วางระบบ PDPA และตรวจการคุ้มครองข้อมูลขององค์กร

สำรวจเส้นทางข้อมูลและบทบาทก่อนเลือกเอกสาร

แยกกิจกรรมขายสินค้า รับสมัครงาน จ่ายเงินเดือน กล้องวงจรปิด การตลาดและการให้บริการ อย่ารวมทุกกิจกรรมไว้ใต้คำว่าใช้ข้อมูลเพื่อธุรกิจโดยไม่ระบุรายละเอียด ตรวจตั้งแต่จุดรับข้อมูล เช่น แบบฟอร์ม กระดาษ แชตและเว็บไซต์ ไปถึงระบบจัดเก็บ ผู้รับภายนอก และการลบเมื่อหมดความจำเป็น

ผู้ควบคุมข้อมูลเป็นผู้ตัดสินใจเกี่ยวกับการเก็บ ใช้หรือเปิดเผย ส่วนผู้ประมวลผลดำเนินการตามคำสั่งของผู้ควบคุม องค์กรเดียวอาจมีคนละบทบาทในคนละกิจกรรม ผู้ให้บริการบัญชี ระบบเงินเดือนหรือคลาวด์ไม่ใช่ผู้ประมวลผลในทุกเรื่องโดยอัตโนมัติ ต้องตรวจวัตถุประสงค์และอำนาจตัดสินใจจริงก่อนร่างสัญญา

• รายการข้อมูลและเจ้าของข้อมูลแต่ละกลุ่ม โดยใช้ตัวอย่างปกปิดชื่อ
• วัตถุประสงค์ ผู้รับผิดชอบและฐานกฎหมายของแต่ละกิจกรรม
• ระบบ ผู้มีสิทธิเข้าถึง ผู้รับภายนอกและประเทศที่จัดเก็บ
• อายุเก็บข้อมูล เหตุผลที่ต้องเก็บและวิธีลบหรือทำลาย
• สัญญาคู่ค้า ประกาศเดิมและช่องทางรับคำขอใช้สิทธิ

Privacy Notice ไม่ใช่ความยินยอม และข้อมูลอ่อนไหวใช้เกณฑ์ต่างกัน

ประกาศความเป็นส่วนตัวทำหน้าที่แจ้งข้อมูลตามมาตรา 23 ไม่ใช่หลักฐานว่าเจ้าของข้อมูลยินยอมทุกวัตถุประสงค์ ให้ตรวจฐานตามมาตรา 24 เช่น ความจำเป็นตามสัญญา หน้าที่ตามกฎหมายหรือประโยชน์โดยชอบด้วยกฎหมายเป็นรายกิจกรรม การขอความยินยอมต้องเป็นไปตามมาตรา 19 ไม่ผูกการยินยอมเรื่องที่ไม่จำเป็นไว้กับบริการโดยไม่มีเหตุรองรับ

ข้อมูลสุขภาพ ประวัติอาชญากรรมและข้อมูลชีวภาพเพื่อระบุตัวบุคคลอย่างจำเพาะอยู่ในกลุ่มมาตรา 26 ต้องตรวจความยินยอมโดยชัดแจ้งหรือข้อยกเว้นของมาตรานั้น การมีฐานประโยชน์โดยชอบด้วยกฎหมายสำหรับข้อมูลทั่วไปไม่ใช่ข้อยกเว้นให้ใช้ข้อมูลอ่อนไหวทันที เช่น การสแกนใบหน้าพนักงานต้องตรวจความจำเป็น ทางเลือกและฐานเฉพาะ ไม่ใช้คำว่าเพื่อความปลอดภัยเพียงคำเดียวเป็นข้อยุติ

ทะเบียนกิจกรรม สัญญาคู่ค้า และสิทธิของเจ้าของข้อมูลต้องใช้งานได้

มาตรา 39 วางหน้าที่บันทึกรายการของผู้ควบคุมเพื่อให้ตรวจสอบได้ ส่วนมาตรา 40 กำหนดหน้าที่ผู้ประมวลผลและข้อตกลงควบคุมการทำงานตามหน้าที่กฎหมาย ควรเชื่อมทะเบียนกิจกรรมหรือ RoPA กับระบบและเอกสารจริง ไม่ทำเพียงตารางว่าง ข้อยกเว้นการบันทึกของกิจการขนาดเล็กมีเงื่อนไข ไม่ได้ยกเว้นหน้าที่ PDPA ทุกเรื่อง และต้องตรวจประกาศที่ใช้กับกิจการนั้น

จัดผู้รับคำขอเข้าถึง แก้ไข ลบ คัดค้านหรือใช้สิทธิอื่น พร้อมวิธียืนยันตัวตนที่เหมาะสมและบันทึกผล สิทธิแต่ละอย่างมีเงื่อนไขและข้อยกเว้น ไม่ใช่ต้องลบทุกข้อมูลทันทีเมื่อมีคำขอ เช่น หลักฐานที่กฎหมายกำหนดให้เก็บต้องแยกจากข้อมูลที่หมดความจำเป็นแล้ว หากใช้ผู้ให้บริการต่างประเทศ ต้องตรวจเงื่อนไขโอนตามมาตรา 28–29 และประกาศที่เกี่ยวข้อง ไม่ถือว่ามีสัญญาคู่ค้าแล้วโอนได้ทุกกรณี

DPO: แยกมาตรา 41(2) จากกิจกรรมหลักที่ใช้ข้อมูลอ่อนไหว

การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือ DPO ต้องตรวจมาตรา 41 ทั้งหน่วยงานรัฐตามที่ประกาศกำหนด กิจกรรมที่ต้องตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอเพราะมีข้อมูลจำนวนมาก และกิจกรรมหลักเกี่ยวกับข้อมูลมาตรา 26 ไม่ใช่ทุกบริษัทต้องแต่งตั้งเพียงเพราะมีข้อมูลพนักงาน

ประกาศ พ.ศ. 2566 สำหรับมาตรา 41(2) ให้พิจารณากิจกรรมหลัก การตรวจสอบอย่างสม่ำเสมอ และปัจจัยเรื่องจำนวน สัดส่วน ปริมาณ ประเภท ระยะเวลาและขอบเขตข้อมูล ข้อ 6 รวมกรณีกิจกรรมหลักที่มีเจ้าของข้อมูลตั้งแต่ 100,000 รายขึ้นไปเป็นข้อมูลจำนวนมากด้วย แต่จำนวนต่ำกว่านี้ไม่ได้แปลว่าได้รับยกเว้นเสมอ ต้องตรวจปัจจัยและกรณีอื่นในประกาศ ไม่ใช้ตัวเลขเดียวตัดสินหน้าที่ DPO ทั้งองค์กร

มาตรา 41(3) ระบุกรณีกิจกรรมหลักเกี่ยวกับข้อมูลตามมาตรา 26 โดยไม่ได้ใส่เงื่อนไขข้อมูลจำนวนมากไว้ในตัวบทข้อนี้ จึงไม่ควรนำเกณฑ์ขนาดใหญ่มาตัดกรณีดังกล่าวออกแบบเหมารวม หลังประเมินหน้าที่แล้วต้องกำหนดบทบาทตามมาตรา 42 ทรัพยากร ช่องทางติดต่อและผลประโยชน์ขัดกัน การแต่งตั้ง DPO ภายนอกไม่โอนความรับผิดชอบของผู้ควบคุมหรือผู้ประมวลผลทั้งหมดให้ผู้รับงาน

แผนรับเหตุข้อมูลรั่วและขอบเขตงานที่ไม่ควรรับประกัน

มาตรา 37(4) กำหนดให้ผู้ควบคุมแจ้งเหตุละเมิดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ หากมีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย จึงไม่ใช่ทุกเหตุส่งข้อความเดียวกันถึงทุกคน และไม่ควรรอพิสูจน์เสร็จทุกประเด็นก่อนเริ่มประเมินการแจ้ง

กำหนดผู้รับเหตุ เวลาที่ทราบเหตุ การรักษาหลักฐาน การจำกัดความเสียหายและผู้ประเมินความเสี่ยง ผู้ประมวลผลต้องแจ้งผู้ควบคุมตามหน้าที่มาตรา 40 และเงื่อนไขที่ตกลง เพื่อให้ผู้ควบคุมทำหน้าที่ได้ทัน การส่งอีเมลผิดคนหรือทำแฟ้มกระดาษหายก็อาจเป็นเหตุละเมิด ไม่ใช่เฉพาะการถูกเจาะระบบ

งานกฎหมายอาจครอบคลุมการตรวจช่องว่าง ร่างเอกสาร กำหนดกระบวนการและฝึกผู้รับผิดชอบ ส่วนการทดสอบความปลอดภัย งานพิสูจน์หลักฐานดิจิทัล การเฝ้าระวังตลอดเวลาและการเป็น DPO ต้องตกลงแยก GDPR ข้อกำหนดลูกค้าต่างประเทศและสัญญาส่งข้อมูลต้องประเมินตามกรณี ไม่ใช้เอกสารของกฎหมายหนึ่งแทนอีกกฎหมายโดยอัตโนมัติ ระยะเวลาขึ้นกับข้อมูล ระบบและความร่วมมือขององค์กร ไม่กำหนดวันเสร็จตายตัว