ข่าวสาร/บทความ

   ในช่วงหลายทศวรรษที่ผ่านมาข้อมูลถูกจัดให้เป็นทรัพย์สินที่สำคัญขององค์กร ปัจจุบันองค์กรต่างๆ นั้นต่างพึ่งพาข้อมูลในการเพิ่มประสิทธิภาพในการตัดสินใจและดำเนินกิจการขององค์กรอย่างมีประสิทธิผล และเป็นกลไกในการขับเคลื่อนการดำเนินงานขององค์กรเพื่อนำไปสู่เป้าหมายสูงสุดขององค์กร ไม่ว่าจะเป็นการใช้ข้อมูลเพื่อเข้าใจลูกค้า สร้างสรรค์สินค้าและบริการใหม่ๆ รวมไปถึงปรับปรุงการดำเนินการขององค์กร ทั้งในด้านการบริหารจัดการงบประมาณ และการควบคุมความเสี่ยงต่างๆ แม้กระทั่งหน่วยงานของรัฐ ก็ต้องการใช้ข้อมูลเพื่อเป็นแนวทางในการปฏิบัติงาน วางแผน กำหนดกลยุทธ์ขององค์กร การที่องค์กรต่างๆ พึ่งพาข้อมูลเพิ่มขึ้นอย่างต่อเนื่อง มูลค่าของข้อมูลจะยิ่งเพิ่มขึ้นเป็นทวีคูณขึ้นอย่างเด่นชัด โดยเฉพาะข้อมูลส่วนบุคคล ซึ่งปัจจุบันประเทศไทยได้บัญญัติกฎหมายในการคุ้มครองข้อมูลส่วนบุคคลเป็นการเฉพาะ ด้วยเหตุจากการละเมิดสิทธิความเป็นส่วนตัวของข้อมูลส่วนบุคคลที่เกิดขึ้นเป็นจำนวนมาก จนสร้างความเสียหายแก่เจ้าของข้อมูลส่วนบุคคล (Data Subject) บทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลดังกล่าว จึงถูกยกร่างขึ้นมาเพื่อกำหนดหน้าที่ มาตรการต่างๆ ในการคุ้มครองข้อมูลส่วนบุคคล และหนึ่งในบทบาทหน้าที่ที่สำคัญนั้นคือหน้าที่ในการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) *ที่มา https://pdpathailand.com/knowledge-pdpa/data-breach-letter/ องค์กรมีหน้าที่ตามกฎหมายอย่างไรในการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล? มีผลกระทบอย่างไรหากองค์กรฝ่าฝืน? พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล มาตรา 37 (4) ได้กำหนดหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ที่เป็นบุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ดังนี้ (1) แจ้งเหตุละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล แก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้าภายใน 72 ชั่วโมง นับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ (2) แจ้งเหตุละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล แก่เจ้าของข้อมูลส่วนบุคคลทราบ พร้อมกับแนวทางการเยียวยา โดยไม่ชักช้าด้วย อนึ่ง หากองค์กร ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ฝ่าฝืนหรือไม่ปฏิบัติตามหน้าที่ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ตามบทบัญญัติมาตรา 37 (4) ดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) อาจต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท นอกจากนี้ องค์กรในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่ละเลยหน้าที่ในการบริหารจัดการเหตุละเมิดข้อมูลส่วนบุคคลและการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลดังกล่าวนั้น อาจนำมาสู่การสูญเสียความน่าเชื่อถือขององค์กร ส่งผลให้สูญเสียโอกาสในการดำเนินธุรกิจ โดยเฉพาะธุรกิจที่เกี่ยวข้องกับข้อมูลส่วนบุคคล ซึ่งนำไปสู่การสูญเสียชื่อเสียง และค่าใช้จ่ายต่าง ๆ อันส่งผลกระทบในการดำเนินกิจการขององค์กรต่อไป ทั้งนี้ ในการดำเนินการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ตามบทบัญญัติดังกล่าว สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้ออกประกาศเกี่ยวกับหลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ซึ่งกล่าวถึงขั้นตอนการดำเนินการของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)

ในช่วงหลายปีที่ผ่านมานี้ สถานการณ์โควิด ได้ส่งผลกระทบต่ออุตสาหกรรมในทุกภาคส่วนของประเทศไทย และเศรษฐกิจทั่วโลก โดยเฉพาะอย่างยิ่งธุรกิจการท่องเที่ยว อันจะเห็นได้จากสถิติจำนวนนักท่องเที่ยวที่ลดลงซึ่งธุรกิจท่องเที่ยวนั้นถือว่าเป็นอุตสาหกรรมสำคัญหลักที่สร้างรายได้ให้กับประเทศไทย *ที่มา https://www.ttbbank.com/th/newsroom/detail/travel-thailand-after-unlocking ในปัจจุบันอุตสาหกรรมการท่องเที่ยวหลังสถานการณ์โควิดมีแนวโน้มที่ดีขึ้นอย่างต่อเนื่องซึ่งหมายความว่าจำนวนคนที่เข้ามาท่องเที่ยวก็จะมีมากขึ้นจากต่างประเทศ และในขณะเดียวกันเมื่อไม่นานมานี้ กฎหมายคุ้มครองข้อมูล (Personal Data Protection Act : PDPA)ได้มีการประกาศใช้เต็มรูปแบบแล้วเมื่อวันที่ 1 มิถุนายน 2565 รวมถึงกฎหมายฉบับรองที่ทยอยประกาศออกมาอย่างต่อเนื่อง ซึ่งทำให้ PDPA ได้เข้าไปมีบทบาทกับอุตสาหกรรมการท่องเที่ยวอย่างมาก เนื่องจากกิจกรรมในอุตสาหกรรมมีการเก็บข้อมูลของบุคคลจำนวนมาก ไม่ว่าจะเป็นข้อมูลที่ได้มีจากการลงทะเบียน หรือการจองที่พัก การจองทัวร์ การจัดนิทรรศการ เป็นต้น ภาคการท่องเที่ยวส่วนที่เกี่ยวข้องกับธุรกิจการโรงแรมและที่พักนั้น การที่เราจะสามารถปฏิบัติตาม PDPA ได้ครอบคลุมนั้น เราต้องเริ่มพิจารณาถึงกิจกรรมที่เกิดขึ้นก่อนว่ามีอะไรบ้าง เพื่อที่เราจะได้ทราบว่ามีการประมวลผลข้อมูลส่วนบุคคลอย่างไรบ้าง โดยสามารถดูได้จากวงจรชีวิตของข้อมูล (Data life cycle) ของธุรกิจโรงแรมและที่พัก เริ่มตั้งแต่ การเก็บรวบรวม เก็บรักษา การใช้ การเปิดเผย ตลอดจนไปถึงการทำลายข้อมูล โดยมีขั้นตอนรายละเอียดดังต่อไปนี้ ขั้นตอนลูกค้าค้นหาที่พัก: เปรียบเทียบราคา และลูกค้าสนใจและตัดสินใจจองห้องพัก ซึ่งมีทั้งการจองห้องพักตรงกับโรงแรม ทางเว็บไซต์ โทรศัพท์ อีเมล หรือแพลตฟอร์มการสื่อสารอื่น ๆ เช่น Line OA หรือ Facebook Messenger หรืออาจจะตัดสินใจไปจองผ่าน OTA ขั้นตอนการเข้าพัก: ซึ่งจะผ่านขั้นตอนการเช็คอิน ลูกค้ากรอกแบบฟอร์มต่าง ๆ โดยเฉพาะ Registration Form ที่โรงแรมต้องส่งรายงานและเอกสารต่าง ๆ ให้หน่วยงานราชการที่เกี่ยวข้อง นอกจากนั้นโรงแรมอาจมีแบบฟอร์มอื่น ๆ ที่ลูกค้าอาจต้องกรอก หรือลงนามยินยอมรับทราบในนโยบายต่าง ๆ ที่โรงแรมใช้ ขั้นตอนระหว่างการเข้าพัก: ช่วงเวลาที่ลูกค้าใช้บริการต่าง ๆ ภายในโรงแรม ทั้งห้องพัก ร้านอาหาร สระว่ายน้ำ ห้องออกกำลังกาย

ธุรกิจที่เปิดเผยขอมูลลูกค้าแก่บุคคลที่สามต้องทำอย่างไร? เพื่อไม่ให้ละเมิดกฎหมาย PDPA สิ่งที่ผู้ประกอบการธุรกิจควรรู้ และปรับเปลี่ยนเพื่อให้กิจกรรมของธุรกิจสอดคล้องกับกฎหมาย และข้อควรระวังเพื่อป้องกันการละเมิดข้อมูลส่วนบุคคลโดยไม่ตั้งใจ หากธุรกิจคุณมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) จะสามารถนำข้อมูลส่วนบุคคลของลูกค้า ส่งต่อให้บุคคลคลหรือนิติบุคลอื่นไปใช้เพื่อกิจกรรมทางธุรกิจได้หรือไม่? คำเฉลยของคำถามนี้ค่อนข้างยาว..แต่หากจะให้ตอบแบบสรุปเลยก็คือ ‘ได้’ แต่ต้องอยู่ภายใต้เงื่อนที่กฎหมาย PDPA หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 กำหนดไว้ โดยในด้านธุรกิจสามารถแบ่งเป็น 2 กรณี ดังนี้         กรณีที่ 1. ผู้ควบคุมข้อมูลฯ ซึ่งมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยในกรณีนี้เราหมายถึง ‘ข้อมูลลูกค้า’ และได้ยินยอมให้ดำเนินการได้ตามวัตถุประสงค์ที่ระบุไว้ในเอกสารความยินยอม (Consent) อย่างชัดเจน โดยมีการเปิดเผย หรือส่งต่อข้อมูลให้กับคู่ค้าหรือคู่สัญญาที่ได้รับการแต่งตั้งเป็น ‘ผู้ประมวลผลข้อมูลส่วนบุคคล’ (Data Processer) ดำเนินการประมวลผลเพื่อกิจกรรมด้านการตลาด หรือกิจกรรมของธุรกิจที่มีการระบุไว้ในวัตถุประสงค์ของการเก็บรวบรวมใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล และได้แจ้งไว้ใน Privacy Notice (ประกาศความเป็นส่วนตัว) การดำเนินการลักษณะนี้จึงสามารถทำได้โดยชอบภายใต้ข้อกำหนดของกฎหมาย          กรณีที่ 2. ผู้ควบคุมข้อมูลฯ นำข้อมูลส่วนบุคคลของลูกค้าซึ่งได้มีการเก็บรวบรวมไปเปิดเผยต่อ ‘บุคคลที่สาม’ (Third-party) ที่ไม่ใช่ผู้ประมวลผลข้อมูลฯ เพื่อให้ดำเนินการด้านกิจกรรมทางธุรกิจในรูปแบบต่างๆ ซึ่งหากเป็นการดำเนินการตามวัตถุประสงค์เดิมที่มีการแจ้ง และขอความยินยอมจากลูกค้าแล้ว ก็สามารถดำเนินการได้ตามกฎหมายเช่นกัน แต่ควรที่จะต้องแจ้งรายละเอียดไว้ใน Privacy Notice ด้วยว่า บริษัทฯ ได้มีการแบ่งปันข้อมูลแก่บุคคลที่สาม เช่น ได้เปิดเผยข้อมูลแก่ที่ปรึกษาด้านการวิเคราะห์ตลาด (สามารถระบุชื่อ หรืออาจไม่ระบุชื่อเนื่องจากเป็นความลับทางธุรกิจ) เพื่อดำเนินการตามวัตถุประสงค์ของธุรกิจ ทั้งนี้ หากมีการเปิดเผยข้อมูลส่วนบุคคลของลูกค้าเพื่อดำเนินการที่ต่างจากวัตถุประสงค์เดิมที่แจ้งและขอความยินยอมไว้ก่อนนี้ ผู้ควบคุมข้อมูลฯ จะต้องแจ้งและขอความยินยอมใหม่แก่เจ้าของข้อมูลก่อนดำเนินการทุกครั้ง หากต้องเปิดเผยข้อมูลส่วนบุคคลแก่ บุคคลที่สามในต่างประเทศ ทำอย่างไร? กรณีที่ผู้ควบคุมข้อมูลฯ ส่งหรือโอนข้อมูลลูกค้า ให้แก่บุคคลที่สามซึ่งอยู่ใน ‘ต่างประเทศ’ กำหมายกำหนดว่า ประเทศปลายทางต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ หรือต้องเป็นไปตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด  เว้นแต่

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA (Personal Data Protection Act) เป็นกฎหมายใหม่ที่ออกมาเพื่อแก้ไขปัญหาการถูกล่วงละเมิดข้อมูลส่วนบุคคลที่เพิ่มมากขึ้นเรื่อย ๆ ในปัจจุบัน ด้วยเหตุนี้องค์กร หรือ หน่วยงานต่าง ๆ จำเป็นต้องให้ความสำคัญกับเรื่องของการจัดเก็บ เเละประมวลผลข้อมูลส่วนบุคคลขององค์กรให้ถูกต้องตามกฎหมาย PDPA เพื่อสร้างความปลอดภัยและเป็นส่วนตัวให้แก่เจ้าของข้อมูล เพราะหากไม่ดำเนินการตามหลักของ PDPA คุณอาจต้องรับโทษร้ายแรงทั้งทางแพ่ง อาญา และปกครอง ในยุคที่อินเทอร์เน็ตเริ่มเข้ามามีบทบาทมากขึ้น ‘Data’ หรือ ‘ข้อมูล’ ของลูกค้าจึงเป็นเรื่องที่สำคัญสำหรับธุรกิจในปัจจุบันอย่างมาก เนื่องจากข้อมูลของลูกค้ามีส่วนสำคัญอย่างมากในการขับเคลื่อนธุรกิจให้เติบโต ง่ายต่อการวางเเผนการดำเนินการของธุรกิจ ยิ่งธุรกิจของคุณมีข้อมูลมากเท่าไหร่ ยิ่งจะมีความได้เปรียบคู่เเข่งมากเท่านั้น โดยเฉพาะอย่างยิ่ง ธุรกิจขายตรง (Direct Sales) หรือที่ได้ยินบ่อย ๆ ว่า ธุรกิจเครือข่าย (MLM/Network Marketing) เป็นธุรกิจที่นอกจากขายสินค้าหรือบริการแล้ว ยังมีการชักชวนให้ลูกค้ามีส่วนร่วมในธุรกิจโดยการเป็นตัวแทนจำหน่ายที่ถือว่าได้รับความนิยมอย่างมากในยุคปัจจุบัน เนื่องจากมีระบบการกระจายสินค้าจากผู้ผลิตไปยังผู้บริโภคโดยตรง ซึ่งการตลาดประเภทนี้จะทำให้ทุกคน ไม่ว่าจะเป็นใคร อายุเท่าไหร่ การศึกษาเป็นอย่างไร ก็สามารถมาเข้าร่วมทำธุรกิจได้  อย่างไรก็ดีธุรกิจขายตรง (Direct Sales) หรือ ธุรกิจเครือข่าย (MLM/Network Marketing) มักถูกเข้าใจผิดและมีภาพลักษณ์ที่ไม่ดี เนื่องจากกลุ่มแชร์ลูกโซ่ที่ผิดกฎหมายที่พยายามสร้างภาพลักษณ์ให้เหมือนธุรกิจขายตรงเเละธุรกิจเครือข่าย และมักจะมีการอวดอ้างถึงรายได้จำนวนมากโดยไม่ต้องทำงานประจำ ซึ่งเหมือนกับการขายฝันนั่นเอง โดยผู้มีส่วนร่วมในการทำ ธุรกิจขายตรง หรือธุรกิจเครือข่าย นั้นจะมีกิจกรรมในการขายสินค้าหรือบริการ แนะนำสินค้าหรือบริการให้ผู้บริโภค รวมถึงชักชวนผู้บริโภคมาเป็นผู้จำหน่ายสินค้าหรือบริการ หรือหาตัวแทนจำหน่าย แล้วจะได้ผลตอบแทนจากกิจกรรมเหล่านั้น ซึ่งเเน่นอนว่าการทำกิจกรรมในลักษณะนี้ต้องมีการรวบรวมข้อมูลส่วนบุคคลจากลูกค้าหรือตัวเเทนจำหน่ายในเครือตัวเอง /*! elementor – v3.6.6 – 08-06-2022 */ .elementor-heading-title{padding:0;margin:0;line-height:1}.elementor-widget-heading .elementor-heading-title[class*=elementor-size-]>a{color:inherit;font-size:inherit;line-height:inherit}.elementor-widget-heading .elementor-heading-title.elementor-size-small{font-size:15px}.elementor-widget-heading .elementor-heading-title.elementor-size-medium{font-size:19px}.elementor-widget-heading .elementor-heading-title.elementor-size-large{font-size:29px}.elementor-widget-heading .elementor-heading-title.elementor-size-xl{font-size:39px}.elementor-widget-heading .elementor-heading-title.elementor-size-xxl{font-size:59px} ข้อมูลส่วนบุคคลอะไรบ้างที่ ธุรกิจขายตรง (Direct

หลัง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล หรือกฎหมาย PDPA ประกาศใช้อย่างเป็นทางการเมื่อวันที่ 1 มิถุนายน 2565 ที่ผ่านมา ทำให้ธุรกิจองค์กรน้อยใหญ่เกิดการระส่ำระสายกันพอสมควร เพราะต้องมีการปรับเปลี่ยนกระบวนการ การไหลของข้อมูลส่วนบุคคลภายในองค์กร รวมถึงธุรกิจ Logistics  ที่มีการรวมรวมข้อมูลส่วนบุคคลจำนวนมาก ไม่ว่าจะเป็น Logistics ประเภท โลจิสติกส์เพื่อการขนส่งผู้โดยสาร( Passenger Logistics) , โลจิสติกส์เพื่อการผลิต (Manufacturing Logistics) หรือ โลจิสติกส์เพื่อการกระจายสินค้า (Distribution Logistics) กิจกรรมที่สำคัญของธุรกิจ Logistics  การจัดการการรับหรือส่งสินค้า และ การบริการลูกค้า การขนถ่ายวัสดุภายในโรงงาน หรือ ในคลังสินค้า การขนส่งสินค้าระหว่างสถานที่ต่างๆ ทั้งในและต่างประเทศ การจัดการคลังสินค้า ไม่ว่าจะเป็นการวางผังสินค้าหรือ สถานที่ ที่จะตั้งคลังสินค้า จัดระบบในการบริหารสินค้าคงคลัง เพื่อให้เกิดการหมุนเวียนหรือกระจายสินค้าได้อย่างมีประสิทธิภาพ กำหนดแหล่งที่ตั้งในการกระจายสินค้าเพื่อเกิดการกระจายสินค้าอย่างทั่วถึง ควบคุมการผลิต ซึ่งในทุกกิจกรรมของโลจิสติกส์จะมีการเก็บรวบรวม ใช้ เปิดเผย ข้อมูลส่วนบุคคลไม่ว่าจะเป็น ลูกค้า คู่ค้า หรือแม้กระทั่งข้อมูลส่วนบุคคลของพนักงานในองค์กร /*! elementor – v3.6.6 – 08-06-2022 */ .elementor-widget-image{text-align:center}.elementor-widget-image a{display:inline-block}.elementor-widget-image a img[src$=”.svg”]{width:48px}.elementor-widget-image img{vertical-align:middle;display:inline-block} *ข้อมูลส่วนบุคคลใดก็ตามที่ธุรกิจขนส่ง (Logistics) เก็บไว้ได้รับข้อมูลนั้นมาจาก username และ password ที่ลูกค้าได้รับมาดำเนินการเข้าสู่ระบบ ธุรกิจ Logistics ทำหรือยัง ? 9 วิธีคุ้มครองข้อมูลส่วนบุคคลอย่างปลอดภัยตามแบบฉบับของ PDPA ตามที่ระบุในข้างต้นว่า PDPA มีบทบัญญัติให้องค์กรต่างๆ จะต้องมีมาตรการในการคุ้มครองข้อมูลส่วนบุคคลที่มีการจัดเก็บอย่างเหมาะสมกับความเสี่ยง ด้วยเหตุนี้ ผู้ควบคุมข้อมูลฯ และผู้ประมวลผลข้อมูลฯ จึงต้องมีการจัดการที่เหมาะสมตามความเสี่ยงขององค์กร