GDPR

ความรู้เบื้องต้นเกี่ยวกับ GDPR

1. GDPR คืออะไร?

ถึงเพียงไร GDPR – ระเบียบการคุ้มครองข้อมูลทั่วไป – เป็นกฎหมายคุ้มครองข้อมูลของสหภาพยุโรป นำมาใช้ในเดือนเมษายน 2016 และมีผลบังคับใช้ตั้งแต่วันที่ 25 พฤษภาคม 2018อย่างเป็นทางการ ระเบียบ (EU) 2016/679.

GDPR แทนที่ Data Protection Directive ปี 1995 (95/46/EC) และเป็นวันนี้ ผู้ทรงอิทธิพลที่สุดในโลก กฎหมายคุ้มครองข้อมูล ซึ่งมักเรียกว่า “มาตรฐานทองคำของการปกป้องข้อมูล” กฎหมายคุ้มครองข้อมูลในหลายประเทศ (รวมถึงกฎหมายคุ้มครองข้อมูลส่วนบุคคลของจีน LGPD ของบราซิล และ CPRA ของแคลิฟอร์เนีย) เป็นแบบอย่าง

วัตถุประสงค์หลัก:

• ปกป้องข้อมูลส่วนบุคคลและความเป็นส่วนตัวของ บุคคลธรรมดา

• ประสานกฎการปกป้องข้อมูลในประเทศสมาชิกสหภาพยุโรป

• เสริมสร้างการควบคุมของเจ้าของข้อมูล

• เพิ่มความรับผิดชอบขององค์กรและความโปร่งใส

2. ขอบเขต

ขอบเขตอาณาเขต (Extraterritorial effect)

ใช้ GDPR เกินอาณาเขตของสหภาพยุโรป:

1. องค์กรที่จัดตั้งขึ้นในสหภาพยุโรป: ไม่ว่าการประมวลผลจะเกิดขึ้นที่ใด ตราบใดที่องค์กรมีสถานประกอบการในสหภาพยุโรป

2. องค์กรนอกสหภาพยุโรป – GDPR มีผลบังคับใช้หากเป็นไปตามข้อใดข้อหนึ่งต่อไปนี้:

• เสนอสินค้าหรือบริการ ให้กับคนในสหภาพยุโรป (ไม่ว่าจะชำระเงินหรือฟรี)

• การตรวจสอบ พฤติกรรมของคนในสหภาพยุโรป (เช่น การติดตามเว็บไซต์, การโฆษณาที่ตรงเป้าหมาย)

สิ่งนี้มีความหมายต่อบริษัทจีนอย่างไร: หากคุณมีผู้ใช้ ลูกค้า หรือพนักงานของสหภาพยุโรป หรือเว็บไซต์ของคุณกำหนดเป้าหมายไปที่ตลาดสหภาพยุโรป คุณคือ อยู่ภายใต้ GDPR โดยตรง แม้ว่าคุณจะทำงานในประเทศจีน

ใครใช้กับ

บทบาท	การกำหนด	ความรับผิดชอบ
ผู้ควบคุมข้อมูล	เอนทิตีที่กำหนดวัตถุประสงค์และวิธีการประมวลผล	ความรับผิดชอบหลัก
ตัวประมวลผลข้อมูล	ประมวลผลข้อมูลในนามของผู้ควบคุม	สนับสนุนความรับผิดชอบ
เรื่องข้อมูล	บุคคลที่เกี่ยวข้องกับข้อมูลส่วนบุคคล	เจ้าของสิทธิ

3. แนวคิดหลัก

“ข้อมูลส่วนบุคคล” คืออะไร?

ข้อมูลใด ๆ ที่เกี่ยวข้องกับ an บุคคลธรรมดาที่สามารถระบุตัวตนได้ เป็นข้อมูลส่วนบุคคล ได้แก่ :

• ตัวระบุโดยตรง: ชื่อ, หมายเลขประจำตัวประชาชน, หมายเลขหนังสือเดินทาง

• ข้อมูลติดต่อ: โทรศัพท์ อีเมล ที่อยู่

• ตัวระบุออนไลน์: ที่อยู่ IP, รหัสคุกกี้, ID อุปกรณ์, ชื่อผู้ใช้

• ข้อมูลตำแหน่ง: GPS, บันทึกตำแหน่ง

• ไบโอเมตริกซ์: ลายนิ้วมือ, ใบหน้า, ม่านตา

• ข้อมูลทางการเงิน: บัญชี, บันทึกการซื้อ

• ข้อมูลสุขภาพ

• ข้อมูลพฤติกรรม: ประวัติการเรียกดู คลิก ระเบียน

หมวดหมู่พิเศษของข้อมูล (ข้อมูลที่ละเอียดอ่อน)

ข้อ 9 GDPR ให้ การป้องกันอย่างเข้มงวด ไปยังข้อมูลต่อไปนี้ซึ่ง โดยหลักการแล้วอาจไม่สามารถประมวลผลได้:

• เชื้อชาติหรือชาติพันธุ์

• ความคิดเห็นทางการเมือง

• ความเชื่อทางศาสนาหรือปรัชญา

• สมาชิกสหภาพแรงงาน

• ข้อมูลทางพันธุกรรม

• ข้อมูลไบโอเมตริกซ์

• ข้อมูลสุขภาพ

• ชีวิตทางเพศหรือรสนิยมทางเพศ

อนุญาตให้ดำเนินการได้เฉพาะกับ ยินยอมโดยชัดแจ้ง หรือภายใต้ ข้อยกเว้นตามกฎหมาย.

4. หลักการทั้งเจ็ด (มาตรา 5 GDPR)

หลัก	ความหมาย
1. ความชอบธรรม ความเป็นธรรม และความโปร่งใส	การประมวลผลจะต้องมีพื้นฐานทางกฎหมายเป็นธรรมและโปร่งใสต่อเจ้าของข้อมูล
2. การจำกัดวัตถุประสงค์	ข้อมูลสามารถใช้ได้เฉพาะเพื่อวัตถุประสงค์ที่ระบุ ชัดเจน และถูกต้องตามกฎหมายเท่านั้น
3. การลดขนาดข้อมูล	รวบรวมข้อมูลที่จำเป็นเท่านั้น – ไม่มี “รวบรวมก่อนตัดสินใจในภายหลัง”
4. ความแม่นยำ	รักษาข้อมูลให้ถูกต้องและเป็นปัจจุบัน ต้องแก้ไขข้อมูลที่ไม่ถูกต้อง
5. ข้อจำกัดในการจัดเก็บ	ข้อมูลจะต้องถูกลบหรือไม่เปิดเผยชื่อเมื่อไม่จำเป็นอีกต่อไป
6. ความซื่อสัตย์และการรักษาความลับ	มาตรการรักษาความปลอดภัยที่เหมาะสมต่อการรั่วไหล การสูญเสีย และการเข้าถึงโดยไม่ได้รับอนุญาต
7. ความรับผิดชอบ	ผู้ควบคุมต้อง น่าแสดง การปฏิบัติตามหลักการเหล่านี้ – คุณลักษณะที่กำหนดของ GDPR

เปลี่ยนกุญแจ: เมื่อเทียบกับกฎหมายก่อนหน้านี้ GDPR เน้นว่า “ความสามารถในการแสดงการปฏิบัติตาม” – คุณต้องไม่เพียงแค่ปฏิบัติตาม แต่ยังมีเอกสารและหลักฐานอีกด้วย

5. หกฐานที่ชอบด้วยกฎหมายสำหรับการประมวลผล (มาตรา 6 GDPR)

การประมวลผลข้อมูลส่วนบุคคลต้องใช้ อย่างน้อยหนึ่ง ของฐานกฎหมายต่อไปนี้:

มูลฐาน	เมื่อมันใช้
ความยินยอม	ความยินยอมโดยชัดแจ้งจากผู้ใช้ซึ่งจะต้องสามารถถอนได้
ความจำเป็นตามสัญญา	การทำสัญญากับเจ้าของข้อมูล (เช่น การส่งคำสั่งซื้อ)
ภาระผูกพันตามกฎหมาย	การปฏิบัติตามข้อกำหนดทางกฎหมาย (เช่น บันทึกภาษี)
ความสนใจที่สำคัญ	การปกป้องชีวิตของใครบางคน
สาธยาย	ปฏิบัติงานสาธารณะ
ผลประโยชน์โดยชอบด้วยกฎหมาย	ผลประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมหรือบุคคลที่สาม ภายใต้การทดสอบสมดุล

ข้อกำหนดสำหรับการยินยอมที่ถูกต้อง: มันต้อง ให้อย่างอิสระ เฉพาะเจาะจง มีความรู้ และชัดเจน – กล่องที่ทำเครื่องหมายไว้ล่วงหน้า ความยินยอมแบบรวมกลุ่ม และเงื่อนไขที่ไม่เป็นธรรมนั้นไม่ถูกต้อง

6. สิทธิแปดประการของเจ้าของข้อมูล

GDPR ให้ข้อมูล การควบคุมที่แข็งแกร่ง:

ขวา	เนื้อหา	เวลาตอบสนอง
1. สิทธิที่จะได้รับแจ้ง	ที่จะบอกถึงวัตถุประสงค์และวิธีการประมวลผลในเวลาที่รวบรวม	ในทันที
2. สิทธิ์ในการเข้าถึง	เพื่อให้ได้สำเนาของข้อมูลที่กำลังประมวลผล	1 เดือน
3. สิทธิในการแก้ไข	ให้มีการแก้ไขข้อมูลที่ไม่ถูกต้อง	1 เดือน
4. สิทธิในการลบ / สิทธิที่จะถูกลืม	ให้ลบข้อมูลในบางสถานการณ์	1 เดือน
5. สิทธิในการจำกัดการประมวลผล	เพื่อระงับการประมวลผล	1 เดือน
6. สิทธิ์ในการพกพาข้อมูล	เพื่อส่งออกและถ่ายโอนข้อมูลใน a รูปแบบที่เครื่องอ่านได้	1 เดือน
7. สิทธิในการคัดค้าน	เพื่อคัดค้านการประมวลผลตามผลประโยชน์ที่ชอบด้วยกฎหมายหรือเพื่อการตลาดทางตรง	การตลาดหยุดทันที
8. สิทธิที่จะไม่อยู่ภายใต้การตัดสินใจโดยอัตโนมัติ	เพื่อคัดค้านการตัดสินใจที่สำคัญที่ทำโดยวิธีการอัตโนมัติเท่านั้น (เช่น การให้คะแนน AI)	ในทันที

ความต้องการการตอบสนอง:

• โดยปกติภายใน 1 เดือน

• สามารถขยายได้ถึง 3 เดือนในกรณีที่ซับซ้อน (ด้วยเหตุผล)

• ไม่คิดเงิน โดยหลักการแล้ว (อาจมีการเรียกเก็บเงินหรือปฏิเสธคำขอที่ไม่มีมูลหรือมากเกินไป)

7. ภาระผูกพันหลักสำหรับธุรกิจ

1. ความเป็นส่วนตัวโดยการออกแบบและค่าเริ่มต้น (มาตรา 25)

• สร้างการปกป้องความเป็นส่วนตัวใน ในขั้นตอนการออกแบบ

• การตั้งค่าเริ่มต้น น่าจะเป็นมิตรกับความเป็นส่วนตัวมากที่สุด

• ตัวอย่าง: ตำแหน่งที่แม่นยำปิดโดยค่าเริ่มต้น การรวบรวมข้อมูลขั้นต่ำโดยค่าเริ่มต้น การไม่ระบุชื่อโดยค่าเริ่มต้น

2. บันทึกกิจกรรมการประมวลผล (ROPA, ข้อ 30)

จำเป็น สำหรับองค์กรที่มีพนักงาน ≥250 หรือที่การประมวลผลมีความเสี่ยง:

• วัตถุประสงค์และฐานทางกฎหมายของการประมวลผล

• หมวดหมู่ของข้อมูลและของเจ้าของข้อมูล

• ผู้รับ

• การโอนเงินข้ามแดน

• ระยะเวลาการเก็บรักษา

• มาตรการรักษาความปลอดภัย

3. การประเมินผลกระทบจากการปกป้องข้อมูล (DPIA, ข้อ 35)

DPIA จำเป็นเมื่อ:

• การประมวลผลข้อมูลหมวดหมู่พิเศษขนาดใหญ่อย่างเป็นระบบ

• การตรวจสอบพื้นที่สาธารณะขนาดใหญ่ที่เข้าถึงได้

• การตัดสินใจอัตโนมัติที่มีผลกระทบทางกฎหมายหรือมีนัยสำคัญในทำนองเดียวกันต่อบุคคล

• การใช้เทคโนโลยีใหม่ (AI, การจดจำใบหน้า, IoT, การทดสอบทางพันธุกรรม)

4. เจ้าหน้าที่คุ้มครองข้อมูล (อ.ส.ค. ข้อ 37–39)

อ.ส.ค. จะต้องได้รับการแต่งตั้งเมื่อ:

• องค์กรเป็นหน่วยงานสาธารณะ (ยกเว้นศาล)

• กิจกรรมหลักเกี่ยวข้องกับ การตรวจสอบขนาดใหญ่อย่างเป็นระบบ ของอาสาสมัครข้อมูล

• กิจกรรมหลักเกี่ยวข้องกับ การประมวลผลข้อมูลประเภทพิเศษขนาดใหญ่

ความรับผิดชอบของ DPO: การตรวจสอบการปฏิบัติตามข้อกำหนด การฝึกอบรมเจ้าหน้าที่ การประสานงานกับหน่วยงานกำกับดูแล การให้คำแนะนำ

5. ตัวแทนสหภาพยุโรป (ข้อ 27)

คอนโทรลเลอร์/โปรเซสเซอร์ นอกสหภาพยุโรป ที่อยู่ภายใต้ GDPR ต้อง แต่งตั้งตัวแทนในสหภาพยุโรป:

• ทำหน้าที่เป็นจุดติดต่อให้หน่วยงานกำกับดูแลและข้อมูลข่าวสาร

• มักจะเป็นบริษัทที่ให้บริการอย่างมืออาชีพในสหภาพยุโรป

• การยกเว้น: การประมวลผลแบบไม่ใหญ่เป็นครั้งคราวซึ่งไม่เกี่ยวข้องกับข้อมูลประเภทพิเศษ

สำหรับบริษัทจีนที่ก้าวไปสู่ระดับโลก นี่คือ บังคับ.

6. การจัดการโปรเซสเซอร์ (ข้อ 28)

ตัวควบคุมและโปรเซสเซอร์ต้องลงนาม a ข้อตกลงการประมวลผลข้อมูล (DPA) ระบุ:

• เรื่อง ระยะเวลา ลักษณะและวัตถุประสงค์ของการประมวลผล

• หมวดหมู่ของข้อมูลและเจ้าของข้อมูล

• ภาระหน้าที่ของผู้ประมวลผล (การรักษาความลับ ความปลอดภัย ความช่วยเหลือ การลบ/คืน)

• สิทธิ์ในการตรวจสอบของผู้ควบคุม

7. การแจ้งเตือนการละเมิดข้อมูล (มาตรา 33 และ 34)

หลังจากการละเมิดข้อมูลส่วนบุคคล:

• แจ้งหน่วยงานกำกับดูแลผู้มีอำนาจ ภายใน 72 ชั่วโมง (เว้นแต่การฝ่าฝืนไม่น่าจะส่งผลให้เกิดความเสี่ยงต่อสิทธิ)

• ในกรณีที่มีความเสี่ยงสูง แจ้งให้ผู้รู้ข้อมูลทราบด้วย

การแจ้งเตือนต้องรวมถึงลักษณะของการละเมิด ขอบเขต ผลที่ตามมา และมาตรการที่ดำเนินการหรือเสนอ

8. การถ่ายโอนข้อมูลระหว่างประเทศ (บทที่ 5)

การถ่ายโอนข้อมูลส่วนบุคคลนอกสหภาพยุโรปต้องใช้กลไกอย่างใดอย่างหนึ่งต่อไปนี้:

กลไก	คำอธิบาย
การตัดสินใจที่เพียงพอ	สหภาพยุโรปพบว่าระดับการคุ้มครองของประเทศเพียงพอ – ปัจจุบัน ได้แก่ สหราชอาณาจักร สวิตเซอร์แลนด์ ญี่ปุ่น เกาหลีใต้ แคนาดา (องค์กรเชิงพาณิชย์) นิวซีแลนด์ อาร์เจนตินา อุรุกวัย อันดอร์รา หมู่เกาะแฟโร เกิร์นซีย์ เกาะแมน เจอร์ซีย์ อิสราเอล และสหรัฐอเมริกา (กรอบ DPF, 2023)
ข้อสัญญามาตรฐาน (SCCS)	เทมเพลตใหม่ 2021 ลงนามระหว่าง บริษัท
กฎองค์กรที่มีผลผูกพัน (BCR)	กฎภายในที่ได้รับอนุมัติสำหรับกลุ่มข้ามชาติ
การรับรองหรือจรรยาบรรณ	กลไกการรับรองที่ได้รับอนุมัติ
การดูหมิ่นสำหรับสถานการณ์เฉพาะ	ความยินยอมโดยชัดแจ้ง ความจำเป็นตามสัญญา การเรียกร้องทางกฎหมาย ฯลฯ

สำคัญ: จีนไม่อยู่ในรายชื่อประเทศที่เพียงพอ. การถ่ายโอนข้อมูลจากสหภาพยุโรปไปยังประเทศจีนต้องใช้กลไกเช่น SCCs และเนื่องจากคำพิพากษาของ Schrems II (2020) การประเมินผลกระทบการถ่ายโอน (TIA) จำเป็นต้องประเมินผลกระทบของกฎหมายของประเทศผู้รับต่อสิทธิ์ของเจ้าของข้อมูลในสหภาพยุโรป

8. บทลงโทษ

GDPR มีบางส่วนของ ค่าปรับที่หนักที่สุดในโลก สำหรับการปกป้องข้อมูล:

ประเภทของการละเมิด	ค่าปรับสูงสุด
การละเมิดที่ร้ายแรงน้อยกว่า	€10,000,000 หรือ 2% ของมูลค่าการซื้อขายประจำปีทั่วโลก (แล้วแต่จำนวนใดจะสูงกว่า)
การละเมิดที่ร้ายแรง	€20,000,000 หรือ 4% ของมูลค่าการซื้อขายประจำปีทั่วโลก (แล้วแต่จำนวนใดจะสูงกว่า)

การละเมิดที่ร้ายแรงน้อยกว่ากับการละเมิดที่ร้ายแรง:

• จริงจังน้อยกว่า: ขาด ropa, ไม่มี DPIA, ไม่ได้แต่งตั้ง DPO, ข้อตกลงการประมวลผลข้อมูลที่ไม่เป็นไปตามข้อกำหนด ฯลฯ

• ร้ายแรง: ละเมิดหลักการพื้นฐาน สิทธิ์ของเจ้าของข้อมูล กฎการโอนระหว่างประเทศหรือข้อกำหนดความยินยอม ฯลฯ

ค่าปรับที่สำคัญ

ปี	บริษัท	ละเอียด	เหตุผล
2023	เมตา (เฟซบุ๊ก)	1.2 พันล้านยูโร	การถ่ายโอนข้อมูลระหว่างประเทศ (การละเมิดหลังจาก Schrems II)
2021	Amazon	746 ล้านยูโร	ปัญหากลไกการยินยอม
2024	ยูเบอร์	290 ล้านยูโร	การถ่ายโอนข้อมูลไดรเวอร์ไปยังสหรัฐอเมริกา
2023	การขายส่ง	345 ล้านยูโร	การปกป้องข้อมูลเด็กไม่เพียงพอ
2023	ครีต	40 ล้านยูโร	การละเมิดการจัดการความยินยอม
2019	กูเกิล	50 ล้านยูโร	ปัญหาความโปร่งใสและความยินยอม

9. หน่วยงานกำกับดูแล

หน่วยงานคุ้มครองข้อมูลแห่งชาติ (DPAs)

แต่ละประเทศสมาชิกสหภาพยุโรปมี DPA อิสระ หน่วยงานที่มีชื่อเสียง ได้แก่ :

• กริล (ฝรั่งเศส) – ใช้งานมากในการบังคับใช้

• อีโค (สหราชอาณาจักร – ยังคงบังคับใช้ GDPR ของสหราชอาณาจักรหลังจาก Brexit)

• กสค. (ไอร์แลนด์) – ดูแลยักษ์ใหญ่ด้านเทคโนโลยีของสหรัฐฯ

• บีเอฟดี (เยอรมันสหพันธรัฐ) + รัฐ DPAs

• สำนักงานเอพีดี (สเปน) – คดีโทษสูงสุด

• รับรอง (อิตาลี) – ใช้งานในกฎระเบียบ AI

คณะกรรมการคุ้มครองข้อมูลยุโรป (EDPB)

• ประกอบด้วย DPA ของประเทศสมาชิก

• ปัญหา แนวทางและความคิดเห็น สำหรับการตีความของสหภาพยุโรปที่สอดคล้องกัน

• แก้ไขข้อพิพาทข้ามพรมแดน

• นำไปสู่การอภิปรายเกี่ยวกับกฎหมายใหม่

กลไก “One-Stop-Shop”

สำหรับการประมวลผลข้ามพรมแดน DPA ของประเทศในสถานประกอบการหลักของบริษัท ทำหน้าที่เป็นหัวหน้าหน่วยงานกำกับดูแล โดยมี DPA อื่นๆ ร่วมมือกัน นี่เป็นคุณลักษณะการออกแบบ GDPR ที่สำคัญที่ช่วยลดความซับซ้อนของการปฏิบัติตาม

10. การเปรียบเทียบกับกฎหมายคุ้มครองข้อมูลที่สำคัญอื่น ๆ

มิติ	GDPR	จีน	แคลิฟอร์เนีย cpra
วันที่มีผลบังคับใช้	2018.5.25	2021.11.1	1 มกราคม 2023 (แก้ไข CCPA)
ผลกระทบนอกอาณาเขต	ใช่	ใช่	ใช่
จำนวนฐานกฎหมาย	6	7 (ไม่มี “ผลประโยชน์ที่ถูกต้องตามกฎหมาย”)	คล้ายกันแต่เรียบง่าย
ข้อกำหนดความยินยอม	เข้มงวด	เข้มงวดขึ้น (ความยินยอมแยกต่างหากสำหรับข้อมูลที่ละเอียดอ่อน)	ผ่อนคลายมากขึ้น (โดยค่าเริ่มต้น ผู้ใช้สามารถเลือกไม่ใช้ได้)
สิทธิ์ของเจ้าของข้อมูล	8	คล้ายกัน + ภาษาจีน	5 + ยกเลิกการขาย
การโอนเงินระหว่างประเทศ	SCCS / BCRS / ความเพียงพอ	การประเมินความปลอดภัย / สัญญามาตรฐาน / การรับรอง	ข้อจำกัดน้อยลง
ก.พ.	บังคับในบางกรณี	บังคับในบางกรณี	ไม่บังคับ
การแจ้งเตือนการละเมิด	72 ชั่วโมง	ทันที (ไม่มีกำหนดเวลาเฉพาะ)	ขึ้นอยู่กับกรณี
ค่าปรับสูงสุด	€20m / 4% ของมูลค่าการซื้อขายทั่วโลก	50 ล้านหยวน / 5% ของมูลค่าการซื้อขายประจำปี	USD $7,500 ต่อการละเมิด

11. ผลกระทบในทางปฏิบัติต่อบริษัทจีน

ใครอยู่ภายใต้ GDPR?

เกือบทุกบริษัทไปทั่วโลก:

• อีคอมเมิร์ซข้ามพรมแดน (ขายให้กับผู้บริโภคในสหภาพยุโรป)

• แอพ/เกมที่เปิดตัวในต่างประเทศ

• บริการ SaaS และคลาวด์ (ลูกค้าสหภาพยุโรป)

• สมาร์ทฮาร์ดแวร์ / IoT (ผู้ใช้ EU)

• โลจิสติกส์ข้ามพรมแดนและการชำระเงิน

• ผู้ผลิตตามสัญญา (ทำหน้าที่เป็นโปรเซสเซอร์เมื่อจัดการข้อมูลแบรนด์ของสหภาพยุโรป)

• ฝ่ายทรัพยากรบุคคล / การรับสมัคร (พนักงาน/ผู้สมัครของสหภาพยุโรป)

ความเสี่ยงของการไม่ปฏิบัติตาม

1. ค่าปรับมหาศาล – มากถึง 4% ของมูลค่าการซื้อขายประจำปี

2. คดีความโดยผู้ใช้สหภาพยุโรป – การกระทำร่วมกันที่พบบ่อยขึ้น

3. การหยุดชะงักทางธุรกิจ – เจ้าหน้าที่สามารถสั่งประมวลผลหรือโอนเพื่อหยุด

4. ความเสียหายต่อชื่อเสียงของแบรนด์

5. พันธมิตรปฏิเสธที่จะทำงานกับคุณ – ลูกค้า EU B2B ปฏิบัติตามข้อกำหนดของซัพพลายเออร์อย่างเคร่งครัด

รายการตรวจสอบการปฏิบัติตามขั้นต่ำ

แต่งตั้งและ ผู้แทนอียู เตรียมการปฏิบัติตาม GDPR นโยบายความเป็นส่วนตัว (หลายภาษา)
ปรับใช้ a แพลตฟอร์มการจัดการความยินยอมของคุกกี้ (CMP)
สร้างกลไกการตอบสนองต่อ สิทธิ์ของเจ้าของข้อมูล การเรียกร้อง
ลงนาม 2021 SCCs + กรอก a TIA สร้าง การตอบสนองการละเมิดข้อมูล แผน (การแจ้งเตือน 72 ชั่วโมง)
สัญญาณ DPA (ข้อตกลงการประมวลผลข้อมูล) ด้วยโปรเซสเซอร์แต่งตั้ง a อ.ส.ค (ถ้ามี)
บุคลากร การฝึกอบรม GDPR สร้าง ROPA (บันทึกกิจกรรมการประมวลผล)

12. ไทม์ไลน์และแนวโน้มของ GDPR

วันที่	หมุดหมายสำคัญ
1995	EU Data Protection Directive 95/46/EC
เมษายน 2016	GDPR นำมาใช้
25 พฤษภาคม 2018	ใช้ GDPR (สิ้นสุดช่วงเปลี่ยนผ่าน 2 ปี)
กรกฎาคม 2020	Schrems II การตัดสิน – โล่ความเป็นส่วนตัวเป็นโมฆะ
มิถุนายน 2021	SCC ใหม่เผยแพร่
กรกฎาคม 2023	EU-US-US Data Privacy Framework (DPF) Takes Effect – เปลี่ยน Privacy Shield
สิงหาคม 2024	สหภาพยุโรป Ai ACT มีผลบังคับใช้ – ทำงานร่วมกับ GDPR
ตั้งแต่ปี 2025	พระราชบัญญัติข้อมูล พระราชบัญญัติการกำกับดูแลข้อมูล DSA, DMA และระเบียบอื่น ๆ ที่เกี่ยวข้อง ใช้อย่างก้าวหน้า
ต่อเนื่อง	แนวทาง EDPB อัปเดตอย่างต่อเนื่อง การบังคับใช้ที่เข้มข้นขึ้น

แนวโน้มในอนาคต

• กฎระเบียบ AI และ GDPR ที่ทับซ้อนกัน – การกำกับดูแลข้อมูลสำหรับ AI กำเนิดภายใต้พระราชบัญญัติ AI

• การแก้ปัญหาความเมื่อยล้า – EU กำลังหารือเกี่ยวกับการทำให้คุกกี้ยินยอมอย่างง่าย

• การปกป้องข้อมูลเด็กที่แข็งแกร่งขึ้น – นำโดยค่าปรับจำนวนมากเช่น TikTok’s

• การบังคับใช้ที่เข้มงวดมากขึ้น – ค่าปรับส่วนบุคคลยังคงเพิ่มขึ้นอย่างต่อเนื่อง

• การประเมินความเพียงพอของประเทศที่สาม – รายการถูกปรับแบบไดนามิก