ការការពារទិន្នន័យនៅក្នុងប្រទេសហូឡង់ពឹងផ្អែកលើឧបករណ៍ពីរគឺ៖ បទប្បញ្ញត្តិការពារទិន្នន័យទូទៅ (GDPR) ដែលអនុវត្តដោយផ្ទាល់នៅទូទាំងសហភាពអឺរ៉ុប និងច្បាប់អនុវត្ត GDPR របស់ហូឡង់ (Uitvoeringswet AVG, UAVG) ដែលបំពេញតែជម្រើសជាតិដែលបទប្បញ្ញត្តិទុកចោល។ UAVG ក៏កំណត់អាជ្ញាធរការពារទិន្នន័យហូឡង់ (Autoriteit Persoonsgegevens, AP) ជាអ្នកត្រួតពិនិត្យផងដែរ។ វាមិនបង្កើតរបបស្រាលជាងនេះទេ។
ដោយសារតែបទប្បញ្ញត្តិនេះអាចអនុវត្តបានដោយផ្ទាល់ GDPR ខ្លួនឯងគឺជាអ្វីដែលអង្គការរបស់អ្នកត្រូវតែអនុវត្តតាម។ UAVG មានសារៈសំខាន់នៅកន្លែងដែលជម្រើសជាតិត្រូវបានធ្វើឡើង ហើយទាំងនោះគឺជាចំណុចដែលអង្គការដែលសកម្មនៅក្នុងរដ្ឋជាសមាជិកជាច្រើនតែងតែមើលរំលង។
តារាងមាតិកា
តើច្បាប់អនុវត្តបន្ថែមអ្វីខ្លះ?
ជម្រើសជាតិមួយចំនួនមានកំណត់។ ចំពោះសេវាកម្មសង្គមព័ត៌មានដែលផ្តល់ជូនដោយផ្ទាល់ដល់កុមារ ប្រទេសហូឡង់បានរក្សាអាយុលំនាំដើមរបស់ GDPR គឺដប់ប្រាំមួយឆ្នាំក្រោមមាត្រា 8 GDPR ហើយមាត្រា 5 UAVG ពង្រីកច្បាប់នោះ៖ ក្នុងស្ថានភាពផ្សេងទៀតដែលការយល់ព្រមជាមូលដ្ឋាន កុមារអាយុក្រោមដប់ប្រាំមួយឆ្នាំក៏ត្រូវការការយល់ព្រមពីឪពុកម្តាយ ឬអាណាព្យាបាលផងដែរ ដែលអាចដកវាចេញនៅពេលណាក៏បាន។
UAVG ក៏កំណត់ករណីលើកលែងសម្រាប់ទិន្នន័យប្រភេទពិសេសផងដែរ។ មាត្រា 29 UAVG អនុញ្ញាតឱ្យទិន្នន័យជីវមាត្រត្រូវបានដំណើរការសម្រាប់ការកំណត់អត្តសញ្ញាណតែមួយគត់ ដែលវាចាំបាច់សម្រាប់ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ ឬគោលបំណងសុវត្ថិភាព ដែលជាករណីលើកលែងដែលប្រើសម្រាប់ការគ្រប់គ្រងការចូលប្រើ និងប្រព័ន្ធចូល។ មាត្រា 31 ដល់ 33 UAVG គ្រប់គ្រងដំណើរការទិន្នន័យព្រហ្មទណ្ឌ ហើយច្បាប់នេះមានករណីលើកលែងសម្រាប់សារព័ត៌មាន ការស្រាវជ្រាវ និងការរក្សាទុកឯកសារ។
តើកាតព្វកិច្ចអ្វីខ្លះដែលសំខាន់នៅក្នុងការអនុវត្ត?
មានរឿងបួនយ៉ាងដែលរួមចំណែកដល់ការងារភាគច្រើន។ ទីមួយ កំណត់ត្រានៃសកម្មភាពដំណើរការក្រោមមាត្រា 30 GDPR៖ ឯកសារដែល AP ស្នើសុំជាមុនសិន និងឯកសារដែលបង្ខំអ្នកឱ្យដឹងពីអ្វីដែលអ្នកពិតជាកាន់កាប់។ ទីពីរ មូលដ្ឋានស្របច្បាប់ក្រោមមាត្រា 6 GDPR សម្រាប់ប្រតិបត្តិការដំណើរការនីមួយៗ ដែលត្រូវបានជ្រើសរើសដោយចេតនាជាជាងការមិនអើពើនឹងការយល់ព្រម ដែលអាចដកចេញនៅពេលណាក៏បាន។
ទីបី កិច្ចព្រមព្រៀងដំណើរការទិន្នន័យជាមួយអ្នកដំណើរការនីមួយៗ ក្រោមមាត្រា 28 GDPR និងការការពារគ្រប់គ្រាន់ ក្នុងករណីដែលទិន្នន័យផ្ទាល់ខ្លួនចាកចេញពីតំបន់សេដ្ឋកិច្ចអឺរ៉ុប។ ទីបួន នីតិវិធីការងារសម្រាប់សំណើរបស់ម្ចាស់ទិន្នន័យ និងសម្រាប់ការជូនដំណឹងអំពីការរំលោភបំពានទៅកាន់ AP ក្នុងរយៈពេល 72 ម៉ោង ក្រោមមាត្រា 33 GDPR។
តើ GDPR ត្រូវបានអនុវត្តយ៉ាងដូចម្តេច?
ទីភ្នាក់ងារសារព័ត៌មាន AP អាចស៊ើបអង្កេត បញ្ជាវិធានការ ដាក់ចេញការហាមឃាត់ដំណើរការ និងពិន័យជាប្រាក់ដល់អង្គការនានា។ យោងតាមមាត្រា 83 GDPR ការពិន័យជាប្រាក់រហូតដល់ 10 លានអឺរ៉ូ ឬ 2% នៃចំណូលប្រចាំឆ្នាំទូទាំងពិភពលោក ចំពោះការរំលោភលើកាតព្វកិច្ចរដ្ឋបាល និងរហូតដល់ 20 លានអឺរ៉ូ ឬ 4% នៃចំណូល អាស្រ័យលើចំនួនណាដែលខ្ពស់ជាង ចំពោះការរំលោភលើគោលការណ៍ស្នូល សិទ្ធិរបស់ម្ចាស់ទិន្នន័យ ឬច្បាប់ផ្ទេរ។
បុគ្គលម្នាក់ៗក៏អាចទាមទារសំណងក្រោមមាត្រា 82 GDPR ផងដែរ ហើយចាប់តាំងពីរបបសំណងសមូហភាព (WAMCA) បានចូលជាធរមាននៅឆ្នាំ 2020 សកម្មភាពសមូហភាពលើការរំលោភទិន្នន័យបានក្លាយជាការបង្ហាញជាក់ស្តែងនៅក្នុងប្រទេសហូឡង់។
ក្នុងនាមជាអ្នកគ្រប់គ្រង តើគួរពិនិត្យមើលអ្វីខ្លះ?
- តើកំណត់ត្រាសកម្មភាពដំណើរការរបស់អ្នក (មាត្រា 30 GDPR) ពេញលេញ និងទាន់សម័យដែរឬទេ?
- តើអ្នកបានចងក្រងឯកសារអំពីមូលដ្ឋានស្របច្បាប់សម្រាប់ប្រតិបត្តិការដំណើរការនីមួយៗហើយឬនៅ?
- តើមានកិច្ចព្រមព្រៀងដំណើរការដែលបានចុះហត្ថលេខាជាមួយអ្នកដំណើរការនីមួយៗដែរឬទេ?
- តើអ្នកអាចជូនដំណឹងដល់ AP អំពីការរំលោភបំពានក្នុងរយៈពេល 72 ម៉ោងបានទេ?
- តើអ្នកត្រូវការការវាយតម្លៃផលប៉ះពាល់នៃការការពារទិន្នន័យ (មាត្រា 35 GDPR) សម្រាប់ដំណើរការដែលមានហានិភ័យខ្ពស់ដែរឬទេ?
តើអ្នកគួរពិនិត្យមើលអ្វីខ្លះក្នុងនាមជាអ្នកដំណើរការ?
- តើអ្នកដំណើរការទិន្នន័យផ្ទាល់ខ្លួនតែតាមការណែនាំដែលបានកត់ត្រារបស់អ្នកគ្រប់គ្រង (មាត្រា 28 GDPR) ប៉ុណ្ណោះ?
- តើអ្នកប្រើអ្នកដំណើរការរងតែដោយមានការអនុញ្ញាតពីអ្នកត្រួតពិនិត្យប៉ុណ្ណោះទេ?
- តើវិធានការសុវត្ថិភាពរបស់អ្នកត្រូវបានពិពណ៌នា និងសាកល្បងហើយឬនៅ?
- តើអ្នកនឹងជូនដំណឹងដល់អ្នកគ្រប់គ្រងដោយមិនពន្យារពេលហួសហេតុបន្ទាប់ពីការរំលោភដែរឬទេ?
តើយើងអាចធ្វើអ្វីបានសម្រាប់អ្នកជាមួយនឹងការអនុលោមតាម GDPR?
មេធាវីផ្នែកព័ត៌មានវិទ្យា របស់យើង ចាប់ផ្តើមពីអ្វីដែលអង្គការរបស់អ្នកពិតជាធ្វើជាមួយទិន្នន័យ មិនមែនពីគំរូទេ។ យើងអាច៖
- ព្រាង ឬពិនិត្យមើលកំណត់ត្រានៃសកម្មភាពដំណើរការ និងសេចក្តីថ្លែងការណ៍ឯកជនភាពរបស់អ្នក។
- វាយតម្លៃមូលដ្ឋានស្របច្បាប់សម្រាប់ប្រតិបត្តិការដំណើរការនីមួយៗ។
- ព្រាង និងចរចាកិច្ចព្រមព្រៀងដំណើរការទិន្នន័យ និងប្រការផ្ទេរ។
- ណែនាំអ្នកតាមរយៈការវាយតម្លៃផលប៉ះពាល់នៃការការពារទិន្នន័យ។
- ជួយជូនដំណឹងដល់ AP អំពីការរំលោភបំពាន និងជួយស៊ើបអង្កេត ឬការពិន័យជាប្រាក់របស់ AP។
សេចក្តីសង្ខេប
- GDPR កំណត់ច្បាប់សំខាន់ៗដោយផ្ទាល់; UAVG បំពេញតែជម្រើសជាតិប៉ុណ្ណោះ។
- កុមារអាយុក្រោមដប់ប្រាំមួយឆ្នាំត្រូវការការយល់ព្រមពីឪពុកម្តាយ ដែលការយល់ព្រមគឺជាមូលដ្ឋាន (មាត្រា 8 GDPR និងមាត្រា 5 UAVG)។
- មាត្រា 29 UAVG អនុញ្ញាតឱ្យមានទិន្នន័យជីវមាត្រសម្រាប់គោលបំណងផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ ឬសុវត្ថិភាព។
- កំណត់ត្រាដំណើរការ មូលដ្ឋានច្បាប់ក្នុងមួយប្រតិបត្តិការ កិច្ចព្រមព្រៀងអ្នកដំណើរការ និងនីតិវិធីរំលោភបំពានរយៈពេល 72 ម៉ោង គឺជាកត្តាចម្បងសម្រាប់ការងារអនុលោមភាពភាគច្រើន។
- ការពិន័យក្រោមមាត្រា 83 GDPR មានរហូតដល់ 20 លានអឺរ៉ូ ឬ 4% នៃចំណូលទូទាំងពិភពលោក។ បុគ្គល និងក្រុមអាចទាមទារសំណងដោយឡែកពីគ្នា។
សំណួរដែលគេច្រើនសួរ
តើយើងត្រូវការមន្ត្រីការពារទិន្នន័យដែរឬទេ?
មានតែកន្លែងដែលមាត្រា 37 GDPR តម្រូវឱ្យមានមួយប៉ុណ្ណោះ៖ អាជ្ញាធរសាធារណៈ និងអង្គការដែលសកម្មភាពស្នូលរបស់ពួកគេពាក់ព័ន្ធនឹងការត្រួតពិនិត្យជាប្រចាំទ្រង់ទ្រាយធំ ឬដំណើរការទិន្នន័យប្រភេទពិសេសទ្រង់ទ្រាយធំ។ ប្រសិនបើអ្នកតែងតាំងម្នាក់ដោយស្ម័គ្រចិត្ត ជំហរច្បាប់ និងការការពារត្រូវបានអនុវត្ត។
តើការយល់ព្រមជាមូលដ្ឋានដែលមានសុវត្ថិភាពបំផុតដែរឬទេ?
ជាធម្មតាទេ។ ការយល់ព្រមត្រូវតែផ្តល់ឱ្យដោយសេរី ហើយអាចត្រូវបានដកចេញនៅពេលណាក៏បាន បន្ទាប់ពីនោះដំណើរការត្រូវតែបញ្ឈប់។ ផលប្រយោជន៍ស្របច្បាប់ ឬការអនុវត្តកិច្ចសន្យា (មាត្រា 6 GDPR) ជារឿយៗមានភាពរឹងមាំជាង ដោយផ្តល់ថាការវាយតម្លៃត្រូវបានកត់ត្រាទុក។
តើ GDPR អនុវត្តចំពោះយើងទេ ប្រសិនបើយើងនៅខាងក្រៅសហភាពអឺរ៉ុប?
វាអាចធ្វើទៅបាន។ យោងតាមមាត្រា 3 GDPR បទប្បញ្ញត្តិនេះអនុវត្តចំពោះកន្លែងដែលអ្នកផ្តល់ជូនទំនិញ ឬសេវាកម្មដល់ប្រជាជននៅក្នុងសហភាពអឺរ៉ុប ឬតាមដានឥរិយាបថរបស់ពួកគេនៅទីនោះ មិនថាអង្គការរបស់អ្នកត្រូវបានបង្កើតឡើងនៅទីណាក៏ដោយ។
