ประเมินผลกระทบด้านข้อมูลส่วนบุคคล (DPIA) ต้องทำเมื่อไรและทำอย่างไร? การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (Data Protection Impact Assessment: DPIA) ควรทำก่อนเริ่มกิจกรรมการประมวลผลที่มีความเสี่ยงสูง เช่น การใช้ AI วิเคราะห์พฤติกรรม การตรวจสอบข้อมูลชีวภาพ (biometric) หรือการประมวลผลข้อมูลในวงกว้าง ตามแนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล TDPG 4.0 ซึ่งจัด DPIA เป็นเครื่องมือหลักของผู้ควบคุมข้อมูลคู่กับ RoPA, DPO และสัญญาประมวลผลข้อมูล TDPG เป็นแนวปฏิบัติ ไม่ใช่ตัวบทกฎหมาย แต่ DPIA ที่ทำไว้คือหลักฐานว่าองค์กรประเมินความเสี่ยงก่อนลงมือ
บริษัทค้าปลีกแห่งหนึ่งกำลังจะเปลี่ยนเครื่องตอกบัตรเป็นระบบสแกนใบหน้าพนักงานทุกสาขา และวางแผนใช้ AI วิเคราะห์พฤติกรรมการซื้อของลูกค้าจากบัตรสมาชิก ในที่ประชุมโครงการ ผู้จัดการฝ่ายไอทีถูกถามว่าก่อนเปิดใช้ได้ประเมินผลกระทบต่อข้อมูลส่วนบุคคลแล้วหรือยัง และไม่มีใครตอบได้
สรุปสิ่งที่ต้องรู้
4 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- TDPG 4.0 แนะนำให้ทำ DPIA ก่อนเริ่มกิจกรรมเสี่ยงสูง เช่น AI วิเคราะห์พฤติกรรม การตรวจสอบ biometric และการประมวลผลในวงกว้าง
- TDPG 4.0 เป็นแนวปฏิบัติ ไม่ใช่กฎหมาย แต่จัด DPIA ไว้ในเครื่องมือหลักด้านความรับผิดชอบของผู้ควบคุมข้อมูล
- ถ้าจำเป็นต้องขอความยินยอมจากผู้เยาว์จริง ๆ TDPG 4.0 แนะนำให้ทำ DPIA ด้วย
- RoPA ควรเชื่อมไปยัง DPIA ของกิจกรรมที่มีความเสี่ยงสูง รวมถึงเหตุละเมิดและข้อมูลอ่อนไหวที่เกี่ยวข้อง
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- คัดกรองกิจกรรมจาก RoPAไล่ดูทุกกิจกรรมในบันทึกรายการกิจกรรมการประมวลผล (RoPA) แล้วทำเครื่องหมายกิจกรรมที่เข้าลักษณะเสี่ยงสูงตามตัวอย่างใน TDPG 4.0 เช่น ใช้ AI วิเคราะห์พฤติกรรม ใช้ biometric ประมวลผลในวงกว้าง หรือขอความยินยอมจากผู้เยาว์
- อธิบายการประมวลผลให้ครบระบุว่าเก็บข้อมูลอะไร จากใคร เพื่อวัตถุประสงค์ใด ใครเข้าถึงได้ ส่งต่อให้ใคร และเก็บไว้นานเท่าใด ให้ตรงกับที่บันทึกไว้ใน RoPA
- ประเมินความจำเป็นและความได้สัดส่วนแนวปฏิบัติที่ดีคือถามว่าบรรลุวัตถุประสงค์ได้ด้วยข้อมูลที่น้อยกว่าหรือวิธีที่กระทบน้อยกว่าหรือไม่ และฐานทางกฎหมายที่ใช้รองรับกิจกรรมนี้ได้จริงหรือไม่
- ระบุความเสี่ยงต่อเจ้าของข้อมูลประเมินโอกาสเกิดและความรุนแรงของผลกระทบต่อสิทธิและเสรีภาพของบุคคล เช่น ข้อมูลรั่วไหล การถูกตัดสินอย่างไม่เป็นธรรม หรือการถูกติดตามเกินกว่าที่คาดหมาย
- เลือกมาตรการลดความเสี่ยงกำหนดมาตรการเชิงเทคนิค เชิงบริหารจัดการ และเชิงกายภาพ เช่น จำกัดสิทธิเข้าถึง เก็บข้อมูลให้น้อยลง หรือแฝงข้อมูล (pseudonymization) แล้วประเมินความเสี่ยงที่ยังเหลืออยู่
- ลงนามอนุมัติและผูกกับ RoPAให้ผู้มีอำนาจตัดสินใจลงนามรับความเสี่ยงที่เหลือ ขอความเห็นจากเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ถ้ามี และผูก DPIA ไว้กับกิจกรรมนั้นใน RoPA ตามที่ TDPG 4.0 แนะนำ
DPIA คืออะไร และต่างจาก RoPA อย่างไร?
DPIA คือการประเมินผลกระทบต่อความเป็นส่วนตัวก่อนเริ่มกิจกรรมการประมวลผลที่มีความเสี่ยงสูง ส่วน RoPA คือบันทึกกิจกรรมการประมวลผลทั้งหมดขององค์กรว่าเก็บข้อมูลอะไร เพื่ออะไร ปกป้องอย่างไร และเก็บนานเท่าใด TDPG 4.0 ระบุว่า RoPA คือหลักฐานแรกที่หน่วยงานกำกับดูแลจะขอตรวจ
สองเครื่องมือนี้ทำงานต่อกัน TDPG 4.0 แนะนำให้ RoPA เชื่อมไปยัง DPIA ของกิจกรรมที่มีความเสี่ยงสูงหรือเข้าปัจจัยที่ต้องทำ DPIA รวมถึงเหตุละเมิดที่เกี่ยวข้องกับกิจกรรมนั้นและข้อมูลอ่อนไหวที่เก็บรวบรวม
กิจกรรมแบบไหนที่ควรทำ DPIA?
TDPG 4.0 ยกตัวอย่างกิจกรรมเสี่ยงสูงที่ควรทำ DPIA ก่อนเริ่ม 3 แบบ คือ การใช้ AI วิเคราะห์พฤติกรรม การตรวจสอบ biometric และการประมวลผลข้อมูลในวงกว้าง และยังแนะนำให้ทำในบางสถานการณ์เฉพาะด้วย
ตัวอย่างใน TDPG 4.0 คือห้องสมุดสาธารณะที่จะนำข้อมูลสมาชิกย้อนหลัง 100 ปีมาใช้เชิงสถิติ แต่ไม่มีที่อยู่ติดต่อสมาชิกครบทุกคน แนวปฏิบัติแนะนำให้ประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคลต่อสาธารณะและทำ DPIA เพื่อประเมินผลกระทบ
- การใช้ AI วิเคราะห์พฤติกรรมของลูกค้าหรือพนักงาน
- การตรวจสอบหรือยืนยันตัวตนด้วยข้อมูลชีวภาพ เช่น การสแกนใบหน้า
- การประมวลผลข้อมูลส่วนบุคคลในวงกว้าง
- การขอความยินยอมจากผู้เยาว์ในกรณีที่จำเป็นจริง ๆ
- การนำข้อมูลเดิมไปใช้ตามวัตถุประสงค์ใหม่ เมื่อแจ้งเจ้าของข้อมูลทุกคนไม่ได้
DPIA เป็นข้อบังคับตามกฎหมายหรือไม่?
คู่มือนี้อ้างอิง TDPG 4.0 ซึ่งเป็นแนวปฏิบัติ ไม่ใช่ตัวบทกฎหมาย TDPG 4.0 จัด DPIA ไว้ในรายการหน้าที่ของผู้ควบคุมข้อมูลสำหรับกิจกรรมเสี่ยงสูง ร่วมกับการทำ RoPA การแต่งตั้ง DPO การทำสัญญากับผู้ประมวลผลข้อมูล และขั้นตอนแจ้งเหตุละเมิดภายใน 72 ชั่วโมง
ในทางปฏิบัติ DPIA ที่ทำเสร็จก่อนเปิดใช้ระบบคือหลักฐานที่ชัดเจนว่าองค์กรคิดถึงความเสี่ยงต่อเจ้าของข้อมูล และเลือกมาตรการป้องกันอย่างมีเหตุผล
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ ทำ DPIA หลังเปิดใช้ระบบไปแล้ว | ✓ TDPG 4.0 วาง DPIA ไว้ก่อนเริ่มกิจกรรมเสี่ยงสูง จึงควรใส่ขั้นคัดกรอง DPIA ไว้ในการอนุมัติโครงการใหม่ทุกครั้ง พื้นที่ทำงาน DPIA ของ AIPDPA ดึงข้อมูลจาก RoPA มาเติมแบบสอบถามให้ มีทะเบียนความเสี่ยงและขั้นตอนลงนามอนุมัติ เริ่มได้ทันทีโดยไม่ต้องออกแบบฟอร์มเอง |
| ✗ DPIA เป็นไฟล์ Word ที่ไม่มีใครหาเจอ และไม่ผูกกับ RoPA | ✓ TDPG 4.0 แนะนำให้ RoPA เชื่อมไปยัง DPIA ของกิจกรรมเสี่ยงสูง ใน AIPDPA เมื่อ DPIA ได้รับอนุมัติ ระบบจะผูกกลับไปที่กิจกรรมนั้นใน RoPA ผู้ตรวจจึงไล่จากกิจกรรมไปถึงผลประเมินได้ตรงตัว |
| ✗ ไม่มีใครรู้ว่าองค์กรใช้ AI ตัวไหนกับข้อมูลส่วนบุคคลบ้าง | ✓ ทำทะเบียนระบบ AI ก่อน แล้วส่งระบบที่วิเคราะห์พฤติกรรมหรือใช้ข้อมูลชีวภาพเข้าสู่ DPIA ทะเบียน AI และ AI Risk Radar ของ AIPDPA ประเมินระบบ AI เทียบกฎหมายไทย NIST ISO 42001 และ EU AI Act ส่วน Kooru TrustAI รับตรวจความเสี่ยงการใช้ AI แบบเชิงลึก |
ทำ DPIA ให้เสร็จก่อนเปิดใช้ระบบ
พื้นที่ทำงาน DPIA ของ AIPDPA มีแบบสอบถามที่เติมข้อมูลจาก RoPA ให้ ทะเบียนความเสี่ยง และขั้นตอนลงนามอนุมัติพร้อมใช้ ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
DPIA บังคับตามกฎหมายไทยไหม?
คู่มือนี้อ้างอิงแนวปฏิบัติ TDPG 4.0 ซึ่งระบุ DPIA ไว้ในหน้าที่ของผู้ควบคุมข้อมูลสำหรับกิจกรรมเสี่ยงสูง TDPG เป็นแนวปฏิบัติ ไม่ใช่กฎหมาย แต่การทำ DPIA คือวิธีที่ชัดเจนที่สุดในการแสดงว่าองค์กรประเมินความเสี่ยงก่อนเริ่มงาน
ต้องทำ DPIA ก่อนหรือหลังเริ่มโครงการ?
ทำก่อน TDPG 4.0 แนะนำให้ประเมินผลกระทบก่อนเริ่มกิจกรรมการประมวลผลที่มีความเสี่ยงสูง ซึ่งเป็นช่วงที่ยังแก้การออกแบบระบบได้ง่าย
ติดระบบสแกนใบหน้าพนักงานลงเวลา ต้องทำ DPIA ไหม?
ควรทำ เพราะ TDPG 4.0 ยกการตรวจสอบข้อมูลชีวภาพ (biometric) เป็นตัวอย่างกิจกรรมเสี่ยงสูงที่ควรประเมินผลกระทบก่อนเริ่มใช้งาน
ใครควรเป็นคนทำ DPIA?
ผู้ควบคุมข้อมูลเป็นผู้รับผิดชอบ แนวปฏิบัติที่ดีคือให้เจ้าของโครงการ ฝ่ายไอที และ DPO ทำร่วมกัน แล้วให้ผู้บริหารที่มีอำนาจลงนาม หากมีผู้ควบคุมข้อมูลร่วม ควรตกลงกันให้ชัดว่าฝ่ายใดเป็นผู้นำ
ทำ DPIA เสร็จแล้วควรเก็บไว้ที่ไหน?
แนวปฏิบัติที่ดีคือเก็บไว้คู่กับกิจกรรมนั้นใน RoPA เพราะ TDPG 4.0 แนะนำให้ RoPA เชื่อมไปยัง DPIA ของกิจกรรมเสี่ยงสูง ผู้ตรวจจะได้เห็นทั้งสองอย่างในที่เดียว
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 4 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (Thailand Data Protection Guidelines: TDPG 4.0) ข้อ B9 — หน้าที่ของผู้ควบคุมข้อมูลในการประเมินผลกระทบ (DPIA)
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) หัวข้อเครื่องมือและกระบวนการสำคัญ — DPIA ก่อนเริ่มกิจกรรมที่มีความเสี่ยงสูง
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) ข้อ C54 — DPIA กรณีขอความยินยอมจากผู้เยาว์
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) — ข้อตกลงระหว่างผู้ควบคุมข้อมูลร่วมและการเชื่อม RoPA กับ DPIA
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
แบบประเมิน ทะเบียนความเสี่ยง และการอนุมัติในที่เดียว พิมพ์รายงานได้ทันที
ลงชื่อรอเปิดใช้งาน →ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
ลงชื่อรอเปิดใช้งาน →ทะเบียนระบบ AI, AI Risk Radar เทียบกฎหมายไทย NIST ISO 42001 และ EU AI Act พร้อมนโยบายการใช้ AI ในที่ทำงาน
ลงชื่อรอเปิดใช้งาน →ตรวจความเสี่ยงการใช้ AI และวางระบบคุมการใช้ AI ในองค์กร
ดูบริการ →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ