น้องแว่น — Kelomn Legal Café · มาตรฐานการคุ้มครองข้อมูลส่วนบุคคล (PDPA)
128 Checklist มาตรฐานใหม่ PDPA
ชื่อในบทความนี้เป็นชื่อสมมติ ไม่มีตัวตนจริง เป็นเพียงการเล่าเรื่องทางวิชาการ ไม่ได้ตั้งใจจะพาดพิงบุคคลใดนะคะ
ช่วงนี้หลายองค์กรเริ่มถามกันว่า “มาตรฐาน PDPA ที่ต้องผ่านมีอะไรบ้าง?” เพราะมีระบบรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลออกมาแล้วค่ะ
น้องแว่นเลยสรุป เช็กลิสต์ ๑๒๘ ข้อ ที่แบ่งเป็น ๔ กลุ่ม ๑๐ ด้าน ตามประกาศรับรองมาตรฐาน PDPA พ.ศ. ๒๕๖๙ มาเล่าให้ฟังง่าย ๆ ทีละด้าน พร้อมตัวบทกฎหมายจริงให้ดูทุกด้าน เพื่อให้คุณเช็กองค์กรของตัวเองได้ค่ะ
ภาพรวม · เกณฑ์ 4 กลุ่ม 10 ด้าน 128 ข้อ
ก่อนลงรายละเอียดทีละด้าน น้องแว่นขอวางภาพใหญ่ให้เห็นก่อนค่ะ ว่าเกณฑ์มาตรฐานทั้งหมดถูกจัดเป็น 4 กลุ่ม แตกย่อยเป็น 10 ด้าน รวม 128 ข้อ ตามที่ประกาศกำหนดไว้
| กลุ่มเกณฑ์ | เนื้อหา | ครอบคลุมด้าน | จำนวนข้อ |
|---|---|---|---|
| กลุ่ม 1 | นโยบายและการบริหารจัดการ | ด้าน 1–2 | 23 ข้อ |
| กลุ่ม 2 | การอบรมและการสร้างความตระหนักรู้ | ด้าน 3 | 7 ข้อ |
| กลุ่ม 3 | สิทธิ ความโปร่งใส บันทึก และการแบ่งปันข้อมูล | ด้าน 4–8 | 65 ข้อ |
| กลุ่ม 4 | ระบบเทคโนโลยี ความมั่นคงปลอดภัย และการแจ้งเหตุ | ด้าน 9–10 | 33 ข้อ |
| รวมทั้งหมด | 128 ข้อ | ||
ดูครบทั้ง 10 ด้าน
| ด้าน | ชื่อด้าน | อยู่ในกลุ่ม | จำนวนข้อ |
|---|---|---|---|
| ด้าน 1 | องค์กรและการกำกับดูแล | กลุ่ม 1 | 13 ข้อ |
| ด้าน 2 | นโยบายและแนวปฏิบัติ | กลุ่ม 1 | 10 ข้อ |
| ด้าน 3 | การอบรมและการสร้างความตระหนักรู้ | กลุ่ม 2 | 7 ข้อ |
| ด้าน 4 | สิทธิของเจ้าของข้อมูลส่วนบุคคล | กลุ่ม 3 | 11 ข้อ |
| ด้าน 5 | การแจ้งวัตถุประสงค์และความโปร่งใส | กลุ่ม 3 | 11 ข้อ |
| ด้าน 6 | การจัดทำบันทึก ROPA และฐานทางกฎหมาย | กลุ่ม 3 | 17 ข้อ |
| ด้าน 7 | ข้อตกลงประมวลผลและการแบ่งปันข้อมูล | กลุ่ม 3 | 19 ข้อ |
| ด้าน 8 | ความเสี่ยงและการประเมินผลกระทบ (DPIA) | กลุ่ม 3 | 7 ข้อ |
| ด้าน 9 | มาตรการรักษาความมั่นคงปลอดภัย | กลุ่ม 4 | 17 ข้อ |
| ด้าน 10 | การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | กลุ่ม 4 | 16 ข้อ |
สรุปสาระสำคัญของประกาศ สคส. (หลักเกณฑ์การให้ใบรับรองและเครื่องหมายรับรองฯ พ.ศ. ๒๕๖๙)
ข้อ ๕ ในการให้เครื่องหมายรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล สำนักงานจะพิจารณาว่าผู้ยื่นคำขอรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล ผ่านเกณฑ์การตรวจมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล ครอบคลุมทั้ง ๔ กลุ่ม ๑๐ ด้าน จำนวน ๑๒๘ ข้อ ตามที่สำนักงานกำหนดไว้ตามเอกสารแนบท้ายประกาศฉบับนี้
ที่มา: ประกาศ สคส. (หลักเกณฑ์การให้ใบรับรองและเครื่องหมายรับรองฯ พ.ศ. ๒๕๖๙) ข้อ ๕ · ราชกิจจานุเบกษา เล่ม 143 ตอนพิเศษ 152 ง · 18 มิถุนายน 2569
ผ่านเกณฑ์แค่ไหน ถึงจะได้ใบรับรอง
อีกเรื่องที่หลายองค์กรอยากรู้คือ ต้องได้คะแนนเท่าไหร่ถึงจะผ่านค่ะ ประกาศกำหนดใบรับรองไว้ 2 ระดับตามคะแนนที่ได้ ดังนี้
| ระดับใบรับรอง | เกณฑ์คะแนน | ความหมาย |
|---|---|---|
| ผ่านการรับรองมาตรฐาน (PDPA Compliance Certificate) | ตั้งแต่ ๘๐% ถึง ๘๙.๙% | ทำตามข้อที่กฎหมายกำหนดครบทุกข้อที่ถูกประเมิน |
| ได้รับมาตรฐาน + เครื่องหมายรับรอง (PDPA Certificate + Certification mark) | ตั้งแต่ ๙๐% ขึ้นไป | ทำครบทั้งข้อที่กฎหมายกำหนดและข้อที่เป็นแนวปฏิบัติที่ดี |
สรุปสาระสำคัญของประกาศ สคส. (หลักเกณฑ์การให้ใบรับรองและเครื่องหมายรับรองฯ พ.ศ. ๒๕๖๙)
ข้อ ๗ สำนักงานจะพิจารณาให้เครื่องหมายรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลกับผู้ยื่นคำขอ หากปรากฏว่าผ่านเกณฑ์การตรวจมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล โดยได้ปฏิบัติตามข้อที่กฎหมายกำหนดให้ต้องปฏิบัติและข้อที่เป็นแนวปฏิบัติที่ดี ซึ่งได้รับคะแนนตามเกณฑ์ดังต่อไปนี้ (๑) เมื่อผู้ยื่นคำขอได้ปฏิบัติตามข้อที่กฎหมายกำหนดให้ต้องปฏิบัติทุกข้อที่ถูกประเมิน หากได้รับคะแนนการประเมินไม่ต่ำกว่าร้อยละ ๘๐ แต่ไม่เกินร้อยละ ๘๙.๙ ของคะแนนตามหัวข้อที่ถูกประเมิน จะได้ใบรับรองระดับผ่านการรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล (PDPA Compliance Certificate) (๒) เมื่อผู้ยื่นคำขอได้ปฏิบัติตามข้อที่กฎหมายกำหนดให้ต้องปฏิบัติทุกข้อที่ถูกประเมินและข้อที่เป็นแนวปฏิบัติที่ดี หากได้รับคะแนนการประเมินไม่ต่ำกว่าร้อยละ ๙๐ ของคะแนนตามหัวข้อที่ถูกประเมิน จะได้รับใบรับรองระดับได้รับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล (PDPA Certificate) และเครื่องหมายรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล (Certification mark)
ที่มา: ประกาศ สคส. (หลักเกณฑ์การให้ใบรับรองและเครื่องหมายรับรองฯ พ.ศ. ๒๕๖๙) ข้อ ๗ · ราชกิจจานุเบกษา เล่ม 143 ตอนพิเศษ 152 ง · 18 มิถุนายน 2569
ด้าน 1–5 · องค์กร นโยบาย คน สิทธิ และความโปร่งใส
1
มี DPO กับทีมดูแลข้อมูลหรือยัง
ด้านแรกของเกณฑ์ ๑๒๘ ข้อ คือเรื่ององค์กรและการกำกับดูแล หัวใจคือต้องมีคนรับผิดชอบข้อมูลส่วนบุคคลชัดเจน บางองค์กรกฎหมายบังคับให้ต้องตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) และต้องให้เขาทำงานได้อย่างอิสระด้วยค่ะ
พี่เอเปิดบริษัทเก็บข้อมูลลูกค้าเยอะมาก วันก่อนมาถามน้องแว่นว่าต้องมีคนดูแลเรื่องข้อมูลโดยเฉพาะไหม น้องแว่นเลยชวนดูข้อแรกของเช็กลิสต์ก่อนเลยค่ะ ว่าด้านองค์กรและการกำกับดูแลเขาดูอะไรกันบ้าง
| สิ่งที่เกณฑ์ดูในด้านองค์กร | ต้องทำอะไร |
|---|---|
| แต่งตั้ง DPO | องค์กรที่เข้าเงื่อนไขตามกฎหมายต้องมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล |
| ความเป็นอิสระของ DPO | ให้อำนาจหน้าที่และทรัพยากรเพียงพอ ให้ทำงานได้อย่างอิสระ |
| จำนวนเกณฑ์ในด้านนี้ | องค์กรและการกำกับดูแล ๑๓ ข้อในเช็กลิสต์ |
💡สรุปสั้น ๆ: องค์กรที่เข้าเงื่อนไขต้องมี DPO และต้องจัดอำนาจหน้าที่กับทรัพยากรให้เพียงพอ เพื่อให้ DPO ทำงานได้จริงและเป็นอิสระ
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติไว้ว่า
มาตรา ๔๑ ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ในกรณีดังต่อไปนี้ (๑) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด (๒) การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการประกาศกำหนด (๓) กิจกรรมหลักของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกันตามที่คณะกรรมการประกาศกำหนดตามมาตรา ๒๙ วรรคสอง ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าวอาจจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลร่วมกันได้ ทั้งนี้ สถานที่ทำการแต่ละแห่งของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันดังกล่าวต้องสามารถติดต่อกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย ความในวรรคสองให้นำมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นหน่วยงานของรัฐตาม (๑) ซึ่งมีขนาดใหญ่หรือมีสถานที่ทำการหลายแห่งโดยอนุโลม ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามวรรคหนึ่งต้องแต่งตั้งตัวแทนตามมาตรา ๓๗ (๕) ให้นำความในวรรคหนึ่งมาใช้บังคับแก่ตัวแทนโดยอนุโลม ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งข้อมูลเกี่ยวกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานทราบ ทั้งนี้ เจ้าของข้อมูลส่วนบุคคลสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลและการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ได้ คณะกรรมการอาจประกาศกำหนดคุณสมบัติของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ โดยคำนึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจเป็นพนักงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือเป็นผู้รับจ้างให้บริการตามสัญญากับผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลก็ได้
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๔๑
น้องแว่นสรุปค่ะ
- บางองค์กรต้องมี DPO หรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด
- ต้องให้ DPO มีอำนาจ หน้าที่ และทรัพยากรพอ ทำงานได้อย่างอิสระ
- ด้านนี้มี 13 ข้อ เป็นจุดเริ่มต้นของเช็กลิสต์ทั้งหมด
2
มีนโยบายข้อมูลเป็นลายลักษณ์อักษรไหม
ด้านที่สองคือเรื่องนโยบายและแนวปฏิบัติ องค์กรต้องมีกติกาการดูแลข้อมูลที่เขียนไว้เป็นลายลักษณ์อักษร และทบทวนให้ทันสมัยอยู่เสมอ เพราะหลักของกฎหมายคือ ต้องรับผิดชอบและพิสูจน์ได้ ค่ะ
พี่บีบอกน้องแว่นว่าที่ออฟฟิศก็ดูแลข้อมูลดีอยู่แล้ว แค่ไม่ได้เขียนเป็นเอกสารอะไร น้องแว่นเลยบอกว่าในเกณฑ์เขาให้ความสำคัญกับ การเขียนเป็นลายลักษณ์อักษร มากเลยค่ะ เพราะถ้าไม่มีเอกสาร เวลาตรวจก็พิสูจน์ไม่ได้ว่าทำจริง
| สิ่งที่เกณฑ์ดูในด้านนโยบาย | ต้องทำอะไร |
|---|---|
| มีนโยบายเป็นเอกสาร | จัดทำนโยบายคุ้มครองข้อมูลส่วนบุคคลเป็นลายลักษณ์อักษร |
| ทบทวนให้ทันสมัย | ทบทวนนโยบายและแนวปฏิบัติเป็นระยะ ให้สอดคล้องกฎหมายปัจจุบัน |
| จำนวนเกณฑ์ในด้านนี้ | นโยบายและแนวปฏิบัติ ๑๐ ข้อในเช็กลิสต์ |
💡สรุปสั้น ๆ: นโยบายคุ้มครองข้อมูลส่วนบุคคลต้องเป็นลายลักษณ์อักษร ครอบคลุมตั้งแต่การเก็บ ใช้ เปิดเผย ไปจนถึงการทบทวน เพื่อให้ทุกคนในองค์กรทำตามได้
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติไว้ว่า
มาตรา ๓๗ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้ (๑) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓๗
น้องแว่นสรุปค่ะ
- ต้องมีนโยบายคุ้มครองข้อมูลเป็นลายลักษณ์อักษร ไม่ใช่ทำกันปากเปล่า
- ต้องทบทวนนโยบายให้ทันกฎหมายและเทคโนโลยีที่เปลี่ยนไป
- ด้านนี้มี 10 ข้อ ช่วยให้ทั้งองค์กรทำเรื่องข้อมูลไปในทางเดียวกัน
3
อบรมพนักงานให้รู้เรื่องข้อมูลหรือยัง
กลุ่มที่สองของเกณฑ์เน้นเรื่องคน นั่นคือการอบรมและสร้างความตระหนักรู้ ให้พนักงานที่เกี่ยวข้องเข้าใจว่าต้องดูแลข้อมูลส่วนบุคคลอย่างไร เพราะมาตรการที่ดีจะใช้ได้จริงก็ต่อเมื่อคนทำงานเข้าใจค่ะ
น้าซีเป็นหัวหน้าทีม บ่นกับน้องแว่นว่าน้อง ๆ ในทีมยังเผลอส่งข้อมูลลูกค้าให้กันทางแชตอยู่เลย น้องแว่นเลยบอกว่าในกลุ่มที่สองของเกณฑ์มีเรื่อง การอบรม โดยเฉพาะค่ะ เพราะระบบจะดีแค่ไหน ถ้าคนไม่เข้าใจก็พลาดได้
| สิ่งที่เกณฑ์ดูในด้านอบรม | ต้องทำอะไร |
|---|---|
| อบรมพนักงาน | ให้ความรู้พนักงานที่เกี่ยวข้องเรื่องการคุ้มครองข้อมูลส่วนบุคคล |
| สร้างความตระหนัก | สื่อสารให้ทุกคนเข้าใจหน้าที่และความเสี่ยงในงานของตน |
| จำนวนเกณฑ์ในด้านนี้ | การอบรมและการสร้างความตระหนักรู้ ๗ ข้อในเช็กลิสต์ |
💡สรุปสั้น ๆ: องค์กรต้องจัดอบรมและสร้างความตระหนักให้พนักงาน ให้รู้บทบาทหน้าที่ในการคุ้มครองข้อมูลส่วนบุคคล และทำให้เป็นกิจวัตรไม่ใช่ครั้งเดียวจบ
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติไว้ว่า
มาตรา ๔๐ ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้ (๑) ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ (๒) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น (๓) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้ตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ปฏิบัติตาม (๑) สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลใด ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น การดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้ ความใน (๓) อาจยกเว้นมิให้นำมาใช้บังคับกับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๔๐
น้องแว่นสรุปค่ะ
- ต้องอบรมพนักงานที่เกี่ยวข้องให้เข้าใจการคุ้มครองข้อมูลส่วนบุคคล
- ต้องสร้างความตระหนักให้เป็นกิจวัตร ไม่ใช่อบรมครั้งเดียวแล้วเลิก
- ด้านนี้มี 7 ข้อ ดูแลเรื่องคนซึ่งเป็นจุดที่พลาดได้บ่อย
4
ลูกค้าขอดู/ลบข้อมูลได้จริงไหม
เข้าสู่กลุ่มที่สาม ซึ่งเป็นกลุ่มใหญ่ที่สุดของเกณฑ์ เริ่มจากด้านสิทธิของเจ้าของข้อมูลส่วนบุคคล หัวใจคือ ลูกค้าหรือเจ้าของข้อมูลขอเข้าถึง ขอสำเนา หรือขอลบข้อมูลของตนได้จริง และองค์กรต้องมีกระบวนการรองรับค่ะ
ลุง D ขายของออนไลน์ เจอลูกค้าทักมาขอให้ลบข้อมูลออกจากระบบ แกงงว่าต้องทำตามไหม น้องแว่นเลยอธิบายว่ากฎหมายให้ เจ้าของข้อมูล มีสิทธิขอเข้าถึงและขอลบข้อมูลของตัวเองได้ องค์กรต้องมีช่องทางรองรับค่ะ
| สิทธิของเจ้าของข้อมูล | องค์กรต้องรองรับอย่างไร |
|---|---|
| สิทธิขอเข้าถึง/ขอสำเนา | จัดให้เจ้าของข้อมูลขอดูและขอรับสำเนาข้อมูลของตนได้ |
| สิทธิอื่น ๆ | รองรับการขอแก้ไข ขอลบ และขอคัดค้านการใช้ข้อมูล |
| จำนวนเกณฑ์ในด้านนี้ | สิทธิของเจ้าของข้อมูลส่วนบุคคล ๑๑ ข้อในเช็กลิสต์ |
💡สรุปสั้น ๆ: เจ้าของข้อมูลมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลของตน องค์กรต้องมีช่องทางและขั้นตอนให้ใช้สิทธิได้จริง ไม่ใช่เขียนไว้เฉย ๆ
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติไว้ว่า
มาตรา ๓๐ เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตนซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลดังกล่าวที่ตนไม่ได้ให้ความยินยอม ผู้ควบคุมข้อมูลส่วนบุคคลต้องปฏิบัติตามคำขอตามวรรคหนึ่ง จะปฏิเสธคำขอได้เฉพาะในกรณีที่เป็นการปฏิเสธตามกฎหมายหรือคำสั่งศาล และการเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลนั้นจะส่งผลกระทบที่อาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลปฏิเสธคำขอตามวรรคหนึ่ง ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกการปฏิเสธคำขอดังกล่าวพร้อมด้วยเหตุผลไว้ในรายการตามมาตรา ๓๙ เมื่อเจ้าของข้อมูลส่วนบุคคลมีคำขอตามวรรคหนึ่งและเป็นกรณีที่ไม่อาจปฏิเสธคำขอได้ตามวรรคสอง ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามคำขอโดยไม่ชักช้า แต่ต้องไม่เกินสามสิบวันนับแต่วันที่ได้รับคำขอ คณะกรรมการอาจกำหนดหลักเกณฑ์เกี่ยวกับการเข้าถึงและการขอรับสำเนาตามวรรคหนึ่ง รวมทั้งการขยายระยะเวลาตามวรรคสี่หรือหลักเกณฑ์อื่นตามความเหมาะสมก็ได้
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓๐
น้องแว่นสรุปค่ะ
- เจ้าของข้อมูลขอเข้าถึงและขอรับสำเนาข้อมูลของตนได้
- องค์กรต้องมีช่องทางให้ขอแก้ไข ขอลบ หรือขอคัดค้านได้จริง
- ด้านนี้มี 11 ข้อ เป็นหัวใจของการเคารพสิทธิเจ้าของข้อมูล
5
บอกชัดไหมว่าเก็บข้อมูลไปทำอะไร
ด้านที่ห้าคือการแจ้งวัตถุประสงค์และความโปร่งใส กฎหมายกำหนดว่าก่อนหรือขณะเก็บข้อมูล ต้องแจ้งให้เจ้าของข้อมูลทราบรายละเอียด เช่น เก็บไปทำอะไร เก็บนานแค่ไหน และเขามีสิทธิอย่างไร นี่คือที่มาของ ประกาศความเป็นส่วนตัว ที่เราเห็นกันบ่อยค่ะ
พี่เอกลับมาถามอีกรอบ ว่าเวลาขอข้อมูลลูกค้าต้องบอกอะไรเขาบ้าง น้องแว่นเลยพาดูด้านความโปร่งใส ว่าก่อนเก็บข้อมูลต้อง แจ้งให้เจ้าของข้อมูลรู้ ว่าจะเอาไปทำอะไร เก็บนานแค่ไหน และเขามีสิทธิอะไรบ้างค่ะ
| สิ่งที่เกณฑ์ดูในด้านความโปร่งใส | ต้องทำอะไร |
|---|---|
| แจ้งวัตถุประสงค์ | บอกชัดว่าเก็บข้อมูลไปใช้ทำอะไร ก่อนหรือขณะเก็บ |
| แจ้งรายละเอียดที่จำเป็น | เช่น ระยะเวลาเก็บ ผู้รับข้อมูล และสิทธิของเจ้าของข้อมูล |
| จำนวนเกณฑ์ในด้านนี้ | การแจ้งวัตถุประสงค์และความโปร่งใส ๑๑ ข้อในเช็กลิสต์ |
💡สรุปสั้น ๆ: ต้องแจ้งวัตถุประสงค์ของการเก็บข้อมูลให้เจ้าของข้อมูลทราบก่อนหรือในขณะเก็บ พร้อมข้อมูลที่จำเป็น เช่น ระยะเวลาเก็บและสิทธิของเจ้าของข้อมูล
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติไว้ว่า
มาตรา ๒๓ ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียด ดังต่อไปนี้ เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว (๑) วัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผยซึ่งรวมถึงวัตถุประสงค์ตามที่มาตรา ๒๔ ให้อำนาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล (๒) แจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือสัญญาหรือมีความจำเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าทำสัญญา รวมทั้งแจ้งถึงผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล (๓) ข้อมูลส่วนบุคคลที่จะมีการเก็บรวบรวมและระยะเวลาในการเก็บรวบรวมไว้ ทั้งนี้ ในกรณีที่ไม่สามารถกำหนดระยะเวลาดังกล่าวได้ชัดเจน ให้กำหนดระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม (๔) ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย (๕) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อในกรณีที่มีตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ให้แจ้งข้อมูล สถานที่ติดต่อ และวิธีการติดต่อของตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลด้วย (๖) สิทธิของเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๑๙ วรรคห้า มาตรา ๓๐ วรรคหนึ่ง มาตรา ๓๑ วรรคหนึ่ง มาตรา ๓๒ วรรคหนึ่ง มาตรา ๓๓ วรรคหนึ่ง มาตรา ๓๔ วรรคหนึ่ง มาตรา ๓๖ วรรคหนึ่ง และมาตรา ๗๓ วรรคหนึ่ง
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๓
น้องแว่นสรุปค่ะ
- ก่อนหรือขณะเก็บข้อมูล ต้องแจ้งวัตถุประสงค์ให้เจ้าของข้อมูลทราบ
- ต้องแจ้งรายละเอียดที่จำเป็น เช่น ระยะเวลาเก็บและสิทธิของเจ้าของข้อมูล
- ด้านนี้มี 11 ข้อ คือที่มาของประกาศความเป็นส่วนตัวที่เห็นกันบ่อย
พักจิบกาแฟสักครู่ แล้วไปต่อกับกลุ่มที่ 3 และ 4 กันค่ะ
ด้าน 6–10 · บันทึก การแบ่งปัน ความเสี่ยง ความปลอดภัย และการแจ้งเหตุ
6
มีบันทึกว่าใช้ข้อมูลทำอะไรบ้างไหม
ด้านที่หกคือการจัดทำบันทึกรายการกิจกรรมการประมวลผล (ROPA) และฐานทางกฎหมาย กฎหมายให้ผู้ควบคุมข้อมูลบันทึกไว้ว่าเก็บข้อมูลอะไร เพื่ออะไร และเปิดเผยให้ใคร เพื่อให้เจ้าของข้อมูลและสำนักงานตรวจสอบได้ค่ะ
พี่บีถามต่อว่า ถ้าวันหนึ่งสำนักงานมาตรวจ จะดูจากอะไรว่าองค์กรใช้ข้อมูลอย่างถูกต้อง น้องแว่นเลยพาดูด้านการจัดทำบันทึก หรือที่เรียกกันว่า ROPA ว่าต้องจดไว้ว่าเก็บข้อมูลอะไร เพื่ออะไร และใช้ฐานทางกฎหมายข้อไหนค่ะ
| สิ่งที่เกณฑ์ดูในด้าน ROPA | ต้องทำอะไร |
|---|---|
| ทำบันทึกการประมวลผล | จดรายการว่าเก็บข้อมูลอะไร เพื่ออะไร และเปิดเผยให้ใคร |
| ระบุฐานทางกฎหมาย | ระบุว่าใช้ความยินยอมหรือฐานอื่นในการเก็บใช้ข้อมูล |
| จำนวนเกณฑ์ในด้านนี้ | การจัดทำบันทึก ROPA และฐานทางกฎหมาย ๑๗ ข้อในเช็กลิสต์ |
💡สรุปสั้น ๆ: ต้องทำบันทึก ROPA อย่างน้อยตามที่กฎหมายกำหนด เช่น ข้อมูลที่เก็บ วัตถุประสงค์ ผู้รับข้อมูล และระยะเวลาเก็บ พร้อมระบุฐานทางกฎหมายที่ใช้
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติไว้ว่า
มาตรา ๓๙ ให้ผู้ควบคุมข้อมูลส่วนบุคคลบันทึกรายการ อย่างน้อยดังต่อไปนี้ เพื่อให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานสามารถตรวจสอบได้ โดยจะบันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้ (๑) ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม (๒) วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท (๓) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล (๔) ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล (๕) สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลและเงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้น (๖) การใช้หรือเปิดเผยตามมาตรา ๒๗ วรรคสาม (๗) การปฏิเสธคำขอหรือการคัดค้านตามมาตรา ๓๐ วรรคสาม มาตรา ๓๑ วรรคสาม มาตรา ๓๒ วรรคสาม และมาตรา ๓๖ วรรคหนึ่ง (๘) คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา ๓๗ (๑) ความในวรรคหนึ่งให้นำมาใช้บังคับกับตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๕ วรรคสอง โดยอนุโลม ความใน (๑) (๒) (๓) (๔) (๕) (๖) และ (๘) อาจยกเว้นมิให้นำมาใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓๙
น้องแว่นสรุปค่ะ
- ต้องทำบันทึก ROPA ว่าเก็บข้อมูลอะไร เพื่ออะไร และเปิดเผยให้ใคร
- ต้องระบุฐานทางกฎหมายที่ใช้ในการเก็บและใช้ข้อมูล
- ด้านนี้มี 17 ข้อ ช่วยให้พิสูจน์ได้เวลามีการตรวจสอบ
7
ส่งข้อมูลให้คู่ค้า/ต่างประเทศ รัดกุมไหม
ด้านที่เจ็ดเป็นด้านที่มีเกณฑ์มากที่สุด คือข้อตกลงการประมวลผลและการแบ่งปันข้อมูล (DPA & Data Sharing) ครอบคลุมทั้งการจ้างผู้ประมวลผลภายนอกและการส่งข้อมูลไปต่างประเทศ ซึ่งปลายทางต้องมีมาตรฐานคุ้มครองข้อมูลที่เพียงพอค่ะ
ลุง F ใช้บริการคลาวด์ของบริษัทต่างประเทศเก็บข้อมูลลูกค้า เลยถามน้องแว่นว่าแบบนี้ทำได้ไหม น้องแว่นบอกว่าทำได้ค่ะ แต่ต้องดูด้าน การส่งข้อมูลให้คู่ค้าและการส่งออกนอกประเทศ ให้รัดกุม มีข้อตกลงและมาตรฐานคุ้มครองที่เพียงพอ
| สิ่งที่เกณฑ์ดูในด้านแบ่งปันข้อมูล | ต้องทำอะไร |
|---|---|
| ข้อตกลงประมวลผลข้อมูล | ทำข้อตกลง (DPA) กับผู้ประมวลผลภายนอกให้ชัดเจน |
| ส่งข้อมูลออกต่างประเทศ | ปลายทางต้องมีมาตรฐานคุ้มครองข้อมูลที่เพียงพอ |
| จำนวนเกณฑ์ในด้านนี้ | ข้อตกลงประมวลผลและการแบ่งปันข้อมูล ๑๙ ข้อในเช็กลิสต์ |
💡สรุปสั้น ๆ: การส่งหรือโอนข้อมูลไปต่างประเทศ ปลายทางต้องมีมาตรฐานคุ้มครองข้อมูลที่เพียงพอตามหลักเกณฑ์ที่คณะกรรมการกำหนด และต้องมีข้อตกลงกับผู้ประมวลผลที่ชัดเจน
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติไว้ว่า
มาตรา ๒๘ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ทั้งนี้ ต้องเป็นไปตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลตามที่คณะกรรมการประกาศกำหนดตามมาตรา ๑๖ (๕) เว้นแต่ (๑) เป็นการปฏิบัติตามกฎหมาย (๒) ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้ว (๓) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น (๔) เป็นการกระทำตามสัญญาระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับบุคคลหรือนิติบุคคลอื่นเพื่อประโยชน์ของเจ้าของข้อมูลส่วนบุคคล (๕) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของเจ้าของข้อมูลส่วนบุคคลหรือบุคคลอื่น เมื่อเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมในขณะนั้นได้ (๖) เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ ในกรณีที่มีปัญหาเกี่ยวกับมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคล ให้เสนอต่อคณะกรรมการเป็นผู้วินิจฉัย ทั้งนี้ คำวินิจฉัยของคณะกรรมการอาจขอให้ทบทวนได้เมื่อมีหลักฐานใหม่ทำให้เชื่อได้ว่าประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลมีการพัฒนาจนมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๘
น้องแว่นสรุปค่ะ
- จ้างผู้ประมวลผลภายนอกต้องมีข้อตกลง (DPA) ที่ชัดเจน
- ส่งข้อมูลไปต่างประเทศ ปลายทางต้องมีมาตรฐานคุ้มครองที่เพียงพอ
- ด้านนี้มี 19 ข้อ มากที่สุดในเช็กลิสต์ เพราะความเสี่ยงสูง
8
ประเมินความเสี่ยงข้อมูลหรือยัง
ด้านที่แปดคือความเสี่ยงและการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) สำหรับกิจกรรมที่เสี่ยงสูง องค์กรควรประเมินผลกระทบและวางมาตรการลดความเสี่ยงไว้ก่อน เพื่อไม่ให้ข้อมูลของคนจำนวนมากได้รับผลกระทบค่ะ
น้าซีกำลังจะทำระบบเก็บข้อมูลสุขภาพพนักงาน เลยถามน้องแว่นว่าควรระวังอะไรเป็นพิเศษไหม น้องแว่นบอกว่าข้อมูลแบบนี้ละเอียดอ่อนมากค่ะ ด้านการประเมินความเสี่ยง หรือ DPIA จึงสำคัญ ควรประเมินผลกระทบก่อนเริ่มทำเลย
| สิ่งที่เกณฑ์ดูในด้านความเสี่ยง | ต้องทำอะไร |
|---|---|
| ประเมินผลกระทบ (DPIA) | ประเมินความเสี่ยงต่อสิทธิของเจ้าของข้อมูลในกิจกรรมเสี่ยงสูง |
| วางมาตรการลดความเสี่ยง | กำหนดวิธีลดความเสี่ยงก่อนเริ่มเก็บหรือใช้ข้อมูล |
| จำนวนเกณฑ์ในด้านนี้ | ความเสี่ยงและการประเมินผลกระทบ (DPIA) ๗ ข้อในเช็กลิสต์ |
💡สรุปสั้น ๆ: กิจกรรมที่เสี่ยงสูงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล ควรทำการประเมินผลกระทบ (DPIA) และกำหนดมาตรการลดความเสี่ยงก่อนดำเนินการ
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓๗ (เฉพาะอนุมาตราที่เกี่ยวข้อง) บัญญัติไว้ว่า
มาตรา ๓๗ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้ (๑) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓๗
น้องแว่นสรุปค่ะ
- กิจกรรมเสี่ยงสูงควรประเมินผลกระทบด้านข้อมูล (DPIA) ก่อนทำ
- ต้องวางมาตรการลดความเสี่ยงให้เจ้าของข้อมูลล่วงหน้า
- ด้านนี้มี 7 ข้อ ป้องกันปัญหาก่อนที่จะเกิดจริง
9
ระบบปลอดภัยพอไหม กันข้อมูลรั่ว
กลุ่มสุดท้ายคือระบบเทคโนโลยีและความมั่นคงปลอดภัย เริ่มจากด้านมาตรการรักษาความมั่นคงปลอดภัย กฎหมายกำหนดให้ผู้ควบคุมข้อมูลจัดให้มีมาตรการที่เหมาะสม เพื่อป้องกันข้อมูลสูญหาย ถูกเข้าถึง หรือถูกเปิดเผยโดยมิชอบ และต้องทบทวนเมื่อเทคโนโลยีเปลี่ยนไปค่ะ
ลุง D ถามต่อว่าจะกันข้อมูลลูกค้าไม่ให้รั่วได้ยังไง เพราะเคยได้ยินข่าวข้อมูลหลุดบ่อย ๆ น้องแว่นเลยพาเข้ากลุ่มสุดท้าย เรื่องระบบและความมั่นคงปลอดภัย ว่ากฎหมายบังคับให้มี มาตรการที่เหมาะสม กันข้อมูลสูญหายหรือถูกเข้าถึงโดยมิชอบค่ะ
| สิ่งที่เกณฑ์ดูในด้านความปลอดภัย | ต้องทำอะไร |
|---|---|
| มีมาตรการความปลอดภัย | จัดให้มีมาตรการที่เหมาะสมกันข้อมูลรั่วหรือถูกเข้าถึงโดยมิชอบ |
| ทบทวนให้ทันเทคโนโลยี | ปรับปรุงมาตรการเมื่อจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนไป |
| จำนวนเกณฑ์ในด้านนี้ | มาตรการรักษาความมั่นคงปลอดภัย ๑๗ ข้อในเช็กลิสต์ |
💡สรุปสั้น ๆ: ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ป้องกันข้อมูลสูญหาย เข้าถึง หรือเปิดเผยโดยมิชอบ และทบทวนมาตรการให้ทันกับเทคโนโลยีที่เปลี่ยนไป
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓๗ (เฉพาะอนุมาตราที่เกี่ยวข้อง) บัญญัติไว้ว่า
มาตรา ๓๗ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้ (๑) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓๗ (๑)
น้องแว่นสรุปค่ะ
- ต้องมีมาตรการความมั่นคงปลอดภัยที่เหมาะสม ป้องกันข้อมูลรั่ว
- ต้องทบทวนมาตรการให้ทันเมื่อเทคโนโลยีเปลี่ยนไป
- ด้านนี้มี 17 ข้อ เป็นเกราะป้องกันข้อมูลของลูกค้า
10
ข้อมูลรั่วแล้ว แจ้งทันใน 72 ชม.ไหม
ด้านสุดท้ายของเช็กลิสต์คือการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล กฎหมายกำหนดชัดว่าเมื่อเกิดเหตุข้อมูลรั่ว ต้องแจ้งสำนักงานภายใน ๗๒ ชั่วโมงนับแต่ทราบเหตุ และถ้าความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วยค่ะ
ปิดท้าย พี่เอถามคำถามที่หลายคนกังวลที่สุด ว่าถ้าข้อมูลรั่วขึ้นมาจริง ๆ ต้องทำยังไง น้องแว่นเลยเน้นเลยค่ะว่ากฎหมายกำหนดให้ แจ้งสำนักงานภายใน ๗๒ ชั่วโมง นับแต่ทราบเหตุ และถ้าเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลด้วย
| เมื่อข้อมูลรั่ว ต้องทำอะไร | กรอบเวลา/เงื่อนไข |
|---|---|
| แจ้งสำนักงาน | แจ้งโดยไม่ชักช้า ภายใน ๗๒ ชั่วโมงนับแต่ทราบเหตุ |
| แจ้งเจ้าของข้อมูล | ถ้าเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยา |
| จำนวนเกณฑ์ในด้านนี้ | การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล ๑๖ ข้อในเช็กลิสต์ |
💡สรุปสั้น ๆ: เมื่อเกิดเหตุละเมิดข้อมูล ต้องแจ้งสำนักงานโดยไม่ชักช้าภายใน ๗๒ ชั่วโมงนับแต่ทราบเหตุ และถ้าเสี่ยงสูงต่อสิทธิเสรีภาพของบุคคล ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยา
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓๗ (เฉพาะอนุมาตราที่เกี่ยวข้อง) บัญญัติไว้ว่า
มาตรา ๓๗ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้ (๔) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยาโดยไม่ชักช้าด้วย ทั้งนี้ การแจ้งดังกล่าวและข้อยกเว้นให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด
ที่มา: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓๗ (๔)
น้องแว่นสรุปค่ะ
- ข้อมูลรั่วต้องแจ้งสำนักงานภายใน 72 ชั่วโมงนับแต่ทราบเหตุ
- ถ้าความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยา
- ด้านนี้มี 16 ข้อ ปิดท้ายเช็กลิสต์ทั้ง 128 ข้อ
เช็กลิสต์ฉบับเต็ม · 128 ข้อ
และนี่คือเกณฑ์การตรวจมาตรฐานทั้ง 128 ข้อแบบเต็ม ๆ ค่ะ จัดเรียงตามด้าน พร้อมระบุข้ออ้างอิงทางกฎหมายของแต่ละข้อ คุณเลื่อนอ่านเพื่อเช็กองค์กรของตัวเองได้เลย
| ข้อ | เกณฑ์การตรวจ | ด้าน | อ้างอิงกฎหมาย |
|---|---|---|---|
| 1 | องค์กรต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) ตามมาตรา ๔๑ แห่ง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามที่กฎหมายกำหนด | ด้าน 1 องค์กรและการกำกับดูแล | ม.๔๑, ๔๒ |
| 2 | องค์กรต้องกำหนดอำนาจ หน้าที่ และจัดสรรทรัพยากรที่เพียงพอให้แก่ DPO เพื่อให้สามารถปฏิบัติหน้าที่ได้อย่างมี ประสิทธิภาพและเป็นอิสระ | ด้าน 1 องค์กรและการกำกับดูแล | ม.๔๑, ๔๒ |
| 3 | กรณีที่องค์กรไม่เข้าข่ายที่ต้องแต่งตั้ง DPO ตามกฎหมาย องค์กรต้องมอบหมายบุคลากรที่มีความเหมาะสม รับผิดชอบงานด้านการคุ้มครองข้อมูลส่วนบุคคลแทน พร้อมจัดสรรทรัพยากรให้เพียงพอที่จะดำเนินการต่าง ๆ ให้ | ด้าน 1 องค์กรและการกำกับดูแล | ม.๔๑, ๔๒ |
| 4 | สอดคล้องกับหน้าที่ด้านการคุ้มครองข้อมูลส่วนบุคคล องค์กรต้องกำหนดให้ DPO มีความเป็นอิสระและรายงานตรงต่อผู้บริหารระดับสูงโดยต้องไม่มีผลประโยชน์ทับซ้อน ในการตัดสินใจเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล | ด้าน 1 องค์กรและการกำกับดูแล | ม.๔๑, ๔๒ |
| 5 | องค์กรควรเปิดโอกาสให้ DPO ให้คำแนะนำแก่ผู้บริหารระดับสูงได้โดยตรง รวมถึงสามารถรายงานปัญหาในการ ปฏิบัติหน้าที่ด้านการคุ้มครองข้อมูลส่วนบุคคลได้อย่างอิสระ | ด้าน 1 องค์กรและการกำกับดูแล | ม.๔๑, ๔๒ |
| 6 | องค์กรต้องจัดบุคลากรและกระบวนการสนับสนุน DPO เพื่อช่วยในการจัดการและกำกับดูแลการคุ้มครองข้อมูล ส่วนบุคคลอย่างต่อเนื่อง | ด้าน 1 องค์กรและการกำกับดูแล | ม.๔๑, ๔๒ |
| 7 | องค์กรต้องจัดตั้งคณะทำงานหรือคณะกรรมการกำกับดูแลด้านการคุ้มครองข้อมูลส่วนบุคคลที่ครอบคลุมถึงการ ดำเนินงาน การจัดทำตัวชี้วัด (KPI) รวมถึงการระบุปัญหาและความเสียง สำหรับการคุ้มครองข้อมูลส่วนบุคคลของ | ด้าน 1 องค์กรและการกำกับดูแล | ม.๔๑, ๔๒ |
| 8 | องค์กร ผู้บริหารระดับสูงขององค์กรต้องพิจารณาประเด็นด้านการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล และ ความเสี่ยงที่จัดทำโดยคณะทำงานของ DPO อย่างสม่ำเสมอ | ด้าน 1 องค์กรและการกำกับดูแล | ม.๔๑, ๔๒ |
| 9 | องค์กรต้องมีการรายงานปัญหาด้านการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูลและความเสียงใด ๆ ที่ เกิดขึ้นไปยังคณะทำงานของ DPO | ด้าน 1 องค์กรและการกำกับดูแล | ม.๔๑, ๔๒ |
| 10 | องค์กรมีการพัฒนากระบวนการและเครื่องมือเพิ่มเติมเพื่อสนับสนุนการทำงานของ DPO และ DPO มีการ ตรวจสอบการดำเนินการคุ้มครองข้อมูลส่วนบุคคลให้เป็นไปตามกฎหมายและประกาศที่เกี่ยวข้อง | ด้าน 1 องค์กรและการกำกับดูแล | ม.๔๑, ๔๒ |
| 11 | องค์กรต้องประกาศแต่งตั้ง DPO หรือ มอบหมายบุคลากรที่มีความเหมาะสมรับผิดชอบงานด้านการคุ้มครองข้อมูล ส่วนบุคคล เป็นลายลักษณ์อักษร | ด้าน 1 องค์กรและการกำกับดูแล | ม.๔๑, ๔๒ |
| 12 | องค์กรต้องเผยแพร่ข้อมูลช่องทางการติดต่อ DPO อย่างชัดเจน ผ่านช่องทางต่าง ๆ ขององค์กร เพื่อให้ผู้ที่เกี่ยวข้อง ทั้งภายในและภายนอกรับทราบ | ด้าน 1 องค์กรและการกำกับดูแล | ม.๔๑, ๔๒ |
| 13 | องค์กรต้องมีการตรวจสอบการปฏิบัติ ของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ว่าสอดคล้องกับกฎหมาย คุ้มครองข้อมูลส่วนบุคคล | ด้าน 1 องค์กรและการกำกับดูแล | ม.๔๑, ๔๒ |
| 14 | องค์กรต้องจัดทำนโยบายด้านการคุ้มครองข้อมูลส่วนบุคคล ที่ครอบคลุมการบริหารจัดการและมาตรการรักษา ความมั่นคงปลอดภัยของข้อมูล | ด้าน 2 นโยบายและแนวปฏิบัติ | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 15 | องค์กรต้องจัดทำนโยบายและแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล พร้อมระบุบทบาทหน้าที่และความ รับผิดชอบของผู้ที่เกี่ยวข้องอย่างชัดเจน | ด้าน 2 นโยบายและแนวปฏิบัติ | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 16 | องค์กรโดยผู้บริหารระดับสูงหรือผู้ที่ได้รับมอบหมายต้องกำหนดกระบวนการทบทวนและอนุมัตินโยบายด้านการ คุ้มครองข้อมูลส่วนบุคคล | ด้าน 2 นโยบายและแนวปฏิบัติ | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 17 | องค์กรต้องมีการทบทวนนโยบายและขั้นตอนปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างทันท่วงที เมื่อมีการ เปลี่ยนแปลงที่สำคัญ เช่น มีการเปลี่ยนแปลงต่อองค์กร ที่สำคัญ ๆ การตัดสินใจของหน่วยงานกำกับดูแล หรือการ | ด้าน 2 นโยบายและแนวปฏิบัติ | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 18 | เปลี่ยนแปลงในแนวทางปฏิบัติงานของหน่วยงานผู้กำกับดูแล องค์กรต้องแจ้งให้พนักงานทุกคนทราบถึงนโยบายและขั้นตอนปฏิบัติที่ปรับปรุงใหม่ เพื่อให้เข้าใจและปฏิบัติได้อย่าง ถูกต้อง | ด้าน 2 นโยบายและแนวปฏิบัติ | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 19 | องค์กรต้องจัดททำนโยบายและขั้นตอนเพื่อให้แน่ใจว่าประเด็นการคุ้มครองข้อมูลได้รับการพิจารณาเมื่อมีการ ออกแบบและดำเนินการระบบ บริการ ผลิตภัณฑ์ และแนวทางธุรกิจที่เกี่ยวข้องกับข้อมูลส่วนบุคคล และข้อมูลส่วน | ด้าน 2 นโยบายและแนวปฏิบัติ | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 20 | บุคคลได้รับการคุ้มครองโดยค่าเริ่มต้น องค์กรต้องกำหนดวิธีการปฏิบัติตามหลักการคุ้มครองข้อมูลส่วนบุคคล การป้องกันสิทธิ์ส่วนบุคคล ที่รวมถึงการ จำกัดข้อมูลให้น้อยที่สุด (Data Minimization) การจำกัดวัตถุประสงค์การใช้งาน (Purpose Limitation) และการ | ด้าน 2 นโยบายและแนวปฏิบัติ | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 21 | ทำเป็นข้อมูลแฝง (Pseudonymization) องค์กรมีการจัดทำแนวทางปฏิบัติและคู่มือในแต่ละกระบวนการย่อย เพื่อรองรับนโยบายด้านการคุ้มครองข้อมูล ส่วนบุคคล และเพื่อให้พนักงานและผู้ที่เกี่ยวข้องสามารถปฏิบัติได้อย่างถูกต้อง | ด้าน 2 นโยบายและแนวปฏิบัติ | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 22 | องค์กรมีการทบทวนนโยบายและกระบวนการด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างน้อย ปีละ ๑ ครั้ง เพื่อให้มั่นใจ ว่ายังคงมีความถูกต้องและทันสมัย | ด้าน 2 นโยบายและแนวปฏิบัติ | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 23 | องค์กรมีการวัดผลดำเนินการหลังจากประกาศนโยบายและแนวทางปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล โดย สะท้อนให้เห็นว่านโยบายดังกล่าวได้เข้ามาช่วยในการปกป้องข้อมูลส่วนบุคคลหรือลดความเสี่ยงต่าง ๆ ที่อาจเกิดขึ้น (เช่น ลดช่องว่างที่เกิดขึ้นจากการดำเนินการไม่ครบถ้วนตามกฎหมาย เป็นต้น) | ด้าน 2 นโยบายและแนวปฏิบัติ | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 24 | การพัฒนาทรัพยากรบุคคลขององค์กร (Human Resource Development: HRD) องค์กรต้องจัดทำแผนการสร้างความตระหนักรู้แก่พนักงานทุกคนที่อยู่ในกระบวนการปกป้องข้อมูลส่วนบุคคล เช่น การจัดการคำขอต่าง ๆ การแชร์ข้อมูล การรักษาความมั่นคงปลอดภัยของข้อมูล การละเมิดข้อมูล การบริหาร | ด้าน 3 การอบรมและการสร้างความตระหนักรู้ | ม.๓๗, ๔๐ |
| 25 | จัดการต่าง ๆ ที่เกี่ยวข้องกับข้อมูล องค์กรต้องจัดสรรทรัพยากรที่เพียงพอสำหรับการดำเนินการฝึกอบรมและกิจกรรมสร้างความตระหนักรู้ให้แก่ บุคลากรทุกระดับ | ด้าน 3 การอบรมและการสร้างความตระหนักรู้ | ม.๓๗, ๔๐ |
| 26 | องค์กรต้องมีการทบทวนหลักสูตรการอบรมเพื่อสร้างความตระหนักรู้ในการปฏิบัติงานให้สอดคล้องกับกฎหมายว่า ด้วยการคุ้มครองข้อมูลส่วนบุคคล และแนวทางการฝึกอบรมเพื่อให้มีความเหมาะสม ถูกต้อง และเป็นปัจจุบัน | ด้าน 3 การอบรมและการสร้างความตระหนักรู้ | ม.๓๗, ๔๐ |
| 27 | องค์กรต้องจัดให้พนักงานเข้ารับการฝึกอบรมเพื่อเป็นการเตรียมความพร้อมก่อนการเข้าถึงข้อมูลส่วนบุคคล ภายใน ระยะเวลาที่เหมาะสม หรือได้รับการฝึกอบรมภายใน ๑ เดือน นับตั้งแต่วันที่เริ่มต้นปฏิบัติงาน | ด้าน 3 การอบรมและการสร้างความตระหนักรู้ | ม.๓๗, ๔๐ |
| 28 | องค์กรต้องจัดให้พนักงานเข้ารับการฝึกอบรมเพิ่มเติมในช่วงเวลาที่เหมาะสม | ด้าน 3 การอบรมและการสร้างความตระหนักรู้ | ม.๓๗, ๔๐ |
| 29 | องค์กรต้องมีการประเมินผลหลังการอบรม เพื่อทดสอบความรู้ ความเข้าใจ และความพร้อมของพนักงาน โดย กำหนดเกณฑ์ขั้นต่ำในการผ่านการประเมิน | ด้าน 3 การอบรมและการสร้างความตระหนักรู้ | ม.๓๗, ๔๐ |
| 30 | องค์กรได้จัดให้มีการทบทวนการอบรมและสร้างความตระหนักรู้ให้กับพนักงานในเรื่องการปกป้องข้อมูลส่วนบุคคล อยู่เป็นประจำ อย่างน้อยปีละ ๑ ครั้ง หรือเมื่อมีการเปลี่ยนแปลงของนโยบายและกระบวนการด้านการคุ้มครอง ข้อมูลส่วนบุคคล ๓ กระบวนการและขั้นตอนการทำงาน (Process and Procedure) | ด้าน 3 การอบรมและการสร้างความตระหนักรู้ | ม.๓๗, ๔๐ |
| 31 | องค์กรต้องแจ้งสิทธิของเจ้าของข้อมูลส่วนบุคคลอย่างชัดเจน รวมถึงวิธีการใช้สิทธิตามที่กฎหมายกำหนด เช่น การ เข้าถึง ขอสำเนา แก้ไข หรือลบข้อมูล | ด้าน 4 สิทธิของเจ้าของข้อมูลส่วนบุคคล | ม.๓๐, ๓๑, ๓๒, ๓๓, ๓๔, ๓๕, ๓๖ |
| 32 | องค์กรต้องจัดทำนโยบายและขั้นตอนปฏิบัติในการจัดการคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมาย (โดยมีเอกสาร SOP Charter หรือขั้นตอนกำกับอย่างชัดเจน) | ด้าน 4 สิทธิของเจ้าของข้อมูลส่วนบุคคล | ม.๓๐, ๓๑, ๓๒, ๓๓, ๓๔, ๓๕, ๓๖ |
| 33 | ในกรณีที่องค์กรจะปฏิเสธการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล องค์กรต้องจัดทำบันทึกการ ปฏิเสธคำขอดังกล่าวพร้อมด้วยเหตุผลไว้ในบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activities: ROPA) และแจ้งเหตุผลของการปฏิเสธหรือข้อยกเว้นใดๆ ไปยังเจ้าของข้อมูลส่วนบุคคลที่ | ด้าน 4 สิทธิของเจ้าของข้อมูลส่วนบุคคล | ม.๓๐, ๓๑, ๓๒, ๓๓, ๓๔, ๓๕, ๓๖ |
| 34 | ขอใช้สิทธิ องค์กรต้องจัดให้มีขั้นตอนและกระบวนการ ตามความเหมาะสม ได้สัดส่วนและสมเหตุสมผลในการตรวจสอบความ ถูกต้องของข้อมูลส่วนบุคคลที่เก็บไว้ และหากจำเป็นก็สามารถทำการแก้ไขข้อมูลนั้นได้ | ด้าน 4 สิทธิของเจ้าของข้อมูลส่วนบุคคล | ม.๓๐, ๓๑, ๓๒, ๓๓, ๓๔, ๓๕, ๓๖ |
| 35 | องค์กรต้องดำเนินการลบข้อมูลส่วนบุคคลจากระบบสำรองข้อมูล รวมถึงระบบที่ใช้งานจริงเมื่อจำเป็น และทำการ ชี้แจงพร้อมแจ้งวิธีการจัดการข้อมูลอย่างชัดเจนให้แก่เจ้าของข้อมูลส่วนบุคคล | ด้าน 4 สิทธิของเจ้าของข้อมูลส่วนบุคคล | ม.๓๐, ๓๑, ๓๒, ๓๓, ๓๔, ๓๕, ๓๖ |
| 36 | องค์กรสามารถส่งข้อมูลไปยังองค์กรอื่นด้วยวิธีการทางอิเล็กทรอนิกส์ได้โดยตรง ในกรณีที่เป็นไปได้และมีบุคคลร้อง ขอ | ด้าน 4 สิทธิของเจ้าของข้อมูลส่วนบุคคล | ม.๓๐, ๓๑, ๓๒, ๓๓, ๓๔, ๓๕, ๓๖ |
| 37 | องค์กรต้องแจ้งให้เจ้าของข้อมูลทราบถึงสิทธิในการร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือกรรมการผู้เชี่ยวชาญในประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร (Privacy Notice/Privacy | ด้าน 4 สิทธิของเจ้าของข้อมูลส่วนบุคคล | ม.๓๐, ๓๑, ๓๒, ๓๓, ๓๔, ๓๕, ๓๖ |
| 38 | Policy) องค์กรมีการปรับปรุงนโยบายและกระบวนการการจัดการคำขอใช้สิทธิจากเจ้าของข้อมูลส่วนบุคคลโดยวิเคราะห์ จากแนวโน้มคำขอต่าง ๆ | ด้าน 4 สิทธิของเจ้าของข้อมูลส่วนบุคคล | ม.๓๐, ๓๑, ๓๒, ๓๓, ๓๔, ๓๕, ๓๖ |
| 39 | องค์กรมีการแจ้งให้เจ้าของข้อมูลทราบถึงช่องทางในการขอเข้าถึงและขอสำเนาข้อมูลส่วนบุคคลตนเอง (Right to Access) | ด้าน 4 สิทธิของเจ้าของข้อมูลส่วนบุคคล | ม.๓๐, ๓๑, ๓๒, ๓๓, ๓๔, ๓๕, ๓๖ |
| 40 | องค์กรสามารถระงับหรือจำกัดการประมวลผลข้อมูลส่วนบุคคลในลักษณะที่เหมาะสมกับประเภทของการ ประมวลผลและระบบที่เกี่ยวข้อง เช่น การย้ายข้อมูลไปยังระบบอื่นชั่วคราวหรือลบออกจากเว็บไซต์ | ด้าน 4 สิทธิของเจ้าของข้อมูลส่วนบุคคล | ม.๓๐, ๓๑, ๓๒, ๓๓, ๓๔, ๓๕, ๓๖ |
| 41 | องค์กรมีการวัดผลการจัดการคำขอใช้สิทธิจากเจ้าของข้อมูลส่วนบุคคลได้ว่าสามารถจัดการได้ครบถ้วน | ด้าน 4 สิทธิของเจ้าของข้อมูลส่วนบุคคล | ม.๓๐, ๓๑, ๓๒, ๓๓, ๓๔, ๓๕, ๓๖ |
| 42 | องค์กรต้องมีการแจ้งรายละเอียดเกี่ยวกับข้อมูลการติดต่อที่เกี่ยวข้อง ได้แก่ (๑) ข้อมูลชื่อและรายละเอียด รวมถึงสถานที่ติดต่อและวิธีการติดต่อของผู้ควบคุมข้อมูลส่วนบุคคล (Data | ด้าน 5 การแจ้งวัตถุประสงค์และความโปร่งใส | ม.๒๓, ๒๕ |
| 43 | องค์กรต้องมีการแจ้งวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ฐานทางกฎหมายที่ใช้และ อาจรวมถึงประโยชน์โดยชอบด้วยกฎหมายของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลนั้น | ด้าน 5 การแจ้งวัตถุประสงค์และความโปร่งใส | ม.๒๓, ๒๕ |
| 44 | ในกรณีที่องค์กรได้ข้อมูลส่วนบุคคลมาจากแหล่งที่มาอื่น องค์กรต้องมีการแจ้งประเภทและแหล่งที่มาของข้อมูลส่วน บุคคลที่เก็บรวบรวม | ด้าน 5 การแจ้งวัตถุประสงค์และความโปร่งใส | ม.๒๓, ๒๕ |
| 45 | องค์กรต้องมีการแจ้งประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย รวมถึง รายละเอียดการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ | ด้าน 5 การแจ้งวัตถุประสงค์และความโปร่งใส | ม.๒๓, ๒๕ |
| 46 | องค์กรต้องมีการแจ้งระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลไว้ ทั้งนี้หากไม่สามารถกำหนดระยะเวลาดังกล่าว ได้ชัดเจน องค์กรต้องแจ้งระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวมข้อมูลส่วนบุคคล | ด้าน 5 การแจ้งวัตถุประสงค์และความโปร่งใส | ม.๒๓, ๒๕ |
| 47 | องค์กรต้องมีการแจ้งสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมถึงสิทธิในการถอนความยินยอมของเจ้าของข้อมูลส่วน บุคคล (กรณีมีการขอความยินยอม) และสิทธิในการร้องเรียนในกรณีที่มีการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วย การคุ้มครองข้อมูลส่วนบุคคล | ด้าน 5 การแจ้งวัตถุประสงค์และความโปร่งใส | ม.๒๓, ๒๕ |
| 48 | องค์กรต้องมีการแจ้งให้เจ้าของข้อมูลส่วนบุคคลได้รับทราบถึงวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ข้อมูลส่วนบุคคล อาทิ ในขณะที่กรอกแบบฟอร์ม หรือจากกรณีที่อาจสังเกตเห็นได้เอง (or by observation) เช่น การถูกบันทีกภาพโดยระบบกล้องวงจรปิด หรือการถูกติดตามพฤติกรรมออนไลน์ เป็นต้น | ด้าน 5 การแจ้งวัตถุประสงค์และความโปร่งใส | ม.๒๓, ๒๕ |
| 49 | องค์กรต้องมีการทบทวนประกาศคุ้มครองข้อมูลส่วนบุคคลโดยพิจารณาเปรียบเทียบกับบันทึกรายการของกิจกรรม การประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activities: ROPA) เพื่อให้แน่ใจว่าข้อมูลเป็นปัจจุบัน | ด้าน 5 การแจ้งวัตถุประสงค์และความโปร่งใส | ม.๒๓, ๒๕ |
| 50 | และอธิบายสิ่งที่เกิดขึ้นกับข้อมูลส่วนบุคคลของบุคคลได้จริง องค์กรต้องมีการดำเนินการทดสอบโดยผู้ใช้บริการเพื่อประเมินประสิทธิภาพของการแจ้งข้อมูลเกี่ยวกับวัตถุประสงค์ และรายละเอียดในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล | ด้าน 5 การแจ้งวัตถุประสงค์และความโปร่งใส | ม.๒๓, ๒๕ |
| 51 | องค์กรต้องจัดทำประกาศการคุ้มครองข้อมูลส่วนบุคคลที่มีความชัดเจนและง่ายสำหรับการเข้าถึงของบุคคลทั่วไป | ด้าน 5 การแจ้งวัตถุประสงค์และความโปร่งใส | ม.๒๓, ๒๕ |
| 52 | องค์กรมีการปรับปรุงและพัฒนาประสิทธิภาพของแนวทางการแจ้ง Privacy Notice | ด้าน 5 การแจ้งวัตถุประสงค์และความโปร่งใส | ม.๒๓, ๒๕ |
| 53 | องค์กรต้องจัดทำหรือทบทวนแผนผังข้อมูล (Data Mapping) เพื่อทำความเข้าใจการไหลเวียนและจุดที่มีการ ประมวลผลข้อมูลส่วนบุคคลภายในองค์กร | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 54 | องค์กรต้องจัดทำ ROPA โดยมีรายการอย่างน้อยตามที่กำหนดไว้ในมาตรา ๓๙ แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ ดังต่อไปนี้ (๑) ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม (๒) วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท (๓) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล (๔) ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล (<) สิทธิและวิธีการเข้าถึงข้อมมูลส่วนบุคคล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิ์เข้าถึงข้อมูลส่วนบุคคลและ | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 55 | เงื่อนไขในการเข้าถึงข้อมูลส่วนบุคคลนั้น (๖) การใช้หรือเปิดเผยตามมาตรา ๒๗ วรรคสาม (๗) การปฏิเสธคำขอหรือการคัดค้านการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด (หากมี) (๘) คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา ๓๗ (๑) กรณีที่องค์กรมีผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) องค์กรต้องกำกับให้ผู้ประมวลผลข้อมูลส่วนบุคคล จัดทำ ROPA ในส่วนที่ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งให้แก่องค์กร ทั้งนี้ ROPA ต้องมีรายการที่บันทึกอย่าง น้อยตามที่กฎหมายกำหนด | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 56 | องค์กรต้องกำหนดฐานทางกฎหมาย (Lawful Basis) ที่เหมาะสมและสอดคล้องกับวัตถุประสงค์ในการประมวลผล ตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 57 | องค์กรต้องจัดทำประกาศการคุ้มครองข้อมูลส่วนบุคคลขององค์กร (Privacy Notice) อยู่ในรูปแบบที่เข้าถึงได้ โดยง่ายและอ่านเข้าใจง่าย | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 58 | องค์กรต้องมีมาตรการที่เหมาะสมในการตรวจสอบว่าบุคคลดังกล่าวสามารถให้ความยินยอมด้วยตนเองได้ (ตรวจสอบอายุและความสามารถของบุคคล) ในกรณีที่ไม่สามารถให้ความยินยอมด้วยตนเองได้ ต้องมีมาตรการที่ | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 59 | เหมาะสมในการได้รับความยินยอมจากผู้ใช้อำนาจปกครอง แล้วแต่กรณี ในกรณีขอความยินยอมจากผู้เยาว์หรือบุคคลไร้ความสามารถหรือเสมือนไร้ความสามารถ องค์กรต้องมีมาตรการ ตรวจสอบที่เหมาะสมว่าบุคคลที่ให้ความยินยอมแทนเป็นผู้มีอำนาจกระทำการแทนเจ้าของข้อมูลส่วนบุคคลอย่าง | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 60 | แท้จริง องค์กรต้องมีการจัดทำ ROPA และมีการทบทวนกระบวนการและแก้ไข ROPA | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 61 | องค์กรต้องทบทวนฐานทางกฎหมายที่ใช้ในการประมวลผลข้อมูลส่วนบุคคล ROPA ขององค์กรมีการระบุ "ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล" | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 62 | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA | |
| 63 | ROPA ขององค์กรมีการระบุ "สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคล รวมทั้งเงื่อนไขในการเข้าถึงข้อมูล" เช่น ต้อง ผ่านการยืนยันตัวตนก่อนได้รับสิทธิ | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 64 | ROPA ขององค์กรมีการระบุ "การใช้หรือเปิดเผยข้อมูลให้หน่วยงานอื่น" และมีเอกสารหรือ Dashboard แสดง จำนวนกิจกรรม จำนวนข้อมูลและจำนวนเจ้าของข้อมูลส่วนบุคคลขององค์กร เพื่อนำไปใช้เป็นตัวชี้วัดประสิทธิภาพ | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 65 | ของกระบวนการ ROPA ขององค์กรมีการระบุ "การปฏิเสธคำขอหรือการคัดค้านการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่ กฎหมายกำหนด" | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 66 | ROPA ขององค์กรมีการระบุ "คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัย" | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 67 | ในการขอความยินยอม องค์กรมีขั้นตอนการยืนยันตัวตนเจ้าของข้อมูลด้วย | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 68 | องค์กรต้องแยกเอกสารขอความยินยอมออกจากสัญญาอย่างชัดเจน | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 69 | องค์กรต้องแจ้งเจ้าของข้อมูลส่วนบุคคลเรื่องช่องทางการถอนความยินยอม | ด้าน 6 การจัดทำบันทึก ROPA และฐานทางกฎหมาย | ม.๓๙, ๔๐ และประกาศ กคส. ROPA |
| 70 | องค์กรต้องมีขั้นตอนตรวจสอบมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพ่อของประเทศปลายทางหรือองค์กร ระหว่างประเทศ ก่อนการโอนข้อมูลส่วนบุคคลไปต่างประเทศ โดยอ้างอิงหลักเกณฑ์ของคณะกรรมการ (Adequacy Decision) หรือเอกสารสนับสนุน (ถ้ามี) | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 71 | เมื่อมีการโอนข้อมูลส่วนบุคคลไปต่างประเทศ การส่งหรือโอนดังกล่าวมีความสอดคล้องกับข้อกำหนดของกฎหมาย ในกรณีอื่น ๆ ตามที่กำหนดในมาตรา ๒๘ หรือมาตรา ๒๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และต้องมีฐานทางกฎหมายที่เหมาะสมรองรับการโอน | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 72 | องค์กรต้องทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement: DPA) กับผู้ประมวลผล ข้อมูลส่วนบุคคลทุกรายที่เกี่ยวข้องกับองค์กร | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 73 | องค์กรต้องจัดทำ DPA โดยมีเงื่อนไขอย่างน้อยตามที่มาตรา ๔๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนด ได้แก่ (๑) ดำเนินการเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลตามคำสั่งเท่านั้น (๒) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 74 | (๓) แจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการณ์ณ์ละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น (๔) จัดทำและเก็บรักษา ROPA ต้องกำหนดมาตรการรักษาความมั่นคงปลอดภัยทั้งด้านองค์กรและเทคนิค เช่น การเข้ารหัสข้อมูล การทำข้อมูลแฝง และการกู้คืนระบบ | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 75 | DPA ต้องมีข้อกำหนดที่อนุญาตให้องค์กรดำเนินการตรวจสอบ (Right to Audit) เพื่อยืนยันว่าผู้ประมวลผลข้อมูล ส่วนบุคคลปฏิบัติตามข้อกำหนดและเงื่อนไขตามสัญญาทั้งหมด | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 76 | หากมีบุคคลที่สามจัดหาผลิตภัณฑ์หรือบริการเพื่อประมวลผลข้อมูลส่วนบุคคล องค์กรต้องเลือกบุคคลที่สามผู้ค้า (Supplier) ที่มีมาตรฐานในการปกป้องข้อมูลส่วนบุคคล โดยออกแบบผลิตภัณฑ์หรือบริการของตนโดยคำนึงถึงการ | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 77 | ปกป้องข้อมูล (Privacy by Design) องค์กรต้องสามารถระบุผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ทั้งหมดภายในประเทศ ที่ส่งข้อมูลส่วนบุคคล มาให้องค์กร | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 78 | องค์กรต้องสามารถระบุผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) ทั้งหมดภายในประเทศที่ดำเนินการ ประมวลผลข้อมูลส่วนบุคคล | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 79 | องค์กรต้องจัดทำ DPA ให้ครอบคลุมผู้ประมวลผลข้อมูลส่วนบุคคล และมีเอกสารหรือ Dashboard ที่แสดงจำนวน ข้อตกลง สัญญา สถานะ และระยะเวลาผูกพัน ของทุกคู่สัญญาเพื่อนำไปใช้เป็นตัวชี้วัดประสิทธิภาพของ | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 80 | กระบวนการดำเนินงาน องค์กรได้มีการส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ ตามมาตรา ๒๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วน บุคคล พ.ศ. ๒๕๖๒ (การส่งข้อมูลในลักษณะ Binding Cooperate Rule) | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 81 | องค์กรได้มีการส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ ตามมาตรา ๒๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วน บุคคล พ.ศ. ๒๕๖๒ (การส่งข้อมูลในลักษณะ Standard Contractual Clauses) | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 82 | ในกรณีที่การส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกัน องค์กรมี นโยบายคุ้มครองข้อมูลส่วนบุคคลที่สามารถบังคับใช้ครอบคลุมไปถึงเครือกิจการหรือเครือธุรกิจเดียวกันได้ (ตาม | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 83 | มาตรา ๒๙ แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (BCR)) ในกรณีที่การส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ องค์กรมีการกำหนดมาตราการที่เหมาะสมภายในสัญญา กับผู้ประมวลผลข้อมูลส่วนบุคคล (ตามมาตรา ๒๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 84 | (SSC)) องค์กรต้องบันทึกการใช้หรือการเปิดเผยข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูล ส่วนบุคคลรายอื่น ทั้งที่ได้รับความ ยินยอมและกรณียกเว้นตามกฎหมาย (ตามมาตรา ๒๗ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒) | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 85 | องค์กรต้องจัดทำแบบฟอร์ม (Template) สำหรับบันทึกการโอนข้อมูลส่วนบุคคลไปต่างประเทศ ตามมาตรา ๒๘ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 86 | องค์กรต้องจัดทำ Template ของนโยบายคุ้มครองข้อมูลส่วนบุคคลที่สามารถบังคับใช้ครอบคลุมไปถึงเครือกิจการ หรือเครือธุรกิจเดียวกัน | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 87 | องค์กรต้องจัดทำ Template ของสัญญาที่ระบุมาตรการคุ้มครองข้อมูลส่วนบุคคล | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 88 | องค์กรต้องจัดทำแบบฟอร์ม DPA | ด้าน 7 ข้อตกลงประมวลผล/แบ่งปันข้อมูล (DPA & Data Sharing) | ม.๒๗, ๒๘, ๒๙, ๔๐ |
| 89 | องค์กรต้องระบุและจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล โดยบันทึกไว้ในทะเบียนการจัดการความเสี่ยง (Risk Register) ที่ชัดเจน เชื่อมโยงกับแผนกหรือส่วนงานที่เกี่ยวข้อง และประเมินความเสี่ยงของทรัพย์สินสารสนเทศ | ด้าน 8 ความเสี่ยงและการประเมินผลกระทบ (DPIA) | ม.๓๗ |
| 90 | องค์กรต้องมีขั้นตอนอย่างเป็นระบบ ในการระบุ บันทึก และจัดการความเสี่ยง เพื่อให้มั่นใจว่าเกี่ยวข้องกับทรัพย์สิน สารสนเทศในทะเบียนควบคุมทรัพย์สินสารสนเทศ | ด้าน 8 ความเสี่ยงและการประเมินผลกระทบ (DPIA) | ม.๓๗ |
| 91 | องค์กรต้องจัดทำและทดสอบมาตรการลดความเสี่ยง ตามที่ได้ระบุไว้ใน Risk Categories เพื่อให้มั่นใจว่ามาตรการ เหล่านั้นมีประสิทธิภาพ | ด้าน 8 ความเสี่ยงและการประเมินผลกระทบ (DPIA) | ม.๓๗ |
| 92 | องค์กรต้องมีการติดตามและทบทวนความเสี่ยงที่ระบุไว้ เพื่อประเมินว่าความเสี่ยงอยู่ในระดับที่องค์กรสามารถ ยอมรับได้ (Residual Risk) | ด้าน 8 ความเสี่ยงและการประเมินผลกระทบ (DPIA) | ม.๓๗ |
| 93 | องค์กรต้องกำหนดรอบการประเมินความเสี่ยงด้านข้อมูลส่วนบุคคลอย่างน้อยปีละ ๑ ครั้ง หรือทุกครั้งที่มีการ เปลี่ยนแปลง | ด้าน 8 ความเสี่ยงและการประเมินผลกระทบ (DPIA) | ม.๓๗ |
| 94 | องค์กรต้องวัดผลความมีประสิทธิภาพของกระบวนการจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล โดยเปรียบเทียบ ผลลัพธ์กับระดับความเสี่ยงที่เหลือ (Residual Risk) | ด้าน 8 ความเสี่ยงและการประเมินผลกระทบ (DPIA) | ม.๓๗ |
| 95 | องค์กรต้องปรับปรุงขั้นตอนและนำเทคโนโลยีใหม่มาใช้ เพื่อเพิ่มประสิทธิภาพในการระบุ จัดการ และลดความเสี่ยง ด้านข้อมูลส่วนบุคคลให้สอดคล้องกับผลการประเมิน | ด้าน 8 ความเสี่ยงและการประเมินผลกระทบ (DPIA) | ม.๓๗ |
| 96 | องค์กรต้องกำหนดมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลระหว่างการส่งหรือโอนข้อมูล เช่น การเข้ารหัส การใช้โปรโตคอลที่ปลอดภัย หรือ VPN | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 97 | องค์กรต้องจัดให้มีการทบทวนคุณภาพของข้อมูลส่วนบุคคลอย่างสม่ำเสมอ เพื่อให้มั่นใจว่าข้อมูลมีความถูกต้อง เหมาะสม และไม่ถูกเก็บเกินความจำเป็น | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 98 | องค์กรต้องกำหนดระยะเวลาการจัดเก็บข้อมูลส่วนบุคคลตามความต้องการทางธุรกิจ ซึ่งรวมถึงให้สอดคล้องกับ กฎหมายระเบียบ ข้อบังคับ และหลักการที่เกี่ยวข้อง | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 99 | องค์กรต้องทบทวนข้อมูลที่จัดเก็บไว้เพื่อระบุโอกาสในการลดการจัดเก็บข้อมูล และแปลงข้อมูลให้เป็นข้อมูลแฝง (Pseudonymization) หรือทำให้ข้อมูลเป็นนิรนาม (Anonymization) | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 100 | องค์กรต้องจัดทำบัญชีทรัพย์สินสารสนเทศ โดยบัญชีดังกล่าวได้รวมถึงเจ้าของทรัพย์สิน สถานที่จัดเก็บทรัพย์สิน ระยะเวลาการจัดเก็บ และมาตรการความมั่นคงปลอดภัย (เพื่อป้องกันทรัพย์สิน) | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 101 | องค์กรต้องประเมินความเสี่ยงของทรัพย์สินที่บันทึกไว้ในรายการบัญชีทรัพย์สินสารสนเทศ และดำเนินการ ตรวจสอบทางกายภาพเพื่อให้มั่นใจว่าทรัพย์สินมีความถูกต้องและครบถ้วน | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 102 | องค์กรต้องจัดให้มีการเก็บบันทึกการเข้าถึงระบบ (Access Logs) ที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 103 | องค์กรต้องจำกัดสิทธิการเข้าถึงข้อมูลส่วนบุคคล โดยใช้หลักการให้สิทธิการเข้าถึงให้น้อยที่สุดตามความจำเป็น (Principle of Least Privilege) | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 104 | องค์กรต้องกำหนดนโยบายการตั้งรหัสผ่านที่มีความซับซ้อนและปลอดภัย รวมถึงการจำกัดจำนวนครั้งที่ล็อกอิน ผิดพลาด | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 105 | องค์กรต้องมีมาตรการจัดการรหัสผ่านอย่างปลอดภัย เช่น การเปลี่ยนรหัสผ่านเริ่มต้น การห้ามแชร์รหัสผ่าน และ การจัดเก็บอย่างมั่นคงปลอดภัย | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 106 | องค์กรต้องจัดให้มีมาตรการรักษาความปลอดภัยของพื้นที่ที่จำเป็น เช่น การควบคุมการเข้าออก การติดตั้งกล้อง วงจรปิด หรือสัญญาณกันขโมย | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 107 | องค์กรต้องมีขั้นตอนการควบคุมการเข้าถึงของบุคคลภายนอก เช่น การแลกบัตร ลงนามเข้าออก ก่อนเข้าสู่พื้นที ภายในที่เกี่ยวข้องกับข้อมูลส่วนบุคคล | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 108 | องค์กรต้องจัดทำแผนความต่อเนื่องทางธุรกิจ (Business Continuity) และแผนกู้คืนจากภัยพิบัติ (Disaster Recovery) ที่ครอบคลุมระบบ ข้อมูล และบริการที่สำคัญ | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 109 | องค์กรต้องมีการสำรองข้อมูลส่วนบุคคลอย่างสม่ำเสมอ และจัดเก็บสำเนาข้อมูลสำรองในสถานที่ที่ปลอดภัยนอก สถานที่ปฏิบัติงานหลัก | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 110 | องค์กรต้องทดสอบการเข้าถึงและการกู้คืนข้อมูลจากระบบสำรอง เพื่อให้มั่นใจในการเตรียมพร้อมสำหรับการกู้คืน ระบบ | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 111 | องค์กรต้องมีนโยบายและกระบวนการตรวจสอบช่องโหว่ (Vulnerability Assessment) และปรับปรุงระบบ/ เทคโนโลยีเพื่ออุดช่องโหว่อย่างต่อเนื่อง | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 112 | องค์กรต้องจัดทำตัวชี้วัด (KPI) เพื่อติดตามและประเมินประสิทธิภาพของมาตรการรักษาความมั่นคงปลอดภัย สารสนเทศ และปรับปรุงมาตรการเมื่อยังไม่เป็นไปตามเป้าหมาย | ด้าน 9 มาตรการรักษาความมั่นคงปลอดภัย | ม.๓๗, ๔๐ และประกาศ กคส. มาตรการความมั่นคงปลอดภัยฯ |
| 113 | องค์กรต้องกำหนดขั้นตอนการแจ้งเหตุด้านความมั่นคงปลอดภัยและการละเมิดข้อมูลส่วนบุคคลภายในองค์กร ให้ พนักงานสามารถ รายงานต่อผู้ที่เกี่ยวข้องได้ทันที | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 114 | องค์กรต้องมีแผนรับมือเหตุด้านความมั่นคงปลอดภัยและเหตุละเมิดข้อมูลส่วนบุคคล โดยกำหนดบทบาทและความ รับผิดชอบอย่างชัดเจน | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 115 | องค์กรต้องมีแบบฟอร์มบันทึกเหตุละเมิดข้อมูลส่วนบุคคล ที่ระบุประเภทของเหตุการณ์ ผลกระทบ และมาตรการ แก้ไข/ป้องกัน | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 116 | องค์กรต้องมีขั้นตอนการประเมินผลกระทบจากเหตุละเมิดข้อมูลส่วนบุคคล โดยพิจารณาความรุนแรงและโอกาสที่ อาจกระทบสิทธิและเสรีภาพของบุคคล | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 117 | องค์กรต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน ๗๒ ชั่วโมง นับแต่ทราบเหตุ ตามที่กฎหมายกำหนดโดยอาจแจ้งบางส่วนก่อนได้ หากยังไม่มีข้อมูลทั้งหมด | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 118 | องค์กรต้องจัดทำรายละเอียดที่เพียงพอในการแจ้งเหตุละเมิดต่อ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เช่น ลักษณะของเหตุการณ์ ผลกระทบ และมาตรการแก้ไข | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 119 | กรณีที่องค์กรพิจารณาว่าเหตุละเมิดไม่ก่อให้เกิดความเสี่ยงสูงต่อเจ้าของข้อมูล องค์กรต้องบันทึกเหตุผลในการไม่ แจ้งเหตุไว้เป็นหลักฐาน | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 120 | หากเหตุละเมิดมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล องค์กรต้องแจ้งเจ้าของข้อมูลให้ ทราบโดยไม่ชักช้า | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 121 | การแจ้งเจ้าของข้อมูลต้องทำอย่างชัดเจน กระชับ และใช้ภาษาที่เข้าใจง่าย พร้อมให้ข้อมูลที่จำเป็น เช่น ลักษณะของ เหตุการณ์ ผลกระทบ และช่องทางติดต่อ | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 122 | การแจ้งเจ้าของข้อมูลต้องรวมแนวทางการเยียวยา และมาตรการป้องกันที่องค์กรได้ดำเนินการหรือจะดำเนินการ ต่อไป | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 123 | องค์กรต้องให้คำแนะนำแก่เจ้าของข้อมูลส่วนบุคคล เกี่ยวกับวิธีการป้องกันความเสียหายจากผลกระทบที่อาจเกิด จากเหตุละเมิด | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 124 | องค์กรต้องตรวจสอบข้อเท็จจริงของเหตุละเมิด และจัดทำรายงานสรุปผลการดำเนินงาน พร้อมจัดทำ Dashboard ติดตามจำนวนเหตุการณ์ | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 125 | แบบบันทึกเหตุละเมิดข้อมูลส่วนบุคคลต้องมีรายละเอียดครบถ้วน ได้แก่ ลักษณะของเหตุการณ์ ผลกระทบ มาตรการแก้ไข และการเยียวยา | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 126 | องค์กรต้องจัดทำตัวชี้วัด (KPI) เพื่อติดตามประสิทธิภาพของกระบวนการจัดการเหตุละเมิด และใช้ผลการประเมิน เพื่อปรับปรุงอย่างต่อเนื่อง | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 127 | องค์กรต้องมีการปรับปรุงและพัฒนาแผนรับมือเหตุด้านความมั่นคงปลอดภัยและเหตุละเมิดข้อมูลส่วนบุคคลเป็น ประจำ เพื่อให้สอดคล้องกับสถานการณ์จริง | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
| 128 | องค์กรต้องวิเคราะห์แนวโน้มของเหตุละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น และนำผลการวิเคราะห์มาใช้ในการออก มาตรการเชิงป้องกันไม่ให้เกิดเหตุซ้ำ | ด้าน 10 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล | ม.๓๗ และประกาศ กคส. การแจ้งเหตุละเมิดฯ |
ที่มา: ประกาศ สคส. (หลักเกณฑ์การให้ใบรับรองและเครื่องหมายรับรองฯ พ.ศ. ๒๕๖๙) เอกสารแนบท้าย (เกณฑ์ ๔ กลุ่ม ๑๐ ด้าน ๑๒๘ ข้อ)
เช็กลิสต์ ๑๒๘ ข้อนี้มีหัวใจเดียวกัน — ทำให้องค์กร รับผิดชอบและพิสูจน์ได้ ว่าดูแลข้อมูลของคนอย่าง โปร่งใสและปลอดภัย ค่ะ
- มี DPO หรือยัง บางองค์กรต้องตั้งเจ้าหน้าที่คุ้มครองข้อมูล (DPO) ให้ทำงานได้อิสระ ดูด้าน 1
- มีนโยบายเป็นลายลักษณ์อักษร ต้องมีนโยบายและแนวปฏิบัติเรื่องข้อมูลที่เขียนไว้ชัด ไม่ใช่ทำกันปากเปล่า ดูด้าน 2
- อบรมพนักงานหรือยัง ต้องอบรมและสร้างความตระหนักให้พนักงานเข้าใจการดูแลข้อมูล ดูด้าน 3
- ลูกค้าขอใช้สิทธิได้ไหม เจ้าของข้อมูลมีสิทธิขอเข้าถึง ขอสำเนา และขอลบข้อมูลของตนได้ ดูด้าน 4
- บอกชัดไหมว่าเก็บไปทำอะไร ต้องแจ้งวัตถุประสงค์ให้เจ้าของข้อมูลทราบก่อนหรือขณะเก็บ ดูด้าน 5
- มีบันทึก ROPA ไหม ต้องทำบันทึกรายการกิจกรรมการประมวลผลข้อมูล (ROPA) ให้ตรวจสอบได้ ดูด้าน 6
- ส่งให้คู่ค้า/ต่างประเทศ การแบ่งปันหรือส่งข้อมูลออกต้องมีข้อตกลงและมาตรฐานคุ้มครองที่เพียงพอ ดูด้าน 7
- ประเมินความเสี่ยง (DPIA) กิจกรรมเสี่ยงสูงควรประเมินผลกระทบด้านข้อมูล (DPIA) ก่อนทำ ดูด้าน 8
- ระบบปลอดภัยพอไหม ต้องมีมาตรการความมั่นคงปลอดภัยที่เหมาะสม ป้องกันข้อมูลรั่ว ดูด้าน 9
- ข้อมูลรั่ว แจ้งใน 72 ชม. ข้อมูลรั่วต้องแจ้งสำนักงานภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ดูด้าน 10
ถ้าองค์กรของคุณกำลังเตรียมขอการรับรองมาตรฐาน หรือมีกรณีข้อมูลรั่วที่ซับซ้อน แนะนำให้ปรึกษาทนายหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เพื่อดูรายละเอียดเฉพาะกรณีนะคะ
อ้างอิง · ① ด้านองค์กร ม.๔๑ · ② นโยบาย ม.๓๗ · ③ อบรม ม.๔๐ · ④ สิทธิเจ้าของข้อมูล ม.๓๐ · ⑤ ความโปร่งใส ม.๒๓ · ⑥ บันทึก ROPA ม.๓๙ · ⑦ ส่ง/แบ่งปันข้อมูล ม.๒๘ · ⑧ ประเมินความเสี่ยง ม.๓๗ · ⑨ ความมั่นคงปลอดภัย ม.๓๗ · ⑩ แจ้งเหตุละเมิด ม.๓๗ — พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบ ประกาศ สคส. (วิธีการและเงื่อนไขในการรับรองมาตรฐานฯ พ.ศ. ๒๕๖๙) และ ประกาศ สคส. (หลักเกณฑ์การให้ใบรับรองและเครื่องหมายรับรองฯ พ.ศ. ๒๕๖๙)
ถ้าข้อมูลนี้เป็นประโยชน์ ให้ส่ง กาแฟและขนมปัง ให้เป็นกำลังใจ
กดให้กาแฟ หรือ ขนมปัง สัก 1 อย่างไหมคะ?
ทานกาแฟ ไปแล้ว 16 แก้ว
·
ทานขนมปัง ไปแล้ว 8 แผ่น
