เกิดอะไรขึ้น
Enforcement Tracker รายงานรายการเกี่ยวกับ Brussels Airport Charleroi ในเบลเยียม หน่วยงานที่ระบุคือ Belgian Data Protection Authority (APD) บทบัญญัติที่อ้าง: Art. 5 (1) a), b) GDPR, Art. 6 (1) c) GDPR, Art. 6 (3) GDPR, Art. 9 (2) i) GDPR, Art. 12 (1) GDPR, Art. 13 (1) c) GDPR, Art. 13 (2) e) GDPR, Art. 35 (1), (7) GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient legal basis for data processing สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง
- องค์กรที่เกี่ยวข้อง
- Brussels Airport Charleroi
- กฎหมาย / บทบัญญัติต่างประเทศ
- GDPR / บทบัญญัติตาม Enforcement Tracker Art. 5 (1) a), b) GDPR, Art. 6 (1) c) GDPR, Art. 6 (3) GDPR, Art. 9 (2) i) GDPR, Art. 12 (1) GDPR, Art. 13 (1) c) GDPR, Art. 13 (2) e) GDPR, Art. 35 (1), (7) GDPR
- วันที่ที่ Enforcement Tracker ระบุ
- 2022-04-04
- ภาคธุรกิจตาม Tracker
- Transportation and Energy
- หมวดการละเมิดตาม Tracker
- Insufficient legal basis for data processing
- วันที่คำสั่ง / คำตัดสิน
- ไม่ระบุ
- วันที่เผยแพร่ประกาศ
- ไม่ระบุ
เทียบเคียงกับ PDPA ไทย
ประเด็นสำหรับ Brussels Airport Charleroi จากบทบัญญัติและหมวดที่ต้นทางระบุ
ฐานกฎหมายและวัตถุประสงค์
GDPR Art.5(1)(a) · GDPR Art.6
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความชอบด้วยกฎหมายและความเป็นธรรม; ฐานที่ทำให้การประมวลผลข้อมูลชอบด้วยกฎหมาย
เมื่อเกิดกรณีคล้ายกันในไทย: พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม
ขอบเขตที่ต่างกัน: ฐานตาม GDPR Art.6 กับเงื่อนไขไทย ม.24 ไม่ตรงกันทุกกรณี หากใช้ความยินยอมต้องพิจารณา ม.19 ประกอบ
สิ่งที่องค์กรไทยควรทบทวน: ทบทวนกิจกรรมใน ROPA และหลักฐานรองรับฐานกฎหมายของแต่ละวัตถุประสงค์
อ่านตัวบท PDPA ไทย ↗การแจ้งรายละเอียด
GDPR Art.5(1)(a) · GDPR Art.12(1) · GDPR Art.13
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความโปร่งใส; การสื่อสารข้อมูลอย่างโปร่งใส เข้าใจง่าย และเข้าถึงได้; ข้อมูลที่ต้องแจ้งเมื่อได้ข้อมูลจากบุคคลโดยตรง
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก
ขอบเขตที่ต่างกัน: ข้อมูลที่ได้จากบุคคลโดยตรงเทียบ ม.23 ส่วนข้อมูลจากแหล่งอื่นต้องพิจารณา ม.25 พร้อมเงื่อนไขและข้อยกเว้นไทย
สิ่งที่องค์กรไทยควรทบทวน: ตรวจ Privacy Notice วัตถุประสงค์ ระยะเก็บ ผู้รับข้อมูล และช่องทางใช้สิทธิ
อ่านตัวบท PDPA ไทย ↗ใช้ข้อมูลตรงตามวัตถุประสงค์
GDPR Art.5(1)(b)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักจำกัดวัตถุประสงค์
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจว่าการเก็บ ใช้ หรือเปิดเผยตรงกับวัตถุประสงค์ที่แจ้งไว้หรือไม่ การเปลี่ยนวัตถุประสงค์ต้องเข้าเงื่อนไขกฎหมาย
ขอบเขตที่ต่างกัน: GDPR มีหลักความเข้ากันได้ของวัตถุประสงค์และเงื่อนไขเฉพาะ ส่วนไทยต้องพิจารณา ม.21 และข้อยกเว้นตามกฎหมายของไทย
สิ่งที่องค์กรไทยควรทบทวน: เทียบวัตถุประสงค์ใน Privacy Notice กับการใช้ข้อมูลจริง โดยเฉพาะการนำข้อมูลไปใช้ต่อหรือส่งต่อให้ผู้อื่น
อ่านตัวบท PDPA ไทย ↗ข้อมูลส่วนบุคคลอ่อนไหว
GDPR Art.9
เทียบจากบทบัญญัติประเด็นตาม GDPR: เงื่อนไขประมวลผลข้อมูลประเภทพิเศษ
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจว่าข้อมูลเป็นประเภทอ่อนไหวตาม ม.26 หรือไม่ และมีความยินยอมโดยชัดแจ้งหรือข้อยกเว้นใดรองรับ
ขอบเขตที่ต่างกัน: ประเภทข้อมูลและข้อยกเว้นของ GDPR กับไทยไม่เหมือนกันทั้งหมด สำหรับประวัติอาชญากรรมไทยมีเงื่อนไขเพิ่มเติมตาม ม.26
สิ่งที่องค์กรไทยควรทบทวน: ระบุประเภทข้อมูลจริง แยกฐานกฎหมายข้อมูลทั่วไปกับข้อมูลอ่อนไหว และตรวจข้อยกเว้นพร้อมมาตรการคุ้มครอง
อ่านตัวบท PDPA ไทย ↗ประเมินความเสี่ยงของกิจกรรมข้อมูล
GDPR Art.35
เทียบจากบทบัญญัติประเด็นตาม GDPR: การประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA)
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยใช้ประเด็นการประเมินผลกระทบเพื่อทบทวนว่ามาตรการรักษาความมั่นคงปลอดภัยเหมาะกับความเสี่ยงของกิจกรรมหรือไม่
ขอบเขตที่ต่างกัน: ม.37(1) ไม่ใช่หน้าที่ DPIA หรือปรึกษาหน่วยงานก่อนประมวลผลที่มีเงื่อนไขตรงกับ GDPR Art.35–36 ต้องตรวจข้อกำหนดไทยเพิ่มเติม
สิ่งที่องค์กรไทยควรทบทวน: จัดทำรายการความเสี่ยง ผู้ได้รับผลกระทบ มาตรการลดความเสี่ยง และผู้อนุมัติก่อนเริ่มกิจกรรมที่เสี่ยงสูง
อ่านตัวบท PDPA ไทย ↗อ่านต่อเรื่อง PDPA และการคุ้มครองข้อมูล
PDPA คืออะไร? ความยินยอม สิทธิ และบทเรียนสำหรับองค์กรไทย →
รายการในประเด็นหรือประเทศเดียวกัน