รายการบังคับใช้กฎหมาย: Electronics store (ETid-1335)

เก็บข้อมูลเท่าที่จำเป็น

GDPR Art.5(1)(c)

ประเด็นตาม GDPR: หลักเก็บข้อมูลให้เพียงพอ เกี่ยวข้อง และจำกัดเท่าที่จำเป็น

เมื่อเกิดกรณีคล้ายกันในไทย: หากกิจกรรมลักษณะเดียวกันเกิดในไทย ต้องพิจารณาว่าข้อมูลแต่ละรายการจำเป็นต่อวัตถุประสงค์อันชอบด้วยกฎหมายหรือไม่ และลดการเก็บข้อมูลที่ไม่จำเป็น

ขอบเขตที่ต่างกัน: GDPR ครอบคลุมความเพียงพอ ความเกี่ยวข้อง และการจำกัดข้อมูลในการประมวลผล ส่วน ม.22 ของไทยระบุหน้าที่เก็บรวบรวมเท่าที่จำเป็นโดยตรง

สิ่งที่องค์กรไทยควรทบทวน: ไล่ตรวจช่องข้อมูลและเอกสารที่ขอจากบุคคล ระบุเหตุผลความจำเป็นของแต่ละช่อง และตัดหรือปกปิดข้อมูลส่วนเกิน

สิทธิขอลบหรือทำลายข้อมูล

GDPR Art.17

ประเด็นตาม GDPR: สิทธิลบข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องพิจารณาเหตุที่ขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ และข้อยกเว้น เช่น การใช้สิทธิเรียกร้องตามกฎหมาย

ขอบเขตที่ต่างกัน: สิทธิลบไม่ใช่สิทธิที่ไม่มีข้อยกเว้น ต้องใช้เงื่อนไขตาม ม.33 ของไทย

สิ่งที่องค์กรไทยควรทบทวน: ตรวจเหตุในคำขอ ระยะเก็บ และหน้าที่เก็บตามกฎหมาย ก่อนดำเนินการลบหรืออธิบายเหตุปฏิเสธ

ประเมินความเสี่ยงของกิจกรรมข้อมูล

GDPR Art.35

ประเด็นตาม GDPR: การประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA)

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยใช้ประเด็นการประเมินผลกระทบเพื่อทบทวนว่ามาตรการรักษาความมั่นคงปลอดภัยเหมาะกับความเสี่ยงของกิจกรรมหรือไม่

ขอบเขตที่ต่างกัน: ม.37(1) ไม่ใช่หน้าที่ DPIA หรือปรึกษาหน่วยงานก่อนประมวลผลที่มีเงื่อนไขตรงกับ GDPR Art.35–36 ต้องตรวจข้อกำหนดไทยเพิ่มเติม

สิ่งที่องค์กรไทยควรทบทวน: จัดทำรายการความเสี่ยง ผู้ได้รับผลกระทบ มาตรการลดความเสี่ยง และผู้อนุมัติก่อนเริ่มกิจกรรมที่เสี่ยงสูง