ข้อมูลส่วนบุคคลและระบบงาน

ส่งข้อมูลลูกค้าให้เอเจนซีหรือผู้ให้บริการ ต้องตกลงและตรวจสอบอะไรบ้าง

สมมติว่าแบรนด์ส่งรายชื่อลูกค้าให้เอเจนซีช่วยส่งข่าวสินค้า เอเจนซีใช้โปรแกรมส่งอีเมลของผู้ให้บริการอีกรายหนึ่ง และมีฟรีแลนซ์ช่วยจัดรายชื่อก่อนนำเข้าระบบ จากมุมของแบรนด์อาจดูเหมือนส่งข้อมูลให้ผู้รับจ้างเพียงรายเดียว แต่ในการทำงานจริง มีทั้งคนและบริการหลายรายเข้ามาเกี่ยวข้อง สิ่งที่ต้องตกลงจึงไม่ใช่แค่ใครส่งอีเมลวันไหน แต่รวมถึงใครตัดสินใจว่าจะใช้รายชื่อทำอะไร ใครมีสิทธิเข้าถึง ส่งต่อได้หรือไม่ และเมื่องานจบจะจัดการข้อมูลอย่างไร หากยังตอบไม่ได้ การมีสัญญาจ้างหรือเลือกโปรแกรมที่มีชื่อเสียงก็ยังไม่ทำให้หน้าที่เกี่ยวกับข้อมูลครบถ้วน [1: มาตรา 6, 37 และ 40]

เริ่มจากดูว่าแต่ละรายได้รับข้อมูลไปทำงานอะไร

ลองไล่ขั้นตอนตั้งแต่แบรนด์ส่งรายชื่อ เอเจนซีเปิดไฟล์ ผู้ช่วยแก้ข้อมูล ไปจนถึงโปรแกรมส่งข้อความ บันทึกว่าแต่ละช่วงใช้ข้อมูลประเภทใด เก็บในบัญชีของใคร และใครเปิดดูได้ หากมีระบบเชื่อมข้อมูลอัตโนมัติหรือผู้รับจ้างช่วง ก็ควรรวมไว้ด้วย ไม่มองเฉพาะคู่สัญญาที่อยู่ในใบเสนอราคา รายการนี้ไม่จำเป็นต้องเป็นแบบประเมินยาวหลายสิบหน้า ตารางที่บอกว่า “เอเจนซีใช้ชื่อและอีเมลเพื่อส่งข่าวตามรายชื่อที่แบรนด์กำหนด” มีประโยชน์กว่าช่องที่เขียนเพียงว่า “เครื่องมือการตลาด” และไม่ต้องนำรายชื่อลูกค้าจริงทั้งหมดมาคัดลอกลงในตารางอีกชุด การเก็บข้อมูลเท่าที่จำเป็นยังเป็นหลักที่ต้องคำนึงถึงตามมาตรา 22 [1]

ใครเป็นผู้ควบคุมข้อมูล ใครเป็นผู้ประมวลผล

ผู้ที่มีอำนาจตัดสินใจเกี่ยวกับการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เรียกว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” ส่วนผู้ที่ดำเนินการตามคำสั่งหรือในนามของผู้ควบคุม โดยไม่ได้เป็นผู้ควบคุมในกิจกรรมนั้นเอง เรียกว่า “ผู้ประมวลผลข้อมูลส่วนบุคคล” ตามมาตรา 6 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [1] ในตัวอย่างข้างต้น หากแบรนด์เป็นผู้กำหนดว่าจะส่งข่าวอะไรให้ใคร และเอเจนซีจัดการรายชื่อตามคำสั่งเท่านั้น ก็มีเหตุให้พิจารณาว่าเอเจนซีเป็นผู้ประมวลผลสำหรับงานนั้น แต่หากเอเจนซีนำรายชื่อไปใช้หาลูกค้าของตนเอง ก็เป็นการใช้อีกอย่างหนึ่งที่ต้องตรวจแยก จะอาศัยคำว่า “รับจ้างแบรนด์” ครอบคลุมไปด้วยไม่ได้ [1: มาตรา 6 และ 40] บทบาทเหล่านี้จึงไม่ได้ขึ้นอยู่กับว่าใครจ่ายเงิน หรือสัญญาเรียกแต่ละฝ่ายว่าอะไรเพียงอย่างเดียว ต้องดูการตัดสินใจและการทำงานจริงประกอบกัน ส่วนหน้าที่ทำตามคำสั่งก็ไม่ได้หมายความว่าผู้ประมวลผลต้องทำตามคำสั่งที่ขัดกฎหมาย ซึ่งมาตรา 40 (1) มีข้อยกเว้นไว้ [1]

กรณี มสธ. จ้างบริษัทให้รับสมัคร ลงทะเบียน และรับชำระเงิน

มหาวิทยาลัยสุโขทัยธรรมาธิราช หรือ มสธ. หารือเรื่องการทำข้อตกลงกับบริษัท จ. จำกัด เพื่อจัดทำระบบรับสมัคร ลงทะเบียนเรียน และรับชำระค่าธรรมเนียมการศึกษา โดยจะส่งข้อมูลนักศึกษาหรือผู้เรียนให้บริษัทใช้ดำเนินงาน ทั้งสองฝ่ายตั้งใจระบุในข้อตกลงให้มหาวิทยาลัยเป็นผู้ควบคุมข้อมูลและบริษัทเป็นผู้ประมวลผล คำถามคือส่งข้อมูลได้โดยไม่ขอความยินยอมหรือไม่ และควรจัดทำข้อตกลงอย่างไร [2] คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลพิจารณาว่า มสธ. เป็นผู้กำหนดวัตถุประสงค์และวิธีการของงานดังกล่าว จึงเป็นผู้ควบคุมข้อมูล ส่วนบริษัทที่ทำตามคำสั่งหรือในนามของมหาวิทยาลัยเป็นผู้ประมวลผลสำหรับงานนั้น การระบุบทบาทในสัญญาจึงสอดคล้องกับข้อเท็จจริงที่เสนอมา แต่ไม่ใช่เพราะเขียนไว้ในสัญญาแล้วจะเป็นเช่นนั้นเสมอ [2: ประเด็นข้อหารือที่ 1] คำตอบยังแยกงานอีกส่วนหนึ่งออกมา เช่น บริษัทออกหลักฐานรับชำระเงินในนามของตน จัดทำบัญชี ปฏิบัติหน้าที่ภาษีอากรหรือหน้าที่ตามกฎหมายเกี่ยวกับระบบการชำระเงินและการป้องกันการฟอกเงิน รวมถึงจัดการข้อพิพาทของตนเอง เมื่อบริษัทกำหนดวัตถุประสงค์และวิธีใช้ข้อมูลสำหรับเรื่องเหล่านี้เอง บริษัทมีฐานะเป็นผู้ควบคุมข้อมูลในส่วนนั้น ไม่ใช่ผู้ประมวลผลของมหาวิทยาลัยทุกกิจกรรม [2] บริษัทเดียวจึงอาจมีมากกว่าหนึ่งบทบาทในความสัมพันธ์เดียวกันได้ คำตอบแนะนำให้จำแนกบทบาทตามวัตถุประสงค์หรือกิจกรรมไว้ในข้อตกลง เมื่อนำมาใช้กับงานเอเจนซี เราจึงควรถามแยกว่างานใดทำตามคำสั่งลูกค้า และงานใดผู้ให้บริการใช้ข้อมูลเพื่อกิจการของตน ไม่กำหนดบทบาทเดียวให้ทั้งบริษัทโดยไม่ดูรายละเอียด

ส่งข้อมูลให้ผู้ประมวลผล ต้องขอความยินยอมเพิ่มหรือไม่

ในข้อหารือเดียวกัน คณะอนุกรรมการฯ อธิบายว่า การส่งข้อมูลให้ผู้ประมวลผลที่ทำตามคำสั่งหรือในนามของผู้ควบคุม และไม่ใช้ข้อมูลเพื่อวัตถุประสงค์ของตนเอง ไม่ใช่การเปิดเผยให้บุคคลที่สามที่ต้องหาฐานกฎหมายหรือขอความยินยอมแยกต่างหากเพียงเพราะมีการส่งข้อมูลนั้น ความสัมพันธ์ส่วนนี้อยู่ภายใต้มาตรา 40 (1) และข้อตกลงตามมาตรา 40 วรรคสาม [2] แต่ไม่ได้หมายความว่าการประมวลผลทั้งหมดไม่ต้องมีฐานกฎหมาย ผู้ควบคุมยังต้องมีเหตุที่กฎหมายรองรับสำหรับงานของตน ไม่ว่าจะทำเองหรือให้ผู้ประมวลผลทำแทน ในกรณี มสธ. คำตอบพิจารณาภารกิจบริการสาธารณะด้านการศึกษาและความสัมพันธ์ตามสัญญากับนักศึกษาหรือผู้เรียน จึงอ้างมาตรา 24 (3) และ/หรือ มาตรา 24 (4) ประกอบมาตรา 27 วรรคหนึ่ง ภายใต้วัตถุประสงค์เดิมและเท่าที่จำเป็น [2] หน้าที่อื่นยังคงอยู่ด้วย ทั้งการแจ้งรายละเอียด การใช้ข้อมูลเท่าที่จำเป็น และการบันทึกตามที่กฎหมายกำหนด ส่วนกิจกรรมที่บริษัททำในฐานะผู้ควบคุมของตนเอง บริษัทต้องพิจารณาฐานกฎหมายและหน้าที่ของตนแยกต่างหาก [2] สำหรับแบรนด์หรือเอเจนซี บทเรียนจึงไม่ใช่ “จ้างใครก็ส่งรายชื่อได้” แต่คือ ต้องแยกผู้ที่ทำงานแทนเราจริงออกจากผู้ที่นำข้อมูลไปใช้เพื่อตนเอง และตรวจว่าการประมวลผลเดิมมีฐานกฎหมายและครอบคลุมงานที่มอบหมายหรือไม่ ฐานภารกิจสาธารณะของมหาวิทยาลัยในข้อหารือไม่ได้กลายเป็นฐานสำหรับการตลาดของกิจการเอกชนตามไปด้วย

ข้อตกลงควรระบุหน้าที่เกี่ยวกับข้อมูล ไม่ใช่มีแต่ขอบเขตงานและราคา

เมื่อเป็นความสัมพันธ์ผู้ควบคุมกับผู้ประมวลผล มาตรา 40 วรรคสาม กำหนดให้ผู้ควบคุมจัดให้มีข้อตกลงควบคุมการดำเนินงานของผู้ประมวลผล ข้อตกลงนี้มักเรียกว่า “ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล” หรือ DPA [1] ในข้อหารือของ มสธ. คณะอนุกรรมการฯ ระบุให้กำหนดหน้าที่ความรับผิดชอบ วัตถุประสงค์และวิธีประมวลผลตามคำสั่ง รวมถึงมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะกับความเสี่ยง และการแจ้งเหตุละเมิดข้อมูลกลับมายังผู้ควบคุม [2: ประเด็นข้อหารือที่ 2] เมื่อนำมาตกลงงานส่งอีเมล เราจึงควรอธิบายได้ว่าผู้รับจ้างใช้รายชื่อชุดใดเพื่ออะไร ผู้ช่วยหรือผู้รับจ้างช่วงเข้าถึงได้อย่างไร ใครรับคำขอเกี่ยวกับข้อมูล และเมื่อเลิกจ้างจะส่งคืนหรือลบข้อมูลส่วนไหน รายละเอียดการทำงานเพิ่มเติมเหล่านี้ควรเลือกให้เหมาะกับงาน ไม่ใช่คัดสัญญายาว ๆ มาใช้โดยไม่มีใครรู้ว่าจะปฏิบัติตามอย่างไร เรื่องระยะเวลาแจ้งเหตุควรแยกให้เห็นว่าใครต้องแจ้งใคร คำตอบข้อหารือกำหนดให้ข้อตกลงระบุหน้าที่ของผู้ประมวลผลในการแจ้งผู้ควบคุมโดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลทราบเหตุเท่าที่จะสามารถกระทำได้ ข้อความนี้สอดคล้องกับข้อ 8 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 โดยอ้างมาตรา 40 (2) ประกอบมาตรา 37 (4) [2][4] นี่เป็นการแจ้งจากผู้ประมวลผลถึงผู้ควบคุม ไม่ใช่การแจ้งต่อ สคส. ของผู้ควบคุม ซึ่งต้องพิจารณาเงื่อนไขและเวลาที่ตนทราบเหตุต่างหาก จึงไม่ควรนำระยะเวลาของสองฝ่ายมาต่อกันเป็นช่วงที่รอได้ และคำว่า “ภายใน 72 ชั่วโมง” ก็ไม่ได้ลบหน้าที่ให้แจ้งโดยไม่ชักช้า ทีมอาจตกลงช่องทางแจ้งด่วนเพื่อให้ผู้ควบคุมประเมินและจัดการเหตุได้เร็วขึ้น โดยไม่เขียนว่ากฎหมายให้สิทธิรอจนใกล้ครบกำหนด

ไม่ได้เป็นคู่สัญญาจ้างโดยตรง ก็อาจต้องมีข้อตกลงเรื่องข้อมูล

ข้อหารือเรื่องโครงการคลาวด์กลางด้านสาธารณสุขมีประเด็นที่ช่วยให้เห็นความต่างระหว่างสัญญาจ้างกับหน้าที่เกี่ยวกับข้อมูลได้ชัด ฝ่ายจัดจ้างผู้พัฒนาระบบไม่ใช่ฝ่ายเดียวกับสำนักงานปลัดกระทรวงสาธารณสุขที่กำหนดการใช้ข้อมูล จึงมีคำถามว่าจะทำข้อตกลงประมวลผลข้อมูลกันโดยตรงได้หรือไม่ [3] คำตอบพิจารณาว่า แม้ไม่ได้เป็นคู่สัญญาในสัญญาจ้าง หากสำนักงานปลัดฯ ตัดสินใจเกี่ยวกับการประมวลผล และผู้รับจ้างดำเนินการตามคำสั่งหรือในนามของสำนักงานปลัดฯ ก็มีความสัมพันธ์ผู้ควบคุมกับผู้ประมวลผล และต้องจัดให้มีข้อตกลงตามมาตรา 40 วรรคสาม [3: ประเด็นข้อหารือที่ 3 ของ สป.สธ.] สำหรับงานของเรา นี่เป็นเหตุให้ตรวจความสัมพันธ์ระหว่างแบรนด์ เอเจนซี และผู้รับจ้างช่วงให้ครบ ไม่หยุดที่คำตอบว่า “ไม่ได้เซ็นสัญญากับรายนั้นโดยตรง” แล้วถือว่าไม่ต้องดูต่อว่าเขาใช้ข้อมูลแทนใคร

ถ้าต่างฝ่ายต่างใช้ข้อมูลของตน ต้องทำสัญญาอีกฉบับเสมอหรือไม่

คำตอบของ มสธ. แยกข้อตกลงสำหรับส่วนที่บริษัทเป็นผู้ประมวลผล ออกจากส่วนที่ทั้งสองฝ่ายต่างเป็นผู้ควบคุมข้อมูล โดยระบุว่าพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้กำหนดหน้าที่ให้มีข้อตกลงระหว่างผู้ควบคุมด้วยกันไว้อย่างชัดเจน ทั้งสองฝ่ายอาจพิจารณาจัดทำข้อตกลงแบ่งปันข้อมูล หรือ DSA เพื่อกำหนดความรับผิดชอบและการประสานงาน [2] ข้อตกลงส่วนนี้อาจเป็นเอกสารแยก เป็นข้อกำหนดอีกส่วนหนึ่ง หรือเป็นภาคผนวกในสัญญาเดียวกันได้ จุดสำคัญคือแยกหน้าที่ตามบทบาทให้เข้าใจ ไม่ใช่ต้องเพิ่มจำนวนสัญญาเสมอไป และการไม่ทำ DSA ก็ไม่ได้ทำให้หน้าที่เรื่องฐานกฎหมาย การแจ้งรายละเอียด ความปลอดภัย หรือสิทธิของเจ้าของข้อมูลหมดไป [2]

ตรวจทั้งเงื่อนไขบริการและการตั้งค่าที่ทีมใช้จริง

สมมติว่าผู้ให้บริการโฆษณาว่ามีระบบควบคุมสิทธิอย่างรัดกุม แต่ทีมเปิดลิงก์รายชื่อลูกค้าให้ทุกคนที่มีลิงก์เข้าได้ สิ่งที่ผู้ขายบอกกับสิ่งที่ทีมตั้งค่าอาจเป็นคนละเรื่องกัน จึงควรตรวจทั้งสองส่วน อาจเริ่มจากรู้ว่าใครดูแลบัญชี ใครมีสิทธิระดับสูง ใช้การยืนยันตัวตนแบบใด และยกเลิกสิทธิของคนที่เลิกทำงานแล้วหรือยัง ประกาศเรื่องมาตรการรักษาความมั่นคงปลอดภัย พ.ศ. 2565 วางหลักการควบคุมการเข้าถึง การทบทวนและปรับสิทธิ รวมถึงมาตรการตามระดับความเสี่ยงไว้ ไม่ได้กำหนดให้เลือกมาตรการเหมือนกันทุกกิจการ [5] บันทึกให้ตรงด้วยว่าเรื่องใดผู้ขายเป็นผู้รับรอง เรื่องใดอ่านจากสัญญา เรื่องใดเห็นจากหน้าตั้งค่า และเรื่องใดได้ทดลองจริง เช่น การเห็นปุ่มลบข้อมูลยังไม่เท่ากับการยืนยันว่าข้อมูลทุกสำเนาถูกลบแล้ว หากเป็นเครื่องมือ AI คำว่า “ไม่ใช้ข้อมูลฝึกโมเดล” ก็ต้องตรวจแยกจากการเก็บข้อมูล ระยะเก็บ และผู้ที่เข้าถึงได้ หากข้อมูลอาจถูกส่งหรือโอนไปต่างประเทศ ต้องดูผู้รับและการทำงานจริงตามมาตรา 28 และ 29 และหลักเกณฑ์ที่เกี่ยวข้อง ไม่ตัดสินจากชื่อโดเมนหรือที่ตั้งสำนักงานใหญ่เพียงอย่างเดียว และไม่ถือว่ามี DPA แล้วเงื่อนไขการโอนจะครบไปด้วย [1][6][7]

ก่อนเลิกใช้บริการ ต้องตามข้อมูลและสิทธิการเข้าถึงให้ครบ

การหยุดจ่ายค่าบริการไม่ได้บอกว่าได้ย้ายข้อมูล ถอนสิทธิผู้ช่วย หรือปิดการเชื่อมระบบแล้ว ควรตกลงเรื่องเหล่านี้ตั้งแต่เริ่มใช้ และทดลองด้วยข้อมูลสมมติว่าดึงข้อมูลที่ต้องใช้ต่อออกมาได้จริงหรือไม่ สำหรับระบบอีเมล อย่าย้ายเฉพาะชื่อและอีเมลโดยทิ้งสถานะผู้ที่ขอหยุดรับข่าวไว้ในระบบเก่า เพราะการเปลี่ยนผู้ให้บริการไม่ได้ทำให้สิทธิคัดค้านการตลาดตามมาตรา 32 หมดไป ส่วนข้อมูลที่ต้องเก็บต่อด้วยเหตุอื่น ควรมีเหตุ ระยะเวลา และผู้รับผิดชอบชัดเจน [1: มาตรา 32, 33 และ 37] หากมีตารางที่บอกว่าแต่ละบริการรับข้อมูลไปทำอะไร ใครสั่งงาน และต้องทำอย่างไรเมื่อข้อมูลเปลี่ยนหรือเลิกใช้ คนในทีมก็จะตามเรื่องต่อได้ง่ายขึ้น สัญญาและการตรวจความปลอดภัยจึงจะอ้างอิงงานที่เกิดขึ้นจริง แทนที่จะเป็นเอกสารอีกชุดหนึ่งที่ไม่เชื่อมกับการทำงานประจำวัน

เอกสารอ้างอิง

ตัวอย่างแบรนด์และเอเจนซีเป็นสถานการณ์สมมติ ส่วนข้อหารือเป็นคำตอบตามข้อเท็จจริงที่หน่วยงานได้รับ ไม่ใช่การรับรองบทบาท สัญญา หรือระบบของผู้ให้บริการทุกราย