PDPA พ.รบ. คุ้มครองข้อมูลส่วนบุคคลเริ่มใช้แล้ว องค์กรต้องปรับตัวอย่างไรบ้าง

ตอนนี้หลาย ๆ องค์กรเริ่มมีการเตรียมตัวเพื่อปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล PDPA กันบ้างแล้ว อาจจะมีหลายองค์กรยังไม่รู้ว่าจะต้องเตรียมตัวอย่างไรหรือต้องมีระบบใด หรือต้องทำเอกสารอะไรเพิ่มเติมหรือไม่ ในบทความนี้จะกล่าวถึงวิธีบื้องต้นเพื่อให้ปฏิบัติถูกต้องตามข้อบังคับของ PDPA

 

PDPA คืออะไร

PDPA เป็นพระราชบัญญัติที่ถูกกำหนดขึ้นเพื่อคุ้มครองด้านสิทธิและความปลอดภัยของเจ้าของข้อมูลส่วนบุคคล ถ้าหากมีการเปิดเผยหรือมีการใช้ ดัดแปลง และถ่ายโอนข้อมูลของเจ้าของข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต หรือทำผิดจุดประสงค์ในการตกลงร่วมกัน ก็จะสามารถร้องเรียนเพื่อเอาผิดได้

PDPA คุ้มครอง แบ่งเป็น 2 ส่วน คือ

1. ข้อมูลส่วนบุคคลทั่วไป (Personal Data)

ตัวอย่างของข้อมูลส่วนบุคคลทั่วไปเช่น 

• ชื่อจริง 
• นามสกุล 
• ที่อยู่ 
• หมายเลขโทรศัพท์ 
• หมายเลขบัตรประชาชน 
• Email 
• รูปถ่ายของบุคคลนั้น ๆ 
• อายุ 
• ประวัติการศึกษา 
• ประวัติการทำงาน 

2. ข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Personal Data)

ตัวอย่างของข้อมูลส่วนบุคคลที่มีความอ่อนไหว เช่น

• เชื้อชาติ 
• สัญชาติ 
• พฤติกรรมทางเพศ 
• ข้อมูลด้านสุขภาพ 
• ประวัติอาชญากรรม 
• ความเชื่อทางศาสนา 
• ความคิดเห็นทางด้านการเมือง 
• ข้อมูลอื่น ๆ ที่มีผลกระทบต่อเจ้าของข้อมูลส่วนบุคคล

โดยองค์กรที่ให้บริการประชาชนจะต้องมีความสามารถในการทำตามข้อกำหนดสำคัญต่อไปนี้

1. องค์กรจะต้องมีความรู้ด้านกฏหมายและจะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลในการเก็บข้อมูล
2. ธุรกิจจะต้องโปร่งใส ต้องมีการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนที่จะทำการเก็บข้อมูล
3. มีมาตรการรักษาความปลอดภัย การรักษาความลับของข้อมูลที่รัดกุมตามมาตรฐานสากล เพื่อไม่ให้มีการรั่วไหล ถูกนำไปสวมรอย และการนำไปใช้ในทางที่ผิด
4. จะต้องมีการแจ้งจุดประสงค์ และระยะเวลาในการเก็บข้อมูล หรืออาจมีนโยบายการจัดเก็บว่าองค์กรจะจัดเก็บข้อมูลเพื่อนำไปใช้ทำอะไร และเก็บนานเท่าใด
5. การเก็บข้อมูลจะต้องเป็นไปตามมาตรฐานและต้องเก็บเท่าที่จำเป็น เพื่อแสดงว่ามีการปฏิบัติตามข้อบังคับ PDPA อย่างถูกต้อง

16 สิ่งที่ต้องมีหลัง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศใช้

1. เตรียมเอกสารหรือไฟล์บันทึกกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activities หรือ ROPA)

คือการบันทึกกิจกรรมที่เกี่ยวกับข้อมูลส่วนบุคคลระหว่างการดำเนินการขององค์กรและประชาชนที่ใช้บริการ โดยเป็นการทำตามกฏหมายไทยมาตรา 39 ซึ่งข้อมูลที่ต้องบันทึกขึ้นอยู่กับจุดประสงค์ของการดำเนินการ ที่สำคัญการทำ ROPA ส่วนใหญ่จะเป็นองค์กรที่ทำธุรกิจขนาดกลาง-ขนาดใหญ่  ในส่วนขนาดเล็กนั้น ยังไม่มีการกำหนดอย่างชัดเจน ดังนั้นผู้ประกอบธุรกิจขนาดเล็กจะต้องติดตามข่าวสารอย่างสม่ำเสมอ

2. วางแผน Data Flow Map (แผนภูมิการใช้ข้อมูล)

จะเป็นสิ่งที่บอกว่า ข้อมูลที่ถูกเก็บมานั้นจะถูกนำไปใช้ในด้านใดบ้าง ซึ่งจะช่วยให้องค์กรเห็นภาพอย่างชัดเจนว่า ข้อมูลมาจากไหน ข้อมูลถูกส่งไปที่ใด และเกิดกิจกรรมอะไรกับข้อมูลบ้างในแต่ละระบบภายในองค์กร ซึ่งการทำ Data Flow Map นี้ไม่ได้เป็นการบังคับให้ต้องทำอย่างชัดเจน แต่เป็นการวางแผนภายในองค์กร เพื่อให้เห็นภาพการทำงานแต่ละขั้นตอน รวมถึงเมื่อมีการทำ Data Flow Map ก็จะช่วยทำให้องค์กรสามารถปฏิบัติตามข้อกฏหมายมาตรา 27 (3) และมาตรา 39 ของ PDPA ได้ง่ายขึ้น

3. ต้องมี Privacy Policy หรือ Privacy Notice

องค์กรจะต้องมีการประกาศหรือชี้แจงการขออนุญาตเก็บข้อมูลจากเจ้าของข้อมูลส่วนบุคคล เช่น มีวัตถุประสงค์เก็บไปเพื่ออะไร ระยะเวลาการเก็บเท่าไหร่  สำหรับรูปแบบการประกาศนั้น มีหลายวิธีขึ้นอยู่กับรูปแบบของธุรกิจ

4. การแจ้งขอเก็บ Cookie Policy 

แต่ละองค์กรหรือธุรกิจ จะต้องแจ้งเตือนเป็น Banner ขอจัดเก็บ Cookie ของผู้ที่เข้าเยี่ยมชมเว็บไซต์องค์กรหรือธุรกิจเสมอ และจะต้องแจ้งว่าการเก็บ Cookie นี้นำไปใช้เพื่ออะไร และต้องมีปุ่มเพื่อให้กดยินยอมหรือไม่ยินยอม เช่น เก็บเพื่อนำไปพัฒนารูปแบบการเข้าชมเว็บไซต์ให้มีประสิทธิภาพที่ดีขึ้น หรือ เก็บเพื่อเป็นการสำรวจข้อมูลการการตลาดในการพัฒนาสินค้าใหม่ในอนาคต ขึ้นอยู่กับรูปแบบธุรกิจนั้น ๆ  

5. การขอเก็บ Consent From

กรณีเป็นการขอจัดเก็บข้อมูลที่มีความละเอียดอ่อน การเก็บข้อมูลนี้จะเป็นแบบฟอร์มให้กรอกในรูปแบบอิเล็กทรอนิกส์ หรือ รูปแบบหนังสือ โดยจะต้องระบุวัตถุประสงค์ว่าจัดเก็บเพื่ออะไร นำไปทำอะไร มีแบบและข้อความที่เข้าใจง่าย มีการะบุให้ยินยอมหรือไม่ยินยอม และแยกออกเป็นส่วนอย่างชัดเจน เช่น การสมัครงาน ในเว็บไซต์สมัครงาน อาจมีแบบฟอร์มแยกออกมา เพื่อขอจัดเก็บข้อมูลไว้ หรือ ธุรกิจธนาคาร หากไปทำธุรกรรมการเงิน มักจะพบว่ามีหนังสือแบบฟอร์มแยกออกมาอีก 1 ฉบับ และบอกวัตถุประสงค์ว่า เก็บไปเพื่ออะไร เป็นต้น

6. เอกสาร Data Processing Agreement (DPA)

เป็นสัญญาที่ทำขึ้นระหว่างฝ่ายที่มีสถานะเป็น Data Controller (เช่น องค์กรหรือบริษัทผู้ว่าจ้าง) และ Data Processor (เช่น ผู้ให้บริการภายนอก) เป็นสัญญาผูกมัดที่ช่วยควบคุมให้ Data Processor ดำเนินการตามหน้าที่ที่รับผิดชอบและอยู่ในกรอบที่ PDPA กำหนดไว้ หากไม่ปฏิบัติตามจะสามารถฟ้องร้องได้

7. เอกสาร Data  Transferred Agreement / Data  Sharing Agreement

เป็นสัญญาที่ทำขึ้นในกรณีที่ทั้งสองฝ่ายมีสถานะเป็น Data Controller ทั้งคู่ เพื่อการโอนข้อมูลหรือแบ่งปันข้อมูลซึ่งกันและกัน โดยต้องเป็นข้อมูลที่ชอบด้วยกฏหมายเท่านั้น และต้องปฏิบัติตาม PDPA ก่อนที่จะแชร์ข้อมูลร่วมกัน เช่น มีการขอคำยินยอมก่อนที่เปิดเผยข้อมูลให้อีกฝ่าย เป็นต้น

8. เอกสาร Binding Corporate Rules 

เอกสารที่ทำขึ้นเพื่อให้การคุ้มครองข้อมูลส่วนบุคคลในกรณีที่บริษัทต้องการโอนข้อมูลส่วนบุคคลไปยังบริษัทในเครือที่ตั้งในต่างประเทศที่ไม่มีกฏหมายรองรับที่เพียงพอ สามารถโอนได้โดยได้รับข้อยกเว้นตามที่กฏหมายกำหนด แต่ปัจจุบันในประเทศไทยยังไม่มีกฏหมายที่ออกมาชัดเจน ต้องรอกฏหมายกำหนดออกมาก่อน

9. เอกสาร Data Subject Request Forms

เป็นเอกสารที่ใช้ในกรณีเจ้าของข้อมูลส่วนบุคคลต้องการใช้สิทธิ์ตามที่ PDPA กำหนด และเนื่องจาก Data Subject Request Forms ไม่ได้กำหนดรูปแบบ สามารถใช้เป็นแบบอิเล็กทรอนิกส์ หรือ เป็นหนังสือได้ แต่ในกรณีที่เริ่มมีการประกาศใช้ PDPA อย่างแพร่หลาย อาจจะทำให้เจ้าของข้อมูลส่วนบุคคลต้องใช้การใช้สิทธ์มากขึ้น จึงควรทำเป็นแบบฟอร์มไว้เพื่อความสะดวกและรวดเร็ว

10. แบบฟอร์มตอบกลับเจ้าของข้อมูลส่วนบุคคล Respont Form

เป็นฟอร์มในการตอบกลับเจ้าของข้อมูลส่วนบุคคล ในกรณีที่เจ้าของข้อมูลยินยอม หรือ ปฏิเสธการให้สิทธิ์เข้าถึงข้อมูลส่วนบุคคล ซึ่งบางองค์กรจะทำเป็นระบบตอบกลับอัตโนมัติทางอีเมลทันที เพื่อความสะดวกและรวดเร็ว

11. แบบฟอร์มแจ้งเหตุละเมิดข้อมูลส่วนบุคคล Data Breach Notification Form

กฏหมายได้ระบุไว้ให้มีการรายงานและแจ้งเหตุละเมิด ในกรณีมีการถูกละเมิดข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง รวมถึงมีการเยียวยาความเสียหายด้วย

12. หนังสือแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล Data Protection Officer (DPO) Appointment Letter

ข้อนี้ไม่ได้มีการกำหนดให้ทุกองค์กร หรือ บริษัทต้องมีการจัดตั้งแต่อย่างใด แต่กำหนดเพียงองค์กรที่เข้าเงื่อนไขเท่านั้น เช่น องค์กรที่มีกิจกรรมที่ต้องประมวลผลข้อมูลอ่อนไหวอย่างสม่ำเสมอ เช่น โรงแรม ธนาคาร เป็นต้น เป็นการหาบุคคลที่มีความสามารถเพื่อดูแลด้านนี้โดยเฉพาะ

13. ป้ายแจ้งเตือนกล้องวงจรปิด CCTV Warning Sign

ป้ายแจ้งเตือนกล้องวงจรปิด ในกรณีที่กิจการมีการใช้กล้องวงจรปิดเพื่อการรักษาความปลอดภัย ตามกฏหมายต้องมีการแจ้งเพื่อให้ทราบว่ามีการจัดเก็บข้อมูลตาม Privacy Policy ควรทำป้ายแจ้งเตือนให้ทราบ เนื่องจากง่ายและไม่ต้องใช้ป้ายใหญ่มาก

14. แบบการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล Data Protection Impact Assessment (DPIA)

การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล ข้อนี้ไม่ได้มีการบังคับอย่างชัดเจน แต่กฏหมายไทยหลายมาตรามีการเขียนสอดคล้องว่าต้องทำ DPIA เช่น กรณีข้อมูลรั่วไหล จะต้องมีการแจ้งเหตุฉุกเฉินให้ทราบด้วย เป็นต้น

15. เอกสารประเมินฐานผลประโยชน์อันชอบธรรม Legitimate Interest Assessment

เอกสารสำหรับประเมินฐานผลประโยชน์อันชอบธรรม ซึ่งเอกสารฉบับนี้กฏหมายไม่ได้บังคับให้ทำแต่อย่างใด แต่ในทางปฏิบัติหลีกหนีไม่พ้น จะต้องมีการพิจารณาว่าการประมวลข้อมูลแบบใดต้องใช้ฐานกฏหมายใดในการประมวลผล ซึ่งต้องมีผู้ที่เชี่ยวชาญและความสามารถเฉพาะในการพิจารณาด้วย เพื่อความถูกต้องและสมบูรณ์

16. ข้อสัญญาว่าด้วยกฏหมายคุ้มครองข้อมูลส่วนบุคคล PDPA Clauses in Contracts

ข้อสัญญาที่ว่าด้วยกฏหมายคุ้มครองข้อมูลส่วนบุคคล ซึ่งคือสัญญาต่างๆ ที่องค์กรทำร่วมกับเจ้าของข้อมูลส่วนบุคคล เช่น การสมัคร การซื้อ-ขายสินค้า  สัญญาที่ทำกับลูกค้า เช่น ในสัญญาจะต้องระบุให้คู่สัญญาปฏิบัติตาม PDPA ด้วย หากมีความเสียหายเกิดขึ้นจะต้องแก้ไขอย่างไร ในกรณีที่เป็นสัญญาเก่า อาจเขียนแนบท้ายเพิ่มเติม หรือ เพิ่มข้อสัญญาได้ หากเป็นสัญญาใหม่ ก็เพิ่มข้อนี้เข้าไปด้วย เพื่อให้สอดคล้องกับ PDPA

ที่มา: cyfence.com