สิทธิตรวจสอบคู่ค้าใน DPA เขียนและใช้จริงอย่างไร

สิทธิตรวจสอบคู่ค้าใน DPA ควรระบุสิ่งที่จะตรวจ วิธีเข้าถึงหลักฐาน และการแก้ข้อบกพร่องให้ทำได้จริง การเขียนว่า “ตรวจได้ทุกเมื่อ” อาจยังไม่ตอบว่าใครเข้าระบบได้แค่ไหน หรือจะปกป้องข้อมูลลูกค้ารายอื่นของผู้รับจ้างระหว่างตรวจอย่างไร

สิทธิตรวจสอบคู่ค้าใน DPA ควรเขียนอย่างไร?

ควรกำหนดขอบเขตตามงานประมวลผล หลักฐาน วิธีตรวจ ผู้ตรวจ กำหนดแจ้ง และขั้นแก้ข้อบกพร่อง สิทธิตามสัญญาไม่ได้ให้อำนาจเข้าทุกระบบหรือทดสอบโดยไม่มีขอบเขต ต้องคุ้มครองความลับและข้อมูลผู้อื่น พร้อมมีวิธีเร่งด่วนเมื่อเกิดเหตุที่รอรอบตรวจปกติไม่ได้

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 กำหนดหน้าที่ผู้ประมวลผลและให้ผู้ควบคุมจัดข้อตกลงระหว่างกันเพื่อควบคุมการดำเนินงานตามหน้าที่ ส่วนมาตรา 37 กำหนดหน้าที่รักษาความมั่นคงปลอดภัยของผู้ควบคุม สิทธิตรวจสอบเป็นเครื่องมือในสัญญาเพื่อช่วยตรวจการปฏิบัติ ไม่ควรอ้างว่าตัวบทให้เข้าระบบคู่ค้าได้ไม่จำกัดโดยอัตโนมัติ

มาตรา 39 และมาตรา 40 (3) เกี่ยวข้องกับบันทึกรายการตามหน้าที่และเงื่อนไขของแต่ละฝ่าย การตรวจควรขอหลักฐานที่ตอบกิจกรรมจริง เช่น รายการสิทธิ การแจ้งเหตุ การจัดการผู้รับช่วง และผลลบข้อมูล ไม่เรียกเอกสารทั้งหมดโดยไม่ระบุว่าต้องการพิสูจน์ข้อใด

ตัวอย่างสมมติ: บริษัทจ้างระบบเงินเดือนที่มีลูกค้าหลายรายและต้องการตรวจสิทธิผู้ดูแล คู่ค้าไม่ควรต้องเปิดข้อมูลเงินเดือนของลูกค้ารายอื่นให้เห็น บริษัทอาจตรวจรายงานที่ปิดข้อมูล การสาธิตสิทธิในพื้นที่ที่อนุญาต และผลทดสอบเฉพาะขอบเขตของตน พร้อมกำหนดวิธีเพิ่มเติมหากหลักฐานยังไม่ตอบความเสี่ยง

การตรวจที่ดีควรลงท้ายด้วยข้อค้นพบ ผู้รับผิดชอบ กำหนดแก้ และหลักฐานตรวจรับ ไม่จบเพียงแบบสอบถามที่ตอบว่า “มี” ทุกข้อ อ่าน คู่มือจัดการคู่ค้าและ DPA เพื่อวางรอบตรวจตามประเภทงานและความเสี่ยง

ถ้าคู่ค้าไม่ให้เข้าระบบ ควรใช้หลักฐานแบบไหน?

• ถ้ารายงานอิสระครอบคลุมบริการและช่วงเวลาที่ใช้ ให้ตรวจขอบเขต ข้อยกเว้น และสิ่งที่รายงานไม่ได้รับรอง
• ถ้าต้องเห็นการตั้งค่าจริง ให้ตกลงสาธิตหรือเข้าดูเฉพาะพื้นที่ที่ได้รับอนุญาต โดยไม่เปิดข้อมูลคนอื่นเกินจำเป็น
• ถ้ามีเหตุละเมิด ให้ใช้ช่องทางส่งข้อมูลและขั้นตรวจเร่งด่วนตามที่ตกลง ไม่รอรอบประจำปีอย่างเดียว
• ถ้าพบข้อบกพร่อง ให้กำหนดระดับความเสี่ยง มาตรการชั่วคราว และหลักฐานที่ใช้ปิดงาน
• ถ้าคู่ค้าไม่ส่งหลักฐานตามสัญญา ให้ตรวจสิทธิระงับงาน แก้ไข หรือเลิกสัญญาตามเงื่อนไข ไม่เข้าระบบเองโดยไม่มีอำนาจ

การตรวจเชิงเทคนิค เช่น ทดสอบช่องโหว่ ต้องมีขอบเขตและการอนุญาตที่ชัดเจน ทั้งระบบ เวลา วิธี และผู้ประสาน ไม่ถือว่าข้อสิทธิตรวจเอกสารทั่วไปอนุญาตการทดสอบทุกวิธีซึ่งอาจกระทบบริการ

ให้คู่ค้าบอกข้อจำกัดพร้อมทางเลือกที่ตอบคำถามได้ หากอ้างความลับทั้งหมดโดยไม่เสนอหลักฐานใด บริษัทควรประเมินความเสี่ยงการใช้บริการต่อและผลตามสัญญา ไม่รับรองว่าควบคุมคู่ค้าได้เพียงเพราะมี DPA ลงนามแล้ว

เลนส์ทนายยอดทิพย์ธรรม: ตรวจให้ได้คำตอบ ไม่ใช่ขอสิทธิกว้างที่สุด

คนมักเข้าใจว่า: มีใบรับรองมาตรฐานแล้วไม่ต้องตรวจอะไรอีก หรือข้อสัญญาที่ให้ตรวจได้ทุกเมื่อทำให้เข้าระบบคู่ค้าได้ทันทีโดยไม่ตกลงวิธี

กฎหมายมองว่า: ต้องมีมาตรการและข้อตกลงที่ช่วยให้การประมวลผลเป็นไปตามกฎหมาย การตรวจต้องอยู่ในอำนาจและขอบเขตที่ชอบ พร้อมคุ้มครองข้อมูลที่ผู้ตรวจได้เห็น ไม่สร้างเหตุละเมิดใหม่ระหว่างประเมินคู่ค้า

จุดเสี่ยงจริง: รายงานตรวจไม่ครอบคลุมระบบที่ใช้งานจริง ข้อบกพร่องไม่มีวันแก้ หรือผู้ตรวจดาวน์โหลดข้อมูลจริงกลับไปโดยไม่มีการควบคุม ควรทำตารางข้อสัญญาต่อหลักฐานและเก็บเฉพาะสิ่งที่จำเป็นต่อข้อค้นพบ

มองสองฝั่ง: ผู้ว่าจ้างกับผู้ประมวลผลที่ถูกตรวจ

การรักษาความลับของผู้รับจ้างกับความจำเป็นตรวจของผู้ว่าจ้างควรจัดสมดุลผ่านวิธีตรวจที่เหมาะสม ไม่ใช้เป็นเหตุให้ฝ่ายใดได้สิทธิไม่จำกัด

รอบตรวจ กำหนดแจ้ง และกำหนดแก้ควรต่างกันอย่างไร?

รอบตรวจปกติควรผูกกับความเสี่ยงและการเปลี่ยนบริการ เช่น เพิ่มข้อมูลอ่อนไหว ผู้รับช่วง หรือระบบสำคัญ ไม่อ้างว่า PDPA กำหนดให้ทุก DPA ตรวจปีละครั้งเหมือนกัน เพราะรอบที่เหมาะสมขึ้นกับบริบทและข้อกำหนดที่เกี่ยวข้อง

ตัวอย่างข้อสัญญาคือแจ้งตรวจปกติล่วงหน้าสิบวันทำการ และมีขั้นแจ้งเร่งด่วนเมื่อเกิดเหตุหรือมีเหตุสงสัยสำคัญ ตัวเลขนี้เป็นตัวอย่างเจรจา ไม่ใช่กำหนดบังคับตาม PDPA และต้องไม่ขัดกับหน้าที่แจ้งเหตุหรือคำสั่งของหน่วยงานที่ใช้จริง

กำหนดแก้แต่ละข้อควรดูความรุนแรงและมาตรการชั่วคราว หากแก้ถาวรใช้เวลานาน ต้องมีผู้อนุมัติรับความเสี่ยงตามอำนาจและติดตามผล ไม่เปลี่ยนวันครบกำหนดในตารางโดยไม่มีเหตุหรือหลักฐานว่าความเสี่ยงลดลง

ค่าตรวจคู่ค้าและค่าแก้ข้อบกพร่องใครรับผิดชอบ?

ควรตกลงในสัญญาโดยแยกค่าตรวจตามรอบ ค่าตรวจซ้ำ และงานเร่งด่วนเมื่อพบข้อบกพร่อง ตัวอย่างสมมติ: ตรวจเอกสาร 6 ชั่วโมง × 1,200 บาท = 7,200 บาท ประชุมและสาธิต 2,800 บาท รวม 10,000 บาท ไม่ใช่อัตราค่าบริการหรือค่าใช้จ่ายที่คู่ค้าต้องรับทุกกรณีตามกฎหมาย

หากกำหนดให้ผู้รับจ้างจ่ายค่าตรวจซ้ำเมื่อพบการไม่ปฏิบัติตาม ต้องระบุเงื่อนไขและขอบเขตให้ชัด ไม่ใช้ค่าใช้จ่ายเป็นบทลงโทษที่คลุมเครือหรือเรียกเกินเหตุ ส่วนการชดใช้ความเสียหายต้องตรวจสัญญาและกฎหมายแยกจากค่าตรวจ

บริษัทควรตั้งงบติดตามข้อแก้ด้วย เพราะรายงานครั้งแรกไม่ยืนยันว่าปัญหาถูกแก้แล้ว การจ่ายค่าตรวจครบไม่ใช่หลักฐานให้ปิดความเสี่ยงหากสิ่งส่งมอบยังไม่ตอบข้อค้นพบ

หลักฐานตรวจและปิดข้อบกพร่องควรมีอะไร?

• DPA และสัญญาฉบับที่ใช้ พร้อมขอบเขตบริการกับลำดับเอกสาร
• แผนตรวจ คำถาม ระบบ ผู้ตรวจ และหนังสืออนุญาตที่จำเป็น
• หลักฐานที่ได้รับ วันเวลา รุ่นระบบ และข้อจำกัดของการตรวจ
• ข้อค้นพบที่เชื่อมกับหน้าที่หรือข้อสัญญา ไม่ใช่ความเห็นกว้าง
• แผนแก้ ผู้รับผิดชอบ กำหนด มาตรการชั่วคราว และผู้อนุมัติ
• ผลทดสอบหลังแก้กับรายการค้างที่ยังไม่รับรองว่าปิด

แยกเอกสารที่ดูได้เฉพาะในพื้นที่คู่ค้าออกจากเอกสารที่เก็บสำเนาได้ และกำหนดวิธีลบเมื่อหมดความจำเป็น หากพบคู่ค้าใช้เพื่อเป้าหมายของตน อ่าน แนวทางตรวจบทบาทเมื่อคู่ค้าใช้ข้อมูลเอง เพราะการแก้ข้อสัญญาอาจต้องมากกว่ารายการมาตรการความปลอดภัย

สัญญาและข้อพิพาทจากการตรวจเกี่ยวข้องอย่างไร?

งาน กฎหมายธุรกิจและสัญญา ต้องจัดสิทธิตรวจ ความลับ ค่าใช้จ่าย และผลไม่แก้ให้ทำงานร่วมกัน ไม่ควรมีข้อหนึ่งให้ตรวจแต่ข้ออื่นห้ามส่งหลักฐานทุกประเภทจนใช้สิทธิไม่ได้

หากจะเรียกค่าเสียหายหรือเลิกสัญญาจากผลตรวจ ควรประเมิน งานคดีแพ่ง จากข้อสัญญา หนังสือแจ้ง และโอกาสแก้ที่กำหนด ไม่ถือว่าข้อค้นพบทุกข้อทำให้เลิกสัญญาได้ทันทีโดยไม่มีขั้นตอน

ทางไปต่อ: ผูกสิทธิตรวจกับหลักฐานและการแก้จริง

1. กำหนดกิจกรรมและความเสี่ยงที่ต้องตรวจ
2. ตกลงวิธี หลักฐาน ขอบเขต และเงื่อนไขเร่งด่วน
3. ตรวจโดยผู้มีอำนาจและคุ้มครองข้อมูลที่พบ
4. ออกข้อค้นพบพร้อมแผนแก้ที่มีเจ้าของงาน
5. ทดสอบผลและปิดเฉพาะข้อที่หลักฐานรองรับ

ควรขอความช่วยเหลือเมื่อ DPA ไม่ระบุหลักฐาน คู่ค้าปฏิเสธทุกวิธี พบข้อบกพร่องซ้ำ หรือจะทดสอบเชิงเทคนิคที่กระทบบริการ สามารถ ติดต่อทีมงาน เพื่อหารือ บริการด้าน PDPA และ ตรวจความพร้อมเอกสารและการควบคุมคู่ค้า

แหล่งกฎหมาย: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37, 39 และ 40

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ