รับทำ PDPA และที่ปรึกษากฎหมาย PDPA สำหรับบริษัท นายจ้าง และฝ่าย HR

องค์กรจำนวนมากมีเอกสาร PDPA อยู่แล้ว แต่ไม่มั่นใจว่าครบ ใช้จริง และพร้อมพิสูจน์เมื่อถูกตรวจสอบหรือถูกร้องเรียนหรือไม่ เราช่วยตรวจของเดิม จัดระบบข้อมูล และเตรียมความพร้อมรับมือเหตุ โดยเชื่อม PDPA เข้ากับกฎหมายแรงงาน สัญญา และการระงับข้อพิพาท เพื่อให้แนวทางที่ได้ใช้งานได้จริงในบริบทขององค์กรคุณ

กฎหมายหลักคือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ซึ่งบังคับใช้เต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 วางหลักให้องค์กรที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลต้องทำอย่างมีฐานทางกฎหมายและโปร่งใส — แต่รายละเอียดการปฏิบัติย่อมขึ้นอยู่กับลักษณะข้อมูลและการทำงานจริงขององค์กรแต่ละแห่ง

1. ต้องมี “ฐานการประมวลผล” ที่ถูกต้อง

การเก็บและใช้ข้อมูลส่วนบุคคลต้องอยู่บนฐานทางกฎหมายอย่างใดอย่างหนึ่ง เช่น ความยินยอม การปฏิบัติตามสัญญา หน้าที่ตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) เป็นต้น (โดยหลักตามมาตรา 24) ส่วน ข้อมูลอ่อนไหว เช่น เชื้อชาติ ศาสนา ข้อมูลสุขภาพ ข้อมูลชีวภาพ (ลายนิ้วมือ/ใบหน้า) มีเงื่อนไขเข้มกว่าและโดยหลักต้องได้รับความยินยอมโดยชัดแจ้ง หรือมีฐานเฉพาะรองรับ (มาตรา 26) การเลือกฐานให้ถูกตั้งแต่ต้นสำคัญมาก เพราะกระทบทั้งเอกสารและการขอความยินยอม

2. เจ้าของข้อมูลมี “สิทธิ” ที่องค์กรต้องรองรับ

PDPA ให้สิทธิแก่เจ้าของข้อมูลหลายประการที่องค์กรต้องเตรียมกระบวนการรองรับ (เรียกรวมว่าการตอบคำขอใช้สิทธิ หรือ DSAR) เช่น

• สิทธิขอเข้าถึงและขอสำเนาข้อมูลของตน
• สิทธิขอแก้ไขข้อมูลให้ถูกต้องเป็นปัจจุบัน
• สิทธิขอลบ/ทำลาย หรือระงับการใช้ในบางกรณี
• สิทธิคัดค้านการประมวลผล และสิทธิถอนความยินยอม
• สิทธิขอให้โอนย้ายข้อมูล (Data Portability) ในบางกรณี

องค์กรจึงควรมีช่องทางและขั้นตอนที่ชัดเจนว่าใครรับคำขอ ตรวจสอบตัวตนอย่างไร และต้องตอบภายในกรอบเวลาที่เหมาะสม

3. เมื่อเกิดเหตุละเมิดข้อมูล ต้องรีบประเมินและอาจต้องแจ้ง

เมื่อเกิดเหตุข้อมูลรั่วไหล ถูกเข้าถึงโดยมิชอบ หรือส่งข้อมูลผิดคน โดยหลักตามมาตรา 37(4) ผู้ควบคุมข้อมูลต้อง แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง นับแต่ทราบเหตุเท่าที่จะทำได้ และหากมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย ช่วงเวลาสั้นนี้ทำให้การมี “แผนรับมือเหตุ” ที่ซ้อมไว้ล่วงหน้าเป็นเรื่องสำคัญ

4. ข้อมูลพนักงานคือจุดที่องค์กรมักมองข้าม

ข้อมูลผู้สมัครและพนักงานไหลผ่านหลายจุด ตั้งแต่ประกาศรับสมัคร การสัมภาษณ์ สัญญาจ้าง ระบบ HRIS ไปจนถึงข้อมูลการลา สุขภาพ และการสแกนเข้าออก การวางระบบข้อมูล HR ให้มีหนังสือแจ้ง (Notice) ที่ตรงกับความจริง กำหนดระยะเวลาเก็บและสิทธิเข้าถึง รวมถึงแนวทางเมื่อพ้นสภาพ จะช่วยลดความเสี่ยงข้อพิพาทแรงงานที่พ่วงมากับประเด็นข้อมูลได้มาก

เนื้อหาข้างต้นเป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาเฉพาะกรณี ผลในทางกฎหมายและหน้าที่ที่แท้จริงขึ้นอยู่กับข้อเท็จจริง ประเภทและปริมาณข้อมูล และกฎหมายลำดับรองที่บังคับใช้ ณ ขณะนั้นเป็นรายกรณี แนะนำให้ปรึกษาทนายความเพื่อประเมินองค์กรของท่านโดยเฉพาะ