PDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียน

สำหรับประเด็น “หลักฐาน PDPA” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• Notice ระบุลบเมื่อหมดความจำเป็น แต่ฐานลูกค้ายังเก็บทุกบัญชีโดยไม่มีเกณฑ์
• มี DPA ครบแต่ไม่รู้ผู้รับช่วงและไม่เคยทดสอบแจ้งเหตุ
• มีแบบคำขอใช้สิทธิแต่เรื่องที่เข้าทางฝ่ายขายไม่ถูกส่งถึงผู้รับผิดชอบ

ควรตัดสินใจตามลำดับใด

เริ่มจากกิจกรรมที่มีผลต่อบุคคลสูง เลือกธุรกรรมจริงหนึ่งรายการแล้วตามจากจุดเก็บถึงการลบ ตรวจว่าเอกสาร การตั้งค่า และหลักฐานดำเนินงานตรงกันหรือไม่ บันทึกช่องว่างพร้อมผู้แก้และวันติดตาม

หลักฐาน PDPA ควรจัดให้ตรวจจากอะไรไปถึงอะไร

กิจกรรมและฐาน

ทำทะเบียนที่เชื่อมข้อมูล วัตถุประสงค์ แหล่งที่มา ฐานกฎหมายและผู้รับเข้าด้วยกัน เก็บเหตุผลเลือกฐาน ไม่เขียนหลายฐานเผื่อไว้โดยไม่รู้ว่าใช้กรณีไหน

สิ่งที่บอกกับสิ่งที่ทำ

เก็บ Notice และแบบขอความยินยอมแต่ละเวอร์ชัน เทียบกับหน้าฟอร์ม ระบบหลังบ้าน ระยะเก็บและสิทธิผู้ใช้ เลือกตัวอย่างจริงที่ปกปิดข้อมูลก่อนส่งผู้ตรวจ

งานที่ต้องตอบทันเวลา

มีทะเบียนคำขอใช้สิทธิและเหตุข้อมูลรั่ว พร้อมการตัดสินใจ ผู้รับผิดชอบและผลดำเนินการ งานที่ไม่เคยเกิดจริงอาจใช้ผลซ้อมที่ระบุชัดว่าเป็นการซ้อม

การกำกับที่มีเจ้าของ

ระบุผู้ดูแลคู่ค้า ผู้อนุมัติฐาน DPO เมื่อเข้าเกณฑ์ และผู้ตัดสินความเสี่ยง บันทึกข้อบกพร่องที่ยังเปิดไว้กับเหตุผล ไม่ทำเครื่องหมายผ่านโดยไม่มีผลตรวจ

ฐานกฎหมายและขอบเขตที่ต้องแยก

มาตรา 23 เกี่ยวกับการแจ้ง มาตรา 24 และ 26 เกี่ยวกับฐาน มาตรา 37 เกี่ยวกับการจัดการและความปลอดภัย มาตรา 39 เกี่ยวกับบันทึกรายการ และมาตรา 40 ถึง 42 เกี่ยวกับผู้ประมวลผลและ DPO การมีหรือได้รับยกเว้นหน้าที่บางส่วนต้องดูเงื่อนไข ไม่ใช้ขนาดกิจการเป็นข้อยกเว้นทุกเรื่อง

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

เมื่อถูกร้องเรียน คณะกรรมการผู้เชี่ยวชาญอาจต้องการข้อเท็จจริงและหลักฐานเฉพาะกิจกรรม การรวบเอกสารสวยแต่ไม่สัมพันธ์กับวันที่เกิดเหตุทำให้ชี้แจงได้ยาก ต้องรักษาต้นฉบับและแยกการแก้ปัจจุบันออกจากสิ่งที่มีอยู่ก่อนเหตุ

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• ทะเบียนกิจกรรมและบันทึกเหตุผลฐานกฎหมาย
• Notice ความยินยอมและการตั้งค่าที่มีเวอร์ชัน
• บันทึกคำขอใช้สิทธิ เหตุละเมิดและผลซ้อม
• ทะเบียนข้อบกพร่องพร้อมผลตรวจปิดและผู้อนุมัติ

จุดที่ควรตรวจเพิ่มคือทะเบียนกิจกรรมและบันทึกเหตุผลฐานกฎหมาย เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

เริ่มตรวจจากรายการจริง

เลือกธุรกรรมที่เกิดขึ้นจริงและตามเส้นทางข้อมูลจากจุดเก็บไปจนผู้รับปลายทาง ให้เจ้าของงานอธิบายประกอบหลักฐาน หากขั้นตอนใดไม่มีหลักฐาน อย่าเติมคำตอบแทน ให้บันทึกช่องว่างและผลที่อาจเกิดก่อนกำหนดวิธีแก้

ให้ผู้ที่รู้ข้อเท็จจริงรับรอง

การลงนามควรระบุว่าใครตรวจอะไรและอาศัยหลักฐานใด เจ้าของกระบวนงานรับรองวิธีทำงาน ฝ่ายเทคนิคยืนยันระบบ และฝ่ายกฎหมายให้ความเห็นในขอบเขตที่ตรวจ ไม่ใช้ลายเซ็นผู้บริหารแทนการตรวจรายละเอียดทั้งหมด

ปิดข้อบกพร่องด้วยผลตรวจ

หลังแก้เอกสารหรือระบบ ให้ตรวจซ้ำเฉพาะสิ่งที่เปลี่ยนและเก็บผลว่าข้อบกพร่องถูกแก้แล้ว หากยังทำไม่ได้ให้บันทึกเหตุผล มาตรการชั่วคราว ผู้รับผิดชอบและวันติดตาม การใส่สถานะเสร็จโดยไม่มีผลตรวจทำให้สารบัญหลักฐานคลาดเคลื่อน

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	เลือกกิจกรรมเสี่ยงสูงแล้วตามข้อมูลหนึ่งรายการตั้งแต่ต้นจนจบ	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	เชื่อมหลักฐานกับผู้รับผิดชอบและแก้ช่องว่างเร่งด่วน	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ซ้อมตอบคำถามตรวจด้วยหลักฐานจริงและให้ผู้ไม่ใช่เจ้าของงานทวน	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าสร้างบันทึกย้อนหลังให้ดูเหมือนมีอยู่ก่อนเหตุ เอกสารแก้ไขภายหลังต้องระบุวันที่และเหตุผลตามจริง การยอมรับช่องว่างพร้อมแผนแก้มีประโยชน์กว่าการรับรองครบโดยไม่มีหลักฐาน

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่าน10 หลักฐานที่พิสูจน์ว่าองค์กรทำ PDPA จริง และวิธีตรวจแต่ละชุด และมี Privacy Notice ครบแล้ว ทำไมยังไม่พร้อมให้ตรวจ PDPA

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านขอสำเนาข้อมูลส่วนบุคคล กฎใหม่ปี 2569 องค์กรต้องทำอะไรบ้าง ฉบับทนายประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

บทความเจาะลึกในหมวดนี้

• มี Privacy Notice ครบแล้ว ทำไมยังไม่พร้อมให้ตรวจ PDPA
• 10 หลักฐานที่พิสูจน์ว่าองค์กรทำ PDPA จริง และวิธีตรวจแต่ละชุด
• องค์กรแบบใดต้องมี DPO ตรวจเกณฑ์มาตรา 41 ก่อนแต่งตั้ง
• ความยินยอม PDPA แบบใดใช้ไม่ได้ และเมื่อใดควรใช้ฐานอื่น
• ประโยชน์โดยชอบด้วยกฎหมาย ใช้เมื่อใดและบันทึกการชั่งน้ำหนักอย่างไร

อ่านต่อ: สิทธิและแนวปฏิบัติในสถานการณ์ที่เกี่ยวข้อง

• ข้อมูลเด็กและผู้เยาว์ ใครต้องให้ความยินยอมตาม PDPA
• ร้านค้าและธุรกิจเล็กต้องทำ PDPA แค่ไหน เริ่มจากงานที่ใช้จริง
• ติด CCTV ในร้านต้องมีป้ายอะไร และลูกค้าขอดูภาพได้แค่ไหน
• ตำรวจหรือหน่วยงานรัฐขอข้อมูลลูกค้า บริษัทส่งได้แค่ไหน
• PDPA คอนโดและหมู่บ้านจัดสรร นิติบุคคลใช้ข้อมูลลูกบ้านได้แค่ไหน
• PDPA เจ้าของห้องเช่า เก็บบัตรผู้เช่า ติดกล้องและแจ้งนิติบุคคลได้แค่ไหน
• PDPA โรงพยาบาลและคลินิก ใครดูเวชระเบียนได้และใช้ภาพคนไข้ได้แค่ไหน
• PDPA โรงเรียนและสถานศึกษา ใช้รูปเด็ก ผลการเรียนและข้อมูลสุขภาพอย่างไร
• สมัครสมาชิกร้านและสะสมแต้ม ขอเบอร์ วันเกิดและยินยอมการตลาดอย่างไร
• PDPA งานสัมมนาและอีเวนต์ ลงทะเบียน ถ่ายภาพและส่งรายชื่อสปอนเซอร์อย่างไร
• PDPA Certification 2569 คืออะไร ใครขอได้และต้องเตรียมอะไร
• แลกบัตรเข้าอาคารและถ่ายสำเนาบัตรประชาชน เก็บได้แค่ไหนตาม PDPA
• คุกกี้เว็บไซต์ต้องขอความยินยอมไหม ตรวจทั้งแบนเนอร์และการทำงานจริง
• เก็บข้อมูลลูกค้าใน Excel Google Sheets และ LINE ปลอดภัยพอตาม PDPA ไหม

หลักฐานการใช้ข้อมูล วัตถุประสงค์ และระบบทดสอบ

• เปลี่ยนวัตถุประสงค์ใช้ข้อมูลลูกค้าเดิม ต้องปรับอะไร
• ทะเบียนความยินยอม PDPA เก็บอะไรให้พิสูจน์ได้จริง
• ข้อมูลนิรนาม ลบชื่อแล้วพ้น PDPA จริงหรือไม่
• ข้อมูลลูกค้าจริงในระบบทดสอบ ต้องคุมอะไรตาม PDPA

การส่งมอบข้อมูลเมื่อบริษัทเลิกกิจการ

• บริษัทเลิกกิจการ ข้อมูลลูกค้าและเอกสาร PDPA ใครดูแล

ข้อกฎหมายที่เกี่ยวข้อง

มาตรา 23 เกี่ยวกับการแจ้ง มาตรา 24 และ 26 เกี่ยวกับฐาน มาตรา 37 เกี่ยวกับการจัดการและความปลอดภัย มาตรา 39 เกี่ยวกับบันทึกรายการ และมาตรา 40 ถึง 42 เกี่ยวกับผู้ประมวลผลและ DPO การมีหรือได้รับยกเว้นหน้าที่บางส่วนต้องดูเงื่อนไข ไม่ใช้ขนาดกิจการเป็นข้อยกเว้นทุกเรื่อง

คำถามที่พบบ่อย

มี Privacy Notice แล้วถือว่าพร้อมตรวจไหม

ยังต้องพิสูจน์ฐานกฎหมาย ความจำเป็น สิทธิ ความปลอดภัยและการปฏิบัติจริงตามกิจกรรมนั้น

ไม่เคยมีเหตุรั่วต้องมีบันทึกเหตุไหม

ไม่ควรแต่งเหตุที่ไม่มี แต่ควรมีขั้นตอนและผลซ้อมที่ระบุว่าเป็นการทดสอบ พร้อมระบบรับเหตุที่ใช้ได้

บริษัทเล็กได้รับยกเว้นทั้งหมดไหม

ไม่ใช่ ข้อยกเว้นบางหน้าที่มีเงื่อนไขและไม่ทำให้หน้าที่ PDPA ทุกเรื่องหายไป

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ