เกิดอะไรขึ้น
Enforcement Tracker รายงานรายการเกี่ยวกับ Sats ASA ในนอร์เวย์ หน่วยงานที่ระบุคือ Norwegian Supervisory Authority (Datatilsynet) บทบัญญัติที่อ้าง: Art. 5 (1) a), e) GDPR, Art. 6 (1) GDPR, Art. 12 (1), (3) GDPR, Art. 13 GDPR, Art. 15 GDPR, Art. 17 GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient fulfilment of data subjects rights สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง
- องค์กรที่เกี่ยวข้อง
- Sats ASA
- กฎหมาย / บทบัญญัติต่างประเทศ
- GDPR / บทบัญญัติตาม Enforcement Tracker Art. 5 (1) a), e) GDPR, Art. 6 (1) GDPR, Art. 12 (1), (3) GDPR, Art. 13 GDPR, Art. 15 GDPR, Art. 17 GDPR
- วันที่ที่ Enforcement Tracker ระบุ
- 2023-02-06
- ภาคธุรกิจตาม Tracker
- Industry and Commerce
- หมวดการละเมิดตาม Tracker
- Insufficient fulfilment of data subjects rights
- วันที่คำสั่ง / คำตัดสิน
- ไม่ระบุ
- วันที่เผยแพร่ประกาศ
- ไม่ระบุ
เทียบเคียงกับ PDPA ไทย
ประเด็นสำหรับ Sats ASA จากบทบัญญัติและหมวดที่ต้นทางระบุ
ฐานกฎหมายและวัตถุประสงค์
GDPR Art.5(1)(a) · GDPR Art.6
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความชอบด้วยกฎหมายและความเป็นธรรม; ฐานที่ทำให้การประมวลผลข้อมูลชอบด้วยกฎหมาย
เมื่อเกิดกรณีคล้ายกันในไทย: พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม
ขอบเขตที่ต่างกัน: ฐานตาม GDPR Art.6 กับเงื่อนไขไทย ม.24 ไม่ตรงกันทุกกรณี หากใช้ความยินยอมต้องพิจารณา ม.19 ประกอบ
สิ่งที่องค์กรไทยควรทบทวน: ทบทวนกิจกรรมใน ROPA และหลักฐานรองรับฐานกฎหมายของแต่ละวัตถุประสงค์
อ่านตัวบท PDPA ไทย ↗การแจ้งรายละเอียด
GDPR Art.5(1)(a) · GDPR Art.13
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความโปร่งใส; ข้อมูลที่ต้องแจ้งเมื่อได้ข้อมูลจากบุคคลโดยตรง
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก
ขอบเขตที่ต่างกัน: ข้อมูลที่ได้จากบุคคลโดยตรงเทียบ ม.23 ส่วนข้อมูลจากแหล่งอื่นต้องพิจารณา ม.25 พร้อมเงื่อนไขและข้อยกเว้นไทย
สิ่งที่องค์กรไทยควรทบทวน: ตรวจ Privacy Notice วัตถุประสงค์ ระยะเก็บ ผู้รับข้อมูล และช่องทางใช้สิทธิ
อ่านตัวบท PDPA ไทย ↗ระยะเวลาเก็บและการลบข้อมูล
GDPR Art.5(1)(e)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักจำกัดระยะเวลาเก็บข้อมูล
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องมีระบบตรวจสอบและลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาเก็บ หมดความจำเป็น หรือมีเหตุตามกฎหมาย โดยพิจารณาข้อยกเว้น
ขอบเขตที่ต่างกัน: GDPR Art.5(1)(e) เป็นหลักจำกัดระยะเวลาเก็บ ส่วนไทย ม.37(3) กำหนดหน้าที่จัดระบบตรวจสอบและลบหรือทำลาย
สิ่งที่องค์กรไทยควรทบทวน: กำหนดอายุข้อมูลตามวัตถุประสงค์และหน้าที่ตามกฎหมาย ทดสอบการลบจากระบบหลักและข้อมูลสำรองตามบริบท
อ่านตัวบท PDPA ไทย ↗สิทธิเข้าถึงและรับสำเนาข้อมูล
GDPR Art.15
เทียบจากบทบัญญัติประเด็นตาม GDPR: สิทธิเข้าถึงข้อมูล
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยเจ้าของข้อมูลมีสิทธิขอเข้าถึงและรับสำเนาข้อมูล รวมถึงขอทราบที่มาของข้อมูลที่ตนไม่ได้ให้ความยินยอม การปฏิเสธต้องมีเหตุที่กฎหมายรองรับ
ขอบเขตที่ต่างกัน: ไทยกำหนดกรอบดำเนินการตาม ม.30 ไม่เกิน 30 วันนับแต่ได้รับคำขอที่ไม่อาจปฏิเสธ ไม่ใช้กรอบหนึ่งเดือนของ GDPR แทนโดยอัตโนมัติ
สิ่งที่องค์กรไทยควรทบทวน: ตรวจขั้นตอนรับคำขอ ยืนยันตัวตน ค้นข้อมูล และส่งสำเนาโดยไม่กระทบสิทธิผู้อื่น
อ่านตัวบท PDPA ไทย ↗สิทธิขอลบหรือทำลายข้อมูล
GDPR Art.17
เทียบจากบทบัญญัติประเด็นตาม GDPR: สิทธิลบข้อมูล
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องพิจารณาเหตุที่ขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ และข้อยกเว้น เช่น การใช้สิทธิเรียกร้องตามกฎหมาย
ขอบเขตที่ต่างกัน: สิทธิลบไม่ใช่สิทธิที่ไม่มีข้อยกเว้น ต้องใช้เงื่อนไขตาม ม.33 ของไทย
สิ่งที่องค์กรไทยควรทบทวน: ตรวจเหตุในคำขอ ระยะเก็บ และหน้าที่เก็บตามกฎหมาย ก่อนดำเนินการลบหรืออธิบายเหตุปฏิเสธ
อ่านตัวบท PDPA ไทย ↗อ่านต่อเรื่อง PDPA และการคุ้มครองข้อมูล
PDPA คืออะไร? ความยินยอม สิทธิ และบทเรียนสำหรับองค์กรไทย →
รายการในประเด็นหรือประเทศเดียวกัน