เกิดอะไรขึ้น
Enforcement Tracker รายงานรายการเกี่ยวกับ Casa di Cura Città di Roma ในอิตาลี หน่วยงานที่ระบุคือ Italian Data Protection Authority (Garante) บทบัญญัติที่อ้าง: Art. 5 (1) a), b), c), e), f), (2) GDPR, Art. 9 GDPR, Art. 25 GDPR, Art. 32 GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient technical and organisational measures to ensure information security สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง
- องค์กรที่เกี่ยวข้อง
- Casa di Cura Città di Roma
- กฎหมาย / บทบัญญัติต่างประเทศ
- GDPR / บทบัญญัติตาม Enforcement Tracker Art. 5 (1) a), b), c), e), f), (2) GDPR, Art. 9 GDPR, Art. 25 GDPR, Art. 32 GDPR
- วันที่ที่ Enforcement Tracker ระบุ
- 2025-09-11
- ภาคธุรกิจตาม Tracker
- Health Care
- หมวดการละเมิดตาม Tracker
- Insufficient technical and organisational measures to ensure information security
- วันที่คำสั่ง / คำตัดสิน
- ไม่ระบุ
- วันที่เผยแพร่ประกาศ
- ไม่ระบุ
เทียบเคียงกับ PDPA ไทย
ประเด็นสำหรับ Casa di Cura Città di Roma จากบทบัญญัติและหมวดที่ต้นทางระบุ
ฐานกฎหมายและวัตถุประสงค์
GDPR Art.5(1)(a)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความชอบด้วยกฎหมายและความเป็นธรรม
เมื่อเกิดกรณีคล้ายกันในไทย: พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม
ขอบเขตที่ต่างกัน: ฐานตาม GDPR Art.6 กับเงื่อนไขไทย ม.24 ไม่ตรงกันทุกกรณี หากใช้ความยินยอมต้องพิจารณา ม.19 ประกอบ
สิ่งที่องค์กรไทยควรทบทวน: ทบทวนกิจกรรมใน ROPA และหลักฐานรองรับฐานกฎหมายของแต่ละวัตถุประสงค์
อ่านตัวบท PDPA ไทย ↗การแจ้งรายละเอียด
GDPR Art.5(1)(a)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความโปร่งใส
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก
ขอบเขตที่ต่างกัน: ข้อมูลที่ได้จากบุคคลโดยตรงเทียบ ม.23 ส่วนข้อมูลจากแหล่งอื่นต้องพิจารณา ม.25 พร้อมเงื่อนไขและข้อยกเว้นไทย
สิ่งที่องค์กรไทยควรทบทวน: ตรวจ Privacy Notice วัตถุประสงค์ ระยะเก็บ ผู้รับข้อมูล และช่องทางใช้สิทธิ
อ่านตัวบท PDPA ไทย ↗ใช้ข้อมูลตรงตามวัตถุประสงค์
GDPR Art.5(1)(b)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักจำกัดวัตถุประสงค์
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจว่าการเก็บ ใช้ หรือเปิดเผยตรงกับวัตถุประสงค์ที่แจ้งไว้หรือไม่ การเปลี่ยนวัตถุประสงค์ต้องเข้าเงื่อนไขกฎหมาย
ขอบเขตที่ต่างกัน: GDPR มีหลักความเข้ากันได้ของวัตถุประสงค์และเงื่อนไขเฉพาะ ส่วนไทยต้องพิจารณา ม.21 และข้อยกเว้นตามกฎหมายของไทย
สิ่งที่องค์กรไทยควรทบทวน: เทียบวัตถุประสงค์ใน Privacy Notice กับการใช้ข้อมูลจริง โดยเฉพาะการนำข้อมูลไปใช้ต่อหรือส่งต่อให้ผู้อื่น
อ่านตัวบท PDPA ไทย ↗เก็บข้อมูลเท่าที่จำเป็น
GDPR Art.5(1)(c)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักเก็บข้อมูลให้เพียงพอ เกี่ยวข้อง และจำกัดเท่าที่จำเป็น
เมื่อเกิดกรณีคล้ายกันในไทย: หากกิจกรรมลักษณะเดียวกันเกิดในไทย ต้องพิจารณาว่าข้อมูลแต่ละรายการจำเป็นต่อวัตถุประสงค์อันชอบด้วยกฎหมายหรือไม่ และลดการเก็บข้อมูลที่ไม่จำเป็น
ขอบเขตที่ต่างกัน: GDPR ครอบคลุมความเพียงพอ ความเกี่ยวข้อง และการจำกัดข้อมูลในการประมวลผล ส่วน ม.22 ของไทยระบุหน้าที่เก็บรวบรวมเท่าที่จำเป็นโดยตรง
สิ่งที่องค์กรไทยควรทบทวน: ไล่ตรวจช่องข้อมูลและเอกสารที่ขอจากบุคคล ระบุเหตุผลความจำเป็นของแต่ละช่อง และตัดหรือปกปิดข้อมูลส่วนเกิน
อ่านตัวบท PDPA ไทย ↗ระยะเวลาเก็บและการลบข้อมูล
GDPR Art.5(1)(e)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักจำกัดระยะเวลาเก็บข้อมูล
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องมีระบบตรวจสอบและลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาเก็บ หมดความจำเป็น หรือมีเหตุตามกฎหมาย โดยพิจารณาข้อยกเว้น
ขอบเขตที่ต่างกัน: GDPR Art.5(1)(e) เป็นหลักจำกัดระยะเวลาเก็บ ส่วนไทย ม.37(3) กำหนดหน้าที่จัดระบบตรวจสอบและลบหรือทำลาย
สิ่งที่องค์กรไทยควรทบทวน: กำหนดอายุข้อมูลตามวัตถุประสงค์และหน้าที่ตามกฎหมาย ทดสอบการลบจากระบบหลักและข้อมูลสำรองตามบริบท
อ่านตัวบท PDPA ไทย ↗ความมั่นคงปลอดภัย
GDPR Art.5(1)(f) · GDPR Art.32
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความครบถ้วนและการรักษาความลับด้วยมาตรการความปลอดภัย; มาตรการทางเทคนิคและองค์กรเพื่อรักษาความปลอดภัยตามความเสี่ยง
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยแยกบทบาทผู้ควบคุมและผู้ประมวลผลข้อมูล
ขอบเขตที่ต่างกัน: แยกหน้าที่ผู้ควบคุมตาม ม.37(1) กับผู้ประมวลผลตาม ม.40(2) และตรวจมาตรการตามกฎหมายลำดับรองไทย
สิ่งที่องค์กรไทยควรทบทวน: ตรวจสิทธิ์เข้าถึง การยืนยันตัวตน การเข้ารหัส และการทบทวนมาตรการตามความเสี่ยง
อ่านตัวบท PDPA ไทย ↗การกำกับดูแล
GDPR Art.5(2)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความรับผิดชอบและการแสดงให้เห็นว่าปฏิบัติตามหลักการ
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงบันทึกกิจกรรม หน้าที่ผู้ประมวลผล และ DPO ตามเงื่อนไขที่กฎหมายกำหนด
ขอบเขตที่ต่างกัน: บทบัญญัติไทยกระจายหน้าที่ไว้หลายมาตรา บันทึกและ DPO ต้องพิจารณาบทบาทและเกณฑ์ขององค์กร ไม่ใช่หน้าที่เดียวกับ GDPR ทุกองค์ประกอบ
สิ่งที่องค์กรไทยควรทบทวน: พิจารณาว่าองค์กรเข้าเกณฑ์แต่งตั้ง DPO หรือข้อยกเว้น ROPA หรือไม่
อ่านตัวบท PDPA ไทย ↗ข้อมูลส่วนบุคคลอ่อนไหว
GDPR Art.9
เทียบจากบทบัญญัติประเด็นตาม GDPR: เงื่อนไขประมวลผลข้อมูลประเภทพิเศษ
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจว่าข้อมูลเป็นประเภทอ่อนไหวตาม ม.26 หรือไม่ และมีความยินยอมโดยชัดแจ้งหรือข้อยกเว้นใดรองรับ
ขอบเขตที่ต่างกัน: ประเภทข้อมูลและข้อยกเว้นของ GDPR กับไทยไม่เหมือนกันทั้งหมด สำหรับประวัติอาชญากรรมไทยมีเงื่อนไขเพิ่มเติมตาม ม.26
สิ่งที่องค์กรไทยควรทบทวน: ระบุประเภทข้อมูลจริง แยกฐานกฎหมายข้อมูลทั่วไปกับข้อมูลอ่อนไหว และตรวจข้อยกเว้นพร้อมมาตรการคุ้มครอง
อ่านตัวบท PDPA ไทย ↗ออกแบบระบบให้คุ้มครองข้อมูล
GDPR Art.25
เทียบจากบทบัญญัติประเด็นตาม GDPR: การคุ้มครองข้อมูลตั้งแต่การออกแบบและโดยค่าเริ่มต้น
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยนำประเด็นนี้มาตรวจการลดข้อมูลที่เก็บและมาตรการความปลอดภัยที่เหมาะสมตั้งแต่การออกแบบระบบ
ขอบเขตที่ต่างกัน: พ.ร.บ.ไทยไม่มีบทบัญญัติชื่อและรายละเอียดตรงกับ GDPR Art.25 การจับคู่นี้เทียบเคียงหน้าที่บางส่วน
สิ่งที่องค์กรไทยควรทบทวน: ตรวจค่าเริ่มต้นของการเปิดเผย สิทธิ์เข้าถึง ช่องข้อมูล และมาตรการป้องกันก่อนเปิดใช้ฟังก์ชัน
อ่านตัวบท PDPA ไทย ↗อ่านต่อเรื่อง PDPA และการคุ้มครองข้อมูล
PDPA คืออะไร? ความยินยอม สิทธิ และบทเรียนสำหรับองค์กรไทย →
รายการในประเด็นหรือประเทศเดียวกัน