องค์กรแบบใดต้องมี DPO ตรวจเกณฑ์มาตรา 41 ก่อนแต่งตั้ง

สำหรับประเด็น “ต้องมี DPO” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• คลินิกที่กิจกรรมหลักใช้ข้อมูลสุขภาพ ต้องตรวจมาตรา 41 (3) ไม่ใช้จำนวนพนักงานเป็นตัวตัดสิน
• บริษัททั่วไปมีใบลาป่วยพนักงานในงานสนับสนุน ไม่ได้ทำให้กิจกรรมหลักเป็นข้อมูลสุขภาพโดยอัตโนมัติ แต่ยังต้องตรวจเกณฑ์อื่น
• ธุรกิจติดตามพฤติกรรมลูกค้าเป็นกิจกรรมหลักและข้อมูลจำนวนมาก ต้องประเมินประกาศตามมาตรา 41 (2) พ.ศ. 2566

ควรตัดสินใจตามลำดับใด

ตรวจเกณฑ์หน่วยงานรัฐที่เกี่ยวข้องก่อน จากนั้นตรวจว่ากิจกรรมหลักใช้ข้อมูลอ่อนไหวหรือไม่ และตรวจการติดตามอย่างสม่ำเสมอกับขนาดข้อมูลตามประกาศ หากไม่เข้าเกณฑ์ให้บันทึกเหตุผลพร้อมเงื่อนไขทบทวนเมื่อกิจกรรมเปลี่ยน

ต้องมี DPO หรือไม่ ใช้จำนวนหนึ่งแสนรายอย่างไร

หนึ่งแสนรายไม่ใช่เกณฑ์ยกเว้นทั้งหมด

ข้อ 6 ของประกาศกำหนดกรณีกิจกรรมหลักที่มีเจ้าของข้อมูลตั้งแต่ 100,000 รายขึ้นไปให้ถือว่ามีข้อมูลจำนวนมาก แต่จำนวนต่ำกว่านั้นยังต้องประเมินปัจจัยอื่นและเงื่อนไขกิจกรรมตามข้อ 4 ถึง 7

ดูงานหลักตามธุรกิจจริง

งาน HR ของบริษัทขนส่งอาจเป็นงานสนับสนุน แต่การประมวลผลข้อมูลลูกค้าเพื่อขนส่งเป็นงานหลัก ต้องดูความจำเป็นต่อเป้าหมายธุรกิจ ไม่ใช้ชื่อแผนกแทนการวิเคราะห์

ข้อมูลอ่อนไหวเป็นอีกทางหนึ่ง

ถ้ากิจกรรมหลักเก็บ ใช้หรือเปิดเผยข้อมูลมาตรา 26 ต้องประเมินมาตรา 41 (3) แยก ไม่ใส่เงื่อนไขหนึ่งแสนรายเพิ่มให้มาตรานี้โดยไม่มีฐาน

แต่งตั้งแล้วต้องทำงานได้

กำหนดช่องทางเข้าถึงผู้บริหาร ทรัพยากร ความลับและการไม่ขัดแย้งหน้าที่ อาจใช้บุคลากรภายในหรือผู้รับจ้างตามกฎหมาย แต่ต้องตรวจความเหมาะสมจริง ไม่แต่งตั้งเฉพาะชื่อ

ฐานกฎหมายและขอบเขตที่ต้องแยก

มาตรา 41 กำหนดกรณีต้องมี DPO และช่องทางติดต่อ มาตรา 42 กำหนดหน้าที่ การสนับสนุน การรายงานและความเป็นอิสระ ประกาศตามมาตรา 41 (2) พ.ศ. 2566 แยกกิจกรรมหลักจากงานสนับสนุน และให้ประเมินขนาดจากจำนวนบุคคล ปริมาณและชนิดข้อมูล ระยะเวลา และขอบเขตการใช้

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

ประกาศการจัดให้มี DPO ตามมาตรา 41 (2) พ.ศ. 2566

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

หากเข้าเกณฑ์แล้วไม่จัดให้มี DPO อาจเกิดความรับผิดตามบทกำหนดโทษที่เกี่ยวข้อง การแต่งตั้งย้อนหลังไม่ทำให้ข้อบกพร่องเดิมหายไป ต้องจัดระบบสนับสนุนและแจ้งข้อมูลติดต่อให้เจ้าของข้อมูลและสำนักงานตามหน้าที่

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• บันทึกวิเคราะห์มาตรา 41 ทั้งสามกรณี
• ข้อมูลจำนวนบุคคล ชนิด ระยะและขอบเขตที่ใช้ประเมิน
• คำสั่งหรือสัญญา DPO กับการประเมินหน้าที่ขัดแย้ง
• หลักฐานแจ้งข้อมูลติดต่อและการรายงานต่อผู้บริหาร

จุดที่ควรตรวจเพิ่มคือบันทึกวิเคราะห์มาตรา 41 ทั้งสามกรณี เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

เริ่มตรวจจากรายการจริง

เลือกธุรกรรมที่เกิดขึ้นจริงและตามเส้นทางข้อมูลจากจุดเก็บไปจนผู้รับปลายทาง ให้เจ้าของงานอธิบายประกอบหลักฐาน หากขั้นตอนใดไม่มีหลักฐาน อย่าเติมคำตอบแทน ให้บันทึกช่องว่างและผลที่อาจเกิดก่อนกำหนดวิธีแก้

ให้ผู้ที่รู้ข้อเท็จจริงรับรอง

การลงนามควรระบุว่าใครตรวจอะไรและอาศัยหลักฐานใด เจ้าของกระบวนงานรับรองวิธีทำงาน ฝ่ายเทคนิคยืนยันระบบ และฝ่ายกฎหมายให้ความเห็นในขอบเขตที่ตรวจ ไม่ใช้ลายเซ็นผู้บริหารแทนการตรวจรายละเอียดทั้งหมด

ปิดข้อบกพร่องด้วยผลตรวจ

หลังแก้เอกสารหรือระบบ ให้ตรวจซ้ำเฉพาะสิ่งที่เปลี่ยนและเก็บผลว่าข้อบกพร่องถูกแก้แล้ว หากยังทำไม่ได้ให้บันทึกเหตุผล มาตรการชั่วคราว ผู้รับผิดชอบและวันติดตาม การใส่สถานะเสร็จโดยไม่มีผลตรวจทำให้สารบัญหลักฐานคลาดเคลื่อน

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	สำรวจกิจกรรมหลักและข้อมูลอ่อนไหวขององค์กร	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ทำบันทึกเข้าเกณฑ์หรือไม่พร้อมเหตุผลและข้อมูลรองรับ	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ถ้าเข้าเกณฑ์ให้จัดระบบ DPO และทดสอบการติดต่อโดยไม่ชะลอหน้าที่ที่ถึงกำหนด	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าใช้คำตอบว่าไม่ถึงหนึ่งแสนคนจึงไม่ต้องมี DPO โดยไม่ตรวจอีกสองกรณี และอย่าแต่งตั้งผู้ตัดสินวัตถุประสงค์ข้อมูลเป็นผู้ตรวจงานของตนโดยไม่ประเมินความขัดแย้ง

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในPDPA Audit-Ready หลักฐานที่องค์กรต้องมีเมื่อถูกตรวจหรือร้องเรียน ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่าน10 หลักฐานที่พิสูจน์ว่าองค์กรทำ PDPA จริง และวิธีตรวจแต่ละชุด และประโยชน์โดยชอบด้วยกฎหมาย ใช้เมื่อใดและบันทึกการชั่งน้ำหนักอย่างไร

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านคู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

อ่านต่อ: สิทธิและแนวปฏิบัติในสถานการณ์ที่เกี่ยวข้อง

• PDPA โรงพยาบาลและคลินิก ใครดูเวชระเบียนได้และใช้ภาพคนไข้ได้แค่ไหน
• PDPA Certification 2569 คืออะไร ใครขอได้และต้องเตรียมอะไร

ข้อกฎหมายที่เกี่ยวข้อง

มาตรา 41 กำหนดกรณีต้องมี DPO และช่องทางติดต่อ มาตรา 42 กำหนดหน้าที่ การสนับสนุน การรายงานและความเป็นอิสระ ประกาศตามมาตรา 41 (2) พ.ศ. 2566 แยกกิจกรรมหลักจากงานสนับสนุน และให้ประเมินขนาดจากจำนวนบุคคล ปริมาณและชนิดข้อมูล ระยะเวลา และขอบเขตการใช้

คำถามที่พบบ่อย

พนักงานไม่ถึง 50 คนต้องมี DPO ไหม

จำนวนพนักงานอย่างเดียวไม่ตอบ ต้องตรวจสถานะองค์กร กิจกรรมหลัก การติดตามและข้อมูลอ่อนไหวตามมาตรา 41

ข้อมูลไม่ถึง 100,000 รายแปลว่าไม่ต้องมีหรือไม่

ไม่ใช่ ยังมีปัจจัยอื่นตามประกาศและกรณีตามมาตรา 41 (1) หรือ (3) ที่ต้องตรวจ

ใช้ DPO ภายนอกได้ไหม

กฎหมายเปิดให้เป็นผู้รับจ้างตามสัญญาได้ แต่ต้องทำหน้าที่ มีทรัพยากร เข้าถึงผู้บริหารและไม่มีหน้าที่ขัดแย้งตามเงื่อนไข

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ