GDPR คืออะไร?
Posted by
ทำความรู้จักกับ GDPR ว่าคืออะไร?
GDPR คืออะไร?
General Data Protection Regulation (GDPR) เป็นกฎหมายความเป็นส่วนตัวของข้อมูลของสหภาพยุโรปที่ควบคุมการประมวลผลข้อมูลส่วนบุคคลทั้งหมดของบุคคลในสหภาพยุโรป GDPR กำหนดให้เว็บไซต์ต้องขอและขอความยินยอมล่วงหน้าและชัดเจนจากผู้ใช้ก่อนประมวลผลข้อมูลส่วนบุคคลใด ๆ ข้อมูลส่วนบุคคลประกอบด้วยชื่อที่อยู่หมายเลขประจำตัวข้อมูลเกี่ยวกับรูปร่างหน้าตาสุขภาพพันธุกรรมข้อมูลตำแหน่งตลอดจนตัวระบุออนไลน์เช่นคุกกี้ที่อยู่ IP ประวัติการค้นหาและเบราว์เซอร์
ประเภทข้อมูลที่ GDPR คุ้มครอง
กฎหมายนี้บังคับให้คุ้มครองข้อมูลส่วนบุคคลหลากหลายชนิด เช่น ชื่อบุคคล รหัสประจำตัวประชาชน รหัสผ่าน นอกจากนี้กฎหมายนี้ยังคุ้มครองข้อมูลสารสนเทศที่แสดงให้เห็นกิจกรรมของบุคคลนั้นๆ ที่ทำบนออนไลน์และออฟไลน์ได้ ประกอบข้อมูลพิกัดที่ตั้ง (Location), หมายเลข IP Addresses เป็นต้น
สิทธิของเจ้าของข้อมูลภายใต้ GDPR
สิทธิที่จะได้รับแจ้งเมื่อเกิดความเสียหาย (Breach Notification)
ภายใต้ GDPR ถือว่าการแจ้งเป็นหน้าที่ที่ต้องปฏิบัติ เมื่อเกิดความเสียหายหรือการรั่วไหลของข้อมูล ซึ่งเกิดผลกระทบมีความเสี่ยงต่อสิทธิเสรีภาพของเจ้าของข้อมูล ทั้งนี้การแจ้งต้องดำเนินการภายใน 72 ชั่วโมง โดยผู้ประมวลผลต้องแจ้งต่อลูกค้าและผู้ควบคุมข้อมูลโดยไม่ชักช้าหลังจากเกิดความเสียหาย
สิทธิที่จะรู้และเข้าถึงข้อมูล (Right to Access)
เจ้าของข้อมูลมีสิทธิที่จะได้รับการแจ้งจากผู้ควบคุมข้อมูลว่า มีการประมวลผลข้อมูลหรือไม่ การประมวลผลดำเนินการที่ไหน มีวัตถุประสงค์อะไร และเมื่อร้องขอ ผู้ควบคุมข้อมูลจะต้องจัดหาสำเนาข้อมูลดังกล่าวให้เจ้าของข้อมูลในรูปแบบอิเล็กทรอนิกส์โดยไม่คิดค่าใช้จ่าย
สิทธิที่จะขอให้ลบข้อมูล (Right to be Forgotten/Right to erase)
เจ้าของข้อมูลมีสิทธิ
(1) ในการแจ้งให้ลบข้อมูล ระงับการเผยแพร่ หยุดการประมวลผลโดยบุคคลที่สาม
(2) มีสิทธิในการแจ้งให้ลบข้อมูลที่ไม่มีส่วนเกี่ยวข้องตามวัตถุประสงค์ในการจัดเก็บครั้งแรก
(3) มีสิทธิในการลบข้อมูลที่เจ้าของข้อมูลได้ยกเลิกความยินยอม
ทั้งนี้ผู้ควบคุมต้องใช้ดุลพินิจในการพิจารณาเปรียบเทียบสิทธิของเจ้าของข้อมูลกับประโยชน์สาธารณะในการมีอยู่ของข้อมูลนั้น
สิทธิที่จะได้รับข้อมูลเกี่ยวกับตัวเอง (Data Portability)
สิทธิที่จะได้รับข้อมูลเกี่ยวกับตัวเอง ในรูปแบบที่สามารถใช้งานได้ตามปกติรวมทั้งรูปแบบที่อ่านได้ด้วยเครื่องมือ/อุปกรณ์ (machine-readable format)
สิทธิที่จะได้รับความคุ้มครองตั้งแต่ต้น (Privacy by Design/Privacy by Default)
กำหนดให้มีการวางระบบความคุ้มครอง (Protection) ตั้งแต่ในโอกาสแรกของการออกแบบระบบ มากกว่าการมาเพิ่มการดำเนินการในภายหลัง โดยกำหนดว่าต้องมีการใช้มาตรการทางเทคนิคและการบริหารที่เหมาะสม โดยยึดหลักประสิทธิภาพ เพื่อให้เป็นไปตามข้อกำหนดและเป็นการคุ้มครองสิทธิเจ้าของข้อมูล
สิทธิที่จะได้รับการคุ้มครองโดยเจ้าหน้าที่รับผิดชอบ (Data Protection Officers: DPO)
ใช้ระบบการเก็บบันทึกข้อมูลภายในองค์กร (Internal Record Keeping) แทนระบบการรายงานต่อ Data Protection Authorities (DPA) และกำหนดให้มีการแต่งตั้ง DPO สำหรับผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลขนาดใหญ่ และมีภารกิจหลักในการติดตามและประมวลผลข้อมูลเป็นประจำและเป็นระบบ (Regularly and Systematic monitoring Data Subjects)
