รายการบังคับใช้กฎหมาย: Edizioni Grandangolo di Giuseppe Castaldo (ETid-3249)

ความมั่นคงปลอดภัย

GDPR Art.5(1)(f) · GDPR Art.32

ประเด็นตาม GDPR: หลักความครบถ้วนและการรักษาความลับด้วยมาตรการความปลอดภัย; มาตรการทางเทคนิคและองค์กรเพื่อรักษาความปลอดภัยตามความเสี่ยง

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยแยกบทบาทผู้ควบคุมและผู้ประมวลผลข้อมูล

ขอบเขตที่ต่างกัน: แยกหน้าที่ผู้ควบคุมตาม ม.37(1) กับผู้ประมวลผลตาม ม.40(2) และตรวจมาตรการตามกฎหมายลำดับรองไทย

สิ่งที่องค์กรไทยควรทบทวน: ตรวจสิทธิ์เข้าถึง การยืนยันตัวตน การเข้ารหัส และการทบทวนมาตรการตามความเสี่ยง

การกำกับดูแล

GDPR Art.5(2) · GDPR Art.24

ประเด็นตาม GDPR: หลักความรับผิดชอบและการแสดงให้เห็นว่าปฏิบัติตามหลักการ; ความรับผิดชอบของผู้ควบคุมและการแสดงการปฏิบัติตามกฎหมาย

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงบันทึกกิจกรรม หน้าที่ผู้ประมวลผล และ DPO ตามเงื่อนไขที่กฎหมายกำหนด

ขอบเขตที่ต่างกัน: บทบัญญัติไทยกระจายหน้าที่ไว้หลายมาตรา บันทึกและ DPO ต้องพิจารณาบทบาทและเกณฑ์ขององค์กร ไม่ใช่หน้าที่เดียวกับ GDPR ทุกองค์ประกอบ

สิ่งที่องค์กรไทยควรทบทวน: พิจารณาว่าองค์กรเข้าเกณฑ์แต่งตั้ง DPO หรือข้อยกเว้น ROPA หรือไม่

สิทธิของเจ้าของข้อมูล

GDPR Art.12

ประเด็นตาม GDPR: การอำนวยความสะดวกและขั้นตอนใช้สิทธิของเจ้าของข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงสิทธิเข้าถึง โอน คัดค้าน ลบ ระงับ และแก้ไขข้อมูลตามเงื่อนไขของแต่ละสิทธิ

ขอบเขตที่ต่างกัน: ดัชนียังไม่ระบุสิทธิข้อใดโดยเฉพาะ ต้องแยกสิทธิและใช้เงื่อนไขของ ม.30–36 ไทย

สิ่งที่องค์กรไทยควรทบทวน: กำหนดผู้รับผิดชอบ ขั้นตอนตรวจตัวตน และเวลาตอบคำขอที่ตรงตามกฎหมาย

การแจ้งรายละเอียด

GDPR Art.13

ประเด็นตาม GDPR: ข้อมูลที่ต้องแจ้งเมื่อได้ข้อมูลจากบุคคลโดยตรง

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก

ขอบเขตที่ต่างกัน: ข้อมูลที่ได้จากบุคคลโดยตรงเทียบ ม.23 ส่วนข้อมูลจากแหล่งอื่นต้องพิจารณา ม.25 พร้อมเงื่อนไขและข้อยกเว้นไทย

สิ่งที่องค์กรไทยควรทบทวน: ตรวจ Privacy Notice วัตถุประสงค์ ระยะเก็บ ผู้รับข้อมูล และช่องทางใช้สิทธิ

ออกแบบระบบให้คุ้มครองข้อมูล

GDPR Art.25

ประเด็นตาม GDPR: การคุ้มครองข้อมูลตั้งแต่การออกแบบและโดยค่าเริ่มต้น

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยนำประเด็นนี้มาตรวจการลดข้อมูลที่เก็บและมาตรการความปลอดภัยที่เหมาะสมตั้งแต่การออกแบบระบบ

ขอบเขตที่ต่างกัน: พ.ร.บ.ไทยไม่มีบทบัญญัติชื่อและรายละเอียดตรงกับ GDPR Art.25 การจับคู่นี้เทียบเคียงหน้าที่บางส่วน

สิ่งที่องค์กรไทยควรทบทวน: ตรวจค่าเริ่มต้นของการเปิดเผย สิทธิ์เข้าถึง ช่องข้อมูล และมาตรการป้องกันก่อนเปิดใช้ฟังก์ชัน

การแจ้งเหตุละเมิด

GDPR Art.33

ประเด็นตาม GDPR: การแจ้งเหตุละเมิดต่อหน่วยงานกำกับ

เมื่อเกิดกรณีคล้ายกันในไทย: ผู้ควบคุมพิจารณาแจ้งสำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ; หากเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้า ผู้ประมวลผลแจ้งผู้ควบคุม

ขอบเขตที่ต่างกัน: กรอบ 72 ชั่วโมงและการแจ้งบุคคลต้องใช้เงื่อนไขความเสี่ยงและรายละเอียดตามกฎหมายไทย บทบาทผู้ประมวลผลต่างจากผู้ควบคุม

สิ่งที่องค์กรไทยควรทบทวน: ตรวจเวลาทราบเหตุ ระดับความเสี่ยง หลักเกณฑ์ประกาศ และบันทึกเหตุผล ไม่ใช้เวลาของต่างประเทศแทนเกณฑ์ไทย