- เกี่ยวกับ PDPA
- บทบาทของ PDPA ในงาน IT
- การปฏิบัติตาม PDPA
รองรับองค์กรในการปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล
(PDPA) พ.ศ. 2562 ด้วย Security, Governance
และ Data Management ที่ครอบคลุมทุกมิติ
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) คือกฎหมายคุ้มครองข้อมูลหลักของประเทศไทย ที่กำหนดแนวปฏิบัติสำหรับการเก็บรวบรวม ใช้ เปิดเผย จัดเก็บ โอน และปกป้องข้อมูลส่วนบุคคล เป้าหมายคือให้เจ้าของข้อมูลมีอำนาจควบคุมข้อมูลของตนเอง ขณะที่องค์กรต้องดำเนินงานด้วยความโปร่งใสและมีมาตรการความปลอดภัยที่แข็งแกร่ง
ManageEngine มีโซลูชัน IT management และ Security ที่ช่วยองค์กรเสริมการปกป้องข้อมูล ยกระดับ Governance และสนับสนุนการปฏิบัติตามกฎหมาย PDPA ตลอด Data Lifecycle โซลูชันของเราช่วยให้คุณควบคุมการเข้าถึง, ปกป้องข้อมูลสำคัญ, มอนิเตอร์กิจกรรมด้านข้อมูล, ทำ Compliance อัตโนมัติ และตอบสนองต่อคำร้องขอจากเจ้าของข้อมูลได้อย่างมีประสิทธิภาพ
ไม่ว่าจะเป็นการจัดการ Identity, รักษาความปลอดภัย Endpoint, มอนิเตอร์ Log, รับมือ Incident หรือปกป้องข้อมูลสำคัญ ManageEngine มีครบทุกเครื่องมือที่คุณต้องการเพื่อสร้างสภาพแวดล้อม IT ที่มั่นคงและพร้อมสำหรับ PDPA
PDPA ส่งผลโดยตรงต่อวิธีที่องค์กรบริหารและปกป้องข้อมูลส่วนบุคคลในระบบ IT ต้ังแต่
Security Controls, Access Management, Record-keeping ไปจนถึงความโปร่งใส
ที่ทีม IT ต้องออกแบบระบบที่ Secure by Design และสอดคล้องกับข้อกฎหมาย
PDPA กำหนดให้องค์กรต้องชัดเจนในทุกขั้นตอนตั้งแต่การเก็บ ใช้ จัดเก็บ จนถึงการลบข้อมูล
ทีม IT ต้องดำเนินการดังนี้:
สิ่งนี้ช่วยสร้างความโปร่งใสและความรับผิดชอบที่เหมาะสม
IT คือแนวป้องกันหลักในการสกัด Data Breach ขององค์กร
PDPA กำหนดให้มี:
สิ่งนี้ผลักดันให้ทีม IT ต้องป้องกันระบบทั้งหมดที่จัดเก็บหรือประมวลผลข้อมูลส่วนบุคคลอย่างเชิงรุก
PDPA ระบุว่าเฉพาะบุคคลที่ได้รับอนุญาตเท่านั้นที่สามารถเข้าถึงข้อมูล ส่วนบุคคลได้
ทีม IT ต้องเปิดใช้งาน:
สิ่งนี้ช่วยลดความเสี่ยงจากภัยคุกคามภายในและการเข้าถึงโดยไม่ได้รับอนุญาต
กฎหมายให้สิทธิแก่บุคคล ทั้งการเข้าถึง แก้ไข โอน และลบข้อมูล
ระบบ IT ต้องสามารถ:
ความสามารถเหล่านี้ต้องอาศัยการออกแบบและผสานระบบที่เหมาะสม
หากโอนข้อมูลส่วนบุคคลไปต่างประเทศ IT ต้องรับประกัน:
PDPA ต้องการหลักฐานการปฏิบัติตาม
ระบบ IT ต้อง:
เพื่อตอบสนองต่อการตรวจสอบของหน่วยงานกำกับดูแลและประเมินความเสี่ยงภายใน
DPO พึ่งพาระบบ IT อย่างมากเพื่อ:
ทีม IT คือรากฐานทางเทคนิคที่ DPO ต้องอาศัยในการทำงาน
ข้อมูลส่วนบุคคลต้องใช้เฉพาะตามวัตถุประสงค์ที่แจ้งแก่เจ้าของข้อมูลเท่านั้น
เก็บรวบรวมหรือจัดเก็บเฉพาะข้อมูลส่วนบุคคลที่จำเป็นต่อวัตถุประสงค์เท่านั้น
หากเก็บข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลโดยตรง ผู้ควบคุมข้อมูลต้องรับประกันความโปร่งใสและฐานทางกฎหมาย
ข้อมูลส่วนบุคคลที่มีความอ่อนไหวต้องได้รับความยินยอมชัดแจ้งและการปกป้องที่เข้มงวด
องค์กรในกลุ่มเดียวกันสามารถโอนข้อมูลระหว่างประเทศได้ภายใต้นโยบายภายในที่ได้รับอนุมัติ
เจ้าของข้อมูลสามารถขอเข้าถึงข้อมูลส่วนบุคคลของตนได้
เจ้าของข้อมูลสามารถขอรับข้อมูลส่วนบุคคลในรูปแบบที่มีโครงสร้างและอ่านได้
เจ้าของข้อมูลสามารถคัดค้านการประมวลผลข้อมูลในบางกรณีได้
เจ้าของข้อมูลสามารถขอให้ลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลไม่ระบุตัวตนได้
การประมวลผลข้อมูลส่วนบุคคลต้องหยุดชั่วคราวเมื่อได้รับคำร้อง
องค์กรต้องรับประกันว่าข้อมูลส่วนบุคคลมีความถูกต้องและเป็นปัจจุบัน
หากปฏิเสธคำร้องขอแก้ไข องค์กรต้องบันทึกคำร้องและเหตุผลไว้
องค์กรต้องนำมาตรการ Security, Access Control, Risk Management และการรับมือ Incident ไปปฏิบัติ
ผู้ประมวลผลต้องปฏิบัติตามคำสั่งของผู้ควบคุมและปกป้องข้อมูลส่วนบุคคล
องค์กรต้องแต่งตั้ง DPO เพื่อกำกับดูแล Compliance และมอนิเตอร์กิจกรรมการประมวลผล
พูดคุยกับผู้เชี่ยวชาญของเราเพื่อรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีที่องค์กรของคุณสามารถปฏิบัติตาม PDPA ได้
PDPC คือหน่วยงานกำกับดูแลที่จัดตั้งขึ้นตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของประเทศไทย โดยทำงานผ่านสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (OPDPC)
ความรับผิดชอบหลักของ PDPC ได้แก่:
ออกแนวปฏิบัติ: กำหนดมาตรฐาน กฎระเบียบ และแนวปฏิบัติที่ดีที่สุดสำหรับการจัดการข้อมูลส่วนบุคคลในแต่ละอุตสาหกรรม
กำกับดูแลและบังคับใช้: สืบสวนและดำเนินการกับผู้ควบคุมและผู้ประมวลผลข้อมูลที่ละเมิดกฎหมาย
รับเรื่องร้องเรียน: รับและพิจารณาข้อร้องเรียนจากเจ้าของข้อมูลที่สิทธิ์ถูกละเมิด
ให้คำแนะนำ: ให้ข้อมูลและทรัพยากรเพื่อช่วยองค์กรบรรลุการปฏิบัติตามกฎหมาย
PDPA ของไทยบังคับใช้อย่างเต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 ครอบคลุมทุกองค์กร ทั้งในและต่างประเทศ ที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลในประเทศไทย
PDPA กำหนดบทบาทที่ชัดเจนสำหรับทุกคนที่สัมผัสกับข้อมูลส่วนบุคคล:
ผู้ควบคุมข้อมูล (Data Controller): บุคคลหรือองค์กรที่กำหนดวัตถุประสงค์และวิธีการเก็บและใช้ข้อมูลส่วนบุคคล โดยทั่วไปคือบริษัทเอง เช่น แพลตฟอร์มอีคอมเมิร์ซที่จัดเก็บข้อมูลลูกค้า
ผู้ประมวลผลข้อมูล (Data Processor): บุคคลหรือองค์กรที่ประมวลผลข้อมูลในนามของและตามคำสั่งของผู้ควบคุมข้อมูล เช่น ผู้ให้บริการคลาวด์ บริษัทรับจ้างงานด้าน HR และผู้ให้บริการวิเคราะห์ข้อมูลจากภายนอก
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO): องค์กรบางประเภทต้องแต่งตั้ง DPO ตามกฎหมาย โดยเฉพาะองค์กรที่ประมวลผลข้อมูลส่วนบุคคลที่มีความอ่อนไหวในปริมาณมาก หรือมีการติดตามตรวจสอบข้อมูลอย่างเป็นระบบขนาดใหญ่
เจ้าของข้อมูล (บุคคล): ลูกค้าและประชาชนมีสิทธิ์ที่บังคับใช้ได้จริง ทั้งการเข้าถึง แก้ไข ลบ จำกัด และคัดค้านการใช้ข้อมูลส่วนบุคคลของตน
องค์กร (ผู้ควบคุมข้อมูล): ลดความเสี่ยงทางกฎหมาย สร้างความสัมพันธ์ที่แข็งแกร่งกับลูกค้า และพัฒนาวัฒนธรรมการกำกับดูแลข้อมูลภายในให้เป็นผู้ใหญ่มากขึ้น
พาร์ทเนอร์ทางธุรกิจและซัพพลายเออร์: กรอบสัญญาที่ชัดเจนสำหรับการแบ่งปันข้อมูลช่วยลดความไม่ชัดเจนและข้อพิพาทในความสัมพันธ์แบบ B2B
นักลงทุน: องค์กรที่มีสถานะการปฏิบัติตามกฎหมายที่มั่นคงมีความเสี่ยงด้านกฎระเบียบต่ำ ทำให้น่าลงทุนมากขึ้น
เศรษฐกิจดิจิทัลของไทย: การนำหลักการ PDPA ไปใช้อย่างแพร่หลายสร้างความเชื่อมั่นในระบบดิจิทัล เร่งการยอมรับและการเติบโตของบริการดิจิทัล
PDPA กำหนดบทลงโทษไว้ 3 ระดับ:
โทษทางปกครอง: ปรับสูงสุด 5,000,000 บาท
ค่าเสียหายทางแพ่ง (เชิงลงโทษ): สูงสุด 2 เท่าของค่าเสียหายจริง
โทษทางอาญา (จำคุกสูงสุด 1 ปี): รวมปรับสูงสุด 1,000,000 บาท
บทลงโทษที่รุนแรงที่สุดจะบังคับใช้กับการเก็บข้อมูลส่วนบุคคลที่มีความอ่อนไหวโดยไม่ได้รับอนุญาต และการนำข้อมูลส่วนบุคคลไปใช้เพื่อประโยชน์ส่วนตัวหรือเปิดเผยแก่บุคคลที่สามโดยไม่ได้รับอนุมัติ กรรมการและผู้บริหารระดับสูงอาจถูกดำเนินคดีเป็นการส่วนตัว หากพิสูจน์ได้ว่ารู้เห็นหรือมีส่วนร่วมในการละเมิด
การปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) อย่างครบถ้วน จำเป็นต้องอาศัยทั้งกระบวนการกำกับดูแล นโยบาย บุคลากร ตลอดจนมาตรการด้านเทคนิคและมาตรการภายในองค์กร ฟีเจอร์และความสามารถที่อธิบายไว้ข้างต้นเป็นเพียงส่วนหนึ่งของแนวทางที่โซลูชันของเราอาจช่วยสนับสนุนองค์กรในการปฏิบัติตามข้อกำหนดบางประการของ PDPA ทั้งนี้ องค์กรควรดำเนินการประเมินด้วยตนเองอย่างเป็นอิสระ เพื่อพิจารณาว่าโซลูชันเหล่านี้สอดคล้องกับความต้องการเฉพาะขององค์กรอย่างไร และสามารถช่วยให้องค์กรปฏิบัติตามกฎหมายดังกล่าวได้อย่างไร
เนื้อหานี้จัดทำขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลเท่านั้น และไม่ควรตีความว่าเป็นคำแนะนำทางกฎหมายหรือการรับประกันว่าองค์กรจะสามารถปฏิบัติตาม PDPA ได้อย่างครบถ้วน ManageEngine ไม่ให้การรับรองหรือการรับประกันใด ๆ ไม่ว่าโดยชัดแจ้ง โดยปริยาย หรือตามที่กฎหมายกำหนด เกี่ยวกับข้อมูลที่ระบุไว้ในเนื้อหานี้ โปรดปรึกษาที่ปรึกษากฎหมายของท่านเพื่อทำความเข้าใจว่า PDPA มีผลบังคับใช้กับองค์กรของท่านอย่างไร รวมถึงขั้นตอนที่จำเป็นเพื่อให้เป็นไปตามหน้าที่และข้อกำหนดภายใต้กฎหมายดังกล่าว