วิธีทำ RoPA บันทึกรายการกิจกรรมการประมวลผลตามมาตรา 39 ให้ครบและตรวจได้ บันทึกรายการกิจกรรมการประมวลผล (Record of Processing Activities: RoPA) คือทะเบียนที่มาตรา 39 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดทำ เพื่อให้เจ้าของข้อมูลและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ตรวจสอบได้ ต้องมีอย่างน้อย 8 รายการ เช่น ข้อมูลที่เก็บ วัตถุประสงค์ ระยะเวลาเก็บรักษา และคำอธิบายมาตรการรักษาความมั่นคงปลอดภัย โดยจะบันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้
เจ้าของโรงงานผลิตชิ้นส่วนรถยนต์ขนาดกลางแห่งหนึ่งได้รับแบบสอบถามจากลูกค้าต่างชาติ ขอให้ส่งบันทึกกิจกรรมการประมวลผลข้อมูลส่วนบุคคลภายในสองสัปดาห์ ฝ่ายบุคคล ฝ่ายขาย และฝ่ายไอทีต่างมีไฟล์ Excel ของตัวเอง แต่ไม่มีใครตอบได้ว่าข้อมูลผู้สมัครงานเก็บไว้นานแค่ไหน และใครเข้าถึงได้บ้าง
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- มาตรา 39 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกรายการอย่างน้อย 8 รายการ เพื่อให้เจ้าของข้อมูลและ สคส. ตรวจสอบได้
- จะบันทึกเป็นหนังสือหรือในระบบอิเล็กทรอนิกส์ก็ได้ ขอเพียงมีรายการครบและเปิดให้ตรวจได้
- การปฏิเสธคำขอใช้สิทธิหรือการคัดค้าน ต้องบันทึกพร้อมเหตุผลไว้ใน RoPA ตามมาตรา 39 (7)
- กิจการขนาดเล็กอาจได้รับยกเว้นบางรายการ แต่ไม่ได้รับยกเว้นถ้าการประมวลผลมีความเสี่ยง ไม่ได้ทำเป็นครั้งคราว หรือมีข้อมูลอ่อนไหวตามมาตรา 26
- แนวปฏิบัติ TDPG 4.0 แนะนำให้ทำ RoPA แยกตามฝ่ายหรือหน้าที่งาน เพื่อไม่ให้กิจกรรมใดตกหล่น
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- แยกงานตามฝ่ายไล่ทีละฝ่าย เช่น บุคคล ขาย การตลาด บัญชี และไอที ตามที่ TDPG 4.0 แนะนำ แล้วให้แต่ละฝ่ายระบุทุกงานที่แตะข้อมูลบุคคล แม้แค่เก็บข้อมูลไว้เฉย ๆ ก็นับเป็นการประมวลผล
- ระบุข้อมูลและวัตถุประสงค์เขียนประเภทข้อมูลส่วนบุคคลที่เก็บ และวัตถุประสงค์ของข้อมูลแต่ละประเภท ตามมาตรา 39 (1) และ (2) แนวปฏิบัติที่ดีคือบันทึกฐานทางกฎหมายตามมาตรา 24 หรือ 26 ไว้คู่กัน
- ใส่ข้อมูลผู้ควบคุมและระยะเวลาเก็บระบุข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล และระยะเวลาเก็บรักษาของแต่ละกิจกรรม ตามมาตรา 39 (3) และ (4) แล้วผูกกับระบบตรวจสอบเพื่อลบหรือทำลายข้อมูลตามมาตรา 37 (3)
- กำหนดสิทธิเข้าถึงและการเปิดเผยบันทึกสิทธิและวิธีการเข้าถึงข้อมูล เงื่อนไขว่าใครเข้าถึงได้ (มาตรา 39 (5)) และการใช้หรือเปิดเผยตามมาตรา 27 วรรคสาม (มาตรา 39 (6))
- อธิบายมาตรการรักษาความมั่นคงปลอดภัยสรุปมาตรการตามมาตรา 37 (1) ที่ใช้กับแต่ละกิจกรรม เช่น การจำกัดสิทธิ์ผู้ใช้ การเข้ารหัส และการสำรองข้อมูล ตามมาตรา 39 (8)
- เปิดช่องบันทึกการปฏิเสธและทบทวนเตรียมส่วนบันทึกการปฏิเสธคำขอหรือการคัดค้านพร้อมเหตุผลตามมาตรา 39 (7) และทบทวน RoPA ทุกครั้งที่มีระบบหรือกิจกรรมใหม่
RoPA ต้องมีอะไรบ้างตามมาตรา 39?
มาตรา 39 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกรายการอย่างน้อย 8 รายการต่อไปนี้ เพื่อให้เจ้าของข้อมูลและ สคส. ตรวจสอบได้ ทั้งนี้จะบันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้
- (1) ข้อมูลส่วนบุคคลที่เก็บรวบรวม
- (2) วัตถุประสงค์ของการเก็บข้อมูลแต่ละประเภท
- (3) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล
- (4) ระยะเวลาเก็บรักษาข้อมูล
- (5) สิทธิและวิธีการเข้าถึงข้อมูล รวมถึงเงื่อนไขว่าใครมีสิทธิเข้าถึง
- (6) การใช้หรือเปิดเผยตามมาตรา 27 วรรคสาม
- (7) การปฏิเสธคำขอหรือการคัดค้านตามมาตรา 30, 31, 32 และ 36
- (8) คำอธิบายมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1)
กิจการขนาดเล็กต้องทำ RoPA หรือไม่?
ส่วนใหญ่ยังต้องทำ แต่อาจได้รับยกเว้นบางรายการ มาตรา 39 วรรคสามเปิดช่องให้กิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ได้รับยกเว้นรายการ (1) ถึง (6) และ (8) และคณะกรรมการได้ออกประกาศเรื่องการยกเว้นนี้ไว้เมื่อ พ.ศ. 2565
ข้อยกเว้นนี้ไม่ครอบคลุมรายการ (7) เรื่องการปฏิเสธคำขอ และไม่ใช้กับกิจการที่ประมวลผลข้อมูลซึ่งมีความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล กิจการที่ไม่ได้ประมวลผลเป็นครั้งคราว หรือกิจการที่มีข้อมูลอ่อนไหวตามมาตรา 26 ก่อนอ้างข้อยกเว้นจึงควรตรวจหลักเกณฑ์ในประกาศฉบับนั้นให้ครบ
ทำไม RoPA จึงสำคัญกว่าเอกสารเก็บเข้าแฟ้ม?
แนวปฏิบัติ TDPG 4.0 อธิบายว่า ถ้าองค์กรระบุกิจกรรมการประมวลผลได้ไม่ครบ อาจประมวลผลข้อมูลอย่างไม่สอดคล้องกับกฎหมาย และกำหนดมาตรการทางเทคนิคและเชิงองค์กรได้ไม่เพียงพอ
TDPG 4.0 ยังชี้ว่า RoPA ช่วยยกระดับธรรมาภิบาลข้อมูล (data governance) และช่วยปรับกระบวนการทางธุรกิจ เพราะองค์กรรู้ว่าถือข้อมูลอะไร เก็บไว้ทำไม และเก็บนานเท่าไร
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ ทำ RoPA ครั้งเดียวตอนเริ่มโครงการ แล้วไม่เคยแก้อีกเลย | ✓ ตั้งรอบทบทวน และให้แต่ละฝ่ายแจ้งเมื่อมีระบบหรือกิจกรรมใหม่ ใน AIPDPA ทะเบียน RoPA ดึงโครงสร้างองค์กรมาเติมให้อัตโนมัติ เพิ่มฝ่ายหรือกิจกรรมก็แก้ได้ในที่เดียว และพิมพ์รายงานตามมาตรา 39 ฉบับใหม่ได้ทันที |
| ✗ เขียนระยะเวลาเก็บว่า 'ตลอดไป' หรือเว้นว่างไว้ | ✓ กำหนดระยะเก็บจริงของแต่ละกิจกรรม แล้วตั้งระบบตรวจสอบเพื่อลบหรือทำลายเมื่อพ้นกำหนดตามมาตรา 37 (3) โมดูลระยะเวลาเก็บรักษาของ AIPDPA มีกฎการเก็บ รอบทบทวน และบันทึกการทำลาย ซึ่งเป็นหลักฐานที่ผู้ตรวจขอดู |
| ✗ ไม่มีที่บันทึกการปฏิเสธคำขอใช้สิทธิ | ✓ เพิ่มส่วนบันทึกการปฏิเสธคำขอหรือการคัดค้านพร้อมเหตุผลตามมาตรา 39 (7) พอร์ทัล DSR ของ AIPDPA เก็บประวัติคำขอทุกรายการ ทำให้ตามย้อนเหตุผลการปฏิเสธมาบันทึกได้ครบ |
เริ่มทำ RoPA ครบ 8 รายการตามมาตรา 39 ได้ในไม่กี่นาที
ทะเบียน RoPA ของ AIPDPA ดึงโครงสร้างองค์กรมาเติมให้อัตโนมัติ มีตัวเลือกฐานทางกฎหมายที่อ้างมาตรา 24 และ 26 และพิมพ์รายงานตามมาตรา 39 ได้ทันที ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
RoPA ทำใน Excel ได้ไหม?
ได้ มาตรา 39 ให้บันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้ ข้อสำคัญคือต้องมีรายการครบอย่างน้อย 8 รายการ และพร้อมให้เจ้าของข้อมูลและ สคส. ตรวจสอบ
ต้องส่ง RoPA ให้ สคส. ทุกปีหรือไม่?
มาตรา 39 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกรายการไว้เพื่อให้ตรวจสอบได้ ตัวบทไม่ได้เขียนให้ยื่นส่งเป็นรอบ แต่ต้องพร้อมแสดงเมื่อเจ้าของข้อมูลหรือ สคส. ขอตรวจ
ผู้ประมวลผลข้อมูลส่วนบุคคลต้องทำ RoPA ด้วยหรือไม่?
ต้องทำ แนวปฏิบัติ TDPG 4.0 อธิบายว่าผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดทำบันทึกรายการตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2565 สำหรับผู้ประมวลผล โดยแยกบันทึกตามประเภทกิจกรรมที่ทำในนามของผู้ควบคุมข้อมูล
ข้อมูลที่เก็บไว้เฉย ๆ ไม่ได้ใช้ ต้องลงใน RoPA ไหม?
ควรลง แนวปฏิบัติ TDPG 4.0 อธิบายว่าการประมวลผลเริ่มตั้งแต่องค์กรเริ่มเก็บหรือบันทึกข้อมูล ไปจนถึงตอนที่ข้อมูลถูกทำลายอย่างปลอดภัย และการถือครองหรือเก็บข้อมูลไว้เฉย ๆ ก็ถือเป็นการประมวลผลแล้ว
ตัวแทนในประเทศไทยของผู้ควบคุมข้อมูลส่วนบุคคลต้องทำ RoPA ไหม?
ต้องทำ มาตรา 39 วรรคสองให้นำหน้าที่บันทึกรายการมาใช้กับตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 5 วรรคสองโดยอนุโลม และมาตรา 37 (5) กำหนดให้ตัวแทนนั้นต้องอยู่ในราชอาณาจักร
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 3 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 39
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) (3) (5)
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) ข้อ A24–A37 (แนวปฏิบัติ ไม่ใช่กฎหมาย)
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
ลงชื่อรอเปิดใช้งาน →กฎระยะเก็บ ตารางรอบตรวจ และบันทึกการทำลาย — หลักฐานตามมาตรา 37(3) ที่ผู้ตรวจขอเสมอ
ลงชื่อรอเปิดใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →คอร์สเสริมทักษะ PDPA, DPO และธรรมาภิบาล AI พร้อม Digital Product ชุดเครื่องมือพร้อมใช้
ดูคอร์สและสินค้า →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ