แชตบอตเก็บชื่อ เบอร์โทรและบทสนทนา ต้องแจ้งอะไรตาม PDPA

สำหรับประเด็น “แชตบอตเก็บข้อมูล” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• บอตตอบเวลาเปิดทำการไม่จำเป็นต้องบังคับชื่อและเบอร์
• บอตรับเรื่องเคลมต้องใช้ข้อมูลบางส่วนเพื่อติดตาม แต่ไม่ควรถามเลขบัตรประชาชนเต็มหากไม่มีความจำเป็น
• ผู้ใช้พิมพ์ข้อมูลสุขภาพหรือข้อมูลบุคคลอื่นมาเอง ต้องมีวิธีจำกัดการใช้และสิทธิ ไม่ถือว่าการส่งมาคือความยินยอมครบทุกเรื่อง

ควรตัดสินใจตามลำดับใด

แบ่งคำถามทั่วไปที่ไม่ต้องระบุตัวออกจากงานที่ต้องติดตามรายบุคคล แจ้งวัตถุประสงค์ก่อนขอข้อมูล ออกแบบส่งต่อเจ้าหน้าที่เมื่อเรื่องอ่อนไหว แล้วกำหนดการเก็บและลบแยกระหว่างบทสนทนา Ticket และข้อมูลสถิติ

แชตบอตเก็บข้อมูลควรแจ้งและตั้งค่าอย่างไร

ข้อความหน้าต่างเริ่มสนทนา

บอกผู้ควบคุม วัตถุประสงค์หลัก การเก็บบทสนทนา และทางอ่านรายละเอียด ไม่ซ่อนลิงก์ไว้หลังผู้ใช้ส่งข้อมูลไปแล้ว

รายละเอียดที่ต้องเข้าถึงได้

แจ้งข้อมูลที่เก็บ ความจำเป็นและผลหากไม่ให้เมื่อเกี่ยวข้อง ระยะเวลาเก็บหรือเกณฑ์ ประเภทผู้รับ ช่องทางติดต่อและสิทธิ ให้ตรงกับระบบหลังบ้านจริง

แยกการตลาด

หากขอรับข่าวสารให้แยกจากการรับบริการ ไม่ใช้การเริ่มแชตเป็นการสมัครการตลาดโดยปริยาย และทำช่องทางหยุดติดต่อให้ใช้งานได้

ข้อมูลอ่อนไหวที่เข้ามาเอง

แสดงคำแนะนำหลีกเลี่ยงข้อมูลที่ไม่จำเป็น มีขั้นตอนส่งต่ออย่างจำกัดสิทธิและจัดการข้อมูลส่วนเกิน ตรวจฐานกฎหมายก่อนใช้ต่อ โดยเฉพาะการใช้เป็นชุดฝึก

ฐานกฎหมายและขอบเขตที่ต้องแยก

มาตรา 22 ให้เก็บเท่าที่จำเป็น มาตรา 23 กำหนดการแจ้ง มาตรา 24 ใช้เลือกฐานกิจกรรมและมาตรา 26 ใช้กับข้อมูลอ่อนไหว การนำบทสนทนาไปใช้วัตถุประสงค์อื่นต้องตรวจมาตรา 21 และ 27 รวมถึงบทบาทผู้ให้บริการตามมาตรา 40

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

บทสนทนาอาจเปิดเผยรายละเอียดมากกว่าฟอร์ม การให้พนักงานทุกแผนกค้นประวัติได้หรือเปิดลิงก์สาธารณะอาจนำไปสู่เหตุละเมิด ต้องประเมินสิทธิและเก็บหลักฐานการเข้าถึงตามความเสี่ยง

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• ภาพข้อความแจ้งและ Notice แต่ละเวอร์ชัน
• ผังการสนทนากับฟิลด์ข้อมูลที่บังคับและไม่บังคับ
• สิทธิผู้ดูแล การส่งต่อ Ticket และระยะเวลาเก็บแต่ละระบบ
• DPA และหลักฐานทดสอบค้น ลบหรือส่งออกข้อมูลรายบุคคล

จุดที่ควรตรวจเพิ่มคือภาพข้อความแจ้งและ Notice แต่ละเวอร์ชัน เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

กำหนดขอบเขตการทดลอง

เริ่มทดสอบด้วยข้อมูลสมมติหรือข้อมูลที่ลดความเสี่ยงแล้ว ระบุงานที่ให้เครื่องมือช่วยและงานที่ยังไม่อนุญาต หากต้องใช้ข้อมูลจริงเพื่อทดสอบ ต้องผ่านการประเมินฐานกฎหมายและสิทธิผู้รับก่อน ไม่ถือว่าช่วงทดลองอยู่นอกกฎหมาย

เก็บข้อจำกัดไว้กับผลทดสอบ

ผู้ตัดสินใจควรรู้ว่าระบบทดสอบกับงานแบบใด ข้อมูลแบบใดทำให้ผิด และมีสถานการณ์ใดที่ยังไม่ประเมิน แยกผลที่ตรวจยืนยันได้ออกจากคำอธิบายของผู้ขาย เพื่อไม่ขยายการใช้งานเกินหลักฐานที่มี

การอนุมัติต้องตามการเปลี่ยนแปลง

เมื่อผู้ให้บริการเปลี่ยนเงื่อนไข โมเดลหรือสิทธิการใช้ข้อมูล ให้เจ้าของงานประเมินส่วนที่เปลี่ยนและแจ้งผู้เกี่ยวข้อง การอนุมัติชื่อเครื่องมือครั้งเดียวไม่ครอบคลุมทุกการเชื่อมต่อ ทุกบัญชี และทุกข้อมูลในอนาคต

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	ทดลองเริ่มแชตในฐานะผู้ใช้และดูว่าต้องให้ข้อมูลใดก่อนอ่าน Notice	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ลดฟิลด์และแยกความยินยอมการตลาดออกจากการรับบริการ	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ทดสอบคำขอใช้สิทธิและการลบข้อมูลข้ามระบบ	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าเขียนว่าไม่เก็บข้อมูลหากระบบยังเก็บ IP รหัสผู้ใช้หรือประวัติสนทนาที่เชื่อมถึงบุคคลได้ และอย่านำข้อความจริงของลูกค้าไปสาธิตระบบโดยไม่ประเมิน

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในคู่มือกำกับการใช้ AI กับข้อมูลส่วนบุคคล สำหรับผู้บริหารและ HR ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่านใช้ข้อมูลลูกค้าฝึกโมเดล AI ได้หรือไม่ ต้องแยกวัตถุประสงค์อย่างไร และ20 คำถามที่ต้องถามผู้ให้บริการ AI ก่อนส่งข้อมูลบริษัท

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านขั้นตอนรับคำขอใช้สิทธิ DSAR ตั้งแต่ต้นจนจบ ใครรับ ใครตรวจ ใครอนุมัติประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA โดยประเด็นการจ้างงานสามารถประเมินร่วมกับทีมกฎหมายแรงงาน สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

ข้อกฎหมายที่เกี่ยวข้อง

มาตรา 22 ให้เก็บเท่าที่จำเป็น มาตรา 23 กำหนดการแจ้ง มาตรา 24 ใช้เลือกฐานกิจกรรมและมาตรา 26 ใช้กับข้อมูลอ่อนไหว การนำบทสนทนาไปใช้วัตถุประสงค์อื่นต้องตรวจมาตรา 21 และ 27 รวมถึงบทบาทผู้ให้บริการตามมาตรา 40

คำถามที่พบบ่อย

บอตไม่ถามชื่อจึงไม่ต้องทำ PDPA หรือไม่

ยังอาจมีรหัสบัญชี IP หรือรายละเอียดสนทนาที่ระบุตัวได้ ต้องดูข้อมูลจริง

ผู้ใช้ส่งข้อมูลสุขภาพมาเองใช้ต่อได้เลยไหม

ไม่ได้ ต้องประเมินฐานตามมาตรา 26 ความจำเป็นและวัตถุประสงค์ ไม่ถือว่าการส่งมาครอบคลุมทุกการใช้

ใส่ลิงก์ Privacy Notice อย่างเดียวพอไหม

ต้องแสดงในจุดและรูปแบบที่ผู้ใช้รับรู้ก่อนหรือขณะเก็บ และรายละเอียดต้องครบกับการทำงานจริง

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ