รายการบังคับใช้กฎหมาย: Hospital (ETid-3142)

ฐานกฎหมายและวัตถุประสงค์

GDPR Art.5(1)(a) · GDPR Art.6

ประเด็นตาม GDPR: หลักความชอบด้วยกฎหมายและความเป็นธรรม; ฐานที่ทำให้การประมวลผลข้อมูลชอบด้วยกฎหมาย

เมื่อเกิดกรณีคล้ายกันในไทย: พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม

ขอบเขตที่ต่างกัน: ฐานตาม GDPR Art.6 กับเงื่อนไขไทย ม.24 ไม่ตรงกันทุกกรณี หากใช้ความยินยอมต้องพิจารณา ม.19 ประกอบ

สิ่งที่องค์กรไทยควรทบทวน: ทบทวนกิจกรรมใน ROPA และหลักฐานรองรับฐานกฎหมายของแต่ละวัตถุประสงค์

การแจ้งรายละเอียด

GDPR Art.5(1)(a) · GDPR Art.14

ประเด็นตาม GDPR: หลักความโปร่งใส; ข้อมูลที่ต้องแจ้งเมื่อไม่ได้ข้อมูลจากบุคคลโดยตรง

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก

ขอบเขตที่ต่างกัน: ข้อมูลที่ได้จากบุคคลโดยตรงเทียบ ม.23 ส่วนข้อมูลจากแหล่งอื่นต้องพิจารณา ม.25 พร้อมเงื่อนไขและข้อยกเว้นไทย

สิ่งที่องค์กรไทยควรทบทวน: ตรวจ Privacy Notice วัตถุประสงค์ ระยะเก็บ ผู้รับข้อมูล และช่องทางใช้สิทธิ

สิทธิขอแก้ไขข้อมูล

GDPR Art.16

ประเด็นตาม GDPR: สิทธิแก้ไขข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องพิจารณาคำขอให้ข้อมูลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด หากไม่ดำเนินการต้องบันทึกคำขอและเหตุผล

ขอบเขตที่ต่างกัน: ให้พิจารณา ม.35 และ ม.36 ร่วมกัน ไม่ถือว่ารายละเอียดขั้นตอนของ GDPR ใช้แทนกฎหมายไทย

สิ่งที่องค์กรไทยควรทบทวน: ติดตามคำขอแก้ไขจนถึงระบบที่เกี่ยวข้อง และเก็บหลักฐานการแก้ไขหรือเหตุผลปฏิเสธ

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

GDPR Art.37

ประเด็นตาม GDPR: การแต่งตั้ง DPO

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจว่าเข้าเกณฑ์แต่งตั้ง DPO หรือไม่ และหากแต่งตั้งแล้วต้องสนับสนุนบทบาท การเข้าถึงข้อมูล และการรายงานต่อผู้บริหาร

ขอบเขตที่ต่างกัน: เกณฑ์แต่งตั้งต้องอ่านประกาศไทยประกอบ ม.41 ไม่ถือว่าองค์กรที่ต้องมี DPO ตาม GDPR ต้องมีตามไทยทุกกรณี

สิ่งที่องค์กรไทยควรทบทวน: ตรวจเกณฑ์ของกิจกรรมหลัก ปริมาณและลักษณะการติดตามข้อมูล บทบาท DPO ช่องทางติดต่อ และความขัดแย้งของหน้าที่