ข้อมูลส่วนบุคคลและระบบงาน
เริ่มทำ PDPA สำหรับทีมเล็ก: ก่อนหาแบบฟอร์ม ลองตามดูว่าข้อมูลไปอยู่ที่ไหน
ถ้าต้องเริ่มจัดการเรื่อง PDPA ให้ทีมเล็ก ๆ เราอาจเปิดอินเทอร์เน็ตเสิร์ชหาแบบฟอร์มแจกฟรี หรือพิมพ์พรอมป์ให้เอไอ “ช่วยร่างนโยบายความเป็นส่วนตัวสำหรับเว็บไซต์ให้หน่อย” ได้เอกสารมาแล้วก็เปลี่ยนชื่อกิจการ เติมช่องทางติดต่อ และเตรียมนำขึ้นเว็บไซต์ เอกสารเหล่านี้ช่วยให้มีจุดเริ่มต้น…
ถ้าต้องเริ่มจัดการเรื่อง PDPA ให้ทีมเล็ก ๆ เราอาจเปิดอินเทอร์เน็ตเสิร์ชหาแบบฟอร์มแจกฟรี หรือพิมพ์พรอมป์ให้เอไอ “ช่วยร่างนโยบายความเป็นส่วนตัวสำหรับเว็บไซต์ให้หน่อย” ได้เอกสารมาแล้วก็เปลี่ยนชื่อกิจการ เติมช่องทางติดต่อ และเตรียมนำขึ้นเว็บไซต์ เอกสารเหล่านี้ช่วยให้มีจุดเริ่มต้น แต่ก่อนจะนำไปใช้ มีเรื่องหนึ่งที่ควรทำความเข้าใจให้ตรงกันเสียก่อนว่า ทีมของเรารับข้อมูลอะไรมา ใครนำไปทำอะไร และระหว่างทางข้อมูลถูกเก็บหรือส่งต่อไปที่ไหนบ้าง เพราะไม่ว่าร่างนโยบายจะมาจากแบบฟอร์มหรือเอไอ เราก็ยังต้องตรวจให้ข้อความตรงกับการทำงานจริง
ลองตามรายชื่อผู้สมัครจดหมายข่าวไปด้วยกัน
สมมติว่าเราเปิดให้สมัครรับจดหมายข่าวผ่านเว็บไซต์ ผู้สมัครกรอกชื่อและอีเมลลงในแบบฟอร์ม จากมุมของผู้สมัคร เรื่องอาจจบแค่นั้น แต่เบื้องหลังอาจมีขั้นตอนต่ออีกหลายช่วง น้องในทีมดาวน์โหลดรายชื่อมาเซฟไว้ในโน้ตบุ๊กตัวเองก่อน แล้วนำไปใส่ในกูเกิลชีต (Google Sheets) ที่เปิดด้วยบัญชีส่วนตัว เพื่อจัดชื่อให้เป็นระเบียบและตรวจอีเมลที่ซ้ำกัน เสร็จแล้วจึงนำรายชื่อเข้าแพลตฟอร์มส่งอีเมล ส่วนไฟล์ที่ดาวน์โหลดมากับชีตที่ใช้เตรียมงานก็ยังอยู่ เผื่อต้องกลับมาแก้ไขรอบหน้า หากมีผู้ช่วยอีกคนเข้ามารับช่วงงาน ก็อาจมีการแชร์ชีตหรือส่งไฟล์ให้เพิ่ม รายชื่อที่เริ่มต้นจากแบบฟอร์มเดียวจึงมีสำเนาอยู่หลายที่ และเกี่ยวข้องกับบัญชีผู้ใช้มากกว่าที่เห็นจากหน้าเว็บไซต์ คราวนี้ หากผู้สมัครคนหนึ่งติดต่อมาว่าไม่ต้องการรับจดหมายข่าวอีก ทีมจะทราบหรือไม่ว่าต้องดำเนินการที่ไหน ใครเป็นคนรับเรื่อง และจะป้องกันอย่างไรไม่ให้รายชื่อจากไฟล์เก่าถูกนำกลับเข้าแพลตฟอร์มในรอบถัดไป หรือหากคนที่เป็นเจ้าของชีตไม่ได้ช่วยงานต่อแล้ว ทีมยังเข้าถึงข้อมูลและจัดการสิทธิที่ค้างอยู่ได้หรือไม่ ประเด็นไม่ได้อยู่ที่การเห็นคำว่า “โน้ตบุ๊กส่วนตัว” หรือ “บัญชีส่วนตัว” แล้วสรุปทันทีว่าทำผิดกฎหมาย แต่ต้องดูว่าทีมอนุญาตให้ทำอะไรไว้ ใครเข้าถึงได้ มีมาตรการดูแลอย่างไร และเมื่องานจบแล้วจะจัดการข้อมูลต่ออย่างไร เรื่องเหล่านี้เชื่อมกับหน้าที่รักษาความมั่นคงปลอดภัยตามมาตรา 37 (1) และข้อ 4–6 ของประกาศเรื่องมาตรการรักษาความมั่นคงปลอดภัยฯ พ.ศ. 2565 [1][2] และนี่เป็นเพียงการส่งจดหมายข่าวกิจกรรมเดียวเท่านั้น ยังมีการรับสมัครงาน การคัดเลือกครีเอเตอร์ การติดต่อแบรนด์ การจัดกิจกรรม และงานอื่นที่อาจใช้ข้อมูลคนละชุดด้วย ในทางปฏิบัติ จึงควรสำรวจให้ครอบคลุมกิจกรรมที่ทีมเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ใช่ตรวจเพียงแบบฟอร์มที่หน้าเว็บไซต์ แต่ก็ไม่ได้หมายความว่าทุกครั้งที่ดาวน์โหลดไฟล์จะต้องทำเอกสารทางกฎหมายแยกอีกฉบับ
ทำแผนผังจากสิ่งที่ทีมทำจริง
สิ่งที่ช่วยให้ตามเรื่องเหล่านี้ได้คือ แผนผังการใช้ข้อมูลส่วนบุคคล หรือ processing map ในบทความนี้หมายถึงการบันทึกเส้นทางของข้อมูล ตั้งแต่รับเข้ามา นำไปใช้ ส่งต่อ เก็บรักษา จนถึงเลิกใช้หรือลบ ไม่จำเป็นต้องเริ่มจากแผนภาพซับซ้อน ตารางที่คนทำงานเปิดดูและช่วยกันเติมได้ก็เป็นจุดเริ่มต้นที่ดี สำหรับจดหมายข่าว เราอาจบันทึกว่าได้รับชื่อและอีเมลจากแบบฟอร์มใด ใช้เพื่อส่งเนื้อหาประเภทไหน ใครดาวน์โหลดรายชื่อ และนำไปใช้ในระบบอะไรบ้าง ถ้ามีไฟล์ในโน้ตบุ๊กหรือชีตในบัญชีส่วนตัว ก็บันทึกขั้นตอนนั้นตามจริง ไม่ข้ามไปเพียงเพราะเป็นที่พักข้อมูลชั่วคราว จากนั้นจึงเติมว่าใครเข้าถึงแต่ละแห่งได้ ส่งข้อมูลให้ผู้ให้บริการรายใด มีข้อความแจ้งรายละเอียดแก่ผู้สมัครฉบับไหน และใครรับผิดชอบเมื่อต้องแก้ไขหรือเลิกใช้ข้อมูล สิ่งที่อยากได้จากตารางนี้ไม่ใช่ชื่อระบบหลายชื่อเรียงกัน แต่เป็นข้อมูลที่ช่วยให้คนรับช่วงงานรู้ว่าจะไปหาอะไรจากที่ไหน เพื่อให้เริ่มต้นได้โดยไม่สร้างสำเนารายชื่อเพิ่ม เราสามารถบันทึกเพียงประเภทข้อมูลและตำแหน่งจัดเก็บ เช่น “ชื่อและอีเมลของผู้สมัครจดหมายข่าว” โดยไม่ต้องคัดลอกรายชื่อจริงทั้งหมดลงในตารางอีกชุด หากใช้เอไอช่วยจัดโครงตาราง ก็เริ่มจากคำอธิบายขั้นตอนและข้อมูลสมมติก่อนได้ ไม่จำเป็นต้องนำไฟล์จริงเข้าเครื่องมือที่ยังไม่ได้ตรวจสอบ วิธีจัดตารางหนึ่งรายการต่อกิจกรรมและวัตถุประสงค์เป็นข้อเสนอเพื่อช่วยมองงานให้ชัด ไม่ใช่แบบฟอร์มที่กฎหมายกำหนดให้ทุกกิจการต้องใช้เหมือนกัน และยังต้องแยกจากการตรวจว่ากิจการมีหน้าที่จัดทำบันทึกรายการตามกฎหมายอย่างไร ซึ่งจะกล่าวถึงในตอนท้าย
ข้อมูลเหมือนกัน ไม่ได้แปลว่าใช้แทนกันได้ทุกงาน
ผู้สมัครรับจดหมายข่าว ผู้สมัครเข้าร่วมกิจกรรม และครีเอเตอร์ที่ส่งประวัติมาให้แบรนด์ อาจให้ชื่อและอีเมลเหมือนกัน แต่ไม่ได้หมายความว่ารายชื่อทั้งสามชุดจะนำมารวมใช้ได้โดยไม่ต้องพิจารณาอะไรต่อ คนหนึ่งต้องการติดตามเนื้อหา อีกคนต้องการเข้าร่วมงาน ส่วนอีกคนต้องการให้พิจารณาจ้างงาน หากทีมรวมทุกคนเป็น “กลุ่มเป้าหมาย” ตั้งแต่ต้น เราจะตามได้ยากว่าข้อมูลแต่ละชุดได้มาเพื่ออะไร และเคยอธิบายอะไรกับเจ้าของข้อมูลไว้บ้าง นี่จึงเป็นเหตุผลที่ควรแยกวัตถุประสงค์ให้เห็นชัด มาตรา 21 ว่าด้วยการใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้ มีเงื่อนไขสำหรับการใช้ข้อมูลต่างไปจากวัตถุประสงค์เดิม ส่วน มาตรา 23 ว่าด้วยรายละเอียดที่ต้องแจ้งเมื่อเก็บข้อมูล กำหนดรายละเอียดที่ต้องแจ้งแก่เจ้าของข้อมูลก่อนหรือในขณะเก็บข้อมูล เว้นแต่เจ้าของข้อมูลทราบรายละเอียดนั้นอยู่แล้ว การมีลิงก์ชื่อ “นโยบายความเป็นส่วนตัว” อยู่ท้ายเว็บไซต์จึงยังไม่ตอบว่าแจ้งเนื้อหาครบและถูกจังหวะแล้วหรือไม่ [1] กลับมาที่ตัวอย่าง หากทีมอยากนำรายชื่อผู้สมัครจดหมายข่าวไปเชิญเข้าร่วมแคมเปญของแบรนด์อื่น ก็ควรแยกการใช้งานใหม่นี้ออกมาพิจารณา ไม่ใช้คำกว้าง ๆ ว่า “เพื่อการตลาด” กลบความแตกต่างจนมองไม่เห็นว่าใครจะได้รับข้อมูลเพิ่มและผู้สมัครจะได้รับการติดต่อเรื่องอะไร ส่วนจะต้องขอความยินยอมหรือไม่ ต้องพิจารณาฐานทางกฎหมาย หรือเหตุที่กฎหมายอนุญาตให้ดำเนินการกับข้อมูลในกิจกรรมนั้นด้วย มาตรา 24 มีกรณีที่เก็บข้อมูลได้โดยไม่ต้องขอความยินยอม และเมื่อใช้หรือเปิดเผยข้อมูลก็ต้องอ่านมาตรา 27 ประกอบ ขณะที่การอาศัยความยินยอมต้องเป็นไปตามเงื่อนไขของ มาตรา 19 จึงไม่ควรเริ่มจากสมมติว่าทุกงานใช้ช่องทำเครื่องหมายช่องเดียวกันได้ หรือทุกกิจกรรมต้องใช้ความยินยอมเสมอ [1] ระหว่างสำรวจ ยังควรถามด้วยว่าแต่ละช่องข้อมูลจำเป็นกับงานหรือไม่ เช่น หากต้องการเพียงส่งจดหมายข่าว เราจะขอวันเกิด ที่อยู่ หรือเลขประจำตัวประชาชนไปทำไม คำถามนี้ช่วยนำหลักเก็บข้อมูลเท่าที่จำเป็นตาม มาตรา 22 กลับมาใช้กับแบบฟอร์มจริง แทนที่จะเติมทุกช่องเพียงเพราะแบบฟอร์มต้นแบบมีมาให้ [1]
ดูด้วยว่าใครตัดสินใจ และข้อมูลออกไปถึงไหน
เมื่อเห็นเส้นทางข้อมูลแล้ว เราจะเริ่มแยกได้ว่าใครมีอำนาจตัดสินใจเกี่ยวกับการเก็บ ใช้ หรือเปิดเผยข้อมูล ซึ่งเกี่ยวข้องกับบทบาท “ผู้ควบคุมข้อมูลส่วนบุคคล” ส่วน “ผู้ประมวลผลข้อมูลส่วนบุคคล” คือบุคคลหรือนิติบุคคลที่ดำเนินการตามคำสั่งหรือในนามของผู้ควบคุม โดยไม่ใช่ผู้ควบคุมในกิจกรรมนั้นเอง ตามนิยามใน มาตรา 6 จึงไม่ใช่ดูเพียงว่าในสัญญาเรียกอีกฝ่ายว่า “ผู้ให้บริการ” แล้วถือว่าได้คำตอบครบแล้ว [1] สำหรับเอเจนซี เรื่องนี้ควรดูเป็นรายกิจกรรม เช่น ใครเป็นผู้กำหนดว่าจะใช้รายชื่อเพื่ออะไร และเอเจนซีทำเฉพาะงานที่ได้รับมอบหมายหรือมีการนำข้อมูลไปใช้เพื่อวัตถุประสงค์ของตนเองด้วย หากความสัมพันธ์เข้าลักษณะผู้ควบคุมกับผู้ประมวลผล ก็ต้องพิจารณาข้อตกลงควบคุมการดำเนินงานตาม มาตรา 40 ประกอบ ไม่ใช่สรุปบทบาทจากชื่อกิจการอย่างเดียว [1] กับผู้ให้บริการคลาวด์หรือแพลตฟอร์มส่งอีเมล ก็ควรตรวจให้ลึกกว่าชื่อผลิตภัณฑ์ว่าใครเป็นคู่สัญญา ข้อมูลถูกเก็บหรือเข้าถึงจากที่ใด และมีผู้รับข้อมูลต่อหรือไม่ รายละเอียดเหล่านี้ใช้พิจารณาประเด็นการส่งหรือโอนข้อมูลไปต่างประเทศตาม มาตรา 28 และมาตรการคุ้มครองที่เกี่ยวข้องตาม มาตรา 29 ไม่ควรสรุปว่าการใช้บริการต่างประเทศทุกแบบเป็นการโอนข้อมูลในความหมายเดียวกันทั้งหมด หรือกลับกันว่าใช้คลาวด์แล้วไม่ต้องพิจารณาเรื่องการโอนเลย เพราะประกาศที่เกี่ยวข้องกำหนดนิยามและเงื่อนไขไว้ รวมถึงบางกรณีที่เป็นเพียงการส่งผ่านหรือเก็บพักข้อมูลโดยไม่มีบุคคลภายนอกเข้าถึงตามเงื่อนไขของประกาศ [5][6]
อย่าให้คำว่า “เก็บไว้ก่อน” กลายเป็นไม่มีกำหนด
ไฟล์ที่เซฟไว้เพื่อเตรียมส่งจดหมายข่าวรอบหนึ่งอาจยังอยู่ในเครื่องหลังจากนำข้อมูลเข้าแพลตฟอร์มเรียบร้อยแล้ว หากไม่มีใครรับผิดชอบทบทวน ไฟล์ชั่วคราวในตัวอย่างนี้ก็อาจกลายเป็นสำเนาที่ถูกเก็บต่อไปโดยไม่มีใครตั้งใจ เวลาบันทึกเรื่องการเก็บรักษาข้อมูล จึงควรตอบให้ได้ทั้งว่าจะเก็บเพื่ออะไร เก็บนานเพียงใด เริ่มนับจากเหตุการณ์ไหน และใครดำเนินการเมื่อถึงกำหนด การเขียนระยะเวลาไว้ในนโยบายอย่างเดียวอาจยังไม่ช่วยให้คนทำงานรู้ว่าต้องกลับมาตรวจไฟล์ในเครื่องหรือชีตที่ใช้เตรียมงานเมื่อไร กฎหมายไม่ได้กำหนดให้ข้อมูลทุกประเภทต้องเก็บนานเท่ากัน มาตรา 37 (3) วางหน้าที่เกี่ยวกับระบบตรวจสอบเพื่อลบหรือทำลายข้อมูล ขณะที่ มาตรา 33 กล่าวถึงสิทธิขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ โดยมีเงื่อนไขและข้อยกเว้นที่ต้องพิจารณา เช่น การเก็บเพื่อปฏิบัติตามกฎหมายหรือเพื่อสิทธิเรียกร้องทางกฎหมาย [1] รายละเอียดเรื่องสำเนาและข้อมูลสำรองก็ไม่ควรถูกมองข้าม ประกาศเรื่องการลบหรือทำลายข้อมูลฯ พ.ศ. 2567 กล่าวถึงการดำเนินการให้ครอบคลุมสำเนาและข้อมูลสำรองด้วย รวมถึงเงื่อนไขสำหรับกรณีที่ยังดำเนินการไม่ได้ทันที จึงไม่ควรถือว่าการลบชื่อออกจากหน้าจอระบบหลักเพียงแห่งเดียวตอบคำถามเรื่องข้อมูลทั้งหมดแล้ว [8] สำหรับทีมเล็ก วิธีเริ่มต้นคือระบุให้เห็นว่าไฟล์ไหนเป็นชุดที่ใช้ทำงานต่อ ไฟล์ไหนเป็นสำเนาชั่วคราว และแต่ละชุดจำเป็นต้องเก็บต่อด้วยเหตุผลอะไร ก่อนกำหนดวิธีและระยะเวลาที่เหมาะสมกับข้อมูลนั้น
ลองซ้อมวันที่มีคนขอใช้สิทธิ หรือเกิดความผิดพลาด
เมื่อบันทึกเส้นทางข้อมูลแล้ว ลองใช้ข้อมูลสมมติเดินตามกระบวนการหนึ่งเรื่องตั้งแต่ต้นจนจบ เริ่มจากสมัครจดหมายข่าว ดูข้อความที่ผู้สมัครเห็น ตรวจว่าข้อมูลไปอยู่ที่ใด และใครรับช่วงงานต่อ จากนั้นจึงทดลองส่งคำขอหยุดรับจดหมายข่าว ทีมควรทราบว่าคำขอเข้ามาที่ไหน ใครเป็นผู้ดำเนินการ และจะตรวจอย่างไรว่ารายชื่อจากไฟล์เก่าจะไม่ถูกนำกลับไปใช้ส่งอีก แต่การหยุดรับจดหมายข่าว การถอนความยินยอม การคัดค้านการตลาดแบบตรง และการขอลบข้อมูลไม่ใช่เรื่องเดียวกันทั้งหมด ต้องพิจารณาเนื้อหาคำขอและฐานการใช้ข้อมูลที่เกี่ยวข้อง เช่น มาตรา 32 กำหนดสิทธิคัดค้านการใช้ข้อมูลเพื่อการตลาดแบบตรง ไว้โดยเฉพาะ การใช้ถ้อยคำต่างกันจึงอาจนำไปสู่งานที่ทีมต้องทำต่างกันด้วย [1] หากเป็นคำขอเข้าถึงหรือขอรับสำเนาข้อมูล ทีมต้องสามารถตามหาข้อมูลที่เกี่ยวข้อง ตรวจสอบผู้ขอ และพิจารณาการตอบกลับตามหลักเกณฑ์ของ มาตรา 30 ไม่ใช่ตอบเพียงว่าได้ลบชื่อออกจากรายชื่อส่งอีเมลแล้ว [1] ณ วันที่ 5 กันยายน 2569 สิทธิตามมาตรา 30 มีอยู่แล้ว ส่วนประกาศรายละเอียดเรื่องการเข้าถึงและขอรับสำเนาฯ พ.ศ. 2569 ซึ่งประกาศในราชกิจจานุเบกษาเมื่อวันที่ 16 กรกฎาคม 2569 กำหนดให้ใช้บังคับเมื่อพ้นหกสิบวันนับแต่วันประกาศ จึงยังไม่เริ่มใช้บังคับ ณ วันที่ตรวจข้อมูลนี้ ทีมที่กำลังเตรียมขั้นตอนควรแยกสิทธิที่มีอยู่แล้วออกจากรายละเอียดของประกาศที่กำลังจะเริ่มใช้ [1][4] อีกสถานการณ์ที่ควรลองคือส่งไฟล์รายชื่อผิดคน ทีมควรรู้ว่าจะรายงานให้ใคร ใครรวบรวมข้อเท็จจริง และใครประเมินว่าจะระงับเหตุหรือแจ้งผู้เกี่ยวข้องอย่างไร การพิจารณาเหตุละเมิดไม่ได้จำกัดเฉพาะกรณีถูกแฮ็ก และหน้าที่แจ้งเหตุต้องพิจารณาระดับความเสี่ยงและเงื่อนไขตามกฎหมายด้วย ไม่ใช่ใช้คำตอบเดียวกับทุกเหตุการณ์ [3] สุดท้าย ลองสมมติว่าต้องย้ายแพลตฟอร์มหรือเลิกใช้ผู้ช่วยรายเดิม ทีมจะนำข้อมูลกลับ จัดการสำเนาที่เหลือ และยุติสิทธิการเข้าถึงอย่างไร หากการซ้อมหยุดตรงที่ไม่มีใครทราบว่าไฟล์อยู่ไหนหรือใครเป็นเจ้าของบัญชี นั่นคือจุดที่ควรกลับไปแก้การทำงาน ไม่ใช่เพียงเติมข้อความลงในนโยบาย
ทีมเล็กเริ่มให้เล็กได้ แต่ต้องมองให้ครบ
การทำแผนผังช่วยให้เห็นข้อเท็จจริง แต่ไม่ได้ทำให้บันทึกรายการตามกฎหมายครบถ้วนโดยอัตโนมัติ มาตรา 39 กำหนดรายการที่ผู้ควบคุมข้อมูลต้องบันทึกไว้ให้ตรวจสอบได้ ส่วนการยกเว้นสำหรับกิจการขนาดเล็กต้องพิจารณาประกาศเฉพาะ ไม่ใช่ดูแค่ว่ามีพนักงานไม่กี่คน [1] ประกาศเรื่องการยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567 ยกเลิกประกาศฉบับ พ.ศ. 2565 และมีเงื่อนไขทั้งเรื่องลักษณะกิจการ หน้าที่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล และลักษณะการใช้ข้อมูล เช่น การใช้ข้อมูลที่ไม่ใช่เพียงครั้งคราว หรือข้อมูลที่ต้องได้รับการคุ้มครองเป็นพิเศษตามมาตรา 26 เช่น ข้อมูลสุขภาพ จึงไม่ควรตีความว่า “เป็นทีมเล็กแล้วไม่ต้องทำ PDPA” [7] อย่างไรก็ตาม เราไม่จำเป็นต้องเริ่มด้วยการออกแบบระบบใหญ่ทั้งชุด อาจเลือกงานที่ทำอยู่แล้วหนึ่งเรื่องมาสำรวจให้ครบ ทดลองให้เห็นว่าติดตรงไหน แล้วใช้วิธีเดียวกันขยายไปยังกิจกรรมอื่น โดยไม่ปล่อยให้งานที่ยังไม่ได้สำรวจหายไปจากรายการ เมื่อเพิ่มแบบฟอร์ม เปลี่ยนเครื่องมือ รับผู้ช่วย หรือใช้ข้อมูลกับงานใหม่ ก็ควรกลับมาอัปเดตแผนผัง พร้อมระบุวันที่ตรวจล่าสุดและคนรับผิดชอบ หากยังไม่ทราบว่าผู้ให้บริการเก็บข้อมูลไว้ที่ใด ก็เขียนว่าอยู่ระหว่างสอบถาม และกำหนดคนติดตาม ไม่เปลี่ยนเรื่องที่ยังไม่รู้ให้กลายเป็นข้อสรุปว่าไม่มีประเด็น เมื่อเห็นภาพการทำงานแล้ว ค่อยกลับมาเลือกแบบฟอร์ม ปรับนโยบาย หรือใช้เอไอช่วยจัดทำร่างก็ยังได้ ต่างกันตรงที่คราวนี้เรารู้แล้วว่าเอกสารต้องอธิบายงานอะไร และส่วนไหนยังต้องขอความเห็นเพิ่มเติม จุดเริ่มต้นจึงไม่ใช่การมีเอกสารหน้าตาเหมือนพร้อมใช้ แต่คือการรู้ว่าข้อมูลที่เรารับมาถูกใช้อย่างไร และใครกำลังดูแลมันอยู่ บทความนี้เสนอแนวทางสำรวจการใช้ข้อมูลส่วนบุคคลเบื้องต้น ตัวอย่างเป็นสถานการณ์สมมติ ไม่ใช่ข้อเท็จจริงเกี่ยวกับการดำเนินงานของบุคคลหรือกิจการใด และไม่ใช่คำแนะนำทางกฎหมายสำหรับกรณีเฉพาะ การทำแผนผังตามแนวทางนี้เพียงอย่างเดียวไม่ได้ยืนยันว่าปฏิบัติตามกฎหมายครบถ้วนแล้ว
กฎหมายและเอกสารอ้างอิง
รายการนี้แสดงแหล่งที่รองรับประเด็นในบทความ ไม่ใช่รายการกฎหมายที่ครบถ้วนสำหรับทุกกิจการ ลิงก์มาตราในเนื้อหานำไปยังหน้ารวบรวมตัวบทและเอกสารของ CapybarAI ส่วนลิงก์ต่อไปนี้ใช้ตรวจเอกสารทางการประกอบ
| อ้างอิง | กฎหมายและตำแหน่งที่ใช้ |
|---|---|
| [1] | พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — ราชกิจจานุเบกษา เล่ม 136 ตอนที่ 69 ก วันที่ 27 พฤษภาคม 2562 หน้า 52–95; มาตรา 6, 19, 21, 22, 23, 24, 26, 27, 28, 29, 30, 32, 33, 37, 39, 40 และ 41 |
| [2] | ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 — ราชกิจจานุเบกษา เล่ม 139 ตอนพิเศษ 140 ง วันที่ 20 มิถุนายน 2565 หน้า 28–31; ข้อ 4–6 โดยเฉพาะข้อ 4 (6) เรื่องการเข้าถึงข้อมูล |
| [3] | ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 — ราชกิจจานุเบกษา เล่ม 139 ตอนพิเศษ 292 ง วันที่ 15 ธันวาคม 2565 หน้า 7–12; ข้อ 4–5 ประเภทเหตุละเมิดและการดำเนินการเมื่อทราบเหตุ |
| [4] | ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับเจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอม พ.ศ. 2569 — ราชกิจจานุเบกษา เล่ม 143 ตอนพิเศษ 175 ง วันที่ 16 กรกฎาคม 2569 หน้า 24–30 และบัญชีท้ายประกาศ; ข้อ 2 เรื่องการเริ่มใช้บังคับ และข้อ 4–12 เรื่องคำขอและการดำเนินการ; ณ วันที่ 5 กันยายน 2569 ยังไม่เริ่มใช้บังคับ |
| [5] | ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตามมาตรา 28 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 — ราชกิจจานุเบกษา เล่ม 140 ตอนพิเศษ 323 ง วันที่ 25 ธันวาคม 2566 หน้า 33–35; ข้อ 3 เรื่องนิยาม และข้อ 4–5 เรื่องหลักเกณฑ์การคุ้มครอง |
| [6] | ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตามมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 — ราชกิจจานุเบกษา เล่ม 140 ตอนพิเศษ 323 ง วันที่ 25 ธันวาคม 2566 หน้า 36–42; ข้อ 3 เรื่องนิยาม ข้อ 5 เรื่องนโยบายในเครือกิจการหรือเครือธุรกิจเดียวกัน และข้อ 8–9 เรื่องมาตรการคุ้มครองที่เหมาะสม |
| [7] | ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567 — ราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 5 ง วันที่ 8 มกราคม 2568 หน้า 19–20; ข้อ 3 ยกเลิกฉบับ พ.ศ. 2565 และข้อ 4–5 กำหนดเงื่อนไขการยกเว้น |
| [8] | ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 — ราชกิจจานุเบกษา เล่ม 141 ตอนพิเศษ 217 ง วันที่ 13 สิงหาคม 2567 หน้า 3–6; ข้อ 3–4 และข้อ 9 เรื่องสำเนา ข้อมูลสำรอง และระบบตรวจสอบการลบ; ลิงก์นี้นำไปยังเอกสารที่เผยแพร่บนเว็บไซต์ราชกิจจานุเบกษาโดยตรง |