ក្របខ័ណ្ឌច្បាប់សម្រាប់សន្តិសុខតាមអ៊ីនធឺណិត និងការការពារទិន្នន័យ
បទប្បញ្ញត្តិការពារទិន្នន័យទូទៅ (GDPR) និងការអនុវត្តរបស់ប្រទេសហូឡង់
ចំពោះ GDPR បម្រើជាបឋម ក្របខ័ណ្ឌការពារទិន្នន័យ នៅទូទាំងសហភាពអឺរ៉ុប រួមទាំងប្រទេសហូឡង់ផងដែរ។ វាបង្កើតច្បាប់ដ៏ទូលំទូលាយសម្រាប់ដំណើរការទិន្នន័យផ្ទាល់ខ្លួន និងទាមទារឱ្យអង្គការនានាអនុវត្តវិធានការបច្ចេកទេស និងអង្គការសមស្រប ដើម្បីការពារព័ត៌មាន។ ប្រទេសហូឡង់បានអនុវត្ត GDPR តាមរយៈ ច្បាប់អនុវត្ត GDPR របស់ហូឡង់ (AVG សម្រាប់ការប្រើប្រាស់ឧបករណ៍អេឡិចត្រូនិក) ដែលសម្របតាមតម្រូវការរបស់សហភាពអឺរ៉ុបទៅនឹងច្បាប់ហូឡង់។ ច្បាប់នេះផ្តល់នូវបទប្បញ្ញត្តិជាក់លាក់សម្រាប់កាលៈទេសៈជាតិ ខណៈពេលដែលរក្សាបាននូវភាពស្របគ្នាជាមួយនឹងស្តង់ដារអឺរ៉ុប។ វាកំណត់អាជ្ញាធរការពារទិន្នន័យហូឡង់ (អាជ្ញាធរសម្រាប់ទិន្នន័យផ្ទាល់ខ្លួន) ក្នុងនាមជាស្ថាប័នត្រួតពិនិត្យដែលទទួលខុសត្រូវចំពោះការអនុវត្ត។ ក្រោម GDPR អ្នកត្រូវតែរាយការណ៍ រំលោភទិន្នន័យ ទៅកាន់អាជ្ញាធរត្រួតពិនិត្យក្នុងរយៈពេល 72 ម៉ោងបន្ទាប់ពីបានដឹងអំពីពួកគេ។ នៅពេលដែលការរំលោភបំពានបង្កហានិភ័យខ្ពស់ដល់សិទ្ធិ និងសេរីភាពរបស់បុគ្គល អ្នកក៏ត្រូវតែជូនដំណឹងដល់បុគ្គលដែលរងផលប៉ះពាល់ដោយមិនមានការពន្យារពេលដែលមិនចាំបាច់។ តម្រូវការជូនដំណឹងទាំងនេះបង្កើតជាមូលដ្ឋាននៃការទទួលខុសត្រូវលើការរំលោភបំពាននៅក្នុងប្រទេសហូឡង់។ Verzamelwet Gegevensbescherming (ច្បាប់ការពារទិន្នន័យសមូហភាព) កែលម្អបន្ថែមទៀតនូវច្បាប់ផ្សេងៗរបស់ប្រទេសហូឡង់ ដើម្បីឱ្យស្របនឹងស្តង់ដារ GDPR។ នេះធានានូវភាពស៊ីសង្វាក់គ្នានៅទូទាំងវិស័យច្បាប់ផ្សេងៗគ្នា។ច្បាប់សន្តិសុខតាមអ៊ីនធឺណិត និងសេចក្តីណែនាំ NIS2
ចំពោះ សេចក្តីណែនាំ NIS2 ពង្រីកតម្រូវការសន្តិសុខតាមអ៊ីនធឺណិតយ៉ាងសំខាន់សម្រាប់អង្គភាពសំខាន់ៗ និងសំខាន់ៗនៅទូទាំងសហភាពអឺរ៉ុប។ ប្រទេសហូឡង់បានផ្លាស់ប្តូរវានៅក្នុង អ៊ីនធឺណិត (ច្បាប់សន្តិសុខតាមអ៊ីនធឺណិតរបស់ហូឡង់) ដែលបានចូលជាធរមាននៅថ្ងៃទី 15 ខែសីហា ឆ្នាំ 2026 រួមជាមួយនឹងច្បាប់ស្តីពីភាពធន់នៃអង្គភាពសំខាន់ៗ (សើម weerbaarheid kritieke entiteiten)។ មិនមានរយៈពេលអនុគ្រោះទេ៖ កាតព្វកិច្ចត្រូវអនុវត្តចាប់ពីថ្ងៃនោះ។ កាតព្វកិច្ចបីយ៉ាងសំខាន់បំផុត។ អ្នកត្រូវតែចុះឈ្មោះអង្គការរបស់អ្នកនៅក្នុងបញ្ជីអង្គភាពជាតិដែលរក្សាទុកដោយ មជ្ឈមណ្ឌលជាតិសន្តិសុខអ៊ិនធើណែត។អ្នកត្រូវតែចាត់វិធានការបច្ចេកទេស និងការរៀបចំសមស្រប ដើម្បីគ្រប់គ្រងហានិភ័យចំពោះបណ្តាញ និងប្រព័ន្ធព័ត៌មានរបស់អ្នក ដែលជាកាតព្វកិច្ចថែទាំដែលច្បាប់បានចែងជាជាងទុកឲ្យទីផ្សារ។ ហើយអ្នកត្រូវតែរាយការណ៍ពីឧប្បត្តិហេតុសំខាន់មួយក្នុងរយៈពេល 24 ម៉ោងបន្ទាប់ពីបានដឹងអំពីវា បន្ទាប់មកដោយការជូនដំណឹងពេញលេញជាងក្នុងរយៈពេល 72 ម៉ោង និងរបាយការណ៍ចុងក្រោយបន្ទាប់ពីនោះ។ អង្គការប្រហែលប្រាំបីពាន់នៅក្នុងប្រទេសហូឡង់ស្ថិតនៅក្នុងវិសាលភាពជាអង្គភាពសំខាន់ ឬសំខាន់ ដែលភាគច្រើននៅក្រៅរបបមុនទាំងស្រុង។ ថាតើអ្នកស្ថិតនៅក្នុងវិសាលភាពឬអត់ មិនមែនជាការវិនិច្ឆ័យដែលអ្នកធ្វើតាមការចាប់អារម្មណ៍នោះទេ។ វាធ្វើតាមពីវិស័យ និងលក្ខណៈវិនិច្ឆ័យទំហំនៅក្នុងច្បាប់ ហើយអ្នកផ្គត់ផ្គង់ដែលស្ថិតនៅក្រៅវិសាលភាពខ្លួនឯងនៅតែអាចត្រូវបានទាញចូលតាមកិច្ចសន្យាដោយអតិថិជនដែលមិនមាន។ ច្បាប់សន្តិសុខតាមអ៊ីនធឺណិតបានជំនួសច្បាប់សន្តិសុខបណ្តាញ និងប្រព័ន្ធព័ត៌មាន (Wet beveiliging netwerk- en infoatiesystemen, Wbni) ដូច្នេះឯកសារយោងទៅ Wbni នៅក្នុងកិច្ចសន្យា គោលនយោបាយ និងរបាយការណ៍សវនកម្មចាស់ៗឥឡូវនេះចង្អុលបង្ហាញពីរបបមួយដែលលែងមានទៀតហើយ។ សូមពិនិត្យមើលពួកវា។ ការត្រួតពិនិត្យត្រូវបានចែកចាយតាមវិស័យជាជាងប្រមូលផ្តុំនៅក្នុងនិយតករតែមួយ។ អាជ្ញាធរហូឡង់សម្រាប់ហេដ្ឋារចនាសម្ព័ន្ធឌីជីថល (Rijksinspectie Digitale Infrastructuur, RDI) ត្រួតពិនិត្យហេដ្ឋារចនាសម្ព័ន្ធឌីជីថល ការគ្រប់គ្រងសេវាកម្ម ICT អ្នកផ្តល់សេវាឌីជីថល និងវិស័យរដ្ឋាភិបាល ខណៈដែលវិស័យផ្សេងទៀតមានអ្នកត្រួតពិនិត្យដែលបានកំណត់ផ្ទាល់ខ្លួន។ កំណត់អត្តសញ្ញាណរបស់អ្នកមុនពេលមានឧប្បត្តិហេតុ មិនមែនក្នុងអំឡុងពេលមានឧប្បត្តិហេតុនោះទេ។ច្បាប់ និងការណែនាំពាក់ព័ន្ធផ្សេងទៀត
ចំពោះ សេចក្តីណែនាំស្តីពីភាពឯកជនតាមប្រព័ន្ធអេឡិចត្រូនិករបស់សហភាពអឺរ៉ុប បំពេញបន្ថែម GDPR ដោយដោះស្រាយភាពឯកជននៃការទំនាក់ទំនងតាមអេឡិចត្រូនិក។ វាតម្រូវឱ្យមានការយល់ព្រមសម្រាប់ខូគី និងបច្ចេកវិទ្យាស្រដៀងគ្នា និងការពារការសម្ងាត់នៃទិន្នន័យទំនាក់ទំនង។ ច្បាប់ទូរគមនាគមន៍ (ទូរគមនាគមន៍) ដាក់កាតព្វកិច្ចសន្តិសុខជាក់លាក់លើអ្នកផ្តល់សេវាទូរគមនាគមន៍ រួមទាំងតម្រូវការដើម្បីការពារសុចរិតភាពបណ្តាញ និងទិន្នន័យអ្នកប្រើប្រាស់។ ច្បាប់នេះដំណើរការរួមគ្នាជាមួយច្បាប់ការពារទិន្នន័យ ដើម្បីធានាការការពារដ៏ទូលំទូលាយនៅក្នុងវិស័យទូរគមនាគមន៍។ ច្បាប់ស្តីពីភាពធន់នៃអង្គភាពសំខាន់ៗ (សើម weerbaarheid kritieke entiteiten) ដែលអនុវត្តសេចក្តីណែនាំ (EU) 2022/2557 ហើយចូលជាធរមាននៅថ្ងៃតែមួយជាមួយច្បាប់សន្តិសុខតាមអ៊ីនធឺណិត ដោះស្រាយភាពធន់ខាងរូបវន្តជាជាងសន្តិសុខឌីជីថល។ វាតម្រូវឱ្យអង្គភាពដែលត្រូវបានចាត់តាំងថាមានសារៈសំខាន់អនុវត្តការវាយតម្លៃហានិភ័យ ចាត់វិធានការធន់ និងរាយការណ៍ពីឧប្បត្តិហេតុរំខាន។ អង្គការមួយអាចត្រូវបានចាប់បានដោយច្បាប់ទាំងពីរក្នុងពេលតែមួយ ហើយកាតព្វកិច្ចទាំងពីរសំណុំមិនបញ្ចូលគ្នាទេ។ ក្របខ័ណ្ឌទាំងនេះបង្កើតកាតព្វកិច្ចត្រួតស៊ីគ្នា។ អ្នកត្រូវតែរុករកពួកវានៅពេលប្រតិបត្តិការឆ្លងកាត់វិស័យច្រើន ឬដោះស្រាយប្រភេទទិន្នន័យផ្សេងៗ។បទប្បញ្ញត្តិតាមវិស័យជាក់លាក់
ចំពោះ ច្បាប់ត្រួតពិនិត្យហិរញ្ញវត្ថុ (សើម op het financieel toezicht) បង្កើតតម្រូវការការពារទិន្នន័យ និងសន្តិសុខតាមអ៊ីនធឺណិតយ៉ាងតឹងរ៉ឹងសម្រាប់ស្ថាប័នហិរញ្ញវត្ថុ។ អ្នកត្រូវតែអនុវត្តការគ្រប់គ្រងសុវត្ថិភាពដ៏រឹងមាំ នីតិវិធីឆ្លើយតបនឹងឧប្បត្តិហេតុ និងពិធីការធ្វើតេស្តជាប្រចាំ នៅពេលធ្វើប្រតិបត្តិការក្នុងវិស័យហិរញ្ញវត្ថុ។ អង្គការអនុវត្តច្បាប់ប្រឈមមុខនឹងតម្រូវការឯកទេសក្រោម ច្បាប់ទិន្នន័យប៉ូលីស (ប៉ូលីសសើម) និង Wet justitiële en strafvorderlijke gegevens (ច្បាប់ទិន្នន័យតុលាការ និងនីតិវិធីព្រហ្មទណ្ឌ)។ ច្បាប់ទាំងនេះគ្រប់គ្រងពីរបៀបដែលប៉ូលីស និងអាជ្ញាធរតុលាការប្រមូល ដំណើរការ និងការពារទិន្នន័យផ្ទាល់ខ្លួនក្នុងអំឡុងពេលស៊ើបអង្កេត និងដំណើរការព្រហ្មទណ្ឌ។ អ្នកផ្តល់សេវាថែទាំសុខភាពត្រូវតែអនុវត្តតាមការការពារភាពឯកជនបន្ថែមលើសពីតម្រូវការស្តង់ដារ GDPR។ នេះឆ្លុះបញ្ចាំងពីលក្ខណៈរសើបនៃព័ត៌មានវេជ្ជសាស្ត្រ។ វិស័យថាមពល ដឹកជញ្ជូន និងទឹកប្រឈមមុខនឹងកាតព្វកិច្ចជាក់លាក់ក្រោមការអនុវត្ត NIS2 ជាមួយនឹងវិធានការសន្តិសុខដែលត្រូវបានរៀបចំឡើងស្របតាមហានិភ័យប្រតិបត្តិការរបស់ពួកគេ។ បទប្បញ្ញត្តិជាក់លាក់នៃវិស័យនីមួយៗដាក់បន្ទុកអនុលោមភាពតែមួយគត់។ វាមានសារៈសំខាន់ណាស់ក្នុងការកំណត់ថាតើច្បាប់ណាដែលអនុវត្តចំពោះសកម្មភាពជាក់លាក់ និងប្រតិបត្តិការដំណើរការទិន្នន័យរបស់អង្គការរបស់អ្នក។ការកំណត់ការទទួលខុសត្រូវបន្ទាប់ពីការបំពានទិន្នន័យ
ការកំណត់ការទទួលខុសត្រូវ៖ អ្នកត្រួតពិនិត្យ អ្នកដំណើរការ និងភាគីទីបី
ការទទួលខុសត្រូវរបស់អ្នកបន្ទាប់ពី ការបំពានទិន្នន័យផ្ទាល់ខ្លួន អាស្រ័យលើថាតើអ្នកដើរតួជា ឧបករណ៍បញ្ជាទិន្នន័យ ឬអ្នកដំណើរការ។ អ្នកត្រួតពិនិត្យសម្រេចចិត្តពីរបៀប និងមូលហេតុដែលទិន្នន័យផ្ទាល់ខ្លួនត្រូវបានដំណើរការ ដែលធ្វើឱ្យពួកគេទទួលខុសត្រូវជាចម្បងចំពោះឧប្បត្តិហេតុសុវត្ថិភាព។ អ្នកដំណើរការដោះស្រាយទិន្នន័យក្នុងនាមអ្នកត្រួតពិនិត្យ និងប្រឈមមុខនឹងការទទួលខុសត្រូវ ប្រសិនបើពួកគេលើសពីការណែនាំ ឬបរាជ័យក្នុងការអនុវត្តវិធានការសុវត្ថិភាពគ្រប់គ្រាន់។ ភាគីទីបីដូចជាអ្នកផ្តល់សេវាឌីជីថលមានការទទួលខុសត្រូវដាច់ដោយឡែក។ ប្រសិនបើអ្នកប្រើប្រាស់អ្នកផ្គត់ផ្គង់ខាងក្រៅ អ្នកនៅតែទទួលខុសត្រូវចំពោះសកម្មភាពរបស់ពួកគេ នៅពេលដែលពួកគេដំណើរការទិន្នន័យក្នុងនាមអ្នក។ កិច្ចសន្យារបស់អ្នកត្រូវតែបញ្ជាក់ពីកាតព្វកិច្ចសុវត្ថិភាព និងនីតិវិធីដោះស្រាយឧប្បត្តិហេតុ។ នៅពេលដែលភាគីច្រើនចូលរួម ការទទួលខុសត្រូវអាចត្រូវបានចែករំលែក។ ប្រសិនបើទាំងអ្នក និងអ្នកដំណើរការរបស់អ្នកបរាជ័យក្នុងការអនុវត្តវិធានការបច្ចេកទេស និងអង្គការ អ្នកទាំងពីរអាចប្រឈមមុខនឹងការពិន័យពី Autoriteit Persoonsgegevens។ អាជ្ញាធរត្រួតពិនិត្យពិនិត្យមើលតួនាទីរបស់ភាគីនីមួយៗនៅក្នុងការរំលោភបំពានដើម្បីចាត់តាំងការទទួលខុសត្រូវ។អាជ្ញាធរត្រួតពិនិត្យ និងតួនាទីនិយតកម្ម
Autoriteit Persoonsgegevens បម្រើការជាអាជ្ញាធរការពារទិន្នន័យហូឡង់ដែលទទួលខុសត្រូវក្នុងការអនុវត្តការអនុលោមតាម GDPR។ អ្នកត្រូវតែរាយការណ៍ពីការរំលោភទិន្នន័យផ្ទាល់ខ្លួនទៅកាន់អាជ្ញាធរត្រួតពិនិត្យនេះក្នុងរយៈពេល 72 ម៉ោងបន្ទាប់ពីបានដឹងអំពីឧប្បត្តិហេតុនេះ។ ការខកខានមិនបានបំពេញតាមកាលកំណត់រាយការណ៍ឧប្បត្តិហេតុបង្កើនការទទួលខុសត្រូវរបស់អ្នក។ មជ្ឈមណ្ឌលសន្តិសុខតាមអ៊ីនធឺណិតជាតិ (NCSC) ដោះស្រាយវិវាទទូលំទូលាយជាងនេះ ការគំរាមកំហែងតាមអ៊ីនធឺណិត ប៉ះពាល់ដល់ប្រតិបត្តិករនៃសេវាកម្មសំខាន់ៗ។ ប្រសិនបើអ្នកផ្តល់ហេដ្ឋារចនាសម្ព័ន្ធសំខាន់ៗ ឬសេវាកម្មឌីជីថល អ្នកក៏ត្រូវតែរាយការណ៍ពីឧប្បត្តិហេតុសន្តិសុខសំខាន់ៗទៅ NCSC ផងដែរ។ របាយការណ៍ទាំងនេះជួយសម្របសម្រួលការឆ្លើយតបជាតិចំពោះការគំរាមកំហែងតាមអ៊ីនធឺណិត។ អាជ្ញាធរទាំងពីរធ្វើការស៊ើបអង្កេតបន្ទាប់ពីឧប្បត្តិហេតុសន្តិសុខ។ Autoriteit Persoonsgegevens អាចចេញការពិន័យរហូតដល់ 20 លានអឺរ៉ូ ឬ 4% នៃចំណូលសកលប្រចាំឆ្នាំរបស់អ្នក អាស្រ័យលើចំនួនណាដែលខ្ពស់ជាង។ ពួកគេពិចារណាលើកត្តាដូចជាលក្ខណៈនៃការរំលោភបំពាន ចំនួនបុគ្គលដែលរងផលប៉ះពាល់ និងវិធានការឆ្លើយតបរបស់អ្នក។ គោលការណ៍ណែនាំ ENISA មានឥទ្ធិពលលើរបៀបដែលអាជ្ញាធរហូឡង់វាយតម្លៃការអនុលោមរបស់អ្នកជាមួយនឹងតម្រូវការសន្តិសុខតាមអ៊ីនធឺណិត។វិធានការរៀបចំ និងបច្ចេកទេស
ការអនុវត្តវិធានការបច្ចេកទេស និងអង្គការរបស់អ្នកប៉ះពាល់ដោយផ្ទាល់ទៅលើការកំណត់ការទទួលខុសត្រូវ។ វិធានការទាំងនេះរួមមាន ការអ៊ិនគ្រីប ការគ្រប់គ្រងការចូលប្រើ ការធ្វើតេស្តសុវត្ថិភាពជាប្រចាំ និងការបណ្តុះបណ្តាលបុគ្គលិក។ តុលាការ និងអាជ្ញាធរត្រួតពិនិត្យវាយតម្លៃថាតើសុវត្ថិភាពរបស់អ្នកសមស្របសម្រាប់ហានិភ័យដែលពាក់ព័ន្ធឬអត់។ អ្នកត្រូវតែកត់ត្រាវិធានការសុវត្ថិភាពរបស់អ្នក និងបង្ហាញពីផែនការបន្តអាជីវកម្ម។ ប្រសិនបើអ្នកមិនអាចបញ្ជាក់ពីការប្រុងប្រយ័ត្នគ្រប់គ្រាន់ទេ ការទទួលខុសត្រូវកើនឡើងយ៉ាងខ្លាំង។ ការវាយតម្លៃហានិភ័យជាប្រចាំជួយអ្នកកំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះមុនពេលមានការរំលោភបំពានកើតឡើង។ នីតិវិធីដោះស្រាយឧប្បត្តិហេតុគឺមានសារៈសំខាន់ណាស់។ អ្នកត្រូវការពិធីការច្បាស់លាស់សម្រាប់ការរកឃើញ ការស៊ើបអង្កេត និងការឆ្លើយតបទៅនឹងការរំលោភបំពានទិន្នន័យផ្ទាល់ខ្លួន។ ពេលវេលាឆ្លើយតប និងប្រសិទ្ធភាពរបស់អ្នកក្នុងការទប់ស្កាត់ឧប្បត្តិហេតុសុវត្ថិភាពមានឥទ្ធិពលលើការសម្រេចចិត្តពិន័យ។ Autoriteit Persoonsgegevens រំពឹងថាអ្នកនឹងរក្សាភស្តុតាងនៃក្របខ័ណ្ឌសុវត្ថិភាពរបស់អ្នក។ បើគ្មានឯកសារត្រឹមត្រូវទេ ការបញ្ជាក់ពីការថែទាំសមហេតុផលក្លាយជាការលំបាកក្នុងអំឡុងពេលស៊ើបអង្កេត។ខ្សែសង្វាក់ផ្គត់ផ្គង់ និងអ្នកផ្តល់សេវាកម្ម
សុវត្ថិភាពខ្សែសង្វាក់ផ្គត់ផ្គង់បង្កើតបញ្ហាការទទួលខុសត្រូវស្មុគស្មាញ។ នៅពេលដែលអ្នកផ្តល់សេវារបស់អ្នកជួបប្រទះការរំលោភបំពានដែលប៉ះពាល់ដល់ទិន្នន័យរបស់អ្នក អ្នកអាចនៅតែប្រឈមមុខនឹងផលវិបាក។ អ្នកត្រូវតែធ្វើការប្រុងប្រយ័ត្នលើអ្នកផ្គត់ផ្គង់ និងតាមដានការអនុវត្តសុវត្ថិភាពរបស់ពួកគេជាបន្តបន្ទាប់។ ប្រតិបត្តិករនៃសេវាកម្មសំខាន់ៗប្រឈមមុខនឹងតម្រូវការតឹងរ៉ឹងជាងសម្រាប់ការគ្រប់គ្រងអ្នកលក់។ អ្នកត្រូវតែធានាថាអ្នកផ្តល់សេវាឌីជីថលនៅក្នុងខ្សែសង្វាក់ផ្គត់ផ្គង់របស់អ្នករក្សាស្តង់ដារដែលត្រូវនឹងកាតព្វកិច្ចផ្ទាល់ខ្លួនរបស់អ្នក។ កិច្ចព្រមព្រៀងកិច្ចសន្យាគួរតែកំណត់យ៉ាងច្បាស់នូវកាតព្វកិច្ចរាយការណ៍ឧប្បត្តិហេតុ និងការបែងចែកការទទួលខុសត្រូវ។ ប្រសិនបើការរំលោភបំពានមានប្រភពមកពីខ្សែសង្វាក់ផ្គត់ផ្គង់របស់អ្នក Autoriteit Persoonsgegevens នឹងពិនិត្យមើលថាតើអ្នកបានអនុវត្តការវាយតម្លៃអ្នកលក់គ្រប់គ្រាន់ឬអត់។ ការទទួលខុសត្រូវរបស់អ្នកអាស្រ័យលើថាតើអ្នកបានចាត់វិធានការសមហេតុផលដើម្បីផ្ទៀងផ្ទាត់សុវត្ថិភាពរបស់អ្នកផ្គត់ផ្គង់ឬអត់។ អ្នកមិនអាចផ្ទេរការទទួលខុសត្រូវទាំងស្រុងបានទេ សូម្បីតែពេលប្រើប្រាស់អ្នកដំណើរការភាគីទីបីក៏ដោយ។ ខ្សែសង្វាក់ផ្គត់ផ្គង់ច្រើនជាន់តម្រូវឱ្យមានការប្រុងប្រយ័ត្នបន្ថែម។ អ្នកត្រូវការភាពមើលឃើញចំពោះអ្នកដំណើរការរង និងវិធានការសុវត្ថិភាពរបស់ពួកគេ ដើម្បីការពារប្រឆាំងនឹងការបរាជ័យជាបន្តបន្ទាប់ដែលធ្វើឱ្យខូចទិន្នន័យផ្ទាល់ខ្លួននៅទូទាំងអង្គការជាច្រើន។កាតព្វកិច្ចជូនដំណឹងអំពីការបំពានទិន្នន័យ
ប្រទេសហូឡង់អនុវត្តក្របខ័ណ្ឌជូនដំណឹងច្រើនស្រទាប់ក្រោមច្បាប់ GDPR និងច្បាប់សន្តិសុខតាមអ៊ីនធឺណិតជាតិ។ អ្នកត្រួតពិនិត្យត្រូវតែ រាយការណ៍ពីការរំលោភបំពាន ទៅកាន់អាជ្ញាធរការពារទិន្នន័យហូឡង់ (AP) ក្នុងរយៈពេល 72 ម៉ោង នៅពេលដែលមានហានិភ័យក្នុងការ សិទ្ធិរបស់ម្ចាស់ទិន្នន័យ.ការបំពានដែលមានហានិភ័យខ្ពស់ តម្រូវឱ្យមានការជូនដំណឹងដោយផ្ទាល់ដល់បុគ្គលដែលរងផលប៉ះពាល់។ពេលវេលា និងតម្រូវការនីតិវិធី
អ្នកត្រូវតែជូនដំណឹងដល់ AP ដោយមិនមានការពន្យារពេលដែលមិនចាំបាច់ ហើយប្រសិនបើអាចធ្វើទៅបាន មិនឱ្យលើសពី 72 ម៉ោងបន្ទាប់ពីបានដឹងអំពីការរំលោភបំពានទិន្នន័យផ្ទាល់ខ្លួន។ កាតព្វកិច្ចនេះត្រូវអនុវត្ត លុះត្រាតែការរំលោភបំពាននេះទំនងជាមិនបង្កហានិភ័យដល់សិទ្ធិ និងសេរីភាពរបស់បុគ្គលធម្មជាតិ។ ការជូនដំណឹងត្រូវតែរួមបញ្ចូលព័ត៌មានជាក់លាក់ដែលអាចធ្វើទៅបាន។ អ្នកត្រូវផ្តល់ប្រភេទ និងចំនួនប្រហាក់ប្រហែលនៃប្រធានបទទិន្នន័យដែលពាក់ព័ន្ធ ប្រភេទ និងចំនួនប្រហាក់ប្រហែលនៃកំណត់ត្រាទិន្នន័យផ្ទាល់ខ្លួនដែលរងផលប៉ះពាល់ និងឈ្មោះមន្ត្រីការពារទិន្នន័យរបស់អ្នក ឬចំណុចទំនាក់ទំនងផ្សេងទៀត។ អ្នកក៏ត្រូវតែពិពណ៌នាអំពីផលវិបាកដែលអាចកើតមាននៃការរំលោភបំពាន និងវិធានការដែលបានធ្វើឡើង ឬស្នើឡើងដើម្បីដោះស្រាយវា។ ប្រសិនបើអ្នកមិនអាចផ្តល់ព័ត៌មានដែលត្រូវការទាំងអស់ក្នុងរយៈពេល 72 ម៉ោងទេ អ្នកអាចដាក់ស្នើវាជាដំណាក់កាល។ អ្នកត្រូវតែពន្យល់ពីមូលហេតុនៃការពន្យារពេលណាមួយនៅក្នុងការជូនដំណឹងដំបូងរបស់អ្នក។អ្នកណាត្រូវជូនដំណឹង និងពេលណា
អ្នកត្រូវតែជូនដំណឹងដល់ម្ចាស់ទិន្នន័យដែលរងផលប៉ះពាល់ដោយផ្ទាល់ នៅពេលដែលការរំលោភបំពានទិន្នន័យផ្ទាល់ខ្លួនទំនងជាបណ្តាលឱ្យមានហានិភ័យខ្ពស់ដល់សិទ្ធិ និងសេរីភាពរបស់ពួកគេ។ ការជូនដំណឹងនេះត្រូវតែកើតឡើងដោយគ្មានការពន្យារពេលដែលមិនចាំបាច់ ហើយត្រូវប្រើភាសាច្បាស់លាស់ និងសាមញ្ញ។ ការជូនដំណឹងដោយផ្ទាល់ទៅកាន់ម្ចាស់ទិន្នន័យមិនត្រូវបានទាមទារនៅក្នុងកាលៈទេសៈជាក់លាក់ចំនួនបីនោះទេ។ អ្នកមិនចាំបាច់ជូនដំណឹងទេ ប្រសិនបើអ្នកបានអនុវត្តវិធានការការពារបច្ចេកទេស និងអង្គការសមស្រប (ដូចជាការអ៊ិនគ្រីប) ដែលធ្វើឱ្យទិន្នន័យមិនអាចយល់បានចំពោះមនុស្សដែលគ្មានការអនុញ្ញាត។ អ្នកក៏មិនចាំបាច់ជូនដំណឹងដែរ ប្រសិនបើអ្នកបានចាត់វិធានការជាបន្តបន្ទាប់ ដើម្បីធានាថាហានិភ័យខ្ពស់ចំពោះសិទ្ធិម្ចាស់ទិន្នន័យទំនងជាលែងកើតឡើង ឬប្រសិនបើការទំនាក់ទំនងដោយផ្ទាល់នឹងពាក់ព័ន្ធនឹងការខិតខំប្រឹងប្រែងមិនសមាមាត្រ។ ក្នុងករណីបែបនេះ ការទំនាក់ទំនងសាធារណៈ ឬវិធានការស្រដៀងគ្នានេះត្រូវបានទាមទារជំនួសវិញ។ មិនមានការលើកលែងតាមវិស័យពីកាតព្វកិច្ចក្នុងការជូនដំណឹងដល់ម្ចាស់ទិន្នន័យទេ។ ការលើកលែងដែលធ្លាប់មានសម្រាប់ការអនុវត្តហិរញ្ញវត្ថុក្រោមច្បាប់ការពារទិន្នន័យផ្ទាល់ខ្លួនចាស់មិនបានរួចផុតពី GDPR ទេ។ អ្នកដំណើរការមានកាតព្វកិច្ចជាក់លាក់។ អ្នកត្រូវតែជូនដំណឹងដល់អ្នកគ្រប់គ្រងដោយគ្មានការពន្យារពេលដែលមិនចាំបាច់ បន្ទាប់ពីបានដឹងអំពីការរំលោភទិន្នន័យផ្ទាល់ខ្លួនណាមួយ ដោយមិនគិតពីកម្រិតហានិភ័យ។ នេះគឺជាតម្រូវការច្បាប់ក្រោម GDPR ហើយគួរតែត្រូវបានរួមបញ្ចូលនៅក្នុងកិច្ចព្រមព្រៀងដំណើរការរបស់អ្នក។តម្រូវការជូនដំណឹងតាមវិស័យ និងជាតិ
ក្រៅពីកាតព្វកិច្ច GDPR អ្នកអាចប្រឈមមុខនឹងតម្រូវការរាយការណ៍បន្ថែមអាស្រ័យលើវិស័យរបស់អ្នក។ ច្បាប់សន្តិសុខតាមអ៊ីនធឺណិតតម្រូវឱ្យអង្គភាពសំខាន់ៗ និងសំខាន់ៗរាយការណ៍ពីឧប្បត្តិហេតុសំខាន់មួយទៅកាន់អ្នកគ្រប់គ្រងវិស័យរបស់ពួកគេ និង CSIRT ក្នុងរយៈពេល 24 ម៉ោង ជាមួយនឹងការជូនដំណឹងពេញលេញជាងនេះក្នុងរយៈពេល 72 ម៉ោង ទោះបីជាមិនមានទិន្នន័យផ្ទាល់ខ្លួនពាក់ព័ន្ធក៏ដោយ។ អ្នកផ្តល់សេវាបណ្តាញទំនាក់ទំនងអេឡិចត្រូនិកសាធារណៈរាយការណ៍ទៅអាជ្ញាធរហូឡង់សម្រាប់ហេដ្ឋារចនាសម្ព័ន្ធឌីជីថល (RDI) ដែលត្រួតពិនិត្យវិស័យហេដ្ឋារចនាសម្ព័ន្ធឌីជីថល។ អង្គការថែទាំសុខភាពប្រឈមមុខនឹងកាតព្វកិច្ចក្នុងការជូនដំណឹងដល់អធិការកិច្ចសុខភាព និងថែទាំយុវជនទាក់ទងនឹងឧប្បត្តិហេតុដែលប៉ះពាល់ដល់សុវត្ថិភាពឧបករណ៍វេជ្ជសាស្ត្រ ឬទិន្នន័យអ្នកជំងឺ។ ក្រុមហ៊ុនសេវាកម្មហិរញ្ញវត្ថុត្រូវតែគោរពតាមតម្រូវការជាក់លាក់តាមវិស័យក្រោមច្បាប់ត្រួតពិនិត្យហិរញ្ញវត្ថុ។ អង្គភាពដែលត្រូវបានកំណត់ថាជាសំខាន់ក៏មានកាតព្វកិច្ចក្រោមច្បាប់ភាពធន់នៃអង្គភាពសំខាន់ៗផងដែរ។ អ្នកត្រូវតែរាយការណ៍ពីឧប្បត្តិហេតុសំខាន់ៗទៅកាន់ក្រុមឆ្លើយតបឧប្បត្តិហេតុសន្តិសុខកុំព្យូទ័រ (CSIRT) ដែលអាចរំខានដល់សេវាកម្មសំខាន់ៗយ៉ាងខ្លាំង។ ក្រុមហ៊ុនសាធារណៈអាចត្រូវជូនដំណឹងដល់ឧប្បត្តិហេតុសន្តិសុខដែលអាចប៉ះពាល់យ៉ាងធ្ងន់ធ្ងរដល់ការសម្រេចចិត្តរបស់វិនិយោគិន។ តម្រូវការវិស័យទាំងនេះច្រើនតែដំណើរការរួមគ្នាជាមួយកាតព្វកិច្ច GDPR ជាជាងការជំនួសពួកគេ។ អ្នកប្រហែលជាត្រូវធ្វើការជូនដំណឹងច្រើនទៅកាន់អាជ្ញាធរផ្សេងៗគ្នាសម្រាប់ឧប្បត្តិហេតុតែមួយ អាស្រ័យលើសកម្មភាពរបស់អង្គការរបស់អ្នក និងលក្ខណៈនៃការរំលោភបំពាន។ការអនុវត្ត និងការដាក់ទណ្ឌកម្ម
អាជ្ញាធរហូឡង់មានអំណាចច្បាស់លាស់ក្នុងការស៊ើបអង្កេតការបរាជ័យនៃសន្តិសុខតាមអ៊ីនធឺណិត និងដាក់ទណ្ឌកម្មផ្នែកហិរញ្ញវត្ថុយ៉ាងច្រើនលើអង្គការដែលបរាជ័យក្នុងការការពារទិន្នន័យផ្ទាល់ខ្លួន ឬបំពេញតាមតម្រូវការសន្តិសុខ។ ក្របខ័ណ្ឌអនុវត្តច្បាប់ពាក់ព័ន្ធនឹងនិយតករច្រើនដែលមានការទទួលខុសត្រូវត្រួតពិនិត្យជាក់លាក់ គម្រោងពិន័យដែលមានរចនាសម្ព័ន្ធ និងនីតិវិធីប្តឹងឧទ្ធរណ៍ដែលបានកំណត់សម្រាប់អង្គការដែលប្រឈមមុខនឹងទណ្ឌកម្ម។អំណាចស៊ើបអង្កេត និងត្រួតពិនិត្យ
អាជ្ញាធរការពារទិន្នន័យហូឡង់ (Autoriteit Persoonsgegevens ឬ AP) ទទួលខុសត្រូវចម្បងក្នុងការស៊ើបអង្កេតការរំលោភទិន្នន័យ និងការរំលោភ GDPR។ AP អាចចាប់ផ្តើមការស៊ើបអង្កេតដោយផ្អែកលើពាក្យបណ្តឹង របាយការណ៍ប្រព័ន្ធផ្សព្វផ្សាយ ឬការធ្វើសវនកម្មជាប្រចាំ។ ក្នុងអំឡុងពេលនៃការស៊ើបអង្កេត អាជ្ញាធរអាចស្នើសុំឯកសារ ធ្វើការត្រួតពិនិត្យនៅនឹងកន្លែង និងសម្ភាសន៍បុគ្គលិក។ ចំពោះកាតព្វកិច្ចសន្តិសុខតាមអ៊ីនធឺណិតក្រោម Cyberbeveiligingswet ថ្មី និយតករជាក់លាក់តាមវិស័យធ្វើការត្រួតពិនិត្យ។ អាជ្ញាធរហេដ្ឋារចនាសម្ព័ន្ធឌីជីថលហូឡង់ (RDI) ត្រួតពិនិត្យហេដ្ឋារចនាសម្ព័ន្ធឌីជីថល ការគ្រប់គ្រងសេវាកម្ម ICT អ្នកផ្តល់សេវាឌីជីថល និងវិស័យរដ្ឋាភិបាល។ ធនាគារកណ្តាលហូឡង់ (DNB) ត្រួតពិនិត្យស្ថាប័នហិរញ្ញវត្ថុ។ វិស័យផ្សេងទៀតមានអ្នកត្រួតពិនិត្យដែលបានកំណត់ផ្ទាល់ខ្លួន ដោយអំណាចអនុវត្តស្ថិតនៅលើរដ្ឋមន្ត្រីដែលទទួលខុសត្រូវ ឬអធិការកិច្ចដែលធ្វើសកម្មភាពក្នុងនាមរដ្ឋមន្ត្រី។ និយតករទាំងនេះអាចធ្វើសវនកម្មប្រព័ន្ធរបស់អ្នក ពិនិត្យមើលនីតិវិធីឆ្លើយតបឧប្បត្តិហេតុ និងវាយតម្លៃថាតើការគ្រប់គ្រងហានិភ័យរបស់អ្នកបំពេញតាមស្តង់ដារច្បាប់ឬអត់។ ពួកគេក៏អាចទាមទារថ្លៃដើមអនុវត្តពីអង្គការរបស់អ្នកប្រសិនបើរកឃើញការរំលោភបំពាន។ មជ្ឈមណ្ឌលសន្តិសុខតាមអ៊ីនធឺណិតជាតិ (NCSC) សម្របសម្រួលរវាងនិយតករ ប៉ុន្តែមិនដាក់ទណ្ឌកម្មដោយផ្ទាល់ទេ។ទណ្ឌកម្មរដ្ឋបាល និងហិរញ្ញវត្ថុ
ការពិន័យផ្នែកហិរញ្ញវត្ថុមានភាពខុសគ្នាអាស្រ័យលើក្របខ័ណ្ឌច្បាប់ និងភាពធ្ងន់ធ្ងរនៃការរំលោភបំពាន។ ក្រោមការអនុវត្ត GDPR អាជ្ញាធរព័ត៌មានវិទ្យាអាចដាក់ពិន័យរហូតដល់ 20 លានអឺរ៉ូ ឬ 4% នៃចំណូលប្រចាំឆ្នាំសកលរបស់អ្នក អាស្រ័យលើចំនួនណាដែលខ្ពស់ជាង។ អាជ្ញាធរពិចារណាលើកត្តាដូចជាលក្ខណៈនៃការរំលោភបំពាន ចំនួនបុគ្គលដែលរងផលប៉ះពាល់ និងកិច្ចសហប្រតិបត្តិការរបស់អ្នកក្នុងអំឡុងពេលស៊ើបអង្កេត។ ក្រោម Cyberbeveiligingswet ការពិន័យធ្វើតាមរចនាសម្ព័ន្ធជាលំដាប់៖| ចំណាត់ថ្នាក់អង្គភាព | ការផាកពិន័យអតិបរមា | ជម្រើសជំនួសសម្រាប់ការផ្លាស់ប្តូរ |
|---|---|---|
| Essentiële entiteiten (EE) | € 10 លាន | ចំណូលសកល ១,៤% |
| Belangrijke entiteiten (BE) | € 7 លាន | ចំណូលសកល ១,៤% |
បណ្តឹងឧទ្ធរណ៍ និងការដោះស្រាយផ្លូវច្បាប់
អ្នកមានសិទ្ធិជំទាស់នឹងការសម្រេចចិត្តអនុវត្តតាមរយៈ បណ្តឹងឧទ្ធរណ៍រដ្ឋបាលបន្ទាប់ពីទទួលបានការជូនដំណឹងពិន័យ អ្នកអាចដាក់សំណើជំទាស់ (bezwaar) ទៅកាន់អាជ្ញាធរចេញក្នុងរយៈពេលប្រាំមួយសប្តាហ៍។ និយតករត្រូវតែពិចារណាឡើងវិញនូវការសម្រេចចិត្តរបស់ខ្លួន និងផ្តល់ការឆ្លើយតបជាផ្លូវការ។ ប្រសិនបើអ្នកមិនយល់ស្របនឹងលទ្ធផលនៃការពិចារណាឡើងវិញទេ អ្នកអាចប្តឹងឧទ្ធរណ៍ទៅតុលាការស្រុក (rechtbank)។ តុលាការពិនិត្យឡើងវិញថាតើនិយតករបានអនុវត្តតាមនីតិវិធីត្រឹមត្រូវ និងអនុវត្តច្បាប់បានត្រឹមត្រូវឬអត់។ បន្ទាប់មកអ្នកអាច ការសម្រេចចិត្តរបស់តុលាការឧទ្ធរណ៍ ទៅកាន់ផ្នែកយុត្តាធិការរដ្ឋបាលនៃក្រុមប្រឹក្សារដ្ឋ (Afdeling bestuursrechtspraak van de Raad van State) កន្លែងដែលការសម្រេចចិត្តត្រូវបានធ្វើឡើងក្រោមច្បាប់អនុវត្ត GDPR។ តុលាការឧទ្ធរណ៍ណាដែលមានសមត្ថភាពអាស្រ័យលើច្បាប់ដែលការសម្រេចចិត្តត្រូវបានធ្វើឡើង ដូច្នេះត្រូវបញ្ជាក់ថាមុនពេលរយៈពេលប្រាំមួយសប្តាហ៍ដំណើរការ។ ពេញមួយដំណើរការប្តឹងឧទ្ធរណ៍ អ្នកត្រូវតែបន្តអនុវត្តវិធានការកែតម្រូវណាមួយដែលបានបញ្ជាដោយនិយតករ។ តុលាការអាចផ្អាកការពិន័យហិរញ្ញវត្ថុដោយរង់ចាំលទ្ធផលប្តឹងឧទ្ធរណ៍ ប៉ុន្តែនេះមិនមែនជាស្វ័យប្រវត្តិទេ។តួនាទី និងការទទួលខុសត្រូវសំខាន់ៗក្នុងការគ្រប់គ្រងសន្តិសុខតាមអ៊ីនធឺណិត
អង្គការនានាត្រូវតែកំណត់ឱ្យច្បាស់លាស់ថាអ្នកណាជាអ្នកគ្រប់គ្រងភារកិច្ចសន្តិសុខតាមអ៊ីនធឺណិត ចាប់ពីការតែងតាំងមន្ត្រីការពារទិន្នន័យ រហូតដល់ការបង្កើតការទទួលខុសត្រូវកម្រិតក្រុមប្រឹក្សាភិបាល និងការបណ្តុះបណ្តាលបុគ្គលិកលើពិធីការសន្តិសុខ។មន្ត្រីការពារទិន្នន័យ
អ្នកត្រូវតែតែងតាំងមន្ត្រីការពារទិន្នន័យ (DPO) ប្រសិនបើអង្គការរបស់អ្នកដំណើរការទិន្នន័យផ្ទាល់ខ្លួនដែលងាយរងគ្រោះក្នុងទ្រង់ទ្រាយធំ ឬត្រួតពិនិត្យបុគ្គលម្នាក់ៗជាប្រព័ន្ធ។ DPO បម្រើជាចំណុចទំនាក់ទំនងចម្បងរបស់អ្នកសម្រាប់អាជ្ញាធរការពារទិន្នន័យ និងម្ចាស់ទិន្នន័យ។ DPO របស់អ្នកត្រូវការលក្ខណៈសម្បត្តិជាក់លាក់ក្នុងច្បាប់ការពារទិន្នន័យ និងការអនុវត្តសន្តិសុខព័ត៌មាន។ ពួកគេត្រូវតែរាយការណ៍ដោយផ្ទាល់ទៅកម្រិតគ្រប់គ្រងខ្ពស់បំផុតរបស់អ្នក ហើយមិនអាចត្រូវបានបណ្តេញចេញដោយសារការអនុវត្តកាតព្វកិច្ចរបស់ពួកគេបានទេ។ តួនាទីនេះរួមមានការត្រួតពិនិត្យការអនុលោមតាម GDPR ការធ្វើការវាយតម្លៃផលប៉ះពាល់នៃការការពារទិន្នន័យ និងការផ្តល់ដំបូន្មានលើតម្រូវការអ៊ិនគ្រីប និងការអ៊ិនគ្រីប។ អ្នកគួរតែកត់ត្រាការទទួលខុសត្រូវរបស់ DPO ឱ្យបានច្បាស់លាស់។ នេះរួមបញ្ចូលទាំងអំណាចរបស់ពួកគេក្នុងការធ្វើសវនកម្មហេដ្ឋារចនាសម្ព័ន្ធឌីជីថលរបស់អ្នក និងពិនិត្យមើលផែនការឆ្លើយតបឧប្បត្តិហេតុរបស់អ្នក។ ប្រសិនបើអ្នកធ្វើប្រតិបត្តិការនៅទូទាំងប្រទេស EU ច្រើន អ្នកអាចកំណត់ DPO តែមួយដោយផ្អែកលើគុណភាពវិជ្ជាជីវៈ និងចំណេះដឹងរបស់ពួកគេអំពីយុត្តាធិការពាក់ព័ន្ធ។ការគ្រប់គ្រងសាជីវកម្ម និងការទទួលខុសត្រូវ
ក្រុមប្រឹក្សាភិបាលរបស់អ្នកទទួលខុសត្រូវខ្ពស់បំផុតចំពោះការគ្រប់គ្រងហានិភ័យសន្តិសុខតាមអ៊ីនធឺណិត។ ពួកគេត្រូវតែអនុម័តវិធានការសន្តិសុខ បែងចែកធនធានគ្រប់គ្រាន់ និងធានាការត្រួតពិនិត្យត្រឹមត្រូវនៃកិច្ចខិតខំប្រឹងប្រែងនៃភាពធន់តាមអ៊ីនធឺណិត។ ការទទួលខុសត្រូវរបស់ថ្នាក់ដឹកនាំរួមមាន៖- ការអនុម័តគោលនយោបាយសន្តិសុខ សម្រាប់ក្របខ័ណ្ឌសន្តិសុខព័ត៌មាន
- ការត្រួតពិនិត្យការវាយតម្លៃហានិភ័យ និងការធ្វើផែនការភាពធន់នៃប្រតិបត្តិការ
- ធានាការអនុលោមតាមសវនកម្ម តាមរយៈការពិនិត្យឯករាជ្យ
- ការបែងចែកថវិកា សម្រាប់ការគ្រប់គ្រងសន្តិសុខតាមអ៊ីនធឺណិត និង ការបណ្តុះបណ្តាលបុគ្គលិក
គោលនយោបាយផ្ទៃក្នុង និងការបណ្តុះបណ្តាលបុគ្គលិក
អ្នកត្រូវតែបង្កើតគោលការណ៍ដែលបានកត់ត្រាទុក ដែលកំណត់តួនាទីសុវត្ថិភាពនៅទូទាំងអង្គការរបស់អ្នក។ គោលការណ៍ទាំងនេះគួរតែបញ្ជាក់ពីការទទួលខុសត្រូវសម្រាប់ការការពារទិន្នន័យ ការឆ្លើយតបទៅនឹងឧប្បត្តិហេតុ និងការរក្សាភាពធន់តាមអ៊ីនធឺណិត។ គោលការណ៍សុវត្ថិភាពរបស់អ្នកត្រូវគ្របដណ្តប់លើ៖- ការគ្រប់គ្រងការចូលប្រើ និងតម្រូវការផ្ទៀងផ្ទាត់
- ស្តង់ដារចំណាត់ថ្នាក់ទិន្នន័យ និងការអ៊ិនគ្រីប
- នីតិវិធីរាយការណ៍ឧប្បត្តិហេតុ
- ការបណ្តុះបណ្តាលការយល់ដឹងអំពីសន្តិសុខជាប្រចាំ
ប្រភេទនៃឧប្បត្តិហេតុសន្តិសុខតាមអ៊ីនធឺណិត និងការគំរាមកំហែងដែលកំពុងលេចចេញ
ឧប្បត្តិហេតុសន្តិសុខតាមអ៊ីនធឺណិតមានចាប់ពីអ៊ីមែលបោកបញ្ឆោតរហូតដល់ការរំខានបណ្តាញទ្រង់ទ្រាយធំដែលអាចធ្វើឱ្យប៉ះពាល់ដល់អង្គការទាំងមូល។ ការយល់ដឹងអំពីការគំរាមកំហែងទាំងនេះជួយអ្នកកំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះ និងកំណត់កន្លែងដែលការទទួលខុសត្រូវស្ថិតនៅនៅពេលដែលមានការរំលោភបំពានកើតឡើង។ការបន្លំតាមអ៊ីនធឺណិត មេរោគ និង ransomware
ការបន្លំ នៅតែជាការគំរាមកំហែងសន្តិសុខតាមអ៊ីនធឺណិតទូទៅបំផុតមួយដែលអ្នកនឹងជួបប្រទះ។ អ្នកវាយប្រហារផ្ញើអ៊ីមែល ឬសារដោយធ្វើពុតជាមកពីក្រុមហ៊ុនស្របច្បាប់ ដើម្បីលួចពាក្យសម្ងាត់ ព័ត៌មានហិរញ្ញវត្ថុ ឬទិន្នន័យរសើបផ្សេងទៀតរបស់អ្នក។ ការបន្លំបន្លំក៏ជាចំណុចចូលសម្រាប់ករណី ransomware មួយចំនួនធំដែលកើតឡើងជាបន្តបន្ទាប់ ដែលជាមូលហេតុដែលអាជ្ញាធរត្រួតពិនិត្យចាត់ទុកការវាយប្រហារបន្លំបន្លំដោយជោគជ័យជាភស្តុតាងអំពីការគ្រប់គ្រងរបស់អ្នក ជាជាងសំណាងអាក្រក់។មេរោគ សំដៅលើកម្មវិធីដែលបង្កគ្រោះថ្នាក់ដែលបំផ្លាញប្រព័ន្ធកុំព្យូទ័រ ឬបណ្តាញរបស់អ្នក។ នេះរួមបញ្ចូលទាំងមេរោគ មេរោគ Trojans និងកូដព្យាបាទផ្សេងទៀតដែលត្រូវបានរចនាឡើងដើម្បីចូលប្រើទិន្នន័យរបស់អ្នក ឬរំខានដល់ប្រតិបត្តិការរបស់អ្នក។ransomware គឺជាប្រភេទមេរោគជាក់លាក់មួយប្រភេទដែលរារាំងការចូលប្រើឯកសាររបស់អ្នក និងទាមទារការបង់ប្រាក់សម្រាប់ការស្ដារឡើងវិញ។ ទោះបីជាអ្នកបង់ប្រាក់លោះក៏ដោយ ក៏មិនមានការធានាដែរថាអ្នកវាយប្រហារនឹងស្ដារការចូលប្រើរបស់អ្នកឡើងវិញ ឬលុបទិន្នន័យដែលត្រូវបានគេលួចនោះទេ។ ការទូទាត់ក៏លើកឡើងនូវសំណួរផ្នែកច្បាប់ផ្ទាល់ខ្លួនផងដែរ រួមទាំងការត្រួតពិនិត្យទណ្ឌកម្មរបស់អ្នកទទួល និងការព្យាបាលគណនេយ្យ និងការបង្ហាញព័ត៌មាននៃការទូទាត់។ការបដិសេធសេវាកម្ម និងការវាយប្រហារបដិសេធសេវាកម្មแบบกระจาย
ការវាយប្រហារ DoS ចរាចរណ៍លើសលប់ប្រព័ន្ធរបស់អ្នក ដើម្បីធ្វើឱ្យសេវាកម្មមិនអាចប្រើបានសម្រាប់អ្នកប្រើប្រាស់ស្របច្បាប់។ ប្រភពតែមួយបានបំពេញសំណើទៅលើបណ្តាញរបស់អ្នករហូតដល់វាគាំង ឬយឺតពេកក្នុងការដំណើរការ។DDoS វាយប្រហារ។ ប្រើប្រាស់ប្រព័ន្ធដែលរងការសម្របសម្រួលច្រើនដើម្បីចាប់ផ្តើមការវាយប្រហារដែលសម្របសម្រួលប្រឆាំងនឹងហេដ្ឋារចនាសម្ព័ន្ធរបស់អ្នក។ ការវាយប្រហារចែកចាយទាំងនេះពិបាកបញ្ឈប់ណាស់ ព្រោះវាមកពីទីតាំងជាច្រើនក្នុងពេលដំណាលគ្នា។ ការវាយប្រហារ DDoS អាចរំខានដល់សេវាកម្មសំខាន់ៗ ចាប់ពីគេហទំព័ររដ្ឋាភិបាលរហូតដល់ប្រតិបត្តិការវិស័យឯកជន។ ចន្លោះពេលរវាងការរកឃើញ និងការខូចខាតសម្ភារៈគឺខ្លី ហើយនាឡិកាជូនដំណឹងក្រោមច្បាប់សន្តិសុខតាមអ៊ីនធឺណិតចាប់ផ្តើមនៅម៉ោង 24។ ចន្លោះពេលតូចចង្អៀតនេះធ្វើឱ្យការឆ្លើយតបរហ័សមានសារៈសំខាន់នៅពេលប្រឈមមុខនឹងការវាយប្រហារ DoS ឬ DDoS។ការក្លែងបន្លំ និងការចូលប្រើប្រាស់ដោយគ្មានការអនុញ្ញាត
ការបន្លំ នៅក្នុងសន្តិសុខតាមអ៊ីនធឺណិតពាក់ព័ន្ធនឹងការអនុវត្តបោកប្រាស់ដើម្បីទទួលបានការចូលប្រើដោយគ្មានការអនុញ្ញាតចំពោះប្រព័ន្ធ ឬទិន្នន័យរបស់អ្នក។ នេះរួមបញ្ចូលទាំងការលួចអត្តសញ្ញាណ ការក្លែងបន្លំការទូទាត់ និងការលួចយកព័ត៌មានសម្ងាត់។ការចូលប្រើដោយគ្មានការអនុញ្ញាត កើតឡើងនៅពេលដែលនរណាម្នាក់បំពានគោលការណ៍សុវត្ថិភាពរបស់អ្នកដើម្បីចូលប្រើបណ្តាញ ប្រព័ន្ធ ឬទិន្នន័យដោយគ្មានការអនុញ្ញាត។ នេះអាចកើតឡើងតាមរយៈ៖- អត្តសញ្ញាណសម្គាល់ការចូលត្រូវបានលួច
- ភាពងាយរងគ្រោះនៃកម្មវិធីដែលបានទាញយកប្រយោជន៍
- បានរំលងការគ្រប់គ្រងសុវត្ថិភាព
- ការគំរាមកំហែងផ្ទៃក្នុងពីបុគ្គលិកបច្ចុប្បន្ន ឬអតីតបុគ្គលិក
ភាពងាយរងគ្រោះនៃវិស័យ និងខ្សែសង្វាក់ផ្គត់ផ្គង់
វិស័យហេដ្ឋារចនាសម្ព័ន្ធសំខាន់ៗប្រឈមមុខនឹងហានិភ័យខ្ពស់ពីឧក្រិដ្ឋកម្មតាមអ៊ីនធឺណិត ដោយវិស័យថែទាំសុខភាព ថាមពល និងសេវាកម្មហិរញ្ញវត្ថុជាគោលដៅចម្បង។ ក្រុមហ៊ុនផ្តល់សេវាកម្មវិជ្ជាជីវៈគឺជាគោលដៅដែលកើតឡើងម្តងហើយម្តងទៀត ពីព្រោះពួកគេកាន់កាប់ទិន្នន័យអតិថិជនដែលប្រមូលផ្តុំ។សុវត្ថិភាពខ្សែសង្វាក់ផ្គត់ផ្គង់ បានក្លាយជារឿងសំខាន់កាន់តែខ្លាំងឡើង ដោយសារអ្នកវាយប្រហារកំណត់គោលដៅដៃគូ និងអ្នកលក់ភាគីទីបីរបស់អ្នក ជាជាងវាយប្រហារអ្នកដោយផ្ទាល់។ ការវាយប្រហាររបស់អ្នកលក់ភាគីទីបីទាំងនេះ ទាញយកប្រយោជន៍ពីវិធានការសុវត្ថិភាពខ្សោយជាងនៅក្នុងអង្គការដៃគូរបស់អ្នក ដើម្បីចូលប្រើទិន្នន័យរបស់អតិថិជនរបស់អ្នក។ ភាពងាយរងគ្រោះនៃខ្សែសង្វាក់ផ្គត់ផ្គង់អនុញ្ញាតឱ្យអ្នកវាយប្រហារសម្របសម្រួលអង្គការច្រើនតាមរយៈការបំពានតែមួយ។ នៅពេលដែលប្រព័ន្ធរបស់អ្នកលក់របស់អ្នកភ្ជាប់ទៅប្រព័ន្ធរបស់អ្នក ភាពទន់ខ្សោយនៃសុវត្ថិភាពរបស់ពួកគេក្លាយជាភាពទន់ខ្សោយនៃសុវត្ថិភាពរបស់អ្នក។ ហានិភ័យដែលភ្ជាប់គ្នានេះមានន័យថា អ្នកត្រូវតែវាយតម្លៃមិនត្រឹមតែវិធានការសន្តិសុខតាមអ៊ីនធឺណិតរបស់អ្នកប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងវិធានការរបស់គ្រប់អង្គការនៅក្នុងខ្សែសង្វាក់ផ្គត់ផ្គង់របស់អ្នកផងដែរ។ រដ្ឋ-ប្រជាជាតិកំពុងសាកល្បង និងជ្រៀតចូលកាន់តែខ្លាំងឡើងនូវលំហអ៊ីនធឺណិតរបស់គូប្រជែង ដែលជារឿយៗដំណើរការក្រោមរូបភាពនៃអង្គភាពឯកជន ខណៈពេលដែលធ្វើសកម្មភាពក្នុងនាមរដ្ឋាភិបាល។សំណួរដែលគេច្រើនសួរ
ក្រុមហ៊ុនហូឡង់ត្រូវតែអនុវត្តតាមតម្រូវការរាយការណ៍យ៉ាងតឹងរ៉ឹង និងស្តង់ដារអនុលោមភាពបន្ទាប់ពីការលួចទិន្នន័យ ដោយការទទួលខុសត្រូវលាតសន្ធឹងដល់ភាគីច្រើនអាស្រ័យលើតួនាទី និងការទទួលខុសត្រូវរបស់ពួកគេ។ ការយល់ដឹងអំពីកាតព្វកិច្ចទាំងនេះជួយអង្គការនានាការពារខ្លួន និងបុគ្គលដែលរងផលប៉ះពាល់ ខណៈពេលដែលរក្សាការអនុលោមតាមបទប្បញ្ញត្តិជាតិ និងអឺរ៉ុប។តើអ្វីទៅជាកាតព្វកិច្ចផ្នែកច្បាប់របស់ក្រុមហ៊ុនហូឡង់បន្ទាប់ពីមានការលួចចូលទិន្នន័យ?
អង្គការរបស់អ្នកត្រូវតែជូនដំណឹងដល់អាជ្ញាធរការពារទិន្នន័យហូឡង់ (Autoriteit Persoonsgegevens) ក្នុងរយៈពេល 72 ម៉ោងបន្ទាប់ពីដឹងអំពីការលួចចូលទិន្នន័យ។
តម្រូវការនេះអនុវត្តក្រោម GDPR ដែលគ្រប់គ្រងការការពារទិន្នន័យនៅទូទាំងប្រទេសហូឡង់។
អ្នកត្រូវផ្តល់ព័ត៌មានជាក់លាក់នៅក្នុងការជូនដំណឹងអំពីការរំលោភបំពានរបស់អ្នក។
នេះរួមបញ្ចូលទាំងលក្ខណៈនៃការរំលោភបំពាន ចំនួនបុគ្គលដែលរងផលប៉ះពាល់ ផលវិបាកដែលអាចកើតមាន និងវិធានការដែលអ្នកបានអនុវត្ត ឬមានគម្រោងអនុវត្ត។
ប្រសិនបើអ្នកមិនអាចផ្តល់ព័ត៌មានលម្អិតទាំងអស់ក្នុងរយៈពេល 72 ម៉ោងបានទេ អ្នកត្រូវតែពន្យល់ពីការពន្យារពេល ហើយដាក់ស្នើព័ត៌មានដែលនៅសល់ឱ្យបានឆាប់តាមដែលអាចធ្វើទៅបាន។
នៅពេលដែលការរំលោភបំពានបង្កហានិភ័យខ្ពស់ដល់សិទ្ធិ និងសេរីភាពរបស់បុគ្គល អ្នកក៏ត្រូវជូនដំណឹងដោយផ្ទាល់ដល់បុគ្គលដែលរងផលប៉ះពាល់ផងដែរ។
អ្នកមិនអាចពន្យារពេលការជូនដំណឹងនេះដោយគ្មានហេតុផលសមហេតុផលបានទេ។
ការប្រាស្រ័យទាក់ទងរបស់អ្នកទៅកាន់បុគ្គលដែលរងផលប៉ះពាល់គួរតែច្បាស់លាស់ ហើយពន្យល់អំពីផលវិបាកដែលអាចកើតមាននៃការរំលោភបំពាន និងជំហានអ្វីដែលពួកគេអាចអនុវត្តដើម្បីការពារខ្លួន។
អ្នកត្រូវតែរក្សាឯកសារលម្អិតនៃការបំពានទិន្នន័យទាំងអស់ ដោយមិនគិតពីថាតើអ្នករាយការណ៍វាទៅអាជ្ញាធរឬអត់នោះទេ។
ឯកសារនេះគួរតែរួមបញ្ចូលការពិតជុំវិញការរំលោភបំពាន ផលប៉ះពាល់របស់វា និងវិធានការកែតម្រូវដែលបានធ្វើឡើង។
អាជ្ញាធរការពារទិន្នន័យហូឡង់អាចស្នើសុំឯកសារនេះក្នុងអំឡុងពេលត្រួតពិនិត្យ ឬការស៊ើបអង្កេត។
តើការទទួលខុសត្រូវត្រូវបានកំណត់យ៉ាងដូចម្តេចចំពោះការរំលោភទិន្នន័យក្រោមច្បាប់របស់ប្រទេសហូឡង់?
ការទទួលខុសត្រូវចំពោះការលួចចូលទិន្នន័យនៅក្នុងប្រទេសហូឡង់អាស្រ័យលើតួនាទីរបស់អ្នកជាអ្នកគ្រប់គ្រងទិន្នន័យ ឬអ្នកដំណើរការទិន្នន័យ។
អ្នកគ្រប់គ្រងទិន្នន័យកំណត់គោលបំណង និងមធ្យោបាយនៃការដំណើរការទិន្នន័យផ្ទាល់ខ្លួន ខណៈដែលអ្នកដំណើរការទិន្នន័យដោះស្រាយទិន្នន័យក្នុងនាមអ្នកគ្រប់គ្រង។
ការទទួលខុសត្រូវផ្នែកច្បាប់ របស់អ្នក ខុសគ្នាអាស្រ័យលើចំណាត់ថ្នាក់នេះ។
ក្នុងនាមជាអ្នកគ្រប់គ្រងទិន្នន័យ អ្នកមានទំនួលខុសត្រូវចម្បងក្នុងការធានាការអនុលោមតាមបទប្បញ្ញត្តិការពារទិន្នន័យ។
អ្នកត្រូវតែអនុវត្តវិធានការបច្ចេកទេស និងការរៀបចំសមស្រប ដើម្បីការពារទិន្នន័យផ្ទាល់ខ្លួន។
តុលាការវាយតម្លៃថាតើអ្នកបានចាត់វិធានការសមហេតុផលដើម្បីទប់ស្កាត់ការរំលោភបំពានឬអត់ និងថាតើអ្នកបានធ្វើសកម្មភាពដោយធ្វេសប្រហែសក្នុងការអនុវត្តសន្តិសុខរបស់អ្នកឬអត់។
អ្នកដំណើរការទិន្នន័យក៏អាចប្រឈមមុខនឹងការទទួលខុសត្រូវផងដែរ ប្រសិនបើពួកគេមិនធ្វើតាមការណែនាំរបស់អ្នកគ្រប់គ្រង ឬបំពានកាតព្វកិច្ចតាមកិច្ចសន្យារបស់ពួកគេ។
ទោះជាយ៉ាងណាក៏ដោយ ប្រព័ន្ធដំណើរការជាធម្មតាមានការទទួលខុសត្រូវមានកម្រិតច្រើនជាងឧបករណ៍បញ្ជា។
ប្រសិនបើអ្នកដំណើរការទិន្នន័យដោយគ្មានការអនុញ្ញាតត្រឹមត្រូវពីអ្នកត្រួតពិនិត្យ ឬបរាជ័យក្នុងការអនុវត្តវិធានការសុវត្ថិភាពដែលបានព្រមព្រៀងគ្នា អ្នកអាចនឹងត្រូវទទួលខុសត្រូវដោយផ្ទាល់។
តុលាការហូឡង់អនុវត្តកត្តាជាច្រើននៅពេលកំណត់ការទទួលខុសត្រូវ។
ទាំងនេះរួមមាន ភាពធ្ងន់ធ្ងរនៃការរំលោភបំពាន ភាពរសើបនៃទិន្នន័យដែលរងការលួចចូល វិធានការសុវត្ថិភាពរបស់អ្នកមុនពេលការរំលោភបំពាន និងការឆ្លើយតបរបស់អ្នកបន្ទាប់ពីរកឃើញឧប្បត្តិហេតុនេះ។
ទំហំ និងធនធានរបស់អង្គការរបស់អ្នកក៏មានឥទ្ធិពលលើអ្វីដែលតុលាការចាត់ទុកថាជាវិធានការសន្តិសុខសមហេតុផលផងដែរ។
ការទទួលខុសត្រូវរួមគ្នាអាចកើតឡើងនៅពេលដែលភាគីច្រើនរួមចំណែកដល់ការរំលោភទិន្នន័យ។
ប្រសិនបើអ្នកចែករំលែកការទទួលខុសត្រូវជាមួយអ្នកគ្រប់គ្រង ឬអ្នកដំណើរការផ្សេងទៀត តុលាការអាចធ្វើឱ្យភាគីនីមួយៗទទួលខុសត្រូវចំពោះការខូចខាតទាំងមូល។
បន្ទាប់មក អ្នកអាចស្វែងរកសំណងពីភាគីទទួលខុសត្រូវផ្សេងទៀត ដោយផ្អែកលើការចូលរួមចំណែករៀងៗខ្លួនរបស់ពួកគេចំពោះការរំលោភបំពាននោះ។
តើភាគីណាខ្លះដែលអាចទទួលខុសត្រូវចំពោះឧប្បត្តិហេតុសន្តិសុខទិន្នន័យនៅក្នុងប្រទេសហូឡង់?
អ្នកត្រួតពិនិត្យទិន្នន័យទទួលខុសត្រូវចម្បងចំពោះឧប្បត្តិហេតុសុវត្ថិភាពទិន្នន័យ។
ក្នុងនាមជាអ្នកត្រួតពិនិត្យ អ្នកធ្វើការសម្រេចចិត្តអំពីរបៀបដែលទិន្នន័យផ្ទាល់ខ្លួនត្រូវបានដំណើរការ ហើយត្រូវតែធានាថាមានវិធានការសុវត្ថិភាពសមស្រប។
អង្គការរបស់អ្នកអាចប្រឈមមុខនឹងការពិន័យរដ្ឋបាល ការទទួលខុសត្រូវរដ្ឋប្បវេណី និងការខូចខាតកេរ្តិ៍ឈ្មោះបន្ទាប់ពីការរំលោភបំពាន។
អ្នកដំណើរការទិន្នន័យអាចត្រូវទទួលខុសត្រូវនៅពេលដែលពួកគេមិនបានបំពេញកាតព្វកិច្ចតាមកិច្ចសន្យា និងផ្លូវច្បាប់របស់ពួកគេ។
ប្រសិនបើអ្នកដំណើរការទិន្នន័យក្នុងនាមអ្នកត្រួតពិនិត្យ អ្នកត្រូវតែអនុវត្តវិធានការសុវត្ថិភាពដែលបានបញ្ជាក់នៅក្នុងកិច្ចព្រមព្រៀងរបស់អ្នក និងអនុវត្តតាមការណែនាំស្របច្បាប់របស់អ្នកត្រួតពិនិត្យ។
អ្នកប្រឈមមុខនឹងការទទួលខុសត្រូវដោយផ្ទាល់ ប្រសិនបើអ្នកលើសពីសិទ្ធិអំណាចរបស់អ្នក ឬមិនអាចរក្សាសន្តិសុខបានគ្រប់គ្រាន់។
នាយក និងមន្ត្រីរបស់អង្គការរបស់អ្នកអាចប្រឈមមុខនឹងការទទួលខុសត្រូវផ្ទាល់ខ្លួនក្នុងកាលៈទេសៈមួយចំនួន។
ក្រោមការអនុវត្តសេចក្តីណែនាំ NIS2 នៅក្នុងប្រទេសហូឡង់ ថ្នាក់គ្រប់គ្រងអាចត្រូវទទួលខុសត្រូវផ្ទាល់ខ្លួនចំពោះការបរាជ័យក្នុងការគ្រប់គ្រងសន្តិសុខតាមអ៊ីនធឺណិត។
នេះរួមបញ្ចូលទាំងការដកសិទ្ធិពីការបម្រើការជានាយក ប្រសិនបើមានការរំលោភបំពានធ្ងន់ធ្ងរកើតឡើង។
អ្នកផ្តល់សេវាកម្មភាគីទីបីក៏អាចទទួលខុសត្រូវចំពោះឧប្បត្តិហេតុសន្តិសុខផងដែរ។
ប្រសិនបើអ្នកពឹងផ្អែកលើ សេវាកម្ម cloud ការគាំទ្រ IT ឬអ្នកផ្តល់សេវាខាងក្រៅផ្សេងទៀត ពួកគេអាចចែករំលែកការទទួលខុសត្រូវ នៅពេលដែលការបរាជ័យរបស់ពួកគេរួមចំណែកដល់ការរំលោភបំពាន។
កិច្ចសន្យារបស់អ្នកជាមួយអ្នកផ្តល់សេវាទាំងនេះគួរតែកំណត់យ៉ាងច្បាស់អំពីការទទួលខុសត្រូវផ្នែកសន្តិសុខ និងលក្ខខណ្ឌនៃការទទួលខុសត្រូវ។
អាជ្ញាធរការពារទិន្នន័យហូឡង់ដើរតួជាស្ថាប័នអនុវត្តច្បាប់ចម្បង។
ទោះបីជាមិនទទួលខុសត្រូវដោយផ្ទាល់ចំពោះការរំលោភបំពានក៏ដោយ អាជ្ញាធរស៊ើបអង្កេតឧប្បត្តិហេតុ ចេញបទបញ្ជាកែតម្រូវ និងដាក់ពិន័យរដ្ឋបាលលើអង្គការដែលមិនគោរពតាម។
តើអង្គការនានាប្រឈមនឹងផលវិបាកអ្វីខ្លះចំពោះការមិនគោរពតាមបទប្បញ្ញត្តិការពារទិន្នន័យរបស់ប្រទេសហូឡង់?
អង្គការរបស់អ្នកអាចប្រឈមមុខនឹងការពិន័យរដ្ឋបាលរហូតដល់ 20 លានអឺរ៉ូ ឬ 4% នៃចំណូលប្រចាំឆ្នាំសកលរបស់អ្នក អាស្រ័យលើចំនួនណាដែលខ្ពស់ជាង។ អាជ្ញាធរការពារទិន្នន័យហូឡង់កំណត់ចំនួនទឹកប្រាក់ពិន័យដោយផ្អែកលើលក្ខណៈនៃការរំលោភបំពាន ភាពធ្ងន់ធ្ងរ រយៈពេល និងកិច្ចសហប្រតិបត្តិការរបស់អ្នកក្នុងអំឡុងពេលស៊ើបអង្កេត។
ក្រៅពីការពិន័យផ្នែកហិរញ្ញវត្ថុ អាជ្ញាធរអាចដាក់ចេញវិធានការកែតម្រូវដែលរំខានដល់ប្រតិបត្តិការរបស់អ្នក។ វិធានការទាំងនេះរួមមានការរឹតបន្តឹងបណ្តោះអាសន្នលើសកម្មភាពដំណើរការទិន្នន័យ បទបញ្ជាដើម្បីកែតម្រូវការរំលោភបំពានជាក់លាក់ និងការធ្វើសវនកម្មជាកាតព្វកិច្ច។
អ្នកប្រហែលជាត្រូវផ្អាកសកម្មភាពអាជីវកម្មមួយចំនួនរហូតដល់អ្នកបង្ហាញពីការអនុលោមតាម។ អង្គការរបស់អ្នកប្រឈមនឹងការខូចខាតកេរ្តិ៍ឈ្មោះយ៉ាងធ្ងន់ធ្ងរបន្ទាប់ពីការមិនអនុលោមតាម។
ការបង្ហាញជាសាធារណៈអំពីការរំលោភទិន្នន័យ និងការពិន័យតាមបទប្បញ្ញត្តិអាចធ្វើឱ្យប៉ះពាល់ដល់ទំនុកចិត្តរបស់អតិថិជន និងធ្វើឱ្យខូចទំនាក់ទំនងអាជីវកម្ម។ អាជ្ញាធរការពារទិន្នន័យហូឡង់បោះពុម្ពផ្សាយការសម្រេចចិត្តអនុវត្ត ដែលនៅតែអាចចូលមើលបានសម្រាប់សាធារណជន និងប្រព័ន្ធផ្សព្វផ្សាយ។
អ្នកអាចនឹងប្រឈមមុខនឹងបណ្តឹងរដ្ឋប្បវេណីពីបុគ្គលដែលរងផលប៉ះពាល់ដោយការស្វែងរកសំណងសម្រាប់ការខូចខាត។ បុគ្គលម្នាក់ៗអាចទាមទារសំណងខូចខាតទាំងសម្ភារៈ និងមិនមែនសម្ភារៈដែលបណ្តាលមកពីការរំលោភបំពានលើការការពារទិន្នន័យ។
តុលាការហូឡង់បានទទួលស្គាល់កាន់តែខ្លាំងឡើងនូវការទាមទារសំណងសម្រាប់ទុក្ខលំបាក និងការបាត់បង់ការគ្រប់គ្រងលើទិន្នន័យផ្ទាល់ខ្លួន ទោះបីជាមិនមានការខាតបង់ផ្នែកហិរញ្ញវត្ថុដោយផ្ទាល់ក៏ដោយ។ ឱកាសអាជីវកម្មរបស់អ្នកអាចត្រូវបានរឹតត្បិតបន្ទាប់ពីការរំលោភបំពានធ្ងន់ធ្ងរ។
វិស័យមួយចំនួនតម្រូវឱ្យមានវិញ្ញាបនបត្រសន្តិសុខ ឬកំណត់ត្រាអនុលោមភាព ដើម្បីរក្សាកិច្ចសន្យា ជាពិសេសនៅពេលដោះស្រាយជាមួយអង្គភាពរដ្ឋាភិបាល ឬឧស្សាហកម្មដែលមានបទប្បញ្ញត្តិ។
តើបុគ្គលដែលរងផលប៉ះពាល់អាចស្វែងរកសំណងតាមវិធីណាខ្លះបន្ទាប់ពីការលួចចូលទិន្នន័យនៅក្នុងប្រទេសហូឡង់?
អ្នកអាចដាក់ពាក្យបណ្តឹងទៅអាជ្ញាធរការពារទិន្នន័យហូឡង់ ប្រសិនបើអ្នកជឿថាអង្គការណាមួយបានរំលោភលើសិទ្ធិការពារទិន្នន័យរបស់អ្នក។ អាជ្ញាធរស៊ើបអង្កេតពាក្យបណ្តឹង ហើយអាចចាត់វិធានការអនុវត្តច្បាប់ប្រឆាំងនឹងអង្គការដែលមិនអនុលោមតាម។
ដំណើរការនេះមិនគិតថ្លៃអ្វីទាំងអស់ ហើយមិនតម្រូវឱ្យមានតំណាងផ្នែកច្បាប់ទេ។ អ្នកមានសិទ្ធិបន្តវិវាទរដ្ឋប្បវេណីប្រឆាំងនឹងអង្គការដែលទទួលខុសត្រូវ។
ច្បាប់ហូឡង់អនុញ្ញាតឱ្យអ្នកទាមទារសំណងសម្រាប់ការខូចខាតទាំងសម្ភារៈ និងមិនមែនសម្ភារៈដែលបណ្តាលមកពីការរំលោភបំពានលើការការពារទិន្នន័យ។ ការខូចខាតសម្ភារៈរួមមានការខាតបង់ផ្នែកហិរញ្ញវត្ថុ ខណៈដែលការខូចខាតមិនមែនសម្ភារៈគ្របដណ្តប់លើទុក្ខព្រួយ ការថប់បារម្ភ និងការបាត់បង់ការគ្រប់គ្រងលើទិន្នន័យផ្ទាល់ខ្លួនរបស់អ្នក។
មេធាវីហូឡង់ជាទូទៅអាចមិនធ្វើការលើមូលដ្ឋានគ្មានការព្យាបាល-គ្មានប្រាក់ឈ្នួលទេ ប៉ុន្តែជំនួយផ្នែកច្បាប់ដែលមានការឧបត្ថម្ភធនអាចរកបាន ប្រសិនបើអ្នកបំពេញតាមលក្ខណៈវិនិច្ឆ័យចំណូល និងដើមទុនដែលកំណត់ដោយក្រុមប្រឹក្សាជំនួយផ្នែកច្បាប់។
សកម្មភាពរួមក្រោមច្បាប់ស្តីពីសំណងខូចខាតទ្រង់ទ្រាយធំក្នុងសកម្មភាពជាក្រុម ( WAMCA ) អនុញ្ញាតឱ្យមូលនិធិ ឬសមាគមដាក់ពាក្យបណ្តឹងសម្រាប់ក្រុមមួយដែលបានកំណត់ ហើយសកម្មភាពបែបនេះជាច្រើនលើការរំលោភបំពានទិន្នន័យគឺមាននៅចំពោះមុខតុលាការហូឡង់រួចហើយ។ អ្នកអាចស្វែងរកសំណងដោយផ្ទាល់ពីអង្គការដោយមិនចាំបាច់ទៅតុលាការ។
អង្គការជាច្រើនចូលចិត្តដោះស្រាយការទាមទារសំណងជាលក្ខណៈឯកជន ដើម្បីជៀសវាងការចំណាយលើវិវាទ និងការផ្សព្វផ្សាយអវិជ្ជមាន។ ជំហរចរចារបស់អ្នកនឹងកាន់តែរឹងមាំ ប្រសិនបើអង្គការនេះបានរំលោភលើបទប្បញ្ញត្តិការពារទិន្នន័យយ៉ាងច្បាស់ ឬប្រសិនបើការរំលោភបំពាននេះបណ្តាលឱ្យមានគ្រោះថ្នាក់ធ្ងន់ធ្ងរ។
អ្នកក៏អាចដាក់ពាក្យបណ្តឹងប្រឆាំងនឹងអ្នកដំណើរការទិន្នន័យបានដែរ ប្រសិនបើពួកគេទទួលខុសត្រូវចំពោះការរំលោភបំពាន។ ក្រោម GDPR ទាំងអ្នកត្រួតពិនិត្យ និងអ្នកដំណើរការអាចត្រូវទទួលខុសត្រូវចំពោះការខូចខាត។
ប្រសិនបើភាគីច្រើនបានរួមចំណែកដល់ការរំលោភបំពាន អ្នកអាចទាមទារសំណងពេញលេញពីភាគីណាមួយដែលទទួលខុសត្រូវ។
តើ GDPR មានឥទ្ធិពលយ៉ាងដូចម្តេចទៅលើការទទួលខុសត្រូវ និងការទទួលខុសត្រូវក្នុងករណីមានការរំលោភបំពានទិន្នន័យសម្រាប់អង្គភាពដែលកំពុងប្រតិបត្តិការនៅក្នុងប្រទេសហូឡង់?
GDPR កំណត់កាតព្វកិច្ចច្បាស់លាស់សម្រាប់អង្គការនានាទាក់ទងនឹងការការពារទិន្នន័យផ្ទាល់ខ្លួន។
អង្គភាពនានាត្រូវតែអនុវត្តវិធានការបច្ចេកទេស និងអង្គការសមស្រប ដើម្បីធានាសុវត្ថិភាពទិន្នន័យ។
ក្នុងករណីមានការរំលោភបំពានទិន្នន័យ អង្គការនានាត្រូវជូនដំណឹងដល់អាជ្ញាធរត្រួតពិនិត្យពាក់ព័ន្ធក្នុងរយៈពេល 72 ម៉ោង។
ប្រសិនបើការរំលោភបំពាននេះបង្កហានិភ័យខ្ពស់ដល់សិទ្ធិ និងសេរីភាពរបស់បុគ្គល បុគ្គលដែលរងផលប៉ះពាល់ក៏ត្រូវតែទទួលបានការជូនដំណឹងផងដែរ។
ការមិនអនុវត្តតាមតម្រូវការទាំងនេះអាចបណ្តាលឱ្យមានការពិន័យជាប្រាក់យ៉ាងច្រើន និងប៉ះពាល់ដល់កេរ្តិ៍ឈ្មោះរបស់អង្គការ។
ទាំងអ្នកត្រួតពិនិត្យទិន្នន័យ និងអ្នកដំណើរការទិន្នន័យសុទ្ធតែមានការទទួលខុសត្រូវខុសៗគ្នាក្រោម GDPR ហើយកិច្ចសន្យាត្រូវតែកំណត់តួនាទីទាំងនេះឱ្យបានច្បាស់លាស់។
