หน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล

1. 1. จัดทำในการแจ้งรายละเอียดเกี่ยวกับการเก็บ รวบรวมใช้ และเปิดเผยข้อมูลส่วนบุคคล เช่น ประกาศเตือน (Privacy Notice) ต่างๆ เช่น การเตือนเรื่องกล้องวงจรปิด การประกาศคุ้มครองข้อมูลในด้านทรัพยากรบุคคล
2. 2. จัดทำมาตรการการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคล ตามมาตรฐานของนโยบายความมั่นคงปลอดภัย ซึ่งประกอบด้วย การเสริมสร้างความตระหนักรู้เกี่ยวกับความสำคัญของข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัย (privacy and security awareness) การควบคุมการเข้าถึงและใช้งาน (access control) และ การกำหนดสิทธิเข้าถึงและใช้งาน (authorization) อย่างเหมาะสม

2.1 ระบุความเสี่ยงสำคัญที่อาจจะเกิดขึ้นพิจารณา 3 ด้าน ลักษณะ ประเภทข้อมูลส่วนบุคคล (มีข้อมูลอ่อนไหวหรือไม่)  จำนวนข้อมูล และ ผลกระทบที่อาจจะเกิดขึ้น หากข้อมูลรั่วไหล

2.2 ทำ Access Control, การกำหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน และการจัดให้มีวิธีการเพื่อให้ตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง

2.3 ทบทวนมาตรการรักษาความมั่นคงปลอดภัย 3 ส่วนคือ บุคลากร กระบวนการ และ เทคโนโลยี

3. 3. การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

3.1 กำหนดระดับความเสี่ยง 3 ระดับ คือ ไม่เสี่ยง เสี่ยงน้อย เสี่ยงสูง

3.2 กำหนดแนวทางป้องกันความเสียหาย ผลกระทบที่อาจเกิดขึ้นในปัจจุบัน และอนาคต รวมถึงหาแนวทางการบรรเทาผลกระทบ

3.3 เมื่อทราบและประเมินความเสี่ยงแล้วว่ามีการละเมิด หรือข้อมูลรั่วไหล ต้องแจ้งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)ภายใน 72 ชั่วโมง กรณีเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลด้วย

4. 4. การจัดทำบันทึกรายการ (Record of Processing Activity : RoPA) ตามที่กฎหมายกำหนด เพื่อให้เจ้าของข้อมูลและสำนักงานสามารถตรวจสอบได้ ซึ่งวิธีการจัดทำบันทึกจะเป็นเอกสารกระดาษหรือระบบอิเล็กทรอนิกส์

ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้องค์กรมีหน้าที่ตามมาตรา 39

ในการจัดให้มีบันทึกรายการกิจกรรมอย่างน้อยดังต่อไปนี้ เพื่อให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสามารถตรวจสอบได้

(1) ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ซึ่งได้แก่คำอธิบายเกี่ยวกับประเภทของบุคคล (categories of individual) หรือประเภทของข้อมูลส่วนบุคคล (categories of personal data) ที่องค์กรทำการประมวลผล

(2) วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท

(3) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล ได้แก่ ชื่อ และรายละเอียดการติดต่อขององค์กรรวมถึงเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

(4) ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล

(5) สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลและเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้น

(6) การใช้หรือเปิดเผยตามมาตรา 27 วรรคสาม กล่าวคือ หากองค์กรใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24 หรือมาตรา 26 องค์กรต้องบันทึกการใช้หรือเปิดเผยนั้นไว้ในรายการตามมาตรา 39 ด้วย ซึ่งในทางปฏิบัติหมายความถึง

            (1) ให้ระบุฐานทางกฎหมายในการประมวลผล

(2) ให้ระบุการเปิดเผยข้อมูลส่วนบุคคลไปยังบุคคลภายนอก และ

(3) ให้ระบุการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

(7) การบันทึกรายละเอียดการปฏิเสธคำขอหรือการคัดค้านการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามมาตรา 30 วรรคสาม (สิทธิในการเข้าถึง) มาตรา 31 วรรคสาม (สิทธิในการขอให้โอนข้อมูล) มาตรา 32 วรรคสาม (สิทธิในการคัดค้านการประมวลผล) และมาตรา 36 วรรคหนึ่ง (สิทธิในการขอแก้ไขข้อมูลให้ถูกต้อง) ตามเงื่อนไขที่กฎหมายกำหนด

(8) คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1) โดยในการจัดทำบันทึกรายการกิจกรรมฯ หรือ Record of Processing Activities (ROPA)  องค์กรอาจจัดเตรียมบันทึกรายการกิจกรรมฯ โดยพิจารณาดังนี้

(1) องค์กรที่มีหน้าที่ต้องจัดให้มีการบันทึกรายการกิจกรรมฯ ต้องสอบทานในส่วนของวัตถุประสงค์การประมวลผล การเปิดเผยข้อมูลส่วนบุคคล และระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล

(2) องค์กรต้องสามารถให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตรวจสอบบันทึกรายการกิจกรรมฯ ได้

(3) บันทึกรายการกิจกรรมฯ ช่วยให้องค์กรสามารถปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลในประเด็นอื่นๆ ได้ดียิ่งขึ้น และช่วยสร้างธรรมาภิบาลของข้อมูล

(4) ทั้งผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล มีหน้าที่ในการจัดทำเอกสารบันทึกรายการกิจกรรมฯ

(5) การทำผังวงจรชีวิตของข้อมูลจะช่วยตรวจสอบกิจกรรมการประมวลผลข้อมูลส่วนบุคคลในองค์กรให้ถูกต้องเป็นปัจจุบัน

(6) บันทึกรายการกิจกรรมฯ ต้องมีความถูกต้องเป็นปัจจุบันและสะท้อนการประมวลผลข้อมูลส่วนบุคคลในองค์กร ดังนั้น เมื่อมีความเปลี่ยนแปลงเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลที่มีผลกระทบต่อความถูกต้องสมบูรณ์ของบันทึกรายการกิจกรรมอาทิ มีการโอนข้อมูลเพิ่มเติมไปยังองค์กรอื่น ๆ ทั้งในและต่างประเทศ หรือมีการขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล จึงต้องมีการแก้ไขบันทึกรายการกิจกรรมฯ ด้วยเป็นต้น

ในส่วนข้อแนะนำในการจัดทำบันทึกรายการกิจกรรมฯ มีข้อแนะนำเพิ่มเติมตามแนวปฏิบัติที่ดีของUK ICO ซึ่งเป็นหน่วยงานบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลของอังกฤษ ดังนี้

1) ในการทำบันทึกกิจกรรมฯ องค์กรควรดำเนินการ ดังนี้

1.1) ทบทวนการประมวลผลขององค์กรว่ามีการเก็บรวบรวมข้อมูลส่วนบุคคลประเภทใดบ้าง

1.2) มีการสอบทานข้อเท็จจริงกับบุคคลต่าง ๆ ในองค์กรเพื่อให้ได้ข้อมูลที่ถูกต้องเกี่ยวกับกิจกรรมการประมวลผล

1.3) ได้ทำการทบทวนนโยบาย แนวทางปฏิบัติ สัญญาหรือข้อตกลงซึ่งเกี่ยวข้องกับระยะเวลาการจัดเก็บข้อมูล มาตรการด้านความมั่นคงปลอดภัย และการเปิดเผยหรือการโอนข้อมูล

2) ในการจัดทำบันทึกรายการกิจกรรมฯ องค์กรได้ทำการเชื่อมโยงข้อมูลดังนี้

2.1) ข้อมูลที่ต้องแจ้งหรือเปิดเผยในประกาศความเป็นส่วนตัว (Privacy Notice)

2.2) บันทึกความยินยอม

2.3) ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล

2.4) แหล่งที่เก็บของข้อมูลส่วนบุคคล

2.5) การประเมินความเสี่ยงที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล

2.6) บันทึกเหตุการละเมิดข้อมูลส่วนบุคคล

2.7) องค์กรควรจัดทำบันทึกรายการกิจกรรมในรูปแบบอิเล็กทรอนิกส์ ซึ่งสามารถเพิ่มเติมลบออก และแก้ไขข้อมูลได้โดยง่าย

นอกจากนี้ ตามพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลยังอาจกำหนดเงื่อนไขบางประการเพิ่มเติมเกี่ยวกับการจัดทำบันทึกรายการกิจกรรมฯ ได้ดังนี้

(1) กำหนดยกเว้นให้ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการฯ กำหนดไม่ต้องจัดทำบันทึกรายการกิจกรรมฯ

(2) กำหนดให้ “ผู้ประมวลผลข้อมูลส่วนบุคคล” มีหน้าที่จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมฯ ตามหลักเกณฑ์และวิธีการที่คณะกรรมการฯ ประกาศกำหนด

ซึ่งในปัจจุบันได้มีประกาศคณะกรรมการฯ ตามข้อ (1) แล้ว ได้แก่ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 ซึ่งเมื่อพิจารณาคู่มือปฏิบัติงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ แล้วพบว่า ประกาศฉบับดังกล่าวไม่เกี่ยวข้องกับบริษัทฯ เนื่องจากบริษัทฯ ไม่อยู่ในลักษณะของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก ที่กฎหมายกำหนดให้มีการยกเว้นการดำเนินการตามมาตรา 39 วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8) ในเรื่องการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลแต่อย่างใด