เกิดอะไรขึ้น
Enforcement Tracker รายงานรายการเกี่ยวกับ Hotel ในฮังการี หน่วยงานที่ระบุคือ Hungarian National Authority for Data Protection and the Freedom of Information (NAIH) บทบัญญัติที่อ้าง: Art. 5 (1) e) GDPR, Art. 6 (1) GDPR, Art. 12 GDPR, Art. 13 GDPR, Art. 31 GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient legal basis for data processing สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง
- องค์กรที่เกี่ยวข้อง
- Hotel
- กฎหมาย / บทบัญญัติต่างประเทศ
- GDPR / บทบัญญัติตาม Enforcement Tracker Art. 5 (1) e) GDPR, Art. 6 (1) GDPR, Art. 12 GDPR, Art. 13 GDPR, Art. 31 GDPR
- วันที่ที่ Enforcement Tracker ระบุ
- 2022-12-21
- ภาคธุรกิจตาม Tracker
- Accommodation and Hospitality
- หมวดการละเมิดตาม Tracker
- Insufficient legal basis for data processing
- วันที่คำสั่ง / คำตัดสิน
- ไม่ระบุ
- วันที่เผยแพร่ประกาศ
- ไม่ระบุ
เทียบเคียงกับ PDPA ไทย
ประเด็นสำหรับ Hotel จากบทบัญญัติและหมวดที่ต้นทางระบุ
ระยะเวลาเก็บและการลบข้อมูล
GDPR Art.5(1)(e)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักจำกัดระยะเวลาเก็บข้อมูล
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องมีระบบตรวจสอบและลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาเก็บ หมดความจำเป็น หรือมีเหตุตามกฎหมาย โดยพิจารณาข้อยกเว้น
ขอบเขตที่ต่างกัน: GDPR Art.5(1)(e) เป็นหลักจำกัดระยะเวลาเก็บ ส่วนไทย ม.37(3) กำหนดหน้าที่จัดระบบตรวจสอบและลบหรือทำลาย
สิ่งที่องค์กรไทยควรทบทวน: กำหนดอายุข้อมูลตามวัตถุประสงค์และหน้าที่ตามกฎหมาย ทดสอบการลบจากระบบหลักและข้อมูลสำรองตามบริบท
อ่านตัวบท PDPA ไทย ↗ฐานกฎหมายและวัตถุประสงค์
GDPR Art.6
เทียบจากบทบัญญัติประเด็นตาม GDPR: ฐานที่ทำให้การประมวลผลข้อมูลชอบด้วยกฎหมาย
เมื่อเกิดกรณีคล้ายกันในไทย: พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม
ขอบเขตที่ต่างกัน: ฐานตาม GDPR Art.6 กับเงื่อนไขไทย ม.24 ไม่ตรงกันทุกกรณี หากใช้ความยินยอมต้องพิจารณา ม.19 ประกอบ
สิ่งที่องค์กรไทยควรทบทวน: ทบทวนกิจกรรมใน ROPA และหลักฐานรองรับฐานกฎหมายของแต่ละวัตถุประสงค์
อ่านตัวบท PDPA ไทย ↗สิทธิของเจ้าของข้อมูล
GDPR Art.12
เทียบจากบทบัญญัติประเด็นตาม GDPR: การอำนวยความสะดวกและขั้นตอนใช้สิทธิของเจ้าของข้อมูล
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงสิทธิเข้าถึง โอน คัดค้าน ลบ ระงับ และแก้ไขข้อมูลตามเงื่อนไขของแต่ละสิทธิ
ขอบเขตที่ต่างกัน: ดัชนียังไม่ระบุสิทธิข้อใดโดยเฉพาะ ต้องแยกสิทธิและใช้เงื่อนไขของ ม.30–36 ไทย
สิ่งที่องค์กรไทยควรทบทวน: กำหนดผู้รับผิดชอบ ขั้นตอนตรวจตัวตน และเวลาตอบคำขอที่ตรงตามกฎหมาย
อ่านตัวบท PDPA ไทย ↗การแจ้งรายละเอียด
GDPR Art.13
เทียบจากบทบัญญัติประเด็นตาม GDPR: ข้อมูลที่ต้องแจ้งเมื่อได้ข้อมูลจากบุคคลโดยตรง
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก
ขอบเขตที่ต่างกัน: ข้อมูลที่ได้จากบุคคลโดยตรงเทียบ ม.23 ส่วนข้อมูลจากแหล่งอื่นต้องพิจารณา ม.25 พร้อมเงื่อนไขและข้อยกเว้นไทย
สิ่งที่องค์กรไทยควรทบทวน: ตรวจ Privacy Notice วัตถุประสงค์ ระยะเก็บ ผู้รับข้อมูล และช่องทางใช้สิทธิ
อ่านตัวบท PDPA ไทย ↗การตอบคำขอและคำสั่งของหน่วยงานกำกับ
GDPR Art.31
เทียบจากบทบัญญัติประเด็นตาม GDPR: หน้าที่ให้ความร่วมมือกับหน่วยงานกำกับ
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องพิจารณาคำสั่งให้ส่งเอกสาร ชี้แจง หรือให้ข้อมูลตามอำนาจของคณะกรรมการผู้เชี่ยวชาญและพนักงานเจ้าหน้าที่
ขอบเขตที่ต่างกัน: GDPR Art.31 เป็นหน้าที่ให้ความร่วมมือโดยตรง ส่วนมาตราไทยที่ยกมาเป็นอำนาจเรียกข้อมูลและตรวจสอบ ไม่ใช่บทบัญญัติที่มีถ้อยคำตรงกัน
สิ่งที่องค์กรไทยควรทบทวน: กำหนดผู้ประสานงาน เก็บหลักฐานคำสั่งและเอกสารตอบกลับ ตรวจขอบเขตอำนาจและกำหนดเวลาตามคำสั่งจริง
อ่านตัวบท PDPA ไทย ↗อ่านต่อเรื่อง PDPA และการคุ้มครองข้อมูล
PDPA คืออะไร? ความยินยอม สิทธิ และบทเรียนสำหรับองค์กรไทย →
รายการในประเด็นหรือประเทศเดียวกัน