เช็กลิสต์ PDPA สำหรับ SME สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เช็กลิสต์นี้สรุปสิ่งที่ SME สายการเงิน ประกัน หรือธุรกิจที่มีความเสี่ยงสูงควรตรวจก่อนเปิดใช้งานระบบหรือผลิตภัณฑ์ใหม่ที่เก็บข้อมูลส่วนบุคคล ตั้งแต่ฐานทางกฎหมายของการเก็บข้อมูล ช่องทางขอความยินยอม สัญญากับผู้ประมวลผลข้อมูลภายนอกอย่างผู้ให้บริการชำระเงินหรือ KYC ไปจนถึงแผนรับมือเมื่อเกิดเหตุข้อมูลรั่วไหล ทีมขนาดเล็กที่ไม่มีแผนกกฎหมายเต็มเวลาใช้เช็กลิสต์นี้เป็นจุดตรวจสอบขั้นต่ำก่อนกดปุ่มเปิดใช้งานจริงได้

คืนก่อนวันเปิดตัวฟอร์มขอใบเสนอราคาประกันออนไลน์ตัวใหม่ ผู้ก่อตั้งบริษัทประกันภัยขนาดเล็กแห่งหนึ่งนั่งไล่เช็กหน้าจอทีละหน้าอยู่คนเดียว ทีมงานทั้งหมดมีเจ็ดคน ไม่มีใครมีตำแหน่งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลแบบเต็มเวลา งานตรวจสอบ PDPA ตกมาอยู่ในมือของเขาซึ่งเป็นทั้งคนคุมโปรดักต์และคนดูแลเรื่องกฎหมายไปพร้อมกัน ฟอร์มที่กำลังจะเปิดใช้งานเก็บเลขบัตรประชาชน ประวัติสุขภาพเบื้องต้น และข้อมูลทางการเงินของลูกค้า ถ้าเปิดใช้งานโดยไม่ตรวจให้ครบ ความเสี่ยงไม่ได้อยู่แค่เรื่องกฎหมาย แต่อยู่ที่ความน่าเชื่อถือของธุรกิจทั้งก้อนที่ยังเล็กเกินกว่าจะรับมือกับความเสียหายแบบนั้นได้

ทำไมธุรกิจการเงินและประกันขนาดเล็กต้องตรวจเข้มกว่า SME ทั่วไป

ข้อมูลที่ธุรกิจสายการเงิน ประกันภัย หรือธุรกิจความเสี่ยงสูงอื่น ๆ เก็บ มักถูกจัดเป็นข้อมูลอ่อนไหวหรือข้อมูลที่มีผลกระทบสูงต่อเจ้าของข้อมูลโดยตรง เช่น ประวัติสุขภาพที่ใช้ประเมินเบี้ยประกัน ข้อมูลบัญชีธนาคาร รายได้ หรือประวัติหนี้สิน ต่างจาก SME ทั่วไปที่อาจเก็บแค่ชื่อกับอีเมลสำหรับส่งข่าวสาร เมื่อข้อมูลลักษณะนี้รั่วไหลหรือถูกใช้ผิดวัตถุประสงค์ ผลกระทบต่อเจ้าของข้อมูลรุนแรงกว่ามาก และหน่วยงานกำกับดูแลสายการเงิน เช่น ธนาคารแห่งประเทศไทยหรือสำนักงาน คปภ. มักมีเกณฑ์ของตัวเองที่ทับซ้อนกับ PDPA อีกชั้นหนึ่ง SME ในกลุ่มนี้จึงตกอยู่ในจุดที่ต้องรับผิดชอบสูงพอ ๆ กับองค์กรใหญ่ แต่มีทีมงาน งบประมาณ และความเชี่ยวชาญด้านกฎหมายจำกัดกว่ามาก การมีเช็กลิสต์ที่ทำได้จริงด้วยคนไม่กี่คนจึงสำคัญกว่าการมีนโยบายหนาเป็นเล่มที่ไม่มีใครทำตามทัน

ในทางปฏิบัติ ผู้ก่อตั้งหรือหัวหน้าทีมที่ต้องดูแลเรื่องนี้เองมักไม่มีเวลาไปนั่งอ่านตัวบทกฎหมายทั้งฉบับ สิ่งที่ทำได้จริงคือแบ่งงานออกเป็นชิ้นเล็ก ๆ ที่ตรวจจบได้ในเวลาจำกัด แล้วมอบหมายให้คนในทีมที่เกี่ยวข้องรับผิดชอบแต่ละส่วน เช่น ทีมพัฒนาระบบตรวจเรื่องสิทธิ์การเข้าถึง ทีมขายตรวจเรื่องช่องทางขอความยินยอม และเจ้าของธุรกิจตรวจภาพรวมอีกครั้งก่อนเปิดใช้งานจริง วิธีนี้ทำให้งานที่ดูใหญ่และน่ากลัวกลายเป็นงานที่ทำเสร็จได้จริงภายในหนึ่งถึงสองวันทำการ

อีกจุดที่ทำให้ SME สายการเงินต่างจาก SME ทั่วไปคือความถี่ของการเปลี่ยนแปลงผลิตภัณฑ์ ธุรกิจฟินเทคหรือประกันขนาดเล็กมักออกฟีเจอร์ใหม่หรือปรับแบบฟอร์มบ่อยเพื่อแข่งขันกับผู้เล่นรายใหญ่ ทุกครั้งที่มีการเก็บข้อมูลเพิ่มหรือเปลี่ยนช่องทางขอความยินยอม จุดตรวจสอบเดิมอาจไม่ครอบคลุมอีกต่อไป เช็กลิสต์นี้จึงควรถูกใช้ซ้ำทุกครั้งที่มีการเปลี่ยนแปลงสำคัญ ไม่ใช่ทำครั้งเดียวตอนตั้งบริษัทแล้วเก็บเข้าลิ้นชัก

เช็กลิสต์ก่อนเปิดใช้งานจริง

ฐานทางกฎหมายและความยินยอม

• ระบุชัดว่าข้อมูลแต่ละประเภทที่เก็บใช้ฐานทางกฎหมายใด เช่น ความยินยอมสำหรับข้อมูลสุขภาพที่ใช้ประเมินเบี้ยประกัน หรือฐานสัญญาสำหรับข้อมูลที่จำเป็นต่อการให้บริการ
• ช่องทางขอความยินยอมต้องแยกชัดจากข้อกำหนดการใช้บริการทั่วไป ไม่ผูกรวมกันจนลูกค้าไม่รู้ตัวว่ากำลังยินยอมอะไร
• มีกลไกให้ลูกค้าถอนความยินยอมได้ง่ายพอ ๆ กับตอนให้ความยินยอม ไม่ใช่ต้องโทรเข้าคอลเซ็นเตอร์เท่านั้น
• สำหรับข้อมูลอ่อนไหว เช่น ประวัติสุขภาพหรือข้อมูลอาชญากรรมที่บางผลิตภัณฑ์ประกันต้องใช้ ต้องขอความยินยอมแบบชัดแจ้งแยกต่างหาก ไม่รวมไว้ในข้อตกลงยาว ๆ ข้อเดียว

การจัดเก็บและควบคุมการเข้าถึงข้อมูล

• มีรายการ (data inventory) ว่าข้อมูลลูกค้าแต่ละส่วนถูกเก็บไว้ที่ระบบใดบ้าง เช่น ระบบ CRM ระบบเคลม หรือสเปรดชีตสำรอง
• จำกัดสิทธิ์การเข้าถึงข้อมูลอ่อนไหวเฉพาะทีมที่ต้องใช้จริง เช่น ทีมพิจารณาอนุมัติกรมธรรม์ ไม่ใช่ทุกคนในบริษัทเข้าถึงได้
• มีการเข้ารหัสหรือควบคุมการเข้าถึงไฟล์ที่มีข้อมูลทางการเงินหรือสุขภาพ อย่างน้อยในระดับที่ทีมขนาดเล็กทำได้จริง เช่น ปิดสิทธิ์ดาวน์โหลดไฟล์แบบไม่จำกัด

ผู้ประมวลผลข้อมูลภายนอก

• ตรวจสัญญากับผู้ให้บริการชำระเงิน ผู้ให้บริการยืนยันตัวตนหรือ KYC และผู้ให้บริการคลาวด์ ว่ามีข้อกำหนดเรื่องการคุ้มครองข้อมูลส่วนบุคคลระบุไว้ชัดเจนหรือไม่
• ตรวจว่าผู้ให้บริการเหล่านี้เก็บข้อมูลไว้ที่ไหน และมีมาตรการความปลอดภัยที่สอดคล้องกับความอ่อนไหวของข้อมูลสายการเงินหรือไม่
• ระบุให้ชัดว่าถ้าผู้ประมวลผลข้อมูลภายนอกทำข้อมูลรั่วไหล ใครมีหน้าที่แจ้งใครก่อน และภายในกรอบเวลาเท่าไร

แผนรับมือเหตุข้อมูลรั่วไหล

• มีรายชื่อผู้รับผิดชอบเมื่อเกิดเหตุ อย่างน้อยหนึ่งคนหลักและหนึ่งคนสำรอง พร้อมช่องทางติดต่อที่เข้าถึงได้ตลอดเวลา
• มีขั้นตอนคร่าว ๆ ว่าจะประเมินความรุนแรงของเหตุการณ์อย่างไร และเมื่อไรต้องแจ้งหน่วยงานกำกับดูแล
• เก็บหลักฐานของทุกขั้นตอนที่ทำ เช่น เวลาที่ตรวจพบ เวลาที่แจ้งทีมงาน และการแก้ไขที่ทำไปแล้ว เพื่อใช้เป็นหลักฐานภายหลัง

การสื่อสารกับลูกค้าและทีมงานภายใน

• ตรวจว่าประกาศความเป็นส่วนตัว (privacy notice) ที่แสดงบนฟอร์มระบุชัดว่าเก็บข้อมูลอะไร ใช้ทำอะไร และเก็บนานแค่ไหน โดยเฉพาะข้อมูลสุขภาพหรือการเงินที่ใช้ประเมินความเสี่ยง
• ให้ทีมขายหรือทีมบริการลูกค้าที่ต้องคุยกับลูกค้าโดยตรง เข้าใจอย่างน้อยว่าจะตอบคำถามลูกค้าเรื่องข้อมูลส่วนบุคคลอย่างไรเมื่อถูกถามระหว่างขาย
• เตรียมช่องทางให้ลูกค้าติดต่อขอเข้าถึง แก้ไข หรือขอลบข้อมูลของตนเองได้ ไม่ใช่มีแค่อีเมลกลางที่ไม่มีใครติดตามอ่าน

ข้อผิดพลาดที่พบบ่อยก่อนเปิดใช้งาน

ทีมเล็กสายการเงินมักพลาดตรงจุดเดิม ๆ ซ้ำกัน การรู้ล่วงหน้าช่วยลดเวลาที่ต้องแก้ไขย้อนหลังหลังเปิดใช้งานไปแล้ว

• เข้าใจว่าข้อกำหนดการใช้บริการที่ให้ลูกค้ากดยอมรับครอบคลุมเรื่อง PDPA ไปด้วยแล้ว ทั้งที่เป็นคนละเรื่องกับความยินยอมเฉพาะสำหรับข้อมูลอ่อนไหว
• ปล่อยให้พนักงานทุกคนเข้าถึงระบบเคลมหรือระบบพิจารณาอนุมัติกรมธรรม์ได้เท่ากันหมด เพราะทีมเล็กจนไม่มีใครมาแบ่งสิทธิ์ให้ชัด
• เซ็นสัญญากับผู้ให้บริการภายนอกโดยไม่อ่านเงื่อนไขเรื่องข้อมูลส่วนบุคคล เพราะรีบเปิดใช้งานให้ทันกำหนดที่วางไว้
• ไม่มีใครในทีมรู้ว่าถ้าเกิดเหตุข้อมูลรั่วไหลกลางดึกควรโทรหาใครก่อน ทำให้เสียเวลาช่วงต้นซึ่งสำคัญที่สุด
• คัดลอกประกาศความเป็นส่วนตัวจากเว็บไซต์ธุรกิจอื่นมาใช้โดยไม่ปรับให้ตรงกับข้อมูลจริงที่ธุรกิจตัวเองเก็บ ทำให้สิ่งที่ประกาศไว้กับสิ่งที่ทำจริงไม่ตรงกัน

สรุป

สำหรับ SME สายการเงิน ประกัน หรือธุรกิจที่มีความเสี่ยงสูง เช็กลิสต์ก่อนเปิดใช้งานไม่ใช่ขั้นตอนที่ทำแล้วจบ แต่เป็นจุดตรวจสอบขั้นต่ำที่ทีมเล็กใช้ลดความเสี่ยงในจุดที่มีโอกาสพลาดสูงที่สุด คือช่วงก่อนระบบใหม่จะไปถึงมือลูกค้าจริง การใช้เวลาสักครึ่งวันไล่ตามรายการนี้ก่อนกดเปิดใช้งาน คุ้มค่ากว่าการต้องแก้ไขปัญหาหลังเกิดเหตุมาก และควรนำเช็กลิสต์นี้ไปทบทวนซ้ำทุกครั้งที่มีการเปลี่ยนแปลงระบบสำคัญ ไม่ใช่ใช้ครั้งเดียวตอนเปิดตัว ทีมที่มีคนน้อยไม่จำเป็นต้องทำทุกข้อให้สมบูรณ์แบบในครั้งเดียว แต่ควรรู้ว่าข้อไหนยังไม่ได้ทำ และวางแผนปิดช่องว่างนั้นภายในกรอบเวลาที่ชัดเจน แทนที่จะปล่อยผ่านโดยไม่มีใครติดตาม

แหล่งข้อมูลอ้างอิง

ทีมงานควรตรวจสอบแนวปฏิบัติล่าสุดจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ประกอบกับเกณฑ์เฉพาะของหน่วยงานกำกับดูแลในสายธุรกิจของตน เนื่องจากแนวปฏิบัติสายการเงินและประกันภัยมีการปรับปรุงอยู่เป็นระยะ ดูภาพรวมของหมวดธุรกิจและอุตสาหกรรมเพิ่มเติมได้ที่ หมวดธุรกิจ อุตสาหกรรม และ SEO อ่านภาพรวมทั้งคลัสเตอร์ได้ที่ คู่มือ PDPA สำหรับ SME สายการเงินและประกัน และดูขั้นตอนตรวจสอบเชิงลึกเพิ่มเติมได้ที่ วิธี Audit PDPA สำหรับ SME สายการเงิน