บริษัทที่ต้องมี DPO ตามกฎหมาย คือผู้ที่เข้ามาตรา 41 เพียงสามกรณี ได้แก่ หน่วยงานรัฐ กิจกรรมหลักที่ตรวจสอบข้อมูลจำนวนมากสม่ำเสมอ (ประกาศปี 2566 ถือตั้งแต่ 100,000 ราย) หรือใช้ข้อมูลอ่อนไหวเป็นกิจกรรมหลัก เหมาะกับเจ้าของกิจการ ได้เช็กว่าต้องตั้งหรือไม่
- มาตรา 41 บังคับให้มี DPO สามกรณี: หน่วยงานรัฐที่ประกาศไว้ · กิจกรรมหลักที่ต้องตรวจสอบข้อมูลจำนวนมากสม่ำเสมอ · กิจกรรมหลักใช้ข้อมูลอ่อนไหว
- กรณีข้อมูลจำนวนมากต้องผ่านสองชั้นพร้อมกัน คือมีการติดตามหรือเฝ้าดูคนเป็นประจำ (ข้อ 5) และมีข้อมูลจำนวนมาก (ข้อ 6)
- เจ้าของข้อมูลตั้งแต่ 100,000 รายในกิจกรรมหลัก ถือเป็นข้อมูลจำนวนมากทันที ตามข้อ 6 วรรคสอง (1) ของประกาศปี 2566
- งานบุคคลและงานไอทีภายในเป็นงานสนับสนุน บริษัทจึงไม่เข้าเกณฑ์เพียงเพราะมีพนักงานมาก
- ไม่จัดให้มี DPO ทั้งที่ต้องมี โทษปรับทางปกครองไม่เกิน 1 ล้านบาท ตามมาตรา 82 และมาตรา 85
คำถามที่ผู้บริหารถามบ่อยหลัง PDPA ใช้บังคับคือ “บริษัทเราต้องมี DPO ไหม” คำตอบที่ได้ยินมักมีสองแบบ แบบแรกบอกว่าทุกบริษัทต้องมี แบบที่สองบอกว่าต้องมีเฉพาะบริษัทใหญ่ ทั้งสองแบบไม่ตรงกับตัวบท
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มาตรา 41 บังคับให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือ DPO เพียงสามกรณี กรณีที่กระทบภาคเอกชนมากที่สุดคือมาตรา 41 (2) ซึ่งเพิ่งมีเกณฑ์ละเอียดเมื่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลออกประกาศในปี 2566
บทความนี้อ่านมาตรา 41 และ 42 คู่กับประกาศฉบับนั้นทีละข้อ แล้วสรุปเป็นตารางแยกตามประเภทธุรกิจ ใช้ประกอบกับคู่มือ ต้องมี DPO ไหม ได้
กฎหมายบังคับให้ตั้ง DPO ในกรณีไหนบ้าง?
มาตรา 41 วรรคหนึ่งบังคับทั้งผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ให้มี DPO ในสามกรณี กรณีแรกคือเป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด กรณีที่สองคือกิจกรรมที่ต้องตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอเพราะมีข้อมูลจำนวนมาก
กรณีที่สามเขียนสั้นที่สุด แต่หลายองค์กรมองข้าม
(3) กิจกรรมหลักของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา 26
มาตรา 41 (3) ไม่มีตัวเลขขั้นต่ำ ข้อมูลสุขภาพ ประวัติอาชญากรรม และข้อมูลชีวภาพ อยู่ในรายการของมาตรา 26 ทั้งหมด คลินิกหรือแล็บตรวจสุขภาพที่งานหลักคือการใช้ข้อมูลสุขภาพ จึงอาจต้องมี DPO แม้คนไข้ไม่มาก
สคส. เคยตอบข้อหารือของสำนักงาน ป.ป.ช. ในเรื่องนี้ โดยยกประวัติอาชญากรรมเป็นตัวอย่าง
กรณีหากภารกิจของสำนักงาน ป.ป.ช. เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ (เช่น ประวัติอาชญากรรม) เป็นกิจกรรมหลัก สำนักงาน ป.ป.ช. ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลโดยคำนึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
คำถามที่ข้อหารือนี้ชวนให้ถามคือ ข้อมูลอ่อนไหวเป็นงานหลักขององค์กรหรือเปล่า ขนาดขององค์กรไม่ได้อยู่ในสมการเลย
“กิจกรรมหลัก” คืออะไร ทำไมงาน HR ไม่นับ?
กิจกรรมหลัก (core activities) คืองานที่จำเป็นและสำคัญต่อเป้าหมายหลักของธุรกิจ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) พ.ศ. 2566 (ต่อไปเรียกว่า ประกาศ DPO ปี 2566) ข้อ 3 ยกตัวอย่างไว้สองธุรกิจ
ตัวอย่างแรกคือบริษัทรับจ้างขนส่งสินค้า ซึ่งต้องใช้ข้อมูลลูกค้าเพื่อให้บริการและบันทึกการรับบริการ ตัวอย่างที่สองคือบริษัทรับจ้างรักษาความปลอดภัยที่ใช้ข้อมูลจากกล้องวงจรปิด จากนั้นข้อ 3 ตัดงานสนับสนุนออกไว้ชัด
แต่ไม่รวมถึงกิจกรรมเสริมที่เป็นเพียงงานสนับสนุนในการดำเนินงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งไม่ใช่การดำเนินการที่จำเป็นและมีความสำคัญเพื่อบรรลุวัตถุประสงค์หรือเป้าหมายหลักในการดำเนินงานในกิจการหรือภารกิจของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล เช่น งานสนับสนุนด้านบุคลากรและเทคโนโลยีสารสนเทศ
ผลที่ตามมาคือ โรงงานที่มีพนักงานสามพันคนไม่เข้าเกณฑ์มาตรา 41 (2) เพียงเพราะมีแฟ้มประวัติพนักงานจำนวนมาก เงินเดือน ประกันสังคม และระบบลงเวลา เป็นงานสนับสนุนทั้งหมด
สิ่งที่ต้องดูคือข้อมูลที่ธุรกิจใช้หารายได้โดยตรง เช่น ข้อมูลลูกค้า ผู้ใช้งาน หรือผู้รับบริการ ถ้างานบุคคลหรืองานไอทีคือสินค้าของบริษัทเอง เช่น บริษัทรับทำเงินเดือนให้ลูกค้า หรือผู้ให้บริการระบบคลาวด์ งานนั้นก็น่าจะนับเป็นกิจกรรมหลักของบริษัทนั้น เพราะประกาศใช้กับผู้ประมวลผลข้อมูลส่วนบุคคลด้วย
ประกาศ DPO ปี 2566 วัดอะไรบ้าง?
วัดสองเรื่อง และองค์กรต้องเข้าทั้งสองเรื่องพร้อมกัน ข้อ 4 ของประกาศเขียนไว้ว่า
เพื่อประโยชน์ในการคุ้มครองข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ตามข้อ 5 และข้อ 6 ของประกาศนี้ ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน
แตกเป็นคำถามได้สองข้อ ข้อแรก งานหลักของเราติดตาม เฝ้าดู หรือวิเคราะห์คนอย่างเป็นระบบหรือไม่ (ข้อ 5) ข้อสอง ข้อมูลในงานนั้นมีจำนวนมากหรือไม่ (ข้อ 6) ตอบว่าใช่ทั้งสองข้อ จึงต้องมี DPO ตามมาตรา 41 (2)
ชั้นที่หนึ่ง: ต้องตรวจสอบอย่างสม่ำเสมอ (ข้อ 5)
ข้อ 5 วรรคหนึ่งวางหลักว่า กิจกรรมหลักที่ติดตาม เฝ้าสังเกต วิเคราะห์ หรือทำนายพฤติกรรม ทัศนคติ หรือลักษณะเฉพาะของบุคคล อย่างเป็นระบบและเป็นปกติธุระ ถือว่าต้องตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอ วรรคสองยังระบุกรณีที่ถือว่าเข้าข่ายแน่นอนไว้อีกชุดหนึ่ง
| อนุข้อ | กิจกรรมตามประกาศ | ธุรกิจที่อาจเข้าข่าย |
|---|---|---|
| (1) | ข้อมูลการใช้บัตรสมาชิก บัตรโดยสารสาธารณะ บัตรอิเล็กทรอนิกส์ ที่ผู้ให้บริการบัตรตรวจดูรายละเอียดการใช้ได้ | ค้าปลีกที่มีบัตรสะสมแต้ม ระบบขนส่งที่ใช้บัตรโดยสาร |
| (2) | ตรวจสถานะ ประวัติ หรือคุณสมบัติของลูกค้าก่อนทำสัญญาเป็นประจำ เพื่อประเมินความเสี่ยง เช่น ให้คะแนนเครดิต พิจารณาเบี้ยประกัน ป้องกันการฉ้อฉล (ไม่รวมบริษัทข้อมูลเครดิตและสมาชิก) | สินเชื่อ ประกันภัย ฟินเทค |
| (3) | โฆษณาตามพฤติกรรม (behavioral advertising) | ร้านค้าออนไลน์และแอปที่ทำโฆษณาตามพฤติกรรมผู้ใช้ |
| (4) | ข้อมูลลูกค้าของผู้ให้บริการระบบเครือข่ายคอมพิวเตอร์หรือผู้ประกอบกิจการโทรคมนาคม | ผู้ให้บริการอินเทอร์เน็ต ผู้ให้บริการโทรศัพท์ |
| (5) | เฝ้าระวังและรักษาความปลอดภัยตามสถานที่ต่าง ๆ | บริษัทรับจ้างรักษาความปลอดภัยที่ดูแลกล้องวงจรปิด |
| (6) | กรณีอื่นตามที่คณะกรรมการกำหนด | รอประกาศเพิ่มเติม |
(5) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อการเฝ้าระวังและรักษาความปลอดภัยตามสถานที่ต่าง ๆ
อนุข้อ (5) มักถูกอ่านกว้างเกินไป ห้างหรือโรงงานที่ติดกล้องวงจรปิดในอาคารของตัวเอง ใช้กล้องเพื่อดูแลสถานที่ ซึ่งมักเป็นงานสนับสนุน ต่างจากบริษัทที่รับจ้างรักษาความปลอดภัย ซึ่งข้อ 3 ยกเป็นตัวอย่างกิจกรรมหลักไว้เอง ทั้งนี้ต้องดูข้อเท็จจริงของแต่ละแห่งประกอบ
ชั้นที่สอง: มีข้อมูลจำนวนมาก (ข้อ 6)
ข้อ 6 วรรคหนึ่งให้ชั่งสี่ปัจจัย คือ จำนวนเจ้าของข้อมูลหรือสัดส่วนเทียบกับกลุ่มทั้งหมดที่เป็นไปได้ ปริมาณและประเภทของข้อมูล ระยะเวลาหรือความคงอยู่ของการใช้ข้อมูล และขอบเขตพื้นที่หรือจำนวนประเทศที่เกี่ยวข้อง ส่วนที่ใช้ตัดสินได้เร็วที่สุดอยู่ในวรรคสอง
(1) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) โดยมีจำนวนเจ้าของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตั้งแต่ 100,000 รายขึ้นไป
ข้อ 6 วรรคสองยังถือว่าเป็นข้อมูลจำนวนมากอีกสามกรณีโดยไม่ต้องนับจำนวน คือ โฆษณาตามพฤติกรรมผ่านโปรแกรมค้นหาหรือสื่อสังคมออนไลน์ที่มีผู้ใช้อย่างกว้างขวาง ข้อมูลลูกค้าของบริษัทประกันชีวิต ประกันวินาศภัย และสถาบันการเงิน และข้อมูลลูกค้าของผู้รับใบอนุญาตประกอบกิจการโทรคมนาคมแบบที่สาม
ในการพิจารณาหลักเกณฑ์ตามข้อ 5 และข้อ 6 ให้คำนึงถึงมาตรฐานและแนวปฏิบัติของธุรกิจหรือกิจการนั้น ๆ ตลอดจนความเสี่ยงและผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลด้วย
เอกสารประกอบบางฉบับยังเขียนว่าไม่มีตัวเลข
TDPG 4.0 ซึ่งเป็นแนวปฏิบัติของภาคอุตสาหกรรม ไม่ผูกพันเหมือนพระราชบัญญัติ มีกรณีศึกษาแพลตฟอร์มอีคอมเมิร์ซสมมติชื่อ MarketDee ที่มีผู้ใช้ 500,000 คน และวิเคราะห์พฤติกรรมการซื้อเพื่อเสนอโปรโมชันเฉพาะบุคคล ข้อสรุปของกรณีศึกษาคือบริษัทต้องแต่งตั้ง DPO
แต่กรณีศึกษานั้นเขียนว่ากฎหมายไทยยังไม่ระบุตัวเลขที่ชัดเจน แล้วไปอ้างแนวปฏิบัติสากลแทน ขณะที่หัวข้อ DPO9 ของ TDPG เอง และข้อ 6 วรรคสอง (1) ของประกาศ DPO ปี 2566 มีเกณฑ์ 100,000 รายแล้ว เวลาอ่านเอกสารประกอบเรื่อง DPO จึงควรกลับมาเทียบกับตัวประกาศทุกครั้ง
ธุรกิจของเราต้องมี DPO ไหม? ตารางแยกตามประเภทธุรกิจ
ตารางนี้ใช้คัดกรองเบื้องต้นจากมาตรา 41 และประกาศ DPO ปี 2566 องค์กรยังต้องประเมินข้อเท็จจริงของตัวเอง โดยเฉพาะปัจจัยในข้อ 6 วรรคหนึ่งและข้อ 7
| ประเภทธุรกิจ | ชั้นที่หนึ่ง (ข้อ 5) | ชั้นที่สอง (ข้อ 6) | ผลเบื้องต้น |
|---|---|---|---|
| ธนาคาร สถาบันการเงิน | ข้อ 5 (2) ถ้าตรวจประวัติหรือให้คะแนนเครดิตก่อนทำสัญญาเป็นประจำ | ข้อ 6 (3) ถือว่าเป็นข้อมูลจำนวนมาก | น่าจะต้องมี |
| บริษัทประกันชีวิต ประกันวินาศภัย | ข้อ 5 (2) การพิจารณาเบี้ยประกัน | ข้อ 6 (3) | น่าจะต้องมี |
| ผู้รับใบอนุญาตโทรคมนาคมแบบที่สาม | ข้อ 5 (4) | ข้อ 6 (4) | น่าจะต้องมี |
| ผู้ให้บริการอินเทอร์เน็ตหรือเครือข่ายคอมพิวเตอร์อื่น | ข้อ 5 (4) | ดูจำนวนลูกค้าเทียบเกณฑ์ 100,000 ราย และปัจจัยในข้อ 6 | ต้องมีเมื่อผ่านเกณฑ์จำนวน |
| ร้านค้าออนไลน์ แอป แพลตฟอร์มที่วิเคราะห์พฤติกรรมหรือทำโฆษณาตามพฤติกรรม | ข้อ 5 วรรคหนึ่ง และ (3) | ข้อ 6 (1) เมื่อถึง 100,000 ราย หรือข้อ 6 (2) เมื่อโฆษณาผ่านโปรแกรมค้นหาหรือสื่อสังคมที่มีผู้ใช้กว้างขวาง | ต้องมีเมื่อผ่านเกณฑ์ |
| ค้าปลีกที่มีบัตรสมาชิกหรือแอปสะสมแต้ม | ข้อ 5 (1) | ข้อ 6 (1) เมื่อสมาชิกถึง 100,000 ราย | ต้องมีเมื่อสมาชิกถึงเกณฑ์ |
| บริษัทรับจ้างรักษาความปลอดภัย | ข้อ 5 (5) | ชั่งปัจจัยในข้อ 6 เช่น จำนวนคนที่ผ่านกล้องและระยะเวลาเก็บภาพ | ประเมินรายกรณี |
| โรงพยาบาล คลินิก แล็บตรวจสุขภาพ | ไม่ต้องใช้เกณฑ์ข้อ 5 | ไม่มีเกณฑ์จำนวน | ต้องมีตามมาตรา 41 (3) ถ้าการใช้ข้อมูลสุขภาพเป็นกิจกรรมหลัก |
| ผู้ประมวลผล เช่น รับทำเงินเดือน คอลเซ็นเตอร์ ผู้ให้บริการ SaaS | ดูว่าบริการนั้นติดตามหรือวิเคราะห์คนอย่างเป็นระบบหรือไม่ | นับเจ้าของข้อมูลที่ระบบดูแลอยู่ และปัจจัยในข้อ 6 | ประเมินรายกรณี |
| โรงงาน ผู้ค้าส่ง บริษัท B2B ที่ข้อมูลส่วนใหญ่เป็นของพนักงานและผู้ติดต่อ | งานบุคคลและไอทีเป็นงานสนับสนุนตามข้อ 3 | ไม่ต้องพิจารณาต่อ | โดยทั่วไปไม่ถูกบังคับ ตั้งแบบสมัครใจได้ |
| หน่วยงานของรัฐ | ไม่ต้องใช้เกณฑ์ข้อ 5 | ไม่ต้องใช้เกณฑ์ข้อ 6 | ตรวจชื่อในบัญชีแนบท้ายประกาศตามมาตรา 41 (1) และดูมาตรา 41 (2) (3) ประกอบ |
ตั้ง DPO แล้ว องค์กรต้องทำอะไรต่อ?
มาตรา 42 วรรคหนึ่งให้ DPO มีหน้าที่สี่ข้อ คือ ให้คำแนะนำเรื่องการปฏิบัติตาม PDPA ตรวจสอบการดำเนินงานของผู้ควบคุมหรือผู้ประมวลผล ประสานงานกับ สคส. เมื่อมีปัญหา และรักษาความลับของข้อมูลที่รู้มาจากการทำหน้าที่
ส่วนหน้าที่ขององค์กรอยู่ในวรรคถัดมา และเป็นส่วนที่มีโทษปรับ สรุปเป็นรายการที่ต้องทำได้ดังนี้
- แจ้งชื่อและช่องทางติดต่อ DPO ให้เจ้าของข้อมูลและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ทราบ ตามมาตรา 41 วรรคห้า ที่ง่ายที่สุดคือใส่ไว้ในประกาศความเป็นส่วนตัว
- จัดเครื่องมือและอุปกรณ์ให้พอ และเปิดทางให้ DPO เข้าถึงข้อมูลที่ต้องใช้ ตามมาตรา 42 วรรคสอง
- ห้ามเลิกจ้าง DPO เพราะทำหน้าที่ และต้องให้ DPO รายงานผู้บริหารสูงสุดได้โดยตรง ตามมาตรา 42 วรรคสาม
- รับรองกับ สคส. ว่างานอื่นที่มอบให้ DPO ไม่ขัดหรือแย้งกับหน้าที่ตาม PDPA ตามมาตรา 42 วรรคสี่ และข้อ 8 ของประกาศ DPO ปี 2566
ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลจะให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลออกจากงานหรือเลิกสัญญาการจ้างด้วยเหตุที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ไม่ได้ ทั้งนี้ ในกรณีที่มีปัญหาในการปฏิบัติหน้าที่ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต้องสามารถรายงานไปยังผู้บริหารสูงสุดของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลโดยตรงได้
โทษอยู่ในหมวดโทษทางปกครอง มาตรา 82 ให้ปรับผู้ควบคุมข้อมูลที่ไม่ปฏิบัติตามมาตรา 41 วรรคหนึ่ง หรือมาตรา 42 วรรคสองหรือวรรคสาม ไม่เกิน 1 ล้านบาท มาตรา 85 ใช้อัตราเดียวกันกับผู้ประมวลผลข้อมูล
ใครเป็น DPO ได้ และใครไม่ควรเป็น?
กฎหมายยังไม่กำหนดวุฒิไว้ตายตัว มาตรา 41 วรรคหกเปิดให้คณะกรรมการประกาศคุณสมบัติได้ โดยคำนึงถึงความรู้หรือความเชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคล เรื่องที่ชัดกว่าคือ DPO ต้องไม่มีผลประโยชน์ขัดกันกับงานที่ตัวเองต้องตรวจ
สคส. เคยตอบข้อหารือของสำนักงานส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม (สสว.) ว่า DPO ควรรู้กฎหมายที่เกี่ยวข้อง เข้าใจมาตรการรักษาความมั่นคงปลอดภัย และเข้าใจการใช้ข้อมูลภายในองค์กร จะใช้คนในหรือจ้าง DPO ภายนอกก็ได้ตามความเหมาะสม ส่วนคำถามว่าต้องตั้งแผนกขึ้นมาเฉพาะหรือไม่ คณะอนุกรรมการตอบว่า
การพิจารณาความจำเป็นในการจัดตั้งส่วนงานที่มีหน้าที่ความรับผิดชอบเป็นการเฉพาะ เพื่อปฏิบัติงานในหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือการกำหนดและมอบหมายหน้าที่ของส่วนงานต่าง ๆ ที่มีอยู่แล้วภายในองค์กร จึงเป็นเรื่องภายในองค์กรที่ผู้เกี่ยวข้องสามารถพิจารณาดำเนินการให้เป็นไปตามพระราชบัญญัติดังกล่าวได้ตามความเหมาะสม
TDPG 4.0 ลงรายละเอียดเรื่องผลประโยชน์ขัดกันไว้มากกว่าตัวบท และมีกรณีศึกษาว่าทำไมหัวหน้าฝ่ายไอทีไม่ควรเป็น DPO เหตุผลคือเขาจะต้องตรวจระบบที่ตัวเองเป็นคนเลือกและอนุมัติ ขอย้ำว่า TDPG เป็นแนวปฏิบัติ ไม่ใช่กฎหมาย
DPO จะเป็นคนเดียวกับผู้บริหารองค์กรระดับสูงอย่างประธานเจ้าหน้าที่บริหาร ผู้จัดการฝ่ายตลาด หรือหัวหน้าฝ่ายบุคคลไม่ได้ เพราะบุคคลในตำแหน่งเหล่านี้เป็นผู้กำหนดวัตถุประสงค์และวิธีการในการประมวลผลข้อมูลส่วนบุคคล
ในบริษัทขนาดกลาง ทางเลือกที่สอดคล้องกับแนวนี้ เช่น ให้ฝ่ายกฎหมาย ฝ่ายกำกับดูแลการปฏิบัติงาน หรือผู้ตรวจสอบภายในรับหน้าที่ หรือจ้าง DPO ภายนอก แล้วบันทึกเหตุผลไว้ว่าทำไมงานเดิมของคนนั้นไม่ขัดกับมาตรา 42 บันทึกนี้คือสิ่งที่ใช้ประกอบคำรับรองต่อ สคส.
ไม่เข้าเกณฑ์ ควรตั้ง DPO แบบสมัครใจไหม?
ตั้งได้ TDPG 4.0 หัวข้อ DPO18 ระบุว่ากฎหมายไม่ได้ห้ามองค์กรที่ไม่มีหน้าที่ตั้ง DPO โดยสมัครใจ ส่วน DPO แบบสมัครใจต้องรับหน้าที่ตามมาตรา 42 เต็มรูปแบบหรือไม่ TDPG บันทึกว่ากฎหมายไทยยังไม่มีบทบัญญัติชัดเจน
ถึงไม่มีหน้าที่ตั้ง DPO องค์กรก็ยังต้องตอบคำขอใช้สิทธิของเจ้าของข้อมูล ทำบันทึกรายการตามมาตรา 39 และแจ้งเหตุละเมิดต่อ สคส. ภายใน 72 ชั่วโมงเท่าที่ทำได้ตามมาตรา 37 (4) งานพวกนี้ต้องมีเจ้าของงานชัดเจน จะเรียกตำแหน่งว่า DPO หรือไม่ก็ตาม ลำดับงานช่วงเกิดเหตุอ่านต่อได้ที่ 72 ชั่วโมงแรกหลังข้อมูลรั่ว
AIPDPA มีทะเบียนกิจกรรมการประมวลผล (RoPA) ที่พิมพ์รายงานตามมาตรา 39 ได้ พอร์ทัลรับคำขอใช้สิทธิพร้อมตัวนับกำหนดเวลา และทะเบียนเหตุละเมิดที่นับ 72 ชั่วโมงให้ DPO คนเดียว หรือผู้รับผิดชอบที่ทำงานนี้ไม่เต็มเวลา ก็ดูแลได้ครบ ดูบัญชีตัวอย่าง
เข้าใจผิดเรื่อง DPO ที่เจอบ่อย
มาตรา 41 ไม่ได้ใช้ขนาดหรือสถานะบริษัทเป็นเกณฑ์ ต้องดูกิจกรรมหลักตามข้อ 4 ถึงข้อ 6 ของประกาศ DPO ปี 2566 หรือมาตรา 41 (3)
ข้อ 3 ของประกาศระบุว่างานสนับสนุนด้านบุคลากรและไอทีไม่ใช่กิจกรรมหลัก
ข้อ 6 วรรคหนึ่งยังให้ชั่งสัดส่วน ประเภทข้อมูล ระยะเวลา และพื้นที่ ส่วนข้อ 6 วรรคสอง (2) ถึง (4) ไม่ต้องนับจำนวนเลย
มาตรา 42 วรรคสี่ให้องค์กรรับรองกับ สคส. ว่างานอื่นไม่ขัดหรือแย้ง และ TDPG 4.0 วิเคราะห์ว่าหัวหน้าไอทีต้องตรวจระบบที่ตนเลือกเอง
มาตรา 41 (3) ไม่มีเกณฑ์จำนวน ถ้าการใช้ข้อมูลสุขภาพเป็นกิจกรรมหลักก็เข้าเกณฑ์
องค์กรต้องแจ้งข้อมูล สถานที่ติดต่อ และวิธีติดต่อ DPO ให้เจ้าของข้อมูลและ สคส. ทราบ
คำถามที่พบบ่อย
บริษัททุกแห่งต้องมี DPO ไหม?
ไม่ มาตรา 41 ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บังคับเฉพาะสามกรณี คือ หน่วยงานรัฐตามที่คณะกรรมการประกาศ องค์กรที่กิจกรรมหลักต้องตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอเพราะมีข้อมูลจำนวนมาก และองค์กรที่กิจกรรมหลักเป็นการใช้ข้อมูลอ่อนไหวตามมาตรา 26
ข้อมูลจำนวนมากตามกฎหมาย คือกี่ราย?
ข้อ 6 วรรคสอง (1) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่อง DPO ปี 2566 ถือว่าเจ้าของข้อมูลตั้งแต่ 100,000 รายในกิจกรรมหลักเป็นข้อมูลจำนวนมาก แต่ต่ำกว่านั้นก็อาจเข้าเกณฑ์ได้จากปัจจัยอื่นในข้อ 6 วรรคหนึ่ง และธุรกิจประกันภัย สถาบันการเงิน และโทรคมนาคมแบบที่สามถือว่าเป็นข้อมูลจำนวนมากโดยไม่ต้องนับ
DPO เป็นพนักงานหรือจ้างคนภายนอกได้ไหม?
ได้ทั้งสองแบบ มาตรา 41 วรรคเจ็ดให้ DPO เป็นพนักงานของผู้ควบคุมหรือผู้ประมวลผล หรือเป็นผู้รับจ้างตามสัญญาก็ได้ และในข้อหารือของ สสว. คณะอนุกรรมการเห็นว่าให้เลือกตามความเหมาะสมและความจำเป็นขององค์กร
บริษัทในเครือใช้ DPO ร่วมกันได้ไหม?
ได้ ตามมาตรา 41 วรรคสอง ถ้าอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันตามที่คณะกรรมการประกาศกำหนดตามมาตรา 29 วรรคสอง และทุกสถานที่ทำการต้องติดต่อ DPO ได้โดยง่าย
ไม่ตั้ง DPO ทั้งที่ต้องตั้ง มีโทษอะไร?
ผู้ควบคุมข้อมูลที่ไม่ปฏิบัติตามมาตรา 41 วรรคหนึ่ง หรือมาตรา 42 วรรคสองหรือวรรคสาม มีโทษปรับทางปกครองไม่เกิน 1 ล้านบาทตามมาตรา 82 และผู้ประมวลผลข้อมูลมีโทษอัตราเดียวกันตามมาตรา 85
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 41 · มาตรา 42 · มาตรา 82 · มาตรา 85
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 — ข้อ 3 – ข้อ 8
- สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล: รวมคำสั่งทางปกครองของคณะกรรมการผู้เชี่ยวชาญ และสำเนาสรุปการตอบข้อหารือ (แนวทาง ไม่ใช่กฎหมาย) — ข้อหารือ สสว. ประเด็นที่ 2 · ข้อหารือสำนักงาน ป.ป.ช. ข้อ 4
- แนวปฏิบัติ TDPG 4.0 Thailand Data Protection Guidelines (แนวปฏิบัติของภาคอุตสาหกรรม ไม่ผูกพันเหมือนพระราชบัญญัติ) — TDPG4.0-DPO (DPO1–DPO18 · DPO51)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)