ISO 27701:2025 คืออะไร ช่วยงาน PDPA อย่างไร และเริ่มทำจากตรงไหน ISO/IEC 27701 คือมาตรฐานระบบบริหารจัดการข้อมูลความเป็นส่วนตัว (PIMS) ฉบับ 2025 ถูกปรับให้เป็นมาตรฐานระบบบริหารที่ใช้ได้ด้วยตัวเอง ไม่ต้องผูกกับ ISO 27001 เหมือนฉบับก่อน มีมาตรการสำหรับผู้ควบคุมและผู้ประมวลผลข้อมูล งานที่องค์กรไทยทำตาม PDPA อยู่แล้ว เช่น ทะเบียนกิจกรรม การตอบคำขอใช้สิทธิ การจัดการเหตุละเมิด และสัญญากับผู้ประมวลผล นับเป็นหลักฐานได้มาก จุดเริ่มที่ดีคือเทียบงานที่มีกับข้อของมาตรฐาน แล้วเติมส่วนระบบบริหาร เช่น ตรวจภายในและทบทวนฝ่ายบริหาร
บริษัทซอฟต์แวร์ไทยแห่งหนึ่งถูกลูกค้าต่างชาติถามว่ามี ISO 27701 หรือไม่ ทีมคิดว่าต้องเริ่มใหม่ทั้งหมด ทั้งที่ทะเบียนกิจกรรม คำขอใช้สิทธิ และสัญญาประมวลผลข้อมูลที่ทำตาม PDPA อยู่แล้ว คือหลักฐานชุดใหญ่ของมาตรฐานนี้
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- ISO 27701:2025 เป็นมาตรฐานระบบบริหารที่ใช้ได้ด้วยตัวเอง
- มีมาตรการแยกสำหรับผู้ควบคุมและผู้ประมวลผลข้อมูล
- งาน PDPA ที่ทำอยู่แล้วนับเป็นหลักฐานได้มาก
- ส่วนที่มักขาดคือระบบบริหาร เช่น ตรวจภายในและทบทวนฝ่ายบริหาร
- มาตรฐานไม่ใช่กฎหมาย การรับรองทำโดยหน่วยรับรอง
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- กำหนดขอบเขตเลือกว่าบริษัท ผลิตภัณฑ์ หรือบริการไหนอยู่ในระบบ และบทบาทเป็นผู้ควบคุม ผู้ประมวลผล หรือทั้งสอง
- เทียบงาน PDPA ที่มีจับคู่ทะเบียนกิจกรรม คำขอใช้สิทธิ เหตุละเมิด และสัญญาผู้ประมวลผล กับมาตรการของมาตรฐาน
- ทำใบแสดงข้อที่ใช้ (SoA)ระบุว่าใช้มาตรการไหน ไม่ใช้ข้อไหน และเหตุผล
- ประเมินความเสี่ยงด้านความเป็นส่วนตัวทำทะเบียนความเสี่ยงและแผนจัดการ เชื่อมกับ DPIA ที่มีอยู่
- ตรวจภายในวางแผนตรวจตามความเสี่ยง สุ่มหลักฐานจริง และติดตามการแก้ไข
- ทบทวนโดยฝ่ายบริหารนำเสนอผลตรวจ ตัวชี้วัด และความเสี่ยง ให้ผู้บริหารตัดสินและบันทึกไว้
ISO 27701 ฉบับ 2025 ต่างจากฉบับก่อนอย่างไร?
ฉบับ 2025 ถูกเรียบเรียงใหม่ให้เป็นมาตรฐานระบบบริหารที่ใช้ได้ด้วยตัวเอง องค์กรจึงทำ PIMS ได้โดยไม่ต้องมีระบบ ISO 27001 อยู่ก่อน แต่ถ้ามีอยู่แล้วก็ใช้ร่วมกันได้
งาน PDPA ไหนนับเป็นหลักฐาน ISO 27701 ได้?
งานที่บันทึกเป็นระบบและตรวจย้อนหลังได้ นับเป็นหลักฐานได้มากที่สุด
- ทะเบียนกิจกรรมการประมวลผลตามมาตรา 39
- การรับและตอบคำขอใช้สิทธิ
- การจัดการเหตุละเมิดและการแจ้ง
- สัญญากับผู้ประมวลผลข้อมูล
- การประเมินผลกระทบ (DPIA)
ทำ ISO 27701 แล้วถือว่าทำตาม PDPA ครบหรือไม่?
ไม่เสมอไป มาตรฐานช่วยจัดระบบ แต่หน้าที่ตามกฎหมายไทยมีรายละเอียดเฉพาะ เช่น กำหนดเวลาแจ้งเหตุละเมิดและเกณฑ์ความยินยอมของผู้เยาว์ ต้องตรวจกับ PDPA โดยตรงด้วย
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ เริ่มทำเอกสาร ISO ใหม่ทั้งชุด แยกจากงาน PDPA | ✓ ใช้ทะเบียนและหลักฐาน PDPA ที่มีเป็นฐาน แล้วเติมเฉพาะส่วนที่ขาด |
| ✗ ไม่มีตรวจภายในและทบทวนฝ่ายบริหาร | ✓ วางแผนตรวจภายในตามความเสี่ยงอย่างน้อยปีละครั้ง และจัดประชุมทบทวนพร้อมบันทึก |
| ✗ ไม่ได้แยกบทบาทผู้ควบคุมกับผู้ประมวลผล | ✓ ระบุบทบาทต่อบริการ เพราะมาตรการที่ต้องใช้ต่างกัน |
เห็นทันทีว่างาน PDPA นับเป็นหลักฐาน ISO 27701 ได้กี่ข้อ
AIPDPA มี ISO 27701 ครบ 78 ข้อบนกระดานหลักฐานเดียวกับ PDPA สถานะคำนวณสดจากงานที่ทำจริง และในแพ็กเกจ ENTERPRISE มีระบบบริหารครบ ตั้งแต่ทะเบียนความเสี่ยง ตรวจภายใน ทบทวนฝ่ายบริหาร จนถึงผู้ตรวจจำลอง
มีในแพ็กเกจ GROWTH · PRO · ENTERPRISE เริ่มต้น 4,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ต้องมี ISO 27001 ก่อนทำ ISO 27701 หรือไม่?
ฉบับ 2025 ไม่ต้อง เพราะเป็นมาตรฐานระบบบริหารที่ใช้ได้ด้วยตัวเอง แต่ถ้ามีอยู่แล้วก็ทำร่วมกันได้
ISO 27701 เป็นข้อบังคับตามกฎหมายไทยหรือไม่?
ไม่ใช่ เป็นมาตรฐานโดยสมัครใจ ลูกค้าต่างชาติหรือคู่ค้ามักขอเป็นหลักฐานความพร้อม
ใช้เวลานานแค่ไหน?
ขึ้นกับขนาดและงาน PDPA ที่มีอยู่ องค์กรที่ทะเบียนครบแล้วจะเหลืองานส่วนระบบบริหารเป็นหลัก
ใครเป็นผู้รับรอง?
หน่วยรับรองที่ได้รับการรับรองความสามารถ ซึ่งตรวจสองขั้น คือเอกสารและหลักฐานการทำงานจริง
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 3 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- ISO/IEC 27701:2025 — ระบบบริหารจัดการข้อมูลความเป็นส่วนตัว (PIMS) ข้อกำหนดและแนวทาง (มาตรฐาน ไม่ใช่กฎหมาย)
- Alan Shipman & Steve Watkins — ISO/IEC 27701:2025 An introduction to privacy information management systems (ITGP 2025)
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 39 — บันทึกรายการกิจกรรมการประมวลผล
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
ISO 27001 · ISO 27701 · ISO 42001 · NIST AI RMF · แนวทาง สคส. งานที่ทำครั้งเดียวนับเป็นหลักฐานได้ทุกมาตรฐาน สถานะคำนวณสดทุกครั้งที่เปิด
สมัครใช้งาน →ทะเบียนความเสี่ยง 5×5 เป้าหมาย ตรวจภายใน ทบทวนฝ่ายบริหาร SoA ส่งออก Word และผู้ตรวจจำลองสองขั้นแบบหน่วยรับรอง
สมัครใช้งาน →ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
สมัครใช้งาน →ข้อกำหนดจาก สคส. ETDA และ NCSA ในที่เดียว ทำหนึ่งครั้งได้หลักฐานหลายมาตรฐาน
สมัครใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ