วางระบบ PDPA คุ้มครองข้อมูลส่วนบุคคล

งานเริ่มต้นที่จำเป็นที่สุดคือการเดินสำรวจว่าองค์กรเก็บข้อมูลอะไรบ้าง เก็บจากช่องทางไหน เก็บไว้นานเท่าใด และส่งต่อให้ใครบ้าง ตั้งแต่แบบฟอร์มสมัครสมาชิกหน้าเว็บ กล้องวงจรปิดหน้าสำนักงาน ไปจนถึงระบบเงินเดือนที่ฝ่ายบุคคลใช้ทุกวัน หลายองค์กรพบว่าตนเองเก็บข้อมูลไว้ในจุดที่ไม่มีใครเคยนึกถึงมาก่อน เช่น ไฟล์แนบในอีเมลเก่าหรือสเปรดชีตที่พนักงานทำเก็บไว้ใช้เอง

ผลของการสำรวจถูกนำมาจัดทำเป็นบันทึกรายการประมวลผลตามที่กฎหมายกำหนดให้ผู้ควบคุมข้อมูลต้องมีไว้ บันทึกนี้ต้องระบุวัตถุประสงค์ของการเก็บ ฐานทางกฎหมายที่ใช้ ระยะเวลาเก็บรักษา และมาตรการรักษาความมั่นคงปลอดภัยของแต่ละชุดข้อมูล ไม่ใช่เอกสารที่เขียนครั้งเดียวแล้วเก็บเข้าลิ้นชัก แต่ต้องปรับปรุงทุกครั้งที่มีระบบใหม่หรือช่องทางเก็บข้อมูลใหม่เกิดขึ้น

ในทางปฏิบัติ เราจัดทำแบบสอบถามสั้นให้แต่ละแผนกกรอกคู่ไปกับการสัมภาษณ์เจ้าของกระบวนการ เพราะเอกสารนโยบายที่มีอยู่เดิมมักไม่ตรงกับสิ่งที่หน้างานทำจริง ผลลัพธ์ที่ได้คือแผนที่ข้อมูลที่ครอบคลุมทั้งองค์กร ซึ่งเป็นฐานสำหรับงานทุกขั้นตอนถัดไป ตั้งแต่การเขียนประกาศความเป็นส่วนตัวไปจนถึงการประเมินความเสี่ยงเมื่อเกิดเหตุข้อมูลรั่วไหล

ข้อมูลแต่ละชุดต้องมีฐานทางกฎหมายรองรับการเก็บและใช้ ซึ่งอาจเป็นความยินยอม การปฏิบัติตามสัญญา การปฏิบัติตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย หรือฐานอื่นตามลักษณะข้อมูล ความผิดพลาดที่พบบ่อยที่สุดคือการเลือกใช้ความยินยอมเป็นฐานสำหรับทุกกรณี ทั้งที่บางกรณีความยินยอมไม่ใช่ฐานที่เหมาะสมเลย เพราะลูกค้าไม่มีทางเลือกจริงในการปฏิเสธหากยังต้องการรับบริการต่อ

ประกาศความเป็นส่วนตัวที่ดีต้องบอกให้เจ้าของข้อมูลรู้ตัวจริง ๆ ว่าองค์กรเก็บอะไร เพื่ออะไร ส่งต่อให้ใคร และเจ้าของข้อมูลมีสิทธิอะไรบ้าง เขียนด้วยภาษาที่คนทั่วไปอ่านแล้วเข้าใจโดยไม่ต้องเป็นนักกฎหมาย เราหลีกเลี่ยงการคัดลอกแม่แบบจากต่างประเทศมาแปลตรงตัว เพราะบริบทการเก็บข้อมูลของแต่ละธุรกิจต่างกัน ร้านค้าปลีกกับโรงพยาบาลย่อมมีจุดเก็บข้อมูลที่อ่อนไหวต่างกันโดยสิ้นเชิง

สำหรับข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ศาสนา หรือประวัติอาชญากรรม กฎหมายกำหนดเงื่อนไขที่เข้มงวดกว่าข้อมูลทั่วไป ต้องมีความยินยอมโดยชัดแจ้งหรือเข้าข้อยกเว้นเฉพาะที่กฎหมายระบุไว้เท่านั้น เราจึงแยกข้อมูลกลุ่มนี้ออกมาตรวจเป็นพิเศษตั้งแต่ขั้นสำรวจ ไม่ปล่อยให้ปะปนไปกับข้อมูลทั่วไปในแบบฟอร์มเดียวกัน

เมื่อองค์กรส่งข้อมูลให้ผู้ให้บริการภายนอกประมวลผลแทน เช่น ผู้ให้บริการระบบคลาวด์ บริษัทส่งอีเมลการตลาด หรือศูนย์บริการลูกค้าที่จ้างภายนอก กฎหมายกำหนดให้ต้องมีสัญญาประมวลผลข้อมูลที่ระบุขอบเขตการประมวลผล มาตรการรักษาความปลอดภัย และหน้าที่แจ้งเหตุการณ์ผิดปกติกลับมายังผู้ควบคุมข้อมูล เราตรวจสอบสัญญาที่มีอยู่เดิมทุกฉบับ เพราะสัญญาบริการทั่วไปมักไม่มีข้อกำหนดเหล่านี้ครบถ้วน

การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจำเป็นในบางลักษณะของกิจการ โดยเฉพาะที่มีการประมวลผลข้อมูลอ่อนไหวเป็นจำนวนมากหรือมีการติดตามพฤติกรรมบุคคลเป็นปกติธุระ แม้กิจการที่ไม่เข้าเกณฑ์บังคับ การมีผู้รับผิดชอบเฉพาะเรื่องนี้ก็ช่วยให้การตอบคำถามจากเจ้าของข้อมูลและการประสานงานกับหน่วยงานกำกับดูแลเป็นระบบมากขึ้น เราช่วยกำหนดขอบเขตหน้าที่ของตำแหน่งนี้ให้ชัดเจน ไม่ทับซ้อนกับงานประจำของฝ่ายกฎหมายหรือฝ่ายไอที

สำหรับกลุ่มบริษัทที่มีหลายนิติบุคคลในเครือ คำถามที่พบบ่อยคือจะแต่งตั้งเจ้าหน้าที่คนเดียวดูแลทั้งเครือได้หรือไม่ และสัญญาแบ่งปันข้อมูลระหว่างบริษัทในเครือต้องเขียนอย่างไร เราออกแบบโครงสร้างเอกสารให้สอดคล้องกับรูปแบบการบริหารจริงของแต่ละกลุ่มบริษัท แทนที่จะยัดทุกอย่างเข้าแม่แบบเดียวที่ไม่สะท้อนการทำงานจริง

การขอความยินยอมต้องแยกออกจากข้อกำหนดการใช้บริการอื่นอย่างชัดเจน เจ้าของข้อมูลต้องเข้าใจว่ากำลังยินยอมเรื่องอะไร และต้องถอนความยินยอมได้ง่ายพอ ๆ กับตอนที่ให้ไว้ กล่องติ๊กที่ซ่อนอยู่ท้ายเอกสารยาวเหยียดหรือการตั้งค่าเริ่มต้นให้ยินยอมไว้ก่อนล้วนเป็นแนวทางที่มีความเสี่ยงสูงหากถูกตรวจสอบ

เจ้าของข้อมูลมีสิทธิหลายประการ ทั้งสิทธิขอเข้าถึงข้อมูล สิทธิขอแก้ไขให้ถูกต้อง สิทธิขอให้ลบหรือทำลาย และสิทธิคัดค้านการประมวลผลในบางกรณี องค์กรต้องมีช่องทางรับคำขอที่ชัดเจนและกระบวนการภายในที่กำหนดผู้รับผิดชอบและกรอบเวลาในการตอบกลับ เราออกแบบแบบฟอร์มรับคำขอและผังงานภายในให้พนักงานแนวหน้ารู้ว่าเมื่อได้รับคำขอต้องส่งต่อให้ใครและต้องตอบภายในกี่วัน

ธุรกิจไทยจำนวนมากใช้บริการซอฟต์แวร์และคลาวด์ที่เซิร์ฟเวอร์ตั้งอยู่ต่างประเทศ ซึ่งถือเป็นการโอนข้อมูลข้ามพรมแดนตามกฎหมาย ประเทศปลายทางต้องมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ หรือหากไม่เข้าเกณฑ์นั้นต้องอาศัยมาตรการอื่นทดแทน เช่น สัญญาที่มีข้อกำหนดคุ้มครองข้อมูลตามมาตรฐานที่หน่วยงานกำกับดูแลยอมรับ หรือกฎเกณฑ์การคุ้มครองข้อมูลของกลุ่มบริษัทที่ผ่านการรับรอง

งานของเราคือตรวจสอบว่าผู้ให้บริการต่างประเทศที่ธุรกิจใช้อยู่จัดอยู่ในกลุ่มใด และจัดเตรียมเอกสารทดแทนที่จำเป็นเมื่อประเทศปลายทางยังไม่ได้รับการประกาศว่ามีมาตรฐานเพียงพอ หลายกรณีเป็นเรื่องของการเจรจากับผู้ให้บริการรายใหญ่ให้ยอมรับข้อกำหนดเพิ่มเติมในสัญญามาตรฐานของเขาเอง ซึ่งต้องอาศัยความเข้าใจทั้งกฎหมายไทยและแนวทางที่ผู้ให้บริการต่างประเทศคุ้นเคยอยู่แล้ว

องค์กรที่มีสาขาหรือบริษัทแม่อยู่ต่างประเทศมักเผชิญคำถามซ้ำเดิมว่าจะรวมศูนย์ข้อมูลพนักงานและลูกค้าไว้ที่สำนักงานใหญ่ในต่างประเทศได้หรือไม่ เราช่วยวางโครงสร้างการโอนข้อมูลให้ถูกต้องตั้งแต่ต้น แทนที่จะปล่อยให้เกิดการโอนไปแล้วค่อยแก้ไขย้อนหลัง ซึ่งมีต้นทุนและความเสี่ยงสูงกว่ามาก

เมื่อเกิดเหตุข้อมูลรั่วไหลที่มีความเสี่ยงต่อสิทธิเสรีภาพของเจ้าของข้อมูล กฎหมายกำหนดให้ผู้ควบคุมข้อมูลต้องแจ้งเหตุต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าและภายในกรอบเวลา 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ กรอบเวลานี้สั้นมากเมื่อเทียบกับความซับซ้อนของการตรวจสอบว่าเกิดอะไรขึ้นจริง ดังนั้นองค์กรจึงต้องมีแผนตอบสนองที่เขียนไว้ล่วงหน้า ไม่ใช่มานั่งคิดตอนเกิดเหตุ

แผนตอบสนองที่ใช้ได้จริงต้องระบุผู้มีอำนาจตัดสินใจ ขั้นตอนกักกันความเสียหายเบื้องต้นทางเทคนิค แบบฟอร์มบันทึกข้อเท็จจริงที่ต้องกรอกทันที และแนวทางประเมินว่าจำเป็นต้องแจ้งเจ้าของข้อมูลที่ได้รับผลกระทบโดยตรงด้วยหรือไม่ เราช่วยซ้อมสถานการณ์จำลองกับทีมไอทีและฝ่ายบริหารก่อนเกิดเหตุจริง เพราะการซ้อมล่วงหน้าเพียงครั้งเดียวมักเผยจุดอ่อนของกระบวนการที่เอกสารไม่เคยบอก

หลังเหตุการณ์ผ่านไป งานที่มักถูกมองข้ามคือการบันทึกบทเรียนและปรับปรุงมาตรการป้องกันไม่ให้เกิดซ้ำ สำนักงานกำกับดูแลมักพิจารณาว่าองค์กรมีมาตรการป้องกันตามสมควรอยู่แล้วหรือไม่ประกอบกับความรวดเร็วของการแจ้งเหตุ องค์กรที่มีบันทึกการปรับปรุงต่อเนื่องหลังเหตุการณ์ก่อนหน้าจึงอยู่ในฐานะที่ดีกว่าองค์กรที่ไม่เคยทบทวนอะไรเลย

เจ้าของข้อมูลที่ไม่พอใจการปฏิบัติขององค์กรมีสิทธิยื่นข้อร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้โดยตรง เมื่อได้รับหนังสือขอข้อมูลจากสำนักงาน องค์กรที่มีบันทึกรายการประมวลผล นโยบายที่เป็นลายลักษณ์อักษร และหลักฐานการขอความยินยอมครบถ้วนจะสามารถตอบชี้แจงได้เร็วและมีน้ำหนักกว่าองค์กรที่ต้องมานั่งรวบรวมเอกสารย้อนหลังภายใต้แรงกดดันเรื่องเวลา

เราแนะนำให้ทำการตรวจสอบภายในเป็นระยะ อย่างน้อยปีละครั้งหรือทุกครั้งที่มีการเปลี่ยนแปลงระบบสำคัญ เพื่อยืนยันว่าสิ่งที่ปฏิบัติจริงยังตรงกับที่เขียนไว้ในนโยบาย การตรวจสอบนี้ครอบคลุมทั้งด้านเอกสาร เช่น ประกาศความเป็นส่วนตัวยังทันสมัยหรือไม่ และด้านเทคนิค เช่น สิทธิการเข้าถึงฐานข้อมูลถูกจำกัดตามความจำเป็นจริงหรือไม่

ในการรับมือกับข้อร้องเรียนหรือการตรวจสอบจากสำนักงาน ท่าทีที่ให้ความร่วมมือและตอบตรงประเด็นมักได้ผลลัพธ์ที่ดีกว่าการปฏิเสธหรือประวิงเวลา เราช่วยองค์กรเตรียมคำชี้แจงที่อ้างอิงเอกสารภายในจริง แสดงให้เห็นว่าองค์กรมีระบบดูแลข้อมูลอย่างต่อเนื่องมิใช่เพิ่งจัดทำขึ้นหลังถูกร้องเรียน