การประเมินความเสี่ยงเป็นเรื่องที่องค์กรไม่ว่าจะขนาดเล็กหรือใหญ่ให้ความสำคัญเนื่องจากจะช่วยให้ธุรกิจทราบถึงช่องโหว่ผลกระทบและความเสียหายที่อาจเกิดขึ้นจากความเสี่ยงต่างๆที่คาดการณ์ไว้อีกทั้งยังทำให้ทราบถึงวิธีการป้องกันและรับมือเพื่อให้อยู่ในจุดที่รับความเสี่ยงได้ หรืออยู่ในจุดที่มีโอกาสเกิดความเสียหายต่ำที่สุด ซึ่งตามปกติแล้ว
เรามักจะประเมินความเสี่ยงที่มีโอกาสเกิดกับธุรกิจของเราแบบที่เห็นได้อย่างชัดเจน เช่น ประเมินความเสี่ยงเรื่องคู่แข่ง เรื่องโอกาสในการเติบโตของธุรกิจ แต่หลายองค์กรอาจกำลังลืมส่วนสำคัญที่ต้องประเมินความเสี่ยงเอาไว้เช่นกันนั่น
คือการประเมินความเสี่ยงด้านข้อมูลส่วนบุคคล เพราะแม้ว่ากฎหมาย PDPA จะไม่ได้ระบุเรื่องนี้ไว้เป็นมาตราอย่างชัดเจน
แต่การที่องค์กรใดก็ตามต้องเก็บ รวบรวม ใช้หรือประมวลผลข้อมูลส่วนบุคคลองค์กรนั้น ควรดำเนินการเรื่องการประเมินความเสี่ยงนี้ด้วย
การประเมินความเสี่ยงด้านข้อมูลส่วนบุคคล หรือที่คุ้นเคยในชื่อ DPIA นั้นย่อมาจาก Data Protection Impact Assessment มีที่มาจากกฎหมาย GDPR ที่ระบุไว้อย่างชัดเจนใน Article 35 และ Recital 84 ว่าเป็นเรื่องที่ต้องปฏิบัติไม่เช่นนั้นจะมีความผิดตามกฎหมาย แม้การทำ DPIA จะไม่ถูกบังคับในไทย แต่ใน TDPG 3.0 ไกด์ไลน์ด้านกฎหมาย PDPA ที่รวบรวมขึ้นจากผู้เชี่ยวชาญและอาจารย์ด้านกฎหมายจากสถาบันชั้นนำได้แนะนำเอาไว้ว่า DPIA นั้นเป็นเรื่องที่ควรทำอย่างยิ่ง นั่นก็เพื่อให้องค์กรเตรียมพร้อมเมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล เพื่อให้ครอบคลุมด้านการตีความ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคล รวมทั้งเพื่อเป็นการสร้างความเชื่อมั่นให้กับเจ้าของข้อมูลส่วนบุคคลว่าองค์กรจะเก็บรักษาข้อมูลชุดนี้ไว้ให้ดีที่สุดและเกิดความโปร่งใสตรวจสอบได้ โดยแสดงให้เห็นได้ว่าองค์กรมีมาตรการการรับมือกับความเสี่ยงอย่างมีประสิทธิภาพนั่นเอง
9 กิจกรรมที่ควรทำ DPIA และ 3 กิจกรรมที่ต้องทำ DPIA หากคุณปฏิบัติตาม GDPR
หลายองค์กรที่ปฏิบัติตาม PDPA ที่ยังชั่งใจอยู่ว่าจะทำ DPIA หรือไม่ ให้ลองเช็คตามเช็คลิสต์ด้านล่างว่าหากตรง 1 ใน 9 ข้อ องค์กรของท่านอาจเข้าข่ายที่ควรจัดทำ DPIA เพื่อลดความเสี่ยงที่อาจเกิดขึ้นเมื่อถูกละเมิดข้อมูลส่วนบุคคล
| ข้อ | รายละเอียด | ตัวอย่าง |
| 1. | การ Profiling เพื่อวิเคราะห์หรือประเมินบางอย่างเกี่ยวกับเจ้าของข้อมูลส่วนบุคคล | – ประเมินความถี่ในการซื้อผลิตภัณฑ์
– ประเมินความน่าจะเป็นในการเกิดโรคของแต่ละบุคคลจากข้อมูลสุขภาพ
– ประเมินความน่าเชื่อถือของลูกค้าเพื่อให้สินเชื่อ |
| 2. | การประมวลผลข้อมูลเพื่อตัดสินใจ
ต่อเจ้าของข้อมูลส่วนบุคคล | – พิจารณาอนุมัติสินเชื่อ |
| 3. | การประมวลผลเพื่อสังเกตพฤติกรรม | – ติดตามการใช้งานเว็บไซต์ |
| 4. | การประมวลผลข้อมูล Sensitive data | – ข้อมูลด้านสุขภาพ ข้อมูลทางพันธุกรรม, ข้อมูลชีวภาพ, ข้อมูลความเชื่อทางศาสนา, หรือข้อมูลเกี่ยวกับชีวิตทางเพศ |
| 5. | การประมวลผลข้อมูลส่วนบุคคลเป็นจำนวนมาก | – ข้อมูลลูกค้าปลีกย่อย |
| 6. | การประมวลผลแบบ Combining datasets | – นำข้อมูลจากหลายแหล่งมาวิเคราะห์ร่วมกัน |
| 7. | การประมวลผลข้อมูลของเด็ก | – ข้อมูลนักเรียนในโรงเรียน |
| 8. | การใช้เทคโนโลยีใหม่ในการประมวลผล | – การจดจำลายนิ้วมือหรือการสแกนใบหน้าเข้าสถานที่ |
| 9. | การประมวลผลข้อมูลที่มีผลกระทบต่อสิทธิ์ของเจ้าของข้อมูล | – การบล็อกการเข้าถึงบริการ |
3 กิจกรรมที่ต้องทำ DPIA ตาม GDPR (Art. 35(3))
- การประมวลผลที่เป็นระบบและกระทบคนจำนวนมาก มีการประมวลผลโดยอัตโนมัติ และผลการตัดสินใจจากระบบมีผลทางกฎหมายต่อบุคคล (Art. 35(3)(a))
เหตุผลที่ต้องทำ DPIA: การตัดสินใจที่เกิดจากระบบอัตโนมัติโดยตรง ซึ่งมีผลต่อสิทธิและผลประโยชน์ของบุคคลนั้น อาจนำไปสู่การเลือกปฏิบัติที่ไม่เป็นธรรม หรือการละเมิดสิทธิส่วนบุคคลได้ ดังนั้น การทำ DPIA จะช่วยให้สามารถประเมินความเสี่ยงที่อาจเกิดขึ้น และวางมาตรการป้องกันได้อย่างเหมาะสม
- การประมวลผลข้อมูลอ่อนไหว (sensitive data) ในปริมาณมากหรือต่อบุคคลจำนวนมาก หรือ ข้อมูลส่วนบุคคลที่เกี่ยวกับประวัติอาชญากรรม (Art. 35(3)(b))
เหตุผลที่ต้องทำ DPIA: ข้อมูลอ่อนไหวเป็นข้อมูลที่มีความละเอียดอ่อนสูง การนำข้อมูลประเภทนี้มาใช้ประมวลผลอาจก่อให้เกิดความเสียหายต่อบุคคลได้หากข้อมูลรั่วไหลหรือถูกนำไปใช้อย่างไม่เหมาะสม การทำ DPIA จะช่วยให้สามารถระบุมาตรการรักษาความปลอดภัยที่เข้มงวด เพื่อป้องกันการรั่วไหลของข้อมูล
- การติดตามตรวจการอย่างเป็นระบบในพื้นที่เปิดสาธารณะที่มีการเก็บและประมาณข้อมูลปริมาณมาก หรือ เกี่ยวเนื่องกับบุคคลจำนวนมาก (Art. 35(3)(c))
เหตุผลที่ต้องทำ DPIA: การติดตามตรวจการในพื้นที่สาธารณะอาจเกี่ยวข้องกับการรวบรวมข้อมูลส่วนบุคคลในปริมาณมาก ซึ่งอาจกระทบต่อความเป็นส่วนตัวของบุคคลได้ การทำ DPIA จะช่วยให้สามารถประเมินความจำเป็นในการรวบรวมข้อมูล และกำหนดขอบเขตของการใช้ข้อมูลได้อย่างชัดเจน
สิ่งที่ควรระบุใน DPIA (Art. 35(7)):
- ขอบเขตของการประมวลผลข้อมูล: ระบุประเภทของข้อมูลที่นำมาประมวลผล แหล่งที่มาของข้อมูล และวัตถุประสงค์ในการนำข้อมูลไปใช้
- บุคคลที่เกี่ยวข้อง: ระบุกลุ่มบุคคลที่ได้รับผลกระทบจากการประมวลผลข้อมูล
- ความเสี่ยงที่อาจเกิดขึ้น: ประเมินความเสี่ยงที่อาจเกิดขึ้นจากการประมวลผลข้อมูล เช่น ความเสี่ยงต่อการรั่วไหลของข้อมูล ความเสี่ยงต่อการเลือกปฏิบัติ และความเสี่ยงต่อการละเมิดสิทธิส่วนบุคคล
- มาตรการป้องกัน: กำหนดมาตรการป้องกันเพื่อลดความเสี่ยงที่อาจเกิดขึ้น เช่น การเข้ารหัสข้อมูล การจำกัดการเข้าถึงข้อมูล และการทำลายข้อมูลเมื่อไม่จำเป็นต้องใช้งานอีกต่อไป
- การตรวจสอบและประเมินผล: กำหนดขั้นตอนการตรวจสอบและประเมินผลการดำเนินงานของมาตรการป้องกัน เพื่อให้มั่นใจว่ามาตรการดังกล่าวมีประสิทธิภาพ
การทำ DPIA เป็นขั้นตอนที่สำคัญในการคุ้มครองข้อมูลส่วนบุคคล โดยเฉพาะอย่างยิ่งในกรณีที่เกี่ยวข้องกับการประมวลผลข้อมูลในปริมาณมากหรือข้อมูลที่มีความอ่อนไหว การปฏิบัติตามข้อกำหนดของ DPIA จะช่วยลดความเสี่ยงที่อาจเกิดขึ้นจากการละเมิดกฎหมายคุ้มครองข้อมูลส่วนบุคคล และสร้างความเชื่อมั่นให้กับบุคคลที่เกี่ยวข้อง
สรุปขั้นตอนการจัดทำ DPIA อย่างละเอียด
- ระบุความจำเป็นในการทำ DPIA (DPIA Identification): ประเมินว่าโครงการหรือกิจกรรมนั้นจำเป็นต้องทำ DPIA หรือไม่ โดยพิจารณาจากลักษณะของการประมวลผลข้อมูล เช่น ปริมาณข้อมูล ความอ่อนไหวของข้อมูล และผลกระทบที่อาจเกิดขึ้นต่อบุคคล
- อธิบายรายละเอียดของการประมวลผลข้อมูล (Description): อธิบายรายละเอียดของกระบวนการประมวลผลข้อมูลอย่างชัดเจน ครอบคลุมถึง สภาพ (nature), ขอบเขต (scope), บริบท (context) และวัตถุประสงค์ (purpose) ของการประมวลผล
- ปรึกษาผู้เกี่ยวข้อง (Consultation): ปรึกษากับผู้เชี่ยวชาญด้านความเป็นส่วนตัว เจ้าหน้าที่คุ้มครองข้อมูล หรือบุคคลที่เกี่ยวข้องอื่นๆ เพื่อรับฟังความคิดเห็นและมุมมองที่หลากหลาย
- ประเมินความจำเป็นและสัดส่วน (Necessity and proportionality): วิเคราะห์ว่าการประมวลผลข้อมูลนั้นจำเป็นต่อวัตถุประสงค์ที่ตั้งไว้หรือไม่ และว่าข้อมูลที่นำมาใช้มีความเหมาะสมกับวัตถุประสงค์นั้นหรือไม่
- ประเมินความเสี่ยง (Risk assessment): ระบุและประเมินความเสี่ยงที่อาจเกิดขึ้นต่อสิทธิและเสรีภาพของบุคคล เช่น ความเสี่ยงที่ข้อมูลจะรั่วไหล ความเสี่ยงที่ข้อมูลจะถูกนำไปใช้ในทางที่ผิด หรือความเสี่ยงที่บุคคลจะถูกตัดสินโดยอาศัยข้อมูล
- กำหนดมาตรการลดความเสี่ยง (Mitigating measures): กำหนดมาตรการเพื่อลดความเสี่ยงที่ระบุไว้ เช่น การเข้ารหัสข้อมูล การจำกัดการเข้าถึงข้อมูล การทำลายข้อมูลเมื่อไม่จำเป็นต้องใช้งาน หรือการแจ้งให้บุคคลทราบเกี่ยวกับการประมวลผลข้อมูล
- จัดทำเอกสาร (Documentation and planning): จัดทำเอกสารบันทึกขั้นตอนการทำ DPIA ทั้งหมด รวมถึงความเสี่ยงที่ระบุ มาตรการที่นำมาใช้ และเหตุผลในการเลือกใช้มาตรการนั้นๆ
- ติดตามและทบทวน (Monitoring and review): ติดตามประสิทธิภาพของมาตรการลดความเสี่ยงที่ได้กำหนดไว้ และทบทวน DPIA เป็นระยะ เพื่อให้แน่ใจว่ามาตรการเหล่านั้นยังคงมีความเหมาะสมและมีประสิทธิภาพ
Solution
จะเห็นได้ว่าการจัดทำ DPIA ให้เกิดประสิทธิภาพมีรายละเอียดหลายขั้นตอน แม้จะมีการประเมินความเสี่ยงด้านข้อมูลส่วนบุคคลภายในองค์กรไปแล้ว แต่หากมีการเปลี่ยนแปลงข้อมูล เช่น มีการเปลี่ยนวัตถุประสงค์การใช้ เปลี่ยนระยะเวลาในการเก็บรักษา องค์กรจะต้องประเมินความเสี่ยงใหม่ เพื่อให้ข้อมูลเป็นปัจจุบันอยู่เสมอและยังช่วยให้การตรวจสอบเป็นไปโดยง่าย
Netka Data Privacy & Protection หรือ NDPP เป็นแพลตฟอร์มด้านการจัดการด้านข้อมูลส่วนบุคคลที่นอกจากสามารถตอบโจทย์การประเมินความเสี่ยงแล้วแนวคิดการทำ NDPP ยังมาจากการนำหลักคิดตามกฎหมายมาพัฒนาเป็นเครื่องมือช่วยอำนวยความสะดวกและเพิ่มประสิทธิภาพในการประเมินความเสี่ยงของข้อมูลส่วนบุคคล โดยเครื่องมือจะช่วยคุณให้ประเมินความเสี่ยงได้อย่างมืออาชีพตั้งแต่การระบุความเสี่ยงจนถึงการวางแผนรับมือ แก้ไข โดยแสดงให้เห็นความโปร่งใส่ในทุกกระบวนการ เพราะมีขั้นตอนที่ผ่านการพิจารณาจากทั้งทีมและผู้เชี่ยวชาญ อีกทั้งยังจัดลำดับความเสี่ยงเป็นค่าสูงต่ำ ช่วยให้ DPO หรือคนผู้ที่เกี่ยวข้องเห็นภาพชัดเจนยิ่งขึ้น
Netka พร้อมเป็นพันธมิตรของคุณในการสร้างระบบความปลอดภัยที่แข็งแกร่ง ลองใช้โซลูชัน DPIA ของเราฟรี 7 วัน! เพียงแค่กรอกข้อมูลติดต่อด้านล่าง เราจะติดต่อกลับเพื่อให้คำแนะนำและตอบทุกข้อสงสัย ทดลองได้เลยวันนี้!
สอบถามข้อมูลผลิตภัณฑ์ ติดต่อ
Tel: 02978-6805, 02517-4993-4
Email: contact@netkasystem.com
