กฎหมาย PDPA คืออะไร? SMEs ต้องจัดการข้อมูลลูกค้าอย่างไร?

1. แจ้งรายละเอียดเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล

• วัตถุประสงค์ของการประมวลผลข้อมูลส่วนบุคคล และฐานอํานาจในการเก็บรวบรวม ข้อมูลส่วนบุคคล
• การปฏิบัติตามกฎหมาย สัญญา หรือการแจ้งรายละเอียดประโยชน์โดยชอบด้วยกฎหมาย
• ประเภทของข้อมูลส่วนบุคคลและระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคล
• ประเภทของผู้รับข้อมูล ในกรณีที่มีการส่งข้อมูลส่วนบุคคลให้กับบุคคลท่ีสาม
• แหล่งที่มาของข้อมูลส่วนบุคคล (กรณีเก็บรวบรวมข้อมูลมาจากแหล่งอื่นที่ไม่ใช่เจ้าของ ข้อมูลโดยตรง)
• ข้อมูลเก่ียวกับผู้ควบคุมข้อมูลส่วนบุคคล
• สิทธิของเจ้าของข้อมูลส่วนบุคคล

การแจ้งรายละเอียดของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลข้างต้นอาจอยู่ในรูปแบบ ของ “ประกาศการคุ้มครองข้อมูลส่วนบุคคล” หรือ “privacy notice” ซึ่งกฎหมายไม่ได้กําหนดมีรูปแบบ ตายตัว อาจทําได้หลายวิธี ทั้งการทําเป็นหนังสือลายลักษณ์อักษร ทางวาจา หรือสื่ออิเล็กทรอนิกส์ เช่น ข้อความ SMS อีเมล เป็นต้น โดยอาจแจ้งข้อมูลเบื้องต้นแบบสั้นและจัดทําเป็นลิงก์หรือ QR Code เชื่อมโยงไปยังเว็บไซต์เพื่อแจ้งรายละเอียดที่ครบถ้วนตามที่กฎหมายกําหนดอีกชั้นหนึ่ง (Layered Approach)

ในกรณีของการจ้างพนักงานอาจเพิ่มเรื่องประกาศการคุ้มครองข้อมูลส่วนบุคคลอาจจะระบุไว้ใน ส่วนใดส่วนหนึ่งของสัญญาจ้างงานก็ได้ เช่น ในส่วนท้ายของสัญญาจ้างงาน เป็นต้น

2. การจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม

มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคลที่กําหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล จะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัย เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือ เปดเผยข้อมูลส่วนบุคคล โดยปราศจากอํานาจหรือโดยมิชอบ

ทั้งนี้ ข้อกําหนดตามประกาศดังกล่าวถือเป็นมาตรฐานขั้นต่ำที่ให้ไว้เป็นแนวทางสําหรับผู้ประกอบการนําไปปฏิบัติ ได้แก่

• การเสริมสร้างความตระหนักรู้ เกี่ยวกับความสําคัญของข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัย (privacy and security awareness)
• มีการควบคุมการเข้าถึงข้อมูลส่วนบุคคลที่สําคัญ (access control) โดยอาจจะต้องมีการพิสูจน์ และยืนยันตัวตน (identity proofing and authentication) และมีมาตรการสําหรับอนุญาตหรือการกําหนดสิทธิในการเข้าถึงและใช้งาน (authorization) ที่เหมาะสมเพื่อให้สอดคล้องกับหลักการของกฎหมายคุ้มครองข้อมูลส่วนบุคคล
• การกําหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน (user responsibilities) เป็นต้น

3. การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

เมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล เช่น ข้อมูลส่วนบุคคลที่ถูกเก็บรวบรวมไว้ภายในองค์กรรั่วไหล ผู้ประกอบการซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุให้แก่สํานักงานคณะกรรมการคุ้มครอง ข้อมูลส่วนบุคคล (สํานักงานฯ) ทราบโดยไม่ชักช้า

อย่างไรก็ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลได้กําหนด ระดับของความเสี่ยงไว้ 3 ระดับ ได้แก่

• “ไม่มีความเสี่ยง” กรณีนี้อาจจะไม่ต้องแจ้งต่อสํานักงานฯ แต่ผู้ประกอบการอาจจะต้องทําการบันทึกรายละเอียดของการเกิดเหตุไว้
• “มีความเสี่ยงน้อย” ผู้ประกอบการจะต้องแจ้งให้สํานักงานฯ ทราบถึงเหตุของการละเมิดนั้นโดยไม่ชักช้าภายใน 72 ชั่วโมง
• “มีความเสี่ยงสูง” ซึ่งกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ผู้ประกอบการจะต้องแจ้งให้สํานักงานฯ ทราบถึงเหตุของการละเมิดนั้นโดยไม่ชักช้าภายใน 72 ชั่วโมง รวมถึงแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ พร้อมแนวทางการป้องกันความเสียหายที่จะเกิดขึ้นด้วย

กฎหมายกําหนดหลักการสําคัญในการแจ้งเหตุละเมิดว่า ควรเป็นการใช้ภาษาที่ชัดเจนและมีการอธิบายถึงรายละเอียดการละเมิดข้อมูลส่วนบุคคลที่เข้าใจง่าย ในกรณีที่ต้องแจ้งให้กับสํานักงานฯ และเจ้าของ ข้อมูลส่วนบุคคลทราบ จะต้องมีการบรรยายลักษณะของการเหตุละเมิดข้อมูลส่วนบุคคล เช่น ประเภทของ ข้อมูลที่รั่วไหล จํานวนข้อมูลที่รั่วไหล แจ้งผลกระทบที่จะเกิดขึ้นและอาจเกิดขึ้นในอนาคต รวมถึงมาตรการ หรือแนวทางท่ีจะบรรเทาผลกระทบที่อาจเกิดข้ึน เป็นต้น

4. การจัดทําบันทึกรายการ

ผู้ประกอบการซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลอาจต้องมีการจัดทําบันทึกรายการ (Record of Processing Activity: RoPA) เพื่อให้เจ้าของข้อมูลส่วนบุคคลและสํานักงานสามารถตรวจสอบได้ ซึ่งวิธีการจัดทําบันทึกนั้นจะเป็นเอกสารกระดาษหรือใช้ระบบอิเล็กทรอนิกส์ก็ได้ โดยต้องมีรายละเอียดดังต่อไปนี้

• ข้อมูลเก่ียวกับผู้ควบคุมข้อมูลส่วนบุคคล
• วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท 
• ข้อมูลส่วนบุคคลท่ีมีการเก็บรวบรวม 
• ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล 
• สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูล
  ส่วนบุคคลและเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้น 
• การใช้หรือเปิดเผยข้อมูลส่วนบุคคล
• การปฏิเสธคําขอหรือการคัดค้าน
• คําอธิบายเก่ียวกับมาตรการรักษาความมั่นคงปลอดภัย

อย่างไรก็ตาม กฎหมายไม่ได้กําหนดรูปแบบของบันทึกรายการไว้ตายตัว เป็นเพียงการกําหนดสาระสําคัญของรายการที่ต้องบันทึกไว้เท่านั้น นอกจากนี้ ผู้ประกอบการซึ่งอยู่ในขอบเขตของการเป็นกิจการขนาดเล็ก จะได้รับการยกเว้นตามกฎหมายไม่ต้องจัดทําบันทึกรายการดังกล่าวก็ได้