Data Subject Request คืออะไร? คู่มือสำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง

ลูกค้าธนาคารรายหนึ่งโทรเข้ามาขอสำเนาข้อมูลธุรกรรมย้อนหลังสามปี พร้อมขอให้ลบข้อมูลบัญชีเก่าที่ปิดไปแล้ว เจ้าหน้าที่ที่รับสายต้องตอบให้ได้ทั้งสองเรื่องพร้อมกัน คือจะส่งข้อมูลธุรกรรมได้อย่างไรโดยยืนยันตัวตนถูกคน และจะลบข้อมูลให้ได้จริงหรือไม่ ทั้งที่กฎหมายป้องกันและปราบปรามการฟอกเงินอาจกำหนดให้ต้องเก็บข้อมูลธุรกรรมไว้อีกระยะหนึ่ง นี่คือความซับซ้อนของ Data Subject Request ในองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง ที่ต่างจากธุรกิจทั่วไปตรงที่คำขอของลูกค้าอาจขัดกับข้อกำหนดการเก็บรักษาข้อมูลตามกฎหมายอื่นที่องค์กรต้องปฏิบัติตามพร้อมกัน

บทความนี้พาไล่ดูประเภทคำขอที่พบบ่อยในธุรกิจการเงิน วิธียืนยันตัวตนที่ต้องเข้มกว่าธุรกิจทั่วไป การจัดการกรณีที่ลบข้อมูลไม่ได้เพราะกฎหมายอื่นกำหนดให้เก็บ การค้นหาข้อมูลข้ามหลายระบบ ไปจนถึงการรายงานต่อคณะกรรมการ Compliance โดยไม่ลงรายละเอียดกรอบเวลาตอบคำขอตามกฎหมายที่ควรตรวจสอบกับฝ่ายกฎหมายของตนเองโดยตรง

ประเภทคำขอที่ธุรกิจการเงินพบบ่อย

คำขอที่พบบ่อยที่สุดคือการขอเข้าถึงข้อมูลธุรกรรมย้อนหลังของตนเอง มักมาจากลูกค้าที่ต้องการใช้เป็นหลักฐานทางภาษีหรือยื่นขอสินเชื่อที่อื่น รองลงมาคือการขอแก้ไขข้อมูล KYC ที่ไม่ถูกต้อง เช่น ที่อยู่หรือเบอร์โทรที่เปลี่ยนไปแล้วแต่ระบบยังไม่อัปเดต และประเภทที่ซับซ้อนที่สุดคือคำขอให้ลบข้อมูลบัญชีที่ปิดไปแล้ว ซึ่งมักขัดกับข้อกำหนดการเก็บรักษาข้อมูลตามกฎหมายป้องกันและปราบปรามการฟอกเงินหรือกฎเกณฑ์ของหน่วยงานกำกับดูแล

นอกจากนี้ยังมีคำขอจากบุคคลที่สาม เช่น ทายาทที่ขอข้อมูลบัญชีของผู้เสียชีวิต หรือผู้รับมอบอำนาจที่ขอข้อมูลแทนเจ้าของบัญชี ซึ่งต้องการเอกสารยืนยันสิทธิ์เพิ่มเติมนอกเหนือจากการยืนยันตัวตนปกติ ก่อนที่จะดำเนินการใด ๆ กับข้อมูล

การยืนยันตัวตนที่เข้มกว่าธุรกิจทั่วไป

เนื่องจากข้อมูลที่เกี่ยวข้องมีมูลค่าทางการเงินสูง การยืนยันตัวตนก่อนดำเนินการตามคำขอจึงต้องเข้มกว่าธุรกิจทั่วไปที่อาจยืนยันด้วยอีเมลเพียงอย่างเดียว องค์กรการเงินควรใช้การยืนยันหลายชั้น เช่น OTP ผ่านเบอร์โทรที่ลงทะเบียนไว้ ร่วมกับการตรวจสอบข้อมูลอ้างอิงกับข้อมูล KYC ที่มีอยู่ในระบบ เพื่อลดความเสี่ยงที่ผู้ไม่หวังดีจะสวมรอยขอข้อมูลบัญชีของผู้อื่น

สำหรับคำขอจากบุคคลที่สามอย่างทายาทหรือผู้รับมอบอำนาจ ควรกำหนดเอกสารที่ต้องใช้ให้ชัดเจนล่วงหน้า เช่น หนังสือรับรองการเป็นทายาทหรือหนังสือมอบอำนาจที่รับรองถูกต้อง เพื่อไม่ให้เจ้าหน้าที่ต้องตัดสินใจเฉพาะหน้าว่าจะยอมรับเอกสารแบบใดในแต่ละกรณี ซึ่งอาจนำไปสู่ความไม่สม่ำเสมอในการปฏิบัติ

เมื่อคำขอลบข้อมูลขัดกับกฎหมายที่กำหนดให้ต้องเก็บ

สถานการณ์ที่พบบ่อยในธุรกิจการเงินคือลูกค้าขอให้ลบข้อมูลบัญชีที่ปิดไปแล้ว แต่กฎหมายป้องกันและปราบปรามการฟอกเงินหรือกฎเกณฑ์ของหน่วยงานกำกับดูแลอาจกำหนดให้ต้องเก็บข้อมูลธุรกรรมไว้อีกระยะหนึ่งหลังปิดบัญชี ในกรณีนี้องค์กรควรอธิบายให้ลูกค้าเข้าใจว่าเหตุใดจึงยังลบข้อมูลทันทีไม่ได้ พร้อมระบุว่าจะลบเมื่อใดหลังพ้นระยะเวลาที่กฎหมายกำหนด แทนที่จะปฏิเสธคำขอโดยไม่มีคำอธิบาย

ฝ่าย Compliance ควรมีตารางอ้างอิงระยะเวลาที่ต้องเก็บข้อมูลแต่ละประเภทตามข้อกำหนดที่เกี่ยวข้อง เพื่อให้เจ้าหน้าที่ที่รับคำขอสามารถตอบลูกค้าได้ทันทีว่าข้อมูลใดลบได้และข้อมูลใดต้องรอ แทนที่จะต้องส่งเรื่องปรึกษาฝ่ายกฎหมายทุกครั้งที่มีคำขอลักษณะนี้

การค้นหาข้อมูลข้ามระบบ Core Banking, CRM และระบบเครดิต

ข้อมูลของลูกค้าคนหนึ่งในองค์กรการเงินมักกระจายอยู่หลายระบบพร้อมกัน ทั้งระบบ Core Banking ที่เก็บข้อมูลธุรกรรม ระบบ CRM ที่เก็บประวัติการติดต่อและการตลาด ระบบเครดิตที่เก็บผลการประเมินความเสี่ยง และหากมีผลิตภัณฑ์ประกันร่วมด้วยก็จะมีระบบกรมธรรม์แยกต่างหากอีกระบบ การตอบคำขอเข้าถึงข้อมูลให้ครบถ้วนจึงต้องมีกระบวนการค้นหาที่ครอบคลุมทุกระบบ ไม่ใช่แค่ระบบที่เจ้าหน้าที่คุ้นเคยที่สุด

การมี unique identifier ที่ใช้เชื่อมข้อมูลลูกค้าคนเดียวกันข้ามทุกระบบ เช่น เลขที่อ้างอิงลูกค้ากลาง ช่วยให้กระบวนการค้นหานี้เร็วขึ้นมาก องค์กรที่ยังไม่มี identifier กลางมักพบว่าการรวบรวมข้อมูลตามคำขอหนึ่งครั้งใช้เวลาหลายวันเพราะต้องประสานหลายทีมแยกกัน

การรายงานต่อคณะกรรมการ Compliance

ต่างจากธุรกิจทั่วไปที่อาจไม่ต้องรายงานคำขอเข้าถึงข้อมูลอย่างเป็นทางการ องค์กรการเงินหลายแห่งกำหนดให้มีการสรุปจำนวนคำขอ ประเภทคำขอ และระยะเวลาดำเนินการ รายงานต่อคณะกรรมการ Compliance เป็นระยะ เพื่อใช้ประเมินว่ากระบวนการปัจจุบันเพียงพอหรือไม่ และเพื่อเป็นหลักฐานยืนยันแนวปฏิบัติต่อผู้ตรวจสอบภายในและหน่วยงานกำกับดูแล

การเก็บสถิติเหล่านี้อย่างสม่ำเสมอยังช่วยให้เห็นแนวโน้ม เช่น หากคำขอแก้ไขข้อมูล KYC เพิ่มขึ้นผิดปกติในช่วงใดช่วงหนึ่ง อาจสะท้อนปัญหาคุณภาพข้อมูลตั้งแต่ขั้นตอนเปิดบัญชีที่ควรได้รับการแก้ไขต้นเหตุ ดูแนวทางออกแบบ workflow จัดการคำขอสำหรับธุรกิจ SaaS เพื่อเทียบมุมมองที่ต่างออกไปได้ที่ คู่มือสำหรับธุรกิจ SaaS หรือดูภาพรวมหมวดหมู่ทั้งหมดได้ที่ rights-incidents-risk

คำขอที่เกี่ยวข้องกับบัญชีร่วมและผู้รับผลประโยชน์ในกรมธรรม์

อีกความซับซ้อนเฉพาะของธุรกิจการเงินคือคำขอที่เกี่ยวข้องกับบัญชีร่วมหรือกรมธรรม์ที่มีผู้รับผลประโยชน์หลายคน เช่น เจ้าของบัญชีร่วมรายหนึ่งขอเข้าถึงข้อมูลธุรกรรมทั้งหมด แต่เจ้าของบัญชีร่วมอีกรายไม่ยินยอมให้เปิดเผยประวัติการใช้จ่ายส่วนตัวของตน หรือผู้รับผลประโยชน์ในกรมธรรม์ที่ยังไม่ถึงเวลาเรียกร้องสิทธิ์ ขอทราบรายละเอียดกรมธรรม์ล่วงหน้า กรณีเหล่านี้ต้องพิจารณาสิทธิ์ของทุกฝ่ายที่เกี่ยวข้องพร้อมกัน ไม่สามารถตอบคำขอโดยมองแค่มุมของผู้ยื่นคำขอฝ่ายเดียวได้

แนวทางที่ช่วยลดความขัดแย้งได้คือการกำหนดขอบเขตข้อมูลที่แต่ละฝ่ายในบัญชีร่วมมีสิทธิ์เข้าถึงไว้ตั้งแต่ขั้นตอนเปิดบัญชี เช่น ระบุชัดว่าข้อมูลธุรกรรมส่วนที่เกิดจากการทำรายการของตนเองสามารถขอดูได้เต็มรูปแบบ ส่วนธุรกรรมของเจ้าของบัญชีร่วมอีกฝ่ายจะแสดงเฉพาะข้อมูลที่จำเป็นต่อการกระทบยอด เพื่อให้เจ้าหน้าที่มีกรอบชัดเจนในการตอบคำขอโดยไม่ต้องตัดสินใจเองทุกครั้งว่าจะเปิดเผยแค่ไหน

สำหรับกรมธรรม์ประกันที่มีผู้รับผลประโยชน์ ควรมีแนวปฏิบัติแยกต่างหากว่าข้อมูลใดเปิดเผยให้ผู้รับผลประโยชน์ทราบได้ก่อนเกิดเหตุตามกรมธรรม์ และข้อมูลใดจะเปิดเผยได้ต่อเมื่อมีการเรียกร้องสิทธิ์เกิดขึ้นจริงเท่านั้น เพื่อป้องกันไม่ให้ข้อมูลส่วนตัวของผู้เอาประกันถูกเปิดเผยก่อนเวลาอันควรโดยไม่จำเป็น

การจัดการคำขอที่มาพร้อมข้อพิพาททางกฎหมาย

องค์กรการเงินมักได้รับ Data Subject Request ในช่วงที่มีข้อพิพาทกับลูกค้ารายนั้นอยู่แล้ว เช่น ลูกค้าที่กำลังโต้แย้งการปฏิเสธสินเชื่อ หรือลูกค้าที่อยู่ระหว่างเจรจาไกล่เกลี่ยเรื่องการเรียกเก็บหนี้ ขอเข้าถึงข้อมูลทั้งหมดที่องค์กรมีเกี่ยวกับตน คำขอลักษณะนี้ต้องได้รับการพิจารณาร่วมกับฝ่ายกฎหมายอย่างใกล้ชิด เพราะแม้สิทธิ์ในการขอเข้าถึงข้อมูลส่วนบุคคลจะยังคงมีอยู่ตามปกติ แต่ต้องตรวจสอบว่าข้อมูลบางส่วนที่เกี่ยวข้องกับกระบวนการทางกฎหมาย เช่น บันทึกการปรึกษาหารือภายในระหว่างฝ่ายกฎหมาย อยู่ในขอบเขตที่ต้องเปิดเผยหรือได้รับการยกเว้นตามหลักเกณฑ์ที่เกี่ยวข้อง

เจ้าหน้าที่ที่รับคำขอในสถานการณ์เหล่านี้ไม่ควรตัดสินใจเองว่าจะให้หรือไม่ให้ข้อมูลส่วนใด แต่ควรมีช่องทางส่งต่อให้ฝ่ายกฎหมายพิจารณาเป็นกรณีพิเศษทุกครั้งที่พบว่าคำขอมาจากลูกค้าที่มีข้อพิพาทค้างอยู่ในระบบ การมีระบบที่ทำเครื่องหมายบัญชีลูกค้าที่อยู่ระหว่างข้อพิพาทไว้ล่วงหน้า ช่วยให้เจ้าหน้าที่แนวหน้าสังเกตเห็นและส่งต่อคำขอได้ทันที แทนที่จะดำเนินการตามขั้นตอนปกติแล้วพบปัญหาภายหลัง

ในบางกรณีที่ระยะเวลาตอบคำขอปกติอาจไม่เพียงพอต่อการพิจารณาข้อพิพาททางกฎหมายอย่างรอบคอบ ควรมีการสื่อสารกับลูกค้าอย่างตรงไปตรงมาว่าองค์กรกำลังดำเนินการอยู่และเหตุใดจึงต้องใช้เวลาเพิ่มเติม แทนที่จะปล่อยให้เงียบไปจนลูกค้ารู้สึกว่าถูกเพิกเฉย ซึ่งอาจยิ่งทำให้ข้อพิพาทที่มีอยู่บานปลายมากขึ้น

ฝ่ายกฎหมายและฝ่าย Compliance ควรจัดทำแนวปฏิบัติร่วมกันล่วงหน้าว่าคำขอประเภทใดต้องส่งต่อให้พิจารณาเป็นกรณีพิเศษ เพื่อให้เจ้าหน้าที่แนวหน้าไม่ต้องตัดสินใจเฉพาะหน้าโดยไม่มีแนวทางรองรับ และเพื่อให้การตอบสนองต่อลูกค้าที่มีข้อพิพาททางกฎหมายเป็นไปในทิศทางเดียวกันทั้งองค์กร ไม่ว่าจะรับคำขอผ่านสาขาใดหรือช่องทางออนไลน์ก็ตาม และควรทบทวนแนวปฏิบัตินี้เป็นระยะให้ทันกับรูปแบบข้อพิพาทใหม่ ๆ ที่อาจเกิดขึ้นตามการเปลี่ยนแปลงของผลิตภัณฑ์ทางการเงิน

เช็กลิสต์ปฏิบัติ

• กำหนดเอกสารยืนยันสิทธิ์ที่ต้องใช้สำหรับคำขอจากทายาทหรือผู้รับมอบอำนาจไว้ล่วงหน้า
• ใช้การยืนยันตัวตนหลายชั้น เช่น OTP ร่วมกับการตรวจสอบข้อมูล KYC ก่อนดำเนินการตามคำขอ
• จัดทำตารางอ้างอิงระยะเวลาเก็บข้อมูลแต่ละประเภทตามข้อกำหนดที่เกี่ยวข้อง
• ใช้ unique identifier กลางเชื่อมข้อมูลลูกค้าข้าม Core Banking, CRM และระบบเครดิต
• สรุปสถิติคำขอรายงานต่อคณะกรรมการ Compliance เป็นระยะ

ข้อผิดพลาดที่พบบ่อย

• ปฏิเสธคำขอลบข้อมูลโดยไม่อธิบายเหตุผลหรือระยะเวลาที่แท้จริง
• ยืนยันตัวตนด้วยช่องทางเดียวสำหรับคำขอที่เกี่ยวข้องกับข้อมูลทางการเงิน
• ไม่มีเอกสารมาตรฐานสำหรับคำขอจากทายาทหรือผู้รับมอบอำนาจ ทำให้แต่ละกรณีปฏิบัติไม่สม่ำเสมอ
• ค้นหาข้อมูลเฉพาะระบบที่คุ้นเคย โดยไม่ครอบคลุมระบบ CRM หรือระบบเครดิตที่เกี่ยวข้อง

สรุป

Data Subject Request ในองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูง มีความซับซ้อนเพิ่มจากข้อกำหนดการเก็บรักษาข้อมูลตามกฎหมายอื่นที่อาจขัดกับคำขอของลูกค้า การยืนยันตัวตนที่รัดกุม การมีตารางอ้างอิงระยะเวลาเก็บข้อมูล และการค้นหาข้อมูลข้ามระบบอย่างเป็นระบบ คือสิ่งที่ช่วยให้องค์กรตอบคำขอได้ทั้งถูกต้องและทันเวลา

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)