จัดกิจกรรมแล้ว จะนำรายชื่อและภาพผู้ร่วมงานไปใช้ต่อได้แค่ไหน

สมมติว่าทีมของเราจัดเวิร์กช็อปหนึ่งวัน ผู้เข้าร่วมกรอกชื่อและอีเมลเพื่อจองที่นั่ง บางคนชำระค่าร่วมงานล่วงหน้า พอถึงวันงานก็มีช่างภาพเก็บบรรยากาศ หลังงานจบ ทีมอยากส่งข่าวกิจกรรมครั้งต่อไป ผู้สนับสนุนขอรายชื่อคนที่สนใจสินค้า และมีข้อเสนอให้เปิดกลุ่มออนไลน์เพื่อให้ทุกคนติดต่อกันต่อ สำหรับผู้จัด สิ่งเหล่านี้อาจเป็นส่วนหนึ่งของโครงการเดียวกัน แต่สำหรับคนที่มาร่วม การให้ชื่อเพื่อจองที่นั่งไม่ได้แปลว่าเขาต้องการรับโฆษณา ยินยอมให้ทุกคนเห็นข้อมูลติดต่อ หรืออนุญาตให้นำภาพไปใช้ได้ทุกแบบ ผู้จัดจึงต้องพิจารณาการใช้ข้อมูลแต่ละอย่างให้ชัด ไม่ถือว่าการสมัครครั้งเดียวครอบคลุมทุกกิจกรรมหลังจากนั้น [1: มาตรา 19, 21, 23, 24 และ 27]

ใบสมัครควรถามเฉพาะข้อมูลที่ต้องใช้จัดงาน

ก่อนเปิดรับสมัคร ลองถามว่าข้อมูลแต่ละช่องจะช่วยให้ทีมทำงานอะไร ชื่ออาจใช้เช็กสิทธิเข้างาน อีเมลใช้ส่งคำยืนยัน ส่วนข้อมูลสำหรับออกเอกสารรับเงินอาจใช้เฉพาะคนที่ต้องการเอกสารนั้น หากแบบฟอร์มสำเร็จรูปมีช่องวันเดือนปีเกิด เลขบัตรประชาชน หรือที่อยู่มาให้ ไม่จำเป็นต้องเก็บตามทั้งหมดโดยไม่ทราบว่าจะนำไปใช้อะไร มาตรา 22 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้เก็บข้อมูลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย การพิจารณาจึงควรเริ่มจากงานที่ต้องทำ ไม่ใช่จากจำนวนช่องที่มีให้กรอก [1] เมื่อรู้ว่าจะเก็บอะไรแล้ว ให้ดูต่อว่าใครต้องได้รับข้อมูลส่วนนั้น เช่น ทีมหน้าห้องอาจต้องทราบเพียงชื่อกับสิทธิเข้างาน ไม่ต้องเห็นคำตอบเรื่องสุขภาพหรือเอกสารชำระเงินทั้งหมด การทำตารางสั้น ๆ ว่าฝ่ายใดใช้ข้อมูลอะไร จะช่วยให้การแบ่งงานไม่กลายเป็นการส่งใบสมัครทั้งชุดให้ทุกคน [1: มาตรา 22 และ 37]

แจ้งเรื่องการใช้ข้อมูลตั้งแต่ตอนสมัคร

ผู้สมัครควรทราบว่าใครเป็นผู้จัด เก็บข้อมูลเพื่ออะไร เก็บนานเท่าใดหรือกำหนดระยะเวลาด้วยเกณฑ์ใด อาจเปิดเผยให้บุคคลประเภทใด และติดต่อขอใช้สิทธิได้อย่างไร มาตรา 23 กำหนดให้แจ้งรายละเอียดก่อนหรือขณะเก็บข้อมูล เว้นแต่เจ้าของข้อมูลทราบรายละเอียดนั้นอยู่แล้ว การใส่ลิงก์นโยบายครั้งแรกในอีเมลขอบคุณหลังงานจบจึงไม่ช่วยแทนการแจ้งในเวลาที่กฎหมายกำหนด [1] ในงานหนึ่งอาจมีการให้ข้อมูลมากกว่าจุดเดียว เช่น ใบสมัครของผู้จัด แบบฟอร์มของผู้สนับสนุน และการสมัครกลุ่มออนไลน์ หากแต่ละจุดมีผู้รับข้อมูลหรือวัตถุประสงค์ต่างกัน คำอธิบายก็ต้องสอดคล้องกับสิ่งที่เกิดขึ้นจริง ไม่ใช่ใช้ข้อความของผู้จัดไปแทนหน้าที่ของทุกฝ่ายโดยอัตโนมัติ [1: มาตรา 6 และ 23, 24]

อีเมลแจ้งกำหนดการกับอีเมลขายสินค้า ควรแยกให้ชัด

อีเมลแจ้งสถานที่ เปลี่ยนเวลา หรือส่งเอกสารประกอบกิจกรรม อาจจำเป็นต่อสิ่งที่ผู้เข้าร่วมสมัครไว้ แต่อีเมลเสนอคอร์สใหม่หรือสินค้าของผู้สนับสนุนมีวัตถุประสงค์อีกอย่างหนึ่ง ต้องพิจารณาฐานกฎหมายแยกกัน แม้จะส่งจากบัญชีผู้จัดเดียวกันก็ตาม [1: มาตรา 21, 24 และ 27] หากจะให้สมัครรับข่าวเป็นประจำด้วย ควรบอกว่าข่าวเกี่ยวกับอะไรและใครเป็นผู้ส่ง เมื่ออาศัยความยินยอม ก็ต้องเปิดโอกาสให้เลือกได้จริง ไม่กำหนดให้ยินยอมรับการตลาดที่ไม่จำเป็นเป็นเงื่อนไขเข้าร่วมงาน การออกแบบที่เหมาะกับตัวอย่างนี้คือให้เลือกสมัครข่าวแยกต่างหาก แล้วส่งสถานะนั้นไปกับรายชื่อ เพื่อให้ทีมอีเมลรู้ว่าใครต้องการรับอะไร [1: มาตรา 19] ส่วนการส่งรายชื่อให้ผู้สนับสนุนติดต่อเอง ต้องตรวจเพิ่มทั้งผู้รับ วัตถุประสงค์ ฐานกฎหมาย และรายละเอียดที่แจ้งแก่ผู้สมัคร การมีชื่อหรือโลโก้ผู้สนับสนุนบนเวทีไม่ได้เท่ากับการมีสิทธิส่งข้อมูลให้เขาทำการตลาด [1: มาตรา 19, 21, 23, 24 และ 27]

กรณีบริษัท V ต้องการนำภาพกิจกรรมเพื่อสังคมลงเพจ

บริษัท V หารือกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือ สคส. เกี่ยวกับการนำชื่อ ภาพถ่าย และวิดีโอของผู้ร่วมกิจกรรมเพื่อสังคมและสิ่งแวดล้อม หรือ CSR ไปประชาสัมพันธ์ผ่าน Facebook Page ของบริษัท ผู้เข้าร่วมมีทั้งพนักงานและบุคคลในชุมชน บริษัทจึงถามว่าต้องขอความยินยอมก่อนหรือไม่ ควรดูแลเยาวชนและบุคคลภายนอกอย่างไร และใช้ป้ายแจ้งรายละเอียดแบบใดได้บ้าง กรณีนี้เป็นคำตอบข้อหารือ ไม่ใช่เรื่องร้องเรียนที่มีการลงโทษบริษัท [3] คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลไม่ได้ตอบว่าภาพกิจกรรมทุกภาพใช้ได้ทันที หรือทุกภาพต้องขอความยินยอมเหมือนกัน แต่ให้บริษัทเริ่มจากกำหนดว่าจะใช้ภาพเพื่ออะไร เก็บและเผยแพร่เท่าที่จำเป็น แจ้งรายละเอียดแก่ผู้ร่วมงาน และพิจารณาฐานกฎหมายสำหรับการใช้ภาพนั้นด้วย [3: ส่วนความเห็น ประเด็นข้อหารือที่ 1 ถึง 3]

ป้ายแจ้งถ่ายภาพควรบอกอะไร

คำตอบข้อหารืออธิบายว่า การแจ้งรายละเอียดตามมาตรา 23 ช่วยให้ผู้ร่วมงานทราบว่าจะใช้ข้อมูลอย่างไร ส่วนมาตรา 21 กำหนดให้ใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้ หากจะใช้เพื่อวัตถุประสงค์ใหม่ที่แตกต่างไป ต้องแจ้งวัตถุประสงค์ใหม่และได้รับความยินยอมก่อน หรือมีบทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นให้ทำได้ตามเงื่อนไขของมาตรานี้ ทั้งสองหน้าที่ไม่แทนการพิจารณาฐานกฎหมายตามมาตรา 24 หรือมาตรา 26 ประกอบมาตรา 27 วรรคหนึ่ง กล่าวคือ แม้แจ้งแล้วว่าจะนำภาพลงเพจ ก็ยังต้องมีเหตุทางกฎหมายที่รองรับการนำไปใช้ [3] สำหรับป้ายหน้างาน คณะอนุกรรมการฯ เสนอว่าอาจแจ้งรายละเอียดโดยสังเขป แล้วให้ผู้ร่วมงานอ่านข้อมูลเพิ่มเติมได้สะดวก เช่น จากเอกสารที่จุดลงทะเบียน เว็บไซต์ QR code หรืออีเมล พร้อมเตือนให้ระบุวัตถุประสงค์เฉพาะเจาะจงตามสมควร ไม่เขียนกว้างจนเหมือนอนุญาตให้ทำอะไรก็ได้ ป้ายจึงเป็นวิธีหนึ่งในการแจ้งข้อมูล ไม่ใช่หลักฐานว่าทุกคนยินยอมให้ใช้ภาพทุกแบบแล้ว [3]

ก่อนเผยแพร่ภาพ ต้องดูผลกระทบต่อคนในภาพด้วย

หากบริษัทจะอาศัยประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) คำตอบเสนอให้เริ่มจากตรวจวัตถุประสงค์และประโยชน์ที่จะได้รับว่าเป็นสิ่งที่ชอบด้วยกฎหมายหรือไม่ จากนั้นตรวจความจำเป็นว่า ต้องใช้ข้อมูลเพียงใดเพื่อบรรลุวัตถุประสงค์นั้น และมีวิธีอื่นที่กระทบสิทธิของผู้ร่วมงานน้อยกว่าหรือไม่ [3] อีกส่วนหนึ่งคือการชั่งน้ำหนักประโยชน์ดังกล่าวกับสิทธิขั้นพื้นฐานของคนในภาพ โดยเฉพาะความเป็นส่วนตัวและความคาดหวังในบริบทนั้น การบอกว่าต้องการประชาสัมพันธ์บริษัทจึงยังไม่พอ ต้องพิจารณาทั้งวัตถุประสงค์ ความจำเป็น และผลกระทบ โดยระมัดระวังเป็นพิเศษเมื่อเกี่ยวกับผู้เยาว์หรือบุคคลเปราะบาง [3] เมื่อพิจารณาครบแล้ว หากเข้าเงื่อนไขและประโยชน์ดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูล คำตอบระบุว่าบริษัทอาจเก็บ ใช้ หรือเปิดเผยข้อมูลโดยไม่ต้องขอความยินยอมตามมาตรา 24 (5) ประกอบมาตรา 27 วรรคหนึ่ง ได้ ข้อสรุปนี้มีเงื่อนไข ไม่ใช่การอนุญาตให้ใช้ภาพกิจกรรมทุกแบบเพียงเพราะบริษัทได้ทำเอกสารประเมินไว้แล้ว [3] คณะอนุกรรมการฯ ยกตัวอย่างเปรียบเทียบภาพบรรยากาศกีฬาสีโรงเรียนที่มีนักเรียนอยู่ในภาพ กับภาพการมอบสิ่งของแก่เด็กกำพร้า ผู้พิการ หรือผู้ด้อยโอกาสที่เห็นตัวผู้รับสิ่งของ แม้เผยแพร่บนเว็บไซต์หรือสื่อสังคมออนไลน์เหมือนกัน แต่ผลต่อสิทธิและความคาดหวังเรื่องความเป็นส่วนตัวอาจต่างกัน ตัวอย่างนี้ไม่ได้ตัดสินว่าภาพกีฬาสีใช้ได้เสมอหรือภาพมอบสิ่งของห้ามใช้ทั้งหมด แต่ชี้ให้พิจารณาบริบทของคนในภาพ ไม่ใช่ดูเพียงชื่อกิจกรรม [3] คำตอบยังเสนอว่า เมื่อพิจารณาความจำเป็น ผลกระทบ และการแพร่กระจายของภาพบนสื่อสังคมออนไลน์แล้ว หากเห็นสมควรและทำได้ บริษัทควรพิจารณาขอความยินยอม หรือเลือกเผยแพร่ภาพบรรยากาศเท่าที่จำเป็นโดยหลีกเลี่ยงภาพที่ระบุตัวบุคคลได้ หรือใช้วิธีอื่นที่กระทบสิทธิน้อยลง การขอความยินยอมต้องเป็นไปตามมาตรา 19 และ 20 โดยให้ความสำคัญเป็นพิเศษกับผู้เยาว์และบุคคลที่มีข้อจำกัดในการปกป้องสิทธิของตน นี่เป็นข้อเสนอที่มีเงื่อนไข ไม่ใช่กฎว่าการถ่ายภาพกิจกรรมทุกครั้งต้องใช้ความยินยอมเท่านั้น [3] อีกเรื่องที่ต้องระวังคือ ภาพอาจเปิดเผยข้อมูลเกี่ยวกับสุขภาพ ความพิการ หรือความเชื่อทางศาสนา ซึ่งคำตอบให้ตรวจเงื่อนไขมาตรา 26 เพิ่มเติม เพราะข้อยกเว้นของข้อมูลประเภทนี้รัดกุมและจำกัดกว่าข้อมูลทั่วไป จึงไม่อาจอาศัยเพียงผลชั่งน้ำหนักประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) แล้วข้ามเรื่องข้อมูลอ่อนไหวไปได้ [3] สำหรับงานสมมติของเรา ผู้จัดอาจแจ้งตั้งแต่หน้าสมัครว่าจะถ่ายอะไรและเผยแพร่ที่ไหน พร้อมบอกช่องทางติดต่อทีม หากจัดพื้นที่หรือวิธีให้แสดงความประสงค์ไม่ให้ถ่าย ก็ควรทำให้ช่างภาพและคนคัดภาพรับรู้และทำตามได้ เช่น ไม่ใช่ให้ผู้ร่วมงานติดสติกเกอร์แล้วไม่มีใครตรวจภาพก่อนลงเพจ วิธีเหล่านี้ช่วยจัดงาน แต่ไม่ได้แทนการพิจารณาฐานกฎหมาย ถ้าจะสัมภาษณ์ใครเป็นพิเศษ หรือนำคำพูดไปประกอบสินค้า ควรคุยเรื่องการใช้ให้ชัดก่อน ไม่รวมไว้กับการถ่ายบรรยากาศทั่วไป เพราะนอกจากข้อมูลส่วนบุคคล ยังอาจมีข้อจำกัดเกี่ยวกับสิทธิในผลงาน การแสดง และข้อตกลงกับผู้เกี่ยวข้องด้วย

คำถามเรื่องอาหารและการอำนวยความสะดวก อาจเกี่ยวกับข้อมูลสุขภาพ

สมมติว่าเราถามว่าผู้เข้าร่วมแพ้อาหารอะไร หรือต้องการความช่วยเหลือด้านการเคลื่อนไหวเพื่อเตรียมสถานที่ คำตอบบางอย่างอาจเป็นข้อมูลสุขภาพหรือความพิการตามมาตรา 26 ซึ่งมีเงื่อนไขคุ้มครองต่างจากข้อมูลทั่วไป โดยมีหลักให้ได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าเงื่อนไขยกเว้นที่มาตรานั้นกำหนด เจตนาที่ต้องการดูแลผู้ร่วมงานให้ดีจึงไม่ได้ทำให้ข้ามเงื่อนไขนี้ได้ [1] ในทางปฏิบัติ ควรถามเพียงข้อมูลที่ต้องใช้เตรียมบริการ ไม่จำเป็นต้องขอประวัติสุขภาพยาว ๆ หากต้องการทราบเพียงอาหารที่ต้องหลีกเลี่ยง และควรให้คำตอบแก่ผู้รับผิดชอบส่วนที่เกี่ยวข้อง ไม่ส่งต่อทั้งแบบฟอร์มไปให้ทีมประชาสัมพันธ์ ส่วนคำตอบเรื่องเมนูอาหารธรรมดาก็ไม่ได้เป็นข้อมูลอ่อนไหวทุกครั้ง ต้องดูว่าข้อมูลนั้นเปิดเผยหรือเชื่อมโยงถึงอะไรจริง [1: มาตรา 6, 22 และ 26] เมื่องานจบ ข้อมูลสำหรับอำนวยความสะดวกเฉพาะครั้งก็ไม่ควรถูกนำไปเก็บเป็นประวัติสมาชิกระยะยาวโดยไม่มีเหตุรองรับ ต้องทบทวนแยกจากรายชื่อผู้สมัครรับข่าว [1: มาตรา 21, 22, 23, 26 และ 37] หากกิจกรรมมีผู้เยาว์ การขอความยินยอมต้องพิจารณาอายุ สถานะและความสามารถของผู้เยาว์ รวมถึงผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนตามมาตรา 20 ไม่ใช่ใช้ช่อง “ผู้ปกครองอนุญาตแล้ว” เพียงช่องเดียวโดยไม่รู้ว่าใครเป็นผู้เลือกและกำลังอนุญาตเรื่องใด [1]

ผู้สนับสนุนอาจไม่จำเป็นต้องได้รายชื่อทุกคน

หากผู้สนับสนุนต้องการทราบว่างานประสบความสำเร็จเพียงใด จำนวนผู้เข้าร่วมหรือผลสำรวจรวมอาจเพียงพอ ไม่จำเป็นต้องเริ่มจากการส่งชื่อและช่องทางติดต่อทั้งหมด ทั้งนี้ ต้องตรวจด้วยว่ารายละเอียดในรายงานรวมนั้นยังทำให้ระบุตัวบุคคลได้หรือไม่ โดยเฉพาะกลุ่มที่มีคนน้อยมาก [1: มาตรา 6 และ 22] หากต้องการให้ผู้สนใจสินค้าติดต่อกับผู้สนับสนุน ทางเลือกหนึ่งคือเปิดให้เจ้าตัวกรอกแบบฟอร์มของผู้สนับสนุนเอง โดยอธิบายว่าใครจะรับข้อมูลและนำไปทำอะไร วิธีนี้ช่วยให้เห็นการตัดสินใจของผู้สนใจชัดขึ้น แต่ไม่ได้ทำให้หน้าที่ตามกฎหมายหายไป ผู้รับข้อมูลยังต้องมีฐานกฎหมายและแจ้งรายละเอียด ส่วนผู้จัดก็ต้องอธิบายการส่งต่อหรือการเชื่อมระบบที่ตนทำจริง [1: มาตรา 23, 24 และ 27]

เข้ากลุ่มออนไลน์แล้ว คนอื่นจะเห็นข้อมูลอะไรบ้าง

การรับอีเมลจากผู้จัดกับการเป็นสมาชิกกลุ่มออนไลน์ให้ประสบการณ์ต่างกัน เมื่ออยู่ในกลุ่ม สมาชิกคนอื่นอาจเห็นชื่อ รูปโปรไฟล์ ข้อความที่โพสต์ หรือข้อมูลติดต่อบางอย่าง ขึ้นอยู่กับแพลตฟอร์มและการตั้งค่าที่ใช้จริง จึงควรทดลองดูจากบัญชีสมาชิกทั่วไป ไม่พิจารณาเฉพาะหน้าจอของผู้ดูแล หากการเข้ากลุ่มเป็นทางเลือก ผู้จัดอาจส่งคำเชิญพร้อมคำอธิบายแทนการเพิ่มทุกคนเข้าไปเอง ควรบอกด้วยว่ากลุ่มมีไว้ทำอะไร ใครดูแล มีข้อกำหนดเกี่ยวกับการนำข้อมูลหรือภาพของสมาชิกไปเผยแพร่ต่ออย่างไร และเมื่อออกจากกลุ่มแล้วข้อความเดิมยังคงอยู่หรือไม่ อย่ารับรองว่าทุกอย่างเป็นความลับ หากระบบหรือสมาชิกยังสามารถส่งต่อได้ การกำหนดกติกากลุ่มและช่องทางแจ้งปัญหาเป็นข้อเสนอสำหรับการดูแลสมาชิก ส่วนการเปิดเผยข้อมูลระหว่างผู้จัด แพลตฟอร์ม และสมาชิกยังต้องพิจารณาตามข้อเท็จจริงและกฎหมาย ไม่ใช่ถือว่าการเปิดกลุ่มเพื่อสร้างเครือข่ายอนุญาตให้ใช้ข้อมูลได้ทุกอย่าง [1: มาตรา 23, 24, 27 และ 37]

เมื่อมีคนขอให้นำภาพออกจากเพจ

ในกรณีบริษัท V คำตอบยังอธิบายการใช้สิทธิคัดค้านเมื่อบริษัทอาศัยฐานประโยชน์โดยชอบด้วยกฎหมาย หากมีผู้คัดค้าน บริษัทต้องแสดงเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า หรือเหตุเกี่ยวกับการก่อตั้ง ปฏิบัติตาม ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมายตามเงื่อนไขมาตรา 32 (1) จึงจะปฏิเสธคำคัดค้านได้ และต้องบันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตามมาตรา 39 หากแสดงเหตุเหล่านี้ไม่ได้ ก็ไม่สามารถใช้หรือเปิดเผยข้อมูลนั้นต่อ และต้องแยกข้อมูลออกจากข้อมูลอื่นอย่างชัดเจนในทันทีตามที่คำตอบอธิบายไว้ [3] ส่วนภาพที่เผยแพร่ต่อสาธารณะแล้ว หากมีคำขอลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ที่เข้าเงื่อนไขมาตรา 33 คำตอบระบุถึงความรับผิดชอบของผู้ควบคุมข้อมูลทั้งด้านเทคโนโลยีและค่าใช้จ่าย รวมถึงการแจ้งผู้ควบคุมข้อมูลรายอื่นเพื่อให้ดำเนินการตามคำขอ การที่ภาพถูกส่งต่อไปแล้วจึงไม่ใช่เหตุให้ละเลยคำขอ แม้ไม่ควรรับประกันว่าจะลบทุกสำเนาบนอินเทอร์เน็ตได้ก็ตาม [3] สำหรับทีมจัดงาน แนวทางที่นำมาปรับใช้ได้คือกำหนดคนรับเรื่องและบันทึกว่าภาพถูกนำไปใช้ที่ใดบ้าง เพื่อให้ตามแก้ได้ทั้งเพจของผู้จัด ไฟล์ที่ส่งให้ช่างภาพหรือเอเจนซี และโพสต์ที่รอเผยแพร่ ตัวอย่างขั้นตอนเหล่านี้เป็นข้อเสนอสำหรับทีม ไม่ใช่ข้อเท็จจริงว่าบริษัท V มีปัญหาในระบบดังกล่าว

หลังงานจบ ควรถอนสิทธิการเข้าถึงและทบทวนข้อมูลที่ยังเก็บอยู่

ไฟล์เช็กชื่อ เอกสารชำระเงิน ภาพดิบ และรายชื่อรับข่าว ไม่จำเป็นต้องมีระยะเก็บหรือผู้เข้าถึงเหมือนกัน ควรแยกว่าอะไรยังต้องใช้หรือเก็บตามกฎหมาย อะไรควรคืนหรือลบ และใครรับผิดชอบ อย่าเก็บโฟลเดอร์ทั้งหมดไว้ตลอดไปเพียงเพราะยังมีเอกสารบางประเภทที่จำเป็นต้องเก็บ [1: มาตรา 23 (3), 33 และ 37] ผู้ช่วยหรือช่างภาพที่รับงานครั้งเดียวอาจยังเปิดโฟลเดอร์ได้หลังจบงาน การตรวจและถอนสิทธิที่ไม่จำเป็นจึงควรอยู่ในขั้นตอนปิดงานด้วย ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 กำหนดเรื่องการควบคุม ทบทวน และถอนหรือปรับสิทธิการเข้าถึงไว้ รวมถึงการกำหนดมาตรการแก่ผู้ประมวลผลผ่านข้อตกลง [2: ข้อ 4 และ 6] หลังเผยแพร่ภาพหรือส่งข่าวแล้ว ก็ควรมีคนรับคำขอและตามไปยังผู้ที่เกี่ยวข้อง เช่น คนดูแลเพจ ช่างภาพ หรือผู้ให้บริการอีเมล โดยพิจารณาตามสิทธิและเงื่อนไขที่ใช้กับคำขอนั้น ไม่ปฏิเสธทุกเรื่องเพราะกิจกรรมจบแล้ว และไม่รับปากว่าจะลบสำเนาบนอินเทอร์เน็ตทั้งหมดได้ โดยเฉพาะการคัดค้านการใช้ข้อมูลเพื่อการตลาดแบบตรง ต้องหยุดการใช้เพื่อวัตถุประสงค์นั้นตามมาตรา 32 [1] ก่อนจัดครั้งต่อไป ลองชวนคนลงทะเบียน คนถ่ายภาพ คนประสานผู้สนับสนุน และคนดูแลกลุ่มมาไล่งานด้วยกัน ตั้งแต่ผู้สมัครส่งข้อมูลเข้ามาจนถึงวันปิดโครงการ หากทุกฝ่ายรู้ว่าตนต้องใช้ข้อมูลส่วนไหน ส่งต่อให้ใคร และเลิกใช้เมื่อไร ผู้เข้าร่วมก็มีโอกาสได้รับการดูแลตรงกับสิ่งที่ผู้จัดบอกไว้มากขึ้น

เอกสารอ้างอิง

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยเฉพาะมาตรา 6, 19, 20, 21, 22, 23, 24, 26, 27, 32, 33 และ 37
2. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 โดยเฉพาะข้อ 4 และ 6
3. สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล — บริษัท V ขอหารือเกี่ยวกับแนวทางการเผยแพร่กิจกรรม CSR ผ่านสื่อสังคมออนไลน์ให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ส่วนความเห็นเกี่ยวกับประเด็นข้อหารือที่ 1 ถึง 3 และข้อสังเกตเรื่องผู้เยาว์และบุคคลเปราะบาง เป็นคำตอบตามข้อเท็จจริงที่หารือ ไม่ใช่คำสั่งลงโทษ เอกสารอ่านประกอบที่ข้อหารือนี้แนะนำ ได้แก่ หนังสือ “สาระน่ารู้เกี่ยวกับ PDPA” ของ สคส. พิมพ์ครั้งที่ 3 พ.ศ. 2568 หน้า 88–89 ซึ่งรวบรวมสื่อเรื่อง “ข้อเท็จจริงการจัดงานอบรมหรือสัมมนา และ PDPA (1)” ลงวันที่ 4 กรกฎาคม 2565 และ “ข้อเท็จจริงการจัดงานอบรมหรือสัมมนา และ PDPA (2) ส่วนที่ 1” ลงวันที่ 5 กรกฎาคม 2565

ตัวอย่างเวิร์กช็อปและขั้นตอนการทำงานของทีมเป็นสถานการณ์สมมติ ส่วนบริษัท V เป็นกรณีข้อหารือ และภาพกีฬาสีกับภาพมอบสิ่งของเป็นตัวอย่างที่คณะอนุกรรมการฯ ยกประกอบความเห็น ไม่ใช่ข้อเท็จจริงว่าบริษัท V จัดกิจกรรมทั้งสองแบบ บทความให้ข้อมูลทั่วไป การนำไปใช้ต้องพิจารณาข้อเท็จจริงและกฎหมายที่เกี่ยวข้องกับกิจกรรมนั้นด้วย