接続できる。半径10メートル以内のあらゆるモバイルデバイスも、Bluetooth経由で玩具に接続できる。
これらのフィギュアは、（同じメーカーの）他のフィギュアと組み合わせることができ、互いに連動させることで、より充実した遊び体験を楽しむことができます。
子供がおもちゃに質問をすると、そのリクエストは分析のためにクラウドに送信され、クラウドサーバー上で回答が生成されてフィギュアに送り返されます。回答はフィギュアに内蔵されたスピーカーから再生されるため、おもちゃが実際に子供の質問に答えているように見えます。おもちゃのパッケージには、この仕組みに関する技術的な詳細は記載されておらず、この機能にインターネット接続が必要であることも明記されていません。この処理に必要なデータ処理は、南アフリカにあるデータセンターに委託されています。しかし、貴社はこの点について、消費者向けのプライバシーポリシーをまだ改訂していません。
同時に、同社は、ゲーム内で入手したキャラクターを使って遊べる新しいゲームシステムシリーズを導入する予定です。このシステムには、近距離無線通信（NFC）リーダーを搭載したポータルが同梱されます。このデバイスはアクションフィギュアに埋め込まれたRFIDタグを読み取り、画面上でフィギュアを生き生きと動かします。各キャラクターには固有の特徴と能力がありますが、ゲームの目標を達成することで追加の能力を獲得することも可能です。タグに保存される情報は、フィギュアの能力に関するもののみです。ゲーム中にキャラクターを簡単に切り替えることができ、フィギュアを自宅以外の場所に持ち出しても、キャラクターの能力はそのまま維持されます。
GDPR第32条（処理のセキュリティに関する条項）の要件を踏まえ、企業はどのような対策を講じるべきでしょうか？