ร่าง DPA ต้องมีข้อใดบ้าง ขอบเขตที่ทำให้สัญญาใช้งานได้จริง

สำหรับประเด็น “ร่าง DPA” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• ระบบจัดเก็บเอกสารต้องกำหนดสิทธิเปิดอ่านและวิธีคืนไฟล์จำนวนมาก
• บริการคอลเซ็นเตอร์ต้องกำหนดการอัดเสียง การดาวน์โหลด และการใช้ข้อมูลเพื่ออบรม
• บริการวิเคราะห์ข้อมูลต้องระบุว่าห้ามนำข้อมูลไปสร้างฐานข้อมูลหรือฝึกโมเดลของผู้ให้บริการเองนอกคำสั่ง

ควรตัดสินใจตามลำดับใด

ให้เริ่มจากภาคผนวกขอบเขตงานก่อนข้อความกฎหมาย ระบุชนิดข้อมูล เจ้าของข้อมูล การกระทำที่อนุญาต ระยะเวลาและที่ตั้งระบบ แล้วกำหนดวิธีพิสูจน์แต่ละหน้าที่ หากทีมปฏิบัติตอบไม่ได้ว่าจะทำอย่างไร ให้แก้ข้อกำหนดก่อนลงนาม

ร่าง DPA ให้ครอบคลุมจุดใดเป็นอย่างน้อย

ขอบเขตและคำสั่ง

ระบุวัตถุประสงค์ ประเภทข้อมูล กลุ่มบุคคล งานที่ทำ และช่องทางรับคำสั่ง รวมวิธีรับมือเมื่อคำสั่งอาจขัดกฎหมาย ไม่ใช้ข้อความว่าทำทุกอย่างที่จำเป็นโดยไม่มีขอบเขต

คนและระบบที่เข้าถึง

กำหนดการรักษาความลับ การแบ่งสิทธิ การเพิกถอนสิทธิ และมาตรการความปลอดภัยที่เหมาะกับงาน แนบรายชื่อผู้รับช่วงและกลไกเปลี่ยนแปลงตามที่ตกลง

การช่วยเหลือเมื่อมีเหตุหรือคำขอ

เขียนผู้ติดต่อ ข้อมูลเบื้องต้นที่ต้องแจ้ง รอบอัปเดต และวิธีค้นหรือส่งออกข้อมูลเพื่อให้บริษัททำหน้าที่ของตนทันเวลา

สิทธิตรวจและการยุติ

ระบุรายงานที่ขอได้ วิธีตรวจเพิ่มเติม ค่าใช้จ่าย คืนหรือลบข้อมูลอย่างไร สำรองข้อมูลหมดอายุเมื่อใด และเหตุเก็บต่อที่อนุญาต

ความรับผิดและเอกสารที่ขัดกัน

จัดลำดับสัญญาหลักกับ DPA ตรวจเพดานรับผิด ข้อยกเว้นและกระบวนการเรียกร้อง พร้อมกฎหมายและช่องทางระงับข้อพิพาทที่บังคับใช้ได้

ฐานกฎหมายและขอบเขตที่ต้องแยก

หน้าที่ตามมาตรา 40 ประกอบด้วยการทำตามคำสั่งโดยมีข้อยกเว้นเรื่องกฎหมาย มาตรการรักษาความปลอดภัยและแจ้งเหตุแก่ผู้ควบคุม ตลอดจนบันทึกรายการตามหลักเกณฑ์ที่กำหนด ส่วนรายละเอียดการอนุมัติผู้รับช่วงและรอบตรวจเป็นเงื่อนไขที่ควรออกแบบให้เหมาะกับบริการ ไม่ควรอ้างว่าเป็นถ้อยคำบังคับทุกข้อในตัวมาตรา

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

ข้อความกว้างอาจทำให้ขอ Log หรือหยุดผู้รับช่วงไม่ได้ในเวลาที่ต้องใช้ การมีชื่อ DPA ไม่ยืนยันว่าควบคุมการประมวลผลได้ครบ หากเกิดข้อร้องเรียน องค์กรควรแสดงทั้งสิทธิในสัญญาและหลักฐานว่าใช้สิทธิตรวจติดตามจริง

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• ภาคผนวกขอบเขตงานที่เจ้าของระบบตรวจแล้ว
• ตารางเทียบหน้าที่ใน DPA กับทีมปฏิบัติและหลักฐานที่จะส่งมอบ
• ประวัติการต่อรองและข้อยกเว้นที่ผู้มีอำนาจอนุมัติ
• ผลทดสอบการคืนข้อมูลและช่องทางติดต่อเหตุเร่งด่วน

จุดที่ควรตรวจเพิ่มคือภาคผนวกขอบเขตงานที่เจ้าของระบบตรวจแล้ว เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

คนที่ต้องร่วมตัดสินใจ

เจ้าของบริการควรยืนยันว่าข้อมูลใดต้องส่งและผลหากระบบหยุด ฝ่ายเทคนิคตรวจว่ามาตรการทำงานจริง ฝ่ายจัดซื้อรักษาเงื่อนไขที่ตกลง ส่วนฝ่ายกฎหมายตรวจบทบาทและสิทธิ อย่าให้การรับรองของแผนกเดียวครอบข้อเท็จจริงที่แผนกนั้นไม่ได้ตรวจ

แยกสิ่งที่ทราบกับสิ่งที่คู่ค้ายังไม่ตอบ

ในบันทึกตรวจให้ระบุข้อเท็จจริงที่มีหลักฐาน ข้อมูลที่ยังรอ และผลต่อการตัดสินใจแยกกัน หากต้องเปิดใช้งานก่อนแก้ครบ ให้จำกัดข้อมูลหรือสิทธิ พร้อมผู้อนุมัติและวันทบทวนที่ชัดเจน การเงียบของคู่ค้าไม่ใช่การยืนยันว่าความเสี่ยงไม่มี

ตรวจภาคปฏิบัติก่อนถือว่าปิดงาน

ให้ทีมที่ต้องลงมือสาธิตขั้นตอนสำคัญด้วยข้อมูลทดสอบ บันทึกผลที่ทำได้และข้อจำกัด หากเอกสารสัญญารับรองมากกว่าระบบทำได้ ต้องแก้ทั้งเงื่อนไขและวิธีปฏิบัติ ไม่ทำเครื่องหมายผ่านเพียงเพราะมีลายเซ็นครบ

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	ทำรายการกิจกรรมและชุดข้อมูลของบริการที่จะซื้อ	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ร่างภาคผนวกพร้อมให้ IT HR และจัดซื้อตรวจหน้าที่ของตน	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ทดลองสถานการณ์ขอใช้สิทธิและเลิกบริการก่อนถือว่าสัญญาพร้อมใช้	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

คัดลอก GDPR มาใช้ทั้งฉบับแล้วเขียนว่าเป็นข้อบังคับ PDPA ไทย อาจสร้างภาระที่ไม่ตั้งใจและอ้างกฎหมายผิด ควรแยกหน้าที่ตามกฎหมายไทยออกจากมาตรฐานหรือข้อสัญญาที่เลือกเพิ่ม

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในคู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบ ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่าน10 จุดอันตรายใน DPA ที่ควรแก้ก่อนส่งข้อมูลให้คู่ค้า และเลิกใช้ระบบของคู่ค้า ขอคืนและลบข้อมูลอย่างไรให้ปิดงานได้จริง

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านขั้นตอนรับคำขอใช้สิทธิ DSAR ตั้งแต่ต้นจนจบ ใครรับ ใครตรวจ ใครอนุมัติประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA รวมถึงข้อสัญญากับคู่ค้า สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

ข้อกฎหมายที่เกี่ยวข้อง

หน้าที่ตามมาตรา 40 ประกอบด้วยการทำตามคำสั่งโดยมีข้อยกเว้นเรื่องกฎหมาย มาตรการรักษาความปลอดภัยและแจ้งเหตุแก่ผู้ควบคุม ตลอดจนบันทึกรายการตามหลักเกณฑ์ที่กำหนด ส่วนรายละเอียดการอนุมัติผู้รับช่วงและรอบตรวจเป็นเงื่อนไขที่ควรออกแบบให้เหมาะกับบริการ ไม่ควรอ้างว่าเป็นถ้อยคำบังคับทุกข้อในตัวมาตรา

คำถามที่พบบ่อย

มีรายการข้อบังคับ DPA ตายตัวในมาตรา 40 หรือไม่

ตัวมาตรากำหนดหน้าที่และให้มีข้อตกลงควบคุมงาน รายละเอียดข้อสัญญาต้องออกแบบให้ทำหน้าที่นั้นได้จริงตามบริการ

ใช้ DPA เดียวกับทุกคู่ค้าได้ไหม

ใช้โครงกลางได้ แต่ขอบเขตข้อมูล มาตรการ ผู้รับช่วง และการยุติบริการต้องปรับรายบริการ

ควรให้ใครตรวจร่างก่อนเซ็น

ให้ฝ่ายกฎหมายตรวจสิทธิหน้าที่ เจ้าของกระบวนงานยืนยันข้อมูล และทีมเทคนิคยืนยันว่ามาตรการกับการคืนข้อมูลทำได้จริง

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ