เกิดอะไรขึ้น
Enforcement Tracker รายงานรายการเกี่ยวกับ Health Service Executive (HSE) ในไอร์แลนด์ หน่วยงานที่ระบุคือ Data Protection Commission (DPC) บทบัญญัติที่อ้าง: Art. 5 (1) e) GDPR, Art. 5 (1) f) GDPR, Art. 32 (1) GDPR, Art. 33 (1) GDPR, Art. 34 (1) GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient technical and organisational measures to ensure information security สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง
- องค์กรที่เกี่ยวข้อง
- Health Service Executive (HSE)
- กฎหมาย / บทบัญญัติต่างประเทศ
- GDPR / บทบัญญัติตาม Enforcement Tracker Art. 5 (1) e) GDPR, Art. 5 (1) f) GDPR, Art. 32 (1) GDPR, Art. 33 (1) GDPR, Art. 34 (1) GDPR
- วันที่ที่ Enforcement Tracker ระบุ
- 2026-08-25
- ภาคธุรกิจตาม Tracker
- Health Care
- หมวดการละเมิดตาม Tracker
- Insufficient technical and organisational measures to ensure information security
- วันที่คำสั่ง / คำตัดสิน
- ไม่ระบุ
- วันที่เผยแพร่ประกาศ
- ไม่ระบุ
เทียบเคียงกับ PDPA ไทย
ประเด็นสำหรับ Health Service Executive (HSE) จากบทบัญญัติและหมวดที่ต้นทางระบุ
ระยะเวลาเก็บและการลบข้อมูล
GDPR Art.5(1)(e)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักจำกัดระยะเวลาเก็บข้อมูล
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องมีระบบตรวจสอบและลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาเก็บ หมดความจำเป็น หรือมีเหตุตามกฎหมาย โดยพิจารณาข้อยกเว้น
ขอบเขตที่ต่างกัน: GDPR Art.5(1)(e) เป็นหลักจำกัดระยะเวลาเก็บ ส่วนไทย ม.37(3) กำหนดหน้าที่จัดระบบตรวจสอบและลบหรือทำลาย
สิ่งที่องค์กรไทยควรทบทวน: กำหนดอายุข้อมูลตามวัตถุประสงค์และหน้าที่ตามกฎหมาย ทดสอบการลบจากระบบหลักและข้อมูลสำรองตามบริบท
อ่านตัวบท PDPA ไทย ↗ความมั่นคงปลอดภัย
GDPR Art.5(1)(f) · GDPR Art.32
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความครบถ้วนและการรักษาความลับด้วยมาตรการความปลอดภัย; มาตรการทางเทคนิคและองค์กรเพื่อรักษาความปลอดภัยตามความเสี่ยง
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยแยกบทบาทผู้ควบคุมและผู้ประมวลผลข้อมูล
ขอบเขตที่ต่างกัน: แยกหน้าที่ผู้ควบคุมตาม ม.37(1) กับผู้ประมวลผลตาม ม.40(2) และตรวจมาตรการตามกฎหมายลำดับรองไทย
สิ่งที่องค์กรไทยควรทบทวน: ตรวจสิทธิ์เข้าถึง การยืนยันตัวตน การเข้ารหัส และการทบทวนมาตรการตามความเสี่ยง
อ่านตัวบท PDPA ไทย ↗การแจ้งเหตุละเมิด
GDPR Art.33 · GDPR Art.34
เทียบจากบทบัญญัติประเด็นตาม GDPR: การแจ้งเหตุละเมิดต่อหน่วยงานกำกับ; การแจ้งเหตุละเมิดต่อเจ้าของข้อมูล
เมื่อเกิดกรณีคล้ายกันในไทย: ผู้ควบคุมพิจารณาแจ้งสำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ; หากเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้า ผู้ประมวลผลแจ้งผู้ควบคุม
ขอบเขตที่ต่างกัน: กรอบ 72 ชั่วโมงและการแจ้งบุคคลต้องใช้เงื่อนไขความเสี่ยงและรายละเอียดตามกฎหมายไทย บทบาทผู้ประมวลผลต่างจากผู้ควบคุม
สิ่งที่องค์กรไทยควรทบทวน: ตรวจเวลาทราบเหตุ ระดับความเสี่ยง หลักเกณฑ์ประกาศ และบันทึกเหตุผล ไม่ใช้เวลาของต่างประเทศแทนเกณฑ์ไทย
อ่านตัวบท PDPA ไทย ↗อ่านต่อเรื่อง PDPA และการคุ้มครองข้อมูล
PDPA คืออะไร? ความยินยอม สิทธิ และบทเรียนสำหรับองค์กรไทย →
รายการในประเด็นหรือประเทศเดียวกัน