พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) บังคับใช้เต็มรูปแบบแล้ว และการตรวจสอบก็เข้มงวดขึ้นเรื่อยๆ บทความนี้สรุปเป็น checklist ที่ผู้บริหารใช้ประเมินความพร้อมขององค์กรได้ด้วยตัวเองภายในเวลาไม่นาน
หมวดที่ 1: การกำกับดูแลและนโยบาย
- องค์กรมีนโยบายคุ้มครองข้อมูลส่วนบุคคลที่เป็นลายลักษณ์อักษรและประกาศให้พนักงานทราบ
- มีการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล (DPO) หรือผู้รับผิดชอบที่ชัดเจน
- ผู้บริหารระดับสูงเข้าใจและสนับสนุนการดำเนินการด้าน PDPA
หมวดที่ 2: การจัดการข้อมูล
- มีบันทึกรายการกิจกรรมการประมวลผลข้อมูล (RoPA) ที่เป็นปัจจุบัน
- รู้ว่าเก็บข้อมูลส่วนบุคคลอะไรบ้าง เก็บที่ไหน และใครเข้าถึงได้
- มีการจัดประเภทข้อมูลตามความอ่อนไหว
หมวดที่ 3: สิทธิของเจ้าของข้อมูล
- มีช่องทางและกระบวนการรองรับคำขอใช้สิทธิ (เข้าถึง แก้ไข ลบ)
- มีการขอความยินยอม (consent) ที่ถูกต้องและเก็บหลักฐานได้
- มีประกาศความเป็นส่วนตัว (Privacy Notice) ที่ชัดเจนบนช่องทางที่เก็บข้อมูล
หมวดที่ 4: ความปลอดภัยและการรับมือเหตุ
- มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลที่เหมาะสม
- มีแผนรับมือเหตุข้อมูลรั่วไหล และรู้ว่าต้องแจ้งภายใน 72 ชั่วโมง
- มีสัญญากับผู้ประมวลผลข้อมูล (Data Processor Agreement) กับคู่ค้า
วิธีให้คะแนน
ถ้าตอบ "ใช่" ได้น้อยกว่า 6 ข้อ องค์กรมีความเสี่ยงสูงและควรเริ่มทำ Gap Assessment โดยเร็ว หากได้ 6–9 ข้อ ถือว่ากำลังไปได้ดีแต่ยังมีช่องว่าง และหากได้ 10 ข้อขึ้นไป องค์กรอยู่ในเกณฑ์ที่ดี เหลือเพียงการรักษาให้ต่อเนื่อง
PDPA ไม่ใช่โครงการที่ทำครั้งเดียวจบ แต่เป็นกระบวนการต่อเนื่อง ทีมของเราช่วยประเมิน gap วางแผนแก้ไข และให้คำปรึกษาบทบาท DPO ได้ตลอดเส้นทาง
