เก็บข้อมูลลูกค้าใน Excel Google Sheets และ LINE ปลอดภัยพอตาม PDPA ไหม

มาตรการความปลอดภัย PDPA SME เริ่มได้จากไฟล์ลูกค้าที่ใช้ทุกวัน หลายร้านมีข้อมูลไม่มากแต่เปิดลิงก์ให้ใครก็เข้าได้ หรือบัญชีเจ้าของไฟล์เป็นของพนักงานที่ออกไปแล้ว ความเสี่ยงเช่นนี้แก้ด้วยการจัดสิทธิและวิธีทำงานได้ก่อนซื้อระบบใหม่

สถานการณ์ที่ต้องแยกก่อนตัดสินใจ

กรณีต่อไปนี้เป็นตัวอย่างสมมติ ใช้อธิบายความแตกต่างของข้อเท็จจริง ไม่ใช่ข้อมูลลูกความหรือคำพิพากษา

• ร้านตั้งรหัสไฟล์ Excel แต่ส่งไฟล์กับรหัสในกลุ่มที่มีอดีตพนักงาน ยังต้องตรวจผู้รับและการถอนสิทธิ
• ทีมใช้ Google Sheets แบบจำกัดรายชื่อและทบทวนสิทธิสม่ำเสมอ ต้องตรวจองค์ประกอบอื่นตามความเสี่ยง ไม่ถือว่าปลอดภัยครบเพราะปิดลิงก์แล้ว
• พนักงานส่งข้อมูลลูกค้าผิดห้อง LINE แล้วลบข้อความจากเครื่องตน ต้องตรวจว่าผู้รับเห็นหรือบันทึกไปหรือไม่และจัดการเหตุ

เริ่มแก้ปัญหาตามลำดับใด

ระบุไฟล์และผู้ดูแล ตรวจข้อมูลที่เสี่ยงสูงกับสิทธิแชร์ก่อน จากนั้นแก้บัญชีร่วมและการส่งไฟล์ จัดสำรองพร้อมทดสอบกู้คืน และให้ทีมรู้ช่องทางแจ้งเหตุโดยไม่ต้องรอเจ้าของร้านค้นพบเอง

จุดตรวจความปลอดภัยที่ธุรกิจเล็กลงมือได้

จัดมาตรการตามความเสี่ยงของข้อมูล

ประกาศปี 2565 ครอบคลุมข้อมูลกระดาษและอิเล็กทรอนิกส์ โดยพิจารณาความลับ ความถูกต้องครบถ้วนและความพร้อมใช้ตามระดับความเสี่ยง รายชื่อส่งสินค้ากับแฟ้มสุขภาพมีผลกระทบต่างกัน ต้องระบุว่าเหตุใดเสี่ยง ใครได้รับผลและมาตรการใดช่วยได้ ไม่ใช้คำว่าธุรกิจเล็กเป็นเหตุไม่ต้องดูแลข้อมูล

สิทธิแชร์ควรให้ตามงานและระบุตัวผู้ใช้

ใช้บัญชีรายบุคคลเมื่อทำได้ จำกัดสิทธิอ่าน แก้ไขหรือส่งออกตามงาน และตรวจลิงก์ที่เปิดกว้าง ก่อนพนักงานย้ายหน้าที่หรือออกให้ถอนสิทธิพร้อมส่งมอบเจ้าของไฟล์ การยืนยันหลายขั้นตอนเป็นตัวอย่างมาตรการที่ควรประเมินตามความเสี่ยงและความสามารถระบบ ไม่ใช่คำกล่าวว่ากฎหมายระบุปุ่มเดียวให้ทุกกิจการใช้เหมือนกัน

แชตเป็นช่องทางส่งที่ต้องคิดถึงสำเนา

ลดการส่งไฟล์เต็มเมื่อส่งเฉพาะรายการที่ต้องใช้ได้ ตรวจผู้รับก่อนส่งและหลีกเลี่ยงกลุ่มใหญ่ที่ควบคุมสมาชิกไม่ได้ เอกสารบัตรหรือสุขภาพควรใช้ช่องทางจำกัดสิทธิที่เหมาะสม การลบข้อความจากผู้ส่งไม่รับประกันว่าสำเนาผู้รับหาย ต้องกำหนดวิธีขอให้จัดการข้อมูลและตรวจเหตุหากส่งผิด

สำรองข้อมูลต้องลองกู้คืนและป้องกันด้วย

การสำรองช่วยเรื่องความพร้อมใช้ แต่สำเนาสำรองก็มีข้อมูลส่วนบุคคล ต้องจำกัดสิทธิและกำหนดระยะที่เหมาะสม ทดสอบกู้คืนด้วยวิธีที่ไม่เพิ่มการเปิดเผย บันทึกผลและคนรับผิดชอบ หากสำรองอยู่ในเครื่องเดียวที่ถูกขโมยหรือเสียพร้อมต้นฉบับ อาจไม่ตอบความเสี่ยงที่ตั้งใจป้องกัน

ให้คนในทีมรู้ว่าต้องแจ้งเมื่อใด

ส่งผิดคน ลิงก์เปิดสาธารณะ เครื่องหายหรือบัญชีถูกเข้าถึงเป็นเหตุให้รีบแจ้งผู้รับผิดชอบตามข้อเท็จจริง ไม่ลงโทษการแจ้งจนพนักงานเลือกปิดบัง ผู้รับผิดชอบต้องจำกัดเหตุ เก็บหลักฐานและประเมินหน้าที่แจ้งตามมาตรา 37(4) รวมทั้งผู้รับจ้างตามมาตรา 40 โดยไม่เหมาว่าทุกเหตุเหมือนกันหรือรอครบกำหนดก่อนทำอะไร

ข้อกฎหมายที่ใช้และเงื่อนไขที่ต้องระวัง

PDPA มาตรา 37(1) กำหนดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ.2565 กำหนดกรอบมาตรการเชิงองค์กรและเทคนิค รวมถึงทางกายภาพที่จำเป็นตามความเสี่ยง ส่วนเหตุละเมิดต้องตรวจมาตรา 37(4) และหน้าที่ผู้ประมวลผลตามมาตรา 40

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ฉบับราชกิจจานุเบกษา เป็นตัวบทหลักที่ใช้อ้างอิงในบทความนี้

ประกาศมาตรการรักษาความมั่นคงปลอดภัย พ.ศ.2565 ฉบับราชกิจจานุเบกษาที่กรมที่ดินเผยแพร่

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วต้องรับมืออะไร

ธุรกิจอาจอธิบายไม่ได้ว่าใครเข้าถึงข้อมูลในวันเกิดเหตุ หากใช้บัญชีร่วมและไม่มีบันทึก การเริ่มเก็บหลักฐานหลังเกิดปัญหาช่วยตรวจต่อได้แต่ไม่ควรสร้างย้อนหลังให้เหมือนมีมาตลอด เมื่อรับคำถามจากลูกค้าควรตอบส่วนที่ตรวจแล้วและระบุส่วนที่ยังสอบ ไม่รับรองว่าไม่มีใครเห็นจากการปิดลิงก์เพียงอย่างเดียว

หลักฐานที่ควรเก็บก่อนข้อมูลเปลี่ยนไป

• รายการไฟล์ ระบบและเจ้าของงาน
• ผลตรวจสิทธิผู้ใช้กับลิงก์แชร์ที่แก้แล้ว
• การประเมินความเสี่ยงและเหตุเลือกมาตรการ
• บันทึกสำรองและผลทดสอบกู้คืน
• ขั้นตอนแจ้งเหตุพร้อมตัวอย่างการซ้อมที่ไม่ใช้ข้อมูลลูกค้าจริง

ให้เจ้าของงานระบุว่าเอกสารแต่ละฉบับใช้กับกระบวนการใด ใครเป็นผู้อนุมัติ และเริ่มใช้เมื่อใด เก็บหลักฐานการทำงานจริงประกอบแบบฟอร์ม เช่น ผลทดสอบสิทธิหรือบันทึกการส่งข้อมูล หากพบว่าเอกสารกับระบบไม่ตรงกัน ให้บันทึกช่องว่างและผู้รับผิดชอบแก้ไข ไม่เปลี่ยนบันทึกย้อนหลังให้ดูเหมือนปฏิบัติถูกต้องมาตั้งแต่ต้น

ก่อนส่งหลักฐานให้ผู้อื่น ตรวจว่ามีข้อมูลที่ไม่เกี่ยวข้องปะปนหรือไม่ สำเนาสำหรับตรวจอาจปกปิดส่วนที่ไม่จำเป็นได้ โดยรักษาต้นฉบับไว้ในพื้นที่จำกัดสิทธิ บันทึกผู้รับ วันที่ส่งและวัตถุประสงค์ หากมีข้อพิพาทต้องพิจารณาระยะเก็บและการพักทำลายเฉพาะส่วนที่เกี่ยวข้อง ไม่ใช้เหตุเตรียมคดีเป็นข้ออ้างเก็บข้อมูลทุกชุดไม่มีกำหนด

ทีมงานอ้างว่าใส่รหัสไฟล์แล้วจึงปลอดภัยพอ

ตรวจว่าใครรู้รหัสและใครส่งไฟล์ต่อได้ ถ้าใช้รหัสร่วมที่ส่งในแชตเดียวกับไฟล์ การป้องกันอาจไม่ตอบความเสี่ยงที่ตั้งไว้ ต้องดูสิทธิผู้ใช้ ลิงก์สาธารณะ สำเนาในเครื่องส่วนตัวและการถอนสิทธิคนออกจากงานด้วย ส่วนคำอ้างว่ามีสำรองแล้ว ควรตรวจผลกู้คืนและสิทธิของผู้เปิดสำเนา การประเมินควรยึดข้อมูลกับผลกระทบที่เกิดได้ ไม่ตัดสินจากว่าซอฟต์แวร์แพงหรือมีโลโก้รับรองบนเว็บไซต์ผู้ขาย

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลานี้เป็นตัวอย่างแผนจัดงาน ไม่ใช่กำหนดตามกฎหมาย หากมีเหตุเร่งด่วน หนังสือกำหนดตอบหรืออายุความ ต้องดำเนินการตามกำหนดนั้นก่อน

ช่วงเวลา	สิ่งที่ควรทำ
วันนี้	ปิดลิงก์ที่เปิดเกินจำเป็นและถอนสิทธิคนพ้นงาน
ภายใน 7 วัน	จัดบัญชีรายบุคคล ช่องทางส่งและผู้รับแจ้งเหตุ
ภายใน 30 วัน	ทดสอบกู้คืนกับการจัดการส่งผิดคนและบันทึกผล

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าถือว่าใช้คลาวด์แบรนด์ใหญ่แล้วองค์กรไม่มีหน้าที่ตั้งค่า และอย่าส่งรหัสไปพร้อมไฟล์ในกลุ่มเดียวที่ไม่จำกัดผู้รับ มาตรการต้องทำงานกับวิธีใช้จริงของทีม

อ่านต่อและเตรียมเรื่องก่อนปรึกษา

อ่านภาพรวมในPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียน แล้วนำมาเทียบกับเหตุการณ์และเอกสารของตน

เรื่องที่เกี่ยวข้องโดยตรงคือร้านค้าและธุรกิจเล็กต้องทำ PDPA แค่ไหน เริ่มจากงานที่ใช้จริง และPDPA Certification 2569 คืออะไร ใครขอได้และต้องเตรียมอะไร

หากต้องพิจารณาขั้นตอนที่เชื่อมกัน อ่านข้อมูลรั่วไหล ต้องแจ้งใครภายใน 72 ชั่วโมง? คู่มือรับมือ PDPA สำหรับองค์กรประกอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยจัดรายการความเสี่ยงของไฟล์และแชต กำหนดสิทธิผู้ใช้งานกับขั้นตอนรับแจ้งเหตุ และตรวจหลักฐานการแก้ไขผ่านบริการกฎหมาย PDPA โดยประเด็นที่เกี่ยวข้องสามารถประเมินร่วมกับธุรกิจและสัญญา ก่อนนัดหมายปรึกษา ควรเตรียมลำดับเหตุการณ์ เอกสารที่ได้รับ และผลที่ต้องการให้อีกฝ่ายดำเนินการ เพื่อประเมินทางเลือกจากหลักฐานที่มีจริง

บทความโดยนายเอกราช ทิพย์แมม ดูข้อมูลผู้เขียนและทีมทนายความยอดทิพย์ธรรมประกอบการติดต่อ

ข้อกฎหมายที่เกี่ยวข้อง

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37(1): มาตรการความมั่นคงปลอดภัยที่เหมาะสม
• ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565: มาตรการเชิงองค์กร เทคนิคและกายภาพที่จำเป็นตามความเสี่ยง
• PDPA มาตรา 37(4): หน้าที่เกี่ยวกับเหตุละเมิดต้องประเมินตามความเสี่ยงและเงื่อนไข
• มาตรา 40: หน้าที่ผู้ประมวลผล รวมการแจ้งเหตุแก่ผู้ควบคุมตามกฎหมาย

คำถามที่พบบ่อย

ใช้ Excel เก็บข้อมูลผิด PDPA หรือไม่

ไม่ตัดสินจากชื่อโปรแกรม ต้องตรวจฐานและมาตรการเหมาะสมกับข้อมูลและความเสี่ยง บัญชีผู้ใช้ สิทธิแชร์ สำเนาสำรองและการถอนสิทธิเป็นจุดที่ต้องตรวจร่วมกัน

ธุรกิจเล็กได้รับยกเว้นความปลอดภัยไหม

ไม่ควรสรุปเช่นนั้น ข้อยกเว้นบางเรื่อง เช่น บันทึกกิจกรรม มีเงื่อนไขและไม่ได้ล้างหน้าที่ความปลอดภัยทั้งหมด ต้องประเมินผลกระทบของข้อมูลจริง ไม่ใช้จำนวนพนักงานเป็นเกณฑ์เดียว

ส่งผิดกลุ่มแล้วลบข้อความถือว่าจบไหม

ยังต้องตรวจการเข้าถึงและสำเนา จำกัดผลกระทบและประเมินเหตุละเมิดตามเงื่อนไข ควรบันทึกว่าใครได้รับและเข้าถึงอะไร เพื่อประเมินความเสี่ยงกับหน้าที่แจ้งเหตุ

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ