DPIA สำหรับการประมวลผลความเสี่ยงสูง ควรเริ่มเมื่อใดและทำอย่างไร

สำหรับประเด็น “DPIA” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• กล้องระบุใบหน้าครอบคลุมพนักงานทั้งพื้นที่ ทำให้ติดตามรายคนอย่างต่อเนื่อง
• AI ให้คะแนนผู้สมัครและตัดออกอัตโนมัติ อาจมีผลต่อโอกาสการทำงาน
• รวมข้อมูลลูกค้าหลายแหล่งเพื่อคาดการณ์สุขภาพหรือความสามารถชำระเงิน เพิ่มผลกระทบเกินกิจกรรมเดิม

ควรตัดสินใจตามลำดับใด

คัดกรองจากข้อมูลอ่อนไหว ขนาดการติดตาม ความเปราะบางของบุคคล และผลของการตัดสินใจ หากอาจกระทบสูงให้ประเมินก่อนจัดซื้อหรือเปิดใช้ โดยเปรียบเทียบวิธีที่ใช้ข้อมูลน้อยกว่าและให้ผู้มีอำนาจตัดสินความเสี่ยงคงเหลือ

DPIA ที่ช่วยตัดสินใจโครงการควรมีอะไร

อธิบายงานและเส้นทางข้อมูล

ระบุปัญหาที่ต้องแก้ ข้อมูลที่ใช้ ผู้รับ ประเทศและระยะเวลา รวมข้อมูลที่เกิดใหม่จากการวิเคราะห์ ไม่ประเมินเฉพาะไฟล์ที่ป้อนเข้า

ตรวจความจำเป็นและทางเลือก

เปรียบเทียบทำงานโดยไม่ใช้ข้อมูล ใช้ข้อมูลน้อยลง หรือใช้วิธีที่ติดตามน้อยกว่า บันทึกเหตุผลที่เลือกและต้นทุนที่มีหลักฐาน ไม่ใช้ความสะดวกเป็นคำตอบเดียว

ประเมินผลต่อบุคคล

ระบุความเสียหายที่อาจเกิด เช่น ถูกปฏิเสธบริการ ถูกตีความสุขภาพผิด หรือข้อมูลเปิดเผย ประเมินโอกาสกับความรุนแรงตามเกณฑ์องค์กรที่อธิบายได้

มาตรการและความเสี่ยงที่เหลือ

กำหนดผู้ทำและหลักฐานทดสอบแต่ละมาตรการ ให้เจ้าของโครงการรับผิดชอบแก้และผู้มีอำนาจอนุมัติหรือสั่งหยุด DPO ให้คำแนะนำตามบทบาท ไม่รับความเสี่ยงธุรกิจแทนผู้บริหาร

ทบทวนเมื่อระบบเปลี่ยน

เปลี่ยนวัตถุประสงค์ ข้อมูล โมเดล ผู้รับหรือผลตัดสินใจต้องประเมินใหม่ตามส่วนที่เปลี่ยน การเซ็นครั้งเดียวก่อนเริ่มไม่ได้ครอบคลุมการขยายทุกแบบ

ฐานกฎหมายและขอบเขตที่ต้องแยก

หน้าที่เรื่องความจำเป็น วัตถุประสงค์ ฐานกฎหมายและความปลอดภัยตามมาตรา 21 ถึง 24, 26 และ 37 ยังต้องทำ แม้ตั้งชื่อเอกสารว่า DPIA หรือไม่ จากตัวบทและประกาศที่ตรวจเพื่อบทความนี้ ไม่ใช้เป็นฐานกล่าวว่าทุกองค์กรมีหน้าที่ทำ DPIA ทั่วไปแบบ GDPR แนวปฏิบัติหรือร่างที่ยังไม่ยืนยันสถานะไม่ถูกนำมาอ้างเป็นบทบังคับ

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

DPIA ที่พบความเสี่ยงแล้วไม่แก้เป็นเพียงบันทึกว่ารู้ปัญหา การไม่ทำเอกสารชื่อนี้ไม่ควรถูกอธิบายเป็นฐานค่าปรับเฉพาะที่ยังไม่ยืนยัน แต่การฝ่าฝืนหน้าที่จริงตาม PDPA ยังอาจนำไปสู่ข้อร้องเรียนหรือความรับผิดได้

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• แบบคัดกรองและคำอธิบายขอบเขตโครงการ
• ตารางทางเลือก ความจำเป็นและผลกระทบต่อบุคคล
• ความเห็นผู้เกี่ยวข้องและคำแนะนำ DPO เมื่อมี
• รายการมาตรการ ผลทดสอบ ผู้อนุมัติและเงื่อนไขทบทวน

จุดที่ควรตรวจเพิ่มคือแบบคัดกรองและคำอธิบายขอบเขตโครงการ เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

กำหนดขอบเขตการทดลอง

เริ่มทดสอบด้วยข้อมูลสมมติหรือข้อมูลที่ลดความเสี่ยงแล้ว ระบุงานที่ให้เครื่องมือช่วยและงานที่ยังไม่อนุญาต หากต้องใช้ข้อมูลจริงเพื่อทดสอบ ต้องผ่านการประเมินฐานกฎหมายและสิทธิผู้รับก่อน ไม่ถือว่าช่วงทดลองอยู่นอกกฎหมาย

เก็บข้อจำกัดไว้กับผลทดสอบ

ผู้ตัดสินใจควรรู้ว่าระบบทดสอบกับงานแบบใด ข้อมูลแบบใดทำให้ผิด และมีสถานการณ์ใดที่ยังไม่ประเมิน แยกผลที่ตรวจยืนยันได้ออกจากคำอธิบายของผู้ขาย เพื่อไม่ขยายการใช้งานเกินหลักฐานที่มี

การอนุมัติต้องตามการเปลี่ยนแปลง

เมื่อผู้ให้บริการเปลี่ยนเงื่อนไข โมเดลหรือสิทธิการใช้ข้อมูล ให้เจ้าของงานประเมินส่วนที่เปลี่ยนและแจ้งผู้เกี่ยวข้อง การอนุมัติชื่อเครื่องมือครั้งเดียวไม่ครอบคลุมทุกการเชื่อมต่อ ทุกบัญชี และทุกข้อมูลในอนาคต

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	เลือกโครงการที่กระทบสูงมาคัดกรองก่อนเปิดใช้	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ทำแผนผังข้อมูลและเปรียบเทียบทางเลือกกับทีมงาน	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ทดสอบมาตรการแล้วขอการตัดสินใจที่มีเงื่อนไขชัดเจน	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าเรียกเช็กลิสต์ความปลอดภัยของ IT อย่างเดียวว่า DPIA ที่ครบถ้วน เพราะผลต่อบุคคลรวมถึงการใช้ข้อมูลไม่เป็นธรรมและการตัดสินใจผิด แม้ระบบไม่ถูกแฮก

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในคู่มือกำกับการใช้ AI กับข้อมูลส่วนบุคคล สำหรับผู้บริหารและ HR ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่านใช้ AI คัดกรองใบสมัครและให้คะแนนผู้สมัคร ต้องแจ้งอย่างไร และไบโอเมตริกซ์ กล้องวิเคราะห์ใบหน้าและเซ็นเซอร์ในที่ทำงาน ใช้ได้แค่ไหน

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียนประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA โดยประเด็นการจ้างงานสามารถประเมินร่วมกับทีมกฎหมายแรงงาน สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

ข้อกฎหมายที่เกี่ยวข้อง

หน้าที่เรื่องความจำเป็น วัตถุประสงค์ ฐานกฎหมายและความปลอดภัยตามมาตรา 21 ถึง 24, 26 และ 37 ยังต้องทำ แม้ตั้งชื่อเอกสารว่า DPIA หรือไม่ จากตัวบทและประกาศที่ตรวจเพื่อบทความนี้ ไม่ใช้เป็นฐานกล่าวว่าทุกองค์กรมีหน้าที่ทำ DPIA ทั่วไปแบบ GDPR แนวปฏิบัติหรือร่างที่ยังไม่ยืนยันสถานะไม่ถูกนำมาอ้างเป็นบทบังคับ

คำถามที่พบบ่อย

ทุกบริษัทต้องทำ DPIA ตาม PDPA ไทยหรือไม่

ไม่ควรกล่าวเป็นหน้าที่ทั่วไปแบบ GDPR โดยไม่มีบทกฎหมายรองรับ ต้องตรวจข้อกำหนดเฉพาะและความเสี่ยงของกิจกรรม

ควรทำก่อนหรือหลังซื้อระบบ

ควรเริ่มก่อนล็อกแบบหรือสัญญา เพื่อยังเปลี่ยนข้อมูล มาตรการและทางเลือกได้ แล้วทบทวนก่อนเปิดใช้จริง

DPO เป็นผู้อนุมัติความเสี่ยงแทนผู้บริหารไหม

ไม่ควรโยนความรับผิดธุรกิจให้ DPO เจ้าของโครงการและผู้มีอำนาจต้องตัดสินใจโดยรับคำแนะนำตามบทบาท

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ