ตรวจคู่ค้าก่อนส่งข้อมูลพนักงานหรือลูกค้า ต้องขอหลักฐานอะไร

สำหรับประเด็น “ตรวจคู่ค้าก่อนส่งข้อมูล” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• คู่ค้ามี ISO แต่ใบรับรองไม่ครอบคลุมศูนย์ข้อมูลที่เสนอ ต้องขอหลักฐานให้ตรงบริการ
• ผู้ให้บริการรายเล็กไม่มีใบรับรอง แต่แสดงมาตรการและผลทดสอบได้ ต้องประเมินตามความเสี่ยงแทนตัดทิ้งด้วยขนาด
• ผู้ขายบอกว่าเก็บในไทย แต่มีทีมต่างประเทศเข้าถึงเพื่อช่วยเหลือ ต้องตรวจเส้นทางเข้าถึงด้วย

ควรตัดสินใจตามลำดับใด

จัดระดับจากความอ่อนไหว ปริมาณข้อมูล ผลกระทบ และสิทธิที่คู่ค้าได้รับ แล้วเลือกรายการตรวจให้เหมาะ หากหลักฐานยังไม่พอ ให้ลดขอบเขตข้อมูล ใช้ข้อมูลทดสอบ หรือกำหนดเงื่อนไขก่อนเปิดใช้ แทนการอนุมัติผ่านโดยไม่มีคนรับผิดชอบ

ตรวจคู่ค้าก่อนส่งข้อมูลให้ได้คำตอบที่นำไปตัดสินใจได้

พิสูจน์คนและสิทธิ

ขอดูขั้นตอนเพิ่มผู้ใช้ ผู้ดูแลระบบ การยืนยันตัวตน และการเพิกถอนสิทธิเมื่อย้ายงาน ใช้ตัวอย่างที่ปกปิดข้อมูลลูกค้ารายอื่นแล้ว

พิสูจน์ความต่อเนื่อง

ถามผลทดสอบกู้คืนล่าสุดว่าอยู่ในระบบใด กู้ได้ครบหรือไม่ และใครยอมรับผล อย่าอ่านแต่เป้าหมายเวลาที่โฆษณา

พิสูจน์การกำกับข้อมูล

ตรวจ DPA รายชื่อผู้รับช่วง สถานที่จัดเก็บ การใช้ข้อมูลต่อ และความสามารถค้นข้อมูลรายบุคคลเพื่อตอบคำขอ

พิสูจน์ทางออก

ให้สาธิตการส่งออก รูปแบบไฟล์ ค่าใช้จ่าย และการลบข้อมูลหลังสิ้นสุดบริการ หากย้ายออกไม่ได้ องค์กรอาจติดข้อจำกัดแม้เปลี่ยนผู้ให้บริการแล้ว

ฐานกฎหมายและขอบเขตที่ต้องแยก

มาตรา 37 (1) และ (2) กำหนดหน้าที่ผู้ควบคุมเรื่องความปลอดภัยและป้องกันการใช้หรือเปิดเผยโดยมิชอบ มาตรา 40 กำหนดหน้าที่ผู้ประมวลผล การตรวจคู่ค้าเป็นวิธีสนับสนุนหน้าที่เหล่านี้ ไม่ใช่ใบรับรองว่าปราศจากความเสี่ยง

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

เมื่อเกิดเหตุ องค์กรอาจต้องชี้แจงว่าใช้เหตุผลใดเลือกคู่ค้าและทำอะไรเมื่อพบข้อบกพร่อง การเก็บแบบสอบถามที่ตอบผ่านทุกช่องโดยไม่มีหลักฐานรองรับทำให้พิสูจน์การกำกับได้ยาก

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• แบบประเมินความเสี่ยงที่มีเจ้าของงานรับรอง
• ใบรับรองพร้อมขอบเขต วันหมดอายุ และระบบที่ครอบคลุม
• ผลสาธิตและทดสอบที่มีวันและผู้ตรวจ
• รายการข้อบกพร่อง วันแก้ ผู้อนุมัติ และผลตรวจปิดงาน

จุดที่ควรตรวจเพิ่มคือแบบประเมินความเสี่ยงที่มีเจ้าของงานรับรอง เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

คนที่ต้องร่วมตัดสินใจ

เจ้าของบริการควรยืนยันว่าข้อมูลใดต้องส่งและผลหากระบบหยุด ฝ่ายเทคนิคตรวจว่ามาตรการทำงานจริง ฝ่ายจัดซื้อรักษาเงื่อนไขที่ตกลง ส่วนฝ่ายกฎหมายตรวจบทบาทและสิทธิ อย่าให้การรับรองของแผนกเดียวครอบข้อเท็จจริงที่แผนกนั้นไม่ได้ตรวจ

แยกสิ่งที่ทราบกับสิ่งที่คู่ค้ายังไม่ตอบ

ในบันทึกตรวจให้ระบุข้อเท็จจริงที่มีหลักฐาน ข้อมูลที่ยังรอ และผลต่อการตัดสินใจแยกกัน หากต้องเปิดใช้งานก่อนแก้ครบ ให้จำกัดข้อมูลหรือสิทธิ พร้อมผู้อนุมัติและวันทบทวนที่ชัดเจน การเงียบของคู่ค้าไม่ใช่การยืนยันว่าความเสี่ยงไม่มี

ตรวจภาคปฏิบัติก่อนถือว่าปิดงาน

ให้ทีมที่ต้องลงมือสาธิตขั้นตอนสำคัญด้วยข้อมูลทดสอบ บันทึกผลที่ทำได้และข้อจำกัด หากเอกสารสัญญารับรองมากกว่าระบบทำได้ ต้องแก้ทั้งเงื่อนไขและวิธีปฏิบัติ ไม่ทำเครื่องหมายผ่านเพียงเพราะมีลายเซ็นครบ

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	จัดกลุ่มคู่ค้าตามข้อมูลและผลกระทบ	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ขอหลักฐานเฉพาะข้อเสี่ยงสูงและบันทึกสิ่งที่ยังขาด	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ติดตามเงื่อนไขก่อนเปิดใช้และสุ่มตรวจระบบที่ใช้งานแล้ว	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

ไม่ควรขอคู่ค้าส่งรายชื่อลูกค้าหรือ Log ที่มีข้อมูลบุคคลอื่นเกินจำเป็นเพื่อพิสูจน์ความปลอดภัย ให้รับรายงานปกปิดข้อมูลหรือวิธีสาธิตที่ปลอดภัยแทน

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในคู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบ ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่านผู้รับช่วงประมวลผลคือใคร ต้องรู้รายชื่อแค่ไหนก่อนใช้บริการ และร่าง DPA ต้องมีข้อใดบ้าง ขอบเขตที่ทำให้สัญญาใช้งานได้จริง

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียนประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA รวมถึงข้อสัญญากับคู่ค้า สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

ข้อกฎหมายที่เกี่ยวข้อง

มาตรา 37 (1) และ (2) กำหนดหน้าที่ผู้ควบคุมเรื่องความปลอดภัยและป้องกันการใช้หรือเปิดเผยโดยมิชอบ มาตรา 40 กำหนดหน้าที่ผู้ประมวลผล การตรวจคู่ค้าเป็นวิธีสนับสนุนหน้าที่เหล่านี้ ไม่ใช่ใบรับรองว่าปราศจากความเสี่ยง

คำถามที่พบบ่อย

คู่ค้าที่ไม่มี ISO ใช้ได้ไหม

ต้องประเมินมาตรการและความเสี่ยงจริง ใบรับรองเป็นหลักฐานหนึ่ง แต่การไม่มีใบรับรองไม่ได้ตอบว่าทำตาม PDPA ไม่ได้โดยอัตโนมัติ

ตรวจตอนเซ็นครั้งเดียวพอไหม

ควรทบทวนเมื่อบริการ ข้อมูล ผู้รับช่วง หรือความเสี่ยงเปลี่ยน และตามรอบที่องค์กรกำหนดอย่างมีเหตุผล

ใครควรอนุมัติข้อบกพร่องที่ยังไม่แก้

ผู้มีอำนาจตามระดับความเสี่ยงควรตัดสินใจโดยรับข้อมูลจากเจ้าของงาน ฝ่ายเทคนิคและกฎหมาย พร้อมระบุเงื่อนไขและวันติดตาม

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ