ข้อมูลส่วนบุคคลบนเว็บไซต์ คืออะไร? คู่มือสำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง

สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง คำถามว่า "ข้อมูลส่วนบุคคลบนเว็บไซต์คืออะไร" ไม่ใช่จุดเริ่มต้นที่ยากที่สุด สิ่งที่ยากกว่าคือการตอบให้ได้ว่าข้อมูลแต่ละชิ้นอยู่ภายใต้กรอบกำกับดูแลใดบ้าง เพราะนอกจาก PDPA แล้ว องค์กรกลุ่มนี้ยังต้องปฏิบัติตามแนวปฏิบัติเฉพาะอุตสาหกรรม เช่น หลักเกณฑ์การรู้จักลูกค้า (KYC) และการป้องกันการฟอกเงิน (AML) ที่ธนาคารแห่งประเทศไทยหรือสำนักงาน คปภ. กำกับดูแลควบคู่ไปด้วย ซึ่งบางครั้งมีข้อกำหนดเรื่องระยะเวลาการเก็บข้อมูลที่ขัดแย้งกับหลักการเก็บข้อมูลเท่าที่จำเป็นของ PDPA

บทความนี้จึงเน้นมุมมองของฝ่ายกฎหมาย Privacy, Security และ Compliance โดยตรง อธิบายว่าข้อมูลส่วนบุคคลบนเว็บไซต์ขององค์กรกลุ่มนี้ควรจัดชั้นความลับอย่างไร ความเสี่ยงจากผู้ให้บริการภายนอกที่เข้าถึงข้อมูลมีอะไรบ้าง และควรเตรียมกระบวนการตอบสนองต่อเหตุการณ์ข้อมูลรั่วไหลอย่างไรให้พร้อมรายงานต่อหน่วยงานกำกับดูแลได้ทันเวลา

บทความนี้อธิบายแนวทางเชิงปฏิบัติสำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงเท่านั้น ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี องค์กรควรปรึกษาที่ปรึกษากฎหมายและฝ่ายกำกับดูแลของตนเองประกอบการตัดสินใจ

กรอบกำกับดูแลที่ทับซ้อนกับ PDPA สำหรับองค์กรการเงินและประกัน

องค์กรการเงินและประกันมักอยู่ภายใต้กฎเกณฑ์มากกว่าหนึ่งชุดพร้อมกัน นอกจาก PDPA ที่ควบคุมการเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลโดยทั่วไป ยังมีแนวปฏิบัติของธนาคารแห่งประเทศไทย (ธปท.) สำหรับสถาบันการเงิน และสำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (คปภ.) สำหรับธุรกิจประกัน ที่กำหนดมาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลลูกค้าเพิ่มเติม รวมถึงข้อกำหนดเรื่อง KYC/AML ที่บังคับให้ต้องเก็บหลักฐานยืนยันตัวตนไว้เป็นระยะเวลาหนึ่งตามกฎหมาย ซึ่งอาจยาวนานกว่าหลักการเก็บข้อมูลเท่าที่จำเป็นของ PDPA ทั่วไป ฝ่ายกฎหมายจึงต้องพิจารณาว่ากรอบใดกำหนดระยะเวลาขั้นต่ำหรือขั้นสูงไว้ และเลือกปฏิบัติตามกรอบที่เข้มงวดกว่าเมื่อมีความขัดแย้งกัน

เว็บไซต์ที่ใช้เก็บข้อมูลเบื้องต้นของลูกค้า เช่น แบบฟอร์มขอสินเชื่อออนไลน์หรือแบบประเมินความเสี่ยงก่อนทำประกัน จึงไม่ใช่แค่จุดเก็บข้อมูลส่วนบุคคลทั่วไป แต่เป็นจุดเริ่มต้นของกระบวนการ KYC ที่ต้องเชื่อมโยงกับระบบยืนยันตัวตนและระบบตรวจสอบความเสี่ยงลูกค้าที่มีมาตรฐานสูงกว่าเว็บไซต์ทั่วไป

การจัดชั้นความลับของข้อมูลลูกค้าตามระดับผลกระทบ

แทนที่จะแบ่งข้อมูลเป็นเพียง "ทั่วไป" กับ "อ่อนไหว" แบบมาตรฐาน องค์กรการเงินและประกันควรจัดชั้นความลับของข้อมูล (data classification) ตามระดับผลกระทบหากข้อมูลรั่วไหล ซึ่งช่วยให้ฝ่าย Security กำหนดมาตรการป้องกันได้ละเอียดกว่า

การจัดชั้นแบบนี้ช่วยให้ทีม IT และ Security ไม่ต้องตัดสินใจเองหน้างานว่าข้อมูลชิ้นใดต้องเข้ารหัสระดับใด เพราะมีเกณฑ์ที่ฝ่ายกฎหมายและ Compliance กำหนดไว้ล่วงหน้าให้ยึดถือร่วมกันทั้งองค์กร คำถามที่ว่าการจัดชั้นความลับข้อมูล (data classification) สำคัญอย่างไร จึงตอบได้ตรงจุดว่ามันคือกลไกที่แปลงหลักการคุ้มครองข้อมูลส่วนบุคคลเชิงนามธรรม ให้กลายเป็นมาตรการทางเทคนิคที่จับต้องได้และตรวจสอบย้อนหลังได้

ความเสี่ยงจากผู้ให้บริการภายนอกที่เข้าถึงข้อมูลลูกค้า

องค์กรการเงินและประกันมักใช้ผู้ให้บริการภายนอกจำนวนมากที่เข้าถึงข้อมูลลูกค้าโดยตรงหรือโดยอ้อม เช่น ผู้ให้บริการ eKYC ผู้ให้บริการ Cloud Hosting ผู้ให้บริการวิเคราะห์ข้อมูลเครดิต หรือ Call Center ที่ outsource ความเสี่ยงสำคัญคือองค์กรยังคงต้องรับผิดชอบต่อข้อมูลลูกค้าแม้จะส่งต่อให้ผู้ให้บริการภายนอกประมวลผลแล้ว ฝ่ายกฎหมายจึงต้องมีสัญญาประมวลผลข้อมูล (Data Processing Agreement) ที่ระบุขอบเขตการใช้ข้อมูลชัดเจน มาตรการรักษาความปลอดภัยขั้นต่ำที่ผู้ให้บริการต้องมี และสิทธิ์ในการตรวจสอบ (audit right) เมื่อจำเป็น

ก่อนเซ็นสัญญากับผู้ให้บริการรายใหม่ ฝ่าย Security ควรประเมินความเสี่ยงของผู้ให้บริการ (vendor risk assessment) อย่างเป็นระบบ เช่น ตรวจสอบว่าผู้ให้บริการมีมาตรฐานความปลอดภัยที่ได้รับการรับรอง (เช่น ISO 27001) หรือไม่ ข้อมูลถูกประมวลผลหรือจัดเก็บในประเทศใด และมีแผนรับมือเหตุการณ์ข้อมูลรั่วไหลที่สอดคล้องกับกระบวนการขององค์กรหรือไม่ หากมีคนถามว่าผู้ให้บริการภายนอกที่เข้าถึงข้อมูลลูกค้าต้องมีสัญญาแบบใด คำตอบคือต้องมี Data Processing Agreement ที่ครอบคลุมทั้งขอบเขตการใช้ข้อมูล มาตรการรักษาความปลอดภัยขั้นต่ำ และสิทธิ์ในการตรวจสอบของฝ่ายองค์กรเสมอ

ขั้นตอนตอบสนองเมื่อเกิดเหตุข้อมูลรั่วไหล

1. ระบุขอบเขตของเหตุการณ์ทันทีที่ตรวจพบ ว่าข้อมูลชั้นใดได้รับผลกระทบ (Restricted, Confidential หรือ Internal) และจำนวนเจ้าของข้อมูลที่เกี่ยวข้องโดยประมาณ
2. แจ้งฝ่ายกฎหมายและ Compliance ทันทีเพื่อประเมินว่าต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงตามที่กฎหมายกำหนดหรือไม่
3. ตรวจสอบว่าเหตุการณ์เกี่ยวข้องกับผู้ให้บริการภายนอกหรือไม่ และเปิดกระบวนการตามสัญญา Data Processing Agreement ที่มีอยู่
4. ประเมินว่าจำเป็นต้องแจ้งเจ้าของข้อมูลที่ได้รับผลกระทบโดยตรงหรือไม่ ตามระดับความเสี่ยงของข้อมูลที่รั่วไหล
5. จัดทำรายงานสรุปเหตุการณ์ สาเหตุ และมาตรการแก้ไข เพื่อใช้รายงานต่อคณะกรรมการตรวจสอบภายในและหน่วยงานกำกับดูแลที่เกี่ยวข้อง

คำถามที่พบบ่อยในขั้นตอนนี้คือเมื่อเกิดเหตุข้อมูลรั่วไหลต้องแจ้งหน่วยงานกำกับดูแลภายในกี่ชั่วโมง คำตอบตามหลักการทั่วไปคือภายใน 72 ชั่วโมงนับจากทราบเหตุ ซึ่งเป็นกรอบเวลาที่สั้นมากสำหรับองค์กรขนาดใหญ่ที่มีระบบซับซ้อน จึงจำเป็นต้องซ้อมแผนตอบสนองเหตุการณ์ล่วงหน้าอย่างน้อยปีละครั้ง เพื่อให้ทุกฝ่ายรู้บทบาทของตนเองทันทีที่เกิดเหตุจริง ไม่ต้องเสียเวลาประชุมตัดสินใจว่าใครต้องทำอะไรในนาทีวิกฤต

กรณีตัวอย่าง: ตรวจพบผู้ให้บริการ Call Center Outsource เข้าถึงข้อมูลเกินขอบเขต

สถานการณ์ที่พบได้ในองค์กรการเงินขนาดกลางถึงใหญ่คือการตรวจพบระหว่างการตรวจสอบภายในประจำไตรมาสว่าผู้ให้บริการ Call Center ที่ outsource ไว้ สามารถเข้าถึงข้อมูลบัญชีลูกค้าในระบบ Core Banking ได้กว้างกว่าที่ระบุไว้ในสัญญา เพราะสิทธิ์การเข้าถึงถูกตั้งค่าไว้แบบเดียวกับพนักงานภายใน ทั้งที่ Call Center ควรเห็นเฉพาะข้อมูลที่จำเป็นต่อการตอบคำถามลูกค้าเท่านั้น กรณีเช่นนี้มักไม่ถูกจับได้จนกว่าจะมีการตรวจสอบสิทธิ์การเข้าถึงอย่างเป็นระบบ ซึ่งเป็นเหตุผลว่าทำไมการทบทวนสิทธิ์การเข้าถึงของผู้ให้บริการภายนอกจึงควรทำเป็นรอบ ไม่ใช่ตั้งค่าไว้ครั้งเดียวตอนเริ่มสัญญาแล้วไม่มีใครทบทวนอีก

เมื่อพบปัญหาลักษณะนี้ ฝ่าย Compliance ควรบันทึกไว้เป็นกรณีศึกษาภายใน (internal case) พร้อมมาตรการแก้ไขและกำหนดเวลาทบทวนสิทธิ์ครั้งถัดไป เพื่อให้กรณีเดียวกันไม่เกิดซ้ำกับผู้ให้บริการรายอื่นที่มีลักษณะสัญญาคล้ายกัน

องค์กรการเงินต้องปฏิบัติตามกฎเกณฑ์อะไรบ้างนอกจาก PDPA

คำถามที่ฝ่ายกฎหมายมักได้รับจากทีมพัฒนาผลิตภัณฑ์คือองค์กรการเงินต้องปฏิบัติตามกฎเกณฑ์อะไรบ้างนอกจาก PDPA คำตอบคือต้องพิจารณาอย่างน้อยสามชั้น ชั้นแรกคือ PDPA ซึ่งเป็นกฎหมายกลางที่ใช้กับทุกองค์กร ชั้นที่สองคือแนวปฏิบัติเฉพาะอุตสาหกรรมจากธนาคารแห่งประเทศไทยหรือสำนักงาน คปภ. ที่มักเข้มงวดกว่าในเรื่องความมั่นคงปลอดภัยของระบบ และชั้นที่สามคือข้อกำหนดสัญญากับพันธมิตรทางธุรกิจ เช่น เครือข่ายบัตรเครดิตระหว่างประเทศ ที่อาจมีมาตรฐานเพิ่มเติมของตัวเอง การออกแบบระบบเก็บข้อมูลบนเว็บไซต์จึงต้องผ่านการตรวจสอบจากทั้งสามชั้นนี้ ไม่ใช่แค่ทำเช็กลิสต์ตาม PDPA แล้วถือว่าครบถ้วน

ในทางปฏิบัติ ฝ่ายกฎหมายมักตั้งคณะทำงานร่วมระหว่าง Privacy, Security และ Compliance เพื่อทบทวนฟีเจอร์ใหม่ของเว็บไซต์หรือแอปพลิเคชันก่อนเปิดใช้งานจริง เพื่อให้แน่ใจว่าการเก็บข้อมูลใหม่แต่ละจุดผ่านการพิจารณาครบทั้งสามชั้น และมีบันทึกการประเมินไว้เป็นหลักฐานหากถูกตรวจสอบภายหลัง

ดูภาพรวมเพิ่มเติมได้ในหมวด Privacy Fundamentals และหัวข้อที่เกี่ยวข้องได้ที่ Data Governance ส่วนแนวทางของกลุ่มธุรกิจอื่นในชุดคู่มือเดียวกันดูได้ที่ คู่มือสำหรับ SaaS และ คู่มือสำหรับ E-commerce

เช็กลิสต์ปฏิบัติ

• จัดชั้นความลับของข้อมูลลูกค้าตามระดับผลกระทบ (Restricted, Confidential, Internal)
• ตรวจสอบว่าระยะเวลาการเก็บข้อมูล KYC/AML สอดคล้องกับข้อกำหนดของหน่วยงานกำกับดูแลที่เกี่ยวข้อง
• จัดทำและทบทวน Data Processing Agreement กับผู้ให้บริการภายนอกทุกรายที่เข้าถึงข้อมูลลูกค้า
• ประเมินความเสี่ยงของผู้ให้บริการภายนอก (vendor risk assessment) ก่อนเริ่มสัญญาและเป็นระยะหลังเริ่มใช้งาน
• ทบทวนสิทธิ์การเข้าถึงข้อมูลของผู้ให้บริการภายนอก เช่น Call Center outsource เป็นรอบสม่ำเสมอ
• เตรียมขั้นตอนตอบสนองเหตุข้อมูลรั่วไหลที่ระบุกรอบเวลาการแจ้งหน่วยงานกำกับดูแลไว้ชัดเจน

ข้อผิดพลาดที่พบบ่อย

ตั้งค่าสิทธิ์การเข้าถึงข้อมูลของผู้ให้บริการภายนอกเหมือนพนักงานภายใน โดยไม่จำกัดตามขอบเขตงานที่ระบุในสัญญา

ไม่ทบทวนระยะเวลาการเก็บข้อมูล KYC/AML ให้สอดคล้องกับทั้งกฎหมายเฉพาะอุตสาหกรรมและ PDPA

เซ็นสัญญากับผู้ให้บริการภายนอกโดยไม่มี Data Processing Agreement หรือสิทธิ์ในการตรวจสอบ

ไม่มีกระบวนการที่ชัดเจนว่าใครต้องเป็นผู้ตัดสินใจแจ้งหน่วยงานกำกับดูแลภายใน 72 ชั่วโมงเมื่อเกิดเหตุข้อมูลรั่วไหล

จัดชั้นความลับข้อมูลแบบเดียวกันทั้งองค์กรโดยไม่แยกตามระดับผลกระทบ ทำให้มาตรการป้องกันไม่สอดคล้องกับความเสี่ยงจริง

สรุป

ข้อมูลส่วนบุคคลบนเว็บไซต์ขององค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ต้องพิจารณาควบคู่กับกรอบกำกับดูแลเฉพาะอุตสาหกรรมที่ทับซ้อนกับ PDPA เสมอ การจัดชั้นความลับของข้อมูลตามระดับผลกระทบ การควบคุมความเสี่ยงจากผู้ให้บริการภายนอก และการเตรียมกระบวนการตอบสนองเหตุข้อมูลรั่วไหลที่พร้อมรายงานหน่วยงานกำกับดูแลได้ทันเวลา คือแนวทางที่ช่วยให้ฝ่ายกฎหมาย Privacy, Security และ Compliance บริหารความเสี่ยงได้อย่างเป็นระบบ ไม่ใช่แก้ปัญหาเฉพาะหน้าเมื่อเกิดเหตุแล้วเท่านั้น

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)