เกิดอะไรขึ้น
Enforcement Tracker รายงานรายการเกี่ยวกับ Kredyt Inkaso Investments RO S.A ในโรมาเนีย หน่วยงานที่ระบุคือ Romanian National Supervisory Authority for Personal Data Processing (ANSPDCP) บทบัญญัติที่อ้าง: Art. 5 GDPR, Art. 6 GDPR, Art. 9 GDPR, Art. 33 GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient legal basis for data processing สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง
- องค์กรที่เกี่ยวข้อง
- Kredyt Inkaso Investments RO S.A
- กฎหมาย / บทบัญญัติต่างประเทศ
- GDPR / บทบัญญัติตาม Enforcement Tracker Art. 5 GDPR, Art. 6 GDPR, Art. 9 GDPR, Art. 33 GDPR
- วันที่ที่ Enforcement Tracker ระบุ
- 2022-05-18
- ภาคธุรกิจตาม Tracker
- Finance, Insurance and Consulting
- หมวดการละเมิดตาม Tracker
- Insufficient legal basis for data processing
- วันที่คำสั่ง / คำตัดสิน
- ไม่ระบุ
- วันที่เผยแพร่ประกาศ
- ไม่ระบุ
เทียบเคียงกับ PDPA ไทย
ประเด็นสำหรับ Kredyt Inkaso Investments RO S.A จากบทบัญญัติและหมวดที่ต้นทางระบุ
หลักการประมวลผลข้อมูล
GDPR Art.5
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักการประมวลผลข้อมูล โดยดัชนีไม่ระบุหลักการข้อย่อย
เมื่อเกิดกรณีคล้ายกันในไทย: คดีที่อ้างหลักการโดยรวมควรนำมาตรวจวัตถุประสงค์ ความจำเป็น ฐานกฎหมาย ความถูกต้อง ระยะเวลาเก็บ และความปลอดภัยของกิจกรรมในไทย
ขอบเขตที่ต่างกัน: เมื่อดัชนีไม่ระบุอนุมาตราของ Art.5 ยังเลือกหลักการข้อใดข้อหนึ่งเป็นข้อวินิจฉัยของคดีไม่ได้
สิ่งที่องค์กรไทยควรทบทวน: ตรวจวงจรข้อมูลตั้งแต่เก็บจนลบ เพื่อแยกว่าประเด็นใดเกี่ยวข้องกับกิจกรรมจริงก่อนเลือกมาตราไทย
อ่านตัวบท PDPA ไทย ↗ฐานกฎหมายและวัตถุประสงค์
GDPR Art.6
เทียบจากบทบัญญัติประเด็นตาม GDPR: ฐานที่ทำให้การประมวลผลข้อมูลชอบด้วยกฎหมาย
เมื่อเกิดกรณีคล้ายกันในไทย: พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม
ขอบเขตที่ต่างกัน: ฐานตาม GDPR Art.6 กับเงื่อนไขไทย ม.24 ไม่ตรงกันทุกกรณี หากใช้ความยินยอมต้องพิจารณา ม.19 ประกอบ
สิ่งที่องค์กรไทยควรทบทวน: ทบทวนกิจกรรมใน ROPA และหลักฐานรองรับฐานกฎหมายของแต่ละวัตถุประสงค์
อ่านตัวบท PDPA ไทย ↗ข้อมูลส่วนบุคคลอ่อนไหว
GDPR Art.9
เทียบจากบทบัญญัติประเด็นตาม GDPR: เงื่อนไขประมวลผลข้อมูลประเภทพิเศษ
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจว่าข้อมูลเป็นประเภทอ่อนไหวตาม ม.26 หรือไม่ และมีความยินยอมโดยชัดแจ้งหรือข้อยกเว้นใดรองรับ
ขอบเขตที่ต่างกัน: ประเภทข้อมูลและข้อยกเว้นของ GDPR กับไทยไม่เหมือนกันทั้งหมด สำหรับประวัติอาชญากรรมไทยมีเงื่อนไขเพิ่มเติมตาม ม.26
สิ่งที่องค์กรไทยควรทบทวน: ระบุประเภทข้อมูลจริง แยกฐานกฎหมายข้อมูลทั่วไปกับข้อมูลอ่อนไหว และตรวจข้อยกเว้นพร้อมมาตรการคุ้มครอง
อ่านตัวบท PDPA ไทย ↗การแจ้งเหตุละเมิด
GDPR Art.33
เทียบจากบทบัญญัติประเด็นตาม GDPR: การแจ้งเหตุละเมิดต่อหน่วยงานกำกับ
เมื่อเกิดกรณีคล้ายกันในไทย: ผู้ควบคุมพิจารณาแจ้งสำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ; หากเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้า ผู้ประมวลผลแจ้งผู้ควบคุม
ขอบเขตที่ต่างกัน: กรอบ 72 ชั่วโมงและการแจ้งบุคคลต้องใช้เงื่อนไขความเสี่ยงและรายละเอียดตามกฎหมายไทย บทบาทผู้ประมวลผลต่างจากผู้ควบคุม
สิ่งที่องค์กรไทยควรทบทวน: ตรวจเวลาทราบเหตุ ระดับความเสี่ยง หลักเกณฑ์ประกาศ และบันทึกเหตุผล ไม่ใช้เวลาของต่างประเทศแทนเกณฑ์ไทย
อ่านตัวบท PDPA ไทย ↗อ่านต่อเรื่อง PDPA และการคุ้มครองข้อมูล
PDPA คืออะไร? ความยินยอม สิทธิ และบทเรียนสำหรับองค์กรไทย →
รายการในประเด็นหรือประเทศเดียวกัน