ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 และ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer DPO) มีบทบาทหน้าที่ต้องให้คำแนะนำเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ดังนั้น DPO ควรสามารถให้แนะนำองค์กรเกี่ยวกับการทำข้อมูลนิรนาม (Anonymization) ซึ่งจะต้องคำนึงถึงการจัดการและความสอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) รวมทั้งลดความเสี่ยงต่อการละเมิดข้อมูลส่วนบุคคลได้ ดังนี้
การทำเป็นข้อมูลนิรนามสำหรับกิจกรรมใหม่ ให้วางแผนตั้งแต่การเก็บข้อมูลส่วนบุคคล
1.1 ส่งเสริมการทำข้อมูลนิรนามตั้งแต่เริ่มต้น (Privacy by Design)
– แนะนำให้ วางแผนการทำข้อมูลนิรนามตั้งแต่การเก็บข้อมูล ในกระบวนการประมวลผล เพื่อป้องกันความเสี่ยงในการละเมิดข้อมูลส่วนบุคคล และช่วยลดภาระในการจัดการข้อมูลในระยะยาว
– องค์กรควรสร้างระบบการจัดเก็บและประมวลผลข้อมูลที่ รองรับการนิรนาม เช่น การออกแบบระบบให้สามารถลบข้อมูลตัวระบุส่วนบุคคล (Direct Identifiers) ได้ทันทีที่ไม่จำเป็นต้องใช้ และเก็บเฉพาะข้อมูลที่นิรนามเพื่อการวิเคราะห์ต่อไป
– ต้องวางมาตรการในการป้องกันการ Re-identification เพื่อให้แน่ใจว่าข้อมูลไม่สามารถนำไปเชื่อมโยงกลับไปยังเจ้าของข้อมูลได้
1.2 จัดทำกระบวนการนิรนามที่มีมาตรฐาน
– องค์กรควรเลือกใช้ มาตรฐานสากล สำหรับการทำข้อมูลนิรนาม เช่น การเข้ารหัสข้อมูล การลบตัวระบุ หรือการจัดกลุ่มข้อมูลที่เหมือนกัน (Aggregation) เพื่อลดความเสี่ยงจากการเชื่อมโยงกลับ
– DPO ควรจัดทำคู่มือและแนวทางปฏิบัติในการทำข้อมูลนิรนามให้ชัดเจน เพื่อให้บุคลากรในองค์กรทราบถึงขั้นตอนที่ต้องปฏิบัติตาม
สำหรับข้อมูลส่วนบุคคลที่เคยเก็บแล้ว เมื่อหมดวัตถุประสงค์การเก็บข้อมูล
2.1 ประเมินความจำเป็นในการเก็บข้อมูลต่อหลังจากหมดวัตถุประสงค์
– เมื่อวัตถุประสงค์การเก็บข้อมูลส่วนบุคคลหมดลง ควรแนะนำให้องค์กร ประเมินว่ามีความจำเป็นในการเก็บข้อมูลต่อหรือไม่ หากไม่มีความจำเป็น ควรทำลายข้อมูล แต่หากข้อมูลสามารถนำไปใช้ในเชิงสถิติหรือวิเคราะห์ได้ ควรทำเป็นข้อมูลนิรนามแทน
– จัดทำ บันทึกการดำเนินการ ว่าทำไมองค์กรถึงเลือกทำข้อมูลนิรนามแทนการลบ เพื่อเป็นหลักฐานในกรณีที่ถูกตรวจสอบ
2.2 สร้างระบบตรวจสอบการนิรนาม
– เนื่องจากข้อมูลนิรนามยังอาจถูกนำมาใช้ในกระบวนการวิเคราะห์ ควรแนะนำให้องค์กร จัดตั้งระบบการตรวจสอบข้อมูลนิรนาม เพื่อป้องกันการ Re-identification
– ต้องมี การทดสอบเป็นระยะ ว่าข้อมูลที่ถูกทำให้เป็นนิรนามยังคงมีความปลอดภัยและไม่สามารถระบุตัวบุคคลได้
สำหรับข้อมูลส่วนบุคคลที่เคยเก็บแล้ว และเจ้าของข้อมูลส่วนบุคคลใช้สิทธิร้องขอการลบหรือการทำข้อมูลนิรนาม
3.1 กำหนดกระบวนการตอบสนองต่อคำร้องขอจากเจ้าของข้อมูลส่วนบุคคล
– เมื่อเจ้าของข้อมูลร้องขอให้ลบข้อมูล ควรแนะนำให้องค์กรพิจารณาทางเลือกในการทำข้อมูลนิรนามแทนการลบข้อมูล หากข้อมูลนั้นยังสามารถใช้ประโยชน์ต่อได้ เช่น ในกรณีของการวิจัยหรือการวิเคราะห์ข้อมูล
– กระบวนการลบหรือทำข้อมูลนิรนามต้องทำภายใน ระยะเวลาที่กฎหมายกำหนด (เช่น ภายใน 30 วัน) และต้องมี การแจ้งผลการดำเนินการ ให้เจ้าของข้อมูลทราบ
3.2 สร้างความโปร่งใสและระบบติดตามคำร้อง
– องค์กรควรมี ระบบในการติดตามคำร้องขอของเจ้าของข้อมูล เพื่อให้แน่ใจว่าทุกคำขอได้รับการตอบสนองอย่างเหมาะสม และผู้ที่เกี่ยวข้องสามารถติดตามความคืบหน้าได้อย่างชัดเจน
– ควรมีการ บันทึกการดำเนินการ ทั้งหมดเพื่อเป็นหลักฐานในกรณีที่มีข้อพิพาทหรือการตรวจสอบจากหน่วยงานกำกับดูแล
สำหรับกิจกรรมที่มีการเก็บข้อมูลส่วนบุคคลต่อเนื่อง
4.1 พิจารณาผลกระทบจากประกาศล่าสุด
– หากองค์กรมีการประมวลผลข้อมูลต่อเนื่อง แนะนำให้มีการประเมินประกาศความเป็นส่วนตัว บันทึกการประมวลผลข้อมูลส่วนบุคคล ฐานกฎหมายที่ใช้ในการประมวลผลข้อมูล ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล ข้อตกลงการแบ่งปันข้อมูล และข้อตกลงการโอนข้อมูล ว่าสอดคล้องกับประกาศล่าสุดหรือไม่ หากไม่ จำเป็นที่จะต้องมีการดำเนินการใหม่ให้สอดคล้องกับประกาศ
– แนะนำให้ใช้ทางเลือกในการทำข้อมูลนิรนาม หากข้อมูลนั้นสามารถนำไปใช้ได้โดยไม่ต้องระบุตัวบุคคล
4.2 ประเมินผลกระทบต่อข้อมูลส่วนบุคคล
– หากกิจกรรมที่มีการดำเนินการต่อเนื่อง มีการเก็บข้อมูลส่วนบุคคลจำนวนมาก มีข้อมูลส่วนบุคคลที่สามารถนำไปใช้ในการระบุตัวตนกับหน่วยงานรัฐ หรือสถาบันการเงิน หรือมีข้อมูลส่วนบุคคลอ่อนไหวหรือลักษณะพิเศษ ควรแนะนำให้องค์กรทำมาตรการประเมินผลกระทบการคุ้มครองข้อมูลส่วนบุคคล (Data Protection Impact Assessment: DPIA) ย้อนหลัง เพื่อลดความเสี่ยงที่อาจเกิดขึ้นในการประมวลผลข้อมูล ซึ่งหากมีความเสี่ยงสูงควรที่จะจัดทำเป็นข้อมูลนิรนาม หรือข้อมูลแฝง
5.การปรับกระบวนการจัดการข้อมูลในกิจกรรมใหม่
5.1 พิจารณากฎหมายใหม่และความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
– หากองค์กรมีการประมวลผลข้อมูลในกิจกรรมใหม่ แนะนำให้มีการประเมิน ฐานกฎหมายที่ใช้ในการประมวลผลข้อมูล โดยหากข้อมูลนั้นต้องการความยินยอมใหม่จากเจ้าของข้อมูลส่วนบุคคล ควรขอความยินยอมอย่างโปร่งใสและชัดเจน
– แนะนำให้ใช้ทางเลือกในการทำข้อมูลนิรนาม หากข้อมูลนั้นสามารถนำไปใช้ได้โดยไม่ต้องระบุตัวบุคคล
5.2 ประเมินผลกระทบต่อข้อมูลส่วนบุคคล
– การดำเนินกิจกรรมใหม่ ควรแนะนำให้องค์กรทำมาตรการประเมินผลกระทบการคุ้มครองข้อมูลส่วนบุคคล (Data Protection Impact Assessment: DPIA) มีการเก็บข้อมูลส่วนบุคคลจำนวนมาก มีข้อมูลส่วนบุคคลที่สามารถนำไปใช้ในการระบุตัวตนกับหน่วยงานรัฐ หรือสถาบันการเงิน หรือมีข้อมูลส่วนบุคคลอ่อนไหวหรือลักษณ์พิเศษ เพื่อลดความเสี่ยงที่อาจเกิดขึ้นในการประมวลผลข้อมูล โดยเฉพาะข้อมูลที่เกี่ยวข้องกับความเสี่ยงสูง เช่น ข้อมูลสุขภาพ หรือข้อมูลชีวมิติ ซึ่งหากมีความเสี่ยงสูง ให้แนะนำจัดทำเป็นข้อมูลนิรนาม หรือข้อมูลแฝง
มาตรการรักษาความปลอดภัยและการควบคุมการเข้าถึง
6.1 มาตรการป้องกันการ Re-identification
– ควรแนะนำให้องค์กรมีมาตรการป้องกันการเชื่อมโยงข้อมูลกลับไปยังตัวบุคคล โดยเฉพาะการเข้ารหัสข้อมูลหรือการจัดการการเข้าถึงข้อมูลของผู้ที่มีสิทธิเท่านั้น
– ควรมี ระบบตรวจสอบการเข้าถึง (Audit Log) เพื่อบันทึกว่ามีใครเข้าถึงข้อมูลและใช้ข้อมูลในลักษณะใดบ้าง เพื่อเพิ่มความโปร่งใสในการดำเนินการ
6.2 การจัดการกับผู้ประมวลผลข้อมูล
– แนะนำให้องค์กรจัดทำ ข้อตกลงกับผู้ประมวลผลข้อมูล (Data Processing Agreement: DPA) เพื่อให้มั่นใจว่าผู้ประมวลผลจะปฏิบัติตามข้อกำหนดทางกฎหมายในการรักษาข้อมูลนิรนามและไม่สามารถเชื่อมโยงข้อมูลกลับไปยังตัวบุคคลได้
ดังนั้นฐานะ DPO จึงควรแนะนำให้องค์กรจัดทำกระบวนการนิรนามให้สอดคล้องกับกฎหมาย PDPA และมาตรฐานสากล โดยเน้นความโปร่งใส ความปลอดภัย และการปฏิบัติตามสิทธิของเจ้าของข้อมูล ทั้งนี้เพื่อให้มั่นใจว่าองค์กรสามารถประมวลผลข้อมูลได้อย่างมีประสิทธิภาพโดยไม่เสี่ยงต่อการละเมิดข้อมูลส่วนบุคคล
หลักสูตรฝึกอบรมการบริหารจัดการการลบหรือทำลายข้อมูล หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคล
ที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตามกฎหมายลำดับรอง PDPA (Disposal Policy) >> คลิก <<
