พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) เป็นกฎหมายที่สร้างความตื่นตัวอย่างมาก โดยหลายๆ องค์กรหันมาศึกษาและพยายามดำเนินการคุ้มครองข้อมูลส่วนบุคคลตามข้อกำหนดของกฎหมายอย่างจริงจัง เพราะกฎหมายได้มีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 ที่ผ่านมา
ผู้บริหารขององค์กรในฐานะผู้ควบคุมข้อมูลส่วนบุคคลก็คงเคยได้ยินเรื่องราวเกี่ยวกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือที่เรียกอย่างย่อๆ ว่า DPO (Data Protection Officer) มาบ้าง เพราะทั้งใน PDPA และ GDPR ซึ่งเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป ที่ได้ชื่อว่าเป็นแม่แบบของกฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทย ต่างมีบทบัญญัติที่กล่าวถึงความจำเป็นและบทบาทหน้าที่ของตำแหน่งงานนี้
ความสำคัญของ DPO
DPO เป็นตำแหน่งงานใหม่ที่เกิดขึ้นมาพร้อมกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล โดยเป็น “ผู้รับผิดชอบ” เพื่อให้แน่ใจว่าการประมวลผลข้อมูลขององค์กรดำเนินการได้สอดคล้องกับกฎหมายและราบรื่นมากที่สุด และมีหน้าที่ตาม PDPA มาตรา 42 ดังต่อไปนี้
- ให้คำแนะนำแก่ผู้ควบคุมข้อมูล/ผู้ประมวลผลข้อมูล และบุคคลอื่นๆ ที่เกี่ยวข้อง เกี่ยวกับการปฏิบัติตาม พรบ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตลอดจนกฎหมายคุ้มครองข้อมูลส่วนบุคคลฉบับอื่น
- ดูแลการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลขององค์กรและบุคลากรที่เกี่ยวข้อง ให้สอดคล้องตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล และนโยบายคุ้มครองข้อมูลขององค์กร รวมถึงจัดการกิจกรรมคุ้มครองข้อมูลภายในองค์กร
- ประสานงานและร่วมมือกับสำนักงานคุ้มครองข้อมูลส่วนบุคคล (หรือหน่วยงานที่เกี่ยวข้อง) ในกรณีที่มีปัญหาในการประมวลผลข้อมูล
- บันทึกและเก็บรักษารายการกิจกรรมการประมวลผลข้อมูลขององค์กร
- รักษาความลับของข้อมูลส่วนบุคคลจากการปฏิบัติหน้าที่
ข้อพิจารณาและคุณสมบัติ DPO (กฎหมายยังไม่ได้กำหนด)
DPO เป็นตำแหน่งงานที่ต้องอาศัยทั้งการศึกษา ประสบการณ์ ตลอดจนมีสายอาชีพ และ/หรือวุฒิบัตรรับรองความสามารถในแขนงต่างๆ ที่เกี่ยวข้อง มีรายการคุณสมบัติของผู้ที่เหมาะสมจะดำรงตำแหน่งนี้ ดังต่อไปนี้
- มีความรู้ความเข้าใจและประสบการณ์เกี่ยวกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล โดยเฉพาะ
พรบ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในระดับเชี่ยวชาญ
- จบการศึกษาระดับปริญญาตรีขึ้นไปในสาขาความมั่นคงทางสารสนเทศ วิทยาการคอมพิวเตอร์ หรือสาขาใกล้เคียง หรือจบการศึกษาระดับปริญญาตรี/นิติศาสตร์บัณฑิต และมีประสบการณ์การทำงานเกี่ยวข้องกับด้านความเป็นส่วนตัว การปฏิบัติให้สอดคล้องตามกฎหมาย ความมั่นคงทางสารสนเทศ การตรวจสอบการดำเนินงาน หรือด้านอื่นๆ ที่เกี่ยวข้อง เป็นต้น
- ควรมีประสบการณ์การทำงาน (ประมาณหรือมากกว่า 5 ปี) ในตำแหน่งเกี่ยวกับความเป็นส่วนตัว และ/หรือการจัดการความเสี่ยงของการปฏิบัติตามข้อกำหนดกฎหมาย
- อาจจำเป็นต้องมีวุฒิบัตรรับรองจาก International Association of Privacy Professionals (IAPP) ซึ่งเป็นหน่วยงานด้านความเป็นส่วนตัว/การคุ้มครองข้อมูล/การจัดการความเสี่ยงของข้อมูล ที่ได้รับการยอมรับทั่วโลก ไม่ว่าจะเป็น CIPP หรือ CIPM ส่วนจะมีวุฒิบัตรใดอีกบ้างที่สามารถใช้เป็นมาตรฐานรับรองความรู้ความสามารถของผู้ที่มีความสามารถเป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ จำเป็นต้องรอประกาศจากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอีกครั้งหนึ่ง
ตามข้อกำหนดของกฎหมาย DPO อาจจะเป็นบุคลากรในองค์กร หรือบุคลากรภายนอกองค์กรที่เป็น Outsource ก็ย่อมได้ โดยถ้าหากเป็นบุคลากรในองค์กรจะต้องไม่มีอำนาจหน้าที่การทำงานที่ขัดแย้งกับการปฏิบัติหน้าที่เป็น DPO อย่างไรก็ตาม GDPR สนับสนุนให้พยายามแต่งตั้งบุคลากรภายในองค์กรเป็น DPO เนื่องจากบุคคลภายในจะมองเห็นโครงสร้างการไหลเวียนของข้อมูลองค์กรได้อย่างชัดเจน และมักจะเข้าใจความต้องการของการประมวลผลข้อมูลส่วนบุคคลขององค์กรมากกว่าบุคคลภายนอกนั่นเอง
ดังนั้น DPO หรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเป็นตำแหน่งที่เกิดขึ้นมาพร้อมกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล โดยหลายๆ องค์กรจำเป็นต้องมีตำแหน่งนี้เพื่ออำนวยความสะดวกให้การคุ้มครองข้อมูลส่วนบุคคลเป็นไปอย่างราบรื่นและดำเนินการได้อย่างถูกต้องตามกฎหมาย ในกรณีที่องค์กรของคุณเข้าข่ายต้องมี DPO
หลักสูตรที่ช่วยให้เข้าใจบทบาทและหน้าที่ของ DPO มากยิ่งขึ้น
อบรมหลักสูตร “DPO in Action : เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลภาคปฏิบัติ” ออกแบบมาเฉพาะเพื่อให้ความรู้ความเข้าใจในหลักการ ทฤษฎี กฎหมาย แนวปฏิบัติ และกรณีศึกษา เพื่อให้ปฏิบัติหน้าที่ตามมาตรา 42 พรบ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้อย่างแท้จริง สอนและบรรยายโดยทีมวิทยากรผู้เชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคล จาก PDPA Thailand
คลิกดูรายละเอียดเพิ่มเติม https://direct.thanaponlabs.com/pdpa-dpo-in-action
กฎหมายคุ้มครองข้อมูลส่วนบุคคลทั้งสองฉบับ (GDPR มาตรา 37 และ PDPA มาตรา 41) มีบทบัญญัติที่คล้ายคลึงกันเกี่ยวกับประเด็นนี้ว่า ผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลจะต้องกำหนดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลประจำ ในกรณีที่:
- เป็นองค์กรสาธารณะหรือหน่วยงานรัฐตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ยกเว้นศาลที่ประมวลผลข้อมูลเพื่อดำเนินการตามขอบเขตของอำนาจศาล
- มีกิจกรรมการประมวลผลข้อมูลของบุคคลจำนวนมาก ซึ่งต้องมีการสอดส่องดูแล/ตรวจสอบข้อมูลอย่างเป็นระบบและสม่ำเสมอ (เช่น การติดตามพฤติกรรมบุคคลออนไลน์)
- มีกิจกรรมการประมวลผลข้อมูลส่วนบุคคลจำนวนมาก ที่เข้าข่ายเป็นข้อมูลส่วนบุคคลอ่อนไหว หรือเป็นข้อมูลที่สัมพันธ์การตัดสินคดีความหรือข้อกล่าวหา
ตัวผู้บริหารเองจะต้องลองประเมินว่าองค์กรของคุณเข้าข่ายตามข้อบัญญัติของกฎหมายข้างต้นหรือไม่ ถ้าใช่ คุณควรต้องมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล แต่ถ้าองค์กรของคุณประมวลข้อมูล (ส่วนบุคคล) จำนวนไม่มากนัก ก็ไม่มีความจำเป็นครับ เพียงแต่ต้องดูแลให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่จำเป็นและสอดคล้องตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
คุณสมบัติของคนเป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
หลังจากที่ประเมินได้แล้วว่า องค์กรของคุณจำเป็นต้องมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือไม่ คราวนี้เรามาดูกันที่การสรรหากันดีกว่าครับ ว่าในมุมมองของผู้บริหารหรือฝ่ายทรัพยากรบุคคลอาวุโส คุณจะมีเกณฑ์การเลือกผู้ที่มีคุณสมบัติอย่างไรเพื่อมาเป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลขององค์กร เพราะหน่วยงานกลางไม่ได้มีการกำหนดคุณสมบัติอย่างเป็นทางการของผู้ที่สามารถดำรงตำแหน่งนี้ได้ออกมา
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเป็นตำแหน่งงานที่ต้องอาศัยทั้งการศึกษา ประสบการณ์ ตลอดจนมีสายอาชีพ และ/หรือวุฒิบัตรรับรองความสามารถในแขนงต่าง ๆ ที่เกี่ยวข้อง มีรายการคุณสมบัติของผู้ที่เหมาะสมจะดำรงตำแหน่งนี้ ดังนี้
- มีความรู้ความเข้าใจและประสบการณ์เกี่ยวกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล โดยเฉพาะ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ในระดับเชี่ยวชาญ
- จบการศึกษาระดับปริญญาตรีขึ้นไปในสาขาความมั่นคงทางสารสนเทศ วิทยาการคอมพิวเตอร์ หรือสาขาใกล้เคียง หรือจบการศึกษาระดับปริญญาตรี/นิติศาสตร์บัณฑิต และมีประสบการณ์การทำงานเกี่ยวข้องกับด้านความเป็นส่วนตัว การปฏิบัติให้สอดคล้องตามกฎหมาย ความมั่นคงทางสารสนเทศ การตรวจสอบการดำเนินงาน หรือด้านอื่น ๆ ที่เกี่ยวข้อง เป็นต้น
- ควรมีประสบการณ์การทำงาน (มากกว่า 5 ปี) ในตำแหน่งเกี่ยวกับความเป็นส่วนตัว และ/หรือ การจัดการความเสี่ยงของการปฏิบัติตามข้อกำหนดกฎหมาย
- อาจจำเป็นต้องมีวุฒิบัตรรับรองจาก International Association of Privacy Professionals (IAPP) ซึ่งเป็นหน่วยงานด้านความเป็นส่วนตัว/การคุ้มครองข้อมูล/การจัดการความเสี่ยงของข้อมูล ที่ได้รับการยอมรับทั่วโลก ไม่ว่าจะเป็น CIPP หรือ CIPM ส่วนจะมีวุฒิบัตรใดอีกบ้างที่สามารถใช้เป็นมาตรฐานรับรองความรู้ความสามารถของผู้ที่มีความสามารถเป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ จำเป็นต้องรอประกาศจากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอีกครั้งหนึ่ง
ตามข้อกำหนดของกฎหมาย เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจเป็นบุคลากรในองค์กร หรือบุคลากร Third-Party ภายนอกองค์กรที่เป็น Outsource ก็ย่อมได้ โดยถ้าหากเป็นบุคลากรในองค์กรจะต้องไม่มีอำนาจหน้าที่การทำงานที่ขัดแย้งกับการปฏิบัติหน้าที่เป็น DPO อย่างไรก็ตาม ตามธรรมชาติแล้ว gdpr.eu สนับสนุนให้พยายามแต่งตั้งบุคลากรภายในองค์กรเป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเนื่องจากบุคคลนี้เป็นผู้ที่มองเห็นโครงสร้างการไหลเวียนของข้อมูลองค์กรได้อย่างชัดเจน และมักจะเข้าใจความต้องการของการประมวลผลข้อมูลส่วนบุคคลในวงการเฉพาะมากกว่าบุคคลภายนอกนั่นเอง
โดยคุณสมบัติอย่างเป็นทางการของ “เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” ยังคงต้องรอคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (ของไทย) ประกาศอีกครั้งเช่นกัน ซึ่งน่าจะเป็นในเร็ว ๆ นี้ ก่อน PDPA บังคับใช้อย่างเต็มรูปแบบอย่างแน่นอน
สรุป เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) เป็นตำแหน่งที่เกิดขึ้นมาพร้อมกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล โดยหลาย ๆ องค์กรจำเป็นต้องมีตำแหน่งนี้ประจำเพื่อ Facilitate – อำนวยความสะดวกให้การคุ้มครองข้อมูลส่วนบุคคลเป็นไปอย่างราบรื่นและดำเนินการได้อย่างถูกต้องตามกฎหมาย คุณต้องพิจารณาว่าองค์กรของคุณเข้าข่ายต้องมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือไม่ โดยแนะนำให้สรรหาจากบุคลากรภายในองค์กรเพื่อความเข้าใจที่มีต่อ Data Flow และความต้องการขององค์กร
ในมุมกลับกัน ใครอ่านบทความนี้แล้วรู้สึกอยากทำงานเป็น DPO ก็อย่าลืมสำรวจวุฒิของตนเอง ฝึกอบรมหาประสบการณ์ และสอบวุฒิบัตรรับรองความสามารถเตรียมเอาไว้เลย เพราะตำแหน่งนี้มี รายได้เฉลี่ยสูงถึง 130,000+ / เดือน (06/11/2563) เลยทีเดียวครับ!
เรียนรู้เพิ่มเติมเกี่ยวกับ การคุ้มครองข้อมูลส่วนบุคคล กับหลักสูตร Personal Data Protection Certificate: PDPC เนื้อหาครอบคลุม กฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และแนวทางการปฏิบัติเพื่อคุ้มครองข้อมูลส่วนบุคคล
หากผู้บริหารองค์กรหรือผู้ที่ได้รับมอบหมายให้รับผิดชอบเกี่ยวกับด้านการคุ้มครองข้อมูลส่วนบุคคลขององค์กรท่านใด ได้อ่านบทความเกี่ยวกับ Data Protection Officer ตามข้างต้น และมีความกังวลเกี่ยวกับแนวทางการคุ้มครองข้อมุลส่วนบุคคล หรือการจ้างงานเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลประจำองค์กร บริษัท ดิจิทัล บิสิเนส คอนซัลท์ จำกัด (Digital Business Consult: DBC) ยินดีรับให้คำปรึกษา พร้อมบริการอบรมแบบ In-house Training ภายในองค์กรและอบรมออนไลน์หลักสูตร Personal Data Protection Certificate ครบวงจร เพื่อเป็น Solution ให้กับองค์กรที่ต้องการดำเนินการตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทย (PDPA)
Our Consultation Service <<< คลิกเพื่อศึกษารายละเอียดบริการที่ปรึกษาด้าน PDPA
PDPA Thailand <<< หรือคลิกเพื่อสอบถามข้อมูลผ่านทาง Facebook Messenger
