กฎหมายคุ้มครองข้อมูลส่วนบุคคล สิ่งที่กิจการขนาดเล็กต้องทำจริง

ความเข้าใจที่พบบ่อยคือกฎหมายฉบับนี้ใช้กับกิจการขนาดใหญ่เท่านั้น ซึ่งไม่ถูกต้อง กิจการที่เก็บชื่อ เบอร์โทรศัพท์ หรือที่อยู่ของบุคคลใด ย่อมอยู่ในบังคับทั้งสิ้น รวมถึงข้อมูลของลูกจ้างเอง และภาพจากกล้องวงจรปิดที่ติดตั้งไว้ในสถานประกอบการ

อีกความเข้าใจหนึ่งที่คลาดเคลื่อนคือ ต้องขอความยินยอมจากทุกคนในทุกกรณี ซึ่งไม่ใช่ กฎหมายกำหนดฐานอื่นไว้ด้วย เช่น การปฏิบัติตามสัญญา การปฏิบัติตามกฎหมาย และประโยชน์โดยชอบด้วยกฎหมาย การขอความยินยอมในกรณีที่ใช้ฐานอื่นได้ กลับทำให้เสียเปรียบ เพราะความยินยอมถอนได้ทุกเมื่อ

สิ่งที่กิจการขนาดเล็กควรทำจึงมิใช่การจัดทำเอกสารจำนวนมาก แต่เป็นการทราบว่าตนเก็บข้อมูลอะไรไว้บ้าง เก็บไว้ที่ใด ใช้เพื่ออะไร และใครเข้าถึงได้

กิจการเล็กต้องเริ่มทำอะไรก่อน

• จัดทำบัญชีว่ากิจการเก็บข้อมูลของใครไว้บ้าง ได้แก่ ลูกค้า ลูกจ้าง ผู้สมัครงาน คู่ค้า และผู้มาติดต่อ พร้อมระบุว่าเก็บไว้ที่ใด
• ระบุเหตุผลที่เก็บแต่ละรายการ และตัดรายการที่เก็บไว้โดยไม่มีเหตุจำเป็นออก ข้อมูลที่ไม่ได้เก็บไว้ ย่อมไม่มีทางรั่วไหล
• จัดทำประกาศความเป็นส่วนตัวที่อธิบายตามความเป็นจริง มิใช่คัดลอกจากที่อื่นซึ่งไม่ตรงกับสิ่งที่กิจการทำจริง
• จำกัดผู้เข้าถึงเท่าที่จำเป็นแก่หน้าที่ และเปลี่ยนรหัสผ่านที่ใช้ร่วมกัน
• ทำข้อตกลงกับผู้ให้บริการภายนอกที่ประมวลผลข้อมูลแทนกิจการ เช่น ผู้รับทำบัญชี ผู้ดูแลระบบ และผู้ให้บริการคลาวด์
• ติดป้ายแจ้งบริเวณที่มีกล้องวงจรปิด และกำหนดระยะเวลาเก็บภาพ

ลูกค้าขอใช้สิทธิ ต้องทำอย่างไร

• ขอทราบว่ากิจการเก็บข้อมูลอะไรของตนไว้ และขอสำเนาได้
• ขอให้แก้ไขข้อมูลที่ไม่ถูกต้อง
• ขอให้ลบข้อมูลที่หมดความจำเป็น หรือถอนความยินยอมที่เคยให้ไว้
• คัดค้านการใช้ข้อมูลเพื่อการตลาด
• ร้องเรียนต่อหน่วยงานกำกับดูแล หากกิจการไม่ดำเนินการตามคำขอ

กิจการต้องมีช่องทางรับคำขอเหล่านี้และดำเนินการภายในกำหนดเวลา ช่องทางที่ใช้กันคืออีเมลกลางของกิจการ ซึ่งต้องมีผู้รับผิดชอบดูแลจริง

ข้อมูลรั่ว ต้องแจ้งใครภายในกี่ชั่วโมง

เหตุการณ์ที่พบบ่อยในกิจการขนาดเล็กคือ ส่งอีเมลผิดคน ทำเอกสารที่มีข้อมูลลูกค้าหาย หรือคอมพิวเตอร์ถูกเข้ารหัสเรียกค่าไถ่ กฎหมายกำหนดให้ต้องแจ้งหน่วยงานกำกับดูแลโดยไม่ชักช้า ภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุ และหากมีความเสี่ยงสูงต่อเจ้าของข้อมูล ต้องแจ้งเจ้าของข้อมูลด้วย

กำหนดเวลานี้สั้นเกินกว่าจะเริ่มศึกษาเมื่อเกิดเหตุแล้ว จึงควรกำหนดไว้ล่วงหน้าว่าเมื่อเกิดเหตุจะแจ้งใคร และใครเป็นผู้ตัดสินใจ

อะไรที่ทำเกินความจำเป็น

• ขอความยินยอมในเรื่องที่ใช้ฐานอื่นได้อยู่แล้ว เช่น การเก็บข้อมูลลูกจ้างเพื่อปฏิบัติตามสัญญาจ้างและตามกฎหมายแรงงาน
• จัดทำเอกสารจำนวนมากโดยไม่ได้เปลี่ยนวิธีทำงานจริง ซึ่งไม่ช่วยลดความเสี่ยงและไม่ช่วยในการชี้แจง
• เก็บสำเนาบัตรประจำตัวประชาชนไว้ทุกกรณีโดยไม่มีเหตุจำเป็น

ข้อมูลในบทความนี้เป็นความรู้ทั่วไป มิใช่ความเห็นทางกฎหมายสำหรับกิจการของท่าน สิ่งที่ต้องทำแตกต่างกันตามประเภทข้อมูลที่เก็บและลักษณะกิจการ โปรดแจ้งรายละเอียดเพื่อให้สำนักงานประเมินสิ่งที่จำเป็นจริง