PDPA สำหรับองค์กรไทย — สิ่งที่ IT/Legal ควรเตรียม

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 และต้องอาศัยความร่วมมือระหว่างทีม IT และฝ่ายกฎหมาย บทความนี้สรุปสิ่งที่ควรเตรียมร่วมกัน

1. ทำ data mapping

สำรวจว่าองค์กรเก็บข้อมูลส่วนบุคคลอะไรบ้าง เก็บที่ไหน ใครเข้าถึงได้ ส่งต่อให้ใคร และเก็บนานเท่าใด ผลลัพธ์คือบันทึกรายการกิจกรรมการประมวลผลที่เป็นฐานของงาน PDPA ทั้งหมด

2. กำหนดฐานทางกฎหมายและประกาศความเป็นส่วนตัว

ระบุฐานในการประมวลผลของแต่ละกิจกรรม เช่น ความยินยอม สัญญา หรือประโยชน์โดยชอบด้วยกฎหมาย และจัดทำประกาศความเป็นส่วนตัวที่ชัดเจนและเข้าใจง่าย

3. แต่งตั้งผู้รับผิดชอบและ DPO

พิจารณาแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ในกรณีที่กฎหมายกำหนด เช่น มีการเก็บข้อมูลจำนวนมากหรือข้อมูลอ่อนไหว และกำหนดนโยบายและบทบาทหน้าที่ให้ชัดเจน

4. สร้างขั้นตอนตอบคำขอของเจ้าของข้อมูล (DSAR)

เจ้าของข้อมูลมีสิทธิ์ขอเข้าถึง แก้ไข ลบ หรือคัดค้านการประมวลผล ควรมีช่องทางรับคำขอ การยืนยันตัวตน และกระบวนการค้นหาข้อมูลข้ามระบบ เพื่อตอบกลับภายในกรอบเวลาที่กฎหมายกำหนด ซึ่งโดยทั่วไปคือ 30 วัน

5. กำหนดมาตรการรักษาความปลอดภัย

ควบคุมการเข้าถึงตามหน้าที่ เข้ารหัสข้อมูลสำคัญ เก็บบันทึกการเข้าถึง และป้องกัน endpoint และเครือข่ายอย่างเหมาะสม เพื่อให้สอดคล้องกับหน้าที่รักษาความมั่นคงปลอดภัยของข้อมูล

6. เตรียมแผนรับมือการละเมิดข้อมูล

เมื่อเกิดเหตุละเมิดที่มีความเสี่ยงต่อสิทธิของบุคคล ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่ทำได้ และแจ้งเจ้าของข้อมูลหากมีความเสี่ยงสูง ควรซ้อมแผนนี้ล่วงหน้า

7. จัดการผู้ให้บริการและผู้ประมวลผลข้อมูล

ทบทวนสัญญากับผู้ให้บริการภายนอก เช่น คลาวด์และระบบ HR ให้มีข้อตกลงการประมวลผลข้อมูลและมาตรการความปลอดภัยที่ชัดเจน

Seqrite ช่วยได้อย่างไร

Seqrite Data Privacy ช่วยค้นหาและจัดการข้อมูลส่วนบุคคล สนับสนุนการทำ data mapping และกระบวนการตอบคำขอเจ้าของข้อมูล ทั้งนี้เนื้อหานี้เป็นข้อมูลทั่วไปไม่ใช่คำปรึกษาทางกฎหมาย ควรปรึกษาที่ปรึกษากฎหมายของท่านสำหรับกรณีเฉพาะ