การปกป้องข้อมูลภายในกลุ่มบริษัท

บทนำสู่การปกป้องข้อมูล

การปกป้องข้อมูลส่วนบุคคลนั้นมีความสำคัญอย่างยิ่งในโลกที่กำลังดิจิตอลมากขึ้นในปัจจุบัน ด้วยกฎหมายคุ้มครองข้อมูลทั่วไป (GDPR) ของสหภาพยุโรปและกฎหมายคุ้มครองข้อมูลแห่งชาติเยอรมัน (BDSG) มีการกำหนดกฎเกณฑ์ที่ชัดเจนและบังคับใช้อย่างเข้มงวดว่าบริษัทและองค์กรใหญ่ต้องจัดการกับข้อมูลของลูกค้า พนักงาน และคู่ค้าธุรกิจอย่างไร โดยเฉพาะในองค์กรที่ประกอบด้วยบริษัทหลายแห่ง การดำเนินกระบวนการประมวลผลข้อมูลภายในองค์กรต้องถูกออกแบบให้เป็นไปตามกฎหมาย GDPR และ BDSG ได้ระบุวิธีการเก็บ รักษา และประมวลผลข้อมูลส่วนบุคคลเพื่อปกป้องความเป็นส่วนตัวและสิทธิของผู้ที่เกี่ยวข้อง บริษัทและองค์กรใหญ่จึงจำเป็นต้องปฏิบัติตามกฎระเบียบเหล่านี้อย่างเคร่งครัด เพื่อรักษาความเชื่อมั่นของผู้ที่เกี่ยวข้องและเลี่ยงความเสี่ยงด้านกฎหมาย

องค์กรและการปกป้องข้อมูล

องค์กรคือการรวมตัวของหลายบริษัทที่อยู่ภายใต้การบริหารเดียวกัน โดยหัวหน้าฝ่ายบริหารต้องรับผิดชอบในการทำให้แน่ใจว่าภายในองค์กรปฏิบัติตามข้อกำหนดของกฎหมายคุ้มครองข้อมูลทั่วไป (GDPR) และกฎหมายคุ้มครองข้อมูลแห่งชาติเยอรมัน (BDSG) ครอบคลุมทุกระดับและบริษัทในองค์กร ตั้งแต่บริษัทแม่ไปจนถึงบริษัทย่อย การเก็บ รักษา และประมวลผลข้อมูลส่วนบุคคลต้องดำเนินไปตามข้อกำหนดของกฎหมายอย่างกว้างขวาง หัวหน้าฝ่ายบริหารต้องทำให้แน่ใจว่าบริษัททั้งหมดในองค์กรรู้และดำเนินการตามข้อกำหนดด้านการปกป้องข้อมูลอย่างถูกต้อง เพื่อรับรองความปลอดภัยและการปกป้องข้อมูลอย่างมีประสิทธิภาพ การทำให้บรรลุระดับการปกป้องข้อมูลที่สม่ำเสมอและถูกต้องตามกฎหมายทุกแห่งในองค์กรนั้นมีความสำคัญอย่างยิ่ง

ผู้รับผิดชอบและเจ้าหน้าที่ปกป้องข้อมูล

ภายในองค์กร ผู้รับผิดชอบคือบุคคลหรือหน่วยงานที่ตัดสินใจเกี่ยวกับวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคล ในขณะที่เจ้าหน้าที่ปกป้องข้อมูลมีหน้าที่ในการเฝ้าติดตามการปฏิบัติตามข้อกำหนดของการปกป้องข้อมูลในทุกบริษัทในองค์กร เขาให้คำปรึกษากับหัวหน้าฝ่ายบริหารและบริษัทต่างๆ ในทุกคำถามเกี่ยวกับการปกป้องข้อมูล ฝึกอบรมพนักงาน และเป็นผู้ติดต่อสำหรับผู้ได้รับผลกระทบเมื่อพูดถึงสิทธิของพวกเขาในเรื่องการประมวลผลข้อมูลส่วนบุคคล การทำงานร่วมกันอย่างใกล้ชิดระหว่างผู้รับผิดชอบและเจ้าหน้าที่ปกป้องข้อมูลเป็นสิ่งจำเป็น เพื่อให้มั่นใจว่าการปฏิบัติตามข้อกำหนดของการปกป้องข้อมูลในองค์กรและเพื่อปกป้องสิทธิของผู้ได้รับผลกระทบอย่างมีประสิทธิภาพ

BAG เกี่ยวกับการถ่ายทอดข้อมูลส่วนบุคคลภายในองค์กร – Az. 8 AZR 209/21

การปกป้องข้อมูลมีบทบาทสำคัญในกฎหมายแรงงาน โดยครอบคลุมทั้งการจัดการกับข้อมูลส่วนบุคคลของพนักงานต่อบุคคลภายนอกและภายในองค์กร คำพิพากษาของศาลแรงงานกลางเมื่อวันที่ 8 พฤษภาคม 2025 ระบุชัดเจนว่าการถ่ายทอดข้อมูลภายในกลุ่มบริษัทนั้นต้องปฏิบัติตามข้อกำหนดของกฎหมายคุ้มครองข้อมูลทั่วไป (GDPR) (Az. 8 AZR 209/21)

หน่วยงานมีหน้าที่สำคัญในการดำเนินการกฎหมายคุ้มครองข้อมูล (GDPR): พวกเขาจะต้องทำให้แน่ใจว่ากฎหมายคุ้มครองข้อมูลปฏิบัติตาม รวมถึงกฎหมายคุ้มครองข้อมูลระดับภูมิภาค และดำเนินการมาตรการในการเก็บรวบรวมข้อมูลและการปกป้องข้อมูลส่วนบุคคลในอินเทอร์เน็ต ในบางกรณี หน้าที่และมาตรการเหล่านี้จะถูกกำหนดโดยบทความที่เกี่ยวข้องของกฎหมาย เพื่อรักษาสิทธิของผู้ที่เกี่ยวข้อง เช่น ประชาชน ผู้ใช้ และสาธารณะ และเพื่อสร้างความโปร่งใส

นับตั้งแต่การสมัครงานจนถึงการสิ้นสุดของสัญญาจ้าง ข้อมูลจำนวนมากเกี่ยวกับพนักงานจะถูกเก็บรวบรวมและประมวลผล ในกระบวนการนี้นายจ้างจะต้องปฏิบัติตามข้อกำหนดของกฎหมายคุ้มครองข้อมูลทั่วไป (GDPR) และกฎหมายคุ้มครองข้อมูลแห่งชาติเยอรมัน (BDSG) อย่างเคร่งครัด ตามที่บริษัท MTR Legal Rechtsanwälte ซึ่งเป็นที่ปรึกษาในด้านกฎหมายคุ้มครองข้อมูลเน้นย้ำ

ต้องปฏิบัติตาม GDPR ในการถ่ายทอดข้อมูลภายในองค์กร

การปฏิบัติตามข้อกำหนดของ GDPR ต้องถูกพิจารณาด้วยในการถ่ายทอดข้อมูลภายในองค์กร โดยคำพิพากษาของศาลแรงงานกลางเมื่อวันที่ 8 พฤษภาคม 2025 แสดงให้เห็นว่า พนักงานมีสิทธิที่จะขอค่าเสียหายจากการละเมิด GDPR

ในกรณีตามคำพิพากษา นายจ้างได้ถ่ายทอดข้อมูลส่วนบุคคลของพนักงานไปยังบริษัทแม่ในองค์กร เนื่องจากมีการทดสอบซอฟต์แวร์ใหม่ในการจัดการงานบุคคลที่ต้องการความขัดข้องในระบบใหม่นี้ทั่วทั้งองค์กร

การทดสอบระบบจัดการงานใหม่ถูกกำหนดไว้ในข้อตกลงกับบริษัทก่อนหน้านี้ โดยข้อตกลงระบุว่าสามารถถ่ายทอดชื่อ การเริ่มต้นจ้างงาน บริษัท สถานที่ทำงาน หมายเลขโทรศัพท์และอีเมลของธุรกิจได้ อย่างไรก็ตาม นายจ้างได้ถ่ายทอดข้อมูลเพิ่มเติมเช่น เงินเดือน, วันเกิด, สถานภาพสมรส, หมายเลขประกันสังคม, หมายเลขภาษี และที่อยู่ของพนักงานไปยังบริษัทในองค์กรด้วย

การบังคับใช้กฎหมายคุ้มครองข้อมูลและบทความที่เกี่ยวข้องไม่ได้มีเพียงแค่บริษัทแต่ยังรวมถึงหน่วยงานเพื่อปกป้องสิทธิของผู้ใช้ ประชาชน และเพื่อรักษาความโปร่งใส การดำเนินการเกี่ยวกับการเก็บรวบรวมข้อมูลและการปกป้องข้อมูลส่วนบุคคลในอินเทอร์เน็ตและการบังคับใช้กฎหมายคุ้มครองข้อมูลระดับภูมิภาคนั้นถือว่ามีความสำคัญในทุกกรณี

การถ่ายทอดข้อมูลโดยไม่มีฐานกฎหมายที่เพียงพอ

โจทก์ได้โต้เถียงในกรณีนี้ว่า ข้อมูลของตนถูกประมวลผลโดยไม่มีฐานกฎหมายที่เพียงพอเนื่องจากการใช้ข้อมูลจริงในช่วงทดสอบนั้นไม่จำเป็นและขัดต่อหลักการลดจำนวนข้อมูลและการจำกัดเป้าหมายตามที่ระบุไว้ในข้อ 5 ของ GDPR นอกจากนี้ การประมวลผลดังกล่าวไม่ได้รับการคลุมโดยข้อตกลงที่มีอยู่ และตามข้อ 82 วรรค 1 ของ GDPR โจทก์ได้ขอค่าเสียหายที่ไม่มีรูปแบบเป็นเงินจากการละเมิด GDPR

หลังจากที่ศาลชั้นต้นปฏิเสธการฟ้องร้องของเขา คดีท้ายสุดก็ไปถึงศาลแรงงานกลาง (BAG) ศาลแรงงานกลางได้เรียกความช่วยเหลือจากศาลยุติธรรมยุโรป (ECJ) ซึ่งได้ตัดสินว่ากฎการประมวลผลข้อมูลภายในข้อตกลงต้องสอดคล้องกับหลักเกณฑ์ของ GDPR ศาลแรงงานกลางยอบรับการตัดสินนี้และตัดสินว่าโจทก์มีสิทธิในการขอค่าเสียหาย

การใช้กฎหมายคุ้มครองข้อมูลที่สำคัญและกฎหมายคุ้มครองข้อมูลระดับภูมิภาคเป็นสิ่งจำเป็นสำหรับการรับรองการปกป้องประชาชนและผู้ใช้ในทุกกรณี มาตรการด้านการเก็บข้อมูลและการปกป้องข้อมูลส่วนบุคคลในอินเทอร์เน็ตจะต้องดำเนินการเพื่อให้เกิดความโปร่งใสต่อสาธารณะ

การเรียกร้องค่าเสียหายที่ไม่มีรูปแบบเป็นเงิน

นายจ้างได้ถ่ายทอดข้อมูลมากกว่าที่ข้อตกลงกับบริษัทอนุญาตไปยังบริษัทแม่ในองค์กร ซึ่งไม่จำเป็นและเป็นการละเมิด GDPR ศาลแรงงานกลางได้ชี้แจงเพิ่มเติมว่าจากการถ่ายทอดข้อมูลส่วนบุคคลไปยังบริษัทแม่ โจทก์ได้สูญเสียการควบคุมข้อมูลของตนและได้รับความเสียหายที่ไม่มีรูปแบบเป็นเงิน

คำพิพากษาแสดงให้เห็นว่าการถ่ายทอดข้อมูลภายในองค์กรต้องถูกตรวจสอบด้านสิทธิปกป้องข้อมูลเสมอ ข้อกำหนดด้านสิทธิปกป้องข้อมูลของ GDPR ต้องถูกปฏิบัติอย่างเต็มที่ ครอบคลุมถึงหลักการลดจำนวนข้อมูล การจำกัดเป้าหมาย และความโปร่งใส

การนำมาตรการที่เหมาะสมและการบังคับใช้กฎหมายคุ้มครองข้อมูล รวมถึงบทความที่เกี่ยวข้องอย่างเคร่งครัดเป็นสิ่งจำเป็นในการปกป้องผู้ที่เกี่ยวข้องเช่นประชาชนและผู้ใช้ และการปฏิบัติหน้าที่และการทำให้โปร่งใสต่อสาธารณะ การเก็บรวบรวมข้อมูลในอินเทอร์เน็ตและการบังคับใช้กฎหมายคุ้มครองข้อมูลระดับภูมิภาค รวมถึงการทำให้โปร่งใสต่อสาธารณะ

ความต้องการในการประมวลผลข้อมูลส่วนบุคคลในสัญญาจ้างงาน

การประมวลผลข้อมูลส่วนบุคคลในสัญญาจ้างงานนั้นจะได้รับอนุญาตก็ต่อเมื่อมีฐานกฎหมายที่เหมาะสมเท่านั้น ซึ่งอาจเป็นกรณีที่การประมวลผลข้อมูลจำเป็นในการปฏิบัติตามสัญญาจ้าง นอกจากนี้ การประมวลผลข้อมูลยังเป็นไปได้หากพนักงานได้ให้ความยินยอม ซึ่งความยินยอมต้องมีความสมัครใจ มีการระบุเจาะจง และสามารถเพิกถอน การประมวลผลอาจได้รับอนุมัติหากนายจ้างมีความสนใจที่ชอบในการรักษาความปลอดภัยของบริษัท และไม่มีความสนใจหรือสิทธิมนุษยชนที่มีความสำคัญของพนักงานที่ขัดขวาง

คำพิพากษาของศาลแรงงานกลางเน้นความสำคัญในการจัดการข้อมูลพนักงานอย่างรับผิดชอบและความจำเป็นในการรวมการปกป้องข้อมูลในกระบวนการภายในองค์กรตั้งแต่ต้นอย่างครบถ้วน

MTR Legal Rechtsanwälte ให้คำปรึกษาด้านกฎหมายแรงงานและ กฎหมายคุ้มครองข้อมูล.

โปรด ติดต่อ เรา!

การปฏิบัติตามข้อกำหนดของการปกป้องข้อมูล รวมถึงบทความที่เกี่ยวข้องและการนำมาตรการที่เหมาะสมในการเก็บรวบรวมข้อมูลในอินเทอร์เน็ตและการบังคับใช้กฎหมายคุ้มครองข้อมูลระดับภูมิภาคเป็นสิ่งสำคัญสำหรับการปกป้องผู้ที่เกี่ยวข้อง เช่น ประชาชน ผู้ใช้ และสาธารณะ และสำหรับการปฏิบัติหน้าที่และการทำให้โปร่งใสต่อสาธารณะ