สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้มีการรับฟังความคิดเห็นสาธารณะต่อร่างแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคลเฉพาะกลุ่มอุตสาหกรรม (PDPA Guideline) เป็นครั้งแรก ภายใต้โครงการแพลตฟอร์มเพื่อสนับสนุนการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลสำหรับภาคเอกชน (PDPA Platform for Private Sector) หรือโครงการ GPPC PLUS โดย บริษัท เอเทนติค คอนซัลติ้ง จำกัด ได้เป็นกำลังหลักในการจัดทำแนวปฏิบัติทั้ง 11 กลุ่มอุตสาหกรรม ภายใต้โครงการ โดยมีบทบาทครอบคลุมตั้งแต่การยกร่างเนื้อหาทั้งบททั่วไปว่าด้วยภาพรวมกฎหมายคุ้มครองข้อมูลส่วนบุคคลและแนวปฏิบัติรายกลุ่มอุตสาหกรรม ไปจนถึงจัดทำเอกสารทางกฎหมายฉบับมาตรฐาน ได้แก่ นโยบายคุ้มครองข้อมูลส่วนบุคคล (Privacy Policy) ประกาศความเป็นส่วนตัว (Privacy Notice) แบบฟอร์มการขอความยินยอม (Consent Form) ข้อตกลงการประมวลผลข้อมูลฉบับมาตรฐาน (Data Processing Agreement) เอกสารบันทึกแจ้งเหตุละเมิดข้อมูลส่วนบุคคล (Incident Report) สำหรับแจ้งเหตุละเมิดข้อมูลส่วนบุคคล และแบบคำร้องขอและหนังสือตอบกลับการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล (Data Subject’s Rights Responding)
สำหรับการจัดทำร่างแนวปฏิบัติสำหรับกลุ่มอุตสาหกรรมเป้าหมายทั้ง 11 กลุ่ม เป็นไปตามแผนแม่บทการส่งเสริมและการคุ้มครองข้อมูลส่วนบุคคลของประเทศ พ.ศ. 2567 – 2570 ของ สคส. โดยครอบคลุมกลุ่มอุตสาหกรรมภาคการเงินและประกันภัย การค้าส่ง ค้าปลีก และการค้าออนไลน์ การท่องเที่ยว เทคโนโลยีสารสนเทศและโทรคมนาคม การขนส่งและโลจิสติกส์ พลังงานและสาธารณูปโภค อสังหาริมทรัพย์ ความมั่นคงภาครัฐ บริการภาครัฐที่สำคัญ สาธารณสุข และการศึกษา
เหตุใดจึงต้องจัดทำแนวปฏิบัติสำหรับกลุ่มอุตสาหกรรม
วัตถุประสงค์ของการจัดทำแนวปฏิบัติเป็นไปเพื่อเป็น Compliance Checklist ที่ใช้งานได้จริงสำหรับองค์กร เพื่อเป็นกรอบอ้างอิงสำหรับหน่วยงานกำกับดูแล เพื่อส่งเสริม Privacy by Design ในอุตสาหกรรม และเพื่อสร้างความเชื่อมั่นให้กับเจ้าของข้อมูลส่วนบุคคล นอกจากนี้ อีกเหตุผลที่สำคัญมาจากปัญหาในทางปฏิบัติของการจัดทำ บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Records of Processing Activities: RoPA) ซึ่งเป็นหน้าที่ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และเป็นจุดตั้งต้นของการเห็นภาพรวมการใช้ข้อมูลขององค์กร เนื่องจาก RoPA เป็นตัวกำหนดว่าองค์กรจะระบุฐานทางกฎหมาย ระยะเวลาเก็บรักษา ผู้รับข้อมูล และมาตรการรักษาความมั่นคงปลอดภัยของแต่ละกิจกรรมอย่างไร รวมถึงการจัดทำเอกสารทางกฎหมาย
ปัจจุบัน ในการดำเนินงานจริงองค์กรอาจพบปัญหาในทางปฏิบัติจากการขาดความเข้าใจเหตุผล วิธีการ และองค์ประกอบของ RoPA อย่างเพียงพอ ทั้งการกำหนดว่าสิ่งใดควรถือเป็นกิจกรรมการประมวลผล ตลอดจนการพิจารณาฐานการประมวลผลให้สอดคล้องกับวัตถุประสงค์ที่แท้จริง ผลที่ตามมาคือบันทึกที่จัดทำขึ้นมักไม่สะท้อนการดำเนินงานจริง และไม่ครบถ้วน
การจัดทำแนวปฏิบัติแยกตามกลุ่มอุตสาหกรรมจึงมีเป้าหมายเพื่อเป็นต้นแบบให้องค์กรนำรายการกิจกรรมการประมวลผลของอุตสาหกรรมตนไปปรับใช้จัดทำ RoPA ได้ทันทีโดยไม่ต้องเริ่มจากศูนย์ เนื่องจากกิจกรรมของแต่ละอุตสาหกรรมมีลักษณะเฉพาะที่ต่างกันอย่างมีนัยสำคัญ และสามารถเป้นแนวปฏิบัติเบื้องต้นประกอบกับกฎหมายเฉพาะและข้อกำหนดของหน่วยงานกำกับดูแลรายภาคส่วนได้
ประเด็นสำคัญของแต่ละกลุ่มอุตสาหกรรม
แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล สำหรับ 11 กลุ่มอุตสาหกรรมนี้ แบ่งได้เป็น 3 หัวข้อหลัก ดังนี้ ซึ่งจะมีรายละเอียดแตกต่างกันตามแต่ละกลุ่มอุตสาหกรรม
- คำอธิบายและลักษณะการดำเนินธุรกิจ
- ตารางกิจกรรมข้อมูลส่วนบุคคล และฐานทางกฎหมายที่เกี่ยวข้องกับกลุ่มอุตสาหกรรม
- แนวทางการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้องสำหรับกลุ่มอุตสาหกรรม
การเงิน การลงทุน และการประกันภัย
- การเปิดเผยข้อมูลกรมธรรม์แก่บุคคลที่เกี่ยวข้อง กรมธรรม์ฉบับเดียวเกี่ยวข้องกับบุคคลหลายราย ทั้งผู้เอาประกันภัย ผู้รับผลประโยชน์ ผู้ใช้อำนาจปกครอง หรือตัวแทน การเป็นบุคคลที่เกี่ยวข้องในกรมธรรม์จึงไม่อาจมีสิทธิเข้าถึงข้อมูลทั้งหมดโดยอัตโนมัติ องค์กรจึงควรตรวจสอบตัวตนและอำนาจของผู้ติดต่อก่อนการเปิดเผยข้อมูล
- การใช้ปัญญาประดิษฐ์และข้อมูลอ่อนไหว องค์กรที่ใช้ AI ประเมินความเสี่ยงหรือวิเคราะห์พฤติกรรมลูกค้าควรมีความโปร่งใสและการทบทวนโดยมนุษย์ในกรณีที่ผลกระทบต่อลูกค้ามีนัยสำคัญ เช่นเดียวกับการประมวลผลข้อมูลสุขภาพ การพิสูจน์ตัวตนทางดิจิทัล และการส่งหรือโอนข้อมูลไปต่างประเทศ
การค้าส่ง การค้าปลีก และการค้าออนไลน์
- การตลาดและการสื่อสารกับลูกค้า ประเด็นที่ภาคธุรกิจสอบถามมากที่สุดคือกิจกรรมใดอาศัยฐานประโยชน์โดยชอบด้วยกฎหมายได้ และกิจกรรมใดต้องขอความยินยอม โดยเฉพาะการตลาดแบบตรงและการเสนอขายทางโทรศัพท์
- การรวมข้อมูลจากหลายช่องทาง ธุรกิจที่ผสานหน้าร้านกับออนไลน์ควรทบทวนขอบเขตวัตถุประสงค์และความจำเป็นของข้อมูลแต่ละรายการ รวมถึงข้อมูลอ่อนไหวที่ได้รับโดยไม่ตั้งใจ เช่น ข้อมูลการแพ้อาหารจากงานบริการลูกค้า
การท่องเที่ยว
- ข้อมูลอ่อนไหวของผู้ใช้บริการ ธุรกิจโรงแรม นำเที่ยว และสถานประกอบการเพื่อสุขภาพควรเก็บข้อมูลสุขภาพ ความเชื่อทางศาสนา หรือข้อจำกัดด้านอาหารเท่าที่จำเป็น และพิจารณาให้ลูกค้าเลือกความต้องการปลายทางแทนการระบุเหตุผลเบื้องหลัง
- บริการเฉพาะบุคคลและผู้เยาว์ การวิเคราะห์พฤติกรรมการเดินทางเพื่อนำเสนอบริการควรประเมินความเสี่ยงต่อสิทธิของเจ้าของข้อมูล ขณะที่กรณีผู้เยาว์เดินทางร่วมกับผู้ปกครองต้องมีแนวปฏิบัติเรื่องความยินยอมที่ชัดเจน
เทคโนโลยีสารสนเทศและโทรคมนาคม
- บทบาทของผู้ให้บริการคลาวด์ หนึ่งในประเด็นที่ขอความชัดเจนมากที่สุด คือการจำแนกว่าเมื่อใดผู้ให้บริการอยู่ในฐานะผู้ประมวลผลข้อมูล และเมื่อใดกลายเป็นผู้ควบคุมข้อมูล ซึ่งส่งผลโดยตรงต่อข้อสัญญาและความรับผิด
- การเก็บข้อมูลผ่านช่องทางดิจิทัล ทั้งคุกกี้ แชตบอต และข้อมูลการใช้งานเครือข่ายซึ่งอาจสะท้อนพฤติกรรมผู้ใช้ในรายละเอียด ควรมีการแจ้งที่ชัดเจน จำกัดการเข้าถึง และกำหนดระยะเวลาเก็บรักษาที่เหมาะสม
การขนส่งและโลจิสติกส์
- แพลตฟอร์มดิจิทัลและข้อมูลตำแหน่งที่ตั้ง การเรียกรถรับจ้างผ่านแพลตฟอร์มทำให้เกิดการประมวลผลข้อมูลผู้โดยสารและผู้ขับอย่างต่อเนื่อง จึงต้องกำหนดขอบเขตการเข้าถึงและระยะเวลาเก็บรักษาให้ชัดเจน
- AI และข้อมูลชีวมิติ การนำระบบอัตโนมัติมาช่วยวิเคราะห์ประวัติอาชญากรรมของผู้ขับเป็นกิจกรรมที่มีความเสี่ยงสูง ขณะที่การใช้ลายนิ้วมือหรือการจดจำใบหน้าเพื่อบันทึกเวลาเข้า-ออกงานโดยหลักต้องอาศัยความยินยอมโดยชัดแจ้ง และควรมีทางเลือกอื่นแก่พนักงาน
พลังงานและสาธารณูปโภค
- ชีวมิติและกล้องวงจรปิด การเก็บข้อมูลชีวมิติเพื่อควบคุมการเข้าถึงพื้นที่ควบคุมพิเศษต้องมีฐานตามมาตรา 26 รองรับ ส่วนการเปิดเผยภาพจากกล้องวงจรปิดแก่บุคคลภายนอกควรมีขั้นตอนพิจารณาคำขอและการบันทึกการเปิดเผยที่ชัดเจน
- การตรวจสอบประวัติในการสรรหาบุคลากร มีการหารืออย่างกว้างขวางว่าการบันทึกเพียงว่า "มีหรือไม่มีประวัติอาชญากรรม" ถือเป็นข้อมูลอ่อนไหวหรือไม่ โดยการบันทึกว่า "ไม่พบประวัติ" โดยไม่เชื่อมโยงไปยังข้อมูลการดำเนินคดี มีความเสี่ยงต่อเจ้าของข้อมูลน้อยกว่า แต่ยังต้องพิจารณาความจำเป็นเป็นรายกรณี
อสังหาริมทรัพย์
- ระบบชีวมิติและกล้องวงจรปิดในอาคารชุด การใช้ระบบจดจำใบหน้าหรือลายนิ้วมือควบคุมการเข้าออกเป็นกิจกรรมที่มีความเสี่ยงสูง เช่นเดียวกับการที่ลูกบ้านหรือบุคคลภายนอกขอตรวจดูภาพบันทึก ซึ่งควรมีขั้นตอนตรวจสอบสิทธิและเอกสารประกอบ
- การกำกับดูแลคู่สัญญา ธุรกิจอสังหาริมทรัพย์มีผู้รับเหมาและผู้ให้บริการจำนวนมากที่เข้าถึงข้อมูลผู้พักอาศัย จึงควรกำหนดนโยบายและข้อสัญญาให้ครอบคลุมถึงผู้รับเหมารายย่อยที่ถูกว่าจ้างช่วง รวมถึงกรณีการมอบอำนาจผ่านระบบดิจิทัลของภาครัฐ
ความมั่นคงภาครัฐ
- ขอบเขตของข้อยกเว้นตามมาตรา 4 ประเด็นสำคัญที่สุดคือมิใช่ทุกภารกิจด้านความมั่นคงจะได้รับยกเว้นจากการปฏิบัติตาม PDPA หน่วยงานจึงต้องจำแนกกิจกรรมของตนอย่างชัดเจน
- หน้าที่ที่ยังคงอยู่แม้ได้รับยกเว้น หน่วยงานยังต้องจัดให้มีมาตรฐานขั้นต่ำด้านความมั่นคงปลอดภัยตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566 ซึ่งครอบคลุมถึงการบันทึกภาพประชาชนผ่านกล้องติดตัวเจ้าหน้าที่ และการส่งโอนข้อมูลระหว่างหน่วยงาน
บริการภาครัฐที่สำคัญ
- การเปิดเผยและเชื่อมโยงข้อมูลระหว่างหน่วยงาน เมื่อทั้งสองฝ่ายต่างเป็นผู้ควบคุมข้อมูลส่วนบุคคล ความเสี่ยงจะเกิดขึ้นหากไม่ได้กำหนดขอบเขตและบทบาทหน้าที่ไว้ล่วงหน้า หน่วยงานจึงควรตรวจสอบว่าวัตถุประสงค์ที่แจ้งไว้แต่แรกครอบคลุมการส่งโอนดังกล่าวหรือไม่
- ข้อมูลในกระบวนการทางปกครองและงานวิชาการ เช่น การอุทธรณ์คำสั่งทางปกครองหรือการเบิกจ่ายสวัสดิการ ซึ่งมีเอกสารประกอบจำนวนมากที่อาจมีข้อมูลเกินความจำเป็น รวมถึงการนำข้อมูลไปใช้เพื่อการวิจัยและบริการทางวิชาการ
สาธารณสุข
- บริการสุขภาพดิจิทัลและปัญญาประดิษฐ์ ทั้งเวชระเบียนอิเล็กทรอนิกส์ แอปพลิเคชันติดตามสุขภาพ และการนำ AI มาช่วยวิเคราะห์อาการผู้ป่วย ควรมีธรรมาภิบาลข้อมูลและการแจ้งที่โปร่งใสรองรับ เช่นเดียวกับการส่งต่อข้อมูลระหว่างสถานพยาบาล คลินิก และห้องปฏิบัติการ
- การใช้บริการภายนอกและการวิจัย สถานพยาบาลที่ใช้ผู้ให้บริการระบบเวชระเบียนหรือผู้รับจ้างจัดการเอกสาร ควรจัดทำข้อตกลงการประมวลผลข้อมูลและกำหนดมาตรการให้สอดคล้องกับประกาศกระทรวงสาธารณสุข ส่วนการใช้ข้อมูลอ่อนไหวเพื่อการวิจัยและสถิติต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
การศึกษา
- การประมวลผลข้อมูลของผู้เยาว์ เป็นประเด็นหลักของภาคการศึกษา ทั้งการเลือกฐานการประมวลผล การขอความยินยอมจากผู้ใช้อำนาจปกครอง และขอบเขตการเปิดเผยข้อมูลผู้เรียน
- ระบบชีวมิติและการวิเคราะห์การเรียนรู้ การสแกนใบหน้านักเรียนและการวิเคราะห์พฤติกรรมการเรียนรู้ของผู้เรียนจำนวนมากเข้าข่ายกิจกรรมที่ควรจัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ก่อนใช้งาน ส่วนข้อมูลอ่อนไหวหรือความต้องการพิเศษของผู้เรียนควรเก็บเท่าที่จำเป็นและแยกแบบฟอร์มความยินยอมแต่ละประเภท
สิ่งที่องค์กรควรดำเนินการต่อจากนี้
ร่างแนวปฏิบัติอยู่ระหว่างการปรับปรุงตามความคิดเห็นที่ได้รับ ก่อนนำเสนอต่อคณะอนุกรรมการ คณะกรรมการกำกับสำนักงานฯ และคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตามลำดับ ช่วงเวลาก่อนแนวปฏิบัติมีผลบังคับใช้จึงเป็นจังหวะเหมาะสมที่องค์กรจะทบทวนความพร้อมของตน โดยเฉพาะการทบทวน RoPA และฐานทางกฎหมายให้สอดคล้องกับกิจกรรมที่ระบุไว้ในแนวปฏิบัติของอุตสาหกรรมตน การระบุกิจกรรมที่มีความเสี่ยงสูงซึ่งควรจัดทำ DPIA และการทบทวนข้อสัญญากับผู้ให้บริการภายนอกที่เข้าถึงข้อมูลส่วนบุคคล
