ว่าด้วยเรื่องนามบัตรและกฎหมายคุ้มครองข้อมูลส่วนบุคคล . . . การได้มาซึ่งนามบัตร ของบุคคลอื่น แล้วนำไปบันทึกไว้ใน Spreadsheet และการติดต่อบุคคลนั้นไปทาง LinkedIn หรือ Facebook เพื่อเรื่องส่วนตัวสามารถทำได้ . แต่ต้องไม่นำไปโพสต์ใน Social Media หรือพื้นที่สาธารณะ . หากนำข้อมูลในนามบัตร ไปใช้เพื่อธุรกิจ หรือโฆษณาสินค้า เช่นการทำ Direct Marketing ไม่ว่าจะทาง อีเมล หรือ SMS ในหลายกรณีอาจถือได้ว่าเป็นประโยชน์โดยชอบด้วยกฎหมาย ทั้งนี้ขึ้นอยู่กับแต่ละสถานการณ์ . แต่ต้องมีช่องทางให้บุคค

สำหรับองค์กรที่เคยทดสอบเจาะระบบ (Penetration Testing) หรือกำลังจะมีการวางแผนทดสอบเจาะระบบเพื่อหาแนวทางป้องกันการถูกบุกรุกข้อมูลส่วนบุคคลนั้น . . . เราจะมั่นใจได้อย่างไรว่า วิธีการและกระบวนการที่องค์กรหรือบริษัทผู้เชี่ยวชาญทดสอบเจาะระบบใช้อยู่นั้น เป็นไปตามมาตรฐานหรือไม่ ตอบโจทย์ธุรกิจ ตอบโจทย์กฎหมายอย่างไรหรือลดความเสี่ยงให้กับองค์กรได้แค่ไหน . กับ Penetration Testing Maturity Assessment Tools ของสถาบัน CREST องค์กรรับรองมาตรฐานการทดสอบเจาะระบบระดับโลก ที่จะสามารถช่วยให้องค์ก

หลังจากที่ได้รับรู้กันแล้วว่า.. ในกฎหมายคุ้มครองข้อมูลส่วนบุคคล #PDPA HR ในองค์กร "ไม่ใช่" ผู้ควบคุมข้อมูลส่วนบุคคล ก็มักเกิดคำถามต่อว่า "Headhunter หรือบริษัทตัวแทนจัดหางาน" นั้นจะเป็น ผู้ควบคุมหรือผู้ประมวลผลข้อมูลส่วนบุคคล . ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 มาตรา 6 . ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าท่ีตัดสินใจ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล . ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Pr

บทบาทของบริษัทแม่กับการให้บริการ Shared Service แก่บริษัทในเครือ . . . กลุ่มบริษัทในเครือกิจการเดียวกันอาจจะมีบริษัทใดบริษัทหนึ่งในเครือ เช่น บริษัทแม่ (Parent Company) ที่ให้บริการ Shared Services ในด้านต่างๆ แก่บริษัทในเครือ (Subsidiaries/Affiliates) . เช่น ด้าน HR หรือ IT Support หรือ Call Center ที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้า คู่ค้าหรือลูกจ้าง . บริษัทแม่ที่ให้บริการ Shared Service ดังกล่าวจะมีบทบาทตาม PDPA ดังนี้ บทบาทในฐานะ Control

เจ้าของข้อมูลฝากประวัติไว้กับเว็บไซต์หางาน เพื่อสมัครงาน . . . HR ที่เป็นสมาชิกเว็บไซต์หางาน ทำการค้นหาผู้สมัคร โดยจัดเก็บและประมวลผลข้อมูลส่วนบุคคล เพื่อคัดเลือกผู้สมัครงาน . กรณีนี้ HR จัดเป็น Data Controller หรือ Data Processor . ย้ำอีกครั้ง !!! ว่า HR ไม่ใช่ทั้ง Data Controller และ Data Processor เพราะ HR เป็นตัวแทนของบริษัทในการเก็บรวบรวมข้อมูลของผู้สมัคร . แต่บริษัทที่ HR สังกัดเป็น Data Controller . HR ไม่ใข่ Data Controller ไม่ใช่ Data Processor . เพราะ HR เป็นตัว

สำนักงานคุ้มครองข้อมลส่วนบุคคลของโปแลนด์สั่งปรับบริษัทประกัน เนื่องจากส่งอีเมลกรมธรรม์ไปผิดที่เพียงจำนวน 2 ฉบับ . . . ในเดือนพฤษภาคม 2020 สำนักงานฯ ได้รับการแจ้งจากบุคคลที่สามเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลโดยตัวแทนประกันภัยของบริษัท Towarzystwo Ubezpieczeń i Reasekuracji WARTA S.A. ซึ่งส่งอีเมลกรมธรรม์ประกันภัยไปผิดที่ . เอกสารดังกล่าวมีข้อมูลส่วนบุคคล ได้แก่ นามสกุล ชื่อที่อยู่ ที่อยู่อาศัย และข้อมูลเกี่ยวกับกรมธรรม์ประกันภัย . ด้วยเหตุนี้สำนักงานฯ จึงขอให้ผู้รับผิดชอบช

สาระน่ารู้จากกฎหมายคุ้มครองข้อมูลส่วนบุคคล “บริษัทนายจ้าง vs บริษัทตัวแทนจัดหางาน” . หลังจากที่ได้รับรู้กันแล้วว่า.. ในกฎหมายคุ้มครองข้อมูลส่วนบุคคล #PDPA HR ในองค์กร "ไม่ใช่" ผู้ควบคุมข้อมูลส่วนบุคคล ก็มักเกิดคำถามต่อว่า "Headhunter หรือบริษัทตัวแทนจัดหางาน" นั้นจะเป็น ผู้ควบคุมหรือผู้ประมวลผลข้อมูลส่วนบุคคล . ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 มาตรา 6 . ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าท่ีตัดสินใจ เกี่ยวก

1.กรรมการหรือผู้บริหารสูงสุดต้องรู้ว่าองค์กรที่ตนกำกับดูแลและบริหารอยู่ ต้องปฏิบัติตามกฎหมายและกำหนดผู้รับผิดชอบเรื่องนี้ โดยต้องตระหนักว่าการปฏิบัติตาม พ.ร.บ. ไม่ใช่เรื่องของ IT ฝ่ายเดียวแต่เป็นเรื่องที่หน่วยธุรกิจต้องเป็นเจ้าภาพ และต้องสนับสนุนทรัพยากรที่จำเป็นทั้งค่าใช้จ่าย เวลา บุคลากร ที่ปรึกษาและเครื่องมือต่างๆ . 2.ศึกษาและวิเคราะห์ว่า บทบาทขององค์กร เป็นฐานะ “ผู้ควบคุมข้อมูลส่วนบุคคล” หรือ “ผู้ประมวลผลข้อมูลส่วนบุคคล” ซึ่งหนึ่งองค์กรเป็นได้ทั้งสองบทบาท เช่น ผู้ควบคุมข้

📌อันดับที่ 1 ติดกล้องวงจรปิดส่องไปยังพื้นที่สาธารณะ โดนปรับโดยเฉลี่ย 200,000 บาท . 📌อันดับที่ 2 แอบถ่ายผู้หญิงอาบน้ำ โดนปรับโดยเฉลี่ย 300,000 บาท . 📌อันดับที่ 3 บันทึกภาพผ่านกล้องหน้ารถ (Dashcam) แล้วนำมาตัดต่อลง Youtube (Compilation) โดนปรับโดยเฉลี่ย 8,000 บาท . 📌อันดับที่ 4 ส่งอีเมลหาผู้อื่นจำนวนมากแบบไม่ BCC ทำให้คนที่รับอีเมลเห็น E-mail address ของคนอื่นด้วย โดนปรับโดยเฉลี่ย 90,000 บาท . 📌อันดับที่ 5 เจ้าของร้านค้าเล็กๆติดตั้งกล้องวงจรปิดเพื่อบันทึกพฤติกรรมของลูกจ้าง

การใช้หรือเปิดเผยข้อมูลที่มีความละเอียดอ่อนโดยมิชอบหรือนอกเหนือวัตถุประสงค์ หรือโอนข้อมูลไปยังต่างประเทศ ทำให้ผู้อื่นเกิดความเสียหาย จำคุก 6 เดือนปรับไม่เกิน 500,000 แสวงหาประโยชน์ที่มิชอบ จำคุก 1 ปี ปรับไม่เกิน 1,000,000 ล่วงรู้ข้อมูลตามกฎหมาย แล้วนำไปเปิดเผย จำคุก 6 เดือน ปรับไม่เกิน 500,000 กรรมการหรือผู้จัดการหรือบุคคลใดที่รับผิดชอบการดำเนินงานของนิติบุคคล ละเว้น ไม่สั่งการ ไม่กระทำการ จนเป็นเหตุให้นิติบุคคล กระทำความผิดต้องรับโทษตามที่บัญญัติไว้ด้วย ที่มา : พ.ร.บ. คุ้มคร

. 1. เจ้าของข้อมูลส่วนบุคคล (Data Subject) คือบุคคลธรรมดาหรือตัวท่านเอง . 2. ผู้ควบคุมข้อมูล (Data Controller) หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าท่ีตัดสินใจ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลของท่าน . 3. ผู้ประมวลผลข้อมูล (Data Processor) หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำส่ังหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งน้ี บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคค

. . . 1.ความยินยอม เป็นฐานในการประมวลผลได้เฉพาะในกรณีที่เจ้าของข้อมูลได้สมัครใจ “เลือก” ที่ จะยินยอมให้ผู้ควบคุมข้อมูลประมวลผลได้ เช่น ในการสมัครใช้บัตรเครดิตสถาบันการเงินขอความยินยอมในการเปิดเผยข้อมูลส่วนบุคคลบางประการให้บุคคลที่สามโดยแยกกระดาษที่ให้ลูกค้าเซ็นยินยอมออกมาจากเงื่อนไขการใช้บริการบัตรเครดิต และแจ้งว่าลูกค้าสามารถไม่เซ็นยินยอมในส่วนนี้โดยที่ยังสมัครใช้บัตรเครดิตได้อยู่ . 2.จดหมายเหตุ/วิจัย/สถิติ เพื่อประโยชน์สาธารณะ . 3.ระงับอันตรายต่อชีวิต/ร่างกาย/สุขภาพ เช่น โ

คำถามนี้เกิดขึ้นแล้วในต่างประเทศภายใต้กฎหมาย GDPR แต่คำตอบของสำนักงานคณะกรรมการด้านข้อมูลข่าวสาร หรือ The Information Commissioner’s Office (ICO) คือลูกค้าหรือเจ้าของข้อมูลส่วนบุคคลจะขอสำเนาเอกสารทั้งหมดไม่ได้ เนื่องจากสิทธิของเจ้าของข้อมูลส่วนบุคคล (Data Subject) ไม่ได้ครอบคลุมการขอสำเนาเอกสารของต้นฉบับทั้งหมด จะขอได้เฉพาะข้อมูลส่วนบุคคลที่ปราฎอยู่ในเอกสารเท่านั้น เช่น รายการการทำธุรกรรมของลูกค้า ก็ถือว่าธนาคารได้ปฏิบัติตามสิทธิในการร้องขอเรื่องนี้ของลูกค้าหรือเจ้าของข้อมูล

ตามกฎหมาย GDPR Article 4(12) ให้ความหมายของคำว่า เหตุการละเมิดข้อมูลส่วนบุคคล หมายถึง การละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่นำไปสู่ การทำลาย การสูญหาย การแก้ไข การเปิดเผย และการเข้าถึงโดยไม่ได้รับอนุญาตกับข้อมูลส่วนบุคคล ขณะที่กำลังถูกส่งต่อ ถูกจัดเก็บ หรือถูกประมวลผล ดังนั้น การละเมิดข้อมูลส่วนบุคคล จึงรวมถึงการละเมิดต่อความลับ ความถูกต้องสมบูรณ์ และความพร้อมใช้ของข้อมูลส่วนบุคคล การละเมิดต่อความลับของข้อมูลส่วนบุคคล การละเมิดต่อความลับของข้อมูลส่วนบุคคล หมายถึงเหตุการณ์

1. Proactive not Reactive; Preventative not Remedial Privacy by Design (PbD) หรือการคุ้มครองข้อมูลส่วนบุคคลตั้งแต่กระบวนการออกแบบ เป็น วิธีการเชิงรุกไม่ใช่เชิงรับหรือ เน้นเชิงป้องกัน ไม่ปล่อยให้เกิดปัญหาแล้วค่อยแก้ไข หรือวัวหายแล้วค่อยล้อมคอก เพื่อป้องกันไม่ให้เกิดเหตุการหรือความเสี่ยงที่จะเกิดละเมิดข้อมูลส่วนบุคคลขึ้นได้ (before-the-fact, not after) เช่น Google Chrome จะมีข้อความแจ้งเตือนเสมอเมื่อเรากำลังจะเข้าเว็บไซต์ที่มีความเสี่ยงสูง การตัดสินใจว่าเข้าไม่เข้าเว็บไซต์ดังกล

ภัยคุกคาม คือสิ่งที่เกิดขึ้นแล้วอาจส่งผลกระทบต่อความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ซึ่งผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลต้องรู้และเข้าใจ ว่ามีภัยคุกคามใดบ้างที่อาจเกิดขึ้นกับการประมวลผลข้อมูลส่วนบุคคล ซึ่งตนเป็นผู้ดำเนินการและรับผิดชอบ ไม่ว่าจะเป็นทั้งภายในและภายนอกองค์กรและประเมินโอกาสที่จะเกิดภัยคุกคามนั้น ซึ่งภัยคุกคามแต่ละชนิดจะมีผลกระทบต่อ ความถูกต้องครบถ้วน (Integrity) การรักษาความลับ (Confidentiality) และความพร้อมใช้งาน (Availability) ของข้อมูลส่วนบุคคล การประเมินโอ

การประเมินผลกระทบกับข้อมูลส่วนบุคคล (Personal Data Impact Assessment) ผลกระทบต่อสิทธิขั้นพื้นฐานและอิสระเสรีภาพของเจ้าของข้อมูล ที่ผู้ควบคุมข้อมูล (Data Controller) หรือผู้ประมวลผลข้อมูล (Data Processor) ต้องประเมิน เพราะผลกระทบเหล่านั้นจะมีผลต่อความปลอดภัยของข้อมูลส่วนบุคคล โดยที่ผลกระทบประกอบด้วยสี่ระดับ ต่ำ ปานกลาง สูง สูงมาก เช่น ผลกระทบระดับต่ำ หมายถึง ทำให้มีผลกระทบกับเจ้าของข้อมูล โดยผลกระทบนั้นอาจจะทำให้เจ้าของข้อมูลรู้สึกได้ถึงความไม่สะดวก เช่น เคยให้ข้อมูลกับผู้ควบค

สำนักงานคุ้มครองข้อมูลส่วนบุคคลประเทศเบลเยียม ปรับบริษัทแห่งหนึ่งเป็นจำนวนเงินประมาณ 1.9 ล้านบาท 😭 เนื่องจาก🤔 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือ Data Protection Officer ของบริษัท ไม่ได้มีส่วนร่วมในกระบวนการจัดการข้อมูลส่วนบุคคลรั่วไหลอย่างเพียงพอ และยังไม่ได้มีการควบคุมเพื่อไม่ให้เกิดการขัดกันของผลประโยชน์ (Conflict of Interest) ของตำแหน่งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) เนื่องจาก DPO ของบริษัท ทำหน้าที่หลายอย่าง ทั้งเป็นหัวหน้าทีมกำกับดูแลการปฏิบัติงานและตรวจส

สำนักงานคุ้มครองข้อมูลส่วนบุคคลประเทศสเปน ปรับสโมสรฟุตบอลลาลีกา เป็นจำนวนเงินประมาณ 9.2 ล้านบาท เนื่องจาก ตั้งใจให้โมบายแอปของสโมสร เข้าถึงไมโครโฟน และโลเคชั่น ของผู้ใช้งานนาทีละครั้ง เพื่อตวจสอบว่ามีการรับชมการแข่งขันโดยไม่จ่ายค่าธรรมเนียมหรือไม่ ซึ่งสโมสรไม่ได้มีการแจ้งผู้ใช้งานเพื่อขอความยินยอม จึงเป็นการแอบเข้าถึงข้อมูล เลยโดนปรับเป็นจำนวนเงินประมาณ 9.2 ล้านบาท เช่นเดียวกับ กรณีโมบายแอปในไทยที่เข้าถึงข้อมูลของผู้ใช้ โดยที่ผู้ใช้ไม่รู้ตัว แม้ว่าจะตั้งใจหรือไม่ตั้งใจ แต่ก็เ

สำนักงานคุ้มครองข้อมูลส่วนบุคคลประเทศสเปน ปรับบริษัทแห่งหนึ่งเป็นจำนวนเงินประมาณ 9 แสนบาท เนื่องจาก ไม่มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือ Data Protection Officer ของบริษัท เพื่อทำหน้าที่รับเรื่องการขอใช้สิทธิ จากเจ้าของข้อมูลส่วนบุคคล และเว็บไซต์ของบริษัทยังไม่มีข้อมูลการแต่งตั้ง DPO และข้อมูลสำหรับการติดต่อ DPO อีกด้วย สำหรับองค์กรไทยที่กิจกรรมหลักมีการประมวลผลข้อมูลส่วนบุคคล ต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล แม้ว่าขณะนี้ กฎหมายไทยยังไม่บังคับใช้ แต่เราต้