ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ตามมาตรา 33 ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ซึ่งมีผลบังคับใช้วันที่ 11 พฤศจิกายน 2567 ส่งผลกระทบต่อผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ในหลาย ๆ สถานการณ์ 

หลักพิจารณาเพื่อปรับปรุงการดำเนินงานที่เกี่ยวข้องกับการลบทำลาย หรือทำให้เป็นข้อมูลนิรนาม หรือทำเป็นข้อมูลแฝงในสถานการณ์ต่าง ๆ มีดังนี้ 

1. ความจำเป็นในการระบุตัวบุคคล องค์กรต้องพิจารณาว่าวัตถุประสงค์นั้นจำเป็นต้องระบุตัวบุคคลหรือไม่ และสามารถใช้ข้อมูลแฝงหรือข้อมูลนิรนามแทนได้หรือไม่

2. ความเสี่ยงต่อสิทธิและเสรีภาพ องค์กรต้องประเมินระดับความอ่อนไหวของข้อมูล และโอกาสในการรั่วไหลหรือการใช้ข้อมูลในทางที่ผิด

3. ภาระในการดำเนินการ การดำเนินการเรื่องนี้ขององค์กรจะต้องคำนึงถึงต้นทุนและทรัพยากรที่ต้องใช้ ควบคู่กับผลกระทบต่อการดำเนินงาน

4. การปฏิบัติตามกฎหมายอื่น องค์กรต้องพิจารณาข้อกำหนดเรื่องการเก็บ ประมวลผล ใช้ รักษาข้อมูล การแลกเปลี่ยนข้อมูล และการโอนข้อมูล ตลอดจนสิทธิของเจ้าของข้อมูลส่วนบุคคลที่มีการระบุในกฎหมายอื่นให้ครอบคลุม

สถานการณ์ที่องค์กรจะได้รับผลกระทบจากประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 สามารถแบ่งได้เป็น 9 สถานการณ์ซึ่งองค์กรสามารถจัดการได้ ดังนี้

สถานการณ์ที่ 1 เมื่อมีการเก็บข้อมูลส่วนบุคคลครั้งแรก

1. ควรทำให้เป็นข้อมูลแฝงตั้งแต่แรก สำหรับข้อมูลที่

• • ต้องใช้งานต่อเนื่อง

  • ต้องสามารถเชื่อมโยงกลับได้

  • มีความเสี่ยงต่ำ

2. ควรทำเป็นข้อมูลนิรนามตั้งแต่แรก สำหรับข้อมูลที่

• • จะใช้เพื่อการวิเคราะห์หรือวิจัย

  • ไม่จำเป็นต้องระบุตัวบุคคล

  • มีความเสี่ยงสูง

3. ควรเก็บเป็นข้อมูลส่วนบุคคลและรอลบเมื่อหมดวัตถุประสงค์ เมื่อ

• • จำเป็นต้องระบุตัวบุคคลชัดเจน

  • มีข้อกำหนดทางกฎหมายให้เก็บ

  • มีระบบรักษาความปลอดภัยที่เข้มงวด

  • มีระยะเวลาที่กำหนดในวัตถุประสงค์ที่ชัดเจน

สถานการณ์ที่ 2 เมื่อองค์กรเก็บและประมวลผลข้อมูลส่วนบุคคลอย่างต่อเนื่อง

1. ควรย้อนกลับไปทำเป็นข้อมูลแฝงตั้งแต่แรก สำหรับ

• • ข้อมูลที่ใช้ในระบบปฏิบัติการ

  • ข้อมูลที่ต้องเชื่อมโยงระหว่างระบบ

  • ข้อมูลที่ต้องการความต่อเนื่อง

2. ควรย้อนกลับไปทำการแยกส่วนการจัดเก็บ โดย

• • เก็บข้อมูลระบุตัวตนแยกจากข้อมูลทั่วไป

  • ใช้ระบบเชื่อมโยงที่ปลอดภัย

  • กำหนดสิทธิการเข้าถึงที่เข้มงวด

สถานการณ์ที่ 3 การเปลี่ยนแปลงวัตถุประสงค์ 

1. ควรทำเป็นข้อมูลนิรนามสำหรับวัตถุประสงค์ใหม่ เมื่อ

• • ไม่จำเป็นต้องเชื่อมโยงกับข้อมูลเดิม

  • ใช้เพื่อการวิเคราะห์หรือวิจัย

  • มีความเสี่ยงในการใช้ข้อมูล

2. ควรทำเป็นข้อมูลแฝง (แจ้งวัตถุประสงค์ใหม่หรือขอความยินยอมใหม่) เมื่อ

• • ต้องการเชื่อมโยงกับข้อมูลเดิม

  • มีความจำเป็นในการระบุตัวบุคคล

  • สามารถติดต่อเจ้าของข้อมูลได้

3. ควรเก็บเป็นข้อมูลส่วนบุคคลและรอลบเมื่อหมดวัตถุประสงค์ (แจ้งวัตถุประสงค์ใหม่หรือขอความยินยอมใหม่) เมื่อ

• • ต้องการเชื่อมโยงกับข้อมูลเดิม

  • จำเป็นต้องระบุตัวบุคคลชัดเจน

  • มีข้อกำหนดทางกฎหมายให้เก็บ

  • มีระบบรักษาความปลอดภัยที่เข้มงวด

  • มีระยะเวลาที่กำหนดในวัตถุประสงค์ที่ชัดเจน

  • สามารถติดต่อเจ้าของข้อมูลได้

สถานการณ์ที่ 4 การจัดการข้อมูลเดิมและวัตถุประสงค์เดิม แต่ยังไม่หมดวัตถุประสงค์

1. ควรทำการประเมินความจำเป็น โดย

• • ตรวจสอบวัตถุประสงค์ที่ยังใช้อยู่

  • ประเมินความเสี่ยงของข้อมูล

  • พิจารณาภาระในการดำเนินการ

2. ควรทำเป็นข้อมูลแฝงสำหรับข้อมูลที่ยังใช้งาน โดย

• • เริ่มจากข้อมูลที่มีความเสี่ยงสูง

  • ทยอยดำเนินการตามความเหมาะสม

  • รักษาความต่อเนื่องของการใช้งาน

สถานการณ์ที่ 5 การควบรวมกิจการหรือการโอนธุรกิจ

การซื้อขายหรือควบรวมกิจการ การโอนฐานข้อมูลลูกค้า การรวมระบบข้อมูลระหว่างองค์กร

1. การโอนถ่ายความยินยอม

• • ตรวจสอบความยินยอมเดิม

  • พิจารณาความจำเป็นในการขอความยินยอมใหม่

  • ประเมินผลกระทบต่อสิทธิของเจ้าของข้อมูล

2. การจัดการข้อมูลซ้ำซ้อน

• • รวมข้อมูลจากหลายแหล่ง

  • กำจัดข้อมูลที่ซ้ำซ้อน

  • รักษาคุณภาพข้อมูล

3. แนวทางการตัดสินใจ

• • ทำข้อมูลเป็นแบบนิรนามก่อนการควบรวม

  • ใช้ข้อมูลแฝงระหว่างการรวมระบบ

  • ลบข้อมูลที่ไม่จำเป็นหลังการควบรวม

สถานการณ์ที่ 6 การเปลี่ยนแปลงทางเทคโนโลยี

การย้ายระบบขึ้น Cloud การเปลี่ยนระบบหรือแพลตฟอร์ม หรือการปรับปรุงเทคโนโลยีการจัดเก็บข้อมูล

1. การรักษาความปลอดภัยระหว่างการเปลี่ยนผ่าน

• • เข้ารหัสข้อมูลระหว่างการโอนย้าย

  • ตรวจสอบความสมบูรณ์ของข้อมูล

  • จัดการสิทธิการเข้าถึง

2. การจัดการข้อมูลในระบบเก่า

• • ทำลายข้อมูลในระบบเดิม

  • เก็บข้อมูลสำรอง

  • ตรวจสอบการลบที่สมบูรณ์

3. แนวทางการตัดสินใจ

• • ทำข้อมูลเป็นแบบนิรนามก่อนการย้ายระบบ

  • ใช้ข้อมูลแฝงในระบบใหม่

  • ลบข้อมูลที่ไม่จำเป็นจากระบบเก่า

สถานการณ์ที่ 7 การละเมิดข้อมูลหรือภัยคุกคาม

การโจมตีทางไซเบอร์ การรั่วไหลของข้อมูล หรือการใช้ข้อมูลโดยไม่ได้รับอนุญาต

1. การตอบสนองฉุกเฉิน

• • ระงับการรั่วไหล

  • ประเมินผลกระทบ

  • แจ้งเตือนผู้เกี่ยวข้อง

2. การป้องกันความเสียหายเพิ่มเติม

• • ทำข้อมูลเป็นแบบนิรนามฉุกเฉิน

  • ระงับการเข้าถึงข้อมูล

  • เปลี่ยนระบบการเข้ารหัส

3. แนวทางการตัดสินใจ

• • ทำข้อมูลที่รั่วไหลให้เป็นแบบนิรนามทันที

  • ใช้ข้อมูลแฝงสำหรับข้อมูลที่ยังต้องใช้งาน

  • ลบข้อมูลที่ไม่จำเป็นทั้งหมด

สถานการณ์ที่ 8 การวิจัยและพัฒนา

การใช้ข้อมูลเพื่อวิจัยผลิตภัณฑ์ การพัฒนาบริการใหม่ การวิเคราะห์พฤติกรรมลูกค้า

1. การใช้ข้อมูลเพื่อการวิจัย

• • ความจำเป็นในการระบุตัวบุคคล

  • ขอบเขตการใช้ข้อมูล

  • ป้องกันการนำไปใช้ผิดวัตถุประสงค์

2. การแบ่งปันข้อมูลกับนักวิจัย

• • ทำข้อมูลนิรนามก่อนแบ่งปัน

  • ควบคุมการใช้ข้อมูล

  • ติดตามผลการใช้งาน

3. แนวทางการตัดสินใจ

• • ทำข้อมูลเป็นแบบนิรนามตั้งแต่เริ่มต้น

  • ใช้ข้อมูลแฝงเมื่อจำเป็นต้องติดตามผล

  • ลบข้อมูลเมื่อเสร็จสิ้นการวิจัย

สถานการณ์ที่ 9 การเปลี่ยนแปลงข้อกำหนดทางกฎหมาย 

การเปลี่ยนแปลงกฎหมาย PDPA การออกประกาศหรือแนวปฏิบัติใหม่ การเปลี่ยนแปลงมาตรฐานอุตสาหกรรม

1. การปรับตัวตามข้อกำหนดใหม่

• • ประเมินผลกระทบ

  • ปรับปรุงนโยบายและกระบวนการ

  • สื่อสารการเปลี่ยนแปลง

2. การจัดการข้อมูลตามข้อกำหนดใหม่

• • ปรับปรุงวิธีการจัดเก็บ

  • เปลี่ยนแปลงระยะเวลาการเก็บรักษา

  • ปรับปรุงมาตรการรักษาความปลอดภัย

3. แนวทางการตัดสินใจ

• • ทำข้อมูลเป็นแบบนิรนามตามมาตรฐานใหม่

  • ปรับปรุงวิธีการทำข้อมูลแฝง

  • ทบทวนเกณฑ์การลบข้อมูล

ข้อเสนอแนะในการเตรียมการ

เพื่อดำเนินการตามประกาศกฎหมายลำดับรอง PDPA เรื่อง ลบหรือทำลาย ทำเป็นข้อมูลนิรนาม หรือทำเป็นข้อมูลแฝง สำหรับองค์กร

1. การจัดทำแผนการดำเนินการ

• • แยกประเภทข้อมูลส่วนบุคคล ออกจากข้อมูลอื่น ๆ

  • กำหนดลำดับความสำคัญของข้อมูลข้อมูล

  • วางแผนทรัพยากรที่ต้องใช้

  • กำหนดระยะเวลาดำเนินการ

2. การบริหารความเสี่ยง

• • ประเมินผลกระทบต่อธุรกิจของชุดข้อมูลส่วนบุคคล

  • วิเคราะห์ความคุ้มค่า

  • เตรียมแผนรองรับเหตุฉุกเฉิน

3. การสื่อสารและฝึกอบรม

• • แจ้งนโยบายและแนวปฏิบัติ

  • ฝึกอบรมผู้เกี่ยวข้อง

  • ติดตามและประเมินผล

4. จัดทำแผนรองรับสถานการณ์ต่าง ๆ

• • แผนการตอบสนองฉุกเฉิน

  • แผนการปรับตัวตามการเปลี่ยนแปลง

  • แผนการบริหารความเสี่ยง

5. พัฒนาระบบและกระบวนการที่ยืดหยุ่น

• • ระบบการจัดการข้อมูลที่ปรับเปลี่ยนได้

  • กระบวนการที่รองรับการเปลี่ยนแปลง

  • เครื่องมือที่สามารถปรับปรุงได้

6. เตรียมทรัพยากรและบุคลากร

• • ฝึกอบรมทีมงาน

  • จัดสรรงบประมาณ

  • เตรียมเครื่องมือและเทคโนโลยี

และสิ่งที่ควรพิจารณาเพิ่มเติมในการจัดการองค์กรที่ได้รับผลกระทบจากประกาศกฎหมายลูก PDPA คือ …

1. การใช้หลัก Privacy by Design โดยเริ่มจากการออกแบบระบบและกระบวนการที่คำนึงถึงความเป็นส่วนตัวตั้งแต่แรก

2. การตัดสินใจควรคำนึงถึงความสมดุลระหว่าง

• • ความปลอดภัยของข้อมูล

  • ประสิทธิภาพในการดำเนินงาน

  • ต้นทุนและทรัพยากรที่ต้องใช้

3. ควรมีการทบทวนและปรับปรุงการตัดสินใจเป็นระยะ เนื่องจาก

• • เทคโนโลยีมีการเปลี่ยนแปลง

  • ความเสี่ยงอาจเปลี่ยนแปลง

  • อาจมีข้อกำหนดใหม่เพิ่มเติม