กฎหมายคุ้มครองข้อมูลส่วนบุคคลหรือ PDPA (Personal Data Protection Act) ที่ประกาศใช้เต็มรูปแบบเมื่อวันที่ 1 มิถุนายน 2565 ที่ผ่านมา เนื่องจากปัญหาการถูกล่วงละเมิดข้อมูลส่วนบุคคลที่มีเพิ่มมากขึ้นเรื่อย ๆ ปัจจุบันองค์กรธุรกิจ หรือ หน่วยงานต่าง ๆ จำเป็นต้องให้ความสำคัญกับการจัดเก็บ และการประมวลผลข้อมูลส่วนบุคคล ให้ถูกต้องตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล PDPA เพื่อสร้างความปลอดภัยและเป็นส่วนตัวให้แก่เจ้าของข้อมูล หากองค์การ หรือหน่วยงานละเลยไม่ดำเนินการตามกฎหมาย PDPA มีความเสี่ยงจากการรับโทษร้ายแรงทั้งทางแพ่ง ทางอาญา และทางปกครอง

ในยุคที่มีการใช้เทคโนโลยีเข้ามาช่วยในการจัดเก็บ รวบรวม และประมวลผลข้อมูลส่วนบุคคล (Personal Data) ข้อมูลส่วนบุคคลของบุคคลในองค์กร ข้อมูลลูกค้า และข้อมูลผู้ที่เกี่ยวข้อง จึงจำเป็นต้องได้รับการบริหารจัดการ ความปลอดภัยของข้อมูล และการนำไปใช้งานตามวัตถุประสงค์ที่ขอไว้ ในกระบวนการบริหารข้อมูลส่วนบุคคลสำหรับระบบบริหารและจัดการลูกค้าสัมพันธ์ (Customer Relationship Management System  (CRM)) มีกระบวนการเกี่ยวข้องกับหลายหน่วยงานในองค์กร เช่น ฝ่ายขาย ฝ่ายการตลาด ฝ่ายบริการ พนักงานขาย Call Center รวมถึงพนักงานขายออนไลน์ ที่ต้องนำข้อมูลส่วนบุคคลของลูกค้า มาใช้ในการบริหารจัดการลูกค้าสัมพันธ์ (CRM) เพื่อผลทางธุรกิจให้เติบโต ยิ่งมีการเก็บ ใช้ และประมวลผลข้อมูลมากเท่าไร การกำกับดูแล การบริหารข้อมูล รวมถึงการให้ความสำคัญในการเข้าถึงข้อมูลส่วนบุคคลในแต่ละหน่วยงาน เพื่อให้การนำไปใช้งานเท่าที่จำเป็น และตรงตามวัตถุประสงค์ที่ขอไว้ ข้อมูลส่วนบุคคลสำหรับระบบบริหารและจัดการลูกค้าสัมพันธ์ (CRM) จัดเก็บ ตัวอย่างเช่น ชื่อ-นามสกุล, เบอร์โทรศัพท์, อีเมลส่วนตัว, ที่อยู่ปัจจุบัน, ข้อมูลสถานที่ทำงาน, Line ID, Facebook, ข้อมูลทางการเงิน, เลขบัตรประชาชน, รวมถึงข้อมูลที่มีความอ่อนไหว ซึ่งหากมีการประมวลผลข้อมูลส่วนบุคคล แล้วเกิดมีการรั่วไหลของข้อมูลส่วนบุคคล อาจทำให้เกิดความเสี่ยงจากการฟ้องร้องดำเนินคดี ไม่ว่าจากหน่วยงานไหน หรือพนักงานคนใด องค์ที่เป็นนิติบุคคล ที่เป็นผู้เก็บ รวบรวม และประมวลผลมีส่วนในการรับผิดชอบตามกฎหมาย

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กำหนดโทษ และค่าปรับ โดยอาศัยอำนาจตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ในการที่จะพิจารณาบทลงโทษได้ 3 ทาง คือ ความรับผิดทางแพ่ง โทษอาญา และโทษทางปกครอง โดยมีการกำหนดโทษตามกฎหมาย PDPA อย่างชัดเจน

• โทษทางแพ่ง : ค่าปรับจริง /+ 2 เท่าของค่าปรับ เท่ากับ เงินค่าสินไหมทดแทนที่ต้องจ่าย
• โทษทางอาญา : กฎหมาย PDPA กำหนดโทษอาญาไว้ 2 ลักษณะ คือ โทษปรับเงิน และโทษจำคุก โดยโทษจำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 5 แสนบาท หรือทั้งจำทั้งปรับ
• โทษทางปกครอง : ปรับสูงสุดไม่เกิน 5,000,000 บาท

กระบวนการบริหารข้อมูลส่วนบุคคลสำหรับระบบบริหารและจัดการลูกค้าสัมพันธ์ (Customer Relationship Management System  (CRM)) จำเป็นต้องจัดทำอะไรบ้าง เพื่อปฏิบัติตามกฎหมาย PDPA ลดความเสี่ยงในการดำเนินธุรกิจ เช่นการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล การจัดเตรียมเอกสาร มาตรการด้านความปลอดภัยของข้อมูล แนวทางการกำกับดูแลข้อมูลส่วนบุคคล ฯลฯ

ซึ่งถ้าแต่ละส่วนงานที่เกี่ยวข้องในการบริหารและจัดการลูกค้าสัมพันธ์ เข้าใจ และสามารถกำหนดมาตรฐานการทำงานได้ตามความรับผิดชอบ จะทำให้เกิดประโยชน์ต่อองค์กร และลดความเสี่ยงในการดำเนินธุรกิจได้