รายการบังคับใช้กฎหมาย: Piraeus Bank (ETid-1921)

ฐานกฎหมายและวัตถุประสงค์

GDPR Art.5(1)(a) · GDPR Art.6

ประเด็นตาม GDPR: หลักความชอบด้วยกฎหมายและความเป็นธรรม; ฐานที่ทำให้การประมวลผลข้อมูลชอบด้วยกฎหมาย

เมื่อเกิดกรณีคล้ายกันในไทย: พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม

ขอบเขตที่ต่างกัน: ฐานตาม GDPR Art.6 กับเงื่อนไขไทย ม.24 ไม่ตรงกันทุกกรณี หากใช้ความยินยอมต้องพิจารณา ม.19 ประกอบ

สิ่งที่องค์กรไทยควรทบทวน: ทบทวนกิจกรรมใน ROPA และหลักฐานรองรับฐานกฎหมายของแต่ละวัตถุประสงค์

การแจ้งรายละเอียด

GDPR Art.5(1)(a)

ประเด็นตาม GDPR: หลักความโปร่งใส

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก

ขอบเขตที่ต่างกัน: ข้อมูลที่ได้จากบุคคลโดยตรงเทียบ ม.23 ส่วนข้อมูลจากแหล่งอื่นต้องพิจารณา ม.25 พร้อมเงื่อนไขและข้อยกเว้นไทย

สิ่งที่องค์กรไทยควรทบทวน: ตรวจ Privacy Notice วัตถุประสงค์ ระยะเก็บ ผู้รับข้อมูล และช่องทางใช้สิทธิ

สิทธิเข้าถึงและรับสำเนาข้อมูล

GDPR Art.15

ประเด็นตาม GDPR: สิทธิเข้าถึงข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยเจ้าของข้อมูลมีสิทธิขอเข้าถึงและรับสำเนาข้อมูล รวมถึงขอทราบที่มาของข้อมูลที่ตนไม่ได้ให้ความยินยอม การปฏิเสธต้องมีเหตุที่กฎหมายรองรับ

ขอบเขตที่ต่างกัน: ไทยกำหนดกรอบดำเนินการตาม ม.30 ไม่เกิน 30 วันนับแต่ได้รับคำขอที่ไม่อาจปฏิเสธ ไม่ใช้กรอบหนึ่งเดือนของ GDPR แทนโดยอัตโนมัติ

สิ่งที่องค์กรไทยควรทบทวน: ตรวจขั้นตอนรับคำขอ ยืนยันตัวตน ค้นข้อมูล และส่งสำเนาโดยไม่กระทบสิทธิผู้อื่น

ออกแบบระบบให้คุ้มครองข้อมูล

GDPR Art.25

ประเด็นตาม GDPR: การคุ้มครองข้อมูลตั้งแต่การออกแบบและโดยค่าเริ่มต้น

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยนำประเด็นนี้มาตรวจการลดข้อมูลที่เก็บและมาตรการความปลอดภัยที่เหมาะสมตั้งแต่การออกแบบระบบ

ขอบเขตที่ต่างกัน: พ.ร.บ.ไทยไม่มีบทบัญญัติชื่อและรายละเอียดตรงกับ GDPR Art.25 การจับคู่นี้เทียบเคียงหน้าที่บางส่วน

สิ่งที่องค์กรไทยควรทบทวน: ตรวจค่าเริ่มต้นของการเปิดเผย สิทธิ์เข้าถึง ช่องข้อมูล และมาตรการป้องกันก่อนเปิดใช้ฟังก์ชัน