วิธี Audit PDPA สำหรับธุรกิจการศึกษา ขององค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง พร้อม Evidence ที่ควรเก็บ

ฝ่าย Compliance ของบริษัทประกันชีวิตแห่งหนึ่งเปิดแฟ้มอิเล็กทรอนิกส์ของ "สถาบันฝึกอบรมตัวแทน" ในเครือ เพื่อเตรียมรายงานให้ผู้บริหารก่อนการตรวจสอบภายในประจำปี สิ่งที่พบคือสำเนาบัตรประชาชนของผู้เข้าอบรมในโครงการ "ตัวแทนรุ่นเยาว์" ที่มีอายุต่ำกว่า 18 ปีบางคน ถูกเก็บไว้ในโฟลเดอร์ที่พนักงานฝ่ายการตลาดก็เข้าถึงได้ ทั้งที่โครงการนี้จบไปแล้วกว่าสามปี ไม่มีใครในทีมจำได้ว่าใครอนุมัติให้เก็บไว้นานขนาดนี้ และไม่มีบันทึกใดยืนยันว่าผู้ปกครองเคยให้ความยินยอมสำหรับข้อมูลชุดนี้หรือไม่ นี่คือสถานการณ์ที่เกิดขึ้นจริงเมื่อองค์กรการเงิน ประกัน หรือธุรกิจความเสี่ยงสูงมีหน่วยงานด้านการศึกษาหรือฝึกอบรมอยู่ในเครือ แต่ไม่เคยตรวจสอบ PDPA ของหน่วยงานนั้นอย่างเป็นระบบ

บทความนี้เป็นแนวทาง Audit สำหรับฝ่ายกฎหมาย Privacy Security และ Compliance ที่ดูแลสถาบันอบรม ศูนย์ออกใบอนุญาตตัวแทน หรือหน่วยงานพัฒนาบุคลากรที่มีลักษณะเป็น "ธุรกิจการศึกษา" ภายใต้ร่มขององค์กรการเงิน ประกันภัย หรือธุรกิจที่มีความเสี่ยงสูงอื่น ๆ

ทำไมองค์กรกลุ่มนี้ต้องตรวจ PDPA ด้านข้อมูลนักเรียนและผู้เข้าอบรมเป็นรอบ

สถาบันอบรมในเครือธนาคารหรือบริษัทประกันมักไม่ถูกมองว่าเป็น "ธุรกิจการศึกษา" ในสายตาขององค์กรแม่ ทั้งที่หน่วยงานเหล่านี้ทำหน้าที่เหมือนโรงเรียนวิชาชีพ คือรับสมัครผู้เรียน จัดสอบ ออกใบรับรอง และเก็บประวัติผลการเรียนไว้อ้างอิงระยะยาว เมื่อธุรกิจหลักคือการเงินหรือประกันซึ่งถูกกำกับดูแลโดยหน่วยงานเฉพาะทาง เช่น คปภ. หรือ ธปท. อยู่แล้ว หน่วยงานฝึกอบรมในเครือจึงมักถูกมองข้ามจากสายตาของทีม Compliance ที่โฟกัสเรื่องเงินและกรมธรรม์เป็นหลัก ผลคือข้อมูลผู้เข้าอบรมกลายเป็นจุดบอดที่ไม่มีใครตรวจสอบอย่างจริงจัง

ความเสี่ยงสูงกว่าธุรกิจการศึกษาทั่วไปตรงที่ผู้เข้าอบรมบางกลุ่มยังเป็นผู้เยาว์ เช่น โครงการทุนการศึกษาด้านการเงินสำหรับเยาวชน หรือโครงการ CSR ที่สอนความรู้ทางการเงินในโรงเรียน การประมวลผลข้อมูลของผู้เยาว์ต้องได้รับความยินยอมจากผู้ปกครองหรือผู้แทนโดยชอบธรรมตามกฎหมาย และเกณฑ์อายุที่ผู้เยาว์สามารถให้ความยินยอมได้เองนั้นมีรายละเอียดที่ควรตรวจสอบกับแนวปฏิบัติล่าสุดของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอยู่เสมอ ไม่ควรอ้างอิงตัวเลขอายุใดตัวเลขหนึ่งอย่างตายตัวโดยไม่ตรวจทาน เพราะแนวปฏิบัติอาจปรับปรุงได้

ข้อมูลนักเรียนและผู้เข้าอบรมที่สถาบันในเครือธุรกิจการเงินถือครองอยู่จริง

ก่อนตรวจสอบ ทีม Compliance ต้องรู้ก่อนว่าหน่วยงานฝึกอบรมถืออะไรอยู่บ้าง โดยทั่วไปพบข้อมูลเหล่านี้เสมอ

• ข้อมูลลงทะเบียนเรียน ชื่อ ที่อยู่ เลขบัตรประชาชนหรือหนังสือเดินทาง เบอร์ติดต่อของผู้เรียนและผู้ปกครองในกรณีผู้เยาว์
• ผลการเรียน คะแนนสอบใบอนุญาต ประวัติการเข้าร่วมกิจกรรมและการเข้าเรียน
• เอกสารประกอบการสมัครสอบใบอนุญาตตัวแทนหรือใบอนุญาตวิชาชีพ ซึ่งบางกรณีต้องส่งต่อให้หน่วยงานกำกับดูแลภายนอก
• ข้อมูลการชำระค่าเล่าเรียนหรือค่าธรรมเนียมสอบ ที่มักเชื่อมกับระบบการเงินขององค์กรแม่โดยตรง
• ในบางโครงการ มีข้อมูลด้านสุขภาพหรือความต้องการพิเศษของผู้เรียน เช่น การขอที่นั่งสอบพิเศษ ซึ่งต้องถือเป็นข้อมูลอ่อนไหวที่ต้องยกระดับการควบคุมสูงกว่าข้อมูลทั่วไป

จุดที่ทีมตรวจสอบมักมองข้ามคือข้อมูลชุดสุดท้าย เพราะคิดว่าเป็นเรื่องเล็กน้อยของฝ่ายอบรม แต่ในทางกฎหมายข้อมูลสุขภาพของผู้เรียนมีสถานะเป็นข้อมูลอ่อนไหวไม่ต่างจากข้อมูลสุขภาพของลูกค้าประกันเอง

อีกจุดที่มักถูกลืมคือข้อมูลของผู้แนะนำหรือพี่เลี้ยงที่เป็นตัวแทนรุ่นพี่ในโครงการฝึกงาน ซึ่งบางองค์กรบันทึกความสัมพันธ์ระหว่างผู้เรียนกับพี่เลี้ยงไว้ในระบบเดียวกัน ทำให้เมื่อผู้เรียนขอใช้สิทธิ์ลบข้อมูล ทีมงานต้องแยกแยะให้ได้ว่าข้อมูลส่วนใดเป็นของผู้เรียนโดยตรง และส่วนใดเป็นข้อมูลของบุคคลอื่นที่ปรากฏร่วมอยู่ในระเบียนเดียวกัน การไม่แยกแยะไว้ตั้งแต่ต้นทำให้การตอบสนองคำขอใช้สิทธิ์ล่าช้าและเสี่ยงต่อการลบข้อมูลผิดคน

ขั้นตอนตรวจสอบทีละขั้นที่ทีม Compliance ควรทำจริง

การตรวจสอบที่ใช้งานได้จริงควรแบ่งเป็นรอบและมีเจ้าของงานชัดเจนในแต่ละขั้น ไม่ใช่ทำโดยคนเดียวแล้วเก็บผลไว้เงียบ ๆ

1. ทำแผนที่ข้อมูล (Data Mapping) ของหน่วยงานฝึกอบรมทั้งหมดในเครือ ระบุว่าแต่ละระบบเก็บข้อมูลอะไร เก็บที่ไหน และใครมีสิทธิ์เข้าถึง
2. ตรวจสอบฐานทางกฎหมายของการเก็บข้อมูลแต่ละประเภท โดยเฉพาะกรณีผู้เยาว์ต้องยืนยันว่ามีบันทึกความยินยอมของผู้ปกครองจริง ไม่ใช่แค่สันนิษฐานว่าเคยขอไว้แล้ว
3. สุ่มตรวจสิทธิ์การเข้าถึงระบบทะเบียนนักเรียน เทียบกับรายชื่อพนักงานปัจจุบัน เพื่อดูว่ามีบัญชีของพนักงานที่ลาออกไปแล้วยังเข้าถึงได้อยู่หรือไม่
4. ตรวจสอบสัญญากับผู้ให้บริการภายนอก เช่น ผู้ให้บริการระบบ LMS หรือผู้ประมวลผลค่าเล่าเรียน ว่ามีข้อกำหนดคุ้มครองข้อมูลที่สอดคล้องกับบทบาทผู้ประมวลผลข้อมูลหรือไม่
5. ตรวจสอบนโยบายเก็บรักษาและทำลายข้อมูลของผู้เรียนที่จบหรือเลิกเรียนไปแล้ว ว่ามีการกำหนดระยะเวลาชัดเจนและมีการทำลายจริงตามกำหนดหรือไม่
6. ทดสอบกระบวนการตอบสนองสิทธิ์เจ้าของข้อมูล เช่น หากอดีตผู้เข้าอบรมขอให้ลบข้อมูล ทีมงานสามารถค้นหาและดำเนินการได้จริงภายในเวลาที่เหมาะสมหรือไม่

แต่ละขั้นควรมีผู้รับผิดชอบเซ็นชื่อยืนยันผลการตรวจ ไม่ใช่แค่ติ๊กเครื่องหมายถูกในตารางแล้วจบ เพราะเมื่อถึงเวลาต้องชี้แจงกับหน่วยงานกำกับดูแล สิ่งที่มีน้ำหนักคือหลักฐานที่ตรวจสอบย้อนกลับได้ ไม่ใช่คำยืนยันปากเปล่า

เหตุผลที่ขั้นตอนแรกเรื่องการทำแผนที่ข้อมูลสำคัญมาก คือทีม Compliance ส่วนใหญ่ไม่รู้ด้วยซ้ำว่าหน่วยงานฝึกอบรมในเครือใช้ระบบกี่ระบบ เพราะแผนกอบรมมักจัดหาเครื่องมือของตัวเองโดยไม่ผ่านฝ่ายไอทีกลาง เมื่อไม่มีแผนที่ข้อมูล การตรวจสอบขั้นต่อไปทั้งหมดจะขาดจุดอ้างอิง หลักฐานที่ควรได้จากขั้นนี้คือเอกสารสรุประบบและประเภทข้อมูลที่ปรับปรุงล่าสุด พร้อมวันที่ทบทวน

ขั้นตอนตรวจสอบฐานทางกฎหมายสำคัญเป็นพิเศษสำหรับกลุ่มผู้เยาว์ เพราะหากพบว่าไม่มีบันทึกความยินยอมของผู้ปกครองจริง องค์กรอาจต้องหยุดใช้ข้อมูลชุดนั้นจนกว่าจะขอความยินยอมใหม่ให้ถูกต้อง หลักฐานที่ควรเก็บคือรายการผู้เรียนที่เป็นผู้เยาว์ทั้งหมด เทียบกับสถานะความยินยอมของผู้ปกครองเป็นรายบุคคล ไม่ใช่สรุปเป็นภาพรวมเพียงอย่างเดียว

การสุ่มตรวจสิทธิ์การเข้าถึงระบบทะเบียนนักเรียนควรทำโดยดึงรายชื่อผู้ใช้งานจริงจากระบบมาเทียบกับรายชื่อพนักงานที่ยังทำงานอยู่ในฝ่ายทรัพยากรบุคคล หากพบบัญชีของพนักงานที่ลาออกไปแล้วยังใช้งานได้ ต้องระงับสิทธิ์ทันทีและบันทึกวันที่พบปัญหาไว้เป็นหลักฐานของรอบตรวจนั้น

สำหรับสัญญากับผู้ให้บริการภายนอก ทีมกฎหมายควรอ่านข้อกำหนดจริงทุกครั้ง ไม่ใช่เชื่อว่าผู้ให้บริการรายใหญ่ย่อมมีมาตรฐานที่ดีอยู่แล้ว เพราะแม้แต่ผู้ให้บริการ LMS ระดับสากลบางรายก็ไม่ได้ระบุขอบเขตการใช้ข้อมูลผู้เรียนไทยไว้ชัดเจนพอสำหรับบริบทกฎหมายไทย หลักฐานที่ควรเก็บคือรายงานผลการทบทวนสัญญาแต่ละฉบับ พร้อมข้อสังเกตที่ต้องแก้ไขหากมี

การตรวจนโยบายทำลายข้อมูลควรตรวจทั้งเอกสารนโยบายและการปฏิบัติจริง เพราะหลายองค์กรมีนโยบายเขียนไว้สวยงามแต่ไม่เคยลบข้อมูลจริงตามกำหนด สาเหตุมักมาจากไม่มีระบบแจ้งเตือนอัตโนมัติเมื่อถึงกำหนดทำลาย ทีมตรวจสอบจึงควรขอดูบันทึกการทำลายข้อมูลจริงของผู้เรียนที่จบไปแล้วอย่างน้อยหนึ่งรุ่นเป็นตัวอย่าง

ส่วนการทดสอบกระบวนการตอบสนองสิทธิ์เจ้าของข้อมูล ควรจำลองสถานการณ์จริงอย่างน้อยหนึ่งครั้งต่อรอบ เช่น สมมติว่ามีอดีตผู้เข้าอบรมส่งคำขอลบข้อมูลเข้ามา แล้ววัดเวลาที่ทีมงานใช้ในการค้นหาและดำเนินการจริง ผลลัพธ์จากการทดสอบนี้จะบอกได้ชัดกว่าการอ่านคู่มือขั้นตอนเพียงอย่างเดียวว่าระบบทำงานได้จริงหรือไม่

หลักฐานที่ควรเก็บไว้ในแต่ละรอบตรวจ

เอกสารประกอบการตรวจที่ทีมควรเก็บอย่างเป็นระบบ ได้แก่ บันทึกความยินยอมของผู้ปกครองสำหรับผู้เรียนที่เป็นผู้เยาว์ พร้อมวันที่และช่องทางที่ขอความยินยอม รายงานผลการสุ่มตรวจสิทธิ์การเข้าถึงระบบ สำเนาข้อตกลงประมวลผลข้อมูลกับผู้ให้บริการ LMS และผู้รับจ้างประมวลผลค่าเล่าเรียน บันทึกการทำลายข้อมูลของผู้เรียนที่พ้นสถานะตามกำหนดเวลา และบันทึกการตอบสนองคำขอใช้สิทธิ์ของเจ้าของข้อมูลในแต่ละครั้งพร้อมระยะเวลาที่ใช้ดำเนินการ เอกสารเหล่านี้ควรจัดเก็บแยกจากไฟล์งานประจำวัน เพื่อให้ค้นหาได้เร็วเมื่อผู้ตรวจสอบภายในหรือหน่วยงานกำกับดูแลร้องขอ

ใครควรเป็นเจ้าของแต่ละขั้นตอน

องค์กรที่ทำได้ผลจริงมักไม่ให้ทีมกฎหมายทำทุกขั้นตอนเพียงลำพัง แต่กระจายความรับผิดชอบ เช่น ฝ่ายไอทีเป็นเจ้าของการทำแผนที่ข้อมูลและการสุ่มตรวจสิทธิ์การเข้าถึง ฝ่ายทรัพยากรบุคคลรับผิดชอบการเทียบรายชื่อพนักงานปัจจุบัน ฝ่ายจัดซื้อและกฎหมายร่วมกันทบทวนสัญญาผู้ให้บริการภายนอก ส่วนฝ่ายอบรมเองต้องเป็นผู้ยืนยันข้อมูลความยินยอมของผู้ปกครองในแต่ละโครงการ การกระจายงานแบบนี้ทำให้แต่ละฝ่ายเห็นความเสี่ยงในมุมของตัวเอง และลดโอกาสที่ขั้นตอนใดขั้นตอนหนึ่งถูกมองข้ามเพราะไม่มีใครรู้สึกว่าเป็นหน้าที่ตน

การแชร์ข้อมูลกับผู้ให้บริการภายนอกและหน่วยงานกำกับดูแล

สถาบันอบรมในเครือธุรกิจการเงินมักต้องส่งข้อมูลผู้เข้าอบรมให้บุคคลที่สามหลายฝ่าย ทั้งผู้ให้บริการระบบเรียนออนไลน์ ผู้ประมวลผลการชำระเงินค่าเล่าเรียนหรือค่าธรรมเนียมสอบ และในบางกรณีต้องส่งรายชื่อผู้สอบผ่านให้หน่วยงานกำกับดูแลวิชาชีพเพื่อออกใบอนุญาต การส่งข้อมูลแต่ละช่องทางต้องตรวจสอบว่ามีข้อตกลงที่ระบุขอบเขตการใช้ข้อมูลชัดเจน ผู้รับข้อมูลนำไปใช้ได้เฉพาะวัตถุประสงค์ที่ตกลงกันเท่านั้น และมีมาตรการความปลอดภัยขั้นต่ำที่ยอมรับได้ การส่งข้อมูลผู้เยาว์ให้บุคคลที่สามควรได้รับการพิจารณาเข้มงวดเป็นพิเศษ เพราะเป็นข้อมูลที่มีความละเอียดอ่อนกว่าข้อมูลผู้เรียนที่เป็นผู้ใหญ่

ข้อผิดพลาดที่พบบ่อยเมื่อองค์กรกลุ่มนี้ตรวจสอบ PDPA

• มองว่าหน่วยงานฝึกอบรมเป็นแค่ "ฝ่ายสนับสนุน" ที่ไม่ต้องตรวจสอบเข้มเท่าธุรกิจหลัก ทั้งที่ถือข้อมูลผู้เยาว์และข้อมูลอ่อนไหวอยู่จริง
• ใช้แบบฟอร์มความยินยอมแบบเดียวกับลูกค้าผู้ใหญ่ทั่วไปกับผู้เข้าอบรมที่เป็นผู้เยาว์ โดยไม่มีขั้นตอนยืนยันความยินยอมของผู้ปกครองแยกต่างหาก
• ไม่มีนโยบายทำลายข้อมูลที่ชัดเจนหลังผู้เรียนจบหรือเลิกเรียน ทำให้ข้อมูลเก่าค้างอยู่ในระบบนานเกินความจำเป็น
• ปล่อยให้พนักงานที่ลาออกไปแล้วยังมีสิทธิ์เข้าถึงระบบทะเบียนนักเรียนอยู่ เพราะไม่มีขั้นตอนเพิกถอนสิทธิ์ที่เชื่อมกับระบบทรัพยากรบุคคล
• เซ็นสัญญากับผู้ให้บริการ LMS หรือผู้ประมวลผลค่าเล่าเรียนโดยไม่มีข้อกำหนดคุ้มครองข้อมูลที่ชัดเจนพอ

สรุปแนวทางตรวจสอบสำหรับองค์กรการเงิน ประกัน และธุรกิจความเสี่ยงสูง

การตรวจสอบ PDPA ของหน่วยงานฝึกอบรมในเครือธุรกิจการเงินหรือประกันไม่ใช่งานที่ทำครั้งเดียวแล้วจบ แต่ต้องวางเป็นรอบทบทวนสม่ำเสมอ พร้อมเก็บหลักฐานทุกขั้นตอนไว้ยืนยันย้อนหลังได้ ไม่มีสูตรตายตัวที่ทำให้การตรวจสอบครั้งเดียวครอบคลุมความเสี่ยงทั้งหมด แต่การมีกระบวนการที่ชัดเจนและเอกสารประกอบครบถ้วนจะช่วยให้องค์กรตอบคำถามจากผู้ตรวจสอบภายในหรือหน่วยงานกำกับดูแลได้อย่างมั่นใจกว่าการไม่มีระบบใดเลย

แหล่งข้อมูลอ้างอิงที่ควรติดตาม

ทีมกฎหมายและ Compliance ควรติดตามแนวปฏิบัติล่าสุดจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง โดยเฉพาะประเด็นเกณฑ์อายุผู้เยาว์ในการให้ความยินยอมและแนวปฏิบัติเรื่องข้อมูลอ่อนไหว เพื่อให้กระบวนการภายในสอดคล้องกับแนวทางที่เป็นปัจจุบันเสมอ ควรอ่านเทียบกับแนวทางการทำ PDPA สำหรับธุรกิจการศึกษาในองค์กรการเงินและประกัน เพื่อเห็นภาพรวมทั้งคลัสเตอร์ก่อนลงลึกที่การตรวจสอบ และดูภาพรวมทุกอุตสาหกรรมได้ที่ หมวดธุรกิจ อุตสาหกรรม และ SEO