ある小学校が、生徒の出席状況を把握するために顔認証技術の利用を計画している。以下のうち、この処理の法的根拠となり得るものはどれか？

1973年にデータ保護に関する国内法を最初に施行したのは、次のうちどれですか？

シナリオ
次の質問に答える際は、以下の情報を使用してください。
ブレイディはニュージーランド在住のコンピュータープログラマーで、2年前から自身の会社を経営している。ブレイディの会社は、欧州経済領域（EEA）全域の顧客に低価格のサービス群を提供している。これらのサービスは、新規および起業を目指す小規模事業者を対象としている。ブレイディの会社「ブレイディ・ボックス」は、ウェブページデザインサービス、ソーシャルネットワーキングサービス（SNS）、そしてオンラインストアの運営を支援するコンサルティングサービスを提供している。
残念ながら、ブレイディ社には苦情が寄せられています。アンナという顧客が最近、新製品の設計図をブレイディ・ボックスのチャットエリア（一般公開されている）にアップロードしました。アンナは2週間後に間違いに気づき、文書を削除しましたが、ブレイディ・ボックスがウェブサイトを定期的に監視していなければこのミスに気づかなかったとして、ブレイディ社に責任があると主張しています。ブレイディ社は、自身に責任はないと考えています。
別の顧客であるフェリペは、自分の個人情報がHermes Designsという第三者業者に転送されたことを知り、不安を感じ、事業計画に関する機密情報が悪用されるのではないかと心配している。ブレイディは、欧州のプライバシー規則に違反したとは考えていない。彼は、依頼されたサービスの提供のために個人データが特定の第三者に転送される可能性があることを明記したプライバシー通知をすべての顧客に提供している。フェリペはプライバシー通知を読んだが、長くて複雑だったと述べている。ブレイディは、Hermes Designsの誠実さを個人的に保証できるので、フェリペは心配する必要はないと主張し続けている。実際、Hermes Designsは、フェリペのような顧客のためにカスタマイズされたバナー広告のサンプルを作成するイニシアチブをとった。ブレイディは、Hermes Designsのウェブページに掲載されているバナー広告のサンプルへのリンクを喜んで提供している。Hermes Designsは、これらの顧客に対してダイレクトマーケティングを行う予定である。
ブレイディは、別の顧客であるセルジュが、ブレイディ・ボックスのホームページに掲載されているグラフィックコラージュの中に自分の言葉が使われていることに不満を表明したとき、驚いた。その言葉はセルジュの氏名（姓と名）で引用されていた。しかし、ブレイディは訴訟沙汰になるようなことは全く心配していなかった。彼はセルジュに返信し、その言葉はブレイディ・ボックスのソーシャルネットワーキングサービス（SNS）に投稿されたもので、セルジュ自身が投稿していたことを伝えた。返信の中で、ブレイディは礼儀として引用を削除することを申し出た。
顧客からの苦情がいくつかあったにもかかわらず、ブレイディのビジネスは順調に成長している。彼は、明確な役割分担を設定した第三者広告ネットワークを通じて、オンライン行動ターゲティング広告（OBA）で収入を補っている。顧客の中にはOBAの存在を明示的に認識していない人もいるが、広告には役立つ商品やサービスが含まれているため、ブレイディは満足している。
欧州におけるプライバシー慣行の現状を踏まえると、Brady Box社が欧州に進出した場合、同社のオンライン行動ターゲティング広告（OBA）のどの側面が不十分となる可能性が最も高いでしょうか？

「不当な遅延なく」という規定が遵守されると仮定した場合、データアクセス要求に応じる期限はいつですか？

シナリオ
次の質問に答える際は、以下の情報を使用してください。
ABC保険の長年の顧客であるジェイソンは、数か月前に軽微な自動車事故に遭った。
幸いにも負傷者は出なかったものの、ジェイソンはエルビウム・インシュアランスという会社から、人身傷害の賠償金請求を支援するという内容のメールや電話に悩まされている。ジェイソンは保険会社が顧客のデータを第三者に販売しているという話を聞いており、エルビウム社がABCから自分の情報を入手したに違いないと確信している。
ジェイソンはABC社から、自社の保険商品をすべて売り込もうとするマーケティング情報を受け取る機会が増えている。
このことに動揺したジェイソンは、インターネット上の価格比較サイトを調べ始め、長年ABC社の忠実な顧客であったにもかかわらず、他の保険会社がABC社よりもはるかに安い料金を提供していることに衝撃を受けた。ABC社の保険契約の更新時期が来たとき、彼はXentron Insurance社に切り替えることに決めた。
ジェイソンは新しい保険契約を有効にするために、無事故割引、車両、運転履歴に関する情報をXentronに提供する必要がある。GDPRに基づく自身の権利を調べた後、彼はABCに手紙を書き、自分の情報をXentronに直接転送するよう依頼する。また、この機会にABCに対し、自身の個人データをマーケティング目的で使用するのをやめるよう求める。
ABCはジェイソンに無事故証明書のPDF版とXML（拡張マークアップ言語）版を提供するが、技術的に不可能なため、ジェイソンのデータをXentronに直接転送することはできないと告げる。ABCはまた、ジェイソンの契約には、ジェイソンが自身のデータをマーケティング目的で使用することに同意したという条項が含まれていると説明し、ジェイソンが今さら考えを変えることはできないと告げる。ジェイソンは、法律用語だらけで非常に分かりにくい契約書の文言を思い出し、憤慨する。
その間も、ジェイソンはエルビウム保険から迷惑電話を受け続けていた。彼はエルビウム社に手紙を書き、自分の個人情報を同社に提供した組織の名前を尋ねた。彼はエルビウム社に対し、同社が自分のデータを違法に使用していると考えており、データ保護当局に苦情を申し立てるつもりだと警告した。手紙には、自分のデータが同社によっていかなる形でも使用されることを望まないと明記されていた。
エルビウム社の回答書は、ジェイソンの疑念を裏付けるものだった。エルビウム社はABC社の完全子会社であり、ジェイソンが事故の請求を提出した直後にABC社からジェイソンの事故に関する情報を受け取っていた。エルビウム社は、ジェイソンの契約には業務目的でABC社の関連会社と情報を共有することに同意する条項が含まれていたため、GDPR（一般データ保護規則）に違反はなかったとジェイソンに保証している。
ジェイソンはABCの対応に憤慨し、自分の情報をすべてコンピューターシステムから削除するよう求める手紙をABCに送った。
ジェイソンが自身のデータ利用を制限する権利を行使した後、エルビウム社がそれに従うことを拒否する根拠となるのはどのような場合でしょうか？