PDPA สำหรับทีมพัฒนาซอฟต์แวร์: ทำระบบให้ถูกกฎหมายคุ้มครองข้อมูลส่วนบุคคล

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) บังคับใช้เต็มรูปแบบตั้งแต่ปี 2565 และ สคส. กำลังบังคับใช้เข้มข้นขึ้นทุกปี บทความนี้แปลงข้อกฎหมายเป็นแนวปฏิบัติสำหรับนักพัฒนา ตั้งแต่ฐานทางกฎหมาย การขอความยินยอม ไปจนถึงการแจ้งเหตุข้อมูลรั่วภายใน 72 ชั่วโมง

PDPA คืออะไร และเกี่ยวอะไรกับนักพัฒนา

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มีผลบังคับใช้เต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 กำกับดูแลโดยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. หรือ PDPC) ครอบคลุมการเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคล โดยมีโทษทางปกครองสูงสุด 3 ล้านบาท และโทษอาญาสำหรับข้อมูลอ่อนไหว รวมถึงช่วงปี 2568-2569 สคส. ได้เพิ่มการตรวจสอบและรับเรื่องร้องเรียนเชิงรุกมากขึ้นอย่างเห็นได้ชัด

สำหรับนักพัฒนา ทุกระบบที่มีการสมัครสมาชิก ฟอร์มติดต่อ ระบบ CRM หรือแม้แต่ Log ที่เก็บ IP Address ล้วนเข้าข่ายประมวลผลข้อมูลส่วนบุคคลทั้งสิ้น การออกแบบระบบให้สอดคล้อง PDPA ตั้งแต่ต้น (Privacy by Design) ถูกกว่าการตามแก้ทีหลังเสมอ

รู้จักฐานทางกฎหมาย: ไม่ใช่ทุกอย่างต้องขอ Consent

ความเข้าใจผิดที่พบบ่อยที่สุดคือคิดว่า PDPA บังคับให้ขอความยินยอมทุกกรณี ความจริงกฎหมายกำหนดฐานการประมวลผล (Lawful Basis) ไว้หลายฐาน เช่น ฐานสัญญา (จำเป็นต่อการให้บริการที่ลูกค้าสั่ง เช่น ที่อยู่จัดส่งสินค้า), ฐานหน้าที่ตามกฎหมาย (เช่น เก็บข้อมูลตามกฎหมายบัญชี) และฐานประโยชน์อันชอบธรรม ซึ่งไม่ต้องขอความยินยอมเพิ่ม

ความยินยอม (Consent) ควรใช้เมื่อไม่มีฐานอื่นรองรับ เช่น การส่งอีเมลการตลาด และตามแนวปฏิบัติของ สคส. การขอความยินยอมต้องแยกจากเงื่อนไขการใช้บริการ ใช้ภาษาที่เข้าใจง่าย ห้ามติ๊กถูกไว้ล่วงหน้า และผู้ใช้ต้องถอนความยินยอมได้ง่ายเท่ากับตอนให้ ระบบจึงควรเก็บบันทึกว่าใครยินยอมอะไร เมื่อไร ผ่านช่องทางใด

ฐานการประมวลผลที่ใช้บ่อย และสิ่งที่ระบบต้องเก็บเป็นหลักฐาน

ฐานทางกฎหมาย	ตัวอย่างการใช้งานจริง	สิ่งที่ระบบต้องบันทึกไว้
ฐานสัญญา	ที่อยู่จัดส่งสินค้า ข้อมูลบัญชีผู้ใช้ที่จำเป็นต่อการให้บริการ	วัตถุประสงค์ที่ผูกกับบริการนั้น และขอบเขตข้อมูลที่จำเป็น
ฐานหน้าที่ตามกฎหมาย	เอกสารที่ต้องเก็บตามกฎหมายบัญชีและภาษี	อ้างอิงกฎหมายที่รองรับ และระยะเวลาเก็บตามที่กฎหมายกำหนด
ฐานประโยชน์อันชอบธรรม	บันทึกการใช้งานเพื่อความปลอดภัยของระบบ การป้องกันการทุจริต	ผลการชั่งน้ำหนักระหว่างประโยชน์ขององค์กรกับสิทธิของเจ้าของข้อมูล
ความยินยอม	อีเมลการตลาด คุกกี้ที่ไม่จำเป็นต่อการทำงานของเว็บ	ใครยินยอม เมื่อไร ผ่านช่องทางใด ยินยอมกับวัตถุประสงค์ใด และการถอนความยินยอม

เก็บเท่าที่จำเป็น: หลัก Data Minimization ในทางปฏิบัติ

หลักการสำคัญของ PDPA คือเก็บข้อมูลเท่าที่จำเป็นต่อวัตถุประสงค์ที่แจ้งไว้ ก่อนเพิ่มฟิลด์ใด ๆ ในฟอร์ม ให้ทีมถามว่าใช้ทำอะไร ถ้าตอบไม่ได้ก็ตัดออก เช่น ระบบสมัครรับข่าวสารต้องการแค่อีเมล ไม่จำเป็นต้องขอเลขบัตรประชาชนหรือวันเกิด และควรระวังเป็นพิเศษกับข้อมูลอ่อนไหวตามมาตรา 26 เช่น ข้อมูลสุขภาพ ศาสนา และข้อมูลชีวภาพ ซึ่งมีเงื่อนไขเข้มกว่ามาก

กำหนดระยะเวลาเก็บรักษา (Retention Period) ให้ชัดเจนและบังคับใช้ในระบบจริง เช่น ลบหรือทำให้เป็นนิรนาม (Anonymize) ข้อมูลผู้สมัครงานที่ไม่ผ่านหลัง 1 ปี รวมถึงจัดทำบันทึกรายการประมวลผล (Records of Processing Activities) ซึ่งเป็นเอกสารที่กฎหมายกำหนดให้องค์กรต้องมี

สิทธิของเจ้าของข้อมูล: ฟีเจอร์ที่ระบบต้องรองรับ

PDPA ให้สิทธิเจ้าของข้อมูลหลายประการ เช่น สิทธิขอเข้าถึงและขอสำเนาข้อมูล สิทธิขอแก้ไข สิทธิขอลบ สิทธิคัดค้านการประมวลผล และสิทธิขอโอนย้ายข้อมูล ระบบที่ออกแบบดีควรเตรียมความสามารถเหล่านี้ไว้ล่วงหน้า เช่น ฟังก์ชัน Export ข้อมูลผู้ใช้เป็นไฟล์ และกระบวนการลบข้อมูลที่ครอบคลุมทั้งฐานข้อมูลหลัก ระบบสำรอง และบริการภายนอกที่ส่งข้อมูลไป

องค์กรควรกำหนดช่องทางรับคำขอใช้สิทธิ (DSAR) และตอบสนองภายในกรอบเวลาที่กฎหมายกำหนด โดยทั่วไปคือไม่เกิน 30 วัน ทีมพัฒนาควรซ้อมจริงว่าถ้ามีคำขอลบข้อมูลเข้ามาวันนี้ ต้องแตะกี่ระบบ ใช้เวลาเท่าไร เพราะหลายองค์กรพบว่าข้อมูลลูกค้ากระจายอยู่ในที่ที่ไม่มีใครจำได้

สิทธิของเจ้าของข้อมูล และความสามารถที่ระบบต้องมีเพื่อรองรับ

สิทธิตามกฎหมาย	ความสามารถที่ระบบต้องมี	จุดที่มักตกหล่น
ขอเข้าถึงและขอสำเนา	ส่งออกข้อมูลของผู้ใช้รายนั้นเป็นไฟล์ที่อ่านได้	ข้อมูลที่อยู่ในระบบวิเคราะห์และเครื่องมือภายนอกไม่ถูกรวมมาด้วย
ขอแก้ไขให้ถูกต้อง	แก้ไขข้อมูลแล้วกระจายไปยังระบบปลายทางที่เคยรับข้อมูลไป	แก้ที่ฐานข้อมูลหลักแล้ว แต่สำเนาในระบบอื่นยังเป็นค่าเดิม
ขอลบ	ลบหรือทำให้เป็นนิรนามครบทุกที่ รวมถึงระบบสำรองและผู้ประมวลผลภายนอก	ลบเฉพาะแถวในตารางหลัก แต่ยังเหลือใน Log สำเนาสำรอง และไฟล์ส่งออก
คัดค้านการประมวลผล	หยุดการประมวลผลตามวัตถุประสงค์ที่ถูกคัดค้านเป็นรายวัตถุประสงค์	ระบบรองรับแค่เปิดหรือปิดทั้งหมด แยกรายวัตถุประสงค์ไม่ได้
ขอโอนย้ายข้อมูล	ส่งออกในรูปแบบที่เครื่องอ่านได้และนำไปใช้ต่อได้	ส่งออกเป็นไฟล์ภาพหรือ PDF ซึ่งนำไปใช้ต่อไม่ได้จริง

มาตรการความปลอดภัยและการแจ้งเหตุข้อมูลรั่ว

กฎหมายกำหนดให้ผู้ควบคุมข้อมูลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ครอบคลุมการควบคุมการเข้าถึง การเข้ารหัสข้อมูลสำคัญ และการบันทึกการใช้งาน แนวปฏิบัติขั้นต่ำสำหรับทีมพัฒนา ได้แก่ เข้ารหัสข้อมูลทั้งตอนส่ง (TLS) และตอนจัดเก็บ, จำกัดสิทธิ์เข้าถึงฐานข้อมูล Production ตามหลัก Least Privilege และไม่นำข้อมูลจริงไปใช้ใน Environment ทดสอบโดยไม่ทำ Masking ทั้งนี้การยืนยันตัวตนที่แข็งแรงก็สำคัญไม่แพ้กัน เพราะเทคนิคฟิชชิงสมัยใหม่หลบการตรวจจับได้ดีขึ้นมาก ดังที่สรุปไว้ในบทความเรื่องฟิชชิงที่ประกอบหน้าปลอมในเบราว์เซอร์ของเหยื่อ

เมื่อเกิดเหตุละเมิดข้อมูล ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เท่าที่สามารถกระทำได้ และหากมีความเสี่ยงสูงต่อเจ้าของข้อมูลก็ต้องแจ้งเจ้าของข้อมูลด้วย ทีมจึงควรมี Incident Response Plan ที่ระบุชัดว่าใครประเมินเหตุ ใครแจ้งหน่วยงาน และเก็บหลักฐานอย่างไร พร้อมซ้อมแผนอย่างน้อยปีละครั้ง

Checklist เริ่มต้นสำหรับทีมพัฒนา

สรุปเป็นรายการตรวจสอบที่เริ่มได้ทันที: (1) ทำ Data Inventory ว่าระบบเก็บข้อมูลส่วนบุคคลอะไร ที่ไหน ด้วยฐานกฎหมายใด (2) จัดทำ Privacy Notice ภาษาเข้าใจง่ายแจ้ง ณ จุดเก็บข้อมูล (3) ตรวจระบบ Consent ให้แยกเป็นรายวัตถุประสงค์และถอนได้ (4) กำหนดและบังคับใช้ Retention Policy (5) เตรียมกระบวนการรองรับสิทธิเจ้าของข้อมูล (6) ทบทวนสัญญากับผู้ประมวลผลภายนอก เช่น ผู้ให้บริการคลาวด์ ให้มีข้อตกลงการประมวลผลข้อมูล (DPA)

องค์กรที่เข้าเงื่อนไขตามกฎหมาย เช่น มีการประมวลผลข้อมูลจำนวนมากหรือติดตามพฤติกรรมเป็นประจำ ต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ทั้งนี้ควรติดตามประกาศและแนวปฏิบัติฉบับใหม่จากเว็บไซต์ สคส. อย่างสม่ำเสมอ เพราะกฎหมายลำดับรองยังทยอยออกต่อเนื่อง

ทีมงาน Smart Cyber Tech ให้บริการประเมินความปลอดภัยระบบและเว็บไซต์ รวมถึงตรวจการออกแบบระบบให้สอดคล้องกับ PDPA ตั้งแต่การจัดทำ Data Inventory การออกแบบระบบความยินยอม ไปจนถึงการเตรียมกระบวนการรองรับคำขอใช้สิทธิ และรับทำเว็บไซต์บริษัทและเว็บแอปสำหรับองค์กรที่ออกแบบให้สอดคล้องกับกฎหมายตั้งแต่ต้น ปรึกษาได้ที่ แบบฟอร์มติดต่อ