ทำ Data Mapping ใน 7 วัน จนได้ RoPA ฉบับแรก

งาน RoPA หลายแห่งสะดุดตั้งแต่วันแรก DPO ส่งตาราง Excel ไปให้ทุกฝ่ายกรอก สองสัปดาห์ต่อมาได้กลับมาครึ่งเดียว แต่ละฝ่ายเขียนกันคนละแบบ และไม่มีใครตอบได้ว่าข้อมูลลูกค้าที่ฝ่ายขายเก็บ ไหลไปถึงบริษัทขนส่งได้อย่างไร

สาเหตุคือข้ามขั้นที่ควรทำก่อน แนวปฏิบัติ TDPG 4.0 เรียกขั้นนี้ว่า Data Mapping หรือการทำแผนผังการไหลเวียนข้อมูล คือรู้ให้ได้ก่อนว่าข้อมูลเข้ามาทางไหน อยู่ที่ไหน และออกไปทางไหน แล้วค่อยแปลงเป็นบันทึกรายการตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มาตรา 39

บทความนี้เป็นแผนทำงาน 7 วันที่ทีมเราเรียบเรียงจากขั้นตอนใน TDPG บทที่ D จำนวนวันเป็นข้อเสนอของทีม กฎหมายไม่ได้กำหนดเวลาไว้ ส่วนเนื้อหาของแต่ละวันอ้างอิงตัวบทและแนวปฏิบัติตามที่ระบุ

Data Mapping กับ RoPA ต่างกันอย่างไร?

Data Mapping คือแผนผัง ส่วน RoPA คือบันทึกที่กฎหมายสั่งให้มี แผนผังทำให้เห็นภาพการไหลของข้อมูลทั้งองค์กร บันทึกรายการแยกภาพนั้นออกเป็นกิจกรรม แล้วตอบคำถามที่มาตรา 39 ถามทีละข้อ TDPG วาง Data Mapping ไว้เป็นขั้นเตรียมการ

ประโยคถัดไปใน TDPG ข้อเดียวกันสำคัญไม่แพ้กัน คือให้ผู้มีตำแหน่งอาวุโสหรือผู้มีอำนาจในองค์กรเข้าร่วมการเตรียมการ เพื่อให้งานนี้มีลักษณะเป็นคำสั่งขององค์กร และได้รับความร่วมมือสูงสุด งาน RoPA ที่ DPO ทำคนเดียวโดยไม่มีคำสั่งจากผู้บริหาร มักจบที่ตาราง Excel ครึ่งเดียวแบบในย่อหน้าแรก

RoPA ตามมาตรา 39 ต้องมีอะไรบ้าง?

รู้ปลายทางก่อนเริ่ม จะได้ถามคำถามให้ครบตั้งแต่วันแรก มาตรา 39 กำหนดขั้นต่ำไว้ 8 รายการ

อีกสี่รายการที่เหลือคือ (5) สิทธิและวิธีการเข้าถึงข้อมูล รวมทั้งเงื่อนไขว่าใครเข้าถึงได้ (6) การใช้หรือเปิดเผยตามมาตรา 27 วรรคสาม (7) การปฏิเสธคำขอหรือการคัดค้านของเจ้าของข้อมูล และ (8) คำอธิบายมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1)

แผน 7 วัน ทำอะไรวันไหน?

แผนนี้เหมาะกับบริษัทขนาดเล็กถึงกลางที่มีห้าถึงสิบฝ่าย องค์กรใหญ่ที่มีหลายสาขาใช้โครงเดียวกันได้ แต่ควรยืดวันที่ 3 ถึง 5 ออกไป เพราะ TDPG แนะนำให้ทำกับสาขาและบริษัทในเครือด้วยแบบเดียวกัน ไม่ให้มีกิจกรรมตกหล่น

1. วันที่ 1
   ผู้บริหารออกคำสั่งตั้งทีม ระบุ DPO หรือผู้ประสานงาน และรายชื่อทุกส่วนงาน แม้ฝ่ายที่คิดว่าไม่ได้ใช้ข้อมูลส่วนบุคคลก็ใส่ไว้ก่อนTDPG D9 · Dos1
2. วันที่ 2
   ส่งแบบสอบถามสั้น 6 ข้อให้ทุกฝ่ายอ่านล่วงหน้า ใช้ภาษาเดียวกันทั้งบริษัท ไม่ใช้ศัพท์กฎหมายTDPG D9 ขั้นตอนที่ 1
3. วันที่ 3
   นั่งวาดแผนผังกับฝ่ายบุคคลเป็นฝ่ายแรก ตั้งแต่รับสมัครงาน จ้างงาน จ่ายเงินเดือน จนพ้นสภาพTDPG ตัวอย่างการแบ่งส่วนงาน
4. วันที่ 4
   วาดต่อกับฝ่ายขาย การตลาด บริการลูกค้า และบัญชี ฝ่ายละไม่เกินหนึ่งชั่วโมง ปิดท้ายด้วยไอที เพื่อตอบเรื่องระบบ ที่เก็บ และสิทธิเข้าถึงTDPG D9 ขั้นตอนที่ 2
5. วันที่ 5
   รวบรวมเอกสารที่มีอยู่แล้ว เช่น นโยบายความเป็นส่วนตัว นโยบายเก็บรักษา สัญญาประมวลผลข้อมูล แล้วเทียบกับแผนผังว่าตรงกันไหมTDPG D9 ขั้นตอนที่ 3
6. วันที่ 6
   แปลงแผนผังเป็นกิจกรรม กิจกรรมละหนึ่งแถว เติมให้ครบ 8 ช่องตามมาตรา 39 ทำเครื่องหมายแถวที่มีข้อมูลตามมาตรา 26PDPA มาตรา 39 · TDPG D10
7. วันที่ 7
   ตรวจคุณภาพด้วยรายการ "สิ่งที่ไม่ควรทำ" ของ TDPG ให้เจ้าของกระบวนงานยืนยัน ผู้บริหารรับทราบ และนัดรอบทบทวนครั้งถัดไปTDPG D8 · Don'ts

วันที่ 2: แบบสอบถาม 6 ข้อ

TDPG ยกตัวอย่างคำถามไว้หกข้อ สั้นพอที่หัวหน้าฝ่ายตอบได้โดยไม่ต้องเปิดตัวบท ใช้หกข้อนี้เป็นแกนของแบบสอบถาม แล้วค่อยเติมคำถามเฉพาะฝ่าย

1. ใช้ข้อมูลส่วนบุคคลทำไม
2. เก็บข้อมูลเกี่ยวกับใครบ้าง
3. เก็บข้อมูลอะไร
4. แบ่งปันให้ใคร
5. เก็บนานแค่ไหน
6. รักษาความปลอดภัยอย่างไร

วันที่ 3: ทำไมเริ่มที่ฝ่ายบุคคล

TDPG แนะนำตรงนี้ไว้ชัด และเหตุผลฟังขึ้น ฝ่ายบุคคลมีเจ้าของข้อมูลหลายกลุ่มที่สุด และมีข้อมูลหลายประเภทที่สุดในบริษัท วาดฝ่ายนี้เสร็จ ทีมจะได้แม่แบบที่ใช้กับฝ่ายอื่นต่อได้

บนกระดาษแผ่นใหญ่ ให้วาดเป็นห้ากล่องเรียงซ้ายไปขวา คือ ข้อมูลเข้ามาจากไหน เก็บไว้ที่ไหน ใครใช้ ส่งต่อให้ใคร และลบเมื่อไร (เป็นวิธีที่ทีมเราใช้ ไม่ใช่รูปแบบบังคับ) กล่องไหนที่หัวหน้าฝ่ายตอบไม่ได้ วงสีแดงไว้ ถือเป็นงานที่ต้องตามต่อ ไม่ได้แปลว่าทำพลาด

วันที่ 6: จากแผนผังเป็นแถวใน RoPA

หนึ่งเส้นทางบนแผนผังมักกลายเป็นหนึ่งกิจกรรม เช่น "รับสมัครงาน" "จ่ายเงินเดือน" "ส่งสินค้าให้ลูกค้า" อย่าแตกละเอียดจนเป็นร้อยแถว และอย่ารวมจนเหลือแถวเดียวว่า "บริหารงานบุคคล" ระดับที่ใช้ได้คือระดับที่วัตถุประสงค์และฐานทางกฎหมายในแถวเดียวกันเหมือนกัน เรื่องการเลือกฐาน ดูได้ที่ ไม่ต้องขอความยินยอมทุกเรื่อง

แถวที่มีข้อมูลสุขภาพ ข้อมูลชีวภาพ หรือข้อมูลตามมาตรา 26 อื่น ทำเครื่องหมายไว้ตั้งแต่ตอนนี้ เพราะมีผลทั้งเรื่องฐานทางกฎหมายและสิทธิยกเว้นของกิจการขนาดเล็ก รายละเอียดอยู่ใน ข้อมูลอ่อนไหวที่บริษัทเก็บอยู่โดยไม่รู้ตัว ถ้ามีกิจกรรมเกี่ยวกับข้อมูลเด็ก ให้ดู ข้อมูลเด็กต้องขอความยินยอมจากใคร ประกอบ

คำตอบแบบไหนที่ TDPG บอกว่าใช้ไม่ได้?

วันที่ 7 คือวันตรวจคุณภาพ เครื่องมือที่ดีที่สุดคือรายการ "สิ่งที่ไม่ควรทำ" ใน TDPG ซึ่งยกตัวอย่างคำตอบที่ดูเหมือนครบ แต่ตรวจแล้วตอบอะไรไม่ได้เลย

TDPG ยังเตือนเรื่องรูปแบบไว้ด้วย อย่าแยก RoPA เป็นเอกสารหลายชิ้นกระจัดกระจาย อย่าใส่ลิงก์ไปไดรฟ์ภายในที่ผู้ตรวจเปิดไม่ได้ และอย่าใช้ตัวย่อที่คนนอกบริษัทอ่านไม่ออก

บริษัทเล็กต้องทำ RoPA ไหม?

มาตรา 39 วรรคท้ายเปิดช่องให้คณะกรรมการยกเว้นบางรายการให้กิจการขนาดเล็กได้ แต่ข้อยกเว้นนี้มีเงื่อนไขกลับหลายข้อ คือใช้ไม่ได้ถ้ามีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล ถ้าไม่ได้เก็บข้อมูลเป็นครั้งคราว หรือถ้ามีข้อมูลตามมาตรา 26 สังเกตด้วยว่ารายการ (7) เรื่องการปฏิเสธคำขอ ไม่อยู่ในรายการที่ยกเว้นได้

ประกาศคณะกรรมการเรื่องการยกเว้นนี้ยังไม่อยู่ในคลังตัวบทที่บทความนี้ใช้ เราจึงไม่ลงรายละเอียดเกณฑ์ ถ้าจะอาศัยข้อยกเว้น ให้อ่านประกาศฉบับจริงก่อน และดูการวิเคราะห์ที่ ทำ RoPA ให้เสร็จจริง และรู้ว่าเมื่อไรต้องทำ DPIA ในทางปฏิบัติ แผนผังข้อมูลมีประโยชน์กับบริษัทเล็กอยู่ดี เพราะเป็นฐานของประกาศความเป็นส่วนตัวและการรับมือเหตุข้อมูลรั่ว

หลังวันที่ 7 ต้องทำอะไรต่อ?

RoPA ฉบับแรกไม่ใช่ฉบับสุดท้าย TDPG ข้อ D8 บอกว่าบันทึกต้องสะท้อนสถานการณ์ปัจจุบัน และระบุจังหวะที่ต้องแก้ไว้ชัด

วิธีที่ได้ผลคือผูกการแก้ RoPA เข้ากับงานที่บริษัททำอยู่แล้ว เช่น ทุกครั้งที่จัดซื้อระบบใหม่ หรือเซ็นสัญญากับผู้ให้บริการที่แตะข้อมูลลูกค้า ให้มีช่องในแบบฟอร์มจัดซื้อถามว่า "ต้องแก้ RoPA ไหม" TDPG ยังแนะนำให้ทำ RoPA เป็นอิเล็กทรอนิกส์ เป็นแหล่งข้อมูลเดียว และให้ใช้ค่าตั้งต้นแบบเลือกจากเมนูแทนการพิมพ์อิสระ เพื่อให้ทุกฝ่ายเข้าใจตรงกัน

ทะเบียน RoPA ของ AIPDPA จึงแยกกิจกรรมตามฝ่าย มีเมนูให้เลือกสำหรับประเภทข้อมูล ฐานทางกฎหมาย และระยะเวลาเก็บ และพิมพ์รายงานตามมาตรา 39 ได้ทันทีเมื่อ สคส. หรือเจ้าของข้อมูลขอตรวจ แผนผังบนกระดาษจากวันที่ 3 ถึง 5 กรอกเข้าระบบได้ในวันที่ 6 ดูบัญชีตัวอย่าง ไม่ต้องสมัคร

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)