รายการบังคับใช้กฎหมาย: Comune di Salento (ETid-1639)

ฐานกฎหมายและวัตถุประสงค์

GDPR Art.5(1)(a) · GDPR Art.6

ประเด็นตาม GDPR: หลักความชอบด้วยกฎหมายและความเป็นธรรม; ฐานที่ทำให้การประมวลผลข้อมูลชอบด้วยกฎหมาย

เมื่อเกิดกรณีคล้ายกันในไทย: พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม

ขอบเขตที่ต่างกัน: ฐานตาม GDPR Art.6 กับเงื่อนไขไทย ม.24 ไม่ตรงกันทุกกรณี หากใช้ความยินยอมต้องพิจารณา ม.19 ประกอบ

สิ่งที่องค์กรไทยควรทบทวน: ทบทวนกิจกรรมใน ROPA และหลักฐานรองรับฐานกฎหมายของแต่ละวัตถุประสงค์

การแจ้งรายละเอียด

GDPR Art.5(1)(a) · GDPR Art.13

ประเด็นตาม GDPR: หลักความโปร่งใส; ข้อมูลที่ต้องแจ้งเมื่อได้ข้อมูลจากบุคคลโดยตรง

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก

ขอบเขตที่ต่างกัน: ข้อมูลที่ได้จากบุคคลโดยตรงเทียบ ม.23 ส่วนข้อมูลจากแหล่งอื่นต้องพิจารณา ม.25 พร้อมเงื่อนไขและข้อยกเว้นไทย

สิ่งที่องค์กรไทยควรทบทวน: ตรวจ Privacy Notice วัตถุประสงค์ ระยะเก็บ ผู้รับข้อมูล และช่องทางใช้สิทธิ

ใช้ข้อมูลตรงตามวัตถุประสงค์

GDPR Art.5(1)(b)

ประเด็นตาม GDPR: หลักจำกัดวัตถุประสงค์

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจว่าการเก็บ ใช้ หรือเปิดเผยตรงกับวัตถุประสงค์ที่แจ้งไว้หรือไม่ การเปลี่ยนวัตถุประสงค์ต้องเข้าเงื่อนไขกฎหมาย

ขอบเขตที่ต่างกัน: GDPR มีหลักความเข้ากันได้ของวัตถุประสงค์และเงื่อนไขเฉพาะ ส่วนไทยต้องพิจารณา ม.21 และข้อยกเว้นตามกฎหมายของไทย

สิ่งที่องค์กรไทยควรทบทวน: เทียบวัตถุประสงค์ใน Privacy Notice กับการใช้ข้อมูลจริง โดยเฉพาะการนำข้อมูลไปใช้ต่อหรือส่งต่อให้ผู้อื่น

ระยะเวลาเก็บและการลบข้อมูล

GDPR Art.5(1)(e)

ประเด็นตาม GDPR: หลักจำกัดระยะเวลาเก็บข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องมีระบบตรวจสอบและลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาเก็บ หมดความจำเป็น หรือมีเหตุตามกฎหมาย โดยพิจารณาข้อยกเว้น

ขอบเขตที่ต่างกัน: GDPR Art.5(1)(e) เป็นหลักจำกัดระยะเวลาเก็บ ส่วนไทย ม.37(3) กำหนดหน้าที่จัดระบบตรวจสอบและลบหรือทำลาย

สิ่งที่องค์กรไทยควรทบทวน: กำหนดอายุข้อมูลตามวัตถุประสงค์และหน้าที่ตามกฎหมาย ทดสอบการลบจากระบบหลักและข้อมูลสำรองตามบริบท

สิทธิเข้าถึงและรับสำเนาข้อมูล

GDPR Art.15

ประเด็นตาม GDPR: สิทธิเข้าถึงข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยเจ้าของข้อมูลมีสิทธิขอเข้าถึงและรับสำเนาข้อมูล รวมถึงขอทราบที่มาของข้อมูลที่ตนไม่ได้ให้ความยินยอม การปฏิเสธต้องมีเหตุที่กฎหมายรองรับ

ขอบเขตที่ต่างกัน: ไทยกำหนดกรอบดำเนินการตาม ม.30 ไม่เกิน 30 วันนับแต่ได้รับคำขอที่ไม่อาจปฏิเสธ ไม่ใช้กรอบหนึ่งเดือนของ GDPR แทนโดยอัตโนมัติ

สิ่งที่องค์กรไทยควรทบทวน: ตรวจขั้นตอนรับคำขอ ยืนยันตัวตน ค้นข้อมูล และส่งสำเนาโดยไม่กระทบสิทธิผู้อื่น

บันทึกรายการประมวลผลข้อมูล

GDPR Art.30

ประเด็นตาม GDPR: บันทึกกิจกรรมการประมวลผล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจหน้าที่บันทึกของผู้ควบคุมและผู้ประมวลผล รวมถึงข้อยกเว้นที่เกี่ยวข้องกับองค์กรนั้น

ขอบเขตที่ต่างกัน: แบบบันทึกและข้อยกเว้นตาม GDPR Art.30 ใช้แทนข้อกำหนดไทยไม่ได้

สิ่งที่องค์กรไทยควรทบทวน: ตรวจว่าบันทึกครอบคลุมข้อมูล วัตถุประสงค์ ระยะเก็บ สิทธิ์เข้าถึง และมาตรการ พร้อมปรับให้ตรงกับกิจกรรมจริง