ข่าวสารและบทความล่าสุด

• การดำเนินงานขององค์กรหรือหน่วยงานไม่ว่าจะเป็นองค์กรขนาดเล็กหรือขนาดใหญ่ ภาครัฐหรือภาคเอกชน “การจัดประชุมสัมมนา” เป็นการดำเนินงานทั่วไปที่ย่อมต้องเกิดขึ้น ซึ่งการประชุมสัมมนา โดยปกติจะมีการเก็บหรือใช้ข้อมูลส่วนบุคคลในการดำเนินการ เช่น การลงทะเบียนผู้เข้าร่วมงานสำหรับการเตรียมสถานที่การประชุมสัมมนาต่าง ๆ หรือเพื่อยืนยันจำนวนผู้เข้าร่วม การถ่ายภาพบรรยากาศสำหรับการจัดทำรายงานการประชุม การให้ตอบแบบประเมินความพึงพอใจในสำหรับนำไปปรับปรุงพัฒนาการดำเนินงานให้มีประสิทธิภาพมากยิ่งขึ้น เป็นต้น การดำเนินงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคลไม่ว่าจะเป็นการเก็บ รวบรวม ใช้หรือว่าเปิดเผย (“การประมวลผลข้อมูลส่วนบุคคล”) ย่อมตกอยู่ภายใต้บังคับของ PDPA บทความนี้จึงขอเสนอแนวทางปฏิบัติที่เหมาะสมในการบริหารจัดการข้อมูลส่วนบุคคลในบริบทของกิจกรรมดังกล่าว เพื่อเสริมสร้างความรู้และความเข้าใจที่ถูกต้องตามหลักกฎหมายคุ้มครองข้อมูลส่วนบุคคล โดยองค์กรมีหน้าที่ที่ต้องพึงปฏิบัติ ดังต่อไปนี้

1. การจัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (RoPA)

บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (RoPA) เป็นเอกสารทางกฎหมายอย่างหนึ่งที่จะสามารถแสดงถึงภาพรวมการเก็บ รวบรวม ใช้หรือว่าเปิดเผย ลบทำลาย ข้อมูลส่วนบุคคลภายใต้องค์กร ทำให้องค์กรสามารถทราบได้ว่ากิจกรรมการประมวลผลข้อมูลส่วนบุคคลใดควรที่จะต้องมีการดำเนินการอย่างไรและจัดทำเอกสารทางกฎหมายใดบ้างเพื่อให้สอดคล้องตาม PDPA การประชุมสัมมนาก็เป็นการดำเนินงานหนึ่งที่อยู่ภายใต้องค์กรและมีการประมวลผลข้อมูลส่วนบุคคล ฉะนั้น จึงจำเป็นต้องบันทึกไว้ในบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (RoPA) เช่นเดียวกัน ทั้งนี้ แม้ว่าองค์กรหรือหน่วยงานมีการประชุมสัมมนา ขึ้นหลายครั้งก็ตาม แต่สำหรับการบันทึก RoPA เนื่องจากเป็นการบันทึกในลักษณะของการดำเนินงานภายใต้องค์กรหรือหน่วยงานนั้น ๆ จึงไม่จำเป็นต้องบันทึก RoPA ในทุกครั้งที่มีการประชุมสัมมนา องค์กรสามารถบันทึกเป็นเพียงกิจกรรมเดียวใน RoPA ได้ ทั้งนี้ต้องอยู่ภายใต้กรอบของวัตถุประสงค์และข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ เปิดเผย เป็นประเภทข้อมูลส่วนบุคคลเดียวกัน

การพิจารณาและระบุฐานทางกฎหมายที่ใช้อ้างอิงสำหรับการเก็บข้อมูลส่วนบุคคล ทั้งนี้ในการประมวลผลข้อมูลส่วนบุคคลหนึ่งอาจมีฐานทางกฎหมายรองรับได้มากกว่า 1 ฐานทางกฎหมายได้ โดยพิจารณาตามวัตถุประสงค์การใช้ข้อมูล อาทิ

• ฐานสัญญา ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีสัญญาร่วมกันกับเจ้าของข้อมูลส่วนบุคคลระบุในข้อสัญญาให้ประมวลผลข้อมูลส่วนบุคคลได้ หรือแม้จะไม่มีสัญญาระหว่างกันแต่การประมวลผลข้อมูลส่วนบุคคลมีความจำเป็นในการให้การปฏิบัติตามสัญญาบรรลุเป้าประสงค์
• ฐานหน้าที่ตามกฎหมาย ในกรณีมีกฎหมายอ้างอิงให้ทำได้ อาทิ ตามระเบียบสำนักนายกว่าด้วยงานสารบรรณ พ.ศ. 2526
• ฐานความจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมาย เช่น กรณีมีการบันทึกภาพถ่ายบรรยากาศในระหว่างการประชุม
• ฐานความยินยอม อาจใช้อ้างอิงในกรณีมีการประมวลผลข้อมูลส่วนบุคคลหรือข้อมูลส่วนบุคคลอ่อนไหว และไม่เข้าข้อยกเว้น หรือเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่มีฐานการประมวลผลใดสามารถอ้างอิงได้ โดยการอ้างอิงฐานนี้จำเป็นที่จะต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ให้ถูกต้องตามที่ PDPA กำหนด

ตัวอย่าง การประมวลผลข้อมูลส่วนบุคคลสำหรับการจัดประชุมสัมมนา

*หมายเหตุ ในการอ้างอิงฐานทางกฎหมายขึ้นอยู่กับลักษณะขององค์กรและข้อมูลส่วนบุคคลที่เก็บรวบรวม

2. การจัดทำประกาศความเป็นส่วนตัว (Privacy Notice)

ประกาศความเป็นส่วนตัว (Privacy Notice) มีวัตถุประสงค์เพื่อแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบได้ว่าในกิจกรรมการประชุมสัมมนา ข้อมูลส่วนบุคคลของเจ้าของข้อมูลนั้นจะถูกเก็บรวบรวมไปใช้เพื่อวัตถุประสงค์ใดบ้าง ซึ่งถือเป็นการปฏิบัติตามหลักความชอบด้วยกฎหมาย เป็นธรรม และโปร่งใส โดยข้อมูลส่วนบุคคลจะไม่ถูกนำไปใช้นอกเหนือจากที่ระบุไว้ในวัตถุประสงค์ที่ได้แจ้งไว้ในประกาศความเป็นส่วนตัว สำหรับแนวทางในการแจ้งแก่เจ้าของข้อมูลส่วนบุคคลนั้นต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงวัตถุประสงค์ก่อนหรือขณะการเก็บรวบรวมข้อมูลส่วนบุคคล โดยมีแนวทางการแจ้งและรายละเอียด ดังนี้

• พิจารณากลุ่มเป้าหมายผู้เข้าประชุมสัมมนา เพื่อเลือกใช้ภาษาและข้อความที่เหมาะสมให้มีความชัดเจน เข้าใจได้ง่าย
• เผยแพร่ประกาศความเป็นส่วนตัวในจุดที่เจ้าของข้อมูลสามารถเห็นได้ชัดแจ้ง เช่น
  • จุดลงทะเบียนเข้าร่วมงาน
  • จัดส่งประกาศความเป็นส่วนตัวแนบกับหนังสือเชิญการประชุมสัมมนา
  • เผยแพร่ประกาศความเป็นส่วนตัวบนเว็บไซต์ขององค์กร
  • จัดทำเป็นลักษณะ QR code และส่งผ่านทางช่องแชทระหว่างดำเนินการประชุมสัมมนา กรณีที่เป็นการจัดในรูปแบบออนไลน์ เป็นต้น
• ระบุรายละเอียดของประกาศความเป็นส่วนตัว (Privacy Notice) ตามที่กฎหมายกำหนด ดังนี้
  • รายละเอียดขอบเขตและวัตถุประสงค์ของการประมวลผลข้อมูลส่วนบุคคล
  • ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม วิธีการในการจัดเก็บรวบรวม รวมถึงมีการใช้ข้อมูลส่วนบุคคลอย่างไร
  • ในกรณีมีการใช้ข้อมูลส่วนบุคคลร่วมกันกับหน่วยงานภายนอก หรือส่งโอนข้อมูลไปยังต่างประเทศ ต้องระบุประเภทของบุคคลหรือหน่วยงานในประกาศความเป็นส่วนตัวเช่นเดียวกัน
  • ระยะเวลาในการจัดเก็บข้อมูลส่วนบุคคล
  • สิทธิของเจ้าของข้อมูลส่วนบุคคล
  • มาตรการในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
  • ข้อมูลติดต่อผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

3. การมีแนวปฏิบัติที่ดีในการประชุมสัมมนา

• ในกรณีที่จะถ่ายภาพบรรยากาศในการประชุมสัมมนาซึ่งอาจมีการบันทึกติดภาพผู้เข้าร่วม ต้องแจ้งในประกาศความเป็นส่วนตัวว่าจะบันทึกภาพเพื่อดำเนินการใด และสำหรับบุคคลใดไม่ประสงค์ให้ถูกบันทึกภาพ ควรมีวิธีการจัดการรองรับ เช่น ติดสัญลักษณ์ที่บุคคลที่ไม่ประสงค์ให้ถูกบันทึกภาพ เป็นต้น
• หลีกเลี่ยงการเก็บหรือใช้ข้อมูลส่วนบุคคลอ่อนไหวในการดำเนินกิจกรรมประชุมสัมมนา โดยพิจารณาความจำเป็นในการบรรลุวัตถุประสงค์ของการประชุมสัมมนาว่าจำเป็นต้องเก็บข้อมูลส่วนบุคคลอ่อนไหวนั้นจริงหรือไม่ หากไม่จำเป็นก็ไม่ควรเก็บข้อมูลส่วนบุคคลอ่อนไหวดังกล่าว โดยผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอาจเปลี่ยนวิธีการเก็บข้อมูลเพื่อหลีกเลี่ยงการเก็บข้อมูลส่วนบุคคลอ่อนไหวก็ได้ เช่น หลีกเลี่ยงการเก็บข้อมูลแพ้อาหารของผู้เข้าร่วมประชุม โดยเปลี่ยนให้ผู้เข้าร่วมประชุมระบุตัวเลือกอาหารที่จัดเตรียมไว้ให้แทน เป็นต้น

กล่าวโดยสรุป จะเห็นได้ว่าความเชื่อมโยงระหว่างการจัดประชุมสัมมนากับ PDPA มีความเกี่ยวโยงซึ่งกันและกัน ผู้จัดการประชุมสัมมนาซึ่งอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลพึงมีหน้าที่ปฏิบัติตามกฎหมายดังกล่าวเพื่อเป็นการคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ ในฐานะเจ้าของข้อมูลส่วนบุคคลเองก็ไม่ควรที่จะละเลยในการตรวจสอบถึงวัตถุประสงค์ ข้อมูลส่วนบุคคลที่ถูกจัดเก็บ รวมถึงรายละเอียด ที่ระบุในประกาศความเป็นส่วนตัวว่าตรงกับเจตนาและความประสงค์ของท่านหรือไม่ ซึ่งหากท่านในฐานะเจ้าของข้อมูลส่วนบุคคลมีข้อสงสัยเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของท่าน ท่านสามารถใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลได้เช่นเดียวกัน ทั้งนี้ เป็นไปตามที่กฎหมายกำหนด