มี Privacy Notice ครบแล้ว ทำไมยังไม่พร้อมให้ตรวจ PDPA

สำหรับประเด็น “Privacy Notice” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• แจ้งเก็บเบอร์เพื่อส่งสินค้า แต่ฝ่ายขายนำไปทำการตลาด ต้องประเมินวัตถุประสงค์และฐานกิจกรรมเพิ่ม
• เว็บแสดง Notice ครบ แต่ใบสมัครกระดาษที่สาขาไม่ได้แจ้งก่อนเก็บ
• ระบุลบหลังครบกำหนดแต่ระบบสำรองยังนำข้อมูลกลับมาใช้ปกติ ต้องแก้ขั้นตอนลบและกู้คืน

ควรตัดสินใจตามลำดับใด

เลือกช่องทางเก็บหนึ่งช่องแล้วเทียบข้อมูลที่ขอ วัตถุประสงค์ ผู้รับ ระยะเก็บและช่องทางสิทธิกับระบบจริง ถ้าเอกสารผิดให้แก้ข้อความ ถ้าการใช้เกินขอบเขตให้แก้กิจกรรมและฐานด้วย ไม่แก้ย้อนหลังด้วยการเพิ่มคำกว้างใน Notice อย่างเดียว

Privacy Notice มีช่องว่างตรงไหนที่ควรตรวจ

แจ้งไม่ตรงเวลา

ตรวจหน้าจอจริงทั้งมือถือ กระดาษ โทรศัพท์และแชต หากผู้ใช้ส่งข้อมูลก่อนเห็นข้อความ ต้องย้ายจุดแจ้งให้เหมาะ ไม่วัดเพียงว่ามีลิงก์ที่ Footer

วัตถุประสงค์กว้างจนแยกงานไม่ได้

คำว่าเพื่อดำเนินธุรกิจไม่บอกว่าจะวิเคราะห์พฤติกรรมหรือเปิดเผยให้ใคร ควรเขียนให้เข้าใจผลของการให้ข้อมูลและแยกงานที่ต่างกัน

ระยะเก็บกับระบบไม่ตรง

ถ้าระบุจำนวนปีต้องทำตามได้ หากกำหนดแน่นอนไม่ได้ให้มีหลักเกณฑ์ที่อธิบายได้ ไม่ใช้คำว่าเก็บเท่าที่จำเป็นโดยไม่มีเจ้าของการตัดสินใจ

ผู้รับและสิทธิไม่ทำงาน

ตรวจว่ารายการผู้รับครอบคู่ค้าจริงและอีเมลใช้สิทธิรับเรื่องได้ หากทีมไม่ส่งต่อคำขอ ข้อความแจ้งสิทธิก็ไม่ช่วยให้เจ้าของข้อมูลใช้สิทธิได้จริง

ฐานกฎหมายและขอบเขตที่ต้องแยก

มาตรา 23 ระบุรายละเอียดที่ต้องแจ้งก่อนหรือขณะเก็บโดยมีข้อยกเว้นตามกฎหมาย มาตรา 21 และ 22 ควบคุมวัตถุประสงค์และความจำเป็น มาตรา 24 หรือ 26 เป็นเรื่องฐานประมวลผลแยกต่างหาก การมี Notice ไม่แทนหน้าที่เหล่านี้

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

Notice ที่คลาดเคลื่อนอาจทำให้ต้องชี้แจงทั้งการแจ้งและการใช้ข้อมูลเกินขอบเขต การแก้เวอร์ชันใหม่ช่วยอนาคตแต่ไม่ลบปัญหาที่เกิดก่อนหน้า ต้องประเมินผลและมาตรการแก้ไขตามข้อเท็จจริง

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• Notice แต่ละเวอร์ชันและวันที่แสดงจริงแต่ละช่องทาง
• ผังฟอร์ม ฟิลด์บังคับและฐานกฎหมายรายวัตถุประสงค์
• รายการผู้รับและหลักฐานลบตามระยะเก็บ
• ผลทดสอบช่องทางใช้สิทธิและบันทึกแก้ความคลาดเคลื่อน

จุดที่ควรตรวจเพิ่มคือNotice แต่ละเวอร์ชันและวันที่แสดงจริงแต่ละช่องทาง เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

เริ่มตรวจจากรายการจริง

เลือกธุรกรรมที่เกิดขึ้นจริงและตามเส้นทางข้อมูลจากจุดเก็บไปจนผู้รับปลายทาง ให้เจ้าของงานอธิบายประกอบหลักฐาน หากขั้นตอนใดไม่มีหลักฐาน อย่าเติมคำตอบแทน ให้บันทึกช่องว่างและผลที่อาจเกิดก่อนกำหนดวิธีแก้

ให้ผู้ที่รู้ข้อเท็จจริงรับรอง

การลงนามควรระบุว่าใครตรวจอะไรและอาศัยหลักฐานใด เจ้าของกระบวนงานรับรองวิธีทำงาน ฝ่ายเทคนิคยืนยันระบบ และฝ่ายกฎหมายให้ความเห็นในขอบเขตที่ตรวจ ไม่ใช้ลายเซ็นผู้บริหารแทนการตรวจรายละเอียดทั้งหมด

ปิดข้อบกพร่องด้วยผลตรวจ

หลังแก้เอกสารหรือระบบ ให้ตรวจซ้ำเฉพาะสิ่งที่เปลี่ยนและเก็บผลว่าข้อบกพร่องถูกแก้แล้ว หากยังทำไม่ได้ให้บันทึกเหตุผล มาตรการชั่วคราว ผู้รับผิดชอบและวันติดตาม การใส่สถานะเสร็จโดยไม่มีผลตรวจทำให้สารบัญหลักฐานคลาดเคลื่อน

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	ทดลองเก็บข้อมูลในช่องทางจริงหนึ่งช่อง	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	เทียบข้อความกับการใช้จริงและแยกข้อแก้เอกสารออกจากข้อแก้ระบบ	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ตรวจช่องทางอื่นและตั้งผู้รับผิดชอบเมื่อกระบวนงานเปลี่ยน	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าใส่ข้อความให้เจ้าของข้อมูลกดยอมรับ Notice แล้วถือว่าได้ความยินยอมทุกกิจกรรม การรับทราบกับความยินยอมเป็นคนละเรื่อง

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียน ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่านความยินยอม PDPA แบบใดใช้ไม่ได้ และเมื่อใดควรใช้ฐานอื่น และ10 หลักฐานที่พิสูจน์ว่าองค์กรทำ PDPA จริง และวิธีตรวจแต่ละชุด

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านขั้นตอนรับคำขอใช้สิทธิ DSAR ตั้งแต่ต้นจนจบ ใครรับ ใครตรวจ ใครอนุมัติประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

อ่านต่อ: สิทธิและแนวปฏิบัติในสถานการณ์ที่เกี่ยวข้อง

• PDPA งานสัมมนาและอีเวนต์ ลงทะเบียน ถ่ายภาพและส่งรายชื่อสปอนเซอร์อย่างไร
• คุกกี้เว็บไซต์ต้องขอความยินยอมไหม ตรวจทั้งแบนเนอร์และการทำงานจริง

ข้อกฎหมายที่เกี่ยวข้อง

มาตรา 23 ระบุรายละเอียดที่ต้องแจ้งก่อนหรือขณะเก็บโดยมีข้อยกเว้นตามกฎหมาย มาตรา 21 และ 22 ควบคุมวัตถุประสงค์และความจำเป็น มาตรา 24 หรือ 26 เป็นเรื่องฐานประมวลผลแยกต่างหาก การมี Notice ไม่แทนหน้าที่เหล่านี้

คำถามที่พบบ่อย

ต้องให้ทุกคนเซ็น Privacy Notice ไหม

หน้าที่หลักคือแจ้งตามกฎหมาย รูปแบบและหลักฐานควรเหมาะกับช่องทาง ไม่จำเป็นต้องใช้ลายเซ็นทุกกิจกรรมโดยอัตโนมัติ

เพิ่มวัตถุประสงค์ในเว็บแล้วใช้ข้อมูลเก่าได้เลยไหม

ต้องตรวจมาตรา 21 และฐานกฎหมาย รวมการแจ้งหรือความยินยอมที่จำเป็น ไม่ใช่แก้เว็บแล้วครอบข้อมูลเก่าทั้งหมด

Notice กับ Consent ต่างกันอย่างไร

Notice แจ้งรายละเอียดการจัดการข้อมูล ส่วน Consent เป็นฐานหนึ่งที่ต้องมีเงื่อนไขความยินยอมตามกฎหมาย

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ