ธุรกิจต้องมี DPO เมื่อไร: ข้อมูลจำนวนมากไม่ใช่เกณฑ์เดียว

ธุรกิจต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือ DPO เมื่อการติดตามข้อมูลอย่างสม่ำเสมอเป็นส่วนหนึ่งของกิจกรรมหลักและเกี่ยวข้องกับข้อมูลจำนวนมาก หรือเมื่อกิจกรรมหลักเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลอ่อนไหวตามมาตรา 26 มาตรา 41 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคล กำหนดเหตุทั้งสองทางนี้สำหรับผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล ส่วนหน่วยงานของรัฐมีเกณฑ์อีกทางหนึ่งตามประกาศที่เกี่ยวข้อง

สำหรับบริษัทเอกชน จำนวนลูกค้าจึงตอบคำถามนี้ลำพังไม่ได้ ต้องระบุก่อนว่าบริษัทใช้ข้อมูลในบริการที่เป็นหัวใจของกิจการหรืองานสนับสนุน จากนั้นแยกตรวจลักษณะการติดตามและขนาดของกิจกรรม พร้อมตรวจอีกทางว่าบริการหลักใช้ข้อมูลอ่อนไหวหรือไม่ หากเข้าเกณฑ์ทางใดทางหนึ่ง บริษัทต้องมี DPO และแจ้งข้อมูลกับช่องทางติดต่อให้เจ้าของข้อมูลและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลทราบ

ผังตัดสิน: เริ่มจากกิจกรรม ไม่ใช่ขนาดบริษัท

จุดตั้งต้นคือกิจกรรมที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจริง บริษัทเดียวอาจขายหลายบริการ และอาจเป็นผู้ควบคุมข้อมูลในงานหนึ่งแต่เป็นผู้ประมวลผลข้อมูลให้ลูกค้าในอีกงานหนึ่ง จึงควรแยกประเมินตามบริการและบทบาทของบริษัท การใช้ยอดลูกค้ารวมทุกผลิตภัณฑ์เป็นคำตอบเดียวอาจทำให้มองไม่เห็นว่ากิจกรรมใดเป็นเหตุให้ต้องมี DPO

1. ระบุบริการและบทบาทของบริษัทในแต่ละกิจกรรม: บริษัทกำหนดวัตถุประสงค์และวิธีใช้ข้อมูลเอง หรือประมวลผลตามคำสั่งลูกค้า ข้อมูลนั้นเกี่ยวกับใคร และใช้เพื่อผลลัพธ์ใด
2. ถามว่าการใช้ข้อมูลนั้นจำเป็นและสำคัญต่อเป้าหมายหลักของบริการหรือไม่ หากเป็นงานบุคลากรหรือระบบสนับสนุนภายใน ให้แยกออกจากงานที่ลูกค้าจ้างหรือใช้เป็นบริการหลัก
3. สำหรับกิจกรรมหลัก ถามว่ามีการติดตาม เฝ้าสังเกต วิเคราะห์ หรือสร้างลักษณะเฉพาะของบุคคลอย่างเป็นระบบและเป็นประจำหรือไม่ ถ้ามี จึงประเมินต่อว่าการใช้ข้อมูลมีขนาดใหญ่ตามเกณฑ์
4. ตรวจอีกทางหนึ่งว่ากิจกรรมหลักเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลตามมาตรา 26 หรือไม่ ทางนี้พิจารณาจากประเภทข้อมูลและบทบาทของข้อมูลในบริการ โดยไม่ต้องนำเกณฑ์การติดตามจำนวนมากจากทางก่อนมารวมเป็นเงื่อนไข
5. เมื่อพบเหตุที่เข้าเกณฑ์ ให้บันทึกว่าบริการใดและกิจกรรมใดเป็นเหตุ พร้อมระบุผู้รับหน้าที่ DPO และช่องทางติดต่อที่จะใช้แจ้งเจ้าของข้อมูลกับสำนักงาน

ผังนี้ควรให้คำตอบที่ตรวจสอบย้อนกลับได้มากกว่าคำว่า “มี” หรือ “ไม่มี” ในแต่ละกิจกรรม ให้เก็บคำอธิบายวัตถุประสงค์ ประเภทข้อมูล วิธีทำงาน และเหตุผลที่จัดเป็นงานหลักหรืองานสนับสนุนไว้ด้วย หากบริการหนึ่งเข้าเกณฑ์ แม้งานอีกหลายอย่างของบริษัทไม่เข้าเกณฑ์ บริษัทก็ยังมีหน้าที่จัดให้มี DPO การแยกกิจกรรมช่วยให้ระบุเหตุที่ต้องแจ้งได้ตรงกับงานจริง

กิจกรรมหลักของ SaaS ร้านค้าออนไลน์ และบริการรักษาความปลอดภัย

กิจกรรมหลัก คือการดำเนินงานที่จำเป็นและสำคัญต่อการบรรลุเป้าหมายของกิจการ เกณฑ์จึงดูหน้าที่ของข้อมูลในบริการ ไม่ได้ดูว่าทีมใดเป็นผู้ดูแลระบบ สำหรับผู้รับจ้างขนส่ง การใช้ข้อมูลลูกค้าเพื่อให้บริการและบันทึกการรับบริการเป็นตัวอย่างของงานหลัก สำหรับผู้รับจ้างรักษาความปลอดภัย การใช้ข้อมูลจากกล้องวงจรปิดเพื่อเฝ้าระวังสถานที่ก็เป็นงานหลักเช่นกัน งานบุคลากรและไอทีที่คอยสนับสนุนบริการเหล่านั้นอยู่คนละส่วนของการประเมิน

ตัวอย่างสมมติ: ผู้ให้บริการ SaaS รับจ้างวิเคราะห์พฤติกรรมผู้ใช้ในแอปของลูกค้าเพื่อนำผลไปจัดกลุ่มผู้ใช้ การวิเคราะห์คือสิ่งที่ลูกค้าซื้อ จึงมีเหตุให้จัดเป็นกิจกรรมหลัก แม้บริษัท SaaS จะประมวลผลข้อมูลตามคำสั่งลูกค้าก็ตาม จากนั้นยังต้องดูว่าการติดตามเกิดขึ้นเป็นระบบและเป็นประจำหรือไม่ และกิจกรรมนั้นมีขนาดใหญ่เพียงใด บทบาทผู้ประมวลผลไม่ได้ทำให้ข้ามคำถามเรื่อง DPO ไปได้

ตัวอย่างสมมติอีกแบบคือ SaaS ที่มีระบบบัญชีผู้ใช้เพื่อให้ลูกค้าเข้าสู่บริการ แต่ไม่ได้ขายการติดตามหรือวิเคราะห์บุคคลเป็นผลลัพธ์หลัก การมีบัญชีผู้ใช้จำนวนหนึ่งยังบอกไม่ได้ว่าระบบนั้นเป็นการตรวจสอบข้อมูลอย่างสม่ำเสมอตามเกณฑ์ ต้องดูว่ามีการเก็บเหตุการณ์การใช้งานอย่างไร นำไปใช้วิเคราะห์หรือประเมินบุคคลเพื่ออะไร และงานดังกล่าวเป็นส่วนจำเป็นของบริการหลักหรือเป็นเพียงส่วนสนับสนุน

ร้านค้าออนไลน์มีการใช้ชื่อ ที่อยู่ และรายละเอียดคำสั่งซื้อเพื่อขายและส่งสินค้าเป็นปกติ หากร้านค้าเพิ่มระบบติดตามการเข้าชมหลายครั้งเพื่อสร้างโปรไฟล์โฆษณาหรือประเมินความเสี่ยงผู้ซื้อ กิจกรรมนั้นมีลักษณะต่างจากการรับคำสั่งซื้อและส่งของ จึงควรแยกบันทึกวัตถุประสงค์กับวิธีติดตามของระบบดังกล่าว การเป็นอีคอมเมิร์ซเหมือนกันไม่ได้ทำให้ร้านค้าทุกรายมีคำตอบเดียวกัน

ในบริการรักษาความปลอดภัย การใช้กล้องเฝ้าระวังสถานที่เป็นส่วนของสิ่งที่ลูกค้าจ้าง แต่การจ่ายเงินเดือนพนักงานรักษาความปลอดภัยเป็นงานสนับสนุน แม้ทั้งสองงานจะใช้ข้อมูลส่วนบุคคลเหมือนกัน การแยกเช่นนี้มีผลต่อขั้นต่อไป: ต้องประเมินความสม่ำเสมอและขนาดของข้อมูลที่สัมพันธ์กับกิจกรรมหลัก ไม่ใช่นำระเบียนจากทุกระบบในบริษัทมารวมแล้วตัดสินจากยอดรวม

การติดตามต้องสม่ำเสมอ และขนาดต้องประเมินจากหลายปัจจัย

สำหรับทางที่เกี่ยวกับการตรวจสอบข้อมูลจำนวนมาก ต้องมีเงื่อนไขอยู่ร่วมกัน ได้แก่ งานนั้นเป็นส่วนหนึ่งของกิจกรรมหลัก มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ และเกี่ยวข้องกับข้อมูลจำนวนมาก ประกาศเกณฑ์ตามมาตรา 41(2) อธิบายทั้งลักษณะการติดตามและปัจจัยวัดขนาด โดยถือว่ากิจกรรมหลักที่เกี่ยวกับเจ้าของข้อมูลตั้งแต่ 100,000 รายขึ้นไปเป็นกรณีข้อมูลจำนวนมากด้วย

ลักษณะการตรวจสอบตามประกาศครอบคลุมการติดตาม เฝ้าสังเกต วิเคราะห์ หรือทำนายพฤติกรรม ทัศนคติ และลักษณะเฉพาะของบุคคล เมื่อการใช้ข้อมูลเกิดขึ้นอย่างเป็นระบบและเป็นประจำ ตัวอย่างที่ระบุไว้มีข้อมูลการใช้งานบัตรสมาชิก การตรวจสถานะหรือประวัติลูกค้าเป็นปกติเพื่อประเมินความเสี่ยง การโฆษณาตามพฤติกรรม และการเฝ้าระวังสถานที่ ตัวอย่างเหล่านี้ชี้ให้ดูสิ่งที่ระบบทำกับบุคคลซ้ำ ๆ มากกว่าดูเพียงว่าบริษัทเก็บข้อมูลไว้หรือไม่

การตรวจข้อมูลการใช้บัตรสมาชิกต่างจากการเก็บชื่อไว้เพื่อออกใบเสร็จ เพราะผู้ให้บริการสามารถดูรายละเอียดการใช้บัตรตามเวลาและสถานที่ได้ การประเมินความเสี่ยงก่อนให้บริการเป็นประจำก็ต่างจากการตรวจข้อมูลเพื่อแก้ปัญหาเฉพาะครั้ง ธุรกิจจึงควรอธิบายความถี่ของการประมวลผล สิ่งที่ติดตาม และผลที่นำไปใช้กับบุคคล หากระบบทำงานต่อเนื่องตามการใช้งานของลูกค้า คำอธิบายนี้จะช่วยตอบเรื่องความสม่ำเสมอได้ตรงกว่าชื่อฟังก์ชันทางการตลาด

เมื่อผ่านคำถามเรื่องลักษณะงานแล้ว การประเมินขนาดไม่ได้จบที่การนับระเบียน ปัจจัยที่ต้องดูมีจำนวนหรือสัดส่วนเจ้าของข้อมูล ปริมาณ ประเภทและลักษณะข้อมูล ระยะเวลาหรือความคงอยู่ของการใช้ข้อมูล รวมถึงขอบเขตการใช้ในองค์กรและพื้นที่ที่เกี่ยวข้อง การมีหลายรายการต่อเจ้าของข้อมูลคนเดียวจึงไม่ควรถูกนับเป็นหลายคน ขณะเดียวกันจำนวนคนที่ต่ำกว่าเกณฑ์ตัวอย่างก็ไม่ทำให้สรุปได้ทันทีว่ากิจกรรมมีขนาดเล็ก

ประกาศยังระบุกรณีที่ถือว่ามีข้อมูลจำนวนมาก เช่น การโฆษณาตามพฤติกรรมผ่านโปรแกรมค้นหาหรือสื่อสังคมออนไลน์ที่มีผู้ใช้งานอย่างกว้างขวาง และข้อมูลลูกค้าจากการดำเนินงานปกติของกิจการบางประเภทที่ระบุไว้โดยเฉพาะ ประเด็นนี้ไม่ควรถูกขยายไปยังทุกแคมเปญโฆษณาหรือทุกบริษัทในอุตสาหกรรมเดียวกัน ต้องเทียบกิจกรรม ช่องทาง และฐานะของผู้ประกอบการกับถ้อยคำของเกณฑ์ที่ใช้จริง

ตัวอย่างสมมติ: ร้านค้าที่เก็บประวัติคำสั่งซื้อไว้เพื่อจัดส่งและรับคืนสินค้า กับแพลตฟอร์มที่ติดตามการใช้งานของผู้คนเป็นประจำเพื่อกำหนดโฆษณา อาจมีฐานข้อมูลลูกค้าทั้งคู่ แต่สิ่งที่ข้อมูลทำในบริการต่างกัน การประเมินจึงควรแสดงจำนวนเจ้าของข้อมูลที่เกี่ยวข้องกับกิจกรรมติดตามโดยตรง ระยะเวลาที่ติดตาม และขอบเขตการใช้ผลวิเคราะห์ ไม่ใช่ยกยอดลูกค้าทั้งบริษัทมาแทนทุกปัจจัย

ข้อมูลอ่อนไหวเป็นอีกทางหนึ่งของหน้าที่ DPO

ทางที่เกี่ยวกับข้อมูลตามมาตรา 26 ถามว่าการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลประเภทนั้นเป็นกิจกรรมหลักของผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูลหรือไม่ ข้อมูลที่กฎหมายระบุรวมถึงข้อมูลสุขภาพ ความพิการ ความเชื่อทางศาสนา ความคิดเห็นทางการเมือง ประวัติอาชญากรรม ข้อมูลพันธุกรรม และข้อมูลชีวภาพ เงื่อนไขของทางนี้อยู่ที่ประเภทข้อมูลและความสำคัญของข้อมูลต่อบริการ จึงไม่ต้องพิสูจน์ว่ามีการติดตามบุคคลจำนวนมากอย่างสม่ำเสมอด้วย

ตัวอย่างสมมติ: ผู้ให้บริการที่ประมวลผลข้อมูลสุขภาพของผู้รับบริการเป็นแกนของผลิตภัณฑ์ควรประเมินทางนี้โดยตรง แม้ไม่มีระบบโฆษณาตามพฤติกรรม ส่วนบริษัทขายสินค้าทั่วไปที่เก็บข้อมูลสุขภาพพนักงานเพื่อจัดการสิทธิด้านบุคลากรมีข้อเท็จจริงต่างกัน การมีข้อมูลอ่อนไหวอยู่ในองค์กรไม่ได้ทำให้ทุกกิจกรรมกลายเป็นบริการด้านข้อมูลอ่อนไหว ต้องดูวัตถุประสงค์ของงานที่ใช้ข้อมูลนั้น

อีกตัวอย่างสมมติคือธุรกิจที่ใช้ข้อมูลชีวภาพเพื่อยืนยันตัวตนเป็นส่วนจำเป็นของบริการที่ขายให้ลูกค้า คำถามสำคัญคือใครกำหนดวิธีใช้ข้อมูล บริษัททำหน้าที่ใด และหากตัดการใช้ข้อมูลดังกล่าวออก บริการหลักยังทำงานตามที่เสนอแก่ลูกค้าได้หรือไม่ หากข้อมูลชีวภาพอยู่เพียงในระบบลงเวลาพนักงานของบริษัทที่ขายสินค้าอื่น งานนั้นมีบทบาทต่างออกไป การวิเคราะห์จึงต้องยึดบริการจริง ไม่ใช่ยึดเพียงชนิดของเครื่องมือที่องค์กรมี

เมื่อบริษัทเข้าข่ายต้องมี DPO ผู้รับหน้าที่อาจเป็นพนักงานหรือผู้รับจ้างตามสัญญา กิจการในเครืออาจใช้ DPO ร่วมกันได้ตามเงื่อนไขของกฎหมาย โดยสถานที่ทำการแต่ละแห่งต้องติดต่อบุคคลนั้นได้สะดวก งานของ DPO ครอบคลุมการให้คำแนะนำ ตรวจการปฏิบัติตามกฎหมาย ประสานงานกับสำนักงาน และรักษาความลับของข้อมูลที่ทราบจากหน้าที่ หากมอบงานอื่นให้ทำร่วมกัน บริษัทต้องดูไม่ให้หน้าที่เหล่านั้นขัดกับบทบาทคุ้มครองข้อมูล

เตรียมข้อมูลและเอกสารก่อนแจ้งใน PDPC Portal

หลังระบุเหตุที่ต้องมี DPO และตัวผู้รับหน้าที่แล้ว ให้เตรียมข้อมูลนิติบุคคล ช่องทางติดต่อ และเอกสารแต่งตั้ง หน้าลงทะเบียน PDPC Portal แยกเหตุที่ต้องมี DPO เป็นหน่วยงานรัฐ การตรวจสอบข้อมูลจำนวนมากอย่างสม่ำเสมอ และกิจกรรมหลักที่ใช้ข้อมูลตามมาตรา 26 พร้อมช่องอัปโหลดหนังสือรับรองการจดทะเบียนนิติบุคคลอายุไม่เกิน 3 เดือนหรือกฎหมายจัดตั้งหน่วยงานรัฐ และคำสั่งหรือหนังสือแต่งตั้ง DPO

ข้อมูลหน่วยงานที่ควรเตรียมมีที่อยู่จดทะเบียน รายละเอียดที่ตั้ง พิกัด ผู้ประสานงาน ตำแหน่ง เบอร์โทรศัพท์ และอีเมลกลางสำหรับเข้าสู่ระบบ ช่องใน Portal แยกข้อมูลหน่วยงานออกจากข้อมูล DPO จึงควรตกลงภายในบริษัทให้ชัดว่าใครเป็นผู้ประสานงานเรื่องบัญชีผู้ใช้ และใครเป็น DPO ที่เจ้าของข้อมูลต้องติดต่อได้จริง ทั้งสองบทบาทอาจเกี่ยวข้องกัน แต่ข้อมูลติดต่อควรสะท้อนหน้าที่ของแต่ละคน

สำหรับเหตุที่เลือกในแบบแจ้ง ให้ใช้ผลจากผังประเมินกิจกรรม หากเลือกทางการตรวจสอบอย่างสม่ำเสมอ ควรมีคำอธิบายกิจกรรมหลัก วิธีติดตามบุคคล และเหตุผลเรื่องขนาดข้อมูลอยู่ในบันทึกภายใน หากเลือกทางข้อมูลอ่อนไหว ควรระบุว่าข้อมูลประเภทใดเป็นส่วนของบริการหลัก และบริษัทเป็นผู้ควบคุมหรือผู้ประมวลผลในกิจกรรมนั้น บันทึกเหล่านี้ช่วยให้เหตุที่แจ้งสอดคล้องกับวิธีทำงานจริง แม้แบบลงทะเบียนไม่ได้ขอให้อัปโหลดคำวิเคราะห์ทั้งหมด

ก่อนส่งข้อมูล ควรเทียบชื่อนิติบุคคลกับหนังสือรับรอง ตรวจว่าหนังสือแต่งตั้งระบุผู้รับหน้าที่ตรงกับข้อมูลที่กรอก และทดสอบว่าช่องทางติดต่อ DPO ใช้งานได้ หน้าที่แจ้งตามกฎหมายครอบคลุมทั้งสำนักงานและเจ้าของข้อมูล จึงต้องมีวิธีให้เจ้าของข้อมูลติดต่อ DPO เกี่ยวกับการใช้ข้อมูลและการใช้สิทธิของตนได้ด้วย หากบริษัทเพิ่มบริการที่ติดตามผู้ใช้ เปลี่ยนขอบเขตการใช้ข้อมูล หรือเริ่มใช้ข้อมูลอ่อนไหวเป็นแกนของบริการ เหตุที่เคยประเมินไว้ควรถูกทบทวนพร้อมข้อมูลติดต่อที่เผยแพร่