คู่มือจัดระบบ PDPA สำหรับธุรกิจ: ฐานทางกฎหมาย บันทึกกิจกรรม สิทธิเจ้าของข้อมูล และการแจ้งเหตุละเมิด
ปรับปรุงเนื้อหา:
พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้บังคับเต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 ธุรกิจจำนวนมากมีนโยบายความเป็นส่วนตัวบนเว็บไซต์แล้ว แต่ยังไม่มีระบบภายในที่พิสูจน์ได้ว่าข้อมูลแต่ละชุดเก็บด้วยฐานใด ใครเข้าถึงได้ และลบเมื่อใด คู่มือนี้เน้นงานที่ฝ่ายบริหารต้องสั่งการได้จริง ไม่ใช่เพียงการติดแบนเนอร์คุกกี้
สรุปสั้น
เริ่มจากทำบันทึกรายการกิจกรรมการประมวลผล (ROPA) ตาม ม.39 ระบุฐานทางกฎหมายตาม ม.24 หรือ ม.26 สำหรับข้อมูลอ่อนไหว ใช้ความยินยอมเฉพาะเมื่อไม่มีฐานอื่น จัดขั้นตอนตอบคำขอใช้สิทธิภายใน 30 วันนับแต่ได้รับคำขอ และแจ้งเหตุละเมิดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิของบุคคล (ม.37(4))
ความรับผิดหลักตาม PDPA
| ประเภท | สาระสำคัญ | มาตรา |
|---|---|---|
| ทางแพ่ง | ชดใช้ค่าเสียหายจริง และศาลอาจสั่งค่าสินไหมเพื่อการลงโทษเพิ่มได้ไม่เกินสองเท่า | ม.77–78 |
| ทางอาญา | ใช้หรือเปิดเผยข้อมูลอ่อนไหวโดยมิชอบในลักษณะที่กฎหมายกำหนด | ม.79 |
| ทางปกครอง | โทษปรับตามประเภทการฝ่าฝืน สูงสุดถึง 5 ล้านบาท | ม.82–90 |
ขั้นตอนทำตามได้จริง
- 1
1. สำรวจข้อมูลและทำ ROPA
สัมภาษณ์ทุกฝ่ายที่แตะข้อมูลบุคคล เช่น HR ขาย การตลาด บัญชี และ IT ระบุวัตถุประสงค์ ประเภทข้อมูล ผู้รับข้อมูล ระยะเวลาเก็บ และมาตรการรักษาความปลอดภัย ROPA ที่ดีต้องอัปเดตเมื่อเปิดระบบหรือผู้ให้บริการรายใหม่
- 2
2. เลือกฐานทางกฎหมายให้ตรงกิจกรรม
ฐานตาม ม.24 ได้แก่ การปฏิบัติตามสัญญา หน้าที่ตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย และอื่น ๆ ข้อมูลอ่อนไหว เช่น สุขภาพ ศาสนา หรือข้อมูลชีวภาพ ต้องเข้าเงื่อนไข ม.26 ซึ่งเข้มกว่า การขอความยินยอมสำหรับทุกอย่างทำให้เจ้าของข้อมูลถอนได้และระบบสะดุด
- 3
3. ปรับเอกสารและสัญญากับผู้ประมวลผล
จัดทำประกาศความเป็นส่วนตัวแยกสำหรับลูกค้า พนักงาน และผู้สมัครงาน ทำข้อตกลงประมวลผลข้อมูลกับผู้ให้บริการภายนอกตาม ม.40 และตรวจการส่งข้อมูลไปต่างประเทศว่าเข้าเงื่อนไข ม.28–29 หรือไม่
- 4
4. ตั้งช่องทางรับคำขอใช้สิทธิ
กำหนดผู้รับผิดชอบ วิธีพิสูจน์ตัวตน และแบบบันทึกเหตุผลเมื่อปฏิเสธ คำขอเข้าถึงและขอรับสำเนาต้องดำเนินการภายใน 30 วันนับแต่ได้รับคำขอ (ม.30) และพิจารณาว่ามีเหตุจำกัดสิทธิตามกฎหมายหรือไม่
- 5
5. ซ้อมแผนรับมือเหตุละเมิดและแต่งตั้ง DPO เมื่อเข้าเกณฑ์
เขียนขั้นตอนประเมินความเสี่ยง ผู้มีอำนาจตัดสินใจแจ้ง และแบบแจ้งเหตุให้พร้อมก่อนเกิดเหตุจริง ถ้ามีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย ธุรกิจที่ประมวลผลข้อมูลจำนวนมากเป็นประจำหรือเน้นข้อมูลอ่อนไหวต้องตรวจหน้าที่แต่งตั้ง DPO ตาม ม.41
ข้อควรระวัง
- คัดลอกนโยบายความเป็นส่วนตัวของบริษัทอื่นโดยไม่ตรงกับการใช้ข้อมูลจริง
- ใช้ความยินยอมเป็นฐานเดียวสำหรับข้อมูลพนักงาน
- ไม่มีสัญญาประมวลผลกับผู้ให้บริการคลาวด์หรือ CRM
- เก็บข้อมูลไว้ไม่มีกำหนดเพราะไม่มีนโยบายระยะเวลาเก็บ
คำถามที่พบบ่อย
ธุรกิจขนาดเล็กต้องทำ ROPA หรือไม่
กฎหมายเปิดให้มีการยกเว้นสำหรับกิจการขนาดเล็กบางประเภทตามประกาศคณะกรรมการ แต่ข้อยกเว้นมีเงื่อนไข เช่น ไม่ครอบคลุมข้อมูลอ่อนไหวหรือการประมวลผลที่มีความเสี่ยง ควรตรวจประกาศฉบับล่าสุดก่อนตัดสินใจไม่ทำ
ติดตั้งกล้องวงจรปิดในสำนักงานต้องขอความยินยอมหรือไม่
โดยทั่วไปกล้องเพื่อความปลอดภัยอาจอาศัยฐานประโยชน์โดยชอบด้วยกฎหมายได้ แต่ต้องติดป้ายแจ้ง จำกัดผู้เข้าถึงภาพ และไม่ติดในพื้นที่ที่คาดหมายความเป็นส่วนตัว การใช้ระบบจดจำใบหน้าอาจเป็นข้อมูลชีวภาพที่ต้องเข้าเงื่อนไข ม.26
ค่าบริการจัดทำระบบ PDPA เท่าไร
สำนักงานไม่แสดงราคาค่าบริการบนเว็บไซต์ ขอบเขตขึ้นกับจำนวนระบบ ฝ่ายงาน และการส่งข้อมูลต่างประเทศ ส่งข้อมูลโครงสร้างธุรกิจให้เจ้าหน้าที่เพื่อขอใบเสนอราคา
แหล่งอ้างอิง
- ตัวบท PDPA ฉบับประกาศในราชกิจจานุเบกษา
- สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)
- สำนักงานคณะกรรมการกฤษฎีกา
ข้อมูลทั่วไปไม่ใช่การวินิจฉัยคดีเฉพาะบุคคล ก่อนดำเนินการให้ตรวจตัวบทฉบับปัจจุบัน คำสั่งศาลและข้อเท็จจริงกับทนาย วันนัดและผลคดีไม่อาจรับประกันได้
ปรึกษาเจ้าหน้าที่และขอใบเสนอราคา
ติดต่อเพื่อปรึกษาและขอใบเสนอราคาตามรูปคดีและเขตอำนาจศาล
คู่มืออื่น
- คู่มือขั้นตอนดำเนินคดีแพ่งในศาล: บอกกล่าว ฟ้อง ชี้สองสถาน สืบพยาน และบังคับคดี
- คู่มือการต่อสู้คดีอาญาและประกันตัว: สอบสวน อัยการ ไต่สวนมูลฟ้อง และพิจารณาคดี
- คู่มือฟ้องศาลแรงงาน: เลิกจ้างไม่เป็นธรรม ค่าชดเชย ค่าบอกกล่าว และสัญญาจ้าง
- คู่มือร้องขอตั้งผู้จัดการมรดกและคดีมรดก: ทายาท พินัยกรรม และการแบ่งทรัพย์