General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
GLOBAL LEGAL LIBRARY
กฎหมายคุ้มครองข้อมูลทั่วโลก
จุดเริ่มต้นศึกษากฎหมายจากแหล่งทางการ พร้อมกรอบเทียบเคียงไทย
รายการกฎหมายเป็นดัชนีอ้างอิงเบื้องต้น ไม่ใช่บทแปลรับรองหรือบัญชีกฎหมายครบทุกประเทศ รายการ GDPR ของประเทศสมาชิก EU ใช้แหล่งกฎหมายร่วมกัน ตรวจวันมีผลใช้บังคับและกฎหมายภายในประเทศเพิ่มเติมจากต้นทาง
Act on the Protection of Personal Information (APPI)
PPC ระบุว่าฉบับภาษาญี่ปุ่นมีผลทางกฎหมาย ภาษาอังกฤษใช้ประกอบความเข้าใจและอาจตามการแก้ไขไม่ทัน
ตรวจสอบลิงก์และชื่อกฎหมาย ณ 10 ต.ค. 2569; ไม่ใช่การรับรองว่าฉบับแปลเป็นฉบับแก้ไขล่าสุด ตรวจฉบับที่มีผลใช้บังคับและกฎหมายลำดับรองจากต้นทาง
Privacy Act 2020
กฎหมายทางการระบุว่ายังมีการแก้ไขบางส่วนที่ไม่รวมในข้อความฉบับรวม
ตรวจสอบลิงก์และชื่อกฎหมาย ณ 10 ต.ค. 2569; ไม่ใช่การรับรองว่าฉบับแปลเป็นฉบับแก้ไขล่าสุด ตรวจฉบับที่มีผลใช้บังคับและกฎหมายลำดับรองจากต้นทาง
Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018)
ข้อความฉบับรวมจากหน่วยงานรัฐบาลบราซิล
ตรวจสอบลิงก์และชื่อกฎหมาย ณ 10 ต.ค. 2569; ไม่ใช่การรับรองว่าฉบับแปลเป็นฉบับแก้ไขล่าสุด ตรวจฉบับที่มีผลใช้บังคับและกฎหมายลำดับรองจากต้นทาง
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
Data Privacy Act of 2012 (Republic Act 10173)
ข้อความกฎหมายเผยแพร่โดย National Privacy Commission
ตรวจสอบลิงก์และชื่อกฎหมาย ณ 10 ต.ค. 2569; ไม่ใช่การรับรองว่าฉบับแปลเป็นฉบับแก้ไขล่าสุด ตรวจฉบับที่มีผลใช้บังคับและกฎหมายลำดับรองจากต้นทาง
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
Federal Act on Data Protection
ลิงก์ข้อความกฎหมายใน Fedlex; ต้องตรวจรุ่นและภาษาที่มีผลตามกฎหมาย
ตรวจสอบลิงก์และชื่อกฎหมาย ณ 10 ต.ค. 2569; ไม่ใช่การรับรองว่าฉบับแปลเป็นฉบับแก้ไขล่าสุด ตรวจฉบับที่มีผลใช้บังคับและกฎหมายลำดับรองจากต้นทาง
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
กฎระเบียบสหภาพยุโรป การใช้ในแต่ละประเทศต้องดูข้อกำหนดระดับชาติและขอบเขต
ตรวจสอบลิงก์และชื่อกฎหมาย ณ 10 ต.ค. 2569; ไม่ใช่การรับรองว่าฉบับแปลเป็นฉบับแก้ไขล่าสุด ตรวจฉบับที่มีผลใช้บังคับและกฎหมายลำดับรองจากต้นทาง
Federal Trade Commission Act
ใช้กับการกระทำไม่เป็นธรรมหรือหลอกลวงตามอำนาจ FTC; ไม่ใช่กฎหมายคุ้มครองข้อมูลทั่วไปฉบับเดียวของสหรัฐ
แสดง FTC Act ในระดับสหพันธรัฐเป็นจุดเริ่มต้น สหรัฐฯ ยังมีกฎหมายรายมลรัฐและรายภาคธุรกิจ รายการนี้ไม่ใช่บัญชีกฎหมายทั้งหมด
Data Protection Act 2018
อ่านร่วมกับ UK GDPR และการแก้ไขที่มีผลตามเวลา รวมถึง Data (Use and Access) Act 2025
ตรวจสอบลิงก์และชื่อกฎหมาย ณ 10 ต.ค. 2569; ไม่ใช่การรับรองว่าฉบับแปลเป็นฉบับแก้ไขล่าสุด ตรวจฉบับที่มีผลใช้บังคับและกฎหมายลำดับรองจากต้นทาง
Personal Data Protection Act 2012
ฉบับกฎหมายและประวัติการแก้ไขจาก Singapore Statutes Online
ตรวจสอบลิงก์และชื่อกฎหมาย ณ 10 ต.ค. 2569; ไม่ใช่การรับรองว่าฉบับแปลเป็นฉบับแก้ไขล่าสุด ตรวจฉบับที่มีผลใช้บังคับและกฎหมายลำดับรองจากต้นทาง
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
Privacy Act 1988
ทะเบียนกฎหมายทางการแสดงฉบับปัจจุบันและวันที่มีผล ต้องดูข้อยกเว้นการใช้บังคับ
ตรวจสอบลิงก์และชื่อกฎหมาย ณ 10 ต.ค. 2569; ไม่ใช่การรับรองว่าฉบับแปลเป็นฉบับแก้ไขล่าสุด ตรวจฉบับที่มีผลใช้บังคับและกฎหมายลำดับรองจากต้นทาง
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
Personal Data (Privacy) Ordinance (Cap. 486)
หน้าแนะนำกฎหมายจาก PCPD; เชื่อมไปฉบับกฎหมายและต้องแยกคำสั่งบังคับออกจากโทษอาญา
ตรวจสอบลิงก์และชื่อกฎหมาย ณ 10 ต.ค. 2569; ไม่ใช่การรับรองว่าฉบับแปลเป็นฉบับแก้ไขล่าสุด ตรวจฉบับที่มีผลใช้บังคับและกฎหมายลำดับรองจากต้นทาง
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
Personal Information Protection Act (PIPA)
กฎหมายคุ้มครองข้อมูลส่วนบุคคลของเกาหลีใต้ มีฉบับภาษาอังกฤษในระบบกฎหมายทางการ
แหล่งอ้างอิงฉบับมีผล 2 ต.ค. 2568 (Act No.20897); ตรวจฉบับภาษาเกาหลีและการแก้ไขภายหลังเพิ่มเติมก่อนใช้อ้างอิง
Data Protection Act 2019
พอร์ทัลทางการรวมพระราชบัญญัติและกฎระเบียบที่เกี่ยวข้อง
ตรวจสอบลิงก์และชื่อกฎหมาย ณ 10 ต.ค. 2569; ไม่ใช่การรับรองว่าฉบับแปลเป็นฉบับแก้ไขล่าสุด ตรวจฉบับที่มีผลใช้บังคับและกฎหมายลำดับรองจากต้นทาง
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
Personal Information Protection and Electronic Documents Act
กฎหมายระดับสหพันธรัฐสำหรับภาคเอกชน ต้องอ่านร่วมกับขอบเขตและกฎหมายมณฑล
ตรวจสอบลิงก์และชื่อกฎหมาย ณ 10 ต.ค. 2569; ไม่ใช่การรับรองว่าฉบับแปลเป็นฉบับแก้ไขล่าสุด ตรวจฉบับที่มีผลใช้บังคับและกฎหมายลำดับรองจากต้นทาง
Protection of Personal Information Act 4 of 2013
แหล่งกฎหมายทางการพร้อมข้อมูลวันที่มีผลบังคับใช้แต่ละส่วน
ตรวจสอบลิงก์และชื่อกฎหมาย ณ 10 ต.ค. 2569; ไม่ใช่การรับรองว่าฉบับแปลเป็นฉบับแก้ไขล่าสุด ตรวจฉบับที่มีผลใช้บังคับและกฎหมายลำดับรองจากต้นทาง
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
กฎหมายหลักสำหรับเทียบเคียงหน้าที่ ฐานการประมวลผล สิทธิของเจ้าของข้อมูล และการรักษาความมั่นคงปลอดภัยในประเทศไทย
ตัวบทหลักเผยแพร่ในราชกิจจานุเบกษา 27 พ.ค. 2562; ต้องอ่านประกาศและกฎหมายลำดับรองที่เกี่ยวข้องเพิ่มเติม
General Data Protection Regulation (EU) 2016/679
GDPR เป็นกรอบกฎหมายของสหภาพยุโรปที่ใช้อ้างอิงสำหรับประเทศนี้ ต้องตรวจบทบัญญัติภายในประเทศและกฎหมายเฉพาะเรื่องเพิ่มเติม
รายการนี้แสดงกรอบ GDPR ร่วมกัน ไม่ใช่บัญชีกฎหมายภายในประเทศทั้งหมด
กรอบเทียบเคียงตามประเด็น
| ประเด็น | บทบัญญัติไทย | บริบทที่ต้องพิจารณา |
|---|---|---|
| ความมั่นคงปลอดภัย | ม.37(1), ม.40(2) | เทียบเคียงหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยแยกบทบาทผู้ควบคุมและผู้ประมวลผลข้อมูล |
| การแจ้งเหตุละเมิด | ม.37(4), ม.40(2) | ผู้ควบคุมพิจารณาแจ้งสำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ; หากเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้า ผู้ประมวลผลแจ้งผู้ควบคุม |
| ฐานกฎหมายและวัตถุประสงค์ | ม.21, ม.24, ม.27 | พิจารณาวัตถุประสงค์และฐานที่รองรับการเก็บ ใช้ หรือเปิดเผยข้อมูล กฎหมายไทยมิได้กำหนดว่าทุกกิจกรรมต้องขอความยินยอม |
| ความยินยอม | ม.19, ม.26, ม.27 | เมื่อใช้ฐานความยินยอม ต้องพิจารณาความชัดเจน อิสระ และการถอน สำหรับข้อมูลอ่อนไหวให้พิจารณาเงื่อนไขและข้อยกเว้นของ ม.26 |
| การแจ้งรายละเอียด | ม.23, ม.25 | เทียบเคียงรายละเอียดที่แจ้งเจ้าของข้อมูลและกรณีได้ข้อมูลจากแหล่งอื่น เงื่อนไขและข้อยกเว้นต้องพิจารณาแยก |
| สิทธิของเจ้าของข้อมูล | ม.30–36 | เทียบเคียงสิทธิเข้าถึง โอน คัดค้าน ลบ ระงับ และแก้ไขข้อมูลตามเงื่อนไขของแต่ละสิทธิ |
| ระยะเวลาเก็บและการลบข้อมูล | ม.37(3) | ในไทยต้องมีระบบตรวจสอบและลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาเก็บ หมดความจำเป็น หรือมีเหตุตามกฎหมาย โดยพิจารณาข้อยกเว้น |
| การโอนข้ามประเทศ | ม.28–29 | เทียบเคียงเงื่อนไขโอนข้อมูลไปต่างประเทศและกลไกตามกฎหมายไทย ต้องอ่านประกาศที่เกี่ยวข้องเพิ่มเติม |
| ผู้ประมวลผลข้อมูล | ม.37(2), ม.40 | เทียบเคียงการควบคุมการใช้ข้อมูล การดำเนินการตามคำสั่ง และข้อตกลงระหว่างผู้ควบคุมกับผู้ประมวลผล |
| ข้อมูลผู้เยาว์ | ม.20 ประกอบ ม.19 | กรณีใช้ฐานความยินยอมของผู้เยาว์ต้องพิจารณาอายุและความสามารถตามกฎหมายไทย; เกณฑ์อายุของกฎหมายต่างประเทศอาจแตกต่าง |
| ข้อมูลอ่อนไหว / ชีวมิติ | ม.26 | ข้อมูลชีวมิติที่ใช้ระบุตัวบุคคลมีเงื่อนไขเฉพาะ ต้องพิจารณาความยินยอมโดยชัดแจ้งหรือข้อยกเว้นตามกฎหมาย |
| การกำกับดูแล | ม.39–42 | เทียบเคียงบันทึกกิจกรรม หน้าที่ผู้ประมวลผล และ DPO ตามเงื่อนไขที่กฎหมายกำหนด |
| เก็บข้อมูลเท่าที่จำเป็น | ม.22 | หากกิจกรรมลักษณะเดียวกันเกิดในไทย ต้องพิจารณาว่าข้อมูลแต่ละรายการจำเป็นต่อวัตถุประสงค์อันชอบด้วยกฎหมายหรือไม่ และลดการเก็บข้อมูลที่ไม่จำเป็น |
| ใช้ข้อมูลตรงตามวัตถุประสงค์ | ม.21, ม.27 | ในไทยต้องตรวจว่าการเก็บ ใช้ หรือเปิดเผยตรงกับวัตถุประสงค์ที่แจ้งไว้หรือไม่ การเปลี่ยนวัตถุประสงค์ต้องเข้าเงื่อนไขกฎหมาย |
| ข้อมูลถูกต้องและเป็นปัจจุบัน | ม.35, ม.36 | ในไทยผู้ควบคุมต้องดำเนินการให้ข้อมูลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด รวมถึงจัดการคำขอแก้ไข |
| หลักการประมวลผลข้อมูล | ม.21–24, ม.27, ม.35, ม.37 | คดีที่อ้างหลักการโดยรวมควรนำมาตรวจวัตถุประสงค์ ความจำเป็น ฐานกฎหมาย ความถูกต้อง ระยะเวลาเก็บ และความปลอดภัยของกิจกรรมในไทย |
| สิทธิเข้าถึงและรับสำเนาข้อมูล | ม.30 | ในไทยเจ้าของข้อมูลมีสิทธิขอเข้าถึงและรับสำเนาข้อมูล รวมถึงขอทราบที่มาของข้อมูลที่ตนไม่ได้ให้ความยินยอม การปฏิเสธต้องมีเหตุที่กฎหมายรองรับ |
| สิทธิขอแก้ไขข้อมูล | ม.35, ม.36 | ในไทยต้องพิจารณาคำขอให้ข้อมูลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด หากไม่ดำเนินการต้องบันทึกคำขอและเหตุผล |
| สิทธิขอลบหรือทำลายข้อมูล | ม.33, ม.37(3) | ในไทยต้องพิจารณาเหตุที่ขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ และข้อยกเว้น เช่น การใช้สิทธิเรียกร้องตามกฎหมาย |
| สิทธิระงับการใช้ข้อมูล | ม.34 | ในไทยต้องตรวจว่าคำขอเข้ากรณีระงับการใช้ข้อมูลตาม ม.34 หรือไม่ เช่น ระหว่างตรวจความถูกต้องหรือการคัดค้าน |
| สิทธิขอรับและโอนข้อมูล | ม.31 | ในไทยต้องตรวจลักษณะข้อมูล รูปแบบที่เครื่องอ่านได้ ฐานกฎหมาย และความเป็นไปได้ทางเทคนิคก่อนดำเนินการโอนตามคำขอ |
| สิทธิคัดค้านการใช้ข้อมูล | ม.32 | ในไทยต้องตรวจฐานการประมวลผลและวัตถุประสงค์ที่ถูกคัดค้าน โดยแยกกรณีการตลาดแบบตรงออกจากกรณีอื่น |
| ข้อมูลส่วนบุคคลอ่อนไหว | ม.26 | ในไทยต้องตรวจว่าข้อมูลเป็นประเภทอ่อนไหวตาม ม.26 หรือไม่ และมีความยินยอมโดยชัดแจ้งหรือข้อยกเว้นใดรองรับ |
| บันทึกรายการประมวลผลข้อมูล | ม.39, ม.40(3) | ในไทยต้องตรวจหน้าที่บันทึกของผู้ควบคุมและผู้ประมวลผล รวมถึงข้อยกเว้นที่เกี่ยวข้องกับองค์กรนั้น |
| เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล | ม.41, ม.42 | ในไทยต้องตรวจว่าเข้าเกณฑ์แต่งตั้ง DPO หรือไม่ และหากแต่งตั้งแล้วต้องสนับสนุนบทบาท การเข้าถึงข้อมูล และการรายงานต่อผู้บริหาร |
| การตอบคำขอและคำสั่งของหน่วยงานกำกับ | ม.75, ม.76 | ในไทยต้องพิจารณาคำสั่งให้ส่งเอกสาร ชี้แจง หรือให้ข้อมูลตามอำนาจของคณะกรรมการผู้เชี่ยวชาญและพนักงานเจ้าหน้าที่ |
| ออกแบบระบบให้คุ้มครองข้อมูล | ม.22, ม.37(1) | ในไทยนำประเด็นนี้มาตรวจการลดข้อมูลที่เก็บและมาตรการความปลอดภัยที่เหมาะสมตั้งแต่การออกแบบระบบ |
| ประเมินความเสี่ยงของกิจกรรมข้อมูล | ม.37(1) | ในไทยใช้ประเด็นการประเมินผลกระทบเพื่อทบทวนว่ามาตรการรักษาความมั่นคงปลอดภัยเหมาะกับความเสี่ยงของกิจกรรมหรือไม่ |
| การตัดสินใจด้วยระบบอัตโนมัติ | ม.23, ม.30, ม.32 | ในไทยควรตรวจการแจ้งรายละเอียด การเข้าถึงข้อมูล และสิทธิคัดค้านเมื่อเข้าเงื่อนไขของฐานและวัตถุประสงค์ที่ใช้ |
| ตัวแทนขององค์กรนอกประเทศ | ม.37(5), ม.38 ประกอบ ม.5 | หากกิจกรรมขององค์กรนอกไทยอยู่ในขอบเขตใช้บังคับตาม ม.5 ต้องตรวจหน้าที่แต่งตั้งตัวแทนและข้อยกเว้นตามกฎหมายไทย |
| การแบ่งหน้าที่ของผู้ควบคุมร่วม | ม.37(1), ม.39 | หากหลายองค์กรร่วมกำหนดวัตถุประสงค์และวิธีการ ควรแยกบทบาทจริงและตรวจหน้าที่ความปลอดภัยและบันทึกของผู้ควบคุมแต่ละรายในไทย |
| การใช้ข้อมูลภายใต้อำนาจและคำสั่ง | ม.37(1), ม.40(1) | ในไทยควรตรวจสิทธิ์ของผู้ที่เข้าถึงข้อมูล และในกรณีผู้ประมวลผลต้องดำเนินการตามคำสั่งของผู้ควบคุมภายใต้เงื่อนไขกฎหมาย |