บริการธุรกิจ

ที่ปรึกษา PDPA และวางระบบคุ้มครองข้อมูลส่วนบุคคล

เริ่มจากรู้ว่าองค์กรถือข้อมูลอะไรไว้บ้าง ไม่ใช่เริ่มจากหน้าเว็บ

บริการธุรกิจ

เริ่มจากรู้ว่าองค์กรถือข้อมูลอะไรไว้บ้าง ไม่ใช่เริ่มจากหน้าเว็บ

องค์กรจำนวนมากทำเรื่องข้อมูลส่วนบุคคลจบที่การมีนโยบายความเป็นส่วนตัวบนเว็บไซต์และแบนเนอร์ขอความยินยอม ซึ่งเป็นส่วนที่เห็นได้แต่ไม่ใช่ส่วนที่สำคัญที่สุด หัวใจของเรื่องอยู่ที่คำถามสี่ข้อที่ต้องตอบได้ คือองค์กรเก็บข้อมูลอะไรไว้บ้าง เก็บไว้ที่ไหน ใครเข้าถึงได้ และส่งต่อให้ใคร ถ้าตอบสี่ข้อนี้ไม่ได้ ก็ตอบคำขอใช้สิทธิของเจ้าของข้อมูลไม่ได้ และรับมือกับเหตุข้อมูลรั่วไหลไม่ทันภายในเวลาที่ควร เราจึงเริ่มจากทำบันทึกรายการกิจกรรมการประมวลผลให้ตรงกับที่องค์กรทำจริง แล้วจึงค่อยจัดเอกสารส่วนที่เหลือ

ขอบเขตงาน

ตรวจประเมินสถานะปัจจุบันและจัดทำบันทึกรายการกิจกรรมการประมวลผล

จัดทำนโยบายและประกาศความเป็นส่วนตัวให้ตรงกับการใช้งานจริง

ฐานทางกฎหมายในการประมวลผลและการขอความยินยอม

ข้อตกลงกับผู้ประมวลผลข้อมูลและคู่ค้าที่รับข้อมูลไป

กระบวนการรับคำขอใช้สิทธิของเจ้าของข้อมูล

แผนรับมือเหตุข้อมูลรั่วไหลและการอบรมพนักงาน

ขอความยินยอมทุกอย่าง ทั้งที่ไม่ต้องขอ

ความเข้าใจผิดที่พบมากที่สุดคือคิดว่าทุกการใช้ข้อมูลต้องขอความยินยอม ทั้งที่กฎหมายมีฐานอื่นที่ใช้ได้และเหมาะกว่าในหลายกรณี เช่น การประมวลผลที่จำเป็นเพื่อปฏิบัติตามสัญญาหรือตามกฎหมาย การขอความยินยอมในเรื่องที่ไม่ควรขอ ทำให้องค์กรเสียเปรียบเอง เพราะเจ้าของข้อมูลถอนความยินยอมได้ทุกเมื่อ แล้วงานที่จำเป็นต่อการดำเนินธุรกิจก็สะดุด การเลือกฐานให้ถูกตั้งแต่ต้นจึงสำคัญกว่าการมีแบบฟอร์มยินยอมที่สวยงาม

ข้อมูลพนักงานที่มักถูกลืม

องค์กรส่วนใหญ่โฟกัสที่ข้อมูลลูกค้า ทั้งที่ข้อมูลที่ละเอียดอ่อนที่สุดมักเป็นข้อมูลพนักงาน ตั้งแต่ใบสมัครและประวัติของผู้สมัครที่ไม่ได้รับ ข้อมูลสุขภาพจากการตรวจร่างกาย ไปจนถึงข้อมูลจากกล้องวงจรปิดและระบบสแกนลายนิ้วมือ ข้อมูลกลุ่มนี้มีเงื่อนไขเพิ่มเติมและมักถูกเก็บไว้นานเกินความจำเป็นโดยไม่มีใครทบทวน จึงเป็นจุดที่ควรตรวจเป็นอันดับต้น ๆ

คู่ค้าที่รับข้อมูลไปทำงานต่อ

เมื่อองค์กรส่งข้อมูลให้ผู้ให้บริการภายนอกทำงานต่อ ทั้งระบบบัญชีเงินเดือน ระบบขนส่ง และผู้ให้บริการระบบคลาวด์ องค์กรยังคงมีหน้าที่รับผิดชอบต่อข้อมูลนั้นอยู่ สิ่งที่ต้องมีคือข้อตกลงที่ระบุขอบเขตการใช้ข้อมูล มาตรการรักษาความปลอดภัย และสิ่งที่ต้องทำเมื่อเกิดเหตุ องค์กรที่มีเอกสารภายในครบแต่ไม่เคยทำข้อตกลงกับคู่ค้า จึงยังมีช่องว่างที่ใหญ่ที่สุดเหลืออยู่

ปรึกษาเรื่องนี้กับเรา

ปรึกษาเบื้องต้นฟรี บอกเราว่าธุรกิจของท่านต้องการอะไร แล้วเราจะวางขั้นตอนและใบเสนอราคาให้

ปรึกษาเรื่องนี้กับเรา +66 92 254 2045

คำถามที่พบบ่อยเกี่ยวกับตรวจประเมินและวางระบบ PDPA

6 คำถามที่ตอบแล้ว

กฎหมายไม่ได้ยกเว้นตามขนาด ถ้ามีข้อมูลลูกค้าหรือข้อมูลพนักงานก็อยู่ในขอบเขต เพียงแต่ปริมาณงานที่ต้องทำจะต่างกันตามลักษณะและปริมาณข้อมูล

เริ่มจากรู้ก่อนว่ามีข้อมูลอะไรอยู่ที่ไหน เพราะเอกสารที่เขียนขึ้นโดยไม่รู้ของจริงมักใช้ไม่ได้ในวันที่เกิดเรื่อง

ขึ้นอยู่กับลักษณะและปริมาณข้อมูลที่ประมวลผล และไม่จำเป็นต้องเป็นพนักงานประจำ ใช้บริการจากภายนอกได้ ซึ่งเป็นทางที่หลายองค์กรเลือก

หน้าที่ตามกฎหมายไม่ได้ยกเว้นตามขนาดกิจการ สิ่งที่ต่างคือปริมาณงาน องค์กรเล็กที่เก็บข้อมูลไม่มากใช้เวลาจัดไม่นาน แต่ยังต้องรู้ว่าข้อมูลอยู่ที่ไหนและมีเอกสารพื้นฐาน

ขึ้นอยู่กับลักษณะและปริมาณการประมวลผลขององค์กร ไม่ใช่ทุกองค์กรที่ต้องมี เราจะประเมินให้ก่อนว่าเข้าเงื่อนไขหรือไม่ และถ้าต้องมี ควรเป็นคนในหรือใช้บริการจากภายนอก

ต้องประเมินความเสี่ยงและดำเนินการแจ้งตามที่กฎหมายกำหนดภายในกรอบเวลา ซึ่งสั้นกว่าที่หลายองค์กรคาดไว้ การมีแผนและผู้รับผิดชอบที่ชัดเจนไว้ล่วงหน้าจึงเป็นสิ่งที่ต้องทำก่อนเกิดเหตุ

คู่มือที่เกี่ยวข้อง

คู่มือกฎหมายธุรกิจ

เช็กลิสต์ทำ PDPA ให้ธุรกิจ 2026: ขั้นตอน ความเสี่ยง และจุดที่มักพลาด

ธุรกิจต้องทำ PDPA อะไรบ้าง เริ่มตรงไหน? เช็กลิสต์ทำ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) ทีละขั้น ตั้งแต่สำรวจข้อมูล ฐานทางกฎหมาย นโยบายความเป็นส่วนตัว ไปจนถึง DPO และการรับมือข้อมูลรั่ว โดยทีมที่ปรึกษากฎหมายขอนแก่นประสบการณ์ 40 ปี

12 นาที