Our Blog

องค์กรมี ISO/IEC 27001 และ 27701 แล้ว เหตุใดยังอาจไม่พร้อมต่อ PDPA Certification หลายองค์กรอาจเข้าใจว่า เมื่อมี ISO/IEC 27001 และ ISO/IEC 27701 แล้ว ก็น่าจะพร้อมสำหรับการขอ PDPA Certification โดยอัตโนมัติ เพราะทั้งสองมาตรฐานต่างให้ความสำคัญกับระบบบริหารจัดการ ความเสี่ยง มาตรการควบคุม และหลักฐานอย่างเป็นระบบ แต่ในความเป็นจริง ISO และ PDPA แม้มีส่วนที่เชื่อมโยงและทับซ้อนกัน แต่ไม่ได้มีวัตถุประสงค์แล

ทำไมฝ่าย Risk ต้องเข้าใจ Data Protection Audit ความเสี่ยงด้านข้อมูลส่วนบุคคลมักถูกมองว่าเป็นเรื่องของ DPO, Legal หรือ Compliance จนกว่าจะเกิดเหตุละเมิด ข้อร้องเรียน หรือความเสียหายที่ต้องรายงานต่อผู้บริหาร ในความเป็นจริง Privacy Risk เริ่มตั้งแต่การตัดสินใจว่าองค์กรจะเก็บข้อมูลอะไร ใช้ข้อมูลเพื่อวัตถุประสงค์ใด เชื่อมต่อกับระบบใด และเปิดเผยหรือส่งต่อข้อมูลให้ใครบ้าง หากฝ่าย Risk ประเมินความเสี่ยงโด

ทำไม Compliance ต้องเรียนรู้การตรวจประเมิน ไม่ใช่เพียงติดตามข้อกำหนด ฝ่าย Compliance มีบทบาทสำคัญในการแปลงข้อกำหนดเป็นนโยบาย มาตรการ และแผนติดตาม พร้อมประสานการมอบหมายงานและติดตามว่าแต่ละเรื่อง “ดำเนินการแล้ว” หรือไม่ วิธีนี้ช่วยเห็นความคืบหน้า แต่ยังตอบไม่ได้ว่า สิ่งที่รายงานว่าทำแล้วถูกนำไปใช้จริงและมีหลักฐานเพียงพอ รวมถึงโอกาสในการปรับปรุงกิจกรรมเพื่อลดความเสี่ยง และเพิ่มประสิทธิภาพ ตามบริบทของ

Internal Audit ต้องรู้อะไรบ้าง จึงจะตรวจ PDPA ได้อย่างถูกต้องตามเกณฑ์ Internal Audit มีจุดแข็งด้านการประเมินความเสี่ยง การสุ่มตัวอย่าง การทดสอบ Control และการจัดทำข้อค้นพบ แต่เมื่อเข้าสู่การตรวจประเมินด้าน PDPA วิธีการตรวจที่ดีเพียงอย่างเดียวอาจยังไม่เพียงพอ หากผู้ตรวจไม่เข้าใจฐานกฎหมาย สิทธิของเจ้าของข้อมูลส่วนบุคคล บทบาทของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล รวมถึงความแตกต่างระ

หลักสูตร DPAC เรียนแล้วทำอะไรได้จริง? คุ้มค่ากับองค์กรอย่างไร เมื่อองค์กรพิจารณาส่งบุคลากรไปอบรม คำถามมักเริ่มจากระยะเวลา ค่าใช้จ่าย และใบรับรอง แต่คำถามที่สำคัญกว่าคือ เมื่อกลับมาทำงานแล้ว ผู้เรียนสามารถนำความรู้ไปทำอะไรได้จริง และความสามารถนั้นช่วยให้องค์กรลดความเสี่ยงด้าน PDPA ได้อย่างไร ดังนั้น คุณค่าของ หลักสูตร DPAC (Data Protection Auditor Certification) จึงไม่ควรวัดจากจำนวนชั่วโมงเรียนหรือ