เกิดอะไรขึ้น
Enforcement Tracker รายงานรายการเกี่ยวกับ Tarento municipality ในอิตาลี หน่วยงานที่ระบุคือ Italian Data Protection Authority (Garante) บทบัญญัติที่อ้าง: Art. 5 GDPR, Art. 12 GDPR, Art. 13 GDPR, Art. 14 GDPR, Art. 28 GDPR, Art. 35 GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient fulfilment of information obligations สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง
- องค์กรที่เกี่ยวข้อง
- Tarento municipality
- กฎหมาย / บทบัญญัติต่างประเทศ
- GDPR / บทบัญญัติตาม Enforcement Tracker Art. 5 GDPR, Art. 12 GDPR, Art. 13 GDPR, Art. 14 GDPR, Art. 28 GDPR, Art. 35 GDPR
- วันที่ที่ Enforcement Tracker ระบุ
- 2022-04-28
- ภาคธุรกิจตาม Tracker
- Public Sector and Education
- หมวดการละเมิดตาม Tracker
- Insufficient fulfilment of information obligations
- วันที่คำสั่ง / คำตัดสิน
- ไม่ระบุ
- วันที่เผยแพร่ประกาศ
- ไม่ระบุ
เทียบเคียงกับ PDPA ไทย
ประเด็นสำหรับ Tarento municipality จากบทบัญญัติและหมวดที่ต้นทางระบุ
หลักการประมวลผลข้อมูล
GDPR Art.5
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักการประมวลผลข้อมูล โดยดัชนีไม่ระบุหลักการข้อย่อย
เมื่อเกิดกรณีคล้ายกันในไทย: คดีที่อ้างหลักการโดยรวมควรนำมาตรวจวัตถุประสงค์ ความจำเป็น ฐานกฎหมาย ความถูกต้อง ระยะเวลาเก็บ และความปลอดภัยของกิจกรรมในไทย
ขอบเขตที่ต่างกัน: เมื่อดัชนีไม่ระบุอนุมาตราของ Art.5 ยังเลือกหลักการข้อใดข้อหนึ่งเป็นข้อวินิจฉัยของคดีไม่ได้
สิ่งที่องค์กรไทยควรทบทวน: ตรวจวงจรข้อมูลตั้งแต่เก็บจนลบ เพื่อแยกว่าประเด็นใดเกี่ยวข้องกับกิจกรรมจริงก่อนเลือกมาตราไทย
อ่านตัวบท PDPA ไทย ↗สิทธิของเจ้าของข้อมูล
GDPR Art.12
เทียบจากบทบัญญัติประเด็นตาม GDPR: การอำนวยความสะดวกและขั้นตอนใช้สิทธิของเจ้าของข้อมูล
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงสิทธิเข้าถึง โอน คัดค้าน ลบ ระงับ และแก้ไขข้อมูลตามเงื่อนไขของแต่ละสิทธิ
ขอบเขตที่ต่างกัน: ดัชนียังไม่ระบุสิทธิข้อใดโดยเฉพาะ ต้องแยกสิทธิและใช้เงื่อนไขของ ม.30–36 ไทย
สิ่งที่องค์กรไทยควรทบทวน: กำหนดผู้รับผิดชอบ ขั้นตอนตรวจตัวตน และเวลาตอบคำขอที่ตรงตามกฎหมาย
อ่านตัวบท PDPA ไทย ↗การแจ้งรายละเอียด
GDPR Art.13 · GDPR Art.14
เทียบจากบทบัญญัติประเด็นตาม GDPR: ข้อมูลที่ต้องแจ้งเมื่อได้ข้อมูลจากบุคคลโดยตรง; ข้อมูลที่ต้องแจ้งเมื่อไม่ได้ข้อมูลจากบุคคลโดยตรง
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก
ขอบเขตที่ต่างกัน: ข้อมูลที่ได้จากบุคคลโดยตรงเทียบ ม.23 ส่วนข้อมูลจากแหล่งอื่นต้องพิจารณา ม.25 พร้อมเงื่อนไขและข้อยกเว้นไทย
สิ่งที่องค์กรไทยควรทบทวน: ตรวจ Privacy Notice วัตถุประสงค์ ระยะเก็บ ผู้รับข้อมูล และช่องทางใช้สิทธิ
อ่านตัวบท PDPA ไทย ↗ผู้ประมวลผลข้อมูล
GDPR Art.28
เทียบจากบทบัญญัติประเด็นตาม GDPR: หน้าที่และข้อตกลงกับผู้ประมวลผลข้อมูล
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงการควบคุมการใช้ข้อมูล การดำเนินการตามคำสั่ง และข้อตกลงระหว่างผู้ควบคุมกับผู้ประมวลผล
ขอบเขตที่ต่างกัน: หน้าที่และข้อตกลงของผู้ประมวลผลต้องใช้ ม.40 ไทย ไม่ถือว่าข้อกำหนดสัญญาทุกข้อของ GDPR Art.28 ใช้ตรงกัน
สิ่งที่องค์กรไทยควรทบทวน: ทบทวนสัญญาประมวลผลข้อมูล มาตรการความปลอดภัย และผู้รับจ้างช่วง
อ่านตัวบท PDPA ไทย ↗ประเมินความเสี่ยงของกิจกรรมข้อมูล
GDPR Art.35
เทียบจากบทบัญญัติประเด็นตาม GDPR: การประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA)
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยใช้ประเด็นการประเมินผลกระทบเพื่อทบทวนว่ามาตรการรักษาความมั่นคงปลอดภัยเหมาะกับความเสี่ยงของกิจกรรมหรือไม่
ขอบเขตที่ต่างกัน: ม.37(1) ไม่ใช่หน้าที่ DPIA หรือปรึกษาหน่วยงานก่อนประมวลผลที่มีเงื่อนไขตรงกับ GDPR Art.35–36 ต้องตรวจข้อกำหนดไทยเพิ่มเติม
สิ่งที่องค์กรไทยควรทบทวน: จัดทำรายการความเสี่ยง ผู้ได้รับผลกระทบ มาตรการลดความเสี่ยง และผู้อนุมัติก่อนเริ่มกิจกรรมที่เสี่ยงสูง
อ่านตัวบท PDPA ไทย ↗อ่านต่อเรื่อง PDPA และการคุ้มครองข้อมูล
PDPA คืออะไร? ความยินยอม สิทธิ และบทเรียนสำหรับองค์กรไทย →
รายการในประเด็นหรือประเทศเดียวกัน