ကိုယ်ရေးကိုယ်တာအချက်အလက်များကို ပြင်ပအဖွဲ့အစည်းများနှင့် မျှဝေခြင်း- စီမံခန့်ခွဲရမည့် GDPR အန္တရာယ် ၇ ခု

အပိုဒ် ၆ အရ တရားဝင်အခြေခံရှိပြီး၊ လက်ခံသူသည် ပရိုဆက်ဆာ သို့မဟုတ် ထိန်းချုပ်သူဖြစ်ကြောင်း စာဖြင့်ဆုံးဖြတ်ပြီးဖြစ်ပြီး မျှဝေခြင်းနှင့်ပတ်သက်သည့် သက်ဆိုင်သူများကို ပြောပြပြီးမှသာ GDPR အရ ကိုယ်ရေးကိုယ်တာအချက်အလက်များကို မျှဝေနိုင်ပါသည်။ အဓိကခြွင်းချက်များမှာ ဥရောပစီးပွားရေးဇုန် (EEA) ပြင်ပသို့ ငွေလွှဲပြောင်းခြင်းနှင့် အခန်း V နှင့် အပိုဒ် ၃၅ GDPR အရ အပိုလိုအပ်ချက်များ ယူဆောင်လာသည့် အန္တရာယ်များသော ပရိုဆက်ဆာများဖြစ်သည်။

နယ်သာလန်နိုင်ငံတွင် ဒတ်ချ်ဒေတာကာကွယ်ရေးအာဏာပိုင် ( Autoriteit Persoonsgegevens , AP) သည် ဒတ်ချ်အကောင်အထည်ဖော်ရေးဥပဒေ ( Uitvoeringswet AVG , UAVG) နှင့်အတူ GDPR ကို ပြဋ္ဌာန်းသည်။ ပြည်ပရှိ cloud provider၊ payroll bureau၊ debt collector သို့မဟုတ် group company တစ်ခုသို့ စီးဆင်းမှုတိုင်းသည် ၎င်း၏ကိုယ်ပိုင်အကြောင်းပြချက်လိုအပ်သော သီးခြားလုပ်ဆောင်မှုလုပ်ဆောင်ချက်တစ်ခုဖြစ်သည်။ အောက်တွင် လက်တွေ့တွင် ထပ်ခါတလဲလဲဖြစ်ပွားလေ့ရှိသော အန္တရာယ်ခုနစ်ခု၊ ၎င်းတို့နောက်ကွယ်ရှိပြဋ္ဌာန်းချက်များနှင့် သင်ဘာလုပ်နိုင်သည်ကို ဖော်ပြထားပါသည်။

အန္တရာယ် ၁: သင်သည် ခိုင်လုံသော ဥပဒေရေးရာ အခြေခံမရှိဘဲ ဒေတာများကို မျှဝေနေပါသလား။

ကိုယ်ရေးကိုယ်တာအချက်အလက်များ ထုတ်ဖော်မှုတိုင်းတွင် Article 6(1) GDPR ပါ ဥပဒေဆိုင်ရာအခြေခံခြောက်ခုအနက် တစ်ခုခု လိုအပ်ပါသည်။ စီးပွားရေးအကြောင်းပြချက်သည် ၎င်းတို့ထဲမှ တစ်ခုမဟုတ်ပါ။

အခြေခံခြောက်ခုမှာ ပြည့်စုံသည်- သဘောတူညီချက်၊ စာချုပ်တစ်ရပ်ကို အကောင်အထည်ဖော်ခြင်း၊ တရားဝင်တာဝန်ဝတ္တရား၊ အရေးကြီးသော အကျိုးစီးပွားများ၊ အများပြည်သူဆိုင်ရာတာဝန်နှင့် တရားဝင်အကျိုးစီးပွားများဖြစ်သည်။ အပိုဒ် 5(1)(a) တွင် လုပ်ဆောင်မှုသည် တရားဝင်ရမည်ဖြစ်ပြီး၊ တရားမျှတပြီး ပွင့်လင်းမြင်သာမှုရှိရမည်ဟု ထပ်လောင်းဖော်ပြထားသောကြောင့် မည်သူ့ကိုမျှ ရှင်းပြခြင်းမရှိသော အခြေခံတစ်ခုသည် ကွာဟချက်တစ်ခု ကျန်ရှိနေသေးသည်။

တရားဝင်အကျိုးစီးပွားဟာ ဘာကြောင့် ထောင်ချောက်တစ်ခု ဖြစ်ရတာလဲ?

တရားဝင်အကျိုးစီးပွားများသည် လုပ်ဖော်ကိုင်ဖက်များနှင့် မျှဝေရန်အတွက် အများဆုံးအသုံးပြုလေ့ရှိသော အခြေခံဖြစ်ပြီး မှားယွင်းစွာ အများဆုံးအသုံးပြုလေ့ရှိသည်။ ၎င်းတွင် အဆင့်သုံးဆင့်ပါ စမ်းသပ်မှုတစ်ခု လိုအပ်သည်-

• အကျိုးစီးပွားသည် တရားဝင်ဖြစ်ရမည်။
• မျှဝေခြင်းသည် ၎င်းကို ဝန်ဆောင်မှုပေးရန် လိုအပ်ရမည်။
• သက်ဆိုင်ရာပြည်သူများ၏ အခွင့်အရေးများနှင့် လွတ်လပ်ခွင့်များဖြင့် အကျိုးစီးပွားကို လွှမ်းမိုးမထားရ။

မျှဝေမှုမစတင်မီ ဤစမ်းသပ်မှုကို သင်လုပ်ဆောင်ပြီး မှတ်တမ်းတင်ရမည်၊ အဘယ်ကြောင့်ဆိုသော် Article 5(2) GDPR သည် ထိန်းချုပ်သူ (တာဝန်ခံမှု) အပေါ် သက်သေပြရန် ဝန်ထုပ်ဝန်ပိုးဖြစ်စေသောကြောင့်ဖြစ်သည်။ တိုင်ကြားချက်တစ်ခု ရောက်ရှိပြီးနောက် ရေးသားထားသော အကဲဖြတ်ချက်သည် အလွန်တန်ဖိုးမရှိပါ။

သဘောတူညီချက်နှင့် ရည်ရွယ်ချက်ကန့်သတ်ချက်ကော။

ဝန်ထမ်းများ၏ သဘောတူညီချက်သည် ရှားရှားပါးပါးသာ တရားဝင်ပါသည်၊ အဘယ်ကြောင့်ဆိုသော် အာဏာမညီမျှမှုကြောင့် ၎င်းကို လွတ်လပ်စွာပေးအပ်ခြင်းမရှိပါ (ပုဒ်မ 7(4) နှင့် ဖော်ပြချက် 43 GDPR)။ ပုဒ်မ 5(1)(ခ) အရ ရည်ရွယ်ချက်ကန့်သတ်ချက်သည် မျှဝေခြင်းအတွက်လည်း အကျုံးဝင်ပါသည်- ဝန်ဆောင်မှုတစ်ခုပေးအပ်ရန် စုဆောင်းရရှိသောဒေတာသည် စျေးကွက်ရှာဖွေရေးအတွက် မိတ်ဖက်ထံ ရိုးရှင်းစွာရောက်ရှိ၍မရပါ။ ရည်ရွယ်ချက်အသစ်သည် မူလရည်ရွယ်ချက်နှင့် မကိုက်ညီပါက အခြေခံအသစ်တစ်ခု လိုအပ်ပါသည်။

ဘာလုပ်ရမလဲ- ဒေတာသည် သင့်အဖွဲ့အစည်းမှ မထွက်ခွာမီ အခြေခံကို ဖော်ထုတ်ပါ၊ ၎င်းကို ရေးမှတ်ထားပါ၊ သင်၏ ကိုယ်ရေးကိုယ်တာ အသိပေးချက်တွင် မျှဝေခြင်းကို ဖော်ပြထားပြီးဖြစ်ကြောင်း စစ်ဆေးပါ။ သဘောတူညီချက်ကို လွတ်လပ်စွာ ပေးရမည်၊ တိကျရမည်၊ သတင်းအချက်အလက်အပြည့်အစုံရှိရမည်၊ ရှင်းလင်းပြတ်သားရမည်၊ ပေးသလောက် ရုပ်သိမ်းရလွယ်ကူရမည် (Articles 4(11) and 7(3) GDPR)။

အန္တရာယ် ၂: ထိန်းချုပ်ကိရိယာနဲ့ ပရိုဆက်ဆာ အခန်းကဏ္ဍတွေကို မှားယွင်းစွာ အသုံးချမိနေပါသလား။

ထိန်းချုပ်သူတစ်ဦးသည် လုပ်ဆောင်ခြင်း၏ ရည်ရွယ်ချက်များနှင့် နည်းလမ်းများကို ဆုံးဖြတ်သည်။ ပရိုဆက်ဆာသည် ထိန်းချုပ်သူ၏ မှတ်တမ်းတင်ထားသော ညွှန်ကြားချက်များအပေါ်တွင်သာ လုပ်ဆောင်သည် (အပိုဒ် 4(7) နှင့် (8) GDPR)။ အရေးကြီးသည်မှာ စာချုပ်တွင် ပါဝင်သူများကို မည်သို့ခေါ်ဝေါ်သည်မဟုတ်ဘဲ မည်သူက အမှန်တကယ်ဆုံးဖြတ်သည်ဆိုသည့်အချက်ဖြစ်သည်။

အဖြစ်များသော အမှားမှာ ပေးသွင်းသူတိုင်းကို ပရိုဆက်ဆာဟု တံဆိပ်ကပ်ခြင်း ဖြစ်သည်။ သို့သော် အောက်ပါတို့မှ မည်သည့်အရာမျှ ညွှန်ကြားချက်များအပေါ်တွင်သာ လုပ်ဆောင်ခြင်းမရှိပါ။

• ၎င်း၏ကိုယ်ပိုင်ထုတ်ကုန်ကို တိုးတက်ကောင်းမွန်စေရန်အတွက် ဖောက်သည်ဒေတာကို အသုံးပြုသည့် SaaS ဝန်ဆောင်မှုပေးသူ။
• ပရော်ဖက်ရှင်နယ်စည်းမျဉ်းများဖြင့် ချည်နှောင်ထားသော စာရင်းကိုင်တစ်ဦး။
• ငွေပေးချေမှုကို လုပ်ဆောင်သောဘဏ်တစ်ခု။
• ၎င်း၏ကိုယ်ပိုင်ပရိသတ်ပရိုဖိုင်များကိုတည်ဆောက်သော ကြော်ငြာပလက်ဖောင်းတစ်ခု။

တစ်ခုချင်းစီသည် အနည်းဆုံး လုပ်ငန်းစဉ်၏ အစိတ်အပိုင်းတစ်ခုအတွက် ထိန်းချုပ်သူတစ်ဦးဖြစ်သည်။ အဖွဲ့အစည်းနှစ်ခုသည် ရည်ရွယ်ချက်များနှင့် နည်းလမ်းများကို ပူးတွဲဆုံးဖြတ်သည့်အခါ GDPR အပိုဒ် ၂၆ အရ ပူးတွဲထိန်းချုပ်သူများဖြစ်သည်။ ၎င်းတို့သည် ၎င်းတို့၏ တာဝန်ဝတ္တရားများကို အစီအစဉ်တစ်ခုတွင် ဖော်ပြရမည်ဖြစ်ပြီး ၎င်း၏အနှစ်သာရကို သက်ဆိုင်ရာလူများ ရရှိနိုင်အောင် ပြုလုပ်ရမည်။

EU တရားရုံးက ပူးတွဲထိန်းချုပ်မှုကို မည်မျှကျယ်ပြန့်စွာ အဓိပ္ပာယ်ဖွင့်ဆိုထားသနည်း။

ယေဘုယျအားဖြင့်။ Fashion ID (C-40/17) တွင် ၊ တရားရုံးက ပြင်ပလူမှုရေးပလပ်အင်ထည့်သွင်းထားသော ဝဘ်ဆိုက်အော်ပရေတာသည် နောက်ပိုင်းတွင် အချက်အလက်များကို ဝင်ရောက်ကြည့်ရှုခွင့်မရှိသော်လည်း လာရောက်ကြည့်ရှုသူများ၏ဒေတာများ စုဆောင်းခြင်းနှင့် ထုတ်လွှင့်ခြင်းအတွက် ပူးတွဲထိန်းချုပ်သူဖြစ်သည်ဟု ဆုံးဖြတ်ခဲ့သည်။ ရည်ရွယ်ချက်များအပေါ် တစ်စိတ်တစ်ပိုင်းလွှမ်းမိုးမှုသည် လုံလောက်ပြီး ရလဒ်အနေဖြင့် သင်မဖြစ်စေသော ချိုးဖောက်မှုအတွက် ပူးတွဲတာဝန်ယူမှုဖြစ်သည်။

ဘာလုပ်ရမလဲ- ဒေတာစီးဆင်းမှုများကို မြေပုံရေးဆွဲပြီး ဒေတာကို အဘယ်ကြောင့်နှင့် မည်သို့စီမံဆောင်ရွက်သည်ကို မည်သူဆုံးဖြတ်သည်ကို မှတ်တမ်းတင်ပါ။ ပရိုဆက်ဆာများအတွက် အပိုဒ် ၂၈ အရ စီမံဆောင်ရွက်ရေးသဘောတူညီချက်နှင့် နှစ်ဖက်စလုံးက ဆုံးဖြတ်သည့် အပိုဒ် ၂၆ အရ ပူးတွဲထိန်းချုပ်သူအစီအစဉ်တစ်ခုကို အသုံးပြုပါ။

အန္တရာယ် ၃: သင့်ရဲ့ဒေတာစီမံဆောင်ရွက်မှုသဘောတူညီချက် ပျောက်ဆုံးနေသလား ဒါမှမဟုတ် ချို့ယွင်းနေသလား။

ပရိုဆက်ဆာတစ်ခုက သင့်အတွက် ကိုယ်ရေးကိုယ်တာအချက်အလက်များကို ကိုင်တွယ်ပါက Article 28(3) GDPR တွင် ရေးသားထားသော စာချုပ်တစ်ခု လိုအပ်ပါသည်။ ၎င်းမရှိပါက မည်သည့်ဒေတာမှ ပေါက်ကြားခြင်းမရှိသည့်တိုင် ပရိုဆက်ဆာစတင်သည့်အချိန်မှစ၍ သင်သည် ချိုးဖောက်မှုကျူးလွန်ခြင်းဖြစ်သည်။

အကြောင်းအရာကို ဥပဒေအရ သတ်မှတ်ထားသည်။ လိုက်နာသော ဒေတာစီမံဆောင်ရွက်မှု သဘောတူညီချက် တွင် လုပ်ငန်းစဉ်၏ အကြောင်းအရာ၊ ကြာချိန်၊ သဘောသဘာဝနှင့် ရည်ရွယ်ချက်၊ ကိုယ်ရေးကိုယ်တာဒေတာအမျိုးအစားများနှင့် လူအမျိုးအစားများ၊ ထိန်းချုပ်သူ၏ အခွင့်အရေးများနှင့် တာဝန်ဝတ္တရားများကို ဖော်ပြထားသည်။ ၎င်းသည် ပရိုဆက်ဆာအား အောက်ပါတို့နှင့်လည်း ချည်နှောင်ထားရမည်-

• မှတ်တမ်းတင်ထားသော ညွှန်ကြားချက်များအတိုင်းသာ လုပ်ငန်းစဉ်ကို လုပ်ဆောင်ပါ။
• ၎င်း၏ဝန်ထမ်းများအပေါ် လျှို့ဝှက်ချက်ထားရှိခြင်း။
• ပုဒ်မ ၃၂ တွင် လိုအပ်သော လုံခြုံရေးအစီအမံများကို ဆောင်ရွက်ရမည်။
• ဒေတာပိုင်ရှင်များ၏ တောင်းဆိုမှုများနှင့် ချိုးဖောက်မှုအကြောင်းကြားစာများအတွက် အကူအညီ။
• စေ့စပ်ညှိနှိုင်းမှုပြီးဆုံးချိန်တွင် အချက်အလက်များကို ဖျက်ပစ်ခြင်း သို့မဟုတ် ပြန်ပို့ခြင်း။
• လိုက်နာမှုကို ပြသရန် လိုအပ်သော အချက်အလက်များကို ပေးပြီး စာရင်းစစ်များကို ခွင့်ပြုပါ။

ဘာကြောင့် sub-processor clause တွေက မကြာခဏ ပျက်ကွက်ရတာလဲ။

အပိုဒ် 28(2) နှင့် (4) အရ၊ ပရိုဆက်ဆာသည် မည်သည့် လက်အောက်ခံပရိုဆက်ဆာအတွက်မဆို သင်၏ ကြိုတင်သီးခြား သို့မဟုတ် အထွေထွေရေးသားခွင့်ပြုချက် လိုအပ်ပါသည်။ အထွေထွေခွင့်ပြုချက်ဖြင့်၊ ၎င်းသည် ရည်ရွယ်ထားသော ပြောင်းလဲမှုများကို သင့်အား အသိပေးရမည်ဖြစ်ပြီး ကန့်ကွက်ရန် အခွင့်အရေးပေးရမည်။ ၎င်းနှစ်သက်သူ မည်သူမဆိုကို ခန့်အပ်ခွင့်ပြုထားသော စာပိုဒ်သည် ထိုစံနှုန်းနှင့် မကိုက်ညီပါ။

ဘာလုပ်ရမလဲ- အပိုဒ် 28(3) အပိုဒ်ချင်းစီကို လိုက်နာသော ပုံစံမှ လုပ်ဆောင်ပြီး ပေးသွင်းသူ၏ ကိုယ်ပိုင်စည်းကမ်းချက်များကို မှီခိုမည့်အစား ရှိပြီးသား သဘောတူညီချက်များကို ပြန်လည်သုံးသပ်ပါ။ ရေရှည်ဆက်ဆံရေးများသည် စာရွက်စာတမ်းမတင်ထားခြင်း ဖြစ်နိုင်ခြေ အရှိဆုံးဖြစ်သည်။

အန္တရာယ် ၄: သင်သည် အကာအကွယ်များမပါဘဲ EEA ပြင်ပသို့ ဒေတာများ လွှဲပြောင်းနေပါသလား။

EEA ပြင်ပသို့ လွှဲပြောင်းခြင်းကို လုံလောက်မှုဆုံးဖြတ်ချက် (ပုဒ်မ ၄၅ GDPR) သို့မဟုတ် သင့်လျော်သော ကာကွယ်မှုများ (ပုဒ်မ ၄၆)၊ ပုံမှန်အားဖြင့် ကော်မရှင်၏ စံစာချုပ်ဆိုင်ရာ အပိုဒ်များ (SCCs) သို့မဟုတ် စည်းနှောင်မှုရှိသော ကော်ပိုရိတ်စည်းမျဉ်းများအပေါ် အခြေခံ၍သာ ခွင့်ပြုသည်။ ပုဒ်မ ၄၉ ရှိ ခြွင်းချက်များ၊ ဥပမာ- ရှင်းလင်းသော သဘောတူညီချက်သည် ရံဖန်ရံခါ လွှဲပြောင်းမှုများအတွက်ဖြစ်ပြီး ဖွဲ့စည်းပုံဆိုင်ရာ အချက်အလက်စီးဆင်းမှုကို ပံ့ပိုးနိုင်မည်မဟုတ်ပါ။

ဒေတာကို EEA ပြင်ပမှ ဝင်ရောက်အသုံးပြုနိုင်သည့်အခါတိုင်း လွှဲပြောင်းမှုတစ်ခု ဖြစ်ပေါ်ပြီး၊ ၎င်းကို ထိုနေရာသို့ ကူးယူသည့်အခါတွင်သာ မဟုတ်ပါ။ ပြည်ပရှိ မိခင်ကုမ္ပဏီတစ်ခုမှ အဝေးထိန်းစီမံခန့်ခွဲမှုသည် ဆာဗာများ ဖရန့်ဖတ်တွင် ရှိနေလျှင်ပင် လွှဲပြောင်းမှုတစ်ခုဖြစ်သည်။

Schrems II နှင့် Data Privacy Framework တို့သည် သင့်အတွက် အဘယ်အရာကို ဆိုလိုသနည်း။

Schrems II (C-311/18) တွင် ၊ တရားရုံးသည် EU-US Privacy Shield ကို ပယ်ဖျက်ပြီး စံစာချုပ်ဆိုင်ရာ စည်းကမ်းချက်များသည် ၎င်းတို့ဘာသာ မလုံလောက်ဟု ဆုံးဖြတ်ခဲ့သည်။ တင်ပို့သူသည် ဦးတည်ရာနိုင်ငံ၏ ဥပဒေသည် စည်းကမ်းချက်များကို ထိခိုက်စေခြင်း ရှိ၊ မရှိ အကဲဖြတ်ရမည်ဖြစ်ပြီး ၎င်းထိခိုက်စေသည့်နေရာတွင် ဖြည့်စွက်အစီအမံများကို ထည့်သွင်းရမည်။ လွှဲပြောင်းမှုသက်ရောက်မှု အကဲဖြတ်ခြင်း (TIA) သည် Article 46 လွှဲပြောင်းမှုတိုင်းအတွက် လိုအပ်နေဆဲဖြစ်သည်။

ကော်မရှင်သည် ၂၀၂၃ ခုနှစ် ဇူလိုင်လတွင် EU-US ဒေတာလုံခြုံရေး မူဘောင် (DPF) အတွက် လုံလောက်မှုရှိမရှိ ဆုံးဖြတ်ချက်တစ်ရပ်ကို ချမှတ်ခဲ့ပြီး ၂၀၂၅ ခုနှစ် စက်တင်ဘာလ ၃ ရက်နေ့တွင် အထွေထွေတရားရုံးက ၎င်း၏ ပယ်ဖျက်မှုအတွက် တရားစွဲဆိုမှုကို ပယ်ချခဲ့သည် ( Latombe ၊ T-553/23)။ ၎င်း၏ အသိအမှတ်ပြုလက်မှတ်လွှမ်းခြုံထားသော ဒေတာအတွက် မူဘောင်အောက်တွင် အသိအမှတ်ပြုထားသော အမေရိကန်အဖွဲ့အစည်းတစ်ခုသို့ လွှဲပြောင်းမှုများသည် လုံလောက်မှုအပေါ် မူတည်နိုင်ပြီး အခြားအမေရိကန်လက်ခံသူများထံ လွှဲပြောင်းမှုများသည် မမှီခိုနိုင်ပါ။ တရားရုံးသို့ အယူခံဝင်နိုင်သောကြောင့် အသိအမှတ်ပြုလက်မှတ်ကို စစ်ဆေးပြီး အရန်တစ်ခုကို နေရာတွင်ထားရှိပါ။

ဘာလုပ်ရမလဲ- လက်အောက်ခံလုပ်ဆောင်သူများနှင့် ပံ့ပိုးမှုအစီအစဉ်များအပါအဝင် သင့်ထောက်ပံ့ရေးကွင်းဆက်ရှိ တတိယနိုင်ငံမှ လွှဲပြောင်းမှုများကို စာရင်းပြုစုပါ။ လုံလောက်မှုမရှိပါက လက်ရှိ SCC များကို အသုံးပြုပါ၊ TIA ကို မှတ်တမ်းတင်ပြီး EEA တွင်သိမ်းဆည်းထားသော သော့များဖြင့် ကုဒ်ဝှက်ခြင်းကဲ့သို့သော ဖြည့်စွက်အစီအမံများကို မှတ်တမ်းတင်ပါ။ AP သည် Article 58(2)(j) GDPR အရ လွှဲပြောင်းမှုကို ဆိုင်းငံ့ရန် အမိန့်ပေးနိုင်သည်။

အန္တရာယ် ၅: ဒေတာကာကွယ်ရေး သက်ရောက်မှု အကဲဖြတ်ချက်ကို သင်ကျော်သွားပါသလား။

GDPR အပိုဒ် ၃၅ တွင် ဒေတာကာကွယ်ရေးသက်ရောက်မှုအကဲဖြတ်ခြင်း (DPIA) ကို လိုအပ်သည်။ ဒေတာမျှဝေခြင်းသည် အဖွဲ့အစည်းများမျှော်လင့်ထားသည်ထက် စော၍ ထိုကန့်သတ်ချက်ကို ကျော်လွန်လေ့ရှိသည်။

ပုဒ်မ 35(3) တွင် ကိစ္စရပ်သုံးခုကို ဖော်ပြထားသည်- ဥပဒေရေးရာ သို့မဟုတ် အလားတူ သိသာထင်ရှားသော အကျိုးသက်ရောက်မှုများပါရှိသော စနစ်တကျနှင့် ကျယ်ပြန့်သော အလိုအလျောက် အကဲဖြတ်ခြင်း၊ အထူးအမျိုးအစားများ သို့မဟုတ် ရာဇဝတ်မှုဆိုင်ရာ အချက်အလက်များကို ကြီးမားသော စီမံဆောင်ရွက်မှုနှင့် အများပြည်သူဆိုင်ရာ နေရာတစ်ခုကို ကြီးမားသော စနစ်တကျ စောင့်ကြည့်ခြင်း။ AP သည် DPIA အမြဲလိုအပ်သော လုပ်ဆောင်ချက်များစာရင်းကိုလည်း ထုတ်ပြန်သည်။ အချက်အလက်အစုများ ပေါင်းစပ်ခြင်း၊ ခွဲခြမ်းစိတ်ဖြာမှုပေးသူနှင့် ကျန်းမာရေးဒေတာ မျှဝေခြင်း သို့မဟုတ် ဝန်ထမ်းများကို စောင့်ကြည့်ခြင်းသည် မကြာခဏ ၎င်း၏ကိုယ်ပိုင် ကန့်သတ်ချက်ကို ကျော်လွန်သွားလေ့ရှိသည်။

DPIA မှာ ဘာတွေပါဝင်သင့်လဲ။

ပုဒ်မ 35(7) အရ၊ DPIA သည် လုပ်ဆောင်မှုနှင့် ၎င်း၏ရည်ရွယ်ချက်များကို ဖော်ပြသည်၊ လိုအပ်ချက်နှင့် အချိုးကျမှုကို အကဲဖြတ်သည်၊ သက်ဆိုင်ရာလူများအတွက် အန္တရာယ်များကို ဖော်ထုတ်ပြီး ၎င်းတို့ကို ကိုင်တွယ်ဖြေရှင်းသည့် အစီအမံများကို ချမှတ်သည်။ ကျန်ရှိနေသော အန္တရာယ် မြင့်မားစွာ ကျန်ရှိနေပါက၊ ပုဒ်မ 36 သည် လုပ်ဆောင်မှုမစတင်မီ AP နှင့် ကြိုတင်တိုင်ပင်ဆွေးနွေးရန် လိုအပ်ပါသည်။

ဘာလုပ်ရမလဲ- အချက်အလက်မျှဝေခြင်း အစီအစဉ်အသစ်တိုင်းကို Article 35(3) နှင့် AP စာရင်းတို့နှင့် တိုက်ဆိုင်စစ်ဆေးပြီး သင့်တွင် ဒေတာကာကွယ်ရေးအရာရှိရှိပါက ပါဝင်စေပါ။ လုပ်ဆောင်မှုပြောင်းလဲသောအခါ DPIA ကို ပြန်လည်ကြည့်ရှုပါ။ လိုအပ်သော DPIA ကို မလုပ်ဆောင်ခြင်းသည် ၎င်းကိုယ်တိုင်က ချိုးဖောက်မှုတစ်ခုဖြစ်သည်။

အန္တရာယ် ၆: မျှဝေခြင်းအကြောင်း လူတွေကို သိပ်ပြောပြလွန်းနေလား။

ပွင့်လင်းမြင်သာမှုသည် သီးခြားတာဝန်ဝတ္တရားတစ်ခုဖြစ်ပြီး မျှဝေခြင်းသည် တရားဝင်သည့်တိုင် သင်ချိုးဖောက်နိုင်သည်။ GDPR အပိုဒ် ၁၃ နှင့် ၁၄ တွင် ရည်ရွယ်ချက်များ၊ ဥပဒေရေးရာအခြေခံနှင့် လက်ခံသူများ သို့မဟုတ် လက်ခံသူများ၏ အမျိုးအစားများကို ဖော်ပြရန် လိုအပ်သည်။

“ယုံကြည်စိတ်ချရသော မိတ်ဖက်များနှင့် မျှဝေနိုင်သည်” ဟု ဒေတာကို ဖော်ပြသည့် စာကြောင်းတစ်ကြောင်းသည် မည်သည့်အရာကိုမျှ မဖော်ပြပါ။ hosting provider များ၊ payroll administrator များ သို့မဟုတ် credit reference agencies များကဲ့သို့သော အမျိုးအစားများကို တိကျစွာ ဖော်ပြပါ။ EEA ပြင်ပရှိ ငွေလွှဲပြောင်းမှုများအတွက်၊ Articles 13(1)(f) နှင့် 14(1)(f) တို့တွင် အသိပေးချက်တွင် ထိုသို့ဖော်ပြထားရန်နှင့် အားကိုးရသော ကာကွယ်မှုကို ဖော်ထုတ်ရန် လိုအပ်သည်။

သင်ကိုယ်တိုင် ဒေတာမစုဆောင်းပါက မည်သည့်အပိုဆောင်း အကျုံးဝင်သနည်း။

ပုဒ်မ ၁၄ အရ၊ အသိပေးချက်တွင် အချက်အလက်အမျိုးအစားများနှင့် ၎င်းတို့၏ရင်းမြစ်ကိုလည်း ဖော်ပြရမည်။ သင်သည် ကျိုးကြောင်းဆီလျော်သောကာလအတွင်းနှင့် အနည်းဆုံး တစ်လအတွင်း သို့မဟုတ် စောစီးစွာရောက်ရှိလာပါက ထိုသူနှင့် ပထမဆုံးဆက်သွယ်မှုတွင် ပေးရမည်။ နယ်သာလန်နိုင်ငံရှိ ကိုယ်ရေးကိုယ်တာမူဝါဒဆိုင်ရာ ကျွန်ုပ်တို့၏စာမျက်နှာတွင် အကြောင်းအရာအပြည့်အစုံကို ဖော်ပြထားသည်။

ဘာလုပ်ရမလဲ- နောက်လာမည့် နှစ်ပတ်လည် ပြန်လည်သုံးသပ်ချက်တွင် မဟုတ်ဘဲ လက်ခံသူအသစ်တစ်ဦးမှ အချက်အလက်များ မရရှိမီ အကြောင်းကြားချက်ကို အပ်ဒိတ်လုပ်ပါ။ အပိုဒ် 12(1) တွင် အကြောင်းကြားချက်များသည် တိုတိုတုတ်တုတ်၊ နားလည်ရလွယ်ကူပြီး ရှင်းလင်းပြတ်သားသော ဘာသာစကားဖြင့် ပြုလုပ်ရန် လိုအပ်သည်။

အန္တရာယ် ၇: ကလောင်အမည်ဝှက်ထားသောဒေတာကို အမည်မဖော်လိုသူအဖြစ် သဘောထားနေပါသလား။

သော့ကိုကိုင်ဆောင်ထားသော အဖွဲ့အစည်းအတွက်၊ ကလောင်အမည်ဝှက်ထားသော အချက်အလက်များသည် ကိုယ်ရေးကိုယ်တာအချက်အလက်များအဖြစ် ဆက်လက်တည်ရှိနေပါသည်။ စစ်မှန်သော အမည်မဖော်လိုခြင်းသည်သာ GDPR ပြင်ပရှိ အချက်အလက်များကို ယူဆောင်သွားပါသည်။

အပိုဒ် 4(5) GDPR သည် ကလောင်အမည်ဝှက်ခြင်းကို သီးခြားသိမ်းဆည်းထားသော အပိုဆောင်းအချက်အလက်များမပါဘဲ လူတစ်ဦးနှင့် ချိတ်ဆက်၍မရတော့စေရန် လုပ်ဆောင်နေသောဒေတာအဖြစ် သတ်မှတ်သည်။ Recital 26 သည် ထိုကဲ့သို့သောဒေတာသည် ၎င်းကိုပြန်လည်သတ်မှတ်နိုင်သူတိုင်းအတွက် GDPR အတွင်းတွင်ရှိနေကြောင်း အတည်ပြုသည်။ ထို့ကြောင့် အမည်များကို ဖောက်သည်နံပါတ်များဖြင့် အစားထိုးခြင်းသည် သင့်ဘက်မှ ဥပဒေရေးရာအခြေခံ၊ လုပ်ဆောင်ခြင်းသဘောတူညီချက် သို့မဟုတ် ကိုယ်ရေးကိုယ်တာအသိပေးချက် လိုအပ်မှုကို ဖယ်ရှားခြင်းမဟုတ်ပါ။

ကလောင်အမည်ဝှက်ထားသော အချက်အလက်များသည် လက်ခံသူအတွက် ကိုယ်ရေးကိုယ်တာမဟုတ်နိုင်ပါသလား။

ဖြစ်နိုင်သည်။ EDPS v SRB (C-413/23 P, 4 September 2025) တွင် ၊ တရားရုံးက ကလောင်အမည်ဝှက်ထားသောဒေတာများသည် သက်ဆိုင်ရာလူများကို ကျိုးကြောင်းဆီလျော်စွာ ပြန်လည်ခွဲခြားသတ်မှတ်နိုင်ခြင်းမရှိသော လက်ခံသူအတွက် ကိုယ်ရေးကိုယ်တာဒေတာများ မဖြစ်ရန် မလိုအပ်ဟု ဆုံးဖြတ်ခဲ့သည်။ ထုတ်ဖော်ထိန်းချုပ်သူသည် ကောက်ခံချိန်တွင် လက်ခံသူအကြောင်း ထိုလူများကို အသိပေးရမည်ဟုလည်း တရားရုံးက ဆုံးဖြတ်ခဲ့သည်။

ဘာလုပ်ရမလဲ- လက်ခံသူ အသုံးပြုနိုင်ခြေရှိတဲ့ နည်းလမ်းတွေကို အကဲဖြတ်ပါ၊ ၎င်းမှာ သိမ်းဆည်းထားတဲ့ အခြားဒေတာစုတွေ အပါအဝင်ပေါ့။ စာတိုက်ကုဒ်၊ မွေးသက္ကရာဇ်နဲ့ ငွေပေးငွေယူမှတ်တမ်းတွေက ပြန်လည်ခွဲခြားသတ်မှတ်နိုင်စေပါတယ်။ သော့ကို ဘယ်လိုသီးခြားသိမ်းဆည်းထားလဲဆိုတာ မှတ်တမ်းတင်ထားပါ။ ပုဒ်မ ၃၂ မှာ လုံခြုံရေးအစီအမံအဖြစ် ကလောင်အမည်ဝှက်ကို သတ်မှတ်ပြီး ချိုးဖောက်မှုတစ်ခုကို အကဲဖြတ်ရင် သင့်အတွက် အကျိုးရှိပါတယ်။

နယ်သာလန်မှာ ပြဋ္ဌာန်းချက်တွေက ဘယ်လိုမျိုးလဲ။

GDPR ပုဒ်မ ၅၈ အရ AP သည် သတိပေးခြင်း၊ ဆုံးမခြင်း၊ လိုက်နာမှုအမိန့်ပေးခြင်း၊ လုပ်ဆောင်မှုကို ပိတ်ပင်ခြင်းနှင့် ငွေလွှဲပြောင်းမှုများကို ရပ်ဆိုင်းခြင်းတို့ကို ပြုလုပ်နိုင်ပြီး ပုဒ်မ ၈၃ တွင် ဒဏ်ကြေးများ ခွင့်ပြုထားသည်။ သတ်မှတ်ထားသော အချက်အလက်စီးဆင်းမှုအပေါ် မှီခိုနေရသော လုပ်ငန်းတစ်ခုအတွက် ပိတ်ပင်မှုသည် ဒဏ်ကြေးထက် ပိုမိုထိခိုက်နစ်နာစေလေ့ရှိသည်။

ပုဒ်မ ၈၃ တွင် အဆင့်နှစ်ဆင့်ရှိပြီး၊ တစ်ခုချင်းစီတွင် ယခင်ဘဏ္ဍာရေးနှစ်တွင် ကမ္ဘာတစ်ဝှမ်း နှစ်စဉ်ဝင်ငွေ၏ ပုံသေအများဆုံး သို့မဟုတ် ရာခိုင်နှုန်း (ဘယ်ဟာက မြင့်သည်) ရှိသည်။

• အောက်ဆုံးအဆင့်: ယူရို ၁၀ သန်း သို့မဟုတ် ၂% အထိ၊ ဥပမာအားဖြင့် ပျောက်ဆုံးနေသော လုပ်ဆောင်ခြင်းသဘောတူညီချက် သို့မဟုတ် DPIA (ပုဒ်မ ၂၅ မှ ၃၉) အတွက်။
• အဆင့်မြင့်: မူများ၊ ဥပဒေရေးရာအခြေခံများ၊ ဒေတာပိုင်ရှင်အခွင့်အရေးများနှင့် လွှဲပြောင်းမှုစည်းမျဉ်းများကို ချိုးဖောက်မှုအတွက် ယူရို ၂၀ သန်း သို့မဟုတ် ၄% အထိ။

GDPR အပိုဒ် ၈၂ သည် ပစ္စည်း သို့မဟုတ် ပစ္စည်းမဟုတ်သော ပျက်စီးဆုံးရှုံးမှုကို ခံရသူတိုင်းအား ထိန်းချုပ်သူ သို့မဟုတ် ပရိုဆက်ဆာထံမှ လျော်ကြေးရရှိရန် အခွင့်အရေးပေးသည်။ နယ်သာလန်တွင်၊ ဖောင်ဒေးရှင်းများသည် စုပေါင်းအရေးယူမှုများတွင် အစုလိုက်အပြုံလိုက် ပျက်စီးဆုံးရှုံးမှုများ ဖြေရှင်းခြင်းဆိုင်ရာ အက်ဥပဒေအောက်တွင် ထိုကဲ့သို့သော တောင်းဆိုမှုများကို အတူတကွ ပိုမိုယူဆောင်လာကြသည် ( Wet afwikkeling massaschade in collectie actie ၊ WAMCA၊ အပိုဒ် ၃:၃၀၅a BW)။

တရားမဝင်မျှဝေခြင်းသည် ဒေတာချိုးဖောက်မှုကို ဖြစ်ပေါ်စေပါက၊ ပုဒ်မ ၃၃ အရ AP သို့ မလိုအပ်သောနှောင့်နှေးမှုမရှိဘဲ အကြောင်းကြားရန် လိုအပ်ပြီး ဖြစ်နိုင်သည့်နေရာတွင် ချိုးဖောက်မှုသည် အန္တရာယ်ဖြစ်စေနိုင်ဖွယ်မရှိပါက ၇၂ နာရီအတွင်း အကြောင်းကြားရန် လိုအပ်ပါသည်။ ပုဒ်မ ၃၄ အရ ၎င်းတို့အတွက် အန္တရာယ်မြင့်မားပါက ထိခိုက်ခံရသူများကိုလည်း အကြောင်းကြားရမည်။ သင်အသိမပေးသည့် ချိုးဖောက်မှုများအပါအဝင် ချိုးဖောက်မှုတိုင်းကို အတွင်းပိုင်းတွင် မှတ်တမ်းတင်ပါ။

ဒေတာတွေကို မျှဝေတဲ့ အဖွဲ့အစည်းအနေနဲ့ ဘာတွေကို စစ်ဆေးသင့်လဲ။

ထိန်းချုပ်သူအနေဖြင့် သင်သည် အဓိကတာဝန်ယူရမည်ဖြစ်ပြီး Article 5(2) GDPR အရ လိုက်နာမှုကို သက်သေပြနိုင်ရမည်။ ဒေတာသည် သင့်အဖွဲ့အစည်းမှ မထွက်ခွာမီ ဤအချက်များကို စစ်ဆေးပါ-

• ပုဒ်မ ၆ အရ ဥပဒေရေးရာအခြေခံကို ဖော်ထုတ်ပြီးဖြစ်ပြီး၊ တရားဝင်အကျိုးစီးပွားများအတွက် ချိန်ခွင်လျှာညှိစစ်ဆေးမှုကို မှတ်တမ်းတင်ထားပါသည်။
• လက်ခံသူ၏ အခန်းကဏ္ဍကို သင်၏ လုပ်ဆောင်မှုမှတ်တမ်းတွင် ပုဒ်မ ၃၀ အရ မှတ်တမ်းတင်ထားသည်။
• ပုဒ်မ ၂၈ အရ လုပ်ဆောင်မှုသဘောတူညီချက် သို့မဟုတ် ပုဒ်မ ၂၆ အရ အစီအစဉ်တစ်ခုကို လက်မှတ်ရေးထိုးသည်။
• EEA ပြင်ပသို့ မည်သည့်လွှဲပြောင်းမှုမဆို လုံလောက်မှု သို့မဟုတ် SCC များနှင့် TIA ပေါ်တွင် မူတည်ပါသည်။
• DPIA စစ်ဆေးမှုကို ပြုလုပ်ပြီး မှတ်တမ်းတင်ထားပါသည်။
• သင့်ရဲ့ ကိုယ်ရေးကိုယ်တာအချက်အလက် အသိပေးချက်မှာ လက်ခံသူ ဒါမှမဟုတ် ၎င်းရဲ့ အမျိုးအစားကို ဖော်ပြထားပါတယ်။

ဒေတာလက်ခံရရှိသူအနေနဲ့ ဘာတွေကို စစ်ဆေးသင့်လဲ။

ပရိုဆက်ဆာ သို့မဟုတ် လက်ခံထိန်းချုပ်သူအနေဖြင့် သင့်တွင် ကိုယ်ပိုင်တာဝန်ဝတ္တရားများရှိပြီး GDPR အပိုဒ် ၈၃ အရ တိုက်ရိုက်ဒဏ်ငွေချမှတ်နိုင်သည်။ ဒေတာကို လက်မခံမီ ဤအချက်များကို စစ်ဆေးပါ-

• သင်သည် ညွှန်ကြားချက်များ (ပရိုဆက်ဆာ) အတိုင်းသာ လုပ်ဆောင်သည်ဖြစ်စေ၊ သို့မဟုတ် သင့်ကိုယ်ပိုင် ရည်ရွယ်ချက်များအတွက် ဒေတာကို အသုံးပြုသည်ဖြစ်စေ။
• လုပ်ဆောင်မှုသဘောတူညီချက်ပါ ညွှန်ကြားချက်များသည် သင်ဒေတာနှင့် အမှန်တကယ်လုပ်ဆောင်သည့်အရာနှင့် ကိုက်ညီမှု ရှိမရှိ။
• သင့်ရဲ့ လက်အောက်ခံ ပရိုဆက်ဆာတွေကို Article 28(2) အရ စာဖြင့်ရေးသားခွင့်ပြုချက် ရှိ/မရှိ။
• သင်၏ လုံခြုံရေးအစီအမံများသည် အပိုဒ် 32 နှင့် ကိုက်ညီမှုရှိမရှိနှင့် သင်သည် မလိုအပ်ဘဲ နှောင့်နှေးမှုမရှိဘဲ ထိန်းချုပ်သူထံ ချိုးဖောက်မှုများကို အကြောင်းကြားနိုင်ခြင်း ရှိ၊ မရှိ (အပိုဒ် 33(2))။
• Article 30(2) အရ သင်၏ကိုယ်ပိုင် လုပ်ဆောင်မှုမှတ်တမ်းကို သိမ်းဆည်းထားခြင်း ရှိမရှိ။

GDPR အချက်အလက်မျှဝေခြင်းနဲ့ ကျွန်တော်တို့ ဘာလုပ်ပေးနိုင်မလဲ?

ကျွန်ုပ်တို့၏ IT ဥပဒေ အဖွဲ့သည် ပေးသွင်းသူ၊ အဖွဲ့နှင့် မိတ်ဖက် အစီအစဉ်များဆိုင်ရာ အချက်အလက်ကာကွယ်ရေးဘက်ခြမ်းကို ကိုင်တွယ်ပါသည်။ အတိအကျပြောရလျှင်-

• ကျွန်ုပ်တို့သည် သင်၏ဒေတာစီးဆင်းမှုများကို မြေပုံရေးဆွဲပြီး လက်ခံသူတစ်ဦးချင်းစီအတွက် ၎င်းသည် ပရိုဆက်ဆာ၊ ပူးတွဲထိန်းချုပ်သူ သို့မဟုတ် လွတ်လပ်သောထိန်းချုပ်သူ ဟုတ်မဟုတ်ကို ဆုံးဖြတ်ပေးပါသည်။
• ကျွန်ုပ်တို့သည် ပုဒ်မ ၂၈ အရ လုပ်ဆောင်ခြင်း သဘောတူညီချက်များနှင့် ပုဒ်မ ၂၆ အရ ပူးတွဲထိန်းချုပ်သူ အစီအစဉ်များကို ရေးဆွဲ သို့မဟုတ် ပြန်လည်သုံးသပ်ပါသည်။
• ကျွန်ုပ်တို့သည် EEA ပြင်ပရှိ လွှဲပြောင်းမှုများကို အကဲဖြတ်ပြီး၊ DPF အသိအမှတ်ပြုလက်မှတ်များကို စစ်ဆေးပြီး လွှဲပြောင်းမှုသက်ရောက်မှု အကဲဖြတ်ချက်ကို ရေးဆွဲပါသည်။
• ကျွန်ုပ်တို့သည် DPIA စစ်ဆေးမှုနှင့် DPIA ကိုယ်တိုင်ကို ဆောင်ရွက်သည် သို့မဟုတ် ပြန်လည်သုံးသပ်သည်။
• လက်ခံသူများနှင့် လွှဲပြောင်းမှုများကို မှန်ကန်စွာ အမည်ပေးနိုင်ရန်အတွက် ကျွန်ုပ်တို့သည် သင်၏ ကိုယ်ရေးကိုယ်တာအချက်အလက် သတိပေးချက်ကို အပ်ဒိတ်လုပ်ပါသည်။
• ၇၂ နာရီအတွင်း AP စုံစမ်းစစ်ဆေးမှု သို့မဟုတ် ချိုးဖောက်မှုအကြောင်းကြားစာတွင် သင့်အား ကျွန်ုပ်တို့ကူညီပေးပါသည်။

အကျဉ်းချုပ်

• ကိုယ်ရေးကိုယ်တာဒေတာမျှဝေခြင်းတိုင်းသည် GDPR အပိုဒ် ၆ အရ တရားဝင်အခြေခံတစ်ခု လိုအပ်ပါသည်။ စီးပွားရေးအကြောင်းပြချက်တစ်ခုသည် မလုံလောက်ပါ။
• လက်ခံသူတစ်ဦးစီအတွက် ၎င်းသည် ပရိုဆက်ဆာ၊ ပူးတွဲထိန်းချုပ်သူ သို့မဟုတ် လွတ်လပ်သောထိန်းချုပ်သူ ဟုတ်မဟုတ် ဆုံးဖြတ်ပြီး မှတ်တမ်းတင်ပါ။
• ပုဒ်မ ၂၈ အရ လုပ်ဆောင်မှုသဘောတူညီချက်သည် လုပ်ဆောင်သူများအတွက် မဖြစ်မနေလိုအပ်ပါသည်။ တစ်ခုမရှိလျှင် သင်သည် ပထမနေ့မှစ၍ ချိုးဖောက်ခြင်းဖြစ်သည်။
• EEA ပြင်ပရှိ လွှဲပြောင်းမှုများသည် လုံလောက်မှု (DPF အသိအမှတ်ပြုလက်မှတ်ကဲ့သို့) သို့မဟုတ် ကာကွယ်မှုများအပြင် လွှဲပြောင်းမှုသက်ရောက်မှု အကဲဖြတ်ချက်တစ်ခု လိုအပ်သည်။
• အမည်ဝှက်ထားသောဒေတာသည် သော့ကိုင်ဆောင်ထားသူအတွက် ကိုယ်ရေးကိုယ်တာဒေတာအဖြစ် ဆက်လက်တည်ရှိနေပြီး သင့်ကိုယ်ရေးကိုယ်တာအချက်အလက်သတိပေးချက်သည် လက်ခံသူများ၏အမည်ကို တိတိကျကျဖော်ပြရမည်။

မကြာခဏမေးခွန်းတွေမေး