รายการบังคับใช้กฎหมาย: FREE SAS (ETid-1527)

สิทธิเข้าถึงและรับสำเนาข้อมูล

GDPR Art.15

ประเด็นตาม GDPR: สิทธิเข้าถึงข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยเจ้าของข้อมูลมีสิทธิขอเข้าถึงและรับสำเนาข้อมูล รวมถึงขอทราบที่มาของข้อมูลที่ตนไม่ได้ให้ความยินยอม การปฏิเสธต้องมีเหตุที่กฎหมายรองรับ

ขอบเขตที่ต่างกัน: ไทยกำหนดกรอบดำเนินการตาม ม.30 ไม่เกิน 30 วันนับแต่ได้รับคำขอที่ไม่อาจปฏิเสธ ไม่ใช้กรอบหนึ่งเดือนของ GDPR แทนโดยอัตโนมัติ

สิ่งที่องค์กรไทยควรทบทวน: ตรวจขั้นตอนรับคำขอ ยืนยันตัวตน ค้นข้อมูล และส่งสำเนาโดยไม่กระทบสิทธิผู้อื่น

สิทธิขอลบหรือทำลายข้อมูล

GDPR Art.17

ประเด็นตาม GDPR: สิทธิลบข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องพิจารณาเหตุที่ขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ และข้อยกเว้น เช่น การใช้สิทธิเรียกร้องตามกฎหมาย

ขอบเขตที่ต่างกัน: สิทธิลบไม่ใช่สิทธิที่ไม่มีข้อยกเว้น ต้องใช้เงื่อนไขตาม ม.33 ของไทย

สิ่งที่องค์กรไทยควรทบทวน: ตรวจเหตุในคำขอ ระยะเก็บ และหน้าที่เก็บตามกฎหมาย ก่อนดำเนินการลบหรืออธิบายเหตุปฏิเสธ

ความมั่นคงปลอดภัย

GDPR Art.32

ประเด็นตาม GDPR: มาตรการทางเทคนิคและองค์กรเพื่อรักษาความปลอดภัยตามความเสี่ยง

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยแยกบทบาทผู้ควบคุมและผู้ประมวลผลข้อมูล

ขอบเขตที่ต่างกัน: แยกหน้าที่ผู้ควบคุมตาม ม.37(1) กับผู้ประมวลผลตาม ม.40(2) และตรวจมาตรการตามกฎหมายลำดับรองไทย

สิ่งที่องค์กรไทยควรทบทวน: ตรวจสิทธิ์เข้าถึง การยืนยันตัวตน การเข้ารหัส และการทบทวนมาตรการตามความเสี่ยง

การแจ้งเหตุละเมิด

GDPR Art.33

ประเด็นตาม GDPR: การแจ้งเหตุละเมิดต่อหน่วยงานกำกับ

เมื่อเกิดกรณีคล้ายกันในไทย: ผู้ควบคุมพิจารณาแจ้งสำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ; หากเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้า ผู้ประมวลผลแจ้งผู้ควบคุม

ขอบเขตที่ต่างกัน: กรอบ 72 ชั่วโมงและการแจ้งบุคคลต้องใช้เงื่อนไขความเสี่ยงและรายละเอียดตามกฎหมายไทย บทบาทผู้ประมวลผลต่างจากผู้ควบคุม

สิ่งที่องค์กรไทยควรทบทวน: ตรวจเวลาทราบเหตุ ระดับความเสี่ยง หลักเกณฑ์ประกาศ และบันทึกเหตุผล ไม่ใช้เวลาของต่างประเทศแทนเกณฑ์ไทย