ถ้าถามว่าปัญหาเริ่มจากตรงไหน?
จุดเริ่มต้นไม่ได้ดราม่าอะไร แค่วันหนึ่งหน่วยงานภาครัฐระดับกรมแห่งนี้ได้รับหนังสือจากหน่วยงานกำกับดูแล สอบถามเรื่องแนวปฏิบัติด้าน PDPA สำหรับข้อมูลพลเมืองที่อยู่ในความดูแล ทีมงานเริ่มลงมือรวบรวมข้อมูลเพื่อตอบกลับ แล้วก็พบว่า ตอบไม่ได้ ไม่ใช่เพราะไม่อยากตอบ แต่เพราะไม่รู้ด้วยซ้ำว่าข้อมูลของประชาชนถูกเก็บอยู่ที่ไหนบ้าง
หน่วยงานนี้มีหลายกรม หลายกอง หลายสำนัก แต่ละหน่วยมีระบบสารสนเทศของตัวเอง พัฒนาคนละช่วงเวลา ใช้มาตรฐานข้อมูลคนละแบบ ข้อมูลของพลเมืองคนเดียวกันอาจอยู่ในสิบระบบที่ไม่เคยคุยกัน
แล้วเรื่องความยินยอมล่ะ ซับซ้อนแค่ไหน?
ตรงนี้แหละที่ภาครัฐต่างจากเอกชนมาก บางกรณีหน่วยงานมีฐานทางกฎหมายที่ประมวลผลข้อมูลได้โดยไม่ต้องขอความยินยอม เช่น การปฏิบัติตามกฎหมายหรือการทำหน้าที่ของรัฐ แต่บางกรณีก็ต้องขอความยินยอมอย่างชัดแจ้ง การจำแนกว่ากิจกรรมไหนใช้ฐานทางกฎหมายอะไรเป็นงานที่ต้องอาศัยความเชี่ยวชาญเฉพาะทาง ซึ่งบุคลากรส่วนใหญ่ยังไม่มี
เจ้าหน้าที่จำนวนมากยังไม่เข้าใจ PDPA ในระดับที่นำไปปฏิบัติงานจริงได้ การอบรมแบบเดิมสอนหลักการกว้างๆ ได้ แต่พอเจอคำถามเฉพาะกรณีอย่าง "เก็บสำเนาบัตรประชาชนเพื่อวัตถุประสงค์นี้ต้องขอความยินยอมไหม?" คำตอบก็ไม่ชัด
แล้วถ้าเกิดเหตุ Data Breach? ไม่มีขั้นตอนที่ชัดเจนว่าต้องทำอะไรก่อนหลัง ใครต้องแจ้งใคร ภายในเวลาเท่าไหร่
สิ่งที่ตัดสินใจทำ
หน่วยงานเลือกใช้ PrivacyHub ร่วมกับ Genesis AI Platform (ai.enersys.app) ไม่ใช่แค่ใช้เครื่องมือ Compliance ทั่วไป แต่เอา AI มาช่วยยกระดับการทำงานให้ฉลาดขึ้นจริงๆ
PrivacyHub เข้ามาเป็นรากฐาน ใช้ครบทั้ง 6 โมดูล ตั้งแต่ Consent Management ที่จัดการความยินยอมทุกช่องทางพร้อมจำแนกฐานทางกฎหมาย, DSR สำหรับรับและดำเนินการคำร้องจากประชาชน, Data Inventory ที่สร้างแผนที่ข้อมูลด้วย Pointer-Based Mapping แบบ Zero PII Storage, RoPA ที่สร้างบันทึกกิจกรรมการประมวลผลอัตโนมัติ, Breach Management ที่วางกระบวนการตอบสนองเหตุละเมิดอย่างเป็นระบบ ไปจนถึง Vendor Management สำหรับจัดการ Data Processor ภายนอก
