รู้ทันโลกข้อมูลส่วนบุคคล
มองกลับมาที่ PDPA ไทย

อิตาลีปรับ BBVA กว่า 5.5 ล้านยูโร เหตุไม่เคารพคำขอคัดค้านการตลาดโดยตรงของลูกค้า

European Data Protection Board · สรุปภาษาไทย

สำนักงานคุ้มครองข้อมูลส่วนบุคคลอิตาลี (DPA) ปรับธนาคาร BBVA สาขาอิตาลีจำนวน 5,508,000 ยูโร กรณีล้มเหลวในการเคารพคำขอของลูกค้าที่คัดค้านการส่งการตลาดโดยตรงผ่านแอปพลิเคชันมือถือ แม้ลูกค้าจะใช้สิทธิคัดค้านและแจ้งไปยังฝ่ายบริการลูกค้าแล้ว แต่ BBVA กลับยังส่งการแจ้งเตือนทางการตลาดอย่างต่อเนื่องนานถึง 7 เดือนระหว่างเดือนตุลาคม 2025 ถึงพฤษภาคม 2026 DPA พบว่า BBVA ไม่ได้ดำเนินการตามคำขอคัดค้านของลูกค้าอย่างถูกต้องและรวดเร็ว โดยลูกค้าได้รับการแจ้งเตือนโฆษณากว่า 10 ครั้งในช่วงเวลานั้น และไม่ยอมรับเหตุผลของบริษัทที่อ้างว่าลูกค้าควรใช้ช่องทางอีเมลพิเศษตามนโยบายความเป็นส่วนตัว รวมทั้งพบว่ามีข้อบกพร่องทางเทคนิคและการบริหารจัดการ รวมถึงข้อมูลที่ผิดพลาดจากฝ่ายบริการลูกค้าเรื่องการปิดการแจ้งเตือนในแอปที่ BBVA ยืนยันได้ว่าสามารถปิดได้ คำตัดสินของ DPA ถือว่าบริษัทละเมิดบทบัญญัติหลายประการของ GDPR พร้อมทั้งสั่งให้ BBVA ปรับปรุงมาตรการทางเทคนิคและการจัดการเพื่อสนับสนุนการใช้สิทธิของเจ้าของข้อมูลและต้องรายงานการดำเนินตามคำสั่งภายใน 30 วันจากวันที่รับคำตัดสิน ทั้งนี้พิจารณาจากผลกระทบต่อข้อมูลของลูกค้ารายนี้และระยะเวลาที่เกิดปัญหาเป็นส่วนประกอบของการกำหนดค่าปรับ

สำนักงานคุ้มครองข้อมูลอิตาลี ปรับบริษัทรักษาความปลอดภัย 39,000 ยูโร ปมละเมิดข้อมูลพนักงาน

European Data Protection Board · สรุปภาษาไทย

สำนักงานคุ้มครองข้อมูลแห่งชาติอิตาลี (Garante) ลงโทษปรับบริษัท La Patria S.p.A. เป็นเงิน 39,000 ยูโร หลังละเมิดสิทธิ์ของพนักงานเกี่ยวกับข้อมูลส่วนบุคคล โดยบริษัทไม่ตอบสนองคำขอเข้าถึงข้อมูลที่เกี่ยวข้องกับการดำเนินการทางวินัย รวมถึงข้อมูลจากระบบจีพีเอสรถบริษัทที่ใช้โดยพนักงานผู้ร้องเรียน. คณะกรรมการชี้แจงว่า หากผู้ถูกเก็บข้อมูลร้องขอข้อมูลส่วนตัว ไม่จำเป็นต้องอ้างอิงกฎหมาย GDPR โดยตรง และถ้าผู้ควบคุมข้อมูลไม่ปฏิบัติตามคำขอจะต้องแจ้งเหตุผลพร้อมข้อมูลเกี่ยวกับช่องทางร้องเรียนหรือฟ้องศาล นอกจากนี้บริษัทยังผิดพลาดในการแจ้งข้อมูลต่อพนักงานเกี่ยวกับการเก็บข้อมูลตำแหน่งผ่านจีพีเอสและระบุข้อมูลประเภทพิเศษที่บริษัทไม่ได้ดำเนินการในนโยบายความเป็นส่วนตัว. โทษปรับแยกเป็น 22,000 ยูโร สำหรับละเมิดสิทธิ์การเข้าถึงข้อมูล และ 17,000 ยูโรสำหรับข้อผิดพลาดด้านข้อมูลแจ้งพนักงาน โดยสำนักงานฯได้พิจารณาว่าบริษัทได้แก้ไขและปรับปรุงการปฏิบัติตามกฎหมายหลังตรวจสอบเรียบร้อยแล้ว จึงไม่กำหนดมาตรการแก้ไขเพิ่มเติมทันที

ดัตช์ DPA ปรับ Uber 824.99 ล้านยูโร ฐานใช้การตัดสินใจอัตโนมัติที่ผิดกฎหมายและข้อมูลโปรไฟล์ไม่เพียงพอ

European Data Protection Board · สรุปภาษาไทย

ในปี 2018-2022 Uber ถูกปรับเงิน 824,990,000 ยูโร โดยหน่วยงานคุ้มครองข้อมูลส่วนบุคคลแห่งประเทศเนเธอร์แลนด์ (Autoriteit Persoonsgegevens หรือ AP) ผ่านกระบวนการ One-Stop-Shop ตาม GDPR เนื่องจาก Uber ใช้วิธีการตัดสินใจอัตโนมัติเต็มรูปแบบกับคนขับรถ เช่น การระงับบัญชีชั่วคราวเมื่อสงสัยว่ามีการฉ้อโกง หรือการระงับถาวรกรณีคะแนนรีวิวลูกค้าต่ำ เพื่อระงับรายได้ของคนขับโดยไม่มีการตรวจสอบด้วยตนเองก่อน AP ระบุว่า Uber ละเมิดข้อห้ามของ GDPR ในการใช้การตัดสินใจอัตโนมัติเต็มรูปแบบ และไม่ได้ให้ข้อมูลที่เพียงพอแก่คนขับเกี่ยวกับการตัดสินใจแบบอัตโนมัติและการสร้างโปรไฟล์ โดยตอนนี้ Uber หยุดกระทำผิดดังกล่าวแล้ว อย่างไรก็ตาม Uber ได้ยื่นอุทธรณ์คำสั่งปรับนี้และยังไม่มีคำตัดสินทางกฎหมายขั้นสุดท้าย กรณีนี้เริ่มจากผู้ขับ Uber ในฝรั่งเศสจำนวน 171 คนยื่นเรื่องร้องเรียนผ่านองค์กร Ligue des droits de l’Homme (LDH) ต่อสำนักงานคุ้มครองข้อมูลฝรั่งเศส (CNIL) ซึ่งหลังจากนั้นคดีถูกส่งไปยัง AP เนื่องจากสำนักงานใหญ่ของ Uber ในยุโรปตั้งอยู่ที่เนเธอร์แลนด์

กรีซสั่งปรับกระทรวงสังคมและ E.E.T.A.A. กว่า 3 แสนยูโร กรณีข้อมูลรั่วไหล

European Data Protection Board · สรุปภาษาไทย

สำนักงานคุ้มครองข้อมูลส่วนบุคคลของกรีซเผยผลสืบสวนเหตุข้อมูลส่วนบุคคลรั่วไหลครั้งใหญ่ กระทบฐานข้อมูลที่ดูแลโดยบริษัท E.E.T.A.A. S.A. ในฐานะผู้ประมวลผลข้อมูลให้กระทรวงสังคมและครอบครัว ข้อมูลที่รั่วไหลรวมทั้งข้อมูลส่วนบุคคล เช่น ข้อมูลระบุตัวตน รายละเอียดติดต่อ รวมถึงข้อมูลการเงินและสุขภาพของผู้ได้รับผลกระทบจำนวนมาก สำนักงานฯ พบว่ากระทรวงสังคมปฏิบัติตามข้อกำหนดเกี่ยวกับการแจ้งเหตุต่อหน่วยงานกำกับดูแลและแจ้งผู้ได้รับผลกระทบแล้ว แต่ตั้งข้อสังเกตว่าการโจมตีสำเร็จเนื่องจาก E.E.T.A.A. ใช้ระบบข้อมูลที่ล้าสมัยและมาตรการรักษาความปลอดภัยไม่เพียงพอ แม้จะทราบความเสี่ยงแล้วก็ตาม ซึ่งละเมิดข้อกำหนดความปลอดภัยในการประมวลผลและความสัมพันธ์ระหว่างผู้ควบคุมและผู้ประมวลผลข้อมูลตามกฎหมาย GDPR สำนักงานคุ้มครองข้อมูลของกรีซจึงสั่งปรับกระทรวงสังคม 200,000 ยูโร และ E.E.T.A.A. 150,000 ยูโร พร้อมทั้งกำชับให้ทั้งสองฝ่ายจัดทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคลตามมาตรา 28 ของกฎหมาย GDPR และดำเนินมาตรการเสริมความปลอดภัยในระบบข้อมูลอย่างครบถ้วน

สวีเดนปรับบริษัท Miljödata กว่า 5.7 ล้านบาทฐานมาตรการรักษาความปลอดภัยข้อมูลไม่เพียงพอ

European Data Protection Board · สรุปภาษาไทย

ในเดือนสิงหาคม 2025 บริษัท Miljödata ผู้ให้บริการด้านไอทีในสวีเดนโดนโจมตีทางไซเบอร์ ทำให้แฮกเกอร์เข้าถึงข้อมูลส่วนบุคคลของบุคคลมากถึง 2.2 ล้านคน และนำข้อมูลไปเผยแพร่บนดาร์กเน็ต ข้อมูลที่ถูกเปิดเผยรวมถึงเลขประจำตัวประชาชน รายละเอียดติดต่อ และข้อมูลอ่อนไหวเกี่ยวกับการลาป่วยและการศึกษา การตรวจสอบพบว่า Miljödata ไม่ได้มีมาตรการทางเทคนิคและองค์กรที่เพียงพอเพื่อป้องกันข้อมูลส่วนบุคคล เช่น ไม่มีการตรวจสอบซอฟต์แวร์ใหม่อย่างเหมาะสม และไม่มีระบบตรวจจับการบุกรุกแบบอัตโนมัติแบบเรียลไทม์ สำนักงานคุ้มครองข้อมูลส่วนบุคคลของสวีเดน (IMY) จึงตัดสินใจปรับบริษัท Miljödata เป็นเงิน 1.8 ล้านโครนาสวีเดน หรือราว 160,000 ยูโร เนื่องจากละเมิดมาตรการรักษาความปลอดภัยข้อมูลตามกฎหมาย GDPR มาตรา 32(1)

CNIL ปิดคำสั่งบังคับใช้มาตรการความปลอดภัยข้อมูลกับ FRANCE TRAVAIL หลังปฏิบัติตามแล้ว

CNIL · สรุปภาษาไทย

เมื่อวันที่ 23 กันยายน 2569 CNIL ตัดสินใจปิดคำสั่งบังคับที่ออกเมื่อวันที่ 22 มกราคม 2569 กับ FRANCE TRAVAIL โดยไม่เรียกเก็บค่าปรับเพิ่มเติม เนื่องจากองค์กรได้ดำเนินการแก้ไขและปฏิบัติตามมาตรฐานความปลอดภัยข้อมูลส่วนบุคคลตามข้อกำหนดของบทความ 32 ใน GDPR แล้ว คำสั่งบังคับนั้นมุ่งเน้นการยกระดับความปลอดภัย เช่น การเข้มงวดนโยบายรหัสผ่าน การใช้ระบบยืนยันตัวตนแบบหลายขั้นตอนสำหรับผู้ใช้งาน CAP EMPLOI รวมถึงการควบคุมและตรวจสอบบันทึกกิจกรรม เพื่อจำกัดการเข้าถึงข้อมูลเฉพาะที่จำเป็นสำหรับงานเท่านั้น จากการที่ FRANCE TRAVAIL ปรับปรุงระบบให้มีความปลอดภัยมากยิ่งขึ้น CNIL จึงพิจารณาไม่เรียกเก็บค่าปรับเพิ่มเติมด้วยอัตรา 5,000 ยูโรต่อวัน และปิดคำสั่งบังคับดังกล่าวอย่างเป็นทางการ

รายการบังคับใช้กฎหมาย: Consiglio Nazionale del Notariato (National Council of Notaries) (ETid-3394)

Enforcement Tracker รายงานรายการเกี่ยวกับ Consiglio Nazionale del Notariato (National Council of Notaries) ในอิตาลี หน่วยงานที่ระบุคือ Italian Data Protection Authority (Garante) บทบัญญัติที่อ้าง: Art. 5 (1) a) GDPR, Art. 6 (1) c), e) GDPR, Art. 6 (2), (3) GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient legal basis for data processing สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง

รายการบังคับใช้กฎหมาย: Ministero della Giustizia (Italian Ministry of Justice) (ETid-3393)

Enforcement Tracker รายงานรายการเกี่ยวกับ Ministero della Giustizia (Italian Ministry of Justice) ในอิตาลี หน่วยงานที่ระบุคือ Italian Data Protection Authority (Garante) บทบัญญัติที่อ้าง: Art. 5 (1) a), c) GDPR, Art. 6 (1) c), e) GDPR, Art. 6 (2), (3) GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient legal basis for data processing สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง

รายการบังคับใช้กฎหมาย: Poste Italiane S.p.A. (ETid-3391)

Enforcement Tracker รายงานรายการเกี่ยวกับ Poste Italiane S.p.A. ในอิตาลี หน่วยงานที่ระบุคือ Italian Data Protection Authority (Garante) บทบัญญัติที่อ้าง: Art. 5 (1) a) GDPR, Art. 13 GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient fulfilment of information obligations สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง

รายการบังคับใช้กฎหมาย: Deutsche Bank S.p.A. (ETid-3390)

Enforcement Tracker รายงานรายการเกี่ยวกับ Deutsche Bank S.p.A. ในอิตาลี หน่วยงานที่ระบุคือ Italian Data Protection Authority (Garante) บทบัญญัติที่อ้าง: Art. 5 (1) a) GDPR, Art. 13 GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient fulfilment of information obligations สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง

รายการบังคับใช้กฎหมาย: Spitalul Veterinar Tineretului SRL (ETid-3350)

Enforcement Tracker รายงานรายการเกี่ยวกับ Spitalul Veterinar Tineretului SRL ในโรมาเนีย หน่วยงานที่ระบุคือ Romanian National Supervisory Authority for Personal Data Processing (ANSPDCP) บทบัญญัติที่อ้าง: Art. 15 (1), (3) GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient fulfilment of data subjects rights สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง

รายการบังคับใช้กฎหมาย: Università degli Studi di Teramo (ETid-3349)

Enforcement Tracker รายงานรายการเกี่ยวกับ Università degli Studi di Teramo ในอิตาลี หน่วยงานที่ระบุคือ Italian Data Protection Authority (Garante) บทบัญญัติที่อ้าง: Art. 5 (1) a), c) GDPR, Art. 6 (1) c), e), (2), (3) GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient legal basis for data processing สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง