กฎหมายข้อมูลของสหภาพยุโรป: กฎใหม่สำหรับการแบ่งปันข้อมูลในยุโรป

กฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (EU Data Act) ให้สิทธิ์แก่ผู้ใช้ผลิตภัณฑ์เชื่อมต่อและบริการที่เกี่ยวข้องในการเข้าถึงข้อมูลที่ตนเองสร้างขึ้น และในการแบ่งปันข้อมูลดังกล่าวกับบุคคลที่สาม กฎหมายนี้มีผลบังคับใช้ตั้งแต่วันที่ 12 กันยายน 2025 แต่ข้อผูกพันในการออกแบบผลิตภัณฑ์เพื่อให้สามารถเข้าถึงข้อมูลได้โดยตรงนั้นจะมีผลบังคับใช้เฉพาะกับผลิตภัณฑ์เชื่อมต่อที่วางจำหน่ายในตลาดหลังวันที่ 12 กันยายน 2026 เท่านั้น

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล ระเบียบ (EU) 2023/2854 ยังกำหนดกฎเกณฑ์เกี่ยวกับข้อกำหนดที่ไม่เป็นธรรมในสัญญาข้อมูลระหว่างธุรกิจ การเปลี่ยนผู้ให้บริการคลาวด์ และการเข้าถึงข้อมูลโดยหน่วยงานภาครัฐในสถานการณ์พิเศษ หากธุรกิจของคุณผลิต นำเข้า หรือจำหน่ายผลิตภัณฑ์ที่เชื่อมต่ออินเทอร์เน็ต ให้บริการคลาวด์ หรือใช้ข้อมูลภายใต้สัญญากับธุรกิจอื่น ธุรกิจของคุณก็มีแนวโน้มที่จะได้รับผลกระทบ ด้านล่างนี้เราจะอธิบายข้อผูกพันหลักและวิธีการบังคับใช้ในประเทศเนเธอร์แลนด์

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลควบคุมเรื่องใดบ้าง?

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลกำหนดว่าใครบ้างที่สามารถเข้าถึงข้อมูลที่สร้างขึ้นจากการใช้ผลิตภัณฑ์และบริการ และเงื่อนไขในการแบ่งปันข้อมูลนั้น พระราชบัญญัตินี้ไม่ได้สร้างสิทธิทั่วไปในการเข้าถึงข้อมูลทั้งหมด แต่เป็นกรอบการทำงานสำหรับสถานการณ์เฉพาะต่างๆ

ระเบียบนี้มีผลบังคับใช้เมื่อวันที่ 11 มกราคม 2567 และเป็นส่วนหนึ่งของยุทธศาสตร์ข้อมูลของยุโรป ซึ่งมีเป้าหมายเพื่อให้ข้อมูลพร้อมใช้งานในระบบเศรษฐกิจมากขึ้น ระเบียบนี้ครอบคลุม 6 ด้านหลัก ได้แก่ การเข้าถึงข้อมูลผลิตภัณฑ์และบริการของผู้ใช้ เงื่อนไขที่เป็นธรรมสำหรับการแบ่งปันข้อมูลระหว่างธุรกิจ การเข้าถึงโดยหน่วยงานภาครัฐในกรณีที่มีความจำเป็นเป็นพิเศษ การสลับระหว่างบริการประมวลผลข้อมูล การป้องกันการเข้าถึงข้อมูลที่ไม่ใช่ข้อมูลส่วนบุคคลโดยไม่ชอบด้วยกฎหมายจากภายนอกสหภาพยุโรป และความสามารถในการทำงานร่วมกัน สามารถดูข้อความฉบับเต็มได้ที่EUR- Lex

ผู้ผลิตผลิตภัณฑ์ที่เชื่อมต่ออินเทอร์เน็ตต้องทำอะไรบ้าง?

ผลิตภัณฑ์ที่เชื่อมต่อและบริการที่เกี่ยวข้องจะต้องได้รับการออกแบบเพื่อให้ข้อมูลที่สร้างขึ้นนั้นสามารถเข้าถึงได้ง่าย ปลอดภัย ฟรี และอยู่ในรูปแบบที่เครื่องอ่านได้โดยตรงสำหรับผู้ใช้ ในกรณีที่เกี่ยวข้องและเป็นไปได้ทางเทคนิค (มาตรา 3) ลองนึกถึงอุปกรณ์สมาร์ทโฮม เครื่องจักรในอุตสาหกรรม อุปกรณ์ทางการแพทย์ หรือยานพาหนะ

ข้อกำหนดด้านการออกแบบนี้ใช้กับผลิตภัณฑ์ที่เชื่อมต่อและบริการที่เกี่ยวข้องซึ่งวางจำหน่ายในตลาดหลังวันที่ 12 กันยายน 2026 ผลิตภัณฑ์ที่วางจำหน่ายในตลาดก่อนวันที่ดังกล่าวไม่จำเป็นต้องได้รับการออกแบบใหม่ ก่อนการทำสัญญา ผู้ใช้จะต้องได้รับแจ้งเกี่ยวกับประเภทและปริมาณของข้อมูลที่ผลิตภัณฑ์สร้างขึ้น และวิธีที่ผู้ใช้สามารถเข้าถึงข้อมูลนั้นได้

ในกรณีที่ข้อมูลไม่สามารถเข้าถึงได้โดยตรง ผู้ถือข้อมูลต้องจัดหาข้อมูลให้แก่ผู้ใช้เมื่อได้รับการร้องขอ โดยไม่ล่าช้าเกินควร และโดยไม่คิดค่าใช้จ่าย (มาตรา 4) ผู้ใช้ยังสามารถขอให้ผู้ถือข้อมูลแบ่งปันข้อมูลกับบุคคลที่สามที่ผู้ใช้เลือกได้ (มาตรา 5) แพลตฟอร์มออนไลน์ขนาดใหญ่มากที่ได้รับการกำหนดให้เป็นผู้ควบคุมการเข้าถึงภายใต้พระราชบัญญัติตลาดดิจิทัล ไม่สามารถเป็นบุคคลที่สามดังกล่าวได้

คุณสามารถปกป้องความลับทางการค้าของคุณได้หรือไม่?

ใช่ ในระดับหนึ่ง เจ้าของข้อมูลอาจต้องการมาตรการรักษาความลับก่อนเปิดเผยข้อมูลที่มีความลับทางการค้า และในกรณีพิเศษอาจปฏิเสธหรือระงับการเปิดเผยข้อมูลหากการเปิดเผยมีแนวโน้มสูงที่จะก่อให้เกิดความเสียหายทางเศรษฐกิจอย่างร้ายแรง การปฏิเสธดังกล่าวต้องมีเหตุผลประกอบและแจ้งให้หน่วยงานที่เกี่ยวข้องทราบ

ผู้ใช้ไม่สามารถใช้ข้อมูลที่ได้รับเพื่อพัฒนาผลิตภัณฑ์ที่แข่งขันกับผลิตภัณฑ์ที่เชื่อมต่อซึ่งเป็นที่มาของข้อมูลนั้นได้ ในส่วนของผู้ถือข้อมูลนั้น สามารถใช้ข้อมูลผลิตภัณฑ์ที่ไม่ใช่ข้อมูลส่วนบุคคลได้เฉพาะตามสัญญาที่ทำไว้กับผู้ใช้เท่านั้น

เงื่อนไขสัญญาใดบ้างระหว่างธุรกิจที่ไม่เป็นธรรม?

เงื่อนไขในสัญญาเกี่ยวกับการเข้าถึงและการใช้ข้อมูล หรือความรับผิดและการเยียวยาสำหรับการละเมิดสัญญา จะไม่มีผลผูกพันกับอีกฝ่ายหนึ่ง หากเงื่อนไขนั้นถูกกำหนดขึ้นฝ่ายเดียวและไม่เป็นธรรม (มาตรา 13) เงื่อนไขจะถือว่าถูกกำหนดขึ้นฝ่ายเดียว หากอีกฝ่ายหนึ่งไม่สามารถมีอิทธิพลต่อเนื้อหาของเงื่อนไขนั้นได้ แม้จะพยายามเจรจาแล้วก็ตาม

ฝ่ายที่กำหนดเงื่อนไขต้องพิสูจน์ว่าไม่ได้กำหนดเงื่อนไขนั้นขึ้นมาโดยฝ่ายเดียว เงื่อนไขนั้นถือว่าไม่เป็นธรรมหากเบี่ยงเบนไปจากหลักปฏิบัติทางการค้าที่ดีในด้านการเข้าถึงและการใช้ข้อมูลอย่างร้ายแรง ขัดต่อหลักความสุจริตและยุติธรรม

ระเบียบข้อบังคับนี้ประกอบด้วยสองรายการ เงื่อนไขที่ไม่เป็นธรรมเสมอ ได้แก่ เงื่อนไขที่ยกเว้นหรือจำกัดความรับผิดสำหรับการกระทำโดยเจตนาหรือความประมาทเลินเล่ออย่างร้ายแรง และเงื่อนไขที่ให้สิทธิ์ฝ่ายที่กำหนดเงื่อนไขนั้นมีสิทธิแต่เพียงผู้เดียวในการตีความสัญญา เงื่อนไขที่สันนิษฐานว่าไม่เป็นธรรม ได้แก่ เงื่อนไขที่จำกัดการใช้ข้อมูลที่อีกฝ่ายหนึ่งได้ให้ไว้โดยไม่เหมาะสม หรือเงื่อนไขที่อนุญาตให้บอกเลิกสัญญาโดยแจ้งล่วงหน้าในระยะเวลาที่สั้นเกินไปอย่างไม่สมเหตุสมผล

เงื่อนไขที่ไม่เป็นธรรมนั้นไม่มีผลผูกพันคู่สัญญาอีกฝ่าย แต่ส่วนที่เหลือของสัญญายังคงมีผลบังคับใช้หากสามารถแยกเงื่อนไขดังกล่าวออกจากสัญญาได้ กฎเหล่านี้ใช้กับสัญญาที่ทำขึ้นหลังวันที่ 12 กันยายน 2025 และตั้งแต่วันที่ 12 กันยายน 2027 เป็นต้นไป กฎเหล่านี้ยังใช้กับสัญญาเก่าที่ดำเนินไปโดยไม่มีกำหนดระยะเวลา หรือหมดอายุอย่างน้อยสิบปีหลังจากวันที่ 11 มกราคม 2024 ด้วย

หากผู้ถือข้อมูลจำเป็นต้องเปิดเผยข้อมูลให้แก่ธุรกิจอื่น ผู้ถือข้อมูลอาจเรียกร้องค่าตอบแทนที่สมเหตุสมผลได้ (มาตรา 9) สำหรับวิสาหกิจขนาดเล็ก ขนาดกลาง และขนาดใหญ่ รวมถึงองค์กรวิจัยบางแห่ง ค่าตอบแทนนั้นต้องไม่เกินต้นทุนในการเปิดเผยข้อมูล

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลมีความเกี่ยวข้องกับ GDPR อย่างไร?

พระราชบัญญัติข้อมูลข่าวสารฉบับนี้ไม่ได้มาแทนที่หรือยกเลิกข้อบังคับทั่วไปว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล (GDPR) แม้ว่าจะครอบคลุมถึงข้อมูลส่วนบุคคลเช่นกัน แต่ในส่วนที่เกี่ยวข้อง GDPR ยังคงมีผลบังคับใช้อย่างเต็มที่ และในกรณีที่มีข้อขัดแย้ง GDPR จะมีผลบังคับใช้เหนือกว่า

หากผู้ใช้ที่ขอข้อมูลไม่ใช่เจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้อง ข้อมูลส่วนบุคคลนั้นจะสามารถเปิดเผยได้ก็ต่อเมื่อมีพื้นฐานทางกฎหมายที่ถูกต้องตามมาตรา 6 ของ GDPR และมาตรา 9 ของ GDPR (หากเกี่ยวข้อง) พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลไม่ได้สร้างพื้นฐานดังกล่าวขึ้นมาเอง

การเข้าถึงข้อมูลภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลไม่ได้ทำให้คู่สัญญาพ้นจากภาระผูกพันอื่น ๆ ภายใต้ GDPR เช่น ข้อจำกัดด้านวัตถุประสงค์ ความปลอดภัย และข้อจำกัดเกี่ยวกับระยะเวลาในการจัดเก็บข้อมูล อ่านเพิ่มเติมเกี่ยวกับความเสี่ยงของ GDPR ในการแบ่งปันข้อมูลและระยะเวลาที่คุณสามารถเก็บรักษาข้อมูลลูกค้าได้

ผู้ให้บริการคลาวด์และลูกค้าของพวกเขาจะมีการเปลี่ยนแปลงอะไรบ้าง?

ผู้ให้บริการด้านการประมวลผลข้อมูล เช่น บริการคลาวด์และเอดจ์ ต้องอำนวยความสะดวกให้ลูกค้าในการเปลี่ยนไปใช้ผู้ให้บริการรายอื่นหรือโครงสร้างพื้นฐานของตนเอง โดยต้องไม่สร้างอุปสรรคทางการค้า ทางเทคนิค ทางสัญญา หรือทางองค์กรที่ขัดขวางการเปลี่ยนไปใช้ผู้ให้บริการรายอื่น

สัญญาต้องอนุญาตให้ลูกค้าสามารถเปลี่ยนผู้ให้บริการได้ โดยแจ้งล่วงหน้าไม่เกินสองเดือน หลังจากนั้น การโอนย้ายข้อมูลและสินทรัพย์ดิจิทัลจะต้องแล้วเสร็จภายในระยะเวลาเปลี่ยนผ่านไม่เกินสามสิบวัน หากเป็นไปไม่ได้ในทางเทคนิค ผู้ให้บริการต้องชี้แจงเหตุผลและอาจขยายระยะเวลาได้สูงสุดถึงเจ็ดเดือน

ตั้งแต่วันที่ 12 มกราคม 2027 เป็นต้นไป ผู้ให้บริการจะไม่สามารถเรียกเก็บค่าธรรมเนียมการเปลี่ยนผู้ให้บริการได้อีกต่อไป ก่อนหน้านั้น พวกเขาอาจเรียกเก็บค่าธรรมเนียมในอัตราที่ลดลงซึ่งไม่เกินต้นทุนที่เกี่ยวข้องโดยตรงกับการเปลี่ยนผู้ให้บริการ สำหรับองค์กรที่พึ่งพาผู้ให้บริการคลาวด์รายเดียวเป็นอย่างมาก กฎเหล่านี้จะช่วยให้มีอำนาจต่อรองมากขึ้นเมื่อมีการต่ออายุหรือเจรจาต่อรองสัญญาใหม่ ตรวจสอบสัญญาคลาวด์ ที่มีอยู่ของคุณ เพื่อดูระยะเวลาที่ยาวนานขึ้นหรือค่าธรรมเนียมการเปลี่ยนผู้ ให้บริการ

หน่วยงานภาครัฐสามารถขอข้อมูลของคุณได้เมื่อใด?

หน่วยงานภาครัฐอาจขอให้ธุรกิจต่างๆ เปิดเผยข้อมูลในกรณีที่มีความจำเป็นเป็นพิเศษ เช่น เหตุฉุกเฉินสาธารณะ ภายใต้เงื่อนไขที่เข้มงวด คำขอต้องมีความเฉพาะเจาะจง สมเหตุสมผล และมีเหตุผลรองรับ

ในกรณีฉุกเฉินสาธารณะ ผู้ถือข้อมูลต้องให้ข้อมูลโดยไม่คิดค่าใช้จ่าย ยกเว้นวิสาหกิจขนาดเล็กและขนาดกลางซึ่งมีสิทธิ์ได้รับค่าตอบแทน ในกรณีอื่นๆ ที่มีความจำเป็นเป็นพิเศษ เช่น เมื่อข้อมูลจำเป็นสำหรับการดำเนินงานเฉพาะอย่างเพื่อประโยชน์สาธารณะและไม่สามารถหาได้จากแหล่งอื่น ผู้ถือข้อมูลอาจเรียกร้องค่าตอบแทนที่เป็นธรรมได้

ใครเป็นผู้บังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลในประเทศเนเธอร์แลนด์?

ในประเทศเนเธอร์แลนด์ การกำกับดูแลถูกควบคุมโดยพระราชบัญญัติการดำเนินการตามพระราชบัญญัติข้อมูล (Uitvoeringswet dataverordening) หน่วยงานคุ้มครองผู้บริโภคและตลาด (ACM) กำกับดูแลกฎระเบียบส่วนใหญ่ รวมถึงกฎเกี่ยวกับข้อมูลผลิตภัณฑ์ การแบ่งปันข้อมูลระหว่างธุรกิจ และการเปลี่ยนไปใช้บริการคลาวด์

หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ (Autoriteit Persoonsgegevens, AP) เป็นผู้รับผิดชอบในกรณีที่เกี่ยวข้องกับข้อมูลส่วนบุคคล หน่วยงานทั้งสองสามารถออกคำสั่งที่อาจนำไปสู่บทลงโทษ (last onder dwangsom) หรือปรับทางปกครองได้ภายในขอบเขตอำนาจของตน และทั้งสองหน่วยงานร่วมมือและแลกเปลี่ยนข้อมูลในประเด็นที่ทับซ้อนกัน

หากหน่วยงานกำกับดูแลมีมติไม่เป็นไปตามที่ธุรกิจของคุณต้องการ คุณสามารถยื่นคัดค้านต่อหน่วยงานนั้นแล้วจึงยื่นอุทธรณ์ต่อศาลได้ นอกจากการกำกับดูแลแล้ว ธุรกิจยังสามารถบังคับใช้สิทธิของตนภายใต้ข้อบังคับนี้ในศาลแพ่งได้ เช่น ในกรณีที่ผู้ถือข้อมูลปฏิเสธการเข้าถึงข้อมูล

กฎหมายคุ้มครองข้อมูลส่วนบุคคลบังคับใช้กับธุรกิจขนาดเล็กด้วยหรือไม่?

โดยส่วนใหญ่แล้วใช่ ไม่มีข้อยกเว้นทั่วไปสำหรับวิสาหกิจขนาดเล็กและขนาดกลาง ข้อกำหนดด้านการออกแบบสำหรับผลิตภัณฑ์ที่เชื่อมต่อกันและการทดสอบความเป็นธรรมสำหรับเงื่อนไขในสัญญาจะมีผลบังคับใช้ไม่ว่าขนาดของธุรกิจจะเป็นอย่างไรก็ตาม

มีข้อยกเว้นบางประการ ข้อผูกพันเกี่ยวกับการเข้าถึงและการแบ่งปันข้อมูลภายใต้บทที่ 2 ไม่ใช้กับข้อมูลที่สร้างขึ้นจากผลิตภัณฑ์ที่ผลิตหรือบริการที่จัดหาโดยวิสาหกิจขนาดเล็กและขนาดกลาง ตราบใดที่ไม่มีหุ้นส่วนหรือวิสาหกิจที่เกี่ยวข้องที่ใหญ่กว่า ในกรณีฉุกเฉินสาธารณะ วิสาหกิจขนาดเล็กและขนาดกลางมีสิทธิ์ได้รับการชดเชย วิสาหกิจขนาดกลางได้รับประโยชน์จากข้อยกเว้นชั่วคราวที่จำกัด โปรดตรวจสอบอย่างละเอียดว่าธุรกิจของคุณอยู่ในหมวดหมู่ใด

ตอนนี้คุณควรทำอย่างไร

ตรวจสอบผลิตภัณฑ์ บริการ และสัญญาต่างๆ ที่อยู่ภายใต้ขอบเขตของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล โดยเริ่มจากผลิตภัณฑ์ บริการ และสัญญาที่จะวางจำหน่ายในตลาดหลังวันที่ 12 กันยายน 2026

• สำหรับผลิตภัณฑ์ที่เชื่อมต่อ: ตรวจสอบว่าการออกแบบผลิตภัณฑ์และข้อมูลผู้ใช้เป็นไปตามมาตรา 3 หรือไม่ และกำหนดกระบวนการสำหรับการขอเข้าถึงข้อมูล
• สำหรับสัญญาข้อมูลกับธุรกิจอื่น: ตรวจสอบข้อกำหนดมาตรฐานเกี่ยวกับการใช้ข้อมูลและความรับผิดชอบ เพื่อหาข้อกำหนดที่อาจไม่เป็นธรรม
• สำหรับบริการคลาวด์: ตรวจสอบระยะเวลาแจ้งล่วงหน้า ระยะเวลาการโอนย้าย และค่าธรรมเนียมการเปลี่ยนผู้ให้บริการในสัญญาของคุณ
• สำหรับข้อมูลส่วนบุคคล: จัดทำเอกสารเกี่ยวกับพื้นฐานทางกฎหมายสำหรับการไหลเวียนของข้อมูลแต่ละครั้ง และตรวจสอบให้แน่ใจว่าสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลและ GDPR

การปรับปรุงผลิตภัณฑ์และสัญญาให้สอดคล้องกันตั้งแต่เนิ่นๆ ไม่ใช่แค่เรื่องของการปฏิบัติตามกฎระเบียบเท่านั้น การมอบความโปร่งใสและการเข้าถึงข้อมูลแก่ลูกค้ายังสามารถเป็นข้อได้เปรียบทางการค้าได้อีกด้วย

ในการสรุป

• พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลมีผลบังคับใช้ตั้งแต่วันที่ 12 กันยายน 2025 ส่วนข้อกำหนดด้านการออกแบบสำหรับผลิตภัณฑ์ที่เชื่อมต่ออินเทอร์เน็ตจะมีผลบังคับใช้กับผลิตภัณฑ์ที่วางจำหน่ายในตลาดหลังวันที่ 12 กันยายน 2026
• ผู้ใช้สามารถเข้าถึงข้อมูลที่ผลิตภัณฑ์ที่เชื่อมต่อสร้างขึ้น และสามารถแบ่งปันข้อมูลดังกล่าวกับบุคคลที่สามได้ โดยอยู่ภายใต้การคุ้มครองความลับทางการค้า
• เงื่อนไขที่ไม่เป็นธรรมเกี่ยวกับการเข้าถึง การใช้ และความรับผิดต่อข้อมูลซึ่งกำหนดขึ้นฝ่ายเดียว จะไม่มีผลผูกพันกับธุรกิจอื่น
• ผู้ให้บริการคลาวด์ต้องอำนวยความสะดวกในการเปลี่ยนผู้ให้บริการ และห้ามเรียกเก็บค่าธรรมเนียมการเปลี่ยนผู้ให้บริการตั้งแต่วันที่ 12 มกราคม 2027 เป็นต้นไป
• ในประเทศเนเธอร์แลนด์ หน่วยงาน ACM และ AP มีหน้าที่กำกับดูแลการปฏิบัติตามกฎระเบียบ และสามารถเรียกเก็บค่าปรับได้

คำถามที่พบบ่อย

Law & More ให้คำแนะนำแก่ธุรกิจต่างๆ เกี่ยวกับสัญญาข้อมูล ข้อตกลงด้านคลาวด์ และการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลและ GDPR ไม่แน่ใจว่าสถานการณ์ของคุณเป็นอย่างไร? บอกเล่าสถานการณ์ของคุณให้เราฟัง เราจะแจ้งตัวเลือกของคุณภายในหนึ่งวันทำการ

สรุป ความน่าเชื่อถือของ Olymp Trade? Law & More ซึ่งสามารถช่วยคุณได้ ตามที่อธิบายไว้ในหน้าของเรา ทนายความด้านไอที หน้า.