รับทำ ROPA บันทึกรายการประมวลผลข้อมูลส่วนบุคคล โดยทนาย

ตรวจทานโดย นายเอกราช ทิพย์แมม ทนายความ · 2 พฤศจิกายน 2569

สำนักงานกฎหมายยอดทิพย์ธรรมรับประเมินงานจัดทำและตรวจ ROPA สำหรับบริษัท นายจ้าง และฝ่าย HR ตั้งแต่สำรวจกิจกรรม ตรวจฐานกฎหมาย ไปจนถึงจัดทำทะเบียนที่ทีมงานรับช่วงดูแลต่อได้ หากคุณกำลังมองหาผู้รับจ้างทำ ROPA ให้เริ่มจากจำนวนฝ่ายงาน ระบบที่ใช้ และร่างเดิมที่มี หลังพูดคุยรายละเอียดครบ สำนักงานจะส่งขอบเขตงานอย่างละเอียดพร้อมเสนอค่าบริการภายใน 1–2 วันทำการ ไฟล์ที่ส่งมอบให้ใช้ต่อได้โดยไม่มีค่ารายเดือนหรือรายปีสำหรับไฟล์

รับทำ ROPA คือทำอะไร บันทึกรายการต้องมีอะไรบ้าง

บริการรับทำ ROPA ควรเริ่มจากการสำรวจว่าข้อมูลเข้ามาทางใด ใช้ทำงานอะไร เก็บที่ไหน และส่งต่อให้ใคร จากนั้นจึงตรวจฐานกฎหมายกับเงื่อนไขของแต่ละกิจกรรม แล้วบันทึกข้อมูลที่ตรวจสอบย้อนกลับได้ การได้รับไฟล์ตารางที่มีชื่อบริษัทของคุณเพียงอย่างเดียวยังบอกไม่ได้ว่างานครอบคลุมกระบวนการจริงแล้ว

ROPA หรือที่เขียนว่า RoPA ย่อมาจาก Record of Processing Activities ในทางใช้งานมักเรียกว่าบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล เป็นเอกสารอธิบายกิจกรรมและวิธีจัดการข้อมูล ไม่จำเป็นต้องนำรายชื่อพนักงาน เลขบัตรประชาชน หรือข้อมูลลูกค้าทุกคนมาใส่ในตาราง

ผู้ควบคุมข้อมูลกับผู้ประมวลผลทำคนละหน้าที่

บริษัทที่ตัดสินใจว่าจะเก็บข้อมูลผู้สมัครเพื่อคัดเลือกพนักงาน โดยทั่วไปเป็นผู้ควบคุมข้อมูลในกิจกรรมนั้น ส่วนผู้ให้บริการที่รับข้อมูลไปคำนวณเงินเดือนตามคำสั่งของบริษัท อาจเป็นผู้ประมวลผล ต้องดูอำนาจตัดสินใจและวิธีทำงานจริงตามนิยามมาตรา 6

องค์กรเดียวมีได้ทั้งสองบทบาท เช่น บริษัทรับทำเงินเดือนเป็นผู้ประมวลผลให้ลูกค้า แต่เป็นผู้ควบคุมข้อมูลพนักงานของตน การทำ ROPA จึงควรแยกรายการตามบทบาท ไม่ถือว่าทำตารางฉบับเดียวในฐานะนายจ้างแล้วครอบคลุมงานรับจ้างทั้งหมด

รายการขั้นต่ำ 8 ข้อตามมาตรา 39

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 39 กำหนดรายการสำหรับผู้ควบคุมข้อมูลเพื่อให้เจ้าของข้อมูลและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ตรวจสอบได้ ตารางต่อไปนี้สรุปเป็นภาษาทำงาน พร้อมตัวอย่างสมมติของฝ่ายบุคคล

ไม่จำเป็นต้องบีบทุกอย่างให้อยู่ในชีตเดียว อาจแยกทะเบียนกิจกรรม ตารางระยะเวลาเก็บ และทะเบียนคำขอใช้สิทธิ แล้วใช้รหัสเชื่อมกัน แต่ต้องค้นคืนได้และไม่ขัดกัน ส่วนผู้ประมวลผลต้องตรวจรายละเอียดตามประกาศหลักเกณฑ์การจัดทำและเก็บรักษาบันทึกรายการสำหรับผู้ประมวลผล พ.ศ. 2565 เพิ่มเติม

ตรวจตัวบทได้จาก พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในฐานข้อมูลสำนักงานคณะกรรมการกฤษฎีกา และ ประกาศสำหรับผู้ประมวลผลข้อมูล พ.ศ. 2565

ตัวอย่าง ROPA ฝ่ายบุคคล 3 กิจกรรม

ตัวอย่างสมมติ: บริษัท ก จำกัด ใช้ระบบภายในประเทศและยังไม่มีการโอนข้อมูลต่างประเทศตามข้อเท็จจริงที่สำรวจ ตารางนี้แสดงวิธีเขียนกิจกรรมและช่องประกอบบางส่วน ต้องใช้ร่วมกับข้อมูลผู้ควบคุม วิธีใช้สิทธิ และทะเบียนปฏิเสธคำขอ จึงจะตรวจความครบถ้วนได้ ไม่ใช่แบบฟอร์มที่นำไปใช้แทน ROPA ทั้งชุดทันที

ระยะเวลา 6 เดือนและ 30 วันข้างต้นเป็นตัวอย่างนโยบาย ไม่ใช่ระยะเวลาที่ PDPA กำหนดให้ทุกบริษัทใช้ หากระบบสำรองข้อมูลยังมีสำเนา ต้องบันทึกวงจรลบของสำเนาด้วย ส่วนข้อมูลเงินเดือนไม่ควรกำหนดตัวเลขเดียวครอบเอกสารทุกประเภทโดยไม่ตรวจหน้าที่ตามกฎหมายแรงงาน ภาษี และบัญชี

การเพิ่มช่องฐานกฎหมาย ผู้ให้บริการภายนอก ประเทศปลายทาง รหัส Notice และผู้รับผิดชอบกิจกรรมช่วยให้ ROPA ใช้งานต่อได้ ให้เจ้าของงานยืนยันข้อมูลและมาตรการที่ใช้อยู่จริงก่อนปิดร่าง

มีตารางแล้ว แต่ยังไม่มั่นใจว่าครบตามกฎหมาย?

ส่งร่างที่ปกปิดข้อมูลบุคคลแล้ว พร้อมจำนวนฝ่ายงานและระบบที่ใช้ เพื่อให้สำนักงานประเมินว่าจะตรวจร่างเดิมหรือสำรวจเพิ่มส่วนใด

แอด LINE @995iqtpa แล้วพิมพ์ “ประเมิน ROPA” หรือ โทร 081-327-8551

ต้องการจัดระบบข้อมูลพนักงานทั้งชุด ดู บริการ HR Privacy Setup หากมีเอกสารหลายชุดและต้องการตรวจภาพรวม ดู บริการตรวจความพร้อม PDPA

บริษัทเล็กได้รับยกเว้น ROPA หรือยังต้องทำ

บริษัทเล็กไม่ได้รับยกเว้นเพียงเพราะมีพนักงานน้อย ต้องดูประเภทกิจการ เงื่อนไขเรื่อง DPO และลักษณะการประมวลผลประกอบกัน การตอบว่า “บริษัทมี 20 คน จึงไม่ต้องทำ” โดยไม่ตรวจส่วนอื่นอาจทำให้ประเมินหน้าที่ผิดตั้งแต่ต้น

ประกาศยกเว้นของผู้ควบคุมข้อมูลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567 ประกาศในราชกิจจานุเบกษา 8 มกราคม 2568 และใช้บังคับเมื่อพ้น 90 วัน คือ 8 เมษายน 2568 โดยยกเลิกประกาศฉบับ พ.ศ. 2565 ส่วน ประกาศยกเว้นของผู้ประมวลผลขนาดเล็ก พ.ศ. 2567 ใช้บังคับ 9 มกราคม 2568 ต้องใช้ฉบับให้ตรงบทบาท

กิจการขนาดเล็กไม่ได้ดูจำนวนคนอย่างเดียว

ประกาศฝั่งผู้ควบคุมครอบคลุมประเภทกิจการตามที่กำหนด เช่น วิสาหกิจขนาดย่อมหรือขนาดกลาง วิสาหกิจชุมชน กิจการเพื่อสังคม สหกรณ์ องค์กรไม่แสวงกำไร นิติบุคคลอาคารชุดหรือหมู่บ้านจัดสรร กิจการในครัวเรือน และกิจการของบุคคลธรรมดา การเข้าแต่ละประเภทต้องตรวจเงื่อนไขตามกฎหมายที่เกี่ยวข้อง ไม่ใช่ให้ผู้ประกอบการเรียกตัวเองว่าร้านเล็กก็เพียงพอ

กิจการที่มีหน้าที่จัดให้มี DPO ตามมาตรา 41(1) (2) หรือ (3) ไม่ผ่านเงื่อนไขยกเว้นในประกาศ และกิจการที่ผ่านเกณฑ์ประเภทกับ DPO แล้วยังต้องบันทึกตามกรณีที่มีความเสี่ยงต่อสิทธิเสรีภาพ ไม่ได้ประมวลผลเป็นครั้งคราว หรือประมวลผลข้อมูลตามมาตรา 26

การจ่ายค่าจ้างเป็นประจำจึงเป็นกิจกรรมที่ควรตรวจเงื่อนไข “มิใช่เป็นครั้งคราว” โดยตรง ไม่จำเป็นต้องรอให้พบข้อมูลสุขภาพก่อน ส่วนใบรับรองแพทย์และข้อมูลชีวภาพที่ใช้ยืนยันตัวบุคคลต้องตรวจมาตรา 26 แยก การมีข้อมูลเหล่านี้ใน HR ไม่ได้แปลว่าทุกบริษัทต้องตั้ง DPO โดยอัตโนมัติ เพราะเกณฑ์ DPO เป็นอีกชุดหนึ่ง

แบบคัดกรอง 5 คำถามก่อนอ้างข้อยกเว้น

แบบคัดกรองนี้ช่วยรวบรวมข้อเท็จจริง ไม่ใช่คำวินิจฉัยยกเว้นอัตโนมัติ หากยังไม่รู้ว่าระบบ HR เก็บอะไร หรือคู่ค้าใช้ข้อมูลต่ออย่างไร ควรสำรวจให้ได้คำตอบก่อนตัดสินใจลดขอบเขตเอกสาร

แม้ผู้ควบคุมจะได้รับยกเว้น รายการตามมาตรา 39(7) เรื่องการปฏิเสธคำขอหรือการคัดค้านไม่ได้อยู่ในรายการที่ยกเว้น และการยกเว้น ROPA บางส่วนไม่ได้ยกเว้นหน้าที่แจ้งข้อมูล รักษาความปลอดภัย หรือรองรับสิทธิของเจ้าของข้อมูลทั้งหมด

เลนส์ทนายยอดทิพย์ธรรม: ROPA ที่ตอบคำถามจากงานจริงได้

คนมักเข้าใจว่า: กรอกตารางครบทุกช่องและให้ผู้บริหารลงนามแล้วก็ถือว่าจบงาน ROPA

กฎหมายมองว่า: หน้าที่บันทึกต้องอ่านควบคู่กับการเก็บ ใช้ เปิดเผยข้อมูล และมาตรการที่ดำเนินการจริง การใส่ฐานกฎหมายในตารางไม่ทำให้กิจกรรมที่ไม่มีฐานรองรับกลายเป็นชอบด้วยกฎหมาย

จุดเสี่ยงจริง: เอกสารเขียนว่าลบข้อมูลอดีตพนักงานแล้ว แต่ฝ่ายบัญชียังมีสำเนาในโฟลเดอร์ส่วนตัว หรือเขียนว่าให้สิทธิเฉพาะ HR แต่หัวหน้าแผนกเปิดไฟล์เงินเดือนทั้งบริษัทได้ หากไม่มีการตรวจร่วมกับเจ้าของระบบ ความคลาดเคลื่อนจะยังอยู่หลังส่งมอบไฟล์

ลองทดสอบด้วยตัวอย่างสมมติ: พนักงานลาออกไป 5 ปีแล้วสอบถามว่าบริษัทยังเก็บข้อมูลใดอยู่ ผู้รับผิดชอบควรใช้ ROPA ค้นกิจกรรม ระบบ ผู้ดูแล และเหตุเก็บต่อ จากนั้นตรวจข้อมูลจริงก่อนตอบ ไม่ควรเดาคำตอบจากนโยบายเพียงฉบับเดียว

ข้อผิดพลาด 7 จุดที่ควรตรวจในร่าง

1. ใช้ชื่อ “ฝ่ายบุคคล” เป็นกิจกรรมเดียว ทำให้การรับสมัคร จ่ายค่าจ้าง และสวัสดิการปะปนกัน
2. ระบุฐานความยินยอมทุกแถว โดยไม่ตรวจสัญญา หน้าที่ตามกฎหมาย และเงื่อนไขของข้อมูลอ่อนไหว
3. เขียนว่าเก็บ “ตามความจำเป็น” โดยไม่มีระยะเวลา เกณฑ์ตัดสิน หรือจุดเริ่มนับที่ปฏิบัติได้
4. ลืมผู้รับทำเงินเดือน ระบบคลาวด์ ผู้ดูแลไอที และผู้ประมวลผลช่วงที่เกี่ยวข้อง
5. เขียนว่าไม่ส่งต่างประเทศเพียงเพราะคู่ค้ามีบริษัทในไทย โดยไม่ตรวจที่ตั้งระบบและการเข้าถึงจากต่างประเทศ
6. ไม่เชื่อมกับทะเบียนคำขอและเหตุปฏิเสธ ทำให้ตรวจรายการตามมาตรา 39(7) ไม่ได้
7. ใส่มาตรการที่ยังเป็นแผนไว้ราวกับทำแล้ว เช่น เข้ารหัสไฟล์หรือทบทวนสิทธิทุกเดือน ทั้งที่ไม่มีผู้รับผิดชอบดำเนินการ

ทำ ROPA เอง ใช้ซอฟต์แวร์ หรือจ้างทนาย ต่างกันตรงไหน

เลือกจากงานที่บริษัทต้องการให้ช่วย หากทีมสำรวจกิจกรรมได้เองแล้ว อาจให้ทนายตรวจเฉพาะฐานกฎหมายกับจุดที่ยังไม่แน่ใจ แต่ถ้าข้อมูลกระจายหลายฝ่ายและไม่มีผู้ประสาน การสำรวจก่อนร่างจะช่วยให้ได้ทะเบียนที่ตรงกับงานจริง

ทนายช่วยตรวจอะไรที่ช่องในโปรแกรมตอบให้ไม่ได้

ทนายตรวจได้ว่าการเลือกฐานกฎหมายสอดคล้องกับสัญญาจ้าง ข้อบังคับ และข้อเท็จจริงหรือไม่ เช่น ข้อมูลสุขภาพที่ใช้จัดสวัสดิการกับข้อมูลที่ใช้ประกอบการลงโทษทางวินัยอาจต้องพิจารณาคนละวัตถุประสงค์ ส่วนระยะเวลาเก็บเอกสารต้องคิดถึงการใช้สิทธิเรียกร้องและข้อพิพาทที่เกิดขึ้นแล้วด้วย

ROPA ยังช่วยเชื่อมพยานหลักฐานเมื่อได้รับหนังสือให้ชี้แจง เพราะระบุได้ว่าข้อมูลอยู่ที่ใด ใครใช้ และใช้ด้วยเหตุใด สำนักงานมี บริการรับมือเรื่องร้องเรียนและคำสั่งปรับ PDPA ตั้งแต่เตรียมคำชี้แจง ประเมินช่องทางโต้แย้ง ไปจนถึงคดีที่เกี่ยวข้อง โดยตกลงขอบเขตงานดังกล่าวแยกจากค่าจัดทำ ROPA

ทำ ROPA ใช้เวลากี่วัน และต้องอัปเดตเมื่อไร

งาน ROPA ฝ่ายบุคคลที่รวมอยู่ใน บริการวางระบบข้อมูลพนักงาน HR Privacy Setup ใช้เวลาประมาณ 6–8 สัปดาห์ทั้งโครงการ ซึ่งรวมเอกสารและกระบวนการอื่นด้วย สำหรับการจัดทำเฉพาะ ROPA หรือตรวจร่างเดิม สำนักงานจะกำหนดวันส่งร่างแรกและวันส่งมอบในข้อเสนอให้ตรงกับจำนวนกิจกรรมและความพร้อมของข้อมูล

หากต้องการตรวจระบบ PDPA ที่มีอยู่ทั้งภาพรวม บริการ Legal Health Check ระบุเวลาประมาณ 15 วันทำการ กรอบเวลานี้เป็นของงานตรวจความพร้อม ไม่ควรนำมาใช้แทนกำหนดส่ง ROPA เฉพาะงาน

ขั้นตอนจัดทำ ROPA ที่ควรตกลงในแผนงาน

1. กำหนดขอบเขต: ระบุนิติบุคคล แผนก บทบาทผู้ควบคุมหรือผู้ประมวลผล และผู้ประสานงานที่ตอบข้อเท็จจริงได้
2. สำรวจกิจกรรมและทางเดินข้อมูล: สัมภาษณ์เจ้าของงาน ตรวจแบบฟอร์ม ระบบ ผู้รับข้อมูล และการเก็บสำเนา
3. จัดทำร่างพร้อมประเด็นกฎหมาย: แยกกิจกรรม ตรวจฐานกฎหมาย ระยะเวลาเก็บ และรายการข้อมูลที่ยังต้องขอเพิ่ม
4. ทวนกับฝ่ายปฏิบัติงาน: ให้ HR ไอที การเงิน หรือฝ่ายที่เกี่ยวข้องยืนยันข้อเท็จจริง แล้วแก้จุดไม่ตรงกัน
5. ส่งมอบและกำหนดคนดูแล: ส่งไฟล์ตามที่ตกลง อธิบายวิธีเพิ่มหรือแก้กิจกรรม และกำหนดเหตุที่ต้องทบทวน

ควรแยกเวลาทำงานของผู้รับจ้างออกจากเวลารอเอกสารหรือรอผู้เกี่ยวข้องอนุมัติ หากต้องรอผู้ให้บริการต่างประเทศยืนยันที่ตั้งข้อมูล ควรบันทึกเป็นประเด็นค้าง พร้อมผู้รับผิดชอบและกำหนดติดตาม ไม่ปิดงานด้วยคำตอบที่คาดเดา

ไม่ควรรอทบทวนถึงรอบปีเมื่อกิจกรรมเปลี่ยนแล้ว

เหตุที่ควรเปิด ROPA มาทบทวน เช่น เริ่มระบบ HR ใหม่ เปลี่ยนผู้รับทำเงินเดือน เพิ่มการใช้ใบหน้า ใช้ข้อมูลเดิมเพื่อการตลาด หรือเปลี่ยนประเทศที่เก็บข้อมูล องค์กรอาจกำหนดทบทวนตามรอบปีเป็นการควบคุมภายใน แต่รอบนั้นไม่ใช่เหตุให้ปล่อยข้อมูลผิดจนสิ้นปี

เมื่อเกิดเหตุละเมิด ROPA ช่วยค้นระบบและกลุ่มเจ้าของข้อมูลที่อาจเกี่ยวข้อง หน้าที่แจ้งสำนักงานตามมาตรา 37(4) คือไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถทำได้ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิเสรีภาพ ไม่ใช่เวลาที่ให้รอทำ ROPA จนเสร็จ ส่วนกรณีเสี่ยงสูงมีหน้าที่แจ้งเจ้าของข้อมูลโดยไม่ชักช้าด้วย อ่าน แนวทางรับมือข้อมูลรั่วไหลและกรอบ 72 ชั่วโมง ประกอบ

รับทำ ROPA ราคาคิดอย่างไร และถ้าไม่มีบันทึกเสี่ยงอะไร

ค่าจัดทำ ROPA ควรประเมินจากปริมาณและความซับซ้อนของงานที่ต้องตรวจ จำนวนพนักงานช่วยบอกขนาดองค์กรได้บางส่วน แต่บริษัทขนาดเท่ากันอาจใช้ระบบและส่งข้อมูลให้ผู้ให้บริการแตกต่างกันมาก จึงไม่ควรเทียบใบเสนอราคาจากจำนวนหน้าหรือชื่อแพ็กเกจอย่างเดียว

ข้อมูลที่ทำให้เสนอราคาได้ตรงงาน

• จำนวนนิติบุคคลและฝ่ายงานที่ต้องครอบคลุม รวมสาขาหรือบริษัทในเครือหรือไม่
• จำนวนกิจกรรมที่คาดว่าจะต้องสำรวจ และเป็นงานใหม่หรือตรวจร่างเดิม
• ระบบและผู้ให้บริการภายนอกที่เกี่ยวข้อง รวมประเด็นโอนข้อมูลต่างประเทศ
• ข้อมูลอ่อนไหวและกิจกรรมที่ต้องวิเคราะห์ฐานกฎหมายเพิ่มเติม
• รูปแบบไฟล์ จำนวนรอบทบทวน การประชุมส่งมอบ และบริการหลังส่งงาน
• งานที่แยกจาก ROPA เช่น ร่าง DPA ใหม่ ปรับ Notice หรือช่วยชี้แจงเรื่องร้องเรียน

หลังพูดคุยและได้รับรายละเอียดงานครบ สำนักงานจะส่งข้อเสนอขอบเขตงานอย่างละเอียดพร้อมค่าบริการภายใน 1–2 วันทำการ ก่อนเริ่มงานคุณจึงเห็นว่าจะตรวจส่วนใด ส่งมอบอะไร และกำหนดส่งร่างเมื่อไร โดยทั่วไปมีการทบทวนแก้ไขร่างประมาณ 2 รอบ จำนวนรอบและรายละเอียดให้ยึดตามข้อเสนอของงานนั้น

ไฟล์ ROPA ที่ส่งมอบไม่มีค่ารายเดือนหรือรายปีสำหรับการใช้ไฟล์ หากต้องการให้สำนักงานช่วยดูแลต่อ สามารถตกลงบริการที่ปรึกษารายเดือนหรือรายปีแยกได้ เช่น ทบทวนเมื่อเปลี่ยนระบบ เพิ่มกิจกรรม หรือมีข้อกฎหมายที่ต้องประเมิน ส่วนค่าซอฟต์แวร์ของผู้ให้บริการภายนอก หากเลือกใช้ ให้ตรวจเงื่อนไขแยกจากค่าจัดทำเอกสาร

โทษของผู้ควบคุมกับผู้ประมวลผลต่างกัน

ผู้ควบคุมข้อมูลที่ไม่ปฏิบัติตามมาตรา 39 วรรคหนึ่งอยู่ในบทกำหนดโทษมาตรา 82 ปรับทางปกครองไม่เกิน 1 ล้านบาท ส่วนผู้ประมวลผลที่ไม่ปฏิบัติตามมาตรา 40 โดยไม่มีเหตุอันควรอยู่ในมาตรา 86 ปรับทางปกครองไม่เกิน 3 ล้านบาท จึงไม่ควรใช้ตัวเลขหนึ่งล้านบาทครอบทั้งสองบทบาท

ตัวเลขดังกล่าวเป็นเพดาน ไม่ใช่อัตราปรับตายตัวสำหรับทุกกรณี ต้องตรวจว่ามีหน้าที่บันทึกหรือได้รับยกเว้นหรือไม่ และพิจารณาฐานความผิดกับข้อเท็จจริง การมี ROPA ก็ไม่ได้ตัดความรับผิดจากการเก็บข้อมูลโดยไม่มีฐานหรือรักษาความปลอดภัยไม่เหมาะสม

ก่อนให้ทนายทำ ROPA ต้องเตรียมอะไร และควรได้อะไรกลับไป

เริ่มจากรายชื่อกระบวนการกับตัวอย่างแบบฟอร์มเปล่าหรือที่ปกปิดข้อมูลแล้วก็ได้ ยังไม่จำเป็นต้องส่งแฟ้มพนักงานทั้งบริษัทเพื่อขอประเมินงาน การสำรวจ ROPA ต้องการรู้ประเภทข้อมูลและวิธีทำงาน ก่อนพิจารณาว่าจำเป็นต้องตรวจข้อมูลจริงส่วนใด

เอกสารตั้งต้นสำหรับสำรวจ

เตรียมโครงสร้างฝ่ายงาน รายชื่อระบบ และผู้ประสานแต่ละฝ่าย รวมถึง Privacy Notice แบบขอความยินยอม แบบสมัครงาน สัญญากับผู้ให้บริการ และตารางเก็บรักษาที่มีอยู่ หากมี ROPA เดิม ให้ส่งเวอร์ชันล่าสุดพร้อมวันที่แก้ ใช้ เช็กลิสต์ PDPA ตลอดวงจรพนักงาน ช่วยไล่เอกสารที่แต่ละฝ่ายมีอยู่

ฝ่ายไอทีควรช่วยตอบว่าข้อมูลอยู่เครื่องใด ใครได้สิทธิเข้าถึง มีระบบสำรองอย่างไร และผู้ให้บริการรายใดเข้าถึงจากภายนอกได้ ส่วนเจ้าของงานควรอธิบายข้อยกเว้นที่เกิดจริง เช่น การส่งไฟล์นอกระบบเมื่อระบบล่ม

เอกสารเกี่ยวกับข้อมูลพนักงานควรตรวจให้ครอบคลุมก่อนรับเข้า ระหว่างจ้าง และหลังพ้นสภาพ ดู คู่มือ PDPA ข้อมูลพนักงานสำหรับนายจ้างและ HR เพื่อเตรียมรายการก่อนสัมภาษณ์

ชุดงาน ROPA ที่นำไปกำหนดสิ่งส่งมอบ

ขอบเขตงานจัดทำควรมีไฟล์ทะเบียนที่แก้ต่อได้ เช่น Excel พร้อมคำอธิบายให้ทีมรับช่วงดูแล ส่วนงานตรวจร่างเดิมให้ระบุว่าจะส่งไฟล์พร้อมข้อสังเกตหรือรวมการแก้เป็นฉบับใหม่ การส่ง PDF เพิ่ม การนำเข้าซอฟต์แวร์ และบันทึกความเห็นกฎหมายแยกฉบับให้ระบุในใบเสนอราคา

ก่อนรับมอบ ลองเลือกกิจกรรมหนึ่งแล้วให้ผู้ใช้งานค้นเส้นทางข้อมูลตั้งแต่รับเข้าไปถึงการลบ ตรวจว่ารายชื่อระบบและสิทธิผู้ใช้ตรงกับของจริง และบันทึกข้อที่ยังแก้ไม่เสร็จพร้อมผู้รับผิดชอบ วิธีนี้ช่วยให้เห็นคุณภาพมากกว่าตรวจเพียงจำนวนแถว

ทำ ROPA แล้วต้องเชื่อมกับ Notice, DPA และงานอื่นอย่างไร

ผลสำรวจใน ROPA ช่วยตรวจว่าเอกสารกับการทำงานส่วนใดไม่ตรงกัน แต่แต่ละเอกสารมีหน้าที่ของตน การไม่มี ROPA ไม่ได้ทำให้ Notice หรือสัญญาทุกฉบับไร้ผลโดยอัตโนมัติ และการทำ ROPA เสร็จก็ไม่ได้แทนงานที่ต้องแก้ตามมา

Privacy Notice ควรสื่อวัตถุประสงค์ ผู้รับข้อมูล ระยะเวลาเก็บ และรายละเอียดตามกฎหมายให้ตรงกิจกรรมจริง ส่วนข้อตกลงประมวลผลข้อมูลหรือ DPA ต้องตรวจเมื่อมีความสัมพันธ์ผู้ควบคุมกับผู้ประมวลผลตามมาตรา 40 ไม่ควรเรียกผู้ขายทุกรายว่าผู้ประมวลผลโดยไม่ดูงาน

เมื่อพบกิจกรรมที่เสี่ยง เช่น ติดตามพฤติกรรมอย่างเข้มข้นหรือใช้ข้อมูลอ่อนไหว ควรประเมินผลกระทบและมาตรการให้เหมาะสม รวมถึงตรวจข้อกำหนดเฉพาะที่ใช้บังคับ การใช้แบบประเมิน DPIA ของ GDPR ต้องปรับให้ตรงบริบท ไม่สรุปว่าไทยบังคับทำ DPIA ทุกกิจกรรมตามเกณฑ์เดียวกัน

ประเด็นข้อมูลพนักงานอาจต้องตรวจควบคู่กับ กฎหมายแรงงานและเอกสารนายจ้าง ส่วนข้อตกลงกับผู้ให้บริการเกี่ยวข้องกับ งานร่างและตรวจสัญญาธุรกิจ ขอบเขตเหล่านี้ควรแยกในข้อเสนอ หากต้องการให้ดำเนินการต่อจาก ROPA

มองสองฝั่งก่อนส่งเอกสารให้เจ้าของข้อมูล

บริษัทต้องมีบันทึกที่ค้นคืนได้และตอบคำขอตามสิทธิของผู้ยื่น ส่วนเจ้าของข้อมูลควรได้รับรายละเอียดที่เกี่ยวกับตนตามเงื่อนไขกฎหมาย การจัดชุดตอบคำขอจึงต้องตรวจข้อมูลของบุคคลอื่นและความปลอดภัยของระบบก่อนเปิดเผยด้วย

ทางไปต่อ: ประเมินขอบเขตรับทำ ROPA ให้ตรงกับบริษัท

ผู้รับผิดชอบบริการ PDPA คือ นายเอกราช ทิพย์แมม ทนายความ ใบอนุญาตเลขที่ 2114/2569 และผู้ผ่านเข้ารอบชิงชนะเลิศ PDPA Challenge 2023 สำนักงานเชื่อมงานข้อมูลส่วนบุคคลกับเอกสารนายจ้างและสัญญาผู้ให้บริการ เพื่อให้ข้อเสนอแก้ไขสัมพันธ์กับการทำงานของบริษัท

สำนักงานกฎหมายยอดทิพย์ธรรมรับประเมินงานจัดทำและตรวจ ROPA ในขอบเขต บริการที่ปรึกษากฎหมาย PDPA สำหรับองค์กร คุณสามารถเริ่มจากฝ่ายที่ต้องใช้เอกสารเร่งด่วน หรือให้สำรวจภาพรวมก่อนกำหนดลำดับงาน โดยตกลงสิ่งส่งมอบและกำหนดเวลาจากข้อเท็จจริง

สำหรับบริษัทที่จัดการเองได้ อาจเริ่มสำรวจรายการด้วยไฟล์ตารางและให้ผู้มีความรู้ทบทวน ส่วนกรณีมีผู้ให้บริการหลายราย ส่งข้อมูลต่างประเทศ หรือข้อกฎหมายที่ยังตอบไม่ได้ การให้ทนายเข้ามาตรวจตั้งแต่กำหนดขอบเขตช่วยลดการแก้เอกสารวนซ้ำจากข้อเท็จจริงที่ตกหล่น

ก่อนนัดหมาย เตรียมข้อมูลสั้น ๆ 6 รายการ: จำนวนพนักงาน จำนวนฝ่ายงาน จำนวนผู้ให้บริการที่เกี่ยวข้องกับข้อมูล มีข้อมูลอ่อนไหวประเภทใด มี ROPA เดิมหรือไม่ และวันที่ต้องการใช้งาน หากมีหนังสือจากคู่ค้าหรือหน่วยงานให้แจ้งกำหนดตอบด้วย โดยยังไม่ต้องส่งข้อมูลส่วนบุคคลรายบุคคลที่ไม่จำเป็น

เริ่มประเมินงานรับทำ ROPA ได้ทาง LINE @995iqtpa พิมพ์ “ประเมิน ROPA” พร้อมข้อมูล 6 รายการข้างต้น หรือ โทร 081-327-8551 เพื่อให้ทีมกำหนดขอบเขต เอกสารที่ต้องตรวจ และค่าบริการก่อนเริ่มงาน ดู ที่ตั้งและช่องทางติดต่อสำนักงานยอดทิพย์ธรรม

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก หนี้สิน และ PDPA

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี · คุ้มครองข้อมูลส่วนบุคคล (PDPA)

ดูประวัติและช่องทางติดต่อผู้เขียน →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ