PDPA คืออะไร มีผลกระทบต่อองค์กรยังไง ต้องเตรียมความพร้อมอย่างไรบ้าง

หลายๆ ท่านได้ยินมาว่า PDPA ซึ่งเป็นกฏหมายชนิดหนึ่งที่ใช้คุ้มครองข้อมูลส่วนบุคคล จะเริ่มมีการประกาศใช้ในกลางปี 2021 นี้แล้ว และแน่นอนว่า มีผลต่อการเก็บข้อมูลของบริษัททุกระดับอย่างแน่นอน ด้วยความเข้มงวดและบทลงโทษที่มากขึ้น บทความนี้จะมาอธิบายแจกแจงให้ทราบว่ากฎหมายฉบับนี้มันคืออะไร มีความสำคัญอย่างไร บทลงโทษคืออะไร และต้องทำอะไรบ้าง

PDPA นั้น ย่อมาจาก Personal Data Protection Act. หรือถ้าแปลเป็นภาษาไทย ก็คือ “พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562” นั่นเอง ซึ่งหน้าที่ของมัน ก็ตามชื่อเลยครับ คือออกมาเพื่อคุ้มครองข้อมูลส่วนบุคคล ที่ทางองค์กรได้รับรู้หรือครอบครอง ซึ่งคุ้มครองปกป้องข้อมูลบุคคลในทุกๆ บทบาท เช่น ลูกค้า, พนักงาน หรือใครก็ตาม ที่บริษัทจัดเก็บไว้ นั่นหมายความว่า ถ้าข้อมูลลูกจ้างหรือลูกค้า มีการถูกนำไปใช้ภายนอกอย่างผิดจุดประสงค์ และพิสูจน์ได้ว่าข้อมูลเหล่านั้นหลุดมาจาก Database ของบริษัท บุคคุลที่เสียหายก็มีสิทธิ์ใช้กฏหมายฉบับนี้ในการฟ้องร้ององค์กร เรียกค่าเสียหายได้มหาศาลทีเดียวครับ

ผลลัพธ์คือ ทางองค์กรต่างๆ ต้องเปลี่ยนนโยบายการจัดเก็บข้อมูลให้มีมาตรฐานมากขึ้น ทั้งในส่วนของเอกสารที่จับต้องได้ และข้อมูลแบบดิจิตอล ซึ่งต้องมีการทำ Format และ Template ของข้อมูลให้ชัดเจน และง่ายต่อการบริหารจัดการ ผ่านเกณฑ์ Security Policy ที่ทางรัฐกำหนด ซึ่งก็จะกลายมาเป็นเสมือนเกราะคุ้มกัน ว่าหากเกิดการถูกฟ้องร้อง จะได้มีหลักฐานว่าบริษัทเรามีพื้นฐานระบบ Privacy ที่ผ่านเกณฑ์ได้รับการตรวจสอบแล้วนั่นเอง

ข้อมูลส่วนบุคคล คืออะไร

ข้อมูลส่วนบุคคล หรือ “Personal Data” หมายถึงข้อมูลไดก็ตามที่มีความเกี่ยวข้องกับการระบุลักษณะบุคคลนั้นๆ ไม่ว่าจะเป็นทางตรงหรือทางอ้อมก็ตาม ยกตัวอย่างเช่น ชื่อนามสกุล, ที่อยู่อาศัย, อีเมลล์, เลขประจำตัวประชาชน, เบอร์โทรศัพท์ หรือ ข้อมูลทางการแพทย์ เป็นต้น

ทั้งนี้ สามารถเจาะลึกประเภทของ Personal Data ลงไปได้อีกเป็นข้อมูลส่วนบุคคลที่อ่อนไหว หรือ “Sensitive Personal Data” ได้อีก เป็นข้อมูลที่ต้องระมัดระวังเป็นพิเศษในการเก็บบันทึกและนำไปใช้ เช่น ศาสนา, ความชอบทางเพศ, ความชอบทางการเมือง หรือ โรคประจำตัว เป็นต้น ซึ่งถ้ามีการฟ้องร้องกันในส่วนการรั่วไหลของข้อมูลส่วนบบุคคลที่อ่อนไหวนี้ มูลค่าการเรียกร้องความเสียหายก็จะสูงขึ้นไปอีก

การเข้ามาของ PDPA ทำให้หากข้อมูลเหล่านี้รั่วไหลออกไป ผู้เสียหายจะสามารถดำเนินคดีกับผู้รับผิดชอบได้ตามกฎหมาย

มาดูกันว่า ใครกันบ้างที่จะได้รับผลกระทบหรือมีบทบาทเพิ่มเติมจากการประกาศใช้ PDPA และต้องมีหน้าที่ทำอะไรบ้าง

เจ้าของข้อมูลส่วนบุคคล (Data Subject)

ได้แก่ผู้ที่มอบข้อมูลส่วนบุคคลให้แก่บริษัท ทำการจัดเก็บเพื่อนำไปใช้ในจุดประสงค์ต่างๆ เช่น ลูกค้าหรือพนักงานบริษัทเอง เป็นต้น โดยกลุ่มนี้มีหน้าที่ยอมรับ และให้ความยินยอมในการเปิดเผยข้อมูลเท่าที่เหมาะสมและจำเป็นเท่านั้น พร้อมทั้งต้องรับรู้และใช้สิทธิของตนที่มีให้เกิดประสิทธิผลมากที่สุด

ในกรณีที่เกิดการรั่วไหลของข้อมูล กลุ่ม Data Subject นี้ ก็คือผู้เสียหายนั่นเอง ซึ่งหากมีผลกระทบมากก็สามารถทำการฟ้องร้องเพื่อเรียกค่าเสียหายได้

ผู้ควบคุมข้อมูลส่วนบุคคล (Controller)

ได้แก่ บุคคล, บริษัท หรือองค์กรต่างๆ ที่ทำหน้าที่จัดเก็บและนำข้อมูลส่วนตัวของบุคคลต่างๆ ของ Data Subject (เช่น พนักงานหรือลูกค้า) ไปใช้นั่นเอง หน้าที่สำคัญคือ ต้องมีมาตรฐานการดูแลรักษาความปลอดภัยที่ผ่านเกณฑ์พร้อมหมั่นตรวจสอบอยู่เสมอ พร้อมทั้งมีการทำลายข้อมูลที่ไม่ต้องการใช้งานแล้วอย่างมีประสิทธิภาพ และที่สำคัญ หากค้นพบว่าข้อมูลมีการรั่วไหล ต้องมีระบบการแจ้งเตือนพร้อมแก้ปัญหาที่ทันท่วงที รวมถึงจัดทำบันทึกรายงานอย่างมีระบบ บทบาท Controller นี้คือกลุ่มที่ได้รับผลกระทบจาก PDPA มากที่สุด เนื่องจากต้องเป็นผู้รับผิดชอบหากมีข้อมูลรั่วไหลและเกิดการฟ้องร้องกันขึ้นมา

ผู้ประมวลผลข้อมูลส่วนบุคคล (Processor)

ได้แก่ บุคคล, บริษัท หรือองค์กร ที่ได้รับคำสั่ง หรือถูกว่าจ้างจากกลุ่ม Controller ให้นำข้อมูลไปใช้ต่ออีกทีหนึ่ง เช่น พนักงานบริษัท ที่นำข้อมูลลูกค้าไปใช้ทำงาน หรือ บริษัทบัญชีที่ถูกจ้างให้นำข้อมูลพนักงานของบริษัทไปทำเรื่องเงินเดือน เป็นต้น กลุ่ม Processor นี้มีหน้าที่ เก็บ ใช้ และเปิดเผยข้อมูลตามขอบเขต พร้อมทั้งจัดมาตรการดูแล Security รวมถึงแจ้งเหตุละเมิดที่เกิดขึ้นให้ Controller ทราบทันที

ยกตัวอย่างเหตุการณ์ละเมิด PDPA ที่เกิดขึ้น อาทิเช่น พนักงานนำ Notebook ส่วนตัวมาทำงาน ซึ่งมีระหว่างใช้งานก็มีการจัดเก็บข้อมูลของลูกค้าเข้าไปในตัวเครื่อง อยู่มาวันหนึ่ง พนักงานคนนั้นทำ Notebook หาย และมีข้อมูลส่วนบุคคลของลูกค้ารั่วไหลออกไปถูกใช้ ในกรณีนี้ คนที่ต้องรับผิดชอบไม่ใช่พนักงานบริษัท แต่เป็นตัวบริษัทเอง ที่ไม่มีมาตรการรักษาความปลอดภัยของข้อมูลที่เพียงพอ ในกรณีนี้ ลูกค้าคือ Data Subject, บริษัทคือ Controller และ พนักงานคือ Processor

จะเห็นได้ว่า การเก็บรักษาข้อมูลดิจิตอลนั้นเป็นสิ่งที่ค่อนข้างสำคัญ การเข้ารหัสข้อมูลเพื่อป้องกันไม่ให้ถูกโจมตีจาก ไวรัส, Hacker หรือ มัลแวร์ ก็ถือเป็นหนึ่งในวิธีการสำคัญในการป้องกันไม่ให้เกิดความเสียหายในด้าน PDPA

คณะกรรมการ

ตำแหน่งนี้คือเจ้าหน้าที่รัฐ ที่รับคำร้องจากผู้เสียหาย (Data Subject) และดำเนินการลงโทษผู้กระทำผิด (Controller) นั่นเอง หลักๆ คือทำหน้าที่ดูแล Law Compliance ตามเกณฑ์ PDPA สามารถแบ่งออกได้เป็น 2 หน่วยงานได้แก่

• คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ทำหน้าที่ จัดทำแผนแม่บท, กำหนดมาตรการ, ออกประกาศหลักเกณฑ์, วินิจฉัย และ ส่งเสริม เกี่ยวกับการปกป้องข้อมูลส่วนบุคคล
• คณะกรรมการผู้เชี่ยวชาญ ทำหน้าที่ พิจารณาเรื่องร้องเรียน, ตรวจสอบการดำเนินการ และไกล่เกลี่ยข้อพิพาท

สำหรับบริษัทใดๆ ก็ตาม ที่ต้องการเริ่มต้นเตรียมตัวรับมือกับการบังคับใช้ PDPA มีขั้นตอนการทำการดังนี้

1. ตั้งงบประมาณ
   ค่าใช้จ่ายในการเตรียมความพร้อมนั้น ค่อนข้างสูงพอประมาณทั้งในส่วนอุปกรณ์ Hardware และ Software สำหรับบริหารจัดการและปกป้องข้อมูลทั้งในส่วน Paper และ Paperless (ดิจิตอล) เช่น เครื่อง Server หรือโปรแกรมป้องกัน Ransomware เป็นต้น นอกจากนี้ยังมีค่าบริการในการปรึกษานักกฏหมายอีกด้วย
2. แต่งตั้ง Working Group หรือ DPO
   อย่างที่กล่าวไปข้างต้น ว่าสำหรับองค์กรหรือบริษัท กฏหมาย PDPA จะบังคับให้จัดตั้งตำแหน่ง DPO ขึ้นมาเพื่อทำหน้าที่ประมวลผลข้อมูลและประสานงานกับหน่วยงานรัฐ
3. กำหนดประเภทของข้อมูล และวัตถุประสงค์ความจำเป็น
   ต้องปรับโครงสร้างการเลือกจัดเก็บข้อมูลส่วนบุคคล ให้สอบถามและจัดเก็บเพียงเท่าที่จำเป็นเท่านั้น ไม่ Request ข้อมูลที่ละเอียดอ่อนถ้าไม่จำเป็น
4. ทบทวน Data Protection Policy
   บริหารจัดการ การเข้าถึงข้อมูล และวัฐจักรของ Data
5. จัดเตรียมข้อกำหนดหรือแนวปฏิบัติ
   เพื่อคุ้มครองข้อมูลส่วนบุคคลให้ปลอดภัยที่สุด
6. จัดทำเอกสารมาตรการ Security
   และดำเนินการจริง เพื่อใช้เป็นหลักฐานอ้างอิงว่าบริษัทมีการดำเนินการตามเกณฑ์แล้ว
7. พัฒนากระบวนการแจ้งเตือน
   เพื่อให้ทางองค์กรสามารถตอบสนองต่อการเกิดเหตุผิดพลาดได้อย่างทันท่วงที ช่วยป้องกันความเสียหายไม่ให้เลยเถิด
8. สร้างความตระหนักและ Training
   เพราะ PDPA นั้น ถือเป็นเรื่องใหม่ที่เพิ่งเข้ามามีบทบาท จึงจำเป็นต้องจัดสัมนา หรือบรรยายเพื่อให้กับบุคลากร, พนักงาน, เจ้าหน้าที่ และลูกค้า ของบริษัทให้มีความเข้าใจในส่วนนี้
9. พัฒนาทักษะ
   และกระบวนการตรวจสอบหรือ Audit
10. ออกแบบและดำเนินการจริง
    ทั้งในส่วนของความเป็นส่วนตัว (Privacy) และความปลอดภัย (Security)

แนวทางปฏิบัติเบื้องต้น

มาดู Best Practice แบบเบื้องต้น ที่ควรใช้ประกอบในการจัดทำ “ข้อปฏิบัติในการดูแลข้อมูลส่วนบุคคล” กัน

ถึงแม้กฎหมายตัวนี้จะดูเคร่งครัดและจริงจัง อย่างไรก็ตาม ก็มีการกระทำบางเงื่อนไขที่ได้รับการยกเว้น ให้ไม่ผิดกฏ PDPA โดยหลักๆ มีทั้งหมด 6 เงื่อนไขดังนี้

• การบันทึก ใช้งาน และเปิดเผยข้อมูลส่วนบุคคลภายในครอบครัว เพื่อกิจกรรมในครอบครัวของบุคคลนั้นๆ
• การดำเนินการของหน่วยงานรัฐด้านการรักษาความมั่นคงและความปลอดภัยต่างๆ เช่น ตำรวจสามารถเก็บข้อมูลผู้กระทำผิดได้โดยไม่ถือว่าเป็นการละเมิดกฏพีดีพีเอ
• การใช้หรือเปิดเผยข้อมูลส่วนบุคคลเฉพาะกิจการสื่อมวลชน งานศิลปกรรม หรือวรรณกรรมเพื่อประโยชน์สาธารณะ ภายใต้กฎจริยธรรมของวิชาชีพนั้นๆ
• สภาผู้แทนราษฎร วุฒิสภา และรัฐสภา ที่เปิดเผยข้อมูลในการพิจารณาตามหน้าที่และอำนาจ แล้วแต่กรณี
• การพิจารณาคดีหรือพิพากษาของศาล รวมถึงการดำเนินงานของเจ้าหน้าที่เพื่อกระบวนการในการพิจารณาคดี
• การดำเนินการกับข้อมูลของบริษัทเครดิตกับสมาชิก ตามกฎหมายว่าด้วยการประกอบธุรกิจข้อมูลเครดิต ไม่ถือว่าผิดกฎ PDPA

ในส่วนขององค์กรหรือการใช้งานประเภทอื่นๆ ก็มีสิทธิได้รับการยกเว้น หากพิสูจน์ได้ว่า ความผิดพลาดที่เกิดขึ้น เกิดจากเหตุสุดวิสัย, จากการกระทำโดยเจ้าของข้อมูลส่วนบุคคล (Data Subject) เอง หรือเป็นการปฏิบัติตามคำสั่งของเจ้าหน้าที่ที่มีอำนาจสั่งการตามกฎหมาย

ในส่วนของโทษปรับที่เกี่ยวข้องกับ PDPA นั้น สามารถแบ่งออกได้ตามประเภทกฎหมายดังนี้

ความผิดทางแพ่ง

ผู้ควบคุ้มข้อมูล (Controller) หรือผู้ประมวลผล (Processor) ที่ทำให้เกิดความเสียหายต่อเจ้าของข้อมูลส่วนบุคคล (Data Subject) ต้องชดใช้ค่าสินไหมทดแทน ไม่ว่าจะเกิดจากการกระทำโดยจงใจ หรือประมาทเลินเล่อก็ตาม

นอกจากค่าสินไหมทดแทนที่แท้จริงแล้ว ศาลมีอำนาจในการสั่งจ่ายค่าสินไหมเพิ่มเติมได้ตามสมควร แต่ไม่เกิน 2 เท่าของค่าสินไหมที่แท้จริง

ในส่วนอายุความนั้น มีระยะเวลา 3 ปีนับตั้งแต่วันที่เจ้าของข้อมูลทราบถึงความเสียหายที่เกิดขึ้น และรู้ตัวผู้กระทำผิดที่ต้องรับผิดชอบ หรือ 10 ปีนับตั้งแต่วันที่มีการเกิดเหตุละเมิดข้อมูลส่วนบุคคลขึ้น

โทษอาญา

กรณีที่เป็นผู้ใช้ หรือเปิดเผยข้อมูลที่มีความละเอียดอ่อน (Sensitive Personal Data) นอกเหนือจากวัตถุประสงค์ที่มีการตกลงกันไว้ หรือมีการส่งถ่ายข้อมูลไปยังต่างประเทศโดยไม่ได้รับอนุญาต มีโทษ จำคุกไม่เกิน 6 เดือนหรือปรับไม่เกิน 500,000 บาท และในกรณีที่ผู้เสียหายพิสูจน์ได้ ว่าผู้กระทำผิด ตั้งใจทำเพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบ จะเพิ่มโทษเป็น จำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 1,000,000 บาท

สำหรับผู้ที่ล่วงรู้ข้อมูลส่วนบุคคล เนื่องจากการปฏิบัติตามหน้าที่ในกฏหมายนี้เอง แล้วนำไปเผยแพร่ให้ผู้อื่นรู้ มีโทษ จำคุกไม่เกิน 6 เดือนหรือปรับไม่เกิน 500,000 บาท

กรรมการ, ผู้จัดการ หรือบุคคลใดที่รับผิดชอบในการดำเนินงานของนิติบุคคล หากมีส่วนเกี่ยวข้องในการสั่งการ หรือสั่งห้าม จนเป็นเหตุให้นิติบุคคลมีความผิด ต้องรับโทษตามที่บัญญัติไว้ด้วย

โทษทางปกครอง

การกระทำที่เป็นความผิด ฝ่าฝืน หรือไม่ปฏิบัติตามที่กฏหมายกำหนด อาทิเช่น ไม่แจ้งวัตถุประสงค์ในการเก็บข้อมูลส่วนบุคคลให้เจ้าของข้อมูล (Data Subject) จ้าง หรือหลอกลวงจนเจ้าของข้อมูลยินยอม มีโทษ ปรับสูงสุดไม่เกิน 5,000,000 บาท เลยทีเดียว

สำหรับบริษัทไหนที่ต้องการเริ่มต้นดำเนินการปรับโครงสร้างบริษัทเพื่อรองรับการบังคับใช้ PDPA นั้น ในส่วนของข้อมูลดิจิตอล ทาง Addin.co.th ภายใต้ บริษัท แอด อิน บิซิเนส เรามีการจับมือกับแบรนด์ HPE เพื่อร่วมมือกันให้บริการครบวงจรในการดูแลระบบทั้งหมด ไม่ว่าจะเป็นในส่วนของ Hardware ได้แก่ Server สำหรับเสริมความปลอดภัยในข้อมูลสำคัญ เป็นต้น

ในส่วนของ Software เช่นพวกโปรแกรมป้องกันไวรัส หรือ Ransomware เป็นต้น รวมถึงบริการให้คำปรึกษาด้านกฎหมายอย่างครบถ้วน มั่นใจได้เลยว่า ข้อมูลส่วนบุคคลที่สำคัญ ทั้งของลูกค้า และพนักงานบริษัท จะได้รับการปกป้องและดูแลแก้ไขให้ผ่านเกณฑ์ ไม่มีความผิดเมื่อเกิดปัญหาแน่นอน

> อ่านบทความ Ramsomware คืออะไร
> อ่านบทความ แนะนำการใช้งาน Cohesity และ HPE คู่กันเพื่อรักษาข้อมูลบริษัท

ค่าใช้จ่าย และระยะเวลาในการดำเนินการ

สำหรับราคาของการทำ PDPA นั้น ต้องบอกเลยว่าไม่แน่นอน เนื่องจากมีหลากหลายปัจจัยที่ส่งผลกระทบต่อมูลค่าที่ต้องลงทุน ไม่ว่าจะเป็นขนาดของบริษัท, จำนวนข้อมูล, จำนวนคน หรือวิธีการที่ใช้จัดเก็บข้อมูล ที่แต่ละองค์กรย่อมมีความแตกต่างกันอยู่แล้ว ดังนั้น ค่าใช้จ่ายในการทำพีดีพีเอจึงถือว่ากว้างมาก ตั้งแต่หนึ่งล้านบาทต้นๆ ไปจนถึง 4-5 ล้านบาทเลยก็มีครับ ซึ่งก็ต้องมีการประเมินกันอีกทีตามสเกลขององค์กร แต่สิ่งหนึ่งที่มั่นใจได้แน่นอน คือราคาของ Add In Business เรานั้น ถูกกว่าที่อื่นๆ อย่างแน่นอน เนื่องจากเราเป็นตัวแทนจำหน่ายโดยตรงที่ได้รับการแต่งตั้งจากแบรนด์ HPE นั่นเอง

ในส่วนของระยะเวลาดำเนินการนั้น ก็ไม่ตายตัวเช่นเดียวกับราคา เพราะก็ขึ้นอยู่กับขนาดและสเกลขององค์กร ซึ่งก็จะส่งผลต่อขอบเขตงานที่ต้องทำ แต่โดยเฉลียแล้ว จะใช้เวลาตั้งแต่เริ่มต้นจนเสร็จสิ้นอยู่ที่ประมาณ 3 – 6 เดือน

สนใจสั่งซื้อหรือสอบถามรายละเอียดเพิ่มเติม สามารถติดต่อได้ที่หน้า Contact

หรือ

สรุป

จะเห็นได้ว่า PDPA นั้น คือกฎหมายที่จะเข้ามามีบทบาทสำคัญต่อองค์กรทุกระดับอย่างหลีกเลี่ยงไม่ได้แน่นอน โดนเฉพาะกลุ่มบริษัทที่มีความจำเป็นต้องบันทึกจัดเก็บข้อมูลบุคคลส่วนตัวไว้เป็นจำนวนมาก ไม่ว่าจะเป็นข้อมูลของพนักงาน หรือลูกค้าก็ตาม หากท่านผู้อ่านสนใจสอบถามเพิ่มเติมหรือสั่งซื้อ Solution นี้ ทาง Addin.co.th ภายใต้ บริษัท แอด อิน บิซิเนส จำกัด เราเป็นตัวแทนจำหน่ายที่ได้รับการแต่งตั้งโดยตรงจาก Hewlett Packard Enterprise ซึ่งหากท่านผู้อ่านมีความสนใจเพิ่มเติมในการสั่งซื้อสินค้าอุปกรณ์ไอที สอบถามข้อมูล หรือขอใบเสนอราคา ไม่ว่าจะเป็นในส่วนของอุปกรณ์ใดๆก็ตาม สามารถติดต่อเข้ามาได้ที่

Facebook Inbox : https://goo.gl/9wo8oL
Hotline : 063-819-7299
โทร : 02-713-2261
Line@ : @addinonline
Email : [email protected]