เกิดอะไรขึ้น
Enforcement Tracker รายงานรายการเกี่ยวกับ Realmaps S.r.l. ในอิตาลี หน่วยงานที่ระบุคือ Italian Data Protection Authority (Garante) บทบัญญัติที่อ้าง: Art. 5 (1) a), e), f), (2) GDPR, Art. 6 (1) a) GDPR, Art. 7 GDPR, Art. 12 (1), (2), (3) GDPR, Art. 13 GDPR, Art. 14 GDPR, Art. 21 (2) GDPR, Art. 24 GDPR, Art. 25 GDPR, Art. 28 GDPR, Art. 29 GDPR, Art. 30 GDPR, Art. 32 (1) b), d) (2) GDPR, Art. 35 GDPR, Art. 37 GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient legal basis for data processing สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง
- องค์กรที่เกี่ยวข้อง
- Realmaps S.r.l.
- กฎหมาย / บทบัญญัติต่างประเทศ
- GDPR / บทบัญญัติตาม Enforcement Tracker Art. 5 (1) a), e), f), (2) GDPR, Art. 6 (1) a) GDPR, Art. 7 GDPR, Art. 12 (1), (2), (3) GDPR, Art. 13 GDPR, Art. 14 GDPR, Art. 21 (2) GDPR, Art. 24 GDPR, Art. 25 GDPR, Art. 28 GDPR, Art. 29 GDPR, Art. 30 GDPR, Art. 32 (1) b), d) (2) GDPR, Art. 35 GDPR, Art. 37 GDPR
- วันที่ที่ Enforcement Tracker ระบุ
- 2025-01-16
- ภาคธุรกิจตาม Tracker
- Real Estate
- หมวดการละเมิดตาม Tracker
- Insufficient legal basis for data processing
- วันที่คำสั่ง / คำตัดสิน
- ไม่ระบุ
- วันที่เผยแพร่ประกาศ
- ไม่ระบุ
เทียบเคียงกับ PDPA ไทย
ประเด็นสำหรับ Realmaps S.r.l. จากบทบัญญัติและหมวดที่ต้นทางระบุ
ฐานกฎหมายและวัตถุประสงค์
GDPR Art.5(1)(a) · GDPR Art.6
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความชอบด้วยกฎหมายและความเป็นธรรม; ฐานที่ทำให้การประมวลผลข้อมูลชอบด้วยกฎหมาย
เมื่อเกิดกรณีคล้ายกันในไทย: พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม
ขอบเขตที่ต่างกัน: ฐานตาม GDPR Art.6 กับเงื่อนไขไทย ม.24 ไม่ตรงกันทุกกรณี หากใช้ความยินยอมต้องพิจารณา ม.19 ประกอบ
สิ่งที่องค์กรไทยควรทบทวน: ทบทวนกิจกรรมใน ROPA และหลักฐานรองรับฐานกฎหมายของแต่ละวัตถุประสงค์
อ่านตัวบท PDPA ไทย ↗การแจ้งรายละเอียด
GDPR Art.5(1)(a) · GDPR Art.13 · GDPR Art.14
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความโปร่งใส; ข้อมูลที่ต้องแจ้งเมื่อได้ข้อมูลจากบุคคลโดยตรง; ข้อมูลที่ต้องแจ้งเมื่อไม่ได้ข้อมูลจากบุคคลโดยตรง
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก
ขอบเขตที่ต่างกัน: ข้อมูลที่ได้จากบุคคลโดยตรงเทียบ ม.23 ส่วนข้อมูลจากแหล่งอื่นต้องพิจารณา ม.25 พร้อมเงื่อนไขและข้อยกเว้นไทย
สิ่งที่องค์กรไทยควรทบทวน: ตรวจ Privacy Notice วัตถุประสงค์ ระยะเก็บ ผู้รับข้อมูล และช่องทางใช้สิทธิ
อ่านตัวบท PDPA ไทย ↗ระยะเวลาเก็บและการลบข้อมูล
GDPR Art.5(1)(e)
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักจำกัดระยะเวลาเก็บข้อมูล
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องมีระบบตรวจสอบและลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาเก็บ หมดความจำเป็น หรือมีเหตุตามกฎหมาย โดยพิจารณาข้อยกเว้น
ขอบเขตที่ต่างกัน: GDPR Art.5(1)(e) เป็นหลักจำกัดระยะเวลาเก็บ ส่วนไทย ม.37(3) กำหนดหน้าที่จัดระบบตรวจสอบและลบหรือทำลาย
สิ่งที่องค์กรไทยควรทบทวน: กำหนดอายุข้อมูลตามวัตถุประสงค์และหน้าที่ตามกฎหมาย ทดสอบการลบจากระบบหลักและข้อมูลสำรองตามบริบท
อ่านตัวบท PDPA ไทย ↗ความมั่นคงปลอดภัย
GDPR Art.5(1)(f) · GDPR Art.32
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความครบถ้วนและการรักษาความลับด้วยมาตรการความปลอดภัย; มาตรการทางเทคนิคและองค์กรเพื่อรักษาความปลอดภัยตามความเสี่ยง
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยแยกบทบาทผู้ควบคุมและผู้ประมวลผลข้อมูล
ขอบเขตที่ต่างกัน: แยกหน้าที่ผู้ควบคุมตาม ม.37(1) กับผู้ประมวลผลตาม ม.40(2) และตรวจมาตรการตามกฎหมายลำดับรองไทย
สิ่งที่องค์กรไทยควรทบทวน: ตรวจสิทธิ์เข้าถึง การยืนยันตัวตน การเข้ารหัส และการทบทวนมาตรการตามความเสี่ยง
อ่านตัวบท PDPA ไทย ↗การกำกับดูแล
GDPR Art.5(2) · GDPR Art.24
เทียบจากบทบัญญัติประเด็นตาม GDPR: หลักความรับผิดชอบและการแสดงให้เห็นว่าปฏิบัติตามหลักการ; ความรับผิดชอบของผู้ควบคุมและการแสดงการปฏิบัติตามกฎหมาย
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงบันทึกกิจกรรม หน้าที่ผู้ประมวลผล และ DPO ตามเงื่อนไขที่กฎหมายกำหนด
ขอบเขตที่ต่างกัน: บทบัญญัติไทยกระจายหน้าที่ไว้หลายมาตรา บันทึกและ DPO ต้องพิจารณาบทบาทและเกณฑ์ขององค์กร ไม่ใช่หน้าที่เดียวกับ GDPR ทุกองค์ประกอบ
สิ่งที่องค์กรไทยควรทบทวน: พิจารณาว่าองค์กรเข้าเกณฑ์แต่งตั้ง DPO หรือข้อยกเว้น ROPA หรือไม่
อ่านตัวบท PDPA ไทย ↗ความยินยอม
GDPR Art.6(1)(a) · GDPR Art.7
เทียบจากบทบัญญัติประเด็นตาม GDPR: การใช้ความยินยอมเป็นฐานประมวลผล; เงื่อนไขและการถอนความยินยอม
เมื่อเกิดกรณีคล้ายกันในไทย: เมื่อใช้ฐานความยินยอม ต้องพิจารณาความชัดเจน อิสระ และการถอน สำหรับข้อมูลอ่อนไหวให้พิจารณาเงื่อนไขและข้อยกเว้นของ ม.26
ขอบเขตที่ต่างกัน: ไม่ใช่ทุกกิจกรรมต้องใช้ความยินยอม และความยินยอมทั่วไปไม่แทนเงื่อนไขข้อมูลอ่อนไหวตาม ม.26
สิ่งที่องค์กรไทยควรทบทวน: ทบทวนหน้าขอความยินยอม บันทึกเวอร์ชัน และช่องทางถอนความยินยอม
อ่านตัวบท PDPA ไทย ↗สิทธิคัดค้านการใช้ข้อมูล
GDPR Art.21
เทียบจากบทบัญญัติประเด็นตาม GDPR: สิทธิคัดค้านการประมวลผล
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจฐานการประมวลผลและวัตถุประสงค์ที่ถูกคัดค้าน โดยแยกกรณีการตลาดแบบตรงออกจากกรณีอื่น
ขอบเขตที่ต่างกัน: ใช้เงื่อนไขและข้อยกเว้นของ ม.32 ไทย โดยเฉพาะความแตกต่างระหว่างการตลาดแบบตรงกับกิจกรรมฐานอื่น
สิ่งที่องค์กรไทยควรทบทวน: จัดช่องทางคัดค้านที่ใช้ได้จริง และทำให้สถานะคัดค้านส่งผลถึงรายชื่อและระบบที่นำข้อมูลไปใช้
อ่านตัวบท PDPA ไทย ↗ออกแบบระบบให้คุ้มครองข้อมูล
GDPR Art.25
เทียบจากบทบัญญัติประเด็นตาม GDPR: การคุ้มครองข้อมูลตั้งแต่การออกแบบและโดยค่าเริ่มต้น
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยนำประเด็นนี้มาตรวจการลดข้อมูลที่เก็บและมาตรการความปลอดภัยที่เหมาะสมตั้งแต่การออกแบบระบบ
ขอบเขตที่ต่างกัน: พ.ร.บ.ไทยไม่มีบทบัญญัติชื่อและรายละเอียดตรงกับ GDPR Art.25 การจับคู่นี้เทียบเคียงหน้าที่บางส่วน
สิ่งที่องค์กรไทยควรทบทวน: ตรวจค่าเริ่มต้นของการเปิดเผย สิทธิ์เข้าถึง ช่องข้อมูล และมาตรการป้องกันก่อนเปิดใช้ฟังก์ชัน
อ่านตัวบท PDPA ไทย ↗ผู้ประมวลผลข้อมูล
GDPR Art.28
เทียบจากบทบัญญัติประเด็นตาม GDPR: หน้าที่และข้อตกลงกับผู้ประมวลผลข้อมูล
เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงการควบคุมการใช้ข้อมูล การดำเนินการตามคำสั่ง และข้อตกลงระหว่างผู้ควบคุมกับผู้ประมวลผล
ขอบเขตที่ต่างกัน: หน้าที่และข้อตกลงของผู้ประมวลผลต้องใช้ ม.40 ไทย ไม่ถือว่าข้อกำหนดสัญญาทุกข้อของ GDPR Art.28 ใช้ตรงกัน
สิ่งที่องค์กรไทยควรทบทวน: ทบทวนสัญญาประมวลผลข้อมูล มาตรการความปลอดภัย และผู้รับจ้างช่วง
อ่านตัวบท PDPA ไทย ↗การใช้ข้อมูลภายใต้อำนาจและคำสั่ง
GDPR Art.29
เทียบจากบทบัญญัติประเด็นตาม GDPR: การประมวลผลตามคำสั่งและภายใต้อำนาจของผู้ควบคุมหรือผู้ประมวลผล
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยควรตรวจสิทธิ์ของผู้ที่เข้าถึงข้อมูล และในกรณีผู้ประมวลผลต้องดำเนินการตามคำสั่งของผู้ควบคุมภายใต้เงื่อนไขกฎหมาย
ขอบเขตที่ต่างกัน: GDPR Art.29 ครอบคลุมบุคคลที่อยู่ภายใต้อำนาจด้วย ส่วน ม.40(1) ของไทยเป็นหน้าที่ผู้ประมวลผลโดยเฉพาะ
สิ่งที่องค์กรไทยควรทบทวน: ตรวจสิทธิ์พนักงาน ขอบเขตคำสั่งของผู้รับจ้าง และการใช้ข้อมูลนอกหน้าที่
อ่านตัวบท PDPA ไทย ↗บันทึกรายการประมวลผลข้อมูล
GDPR Art.30
เทียบจากบทบัญญัติประเด็นตาม GDPR: บันทึกกิจกรรมการประมวลผล
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจหน้าที่บันทึกของผู้ควบคุมและผู้ประมวลผล รวมถึงข้อยกเว้นที่เกี่ยวข้องกับองค์กรนั้น
ขอบเขตที่ต่างกัน: แบบบันทึกและข้อยกเว้นตาม GDPR Art.30 ใช้แทนข้อกำหนดไทยไม่ได้
สิ่งที่องค์กรไทยควรทบทวน: ตรวจว่าบันทึกครอบคลุมข้อมูล วัตถุประสงค์ ระยะเก็บ สิทธิ์เข้าถึง และมาตรการ พร้อมปรับให้ตรงกับกิจกรรมจริง
อ่านตัวบท PDPA ไทย ↗ประเมินความเสี่ยงของกิจกรรมข้อมูล
GDPR Art.35
เทียบจากบทบัญญัติประเด็นตาม GDPR: การประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA)
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยใช้ประเด็นการประเมินผลกระทบเพื่อทบทวนว่ามาตรการรักษาความมั่นคงปลอดภัยเหมาะกับความเสี่ยงของกิจกรรมหรือไม่
ขอบเขตที่ต่างกัน: ม.37(1) ไม่ใช่หน้าที่ DPIA หรือปรึกษาหน่วยงานก่อนประมวลผลที่มีเงื่อนไขตรงกับ GDPR Art.35–36 ต้องตรวจข้อกำหนดไทยเพิ่มเติม
สิ่งที่องค์กรไทยควรทบทวน: จัดทำรายการความเสี่ยง ผู้ได้รับผลกระทบ มาตรการลดความเสี่ยง และผู้อนุมัติก่อนเริ่มกิจกรรมที่เสี่ยงสูง
อ่านตัวบท PDPA ไทย ↗เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
GDPR Art.37
เทียบจากบทบัญญัติประเด็นตาม GDPR: การแต่งตั้ง DPO
เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจว่าเข้าเกณฑ์แต่งตั้ง DPO หรือไม่ และหากแต่งตั้งแล้วต้องสนับสนุนบทบาท การเข้าถึงข้อมูล และการรายงานต่อผู้บริหาร
ขอบเขตที่ต่างกัน: เกณฑ์แต่งตั้งต้องอ่านประกาศไทยประกอบ ม.41 ไม่ถือว่าองค์กรที่ต้องมี DPO ตาม GDPR ต้องมีตามไทยทุกกรณี
สิ่งที่องค์กรไทยควรทบทวน: ตรวจเกณฑ์ของกิจกรรมหลัก ปริมาณและลักษณะการติดตามข้อมูล บทบาท DPO ช่องทางติดต่อ และความขัดแย้งของหน้าที่
อ่านตัวบท PDPA ไทย ↗อ่านต่อเรื่อง PDPA และการคุ้มครองข้อมูล
PDPA คืออะไร? ความยินยอม สิทธิ และบทเรียนสำหรับองค์กรไทย →
รายการในประเด็นหรือประเทศเดียวกัน