ในฐานะวิทยากรผู้ให้ความรู้ด้าน PDPA มาหลายปี รวมทั้งเป็นที่ปรึกษาด้าน Privacy Program ให้กับองค์กรต่างๆ มากกว่าร้อยแห่ง ทุกครั้งที่ต้องตอบคำถามด้าน Cyber Security และ Data Security จาก DPO นั้น ผมพบว่า DPO ส่วนใหญ่ที่ไม่ได้มาจากสาย Security โดยตรงมักมีความกังวลเรื่องนี้มากที่สุด เพราะดูเข้าใจยาก เป็นประเด็นเทคนิคส่วนใหญ่ และดูจะเกี่ยวข้องกับทุกฝ่ายทุกขั้นตอนในองค์กร ผมจึงขอสรุปประเด็นสำคัญที่ DPO มักสอบถามเกี่ยวกับ Cyber Security ไว้ดังนี้ 1) ROPA ขององค์กรคือเครื่องมือจัดการมาตรการรักษาความมั่นคงปลอดภัยของ DPO      ROPA ที่ DPO เป็นผู้นำในการทำอย่างยากเย็นนั้น แท้จริงแล้วเป็นแผนที่สำคัญในการมองมาตรการรักษาความมั่นคงปลอดภัยที่สำคัญที่สุด ทำหน้าที่สำรวจ ประเมิน และชี้นำได้ดีที่สุดหากนำมาใช้ประโยชน์อย่างถูกวิธีเราสามารถแปลง ROPA กลับให้เป็น Data Flow และระบุ…

“ธรรมาภิบาลข้อมูล” หมายถึง การดูแลจัดการข้อมูลให้มีความเป็นปรกติ อะไรคือความ “ปรกติ”?      ความปรกติคือ มีคุณภาพ มีความปลอดภัย และมีความรับผิดชอบ โดยในบริบทขององค์กรนั้น ต้องกำหนดนโยบาย มาตรฐาน และบทบาทของผู้เกี่ยวข้องให้ชัด นอกจากจะทำให้ข้อมูลเป็น “ปรกติสุข” แล้ว ยังสามารถต่อยอดกลายเป็นทรัพยากรที่สร้างคุณค่าได้จริง ในขณะที่ “PDPA Compliance” คือการดำเนินการให้การเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคล “เป็นไปตามกฎหมาย” โดยคำนึงถึงสิทธิ เสรีภาพ และความเป็นส่วนตัวของเจ้าของข้อมูล สองแนวคิดนี้สัมพันธ์กันในลักษณะ “ร่มใหญ่กับส่วนย่อย”      กล่าวคือ ธรรมาภิบาลข้อมูลเป็นกรอบใหญ่ที่ครอบคลุมข้อมูลทุกประเภท ส่วน PDPA เป็นเพียง “ส่วนหนึ่ง” หรือ “เซตย่อย” (subset) ที่มุ่งจัดการข้อมูลส่วนบุคคลให้ถูกต้องตามกฎหมาย ดังนั้น PDPA จึงมิใช่สิ่งที่แยกขาดจาก Data Governance หากแต่เป็นหนึ่งในเป้าหมายที่ Data…

สรุปให้ตั้งแต่ความเป็นมา ความสำคัญ หน่วยงานที่เกี่ยวข้อง และวันที่มีผลบังคับใช้

นับตั้งแต่มีการประกาศใช้ พรบ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA อย่างเป็นทางการในปี 2565 หน่วยงานของรัฐจำเป็นต้องปรับปรุงกระบวนการทำงานและงานเอกสารให้สอดคล้องกับ PDPA เพราะ “หน่วยงานของรัฐ” ที่มีภารกิจในการบริการประชาชน และมีความเกี่ยวข้องกับข้อมูลส่วนบุคคลเป็นจำนวนมาก เช่น ข้อมูลประชาชน ข้อมูลบุคลากร หรือข้อมูลบริการสาธารณะ นอกจากนี้ เพื่อการสร้างความยั่งยืน และบูรณาการการคุ้มครองข้อมูลส่วนบุคคลแก่ประชาชนอย่างแท้จริง หน่วยงานของรัฐต้องศึกษาความสอดคล้องระหว่าง PDPA กับ กฎหมาย 3 ฉบับดังต่อไปนี้ 1. พ.ร.บ.ข้อมูลข่าวสารของราชการ พ.ศ. 2540 – กฎหมายที่กำหนดให้ประชาชนมีสิทธิในการขอเข้าถึงข้อมูลของหน่วยงานรัฐ เพื่อความโปร่งใสตรวจสอบการทำงานของรัฐได้ ความเชื่อมโยงกับ PDPA: เมื่อรัฐมีพันธกิจต้อง “เปิดเผยข้อมูลเป็นหลัก และปกปิดเป็นข้อยกเว้น” 2. พรบ. การบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 – ที่กำหนดให้หน่วยงานรัฐ ต้องปรับเข้าสู่ Digital Government…