RoPA คือบันทึกที่มาตรา 39 แห่ง PDPA ให้ผู้ควบคุมข้อมูลทำอย่างน้อย 8 รายการ ส่วน DPIA ไม่มีชื่ออยู่ใน PDPA แต่ TDPG 4.0 แนะนำให้ทำเมื่อเข้าเกณฑ์เสี่ยงสูงตั้งแต่ 2 ข้อ เหมาะกับ DPO และเจ้าของกิจการ ได้รู้ว่าต้องบันทึกอะไรและเมื่อไรต้องทำ DPIA
- มาตรา 39 ให้บันทึกอย่างน้อย 8 รายการ จะทำเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้
- กิจการขนาดเล็กยกเว้นได้ทุกรายการยกเว้น (7) บันทึกการปฏิเสธคำขอใช้สิทธิ ซึ่งยังต้องทำเสมอ
- ข้อยกเว้นหมดไปถ้าประมวลผลเป็นประจำ มีความเสี่ยงต่อสิทธิ หรือมีข้อมูลอ่อนไหวตามมาตรา 26
- ผู้รับจ้างประมวลผลไม่ต้องทำ RoPA ตามมาตรา 39 แต่ต้องทำบันทึกตามมาตรา 40 (3) (ข้อหารือบริษัท ศ.)
- TDPG 4.0: เข้าเกณฑ์ความเสี่ยงสูง 2 ข้อขึ้นไปมักต้องทำ DPIA และควรทบทวน RoPA อย่างน้อยปีละครั้ง
งาน RoPA มักเริ่มด้วยความตั้งใจดี DPO ส่งไฟล์ Excel ไปให้ทุกฝ่ายกรอกว่าเก็บข้อมูลอะไร หนึ่งเดือนต่อมาได้กลับมาครึ่งเดียว ช่องวัตถุประสงค์เขียนว่า “ตามหน้าที่” ช่องระยะเวลาเก็บเขียนว่า “ตามนโยบาย” แล้วไฟล์ก็เงียบไป
ปัญหาไม่ได้อยู่ที่คนไม่ให้ความร่วมมืออย่างเดียว ส่วนใหญ่เกิดจากตั้งต้นผิด คือถามด้วยภาษากฎหมาย ทั้งที่คนกรอกเป็นฝ่ายขายหรือฝ่ายบุคคล บทความนี้เริ่มจากสิ่งที่มาตรา 39 บังคับจริง แปลงเป็นคำถามที่แต่ละฝ่ายตอบได้ แล้วจึงดูว่ากิจกรรมไหนต้องไปต่อถึง DPIA
RoPA ตามมาตรา 39 ต้องมีอะไรบ้าง?
มาตรา 39 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกอย่างน้อย 8 รายการ และบอกไว้ในตัวบทเองว่าทำเพื่อให้เจ้าของข้อมูลและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ตรวจสอบได้
ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกรายการ อย่างน้อยดังต่อไปนี้ เพื่อให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานสามารถตรวจสอบได้ โดยจะบันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้
| มาตรา 39 | ตัวบทกำหนดให้บันทึก | ถามฝ่ายงานว่า | ตัวอย่างคำตอบที่ใช้ได้ |
|---|---|---|---|
| (1) | ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม | เก็บข้อมูลอะไรของใครบ้าง | ผู้สมัครงาน: ชื่อ เบอร์โทร อีเมล ประวัติการศึกษา ประวัติการทำงาน |
| (2) | วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท | เก็บไปทำอะไร ใช้ฐานไหน | คัดเลือกผู้สมัคร · ดำเนินการตามคำขอก่อนเข้าทำสัญญา มาตรา 24 (3) |
| (3) | ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล | ใครเป็นผู้ตัดสินใจ ติดต่อได้ทางไหน | ชื่อบริษัท ที่อยู่ และช่องทางติดต่อ DPO (ถ้ามี) |
| (4) | ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล | เก็บนานเท่าไร นับจากวันไหน | ตัวเลขที่องค์กรตั้งเองพร้อมจุดเริ่มนับ เช่น 1 ปีนับจากวันปิดรับตำแหน่ง |
| (5) | สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขการเข้าถึง | ใครในองค์กรเปิดดูได้ เจ้าของข้อมูลขอดูทางไหน | ฝ่ายบุคคลและหัวหน้าสายงานที่เปิดรับ · ผู้สมัครยื่นคำขอผ่านแบบฟอร์มออนไลน์ |
| (6) | การใช้หรือเปิดเผยตามมาตรา 27 วรรคสาม | เคยใช้หรือส่งข้อมูลออกโดยไม่ขอความยินยอมไหม อาศัยฐานใด | ส่งข้อมูลให้หน่วยงานรัฐตามหนังสือขอข้อมูล · อ้างมาตรา 24 (6) |
| (7) | การปฏิเสธคำขอหรือการคัดค้านตามมาตรา 30, 31, 32 และ 36 | เคยปฏิเสธคำขอใช้สิทธิไหม เพราะอะไร | วันที่ · ผู้ขอ · สิทธิที่ขอ · เหตุผลที่ปฏิเสธ |
| (8) | คำอธิบายมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1) | ป้องกันข้อมูลชุดนี้อย่างไร | จำกัดสิทธิเข้าถึงตามตำแหน่ง · เข้ารหัสไฟล์ · เก็บบันทึกการเข้าถึง |
ข้อ (6) กับ (7) คือสองช่องที่ไฟล์ RoPA ส่วนใหญ่ว่างเปล่า เพราะไม่ได้มาจากคำถามว่า “เก็บอะไร” แต่มาจากเหตุการณ์ที่เกิดขึ้นทีหลัง คือการใช้หรือเปิดเผยข้อมูลโดยไม่ขอความยินยอม และการปฏิเสธคำขอของเจ้าของข้อมูล ทั้งสองช่องต้องมีคนคอยเติมทุกครั้งที่เกิดเหตุ
มาตรา 27 วรรคสามบังคับเรื่องนี้ไว้ชัด เมื่อใช้หรือเปิดเผยข้อมูลที่ได้รับยกเว้นไม่ต้องขอความยินยอม ต้องบันทึกไว้ในรายการตามมาตรา 39 ข้อหารือที่ สคส. ตอบบริษัทแพลตฟอร์มออนไลน์รายหนึ่งเรื่องการส่งข้อมูลร้านค้าให้หน่วยงานรัฐ ก็ย้ำให้บันทึกรายการให้ครอบคลุมตามมาตรา 39 (6)
คำตอบแบบไหนทำให้ RoPA ใช้ไม่ได้
TDPG 4.0 มีตารางข้อควรระวังที่ยกตัวอย่างคำตอบผิดไว้ตรงตัว ทีมที่ตรวจ RoPA ใช้เป็นเกณฑ์ตีกลับได้ทันที
ไม่บอกว่าเก็บอะไรจริง TDPG ยกเป็นตัวอย่างคำตอบที่ไม่ถูกต้อง
อธิบายไม่ได้ว่ามาตรการคืออะไร ช่อง (8) จึงว่างในทางปฏิบัติ
ไม่บอกขอบเขตและฐานการประมวลผล ตรวจไม่ได้ว่าใช้ข้อมูลเกินวัตถุประสงค์หรือไม่
TDPG ระบุว่าการอ้างนโยบายโดยอธิบายระยะเวลาที่ชัดเจนไม่ได้ ทำให้บันทึกไม่สมบูรณ์
มีตัวเลข จุดเริ่มนับ และปลายทางของข้อมูล ผู้ตรวจอ่านแล้วเข้าใจทันที
กิจการขนาดเล็กไม่ต้องทำ RoPA จริงไหม?
จริงเพียงบางส่วน มาตรา 39 วรรคสามเปิดให้ยกเว้นได้ แต่ยกเว้นเฉพาะบางรายการ และมีเงื่อนไขที่ทำให้ข้อยกเว้นหายไปทั้งหมด
ความใน (1) (2) (3) (4) (5) (6) และ (8) อาจยกเว้นมิให้นำมาใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา 26
อ่านตัวบทให้ครบจะเห็นสองเรื่อง เรื่องแรก รายการ (7) คือบันทึกการปฏิเสธคำขอหรือการคัดค้าน ไม่อยู่ในรายการที่ยกเว้นได้ ร้านเล็กแค่ไหนก็ต้องจดเมื่อปฏิเสธคำขอของลูกค้า เรื่องที่สอง ข้อยกเว้นไม่ใช้กับกิจการที่ประมวลผลเป็นประจำ มีความเสี่ยงต่อสิทธิ หรือมีข้อมูลอ่อนไหวตามมาตรา 26
เงื่อนไข “มิใช่กิจการที่ทำเป็นครั้งคราว” ทำให้ธุรกิจจำนวนมากหลุดจากข้อยกเว้นโดยไม่รู้ตัว ร้านออนไลน์ที่รับออเดอร์ทุกวัน หรือบริษัทที่จ่ายเงินเดือนพนักงานทุกเดือน ยากจะอ้างว่าประมวลผลเป็นครั้งคราว ส่วนคลินิกที่เก็บประวัติการรักษาก็ติดเงื่อนไขข้อมูลอ่อนไหวตั้งแต่แรก
ข้อหารือ สคส.: นิติบุคคลอาคารชุดได้ยกเว้น แต่บริษัทรับบริหารอาคารไม่ได้
บริษัท ศ. รับจ้างบริหารอาคารชุดและหมู่บ้านหลายโครงการ ถามว่านิติบุคคลอาคารชุดนับเป็นองค์กรไม่แสวงหากำไรที่ได้ยกเว้นการบันทึกรายการหรือไม่ ความเห็นอ้างข้อ 3 ของประกาศคณะกรรมการฯ เรื่องการยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลซึ่งเป็นกิจการขนาดเล็ก ซึ่งฉบับ 2565 ในตอนนั้นระบุไว้ 6 กลุ่ม ตั้งแต่วิสาหกิจขนาดกลางและขนาดย่อม วิสาหกิจชุมชน วิสาหกิจเพื่อสังคม สหกรณ์ มูลนิธิและองค์กรไม่แสวงหากำไร ไปจนถึงกิจการในครัวเรือน
หากนิติบุคคลอาคารชุดดังกล่าวไม่ได้ขายสินค้าหรือให้บริการใดกับบุคคลอื่นซึ่งมิใช่เจ้าของห้องชุดหรือผู้พักอาศัย หรือกระทำกิจการใดที่มีลักษณะเพื่อแสวงหากำไร จะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นองค์กรที่ไม่แสวงหากำไร
แม้ได้ยกเว้น ความเห็นเดียวกันก็ย้ำว่าข้อยกเว้นไม่รวมกิจกรรมที่มีความเสี่ยง ทำเป็นประจำ หรือมีข้อมูลอ่อนไหว ส่วนตัวบริษัทผู้รับจ้างบริหารไม่ได้ยกเว้นเลย เหตุผลไม่ได้อยู่ที่ขนาดของบริษัท แต่อยู่ที่บทบาท
บริษัทฯ จึงไม่ต้องดำเนินการบันทึกรายการตามมาตรา ๓๙ ในส่วนของการบริหารอาคารชุดและหมู่บ้านจัดสรร เพราะไม่มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล แต่บริษัทฯ มีหน้าที่จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามมาตรา ๔๐ (๓) ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลของนิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร
บทเรียนนี้ใช้กับผู้รับจ้างทุกแบบ ทั้งสำนักงานบัญชี บริษัทรับทำเงินเดือน และเอเจนซีการตลาด งานที่ทำแทนลูกค้าลงในบันทึกของผู้ประมวลผลตามมาตรา 40 (3) ส่วนงานที่บริษัทใช้ข้อมูลเพื่อตัวเอง เช่นข้อมูลพนักงานของบริษัทเอง ยังต้องลง RoPA ฐานะผู้ควบคุมข้อมูลตามมาตรา 39 แยกต่างหาก
ทำ RoPA ให้เสร็จ ต้องเริ่มจากตรงไหน?
เริ่มจากแผนผังข้อมูล ไม่ใช่จากแบบฟอร์ม TDPG 4.0 ข้อ D9 แบ่งงานเป็นขั้นเตรียมการกับขั้นลงมือ และแนะนำให้ผู้บริหารที่มีอำนาจเข้าร่วมตั้งแต่ต้น เพื่อให้งานนี้มีน้ำหนักเป็นคำสั่งขององค์กร ไม่ใช่งานฝากของ DPO
แผนข้างล่างเรียงจากขั้นตอนของ TDPG เป็นตัวอย่างจังหวะงานสำหรับบริษัทขนาดกลาง ไม่ใช่กำหนดเวลาตามกฎหมาย องค์กรที่มีหลายสาขาอาจต้องใช้เวลามากกว่านี้
- สัปดาห์ที่ 1ผู้บริหารออกคำสั่งตั้งทีม และทำรายชื่อฝ่ายงานทุกฝ่าย รวมสาขาและบริษัทในเครือ แม้ฝ่ายที่คิดว่าไม่มีข้อมูลส่วนบุคคลTDPG D9 · ข้อแนะนำ Dos 1
- สัปดาห์ที่ 2ทำแผนผังข้อมูลว่าข้อมูลเข้ามาจากไหน ไปอยู่ระบบใด ส่งต่อให้ใคร เริ่มจากฝ่ายบุคคลซึ่งมีข้อมูลมากและหลายกลุ่มTDPG D9 · ตัวอย่างการแบ่งส่วนงาน
- สัปดาห์ที่ 3ส่งแบบสอบถามภาษาง่าย 6 ข้อ: ใช้ข้อมูลทำไม เก็บของใคร เก็บอะไร แบ่งปันให้ใคร เก็บนานแค่ไหน รักษาความปลอดภัยอย่างไรTDPG D9 ขั้นตอนที่ 1
- สัปดาห์ที่ 4ประชุมกลุ่มย่อยกับฝ่ายไอทีและฝ่ายกฎหมาย และไล่เอกสารที่มีอยู่ เช่น นโยบายเก็บรักษา สัญญาประมวลผล สัญญาแบ่งปันข้อมูลTDPG D9 ขั้นตอนที่ 2–3
- สัปดาห์ที่ 5DPO ตรวจคำตอบเทียบ 8 รายการของมาตรา 39 ตีกลับคำตอบกว้าง ๆ และคัดกิจกรรมที่เข้าเกณฑ์ความเสี่ยงสูงไปทำ DPIAPDPA ม.39 · TDPG P9
- ทุก 12 เดือน หรือเมื่อมีระบบใหม่ทบทวนทั้งฉบับ เติมกิจกรรมใหม่ และย้ายกิจกรรมที่เลิกแล้วไปเก็บแยกไว้ตรวจสอบภายหลังTDPG D8 · Dos 4
TDPG 4.0 ข้อ D18 แนะนำให้แบ่งบันทึกเป็นรายกิจกรรมตามวัตถุประสงค์หลัก กิจกรรมที่วัตถุประสงค์เหมือนกันรวมเป็นแถวเดียวได้ เช่นการประชุมประจำเดือนที่ใช้ข้อมูลชุดเดิมทุกครั้งไม่ต้องจดแยกทุกครั้งที่ประชุม วิธีนี้ช่วยไม่ให้ RoPA บวมจนไม่มีใครดูแลไหว
การจัดทำบันทึกรายการประมวลผลข้อมูลส่วนบุคคลไม่ใช่กิจกรรมครั้งเดียวจบ ข้อมูลที่บันทึกไว้ต้องสะท้อนสถานการณ์ปัจจุบันเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล นอกจากนี้ ผู้ควบคุมข้อมูลส่วนบุคคลควรทบทวนบันทึกรายการประมวลผลข้อมูลส่วนบุคคลอย่างน้อยปีละครั้ง
อีกเหตุที่ทำให้ RoPA ใช้งานไม่ได้คือการเก็บเป็นไฟล์หลายชิ้นที่ลิงก์ไปหากัน TDPG เตือนว่าไม่ควรอ้างลิงก์ไปยังเอกสารที่ผู้ตรวจเปิดไม่ได้ เช่นไดรฟ์ภายในบริษัท และไม่ควรแยก RoPA เป็นเอกสารกระจัดกระจาย เพราะเสี่ยงที่กิจกรรมจะตกหล่น ขั้นตอนละเอียดอยู่ใน คู่มือทำ RoPA
เมื่อไรต้องทำ DPIA?
เมื่อกิจกรรมใดมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล แต่ต้องรู้ไว้ก่อนว่า DPIA ไม่มีชื่ออยู่ใน PDPA โดยตรง TDPG 4.0 ยอมรับเรื่องนี้เอง
แม้ DPIA จะไม่ได้ถูกกล่าวถึงอย่างเฉพาะเจาะจงในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 แต่ถือว่าเป็นกระบวนการที่สำคัญและช่วยสนับสนุนการปฏิบัติหน้าที่ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562
TDPG จึงวาง DPIA เป็นเครื่องมือช่วยทำหน้าที่ตามมาตราอื่น เช่นมาตรา 37 (1) ที่ให้ทบทวนมาตรการรักษาความมั่นคงปลอดภัยเมื่อเทคโนโลยีเปลี่ยน และมาตรา 39 วรรคสามที่ใช้ความเสี่ยงเป็นตัวตัดสินว่าได้ยกเว้นการบันทึกหรือไม่ การไม่ทำ DPIA จึงไม่ใช่ความผิดในตัวเอง แต่ทำให้พิสูจน์ได้ยากว่าทำหน้าที่ตามมาตราเหล่านั้นครบ
ซึ่งโดยทั่วไปแล้วหากปรากฏว่าเข้าข่ายตามข้อพิจารณาตั้งแต่ 2 ข้อขึ้นไปก็ถือว่ามีแนวโน้มที่มีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิเสรีภาพของบุคคล
| เกณฑ์ | ความหมายโดยย่อ | ตัวอย่างในธุรกิจไทย |
|---|---|---|
| Evaluation or Scoring | ทำโปรไฟล์หรือให้คะแนนเพื่อคาดการณ์ เช่น สถานะทางเศรษฐกิจ พฤติกรรม ตำแหน่งที่อยู่ | ให้คะแนนลูกค้าเพื่อเสนอวงเงินผ่อนชำระ |
| Automated-decision with legal effect | ตัดสินใจอัตโนมัติที่มีผลทางกฎหมายหรือผลสำคัญทำนองเดียวกันต่อบุคคล | ระบบคัดใบสมัครงานที่ตัดผู้สมัครออกเอง |
| Systematic monitoring | เฝ้าสังเกตหรือควบคุมเจ้าของข้อมูลอย่างเป็นระบบ รวมถึงในพื้นที่สาธารณะ | กล้องวงจรปิดครอบคลุมทั้งศูนย์การค้า |
| Sensitive data | ข้อมูลอ่อนไหวรวมถึงประวัติอาชญากรรม | คลินิกเก็บประวัติการรักษา |
| Large scale | ปริมาณมาก ดูจากจำนวนคน ปริมาณข้อมูล ระยะเวลา และพื้นที่ | แอปสมาชิกที่มีผู้ใช้ทั่วประเทศ |
| Combining datasets | รวมข้อมูลจากหลายกระบวนการหรือหลายผู้ควบคุมเกินที่เจ้าของข้อมูลคาดหมาย | จับคู่รายชื่อลูกค้ากับข้อมูลของพันธมิตร |
| Vulnerable data subjects | ผู้เปราะบาง เช่น เด็ก ผู้เยาว์ ลูกจ้าง | ระบบติดตามการทำงานของพนักงาน |
| Innovative use | ใช้เทคโนโลยีใหม่ที่คนทั่วไปไม่คุ้น | สแกนใบหน้าเข้าอาคารร่วมกับ AI |
| Prevent data subjects' right or access | ผลการประมวลผลทำให้ได้หรือไม่ได้บริการหรือสัญญา | ตรวจข้อมูลเครดิตก่อนกำหนดวงเงินกู้ |
ข้อ P10 ทำให้เกณฑ์นี้ใช้งานได้จริง เพราะไม่ได้นับแต้มแบบตายตัว
ในบางกรณีแม้ปรากฏว่าเข้าข่ายตามข้อพิจารณา 2 ข้อ แต่ก็ไม่จำเป็นต้องจัดทำ DPIA เสมอไป หากมั่นใจว่าการประมวลผลดังกล่าวไม่ก่อให้เกิดความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิเสรีภาพของบุคคล ผู้ควบคุมข้อมูลก็เพียงบันทึกเหตุผลของการพิจารณานั้นเอาไว้ อย่างไรก็ดีหากเป็นกรณีที่ปรากฏว่าเข้าข่ายตามข้อพิจารณาเพียง 1 ข้อ แต่ผู้ควบคุมข้อมูลประเมินแล้วว่ามีความเสี่ยงสูง ก็มีความจำเป็นที่จะต้องจัดทำ DPIA ไว้ด้วย
ข้อ P11 ระบุเพิ่มว่าถ้ากฎหมายกำหนดให้ต้องประมวลผลข้อมูลนั้น ไม่ว่าโดยฐานหน้าที่ตามกฎหมายหรือภารกิจของรัฐ ไม่จำเป็นต้องทำ DPIA ส่วนข้อ P17 ให้เริ่มทำ DPIA ตั้งแต่ขั้นออกแบบก่อนเริ่มประมวลผล ไม่ใช่ทำย้อนหลังเมื่อระบบเปิดใช้แล้ว
RoPA กับ DPIA ต่อกันอย่างไรให้ไม่ทำงานซ้ำ?
RoPA บอกว่าองค์กรมีกิจกรรมอะไรบ้าง ส่วน DPIA เจาะลึกเฉพาะกิจกรรมที่เสี่ยง ถ้า RoPA ครบ รายชื่อกิจกรรมที่ต้องทำ DPIA จะออกมาเองจากคอลัมน์ประเภทข้อมูล จำนวนคน และเทคโนโลยีที่ใช้
- เพิ่มคอลัมน์ “เข้าเกณฑ์ข้อใดของ P9” ใน RoPA ทุกแถว
- แถวที่เข้าเกณฑ์ 2 ข้อขึ้นไป ให้ทำ DPIA หรือจดเหตุผลว่าทำไมไม่เสี่ยงสูงตามข้อ P10
- แถวที่เข้าเกณฑ์ข้อเดียวแต่ DPO เห็นว่าเสี่ยงสูง ให้ทำ DPIA ด้วย
- ทำ DPIA ตามแบบฟอร์ม 7 ขั้นของ TDPG: ระบุความจำเป็น อธิบายกระบวนการ ปรึกษาผู้เกี่ยวข้อง ประเมินความจำเป็นและความได้สัดส่วน ประเมินความเสี่ยง กำหนดมาตรการลดความเสี่ยง บันทึกและวางแผน
- นำมาตรการที่ได้จาก DPIA กลับไปเขียนในช่อง (8) ของ RoPA ให้สองเอกสารพูดเรื่องเดียวกัน
วิธีทำ DPIA ทีละขั้นอยู่ใน คู่มือ DPIA ถ้ากิจกรรมที่เสี่ยงเป็นงานการตลาดที่ใช้โปรไฟล์ลูกค้า ดูเรื่องฐานทางกฎหมายประกอบใน บทความเรื่องรายชื่อลูกค้าและคุกกี้ และเมื่อมีคำขอใช้สิทธิที่ต้องปฏิเสธ วิธีจดลงช่อง (7) อยู่ใน บทความเรื่องตอบคำขอใช้สิทธิ
คำถามที่พบบ่อย
ทำ RoPA ใน Excel ได้ไหม?
ได้ มาตรา 39 ให้บันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้ TDPG 4.0 ข้อ D14 ยกตัวอย่างสเปรดชีตอย่าง MS Excel ไว้ แต่ควรเป็นแหล่งเดียวที่แก้ไขและเข้าถึงได้ง่าย และทบทวนอย่างน้อยปีละครั้งตามข้อ D8
ร้านค้าออนไลน์ขนาดเล็กต้องทำ RoPA ไหม?
อาจได้ยกเว้นรายการ (1)–(6) และ (8) ตามมาตรา 39 วรรคสาม แต่ข้อยกเว้นไม่ใช้ถ้าประมวลผลเป็นประจำ มีความเสี่ยงต่อสิทธิ หรือมีข้อมูลอ่อนไหว ร้านที่รับออเดอร์ทุกวันจึงยากจะอ้างข้อยกเว้น และรายการ (7) บันทึกการปฏิเสธคำขอต้องทำเสมอ
บริษัทรับจ้างประมวลผลข้อมูลต้องทำ RoPA ไหม?
ไม่ต้องทำ RoPA ตามมาตรา 39 สำหรับงานที่ทำแทนลูกค้า แต่ต้องจัดทำบันทึกรายการกิจกรรมการประมวลผลตามมาตรา 40 (3) ตามที่ สคส. ตอบบริษัท ศ. ส่วนข้อมูลที่บริษัทใช้เพื่อตัวเอง เช่นข้อมูลพนักงาน ยังต้องทำ RoPA ฐานะผู้ควบคุมข้อมูล
DPIA เป็นหน้าที่ตามกฎหมายหรือไม่?
PDPA ไม่ได้กล่าวถึง DPIA โดยตรง TDPG 4.0 ข้อ P4 วาง DPIA เป็นกระบวนการที่ช่วยให้ทำหน้าที่ตามมาตรา 30, 37, 39 และ 40 ได้ครบ จึงเป็นแนวปฏิบัติที่แนะนำ ไม่ใช่บทบังคับในตัวเอง แต่กิจกรรมเสี่ยงสูงที่ไม่มี DPIA จะพิสูจน์ได้ยากว่าจัดมาตรการเหมาะสมแล้ว
ต้องทบทวน RoPA บ่อยแค่ไหน?
ตัวบทไม่ได้กำหนดรอบไว้ TDPG 4.0 ข้อ D8 แนะนำอย่างน้อยปีละครั้ง และทุกครั้งที่มีกิจกรรมใหม่ เปลี่ยนวัตถุประสงค์ ขอบเขต ประเภทข้อมูลหรือผู้รับ จ้างผู้ประมวลผลรายใหม่ หรือนำระบบใหม่มาใช้
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 27 วรรคสาม · มาตรา 37 (1) · มาตรา 39 · มาตรา 40 (3)
- แนวปฏิบัติ TDPG 4.0 (Thailand Data Protection Guidelines) — แนวปฏิบัติ ไม่ใช่กฎหมาย — D8–D18 · ข้อแนะนำ/ข้อควรระวัง RoPA · P4 · P9–P11 · P17
- สำเนาสรุปการตอบข้อหารือ ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (สคส.) — ข้อหารือ บริษัท ศ. (ยกเว้นการบันทึกรายการของกิจการขนาดเล็ก) · ข้อหารือ บริษัท ย.
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)