เริ่มจากรู้ว่าเก็บข้อมูลอะไร ไปทำอะไร
ข้อมูลส่วนบุคคลคือข้อมูลที่ระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม เช่น ชื่อ เบอร์โทร อีเมล ที่อยู่ รวมถึง IP address, cookie ID และ LINE user ID ที่โยงกลับถึงตัวคนได้ ข้อมูลบางประเภทที่ละเอียดอ่อน เช่น สุขภาพ ศาสนา หรือข้อมูลชีวภาพ มีเงื่อนไขเข้มงวดกว่า
ก่อนอ่านข้อกฎหมาย ให้ทีมทำแผนผังข้อมูลง่ายๆ ว่าเก็บอะไร จากช่องทางไหน เก็บไว้ที่ไหน ใครเข้าถึงได้ และส่งต่อให้ใคร ซึ่งมักพบว่าฟอร์มบางช่องไม่มีใครใช้ แต่ยังเก็บอยู่ และกฎหมายนี้ให้เก็บเท่าที่จำเป็นกับวัตถุประสงค์
ฐานทางกฎหมายและการขอความยินยอม
PDPA ไม่ได้บอกว่าต้องขอความยินยอมทุกครั้ง การเก็บและใช้ข้อมูลต้องมีฐานทางกฎหมายอย่างใดอย่างหนึ่ง เช่น ความยินยอม การปฏิบัติตามสัญญา หน้าที่ตามกฎหมาย ประโยชน์สำคัญต่อชีวิต ภารกิจของรัฐ หรือประโยชน์โดยชอบด้วยกฎหมาย ตัวอย่างเช่น การเก็บที่อยู่เพื่อส่งสินค้าที่ลูกค้าสั่ง ใช้ฐานสัญญาได้ ไม่ต้องขอความยินยอม
ความยินยอมจำเป็นกับกรณีอย่างการส่งการตลาดหรือข้อมูลละเอียดอ่อน และต้องขอแบบชัดเจน แยกจากข้อตกลงอื่น ไม่ติ๊กไว้ล่วงหน้า บอกวัตถุประสงค์ และถอนได้ง่ายเท่ากับตอนให้ ควรเก็บบันทึกว่าใครยินยอมเมื่อไรและในข้อความเวอร์ชันไหน
Privacy notice และสิทธิของเจ้าของข้อมูล
ต้องแจ้งผู้ใช้ก่อนหรือขณะเก็บข้อมูลว่า เก็บอะไร เพื่ออะไร ใช้ฐานทางกฎหมายใด เก็บนานเท่าไร เปิดเผยให้ใคร และติดต่อใครเมื่อมีคำถาม เขียนเป็นภาษาไทยที่อ่านรู้เรื่อง ไม่ใช่ข้อความทางกฎหมายยาวหลายหน้าที่ไม่มีใครอ่าน และวางลิงก์ไว้ตรงจุดที่เก็บข้อมูลจริง เช่น ใต้ฟอร์ม
เจ้าของข้อมูลมีสิทธิหลายอย่าง และทีมต้องมีวิธีรับมือในทางปฏิบัติ ตั้งแต่ใครรับคำขอ ยืนยันตัวตนอย่างไร และต้องค้นข้อมูลจากระบบไหนบ้าง การมีช่องทางรับคำขอที่ชัดเจนตั้งแต่ต้นถูกกว่าการวุ่นวายตอนมีคนยื่นคำขอจริง
- สิทธิเข้าถึงและขอสำเนาข้อมูล
- สิทธิแก้ไขข้อมูลให้ถูกต้อง
- สิทธิขอลบหรือทำให้ไม่สามารถระบุตัวตนได้
- สิทธิคัดค้านและขอจำกัดการใช้
- สิทธิขอรับหรือโอนย้ายข้อมูล และสิทธิถอนความยินยอม
ระยะเวลาเก็บและการใช้ผู้ให้บริการภายนอก
ควรกำหนดว่าข้อมูลแต่ละประเภทเก็บนานเท่าไรและเพราะอะไร เช่น ข้อมูลบัญชีที่ต้องเก็บตามกฎหมายภาษีเก็บตามนั้น ข้อมูลผู้สมัครงานที่ไม่ได้รับเข้าทำงานอาจเก็บสั้นกว่า แล้วทำให้ระบบลบหรือทำให้ไม่ระบุตัวตนอัตโนมัติ แทนการหวังว่าจะมีคนมานั่งลบ
เมื่อใช้ผู้ให้บริการภายนอก เช่น ระบบอีเมล คลาวด์ เครื่องมือ analytics หรือ CRM บริษัทของคุณยังเป็นผู้รับผิดชอบหลักต่อข้อมูลลูกค้า ควรมีข้อตกลงประมวลผลข้อมูล (DPA) ตรวจว่าผู้ให้บริการเก็บข้อมูลไว้ที่ใด และถ้าส่งข้อมูลไปต่างประเทศ ต้องดูเงื่อนไขการโอนข้อมูลข้ามประเทศด้วย
ข้อมูลที่ไม่ได้เก็บไว้ คือข้อมูลที่ไม่มีวันรั่ว
เตรียมพร้อมรับมือข้อมูลรั่วและเช็กลิสต์
PDPA กำหนดให้ผู้ควบคุมข้อมูลแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ภายใน 72 ชั่วโมงนับจากรู้เหตุ หากเหตุนั้นมีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล และต้องแจ้งเจ้าของข้อมูลด้วยถ้าความเสี่ยงสูง ดังนั้นควรเขียนแผนล่วงหน้าว่าใครตัดสินใจ ใครสื่อสาร และเก็บ log อะไรไว้สืบสวน
สรุปเป็นเช็กลิสต์ที่ทีมใช้ได้ทันที โปรดตรวจรายละเอียดตามกฎหมายและประกาศล่าสุดของ PDPC กับที่ปรึกษากฎหมายของคุณ บทความนี้ให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย
- มีแผนผังข้อมูลว่าเก็บอะไร ที่ไหน ใครเข้าถึง
- ทุกการเก็บข้อมูลมีฐานทางกฎหมายและวัตถุประสงค์ที่เขียนไว้
- ความยินยอมแยกชัดเจน ไม่ติ๊กล่วงหน้า ถอนได้ และมีบันทึก
- มี privacy notice ภาษาไทยที่อ่านง่าย วางตรงจุดเก็บข้อมูล
- มีขั้นตอนรับและตอบคำขอใช้สิทธิของเจ้าของข้อมูล
- กำหนดระยะเวลาเก็บและระบบลบอัตโนมัติ
- มี DPA กับผู้ให้บริการภายนอก และตรวจเรื่องการส่งข้อมูลไปต่างประเทศ
- มีแผนรับมือข้อมูลรั่ว ระบุผู้รับผิดชอบและขั้นตอนแจ้ง
สรุปสั้น ๆ
- เริ่มจากแผนผังข้อมูล รู้ว่าเก็บอะไรและเพราะอะไร
- ความยินยอมไม่ใช่ฐานเดียว ใช้ฐานที่เหมาะกับแต่ละการใช้งาน และขอแบบชัดเจนเมื่อจำเป็น
- Privacy notice ต้องอ่านง่ายและอยู่ตรงจุดเก็บข้อมูล
- ออกแบบวิธีรับคำขอใช้สิทธิ กำหนดระยะเวลาเก็บ และทำข้อตกลงกับผู้ให้บริการภายนอก
- เตรียมแผนรับมือข้อมูลรั่วไว้ก่อนเกิดเหตุ และปรึกษาที่ปรึกษากฎหมายสำหรับรายละเอียด
คำถามที่พบบ่อย
บริการที่เกี่ยวข้อง
มีโปรเจกต์แบบนี้อยู่ในใจไหม
เล่าให้เราฟังว่าตอนนี้อยู่ตรงไหน เดี๋ยวเราแนะนำก้าวแรกที่เหมาะให้ โดยไม่มีข้อผูกมัด
คุยกับเรา
