คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งยุโรป (EDPB) ได้เผยแพร่ร่างแนวปฏิบัติที่อาจเปลี่ยนแปลงวิธีการบังคับใช้ GDPR ในทางปฏิบัติ ตามบทสรุปของร่างดังกล่าว ข้อเสนอได้กำหนด ข้อสันนิษฐานของ EDPB เกี่ยวกับค่าปรับ GDPR สำหรับการละเมิดที่ไม่ใช่กรณีเล็กน้อย ควบคู่กับเกณฑ์ที่ตั้งใจให้ต่ำในการพิสูจน์ความประมาทเลินเล่อ พูดง่ายๆ ก็คือ หน่วยงานกำกับดูแลจะเริ่มต้นจากสมมติฐานว่าการละเมิดร้ายแรงสมควรได้รับค่าปรับ และบริษัทต่างๆ จะต้องแบกรับภาระมากขึ้นในการแสดงเหตุผลว่าทำไมจึงไม่ควรถูกปรับ
เนื้อหาต้นทางที่ใช้ได้สำหรับเรื่องนี้จำกัดอยู่เพียงบทสรุป ดังนั้นโพสต์นี้จึงยึดตามสิ่งที่บทสรุประบุไว้และอธิบายนัยที่อาจเกิดขึ้นในแง่ทั่วไป
สิ่งที่ร่างแนวปฏิบัติของ EDPB เสนอ
แกนหลักของร่างคือการเปลี่ยนแปลงค่าเริ่มต้น จนถึงปัจจุบัน หน่วยงานกำกับดูแลมีอำนาจแก้ไขที่หลากหลายภายใต้ GDPR ตั้งแต่การตำหนิและคำสั่งให้ปฏิบัติตาม ไปจนถึงค่าปรับทางปกครอง ร่างแนวปฏิบัติเสนอว่าสำหรับการละเมิดที่ไม่ใช่กรณีเล็กน้อย ค่าปรับควรเป็นผลลัพธ์ที่คาดหมายได้ มากกว่าจะเป็นเพียงหนึ่งในตัวเลือกหลายๆ อย่าง
มีสององค์ประกอบที่โดดเด่นในบทสรุป:
- ข้อสันนิษฐานที่เอื้อต่อการปรับ สำหรับการละเมิดที่ไม่ใช่กรณีเล็กน้อย
- เกณฑ์ที่ตั้งใจให้ต่ำสำหรับความประมาทเลินเล่อ ซึ่งมีความสำคัญเพราะความผิดเป็นเงื่อนไขสำคัญในการกำหนดค่าปรับ
บทสรุปยังระบุด้วยว่าองค์กรต่างๆ จะต้องแสดงให้เห็นถึงมาตรการที่แข็งแกร่งเพื่อพิสูจน์ว่าพวกเขาได้ดำเนินการด้วยความระมัดระวังอย่างเหมาะสม ร่างนี้เป็นข้อเสนอ ไม่ใช่แนวปฏิบัติขั้นสุดท้าย รายละเอียดอาจเปลี่ยนแปลงได้หลังการรับฟังความคิดเห็น
ทำไมเกณฑ์ความประมาทเลินเล่อที่ต่ำจึงเปลี่ยนการบังคับใช้
ค่าปรับภายใต้ GDPR โดยทั่วไปขึ้นอยู่กับว่าการละเมิดนั้นเจตนาหรือประมาทเลินเล่อ หากการพิสูจน์ความประมาทเลินเล่อเป็นเรื่องยาก หน่วยงานกำกับดูแลอาจลังเลที่จะปรับ หรือคดีอาจชะงักงันจากการโต้เถียงว่าบริษัทรู้อะไรหรือควรจะรู้อะไร
เกณฑ์ที่ต่ำจะเปลี่ยนพลวัตนั้น หากบริษัทล้มเหลวในการดำเนินการตามขั้นตอนที่องค์กรที่มีความระมัดระวังตามสมควรจะพึงกระทำ ความประมาทเลินเล่อก็สามารถพิสูจน์ได้โดยไม่ต้องสอบสวนเพิ่มเติมมากนัก เมื่อรวมกับข้อสันนิษฐานเกี่ยวกับค่าปรับแล้ว จะทำให้องค์กรโต้แย้งได้ยากขึ้นว่าการละเมิดเป็นเพียงความโชคร้ายหรือความ Oversight ที่สุจริต
สิ่งนี้สอดคล้องกับแรงผลักดันที่กว้างขึ้นtowardความสม่ำเสมอ EDPB ได้นำแนวทางห้าขั้นตอนในการคำนวณค่าปรับมาใช้แล้ว ซึ่งเราได้ครอบคลุมไว้ในคำอธิบายของเราเกี่ยวกับวิธีการคำนวณค่าปรับ GDPR แบบห้าขั้นตอนของ EDPB วิธีนั้นเกี่ยวข้องกับจำนวนค่าปรับที่ควรเป็น ร่างใหม่กล่าวถึงคำถามก่อนหน้าว่าควรกำหนดค่าปรับเลยหรือไม่ สำหรับข้อมูลพื้นฐานเกี่ยวกับระดับค่าปรับและบทบาทของความผิด โปรดดูคู่มือของเราเกี่ยวกับค่าปรับและบทลงโทษ GDPR ในปี 2026
สิ่งนี้หมายความสำหรับคุณ
สำหรับคนทั่วไป ผลในทางปฏิบัติจะเกิดขึ้นทางอ้อมแต่มีความหมาย สิทธิความเป็นส่วนตัวบนกระดาษมีความหมายก็ต่อเมื่อมีผล Consequences เมื่อถูกละเลย หากค่าปรับกลายเป็นมาตรการตอบสนองที่คาดหมายได้ต่อการละเมิดร้ายแรง บริษัทต่างๆ จะมีเหตุผลทางการเงินที่แข็งแกร่งขึ้นในการ:
- เก็บข้อมูลส่วนบุคคลน้อยลงตั้งแต่แรก
- รักษาความปลอดภัยของข้อมูลที่เก็บไว้ และบันทึกวิธีการ
- ตอบสนองต่อคำขอเข้าถึง ลบ และคัดค้านภายในกำหนดเวลา
- ฝึกอบรมพนักงานและตรวจสอบผู้ขายที่จัดการข้อมูลลูกค้า
สิ่งนี้ไม่ได้หมายความว่าทุกข้อร้องเรียนจะจบลงด้วยการลงโทษ และไม่ได้ประกันผลลัพธ์ที่เร็วกว่าสำหรับบุคคล การละเมิดเล็กน้อยคาดว่าจะได้รับการปฏิบัติที่แตกต่างออกไป และแนวปฏิบัติยังอยู่ในร่าง แต่ทิศทางของการเดินทางมุ่งสู่การบังคับใช้ที่มีน้ำหนักจริง
ในขณะเดียวกัน องค์กรต่างๆ มีแนวโน้มที่จะมุ่งเน้นที่หลักฐาน ภายใต้แนวทางนี้ การสามารถแสดงบันทึก การประเมินความเสี่ยง และการดำเนินการแก้ไขอย่างทันท่วงทีอาจเป็นความแตกต่างระหว่างค่าปรับกับการตอบสนองที่เบากว่า
วิธีใช้สิทธิ GDPR ของคุณวันนี้
คุณไม่จำเป็นต้องรอให้แนวปฏิบัติเสร็จสมบูรณ์ หากคุณอยู่ใน EU หรือ EEA หรือบริษัทกำลังประมวลผลข้อมูลของคุณภายใต้ GDPR คุณสามารถดำเนินการได้แล้ว:
- ขอเข้าถึง ส่งคำขอเข้าถึงข้อมูลส่วนบุคคลเพื่อค้นหาว่าบริษัทถือข้อมูลอะไรเกี่ยวกับคุณและใช้อย่างไร
- ขอให้ลบ หากข้อมูลไม่จำเป็นอีกต่อไปหรือคุณถอนความยินยอม ขอให้บริษัทลบข้อมูลนั้น
- คัดค้านการประมวลผล คุณสามารถคัดค้านการใช้某些ประเภท รวมถึงการตลาดโดยตรง
- เก็บบันทึก เก็บสำเนาคำขอและการตอบกลับของคุณพร้อมวันที่
- ยกระดับหากถูกละเลย หากบริษัทไม่ตอบสนองอย่างเหมาะสม คุณสามารถร้องเรียนต่อหน่วยงานคุ้มครองข้อมูลแห่งชาติของคุณ
ข้อร้องเรียนที่จัดทำเป็นเอกสารและมีมูลเหตุอันควรเป็นหลักฐานประเภทที่หน่วยงานกำกับดูแลสามารถดำเนินการได้ และจุดยืนการบังคับใช้ที่แข็งแกร่งขึ้นจะทำให้ข้อร้องเรียนเหล่านั้นมีผลกระทบมากขึ้น
ประเด็นสำคัญ
ข้อสันนิษฐานของ EDPB เกี่ยวกับค่าปรับ GDPR หากได้รับการรับรองตามร่าง จะทำให้การลงโทษเป็นมาตรการตอบสนองปกติต่อการละเมิดที่ไม่ใช่กรณีเล็กน้อย และทำให้การพิสูจน์ความประมาทเลินเล่อง่ายขึ้น สิ่งนี้สร้างแรงกดดันให้บริษัทต่างๆ จัดการข้อมูลส่วนบุคคลด้วยความระมัดระวัง และให้สิทธิของบุคคลมีผลบังคับใช้ในทางปฏิบัติมากขึ้น
ใช้สิทธิที่คุณมีอยู่แล้ว: ขอเข้าถึง ขอให้ลบ และคัดค้านในกรณีที่เหมาะสม เพื่อทำความเข้าใจว่าบทลงโทษคำนวณอย่างไรเมื่อค่าปรับอยู่บนโต๊ะ โปรดอ่านคำอธิบายของเราเกี่ยวกับวิธีการคำนวณค่าปรับแบบห้าขั้นตอนของ EDPB และระดับบทลงโทษ GDPR
