จุดเริ่มต้นศึกษากฎหมายจากแหล่งทางการ พร้อมกรอบเทียบเคียงไทย
กฎหมายหลักสำหรับเทียบเคียงหน้าที่ ฐานการประมวลผล สิทธิของเจ้าของข้อมูล และการรักษาความมั่นคงปลอดภัยในประเทศไทย
ตัวบทหลักเผยแพร่ในราชกิจจานุเบกษา 27 พ.ค. 2562; ต้องอ่านประกาศและกฎหมายลำดับรองที่เกี่ยวข้องเพิ่มเติม
| ประเด็น | บทบัญญัติไทย | บริบทที่ต้องพิจารณา |
|---|---|---|
| ความมั่นคงปลอดภัย | ม.37(1), ม.40(2) | เทียบเคียงหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยแยกบทบาทผู้ควบคุมและผู้ประมวลผลข้อมูล |
| การแจ้งเหตุละเมิด | ม.37(4), ม.40(2) | ผู้ควบคุมพิจารณาแจ้งสำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ; หากเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้า ผู้ประมวลผลแจ้งผู้ควบคุม |
| ฐานกฎหมายและวัตถุประสงค์ | ม.21, ม.24, ม.27 | พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม |
| ความยินยอม | ม.19, ม.26, ม.27 | เมื่อใช้ฐานความยินยอม ต้องพิจารณาความชัดเจน อิสระ และการถอน สำหรับข้อมูลอ่อนไหวให้พิจารณาเงื่อนไขและข้อยกเว้นของ ม.26 |
| การแจ้งรายละเอียด | ม.23, ม.25 | เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก |
| สิทธิของเจ้าของข้อมูล | ม.30–36 | เทียบเคียงสิทธิเข้าถึง โอน คัดค้าน ลบ ระงับ และแก้ไขข้อมูลตามเงื่อนไขของแต่ละสิทธิ |
| ระยะเวลาเก็บและการลบข้อมูล | ม.37(3) | ในไทยต้องมีระบบตรวจสอบและลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาเก็บ หมดความจำเป็น หรือมีเหตุตามกฎหมาย โดยพิจารณาข้อยกเว้น |
| การโอนข้ามประเทศ | ม.28–29 | เทียบเคียงเงื่อนไขโอนข้อมูลไปต่างประเทศและกลไกตามกฎหมายไทย ต้องอ่านประกาศที่เกี่ยวข้องเพิ่มเติม |
| ผู้ประมวลผลข้อมูล | ม.37(2), ม.40 | เทียบเคียงการควบคุมการใช้ข้อมูล การดำเนินการตามคำสั่ง และข้อตกลงระหว่างผู้ควบคุมกับผู้ประมวลผล |
| ข้อมูลผู้เยาว์ | ม.20 ประกอบ ม.19 | กรณีใช้ฐานความยินยอมของผู้เยาว์ต้องพิจารณาอายุและความสามารถตามกฎหมายไทย; เกณฑ์อายุของกฎหมายต่างประเทศอาจแตกต่าง |
| ข้อมูลอ่อนไหว / ชีวมิติ | ม.26 | ข้อมูลชีวมิติที่ใช้ระบุตัวบุคคลมีเงื่อนไขเฉพาะ ต้องพิจารณาความยินยอมโดยชัดแจ้งหรือข้อยกเว้นตามกฎหมาย |
| การกำกับดูแล | ม.39–42 | เทียบเคียงบันทึกกิจกรรม หน้าที่ผู้ประมวลผล และ DPO ตามเงื่อนไขที่กฎหมายกำหนด |
| เก็บข้อมูลเท่าที่จำเป็น | ม.22 | หากกิจกรรมลักษณะเดียวกันเกิดในไทย ต้องพิจารณาว่าข้อมูลแต่ละรายการจำเป็นต่อวัตถุประสงค์อันชอบด้วยกฎหมายหรือไม่ และลดการเก็บข้อมูลที่ไม่จำเป็น |
| ใช้ข้อมูลตรงตามวัตถุประสงค์ | ม.21, ม.27 | ในไทยต้องตรวจว่าการเก็บ ใช้ หรือเปิดเผยตรงกับวัตถุประสงค์ที่แจ้งไว้หรือไม่ การเปลี่ยนวัตถุประสงค์ต้องเข้าเงื่อนไขกฎหมาย |
| ข้อมูลถูกต้องและเป็นปัจจุบัน | ม.35, ม.36 | ในไทยผู้ควบคุมต้องดำเนินการให้ข้อมูลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด รวมถึงจัดการคำขอแก้ไข |
| หลักการประมวลผลข้อมูล | ม.21–24, ม.27, ม.35, ม.37 | คดีที่อ้างหลักการโดยรวมควรนำมาตรวจวัตถุประสงค์ ความจำเป็น ฐานกฎหมาย ความถูกต้อง ระยะเวลาเก็บ และความปลอดภัยของกิจกรรมในไทย |
| สิทธิเข้าถึงและรับสำเนาข้อมูล | ม.30 | ในไทยเจ้าของข้อมูลมีสิทธิขอเข้าถึงและรับสำเนาข้อมูล รวมถึงขอทราบที่มาของข้อมูลที่ตนไม่ได้ให้ความยินยอม การปฏิเสธต้องมีเหตุที่กฎหมายรองรับ |
| สิทธิขอแก้ไขข้อมูล | ม.35, ม.36 | ในไทยต้องพิจารณาคำขอให้ข้อมูลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด หากไม่ดำเนินการต้องบันทึกคำขอและเหตุผล |
| สิทธิขอลบหรือทำลายข้อมูล | ม.33, ม.37(3) | ในไทยต้องพิจารณาเหตุที่ขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ และข้อยกเว้น เช่น การใช้สิทธิเรียกร้องตามกฎหมาย |
| สิทธิระงับการใช้ข้อมูล | ม.34 | ในไทยต้องตรวจว่าคำขอเข้ากรณีระงับการใช้ข้อมูลตาม ม.34 หรือไม่ เช่น ระหว่างตรวจความถูกต้องหรือการคัดค้าน |
| สิทธิขอรับและโอนข้อมูล | ม.31 | ในไทยต้องตรวจลักษณะข้อมูล รูปแบบที่เครื่องอ่านได้ ฐานกฎหมาย และความเป็นไปได้ทางเทคนิคก่อนดำเนินการโอนตามคำขอ |
| สิทธิคัดค้านการใช้ข้อมูล | ม.32 | ในไทยต้องตรวจฐานการประมวลผลและวัตถุประสงค์ที่ถูกคัดค้าน โดยแยกกรณีการตลาดแบบตรงออกจากกรณีอื่น |
| ข้อมูลส่วนบุคคลอ่อนไหว | ม.26 | ในไทยต้องตรวจว่าข้อมูลเป็นประเภทอ่อนไหวตาม ม.26 หรือไม่ และมีความยินยอมโดยชัดแจ้งหรือข้อยกเว้นใดรองรับ |
| บันทึกรายการประมวลผลข้อมูล | ม.39, ม.40(3) | ในไทยต้องตรวจหน้าที่บันทึกของผู้ควบคุมและผู้ประมวลผล รวมถึงข้อยกเว้นที่เกี่ยวข้องกับองค์กรนั้น |
| เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล | ม.41, ม.42 | ในไทยต้องตรวจว่าเข้าเกณฑ์แต่งตั้ง DPO หรือไม่ และหากแต่งตั้งแล้วต้องสนับสนุนบทบาท การเข้าถึงข้อมูล และการรายงานต่อผู้บริหาร |
| การตอบคำขอและคำสั่งของหน่วยงานกำกับ | ม.75, ม.76 | ในไทยต้องพิจารณาคำสั่งให้ส่งเอกสาร ชี้แจง หรือให้ข้อมูลตามอำนาจของคณะกรรมการผู้เชี่ยวชาญและพนักงานเจ้าหน้าที่ |
| ออกแบบระบบให้คุ้มครองข้อมูล | ม.22, ม.37(1) | ในไทยนำประเด็นนี้มาตรวจการลดข้อมูลที่เก็บและมาตรการความปลอดภัยที่เหมาะสมตั้งแต่การออกแบบระบบ |
| ประเมินความเสี่ยงของกิจกรรมข้อมูล | ม.37(1) | ในไทยใช้ประเด็นการประเมินผลกระทบเพื่อทบทวนว่ามาตรการรักษาความมั่นคงปลอดภัยเหมาะกับความเสี่ยงของกิจกรรมหรือไม่ |
| การตัดสินใจด้วยระบบอัตโนมัติ | ม.23, ม.30, ม.32 | ในไทยควรตรวจการแจ้งรายละเอียด การเข้าถึงข้อมูล และสิทธิคัดค้านเมื่อเข้าเงื่อนไขของฐานและวัตถุประสงค์ที่ใช้ |
| ตัวแทนขององค์กรนอกประเทศ | ม.37(5), ม.38 ประกอบ ม.5 | หากกิจกรรมขององค์กรนอกไทยอยู่ในขอบเขตใช้บังคับตาม ม.5 ต้องตรวจหน้าที่แต่งตั้งตัวแทนและข้อยกเว้นตามกฎหมายไทย |
| การแบ่งหน้าที่ของผู้ควบคุมร่วม | ม.37(1), ม.39 | หากหลายองค์กรร่วมกำหนดวัตถุประสงค์และวิธีการ ควรแยกบทบาทจริงและตรวจหน้าที่ความปลอดภัยและบันทึกของผู้ควบคุมแต่ละรายในไทย |
| การใช้ข้อมูลภายใต้อำนาจและคำสั่ง | ม.37(1), ม.40(1) | ในไทยควรตรวจสิทธิ์ของผู้ที่เข้าถึงข้อมูล และในกรณีผู้ประมวลผลต้องดำเนินการตามคำสั่งของผู้ควบคุมภายใต้เงื่อนไขกฎหมาย |