รู้ทันโลกข้อมูลส่วนบุคคล
มองกลับมาที่ PDPA ไทย

รายการบังคับใช้กฎหมาย: S.C. Hayat Medical & Dental S.R.L. (ETid-3403)

Enforcement Tracker รายงานรายการเกี่ยวกับ S.C. Hayat Medical & Dental S.R.L. ในโรมาเนีย หน่วยงานที่ระบุคือ Romanian National Supervisory Authority for Personal Data Processing (ANSPDCP) บทบัญญัติที่อ้าง: Art. 5 (1) a) GDPR, Art. 6 (1) GDPR, Art. 58 (1) a), e) GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient legal basis for data processing สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง

รายการบังคับใช้กฎหมาย: Private individual (ETid-3386)

Enforcement Tracker รายงานรายการเกี่ยวกับ Private individual ในสเปน หน่วยงานที่ระบุคือ Spanish Data Protection Authority (aepd) บทบัญญัติที่อ้าง: Art. 6 (1) GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient legal basis for data processing สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง

รายการบังคับใช้กฎหมาย: Accommodation provider (name redacted) (ETid-3384)

Enforcement Tracker รายงานรายการเกี่ยวกับ Accommodation provider (name redacted) ในสเปน หน่วยงานที่ระบุคือ Spanish Data Protection Authority (aepd) บทบัญญัติที่อ้าง: Art. 5 (1) c) GDPR หมวดการละเมิดที่ต้นทางระบุ: Non-compliance with general data processing principles สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง

รายการบังคับใช้กฎหมาย: GIANTS GAMING ESPORTS, S.L. (ETid-3377)

Enforcement Tracker รายงานรายการเกี่ยวกับ GIANTS GAMING ESPORTS, S.L. ในสเปน หน่วยงานที่ระบุคือ Spanish Data Protection Authority (aepd) บทบัญญัติที่อ้าง: Art. 32 GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient technical and organisational measures to ensure information security สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง

กฎใหม่การโทรประชาสัมพันธ์ต้องได้รับความยินยอมก่อนตามมาตรการคุ้มครองข้อมูลส่วนบุคคล

CNIL · สรุปภาษาไทย

กฎระเบียบเกี่ยวกับการโทรหาเพื่อประชาสัมพันธ์ในฝรั่งเศสมีการเปลี่ยนแปลงตั้งแต่วันที่ 11 สิงหาคม 2569 โดยการโทรประชาสัมพันธ์ไปยังผู้บริโภคต้องได้รับความยินยอมล่วงหน้า และต้องปฏิบัติตามข้อกำหนดอื่นๆ เช่น การให้ข้อมูลที่ชัดเจน การจำกัดเวลาการโทร และการกำหนดระยะเวลาคงไว้ของความยินยอม รวมทั้งมีข้อยกเว้นบางกรณีที่อนุญาตได้ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งฝรั่งเศส (CNIL) ร่วมกับ DGCCRF ได้จัดการสัมมนาออนไลน์ (webinaire) เพื่อชี้แจงรายละเอียดของกฎระเบียบใหม่และตอบคำถามเกี่ยวกับการโทรประชาสัมพันธ์ให้ทำความเข้าใจง่ายขึ้น กฎเกณฑ์นี้มีพื้นฐานตามกฎหมายคุ้มครองผู้บริโภคของฝรั่งเศสและระเบียบคุ้มครองข้อมูลส่วนบุคคลทั่วไป (GDPR) ซึ่งกำหนดเงื่อนไขการเก็บรักษาและถอนความยินยอม รวมถึงสิทธิต่างๆ ของเจ้าของข้อมูลในการปฏิเสธการรับการโทรเพื่อการตลาด

รายการบังคับใช้กฎหมาย: MYCONNECTOR PLATFORM SRL (ETid-3351)

Enforcement Tracker รายงานรายการเกี่ยวกับ MYCONNECTOR PLATFORM SRL ในโรมาเนีย หน่วยงานที่ระบุคือ Romanian National Supervisory Authority for Personal Data Processing (ANSPDCP) บทบัญญัติที่อ้าง: Art. 32 (1) b), (2) GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient technical and organisational measures to ensure information security สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง

นอร์เวย์ปรับบริษัท Xandr กว่า 8.6 ล้านยูโร ฐานละเมิดการประมวลผลข้อมูลส่วนบุคคล

European Data Protection Board · สรุปภาษาไทย

สำนักงานคุ้มครองข้อมูลส่วนบุคคลของนอร์เวย์ได้สั่งปรับบริษัท Xandr Inc. เป็นเงิน 8.6 ล้านยูโร จากการประมวลผลข้อมูลส่วนบุคคลของผู้ใช้งานแอปหาคู่ Grindr ในประเทศนอร์เวย์โดยไม่ได้รับความยินยอมที่ถูกต้องตามกฎหมาย การตรวจสอบพบว่า Xandr ประมวลผลข้อมูลส่วนบุคคล เช่น การใช้งานแอป Grindr รหัสโฆษณา และที่อยู่ IP รวมทั้งข้อมูลที่ถือเป็นข้อมูลพิเศษเกี่ยวกับรสนิยมทางเพศ ซึ่งตามกฎระเบียบ GDPR ต้องได้รับความยินยอมอย่างชัดแจ้งก่อนการประมวลผล แต่ Xandr กลับอ้างพึ่งพาความยินยอมจาก Grindr ที่ไม่เป็นไปตามข้อกำหนด ทำให้ถือว่าละเมิดบทบัญญัติทางกฎหมายหลายประการ สำนักงานฯ ระบุว่าในฐานะที่เป็นผู้ควบคุมร่วม (joint controller) Xandr ต้องตรวจสอบความถูกต้องของความยินยอมด้วยตนเอง ไม่สามารถโอนความรับผิดชอบได้ ความละเมิดที่เกิดขึ้นจึงมีความรุนแรงสูง และถือเป็นการฝ่าฝืนหลักความเป็นส่วนตัวโดยเฉพาะข้อมูลที่มีความอ่อนไหวสูงตาม GDPR

การกู้คืนที่อยู่อีเมลมืออาชีพ: การปฏิบัติภายใต้กรอบกฎหมายอย่างไร?

CNIL · สรุปภาษาไทย

การกู้คืนที่อยู่อีเมลมืออาชีพหมายถึงการเดาหรือดึงที่อยู่อีเมลของบุคคลจากข้อมูลสาธารณะ เช่น ชื่อและชื่อองค์กรที่ทำงานอยู่ วิธีนี้มักใช้เพื่อสร้างฐานข้อมูลติดต่อเพื่อนำไปสู่การติดต่อเชิงธุรกิจหรือวัตถุประสงค์อื่น เช่น การส่งเสริมการขาย หรือการสื่อสารภายในหน่วยงาน องค์กรสามารถทำการกู้คืนที่อยู่อีเมลโดยอาศัยฐานทางกฎหมาย คือ "ผลประโยชน์ที่ชอบธรรม" โดยต้องมีเหตุผลที่เป็นจริงและมิให้ส่งผลกระทบเกินสมควรต่อสิทธิของบุคคล เช่น การติดต่อเพื่อการพัฒนาเชิงธุรกิจหรือการแลกเปลี่ยนข้อมูลในทางการ ผู้ประมวลผลต้องพิจารณาแต่ละกรณีว่าบุคคลที่เกี่ยวข้องคาดหวังหรือยินยอมกับการใช้งานข้อมูลในลักษณะนี้หรือไม่ นอกจากนี้ ต้องคำนึงถึงระดับการมองเห็นข้อมูลและความสามารถควบคุมข้อมูลส่วนตัวของเจ้าของข้อมูล หากบุคคลพยายามจำกัดการเปิดเผยที่อยู่ติดต่อหรือไม่มีตัวตนปรากฏในโลกออนไลน์ ก็ควรได้รับการเคารพไม่ให้กู้คืนข้อมูล ในกรณีการกู้คืน ควรมีมาตรการจำกัดการเก็บข้อมูลและเคารพความประสงค์หากเจ้าตัวไม่ต้องการถูกติดต่อ ช่วยป้องกันผลกระทบและรักษาสิทธิของผู้ถูกเก็บข้อมูลตามข้อกำหนดของ GDPR อย่างเคร่งครัด

ยุโรปชี้แว่นตาอัจฉริยะต้องคุ้มครองข้อมูลคนรอบข้าง

Garante per la protezione dei dati personali · สรุปภาษาไทย

Garante อิตาลีรายงานเมื่อ 14 ตุลาคม 2569 ว่า EDPB เสนอแนวทางเบื้องต้นสำหรับแว่นตาอัจฉริยะ โดยกังวลการถ่ายภาพหรือบันทึกเสียงคนรอบข้างโดยที่เจ้าตัวไม่รู้ การใช้เพื่อกิจกรรมส่วนตัวหรือในครอบครัวโดยเฉพาะอยู่นอกขอบเขต GDPR แต่การใช้เพื่อทำงานหรือเผยแพร่ภาพบนสื่อสังคมสาธารณะอาจทำให้ผู้ใช้มีหน้าที่ในฐานะผู้ควบคุมข้อมูล ผู้ผลิตและผู้ให้บริการที่กำหนดวัตถุประสงค์และวิธีประมวลผลก็อาจมีหน้าที่ของตนด้วย EDPB แนะนำสัญญาณไฟ เสียง หรือการแจ้งเตือนให้คนใกล้เคียงรู้ว่ากำลังถูกบันทึก โดยควรปิดสัญญาณได้ยาก การประมวลผลที่อยู่ภายใต้ GDPR ต้องมีฐานกฎหมายที่เหมาะสม ไม่ใช่อาศัยประโยชน์โดยชอบด้วยกฎหมายโดยไม่ประเมินสิทธิของผู้ถูกบันทึก มาตรการลดความเสี่ยงที่เสนอ ได้แก่ จำกัดการบันทึกต่อเนื่องและระยะเวลาเก็บข้อมูล ปิดบังใบหน้า และจำกัดการใช้งานในพื้นที่อ่อนไหว เช่น โรงพยาบาล โรงเรียน และห้องเปลี่ยนเสื้อผ้า พร้อมให้ความสำคัญกับการคุ้มครองเด็ก

EDPB ออกแนวทางคุ้มครองข้อมูลส่วนบุคคลจากแว่นตาอัจฉริยะ

European Data Protection Board · สรุปภาษาไทย

เมื่อวันที่ 13 ตุลาคม 2569 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งยุโรป (EDPB) ได้เผยแพร่แถลงการณ์ฉบับที่ 1/2569 เกี่ยวกับแว่นตาอัจฉริยะ รวมถึงรายงาน "The connected gaze" ที่ว่าด้วยการบันทึกวิดีโอและการเฝ้าระวังในยุคของแว่นตาอัจฉริยะ ซึ่งเน้นถึงความเสี่ยงที่อุปกรณ์เหล่านี้อาจละเมิดสิทธิและเสรีภาพของบุคคล เนื่องจากแว่นตาดังกล่าวมีการติดตั้งกล้องและไมโครโฟนเชื่อมต่ออินเทอร์เน็ต ผู้คนอาจถูกบันทึกภาพหรือเสียงโดยไม่รู้ตัว เหมาะสมให้ความระมัดระวังมากในสถานที่ที่มีความอ่อนไหว เช่น โรงพยาบาล โรงเรียน หรือสถานที่ทำงาน ในแถลงการณ์ EDPB ชี้ว่าความรับผิดชอบด้านการจัดการข้อมูลส่วนบุคคลของผู้ใช้งานขึ้นอยู่กับลักษณะการใช้งาน หากมีการเผยแพร่สู่สาธารณะ เช่น บนโซเชียลมีเดีย หรือใช้งานในกิจกรรมอย่างเป็นทางการ ผู้ใช้ถือเป็นผู้ควบคุมข้อมูล แต่ถ้าใช้งานในครอบครัวหรือส่วนตัวโดยไม่เผยแพร่ GDPR จะไม่บังคับใช้ นอกจากนี้ผู้ผลิตและผู้ให้บริการแอปพลิเคชันต้องปฏิบัติตามกฎหมายคุ้มครองข้อมูลและไม่สามารถโยนภาระให้ผู้ใช้ได้ EDPB ยังเน้นความสำคัญของความโปร่งใสในการใช้แว่นตาอัจฉริยะ โดยแนะนำให้เพิ่มสัญญาณเตือนเพื่อแจ้งให้ผู้อื่นรับรู้ว่ากำลังถูกบันทึกภาพหรือเสียง เช่น ไฟ LED สว่าง เสียง หรือการแจ้งเตือนผ่านสมาร์ทโฟน พร้อมเรียกร้องมาตรฐานอุตสาหกรรมและส่งเสริมความตระหนักรู้ของสาธารณะ เพื่อป้องกันความไม่พึงประสงค์จากการใช้งานและรักษาความเป็นส่วนตัวของบุคคล รายงานจากผู้เชี่ยวชาญยังระบุว่า แว่นตาอัจฉริยะกลายเป็นเครื่องมือในการสอดแนมและเก็บหลักฐานในบางกรณี ขณะที่ความสามารถในการใช้งานแตกต่างกันในแต่ละคน นำไปสู่ความไม่สมดุลระหว่างผู้ใช้งานและผู้ถูกบันทึกภาพ

CEPD ชี้แจงประเด็นการคุ้มครองข้อมูลส่วนบุคคลของแว่นตาอัจฉริยะ

CNIL · สรุปภาษาไทย

ในที่ประชุมครั้งล่าสุด CEPD ได้เผยแพร่แถลงการณ์เกี่ยวกับความท้าทายด้านการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้องกับแว่นตาอัจฉริยะ พร้อมรายงาน "สายตาเชื่อมต่อ : สังคมวิทยาการใช้งานและความท้าทายของแว่นตาอัจฉริยะ" ซึ่งจัดทำโดยผู้เชี่ยวชาญภายใต้โครงการ Support Pool of Expert CEPD เน้นย้ำว่าผู้ใช้มีความรับผิดชอบแตกต่างกันตามลักษณะการใช้งาน เช่น การแชร์ภาพหรือวิดีโอบนโซเชียลสาธารณะจะถือว่าผู้ใช้เป็นผู้ควบคุมข้อมูลตาม GDPR แต่ในกรณีการใช้งานส่วนตัว เช่น ถ่ายภาพในครอบครัว กฎหมาย GDPR จะไม่บังคับใช้ อย่างไรก็ตาม กฎหมายภาคพลเรือนหรือภาคแรงงานอาจยังคงเกี่ยวข้องกับการใช้แว่นตา แถลงการณ์ยังชี้ให้เห็นถึงความสำคัญของความโปร่งใส เพราะลักษณะของแว่นตาอัจฉริยะทำให้ผู้ที่ถูกบันทึกข้อมูลไม่ทราบถึงการเก็บข้อมูล ทำให้ CEPD ส่งเสริมการตั้งมาตรฐานและการสร้างความตระหนักเพื่อให้ทุกฝ่ายรู้ว่าเมื่อใดที่แว่นตาถูกใช้และข้อมูลส่วนตัวของพวกเขาถูกนำไปใช้ในทางใด

รายการบังคับใช้กฎหมาย: Plastic Surgery Center Helsinki Oy (ETid-3354)

Enforcement Tracker รายงานรายการเกี่ยวกับ Plastic Surgery Center Helsinki Oy ในฟินแลนด์ หน่วยงานที่ระบุคือ Deputy Data Protection Ombudsman บทบัญญัติที่อ้าง: Art. 58 (2) c) GDPR, Art. 83 (6) GDPR หมวดการละเมิดที่ต้นทางระบุ: Insufficient fulfilment of data subjects rights สรุปจากข้อมูลในดัชนี พร้อมลิงก์สำหรับอ่านรายละเอียดต้นทาง