10 จุดอันตรายใน DPA ที่ควรแก้ก่อนส่งข้อมูลให้คู่ค้า

สำหรับประเด็น “จุดอันตรายใน DPA” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• สัญญาหลักรับผิดตามความเสียหาย แต่เงื่อนไขออนไลน์จำกัดเหลือค่าบริการเดือนเดียว ต้องแก้ลำดับเอกสาร
• คู่ค้าแจ้งเหตุเมื่อสอบสวนเสร็จ ทำให้องค์กรอาจไม่มีข้อมูลพอแจ้งภายในกรอบกฎหมาย
• คู่ค้าขอใช้ข้อมูลปรับปรุงบริการโดยไม่กำหนดขอบเขต อาจครอบคลุมการใช้เพื่อวัตถุประสงค์ของคู่ค้าเอง

ควรตัดสินใจตามลำดับใด

ทำเครื่องหมายทุกข้อที่ให้สิทธิใช้ ส่งต่อ เก็บต่อ หรือปฏิเสธความช่วยเหลือ แล้วทดสอบด้วยเหตุจำลองว่าหากข้อมูลรั่ววันนี้ องค์กรจะสั่งหยุด ขอหลักฐาน และติดต่อใครได้ ถ้าคำตอบขึ้นกับดุลพินิจคู่ค้าทั้งหมด ให้เจรจาเงื่อนไขนั้นก่อนส่งข้อมูล

10 จุดอันตรายใน DPA ที่ต้องตรวจคู่สัญญาหลัก

1. วัตถุประสงค์กว้างเกินงานจ้าง

จำกัดการใช้เพื่อให้บริการที่ระบุ หากมีการวิเคราะห์เพื่อประโยชน์ของผู้ให้บริการ ให้แยกฐานกฎหมายและบทบาท

2. เปลี่ยนคำสั่งฝ่ายเดียว

กำหนดวิธีอนุมัติการเปลี่ยนบริการและบันทึกคำสั่ง ไม่ให้นโยบายบนเว็บแก้สิทธิสำคัญโดยไม่มีการแจ้ง

3. ไม่เปิดเผยผู้รับช่วง

ขอรายชื่อ หน้าที่ ประเทศ และกลไกแจ้งเปลี่ยนที่เปิดโอกาสให้องค์กรประเมินก่อน

4. แจ้งเหตุเมื่อยืนยันครบเท่านั้น

กำหนดให้แจ้งข้อมูลเบื้องต้นอย่างรวดเร็วและทยอยเพิ่มข้อเท็จจริง โดยไม่ต้องรอรู้จำนวนผู้เสียหายทั้งหมด

5. ความปลอดภัยมีแต่คำกว้าง

แนบมาตรการที่ตรวจได้ เช่น สิทธิผู้ดูแล การเข้ารหัส และระยะเวลาจัดการช่องโหว่ตามระดับความเสี่ยง

6. ขอหลักฐานไม่ได้

วางสิทธิตรวจรายงานและตรวจเพิ่มเติมเมื่อเกิดเหตุ พร้อมวิธีปกป้องข้อมูลลูกค้ารายอื่น

7. ไม่ช่วยตอบคำขอใช้สิทธิ

ระบุวิธีค้น ส่งออก แก้ไข และลบ พร้อมผู้ติดต่อและเวลาภายในที่เผื่อให้องค์กรตอบเจ้าของข้อมูล

8. โอนต่างประเทศได้เสรี

ต้องตรวจผู้รับจริงและกลไกตามมาตรา 28 หรือ 29 แยกจากการเซ็น DPA

9. คืนข้อมูลได้เฉพาะรูปแบบที่ใช้ต่อไม่ได้

ทดสอบการส่งออกและกำหนดค่าใช้จ่ายไว้ก่อน รวมถึงวิธีจัดการสำรองหลังย้ายระบบ

10. เพดานรับผิดกลืนหน้าที่ทุกอย่าง

แยกการชดใช้ ค่าใช้จ่ายช่วยเหลือ และข้อยกเว้นเพดานให้ชัด การตกลงชดใช้ค่าปรับต้องตรวจความชอบด้วยกฎหมายเป็นรายกรณี

ฐานกฎหมายและขอบเขตที่ต้องแยก

มาตรา 40 วรรคหนึ่งผูกการประมวลผลกับคำสั่งของผู้ควบคุม และวรรคสองให้ถือผู้ประมวลผลที่ไม่ทำตามคำสั่งเป็นผู้ควบคุมสำหรับการนั้น ข้อตกลงตามวรรคสามต้องทำให้หน้าที่ปฏิบัติได้จริง ไม่ใช่เขียนเพียงว่าจะทำตาม PDPA

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

ถ้าสัญญาตรวจเหตุไม่ได้ องค์กรอาจชี้แจงหน้าที่ของตนไม่ครบ แม้มีข้อความว่าคู่ค้ารับผิดทั้งหมด การใช้ข้อมูลนอกคำสั่งอาจเปลี่ยนบทบาทของคู่ค้า แต่ไม่ทำให้หน้าที่ที่องค์กรฝ่าฝืนอยู่แล้วหายไป

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• ตารางข้อสัญญาที่ขอแก้พร้อมเหตุผลและข้อเสนอทดแทน
• สัญญาหลัก DPA เงื่อนไขออนไลน์ที่บันทึกวันและเวอร์ชัน
• หลักฐานการยอมรับข้อยกเว้นโดยผู้มีอำนาจ พร้อมมาตรการชดเชย
• ผลทดลองขอรายงานเหตุและส่งออกข้อมูล

จุดที่ควรตรวจเพิ่มคือตารางข้อสัญญาที่ขอแก้พร้อมเหตุผลและข้อเสนอทดแทน เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

คนที่ต้องร่วมตัดสินใจ

เจ้าของบริการควรยืนยันว่าข้อมูลใดต้องส่งและผลหากระบบหยุด ฝ่ายเทคนิคตรวจว่ามาตรการทำงานจริง ฝ่ายจัดซื้อรักษาเงื่อนไขที่ตกลง ส่วนฝ่ายกฎหมายตรวจบทบาทและสิทธิ อย่าให้การรับรองของแผนกเดียวครอบข้อเท็จจริงที่แผนกนั้นไม่ได้ตรวจ

แยกสิ่งที่ทราบกับสิ่งที่คู่ค้ายังไม่ตอบ

ในบันทึกตรวจให้ระบุข้อเท็จจริงที่มีหลักฐาน ข้อมูลที่ยังรอ และผลต่อการตัดสินใจแยกกัน หากต้องเปิดใช้งานก่อนแก้ครบ ให้จำกัดข้อมูลหรือสิทธิ พร้อมผู้อนุมัติและวันทบทวนที่ชัดเจน การเงียบของคู่ค้าไม่ใช่การยืนยันว่าความเสี่ยงไม่มี

ตรวจภาคปฏิบัติก่อนถือว่าปิดงาน

ให้ทีมที่ต้องลงมือสาธิตขั้นตอนสำคัญด้วยข้อมูลทดสอบ บันทึกผลที่ทำได้และข้อจำกัด หากเอกสารสัญญารับรองมากกว่าระบบทำได้ ต้องแก้ทั้งเงื่อนไขและวิธีปฏิบัติ ไม่ทำเครื่องหมายผ่านเพียงเพราะมีลายเซ็นครบ

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	อ่านสัญญาทุกฉบับและจัดลำดับว่าเอกสารใดชนะเมื่อข้อความขัดกัน	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ส่งข้อแก้ที่กระทบการแจ้งเหตุและสิทธิข้อมูลให้คู่ค้าตอบเป็นลายลักษณ์อักษร	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ทดสอบข้อสัญญาที่ตกลงแล้วกับทีมปฏิบัติงานของคู่ค้า	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าให้คะแนนผ่านเพราะ DPA ยาวหรือใช้ศัพท์ต่างประเทศครบ หากคู่ค้าปฏิเสธแก้ ต้องบันทึกว่ารับความเสี่ยงข้อใด ใครอนุมัติ และมีทางเลือกอื่นอย่างไร

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในคู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบ ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่านร่าง DPA ต้องมีข้อใดบ้าง ขอบเขตที่ทำให้สัญญาใช้งานได้จริง และข้อจำกัดความรับผิดและชดใช้ค่าเสียหายใน DPA ใช้ได้แค่ไหนในไทย

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียนประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA รวมถึงข้อสัญญากับคู่ค้า สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

ข้อกฎหมายที่เกี่ยวข้อง

มาตรา 40 วรรคหนึ่งผูกการประมวลผลกับคำสั่งของผู้ควบคุม และวรรคสองให้ถือผู้ประมวลผลที่ไม่ทำตามคำสั่งเป็นผู้ควบคุมสำหรับการนั้น ข้อตกลงตามวรรคสามต้องทำให้หน้าที่ปฏิบัติได้จริง ไม่ใช่เขียนเพียงว่าจะทำตาม PDPA

คำถามที่พบบ่อย

เจอข้อเสียเปรียบต้องเลิกเจรจาทันทีหรือไม่

ไม่จำเป็น ควรจัดลำดับผลกระทบและเสนอข้อทดแทน แต่เงื่อนไขที่ทำให้ปฏิบัติหน้าที่ตามกฎหมายไม่ได้ต้องแก้ก่อนใช้งาน

คู่ค้าใช้สัญญามาตรฐานแก้ไม่ได้ทำอย่างไร

ขอภาคผนวกหรือคำรับรองที่มีผลผูกพัน และพิจารณาลดข้อมูลหรือเลือกบริการอื่น หากยังแก้ความเสี่ยงไม่ได้

ISO ใช้แทนข้อสัญญาความปลอดภัยได้ไหม

ไม่ได้ ใบรับรองเป็นหลักฐานประกอบ ต้องตรวจขอบเขตและมาตรการของบริการที่ซื้อจริงด้วย

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ