รายการบังคับใช้กฎหมาย: Energia Verde S.p.A. (ETid-2751)

หลักการประมวลผลข้อมูล

GDPR Art.5

ประเด็นตาม GDPR: หลักการประมวลผลข้อมูล โดยดัชนีไม่ระบุหลักการข้อย่อย

เมื่อเกิดกรณีคล้ายกันในไทย: คดีที่อ้างหลักการโดยรวมควรนำมาตรวจวัตถุประสงค์ ความจำเป็น ฐานกฎหมาย ความถูกต้อง ระยะเวลาเก็บ และความปลอดภัยของกิจกรรมในไทย

ขอบเขตที่ต่างกัน: เมื่อดัชนีไม่ระบุอนุมาตราของ Art.5 ยังเลือกหลักการข้อใดข้อหนึ่งเป็นข้อวินิจฉัยของคดีไม่ได้

สิ่งที่องค์กรไทยควรทบทวน: ตรวจวงจรข้อมูลตั้งแต่เก็บจนลบ เพื่อแยกว่าประเด็นใดเกี่ยวข้องกับกิจกรรมจริงก่อนเลือกมาตราไทย

ฐานกฎหมายและวัตถุประสงค์

GDPR Art.6

ประเด็นตาม GDPR: ฐานที่ทำให้การประมวลผลข้อมูลชอบด้วยกฎหมาย

เมื่อเกิดกรณีคล้ายกันในไทย: พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม

ขอบเขตที่ต่างกัน: ฐานตาม GDPR Art.6 กับเงื่อนไขไทย ม.24 ไม่ตรงกันทุกกรณี หากใช้ความยินยอมต้องพิจารณา ม.19 ประกอบ

สิ่งที่องค์กรไทยควรทบทวน: ทบทวนกิจกรรมใน ROPA และหลักฐานรองรับฐานกฎหมายของแต่ละวัตถุประสงค์

ความยินยอม

GDPR Art.7

ประเด็นตาม GDPR: เงื่อนไขและการถอนความยินยอม

เมื่อเกิดกรณีคล้ายกันในไทย: เมื่อใช้ฐานความยินยอม ต้องพิจารณาความชัดเจน อิสระ และการถอน สำหรับข้อมูลอ่อนไหวให้พิจารณาเงื่อนไขและข้อยกเว้นของ ม.26

ขอบเขตที่ต่างกัน: ไม่ใช่ทุกกิจกรรมต้องใช้ความยินยอม และความยินยอมทั่วไปไม่แทนเงื่อนไขข้อมูลอ่อนไหวตาม ม.26

สิ่งที่องค์กรไทยควรทบทวน: ทบทวนหน้าขอความยินยอม บันทึกเวอร์ชัน และช่องทางถอนความยินยอม

สิทธิของเจ้าของข้อมูล

GDPR Art.12 · GDPR Art.19

ประเด็นตาม GDPR: การอำนวยความสะดวกและขั้นตอนใช้สิทธิของเจ้าของข้อมูล; การแจ้งผู้รับข้อมูลเมื่อมีการแก้ไข ลบ หรือจำกัดการประมวลผล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยควรทบทวนการดำเนินการตามสิทธิแก้ไข ลบ หรือระงับใช้ให้เกิดผลกับข้อมูลที่องค์กรรับผิดชอบ โดยตรวจบทบาทและเงื่อนไขของแต่ละสิทธิ

ขอบเขตที่ต่างกัน: GDPR Art.19 กำหนดการแจ้งผู้รับข้อมูลโดยเฉพาะ ส่วน ม.30–36 ไทยเป็นกรอบสิทธิที่เกี่ยวข้อง ยังไม่มีบทบัญญัติที่ตรงกันทุกองค์ประกอบ

สิ่งที่องค์กรไทยควรทบทวน: กำหนดผู้รับผิดชอบ ขั้นตอนตรวจตัวตน และเวลาตอบคำขอที่ตรงตามกฎหมาย

สิทธิเข้าถึงและรับสำเนาข้อมูล

GDPR Art.15

ประเด็นตาม GDPR: สิทธิเข้าถึงข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยเจ้าของข้อมูลมีสิทธิขอเข้าถึงและรับสำเนาข้อมูล รวมถึงขอทราบที่มาของข้อมูลที่ตนไม่ได้ให้ความยินยอม การปฏิเสธต้องมีเหตุที่กฎหมายรองรับ

ขอบเขตที่ต่างกัน: ไทยกำหนดกรอบดำเนินการตาม ม.30 ไม่เกิน 30 วันนับแต่ได้รับคำขอที่ไม่อาจปฏิเสธ ไม่ใช้กรอบหนึ่งเดือนของ GDPR แทนโดยอัตโนมัติ

สิ่งที่องค์กรไทยควรทบทวน: ตรวจขั้นตอนรับคำขอ ยืนยันตัวตน ค้นข้อมูล และส่งสำเนาโดยไม่กระทบสิทธิผู้อื่น

สิทธิขอแก้ไขข้อมูล

GDPR Art.16

ประเด็นตาม GDPR: สิทธิแก้ไขข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องพิจารณาคำขอให้ข้อมูลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด หากไม่ดำเนินการต้องบันทึกคำขอและเหตุผล

ขอบเขตที่ต่างกัน: ให้พิจารณา ม.35 และ ม.36 ร่วมกัน ไม่ถือว่ารายละเอียดขั้นตอนของ GDPR ใช้แทนกฎหมายไทย

สิ่งที่องค์กรไทยควรทบทวน: ติดตามคำขอแก้ไขจนถึงระบบที่เกี่ยวข้อง และเก็บหลักฐานการแก้ไขหรือเหตุผลปฏิเสธ

สิทธิขอลบหรือทำลายข้อมูล

GDPR Art.17

ประเด็นตาม GDPR: สิทธิลบข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องพิจารณาเหตุที่ขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ และข้อยกเว้น เช่น การใช้สิทธิเรียกร้องตามกฎหมาย

ขอบเขตที่ต่างกัน: สิทธิลบไม่ใช่สิทธิที่ไม่มีข้อยกเว้น ต้องใช้เงื่อนไขตาม ม.33 ของไทย

สิ่งที่องค์กรไทยควรทบทวน: ตรวจเหตุในคำขอ ระยะเก็บ และหน้าที่เก็บตามกฎหมาย ก่อนดำเนินการลบหรืออธิบายเหตุปฏิเสธ

สิทธิระงับการใช้ข้อมูล

GDPR Art.18

ประเด็นตาม GDPR: สิทธิจำกัดการประมวลผล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจว่าคำขอเข้ากรณีระงับการใช้ข้อมูลตาม ม.34 หรือไม่ เช่น ระหว่างตรวจความถูกต้องหรือการคัดค้าน

ขอบเขตที่ต่างกัน: การระงับใช้และการลบเป็นคนละสิทธิ มีเหตุและเงื่อนไขต่างกัน

สิ่งที่องค์กรไทยควรทบทวน: ทำสถานะระงับการใช้ที่มีผลกับระบบจริง แยกจากการลบข้อมูล และแจ้งผู้รับผิดชอบไม่ให้นำไปใช้ต่อ

สิทธิขอรับและโอนข้อมูล

GDPR Art.20

ประเด็นตาม GDPR: สิทธิขอรับและโอนข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจลักษณะข้อมูล รูปแบบที่เครื่องอ่านได้ ฐานกฎหมาย และความเป็นไปได้ทางเทคนิคก่อนดำเนินการโอนตามคำขอ

ขอบเขตที่ต่างกัน: สิทธิขอโอนมีเงื่อนไขเรื่องฐานกฎหมายและข้อยกเว้นตาม ม.31 ไม่ครอบคลุมข้อมูลทุกประเภทโดยอัตโนมัติ

สิ่งที่องค์กรไทยควรทบทวน: เตรียมรูปแบบส่งออกที่ใช้งานได้ ตรวจผู้รับและความปลอดภัยในการส่ง รวมทั้งบันทึกข้อจำกัดทางเทคนิค

สิทธิคัดค้านการใช้ข้อมูล

GDPR Art.21

ประเด็นตาม GDPR: สิทธิคัดค้านการประมวลผล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจฐานการประมวลผลและวัตถุประสงค์ที่ถูกคัดค้าน โดยแยกกรณีการตลาดแบบตรงออกจากกรณีอื่น

ขอบเขตที่ต่างกัน: ใช้เงื่อนไขและข้อยกเว้นของ ม.32 ไทย โดยเฉพาะความแตกต่างระหว่างการตลาดแบบตรงกับกิจกรรมฐานอื่น

สิ่งที่องค์กรไทยควรทบทวน: จัดช่องทางคัดค้านที่ใช้ได้จริง และทำให้สถานะคัดค้านส่งผลถึงรายชื่อและระบบที่นำข้อมูลไปใช้

การตัดสินใจด้วยระบบอัตโนมัติ

GDPR Art.22

ประเด็นตาม GDPR: สิทธิเกี่ยวกับการตัดสินใจอัตโนมัติรวมถึงการทำโปรไฟล์

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยควรตรวจการแจ้งรายละเอียด การเข้าถึงข้อมูล และสิทธิคัดค้านเมื่อเข้าเงื่อนไขของฐานและวัตถุประสงค์ที่ใช้

ขอบเขตที่ต่างกัน: พ.ร.บ.ไทยไม่มีสิทธิที่ตรงกับ GDPR Art.22 ทุกองค์ประกอบ มาตราไทยที่ยกมาครอบคลุมบางประเด็นเท่านั้น

สิ่งที่องค์กรไทยควรทบทวน: ตรวจข้อมูลที่ใช้สร้างผลตัดสินใจ คำอธิบายต่อบุคคล และช่องทางรับคำขอหรือข้อโต้แย้ง

การกำกับดูแล

GDPR Art.24

ประเด็นตาม GDPR: ความรับผิดชอบของผู้ควบคุมและการแสดงการปฏิบัติตามกฎหมาย

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงบันทึกกิจกรรม หน้าที่ผู้ประมวลผล และ DPO ตามเงื่อนไขที่กฎหมายกำหนด

ขอบเขตที่ต่างกัน: บทบัญญัติไทยกระจายหน้าที่ไว้หลายมาตรา บันทึกและ DPO ต้องพิจารณาบทบาทและเกณฑ์ขององค์กร ไม่ใช่หน้าที่เดียวกับ GDPR ทุกองค์ประกอบ

สิ่งที่องค์กรไทยควรทบทวน: พิจารณาว่าองค์กรเข้าเกณฑ์แต่งตั้ง DPO หรือข้อยกเว้น ROPA หรือไม่

ผู้ประมวลผลข้อมูล

GDPR Art.28

ประเด็นตาม GDPR: หน้าที่และข้อตกลงกับผู้ประมวลผลข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงการควบคุมการใช้ข้อมูล การดำเนินการตามคำสั่ง และข้อตกลงระหว่างผู้ควบคุมกับผู้ประมวลผล

ขอบเขตที่ต่างกัน: หน้าที่และข้อตกลงของผู้ประมวลผลต้องใช้ ม.40 ไทย ไม่ถือว่าข้อกำหนดสัญญาทุกข้อของ GDPR Art.28 ใช้ตรงกัน

สิ่งที่องค์กรไทยควรทบทวน: ทบทวนสัญญาประมวลผลข้อมูล มาตรการความปลอดภัย และผู้รับจ้างช่วง

การตอบคำขอและคำสั่งของหน่วยงานกำกับ

GDPR Art.31

ประเด็นตาม GDPR: หน้าที่ให้ความร่วมมือกับหน่วยงานกำกับ

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องพิจารณาคำสั่งให้ส่งเอกสาร ชี้แจง หรือให้ข้อมูลตามอำนาจของคณะกรรมการผู้เชี่ยวชาญและพนักงานเจ้าหน้าที่

ขอบเขตที่ต่างกัน: GDPR Art.31 เป็นหน้าที่ให้ความร่วมมือโดยตรง ส่วนมาตราไทยที่ยกมาเป็นอำนาจเรียกข้อมูลและตรวจสอบ ไม่ใช่บทบัญญัติที่มีถ้อยคำตรงกัน

สิ่งที่องค์กรไทยควรทบทวน: กำหนดผู้ประสานงาน เก็บหลักฐานคำสั่งและเอกสารตอบกลับ ตรวจขอบเขตอำนาจและกำหนดเวลาตามคำสั่งจริง