PDPA และงานที่ปรึกษาองค์กร

หน้านี้เขียนสำหรับใคร

• ธุรกิจที่เก็บข้อมูลลูกค้าผ่านเว็บไซต์ แอป หรือหน้าร้าน
• ฝ่ายบุคคลที่เก็บข้อมูลผู้สมัครงานและพนักงาน
• ธุรกิจที่ส่งข้อมูลให้ผู้ให้บริการภายนอก เช่น ระบบคลาวด์หรือคอลเซ็นเตอร์
• องค์กรที่ได้รับคำขอใช้สิทธิหรือข้อร้องเรียนจากเจ้าของข้อมูล
• องค์กรที่ต้องเตรียมแผนรับมือกรณีข้อมูลรั่วไหล

ขั้นตอนการทำงานจริง

1. 1สัมภาษณ์แต่ละฝ่ายเพื่อจัดทำแผนผังการไหลของข้อมูล
2. 2ประเมินช่องว่างระหว่างการปฏิบัติจริงกับข้อกำหนดตามกฎหมาย
3. 3ร่างชุดเอกสารและแนวปฏิบัติที่องค์กรใช้ได้จริง
4. 4อบรมผู้เกี่ยวข้องและวางผู้รับผิดชอบในแต่ละขั้น
5. 5ทดสอบขั้นตอนคำขอใช้สิทธิและการรับมือเหตุรั่วไหล
6. 6ทบทวนเอกสารเป็นรอบตามการเปลี่ยนแปลงของธุรกิจ

ข้อควรระวังและความเข้าใจผิดที่พบบ่อย

ฐานความยินยอม กับ ฐานทางกฎหมายอื่น

ความเข้าใจผิดที่พบบ่อยคือทุกการเก็บข้อมูลต้องขอความยินยอม ความจริงคือความยินยอมเป็นเพียงฐานหนึ่ง และการเลือกฐานผิดทำให้กระบวนการทั้งชุดต้องแก้

ควรเริ่มจากแผนผังการไหลของข้อมูลจริงก่อน แล้วจึงเลือกฐานและเขียนเอกสารให้ตรงกับระบบที่ใช้

คำถามที่พบบ่อยเรื่องPDPA และงานที่ปรึกษาองค์กร

ธุรกิจขนาดเล็กต้องทำตาม PDPA ไหม

หน้าที่ตามกฎหมายไม่ได้ยกเว้นตามขนาดธุรกิจ แต่ปริมาณเอกสารและมาตรการควรได้สัดส่วนกับข้อมูลที่เก็บและความเสี่ยง ธุรกิจเล็กสามารถเริ่มจากชุดเอกสารพื้นฐานที่ใช้ได้จริง

เริ่มต้นควรทำอะไรก่อน

เริ่มจากทำแผนผังว่าองค์กรเก็บข้อมูลอะไร จากใคร เก็บที่ไหน ใครเข้าถึงได้ ส่งต่อให้ใคร และเก็บนานเท่าไร เพราะเอกสารทุกฉบับต่อจากนี้ต้องอ้างข้อเท็จจริงชุดนี้

นโยบายความเป็นส่วนตัวลอกจากเว็บอื่นได้ไหม

ไม่ควร เพราะนโยบายต้องตรงกับสิ่งที่องค์กรทำจริง การใช้ข้อความที่ไม่ตรงกับระบบงานสร้างความเสี่ยงมากกว่าไม่มี เมื่อมีข้อร้องเรียนจะถูกเทียบกับการปฏิบัติจริง

ต้องมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือไม่

ขึ้นกับลักษณะและปริมาณข้อมูลที่ประมวลผลตามหลักเกณฑ์ที่กำหนด องค์กรที่ไม่เข้าเงื่อนไขก็ยังควรกำหนดผู้รับผิดชอบภายในให้ชัด เพื่อให้มีผู้ตอบคำขอใช้สิทธิได้ทันกำหนด

เก็บข้อมูลผู้สมัครงานได้นานแค่ไหน

ควรกำหนดระยะเวลาเก็บให้สอดคล้องกับวัตถุประสงค์ที่แจ้งไว้ และลบหรือทำลายเมื่อครบกำหนด การเก็บใบสมัครไว้ไม่มีกำหนดโดยไม่ได้แจ้งวัตถุประสงค์เป็นประเด็นที่พบบ่อย

ใช้กล้องวงจรปิดต้องทำอะไร

ควรมีป้ายแจ้งการบันทึกภาพในจุดที่มองเห็นได้ กำหนดวัตถุประสงค์และระยะเวลาเก็บภาพ จำกัดผู้เข้าถึง และมีขั้นตอนกรณีมีผู้ขอดูภาพ

ส่งข้อมูลให้ผู้ให้บริการภายนอกต้องทำสัญญาไหม

ควรมีข้อสัญญาที่กำหนดขอบเขตการใช้ข้อมูล มาตรการความปลอดภัย การใช้ผู้รับจ้างช่วง การแจ้งเหตุละเมิด และการคืนหรือลบข้อมูลเมื่อสิ้นสุดสัญญา

ส่งข้อมูลไปเก็บบนคลาวด์ต่างประเทศได้ไหม

ทำได้โดยต้องพิจารณาหลักเกณฑ์เรื่องการส่งข้อมูลออกนอกประเทศและมาตรการคุ้มครองที่เหมาะสม รวมถึงระบุเรื่องนี้ในนโยบายและสัญญากับผู้ให้บริการ

เจ้าของข้อมูลขอให้ลบข้อมูล ต้องลบทุกกรณีไหม

ไม่ทุกกรณี เพราะบางข้อมูลต้องเก็บตามหน้าที่ตามกฎหมายหรือเพื่อใช้สิทธิเรียกร้อง ควรมีขั้นตอนตรวจคำขอ บันทึกเหตุผลการตอบ และแจ้งผลให้ผู้ขอทราบภายในกรอบเวลา

ข้อมูลรั่วไหลต้องทำอะไรบ้าง

ต้องประเมินเหตุและความเสี่ยงโดยเร็ว จำกัดความเสียหาย บันทึกเหตุการณ์ และแจ้งตามหน้าที่ที่กฎหมายกำหนดภายในกรอบเวลา จึงควรมีแผนรับมือเตรียมไว้ก่อนเกิดเหตุ

ต้องอบรมพนักงานหรือไม่

ควรทำ เพราะเหตุละเมิดส่วนใหญ่เกิดจากการปฏิบัติงานประจำวัน เช่น ส่งอีเมลผิดคน หรือแชร์ไฟล์เกินความจำเป็น การอบรมพร้อมเก็บหลักฐานยังช่วยแสดงความรับผิดชอบขององค์กร

ให้สำนักงานจัดทำชุดเอกสารทั้งชุดได้ไหม

ได้ ทีมงานรับจัดทำแผนผังข้อมูล นโยบายภายในและภายนอก ข้อความขอความยินยอม สัญญากับผู้ประมวลผล แบบฟอร์มคำขอใช้สิทธิ และแผนรับมือเหตุละเมิด โดยเขียนให้ตรงกับระบบงานจริงขององค์กร

สายงานที่มักทำร่วมกับเรื่องนี้

• ธุรกิจ บริษัท สัญญา และ M&A

  ตั้งบริษัท ร่างสัญญา ตรวจสอบกิจการ ซื้อขายหุ้น และงานกำกับดูแล

• ทรัพย์สินทางปัญญา

  เครื่องหมายการค้า ลิขสิทธิ์ สิทธิบัตร สัญญาอนุญาตใช้สิทธิ และคดีละเมิด

• แรงงานและคนต่างชาติทำงานในไทย

  สัญญาจ้าง ระเบียบบริษัท เลิกจ้าง คดีแรงงาน วีซ่าและใบอนุญาตทำงาน