จ้างตรวจ PDPA ต้องกำหนดขอบเขตและรับรายงานอะไรบ้าง

จ้างตรวจ PDPA แล้วได้รายงานว่ามีจุดเสี่ยง ยังไม่เท่ากับองค์กรแก้ปัญหาเสร็จ ก่อนอนุมัติใบเสนอราคา ควรรู้ว่าผู้ตรวจจะเข้าถึงกระบวนการใด ใช้หลักฐานอะไร และส่งมอบงานให้ใครนำไปแก้ต่อ บทความนี้ช่วยเจ้าของธุรกิจและฝ่ายจัดซื้อกำหนดขอบเขต PDPA Audit ให้ตรวจรับได้จริง

จ้างตรวจ PDPA ให้ได้งานที่ใช้ต่อ ต้องตกลงอะไรเป็นหลัก

จุดเริ่มต้นของการจ้างตรวจ PDPA คือคำถามทางธุรกิจ เช่น บริษัทมีเอกสารอยู่แล้วแต่ไม่เคยลองตอบคำขอลบข้อมูล หรือกำลังจะให้คู่ค้าตรวจความพร้อมเพื่อเริ่มสัญญาใหม่ คำถามเหล่านี้นำไปสู่ขอบเขตคนละแบบ จึงไม่ควรใช้จำนวนหน้าเอกสารหรือจำนวนเช็กลิสต์เป็นตัวตัดสินเพียงอย่างเดียว

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 วางหน้าที่ของผู้ควบคุมข้อมูลเกี่ยวกับมาตรการความปลอดภัย การเก็บรักษา และการรับมือเหตุละเมิด ส่วนมาตรา 39 เกี่ยวข้องกับบันทึกรายการ การตรวจที่มีประโยชน์จึงต้องเชื่อมหน้าที่กับสิ่งที่องค์กรทำจริง ไม่หยุดอยู่ที่การพบไฟล์นโยบายในโฟลเดอร์ ทั้งนี้ ต้องตรวจข้อยกเว้นและกฎหมายลำดับรองที่ใช้กับองค์กรนั้นด้วย

ระบุหน่วยตรวจให้ชัดกว่าคำว่า “ตรวจทั้งบริษัท”

เขียนชื่อนิติบุคคล สาขา หน่วยงาน และระบบที่จะตรวจ พร้อมช่วงเวลาของข้อมูลตัวอย่าง เช่น ตรวจงานรับสมัครพนักงานของบริษัท ก และการส่งข้อมูลให้ผู้ทำเงินเดือนภายนอก โดยไม่รวมบริษัทลูก หากสำนักงานใหญ่ใช้ระบบร่วมกันกับบริษัทลูก ต้องอธิบายว่าระบบร่วมส่วนใดอยู่ในขอบเขตและส่วนใดยังไม่ได้ตรวจ

จากนั้นกำหนดวิธีตรวจให้ตรงความเสี่ยง งานอ่านเอกสาร งานสัมภาษณ์ และการสาธิตขั้นตอนจริงให้หลักฐานต่างกัน การมีนโยบายให้ปิดบัญชีพนักงานเมื่อออกจากงาน ไม่ได้พิสูจน์ว่าบัญชีถูกปิดแล้ว ผู้ตรวจอาจต้องขอดูตัวอย่างคำสั่งปิดสิทธิและหลักฐานดำเนินการ โดยปกปิดข้อมูลที่ไม่จำเป็น

รายงานควรพาผู้อ่านย้อนกลับไปหาหลักฐานได้

รายการข้อค้นพบที่ตรวจรับได้ควรระบุสิ่งที่พบ หลักฐานและวันที่ตรวจ หน้าที่ตามกฎหมายหรือเกณฑ์ที่ใช้ เหตุผลของระดับความเสี่ยง และข้อเสนอแก้ไข ผู้บริหารควรรู้ด้วยว่าส่วนใดผู้ตรวจยังยืนยันไม่ได้เพราะไม่ได้รับข้อมูล อย่าเปลี่ยนคำว่า “ยังไม่ได้ตรวจ” เป็น “ไม่มีปัญหา” ในรายงานสรุป

ตัวอย่างสมมติ บริษัทมีแบบแจ้งความเป็นส่วนตัวของผู้สมัครงาน แต่ผู้สัมภาษณ์ส่งประวัติผู้สมัครไปเก็บในบัญชีส่วนตัว ข้อค้นพบควรอธิบายช่องทางและผู้เข้าถึงที่ตรวจพบ ไม่เขียนเพียง “ต้องปรับ Privacy Notice” เพราะการแก้ถ้อยคำอย่างเดียวอาจไม่แก้ปัญหาการจัดเก็บและสิทธิใช้งาน

หากต้องการให้ทนายตรวจเอกสารร่วมกับกระบวนการ ดูขอบเขต PDPA Legal Health Check แล้วเทียบกับรายการที่องค์กรต้องการจริง ส่วนวิธีจัดเตรียมหลักฐานให้อ่าน คู่มือ PDPA Audit และหลักฐานที่ควรมี ประกอบ

ตรวจเอกสาร ตรวจระบบ และแก้ไขงาน เป็นขอบเขตต่างกัน

คำว่า PDPA Audit อาจใช้เรียกงานหลายลักษณะ ใบเสนอราคาจึงควรบอกสิ่งที่รวมและไม่รวมเป็นรายการ หากจ้างให้ตรวจเอกสารกับสัมภาษณ์ฝ่ายงาน อย่าอนุมานว่ารวมการทดสอบเจาะระบบ การแก้โค้ด การทำ ROPA ใหม่ทั้งองค์กร หรือการเป็นตัวแทนตอบหน่วยงานกำกับแล้ว

มีเอกสารแล้วแต่ไม่เคยทดสอบการทำงาน

กรณีนี้ควรเน้นการเดินตามกระบวนการตัวอย่าง เช่น คำขอเข้าถึงข้อมูลเข้าทางใด ใครตรวจตัวตน และค้นข้อมูลจากระบบไหน งานอาจพบว่าเอกสารเขียนถูกแต่ผู้ปฏิบัติไม่รู้ว่าต้องส่งเรื่องให้ใคร จึงควรมีทั้งข้อเสนอแก้เอกสารและข้อเสนอแก้ขั้นตอน

ยังไม่รู้ว่าบริษัทเก็บข้อมูลที่ไหนบ้าง

ควรเริ่มสำรวจกิจกรรมและระบบก่อนประเมินความครบถ้วนของเอกสาร การตรวจเฉพาะแบบฟอร์มที่ฝ่ายบุคคลส่งมาอาจไม่ครอบคลุมข้อมูลลูกค้าในฝ่ายขาย หากต้องจัดทำบันทึกรายการด้วย ให้แยกขอบเขต งาน ROPA ว่ารวมสัมภาษณ์ทุกหน่วยงานหรือใช้ข้อมูลที่บริษัทเตรียมเอง

พบเหตุข้อมูลรั่วไหลระหว่างตรวจ

ต้องแยกการตอบสนองเหตุออกจากงานตรวจตามแผน อย่ารอวันส่งรายงานเพื่อเริ่มประเมินเหตุ มาตรา 37(4) กำหนดเรื่องแจ้งสำนักงานโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิและเสรีภาพ และหากมีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาตามกฎหมายด้วย

การพบช่องโหว่ยังไม่เท่ากับยืนยันว่าเกิดการละเมิดข้อมูลทุกกรณี ต้องตรวจข้อเท็จจริงและความเสี่ยง แต่สัญญาจ้างตรวจควรกำหนดช่องทางยกระดับเหตุเร่งด่วนไว้ ไม่ให้รายงานสำคัญค้างอยู่ในอีเมลผู้ประสานงานที่ลาพักร้อน ดู บริการรับมือเหตุข้อมูลรั่วไหล สำหรับงานประเภทนี้

เลนส์ทนายยอดทิพย์ธรรม: รายงานผ่านไม่ได้ย้ายความรับผิดออกจากบริษัท

คนมักเข้าใจว่า เมื่อจ้างผู้ตรวจภายนอกและรับรายงานแล้ว บริษัทน่าจะถือว่าทำ PDPA ครบ หากคู่ค้าขอดูหลักฐานก็ส่งรายงานฉบับเดียวให้จบ

กฎหมายมองว่า หน้าที่ของผู้ควบคุมข้อมูลยังผูกกับบทบาทและการดำเนินงานจริง การจ้างที่ปรึกษาไม่ได้ทำให้หน้าที่ตามมาตรา 37 หายไป และรายงานตรวจเอกชนไม่ควรถูกนำเสนอว่าเป็นการรับรองของหน่วยงานรัฐ เว้นแต่มีฐานการรับรองเฉพาะที่ตรวจสอบได้จริง

จุดเสี่ยงจริง คือรายงานระบุข้อบกพร่องแล้วไม่มีผู้รับผิดชอบแก้ หรือผู้บริหารเข้าใจว่าคำว่า “ตรวจแล้ว” ครอบคลุมทุกระบบ ทั้งที่มีเพียงการสุ่มตัวอย่างในบางแผนก ควรแยกสถานะ “พบและแจ้งแล้ว” “อยู่ระหว่างแก้” และ “ตรวจหลักฐานแก้ไขแล้ว” ออกจากกัน

ข้อตกลงว่าจ้างควรกำหนดวิธีแก้รายงานที่อ้างข้อเท็จจริงผิด และวิธีรับความเห็นของหน่วยงานที่ถูกตรวจด้วย การไม่เห็นด้วยกับระดับความเสี่ยงไม่ควรถูกแก้ด้วยการลบข้อค้นพบเงียบ ๆ ให้บันทึกเหตุผล หลักฐานเพิ่มเติม และผู้ตัดสินใจไว้ เพื่อให้ผู้บริหารเห็นความเห็นที่ต่างกันอย่างตรงไปตรงมา

มองสองฝั่ง: องค์กรผู้จ้างกับผู้ตรวจ PDPA ต้องรับผิดชอบอะไร

ควรตกลงตั้งแต่ต้นว่าใครมีสิทธิรับรายงานฉบับเต็ม รายงานอาจมีแผนผังระบบ ช่องโหว่ และข้อมูลบุคคล จึงไม่ควรส่งทั้งฉบับให้คู่ค้าทุกรายโดยอัตโนมัติ อาจจัดทำฉบับสรุปสำหรับภายนอกที่ตัดข้อมูลไม่จำเป็น และตรวจหน้าที่รักษาความลับก่อนส่ง

ถ้าผู้ตรวจจะใช้ผู้รับจ้างช่วงหรือเครื่องมือภายนอก ต้องแจ้งขอบเขตการเข้าถึงและเงื่อนไขที่เกี่ยวข้องด้วย โดยเฉพาะการนำข้อมูลไปประมวลผลบนระบบอื่น การมีข้อตกลงรักษาความลับไม่ได้แทนการตรวจฐานกฎหมายและบทบาทของผู้รับข้อมูลทั้งหมด

ควรตรวจเมื่อไร และกำหนดวันส่งงานอย่างไรไม่ให้สับสนกับกฎหมาย

มาตรา 37(1) กำหนดให้ทบทวนมาตรการความปลอดภัยเมื่อจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลง ไม่ได้หมายความว่าทุกบริษัทต้องซื้อแพ็กเกจตรวจจากภายนอกปีละครั้งตามชื่อบริการ การกำหนดรอบภายในควรดูความเสี่ยง การเปลี่ยนระบบ ข้อกำหนดเฉพาะอุตสาหกรรม และสัญญากับคู่ค้า

เหตุที่ควรพิจารณาตรวจใหม่ เช่น เปลี่ยนระบบ HR รวมฐานลูกค้าหลังซื้อกิจการ เริ่มเก็บข้อมูลสุขภาพ หรือได้รับคำร้องเรียนซ้ำในขั้นตอนเดิม หากเพิ่งตรวจไปแต่กระบวนการเปลี่ยนมาก การอ้างรายงานเก่าโดยไม่อธิบายขอบเขตอาจทำให้คู่ค้าเข้าใจผิด

ในสัญญาให้แยกวันเริ่มโครงการ วันได้รับข้อมูลครบ วันส่งร่าง และช่วงเวลาตอบข้อทักท้วง หากบริษัทส่งข้อมูลช้า ควรมีวิธีแจ้งผลกระทบต่อตารางงานและอนุมัติวันใหม่ ไม่เขียนเพียงว่ากำหนดส่งเลื่อนไปโดยผู้รับจ้างเป็นผู้ตัดสินฝ่ายเดียว

แผน 30/60/90 วันเป็นวิธีจัดลำดับงานที่คู่สัญญาอาจตกลง ไม่ใช่ระยะผ่อนผันทางกฎหมายสำหรับทุกข้อบกพร่อง เรื่องที่ต้องดำเนินการทันทีต้องแยกออกจากรายการปรับปรุงตามแผน ส่วนระยะตอบคำขอของเจ้าของข้อมูลต้องตรวจตามสิทธิและกฎหมายที่ใช้กับคำขอนั้น

ค่าจ้างตรวจ PDPA ควรเทียบกับอะไร และต้องเผื่องบแก้ไขเท่าไร

ราคาขึ้นกับขอบเขต เช่น จำนวนนิติบุคคล กิจกรรมข้อมูล ระบบ ผู้เกี่ยวข้องที่ต้องสัมภาษณ์ ความซับซ้อนของข้อมูล และระดับการทดสอบ อย่าเทียบใบเสนอราคาที่อ่านเอกสารอย่างเดียวกับงานที่ตรวจหลักฐานการปฏิบัติจริงแล้วสรุปว่าต่างกันเพราะราคาเท่านั้น

ขอให้แยกค่าใช้จ่ายที่อาจเกิดภายหลัง ได้แก่ การร่างเอกสารใหม่ การปรับระบบ การอบรม และการตรวจปิดข้อค้นพบ หากต้องเดินทางหรือซื้อเครื่องมือเพิ่มเติม ควรมีขั้นตอนอนุมัติก่อนใช้จ่าย ไม่ปล่อยให้เป็นรายการที่รู้เมื่อส่งใบแจ้งหนี้แล้ว

ตัวอย่างสมมติสำหรับวางแผนกำลังคนภายใน ไม่ใช่อัตราค่าบริการสำนักงาน: ฝ่ายบุคคลเตรียมข้อมูล 8 ชั่วโมงที่ต้นทุนชั่วโมงละ 350 บาท ฝ่าย IT 6 ชั่วโมงที่ 500 บาท และฝ่ายปฏิบัติการ 4 ชั่วโมงที่ 300 บาท จะมีต้นทุนเวลารวม 2,800 + 3,000 + 1,200 = 7,000 บาท ตัวเลขจริงต้องใช้ต้นทุนขององค์กรเอง และยังไม่รวมค่าจ้างตรวจหรือค่าแก้ระบบ

การใช้เวลาเตรียมหลักฐานมีผลต่อโครงการ หากไม่มีผู้รับผิดชอบรวบรวมข้อมูล ผู้ตรวจอาจต้องบันทึกข้อจำกัดหลายจุดแทนการสรุปผล ควรจัดงบและเวลาสำหรับการแก้ไขหลังรับรายงานด้วย มิฉะนั้นองค์กรอาจมีรายงานเพิ่มแต่ความเสี่ยงเดิมยังอยู่

สำหรับการจัดซื้อ ควรกำหนดการจ่ายเงินให้สัมพันธ์กับสิ่งส่งมอบที่ตกลง แต่ไม่ควรผูกเงินทั้งหมดกับเงื่อนไขว่าองค์กรต้อง “ผ่านทุกข้อ” เพราะข้อค้นพบที่ไม่ผ่านอาจเป็นผลตรวจที่ถูกต้องและเป็นประโยชน์

เตรียมเอกสารก่อนจ้างและกำหนดเกณฑ์รับมอบให้ตรวจได้

เริ่มจากรายการกิจกรรมและผู้รับผิดชอบ ไม่ต้องส่งสำเนาบัตรประชาชนหรือข้อมูลสุขภาพจำนวนมากเพื่อขอราคา หากยังไม่จำเป็น ใช้ภาพรวมระบบ จำนวนกลุ่มข้อมูล และตัวอย่างที่ปกปิดข้อมูลก่อน แล้วจึงตกลงช่องทางรับส่งที่เหมาะสมเมื่อเข้าสู่ขั้นตรวจจริง

• รายชื่อนิติบุคคล สาขา ระบบ และหน่วยงานในขอบเขต พร้อมผู้ให้ข้อมูล
• ROPA หรือรายการกิจกรรมที่มีอยู่ แม้ยังไม่สมบูรณ์ ให้ระบุสถานะตามจริง
• Privacy Notice แบบความยินยอม และตัวอย่างช่องทางที่ใช้งานจริง
• สัญญาผู้ให้บริการ รายการสิทธิระบบ นโยบายเก็บรักษา และหลักฐานลบข้อมูลตัวอย่าง
• ขั้นตอนคำขอใช้สิทธิ บันทึกเหตุละเมิด และผลตรวจเดิมที่เกี่ยวข้อง

ก่อนรับมอบ ให้ตรวจว่ารายงานระบุวันที่และวิธีตรวจครบ ข้อค้นพบอ้างกลับไปยังหลักฐานได้ ข้อเสนอมีผู้รับผิดชอบและลำดับดำเนินงาน รวมถึงมีข้อจำกัดของการสุ่มตรวจ ไม่ควรยอมรับคำว่า “ครบตามกฎหมาย” ที่ไม่มีขอบเขตหรือเหตุผลรองรับ

ตัวอย่างเกณฑ์รับมอบสำหรับนำไปปรับใช้

อาจกำหนดว่า “ข้อค้นพบแต่ละรายการต้องแสดงกระบวนการที่ตรวจ หลักฐานอ้างอิง เกณฑ์ที่ใช้ เหตุผลระดับความเสี่ยง และข้อเสนอแก้ไข พร้อมแยกรายการที่ไม่สามารถสรุปได้เนื่องจากข้อมูลไม่เพียงพอ” ข้อความนี้เป็นตัวอย่างด้านขอบเขตงาน ต้องปรับจำนวนรายการ รูปแบบไฟล์ และกระบวนการทักท้วงให้ตรงกับโครงการจริง

หากตกลงให้กลับมาตรวจหลังแก้ ต้องระบุว่าครอบคลุมกี่รอบและตรวจจากหลักฐานประเภทใด การประชุมอธิบายรายงานกับการตรวจซ้ำหลังเปลี่ยนระบบเป็นคนละงาน ไม่ควรถือว่ารวมกันเพียงเพราะใบเสนอราคาใช้คำว่า “ติดตามผล”

กฎหมายที่เชื่อมกับการจ้างตรวจ: บทบาทผู้รับข้อมูลและ DPO

ผู้ตรวจภายนอกไม่ได้เป็นผู้ประมวลผลข้อมูลในทุกกิจกรรมโดยอัตโนมัติ ต้องดูว่าใครกำหนดวัตถุประสงค์และวิธีดำเนินการ หากงานเข้าลักษณะผู้ประมวลผลที่ทำตามคำสั่งขององค์กร มาตรา 40 กำหนดให้ผู้ควบคุมจัดให้มีข้อตกลงระหว่างกันเพื่อควบคุมการดำเนินงาน จึงต้องพิจารณา ข้อตกลงประมวลผลข้อมูลหรือ DPA ตามบทบาทจริง

ข้อตกลงควรระบุสิทธิการเข้าถึง การรักษาความลับ การส่งข้อมูลให้ผู้เกี่ยวข้อง และการคืนหรือลบข้อมูลเมื่อจบงาน รวมถึงการเก็บหลักฐานที่จำเป็นตามกฎหมายหรือเพื่อใช้สิทธิเรียกร้องโดยมีเหตุผลรองรับ ไม่สัญญาว่าลบทุกอย่างทันทีโดยไม่ตรวจภาระเก็บรักษาที่ใช้กับกรณีนั้น

การจ้างตรวจครั้งเดียวไม่ทำให้ผู้ตรวจได้รับแต่งตั้งเป็น DPO อัตโนมัติ ต้องพิจารณาเงื่อนไขการแต่งตั้งตามมาตรา 41 และหน้าที่ตามมาตรา 42 แยกต่างหาก หากต้องการจ้างดูแลต่อเนื่อง ให้ระบุบทบาท งานประจำ การรายงาน และความเป็นอิสระที่กฎหมายกำหนดไว้ต่างจากงานตรวจโครงการ

หากองค์กรต้องร่างสัญญาจ้างผู้ตรวจหรือที่ปรึกษาให้ชัด อ่าน สัญญาจ้างที่ปรึกษาธุรกิจและเกณฑ์รับงาน เพื่อวางสิ่งส่งมอบและการเปลี่ยนขอบเขตให้สอดคล้องกับงาน PDPA

ทางไปต่อ: จากขอราคาไปสู่รายงานที่มีคนรับผิดชอบแก้

1. ระบุปัญหาที่ต้องการคำตอบและนิติบุคคลที่จะตรวจ ให้ทุกฝ่ายเห็นขอบเขตเดียวกัน
2. รวบรวมรายการระบบและกิจกรรม พร้อมระบุข้อมูลที่ยังไม่มี ไม่เติมให้ดูครบเพื่อขอราคา
3. ขอขอบเขตงานที่แยกการตรวจ รายงาน การแก้ไข และการตรวจซ้ำ พร้อมข้อยกเว้น
4. กำหนดช่องทางส่งข้อมูล ผู้รับรายงาน และวิธียกระดับเรื่องเร่งด่วนก่อนเริ่มงาน
5. รับรายงานโดยตรวจหลักฐานและข้อจำกัด แล้วมอบหมายผู้รับผิดชอบแก้ไขเป็นรายข้อ
6. เก็บผลการแก้และทบทวนเมื่อกระบวนการเปลี่ยน เพื่อให้รายงานยังใช้อธิบายการทำงานได้

ควรให้ทนายช่วยตรวจขอบเขตก่อนตกลง หากใบเสนอราคารับรองว่าปลอดความเสี่ยงทุกกรณี ไม่ระบุว่าจะตรวจหลักฐานใด ขอกวาดข้อมูลจริงทั้งหมดตั้งแต่ขั้นขอราคา หรือระบุว่าผู้ตรวจไม่รับผิดอะไรเลยแม้สรุปผิดจากการทำงานของตน เงื่อนไขเหล่านี้ควรถูกอธิบายและปรับให้ตรงกับงานที่ซื้อ

หากต้องการประเมินว่าควรเริ่มตรวจส่วนใด ส่งภาพรวมธุรกิจ หน่วยงานที่ใช้ข้อมูล และเอกสารที่มีให้ ติดต่อสำนักงานกฎหมายยอดทิพย์ธรรม เพื่อกำหนดขอบเขต บริการ PDPA สำหรับองค์กร และงานตรวจที่เหมาะสม ก่อนให้สำนักงานเสนอรายละเอียดงานและค่าใช้จ่ายตามข้อมูลจริง

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก หนี้สิน และ PDPA

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี · คุ้มครองข้อมูลส่วนบุคคล (PDPA)

ดูประวัติและช่องทางติดต่อผู้เขียน →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ