PDPA สำหรับ Agency คืออะไร? คู่มือสำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง

PDPA สำหรับ Agency คืออะไร สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง คือคำถามที่ Agency และฟรีแลนซ์ที่รับสร้างและดูแลเว็บไซต์ให้ลูกค้าในกลุ่มนี้ควรตอบให้ได้ชัดเจนตั้งแต่วันที่เริ่มงาน เพราะเมื่อ Agency เข้าไปสร้าง ดูแล หรือแก้ไขเว็บไซต์ที่มีการเก็บข้อมูลผู้ใช้งานปลายทาง Agency จะมีสถานะเกี่ยวข้องกับข้อมูลส่วนบุคคลของลูกค้าโดยตรง ไม่ว่าจะเป็นข้อมูลลูกค้าที่มีความอ่อนไหวทางการเงิน เช่น ข้อมูลใบสมัคร ข้อมูลติดต่อของผู้เอาประกัน และแบบฟอร์มขอสินเชื่อหรือใบเสนอราคาบนเว็บไซต์ คำถามที่ตามมาคือใครเป็นผู้รับผิดชอบข้อมูลเหล่านี้ ระหว่างธุรกิจเจ้าของเว็บไซต์กับ Agency ที่เข้าไปดูแลระบบ

บทความนี้อธิบายภาพรวมของ PDPA สำหรับ Agency ที่ให้บริการองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ในมุมขององค์กร ฝ่ายกฎหมาย Privacy Security และ Compliance ครอบคลุมตั้งแต่บทบาทของ Agency ในฐานะผู้ประมวลผลข้อมูล สิ่งที่ควรมีในสัญญาประมวลผลข้อมูลกับลูกค้า วิธีจัดการข้อมูลผู้ใช้งานปลายทาง การเปิดเผยผู้ให้บริการภายนอกที่เกี่ยวข้อง ไปจนถึงขั้นตอนแจ้งเหตุการณ์ข้อมูลรั่วไหลต่อลูกค้า โดยเน้นแนวทางเชิงปฏิบัติที่ Agency นำไปปรับใช้ได้จริง ไม่ใช่การตีความตัวบทกฎหมายโดยละเอียด

บทความนี้อธิบายแนวทางเชิงปฏิบัติสำหรับ Agency ที่ให้บริการสร้างและดูแลเว็บไซต์ให้ลูกค้าในกลุ่มองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง เท่านั้น ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี Agency แต่ละแห่งควรปรึกษาที่ปรึกษากฎหมายของตนเองประกอบการตัดสินใจ

PDPA สำหรับ Agency คืออะไร และเกี่ยวข้องกับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงอย่างไร

เมื่อพูดถึง PDPA สำหรับ Agency ในบริบทขององค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง สิ่งที่ต้องเข้าใจก่อนคือ Agency ที่รับสร้างและดูแลเว็บไซต์ไม่ได้เป็นเพียงผู้ให้บริการด้านเทคนิคเท่านั้น แต่ยังเป็นฝ่ายที่เข้าถึงหรือมีส่วนเกี่ยวข้องกับข้อมูลส่วนบุคคลของผู้ใช้งานปลายทางที่ธุรกิจลูกค้าเก็บผ่านเว็บไซต์นั้นด้วย ไม่ว่าจะเป็นการติดตั้งฟอร์มเก็บข้อมูล การเชื่อมต่อฐานข้อมูล หรือการดูแลระบบหลังบ้านที่จัดเก็บข้อมูลลูกค้าของลูกค้าอีกทอดหนึ่ง

สำหรับองค์กร ฝ่ายกฎหมาย Privacy Security และ Compliance ประเด็นที่ควรให้ความสำคัญเป็นอันดับแรกคือการตกลงกันตั้งแต่ต้นว่า Agency เข้าไปแตะข้อมูลส่วนใดบ้าง ประมวลผลข้อมูลนั้นเพื่อวัตถุประสงค์ใด และมีขอบเขตความรับผิดชอบร่วมกับลูกค้าอย่างไร เพราะความเสียหายจากข้อมูลรั่วไหลในภาคการเงินและประกันมักกระทบความน่าเชื่อถือขององค์กรลูกค้าโดยตรง และมักอยู่ภายใต้การกำกับดูแลที่เข้มงวดกว่าอุตสาหกรรมทั่วไป หากไม่ตกลงขอบเขตให้ชัดเจนตั้งแต่แรก อาจนำไปสู่ความเข้าใจผิดเมื่อเกิดปัญหาด้านข้อมูลในภายหลัง

Agency เป็น Data Processor หรือ Data Controller กันแน่

Agency เป็น Data Processor หรือ Data Controller กันแน่ เป็นคำถามที่มักสร้างความสับสนให้กับทั้ง Agency และลูกค้า ในทางปฏิบัติ ธุรกิจเจ้าของเว็บไซต์ (ลูกค้าของ Agency) มักมีสถานะเป็นผู้ควบคุมข้อมูล (Data Controller) เพราะเป็นผู้กำหนดวัตถุประสงค์และวิธีการเก็บข้อมูลจากผู้ใช้งานปลายทาง ส่วน Agency ที่เข้าไปสร้างหรือดูแลระบบตามคำสั่งของลูกค้า มักมีสถานะเป็นผู้ประมวลผลข้อมูล (Data Processor) คือประมวลผลข้อมูลแทนและตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น ไม่ได้เป็นผู้กำหนดวัตถุประสงค์การเก็บข้อมูลด้วยตนเอง

อย่างไรก็ตาม เส้นแบ่งนี้ไม่ได้ตายตัวเสมอไป หาก Agency ตัดสินใจเองว่าจะเก็บข้อมูลอะไรเพิ่มเติมนอกเหนือคำสั่งลูกค้า หรือนำข้อมูลของลูกค้าไปใช้เพื่อวัตถุประสงค์อื่นของตนเอง เช่น นำไปวิเคราะห์เพื่อพัฒนาโซลูชันของ Agency เอง สถานะของ Agency ในส่วนนั้นอาจเปลี่ยนเป็นผู้ควบคุมข้อมูลร่วมได้ ตารางด้านล่างสรุปความแตกต่างที่องค์กร ฝ่ายกฎหมาย Privacy Security และ Complianceควรเข้าใจตรงกันก่อนเริ่มงาน

สัญญาประมวลผลข้อมูล (Data Processing Agreement) ที่ Agency ควรมีกับลูกค้าในองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง

สัญญาประมวลผลข้อมูล (Data Processing Agreement) ต้องมีอะไรบ้าง เป็นคำถามที่ Agency ที่ให้บริการองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงมักถามเมื่อเริ่มวางระบบงานร่วมกับฝ่ายกฎหมายของลูกค้า โดยทั่วไปสัญญานี้ควรเป็นเอกสารแยกจากสัญญาว่าจ้างทำเว็บไซต์ทั่วไป และควรครอบคลุมประเด็นหลักตามตารางด้านล่าง

ขอบเขตและวัตถุประสงค์การประมวลผล

ระบุให้ชัดว่า Agency ประมวลผลข้อมูลประเภทใดบ้าง เพื่อวัตถุประสงค์ใด และประมวลผลเฉพาะเท่าที่จำเป็นต่อการให้บริการที่ตกลงกันเท่านั้น ไม่นำไปใช้เพื่อวัตถุประสงค์อื่นโดยไม่ได้รับความยินยอมจากลูกค้า

มาตรการรักษาความปลอดภัยขั้นต่ำ

ระบุมาตรการที่ Agency ต้องปฏิบัติ เช่น การจำกัดสิทธิ์การเข้าถึงเฉพาะทีมที่เกี่ยวข้อง การเข้ารหัสข้อมูลระหว่างส่ง และการแยกสภาพแวดล้อมพัฒนา (dev/staging) ออกจากข้อมูลจริงของผู้ใช้งานให้มากที่สุดเท่าที่ทำได้

ขอบเขตการใช้ Sub-processor

ระบุว่า Agency สามารถใช้ผู้ให้บริการภายนอกช่วยประมวลผลข้อมูล (sub-processor) ได้หรือไม่ ภายใต้เงื่อนไขใด และต้องแจ้งลูกค้าก่อนเพิ่ม/เปลี่ยน sub-processor รายใหม่หรือไม่

Agency ไม่ควรรับงานที่ต้องประมวลผลข้อมูลลูกค้าปลายทางโดยไม่มีสัญญาประมวลผลข้อมูลเป็นลายลักษณ์อักษร แม้ลูกค้าจะเป็นผู้ว่าจ้างรายเล็กหรือรู้จักกันเป็นการส่วนตัวก็ตาม เพราะเมื่อเกิดปัญหาด้านข้อมูล เอกสารนี้คือหลักฐานเดียวที่ยืนยันขอบเขตความรับผิดชอบของแต่ละฝ่าย

ขั้นตอนวางระบบดูแลข้อมูลลูกค้าสำหรับ Agency ที่ให้บริการองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง

การนำแนวทาง PDPA ไปใช้จริงในงานประจำวันของ Agency ไม่จำเป็นต้องเปลี่ยนวิธีทำงานทั้งหมด แต่ควรมีขั้นตอนพื้นฐานที่ทำเป็นประจำทุกโปรเจกต์ดังนี้

1. สำรวจว่าเว็บไซต์หรือระบบที่จะสร้าง/ดูแลให้ลูกค้าเก็บข้อมูลผู้ใช้งานปลายทางส่วนใดบ้าง เช่น ฟอร์มติดต่อ ระบบสมาชิก หรือข้อมูลลูกค้าที่มีความอ่อนไหวทางการเงิน เช่น ข้อมูลใบสมัคร ข้อมูลติดต่อของผู้เอาประกัน และแบบฟอร์มขอสินเชื่อหรือใบเสนอราคาบนเว็บไซต์
2. จัดทำหรือขอให้ลูกค้าลงนามในสัญญาประมวลผลข้อมูล (DPA) ก่อนเริ่มงานที่ต้องเข้าถึงข้อมูลจริง ไม่ใช่หลังส่งมอบงานแล้ว
3. จำกัดสิทธิ์การเข้าถึงฐานข้อมูลจริงเฉพาะทีมงานที่จำเป็นต้องใช้ในการพัฒนาหรือแก้ไขปัญหาเท่านั้น และพิจารณาใช้ข้อมูลจำลอง (dummy data) ในสภาพแวดล้อมพัฒนาแทนข้อมูลจริงเมื่อทำได้
4. รวบรวมรายชื่อผู้ให้บริการภายนอกทั้งหมดที่เกี่ยวข้องกับการประมวลผลข้อมูล เช่นผู้ให้บริการ Cloud Hosting ที่ผ่านมาตรฐานความปลอดภัยระดับองค์กร, ผู้ให้บริการยืนยันตัวตน (KYC/OTP) และเครื่องมือ CRM ของฝ่ายขาย แล้วแจ้งให้ลูกค้าทราบตั้งแต่ขั้นวางแผนระบบ
5. กำหนดผู้รับผิดชอบฝั่ง Agency ที่เป็นจุดติดต่อหลักด้านข้อมูล (data contact point) เพื่อให้ลูกค้าติดต่อได้ทันทีหากมีคำถามหรือพบเหตุการณ์ผิดปกติ
6. ทบทวนสัญญาประมวลผลข้อมูลและสิทธิ์การเข้าถึงเป็นระยะ โดยเฉพาะเมื่อมีการเปลี่ยนทีมงานหรือสิ้นสุดโปรเจกต์ ต้องมีขั้นตอนเพิกถอนสิทธิ์การเข้าถึงและส่งมอบ/ลบข้อมูลตามที่ตกลงกับลูกค้า

การเปิดเผย Sub-processor และผู้ให้บริการ Hosting ที่เกี่ยวข้อง

Sub-processor คืออะไร และ Agency ต้องเปิดเผยอย่างไร เป็นอีกหนึ่งคำถามที่พบบ่อยในงานองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง เพราะ Agency ส่วนใหญ่ไม่ได้ดูแลทุกส่วนของระบบด้วยตนเอง แต่พึ่งพาผู้ให้บริการ Cloud Hosting ที่ผ่านมาตรฐานความปลอดภัยระดับองค์กร, ผู้ให้บริการยืนยันตัวตน (KYC/OTP) และเครื่องมือ CRM ของฝ่ายขายเข้ามาช่วยให้บริการ ผู้ให้บริการเหล่านี้ถือเป็น sub-processor ที่เข้าถึงหรือประมวลผลข้อมูลของลูกค้าในบางส่วนเช่นกัน

แนวทางปฏิบัติที่ดีคือ Agency ควรจัดทำรายการ sub-processor ที่ใช้งานอยู่ทั้งหมด พร้อมระบุว่าแต่ละรายประมวลผลข้อมูลส่วนใดและตั้งอยู่ที่ใด แล้วแนบหรืออ้างอิงรายการนี้ไว้ในสัญญาประมวลผลข้อมูลกับลูกค้า หากมีการเปลี่ยนแปลงผู้ให้บริการรายใหม่ในภายหลัง ควรแจ้งให้ลูกค้าทราบล่วงหน้าตามช่องทางที่ตกลงกันไว้ แทนที่จะเปลี่ยนโดยไม่แจ้งให้ทราบ

Agency ต้องแจ้งลูกค้าอย่างไรเมื่อเกิดเหตุการณ์ข้อมูลรั่วไหล

Agency ต้องแจ้งลูกค้าอย่างไรเมื่อเกิดเหตุการณ์ข้อมูลรั่วไหล คือกระบวนการที่ควรตกลงกันไว้ล่วงหน้าตั้งแต่ขั้นทำสัญญา ไม่ใช่คิดขึ้นเฉพาะหน้าเมื่อเกิดเหตุจริง ในฐานะผู้ประมวลผลข้อมูล เมื่อ Agency พบหรือมีเหตุอันควรสงสัยว่าเกิดเหตุการณ์ผิดปกติกับข้อมูลที่ตนดูแลอยู่ เช่น การเข้าถึงฐานข้อมูลโดยไม่ได้รับอนุญาต หรือระบบที่เก็บข้อมูลลูกค้าที่มีความอ่อนไหวทางการเงิน เช่น ข้อมูลใบสมัคร ข้อมูลติดต่อของผู้เอาประกัน และแบบฟอร์มขอสินเชื่อหรือใบเสนอราคาบนเว็บไซต์มีช่องโหว่ถูกใช้ประโยชน์ หน้าที่หลักของ Agency คือแจ้งให้ลูกค้าซึ่งเป็นผู้ควบคุมข้อมูลทราบโดยเร็วที่สุดเท่าที่จะทำได้ เพื่อให้ลูกค้ามีเวลาประเมินสถานการณ์และดำเนินการตามหน้าที่ของผู้ควบคุมข้อมูลต่อไป

ขั้นตอนแจ้งเหตุที่ Agency ควรเตรียมไว้ล่วงหน้า ได้แก่ ช่องทางติดต่อฉุกเฉินที่ชัดเจนระหว่าง Agency กับผู้รับผิดชอบฝั่งลูกค้า แบบฟอร์มหรือเทมเพลตสรุปเหตุการณ์เบื้องต้น (เกิดอะไรขึ้น ข้อมูลส่วนใดที่อาจได้รับผลกระทบ และ Agency ได้ดำเนินการอะไรไปแล้วบ้าง) และบันทึกเหตุการณ์ทั้งหมดไว้เป็นลายลักษณ์อักษรเพื่อใช้ทบทวนภายหลัง ไม่ควรปล่อยให้การแจ้งเหตุเป็นการสื่อสารด้วยวาจาเพียงอย่างเดียว

การเลื่อนแจ้งเหตุการณ์ข้อมูลรั่วไหลออกไปเพราะกลัวเสียภาพลักษณ์ของ Agency เป็นความเสี่ยงที่สูงกว่าการแจ้งช้า เพราะลูกค้าอาจมีกรอบเวลาที่ต้องปฏิบัติตามในฐานะผู้ควบคุมข้อมูล การแจ้งล่าช้าจากฝั่ง Agency อาจทำให้ลูกค้าดำเนินการตามหน้าที่ของตนเองไม่ทัน

การตรวจสอบและเก็บหลักฐาน (Audit และ Evidence) สำหรับ Agency ที่ดูแลองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง

เมื่อลูกค้าในกลุ่มองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงต้องตอบคำถามจากผู้ใช้งานปลายทางหรือหน่วยงานที่เกี่ยวข้องเกี่ยวกับการจัดการข้อมูล Agency ควรมีหลักฐานพร้อมสนับสนุนได้เสมอ แนวทางตรวจสอบที่ Agency ควรทำเป็นประจำ ได้แก่ การทบทวนรายชื่อผู้มีสิทธิ์เข้าถึงฐานข้อมูลจริงว่าตรงกับทีมงานปัจจุบันหรือไม่ การตรวจสอบว่าสัญญาประมวลผลข้อมูลกับลูกค้าแต่ละรายยังเป็นฉบับล่าสุดและครอบคลุมขอบเขตงานที่ทำอยู่จริง และการเก็บบันทึกว่ามีการเปลี่ยนแปลง sub-processor หรือมาตรการรักษาความปลอดภัยเมื่อใดบ้าง

หลักฐานที่มีประโยชน์ที่สุดเมื่อลูกค้าร้องขอ คือเอกสารที่แสดงว่า Agency ประมวลผลข้อมูลตามขอบเขตที่ตกลงไว้จริง ไม่เกินกว่าที่จำเป็น พร้อมบันทึกเวลาที่ปรับปรุงมาตรการรักษาความปลอดภัยหรือเปลี่ยนแปลงผู้ให้บริการภายนอก การจัดเก็บหลักฐานเหล่านี้อย่างเป็นระบบช่วยให้ Agency ตอบคำถามจากลูกค้าได้รวดเร็วโดยไม่ต้องรื้อค้นย้อนหลังทุกครั้ง

การเก็บรักษา ความปลอดภัย และการทำงานร่วมกับเครื่องมือที่องค์กร ฝ่ายกฎหมาย Privacy Security และ Complianceใช้อยู่

ควรเก็บข้อมูลของลูกค้าปลายทางไว้นานแค่ไหนหลังสิ้นสุดโปรเจกต์ เป็นคำถามที่ Agency มักมองข้าม แนวทางปฏิบัติที่ดีคือกำหนดไว้ในสัญญาประมวลผลข้อมูลตั้งแต่แรกว่าเมื่อสิ้นสุดสัญญา Agency จะลบข้อมูลออกจากระบบของตนภายในระยะเวลาที่ตกลงกัน หรือส่งมอบคืนให้ลูกค้าแล้วลบสำเนาที่เหลือทั้งหมด ไม่ควรเก็บข้อมูลลูกค้าปลายทางไว้ในระบบของ Agency โดยไม่มีกำหนดหลังจบงานแล้ว เพราะขัดกับหลักการเก็บข้อมูลเท่าที่จำเป็น (data minimization)

ด้านความปลอดภัย Agency ที่ให้บริการองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงควรเข้ารหัสข้อมูลระหว่างส่ง (in transit) เป็นมาตรฐานขั้นต่ำทุกโปรเจกต์ และพิจารณาเข้ารหัสข้อมูลขณะจัดเก็บ (at rest) เพิ่มเติมสำหรับข้อมูลที่มีความอ่อนไหวสูง เช่น ข้อมูลลูกค้าที่มีความอ่อนไหวทางการเงิน เช่น ข้อมูลใบสมัคร ข้อมูลติดต่อของผู้เอาประกัน และแบบฟอร์มขอสินเชื่อหรือใบเสนอราคาบนเว็บไซต์ รวมถึงตั้งค่าการสำรองข้อมูล (backup) และการจำกัดสิทธิ์เข้าถึงเครื่องมือบริหารจัดการผู้ให้บริการ Cloud Hosting ที่ผ่านมาตรฐานความปลอดภัยระดับองค์กร, ผู้ให้บริการยืนยันตัวตน (KYC/OTP) และเครื่องมือ CRM ของฝ่ายขายให้เฉพาะบุคคลที่จำเป็นเท่านั้น

ในทางปฏิบัติ Agency ส่วนใหญ่ไม่จำเป็นต้องสร้างระบบตรวจสอบขึ้นใหม่ทั้งหมด แต่ควรผนวกขั้นตอนเหล่านี้เข้ากับเครื่องมือที่ทีมใช้งานอยู่แล้ว เช่น ระบบจัดการสิทธิ์ผู้ใช้งานของ Hosting ที่ใช้อยู่ หรือเครื่องมือบริหารโปรเจกต์ที่ใช้ติดตามงานลูกค้าแต่ละราย เพื่อให้การดูแลข้อมูลเป็นส่วนหนึ่งของกระบวนการทำงานปกติ ไม่ใช่งานแยกต่างหากที่ต้องทำเพิ่ม

สำหรับภาพรวมแนวทาง PDPA ที่แยกตามกลุ่มธุรกิจของลูกค้า Agency สามารถดูหมวดรวมได้ที่ Business & Industry และหากลูกค้าปัจจุบันหรือลูกค้าถัดไปของ Agency อยู่ในกลุ่มคลินิก โรงพยาบาล และธุรกิจสุขภาพ สามารถอ่านแนวทางเฉพาะกลุ่มนั้นเพิ่มเติมได้ที่ PDPA สำหรับ Agency ที่ดูแลลูกค้ากลุ่มคลินิก โรงพยาบาล และธุรกิจสุขภาพ ส่วนกรณีที่ลูกค้าอยู่ในกลุ่มร้านค้าออนไลน์และ E-commerce ก็มีแนวทางเฉพาะเช่นกันที่ PDPA สำหรับ Agency ที่ดูแลลูกค้ากลุ่มร้านค้าออนไลน์และ E-commerce

ถ้าต้องการเริ่มต้นตรวจสอบเว็บไซต์ของคุณเบื้องต้นแบบไม่มีค่าใช้จ่าย สามารถลองใช้ เครื่องมือตรวจสอบเว็บไซต์ฟรีของ trusty เพื่อดูจุดที่ควรปรับปรุงก่อนได้

เช็กลิสต์ปฏิบัติ

• จัดทำสัญญาประมวลผลข้อมูล (DPA) แยกกับลูกค้าทุกรายก่อนเริ่มเข้าถึงข้อมูลจริง
• ระบุขอบเขตและวัตถุประสงค์การประมวลผลข้อมูลให้ชัดเจนในสัญญา
• จัดทำรายการ sub-processor และผู้ให้บริการภายนอกทั้งหมดที่เกี่ยวข้อง
• กำหนดจุดติดต่อหลักด้านข้อมูลและขั้นตอนแจ้งเหตุการณ์ข้อมูลรั่วไหลต่อลูกค้า
• จำกัดสิทธิ์การเข้าถึงข้อมูลจริงเฉพาะทีมงานที่จำเป็น
• กำหนดแนวทางลบหรือส่งคืนข้อมูลลูกค้าเมื่อสิ้นสุดสัญญา

ข้อผิดพลาดที่พบบ่อย

• เริ่มเข้าถึงหรือประมวลผลข้อมูลลูกค้าปลายทางก่อนมีสัญญาประมวลผลข้อมูลเป็นลายลักษณ์อักษร
• ไม่แจ้งลูกค้าเมื่อเปลี่ยนหรือเพิ่ม sub-processor รายใหม่ในโปรเจกต์
• ใช้ข้อมูลจริงของลูกค้าในสภาพแวดล้อมพัฒนา (dev/staging) โดยไม่จำเป็น
• ไม่มีขั้นตอนแจ้งเหตุการณ์ข้อมูลรั่วไหลที่ตกลงไว้ล่วงหน้ากับลูกค้า
• เก็บข้อมูลลูกค้าปลายทางไว้ในระบบของ Agency ต่อไปหลังสิ้นสุดสัญญาโดยไม่มีกำหนด

สรุป

PDPA สำหรับ Agency ที่ให้บริการองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง เริ่มต้นจากการเข้าใจบทบาทของตนเองในฐานะผู้ประมวลผลข้อมูล ไม่ใช่ผู้ควบคุมข้อมูล และทำงานภายใต้สัญญาประมวลผลข้อมูลที่ระบุขอบเขตชัดเจนกับลูกค้าทุกราย Agency ที่วางระบบเปิดเผย sub-processor จำกัดสิทธิ์การเข้าถึงข้อมูล และเตรียมขั้นตอนแจ้งเหตุการณ์ข้อมูลรั่วไหลไว้ล่วงหน้า จะสามารถทำงานร่วมกับลูกค้าในกลุ่มองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงได้อย่างมั่นใจมากขึ้น และลดโอกาสเกิดความเข้าใจผิดเรื่องความรับผิดชอบเมื่อมีปัญหาด้านข้อมูลเกิดขึ้น

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)