เปรียบเทียบแนวทางจัดการฐานกฎหมายในการประมวลผลข้อมูลสำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง: ทำเอง ใช้ปลั๊กอิน หรือใช้แพลตฟอร์ม

ฝ่าย Compliance ในองค์กรการเงินหลายแห่งเข้าใจว่าฐานที่ปลอดภัยที่สุดคือความยินยอม เพราะฟังดูเป็นการขอเสียงตกลงที่ชัดเจนที่สุดจากเจ้าของข้อมูล แต่ในทางปฏิบัติ ความยินยอมกลับเป็นฐานที่เปราะบางที่สุดสำหรับธุรกิจการเงินและประกันภัย เพราะเจ้าของข้อมูลถอนความยินยอมได้ทุกเมื่อ และเมื่อถอนแล้วองค์กรต้องหยุดใช้ข้อมูลตามวัตถุประสงค์นั้นทันที กระบวนการที่ต้องพึ่งพาความยินยอมอย่างเดียวจึงมีความเสี่ยงด้านความต่อเนื่องของธุรกิจสูงกว่าที่หลายทีมคาดคิด โดยเฉพาะกับกระบวนการที่ต้องดำเนินต่อเนื่องอย่าง KYC การให้คะแนนเครดิต หรือการจัดการสินไหม

ธุรกิจการเงิน ประกันภัย และองค์กรความเสี่ยงสูงมีฐานทางกฎหมายให้เลือกใช้มากกว่าความยินยอมเพียงฐานเดียว บทความนี้เปรียบเทียบฐานทางกฎหมายทั้งหมดที่เกี่ยวข้อง เทียบกับสถานการณ์จริงที่ฝ่าย Compliance ต้องเจอเป็นประจำ เพื่อให้เลือกฐานที่เหมาะกับแต่ละกระบวนการ ไม่ใช่ใช้ความยินยอมเป็นค่าเริ่มต้นสำหรับทุกกรณี

ฐานทางกฎหมายที่ใช้ได้และข้อจำกัดของแต่ละฐานสำหรับธุรกิจความเสี่ยงสูง

องค์กรการเงินและประกันภัยสามารถเลือกใช้ฐานทางกฎหมายได้หลายรูปแบบตามลักษณะของกระบวนการ แต่ละฐานมีเงื่อนไขการใช้และข้อจำกัดที่ต่างกันชัดเจน การเลือกฐานที่ไม่สอดคล้องกับลักษณะกระบวนการจริงเป็นความเสี่ยงที่พบบ่อยกว่าการไม่มีฐานทางกฎหมายเลยเสียอีก เพราะทีมมักเลือกฐานที่ดูปลอดภัยที่สุดในทางทฤษฎี แทนที่จะเลือกฐานที่ตรงกับความสัมพันธ์จริงระหว่างองค์กรกับเจ้าของข้อมูล

ฐานทางกฎหมาย	ใช้ได้เมื่อไหร่	ข้อจำกัดหรือความเสี่ยงหลัก	ตัวอย่างในธุรกิจการเงิน/ประกันภัย
ความยินยอม	เมื่อไม่มีฐานอื่นรองรับและต้องการให้เจ้าของข้อมูลเลือกได้อิสระ	ถอนได้ตลอดเวลา ต้องมีกลไกบันทึกและรองรับการถอนที่ใช้งานได้จริง	การส่งข้อเสนอผลิตภัณฑ์การเงินหรือประกันเพิ่มเติมนอกเหนือสัญญาหลัก
สัญญา	เมื่อการประมวลผลจำเป็นต่อการทำตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา	ใช้ได้เฉพาะขอบเขตที่จำเป็นต่อสัญญาจริง ใช้เกินขอบเขตต้องหาฐานอื่นเสริม	การประมวลผลข้อมูลเพื่อออกกรมธรรม์หรืออนุมัติสินเชื่อตามคำขอ
หน้าที่ตามกฎหมาย	เมื่อกฎหมายเฉพาะบังคับให้องค์กรต้องเก็บหรือส่งข้อมูล	ต้องระบุกฎหมายฉบับที่บังคับไว้ชัดเจน ใช้อ้างเกินขอบเขตกฎหมายไม่ได้	การทำ KYC ตามกฎหมายป้องกันฟอกเงิน หรือการรายงานธุรกรรมต่อหน่วยงานกำกับ
ประโยชน์โดยชอบด้วยกฎหมาย	เมื่อองค์กรมีประโยชน์ที่ชอบธรรมและไม่กระทบสิทธิเจ้าของข้อมูลเกินสมควร	ต้องทำการประเมิน LIA เป็นลายลักษณ์อักษรและทบทวนเป็นระยะ พิสูจน์ภาระได้ยากกว่าฐานอื่น	การตรวจจับธุรกรรมผิดปกติเพื่อป้องกันการฉ้อโกงหรือให้คะแนนความเสี่ยงเบื้องต้น
ประโยชน์สำคัญต่อชีวิต	เมื่อจำเป็นต่อการปกป้องชีวิตของเจ้าของข้อมูลหรือบุคคลอื่น	ใช้ในกรณีฉุกเฉินเฉพาะ ไม่เหมาะกับกระบวนการทางธุรกิจปกติ	กรณีฉุกเฉินที่เกี่ยวข้องกับข้อมูลผู้เอาประกันในเหตุอันตรายถึงชีวิต

เทียบฐานทางกฎหมายกับสถานการณ์จริงที่พบบ่อยในองค์กรการเงินและประกันภัย

KYC และการป้องกันฟอกเงิน

กระบวนการยืนยันตัวตนลูกค้าและการตรวจสอบแหล่งที่มาของเงินเป็นข้อบังคับตามกฎหมายเฉพาะทาง ฐานที่เหมาะสมคือหน้าที่ตามกฎหมาย ไม่ใช่ความยินยอม เพราะลูกค้าไม่สามารถถอนความยินยอมแล้วหลีกเลี่ยงกระบวนการนี้ได้ หากองค์กรผูก KYC ไว้กับความยินยอมโดยไม่รู้ตัว จะเกิดข้อขัดแย้งทันทีที่ลูกค้าพยายามถอนความยินยอมแต่ยังต้องการใช้บริการต่อ

การให้คะแนนเครดิตและประเมินความเสี่ยง

การให้คะแนนเครดิตที่เกี่ยวข้องโดยตรงกับการอนุมัติสินเชื่อตามคำขอของลูกค้า มักใช้ฐานสัญญาได้ เพราะเป็นขั้นตอนจำเป็นต่อการทำตามคำขอนั้น แต่หากองค์กรนำข้อมูลไปใช้ประเมินความเสี่ยงเพิ่มเติมนอกเหนือจากคำขอเดิม เช่น การวิเคราะห์แนวโน้มพฤติกรรมเพื่อเสนอผลิตภัณฑ์อื่น อาจต้องอาศัยฐานประโยชน์โดยชอบด้วยกฎหมายควบคู่ไปด้วย และควรทำ LIA รองรับไว้ล่วงหน้า

การป้องกันการฉ้อโกง

การตรวจจับธุรกรรมผิดปกติเพื่อป้องกันการฉ้อโกงมักอาศัยฐานประโยชน์โดยชอบด้วยกฎหมาย เพราะเป็นประโยชน์ที่ทั้งองค์กรและลูกค้าโดยรวมได้รับ แต่ต้องมีการประเมินว่าวิธีการตรวจจับไม่กระทบสิทธิของลูกค้าเกินสมควร เช่น ไม่เก็บข้อมูลเกินความจำเป็นหรือใช้ระยะเวลาเก็บนานเกินกว่าจุดประสงค์ป้องกันการฉ้อโกงจริง

การตลาดและการเสนอขายผลิตภัณฑ์เพิ่มเติม

การส่งข้อเสนอผลิตภัณฑ์การเงินหรือประกันเพิ่มเติมนอกเหนือจากที่ลูกค้าสมัครไว้เดิม เป็นจุดที่ควรใช้ความยินยอมอย่างชัดเจน เพราะไม่ใช่ส่วนจำเป็นของสัญญาหลักและไม่ใช่หน้าที่ตามกฎหมาย องค์กรที่ใช้ฐานประโยชน์โดยชอบด้วยกฎหมายแทนความยินยอมสำหรับกรณีนี้มักเผชิญคำถามจากผู้ตรวจสอบว่าเหตุใดจึงไม่ให้ลูกค้าเลือกเองตั้งแต่ต้น

การจัดการสินไหมและการเคลมประกัน

กระบวนการรับเรื่องและพิจารณาสินไหมมักอาศัยฐานสัญญาเป็นหลัก เนื่องจากเป็นการทำตามข้อผูกพันในกรมธรรม์ที่ผู้เอาประกันเป็นคู่สัญญาอยู่แล้ว บางขั้นตอนที่ต้องส่งข้อมูลให้หน่วยงานกำกับตามกฎหมายเฉพาะทางประกันภัยอาจต้องเสริมฐานหน้าที่ตามกฎหมายเข้าไปด้วย ขึ้นกับข้อกำหนดของแต่ละกรณี

การแบ่งปันข้อมูลระหว่างหน่วยงานในเครือ

องค์กรการเงินที่มีบริษัทในเครือหลายแห่ง เช่น ธนาคารกับบริษัทประกันในกลุ่มเดียวกัน มักต้องการแบ่งปันข้อมูลลูกค้าข้ามหน่วยงานเพื่อวิเคราะห์ความเสี่ยงร่วมกันหรือเสนอผลิตภัณฑ์ในเครือ กรณีนี้ไม่ควรถือว่าเป็นเรื่องภายในที่ไม่ต้องมีฐานทางกฎหมายรองรับ เพราะแต่ละนิติบุคคลในเครือถือเป็นผู้ควบคุมข้อมูลแยกจากกันตามกฎหมาย การแบ่งปันข้อมูลข้ามหน่วยงานจึงต้องมีฐานรองรับชัดเจน ส่วนใหญ่จะเป็นความยินยอมหากเป็นการเสนอผลิตภัณฑ์ใหม่ หรือประโยชน์โดยชอบด้วยกฎหมายพร้อม LIA หากเป็นการวิเคราะห์ความเสี่ยงร่วมที่จำกัดขอบเขตชัดเจน

การเก็บข้อมูลเพื่อรองรับการตรวจสอบจากหน่วยงานกำกับ

นอกเหนือจากการรายงานตามรอบปกติ องค์กรการเงินและประกันภัยมักต้องเก็บข้อมูลบางส่วนไว้นานกว่าที่วัตถุประสงค์เดิมต้องการ เพื่อรองรับการตรวจสอบย้อนหลังจากหน่วยงานกำกับที่อาจเกิดขึ้นได้ในอนาคต กรณีนี้อาศัยฐานหน้าที่ตามกฎหมายได้เช่นกัน แต่ต้องระบุระยะเวลาการเก็บให้ชัดเจนตามที่กฎหมายเฉพาะทางกำหนดไว้ ไม่ใช่เก็บไว้ไม่มีกำหนดโดยอ้างเหตุผลนี้เพียงอย่างเดียว ทีม Compliance ควรทำตารางอายุการเก็บข้อมูลแยกตามประเภทกระบวนการ เพื่อป้องกันการเก็บข้อมูลเกินความจำเป็นซึ่งเป็นความเสี่ยงอีกรูปแบบหนึ่งที่แยกจากเรื่องฐานทางกฎหมาย

กระบวนการตัดสินใจเลือกฐานที่ฝ่าย Compliance ควรใช้

ก่อนเลือกฐานทางกฎหมายสำหรับกระบวนการใดกระบวนการหนึ่ง ทีม Compliance ควรตั้งคำถามตามลำดับ เริ่มจากมีกฎหมายเฉพาะทางบังคับให้ต้องทำหรือไม่ หากมีให้ใช้ฐานหน้าที่ตามกฎหมาย ถัดมาคือกระบวนการนี้จำเป็นต่อการทำตามสัญญาที่ลูกค้าเป็นคู่สัญญาโดยตรงหรือไม่ หากใช่ให้ใช้ฐานสัญญา หากไม่เข้าเงื่อนไขทั้งสองข้อ จึงพิจารณาว่าองค์กรมีประโยชน์ที่ชอบธรรมและได้ประเมินผลกระทบต่อสิทธิของเจ้าของข้อมูลแล้วหรือยัง หากยังไม่ได้ประเมิน ต้องทำ LIA เป็นลายลักษณ์อักษรก่อนใช้ฐานนี้ และเก็บกรณีที่เหลือทั้งหมดไว้ใช้ความยินยอมเป็นทางเลือกสุดท้าย ไม่ใช่ทางเลือกแรก

การประเมิน LIA ที่ทำแล้วเก็บไว้เฉย ๆ โดยไม่ทบทวนตามรอบ ถือว่าไม่สมบูรณ์ ฝ่าย Compliance ควรกำหนดรอบทบทวนอย่างน้อยปีละครั้งหรือเมื่อกระบวนการเปลี่ยนแปลงอย่างมีนัยสำคัญ

องค์กรควรจัดทำเอกสารบันทึกฐานทางกฎหมายของแต่ละกระบวนการแยกเป็นรายการ พร้อมเหตุผลประกอบและผู้อนุมัติ เพื่อให้ตรวจสอบย้อนหลังได้เมื่อผู้ตรวจสอบภายในหรือหน่วยงานกำกับสอบถาม เอกสารนี้ควรปรับปรุงทุกครั้งที่มีกระบวนการใหม่เกิดขึ้นหรือกระบวนการเดิมเปลี่ยนวัตถุประสงค์การใช้ข้อมูล

ข้อผิดพลาดที่พบบ่อย

• ใช้ความยินยอมเป็นฐานสำหรับกระบวนการ KYC หรือรายงานตามกฎหมาย ทั้งที่ควรใช้ฐานหน้าที่ตามกฎหมาย
• อ้างฐานประโยชน์โดยชอบด้วยกฎหมายโดยไม่เคยทำ LIA เป็นลายลักษณ์อักษรรองรับ
• ใช้ฐานสัญญาครอบคลุมกิจกรรมการตลาดที่ไม่เกี่ยวข้องโดยตรงกับข้อผูกพันในสัญญาหลัก
• ไม่มีเอกสารบันทึกเหตุผลการเลือกฐานทางกฎหมายของแต่ละกระบวนการไว้ตรวจสอบย้อนหลัง
• ไม่ทบทวนฐานทางกฎหมายเมื่อกระบวนการเปลี่ยนวัตถุประสงค์การใช้ข้อมูลไปจากตอนเริ่มต้น

เลือกใช้เครื่องมือหรือกระบวนการแบบใดในการบริหารจัดการฐานทางกฎหมาย

องค์กรขนาดใหญ่ที่มีกระบวนการประมวลผลข้อมูลหลายสิบหลายร้อยกระบวนการ มักเจอปัญหาว่าการตัดสินใจเลือกฐานทางกฎหมายกระจัดกระจายอยู่ในหัวของพนักงานแต่ละคนโดยไม่มีบันทึกกลาง เมื่อพนักงานคนนั้นลาออกหรือย้ายแผนก เหตุผลเบื้องหลังการเลือกฐานก็หายไปด้วย แนวทางที่ทีม Compliance ขนาดใหญ่นิยมใช้คือทำทะเบียนกิจกรรมการประมวลผลข้อมูล หรือ Record of Processing Activities ที่ผูกแต่ละกระบวนการเข้ากับฐานทางกฎหมายที่เลือกใช้ เหตุผลประกอบ และผู้รับผิดชอบ เก็บไว้เป็นเอกสารกลางที่ทุกแผนกเข้าถึงและอัปเดตได้ ไม่ใช่กระจายอยู่ในอีเมลหรือบันทึกการประชุมที่ค้นหาย้อนหลังยาก

องค์กรบางแห่งเลือกใช้ซอฟต์แวร์บริหารจัดการความเป็นส่วนตัวสำเร็จรูปเพื่อช่วยติดตามทะเบียนนี้ ซึ่งมีข้อดีด้านการแจ้งเตือนเมื่อถึงรอบทบทวน แต่ไม่ควรเข้าใจผิดว่าการซื้อซอฟต์แวร์มาใช้เท่ากับเลือกฐานทางกฎหมายถูกต้องโดยอัตโนมัติ ซอฟต์แวร์เป็นเพียงเครื่องมือช่วยติดตามและแจ้งเตือน ส่วนการตัดสินใจว่ากระบวนการใดควรใช้ฐานใดยังต้องอาศัยการวิเคราะห์ลักษณะความสัมพันธ์ระหว่างองค์กรกับเจ้าของข้อมูลในแต่ละกรณีโดยคนที่เข้าใจกระบวนการนั้นจริง องค์กรขนาดเล็กกว่าที่ยังไม่มีงบสำหรับซอฟต์แวร์เฉพาะทาง อาจเริ่มจากสเปรดชีตที่มีโครงสร้างชัดเจนและมีเจ้าของทะเบียนคนเดียวที่รับผิดชอบดูแลความถูกต้องก็เพียงพอในระยะแรก

สรุป

องค์กรการเงิน ประกันภัย และธุรกิจความเสี่ยงสูงมีฐานทางกฎหมายให้เลือกมากกว่าความยินยอมเพียงฐานเดียว และการเลือกฐานที่ตรงกับลักษณะกระบวนการจริงสำคัญกว่าการเลือกฐานที่ฟังดูปลอดภัยที่สุด ฝ่าย Compliance ที่ไล่ตามกระบวนการตัดสินใจอย่างเป็นระบบ ทำ LIA รองรับฐานประโยชน์โดยชอบด้วยกฎหมาย และเก็บเอกสารบันทึกเหตุผลไว้ครบถ้วน จะพร้อมรับมือกับการตรวจสอบได้ดีกว่าองค์กรที่ใช้ความยินยอมเป็นค่าเริ่มต้นสำหรับทุกกรณีโดยไม่แยกแยะ ดูภาพรวมของหมวด Privacy Fundamentals เพิ่มเติมได้ที่ ศูนย์ความรู้ Privacy Fundamentals

แหล่งข้อมูลอ้างอิง

แนวทางหลักการคุ้มครองข้อมูลส่วนบุคคลและฐานทางกฎหมายอ้างอิงจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ส่วนแนวทางเชิงลึกสำหรับองค์กรการเงินและประกันภัยเพิ่มเติมอ่านต่อได้ที่ บทความตรวจสอบฐานทางกฎหมายสำหรับองค์กรการเงิน และ คู่มือฐานทางกฎหมายสำหรับองค์กรความเสี่ยงสูง