จากบทความก่อนหน้า DOs & DON’Ts 8 ข้อ ที่องค์กรห้ามพลาดให้ถูกต้องตามหลัก PDPA นอกจากจะทำให้เรารู้จัก PDPA มากขึ้นแล้ว ในบทความนี้เราจะกล่าวถึงเอกสารและแผนการดำเนินงานที่ถูกต้อง ซึ่งองค์กรที่อยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และองค์กรที่อยู่ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล ต้องจัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Records of Processing Activity : ROPA)
เลือกอ่านหัวข้อที่คุณสนใจ
ROPA คืออะไร ?
การบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ว่าองค์กรนั้นมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลใดบ้างใเพื่อวัตถุประสงค์อะไร และอ้างอิงฐานทางกฎหมายใดบ้างในการประมวลผลดังกล่าว ทั้งนี้ การจัดทำ ROPA ก็มีขึ้นเพื่อให้ง่ายต่อการตรวจสอบเมื่อมีการละเมิดข้อมูลส่วนบุคคล และเป็นสิ่งที่ละเลยไม่ได้ เนื่องจาก ROPA เป็นหนึ่งในข้อกำหนดของกฎหมาย PDPA ที่ทุกองค์กรต้องปฏิบัติตาม หากเข้าเงื่อนไขที่กฎหมายกำหนด มิฉะนั้น อาจจะถือว่าองค์กรนั้นไม่ปฏิบัติตามกฎหมาย และมีความเสี่ยงในการโดนโทษทางกฎหมายตามมานั่นเอง
บทบาทใดที่ต้องจัดทำ ROPA บ้าง
ในการจัดทำบันทึกรายการกิจกรรมการประมวลผลนั้น บทบาทที่สำคัญตามกฎหมาย PDPA มีอยู่ 2 บทบาทด้วยกัน ได้แก่
- ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) คือ บุคคล หรือนิติบุคคล ซึ่งมีอำนาจหน้าที่ในการตัดสินใจ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
- ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) คือ บุคคล หรือ นิติบุคคล ซึ่งดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผย ตามคำสั่ง หรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล
โดยแต่ละบทบาทนั้น แม้ว่าจะต้องจัดทำ ROPA เช่นเดียวกัน แต่ก็มีรายละเอียดปลีกย่อยที่ต้องทำต่างกัน เนื่องจากหน้าที่และความรับผิดชอบในการดูแลข้อมูลส่วนบุคคลแตกต่างกันตามที่ PDPA กำหนด
กฎหมายกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลทำ ROPA
ตามพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ได้กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล บันทึกรายการเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ เพื่อให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานสามารถตรวจสอบได้ โดยจะต้องบันทึกรายการอย่างน้อยดังต่อไปนี้
- ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม
- วัตถุประสงค์ของการเก็บข้อมูลส่วนบุคคลแต่ละประเภท
- ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล
- ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล
- สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมถึงเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลและเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้นๆ
- การใช้หรือการเปิดเผยข้อมูลส่วนบุคคลที่ได้รับการยกเว้นไม่ต้องขอความยินยอม
- การปฏิเสธคำขอหรือการคัดค้านเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล
- คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัย
กฎหมายกำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลทำ ROPA
ผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้ โดยให้มีรายละเอียดตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่องหลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565 ซึ่งต้องมีรายละเอียดอย่างน้อย ดังต่อไปนี้
- ชื่อและข้อมูลเกี่ยวกับผู้ประมวลผลข้อมูลส่วนบุคคล (และตัวแทนของผู้ประมวลผลข้อมูลส่วนบุคคลในกรณีที่มีการแต่งตั้งตัวแทน)
- ชื่อและข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล ที่ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลนั้น (และตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลในกรณีที่มีการแต่งตั้งตัวแทน)
- ชื่อและข้อมูลเกี่ยวกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล รวมถึงสถานที่และวิธีการติดต่อในกรณีที่ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
- ประเภทหรือลักษณะของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการตามคำสั่ง หรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งรวมถึงข้อมูลส่วนบุคคลและวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคล
- ประเภทของบุคคลหรือหน่วยงานที่ได้รับข้อมูลส่วนบุคคล ในกรณีที่มีการส่ง หรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ
- คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัย
หลังจากที่ได้อ่านกันจนจบแล้ว เราหวังว่าทุกคนจะเข้าใจ PDPA และ ROPA มากขึ้น และลดความเสี่ยงที่จะมีการดำเนินการใดๆที่อาจจะขัดต่อกฎหมาย หรือไม่เป็นไปตาม PDPA และเรายังมี Services เกี่ยวกับ PDPA อีก ได้แก่
- PDPA Customized Document: การจัดทำและตรวจสอบเอกสารต่างๆ ที่เกี่ยวข้องกับ PDPA ทั้งภาษาไทย และภาษาอังกฤษ
- PDPA Awareness Training: การจัดฝึกอบรมให้กับพนักงานและบุคลากรภายในบริษัทของท่าน ทั้งภาษาไทยและภาษาอังกฤษ พร้อมใบรับรองการอบรมหลักสูตร Certified by Predictive
- PDPA Consultation: ให้คำปรึกษาด้านกฎหมาย PDPA เพื่อให้องค์กรของท่านปรับเปลี่ยนกระบวนการภายในให้สอดคล้องตามที่กฎหมายกำหนด
ซึ่งทั้ง 3 Services นี้ ดำเนินการโดยทีมนักกฎหมายที่เชี่ยวชาญด้าน PDPA และได้รับการรับรองเป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) จากองค์กรชั้นนำในประเทศ หากใครมีข้อสงสัย สามารถติดต่อ Predictive ได้เลย และเรายินดีให้คำปรึกษาเบื้องต้นโดยไม่มีค่าใช้จ่าย