คู่มือจัดทำบันทึกรายการกิจกรรมการประมวลผลตาม PDPA สำหรับทีมไอที

เริ่มจากคำถามเดียวกันเสมอ

ไม่ว่าจะเป็นเรื่องบันทึกรายการ การตอบคำขอจากเจ้าของข้อมูล หรือการแจ้งเหตุละเมิด ทุกเรื่องเริ่มจากคำถามเดียวกันคือองค์กรเก็บข้อมูลส่วนบุคคลอะไรไว้ที่ไหน หากยังตอบไม่ได้ นโยบายที่เขียนไว้ก็จะยังบังคับใช้ไม่ได้จริง

• ไล่รายการระบบที่เก็บข้อมูลส่วนบุคคล รวมถึงไฟล์แนบในอีเมล ไฟล์แชร์ และรายงานที่ส่งออกไปแล้ว
• อย่าลืมสำเนาที่มองไม่เห็น เช่น ข้อมูลสำรอง ระบบทดสอบ และระบบที่เลิกใช้แต่ยังไม่ได้ปิด
• ระบุผู้รับผิดชอบของแต่ละระบบให้ชัด เพื่อให้มีคนตอบคำถามได้เมื่อถูกสอบถาม

ข้อมูลที่ทีมไอทีต้องเป็นคนให้

• ประเภทข้อมูล: ระบุว่าแต่ละระบบเก็บข้อมูลประเภทใด และมีข้อมูลอ่อนไหวอยู่ด้วยหรือไม่
• ผู้ที่เข้าถึงได้: ระบุกลุ่มผู้ใช้และสิทธิ์ที่มี รวมถึงผู้ให้บริการภายนอกที่เข้าถึงข้อมูลได้
• ระยะเวลาเก็บรักษา: ระบุว่าข้อมูลถูกเก็บนานเท่าใด และมีกลไกลบเมื่อครบกำหนดหรือไม่
• มาตรการความปลอดภัย: ระบุการควบคุมสิทธิ์ การเข้ารหัส และการเก็บบันทึกการเข้าถึงที่ใช้อยู่จริง

ผู้ให้บริการภายนอกอยู่ในขอบเขตด้วย

เมื่อองค์กรส่งข้อมูลส่วนบุคคลไปประมวลผลที่ผู้ให้บริการภายนอก เช่น ระบบคลาวด์ ระบบส่งอีเมล หรือระบบวิเคราะห์ข้อมูล ความรับผิดชอบไม่ได้โอนไปด้วย ทีมไอทีจึงควรรู้ว่ามีผู้ให้บริการรายใดบ้างที่เข้าถึงข้อมูลได้ ข้อมูลถูกเก็บไว้ที่ใด และมีการส่งหรือโอนข้อมูลออกนอกประเทศหรือไม่ ซึ่งมีประกาศกำหนดหลักเกณฑ์ไว้เป็นการเฉพาะ

ทำให้เป็นงานที่อยู่ได้ ไม่ใช่เอกสารที่ทำครั้งเดียว

ปัญหาที่พบบ่อยที่สุดไม่ใช่การจัดทำบันทึกครั้งแรก แต่คือการทำให้บันทึกนั้นยังตรงกับความจริงหลังผ่านไปหนึ่งปี วิธีที่ได้ผลคือผูกการปรับปรุงบันทึกเข้ากับกระบวนการที่มีอยู่แล้ว เช่น ทุกครั้งที่เปิดใช้ระบบใหม่หรือเพิ่มผู้ให้บริการรายใหม่ ให้ถือเป็นขั้นตอนหนึ่งของการอนุมัติ แทนการตั้งเป็นโครงการทบทวนประจำปีที่มักถูกเลื่อนออกไป