ការចែករំលែកទិន្នន័យផ្ទាល់ខ្លួនជាមួយភាគីទីបី៖ ហានិភ័យ GDPR ទាំង ៧ ដែលត្រូវគ្រប់គ្រង

អ្នកអាចចែករំលែកទិន្នន័យផ្ទាល់ខ្លួនក្រោម GDPR លុះត្រាតែអ្នកមានមូលដ្ឋានច្បាប់ក្រោមមាត្រា 6 បានដោះស្រាយជាលាយលក្ខណ៍អក្សរថាតើអ្នកទទួលជាអ្នកដំណើរការ ឬជាអ្នកត្រួតពិនិត្យ ហើយបានប្រាប់អ្នកដែលពាក់ព័ន្ធអំពីការចែករំលែក។ ករណីលើកលែងចម្បងគឺការផ្ទេរទៅក្រៅតំបន់សេដ្ឋកិច្ចអឺរ៉ុប (EEA) និងដំណើរការដែលមានហានិភ័យខ្ពស់ ដែលនាំមកនូវតម្រូវការបន្ថែមក្រោមជំពូកទី V និងមាត្រា 35 GDPR។

នៅប្រទេសហូឡង់ អាជ្ញាធរការពារទិន្នន័យហូឡង់ ( Autoriteit Persoonsgegevens , AP) អនុវត្ត GDPR រួមជាមួយនឹងច្បាប់អនុវត្តរបស់ហូឡង់ ( Uitvoeringswet AVG , UAVG)។ រាល់លំហូរទៅកាន់អ្នកផ្តល់សេវា cloud ការិយាល័យបើកប្រាក់បៀវត្សរ៍ អ្នកទារបំណុល ឬក្រុមហ៊ុនក្រុមនៅបរទេស គឺជាប្រតិបត្តិការដំណើរការដាច់ដោយឡែកមួយ ដែលត្រូវការយុត្តិកម្មផ្ទាល់ខ្លួន។ ខាងក្រោមនេះ យើងកំណត់ហានិភ័យចំនួនប្រាំពីរដែលកើតឡើងដដែលៗក្នុងការអនុវត្ត បទប្បញ្ញត្តិនៅពីក្រោយពួកវា និងអ្វីដែលអ្នកអាចធ្វើបានអំពីហានិភ័យនីមួយៗ។

ហានិភ័យទី 1៖ តើអ្នកកំពុងចែករំលែកទិន្នន័យដោយគ្មានមូលដ្ឋានច្បាប់ត្រឹមត្រូវមែនទេ?

រាល់ការបង្ហាញទិន្នន័យផ្ទាល់ខ្លួនត្រូវការមូលដ្ឋានច្បាប់មួយក្នុងចំណោមមូលដ្ឋានច្បាប់ទាំងប្រាំមួយនៅក្នុងមាត្រា 6(1) GDPR។ ហេតុផលពាណិជ្ជកម្មមិនមែនជាហេតុផលមួយក្នុងចំណោមហេតុផលទាំងនោះទេ។

មូលដ្ឋានទាំងប្រាំមួយគឺមានលក្ខណៈទូលំទូលាយ៖ ការយល់ព្រម ការអនុវត្តកិច្ចសន្យា កាតព្វកិច្ចផ្លូវច្បាប់ ផលប្រយោជន៍សំខាន់ៗ ភារកិច្ចសាធារណៈ និងផលប្រយោជន៍ស្របច្បាប់។ មាត្រា 5(1)(ក) បន្ថែមថា ដំណើរការត្រូវតែស្របច្បាប់ យុត្តិធម៌ និងមានតម្លាភាព ដូច្នេះមូលដ្ឋានដែលមិនដែលត្រូវបានពន្យល់ដល់នរណាម្នាក់នៅតែបន្សល់ទុកចន្លោះប្រហោង។

ហេតុអ្វីបានជាផលប្រយោជន៍ស្របច្បាប់ជាអន្ទាក់?

ផលប្រយោជន៍ស្របច្បាប់គឺជាមូលដ្ឋានដែលត្រូវបានប្រើញឹកញាប់បំផុតសម្រាប់ការចែករំលែកជាមួយដៃគូ ហើយភាគច្រើនត្រូវបានប្រើមិនត្រឹមត្រូវ។ វាតម្រូវឱ្យមានការធ្វើតេស្តបីជំហាន៖

• ផលប្រយោជន៍ត្រូវតែស្របច្បាប់។
• ការចែករំលែកត្រូវតែចាំបាច់ដើម្បីបម្រើវា។
• ផលប្រយោជន៍មិនត្រូវត្រូវបានគ្របដណ្ដប់ដោយសិទ្ធិ និងសេរីភាពរបស់ប្រជាជនពាក់ព័ន្ធឡើយ។

អ្នកត្រូវតែអនុវត្ត និងកត់ត្រាការធ្វើតេស្តនេះមុនពេលការចែករំលែកចាប់ផ្តើម ពីព្រោះមាត្រា 5(2) GDPR ដាក់បន្ទុកនៃភស្តុតាងទៅលើអ្នកត្រួតពិនិត្យ (ការទទួលខុសត្រូវ)។ ការវាយតម្លៃដែលសរសេរបន្ទាប់ពីពាក្យបណ្តឹងមកដល់មានតម្លៃតិចតួចណាស់។

ចុះ​យ៉ាងណា​ចំពោះ​ការយល់ព្រម និង​ការកំណត់​គោលបំណង?

ការយល់ព្រមពីបុគ្គលិកកម្រមានសុពលភាពណាស់ ពីព្រោះភាពមិនស្មើគ្នានៃអំណាចមានន័យថាវាមិនត្រូវបានផ្តល់ឱ្យដោយសេរីទេ (មាត្រា 7(4) និងសេចក្តីសង្ខេប 43 GDPR)។ ការកំណត់គោលបំណងក្រោមមាត្រា 5(1)(ខ) ក៏អនុវត្តចំពោះការចែករំលែកផងដែរ៖ ទិន្នន័យដែលប្រមូលបានដើម្បីផ្តល់សេវាកម្មមិនអាចទៅដៃគូសម្រាប់ការធ្វើទីផ្សារបានទេ។ កន្លែងដែលគោលបំណងថ្មីមិនឆបគ្នាជាមួយគោលបំណងដើម អ្នកត្រូវការមូលដ្ឋានថ្មី។

អ្វីដែលត្រូវធ្វើ៖ កំណត់មូលដ្ឋានមុនពេលទិន្នន័យចាកចេញពីអង្គការរបស់អ្នក សរសេរវាចុះ ហើយពិនិត្យមើលថាការជូនដំណឹងអំពីភាពឯកជនរបស់អ្នកពិពណ៌នាអំពីការចែករំលែករួចហើយឬនៅ។ ការយល់ព្រមត្រូវតែផ្តល់ឱ្យដោយសេរី ជាក់លាក់ មានព័ត៌មានគ្រប់គ្រាន់ មិនមានភាពមិនច្បាស់លាស់ និងងាយស្រួលក្នុងការដកថយដូចការផ្តល់ (មាត្រា 4(11) និង 7(3) GDPR)។

ហានិភ័យទី 2៖ តើអ្នកមានតួនាទីឧបករណ៍បញ្ជា និងឧបករណ៍ដំណើរការខុសទេ?

អ្នកត្រួតពិនិត្យ​សម្រេច​លើ​គោលបំណង និង​មធ្យោបាយ​នៃ​ការ​ដំណើរការ។ អ្នក​ដំណើរការ​ដំណើរការ​តែ​លើ​ការណែនាំ​ដែល​បាន​កត់ត្រា​របស់​អ្នកត្រួតពិនិត្យ (មាត្រា 4(7) និង (8) GDPR)។ អ្វីដែលសំខាន់គឺអ្នកណាជាអ្នកសម្រេចចិត្តពិតប្រាកដ មិនមែនអ្វីដែលកិច្ចសន្យាហៅភាគីទាំងនោះទេ។

កំហុសទូទៅគឺការដាក់ស្លាកអ្នកផ្គត់ផ្គង់នីមួយៗថាជាឧបករណ៍ដំណើរការ។ ប៉ុន្តែគ្មានចំណុចណាមួយខាងក្រោមនេះដំណើរការតែលើការណែនាំនោះទេ៖

• អ្នកផ្តល់សេវា SaaS ដែលប្រើប្រាស់ទិន្នន័យអតិថិជនដើម្បីកែលម្អផលិតផលរបស់ខ្លួន។
• គណនេយ្យករ​ដែល​ត្រូវ​បាន​ចងភ្ជាប់​ដោយ​ច្បាប់​វិជ្ជាជីវៈ;
• ធនាគារដែលអនុវត្តការទូទាត់;
• វេទិកាផ្សាយពាណិជ្ជកម្មមួយដែលបង្កើតទម្រង់ទស្សនិកជនផ្ទាល់ខ្លួន។

ម្នាក់ៗគឺជាអ្នកត្រួតពិនិត្យយ៉ាងហោចណាស់ផ្នែកខ្លះនៃដំណើរការ។ ក្នុងករណីដែលអង្គការពីររួមគ្នាកំណត់គោលបំណង និងមធ្យោបាយ ពួកគេគឺជាអ្នកត្រួតពិនិត្យរួមគ្នាក្រោមមាត្រា 26 GDPR។ ពួកគេត្រូវតែកំណត់ការទទួលខុសត្រូវរបស់ពួកគេនៅក្នុងការរៀបចំមួយ និងធ្វើឱ្យខ្លឹមសាររបស់វាអាចរកបានសម្រាប់មនុស្សដែលពាក់ព័ន្ធ។

តើតុលាការយុត្តិធម៌សហភាពអឺរ៉ុបកំណត់និយមន័យនៃការគ្រប់គ្រងរួមគ្នាយ៉ាងទូលំទូលាយប៉ុណ្ណា?

ជាទូទៅ។ នៅក្នុង Fashion ID (C-40/17) តុលាការយុត្តិធម៌បានសម្រេចថា ប្រតិបត្តិករគេហទំព័រដែលបង្កប់កម្មវិធីជំនួយសង្គមភាគីទីបី គឺជាអ្នកគ្រប់គ្រងរួមគ្នាសម្រាប់ការប្រមូល និងបញ្ជូនទិន្នន័យរបស់អ្នកទស្សនា ទោះបីជាវាមិនអាចចូលប្រើទិន្នន័យបាននៅពេលក្រោយក៏ដោយ។ ឥទ្ធិពលមួយផ្នែកលើគោលបំណងគឺគ្រប់គ្រាន់ហើយ ហើយលទ្ធផលគឺការទទួលខុសត្រូវរួមគ្នាចំពោះការរំលោភបំពានដែលអ្នកមិនបានបង្កឡើង។

អ្វីដែលត្រូវធ្វើ៖ គូសផែនទីលំហូរទិន្នន័យ ហើយកត់ត្រាសម្រាប់លំហូរនីមួយៗ ថាអ្នកណាជាអ្នកសម្រេចថាហេតុអ្វី និងរបៀបដែលទិន្នន័យត្រូវបានដំណើរការ។ ប្រើប្រាស់កិច្ចព្រមព្រៀងដំណើរការក្រោមមាត្រា 28 សម្រាប់អ្នកដំណើរការ និងការរៀបចំអ្នកត្រួតពិនិត្យរួមគ្នាក្រោមមាត្រា 26 ដែលភាគីទាំងពីរជាអ្នកសម្រេច។

ហានិភ័យទី 3៖ តើកិច្ចព្រមព្រៀងដំណើរការទិន្នន័យរបស់អ្នកបាត់ ឬមានបញ្ហាដែរឬទេ?

ប្រសិនបើអ្នកដំណើរការទិន្នន័យផ្ទាល់ខ្លួនរបស់អ្នក មាត្រា 28(3) GDPR តម្រូវឱ្យមានកិច្ចសន្យាជាលាយលក្ខណ៍អក្សរ។ បើគ្មានវាទេ អ្នកនឹងបំពានចាប់ពីពេលដែលដំណើរការចាប់ផ្តើម ទោះបីជាគ្មានទិន្នន័យណាមួយលេចធ្លាយក៏ដោយ។

ខ្លឹមសារត្រូវបានកំណត់ដោយច្បាប់។ កិច្ចព្រមព្រៀងដំណើរការទិន្នន័យ ដែលអនុលោមតាមច្បាប់ ចែងអំពីប្រធានបទ រយៈពេល លក្ខណៈ និងគោលបំណងនៃដំណើរការ ប្រភេទទិន្នន័យផ្ទាល់ខ្លួន និងប្រភេទមនុស្ស ព្រមទាំងសិទ្ធិ និងកាតព្វកិច្ចរបស់អ្នកគ្រប់គ្រង។ វាក៏ត្រូវតែភ្ជាប់អ្នកដំណើរការទៅនឹង៖

• ដំណើរការតែលើការណែនាំដែលបានកត់ត្រាទុក;
• ដាក់ការសម្ងាត់លើបុគ្គលិករបស់ខ្លួន;
• ចាត់វិធានការសន្តិសុខដែលតម្រូវដោយមាត្រា ៣២;
• ជំនួយជាមួយសំណើរបស់ម្ចាស់ទិន្នន័យ និងការជូនដំណឹងអំពីការរំលោភបំពាន។
• លុប ឬប្រគល់ទិន្នន័យវិញនៅចុងបញ្ចប់នៃការចូលរួម;
• ផ្តល់ព័ត៌មានចាំបាច់ដើម្បីបង្ហាញពីការអនុលោមតាមច្បាប់ និងអនុញ្ញាតឱ្យមានការធ្វើសវនកម្ម។

ហេតុអ្វីបានជាឃ្លារបស់អ្នកដំណើរការរងច្រើនតែបរាជ័យ?

យោងតាមមាត្រា 28(2) និង (4) អ្នកដំណើរការត្រូវការការអនុញ្ញាតជាលាយលក្ខណ៍អក្សរជាក់លាក់ ឬទូទៅជាមុនពីអ្នកសម្រាប់អ្នកដំណើរការរងណាមួយ។ ដោយមានការអនុញ្ញាតទូទៅ វាត្រូវតែជូនដំណឹងដល់អ្នកអំពីការផ្លាស់ប្តូរដែលគ្រោងទុក និងផ្តល់ឱកាសឱ្យអ្នកជំទាស់។ ប្រការដែលអនុញ្ញាតឱ្យវាចូលរួមជាមួយនរណាម្នាក់ដែលវាចូលចិត្តគឺមិនត្រូវតាមស្តង់ដារនោះទេ។

អ្វីដែលត្រូវធ្វើ៖ ធ្វើការពីគំរូដែលអនុវត្តតាមប្រការនីមួយៗនៃមាត្រា 28(3) ហើយពិនិត្យមើលកិច្ចព្រមព្រៀងដែលមានស្រាប់ជាជាងពឹងផ្អែកលើលក្ខខណ្ឌផ្ទាល់ខ្លួនរបស់អ្នកផ្គត់ផ្គង់។ ទំនាក់ទំនងយូរអង្វែងទំនងជាមិនមានឯកសារ។

ហានិភ័យទី ៤៖ តើអ្នកកំពុងផ្ទេរទិន្នន័យទៅខាងក្រៅ EEA ដោយគ្មានការការពារដែរឬទេ?

ការផ្ទេរទៅក្រៅ EEA ត្រូវបានអនុញ្ញាតតែលើមូលដ្ឋាននៃការសម្រេចចិត្តអំពីភាពគ្រប់គ្រាន់ (មាត្រា 45 GDPR) ឬវិធានការការពារសមស្រប (មាត្រា 46) ជាធម្មតាគឺប្រការកិច្ចសន្យាស្តង់ដារ (SCCs) របស់គណៈកម្មការ ឬច្បាប់សាជីវកម្មដែលមានកាតព្វកិច្ច។ ការលើកលែងនៅក្នុងមាត្រា 49 ដូចជាការយល់ព្រមយ៉ាងច្បាស់លាស់ គឺសម្រាប់ការផ្ទេរម្តងម្កាល ហើយមិនអាចគាំទ្រលំហូរទិន្នន័យរចនាសម្ព័ន្ធបានទេ។

ការផ្ទេរកើតឡើងនៅពេលណាដែលទិន្នន័យអាចចូលប្រើបានពីខាងក្រៅ EEA មិនត្រឹមតែនៅពេលដែលវាត្រូវបានចម្លងនៅទីនោះទេ។ ការគ្រប់គ្រងពីចម្ងាយដោយក្រុមហ៊ុនមេនៅបរទេសគឺជាការផ្ទេរ ទោះបីជាម៉ាស៊ីនមេស្នាក់នៅក្នុងទីក្រុង Frankfurt ក៏ដោយ។

តើ Schrems II និងក្របខ័ណ្ឌឯកជនភាពទិន្នន័យមានន័យយ៉ាងណាចំពោះអ្នក?

នៅក្នុង Schrems II (C-311/18) តុលាការយុត្តិធម៌បានលុបចោលច្បាប់ការពារភាពឯកជនរបស់សហភាពអឺរ៉ុប-សហរដ្ឋអាមេរិក ហើយបានសម្រេចថា ប្រការកិច្ចសន្យាស្តង់ដារមិនគ្រប់គ្រាន់ដោយខ្លួនឯងទេ។ អ្នកនាំចេញត្រូវតែវាយតម្លៃថាតើច្បាប់នៃប្រទេសគោលដៅធ្វើឱ្យខូចប្រការទាំងនេះដែរឬទេ ហើយបន្ថែមវិធានការបន្ថែមនៅពេលដែលវាធ្វើឱ្យខូច។ ការវាយតម្លៃផលប៉ះពាល់នៃការផ្ទេរ (TIA) នៅតែត្រូវបានទាមទារសម្រាប់ការផ្ទេរមាត្រា 46 នីមួយៗ។

គណៈកម្មការបានអនុម័តសេចក្តីសម្រេចលើភាពគ្រប់គ្រាន់សម្រាប់ក្របខ័ណ្ឌឯកជនភាពទិន្នន័យ EU-US (DPF) ក្នុងខែកក្កដា ឆ្នាំ២០២៣ ហើយនៅថ្ងៃទី៣ ខែកញ្ញា ឆ្នាំ២០២៥ តុលាការទូទៅបានច្រានចោលបណ្តឹងសម្រាប់ការលុបចោលរបស់ខ្លួន ( Latombe , T-553/23)។ ការផ្ទេរទៅអង្គការអាមេរិកដែលមានវិញ្ញាបនបត្រក្រោមក្របខ័ណ្ឌនេះ សម្រាប់ទិន្នន័យដែលវិញ្ញាបនបត្ររបស់វាគ្របដណ្តប់ អាចពឹងផ្អែកលើភាពគ្រប់គ្រាន់។ ការផ្ទេរទៅអ្នកទទួលផ្សេងទៀតរបស់សហរដ្ឋអាមេរិកមិនអាចធ្វើបានទេ។ ការប្តឹងឧទ្ធរណ៍ទៅតុលាការយុត្តិធម៌គឺអាចធ្វើទៅបាន ដូច្នេះសូមពិនិត្យមើលវិញ្ញាបនបត្រ ហើយរក្សាជម្រើសបម្រុងនៅនឹងកន្លែង។

អ្វីដែលត្រូវធ្វើ៖ រាយបញ្ជីការផ្ទេរប្រាក់ពីប្រទេសទីបីនៅក្នុងខ្សែសង្វាក់ផ្គត់ផ្គង់របស់អ្នក រួមទាំងអ្នកដំណើរការរង និងការរៀបចំការគាំទ្រ។ ក្នុងករណីដែលភាពគ្រប់គ្រាន់មិនត្រូវបានអនុវត្ត សូមប្រើប្រាស់ SCC បច្ចុប្បន្ន កត់ត្រា TIA និងកត់ត្រាវិធានការបន្ថែមដូចជាការអ៊ិនគ្រីបជាមួយសោដែលរក្សាទុកនៅក្នុង EEA។ AP អាចបញ្ជាឱ្យផ្អាកការផ្ទេរប្រាក់ក្រោមមាត្រា 58(2)(j) GDPR។

ហានិភ័យទី 5៖ តើអ្នកកំពុងរំលងការវាយតម្លៃផលប៉ះពាល់នៃការការពារទិន្នន័យមែនទេ?

មាត្រា 35 GDPR តម្រូវឱ្យមានការវាយតម្លៃផលប៉ះពាល់ការពារទិន្នន័យ (DPIA) ដែលការដំណើរការទំនងជាបណ្តាលឱ្យមានហានិភ័យខ្ពស់ដល់បុគ្គល។ ការចែករំលែកទិន្នន័យជារឿយៗឆ្លងកាត់កម្រិតនោះលឿនជាងការរំពឹងទុករបស់អង្គការនានា។

មាត្រា 35(3) ដាក់ឈ្មោះករណីបីយ៉ាង៖ ការវាយតម្លៃដោយស្វ័យប្រវត្តិជាប្រព័ន្ធ និងទូលំទូលាយ ជាមួយនឹងផលប៉ះពាល់ផ្នែកច្បាប់ ឬផលប៉ះពាល់ស្រដៀងគ្នានេះ ការដំណើរការទ្រង់ទ្រាយធំនៃប្រភេទពិសេស ឬទិន្នន័យព្រហ្មទណ្ឌ និងការត្រួតពិនិត្យជាប្រព័ន្ធទ្រង់ទ្រាយធំនៃតំបន់សាធារណៈ។ AP ក៏បោះពុម្ពផ្សាយបញ្ជីប្រតិបត្តិការដែលតែងតែត្រូវការ DPIA។ ការបញ្ចូលគ្នានូវសំណុំទិន្នន័យ ការចែករំលែកទិន្នន័យសុខភាពជាមួយអ្នកផ្តល់ការវិភាគ ឬការត្រួតពិនិត្យបុគ្គលិក ជារឿយៗនឹងឆ្លងកាត់កម្រិតដោយខ្លួនឯង។

តើ DPIA គួរតែមានអ្វីខ្លះ?

យោងតាមមាត្រា 35(7) DPIA ពិពណ៌នាអំពីដំណើរការ និងគោលបំណងរបស់វា វាយតម្លៃភាពចាំបាច់ និងភាពសមាមាត្រ កំណត់ហានិភ័យចំពោះបុគ្គលពាក់ព័ន្ធ និងកំណត់វិធានការដែលដោះស្រាយហានិភ័យទាំងនោះ។ ក្នុងករណីដែលហានិភ័យខ្ពស់នៅតែមាន មាត្រា 36 តម្រូវឱ្យមានការពិគ្រោះយោបល់ជាមុនជាមួយ AP មុនពេលដំណើរការចាប់ផ្តើម។

អ្វីដែលត្រូវធ្វើ៖ ត្រួតពិនិត្យរាល់ការរៀបចំចែករំលែកទិន្នន័យថ្មីប្រឆាំងនឹងមាត្រា 35(3) និងបញ្ជី AP ហើយចូលរួមជាមួយមន្ត្រីការពារទិន្នន័យរបស់អ្នក ប្រសិនបើអ្នកមាន។ ពិនិត្យមើល DPIA ឡើងវិញនៅពេលដែលដំណើរការផ្លាស់ប្តូរ។ ការខកខានមិនបានអនុវត្ត DPIA ដែលតម្រូវគឺជាការរំលោភលើច្បាប់។

ហានិភ័យទី ៦៖ តើអ្នកកំពុងប្រាប់មនុស្សតិចពេកអំពីការចែករំលែកមែនទេ?

តម្លាភាពគឺជាកាតព្វកិច្ចដាច់ដោយឡែកមួយ ដែលអ្នកអាចបំពានបាន ទោះបីជាការចែករំលែកខ្លួនឯងស្របច្បាប់ក៏ដោយ។ មាត្រា 13 និង 14 GDPR តម្រូវឱ្យអ្នកបញ្ជាក់ពីគោលបំណង មូលដ្ឋានច្បាប់ និងអ្នកទទួល ឬប្រភេទអ្នកទទួល។

ប្រយោគមួយដែលនិយាយថាទិន្នន័យ "អាចត្រូវបានចែករំលែកជាមួយដៃគូដែលទុកចិត្ត" មិនកំណត់អត្តសញ្ញាណអ្វីទាំងអស់។ ចូរដាក់ឈ្មោះប្រភេទជាក់លាក់ ដូចជាអ្នកផ្តល់សេវាបង្ហោះ អ្នកគ្រប់គ្រងប្រាក់បៀវត្សរ៍ ឬភ្នាក់ងារយោងឥណទាន។ សម្រាប់ការផ្ទេរប្រាក់នៅខាងក្រៅ EEA មាត្រា 13(1)(f) និង 14(1)(f) តម្រូវឱ្យមានការជូនដំណឹងដើម្បីនិយាយដូច្នេះ និងដើម្បីកំណត់អត្តសញ្ញាណការការពារដែលពឹងផ្អែក។

តើ​មាន​ការ​បន្ថែម​អ្វី​ខ្លះ​ដែល​ត្រូវ​បាន​អនុវត្ត​នៅ​ពេល​ដែល​អ្នក​មិន​បាន​ប្រមូល​ទិន្នន័យ​ដោយ​ខ្លួន​ឯង?

យោងតាមមាត្រា 14 ការជូនដំណឹងនេះក៏ត្រូវតែបញ្ជាក់ពីប្រភេទទិន្នន័យ និងប្រភពរបស់វាផងដែរ។ អ្នកត្រូវតែផ្តល់វាក្នុងរយៈពេលសមស្របមួយ និងយ៉ាងយូរបំផុតក្នុងរយៈពេលមួយខែ ឬនៅពេលទំនាក់ទំនងលើកដំបូងជាមួយបុគ្គលនោះ ប្រសិនបើវាមកដល់មុននេះ។ ទំព័ររបស់យើងស្តីពី គោលការណ៍ឯកជនភាពនៅក្នុងប្រទេសហូឡង់ កំណត់ខ្លឹមសារពេញលេញ។

អ្វីដែលត្រូវធ្វើ៖ ធ្វើបច្ចុប្បន្នភាពការជូនដំណឹងមុនពេលអ្នកទទួលថ្មីទទួលបានទិន្នន័យ មិនមែននៅពេលពិនិត្យឡើងវិញប្រចាំឆ្នាំលើកក្រោយនោះទេ។ មាត្រា 12(1) តម្រូវឱ្យការជូនដំណឹងមានភាពសង្ខេប អាចយល់បាន និងជាភាសាច្បាស់លាស់ និងសាមញ្ញ។

ហានិភ័យទី 7: តើអ្នកកំពុងចាត់ទុកទិន្នន័យដែលប្រើឈ្មោះក្លែងក្លាយថាជាទិន្នន័យអនាមិកមែនទេ?

សម្រាប់អង្គការដែលកាន់កាប់កូនសោ ទិន្នន័យដែលប្រើឈ្មោះក្លែងក្លាយនៅតែជាទិន្នន័យផ្ទាល់ខ្លួន។ មានតែការធ្វើអនាមិកពិតប្រាកដប៉ុណ្ណោះដែលយកទិន្នន័យនៅខាងក្រៅ GDPR។

មាត្រា 4(5) GDPR កំណត់ការប្រើប្រាស់ឈ្មោះក្លែងក្លាយថាជាទិន្នន័យដំណើរការ ដូច្នេះវាមិនអាចត្រូវបានភ្ជាប់ទៅមនុស្សម្នាក់ទៀតដោយគ្មានព័ត៌មានបន្ថែមដែលត្រូវបានរក្សាទុកដោយឡែកពីគ្នា។ មាត្រា Recital 26 បញ្ជាក់ថាទិន្នន័យបែបនេះនៅតែស្ថិតនៅក្នុង GDPR សម្រាប់អ្នកដែលអាចកំណត់អត្តសញ្ញាណវាឡើងវិញ។ ដូច្នេះការជំនួសឈ្មោះដោយលេខអតិថិជនមិនលុបបំបាត់តម្រូវការសម្រាប់មូលដ្ឋានច្បាប់ កិច្ចព្រមព្រៀងដំណើរការ ឬការជូនដំណឹងអំពីភាពឯកជននៅខាងអ្នកទេ។

តើទិន្នន័យដែលប្រើឈ្មោះក្លែងក្លាយអាចមិនមែនជាទិន្នន័យផ្ទាល់ខ្លួនសម្រាប់អ្នកទទួលបានទេ?

ប្រហែលជា។ នៅក្នុង សំណុំរឿង EDPS ទល់នឹង SRB (C-413/23 P, ថ្ងៃទី 4 ខែកញ្ញា ឆ្នាំ 2025) តុលាការបានសម្រេចថា ទិន្នន័យដែលមានឈ្មោះក្លែងក្លាយមិនចាំបាច់ជាទិន្នន័យផ្ទាល់ខ្លួនសម្រាប់អ្នកទទួលដែលមិនអាចកំណត់អត្តសញ្ញាណឡើងវិញបានដោយសមហេតុផលចំពោះបុគ្គលពាក់ព័ន្ធនោះទេ។ តុលាការក៏បានសម្រេចផងដែរថា អ្នកត្រួតពិនិត្យការបង្ហាញព័ត៌មានត្រូវតែជូនដំណឹងដល់មនុស្សទាំងនោះអំពីអ្នកទទួលនៅពេលប្រមូល។

អ្វីដែលត្រូវធ្វើ៖ វាយតម្លៃមធ្យោបាយដែលទំនងជាត្រូវបានប្រើប្រាស់ដោយអ្នកទទួល រួមទាំងសំណុំទិន្នន័យផ្សេងទៀតដែលវារក្សាទុក។ លេខកូដប្រៃសណីយ៍ ថ្ងៃខែឆ្នាំកំណើត និងប្រវត្តិប្រតិបត្តិការជារឿយៗអនុញ្ញាតឱ្យមានការកំណត់អត្តសញ្ញាណឡើងវិញ។ កត់ត្រាពីរបៀបដែលសោត្រូវបានរក្សាទុកដោយឡែកពីគ្នា។ មាត្រា 32 ដាក់ឈ្មោះការប្រើប្រាស់ឈ្មោះក្លែងក្លាយជាវិធានការសុវត្ថិភាព ដែលរាប់បញ្ចូលក្នុងការពេញចិត្តរបស់អ្នក ប្រសិនបើការរំលោភបំពានត្រូវបានវាយតម្លៃ។

តើការអនុវត្តច្បាប់នៅប្រទេសហូឡង់មើលទៅដូចម្ដេច?

យោងតាមមាត្រា 58 GDPR ទីភ្នាក់ងារសារព័ត៌មានអាមេរិកអាចព្រមាន ស្តីបន្ទោស បញ្ជាឱ្យអនុវត្តតាម ហាមឃាត់ដំណើរការ និងផ្អាកការផ្ទេរ ហើយមាត្រា 83 អនុញ្ញាតឱ្យមានការពិន័យ។ សម្រាប់អាជីវកម្មដែលពឹងផ្អែកលើលំហូរទិន្នន័យជាក់លាក់ណាមួយ ការហាមឃាត់ជារឿយៗបង្កគ្រោះថ្នាក់ច្រើនជាងការពិន័យ។

មាត្រា 83 មានពីរកម្រិត ដែលកម្រិតនីមួយៗមានកម្រិតអតិបរមាថេរ ឬភាគរយនៃចំណូលប្រចាំឆ្នាំទូទាំងពិភពលោកក្នុងឆ្នាំហិរញ្ញវត្ថុមុន អាស្រ័យលើកម្រិតណាដែលខ្ពស់ជាង៖

• ថ្នាក់ក្រោម៖ រហូតដល់ 10 លានអឺរ៉ូ ឬ 2% ឧទាហរណ៍ សម្រាប់កិច្ចព្រមព្រៀងដំណើរការ ឬ DPIA ដែលបាត់ (មាត្រា 25 ដល់ 39)។
• ថ្នាក់ខ្ពស់ជាង៖ រហូតដល់ 20 លានអឺរ៉ូ ឬ 4% ចំពោះការរំលោភលើគោលការណ៍ មូលដ្ឋានច្បាប់ សិទ្ធិរបស់ម្ចាស់ទិន្នន័យ និងច្បាប់ផ្ទេរ។

មាត្រា 82 GDPR ផ្តល់សិទ្ធិដល់អ្នកដែលរងការខូចខាតសម្ភារៈ ឬមិនមែនសម្ភារៈដល់ពួកគេ ដើម្បីទទួលបានសំណងពីអ្នកត្រួតពិនិត្យ ឬអ្នកដំណើរការ។ នៅប្រទេសហូឡង់ មូលនិធិកាន់តែច្រើនឡើងៗនាំយកការទាមទារបែបនេះរួមគ្នា ក្រោមច្បាប់ស្តីពីការដោះស្រាយការខូចខាតទ្រង់ទ្រាយធំក្នុងសកម្មភាពសមូហភាព ( Wet afwikkeling massaschade in collectie , WAMCA, មាត្រា 3:305a BW)។

ប្រសិនបើការចែករំលែកខុសច្បាប់នាំឱ្យមានការរំលោភបំពានទិន្នន័យ មាត្រា 33 តម្រូវឱ្យមានការជូនដំណឹងទៅ AP ដោយមិនមានការពន្យារពេលមិនត្រឹមត្រូវ និងប្រសិនបើអាចធ្វើទៅបាន ក្នុងរយៈពេល 72 ម៉ោង លុះត្រាតែការរំលោភបំពាននេះទំនងជាមិនបង្កឱ្យមានហានិភ័យ។ យោងតាមមាត្រា 34 អ្នកក៏ត្រូវតែជូនដំណឹងដល់មនុស្សដែលរងផលប៉ះពាល់ផងដែរ ប្រសិនបើហានិភ័យចំពោះពួកគេខ្ពស់។ កត់ត្រារាល់ការរំលោភបំពានជាលក្ខណៈផ្ទៃក្នុង រួមទាំងការរំលោភបំពានដែលអ្នកមិនបានជូនដំណឹង។

តើអ្នកគួរពិនិត្យមើលអ្វីខ្លះ ខណៈដែលអង្គការកំពុងចែករំលែកទិន្នន័យ?

ក្នុងនាមជាអ្នកត្រួតពិនិត្យ អ្នកទទួលខុសត្រូវចម្បង ហើយត្រូវតែអាចបញ្ជាក់ពីការអនុលោមតាមមាត្រា 5(2) GDPR។ សូមពិនិត្យមើលចំណុចទាំងនេះមុនពេលទិន្នន័យចាកចេញពីអង្គការរបស់អ្នក៖

• មូលដ្ឋានច្បាប់ក្រោមមាត្រា 6 ត្រូវបានកំណត់ ហើយសម្រាប់ផលប្រយោជន៍ស្របច្បាប់ ការធ្វើតេស្តតុល្យភាពត្រូវបានដាក់ក្នុងឯកសារ។
• តួនាទីរបស់អ្នកទទួលត្រូវបានកត់ត្រានៅក្នុងកំណត់ត្រាសកម្មភាពដំណើរការរបស់អ្នកក្រោមមាត្រា 30។
• កិច្ចព្រមព្រៀងដំណើរការក្រោមមាត្រា 28 ឬការរៀបចំក្រោមមាត្រា 26 ត្រូវបានចុះហត្ថលេខា។
• ការផ្ទេរណាមួយនៅខាងក្រៅ EEA អាស្រ័យលើភាពគ្រប់គ្រាន់ ឬ SCCs បូករួមទាំង TIA។
• ការត្រួតពិនិត្យ DPIA ត្រូវបានធ្វើឡើង និងកត់ត្រាទុក។
• ការជូនដំណឹងអំពីភាពឯកជនរបស់អ្នកដាក់ឈ្មោះអ្នកទទួល ឬប្រភេទរបស់វា។

តើអ្នកគួរពិនិត្យមើលអ្វីខ្លះក្នុងនាមជាអ្នកទទួលទិន្នន័យ?

ក្នុងនាមជាអ្នកដំណើរការ ឬអ្នកត្រួតពិនិត្យទទួល អ្នកមានកាតព្វកិច្ចផ្ទាល់ខ្លួន ហើយអាចត្រូវពិន័យដោយផ្ទាល់ក្រោមមាត្រា 83 GDPR។ សូមពិនិត្យមើលចំណុចទាំងនេះ មុនពេលអ្នកទទួលយកទិន្នន័យ៖

• មិនថាអ្នកធ្វើសកម្មភាពតែលើការណែនាំ (ឧបករណ៍ដំណើរការ) ឬប្រើប្រាស់ទិន្នន័យសម្រាប់គោលបំណងផ្ទាល់ខ្លួនរបស់អ្នក (ឧបករណ៍បញ្ជា) នោះទេ។
• ថាតើការណែនាំនៅក្នុងកិច្ចព្រមព្រៀងដំណើរការត្រូវគ្នានឹងអ្វីដែលអ្នកពិតជាធ្វើជាមួយទិន្នន័យឬអត់។
• ថាតើអ្នកដំណើរការរងរបស់អ្នកត្រូវបានអនុញ្ញាតជាលាយលក្ខណ៍អក្សរក្រោមមាត្រា 28(2) ដែរឬទេ។
• ថាតើវិធានការសុវត្ថិភាពរបស់អ្នកបំពេញតាមមាត្រា 32 ហើយអ្នកអាចជូនដំណឹងអំពីការរំលោភបំពានទៅកាន់អ្នកត្រួតពិនិត្យដោយមិនមានការពន្យារពេលមិនត្រឹមត្រូវ (មាត្រា 33(2))។
• ថាតើអ្នករក្សាកំណត់ត្រាដំណើរការផ្ទាល់ខ្លួនរបស់អ្នកក្រោមមាត្រា 30(2) ដែរឬទេ។

តើយើងអាចធ្វើអ្វីបានសម្រាប់អ្នកជាមួយនឹងការចែករំលែកទិន្នន័យ GDPR?

ក្រុម ច្បាប់ IT របស់យើង ដោះស្រាយផ្នែកការពារទិន្នន័យរបស់អ្នកផ្គត់ផ្គង់ ក្រុម និងដៃគូ។ ជាក់ស្តែង៖

• យើងធ្វើផែនទីលំហូរទិន្នន័យរបស់អ្នក ហើយកំណត់សម្រាប់អ្នកទទួលម្នាក់ៗថាតើវាជាឧបករណ៍ដំណើរការ ឧបករណ៍បញ្ជារួម ឬឧបករណ៍បញ្ជាឯករាជ្យ។
• យើងព្រាង ឬពិនិត្យកិច្ចព្រមព្រៀងដំណើរការក្រោមមាត្រា 28 និងការរៀបចំអ្នកត្រួតពិនិត្យរួមក្រោមមាត្រា 26។
• យើងវាយតម្លៃការផ្ទេរនៅខាងក្រៅ EEA ពិនិត្យមើលវិញ្ញាបនបត្រ DPF និងព្រាងការវាយតម្លៃផលប៉ះពាល់នៃការផ្ទេរ។
• យើងអនុវត្ត ឬពិនិត្យឡើងវិញនូវការត្រួតពិនិត្យ DPIA និង DPIA ខ្លួនឯង។
• យើងធ្វើបច្ចុប្បន្នភាពការជូនដំណឹងអំពីភាពឯកជនរបស់អ្នក ដើម្បីឱ្យអ្នកទទួល និងការផ្ទេរប្រាក់ត្រូវបានដាក់ឈ្មោះឱ្យបានត្រឹមត្រូវ។
• យើងជួយអ្នកក្នុងការស៊ើបអង្កេត AP ឬជាមួយនឹងការជូនដំណឹងអំពីការបំពានក្នុងរយៈពេល 72 ម៉ោង។

សេចក្តីសង្ខេប

• រាល់ការចែករំលែកទិន្នន័យផ្ទាល់ខ្លួនត្រូវការមូលដ្ឋានច្បាប់ក្រោមមាត្រា 6 GDPR; ហេតុផលពាណិជ្ជកម្មមិនគ្រប់គ្រាន់ទេ។
• កំណត់សម្រាប់អ្នកទទួលម្នាក់ៗថាតើវាជាអ្នកដំណើរការ អ្នកត្រួតពិនិត្យរួម ឬអ្នកត្រួតពិនិត្យឯករាជ្យ ហើយកត់ត្រាវា។
• កិច្ចព្រមព្រៀងដំណើរការក្រោមមាត្រា 28 គឺជាកាតព្វកិច្ចសម្រាប់អ្នកដំណើរការ។ បើគ្មានកិច្ចព្រមព្រៀងទេ អ្នកនឹងបំពានចាប់ពីថ្ងៃដំបូង។
• ការផ្ទេរប្រាក់នៅខាងក្រៅ EEA ត្រូវការភាពគ្រប់គ្រាន់ (ដូចជាវិញ្ញាបនបត្រ DPF) ឬវិធានការការពារ បូករួមទាំងការវាយតម្លៃផលប៉ះពាល់នៃការផ្ទេរប្រាក់។
• ទិន្នន័យដែលប្រើឈ្មោះក្លែងក្លាយនៅតែជាទិន្នន័យផ្ទាល់ខ្លួនសម្រាប់អ្នកដែលកាន់កូនសោ ហើយការជូនដំណឹងអំពីភាពឯកជនរបស់អ្នកត្រូវតែដាក់ឈ្មោះអ្នកទទួលយ៉ាងច្បាស់លាស់។

សំណួរ​ដែលគេ​ច្រើន​សួរ