ทำความรู้จัก DPIA (Data Protection Impact Assessment) สำคัญต่อองค์กรอย่างไร?
|
ทำความรู้จัก DPIA (Data Protection Impact Assessment) สำคัญต่อองค์กรอย่างไร?
ปฏิเสธไม่ได้ว่าปัจจุบัน จำนวนของข้อมูลในองค์กร ยิ่งมากยิ่งเป็นสิ่งที่ดีต่อการโฆษณา ดีต่อการพัฒนาผลิตภัณฑ์ แต่ขณะเดียวกันยิ่งมีข้อมูลมาก ก็ยิ่งมีความเสี่ยงต่อการรั่วไหล เสี่ยงต่อการจารกรรมข้อมูล ดังนั้นการหยิบยืมข้อมูลจากเจ้าของข้อมูลส่วนบุคคล (Data Subject) มาเก็บไว้ภายในองค์กร จำเป็นต้องมีวิธีรักษาความปลอดภัยให้กับข้อมูลอย่างรอบด้าน ซึ่งกฎหมายก็พยายามชี้ให้เห็นว่า ไม่จำเป็นต้องรอให้เกิดเหตุข้อมูลรั่วไหล แล้วจึงหาทางป้องกัน แต่ควรวางแผนป้องกันข้อมูลจากความเสี่ยง จากเหตุที่ไม่คาดคิด ก่อนที่เหตุนั้นจะเกิดขึ้นจริง กระบวนการสำคัญที่ช่วยให้องค์กรรู้ถึงจุดเสี่ยง ช่องโหว่ที่อันตรายในกระบวนการต่างๆ ของ PDPA เพื่อนำไปสู่การวางแผนรับมือ หรือแก้ไขช่องโหว่ก่อนจะเกิดเหตุ คือ กระบวนการ DPIA DPIA Introduction: ความหมายและขอบเขตของกระบวนการ DPIADPIA มีชื่อเต็มคือ Data Protection Impact Assessment หรือ การประเมินผลกระทบ/ ความเสี่ยงด้านการคุ้มครองข้อมูลส่วนบุคคล เป็นกระบวนการที่ถูกระบุให้เป็นขั้นตอนที่ต้องทราบ “ผลกระทบ” และ “มาตรการที่เหมาะสมกับผลกระทบและความเสี่ยง” มาตรา 30, 37 (4), 39 วรรคสาม, 40 วรรคสี่, 37 (1), 39 (8), 40 (2), 4 วรรคสาม ในพ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล DPIA มีวัตถุประสงค์เพื่อดำเนินการหามาตรการบรรเทาความเสี่ยง ให้อยู่ในระดับที่ยอมรับได้และเพื่อให้การประเมินผลกระทบมีประสิทธิภาพ และเป็นไปตามมาตรฐานสากล และยังมีส่วนช่วยให้ Data Controller สามารถจัดลำดับความสำคัญของความเสี่ยงในกระบวนการ PDPA จำกัดขอบเขตกระบวนการที่มีความเสี่ยงสูง ช่วยให้สามารถออกแบบแผนเพื่อป้องกันและรับมือการละเมิดข้อมูล หรือเหตุข้อมูลรั่วไหลที่มาจากกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่สุ่มเสี่ยงได้  ทำไมองค์กรต้องทำ DPIAนอกจากเหตุผลด้านจำนวนข้อมูลที่มหาศาล ภัยไซเบอร์ที่คุกคามข้อมูลส่วนบุคคล กลโกงของเหล่าแฮ็กเกอร์ที่มาในรูป Cyber Threats รูปแบบต่างๆ ที่กล่าวไปในช่วงต้นแล้ว ความชะล่าใจหลังจากกระบวนการ PDPA ภายในองค์กรที่ดำเนินการแล้ว ความเชื่อที่ว่าข้อมูลจะปลอดภัยจากการแฮ็ก หรือปลอดภัยจากการทำผิดข้อกำหนดของกฎหมาย เป็นสิ่งที่นำมาภัยมาสู่หลายๆ องค์กร เนื่องจาก การที่องค์กรทำตามขั้นตอนที่กฎหมายกำหนดครบทุกกระบวนการ ไม่รับประกันความปลอดภัยของข้อมูล และไม่การันตีว่าแฮ็กเกอร์จะไม่คุกคามระบบขององค์กร ขณะที่ภัยคุกคามข้อมูลมีความหลากหลาย อาจแฝงอยู่ในกระบวนการประมวลผลข้อมูล การส่งต่อ/แชร์ข้อมูลระหว่าง Data Controller & Data Processor หรืออาจแฝงอยู่ในกระบวนการทำงานภายในองค์กรเอง หากขาดการจัดการที่ดี หรือขาดกระบวนการที่รัดกุม ภัยที่แฝงอยู่ ก็อาจนำไปสู่ภัยร้ายที่ทำลายข้อมูลส่วนบุคคล ทำลายระบบจัดเก็บ หรือทำลายระบบรักษาความปลอดภัยในองค์กร จนนำไปสู่การฟ้องร้องเอาผิดจากเจ้าของข้อมูล หรือการดำเนินการทางกฎหมายจากหน่วยงานกำกับดูแลได้ การลงโทษบุคคลหรือองค์กร ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล มี 3 ระดับ ได้แก่ โทษทางอาญา ผู้กระทำผิดจะถูกลงโทษทางอาญา ในกรณีที่มีการนำข้อมูลส่วนบุคคลอ่อนไหว ไปประมวลผล เผยแพร่ทำให้เกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่นเกลียดชัง โทษสูงสุดจำคุก 6เดือน หรือปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ กรณีที่มีการนำข้อมูลส่วนบุคคลอ่อนไหว ไปหาประโยชน์แบบผิดกฎหมาย โทษสูงสุดคือจำคุก 1 ปีหรือปรับไม่เกิน 1,000,000 บาท หรือทั้งจำทั้งปรับ โทษทางแพ่ง บทลงโทษทางแพ่ง ในกรณีที่ผู้ประสงค์ร้ายหรือผู้ร้าย นำข้อมูลส่วนบุคคลไปสร้างความเสียหายแก่เจ้าของข้อมูล เจ้าของข้อมูลมีสิทธิเรียกร้องค่าเสียหาย เป็นค่าสินไหมทดแทนอิงจากความเสียหายที่ได้รับจริง ศาลใช้อำนาจสั่งลงโทษเพิ่มขึ้นได้แต่ไม่เกิน 2 เท่าของสินไหมทดแทนที่แท้จริง โทษทางปกครอง กรณีที่มีการกระทำผิด เกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล โดยไม่มีการดำเนินการขอความยินยอมจากเจ้าของข้อมูล ไม่มีช่องทางรองรับให้เจ้าของข้อมูลใช้สิทธิ มีโทษปรับไม่เกิน 1,000,000 บาท กรณีที่ทำการเก็บ รวบรวม เผยแพร่ข้อมูลส่วนบุคคลโดยปราศจากฐานทางกฎหมาย มีโทษปรับไม่เกิน 3,000,000 บาท กรณีที่มีการเก็บ รวบรวม เผยแพร่ โอนถ่ายข้อมูลส่วนบุคคลอ่อนไหว โดยวัตถุประสงค์ที่ไม่ชอบด้วยกฎหมาย มีโทษปรับไม่เกิน 5,000,000 บาท นอกจากนี้ การทำ DPIA จะถือเป็นการปฏิบัติตามข้อกำหนดของกฎหมาย PDPA ของไทยแล้ว กระบวนการประเมินความเสี่ยงและผลกระทบ ยังเป็นแนวปฏิบัติที่กฎหมาย GDPR (กฎหมายคุ้มครองข้อมูลส่วนบุคคลแห่งสหภาพยุโรป) และปรากฎอยู่ในมาตรฐาน ISO ซึ่งระบุว่า เครื่องมือสำหรับการประเมินผลกระทบที่อาจเกิดขึ้นกับความเป็นส่วนตัวของกระบวนการ (process), ระบบข้อมูล (system), โปรแกรม (program) โมดูลซอฟต์แวร์ (module), อุปกรณ์ (device), หรือการเริ่มต้นอื่น ๆ ในการประมวลผลข้อมูลส่วนบุคคลที่สามารถระบุตัวตนได้ (PII) และ การปรึกษาหารือ (consultation) กับผู้มีส่วนได้ส่วนเสียเพื่อดำเนินการตามความจำเป็นในการจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล อ่านมาถึงตรงนี้ องค์กรอาจมีคำถามมากมายเกี่ยวกับ DPIA และอาจสงสัยว่าองค์กรของท่านต้องทำ DPIA หรือไม่ ต้องมีจำนวนข้อมูลส่วนบุคคลจัดเก็บไว้ในฐานข้อมูลมากเท่าไหร่ถึงจะต้องทำ DPIA กิจกรรมหรือกระบวนการประมวลผลข้อมูลใดในองค์กรที่ควรทำ/ ไม่ควรทำ DPIA โพสต์นี้ t-reg มีคำตอบให้ เริ่มที่ลักษณะธุรกิจที่ควรทำ DPIA กันเลย ลักษณะธุรกิจ/ กิจการที่ต้องทำ DPIA
กิจกรรมการประมวลผลข้อมูลที่ควรทำ DPIA
DPIA ควรริเริ่มและดำเนินการอย่างไรให้สำเร็จDPIA เป็นกระบวนการที่มีรายละเอียดปลีกย่อยไม่น้อย และต้องอาศัยความแม่นยำอย่างมาก ซึ่งรายละเอียดปลีกย่อยของการทำ DPIA อาจแตกต่างกันไปตามประเภทของข้อมูลส่วนบุคคลที่องค์กรจัดเก็บ รวมถึงกระบวนการจัดเก็บข้อมูล และปริมาณข้อมูล t-reg จึงขออธิบายกระบวนการสำคัญที่ควรมีในการทำ DPIA ที่ทุกองค์กรสามารถนำไปประยุกต์ใช้ต่อได้ ดังนี้
เราทราบถึงความสำคัญของกระบวนการ DPIA กันมาพอสมควรแล้ว และพอจะทราบในเบื้องต้นแล้วว่าการริเริ่มและดำเนินการมีลำดับอย่างไร หัวข้อถัดไปมาดูกันว่าการประเมินผลกระทบ/ ความเสี่ยงด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ที่ครบถ้วน จะช่วยสนับสนุนกระบวนการอื่นๆ ในองค์กรได้อย่างไรบ้าง ประโยชน์ของการประเมินผลกระทบ/ ความเสี่ยงด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)
ทั้งหมดนี้คือรายละเอียด ขอบเขต และประโยชน์ของ DPIA จะเห็นว่า DPIA นั้นมีความสำคัญไม่น้อยไปกว่าการรักษาความปลอดภัยเชิงกายภาพ การทำ DPIA จะช่วยให้องค์กรประเมินภาพรวมของความเสี่ยงในของการประมวลผลข้อมูลส่วนบุคคลได้ และมีประโยชน์มากมายต่อองค์กรที่ดำเนินการจนสำเร็จ
โดยสรุปแล้ว การทำ DPIA ถือเป็นหนึ่งกระบวนการที่กฎหมาย พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ระบุให้เป็นขั้นตอนที่ต้องทราบ ทั้งนี้ก็เพื่อเป็นการประเมินผลกระทบและบรรเทาความเสี่ยง ด้านการคุ้มครองข้อมูลส่วนบุคคลให้อยู่ในระดับที่ยอมรับได้ รวมถึงช่วยให้สามารถออกแบบแผนเพื่อป้องกันและรับมือการละเมิดข้อมูล หรือเหตุข้อมูลรั่วไหลที่มาจากกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่สุ่มเสี่ยงได้
ที่มา : https://t-reg.co/blog/news/pdpa-dpia-data-protection-impact-assessment/
|
