คำสั่งแก้ไข PDPA ทำแผนและรายงานผลอย่างไรให้ครบ

คำสั่งแก้ไข PDPA ต้องแปลงเป็นงานที่มีผู้รับผิดชอบ กำหนดส่ง และหลักฐานตรงกับคำสั่ง ก่อนรายงานว่าแก้ครบ บริษัทควรตรวจสิ่งที่ทำจริง งานคู่ค้า และความเสี่ยงที่เหลือ เพื่อให้รายงานตรงกับสภาพระบบ

คำสั่งแก้ไข PDPA ต้องเริ่มจัดการอย่างไร?

อ่านขอบเขตและกำหนดเวลาตามคำสั่ง แล้วทำตารางเทียบข้อสั่งการกับงาน หลักฐาน และคนอนุมัติผล การส่งแผนอย่างเดียวอาจยังไม่ครบหน้าที่ หากคำสั่งให้แก้จริงหรือระงับการกระทำ บริษัทต้องดำเนินการตามกำหนดและรายงานข้อเท็จจริง

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 74 วรรคสาม ให้อำนาจคณะกรรมการผู้เชี่ยวชาญสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลแก้ไขการกระทำ รวมถึงห้ามกระทำหรือให้ระงับความเสียหายภายในเวลาที่กำหนด เมื่อเข้าเงื่อนไขตามมาตรานั้น หากไม่ยอมปฏิบัติ วรรคสี่ให้นำการบังคับทางปกครองมาใช้โดยอนุโลม จึงไม่ควรถือหนังสือประเภทนี้เป็นคำแนะนำทั่วไปที่เลือกทำภายหลังได้

ตรวจชื่อผู้รับคำสั่ง เลขที่หนังสือ วันที่ได้รับ ช่องทางส่งกลับ และภาคผนวกให้ครบก่อนกระจายงาน คำสั่งให้หยุดเปิดเผยข้อมูลย่อมต้องจัดการการเปิดเผยที่ยังดำเนินอยู่ ส่วนคำสั่งให้ปรับปรุงมาตรการรักษาความมั่นคงปลอดภัยอาจต้องมีทั้งการตั้งค่าระบบ การกำหนดสิทธิ และการทดสอบว่าผู้ไม่มีหน้าที่เข้าไม่ถึงข้อมูลจริง รายงานการอบรมอย่างเดียวอาจไม่ตอบข้อสั่งการที่เกี่ยวกับระบบ

แผนแก้ไขควรแยกงานเร่งด่วนเพื่อหยุดความเสียหายออกจากงานป้องกันเหตุซ้ำ โดยทุกงานผูกกับหมายเลขข้อในคำสั่ง ระบุผลที่ต้องได้ เช่น ปิดการเข้าถึงของบัญชีที่หมดหน้าที่ แล้วจึงระบุกิจกรรมที่จะทำ ไม่ใช้เพียงคำว่า “ปรับปรุงแล้ว” หรือ “อยู่ระหว่างดำเนินการ” โดยไม่มีรายละเอียด

ตัวอย่างสมมติ: บริษัทได้รับคำสั่งให้ระงับการเปิดเผยรายชื่อลูกค้าผ่านโฟลเดอร์ร่วมและแก้สิทธิผู้ใช้งานภายในวันที่ระบุ บริษัทปิดลิงก์ทันที แต่พบว่าสำเนายังอยู่ในพื้นที่ของผู้รับจ้าง รายงานจึงต้องแยกสถานะการปิดลิงก์ของบริษัท การสั่งคู่ค้าแก้ไข และหลักฐานยืนยันจากคู่ค้า ไม่รวมทั้งหมดเป็นรายการเสร็จแล้วเพียงเพราะหน้าเว็บต้นทางเปิดไม่ได้

ตรวจข้อความกฎหมายได้จาก พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และอ่านภาพรวมใน แนวทางรับมือข้อร้องเรียนและคำสั่งตาม PDPA ก่อนตัดสินใจว่าจะปฏิบัติ ชี้แจง หรือใช้สิทธิต่อคำสั่งอย่างไร

แผนแก้ไขบางข้อยังไม่เสร็จ ควรรายงานแบบไหน?

ถ้าทำเสร็จและทดสอบแล้ว ให้ระบุวันที่ดำเนินการ ผลทดสอบ ผู้ตรวจ และหลักฐานอ้างอิง ภาพหน้าจอควรบอกได้ว่าเป็นระบบใดและทดสอบด้วยสิทธิประเภทใด โดยปิดข้อมูลบุคคลที่ไม่จำเป็นต่อการพิจารณา อย่าส่งข้อมูลลูกค้าทั้งฐานเพื่อพิสูจน์การปิดสิทธิเพียงบัญชีเดียว

ถ้าทำเสร็จบางส่วน ให้แสดงส่วนที่เสร็จ ส่วนค้าง และมาตรการชั่วคราวที่ใช้จำกัดความเสียหาย ระบุเหตุขัดข้องอย่างตรวจสอบได้ เช่น ต้องแก้ซอฟต์แวร์ร่วมกับผู้ให้บริการ พร้อมเอกสารยืนยันงานที่สั่งไปและวันนัดส่งมอบ ไม่ควรให้เหตุผลกว้าง ๆ ว่ารอฝ่ายไอทีโดยไม่มีผู้รับผิดชอบและกำหนดติดตาม

ถ้าคิดว่าข้อสั่งการคลุมเครือหรือทำไม่ได้ตามกำหนด ควรจัดทำคำชี้แจงหรือคำขอที่มีเหตุผลและหลักฐานก่อนครบกำหนด พร้อมตรวจช่องทางที่ใช้ได้กับคำสั่งนั้น การส่งคำขอไม่ได้ทำให้กำหนดเดิมขยายหรือหยุดบังคับเอง ต้องติดตามผลจากผู้มีอำนาจ และยังจัดการความเสี่ยงที่ทำได้ต่อไป

ถ้าพบเหตุข้อมูลรั่วระหว่างแก้ไข ต้องประเมินหน้าที่แจ้งเหตุแยกต่างหากตามมาตรา 37 (4) ไม่ถือว่ารายงานแก้ไขแทนรายงานเหตุละเมิดได้เสมอ ทีมที่รับผิดชอบคำสั่งควรส่งข้อมูลให้ทีมตอบสนองเหตุทันที เพื่อไม่ให้แต่ละฝ่ายเข้าใจว่าอีกฝ่ายดำเนินการแล้ว

เลนส์ทนายยอดทิพย์ธรรม: แผนสวยยังไม่ใช่ผลแก้ไข

คนมักเข้าใจว่า: เมื่อมีนโยบายฉบับใหม่และส่งรายงานครบหน้า ก็ถือว่าปฏิบัติตามคำสั่งแล้ว ความเข้าใจนี้ทำให้หลักฐานเน้นเอกสารอนุมัติมากกว่าสภาพการทำงานจริง เช่น ระเบียบบอกว่าจำกัดสิทธิแล้ว แต่บัญชีเก่ายังเปิดแฟ้มลูกค้าได้

กฎหมายมองว่า: ต้องดูสิ่งที่คำสั่งให้ทำและหน้าที่ตามกฎหมายที่เกี่ยวข้อง หากสั่งระงับความเสียหาย ผลที่ต้องตรวจคือการกระทำที่ก่อความเสียหายหยุดลงอย่างไร หากสั่งแก้มาตรการ ต้องตรวจว่ามาตรการนั้นเหมาะกับความเสี่ยงและนำไปใช้จริงหรือยัง การมีเอกสารเป็นส่วนหนึ่งของหลักฐาน แต่ไม่แทนข้อเท็จจริงทุกด้าน

จุดเสี่ยงจริง: ผู้ลงนามรับรองงานจากคำรายงานของหลายทีมโดยไม่ได้เห็นหลักฐานฉบับเดียวกัน ควรให้เจ้าของระบบรับรองข้อเท็จจริงด้านเทคนิค ฝ่ายงานยืนยันขั้นตอนที่ใช้จริง และผู้รับผิดชอบด้านกฎหมายตรวจข้อความก่อนส่ง หากข้อมูลยังไม่แน่นอนให้ระบุข้อจำกัด ไม่เติมคำรับรองเด็ดขาดเพื่อให้หนังสือดูเรียบร้อย

มองสองฝั่ง: บริษัทกับเจ้าของข้อมูลต้องเห็นอะไร?

ทั้งสองฝ่ายควรแยกข้อเท็จจริงที่ตรวจยืนยันแล้วออกจากข้อสันนิษฐาน วิธีนี้ช่วยให้การติดตามผลมุ่งไปที่งานที่ยังขาด และลดข้อโต้แย้งเรื่องถ้อยคำที่ไม่ได้สะท้อนสภาพจริง

กำหนดเวลาเริ่มนับจากไหน และพลาดแล้วมีผลอย่างไร?

กำหนดปฏิบัติต้องอ่านจากคำสั่งจริง รวมทั้งวิธีแจ้งและเงื่อนไขการนับเวลา ไม่มีกำหนด 7 วันหรือ 30 วันเดียวที่ใช้กับคำสั่งแก้ไข PDPA ทุกเรื่อง ให้เก็บซอง ใบรับ อีเมล หรือหลักฐานการรับทางระบบ พร้อมบันทึกว่าใครได้รับเมื่อใด เพื่อให้ตรวจวันเริ่มนับได้ภายหลัง

เมื่อตรวจวันครบกำหนดแล้ว ควรวางวันตรวจงานและวันให้ผู้มีอำนาจลงนามก่อนวันส่งจริง เช่น บริษัทอาจกำหนดตรวจหลักฐานก่อนส่งสองวันทำการเป็นแผนภายใน ตัวเลขนี้เป็นข้อเสนอเพื่อจัดงาน ไม่ใช่เวลาผ่อนผันตามกฎหมาย หากคำสั่งเหลือเวลาน้อยต้องปรับแผนตามเวลาที่เหลือ

หากส่งไม่ทัน ให้รายงานสถานะและเหตุขัดข้องตามจริงพร้อมดำเนินการส่วนที่ทำได้ ไม่รอจนทุกงานครบจึงเริ่มติดต่อ การไม่ปฏิบัติตามคำสั่งอาจนำไปสู่การบังคับทางปกครอง ส่วนการโต้แย้งคำสั่งต้องตรวจช่องทางและกำหนดเวลาของกรณีเฉพาะ โดยอย่าอนุมานว่าการโต้แย้งทำให้คำสั่งหยุดมีผล

งบแก้ไขควรคำนวณอย่างไรโดยไม่ปนกับค่าปรับ?

แยกงบดำเนินงานออกจากค่าปรับหรือค่าสินไหม เพราะแต่ละส่วนมีที่มาและผู้รับเงินต่างกัน สูตรจัดงบภายในอย่างง่ายคือ ค่าแก้ระบบ + ค่าตรวจทดสอบ + ค่าดำเนินเอกสารและสื่อสาร + เงินสำรองงานที่ระบุความเสี่ยงไว้ ไม่ควรนำยอดเพดานโทษมาเป็นยอดที่ต้องจ่ายแน่นอน

ตัวอย่างสมมติ: ค่าแก้สิทธิระบบ 18,000 บาท ค่าทดสอบ 12,000 บาท และค่าจัดเอกสารกับประสานคู่ค้า 5,000 บาท รวมงบงานที่ทราบ 18,000 + 12,000 + 5,000 = 35,000 บาท หากกันเงินสำรอง 20% ของยอดนี้ จะเพิ่ม 7,000 บาท รวมวงเงินแผน 42,000 บาท ตัวเลขนี้เป็นตัวอย่างคำนวณ ไม่ใช่ราคาบริการหรือจำนวนที่หน่วยงานกำหนด

ก่อนอนุมัติงบให้ตรวจขอบเขตใบเสนอราคา ว่ารวมทดสอบซ้ำและหลักฐานส่งมอบหรือยัง งานราคาต่ำที่มีเพียงปรับค่าโดยไม่ยืนยันผลอาจทำให้ต้องจ่ายซ้ำ ส่วนการเรียกเงินคืนจากคู่ค้าต้องพิจารณาสัญญา เหตุผิด และความเสียหายที่พิสูจน์ได้ ไม่หักเงินโดยไม่มีฐานรองรับ

หลักฐานอะไรควรอยู่ในแฟ้มรายงานผล?

• คำสั่งฉบับเต็ม ภาคผนวก และหลักฐานวันที่ได้รับ เพื่อเชื่อมข้อสั่งการกับกำหนดเวลา
• ตารางงานที่ระบุเลขข้อ เจ้าของงาน วันเสร็จ ผลทดสอบ และรหัสหลักฐาน
• ภาพหรือบันทึกการตั้งค่าก่อนและหลังแก้ พร้อมสิทธิที่ใช้ทดสอบและวันเวลา
• คำสั่งงานคู่ค้า หนังสือตอบรับ และหลักฐานส่งมอบ โดยระบุระบบหรือข้อมูลที่ครอบคลุม
• บันทึกข้อจำกัด งานค้าง มาตรการชั่วคราว และกำหนดติดตามที่มีผู้รับผิดชอบ
• รายงานฉบับที่ส่งจริง รายการสิ่งแนบ หลักฐานรับ และคำตอบจากหน่วยงาน

เก็บต้นฉบับหลักฐานในพื้นที่จำกัดสิทธิ และใช้สำเนาสำหรับอธิบายหรือปิดข้อมูลที่ไม่จำเป็น อย่าแก้วันที่หรือเขียนทับบันทึกเดิมให้ตรงกับรายงานฉบับใหม่ หากพบข้อความคลาดเคลื่อนให้ทำบันทึกแก้ไขที่โยงกลับถึงต้นฉบับและบอกเหตุผล

ผู้รับรายงานควรเปิดเอกสารแล้วตามรหัสหลักฐานได้โดยไม่ต้องถามทุกทีมใหม่ สำหรับการเตรียมตัวตั้งแต่ได้รับหนังสือ สามารถอ่าน แนวทางจัดการช่วงแรกเมื่อได้รับข้อร้องเรียน PDPA ประกอบ แล้วปรับแฟ้มให้ตรงกับคำสั่งที่ได้รับจริง

กฎหมายเรื่องใดต้องตรวจควบคู่กับคำสั่งแก้ไข?

กฎหมายปกครอง: การแจ้งคำสั่ง การบังคับ และช่องทางตรวจสอบคำสั่งต้องพิจารณาร่วมกับกฎหมายวิธีปฏิบัติราชการทางปกครองและกฎหมายศาลปกครองที่ใช้กับข้อพิพาท คำว่าเป็นที่สุดตามมาตรา 74 ไม่ควรถูกอ่านข้ามขั้นไปว่าไม่อาจตรวจสอบทางศาลได้ในทุกกรณี แต่ต้องตรวจสิทธิและกำหนดของเรื่องนั้นโดยเฉพาะ

กฎหมายสัญญาและธุรกิจ: หากงานแก้ไขขึ้นกับผู้ให้บริการระบบ ต้องตรวจหน้าที่ช่วยเหลือ การส่งหลักฐาน และความรับผิดตามข้อตกลงประมวลผลข้อมูลด้วย ประเด็นนี้เชื่อมกับ งานตรวจและร่างสัญญาธุรกิจ เพราะคำสั่งจากหน่วยงานไม่ได้ทำให้รายละเอียดสัญญาคู่ค้าชัดขึ้นเอง

ความรับผิดทางแพ่ง: การแก้ไขครบไม่ได้ตอบโดยอัตโนมัติว่าความเสียหายที่เกิดก่อนหน้านั้นได้รับชดใช้แล้วหรือยัง หากมีการเรียกร้อง ต้องแยกพยานหลักฐานและขอบเขตสิทธิใน งานข้อพิพาททางแพ่ง ออกจากเอกสารรับรองการปฏิบัติตามคำสั่ง

ทางไปต่อ: จัดงานแก้ไขให้ตรวจรับได้อย่างไร?

1. รวบรวมคำสั่งและหลักฐานรับฉบับเดียวกันให้ทุกทีมใช้อ้างอิง
2. แยกข้อสั่งการเป็นงานที่วัดผลได้ พร้อมตั้งผู้รับผิดชอบและวันตรวจ
3. หยุดความเสียหายที่ยังดำเนินอยู่ แล้วติดตามงานระบบและคู่ค้าที่เกี่ยวข้อง
4. ทดสอบผล เก็บข้อจำกัด และให้ผู้มีหน้าที่ตรวจข้อความก่อนลงนาม
5. ส่งรายงานตามช่องทางที่กำหนด เก็บหลักฐานรับ และติดตามข้อถามเพิ่มเติม

ควรให้ผู้เชี่ยวชาญช่วยตรวจเมื่อกำหนดใกล้ครบ คู่ค้าไม่ส่งหลักฐาน มีความเสี่ยงกระทบคนจำนวนมาก หรือผู้ลงนามยังยืนยันผลจริงไม่ได้ หากต้องการจัดแผนและรายงานให้เชื่อมกับคำสั่ง สามารถดูขอบเขต บริการกฎหมาย PDPA แล้ว ติดต่อยอดทิพย์ธรรม พร้อมคำสั่งและสถานะงานล่าสุดเพื่อประเมินงานที่จำเป็น

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ