Knowledge

เนื่องจาก HR มีข้อมูลส่วนบุคคลของพนักงานจำนวนมาก ที่ต้องนำมาจัดการและเก็บรวบรวมไว้ ทำให้ต้องมีการปรับเปลี่ยนการดำเนินการเพื่อให้สอดคล้องกับพ.ร.บ. ตั้งแต่ขั้นตอนการขอ ‘ความยินยอม’ จากเจ้าของข้อมูล ซึ่งมีความจำเป็นอย่างมาก ในการนำข้อมูลของผู้สมัครงานหรือพนักงานไปดำเนินการใด ๆ อีกทั้งความยินยอมในการจัดเก็บรูปภาพ ข้อมูลบัตรต่าง ๆ รวมถึงข้อมูลเกี่ยวกับการรักษาพยาบาล เช่น ประกันสังคม การลาป่วย เป็นต้น รวมถึงเมื่อพนักงานลาออก/ถูกไล่ออก จะต้องมีมาตรการรักษาข้อมูล เพื่อไม่ให้เกิดการโจรกรรมข้อมูล หลุด หรือถูกเผยแพร่ออกไป การกำหนดระยะเวลาในการจัดเก็บข้อมูล และวิธีการในการทำลายข้อมูลเมื่อไม่ได้ใช้ข้อมูลหรือครบกำหนดระยะเวลาในการจัดเก็บ สิ่งที่ HR ควรคำนึงถึง ได้แก่ 1. HR จะต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเท่านั้น ห้ามเก็บข้อมูลจากแหล่งอื่น และหากมีการส่งต่อข้อมูลของผู้สมัครงาน/พนักงาน จะต้องมีการแจ้งเจ้าของข้อมูลก่อนเสมอ 2. HR ควรมีการจัดเก็บข้อมูลที่จำเป็นเท่านั้น 3. HR จะต้องมีนโยบายในการเก็บรักษาและมาตรการในการทำลายข้อมูลส่วนบุคคลที่ชัดเจน 4. หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล จะต้องแจ้งเหตุให้เจ้าของข้อมูลทราบภายใน 72 ชั่วโมง

Cookie เป็นไฟล์ข้อมูลขนาดเล็กที่ได้จากการเชื่อมต่อระหว่างเว็บไซต์และคอมพิวเตอร์ เป็นเทคโนโลยีที่เกิดขึ้นมาตั้งแต่ปี ค.ศ. 1994 โดยคุกกี้มีหน้าที่จดจำข้อมูลที่เป็นประโยชน์ต่อตัวเว็บไซต์ ไม่ว่าจะเป็นตำแหน่งโลเคชั่นของผู้ใช้งาน หรือข้อมูลที่ผู้ใช้งานสนใจเพื่อนำไปใช้ทำการตลาดโฆษณษแบบเจาะกลุ่มเป้าหมาย ซึ่งถือเป็นการจัดเก็บและใช้ข้อมูลส่วนบุคคลเช่นเดียวกัน ดังนั้นจึงต้องมีการขอความยินยอม (Consent) จากเจ้าของข้อมูลส่วนบุคคลก่อนเสมอ โดยคุกกี้ถูกแบ่งย่อยออกเป็นหลายประเภท ดังนี้ 1. Session cookies เป็นหน่วยความจำชั่วคราว ซึ่งจะบันทึกความเคลื่อนไหวที่เกิดบนหน้าเว็บไซต์ 2. First-Party Cookies เป็นคุกกี้ที่ทำหนน้าเหมือนหน่วยความจำระยะยาวของเว็บไซต์ ไม่ว่าจะเป็นการตั้งค่าเมนูบนเว็บ, ธีม, ภาษาที่เลือก หรือ Bookmark เป็นต้น 3. Third-Party Cookies ทำหน้าที่แค่คอยติดตามความเคลื่อนไหว ดูพฤติกรรมการออนไลน์ และลักษณะการใช้จ่ายของเรา โดยมักนำมาใช้ในการทำการตลาด เพื่อเพิ่มยอดขายและยอดเพจวิว 4. Secure Cookies เป็นคุกกี้ที่ช่วยปกป้องข้อมูลสำคัญของเราไม่ให้ถูกดักระหว่างที่มีการรับส่งข้อมูล 5. HTTP-Only Cookies มักจะทำงานร่วมกับ Sucure Cookies เพื่อป้องกันการถูกโจมตีด้วยวิธี Cross-site scripting 6. Flash Cookies เป็นคุกกี้ท่าที่เปลี่ยนแปลงข้อมูลของผู้ใช้ได้ จึงมักถูกนำมาใช้ในทางที่ผิด 7. Zombie Cookies เป็นคุกกี้ที่สามารถสร้างตัวเองขึ้นมาใหม่ได้ (เมื่อ Back up) 8. Same-site Cookies เป็นคุกกี้แบบใหม่ ทำให้มีความปลอดภัยค่อนข้างมาก โดยจะมีการควบคุมการรับส่งคุกกี้ระหว่างเว็บไซต์ต่างๆ

PDPA กับ GDPR แตกต่างหรือคล้ายกันอย่างไร? GDPR คือ กฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (European Union; EU) เมื่อเทียบพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กับข้อกำหนดของ GDPR จะพบว่ามีความคล้ายคลึงกันเป็นอย่างมาก ทั้งในเรื่องของหน้าที่และความรับผิดชอบในการประมวลผลข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคล และผู้ประมวลผลข้อมูลส่วนบุคคล รวมถึงการส่งหรือโอนข้อมูลไปยังต่างประเทศ ในพ.ร.บ.ระบุว่าองค์กรจะสามารถส่ง หรือโอนข้อมูลส่วนบุคคลได้ เมื่อประเทศนั้น ๆ ได้รับการรับรองจากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เว้นแต่ทำเพื่อปฏิบัติตามกฎหมาย ได้รับความยินยอมจากเจ้าของข้อมูล กระทำภายใต้สัญญาเพื่อป้องกัน หรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของเจ้าของข้อมูล เมื่อเจ้าของข้อมูลไม่สามารถให้ความยินยอมได้ หรือเพื่อดำเนินภารกิจเพื่อประโยชน์สาธารณะ ซึ่ง GDPR กำหนดว่า สามารถทำการส่ง หรือโอนข้อมูลส่วนบุคคลได้ทันทีหากปลายทางเป็นประเทศภายใน EU หรือ EEA แต่หากอยู่นอกจากนั้นประเทศปลายทางจะต้องได้รับการรับรองจาก European Commission ในทางปฏิบัติ GDPR ได้มีการถูกบังคับใช้ไปก่อนหน้าแล้ว และมีกรณีศึกษาเกิดขึ้นมากมาย ในส่วนของพ.ร.บ. นั้น มีผลบังคับใช้ไปเมื่อวันที่ 27 พฤษภาคม 2563 และจะมีการบังคับใช้อย่างเต็มรูปแบบในวันที่ 1 มิถุนายน 2564

หลายคนคงจะรู้จักหรืออย่างน้อยก็เคยได้ยินคำว่า PDPA ที่ย่อมาจาก Personal Data Protection Act หรือ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล มาบ้างในช่วง 1 ปีที่ผ่านมา ซึ่งหากศึกษาข้อมูลจากสื่อต่างๆ ก็คงจะเห็นว่า PDPA เป็นเรื่องใกล้ตัวที่สำคัญมากสำหรับทุกคน ไม่ใช่เพียงเฉพาะองค์กรหรือหน่วยงานธุรกิจเท่านั้น และสิ่งที่ทำให้ทุกคนตื่นตัวกันมากที่สุดก็คงจะหนีไม่พ้นเรื่องบทลงโทษที่เรียกได้ว่า โหดทีเดียว เพราะมีโทษอาญาและโทษปรับสูงสุดถึง 5 ล้านบาท!

PDPA หรือ Personal Data Protection Act คือ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 27 พฤษภาคม 2563 โดย PDPA จะช่วยคุ้มครองข้อมูลส่วนบุคคลไม่ให้ถูกละเมิดสิทธิความเป็นส่วนตัว และมีมาตรการเยียวยาเจ้าของข้อมูลในกรณีที่ถูกละเมิดข้อมูลส่วนบุคคล ไม่ว่าจะเป็นข้อมูลส่วนบุคคลทางตรงหรือทางอ้อม เช่น ชื่อ-นามสกุล หมายเลขโทรศัพท์ ที่อยู่ อีเมล รวมถึงข้อมูลส่วนบุคคลที่ละเอียดอ่อน เช่น เชื้อชาติ ชาติพันธุ์ ความเชื่อทางศาสนา ประวัติอาชญากรรม เป็นต้น โดยบริษัทหรือองค์กรต่าง ๆ ที่จำเป็นต้องศึกษา PDPA ให้ดี ได้แก่ 1. องค์กรที่มีการเก็บและใช้ข้อมูลส่วนบุคคลหรือผู้ควบคุมข้อมูลส่วนบุคคล ตั้งแต่ ร้านค้าที่มีการจัดเก็บรายชื่อลูกค้า ไปจนถึงองค์กรขนาดใหญ่ เช่น บริษัทขนส่ง เป็นต้น 2. หน่วยงานที่ควบคุมข้อมูลหรือถูกว่าจ้างให้ประมวลผลข้อมูลของลูกค้า 3. องค์กรที่อยู่นอกประเทศไทยแต่มีการเสนอขายสินค้าให้กับลูกค้าในประเทศไทย ไม่ว่าจะเป็นการทำโฆษณาหรือการจองโรงแรมผ่านเว็บไซต์ เป็นต้น

Data Protection Officer หรือ DPO คือ เจ้าหน้าที่ที่จะเข้ามาดูแลและให้ความคุ้มครองเกี่ยวกับข้อมูลส่วนบุคคลทั้งหมดในองค์กร ไม่ว่าจะเป็นข้อมูลภายใน (ข้อมูลพนักงาน) หรือข้อมูลภายนอก (ข้อมูลลูกค้า) โดยมีหน้าที่ตั้งแต่การให้คำแนะนำแก่ผู้ควบคุมข้อมูล การตรวจสอบการรวบรวมข้อมูล การจัดเก็บข้อมูลให้เป็นไปตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล รวมถึงการประสานงานกับคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเมื่อมีปัญหาเกิดขึ้น โดยองค์กรอาจจ้างบุคคลากรที่มีความรู้ (Outsource) เข้ามาทำงานแทนก็ได้ โดยคุณสมบัติของผู้ที่จะมาเป็น DPO ควรจะต้องเป็นผู้มีความเชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคล มีความเข้าใจเกี่ยวกับโครงสร้างพื้นฐานด้านไอที ที่สำคัญคือต้องมีความน่าเชื่อถือและมีความซื่อสัตย์ต่อหน้าที่ เนื่องจาก DPO จำเป็นจะต้องแจ้งเตือนต่อเจ้าหน้าที่หากพบการไม่ปฏิบัติตามข้อกำหนดภายใน และต้องสามารถรายงานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหากพบการทุจริต แม้ว่าอาจทำให้บริษัทถูกปรับก็ตาม