ข้อมูลนิรนาม ลบชื่อแล้วพ้น PDPA จริงหรือไม่

ข้อมูลนิรนามต้องพิจารณาว่ายังระบุตัวบุคคลได้หรือไม่ ทั้งทางตรงและทางอ้อม การลบชื่อออกจากตารางจึงยังไม่ใช่คำตอบสุดท้าย ก่อนส่งรายงานสถิติให้คู่ค้าหรือเผยแพร่ บริษัทควรตรวจข้อมูลประกอบที่ผู้รับอาจนำมาเชื่อมกลับด้วย

ข้อมูลนิรนามต่างจากข้อมูลที่แค่ลบชื่ออย่างไร?

ข้อมูลที่ลบชื่อแล้วอาจยังเป็นข้อมูลส่วนบุคคล หากข้อมูลที่เหลือหรือข้อมูลอื่นที่เชื่อมกันทำให้ระบุตัวบุคคลได้ การทำข้อมูลนิรนามต้องจัดการตัวระบุโดยตรงและประเมินความเสี่ยงระบุกลับทางอ้อมอย่างเหมาะสม จึงไม่ควรรับรองสถานะจากวิธีทางเทคนิคเพียงชื่อเดียว

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6 นิยามข้อมูลส่วนบุคคลครอบคลุมข้อมูลที่ระบุตัวบุคคลได้โดยตรงหรือโดยอ้อม ตารางที่ไม่มีชื่อแต่มีวันเกิด ตำแหน่งเฉพาะ และสถานที่ทำงานจึงอาจยังบอกได้ว่าเป็นใคร โดยต้องดูบริบทและข้อมูลที่นำมาใช้ร่วมกัน

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ข้อ 6 กำหนดให้จัดการตัวระบุทางตรงและดำเนินการเพิ่มเติมเพื่อลดโอกาสระบุทางอ้อมให้อยู่ในระดับต่ำเพียงพอ โดยคำนึงถึงเทคโนโลยี บริบท ทรัพยากร และความสามารถของผู้ที่อาจต้องการระบุกลับ

ตัวอย่างสมมติ: บริษัททำรายงานสุขภาพพนักงานโดยลบชื่อ แต่แสดงแผนก ตำแหน่ง อายุ และผลตรวจในแผนกที่มีพนักงานคนเดียว ผู้รับซึ่งรู้โครงสร้างองค์กรอาจระบุตัวได้ รายงานจึงไม่ควรถูกเรียกว่านิรนามเพียงเพราะไม่มีชื่อ ควรลดรายละเอียด รวมกลุ่ม หรือไม่แสดงรายการที่เสี่ยง พร้อมทดสอบอีกครั้ง

การแทนชื่อด้วยรหัสและเก็บตารางจับคู่ไว้ช่วยลดการเปิดเผย แต่ถ้ายังเชื่อมกลับได้ต้องประเมินต่อ ไม่ถือว่าสิ้นหน้าที่ PDPA โดยอัตโนมัติ อ่าน แนวทางจัดหลักฐาน PDPA เพื่อเก็บวิธีดำเนินการ ผลทดสอบ และเหตุผลอนุมัติชุดข้อมูลให้ตรวจย้อนกลับได้

ถ้าข้อมูลยังเชื่อมกลับได้ ควรเลือกวิธีจัดการอย่างไร?

• ถ้ามีตัวระบุโดยตรง เช่น หมายเลขลูกค้าหรืออีเมล ให้ตรวจการลบหรือจัดการให้ปราศจากตัวระบุตามวัตถุประสงค์ ไม่ตรวจเฉพาะคอลัมน์ชื่อ
• ถ้ากลุ่มย่อยมีคนจำนวนน้อย ให้พิจารณารวมกลุ่ม ลดความละเอียด หรือไม่แสดงบางรายการตามความเสี่ยง
• ถ้ามีข้อความอิสระ ให้ตรวจรายละเอียดที่บอกตัวบุคคลในเนื้อหา แม้ส่วนหัวตารางจะผ่านการปิดข้อมูลแล้ว
• ถ้าผู้รับมีฐานข้อมูลอื่นที่เชื่อมได้ ให้ประเมินจากบริบทของผู้รับและขอบเขตเผยแพร่จริง
• ถ้าต้องเก็บกุญแจหรือแฟ้มจับคู่เพื่อใช้งาน ให้จำกัดสิทธิและคงการควบคุมแบบข้อมูลส่วนบุคคลจนกว่าจะมีเหตุรองรับสถานะอื่น

การตั้งเกณฑ์ว่าทุกกลุ่มต้องมีอย่างน้อยจำนวนหนึ่งอาจเป็นมาตรการภายใน แต่ไม่มีตัวเลขเดียวที่ทำให้ทุกชุดข้อมูลปลอดภัยตามกฎหมาย หากทุกคนในกลุ่มมีลักษณะอ่อนไหวเหมือนกัน หรือมีข้อมูลสาธารณะช่วยเชื่อม จำนวนคนมากขึ้นก็อาจยังไม่ลดความเสี่ยงพอ

ควรแยกข้อมูลต้นฉบับ ชุดสำหรับทดสอบ และชุดที่อนุมัติให้ส่งออกอย่างชัดเจน การทำชุดปลายทางให้ระบุกลับยากไม่ได้ทำให้ต้นฉบับที่องค์กรเก็บอยู่พ้นจากหน้าที่ตามกฎหมาย

เลนส์ทนายยอดทิพย์ธรรม: ชื่อวิธีไม่แทนผลที่ตรวจได้

คนมักเข้าใจว่า: เข้ารหัส แฮช หรือเปลี่ยนชื่อเป็นเลขแล้วข้อมูลจะเป็นนิรนามทันที และสามารถส่งให้บุคคลทั่วไปได้โดยไม่ตรวจฐานหรือขอบเขตการเปิดเผยอีก

กฎหมายมองว่า: ต้องดูความสามารถระบุตัวบุคคลและมาตรการตามบริบท การทำข้อมูลนิรนามเป็นกระบวนการที่ต้องมีผลเพียงพอ ไม่ใช่สถานะที่เกิดจากการตั้งชื่อไฟล์ว่า anonymous หรือการใช้เครื่องมือประเภทใดประเภทหนึ่ง

จุดเสี่ยงจริง: ผู้จัดทำทดสอบเฉพาะจากมุมที่ตนไม่มีข้อมูลเสริม แต่ผู้รับรู้รายชื่อหรือเหตุการณ์เฉพาะอยู่แล้ว ควรให้ผู้ตรวจที่เข้าใจบริบทของผู้รับประเมินด้วย และบันทึกข้อจำกัดของผลทดสอบแทนการรับรองว่าไม่มีทางระบุกลับได้ตลอดไป

มองสองฝั่ง: ผู้จัดทำสถิติกับผู้รับข้อมูล

ข้อตกลงห้ามระบุกลับเป็นมาตรการประกอบที่มีประโยชน์ แต่ไม่ทำให้ชุดข้อมูลที่ระบุตัวบุคคลได้อยู่แล้วกลายเป็นนิรนามโดยอัตโนมัติ

ต้องตรวจเมื่อไร และเก็บข้อมูลต้นฉบับต่อได้แค่ไหน?

ตรวจชุดข้อมูลก่อนส่งออกหรือเผยแพร่ และทบทวนเมื่อเพิ่มฟิลด์ เปลี่ยนผู้รับ หรือมีข้อมูลเสริมที่ทำให้ระบุกลับง่ายขึ้น ตัวอย่างกำหนดตรวจทุกไตรมาสเป็นแผนภายในที่เลือกใช้ได้ตามความเสี่ยง ไม่ใช่รอบเวลาบังคับเดียวสำหรับทุกกิจกรรม

ข้อมูลต้นฉบับยังต้องมีวัตถุประสงค์ ฐาน และระยะเวลาเก็บของตนเอง มาตรา 37 (3) กำหนดหน้าที่จัดระบบตรวจเพื่อลบหรือทำลายตามเงื่อนไข การทำรายงานสถิติแล้วไม่ใช่เหตุให้เก็บต้นฉบับได้ไม่จำกัดเวลา

หากเป็นการดำเนินการตามคำขอใช้สิทธิลบ ต้องตรวจมาตรา 33 และกฎเฉพาะเรื่องสิทธิประกอบ โดยเฉพาะประกาศ พ.ศ. 2567 ข้อ 7 ซึ่งมีกรณีข้อมูลถูกเก็บ ใช้ หรือเปิดเผยโดยไม่ชอบที่ต้องลบหรือทำลายตามเงื่อนไข ไม่สามารถเลือกทำให้นิรนามแทนได้เสมอ บทความนี้จึงไม่ใช้การทำสถิติมาเป็นข้อยกเว้นตอบคำขอลบทุกกรณี

งบทดสอบข้อมูลนิรนามคิดอย่างไรให้ตรงงาน?

ตัวอย่างสมมติ: ตรวจชุดข้อมูล 4 ชุด × 2,000 บาท = 8,000 บาท ปรับวิธีรวมกลุ่ม 4,000 บาท และทดสอบก่อนส่งออก 3,000 บาท รวม 15,000 บาท เป็นตัวอย่างต้นทุนโครงการ ไม่ใช่ราคาบริการหรือค่าธรรมเนียมตามกฎหมาย

ขอบเขตงานควรบอกว่าทดสอบกับข้อมูลเสริมแบบใด ผู้รับกลุ่มไหน และเวอร์ชันใด หากเพิ่มรายละเอียดหลังตรวจแล้ว ผลประเมินเดิมอาจไม่ครอบคลุม ค่าใช้จ่ายควรรวมการทดสอบซ้ำในจุดที่เปลี่ยนจริง

การลดรายละเอียดอาจทำให้ประโยชน์ทางสถิติลดลง จึงควรให้เจ้าของงานระบุความละเอียดขั้นต่ำที่จำเป็นก่อน ไม่เก็บรายละเอียดทุกอย่างไว้เพียงเพราะเผื่อใช้งานในอนาคต หรือรับรองความปลอดภัยเกินกว่าสิ่งที่ทดสอบ

หลักฐานการทำข้อมูลนิรนามควรเก็บอะไร?

• วัตถุประสงค์ ผู้รับ และขอบเขตเผยแพร่ของชุดข้อมูล
• รายการฟิลด์ ตัวระบุโดยตรง ตัวระบุทางอ้อม และข้อความอิสระ
• วิธีแปลงข้อมูล รุ่นของขั้นตอน และตัวอย่างผลที่ไม่เปิดเผยข้อมูลจริงเกินจำเป็น
• บริบทข้อมูลเสริมที่พิจารณา ผลทดสอบ และข้อจำกัดที่ยังเหลือ
• การแยกต้นฉบับ แฟ้มจับคู่ และชุดส่งออก พร้อมสิทธิผู้เข้าถึง
• ผู้อนุมัติ วันส่งออก เงื่อนไขใช้ และเหตุที่ต้องทบทวนใหม่

เก็บผลทดสอบในรูปที่ตรวจซ้ำได้ แต่ไม่สร้างแฟ้มตัวอย่างที่เปิดเผยตัวบุคคลเพิ่มโดยไม่มีมาตรการ หากใช้เพื่อทดสอบระบบ อ่าน แนวทางใช้ข้อมูลในสภาพแวดล้อมทดสอบ เพื่อแยกประเด็นฐานการใช้กับประเด็นความปลอดภัยของระบบ

สัญญาและความลับทางธุรกิจยังต้องตรวจหรือไม่?

แม้ชุดข้อมูลผ่านการประเมินว่าไม่ระบุตัวบุคคลแล้ว ก็ยังอาจมีข้อจำกัดตามสัญญาหรือความลับทางธุรกิจ ตรวจ กฎหมายธุรกิจและสัญญา เรื่องสิทธิใช้ต่อ การส่งต่อ และขอบเขตเปิดเผยก่อนนำรายงานออกนอกองค์กร

หากมีข้อพิพาทจากการเปิดเผยรายงาน ต้องเก็บชุดที่เผยแพร่จริงและหลักฐานว่าผู้รับได้ข้อมูลใดไป งาน คดีแพ่ง ต้องพิจารณาความเสียหายและความสัมพันธ์ของเหตุเป็นรายกรณี ไม่ถือว่าการไม่มีชื่อในรายงานตัดความรับผิดทุกเรื่อง

ทางไปต่อ: อนุมัติชุดข้อมูลจากความเสี่ยงระบุกลับ

1. กำหนดประโยชน์ที่ต้องการและความละเอียดที่จำเป็น
2. ตรวจตัวระบุทุกชนิด รวมถึงข้อความและข้อมูลเสริม
3. เลือกวิธีลดการระบุกลับและทดสอบกับบริบทผู้รับ
4. จัดสิทธิ ต้นฉบับ และข้อตกลงให้ตรงกับผลประเมิน
5. อนุมัติเฉพาะรุ่นที่ตรวจแล้วและทบทวนเมื่อข้อมูลหรือผู้รับเปลี่ยน

ควรขอความช่วยเหลือเมื่อมีข้อมูลสุขภาพ กลุ่มคนจำนวนน้อย ผู้รับมีฐานเสริม หรือจะเผยแพร่สาธารณะ สามารถ ติดต่อทีมงาน เพื่อหารือ บริการด้าน PDPA และ ตรวจการใช้ข้อมูลขององค์กร โดยเริ่มจากโครงสร้างข้อมูลที่ไม่ใส่ตัวบุคคลจริง

แหล่งกฎหมาย: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และ ประกาศหลักเกณฑ์ลบ ทำลาย หรือทำข้อมูลนิรนาม พ.ศ. 2567 ฉบับราชกิจจานุเบกษาที่มหาวิทยาลัยเชียงใหม่เผยแพร่

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ