PDPA Legal Health Check
เหมาะกับ บริษัทที่เคยทำ PDPA แล้ว แต่ยังไม่มั่นใจว่าครบและใช้ได้จริง
ตรวจเอกสารและตัวอย่างกระบวนการจริง สัมภาษณ์ผู้เกี่ยวข้อง ส่งมอบ Gap & Risk Register พร้อมแผนแก้ไข 30–90 วัน · ระยะเวลาประมาณ 15 วันทำการ
PDPA ไม่ใช่แค่การมีเอกสารครบ แต่คือการทำให้องค์กรใช้ข้อมูลส่วนบุคคลได้อย่างถูกกฎหมายและพิสูจน์ได้จริง เราช่วยตรวจของเดิม จัดระบบข้อมูลพนักงาน และตัดสินใจเมื่อเกิดเหตุข้อมูลรั่ว โดยเชื่อม PDPA เข้ากับกฎหมายแรงงาน สัญญา และข้อพิพาท
บริการกฎหมาย PDPA ครอบคลุมการตรวจความพร้อมขององค์กร (Legal Health Check) การวางระบบข้อมูลพนักงานตั้งแต่รับสมัครจนพ้นสภาพ (HR Privacy) และการรับมือทางกฎหมายเมื่อเกิดเหตุข้อมูลรั่วไหล เป้าหมายไม่ใช่แค่การมีเอกสารครบ แต่ทำให้องค์กรเห็นความเสี่ยงจริง จัดลำดับการแก้ไข และสร้างกระบวนการที่ใช้ได้จริงและพร้อมชี้แจงที่มาที่ไปเมื่อถูกตรวจสอบ
องค์กรจำนวนมากมีเอกสาร PDPA อยู่แล้ว แต่ไม่มั่นใจว่าครบ ใช้จริง และพร้อมพิสูจน์เมื่อถูกตรวจสอบหรือถูกร้องเรียนหรือไม่ เราช่วยตรวจของเดิม จัดระบบข้อมูล และเตรียมความพร้อมรับมือเหตุ โดยเชื่อม PDPA เข้ากับกฎหมายแรงงาน สัญญา และการระงับข้อพิพาท เพื่อให้แนวทางที่ได้ใช้งานได้จริงในบริบทขององค์กรคุณ
กฎหมายหลักคือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ซึ่งบังคับใช้เต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 วางหลักให้องค์กรที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลต้องทำอย่างมีฐานทางกฎหมายและโปร่งใส — แต่รายละเอียดการปฏิบัติย่อมขึ้นอยู่กับลักษณะข้อมูลและการทำงานจริงขององค์กรแต่ละแห่ง
การเก็บและใช้ข้อมูลส่วนบุคคลต้องอยู่บนฐานทางกฎหมายอย่างใดอย่างหนึ่ง เช่น ความยินยอม การปฏิบัติตามสัญญา หน้าที่ตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) เป็นต้น (โดยหลักตามมาตรา 24) ส่วน ข้อมูลอ่อนไหว เช่น เชื้อชาติ ศาสนา ข้อมูลสุขภาพ ข้อมูลชีวภาพ (ลายนิ้วมือ/ใบหน้า) มีเงื่อนไขเข้มกว่าและโดยหลักต้องได้รับความยินยอมโดยชัดแจ้ง หรือมีฐานเฉพาะรองรับ (มาตรา 26) การเลือกฐานให้ถูกตั้งแต่ต้นสำคัญมาก เพราะกระทบทั้งเอกสารและการขอความยินยอม
PDPA ให้สิทธิแก่เจ้าของข้อมูลหลายประการที่องค์กรต้องเตรียมกระบวนการรองรับ (เรียกรวมว่าการตอบคำขอใช้สิทธิ หรือ DSAR) เช่น
องค์กรจึงควรมีช่องทางและขั้นตอนที่ชัดเจนว่าใครรับคำขอ ตรวจสอบตัวตนอย่างไร และต้องตอบภายในกรอบเวลาที่เหมาะสม
เมื่อเกิดเหตุข้อมูลรั่วไหล ถูกเข้าถึงโดยมิชอบ หรือส่งข้อมูลผิดคน โดยหลักตามมาตรา 37(4) ผู้ควบคุมข้อมูลต้อง แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง นับแต่ทราบเหตุเท่าที่จะทำได้ และหากมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย ช่วงเวลาสั้นนี้ทำให้การมี “แผนรับมือเหตุ” ที่ซ้อมไว้ล่วงหน้าเป็นเรื่องสำคัญ
ข้อมูลผู้สมัครและพนักงานไหลผ่านหลายจุด ตั้งแต่ประกาศรับสมัคร การสัมภาษณ์ สัญญาจ้าง ระบบ HRIS ไปจนถึงข้อมูลการลา สุขภาพ และการสแกนเข้าออก การวางระบบข้อมูล HR ให้มีหนังสือแจ้ง (Notice) ที่ตรงกับความจริง กำหนดระยะเวลาเก็บและสิทธิเข้าถึง รวมถึงแนวทางเมื่อพ้นสภาพ จะช่วยลดความเสี่ยงข้อพิพาทแรงงานที่พ่วงมากับประเด็นข้อมูลได้มาก
เนื้อหาข้างต้นเป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาเฉพาะกรณี ผลในทางกฎหมายและหน้าที่ที่แท้จริงขึ้นอยู่กับข้อเท็จจริง ประเภทและปริมาณข้อมูล และกฎหมายลำดับรองที่บังคับใช้ ณ ขณะนั้นเป็นรายกรณี แนะนำให้ปรึกษาทนายความเพื่อประเมินองค์กรของท่านโดยเฉพาะ
เหมาะกับ บริษัทที่เคยทำ PDPA แล้ว แต่ยังไม่มั่นใจว่าครบและใช้ได้จริง
ตรวจเอกสารและตัวอย่างกระบวนการจริง สัมภาษณ์ผู้เกี่ยวข้อง ส่งมอบ Gap & Risk Register พร้อมแผนแก้ไข 30–90 วัน · ระยะเวลาประมาณ 15 วันทำการ
เหมาะกับ บริษัทที่ต้องจัดระบบข้อมูลผู้สมัครและพนักงาน ตั้งแต่รับสมัคร ระหว่างจ้าง จนพ้นสภาพ
ส่งมอบ Employee Privacy Notice, Data Flow/ROPA ส่วน HR, Retention Schedule, แนวทาง CCTV/ข้อมูลชีวภาพ และขั้นตอนตอบคำขอใช้สิทธิ (DSAR) · ระยะเวลาประมาณ 6–8 สัปดาห์
เหมาะกับ องค์กรที่เพิ่งทราบเหตุและต้องตัดสินใจเร่งด่วน
จัดทำ Incident Timeline ตรวจข้อเท็จจริงเบื้องต้น ประเมินระดับความเสี่ยง รายการสิ่งที่ต้องทำทันที และบันทึกเหตุผลประกอบการตัดสินใจแจ้งเหตุ (Stage 1) — ส่วนการแจ้ง สคส. การแจ้งเจ้าของข้อมูล และการดำเนินการต่อเนื่อง เสนอแยกตามขอบเขตจริง
เหมาะกับ องค์กรที่วางระบบแล้ว และต้องการคงสถานะปฏิบัติตามให้ต่อเนื่อง
ทบทวนเอกสารเมื่อประกาศลำดับรองเปลี่ยน อัปเดต Notice/แบบขอความยินยอม/DPA ช่วยตอบคำขอใช้สิทธิ และซักซ้อมแผนรับมือเหตุ แบบรายกรณีหรือรายเดือน
PDPA มีทั้งหน้าที่เชิงเอกสารและกรอบเวลาที่ห้ามพลาด โดยเฉพาะเมื่อเกิดเหตุ การประเมินตั้งแต่เนิ่น ๆ ช่วยลดความเสี่ยงและทำให้ตัดสินใจได้เร็วเมื่อมีเรื่อง
มีหนังสือแจ้ง/นโยบายแล้ว แต่ไม่มั่นใจว่าตรงกับการเก็บและใช้ข้อมูลจริงขององค์กร
ข้อมูลลูกค้า–พนักงานอยู่ใน LINE อีเมล HRIS และแฟ้มหลายจุด โดยไม่มีภาพรวม
ใช้กล้องวงจรปิด สแกนลายนิ้วมือ หรือเก็บข้อมูลสุขภาพ โดยยังไม่มีหลักเกณฑ์รองรับ
ไม่มีกำหนดระยะเวลาเก็บและการทำลายข้อมูลที่ชัดเจน จึงเก็บทุกอย่างไว้ไม่มีที่สิ้นสุด
ยังไม่มีกระบวนการตอบคำขอใช้สิทธิ (DSAR) หรือแผนรับมือเมื่อเกิดเหตุข้อมูลรั่ว
เพิ่งทราบว่ามีข้อมูลรั่วหรือถูกเข้าถึงโดยมิชอบ และต้องตัดสินใจภายใต้เวลาจำกัด
รับฟังบริบทองค์กร ตรวจ Conflict และเลือกบริการที่ตรงปัญหา (Health Check / HR / Incident)
ระบุ Scope, Deliverables, ระยะเวลา และแนวทางค่าบริการที่ชัดเจนก่อนเริ่ม
ลงนามและ Kickoff ดำเนินการตรวจ วางระบบ หรือรับมือเหตุตามแผนที่ตกลง
ส่งมอบเอกสารและแนวทางใช้จริง พร้อมรายงานและติดตามผลจนงานเรียบร้อย
ทนายผู้รับผิดชอบบริการ PDPA
เป็นเจ้าของงานหลักของบริการ PDPA ดูแลให้ทุกโครงการมีผู้รับผิดชอบชัดเจนตั้งแต่ประเมินขอบเขตจนส่งมอบ ประสานงานกับทีมของสำนักงานเพื่อเชื่อมประเด็นคุ้มครองข้อมูลส่วนบุคคลเข้ากับงานแรงงาน สัญญา และการบังคับคดีที่เกี่ยวข้อง เพื่อให้แนวทางที่วางไว้ใช้งานได้จริงในบริบทของบริษัทและฝ่าย HR
ก่อนส่งมอบทุกครั้ง จะตรวจทานความสอดคล้องกับ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล และประกาศลำดับรองที่บังคับใช้ ณ ขณะนั้น · ดูทีมทนายทั้งหมด →
รวมสาระน่ารู้เรื่องข้อมูลส่วนบุคคลและกฎหมายที่เกี่ยวกับองค์กร ที่ทีมทนายของเรากำลังทยอยเผยแพร่ในคลังความรู้กฎหมาย
ไม่แน่ใจว่าควรเริ่มจากตรวจความพร้อม (Health Check) วางระบบข้อมูล HR หรือรับมือเหตุข้อมูลรั่ว — ปรึกษาทีมทนายของเราเพื่อคัดกรองขอบเขตก่อนเสนอแนวทาง ทุกเรื่องเป็นความลับ