ผู้ตรวจ PDPA ถามอะไรก่อน และต้องโชว์หลักฐานอะไร

ผู้ตรวจเรื่องข้อมูลส่วนบุคคลมีอยู่สามแบบที่บริษัทไทยเจอบ่อย แบบแรกคือผู้ตรวจจากหน่วยรับรองที่มาตรวจเพื่อออกใบรับรอง ISO/IEC 27001 หรือ ISO/IEC 27701 แบบที่สองคือลูกค้ารายใหญ่ที่ส่งทีมมาตรวจเราในฐานะคู่ค้าหรือผู้ประมวลผลข้อมูลให้เขา แบบที่สามคือฝ่ายตรวจสอบภายในของบริษัทเอง

สามแบบนี้มีเป้าหมายต่างกัน แต่ชั่วโมงแรกของการตรวจคล้ายกันมาก ผู้ตรวจจะขอดูเอกสารหลักไม่กี่ชิ้น แล้วถามคำถามที่ตอบได้ด้วยหลักฐานเท่านั้น บริษัทที่ตอบได้ด้วยคำพูดอย่างเดียวมักเสียคะแนนตั้งแต่ตรงนี้

การตรวจสองขั้นคืออะไร ทำไมเอกสารครบแล้วยังไม่ผ่าน

การตรวจเพื่อขอใบรับรองโดยทั่วไปแบ่งเป็นสองขั้น ขั้นแรกผู้ตรวจอ่านเอกสารว่าระบบที่เขียนไว้ครบตามข้อกำหนดหรือยัง ขั้นที่สองผู้ตรวจลงไปดูว่าคนในองค์กรทำตามที่เขียนไว้จริงหรือไม่ โดยสุ่มดูบันทึก แบบฟอร์ม และสัมภาษณ์คนทำงาน

บริษัทจำนวนมากผ่านขั้นแรกได้เพราะซื้อหรือจ้างเขียนนโยบายมาครบชุด แต่ไปติดขั้นที่สอง เพราะนโยบายบอกว่าทบทวนทุกปี แต่หาบันทึกการทบทวนไม่เจอ หรือนโยบายบอกว่าอบรมพนักงานใหม่ทุกคน แต่รายชื่อผู้เข้าอบรมขาดไปครึ่งหนึ่ง ลูกค้ารายใหญ่ที่มาตรวจคู่ค้าและการตรวจภายในก็ใช้ตรรกะเดียวกัน แม้จะไม่ได้แยกเป็นสองวันชัดเจน

ในมาตรฐาน ISO/IEC 27001 ส่วนที่ผู้ตรวจขั้นแรกมักเปิดดูคู่กันคือ ข้อ 6.1.3 ที่ให้ทำเอกสารแสดงว่าเลือกใช้มาตรการใดและเพราะอะไร (Statement of Applicability หรือ SoA) ข้อ 9.2 ว่าด้วยการตรวจสอบภายใน และข้อ 9.3 ว่าด้วยการทบทวนโดยฝ่ายบริหาร ทั้งสามส่วนนี้เป็นตัวบอกว่าระบบมีชีวิตอยู่หรือเป็นแค่กระดาษ ดูลำดับเอกสารที่ควรมีก่อนวันนัดได้ในคู่มือเตรียมรับการตรวจ ISO

ผู้ตรวจ PDPA ถามอะไรก่อน 14 คำถามที่ควรเตรียมคำตอบ

คำถามชุดแรกของผู้ตรวจมักวนอยู่ 14 เรื่องข้างล่าง ลำดับอาจสลับกันตามธุรกิจ แต่แทบทุกข้อตอบได้ด้วยเอกสารหรือบันทึกที่จับต้องได้ ตารางนี้วางคำถาม ตัวบทที่ผู้ตรวจจะโยงไป และหลักฐานที่ตอบได้ดีที่สุดไว้ด้วยกัน

ข้อ 10 ต้องพูดให้ตรง ใน พ.ร.บ.คุ้มครองข้อมูลฯ ฉบับที่เราอ่าน ไม่มีบทบังคับให้ทำรายงานประเมินผลกระทบ (DPIA) โดยตรง ผู้ตรวจ ISO/IEC 27701 และลูกค้าต่างชาติมักถามเรื่องนี้เพราะมาตรฐานและกฎหมายของเขาให้ความสำคัญ การทำ DPIA สำหรับงานเสี่ยงสูงจึงเป็นแนวปฏิบัติที่ดี และเป็นหลักฐานที่ช่วยอธิบายว่ามาตรการตามมาตรา 37 (1) เหมาะสมกับความเสี่ยงอย่างไร

แต่ละคำถามโยงกับตัวบทไหน และหลักฐานแบบไหนที่ผู้ตรวจยอมรับ

ผู้ตรวจที่มีประสบการณ์จะถามคำถามเดียวกันสองครั้ง ครั้งแรกถามว่ามีไหม ครั้งที่สองถามว่าขอดูของจริงหนึ่งชิ้น หัวข้อย่อยต่อไปนี้ยกถ้อยคำในตัวบทที่ผู้ตรวจจะเปิดดู และบอกว่าของจริงชิ้นไหนตอบคำถามที่สองได้

บันทึกรายการตามมาตรา 39 คือเอกสารที่ถูกขอเป็นชิ้นแรก

ผู้ตรวจไม่ได้ดูแค่ว่ามีบันทึกรายการหรือไม่ เขาจะเลือกกิจกรรมหนึ่ง เช่น การจ่ายเงินเดือน แล้วไล่ดูว่าระยะเวลาเก็บที่เขียนไว้ตรงกับตารางระยะเวลาเก็บรักษาไหม และระบบที่ใช้จริงตรงกับที่ระบุไว้ไหม บันทึกที่ไม่ได้แก้มาสองปีทั้งที่บริษัทเปลี่ยนระบบเงินเดือนไปแล้ว คือสัญญาณที่ผู้ตรวจจะจดทันที วิธีทำบันทึกให้ใช้งานได้จริงอยู่ในคู่มือทำ RoPA

DPO มีหรือไม่มี ต้องอธิบายได้ทั้งสองทาง

ถ้าบริษัทเข้าเกณฑ์ต้องมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ตามมาตรา 41 หลักฐานที่ดีคือหนังสือแต่งตั้ง ช่องทางติดต่อที่ใช้ได้จริง และบันทึกงานที่ DPO ทำตามมาตรา 42 เช่น ความเห็นที่ให้ฝ่ายต่าง ๆ ถ้าบริษัทประเมินแล้วว่าไม่เข้าเกณฑ์ ก็ต้องมีบันทึกการประเมินนั้นให้ดู การตอบว่าไม่จำเป็นต้องมีโดยไม่มีเอกสารรองรับ ผู้ตรวจมักไม่รับ ดูวิธีประเมินได้ที่ต้องมี DPO ไหม

ประกาศความเป็นส่วนตัว ผู้ตรวจจะเทียบกับสิ่งที่ทำจริง

มาตรา 23 กำหนดเรื่องที่ต้องแจ้งเจ้าของข้อมูลก่อนหรือขณะเก็บข้อมูลไว้ 6 ข้อ ผู้ตรวจที่ละเอียดจะหยิบระยะเวลาเก็บรักษาในประกาศความเป็นส่วนตัวมาเทียบกับบันทึกรายการและตารางระยะเวลาเก็บรักษา ถ้าสามเอกสารบอกตัวเลขไม่ตรงกัน แปลว่าอย่างน้อยหนึ่งฉบับแจ้งเจ้าของข้อมูลไม่ตรงความจริง

เหตุละเมิดที่ไม่ได้แจ้ง สคส. คือจุดที่ผู้ตรวจขุดลึกที่สุด

PDPA มาตรา 37 (4) ให้แจ้งเหตุละเมิดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่ทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ผู้ตรวจรู้ดีว่าบริษัทส่วนใหญ่มีเหตุเล็ก ๆ ที่ตัดสินว่าไม่ต้องแจ้ง เขาจึงมักขอดูเหตุพวกนี้ก่อนเหตุใหญ่

หลักฐานที่ตอบได้คือทะเบียนเหตุที่บันทึกทุกเหตุ รวมถึงเหตุที่จบลงว่าไม่ต้องแจ้ง แต่ละรายการควรมีเวลาที่ทราบเหตุ ข้อมูลที่เกี่ยวข้อง การประเมินความเสี่ยง เหตุผลที่ไม่แจ้ง และชื่อผู้ตัดสิน บริษัทที่บันทึกเฉพาะเหตุที่แจ้ง สคส. ไปแล้ว จะตอบคำถามนี้ไม่ได้ วิธีซ้อมให้ทีมตัดสินเรื่องนี้ได้เร็วอยู่ในบทความซ้อมรับมือข้อมูลรั่วครึ่งวัน

คำขอใช้สิทธิ ผู้ตรวจนับวันจากของจริง

เพดาน 30 วันนี้เขียนไว้สำหรับคำขอเข้าถึงและขอรับสำเนาข้อมูลตามมาตรา 30 ประกาศฯ ว่าด้วยการเข้าถึงและขอรับสำเนาข้อมูล พ.ศ. 2569 เปิดให้ขยายได้อีกไม่เกิน 30 วัน แต่ต้องแจ้งเหตุผลให้เจ้าของข้อมูลทราบ ผู้ตรวจจึงจะสุ่มคำขอสามถึงห้ารายการจากทะเบียน แล้วดูวันรับ วันตอบ และหนังสือแจ้งขยายเวลาถ้ามี

ส่วนคำขอที่ปฏิเสธ มาตรา 30 วรรคสามให้บันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตามมาตรา 39 ด้วย ทะเบียนคำขอที่ไม่มีช่องเหตุผลการปฏิเสธจึงเป็นช่องโหว่ที่เห็นง่าย รายละเอียดการนับวันอยู่ในตอบคำขอใช้สิทธิภายใน 30 วัน

ระยะเวลาเก็บรักษา ผู้ตรวจขอดูหลักฐานการลบ ไม่ใช่แค่ตาราง

คำว่าระบบการตรวจสอบในมาตรา 37 (3) ทำให้ตารางระยะเวลาเก็บรักษาอย่างเดียวไม่พอ ผู้ตรวจจะถามว่าเดือนที่แล้วลบอะไรไปบ้าง ใครอนุมัติ และมีใบรับรองการทำลายเอกสารจากผู้รับจ้างหรือไม่ ถ้าตารางบอกว่าใบสมัครงานที่ไม่ผ่านเก็บหนึ่งปี แต่ในโฟลเดอร์ยังมีใบสมัครเมื่อสี่ปีก่อน ข้อนี้จะถูกบันทึกเป็นข้อบกพร่อง วิธีตั้งตารางที่อธิบายได้อยู่ในตารางระยะเวลาเก็บข้อมูลที่ตอบผู้ตรวจได้

อบรมพนักงาน ประกาศของ สคส. เขียนไว้ชัด

ผู้ตรวจมักสัมภาษณ์พนักงานหน้างานหนึ่งหรือสองคนแบบไม่นัดล่วงหน้า เช่น ถามพนักงานคอลเซ็นเตอร์ว่าถ้าลูกค้าขอลบข้อมูลจะส่งเรื่องไปที่ไหน คำตอบของพนักงานคนนั้นมีน้ำหนักพอ ๆ กับรายชื่อผู้เข้าอบรม ถ้ารายชื่อครบแต่พนักงานตอบไม่ได้ ผู้ตรวจจะสรุปว่าการอบรมไม่ได้ผล

ผู้ให้บริการภายนอก ต้องมีข้อตกลงเป็นชิ้นเป็นอัน

ผู้ตรวจจะเลือกผู้ให้บริการสองสามรายจากรายชื่อ เช่น บริษัทเงินเดือน ระบบ CRM บนคลาวด์ หรือบริษัทรักษาความปลอดภัยที่ดูกล้อง แล้วขอดูข้อตกลง ประกาศแจ้งเหตุ 2565 ข้อ 8 ยังกำหนดให้ข้อตกลงระบุหน้าที่ของผู้ประมวลผลในการแจ้งเหตุละเมิดต่อผู้ควบคุมข้อมูลภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุเท่าที่ทำได้ สัญญาที่ไม่มีข้อนี้เป็นจุดที่ผู้ตรวจจดบ่อยมาก ดูวิธีตรวจก่อนเซ็นได้ในตรวจผู้ให้บริการก่อนเซ็นสัญญา

ข้อมูลเด็ก ข้อมูลอ่อนไหว กล้องวงจรปิด คุกกี้ และการส่งข้อมูลไปต่างประเทศ

ห้าเรื่องนี้ผู้ตรวจจะถามเมื่อธุรกิจเกี่ยวข้องจริง โรงเรียนกวดวิชาจะโดนถามเรื่องเด็ก โรงพยาบาลจะโดนถามเรื่องข้อมูลสุขภาพ ร้านค้าออนไลน์จะโดนถามเรื่องคุกกี้ ข้อมูลอ่อนไหวตามมาตรา 26 เก็บได้เมื่อได้รับความยินยอมโดยชัดแจ้ง หรือเข้าข้อยกเว้นที่มาตรานั้นระบุไว้ หลักฐานจึงต้องบอกได้ว่าแต่ละกรณีใช้ฐานไหน

เรื่องกล้องวงจรปิด ผู้ตรวจมักเดินไปดูป้ายแจ้งหน้าพื้นที่จริง แล้วถามว่าใครดูภาพย้อนหลังได้ และเก็บภาพไว้กี่วัน แนวปฏิบัติด้านความมั่นคงปลอดภัยกล้องวงจรปิดของ สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) เป็นแนวปฏิบัติ ไม่ใช่กฎหมาย แต่ช่วยเป็นกรอบให้ตอบเรื่องรหัสผ่านและการเข้าถึงระยะไกลได้ ส่วนการส่งข้อมูลไปต่างประเทศ หลักฐานที่ดีที่สุดคือแผนผังที่บอกว่าข้อมูลแต่ละชุดไปอยู่ประเทศไหน และใช้ฐานตามมาตรา 28 หรือ 29 ข้อใด

สุ่มหลักฐานอย่างไรให้ซื่อตรง ไม่เลือกแต่ชิ้นที่สวย

ผู้ตรวจรู้ว่าบริษัทอยากโชว์แฟ้มที่ดีที่สุด จึงมักเลือกตัวอย่างเองจากรายการทั้งหมด ถ้าบริษัทยื่นแค่สามชิ้นที่เตรียมไว้ ผู้ตรวจจะขอดูรายการเต็มแล้วจิ้มชิ้นอื่น การซ้อมจึงควรสุ่มแบบเดียวกับที่ผู้ตรวจทำ เพื่อเจอปัญหาก่อนเขา

1. เริ่มจากรายการเต็มเสมอ เช่น ทะเบียนคำขอทั้งปี ทะเบียนเหตุทั้งปี รายชื่อผู้ให้บริการทั้งหมด ถ้ายังไม่มีรายการเต็ม เรื่องนั้นยังไม่พร้อมตรวจ
2. เลือกตามความเสี่ยงก่อน แล้วจึงสุ่ม เช่น คำขอที่ปฏิเสธทุกรายการ เหตุที่ตัดสินว่าไม่ต้องแจ้งทุกรายการ ผู้ให้บริการที่เข้าถึงข้อมูลอ่อนไหวทุกราย จากนั้นสุ่มเพิ่มจากส่วนที่เหลือ
3. จดวิธีเลือกไว้ก่อนเปิดแฟ้ม ว่าเลือกอะไร กี่ชิ้น เพราะอะไร ผู้ตรวจจะเชื่อผลซ้อมมากขึ้นเมื่อเห็นว่าไม่ได้เลือกหลังเห็นคำตอบ
4. ตรวจหนึ่งชิ้นให้ครบทั้งเส้นทาง เช่น คำขอลบข้อมูลหนึ่งราย ไล่ตั้งแต่วันรับ การยืนยันตัวตน การลบในแต่ละระบบ ไปจนถึงหนังสือตอบกลับ
5. เก็บชิ้นที่ไม่ผ่านไว้ อย่าแก้ย้อนหลังแล้วทำเหมือนไม่เคยพลาด ให้บันทึกการแก้ไขเป็นงานใหม่ที่มีวันที่จริง

ข้อบกพร่องใหญ่กับข้อบกพร่องเล็กต่างกันอย่างไร

ในการตรวจรับรอง ผลที่ผู้ตรวจบันทึกมักแบ่งเป็นสามระดับ ข้อบกพร่องใหญ่ (major nonconformity) ข้อบกพร่องเล็ก (minor nonconformity) และข้อเสนอแนะเพื่อการปรับปรุง (opportunity for improvement หรือ OFI) ข้อบกพร่องใหญ่มักทำให้ยังออกใบรับรองไม่ได้จนกว่าจะแก้และพิสูจน์ได้ ส่วนข้อบกพร่องเล็กให้ทำแผนแก้ไขภายในเวลาที่หน่วยรับรองกำหนด เกณฑ์ละเอียดของแต่ละหน่วยรับรองอาจต่างกัน ควรถามหน่วยรับรองของตัวเองก่อนวันตรวจ

หลักง่าย ๆ ที่ใช้แยกได้คือ ถามว่าปัญหานี้เป็นครั้งเดียวหรือเป็นทั้งระบบ ถ้าสุ่มมาห้าชิ้นแล้วพลาดหนึ่งชิ้น มักเป็นข้อบกพร่องเล็ก ถ้าพลาดทุกชิ้น หรือไม่มีกระบวนการให้ตรวจเลย มักเป็นข้อบกพร่องใหญ่ เมื่อได้ผลมาแล้ว ISO/IEC 27001 ข้อ 10.2 ให้หาสาเหตุและแก้ที่ต้นเหตุ ไม่ใช่แค่ปิดเรื่องที่ผู้ตรวจเจอ

ซ้อมรับการตรวจ 2 สัปดาห์ ทำอะไรวันไหน

สองสัปดาห์พอสำหรับบริษัทที่มีระบบอยู่แล้วและอยากรู้ว่าจะโดนจับตรงไหน ถ้ายังไม่มีบันทึกรายการหรือทะเบียนเหตุเลย ควรเริ่มทำสองเรื่องนั้นก่อน แล้วค่อยซ้อม แผนข้างล่างเป็นข้อแนะนำจากการทำงานจริง ไม่ใช่สิ่งที่กฎหมายกำหนด

1. วันที่ 1
   ตั้งขอบเขตการตรวจ ว่าครอบคลุมบริษัทไหน สาขาไหน ระบบไหน และนัดคนที่ต้องเข้าร่วม ได้แก่ DPO ไอที บุคคล และเจ้าของกระบวนการหลักISO/IEC 27001 ข้อ 9.2
2. วันที่ 2–3
   รวบรวมเอกสารชุดขั้นที่ 1 ให้ครบในที่เดียว ได้แก่ นโยบาย บันทึกรายการ ประกาศความเป็นส่วนตัว ตารางระยะเวลาเก็บรักษา ขั้นตอนรับมือเหตุ และ SoA ถ้าจะขอ ISOPDPA มาตรา 39 · 23
3. วันที่ 4
   เทียบเอกสารไขว้กัน ระยะเวลาเก็บในประกาศ บันทึกรายการ และตาราง ต้องตรงกัน ชื่อและช่องทางติดต่อ DPO ต้องเหมือนกันทุกที่PDPA มาตรา 23 (3) · 41
4. วันที่ 5
   ทำรายการเต็มของทะเบียนคำขอ ทะเบียนเหตุ และรายชื่อผู้ให้บริการ แล้วจดวิธีเลือกตัวอย่างไว้ก่อนเปิดแฟ้มPDPA มาตรา 30 · 40
5. วันที่ 8–9
   ตรวจขั้นที่ 2 แบบซ้อม ไล่ตัวอย่างที่สุ่มได้ทีละชิ้นให้ครบเส้นทาง รวมถึงเหตุที่ตัดสินว่าไม่ต้องแจ้งทุกรายการประกาศแจ้งเหตุ 2565 ข้อ 9
6. วันที่ 10
   สัมภาษณ์พนักงานหน้างานสามถึงห้าคนแบบไม่นัด ถามว่าถ้าเจอข้อมูลรั่วหรือมีลูกค้าขอข้อมูลจะทำอย่างไร และเดินดูป้ายกล้องวงจรปิดกับห้องเก็บเอกสารประกาศมาตรการความมั่นคงปลอดภัย 2565 ข้อ 4 (7)
7. วันที่ 11
   จัดผลเป็นข้อบกพร่องใหญ่ เล็ก และข้อเสนอแนะ พร้อมหลักฐานของแต่ละข้อISO/IEC 27001 ข้อ 10.2
8. วันที่ 12
   นำผลเข้าที่ประชุมทบทวนโดยฝ่ายบริหาร ตัดสินว่าเรื่องไหนแก้ก่อนวันจริง เรื่องไหนทำแผนแก้พร้อมกำหนดเสร็จISO/IEC 27001 ข้อ 9.3
9. วันที่ 13–14
   แก้เรื่องที่แก้ได้ทันโดยลงวันที่จริง เตรียมคนพาผู้ตรวจเดินและคนเปิดระบบ และทำสารบัญหลักฐานให้หยิบได้ในไม่กี่นาที

เครื่องมือที่ช่วยให้ซ้อมได้เร็วขึ้นมีอยู่สองแบบ ถ้ายังไม่ได้ใช้ระบบใด ลองเริ่มที่ผู้ตรวจจำลองฟรี ซึ่งถาม 9 หัวข้อและถามต่อได้ถึง 5 คำถามแบบที่ผู้ตรวจถามจริง ทำงานในเบราว์เซอร์และไม่เก็บคำตอบไว้ สำหรับผู้ใช้ AIPDPA ทุกแพ็กเกจมีการซ้อมรับการตรวจ 14 หัวข้อพร้อมเกณฑ์คุณภาพ คำถามเลือกจากโปรไฟล์องค์กรและถามเฉพาะโมดูลที่เปิดใช้ ไม่ใช้ AI และไม่ใช้เครดิต เป็นการซ้อมภายใน ไม่ใช่การรับรอง

องค์กรที่กำลังจะขอรับรองจริงมักต้องการมากกว่านั้น แพ็กเกจ ENTERPRISE ของ AIPDPA มีการตรวจจำลองสองขั้น ขั้นแรกดูเอกสาร ขั้นที่สองสุ่มหลักฐานจริงตามความเสี่ยง ทุกข้อที่พบตัดสินด้วยกฎที่ตั้งไว้ว่าเป็นข้อบกพร่องใหญ่ เล็ก หรือข้อเสนอแนะ AI ใช้แค่เรียบเรียงคำสรุปปิดการตรวจ และงานแก้ไขจะถูกสร้างหลังจากคนยืนยันผลแล้วเท่านั้น นอกจากนี้ยังมีแผนตรวจสอบภายในตามความเสี่ยง วาระทบทวนโดยฝ่ายบริหารที่ดึงตัวเลขจริงจากระบบ และ SoA ที่ส่งออกเป็นไฟล์ Word ได้ ทั้งหมดนี้ช่วยเตรียมตัว ไม่ได้รับประกันว่าจะผ่านการตรวจ

ห้าเรื่องที่ทำให้เสียคะแนนทั้งที่ทำงานมาจริง

• หลักฐานอยู่ในหัวคนคนเดียว วันตรวจคนนั้นลา ไม่มีใครเปิดระบบหรือหาแฟ้มได้ ควรมีอย่างน้อยสองคนที่รู้ว่าหลักฐานแต่ละชิ้นอยู่ที่ไหน
• บันทึกเฉพาะเหตุที่แจ้ง สคส. เหตุที่ตัดสินว่าไม่ต้องแจ้งหายไปจากทะเบียน ทั้งที่ข้อ 9 ของประกาศแจ้งเหตุ 2565 ให้ผู้ควบคุมข้อมูลมีหน้าที่ส่งหลักฐานเหตุที่ควรได้รับการยกเว้น
• ตอบแทนกันในห้องตรวจ ผู้บริหารตอบแทนพนักงานที่ถูกสัมภาษณ์ ผู้ตรวจจะถามซ้ำกับคนอื่นและให้น้ำหนักคำตอบเดิมน้อยลง
• ขอบเขตกว้างเกินกว่าที่ทำได้ ใส่ทุกสาขาไว้ในขอบเขตทั้งที่มีระบบแค่สำนักงานใหญ่ ทำให้สาขาที่ไม่พร้อมกลายเป็นข้อบกพร่องของทั้งระบบ
• ยกเอกสารภาษาอังกฤษสำเร็จรูปมาทั้งชุด ชื่อระบบในเอกสารไม่ใช่ระบบที่บริษัทใช้ ผู้ตรวจจะเห็นตั้งแต่ขั้นที่ 1 ว่าเอกสารไม่ได้เขียนจากงานจริง

วันตรวจจริงจะง่ายขึ้นมาก ถ้าทีมเคยตอบ 14 คำถามข้างต้นด้วยหลักฐานจริงมาแล้วอย่างน้อยหนึ่งรอบ ผู้ตรวจไม่ได้คาดหวังว่าองค์กรจะไม่มีข้อบกพร่องเลย เขาต้องการเห็นว่าองค์กรรู้จุดอ่อนของตัวเอง และมีหลักฐานว่ากำลังแก้อยู่ ถ้าบันทึกรายการกับการประเมินผลกระทบยังค้างอยู่ ลองอ่านทำ RoPA และ DPIA ให้เสร็จจริง ก่อนเริ่มซ้อม

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)