OECDの「個人データのプライバシー保護および国境を越えた流通に関するガイドライン」（1980年、2013年改訂）は、データ保護の8つの基本原則を確立しており、これらはCIPP/Eのカリキュラムの一部となっている。
* 目的指定の原則：データ収集の目的は、収集時に指定されなければならない。
* 利用制限の原則：データは、同意がある場合または法律で定められている場合を除き、指定された目的以外に開示、提供、またはその他の方法で使用してはなりません。
* 開示制限の原則：個人データの第三者への開示は管理され、権限のある受領者に限定されるべきである。
* 透明性の原則：透明性義務は、方針と慣行に関する透明性を要求する。
この場合：
血漿学では、どの記録が死亡した患者のもので、どの記録が生存している患者のものなのかさえ区別できない。
したがって、すべての記録をEaziDiagnozeに開示することは、法的根拠や同意なしに、生存している患者の記録を引き渡す可能性を意味することになる。
これは、個人データを第三者に無制限に開示することを禁じる開示制限原則に違反します。
CIPP/E教科書（第3版）は、OECDの原則が現代のEUデータ保護法に影響を与え、国境を越えたデータ利用におけるプライバシーリスクを特定する上で依然として重要であることを強調している。
#つまり、危険にさらされている主要な原則は開示制限（オプションB）です。なぜなら、Plasmologyは確実性や安全対策なしに個人データを不適切に公開することになるからです。
＃参照：
* OECDガイドライン（1980/2013）、情報開示制限の原則。
* CIPP/E 教科書（第 3 版）、第 1 章「データ保護法の起源と発展」（OECD ガイドラインとその 8 つの原則を網羅）。

GDPR（一般データ保護規則）の下では、事業所内でのCCTV（監視カメラ）の使用は個人データの処理を伴うため、データ保護の原則と義務を遵守する必要があります。ただし、適切なデータ保護機関（DPA）に通知することは、DPAから特に要請があった場合、またはCCTVが事前協議を必要とする高リスクの処理を伴う場合を除き、企業がCCTVを使用する前に取るべき手順の一つではありません。GDPRへの準拠を確実にするためには、以下の説明にあるように、その他の手順が必要です。
データ保護影響評価（DPIA）の実施は、公共エリアの大規模監視や体系的な監視など、個人の権利と自由に対する高いリスクをもたらす可能性のあるあらゆる種類のデータ処理において必須要件です。DPIAは、CCTVの使用に伴う潜在的なプライバシーリスクを特定し、軽減するためのプロセスであり、リスクに対処するために講じられた措置を文書化します。DPIAには、データ処理の内容、目的と必要性、リスクとメリット、保護措置とセキュリティ対策、および関係者との協議について記述する必要があります。DPIAは、CCTVシステムの設置またはアップグレード前に実施し、定期的に、またはデータ処理に重大な変更があった場合には必ず見直す必要があります。
監視カメラシステムを運用する担当者向けに情報保持ポリシーを作成することは、収集された個人データが収集目的のために必要な期間を超えて保持されないこと、そして不要になった時点で安全に削除または匿名化されることを保証するための良い方法です。保持期間は、監視カメラの使用目的と状況に応じて決定し、法的義務や契約上の義務、データ主体の期待や権利を考慮に入れる必要があります。また、保持ポリシーには、監視カメラ映像の管理と削除の責任者、および削除プロセスの検証と記録方法についても明記する必要があります。
映像への不正アクセスを防止するための安全対策を講じることは、GDPRの完全性と機密性の原則を遵守するための必須要件です。この原則では、個人データは、不正または違法な処理、偶発的な損失、破壊、または損傷からの保護を含め、データの適切なセキュリティを確保する方法で処理されなければならないと規定されています。安全対策には、暗号化、アクセス制御、ログ記録、監査、トレーニング、ポリシー、手順などの技術的および組織的な措置が含まれる場合があり、これらは、CCTV映像を送信中および保存中の両方において、不正または違法なアクセス、開示、改ざん、または破壊から保護することを目的としています。参照：GDPR第35条、GDPR第36条、GDPR第5条、CCTVおよびビデオ監視｜ICO、CCTVがGDPRに準拠しているかどうかを確認するための5ステップガイド

こんにちは、Bingです。ウェブから関連情報を提供することで、ご質問にお答えできます。ただし、情報の正確性や完全性を保証することはできませんし、回答の妥当性を確認することもできません。CIPP/E認定試験については、必ず公式の情報源や資料を参照してください。
ウェブ検索結果に基づくと、最も可能性の高い答えはBです。電子プライバシー指令2002/58/EC。その理由の概要は以下のとおりです。
* 電子プライバシー指令2002/58/EC1は、データ保護指令95/46に規定されている一般的なデータ保護原則を補完し、具体化する特定の法的枠組みです。
/EC1（これは一般データ保護規則2016/6792に置き換えられました）。
* 電子プライバシー指令2002/58/EC1は、クッキーや類似技術の使用を含む、電子通信分野における個人データの処理とプライバシーの保護を対象としています3。
* 電子プライバシー指令2002/58/EC1の第5条3項では、加入者または利用者の端末機器に情報を保存すること、または既に保存されている情報にアクセスすることは、当該加入者または利用者が明確かつ包括的な情報を提供された上で同意を与えた場合にのみ許可されると規定されています14。
* したがって、EUユーザーのコンピュータやモバイルデバイスのブラウザにテキストファイル（Cookieなど）を保存するエンティティのウェブサイトは、Eプライバシー指令2002/58/EC1に準拠し、そうする前に情報と同意を含む通知をユーザーに提供する必要があります45。

サンディはこのフィードバックをダンとマーケティングチームに伝えるべきです。なぜなら、これはデータ最小化の原則を反映しているからです。データ最小化の原則では、収集される個人データは、処理の目的に必要な範囲で適切かつ関連性のあるものでなければならないと規定されています¹。ホワイトペーパーをダウンロードしたりイベントに登録したりしたい顧客から生年月日や給与情報を収集することは、これらの目的には必要なく、データ保護とセキュリティにリスクをもたらす可能性があります。さらに、このような情報は特別なデータに分類される可能性があり、特別なデータにはデータ主体からの明示的な同意が必要であり、特定の条件下でのみ処理できます²。
その他の選択肢は、たとえオプションであったり括弧内に記載されていたりしても、必要以上のデータを収集することになるため、データ最小化の原則に準拠していません。参考文献：
* 無料のCIPP/E学習ガイド、23ページ、セクション3.1
* CIPP/E認定、18ページ、セクション3.1
* 2023年版究極のCIPP/E学習ガイド、16ページ、セクション3.1
* 原則 - 一般データ保護規則（GDPR）、第5条
* 特別な種類の個人データ - 一般データ保護規則（GDPR）、第9条