กฎระเบียบคุ้มครองข้อมูลส่วนบุคคลทั่วไป ควบคุมการใช้ข้อมูลส่วนบุคคลของผู้ที่อยู่ในสหภาพยุโรป
ใครเกี่ยวข้อง
- ทุกบริษัทที่ตั้งอยู่ในสหภาพยุโรป ที่ใช้ข้อมูลส่วนบุคคล แม้ข้อมูลจะถูกประมวลผลที่อื่น (มาตรา 3 วรรค 1)
- บริษัทในเอเชียที่ไม่มีสถานประกอบการในยุโรป ทันทีที่เสนอสินค้าหรือบริการให้บุคคลที่อยู่ในสหภาพยุโรป (ไม่ว่าจะเสียเงินหรือไม่) หรือติดตามพฤติกรรมของบุคคลเหล่านั้นทางออนไลน์ (มาตรา 3 วรรค 2)
ประเด็นที่เกี่ยวกับเอเชีย: ผู้แทน
บริษัทที่อยู่ภายใต้มาตรา 3 วรรค 2 ต้องแต่งตั้งผู้แทนเป็นลายลักษณ์อักษรในประเทศสหภาพยุโรปที่ลูกค้าอยู่ (มาตรา 27 วรรค 1 และ 3) หน่วยงานและบุคคลสามารถติดต่อผู้แทนนี้ได้ ข้อยกเว้น: การประมวลผลเป็นครั้งคราว ไม่มีข้อมูลอ่อนไหวขนาดใหญ่ และไม่มีความเสี่ยงต่อบุคคล (มาตรา 27 วรรค 2)
สิ่งที่ต้องทำ
- มีฐานทางกฎหมายสำหรับแต่ละการใช้งาน ความยินยอมเป็นเพียงหนึ่งในหกฐาน (สัญญา หน้าที่ตามกฎหมาย ประโยชน์อันชอบธรรม…) (มาตรา 6)
- แจ้งให้ชัดเจน (นโยบายความเป็นส่วนตัว)
- ตอบคำขอ (เข้าถึง แก้ไข ลบ…) ภายในหนึ่งเดือน ขยายได้อีกสองเดือนหากคำขอซับซ้อน โดยต้องแจ้งบุคคลนั้นภายในเดือนแรก (มาตรา 12 วรรค 3)
- เมื่อข้อมูลรั่วไหล: แจ้งหน่วยงาน (ในฝรั่งเศสคือ CNIL) โดยไม่ชักช้า และหากทำได้ภายใน 72 ชั่วโมง เว้นแต่การรั่วไหลไม่มีความเสี่ยงต่อบุคคล หากเกิน 72 ชั่วโมงต้องอธิบายเหตุที่ล่าช้า (มาตรา 33)
การส่งข้อมูลไปจีน ไทย หรือเวียดนาม
บริษัทในยุโรปที่ส่งข้อมูลส่วนบุคคลออกนอกสหภาพยุโรป (แฟ้มลูกค้า ข้อมูลติดต่อ) ต้องปฏิบัติตามเงื่อนไข (มาตรา 44): คำวินิจฉัยว่ามีความคุ้มครองเพียงพอของคณะกรรมาธิการสำหรับประเทศนั้น (มาตรา 45) หรือมาตรการคุ้มครองเช่นข้อสัญญามาตรฐานที่คณะกรรมาธิการรับรอง (มาตรา 46 วรรค 2 c) หรือหากไม่มี ให้ใช้ข้อยกเว้น เช่นความยินยอมโดยชัดแจ้งของบุคคลที่ได้รับแจ้งความเสี่ยงแล้ว (มาตรา 49 วรรค 1 a)
วันสำคัญ
- ใช้บังคับตั้งแต่ 25 พฤษภาคม 2018 (มาตรา 99)
แหล่งข้อมูลทางการ (อ่านเมื่อ 01/11/2026) : Règlement (UE) 2016/679 (RGPD) — EUR-Lex · CNIL — le règlement européen
ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย โปรดตรวจสอบแหล่งข้อมูลทางการก่อนตัดสินใจ