พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลใช้กับธุรกิจที่เก็บหรือใช้ข้อมูลส่วนบุคคลของผู้อยู่ในประเทศไทย รวมถึงรายชื่อผู้ติดต่อของลูกค้าต่างประเทศที่บริษัทไทยถือไว้ ธุรกิจต้องมีฐานทางกฎหมาย แจ้งประกาศความเป็นส่วนตัว ตอบคำขอของเจ้าของข้อมูล แจ้งเหตุละเมิดภายใน 72 ชั่วโมง และมีมาตรการเมื่อส่งข้อมูลไปต่างประเทศ
พระราชบัญญัติ ซึ่งมีผลบังคับใช้เต็มรูปแบบตั้งแต่เดือนมิถุนายน 2565 ใช้กับผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลในประเทศไทย และรวมถึงผู้อยู่นอกประเทศที่เสนอสินค้าหรือบริการแก่คนในประเทศไทยหรือติดตามพฤติกรรมของเขา บริษัทไทยที่ถือข้อมูลผู้ติดต่อของลูกค้าในประเทศอาเซียนอื่นเป็นผู้ควบคุมข้อมูลไม่ว่าลูกค้าอยู่ที่ใด
ข้อมูลส่วนบุคคลหมายถึงข้อมูลที่ระบุตัวบุคคลที่มีชีวิตได้ทั้งทางตรงและทางอ้อม เช่น ชื่อ อีเมล หมายเลขโทรศัพท์ เลขประจำตัว รูปถ่าย ตำแหน่ง และตัวระบุออนไลน์ ข้อมูลอ่อนไหว เช่น สุขภาพ ศาสนา ข้อมูลชีวภาพ และประวัติอาชญากรรม มีกฎเข้มกว่าและโดยทั่วไปต้องมีความยินยอมโดยชัดแจ้ง
ข้อมูลระหว่างธุรกิจยังเป็นข้อมูลส่วนบุคคลเมื่อเกี่ยวกับบุคคลหนึ่ง เช่น ผู้ซื้อที่มีชื่อของลูกค้า การที่ใช้ข้อมูลเพื่อการทำงานไม่ทำให้ข้อมูลหลุดจากกฎหมาย
กฎหมายกำหนดฐานที่ใช้ประมวลผลข้อมูลได้ ได้แก่ ความยินยอม การปฏิบัติตามสัญญา การปฏิบัติตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย ประโยชน์สำคัญต่อชีวิต และภารกิจสาธารณะ ให้เลือกฐานของแต่ละวัตถุประสงค์และบันทึกไว้ ความยินยอมไม่ใช่ทางเดียว สำหรับการจัดการคำสั่งซื้อทั่วไป ฐานสัญญามักเหมาะกว่า
ต้องแจ้งให้ผู้คนรู้ว่าข้อมูลของเขาถูกใช้อย่างไร ประกาศความเป็นส่วนตัวระบุข้อมูลที่เก็บ เหตุผล ระยะเวลาเก็บ ผู้รับข้อมูล การส่งไปต่างประเทศ และวิธีใช้สิทธิ วางไว้ในที่เก็บข้อมูล เช่น แบบฟอร์มบนเว็บไซต์ สัญญาขาย และสัญญาจ้าง
ข้อความการตลาดมักต้องมีความยินยอมหรือฐานอื่นที่ถูกต้อง และช่องทางเลิกรับที่ง่าย ทีมขายที่นำรายชื่อไปส่งอีเมลจำนวนมากโดยไม่ตรวจฐานสร้างความเสี่ยงให้บริษัท
ตัวอย่างข้อความในประกาศความเป็นส่วนตัวสำหรับแบบฟอร์มติดต่อบนเว็บไซต์: เราเก็บชื่อและอีเมลของคุณเพื่อตอบคำถามที่คุณส่งมา เราเก็บไว้ไม่เกินสิบสองเดือน เราไม่ส่งข้อมูลให้บุคคลภายนอกนอกจากผู้ให้บริการอีเมลของเรา และคุณขอเข้าถึงหรือลบข้อมูลได้ที่อีเมลนี้ ข้อความสั้นและตรงไปตรงมาเช่นนี้อ่านเข้าใจง่ายกว่าเอกสารยาวหลายหน้า
บุคคลขอเข้าถึงข้อมูล ขอสำเนา แก้ไข ลบ ระงับ หรือคัดค้านการประมวลผลได้ ผู้ควบคุมข้อมูลต้องตอบภายในกำหนดที่กฎหมายวางไว้ ซึ่งโดยทั่วไปคือ 30 วัน บริษัทจึงต้องมีช่องทางรับคำขอและมีคนรับผิดชอบตอบ
หากเหตุละเมิดมีแนวโน้มกระทบสิทธิของบุคคล ผู้ควบคุมข้อมูลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และแจ้งเจ้าของข้อมูลหากความเสี่ยงสูง แล็ปท็อปหาย อีเมลส่งผิดรายชื่อ หรือบัญชีที่ถูกเจาะ ล้วนต้องประเมิน
ทำบันทึกเหตุละเมิดและขั้นตอนภายในสั้น ๆ เพื่อไม่ให้การโทรครั้งแรกเกิดขึ้นท่ามกลางความตื่นตระหนก โทษตามกฎหมายรวมถึงค่าปรับทางปกครอง ค่าสินไหมทดแทน และความรับผิดทางอาญาในบางความผิด การมีเอกสารแสดงความสุจริตในการปฏิบัติตามจึงมีค่าจริง
การตอบคำขอควรมีขั้นตอนตรวจสอบตัวตนของผู้ขอ เพื่อไม่ให้ส่งข้อมูลของคนหนึ่งให้อีกคนหนึ่ง จากนั้นค้นข้อมูลในระบบทุกแห่ง รวมทั้งอีเมลและไฟล์ส่วนตัวของพนักงานที่ใช้ทำงาน แล้วตอบภายในกำหนดพร้อมบันทึกว่าตอบเมื่อใด
การส่งข้อมูลส่วนบุคคลออกนอกประเทศไทยทำได้หากประเทศปลายทางมีมาตรฐานคุ้มครองที่เพียงพอ หรือมีมาตรการอื่นที่กฎหมายรับรอง เช่น ข้อบังคับภายในกลุ่มบริษัทที่ผูกพัน ข้อสัญญามาตรฐาน หรือข้อยกเว้นตามกฎหมาย การใช้บริการคลาวด์ในต่างประเทศคือการส่งข้อมูล จึงควรตรวจว่าผู้ให้บริการเก็บข้อมูลที่ใด
เมื่อผู้ให้บริการประมวลผลข้อมูลแทนคุณ ให้ทำข้อตกลงประมวลผลข้อมูลที่กำหนดวัตถุประสงค์ มาตรการความปลอดภัย และผู้ประมวลผลช่วง คุณยังรับผิดชอบข้อมูลอยู่ จึงเลือกผู้ให้บริการที่อธิบายความปลอดภัยและที่ตั้งข้อมูลได้ชัดเจน
การประมวลผลข้อมูลขนาดใหญ่หรืออ่อนไหวอาจต้องมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล และผู้ควบคุมข้อมูลต่างประเทศที่เสนอบริการในประเทศไทยอาจต้องมีตัวแทนในประเทศไทย ควรถามทนายความไทยว่ากรณีของคุณเข้าข่ายหรือไม่
ก่อนเลือกบริการคลาวด์หรือเครื่องมือส่งอีเมลใหม่ ให้ถามผู้ให้บริการสามข้อ คือเก็บข้อมูลที่ประเทศใด ใครเข้าถึงข้อมูลได้ และจะทำอย่างไรเมื่อสัญญาสิ้นสุดหรือเกิดเหตุละเมิด คำตอบที่ชัดเจนเป็นสัญญาณของผู้ให้บริการที่น่าไว้วางใจ
เดือนแรก ทำรายการข้อมูลส่วนบุคคลที่ถือและระบบที่เก็บ ได้แก่ รายชื่อลูกค้า แฟ้มพนักงาน แบบฟอร์มบนเว็บ กล้องวงจรปิด และข้อมูลผู้ขาย กำหนดเจ้าของข้อมูลแต่ละชุด และจดว่ามีข้อมูลอ่อนไหวหรือออกนอกประเทศหรือไม่
เดือนที่สองและสาม เขียนประกาศความเป็นส่วนตัว กำหนดฐานทางกฎหมายของแต่ละวัตถุประสงค์ ตั้งระยะเวลาเก็บ และทำข้อตกลงกับผู้ให้บริการที่ประมวลผลข้อมูลให้คุณ ปรับสัญญาจ้างและคู่มือพนักงานให้ครอบคลุมข้อมูลพนักงาน
ในเดือนต่อมา อบรมคนที่ตอบลูกค้าและรับคำขอ ทดสอบคำขอจำลองของเจ้าของข้อมูลตั้งแต่รับจนตอบ ซ้อมการแจ้งเหตุละเมิด ตรวจว่าสิทธิเข้าถึงตรงกับหน้าที่ และถอดบัญชีที่ไม่ใช้แล้ว
จากนั้นทบทวนทุกปี ระบบเปลี่ยน เครื่องมือใหม่ถูกนำมาใช้ และหน่วยงานกำกับออกแนวปฏิบัติ รายการในปฏิทินกับผู้รับผิดชอบที่ระบุชื่อมีต้นทุนต่ำ และเป็นหลักฐานว่าบริษัทถือกฎหมายจริงจังหากมีเรื่องร้องเรียน
พนักงานก็มีสิทธิตาม PDPA เช่นกัน นายจ้างควรแจ้งว่าเก็บข้อมูลอะไร เช่น ประวัติสุขภาพที่ใช้ในการลา ข้อมูลบัญชีธนาคาร และภาพจากกล้องวงจรปิด เพราะเหตุใด และเก็บไว้นานเท่าใด โดยเฉพาะข้อมูลอ่อนไหวที่ต้องมีมาตรการเข้มกว่า
4softcrm เก็บรายชื่อผู้ติดต่อของลูกค้าไว้ที่เดียวเพื่อให้รู้ว่าข้อมูลอยู่ที่ใด และ 4hosting เป็นโฮสติ้งในศูนย์ข้อมูลของสหภาพยุโรปหากคุณเลือกใช้ ผลิตภัณฑ์เหล่านี้ไม่รับรองการปฏิบัติตาม PDPA ไม่จัดทำประกาศหรือบันทึกกิจกรรมประมวลผลให้ และไม่แจ้งหน่วยงานกำกับ
การปรึกษากฎหมายยังจำเป็น เก็บเอกสารให้เรียบง่ายพอที่จะดูแลได้ ทะเบียนกิจกรรมประมวลผลสองหน้าที่ถูกต้องดีกว่านโยบายสี่สิบหน้าที่ล้าสมัย
ข้อมูลลูกค้าอยู่ในไฟล์หลายชุด จึงตอบคำขอลบหรือแก้ไขข้อมูลได้ช้า
เก็บข้อมูลผู้ติดต่อของลูกค้าใน CRM (4softcrm) เพื่อให้รู้ว่าข้อมูลอยู่ที่ใด การปฏิบัติตาม PDPA เป็นความรับผิดชอบของคุณ ควรปรึกษาที่ปรึกษากฎหมาย ผลิตภัณฑ์ไม่ได้รับรองการปฏิบัติตามกฎหมาย
ไม่รู้ว่าพนักงานคนไหนเข้าถึงข้อมูลส่วนบุคคลได้บ้าง
กำหนดผู้ที่เข้าถึงข้อมูลส่วนบุคคลตามนโยบายภายในของคุณ และทบทวนสิทธิ์เมื่อพนักงานลาออก ระบบไม่รับประกันว่าสิทธิ์ตามบทบาทเพียงพอต่อข้อกำหนดของ PDPA
บัญชีของพนักงานที่ลาออกยังเข้ารายชื่อลูกค้าได้
ถอดสิทธิในวันที่พนักงานออก และตรวจรายชื่อผู้ใช้ทุกไตรมาส ระบบรองรับบทบาทผู้ใช้ แต่ไม่ได้ตัดสินว่าใครควรเข้าถึงข้อมูลตาม PDPA
ใช้ เมื่อข้อมูลเกี่ยวข้องกับบุคคลที่ระบุตัวได้ เช่น ผู้ซื้อหรือผู้จัดการที่มีชื่อ กฎหมายไม่ได้ยกเว้นข้อมูลเพียงเพราะใช้ในบริบทธุรกิจ ให้เลือกฐานทางกฎหมายสำหรับการถือข้อมูล แจ้งตัวบุคคลผ่านประกาศความเป็นส่วนตัว และเก็บไว้เท่าที่จำเป็นเท่านั้น รวมถึงข้อมูลที่เก็บจากการประชุมออนไลน์และนามบัตร
ไม่ ความยินยอมเป็นเพียงหนึ่งในหลายฐาน การจัดการคำสั่งซื้อหรือสัญญาใช้ฐานการปฏิบัติตามสัญญาได้ บันทึกภาษีใช้ฐานปฏิบัติตามกฎหมาย และการตลาดบางอย่างใช้ประโยชน์โดยชอบด้วยกฎหมายตามข้อเท็จจริง ข้อความการตลาดมักต้องมีความยินยอมหรือฐานชัดเจนพร้อมช่องทางเลิกรับ จึงควรตรวจทีละวัตถุประสงค์ ฐานทางกฎหมายต้องบันทึกไว้เป็นรายวัตถุประสงค์
หากเหตุละเมิดมีแนวโน้มกระทบสิทธิและเสรีภาพของบุคคล ให้แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และแจ้งเจ้าของข้อมูลโดยไม่ชักช้าเมื่อความเสี่ยงสูง เก็บบันทึกเหตุการณ์และมีขั้นตอนง่าย ๆ เพื่อไม่ให้ชั่วโมงแรกเสียเปล่า ควรกำหนดผู้รับผิดชอบรับคำขอและเก็บบันทึกการตอบทุกครั้ง
ได้ แต่การส่งข้อมูลต้องมีมาตรการคุ้มครองที่เพียงพอ และคุณควรรู้ว่าข้อมูลเก็บที่ใดและใครเข้าถึงได้ ทำข้อตกลงประมวลผลข้อมูลกับผู้ให้บริการและตรวจมาตรการความปลอดภัย ทนายความบอกได้ว่าการจัดวางของคุณตรงกฎการส่งข้อมูลของกฎหมายหรือไม่ก่อนย้ายระบบ และตรวจว่าสัญญากับผู้ให้บริการระบุที่ตั้งเซิร์ฟเวอร์ไว้ชัด
CRM สำหรับผู้ติดต่อ การปฏิบัติตาม PDPA ต้องปรึกษาที่ปรึกษากฎหมาย
