ขั้นตอนที่ 1 : แบ่งเลเวลข้อมูล โดยข้อมูลส่วนบุคคลจะมีระดับที่ต่างกัน แบ่งเป็น ข้อมูลที่สามารถยืนยันตัวตนบุคคลนั้นโดยทางตรง อาทิ ชื่อ-สกุล ที่อยู่ เบอร์โทรศัพท์ อีเมล เลขบัตรประชาชน/หนังสือเดินทาง ทะเบียนรถ IP address ข้อมูล Biometric เช่น ใบหน้า ภาพถ่าย วิดีโอ ลายนิ้วมือ และข้อมูลพันธุกรรม เป็นต้น หรือสิ่งใดที่สามารถระบุตัวตนบุคคลนั้นได้อย่างชัดเจน 

อีกส่วนคือ ข้อมูลที่สามารถติดตาม/เชื่อมโยง เพื่อระบุตัวตนทางอ้อม อาทิ วันเกิด ตำแหน่งที่อยู่อาศัย ตำแหน่งงาน อาชีพ เอกลักษณ์เฉพาะบุคคล ความพิการ ซึ่งข้อมูลในส่วนนี้ หากเป็นข้อมูลเดี่ยวๆ อาจจะไม่สามารถระบุตัวตนบุคคลนั้นได้ แต่หากเกิดการเชื่อมโยงก็ไม่ยากที่จะสามารถนำมาระบุตัวบุคคลนั้นได้ 

ที่สำคัญกฎหมาย PDPA ยังระบุถึงข้อมูลอ่อนไหว อาทิ ความเห็นทางการเมือง มุมมองด้านศาสนา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ (ใบหน้า, ลายนิ้วมือ) ซึ่งข้อมูลแต่ละประเภทควรมีการแบ่งระดับการจัดเก็บที่ วัตถุประสงค์การใช้ และเวลาจัดเก็บและทำลายอย่างเหมาะสม

ขั้นตอนที่ 2 : หลังการจัดแบ่งอันดับของข้อมูล ขั้นต่อมาก็คือการ  ‘แยกแยะ’ ธุรกิจมีกิจกรรมใดบ้างที่เสี่ยงต่อการละเมิดข้อมูล โดยอ้างอิงจาก ‘กฎหมาย’  คือ ต้องมีการจัดเก็บและประมวลผลข้อมูลบุคคล ทั้งทางตรง ทางอ้อม การได้รับมอบหมายให้เป็นผู้ประมวลผลข้อมูลที่จะส่งผลกระทบคนจำนวนมาก หรือมีการประมวลผลข้อมูลอ่อนไหว (Sensitive Data)  อาทิ การตรวจสอบประวัติอาชญากรรม ซึ่งพอจะสรุปได้ว่า หากยังไม่แน่ใจว่าต้องทำ DPIA หรือไม่ ให้มองที่เหตุปัจจัยที่เคยเกิดขึ้นมีความเสี่ยงมากแค่ไหน และอาจจะต้องรวมไปถึงความผิดพลาดที่เกิดจากอุปกรณ์และเทคโนโลยีร่วมด้วย

ขั้นตอนที่ 3 : ประเมินเหตุ/ปัจจัยและผลกระทบ การประเมินเหตุ ก็มีทฤษฎีเดียวกับคาด ‘คาดคะเน’ แต่จะไม่เลื่อนลอยเพราะต้องมองปัจจัย อาทิ คาดว่ามีกิจกรรมที่มีความเสี่ยงสูงต่อการละเมิดข้อมูล จากปัจจัยด้านความผิดพลาดจากบุคลากรที่ขาดความชำนาญ หรือ อุปกรณ์คอมพิวเตอร์ที่ล้าสมัย หรือขาดการบำรุงรักษาเป็นเวลานาน ขณะเดียวกันธุรกิจดังกล่าวเป็นธุรกิจที่มีการเก็บ ใช้ และประมวลผลข้อมูลลูกค้าทุกวัน

หากมองในแง่ผลกระทบ ปัจจัยดังกล่าวก็มีแนวโน้มความเสี่ยงสูงที่จะเกิดการรั่วไหลหรือละเมิดข้อมูลส่วนบุคคล จึง ‘ควรอย่างยิ่ง’ ต้องมีการทำแบบประเมิน DPIA แต่หากประเมิน ความเสี่ยงและผลกระทบอยู่ในขั้นกลาง หรือขั้นต่ำ ก็ขึ้นอยู่กับดุลพินิจของเจ้าของธุรกิจ

อย่างไรก็ตาม การทำแบบประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล หรือ DPIA ยังสามารถทำแบบเฉพาะเจาะจงเป็นรายกรณี เช่น แบบประเมินความเสี่ยงจากการทำการตลาดโดยใช้ข้อมูลลูกค้าอายุตั้งแต่ 18-40 ปี  หรือจะจัดทำเป็นภาพรวมเพื่อให้เห็นแนวโน้มคร่าวๆ ก็ขึ้นอยู่กับความต้องการของผู้จัดทำ หรือจะทำทั้งสองแบบก็ได้ ไม่ผิดกติกา

ทั้งนี้ การทำแบบประเมิน DPIA ยังต้องดูที่ บริบทในการใช้ข้อมูล (Context of Use) หากมีการดำเนินการที่ชอบด้วยกฎหมาย อาทิ มีการเก็บรวบรวมข้อมูลเพื่อใช้ในการวิเคราะห์เชิงสถิติเพื่อประโยชน์ตามกฎหมาย เพื่อเพื่อประโยชน์ต่อสาธารณะ ตลอดจนมีการดำเนินการที่โปร่งใส และเป็นธรรม กิจกรรมดังกล่าวก็มีกฎหมายคุ้มครอง และอาจจะประเมินว่าเป็นความเสี่ยงต่ำ แต่สิ่งที่ควรรู้ คือ หากมีการละเมิดข้อมูลส่วนบุคคลตามกรอบของกฎหมาย PDPA ก็นำไปสู่การฟ้องร้องดำเนินคดีเช่นกัน

ดังนั้น คำแนะนำคือ แบบประเมิน DPIA ทำไว้ก็ไม่เสียหาย!