PDPA สำหรับธุรกิจ: สิ่งที่ต้องมีอย่างน้อยเพื่อปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA มีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 และใช้กับธุรกิจแทบทุกประเภท เพราะทุกกิจการล้วนมีข้อมูลของลูกค้า พนักงาน หรือคู่ค้า บทความนี้สรุปสิ่งที่ธุรกิจควรมีอย่างน้อยเพื่อปฏิบัติตามกฎหมาย
ธุรกิจของคุณเกี่ยวข้องกับ PDPA อย่างไร
ข้อมูลส่วนบุคคลคือข้อมูลที่ทำให้ระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม เช่น ชื่อ เบอร์โทรศัพท์ อีเมล เลขประจำตัวประชาชน ภาพจากกล้องวงจรปิด หรือข้อมูลการใช้งานเว็บไซต์ที่ผูกกับตัวบุคคล ธุรกิจที่เก็บ ใช้ หรือเปิดเผยข้อมูลเหล่านี้มีหน้าที่ตามกฎหมายในฐานะผู้ควบคุมข้อมูลส่วนบุคคล
ฐานทางกฎหมายในการประมวลผลข้อมูล
ความยินยอมไม่ใช่ฐานเดียวที่ใช้ได้ การประมวลผลข้อมูลทำได้เมื่อมีฐานทางกฎหมายรองรับ เช่น
- เพื่อปฏิบัติตามสัญญาหรือดำเนินการตามคำขอก่อนเข้าทำสัญญา
- เพื่อปฏิบัติหน้าที่ตามกฎหมาย เช่น การเก็บข้อมูลเพื่อหน้าที่ทางภาษีหรือแรงงาน
- เพื่อประโยชน์โดยชอบด้วยกฎหมายของกิจการ โดยไม่กระทบสิทธิของเจ้าของข้อมูลเกินสมควร
- เพื่อป้องกันอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ
- ความยินยอมของเจ้าของข้อมูล สำหรับกรณีที่ไม่มีฐานอื่นรองรับ
ข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ศาสนา หรือข้อมูลชีวภาพ มีเงื่อนไขเข้มงวดกว่า และโดยทั่วไปต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นที่กฎหมายกำหนด
สิ่งที่ควรมีอย่างน้อย
- ประกาศความเป็นส่วนตัว: แจ้งเจ้าของข้อมูลว่าเก็บข้อมูลอะไร เพื่อวัตถุประสงค์ใด เก็บนานเท่าไร เปิดเผยให้ใคร และติดต่อกิจการได้อย่างไร
- บันทึกรายการกิจกรรมการประมวลผล: รู้ว่าข้อมูลแต่ละชุดอยู่ที่ไหน ใครเข้าถึง และใช้ฐานทางกฎหมายใด กิจการขนาดเล็กบางประเภทได้รับยกเว้นบางส่วนตามประกาศของคณะกรรมการ แต่ยังควรรู้ว่าข้อมูลของตนอยู่ที่ใด
- มาตรการรักษาความมั่นคงปลอดภัย: ทั้งด้านเทคนิค เช่น การจำกัดสิทธิ์และการเข้ารหัส และด้านองค์กร เช่น การอบรมพนักงาน
- ข้อตกลงกับผู้ประมวลผลข้อมูล: เมื่อให้ผู้อื่นประมวลผลข้อมูลแทน เช่น ผู้ให้บริการระบบเงินเดือนหรือระบบลูกค้าสัมพันธ์
- ขั้นตอนรับคำขอใช้สิทธิ: เจ้าของข้อมูลมีสิทธิขอเข้าถึง แก้ไข ลบ คัดค้าน หรือขอให้ระงับการใช้ข้อมูล กิจการควรมีช่องทางรับคำขอและดำเนินการภายในระยะเวลาที่กฎหมายกำหนด
- ขั้นตอนรับมือเหตุละเมิดข้อมูล: หากเหตุละเมิดมีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และแจ้งเจ้าของข้อมูลด้วยหากมีความเสี่ยงสูง
- เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO): ต้องแต่งตั้งเมื่อเข้าเงื่อนไขที่กฎหมายกำหนด เช่น มีกิจกรรมหลักที่ต้องติดตามข้อมูลจำนวนมากอย่างสม่ำเสมอ
บทลงโทษ
การไม่ปฏิบัติตาม PDPA อาจมีผลทั้งความรับผิดทางแพ่ง ซึ่งรวมถึงค่าสินไหมทดแทนเพื่อการลงโทษ โทษทางอาญาในบางกรณี และโทษปรับทางปกครองสูงสุดถึง 5 ล้านบาทต่อกรณี นอกจากนี้ยังกระทบความเชื่อมั่นของลูกค้าและคู่ค้า
เริ่มต้นอย่างไร
- สำรวจข้อมูลที่กิจการเก็บอยู่ในทุกระบบ ทั้งเอกสารกระดาษ ไฟล์ และระบบออนไลน์
- กำหนดฐานทางกฎหมายและระยะเวลาเก็บของข้อมูลแต่ละชุด
- จัดทำหรือปรับปรุงประกาศความเป็นส่วนตัวและข้อตกลงกับผู้ให้บริการ
- อบรมพนักงานและทดสอบขั้นตอนรับมือเหตุละเมิด
คำถามที่พบบ่อย
ต้องขอความยินยอมจากลูกค้าทุกครั้งหรือไม่
ไม่จำเป็น หากการใช้ข้อมูลมีฐานทางกฎหมายอื่นรองรับ เช่น การปฏิบัติตามสัญญา แต่ยังต้องแจ้งรายละเอียดผ่านประกาศความเป็นส่วนตัว การขอความยินยอมโดยไม่จำเป็นอาจสร้างภาระและความสับสนเมื่อเจ้าของข้อมูลถอนความยินยอม
ติดกล้องวงจรปิดในสำนักงานต้องทำอย่างไร
ควรติดป้ายแจ้งให้ทราบ จำกัดผู้เข้าถึงภาพ กำหนดระยะเวลาเก็บที่เหมาะสม และไม่ติดตั้งในพื้นที่ที่ละเมิดความเป็นส่วนตัวเกินสมควร
ข้อมูลพนักงานอยู่ภายใต้ PDPA หรือไม่
อยู่ภายใต้ PDPA เช่นกัน กิจการควรแจ้งพนักงานถึงการเก็บและใช้ข้อมูล และดูแลข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ด้วยมาตรการที่เข้มงวดกว่า
ให้เราช่วยวางระบบคุ้มครองข้อมูล
Kerwin & Vance ให้คำปรึกษาทั้งด้านกฎหมายและด้านระบบไอทีเพื่อปฏิบัติตาม PDPA ตั้งแต่สำรวจข้อมูล จัดทำเอกสาร ไปจนถึงมาตรการรักษาความปลอดภัย ดูรายละเอียดบริการกฎหมายและทรัพย์สินทางปัญญาและเทคโนโลยีสารสนเทศ หรือนัดหมายปรึกษากับเรา
ข้อมูลในบทความนี้เป็นความรู้ทั่วไป ไม่ใช่ความเห็นทางกฎหมายสำหรับกรณีเฉพาะ หลักเกณฑ์อาจเปลี่ยนตามประกาศของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ควรปรึกษาผู้เชี่ยวชาญก่อนดำเนินการ