ข้อมูลลูกค้าจริงในระบบทดสอบ ต้องคุมอะไรตาม PDPA

ข้อมูลลูกค้าจริงในระบบทดสอบยังต้องมีฐานการใช้และมาตรการคุ้มครองตาม PDPA คำว่า “ระบบทดสอบ” ไม่ได้ยกเว้นหน้าที่ให้บริษัท ก่อนคัดลอกฐานข้อมูลควรตอบให้ได้ว่าจำเป็นต้องใช้ข้อมูลจริงส่วนไหน ใครเข้าถึง และจะนำออกเมื่อใด

ข้อมูลลูกค้าจริงในระบบทดสอบ ใช้ได้หรือควรสร้างข้อมูลจำลอง?

ควรเริ่มจากข้อมูลจำลองที่ตอบโจทย์การทดสอบได้ หากจำเป็นต้องใช้ข้อมูลจริง ต้องตรวจวัตถุประสงค์ ฐานกฎหมาย และใช้เฉพาะส่วนที่จำเป็น พร้อมควบคุมผู้เข้าถึงและระยะเวลาเก็บ การคัดลอกฐานทั้งหมดเพราะสะดวกหรือมีหนังสือรักษาความลับแล้ว ยังไม่เพียงพอให้สรุปว่าใช้ได้

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 21 กำหนดขอบเขตวัตถุประสงค์ มาตรา 22 วางหลักเก็บเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย และมาตรา 24 กำหนดกรณีข้อมูลทั่วไปที่ไม่ต้องขอความยินยอม หากเป็นข้อมูลตามมาตรา 26 ต้องตรวจเงื่อนไขเฉพาะด้วย จึงไม่ควรอ้างว่าทดสอบเพื่อปรับปรุงบริการแล้วใช้ข้อมูลอะไรก็ได้

มาตรา 37 (1) กำหนดมาตรการรักษาความมั่นคงปลอดภัย และมาตรา 40 เกี่ยวข้องเมื่อผู้พัฒนาทำหน้าที่ผู้ประมวลผล การแยกระบบทดสอบออกจากระบบจริงช่วยควบคุมความเสี่ยง แต่ต้องตรวจบัญชี สิทธิ ช่องทางเชื่อมต่อ และไฟล์สำรองจริง ไม่ใช่แยกเพียงชื่อเซิร์ฟเวอร์

ตัวอย่างสมมติ: บริษัทต้องทดสอบการคำนวณส่วนลด จึงคัดลอกฐานลูกค้าที่มีชื่อ เบอร์โทร ที่อยู่ และประวัติซื้อทั้งหมดไปให้ผู้พัฒนา ทั้งที่การทดสอบต้องใช้เพียงรหัสสินค้า ยอดซื้อ และเงื่อนไขส่วนลด กรณีนี้ควรออกแบบชุดจำลองหรือลดข้อมูลก่อน ไม่ถือว่าข้อมูลติดต่อจำเป็นเพียงเพราะอยู่ในตารางเดียวกัน

หากจำเป็นต้องตรวจปัญหาที่เกิดเฉพาะกับข้อมูลจริง ควรเลือกตัวอย่างที่จำกัดและให้เหตุผลเป็นรายงาน แยกข้อมูลที่ใช้แก้ปัญหาออกจากชุดทดสอบทั่วไป พร้อมอ่าน แนวทางจัดหลักฐาน PDPA พร้อมตรวจ เพื่อเชื่อมการอนุมัติกับสิทธิระบบและผลลบข้อมูลเมื่อจบงาน

ถ้าต้องใช้ข้อมูลจริง ควรวางเงื่อนไขก่อนส่งให้ผู้พัฒนาอย่างไร?

• ถ้าข้อมูลจำลองทดสอบได้ ให้ใช้ข้อมูลจำลองและตรวจว่าไม่ได้ดึงรายละเอียดบุคคลจริงติดมาจากตัวอย่างเดิม
• ถ้าต้องตรวจข้อผิดพลาดเฉพาะรายการ ให้เลือกเฉพาะรายการและฟิลด์ที่จำเป็น พร้อมปิดหรือลดข้อมูลที่ไม่เกี่ยวข้อง
• ถ้ามีผู้รับจ้างเข้าถึง ให้กำหนดบทบาท คำสั่ง สิทธิ และข้อตกลงประมวลผลตามข้อเท็จจริง
• ถ้าระบบทดสอบส่งอีเมลหรือข้อความได้ ให้ป้องกันการส่งถึงลูกค้าจริงและทดสอบช่องทางปลายทางก่อนใช้งาน
• ถ้าใช้บริการต่างประเทศหรือมีทีมเข้าถึงจากต่างประเทศ ให้ตรวจมาตรา 28–29 และกฎที่เกี่ยวข้องตามเส้นทางข้อมูลจริงก่อนส่ง

ใบขอใช้ข้อมูลควรระบุปัญหาที่ต้องทดสอบ ชุดข้อมูล ผู้ใช้ วันเริ่ม วันสิ้นสุด และวิธีลบหรือคืน ไม่เขียนว่า “เพื่อพัฒนาระบบ” อย่างเดียว เพราะไม่ช่วยตัดสินว่าฟิลด์ใดจำเป็นหรือเมื่อใดหมดความจำเป็น

การลดชื่อด้วยรหัสไม่ได้ทำให้ข้อมูลพ้นจาก PDPA โดยอัตโนมัติ หากยังเชื่อมกลับได้ต้องคงมาตรการข้อมูลส่วนบุคคล อ่าน ความต่างระหว่างลบชื่อกับข้อมูลนิรนาม ก่อนอนุมัติส่งชุดทดสอบออกนอกองค์กร

เลนส์ทนายยอดทิพย์ธรรม: สภาพแวดล้อมทดสอบไม่ใช่พื้นที่ยกเว้นกฎหมาย

คนมักเข้าใจว่า: ใช้เฉพาะในทีมไอทีจึงไม่ถือว่าเปิดเผย หรือระบบไม่มีลูกค้าเข้ามาใช้งานจึงไม่ต้องรักษาความปลอดภัยเท่าระบบจริง

กฎหมายมองว่า: หน้าที่ผูกกับการเก็บ ใช้ เปิดเผย และความเสี่ยงต่อข้อมูล การเรียกระบบว่า UAT หรือ staging ไม่เปลี่ยนลักษณะข้อมูลหรือสิทธิของเจ้าของข้อมูล ผู้รับจ้างยังต้องทำตามบทบาทและคำสั่งที่ชอบด้วยกฎหมาย

จุดเสี่ยงจริง: ระบบทดสอบเปิดอินเทอร์เน็ต ใช้บัญชีร่วม ไม่มีวันหมดสิทธิ หรือไฟล์ฐานข้อมูลถูกแนบในงานแจ้งปัญหา ควรตรวจสำเนาทุกจุด รวมถึงแฟ้มบนเครื่องนักพัฒนา ระบบบันทึกข้อผิดพลาด และพื้นที่สำรองที่อาจเก็บข้อมูลไว้นานกว่าตัวระบบ

มองสองฝั่ง: เจ้าของโครงการกับทีมพัฒนา

การตกลงรักษาความลับช่วยกำหนดหน้าที่คู่สัญญา แต่ยังต้องตรวจฐานการใช้ข้อมูลและข้อกำหนดตามมาตรา 40 เมื่อคู่ค้าเป็นผู้ประมวลผลด้วย

ควรกำหนดวันลบและถอนสิทธิเมื่อไร?

กำหนดตั้งแต่อนุมัติใช้ข้อมูล โดยผูกกับความจำเป็นของการทดสอบและเหตุที่ยังต้องเก็บ ไม่รอจนโครงการถูกลืมแล้วค่อยค้นว่าสำเนาอยู่ที่ใด มาตรา 37 (3) กำหนดหน้าที่จัดระบบตรวจเพื่อลบหรือทำลายตามเงื่อนไข จึงต้องมีผู้ติดตามหลังส่งมอบงานด้วย

ตัวอย่างแผนภายในอาจให้ถอนสิทธิเมื่อจบงานและตรวจการลบภายในเจ็ดวันหลังรับมอบ ตัวเลขนี้เป็นเงื่อนไขโครงการสมมติ ไม่ใช่กำหนดเจ็ดวันตาม PDPA ทุกกรณี หากต้องเก็บบางส่วนเพื่อแก้ข้อบกพร่อง ให้ระบุฐาน เหตุจำเป็น ขอบเขต และวันทบทวนใหม่

หากพบว่าระบบทดสอบถูกเข้าถึงโดยไม่มีอำนาจ ต้องเริ่มกระบวนการประเมินเหตุละเมิด ไม่รอวันปิดโครงการ การเป็นสำเนาทดสอบไม่ได้ทำให้พ้นหน้าที่แจ้งตามมาตรา 37 (4) และประกาศแจ้งเหตุที่เกี่ยวข้อง

งบเตรียมข้อมูลทดสอบควรแยกค่าอะไรบ้าง?

ตัวอย่างสมมติ: สร้างชุดจำลอง 8 ชั่วโมง × 900 บาท = 7,200 บาท ตรวจสิทธิและปลายทาง 3,000 บาท และตรวจลบหลังงาน 1,800 บาท รวม 12,000 บาท เป็นตัวอย่างวางงบ ไม่ใช่ราคาบริการหรือค่าใช้จ่ายบังคับตามกฎหมาย

เปรียบเทียบต้นทุนนี้กับงานควบคุมข้อมูลจริง เช่น การจำกัดผู้เข้าถึง การตรวจสำเนา และการจัดการเหตุ ไม่ควรคิดว่าคัดลอกฐานจริงไม่มีต้นทุนเพราะทำได้เร็ว ผลประโยชน์ของโครงการควรรวมค่าใช้จ่ายตลอดช่วงเก็บข้อมูลด้วย

สัญญาจ้างควรระบุว่างานลบ ส่งคืน และยืนยันผลรวมอยู่ในขอบเขตหรือคิดเพิ่มอย่างไร ส่วนเงินชดใช้เมื่อเกิดเหตุขึ้นอยู่กับเงื่อนไขสัญญาและกฎหมาย ไม่ใช่ยอดค่าจ้างพัฒนาที่นำมาใช้แทนโดยอัตโนมัติ

หลักฐานก่อนเปิดระบบทดสอบและก่อนปิดโครงการมีอะไร?

• คำขอทดสอบและเหตุผลที่ข้อมูลจำลองไม่พอ หากเลือกใช้ข้อมูลจริง
• รายการฟิลด์ จำนวนรายการ แหล่งข้อมูล และมาตรการลดข้อมูล
• บันทึกตรวจวัตถุประสงค์ ฐานกฎหมาย และผู้อนุมัติ
• รายชื่อผู้มีสิทธิ ข้อตกลงผู้รับจ้าง และระบบหรือประเทศที่เกี่ยวข้อง
• ผลทดสอบการเข้าถึง การป้องกันส่งข้อความถึงลูกค้า และการสำรองข้อมูล
• รายการสำเนา ผลถอนสิทธิ หลักฐานลบหรือคืน และข้อยกเว้นที่ยังเก็บพร้อมเหตุผล

หลักฐานการลบควรระบุว่าครอบคลุมพื้นที่ใดและมีข้อจำกัดอะไร ไม่ใช้ข้อความว่า “ลบครบทั้งหมด” หากยังมีสำเนาในระบบสำรองที่รอรอบจัดการ ให้ระบุมาตรการป้องกันการนำกลับใช้และผู้รับผิดชอบติดตามตามข้อเท็จจริง

สัญญาพัฒนาระบบและสิทธิในผลงานเกี่ยวข้องอย่างไร?

ตรวจ สัญญาธุรกิจและพัฒนาระบบ ให้แยกสิทธิในโปรแกรมออกจากสิทธิใช้ข้อมูลลูกค้า การมีสิทธิใช้ผลงานหรือได้รับซอร์สโค้ดไม่ได้หมายความว่าคู่ค้าใช้ฐานลูกค้าเป็นตัวอย่างให้ลูกค้ารายอื่นได้

หากเกิดข้อพิพาทเรื่องส่งมอบงานหรือข้อมูลสูญหาย งาน คดีแพ่ง ต้องดูขอบเขตงาน เกณฑ์รับมอบ และหลักฐานเหตุเสียหาย ไม่ควรให้การทดสอบที่ผ่านเพียงฟังก์ชันหนึ่งเป็นคำรับรองว่าคู่ค้าปฏิบัติหน้าที่ข้อมูลครบทุกข้อ

ทางไปต่อ: ให้ข้อมูลทดสอบมีเจ้าของงานและวันสิ้นสุด

1. ระบุโจทย์ทดสอบและพิจารณาข้อมูลจำลองก่อน
2. ตรวจฐานและความจำเป็นของข้อมูลจริงที่จะใช้
3. อนุมัติขอบเขต สิทธิ คู่ค้า และระยะเวลาเป็นรายงาน
4. ทดสอบมาตรการก่อนนำข้อมูลเข้าและติดตามสำเนาระหว่างงาน
5. ถอนสิทธิ ลบหรือคืนข้อมูล และตรวจข้อยกเว้นก่อนปิดโครงการ

ควรขอความช่วยเหลือเมื่อจะคัดลอกฐานทั้งหมด ใช้ข้อมูลอ่อนไหว ส่งให้ทีมต่างประเทศ หรือไม่มีรายการสำเนาหลังจบงาน สามารถ ติดต่อทีมงาน เพื่อหารือ บริการด้าน PDPA และ ตรวจระบบเอกสารและการใช้ข้อมูล โดยเตรียมแผนทดสอบกับขอบเขตสัญญาที่เกี่ยวข้อง

แหล่งกฎหมาย: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 21–24, 26, 28–29, 37 และ 40

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ