รายการบังคับใช้กฎหมาย: CARTONAJES BAÑERES, S.A (ETid-2510)

สิทธิเข้าถึงและรับสำเนาข้อมูล

GDPR Art.15

ประเด็นตาม GDPR: สิทธิเข้าถึงข้อมูล

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยเจ้าของข้อมูลมีสิทธิขอเข้าถึงและรับสำเนาข้อมูล รวมถึงขอทราบที่มาของข้อมูลที่ตนไม่ได้ให้ความยินยอม การปฏิเสธต้องมีเหตุที่กฎหมายรองรับ

ขอบเขตที่ต่างกัน: ไทยกำหนดกรอบดำเนินการตาม ม.30 ไม่เกิน 30 วันนับแต่ได้รับคำขอที่ไม่อาจปฏิเสธ ไม่ใช้กรอบหนึ่งเดือนของ GDPR แทนโดยอัตโนมัติ

สิ่งที่องค์กรไทยควรทบทวน: ตรวจขั้นตอนรับคำขอ ยืนยันตัวตน ค้นข้อมูล และส่งสำเนาโดยไม่กระทบสิทธิผู้อื่น

ประเมินความเสี่ยงของกิจกรรมข้อมูล

GDPR Art.35

ประเด็นตาม GDPR: การประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA)

เมื่อเกิดกรณีคล้ายกันในไทย: ในไทยใช้ประเด็นการประเมินผลกระทบเพื่อทบทวนว่ามาตรการรักษาความมั่นคงปลอดภัยเหมาะกับความเสี่ยงของกิจกรรมหรือไม่

ขอบเขตที่ต่างกัน: ม.37(1) ไม่ใช่หน้าที่ DPIA หรือปรึกษาหน่วยงานก่อนประมวลผลที่มีเงื่อนไขตรงกับ GDPR Art.35–36 ต้องตรวจข้อกำหนดไทยเพิ่มเติม

สิ่งที่องค์กรไทยควรทบทวน: จัดทำรายการความเสี่ยง ผู้ได้รับผลกระทบ มาตรการลดความเสี่ยง และผู้อนุมัติก่อนเริ่มกิจกรรมที่เสี่ยงสูง

ความมั่นคงปลอดภัย

หมวดต้นทาง: Insufficient technical and organisational measures to ensure information security

ประเด็นจากหมวดต้นทาง: มาตรการความปลอดภัยทางเทคนิคและองค์กร

เมื่อเกิดกรณีคล้ายกันในไทย: เทียบเคียงหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยแยกบทบาทผู้ควบคุมและผู้ประมวลผลข้อมูล

ขอบเขตที่ต่างกัน: แยกหน้าที่ผู้ควบคุมตาม ม.37(1) กับผู้ประมวลผลตาม ม.40(2) และตรวจมาตรการตามกฎหมายลำดับรองไทย

สิ่งที่องค์กรไทยควรทบทวน: ตรวจสิทธิ์เข้าถึง การยืนยันตัวตน การเข้ารหัส และการทบทวนมาตรการตามความเสี่ยง