เกิดอะไรขึ้น
Enforcement Tracker รายงานรายการเกี่ยวกับ Eni Plenitude S.p.A. ในอิตาลี หน่วยงานที่ระบุคือ Italian Data Protection Authority (Garante) บทบัญญัติที่อ้าง: Art. 5 (1) a), d), f) GDPR, Art. 5 (2) GDPR, Art. 6 GDPR, Art. 24 GDPR, Art. 25 GDPR, Art. 28 GDPR, Art. 130 Codice della privacy หมวดการละเมิดที่ต้นทางระบุ: Non-compliance with general data processing principles สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง
- องค์กรที่เกี่ยวข้อง
- Eni Plenitude S.p.A.
- กฎหมาย / บทบัญญัติต่างประเทศ
- GDPR / บทบัญญัติตาม Enforcement Tracker Art. 5 (1) a), d), f) GDPR, Art. 5 (2) GDPR, Art. 6 GDPR, Art. 24 GDPR, Art. 25 GDPR, Art. 28 GDPR, Art. 130 Codice della privacy
- วันที่ที่ Enforcement Tracker ระบุ
- 2024-06-06
- ภาคธุรกิจตาม Tracker
- Transportation and Energy
- หมวดการละเมิดตาม Tracker
- Non-compliance with general data processing principles
- วันที่คำสั่ง / คำตัดสิน
- ไม่ระบุ
- วันที่เผยแพร่ประกาศ
- ไม่ระบุ
เทียบเคียงกับ PDPA ไทย
ประเด็นสำหรับ Eni Plenitude S.p.A. จากบทบัญญัติและหมวดที่ต้นทางระบุ
ฐานกฎหมายและวัตถุประสงค์
GDPR Art.5(1)(a) · GDPR Art.6
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความชอบด้วยกฎหมายและความเป็นธรรม; ฐานที่ทำให้การประมวลผลข้อมูลชอบด้วยกฎหมาย
เมื่อเกิดกรณีคล้ายกันในไทย: พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม
ขอบเขตที่ต่างกัน: ฐานตาม GDPR Art.6 กับเงื่อนไขไทย ม.24 ไม่ตรงกันทุกกรณี หากใช้ความยินยอมต้องพิจารณา ม.19 ประกอบ
สิ่งที่องค์กรไทยควรทบทวน: ทบทวนกิจกรรมใน ROPA และหลักฐานรองรับฐานกฎหมายของแต่ละวัตถุประสงค์
อ่านตัวบท PDPA ไทย ↗การแจ้งรายละเอียด
GDPR Art.5(1)(a)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความโปร่งใส
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก
ขอบเขตที่ต่างกัน: ข้อมูลที่ได้จากบุคคลโดยตรงเทียบ ม.23 ส่วนข้อมูลจากแหล่งอื่นต้องพิจารณา ม.25 พร้อมเงื่อนไขและข้อยกเว้นไทย
สิ่งที่องค์กรไทยควรทบทวน: ตรวจ Privacy Notice วัตถุประสงค์ ระยะเก็บ ผู้รับข้อมูล และช่องทางใช้สิทธิ
อ่านตัวบท PDPA ไทย ↗ข้อมูลถูกต้องและเป็นปัจจุบัน
GDPR Art.5(1)(d)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความถูกต้องและการปรับข้อมูลให้เป็นปัจจุบัน
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยผู้ควบคุมต้องดำเนินการให้ข้อมูลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด รวมถึงจัดการคำขอแก้ไข
ขอบเขตที่ต่างกัน: หน้าที่รักษาความถูกต้องและการตอบคำขอแก้ไขเป็นคนละส่วน ต้องตรวจเงื่อนไขของแต่ละส่วน
สิ่งที่องค์กรไทยควรทบทวน: ตรวจแหล่งข้อมูล วิธีปรับปรุงข้อมูล และช่องทางแก้ไขข้อมูลผิด พร้อมบันทึกเหตุผลเมื่อไม่ดำเนินการตามคำขอ
อ่านตัวบท PDPA ไทย ↗ความมั่นคงปลอดภัย
GDPR Art.5(1)(f)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความครบถ้วนและการรักษาความลับด้วยมาตรการความปลอดภัย
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยแยกบทบาทผู้ควบคุมและผู้ประมวลผลข้อมูล
ขอบเขตที่ต่างกัน: แยกหน้าที่ผู้ควบคุมตาม ม.37(1) กับผู้ประมวลผลตาม ม.40(2) และตรวจมาตรการตามกฎหมายลำดับรองไทย
สิ่งที่องค์กรไทยควรทบทวน: ตรวจสิทธิ์เข้าถึง การยืนยันตัวตน การเข้ารหัส และการทบทวนมาตรการตามความเสี่ยง
อ่านตัวบท PDPA ไทย ↗การกำกับดูแล
GDPR Art.5(2) · GDPR Art.24
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความรับผิดชอบและการแสดงให้เห็นว่าปฏิบัติตามหลักการ; ความรับผิดชอบของผู้ควบคุมและการแสดงการปฏิบัติตามกฎหมาย
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงบันทึกกิจกรรม หน้าที่ผู้ประมวลผล และ DPO ตามเงื่อนไขที่กฎหมายกำหนด
ขอบเขตที่ต่างกัน: บทบัญญัติไทยกระจายหน้าที่ไว้หลายมาตรา บันทึกและ DPO ต้องพิจารณาบทบาทและเกณฑ์ขององค์กร ไม่ใช่หน้าที่เดียวกับ GDPR ทุกองค์ประกอบ
สิ่งที่องค์กรไทยควรทบทวน: พิจารณาว่าองค์กรเข้าเกณฑ์แต่งตั้ง DPO หรือข้อยกเว้น ROPA หรือไม่
อ่านตัวบท PDPA ไทย ↗ออกแบบระบบให้คุ้มครองข้อมูล
GDPR Art.25
เทียบจากบทบัญญัติประเด็นตาม GDPR: การคุ้มครองข้อมูลตั้งแต่การออกแบบและโดยค่าเริ่มต้น
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยนำประเด็นนี้มาตรวจการลดข้อมูลที่เก็บและมาตรการความปลอดภัยที่เหมาะสมตั้งแต่การออกแบบระบบ
ขอบเขตที่ต่างกัน: พ.ร.บ.ไทยไม่มีบทบัญญัติชื่อและรายละเอียดตรงกับ GDPR Art.25 การจับคู่นี้เทียบเคียงหน้าที่บางส่วน
สิ่งที่องค์กรไทยควรทบทวน: ตรวจค่าเริ่มต้นของการเปิดเผย สิทธิ์เข้าถึง ช่องข้อมูล และมาตรการป้องกันก่อนเปิดใช้ฟังก์ชัน
อ่านตัวบท PDPA ไทย ↗ผู้ประมวลผลข้อมูล
GDPR Art.28
เทียบจากบทบัญญัติประเด็นตาม GDPR: หน้าที่และข้อตกลงกับผู้ประมวลผลข้อมูล
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงการควบคุมการใช้ข้อมูล การดำเนินการตามคำสั่ง และข้อตกลงระหว่างผู้ควบคุมกับผู้ประมวลผล
ขอบเขตที่ต่างกัน: หน้าที่และข้อตกลงของผู้ประมวลผลต้องใช้ ม.40 ไทย ไม่ถือว่าข้อกำหนดสัญญาทุกข้อของ GDPR Art.28 ใช้ตรงกัน
สิ่งที่องค์กรไทยควรทบทวน: ทบทวนสัญญาประมวลผลข้อมูล มาตรการความปลอดภัย และผู้รับจ้างช่วง
อ่านตัวบท PDPA ไทย ↗อ่านต่อเรื่อง PDPA และการคุ้มครองข้อมูล
PDPA คืออะไร? ความยินยอม สิทธิ และบทเรียนสำหรับองค์กรไทย →
รายการในประเด็นหรือประเทศเดียวกัน