บริการธุรกิจ

ที่ปรึกษา PDPA และวางระบบคุ้มครองข้อมูลส่วนบุคคล

เริ่มจากรู้ว่าองค์กรถือข้อมูลอะไรไว้บ้าง ไม่ใช่เริ่มจากหน้าเว็บ

บริการธุรกิจ

เริ่มจากรู้ว่าองค์กรถือข้อมูลอะไรไว้บ้าง ไม่ใช่เริ่มจากหน้าเว็บ

องค์กรจำนวนมากทำเรื่องข้อมูลส่วนบุคคลจบที่การมีนโยบายความเป็นส่วนตัวบนเว็บไซต์และแบนเนอร์ขอความยินยอม ซึ่งเป็นส่วนที่เห็นได้แต่ไม่ใช่ส่วนที่สำคัญที่สุด หัวใจของเรื่องอยู่ที่คำถามสี่ข้อที่ต้องตอบได้ คือองค์กรเก็บข้อมูลอะไรไว้บ้าง เก็บไว้ที่ไหน ใครเข้าถึงได้ และส่งต่อให้ใคร ถ้าตอบสี่ข้อนี้ไม่ได้ ก็ตอบคำขอใช้สิทธิของเจ้าของข้อมูลไม่ได้ และรับมือกับเหตุข้อมูลรั่วไหลไม่ทันภายในเวลาที่ควร เราจึงเริ่มจากทำบันทึกรายการกิจกรรมการประมวลผลให้ตรงกับที่องค์กรทำจริง แล้วจึงค่อยจัดเอกสารส่วนที่เหลือ

ขอบเขตงาน

ตรวจประเมินสถานะปัจจุบันและจัดทำบันทึกรายการกิจกรรมการประมวลผล

จัดทำนโยบายและประกาศความเป็นส่วนตัวให้ตรงกับการใช้งานจริง

ฐานทางกฎหมายในการประมวลผลและการขอความยินยอม

ข้อตกลงกับผู้ประมวลผลข้อมูลและคู่ค้าที่รับข้อมูลไป

กระบวนการรับคำขอใช้สิทธิของเจ้าของข้อมูล

แผนรับมือเหตุข้อมูลรั่วไหลและการอบรมพนักงาน

ขอความยินยอมทุกอย่าง ทั้งที่ไม่ต้องขอ

ความเข้าใจผิดที่พบมากที่สุดคือคิดว่าทุกการใช้ข้อมูลต้องขอความยินยอม ทั้งที่กฎหมายมีฐานอื่นที่ใช้ได้และเหมาะกว่าในหลายกรณี เช่น การประมวลผลที่จำเป็นเพื่อปฏิบัติตามสัญญาหรือตามกฎหมาย การขอความยินยอมในเรื่องที่ไม่ควรขอ ทำให้องค์กรเสียเปรียบเอง เพราะเจ้าของข้อมูลถอนความยินยอมได้ทุกเมื่อ แล้วงานที่จำเป็นต่อการดำเนินธุรกิจก็สะดุด การเลือกฐานให้ถูกตั้งแต่ต้นจึงสำคัญกว่าการมีแบบฟอร์มยินยอมที่สวยงาม

ข้อมูลพนักงานที่มักถูกลืม

องค์กรส่วนใหญ่โฟกัสที่ข้อมูลลูกค้า ทั้งที่ข้อมูลที่ละเอียดอ่อนที่สุดมักเป็นข้อมูลพนักงาน ตั้งแต่ใบสมัครและประวัติของผู้สมัครที่ไม่ได้รับ ข้อมูลสุขภาพจากการตรวจร่างกาย ไปจนถึงข้อมูลจากกล้องวงจรปิดและระบบสแกนลายนิ้วมือ ข้อมูลกลุ่มนี้มีเงื่อนไขเพิ่มเติมและมักถูกเก็บไว้นานเกินความจำเป็นโดยไม่มีใครทบทวน จึงเป็นจุดที่ควรตรวจเป็นอันดับต้น ๆ

คู่ค้าที่รับข้อมูลไปทำงานต่อ

เมื่อองค์กรส่งข้อมูลให้ผู้ให้บริการภายนอกทำงานต่อ ทั้งระบบบัญชีเงินเดือน ระบบขนส่ง และผู้ให้บริการระบบคลาวด์ องค์กรยังคงมีหน้าที่รับผิดชอบต่อข้อมูลนั้นอยู่ สิ่งที่ต้องมีคือข้อตกลงที่ระบุขอบเขตการใช้ข้อมูล มาตรการรักษาความปลอดภัย และสิ่งที่ต้องทำเมื่อเกิดเหตุ องค์กรที่มีเอกสารภายในครบแต่ไม่เคยทำข้อตกลงกับคู่ค้า จึงยังมีช่องว่างที่ใหญ่ที่สุดเหลืออยู่

ขั้นตอนการทำงาน

เริ่มจากคุยกับฝ่ายที่ถือข้อมูลจริง เช่น ฝ่ายบุคคล ฝ่ายขาย ฝ่ายการตลาด และผู้ดูแลระบบ เพื่อดูว่าข้อมูลเข้ามาทางไหน เก็บไว้ที่ใด และส่งต่อให้ใคร จากนั้นจัดทำบันทึกรายการกิจกรรมการประมวลผลตามที่ทำจริง แล้วเทียบกับหน้าที่ตามกฎหมายเพื่อหาช่องว่าง เรียงลำดับว่าเรื่องไหนเสี่ยงและควรแก้ก่อน ก่อนจะจัดทำเอกสาร วางกระบวนการรับคำขอใช้สิทธิ และแผนรับมือเหตุข้อมูลรั่วไหล ขั้นสุดท้ายคืออบรมพนักงานที่ต้องใช้กระบวนการเหล่านี้จริง เพราะเอกสารที่ไม่มีใครรู้วิธีใช้ ไม่ช่วยอะไรเมื่อเกิดเหตุ

กล้องวงจรปิด คุกกี้ และระยะเวลาเก็บข้อมูล

สามเรื่องนี้เป็นจุดที่องค์กรพลาดบ่อยเพราะดูเป็นเรื่องเล็ก กล้องวงจรปิดควรมีป้ายแจ้งที่เห็นได้ก่อนเข้าพื้นที่ และควรกำหนดว่าใครดูภาพย้อนหลังได้และเก็บภาพไว้นานแค่ไหน คุกกี้ที่จำเป็นต่อการทำงานของเว็บไซต์โดยทั่วไปไม่ต้องขอความยินยอม แต่คุกกี้เพื่อการตลาดหรือการวิเคราะห์มักต้องขอ ส่วนระยะเวลาเก็บข้อมูล ควรกำหนดให้ชัดสำหรับข้อมูลแต่ละประเภทพร้อมวิธีลบหรือทำลาย ข้อมูลที่หมดเหตุผลที่จะเก็บแล้วแต่ยังเก็บไว้ คือความเสี่ยงที่ไม่ได้ประโยชน์อะไรกลับมา

เอกสารที่องค์กรได้รับเมื่อจบงาน

เมื่อจบงานวางระบบ องค์กรจะมีบันทึกรายการกิจกรรมการประมวลผลที่ตรงกับการทำงานจริง ประกาศความเป็นส่วนตัวแยกตามกลุ่มเจ้าของข้อมูล เช่น ลูกค้า พนักงาน และผู้สมัครงาน แบบข้อตกลงการประมวลผลข้อมูลสำหรับคู่ค้า แบบฟอร์มและขั้นตอนรับคำขอใช้สิทธิ แผนรับมือเหตุข้อมูลรั่วไหลที่ระบุผู้รับผิดชอบ และรายการเรื่องที่ต้องทบทวนเป็นระยะ เอกสารทั้งหมดจัดให้ตรงกับระบบที่ใช้อยู่ ไม่ใช่แบบสำเร็จรูปที่ต้องมาแก้เอง

ปรึกษาเรื่องนี้กับเรา

ปรึกษาเบื้องต้น บอกเราว่าธุรกิจของท่านต้องการอะไร แล้วเราจะวางขั้นตอนและใบเสนอราคาให้

ปรึกษาเรื่องนี้กับเรา +66 92 254 2045

คำถามที่พบบ่อยเกี่ยวกับตรวจประเมินและวางระบบ PDPA

9 คำถามที่ตอบแล้ว

กฎหมายไม่ได้ยกเว้นตามขนาด ถ้ามีข้อมูลลูกค้าหรือข้อมูลพนักงานก็อยู่ในขอบเขต เพียงแต่ปริมาณงานที่ต้องทำจะต่างกันตามลักษณะและปริมาณข้อมูล

เริ่มจากรู้ก่อนว่ามีข้อมูลอะไรอยู่ที่ไหน เพราะเอกสารที่เขียนขึ้นโดยไม่รู้ของจริงมักใช้ไม่ได้ในวันที่เกิดเรื่อง

ขึ้นอยู่กับลักษณะและปริมาณข้อมูลที่ประมวลผล และไม่จำเป็นต้องเป็นพนักงานประจำ ใช้บริการจากภายนอกได้ ซึ่งเป็นทางที่หลายองค์กรเลือก

หน้าที่ตามกฎหมายไม่ได้ยกเว้นตามขนาดกิจการ สิ่งที่ต่างคือปริมาณงาน องค์กรเล็กที่เก็บข้อมูลไม่มากใช้เวลาจัดไม่นาน แต่ยังต้องรู้ว่าข้อมูลอยู่ที่ไหนและมีเอกสารพื้นฐาน

ขึ้นอยู่กับลักษณะและปริมาณการประมวลผลขององค์กร ไม่ใช่ทุกองค์กรที่ต้องมี เราจะประเมินให้ก่อนว่าเข้าเงื่อนไขหรือไม่ และถ้าต้องมี ควรเป็นคนในหรือใช้บริการจากภายนอก

ต้องประเมินความเสี่ยงและดำเนินการแจ้งตามที่กฎหมายกำหนดภายในกรอบเวลา ซึ่งสั้นกว่าที่หลายองค์กรคาดไว้ การมีแผนและผู้รับผิดชอบที่ชัดเจนไว้ล่วงหน้าจึงเป็นสิ่งที่ต้องทำก่อนเกิดเหตุ

ยังไม่ครบ นโยบายบนเว็บไซต์เป็นเพียงการแจ้งเจ้าของข้อมูลกลุ่มหนึ่ง องค์กรยังต้องมีบันทึกรายการกิจกรรมการประมวลผล ประกาศสำหรับพนักงานและผู้สมัครงาน ข้อตกลงกับคู่ค้าที่รับข้อมูลไป และกระบวนการรับมือเมื่อมีคำขอใช้สิทธิหรือเกิดเหตุรั่วไหล

ใช้เป็นจุดตั้งต้นได้ แต่แบบฟอร์มมักบรรยายการใช้ข้อมูลที่องค์กรไม่ได้ทำ หรือไม่พูดถึงสิ่งที่องค์กรทำจริง เมื่อเกิดข้อร้องเรียน เอกสารที่ไม่ตรงกับการปฏิบัติจริงจะกลายเป็นหลักฐานว่าองค์กรแจ้งเจ้าของข้อมูลไม่ถูกต้อง

ทำได้ในหลายกรณี แต่ต้องรู้ว่าข้อมูลไปเก็บหรือถูกประมวลผลที่ไหน ผู้ให้บริการนำข้อมูลไปใช้ต่อหรือไม่ และมีข้อตกลงรองรับการส่งข้อมูลออกนอกประเทศแล้วหรือยัง องค์กรที่ให้พนักงานใช้เครื่องมือ AI ควรมีนโยบายภายในว่าข้อมูลประเภทใดห้ามนำเข้าระบบ

คู่มือที่เกี่ยวข้อง

คู่มือกฎหมายธุรกิจ

เช็กลิสต์ทำ PDPA ให้ธุรกิจ 2026: ขั้นตอน ความเสี่ยง และจุดที่มักพลาด

ธุรกิจต้องทำ PDPA อะไรบ้าง เริ่มตรงไหน? เช็กลิสต์ทำ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) ทีละขั้น ตั้งแต่สำรวจข้อมูล ฐานทางกฎหมาย นโยบายความเป็นส่วนตัว ไปจนถึง DPO และการรับมือข้อมูลรั่ว โดยทีมที่ปรึกษากฎหมายขอนแก่นประสบการณ์ 40 ปี

12 นาที กฎหมายธุรกิจ

PDPA สำหรับงานทรัพยากรบุคคล (HR) ในประเทศไทย: ข้อมูลพนักงาน กล้องวงจรปิด ผู้สมัครงาน และการเฝ้าติดตามในสถานที่ทำงาน

นายจ้างถือครองข้อมูลส่วนบุคคลเกี่ยวกับพนักงานของตนมากกว่าข้อมูลของบุคคลอื่นแทบทุกกลุ่ม รวมถึงข้อมูลสุขภาพและข้อมูลชีวมาตร กฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทยใช้กับงาน HR อย่างไร — ฐานทางกฎหมาย ข้อมูลอ่อนไหว กล้องวงจรปิด เครื่องสแกนลายนิ้วมือลงเวลา การเฝ้าติดตาม ผู้สมัครงาน การเปิดเผยข้อมูลให้บริษัทแม่ และการละเมิดข้อมูล

10 นาที กฎหมายธุรกิจ

ข้อมูลลูกค้ารั่วไหล บริษัทควรทำอะไรเป็นลำดับแรก: แผนรับมือ 72 ชั่วโมงตาม PDPA

สำหรับเจ้าของและผู้บริหารบริษัทที่เพิ่งพบว่าข้อมูลลูกค้ารั่วไหลหรือถูกเข้าถึงโดยมิชอบ อธิบายลำดับสิ่งที่ต้องทำ การประเมินความเสี่ยง เกณฑ์แจ้ง สคส. และเจ้าของข้อมูล หน้าที่ของผู้ประมวลผล การแจ้งความ และโทษปรับ

9 นาที กฎหมายธุรกิจ

พนักงานใช้ ChatGPT กับข้อมูลลูกค้า บริษัทต้องมีนโยบาย AI อะไรบ้าง

สำหรับเจ้าของและผู้บริหาร SME ที่พนักงานเริ่มวางข้อมูลลูกค้าและเอกสารงานลงในเครื่องมือ AI แล้ว แยกให้เห็นว่าอะไรคือหน้าที่ตามกฎหมาย (PDPA ความลับทางการค้า) อะไรคือแนวปฏิบัติที่ดี พร้อมเนื้อหานโยบายและข้อสัญญากับผู้ให้บริการ AI

10 นาที