มี PDPA แล้ว ยังต้องทำ GDPR อยู่ไหม?

ในยุคนี้ที่รูปแบบการทำการตลาดเริ่มเปลี่ยนจากการตลาดรูปแบบเดิมอย่างสื่อสิ่งพิมพ์ ไปเป็นการตลาดออนไลน์ที่ผู้บริโภคเข้าถึงสินค้าหรือบริการง่ายเพียงปลายนิ้ว ส่วนที่แทบจะเรียกได้ว่าเป็นหัวใจสำคัญของการตลาดในยุคนี้คือ “ข้อมูล” นั่นเอง

B2B กับ B2C ความแตกต่างของการทำ PDPA

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA คือ กฎหมายคุ้มครองข้อมูลส่วนบุคคล จะเริ่มใช้บังคับเต็มรูปแบบในวันที่ 1 มิถุนายน 2565 ส่งผลให้ภาคธุรกิจต้องปรับตัวกับการใช้หรือเก็บข้อมูลส่วนบุคคลของลูกค้าครั้งใหญ่ ซึ่งข้อมูลส่วนบุคคลเป็นข้อมูลที่สามารถแสดงตัวตนได้ ไม่ว่าทางตรงหรือทางอ้อม และเป็นได้ทั้งข้อมูลในรูปแบบออนไลน์หรือออฟไลน์ เช่น ชื่อ ที่อยู่ เบอร์โทรศัพท์ อีเมล เลขที่บัญชีธนาคาร ข้อมูลชีวภาพ (ลายนิ้วมือ, ภาพสแกนใบหน้า) ข้อมูลประกันสังคม ประวัติอาชญากรรม เป็นต้น คราวนี้เรามาศึกษากันว่าธุรกิจ B2B จะต้องปรับตัวกับการมาถึงของกฎหมายฉบับนี้อย่างไรกันบ้าง

PDPA ส่งผลกระทบกับธุรกิจ B2B อย่างไร พร้อมแนวทางการรับมือสำหรับธุรกิจ

ตามที่คณะรัฐมนตรี (ครม.) มีมติเห็นชอบออกพระราชกฤษฎีกาขยายเวลาบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) เมื่อวันที่ 7 พฤษภาคม 2564 โดยเลื่อนออกไปอีก 1 ปี และให้บังคับใช้เต็มรูปแบบในวันที่ 1 มิถุนายน 2565 ส่งผลกระทบต่อภาคธุรกิจในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) โดยตรง ซึ่งในบางองค์กรอาจเห็นว่าการเลื่อนในครั้งนี้เป็นข้อดี เพราะยังไม่สามารถดำเนินการให้สอดคล้องตามกฎหมาย PDPA ทั้งหมดได้ ซึ่งเหตุผลก็คงมีหลายปัจจัยทั้งเรื่อง สถานการณ์การแพร่ระบาดของเชื้อไวรัสโคโรนา (โควิด-19) ที่ยังคงมีอยู่อย่างต่อเนื่องและรุนแรง ทำให้กระบวนการหลายฝ่ายต้องหยุดชะงักหรือถูกเลื่อนออกไป หรืออาจเกิดจากการขาดผู้เชี่ยวชาญหรือองค์กรขาดสภาพคล่องทางธุรกิจทำให้จัดทำ PDPA ไม่ทันกำหนด

ทำไมธุรกิจจำเป็นต้องเตรียมพร้อมและปรับตัว แม้ PDPA เลื่อน?

PDPA กำหนดว่าเมื่อธุรกิจได้ข้อมูลมาแล้ว ก็ต้องจัดให้มีมาตรการรักษาความปลอดภัยข้อมูลส่วนบุคคล (Data security) ด้วย ซึ่งแน่นอนว่าแทบทุกแผนกในองค์กรทั้งแผนก IT กฎหมาย HR ฝ่ายขาย ฝ่ายการตลาด ฝ่าย Customer Service ฝ่ายการเงินการบัญชี ก็มีการใช้ เก็บรวบรวมหรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้า พนักงานบริษัท บริษัทคู่ค้า (vendor) บริษัทที่ได้รับการว่าจ้าง (outsource) ผู้เข้าร่วมสัมมนา ผู้สมัครงาน อย่างแน่นอน ดังนั้น บุคลากรแต่ละฝ่ายจึงจำเป็นต้องมีความรู้ความเข้าใจ PDPA โดยเฉพาะแผนก HR ที่เป็นแผนกสำคัญในการจัด training ให้กับพนักงานจะต้องมีความรู้ด้าน PDPA ผ่านการอบรมหลักสูตร PDPA สำหรับ HR เพื่อให้ทุกฝ่ายปฏิบัติตามกฎหมายได้อย่างถูกต้อง

สิ่งที่ HR ต้องรู้และเข้าใจเกี่ยวกับ PDPA

PDPA (Personal Protection Data Act) หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลกำลังจะมีผลใช้บังคับในวันที่ 1 มิถุนายน 2565 ที่จะถึงนี้ คือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลที่เป็นกฎหมายสำหรับคุ้มครองการทำกิจกรรมใดๆ ที่มีการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล เช่น ไม่ว่าจะเป็น ข้อมูลส่วนบุคคลเรื่อง เพศ ศาสนาที่นับถือ พรรคการเมืองที่สนใจ สุขภาพ เงินในบัญชีธนาคาร ข้อมูลทางชีวภาพเช่นลายนิ้วมือ ที่ใช้ข้อมูลเหล่านี้ในการสมัครสมาชิกในเว็บไซต์ หรือการทำธุรกรรมใด ๆ ก็ตาม โดยจะคุ้มครองข้อมูลส่วนบุคคลที่บังคับใช้ทั้งกับบุคคลธรรมดาและนิติบุคคลที่อยู่ในไทยและในต่างประเทศ 

การสร้าง PDPA Awareness ให้พนักงาน มีความสำคัญอย่างไร?

กฎหมาย PDPA (Personal Data Protection Act) หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562  จะเริ่มบังคับใช้เต็มรูปแบบในเดือนมิถุนายน 2565 นี้ โดย PDPA เป็นกฎหมายที่ให้ความคุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นข้อมูลที่สามารถระบุถึงตัวเจ้าของข้อมูลนั้นได้ อาจเป็นได้ทั้งข้อมูลในรูปแบบเอกสาร กระดาษ หนังสือ หรือจัดเก็บในรูปแบบอิเล็กทรอนิกส์ก็ได้ ในระหว่างนี้ ภาคธุรกิจยังคงต้องปฏิบัติตามมาตรฐานรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลตามที่กระทรวงดิจิทัลฯ กำหนดใจความสำคัญไว้ โดยให้องค์กรจัดเตรียมระบบรักษาความปลอดภัยของข้อมูลส่วนบุคคลให้ปลอดภัยมากยิ่งขึ้น อีกทั้งเตรียมเอกสารแนวทางปฏิบัติ และเอกสารที่จำเป็นตามกฎหมาย รวมถึงเตรียมบุคลากรให้เกิดความเชี่ยวชาญ พร้อมกับสร้างทักษะให้กับพนักงานในองค์กรผ่านการอบรม PDPA  

PDPA เกี่ยวข้องกับใครบ้าง? พนักงานทุกคนจำเป็นต้องเข้าใจ PDPA หรือไม่?

ภาคธุรกิจหรือองค์กรในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตาม PDPA มีหน้าที่ต้องดำเนินการให้สอดคล้องตามกฎหมาย PDPA หนึ่งในนั้นคือต้องปฏิบัติตามสิทธิของเจ้าของข้อมูลส่วนบุคคล ซึ่งข้อมูลเหล่านั้นอาจเป็นของลูกค้า พนักงานในองค์กร หรือคู่ค้าของบริษัท ที่ธุรกิจขอความยินยอมเพื่อเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งไว้ หากไม่ปฏิบัติตาม จนทำให้ข้อมูลส่วนบุคคลโดนผู้ไม่ประสงค์ดีแฮ็ค ข้อมูลไป หรือข้อมูลรั่วไหลไปสู่ภายนอกโดยบังเอิญ องค์กรนั้นก็ต้องรับบทลงโทษ PDPA

บทลงโทษหากไม่ปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA)

เมื่อธุรกิจมีการจัดเก็บข้อมูลส่วนบุคคล ก็จำเป็นต้องปฏิบัติตามกฎหมาย และเตรียมความพร้อม PDPA ก่อนที่ กฎหมายจะบังคับใช้เต็มรูปแบบในปีหน้า ทั้งด้านการจัดการข้อมูลส่วนบุคคล (Personal Data) ซึ่งรวมถึงการเตรียมความพร้อมด้านระบบที่รองรับและเอกสารทางกฎหมาย การรักษาความปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐาน รวมทั้งการสร้าง Awareness ด้าน PDPA ให้กับพนักงานในองค์กร

PDPA ต้องทำอะไรบ้าง? สรุปสิ่งที่ต้องเตรียมเพื่อรองรับ PDPA

PDPA Core ที่ปรึกษาผู้ให้บริการ PDPA แบบครบวงจรสำหรับองค์กรทุกขนาด

PDPA Core Blogs