รายการบังคับใช้กฎหมาย: Real Estate Agency (ETid-2614)

ฐานกฎหมายและวัตถุประสงค์

GDPR Art.5(1)(a) · GDPR Art.6

ประเด็นตาม GDPR: หลักความชอบด้วยกฎหมายและความเป็นธรรม; ฐานที่ทำให้การประมวลผลข้อมูลชอบด้วยกฎหมาย

เมื่อเกิดกรณีคล้ายกันในไทย: พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม

ขอบเขตที่ต่างกัน: ฐานตาม GDPR Art.6 กับเงื่อนไขไทย ม.24 ไม่ตรงกันทุกกรณี หากใช้ความยินยอมต้องพิจารณา ม.19 ประกอบ

สิ่งที่องค์กรไทยควรทบทวน: ทบทวนกิจกรรมใน ROPA และหลักฐานรองรับฐานกฎหมายของแต่ละวัตถุประสงค์

การแจ้งรายละเอียด

GDPR Art.5(1)(a)

ประเด็นตาม GDPR: หลักความโปร่งใส

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก

ขอบเขตที่ต่างกัน: ข้อมูลที่ได้จากบุคคลโดยตรงเทียบ ม.23 ส่วนข้อมูลจากแหล่งอื่นต้องพิจารณา ม.25 พร้อมเงื่อนไขและข้อยกเว้นไทย

สิ่งที่องค์กรไทยควรทบทวน: ตรวจ Privacy Notice วัตถุประสงค์ ระยะเก็บ ผู้รับข้อมูล และช่องทางใช้สิทธิ

เก็บข้อมูลเท่าที่จำเป็น

GDPR Art.5(1)(c)

ประเด็นตาม GDPR: หลักเก็บข้อมูลให้เพียงพอ เกี่ยวข้อง และจำกัดเท่าที่จำเป็น

เมื่อเกิดกรณีคล้ายกันในไทย: หากกิจกรรมลักษณะเดียวกันเกิดในไทย ต้องพิจารณาว่าข้อมูลแต่ละรายการจำเป็นต่อวัตถุประสงค์อันชอบด้วยกฎหมายหรือไม่ และลดการเก็บข้อมูลที่ไม่จำเป็น

ขอบเขตที่ต่างกัน: GDPR ครอบคลุมความเพียงพอ ความเกี่ยวข้อง และการจำกัดข้อมูลในการประมวลผล ส่วน ม.22 ของไทยระบุหน้าที่เก็บรวบรวมเท่าที่จำเป็นโดยตรง

สิ่งที่องค์กรไทยควรทบทวน: ไล่ตรวจช่องข้อมูลและเอกสารที่ขอจากบุคคล ระบุเหตุผลความจำเป็นของแต่ละช่อง และตัดหรือปกปิดข้อมูลส่วนเกิน

ความมั่นคงปลอดภัย

GDPR Art.5(1)(f)

ประเด็นตาม GDPR: หลักความครบถ้วนและการรักษาความลับด้วยมาตรการความปลอดภัย

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยแยกบทบาทผู้ควบคุมและผู้ประมวลผลข้อมูล

ขอบเขตที่ต่างกัน: แยกหน้าที่ผู้ควบคุมตาม ม.37(1) กับผู้ประมวลผลตาม ม.40(2) และตรวจมาตรการตามกฎหมายลำดับรองไทย

สิ่งที่องค์กรไทยควรทบทวน: ตรวจสิทธิ์เข้าถึง การยืนยันตัวตน การเข้ารหัส และการทบทวนมาตรการตามความเสี่ยง

สิทธิขอลบหรือทำลายข้อมูล

GDPR Art.17

ประเด็นตาม GDPR: สิทธิลบข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องพิจารณาเหตุที่ขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ และข้อยกเว้น เช่น การใช้สิทธิเรียกร้องตามกฎหมาย

ขอบเขตที่ต่างกัน: สิทธิลบไม่ใช่สิทธิที่ไม่มีข้อยกเว้น ต้องใช้เงื่อนไขตาม ม.33 ของไทย

สิ่งที่องค์กรไทยควรทบทวน: ตรวจเหตุในคำขอ ระยะเก็บ และหน้าที่เก็บตามกฎหมาย ก่อนดำเนินการลบหรืออธิบายเหตุปฏิเสธ

สิทธิคัดค้านการใช้ข้อมูล

GDPR Art.21

ประเด็นตาม GDPR: สิทธิคัดค้านการประมวลผล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจฐานการประมวลผลและวัตถุประสงค์ที่ถูกคัดค้าน โดยแยกกรณีการตลาดแบบตรงออกจากกรณีอื่น

ขอบเขตที่ต่างกัน: ใช้เงื่อนไขและข้อยกเว้นของ ม.32 ไทย โดยเฉพาะความแตกต่างระหว่างการตลาดแบบตรงกับกิจกรรมฐานอื่น

สิ่งที่องค์กรไทยควรทบทวน: จัดช่องทางคัดค้านที่ใช้ได้จริง และทำให้สถานะคัดค้านส่งผลถึงรายชื่อและระบบที่นำข้อมูลไปใช้

การตอบคำขอและคำสั่งของหน่วยงานกำกับ

หมวดต้นทาง: Insufficient cooperation with supervisory authority

ประเด็นจากหมวดต้นทาง: การให้ความร่วมมือกับหน่วยงานกำกับ

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องพิจารณาคำสั่งให้ส่งเอกสาร ชี้แจง หรือให้ข้อมูลตามอำนาจของคณะกรรมการผู้เชี่ยวชาญและพนักงานเจ้าหน้าที่

ขอบเขตที่ต่างกัน: GDPR Art.31 เป็นหน้าที่ให้ความร่วมมือโดยตรง ส่วนมาตราไทยที่ยกมาเป็นอำนาจเรียกข้อมูลและตรวจสอบ ไม่ใช่บทบัญญัติที่มีถ้อยคำตรงกัน

สิ่งที่องค์กรไทยควรทบทวน: กำหนดผู้ประสานงาน เก็บหลักฐานคำสั่งและเอกสารตอบกลับ ตรวจขอบเขตอำนาจและกำหนดเวลาตามคำสั่งจริง