ธุรกิจขนาดไหนต้องมีเจ้าหน้าที่คุ้มครองข้อมูล และถ้ายังไม่มีควรทำอะไรก่อน

คลินิกเสริมความงามแห่งหนึ่งมีพนักงาน 14 คน (สมมติ) เก็บแชท LINE ของลูกค้าราว 9,000 ราย ในนั้นมีรูปผิวหน้า ประวัติแพ้ยา และบางรายแจ้งว่ากำลังตั้งครรภ์ เจ้าของถามที่ปรึกษาสองคนว่าต้องมี DPO ไหม คนแรกตอบว่าไม่ต้อง เพราะเป็นธุรกิจขนาดเล็ก คนที่สองตอบว่าต้อง เพราะเป็นข้อมูลสุขภาพ

สองคำตอบนี้ต่างกันตรงที่คนแรกใช้ขนาดบริษัทเป็นตัวตัดสิน ส่วนคนที่สองใช้ลักษณะข้อมูล และตัวบทกฎหมายใกล้เคียงกับคนที่สองมากกว่า คำถามที่ควรถามจึงไม่ใช่ ‘บริษัทเราใหญ่พอไหม’ แต่คือ ‘เรามีข้อมูลแบบไหน และการเก็บมันเป็นงานหลักของเราหรือเปล่า’ ซึ่งตอบได้ภายในหนึ่งบ่ายถ้าเริ่มจากจุดที่ถูก

เกณฑ์ตามมาตรา 41 มีสามข้อ และไม่มีข้อไหนพูดถึงจำนวนพนักงาน

ผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลต้องตั้ง DPO เมื่อเข้าอย่างน้อยหนึ่งข้อ ข้อสามคือข้อที่ธุรกิจบนแชท LINE ขนาดเล็กชนบ่อยที่สุด

• เป็นหน่วยงานของรัฐ ตามที่คณะกรรมการประกาศ ข้อนี้ไม่เกี่ยวกับธุรกิจ SME โดยทั่วไป
• ต้องตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอ เพราะมีข้อมูลส่วนบุคคลจำนวนมากตามที่คณะกรรมการกำหนด ประกาศของคณะกรรมการเป็นตัวกำหนดว่า ‘จำนวนมาก’ คือเท่าไร และมีการอ้างถึงระดับหลักแสนรายกันบ่อย ตรวจตัวเลขจากฉบับจริงของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลก่อนใช้ตัดสินใจ
• กิจกรรมหลักคือการเก็บ ใช้ หรือเปิดเผยข้อมูลอ่อนไหวตามมาตรา 26 เช่น ข้อมูลสุขภาพ ศาสนา พันธุกรรม ข้อมูลชีวภาพ ประวัติอาชญากรรม

ธุรกิจบนแชท LINE แบบไหนเข้าข่ายข้อไหน

ตารางนี้เป็นการอ่านของผมต่อโจทย์สมมติ ไม่ใช่คำตัดสิน ข้อเท็จจริงจริงของแต่ละกิจการต้องให้ที่ปรึกษากฎหมายยืนยัน

ความสับสนที่ผมเจอบ่อยมาจากประกาศที่ยกเว้นกิจการขนาดเล็กจากหน้าที่บันทึกรายการประมวลผลตามมาตรา 39 คนจำต่อกันว่า SME ได้รับยกเว้นทั้งหมด ซึ่งไม่ใช่ ประกาศนั้นยกเว้นหน้าที่เดียว ไม่ได้พูดถึง DPO และเงื่อนไขยกเว้นมักตัดกิจการที่ประมวลผลข้อมูลอ่อนไหวออก ให้ตรวจตัวประกาศฉบับจริงอีกรอบ

DPO ทำอะไร และใครไม่ควรรับตำแหน่งนี้

หน้าที่ตามมาตรา 42 คือให้คำแนะนำ ตรวจสอบการดำเนินงานให้เป็นไปตามกฎหมาย ประสานงานกับสำนักงาน และรักษาความลับ ธุรกิจต้องให้เครื่องมือและข้อมูลที่จำเป็น ห้ามให้ DPO พ้นตำแหน่งเพราะทำหน้าที่ตามกฎหมาย และ DPO รายงานตรงต่อผู้บริหารสูงสุด ตำแหน่งนี้จ้างภายนอกก็ได้

ปัญหาที่เจอบ่อยในธุรกิจเล็กคือเอาคนที่ตัดสินใจเรื่องข้อมูลอยู่แล้วมารับตำแหน่ง เช่นหัวหน้าฝ่ายการตลาดที่เป็นคนเลือกว่าจะส่งอะไรเข้า pixel หรือเจ้าของเองที่สั่งให้เก็บข้อมูลทุกอย่าง ตำแหน่งนี้ต้องตรวจสอบสิ่งที่คนทำ ถ้าคนทำกับคนตรวจเป็นคนเดียวกันก็เท่ากับไม่มีใครตรวจ ถ้าเป็นไปได้ให้ใช้คนนอกสายงานการตลาด หรือจ้างบริการภายนอกรายเดือน

ถ้ายังไม่มี DPO ลำดับงานแรกที่ควรทำ

1. ทำบัญชีข้อมูล ไล่ว่าแชท LINE สลิป ฟอร์ม และไฟล์ลูกค้ามีข้อมูลอะไรบ้าง เก็บที่ไหน ใครเข้าถึงได้ ใช้เวลาประมาณครึ่งวันสำหรับร้านเล็ก
2. เขียนผลประเมินว่าเข้าเกณฑ์หรือไม่ ตอบสามข้อด้านบนพร้อมเหตุผลหนึ่งย่อหน้า วันที่ และชื่อผู้ประเมิน เอกสารนี้คือหลักฐานว่าคุณคิดแล้ว ถ้าสถานการณ์เปลี่ยน เช่นเริ่มรับข้อมูลสุขภาพ ให้ประเมินซ้ำ
3. กำหนดผู้ประสานงานเรื่องข้อมูลภายใน ไม่ว่าจะต้องมี DPO หรือไม่ ควรมีคนที่รับคำขอใช้สิทธิจากลูกค้าและตามเรื่อง ใช้ชื่อตำแหน่งว่าผู้ประสานงานก่อน จนกว่าจะตั้ง DPO ตามเงื่อนไขกฎหมาย เพราะชื่อ DPO มีหน้าที่ติดมาด้วย
4. เปิดช่องทางรับคำขอใช้สิทธิ ลูกค้ามีสิทธิขอเข้าถึง ขอสำเนา ขอลบ ขอคัดค้านข้อมูลของตน ผู้ควบคุมข้อมูลต้องดำเนินการตามคำขอเข้าถึงภายใน 30 วัน (มาตรา 30) ทำแบบฟอร์มหน้าเดียวและกำหนดว่าใครตอบ
5. ซ้อมแผนเมื่อข้อมูลรั่ว หากมีเหตุละเมิดที่เสี่ยงต่อสิทธิของเจ้าของข้อมูล ต้องแจ้งสำนักงานภายใน 72 ชั่วโมงนับแต่รู้เหตุ (มาตรา 37) เตรียมรายชื่อคนที่ต้องโทรหาและเอกสารที่ต้องใช้ ดู แผนรับมือข้อมูลรั่ว

ต้นทุนของการรอ ที่ไม่ต้องใช้คำขู่

ทุกเดือนที่ผ่านไป ประวัติแชทที่มีข้อมูลสุขภาพก็เพิ่มขึ้น การตั้งนโยบายเก็บและลบทีหลังยากกว่าการตั้งตอนมีข้อมูลหลักร้อยราย ลองเริ่มจากการกำหนดอายุเก็บแชทใน เก็บข้อมูลแชทนานแค่ไหนสำหรับร้านบน LINE เพราะข้อมูลที่ลบไปแล้วคือข้อมูลที่ไม่ต้องดูแลต่อ

ส่วนเรื่องการบังคับใช้ คุณไม่ต้องเดาว่าเมื่อไรจะถูกตรวจ ให้ถามว่าถ้าลูกค้าส่งคำขอลบข้อมูลมาพรุ่งนี้ ใครตอบ ตอบได้ภายในกี่วัน ถ้ายังตอบไม่ได้ ก็ได้เวลาอ่าน การเตรียมตัวรับการบังคับใช้ PDPA ก่อนจะคุยเรื่องใครเป็น DPO

สรุป

ลำดับที่ผมแนะนำคือทำบัญชีข้อมูลก่อน แล้วค่อยประเมินเกณฑ์ ไม่ใช่กลับกัน เพราะคำตอบของ ‘ต้องมี DPO ไหม’ ซ่อนอยู่ในบัญชีข้อมูล ธุรกิจที่เก็บข้อมูลสุขภาพบนแชทควรเริ่มคุยกับที่ปรึกษากฎหมายเร็วกว่าธุรกิจอื่น

ถ้าผลประเมินบอกว่าต้องตั้ง การจ้างภายนอกตามสัญญารายเดือนเป็นทางเริ่มเร็วที่สุด ถ้าผลบอกว่ายังไม่ต้อง เอกสารผลประเมินหนึ่งหน้าคือสิ่งขั้นต่ำที่ควรมี และต้องกลับมาประเมินใหม่เมื่อชนิดข้อมูลหรือจำนวนเปลี่ยน

• เกณฑ์ DPO ดูที่ลักษณะข้อมูลและกิจกรรมหลัก ไม่ได้ดูจำนวนพนักงาน
• ธุรกิจที่แชทมีข้อมูลสุขภาพ ควรประเมินว่าเข้าข้อ 3 ก่อนอย่างอื่น
• ผู้ตัดสินใจเรื่องข้อมูลไม่ควรเป็นคนเดียวกับ DPO
• ยังไม่ตั้งก็ต้องมีบัญชีข้อมูล ผลประเมินเป็นลายลักษณ์อักษร ช่องทางรับคำขอใช้สิทธิ และแผนรับเหตุรั่ว

คำถามที่พบบ่อย