10 หลักฐานที่พิสูจน์ว่าองค์กรทำ PDPA จริง และวิธีตรวจแต่ละชุด

สำหรับประเด็น “10 หลักฐาน PDPA” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• มีนโยบายลบแต่ไม่มีผลดำเนินการ ต้องหาหลักฐานว่าระบบลบจริง
• มีลายเซ็นอบรมแต่พนักงานไม่รู้ช่องแจ้งเหตุ ต้องทดสอบความเข้าใจ
• มี DPO บนผังแต่ติดต่อผู้บริหารไม่ได้ ต้องตรวจทรัพยากรและการทำงานตามบทบาท

ควรตัดสินใจตามลำดับใด

เริ่มจากหน้าที่ที่กิจกรรมต้องทำ แล้วเลือกหลักฐานแสดงการออกแบบ การปฏิบัติและการตรวจทวน ถ้ายังไม่มีเหตุการณ์จริงให้ระบุเป็นผลทดสอบ ไม่สร้างบันทึกเหตุหรือคำขอที่ไม่เคยเกิดขึ้น

10 หลักฐาน PDPA ที่ควรตรวจจากงานจริง

1. ทะเบียนกิจกรรม / 2. เหตุผลฐานกฎหมาย

ทะเบียนต้องตรงกับระบบที่ใช้จริงและมีผู้ยืนยัน ส่วนฐานกฎหมายต้องมีเหตุผลรายวัตถุประสงค์ รวมการแยกข้อมูลอ่อนไหว

3. Notice / 4. ประวัติความยินยอม

เก็บเวอร์ชันและจุดแสดง หากใช้ความยินยอมต้องรู้ข้อความที่เห็น การเลือกและการถอน ไม่เก็บแต่ค่า yes โดยไม่รู้ว่าตกลงเรื่องใด

5. สิทธิผู้ใช้ / 6. การกำกับคู่ค้า

มีรายการสิทธิและผลทบทวน รวมการปิดบัญชีผู้พ้นงาน ส่วนคู่ค้าต้องมีขอบเขตคำสั่งและผลตรวจตามความเสี่ยง

7. คำขอใช้สิทธิ / 8. เหตุละเมิด

บันทึกรับเรื่อง การตรวจตัวตนที่พอเหมาะ การตัดสินใจและการส่งคำตอบ ส่วนเหตุละเมิดเก็บลำดับเวลา ความเสี่ยงและการแจ้งหรือเหตุไม่แจ้ง

9. การเก็บและลบ / 10. การกำกับติดตาม

กำหนดระยะเก็บพร้อมผลลบและข้อยกเว้นที่ทบทวนได้ ส่วนการกำกับต้องมีคนรับผิดชอบ ทรัพยากร ผลอบรมหรือซ้อม และรายการแก้ข้อบกพร่องที่ตรวจปิดจริง

ฐานกฎหมายและขอบเขตที่ต้องแยก

กลุ่มหลักฐานเชื่อมกับมาตรา 19, 23, 24, 26, 30 ถึง 37 และ 39 ถึง 42 ตามกิจกรรม ต้องตรวจเงื่อนไขของแต่ละหน้าที่ ไม่สรุปว่าทุกองค์กรต้องมีเอกสารทุกชื่อในรายการเดียวกัน

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

หลักฐานที่สร้างภายหลังโดยไม่ระบุวันจริงอาจลดความน่าเชื่อถือและก่อปัญหาเพิ่ม ต้องแยกเอกสารที่มีในเวลาเกิดเหตุกับเอกสารปรับปรุงใหม่ การส่งหลักฐานให้ผู้ตรวจต้องจำกัดข้อมูลบุคคลที่ไม่เกี่ยวข้องด้วย

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• สารบัญหลักฐานที่เชื่อมกิจกรรม หน้าที่ เจ้าของงานและที่เก็บ
• เอกสารต้นฉบับพร้อมเวอร์ชันและประวัติแก้ไข
• ตัวอย่างดำเนินงานที่ปกปิดข้อมูลเกินจำเป็น
• ผลตรวจทวนและรายการช่องว่างที่ยังเปิดอยู่

จุดที่ควรตรวจเพิ่มคือสารบัญหลักฐานที่เชื่อมกิจกรรม หน้าที่ เจ้าของงานและที่เก็บ เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

เริ่มตรวจจากรายการจริง

เลือกธุรกรรมที่เกิดขึ้นจริงและตามเส้นทางข้อมูลจากจุดเก็บไปจนผู้รับปลายทาง ให้เจ้าของงานอธิบายประกอบหลักฐาน หากขั้นตอนใดไม่มีหลักฐาน อย่าเติมคำตอบแทน ให้บันทึกช่องว่างและผลที่อาจเกิดก่อนกำหนดวิธีแก้

ให้ผู้ที่รู้ข้อเท็จจริงรับรอง

การลงนามควรระบุว่าใครตรวจอะไรและอาศัยหลักฐานใด เจ้าของกระบวนงานรับรองวิธีทำงาน ฝ่ายเทคนิคยืนยันระบบ และฝ่ายกฎหมายให้ความเห็นในขอบเขตที่ตรวจ ไม่ใช้ลายเซ็นผู้บริหารแทนการตรวจรายละเอียดทั้งหมด

ปิดข้อบกพร่องด้วยผลตรวจ

หลังแก้เอกสารหรือระบบ ให้ตรวจซ้ำเฉพาะสิ่งที่เปลี่ยนและเก็บผลว่าข้อบกพร่องถูกแก้แล้ว หากยังทำไม่ได้ให้บันทึกเหตุผล มาตรการชั่วคราว ผู้รับผิดชอบและวันติดตาม การใส่สถานะเสร็จโดยไม่มีผลตรวจทำให้สารบัญหลักฐานคลาดเคลื่อน

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	รวบรวมหลักฐานตามกิจกรรมเสี่ยงสูงหนึ่งงาน	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ตรวจว่าเอกสารแต่ละชุดพิสูจน์ข้อใดได้จริง	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ซ้อมนำเสนอหลักฐานและให้เจ้าของงานแก้ส่วนที่ตอบไม่ได้	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

การสะสมไฟล์จำนวนมากโดยไม่มีสารบัญและช่วงเวลาทำให้หาหลักฐานไม่เจอเมื่อถูกถาม ควรเก็บเท่าที่จำเป็นและจัดความสัมพันธ์ให้ตรวจได้

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียน ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่านมี Privacy Notice ครบแล้ว ทำไมยังไม่พร้อมให้ตรวจ PDPA และองค์กรแบบใดต้องมี DPO ตรวจเกณฑ์มาตรา 41 ก่อนแต่งตั้ง

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านตรวจคู่ค้าก่อนส่งข้อมูลพนักงานหรือลูกค้า ต้องขอหลักฐานอะไรประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

อ่านต่อ: สิทธิและแนวปฏิบัติในสถานการณ์ที่เกี่ยวข้อง

• PDPA Certification 2569 คืออะไร ใครขอได้และต้องเตรียมอะไร

ข้อกฎหมายที่เกี่ยวข้อง

กลุ่มหลักฐานเชื่อมกับมาตรา 19, 23, 24, 26, 30 ถึง 37 และ 39 ถึง 42 ตามกิจกรรม ต้องตรวจเงื่อนไขของแต่ละหน้าที่ ไม่สรุปว่าทุกองค์กรต้องมีเอกสารทุกชื่อในรายการเดียวกัน

คำถามที่พบบ่อย

รายการ 10 กลุ่มเป็นแบบบังคับของ สคส. หรือไม่

ไม่ใช่ เป็นกรอบจัดหลักฐานเชิงปฏิบัติ ต้องเทียบกับหน้าที่ตามกฎหมายและกิจกรรมจริงขององค์กร

ไม่มีเหตุรั่วต้องทำบันทึกว่าไม่มีทุกวันไหม

ไม่ควรสร้างภาระโดยไม่มีเหตุ ควรมีระบบตรวจรับเหตุและหลักฐานทดสอบตามความเสี่ยงแทนแต่งเหตุการณ์

หลักฐานทุกอย่างต้องเก็บตลอดไปไหม

ไม่จำเป็น ต้องกำหนดระยะตามวัตถุประสงค์ หน้าที่และความจำเป็นของสิทธิเรียกร้อง พร้อมจำกัดสิทธิและทบทวน

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ