รายการบังคับใช้กฎหมาย: MOBIUS SOLUTIONS LTD (ETid-2995)

ผู้ประมวลผลข้อมูล

GDPR Art.28

ประเด็นตาม GDPR: หน้าที่และข้อตกลงกับผู้ประมวลผลข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงการควบคุมการใช้ข้อมูล การดำเนินการตามคำสั่ง และข้อตกลงระหว่างผู้ควบคุมกับผู้ประมวลผล

ขอบเขตที่ต่างกัน: หน้าที่และข้อตกลงของผู้ประมวลผลต้องใช้ ม.40 ไทย ไม่ถือว่าข้อกำหนดสัญญาทุกข้อของ GDPR Art.28 ใช้ตรงกัน

สิ่งที่องค์กรไทยควรทบทวน: ทบทวนสัญญาประมวลผลข้อมูล มาตรการความปลอดภัย และผู้รับจ้างช่วง

การใช้ข้อมูลภายใต้อำนาจและคำสั่ง

GDPR Art.29

ประเด็นตาม GDPR: การประมวลผลตามคำสั่งและภายใต้อำนาจของผู้ควบคุมหรือผู้ประมวลผล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยควรตรวจสิทธิ์ของผู้ที่เข้าถึงข้อมูล และในกรณีผู้ประมวลผลต้องดำเนินการตามคำสั่งของผู้ควบคุมภายใต้เงื่อนไขกฎหมาย

ขอบเขตที่ต่างกัน: GDPR Art.29 ครอบคลุมบุคคลที่อยู่ภายใต้อำนาจด้วย ส่วน ม.40(1) ของไทยเป็นหน้าที่ผู้ประมวลผลโดยเฉพาะ

สิ่งที่องค์กรไทยควรทบทวน: ตรวจสิทธิ์พนักงาน ขอบเขตคำสั่งของผู้รับจ้าง และการใช้ข้อมูลนอกหน้าที่

บันทึกรายการประมวลผลข้อมูล

GDPR Art.30

ประเด็นตาม GDPR: บันทึกกิจกรรมการประมวลผล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจหน้าที่บันทึกของผู้ควบคุมและผู้ประมวลผล รวมถึงข้อยกเว้นที่เกี่ยวข้องกับองค์กรนั้น

ขอบเขตที่ต่างกัน: แบบบันทึกและข้อยกเว้นตาม GDPR Art.30 ใช้แทนข้อกำหนดไทยไม่ได้

สิ่งที่องค์กรไทยควรทบทวน: ตรวจว่าบันทึกครอบคลุมข้อมูล วัตถุประสงค์ ระยะเก็บ สิทธิ์เข้าถึง และมาตรการ พร้อมปรับให้ตรงกับกิจกรรมจริง

หลักการประมวลผลข้อมูล

หมวดต้นทาง: Non-compliance with general data processing principles

ประเด็นจากหมวดต้นทาง: การไม่ปฏิบัติตามหลักการประมวลผลโดยรวม

เมื่อเกิดกรณีคล้ายกันในไทย: คดีที่อ้างหลักการโดยรวมควรนำมาตรวจวัตถุประสงค์ ความจำเป็น ฐานกฎหมาย ความถูกต้อง ระยะเวลาเก็บ และความปลอดภัยของกิจกรรมในไทย

ขอบเขตที่ต่างกัน: เมื่อดัชนีไม่ระบุอนุมาตราของ Art.5 ยังเลือกหลักการข้อใดข้อหนึ่งเป็นข้อวินิจฉัยของคดีไม่ได้

สิ่งที่องค์กรไทยควรทบทวน: ตรวจวงจรข้อมูลตั้งแต่เก็บจนลบ เพื่อแยกว่าประเด็นใดเกี่ยวข้องกับกิจกรรมจริงก่อนเลือกมาตราไทย