รายการบังคับใช้กฎหมาย: Telenor ASA. (ETid-2573)

การกำกับดูแล

GDPR Art.24

ประเด็นตาม GDPR: ความรับผิดชอบของผู้ควบคุมและการแสดงการปฏิบัติตามกฎหมาย

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงบันทึกกิจกรรม หน้าที่ผู้ประมวลผล และ DPO ตามเงื่อนไขที่กฎหมายกำหนด

ขอบเขตที่ต่างกัน: บทบัญญัติไทยกระจายหน้าที่ไว้หลายมาตรา บันทึกและ DPO ต้องพิจารณาบทบาทและเกณฑ์ขององค์กร ไม่ใช่หน้าที่เดียวกับ GDPR ทุกองค์ประกอบ

สิ่งที่องค์กรไทยควรทบทวน: พิจารณาว่าองค์กรเข้าเกณฑ์แต่งตั้ง DPO หรือข้อยกเว้น ROPA หรือไม่

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

GDPR Art.37 · GDPR Art.38

ประเด็นตาม GDPR: การแต่งตั้ง DPO; สถานะและการสนับสนุน DPO

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยต้องตรวจว่าเข้าเกณฑ์แต่งตั้ง DPO หรือไม่ และหากแต่งตั้งแล้วต้องสนับสนุนบทบาท การเข้าถึงข้อมูล และการรายงานต่อผู้บริหาร

ขอบเขตที่ต่างกัน: เกณฑ์แต่งตั้งต้องอ่านประกาศไทยประกอบ ม.41 ไม่ถือว่าองค์กรที่ต้องมี DPO ตาม GDPR ต้องมีตามไทยทุกกรณี

สิ่งที่องค์กรไทยควรทบทวน: ตรวจเกณฑ์ของกิจกรรมหลัก ปริมาณและลักษณะการติดตามข้อมูล บทบาท DPO ช่องทางติดต่อ และความขัดแย้งของหน้าที่

หลักการประมวลผลข้อมูล

หมวดต้นทาง: Non-compliance with general data processing principles

ประเด็นจากหมวดต้นทาง: การไม่ปฏิบัติตามหลักการประมวลผลโดยรวม

เมื่อเกิดกรณีคล้ายกันในไทย: คดีที่อ้างหลักการโดยรวมควรนำมาตรวจวัตถุประสงค์ ความจำเป็น ฐานกฎหมาย ความถูกต้อง ระยะเวลาเก็บ และความปลอดภัยของกิจกรรมในไทย

ขอบเขตที่ต่างกัน: เมื่อดัชนีไม่ระบุอนุมาตราของ Art.5 ยังเลือกหลักการข้อใดข้อหนึ่งเป็นข้อวินิจฉัยของคดีไม่ได้

สิ่งที่องค์กรไทยควรทบทวน: ตรวจวงจรข้อมูลตั้งแต่เก็บจนลบ เพื่อแยกว่าประเด็นใดเกี่ยวข้องกับกิจกรรมจริงก่อนเลือกมาตราไทย