ความยินยอมตาม PDPA คืออะไร? คู่มือสำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง

องค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงจำนวนมากยังจัดการความยินยอมตาม PDPA แบบผิดจุด คือให้ลูกค้ากดยอมรับเงื่อนไขการใช้บริการทั้งหมดในคราวเดียว แล้วถือว่าครอบคลุมทุกกิจกรรมที่จะเกิดขึ้นในอนาคต ปัญหาคือความยินยอมแบบนี้ไม่สามารถแยกแยะได้ว่าลูกค้ายินยอมเรื่องใดบ้างจริง ๆ เมื่อลูกค้าต้องการถอนความยินยอมเฉพาะเรื่องการตลาด หรือเมื่อผู้ตรวจสอบขอดูหลักฐานว่าลูกค้ารายใดยินยอมให้ส่งข้อมูลไปยังพันธมิตรรายใดบ้าง องค์กรที่ใช้วิธีรวบยอดแบบนี้มักตอบไม่ได้ และนั่นคือช่องว่างที่นำไปสู่ความเสี่ยงด้านการกำกับดูแลที่จับต้องได้จริง

คู่มือนี้อธิบายความยินยอมตาม PDPA สำหรับองค์กรการเงินและประกันแบบครบวงจร ตั้งแต่นิยาม โครงสร้างระบบที่ควรมี ไปจนถึงจุดที่องค์กรลักษณะนี้ต้องระวังเป็นพิเศษ เพื่อให้ทีมกฎหมาย Privacy และ Compliance ใช้เป็นจุดเริ่มต้นก่อนลงรายละเอียดในแต่ละด้าน

ความยินยอมตาม PDPA คือกลไกที่องค์กรใช้ขออนุญาตจากเจ้าของข้อมูลก่อนนำข้อมูลไปใช้เพื่อวัตถุประสงค์ที่ไม่มีฐานทางกฎหมายอื่นรองรับ สำหรับองค์กรการเงินและประกัน ความยินยอมต้องแยกตามวัตถุประสงค์ มีหลักฐานการให้และถอนที่ตรวจสอบย้อนหลังได้ และต้องทบทวนเมื่อมีการเปลี่ยนวัตถุประสงค์การใช้ข้อมูลหรือเปลี่ยนพันธมิตรทางธุรกิจ ปัญหาที่พบบ่อยที่สุดคือการรวมความยินยอมหลายเรื่องไว้ในข้อความเดียวและไม่มีหลักฐานว่าลูกค้าเห็นข้อความเวอร์ชันใด

ความยินยอมตาม PDPA คืออะไรกันแน่

ความยินยอมเป็นหนึ่งในฐานทางกฎหมายที่องค์กรใช้เพื่อประมวลผลข้อมูลส่วนบุคคลได้อย่างมีเหตุผลรองรับ โดยเจ้าของข้อมูลต้องได้รับข้อมูลที่ชัดเจนก่อนตัดสินใจ ต้องให้ความยินยอมด้วยความสมัครใจ ไม่ถูกผูกไว้กับเงื่อนไขการใช้บริการหลักจนไม่มีทางเลือก และต้องสามารถถอนความยินยอมได้ง่ายพอ ๆ กับตอนที่ให้ ความยินยอมจึงต่างจากการยอมรับเงื่อนไขการใช้บริการทั่วไปตรงที่ต้องแยกเป็นรายวัตถุประสงค์ ไม่ใช่การยอมรับแบบเหมารวมทั้งฉบับ สำหรับองค์กรการเงิน วัตถุประสงค์ที่มักต้องขอความยินยอมแยกกัน ได้แก่ การตลาดผลิตภัณฑ์ใหม่ การส่งต่อข้อมูลให้พันธมิตรทางธุรกิจ การใช้ข้อมูลพฤติกรรมเพื่อประเมินความเสี่ยงด้วยระบบอัตโนมัติ และการใช้ข้อมูลข้ามบริษัทในเครือ

ทำไมองค์กรการเงินและประกันต้องระมัดระวังเรื่องนี้มากกว่าธุรกิจทั่วไป

องค์กรกลุ่มนี้มีลักษณะเฉพาะสามอย่างที่ทำให้การจัดการความยินยอมซับซ้อนกว่าธุรกิจทั่วไป อย่างแรกคือสัญญาระยะยาว เช่น กรมธรรม์ประกันชีวิตที่มีอายุหลายสิบปี ทำให้ความยินยอมที่ให้ไว้ตอนเริ่มสัญญาอาจล้าสมัยเมื่อองค์กรเริ่มใช้ข้อมูลในรูปแบบใหม่ระหว่างทาง อย่างที่สองคือโครงสร้างกลุ่มธุรกิจที่มีบริษัทในเครือหลายแห่ง ทำให้การแชร์ข้อมูลข้ามบริษัทเป็นเรื่องปกติแต่ต้องมีความยินยอมรองรับชัดเจนเป็นรายบริษัท อย่างที่สามคือความถี่ในการถูกตรวจสอบจากหน่วยงานกำกับดูแล ทั้งจากมุมของหน่วยงานคุ้มครองข้อมูลส่วนบุคคลและหน่วยงานกำกับดูแลภาคการเงินโดยตรง ทำให้หลักฐานความยินยอมที่ไม่ครบถ้วนมีโอกาสถูกพบเจอสูงกว่าธุรกิจทั่วไปที่ไม่ค่อยถูกตรวจสอบภายนอก

โครงสร้างระบบความยินยอมที่องค์กรการเงินควรมี

ระบบความยินยอมที่สมบูรณ์ควรประกอบด้วยสี่ส่วนหลัก ส่วนแรกคือจุดเก็บความยินยอม ซึ่งต้องครอบคลุมทุกช่องทางที่ลูกค้าติดต่อ ทั้งเว็บไซต์ แอปพลิเคชัน คอลเซ็นเตอร์ และสาขา ส่วนที่สองคือฐานข้อมูลบันทึกประวัติความยินยอม ที่เก็บทุกเหตุการณ์การให้และถอนความยินยอมพร้อมเวอร์ชันข้อความที่ลูกค้าเห็นจริง ส่วนที่สามคือกลไกถอนความยินยอมที่เชื่อมโยงข้ามระบบทั้งหมดได้จริง ไม่ใช่แค่ปิดสถานะในระบบเดียว และส่วนที่สี่คือรอบตรวจสอบเป็นระยะที่สุ่มตรวจว่าทั้งสามส่วนแรกยังทำงานสอดคล้องกัน วิธีวางระบบทั้งสี่ส่วนนี้แบบเป็นขั้นตอนละเอียด อ่านเพิ่มเติมได้ที่ วิธีวางระบบความยินยอมตาม PDPA สำหรับองค์กรการเงิน

สิ่งที่ควรตรวจเป็นประจำเมื่อระบบวางเสร็จแล้ว

เมื่อวางระบบเสร็จแล้ว งานที่เหลือคือการรักษาให้ระบบยังทำงานถูกต้องต่อเนื่อง ควรตรวจว่าบันทึกความยินยอมของลูกค้าที่สุ่มเลือกมามีหลักฐานครบทุกจุดหรือไม่ เวอร์ชันข้อความที่บันทึกไว้ตรงกับเวอร์ชันที่ใช้งานจริงในช่วงเวลานั้นหรือไม่ และคำขอถอนความยินยอมถูกประมวลผลข้ามระบบภายในเวลาที่เหมาะสมหรือไม่ นอกจากนี้ควรตรวจสัญญาระยะยาวที่ยังมีผลบังคับใช้อยู่เป็นระยะ เพราะสัญญาเก่าอาจยังใช้ข้อความยินยอมแบบเดิมที่ไม่ได้แยกตามวัตถุประสงค์ รายละเอียดขั้นตอนตรวจสอบและตัวอย่างหลักฐานที่ควรเก็บ อ่านเพิ่มเติมได้ที่ วิธี Audit ความยินยอมตาม PDPA สำหรับองค์กรการเงินและประกัน

เช็กลิสต์ก่อนเปิดตัวผลิตภัณฑ์หรือแคมเปญใหม่

ก่อนเปิดตัวผลิตภัณฑ์หรือแคมเปญใหม่ที่เกี่ยวข้องกับการใช้ข้อมูลลูกค้าในรูปแบบที่ไม่เคยมีมาก่อน ทีมผลิตภัณฑ์ควรตรวจสอบกับทีมกฎหมายก่อนว่าความยินยอมเดิมของลูกค้าครอบคลุมวัตถุประสงค์ใหม่นี้หรือไม่ หากไม่ครอบคลุม ต้องวางแผนขอความยินยอมเพิ่มเติมก่อนเริ่มดำเนินการจริง การมีเช็กลิสต์มาตรฐานที่ทีมผลิตภัณฑ์ใช้ตรวจสอบตัวเองก่อนทุกครั้งช่วยลดโอกาสที่แคมเปญจะเริ่มไปแล้วโดยทีมกฎหมายเพิ่งทราบภายหลัง รายการเช็กลิสต์แบบละเอียดสำหรับจังหวะนี้โดยเฉพาะ อ่านเพิ่มเติมได้ที่ เช็กลิสต์ความยินยอมตาม PDPA สำหรับองค์กรการเงิน

อะไรที่เปลี่ยนไปและต้องทบทวนเมื่อเข้าสู่ปี 2569

แนวปฏิบัติและความคาดหวังของหน่วยงานกำกับดูแลเรื่องความยินยอมมีการปรับปรุงเป็นระยะ องค์กรการเงินควรตรวจสอบว่าคำแนะนำหรือแนวปฏิบัติล่าสุดจากหน่วยงานที่เกี่ยวข้องมีการเปลี่ยนแปลงส่วนใดที่กระทบกับระบบความยินยอมที่ใช้อยู่ปัจจุบันหรือไม่ โดยเฉพาะประเด็นที่เกี่ยวกับการแชร์ข้อมูลข้ามพรมแดนหรือการใช้ระบบอัตโนมัติในการประมวลผลข้อมูล ซึ่งเป็นประเด็นที่ภาคการเงินมักถูกจับตามองเป็นพิเศษ สรุปการเปลี่ยนแปลงล่าสุดที่ควรตรวจสอบก่อนสิ้นปี อ่านเพิ่มเติมได้ที่ สรุปความเปลี่ยนแปลงความยินยอมตาม PDPA ปี 2569 สำหรับองค์กรการเงิน

ออกแบบหน้าจอขอความยินยอมอย่างไรให้ลูกค้าตัดสินใจได้จริง

หน้าจอขอความยินยอมที่ดีไม่ใช่แค่มีช่องทำเครื่องหมายให้ครบตามกฎหมาย แต่ต้องช่วยให้ลูกค้าเข้าใจว่ากำลังตัดสินใจอะไรอยู่ ธนาคารบางแห่งเคยออกแบบหน้าจอที่มีช่องทำเครื่องหมายแยกตามวัตถุประสงค์ครบถ้วนตามหลักการ แต่วางทุกช่องไว้ในตัวหนังสือขนาดเล็กท้ายฟอร์มเปิดบัญชี ทำให้ลูกค้าเกือบทั้งหมดกดยอมรับทุกข้อโดยไม่อ่าน ซึ่งแม้จะผ่านการตรวจสอบเชิงเทคนิคว่ามีช่องแยกครบ แต่ในทางปฏิบัติลูกค้าก็ยังไม่ได้ตัดสินใจอย่างมีข้อมูลจริง การปรับปรุงที่ได้ผลคือย้ายช่องทำเครื่องหมายสำคัญ เช่น การใช้ข้อมูลเพื่อการตลาดและการส่งต่อข้อมูลให้พันธมิตร ขึ้นมาเป็นขั้นตอนแยกต่างหากที่ลูกค้าต้องเลื่อนผ่านและกดยืนยันทีละข้อ แทนที่จะซ่อนอยู่ในฟอร์มเดียวกับข้อมูลอื่น พร้อมเขียนคำอธิบายสั้น ๆ ว่าแต่ละวัตถุประสงค์หมายถึงอะไรในภาษาที่ลูกค้าทั่วไปเข้าใจได้ ไม่ใช่ภาษากฎหมาย

สำหรับช่องทางคอลเซ็นเตอร์และสาขาที่ไม่มีหน้าจอให้ลูกค้าอ่านเอง ต้องอาศัยสคริปต์ที่พนักงานอ่านให้ลูกค้าฟังทีละวัตถุประสงค์ และรอให้ลูกค้าตอบรับเป็นรายข้อก่อนดำเนินการต่อ พร้อมบันทึกหลักฐานการตอบรับ เช่น บันทึกเสียงหรือลายเซ็นอิเล็กทรอนิกส์ที่ผูกกับข้อความเวอร์ชันนั้น ๆ การออกแบบหน้าจอและสคริปต์ที่ดีในลักษณะนี้ไม่ได้เพิ่มความยุ่งยากในการให้บริการมากนัก แต่ช่วยลดความเสี่ยงที่ลูกค้าจะร้องเรียนภายหลังว่าไม่เคยรับทราบว่าข้อมูลของตัวเองถูกใช้ในลักษณะที่ไม่คาดคิด

ความแตกต่างระหว่างองค์กรการเงิน บริษัทประกัน และธุรกิจความเสี่ยงสูงอื่น

แม้จะอยู่ในกลุ่มเดียวกันตามบทความนี้ แต่องค์กรการเงิน บริษัทประกัน และธุรกิจที่มีความเสี่ยงสูงอื่น เช่น ธุรกิจสินเชื่อนอกระบบธนาคารหรือธุรกิจสินทรัพย์ดิจิทัล มีจุดที่ต้องระวังต่างกันบ้าง ธนาคารมักมีความซับซ้อนเรื่องการแชร์ข้อมูลข้ามผลิตภัณฑ์ภายในกลุ่มเดียวกัน เช่น บัญชีเงินฝาก บัตรเครดิต และสินเชื่อส่วนบุคคล ที่มักมีระบบหลังบ้านแยกกันแต่ต้องการใช้ข้อมูลลูกค้าร่วมกันเพื่อประเมินวงเงิน บริษัทประกันมักมีความซับซ้อนเรื่องข้อมูลสุขภาพที่เป็นข้อมูลอ่อนไหว ซึ่งต้องพิจารณาเงื่อนไขความยินยอมที่เข้มงวดกว่าข้อมูลทั่วไป ส่วนธุรกิจสินทรัพย์ดิจิทัลมักมีความซับซ้อนเรื่องการส่งข้อมูลข้ามพรมแดนไปยังผู้ให้บริการเทคโนโลยีต่างประเทศ ซึ่งต้องพิจารณาเพิ่มเติมนอกเหนือจากประเด็นความยินยอมพื้นฐาน องค์กรแต่ละประเภทจึงควรปรับรายละเอียดของระบบความยินยอมให้ตรงกับความเสี่ยงเฉพาะของธุรกิจตัวเอง ไม่ใช่ใช้แม่แบบเดียวกันทั้งหมดโดยไม่ปรับแต่ง

ความยินยอมกับฐานทางกฎหมายอื่น เลือกใช้เมื่อใด

ไม่ใช่ทุกกิจกรรมขององค์กรการเงินต้องอาศัยความยินยอม บางกิจกรรม เช่น การตรวจสอบธุรกรรมเพื่อป้องกันการฟอกเงินตามข้อกำหนดของหน่วยงานกำกับดูแล อาจใช้ฐานทางกฎหมายอื่นที่เหมาะสมกว่า เช่น การปฏิบัติตามกฎหมาย การแยกให้ชัดว่ากิจกรรมใดต้องขอความยินยอมและกิจกรรมใดใช้ฐานอื่นได้เหมาะสมกว่า เป็นงานที่ทีมกฎหมายควรทำคู่ขนานไปกับการวางระบบความยินยอม เพราะการขอความยินยอมในกิจกรรมที่จริง ๆ แล้วควรใช้ฐานอื่นอาจสร้างภาระให้ลูกค้าโดยไม่จำเป็น และเมื่อลูกค้าถอนความยินยอมอาจกระทบกับกิจกรรมที่จำเป็นต้องทำต่อเนื่องตามกฎหมาย ภาพรวมของ Privacy Fundamentals ทั้งหมด อ่านเพิ่มเติมได้ที่ Privacy Fundamentals

บทบาทของแต่ละทีมในองค์กรที่ต้องรับผิดชอบร่วมกัน

ทีมกฎหมายรับผิดชอบกำหนดว่าวัตถุประสงค์ใดต้องขอความยินยอมและออกแบบข้อความให้ถูกต้อง ทีมเทคโนโลยีสารสนเทศรับผิดชอบสร้างระบบบันทึกและเชื่อมโยงข้อมูลระหว่างช่องทาง ทีมผลิตภัณฑ์และการตลาดรับผิดชอบแจ้งล่วงหน้าทุกครั้งที่จะใช้ข้อมูลลูกค้าในรูปแบบใหม่ ส่วนทีมตรวจสอบภายในรับผิดชอบสุ่มตรวจว่าทั้งระบบยังทำงานสอดคล้องกันตามรอบที่กำหนด องค์กรที่แยกความรับผิดชอบชัดเจนแบบนี้มักจัดการความยินยอมได้ดีกว่าองค์กรที่ปล่อยให้เป็นภาระของทีมใดทีมหนึ่งเพียงลำพัง เพราะความยินยอมเป็นเรื่องที่เกี่ยวข้องกับทุกจุดสัมผัสลูกค้าพร้อมกัน

วัดผลว่าระบบความยินยอมทำงานได้ดีแค่ไหน

นอกจากตรวจความครบถ้วนของหลักฐาน องค์กรควรวัดตัวชี้วัดเชิงคุณภาพของระบบความยินยอมด้วย เช่น สัดส่วนคำขอถอนความยินยอมที่ประมวลผลเสร็จภายในเวลาที่กำหนด จำนวนช่องทางที่ยังไม่ได้เชื่อมกับระบบกลาง และจำนวนกรณีที่ทีมผลิตภัณฑ์แจ้งทีมกฎหมายก่อนเริ่มแคมเปญเทียบกับจำนวนแคมเปญทั้งหมดที่เปิดตัวในแต่ละไตรมาส ตัวเลขเหล่านี้ควรถูกรายงานให้ผู้บริหารระดับสูงรับทราบเป็นระยะ ไม่ใช่เก็บไว้เป็นข้อมูลภายในทีม Compliance เพียงฝ่ายเดียว เพราะเมื่อผู้บริหารเห็นตัวเลขที่ชัดเจน มักจะจัดสรรทรัพยากรให้กับการปรับปรุงระบบได้เร็วขึ้นกว่าการรอให้เกิดปัญหาจริงก่อนแล้วค่อยแก้ไข องค์กรที่เริ่มวัดตัวชี้วัดเหล่านี้อย่างจริงจังมักพบว่าช่องทางบางช่องทางที่คิดว่าเชื่อมระบบไว้ครบแล้ว จริง ๆ ยังมีความล่าช้าในการประมวลผลคำขอถอนความยินยอมมากกว่าที่คาดไว้

ข้อผิดพลาดที่พบบ่อยในภาพรวมของการจัดการความยินยอม

• ให้ลูกค้ายอมรับเงื่อนไขทั้งฉบับรวมทุกวัตถุประสงค์ไว้ในคราวเดียว
• ไม่มีหลักฐานว่าลูกค้าเห็นข้อความเวอร์ชันใดตอนให้ความยินยอม
• ปล่อยให้สัญญาระยะยาวยังใช้ข้อความยินยอมแบบเก่าโดยไม่ทบทวน
• ทีมผลิตภัณฑ์เริ่มใช้ข้อมูลในรูปแบบใหม่ก่อนแจ้งทีมกฎหมาย
• ไม่มีรอบตรวจสอบเป็นระยะ ปล่อยให้ปัญหาสะสมจนถูกพบตอนถูกตรวจสอบจริง

สรุป

ความยินยอมตาม PDPA สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ไม่ใช่แค่การให้ลูกค้ากดยอมรับเงื่อนไข แต่คือระบบที่ต้องแยกตามวัตถุประสงค์ เก็บหลักฐานตรวจสอบย้อนหลังได้ เชื่อมกลไกถอนความยินยอมข้ามระบบ และทบทวนเป็นระยะ องค์กรกลุ่มนี้มีความเสี่ยงเฉพาะจากสัญญาระยะยาวและโครงสร้างบริษัทในเครือที่ธุรกิจทั่วไปไม่ค่อยเจอ คู่มือนี้เป็นจุดเริ่มต้น ส่วนรายละเอียดเชิงปฏิบัติแต่ละด้านอยู่ในบทความย่อยที่เชื่อมโยงไว้ข้างต้น

แหล่งข้อมูลอ้างอิง

แนวทางที่เกี่ยวข้องกับหลักการคุ้มครองข้อมูลส่วนบุคคลของไทยควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง คู่มือนี้เป็นแนวทางเชิงปฏิบัติ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล