1. ทบทวนบริบทขององค์กร

DPO ต้องมีการทบทวนบริบทองค์กร หรือประเภทของธุรกิจที่ทำอยู่ว่าเข้าข่ายต้องแต่งตั้ง DPO ตามกฎหมายคุ้มครองข้อมูลส่วนแล้วหรือยัง ?

หากจำเป็นต้องแต่งตั้งแล้ว สิ่งที่ต้องทำเมื่อเป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีอะไรบ้างแล้วเจ้าหน้าที่ DPO ปฏิบัติงานตามหน้าที่แล้วหรือไม่ หรือแต่งตั้งไว้เพียงเพื่อปฏิบัติตามข้อบังคับของกฎหมาย ต้องไม่ลืมว่า DPO ไม่เพียงแต่เป็นผู้ตรวจสอบกิจกรรมขององค์กรให้สอดคล้องกับกฎหมาย เพราะ DPO จะต้องเป็นกำลังหลักในการสร้างการตระหนักรู้ของบุคลากรในองค์กรด้วย

2. การมีปฏิสัมพันธ์ระหว่าง DPO และหน่วยงานอื่น ๆ

มีการบันทึกรายงานในส่วนของการติดต่อทั้งภายในองค์กร ไม่ว่าจะเป็นการติดต่อกับบุคลากรส่วนปฏิบัติการขององค์กร ที่รับผิดชอบในการประมวลผลข้อมูลส่วนบุคคล

หรือจะการติดต่อภายนอกองค์กร โดยเฉพาะกับหน่วยงานกำกับดูแลด้านข้อมูลส่วนบุคคลของประเทศนั้น ๆ เช่นเดียวกับการติดต่อกับ DPO ขององค์กรอื่น สำหรับการแลกเปลี่ยนความรู้และข่าวสารซึ่งกันและกัน รายงานในส่วนนี้ จะเป็นส่วนช่วยส่งเสริมความเชื่อมั่น และความน่าเชื่อถือในฐานะของ DPO ได้อีกด้วย

3. แผนปฏิบัติการ

ส่วนของแผนปฏิบัติการเป็นขั้นตอนที่สำคัญต่อ DPO เป็นอย่างมาก แผนปฏิบัติการที่ดี จะนำไปสู่การปฏิบัติงานที่ดีด้วย ซึ่งแผนปฏิบัติการอาจประกอบไปด้วย การแบ่งโครงสร้างของแผนปฏิบัติการตามหัวข้อที่วางไว้, กำหนด Timeline ของแต่ละงานให้เหมาะสม, มีการกำหนดวัตถุประสงค์การทำงาน เป็นต้น สำหรับในขั้นตอนนี้จะช่วยสรุปการทำงานในรอบปีที่ผ่านมาและทำให้การวางแผนปฏิบัติในรอบปีถัดไปสะดวกมากยิ่งขึ้น

นอกจากนี้แผนการปฏิบัติการจะช่วยให้ DPO สามารถตรวจสอบได้ว่า เราบรรลุวัตถุประสงค์การทำงานในฐานะ DPO หรือไม่ และที่สำคัญยิ่งกว่านั้นสิ่งนี้จะช่วยให้สามารถตรวจสอบและทบทวนถึงสาเหตุที่ไม่สามารถบรรลุวัตถุประสงค์การทำงานได้อีกด้วย

4. การประเมินผลกระทบการละเมิดข้อมูลส่วนบุคคล

การรายงานผลในขั้นตอนนี้ จะช่วยให้ DPO สามารถบอกได้ถึงจำนวนของ DPIA ที่สำเร็จในรอบปีที่ผ่านมา และเป็นจุดชี้แจงที่บอกว่า ณ ตอนนี้ เราเรียงลำดับความสำคัญของ DPIA กับงานอื่นเป็นอย่างไรบ้าง ไม่ว่าจะเป็นในเรื่องของการใช้เวลาไปเท่าไหร่ในการทำ DPIA , มีการทำ Workshop บ้างแล้วหรือไม่ ซึ่งรายงานในส่วนนี้จะเป็นส่วนช่วยให้เห็นถึงภาพรวมเรื่องของให้ความสำคัญและมีการลงทุนในงานอย่างไรบ้าง

5. การฝึกอบรมพนักงานและการสร้างการตระหนักรู้ 

มีการจัดฝึกอบรมและส่งเสริมการสร้างการตระหนักรู้ในเรื่องของกฎหมายคุ้มครองข้อมูลส่วนบุคคล PDPA ซึ่ง DPO จะต้องมีการลงบันทึกรายงานประจำปีไม่ว่าจะเป็นในเรื่องของ พนักงานได้รับการฝึกอบรมอย่างไรบ้าง, มีการจัดอบรมอย่างไรบ้างสำหรับพนักงานใหม่, ในการฝึกอบรมเรื่องต่าง ๆ มีการใช้บริการวิทยากรภายนอกหรือไม่ และสิ่งที่พนักงานได้รับจากกิจกรรมฝึกอบรมและการสร้างการตระหนักรู้มีอะไรบ้าง

นอกจากนี้ DPO จะต้องเป็นกำลังหลักในการขับเคลื่อนให้พนักงานในองค์กรทุกคนมีความเข้าใจ และให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้การปฏิบัติงานของพนักงาน รวมไปถึงการดำเนินกิจกรรมขององค์กรเป็นไปตามที่กฎหมายกำหนด

6. เจ้าของข้อมูลส่วนบุคคล

หน้าที่ของ DPO สำหรับการทำรายงานประจำปีต้องไม่ลืมที่จะบันทึก “การขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมาย” ว่าองค์กรได้รับการขอใช้สิทธิในเรื่องต่าง ๆ ในรอบปีที่ผ่านมากี่ครั้ง ซึ่งควรมีการติดตามสถานะการร้องขออยู่เสมอ ทั้งในเรื่องของ สิทธิในการขอเข้าถึงข้อมูลส่วนบุคคล ฯลฯ เพื่อเป็นการจัดการมาตรรองรับการใช้สิทธิในด้านต่าง ๆ ขององค์กรอย่างมีประสิทธิภาพ

7. ความปลอดภัยและการป้องกันข้อมูลรั่วไหล 

สิ่งสำคัญที่องค์กรควรให้ความสำคัญในเรื่องของ “ความปลอดภัยของข้อมูล” ซึ่งข้อมูลส่วนบุคคลที่องค์กรได้มีการเก็บรวบรวม ต้องอยู่ในความปลอดภัยสูงสุด ทั้งในขั้นตอนของ การประมวลผลข้อมูล, การโอนข้อมูล ฯลฯ

ซึ่งมาตรการป้องกันข้อมูลส่วนแรก องค์กรสามารถเลือกใช้เครื่องมือต่าง ๆ ที่มีความปลอดภัยสูงช่วยจัดการในเรื่องของการป้องกันข้อมูลส่วนบุคคล และมาตรการในส่วนที่สอง มุ่งเน้นไปที่การพัฒนาในส่วนของ “บุคลากร” สำหรับการป้องกัน Human Error ที่จะนำไปสู่การละเมิดข้อมูลส่วนบุคคล หรือแม้แต่จะการปฏิบัติหน้าที่ที่ทำให้ข้อมูลรั่วไหลได้

8. การออกแบบการคุ้มครองข้อมูลส่วนบุคคล

ในส่วนนี้แนะนำให้มีการเขียนรายงานถึงการออกแบบการคุ้มครองข้อมูลส่วนบุคคลในรายงานไม่ว่าจะเป็น การออกแบบระบบ บริการ และกระบวนการต่าง ๆ ตลอดถึงการกำหนดวงจรชีวิตของข้อมูล เป็นการวางแผนมาตรการทางเทคนิคและการจัดการองค์กร ซึ่งแสดงให้เห็นถึงประสิทธิภาพของการวางระบบการคุ้มครองข้อมูลส่วนบุคคลรวมไปถึงช่วยวางแผนการปรับปรุงระบบการคุ้มครองข้อมูลส่วนบุคคลในปีอนาคตได้อีกด้วย

9. สัญญาการว่าจ้างบุคลากรภายนอกสำหรับการประมวลผลข้อมูล 

การบันทึกรายการจ้างบุคลากรภายนอกสำหรับการประมวลผลข้อมูลส่วนบุคคล ทั้งในเรื่องของ อุปสรรคที่เจอในการประมวลผลข้อมูล จำนวนผู้รับจ้างในรอบปีที่ผ่านมา สถานะของสัญญาจ้าง ณ ปัจจุบัน ปัญหาที่พบด้านความปลอดภัยในช่วงที่มีการว่าจ้างกัน รวมไปถึงข้อกำหนดต่าง ๆ ที่ได้ทำกับผู้ว่าจ้างแต่ละราย เพื่อให้การวางแผนการทำงานร่วมกันขององค์กรกับบุคลากรภายนอกสะดวกและง่ายยิ่งขึ้น

10. การทำสัญญา (Contract)

ไม่ลืมที่จะเขียนบันทึกรายงาน การทำสัญญาต่าง ๆ ในรอบปีที่ผ่านมา เพื่อให้ทราบถึงสถานะของข้อสัญญานั้น ๆ ไม่ว่าจะเป็นส่วนของสัญญาที่มีอยู่ การปรับปรุงหรือแก้ไขสัญญาตามความเหมาะสม รวมไปถึงเอกสารที่มีการเจรจาเสร็จสิ้นแล้ว ซึ่งจะทำให้องค์กรสามารถวางแผนบริหารจัดการทำสัญญาได้สะดวกและครบถ้วน

สรุปแล้ว

การทำรายงานประจำปีในฐานะ DPO เป็นหนึ่งในกระบวนการรับรองและช่วยพิสูจน์ให้เห็นถึงการความสามารถในการปฏิบัติหน้าที่ได้ตามข้อกฎหนด ซึ่งไม่เพียงแต่การรับประกันการปฏิบัติตามกฎหมาย แต่ยังเป็นส่วนช่วยสร้างความเชื่อมั่นให้ทั้งกับบุคลากรภายใน ภายนอกองค์กร รวมไปถึงลูกค้า ฯลฯ สำหรับการจัดการข้อมูลส่วนบุคคลได้อย่างเหมาะสมและถูกต้องตามที่กฎหมายกำหนด