จัดการงาน PDPA
ให้เห็นผู้รับผิดชอบ
และหลักฐาน
PrivacyHub ช่วยทีมติดตามความยินยอม คำขอใช้สิทธิ และงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคล พร้อมเชื่อมข้อมูลอ้างอิงจากระบบต้นทาง กำหนดข้อมูล สิทธิ์เข้าถึง และขั้นตอนตรวจร่วมกันก่อนใช้งาน
ทำไมต้อง PrivacyHub
ปัญหา PDPA ที่องค์กรไทย
กำลังเผชิญ
เมื่องาน PDPA อยู่หลายไฟล์และหลายทีม การติดตามสถานะ ผู้รับผิดชอบ และหลักฐานให้ครบจึงทำได้ยาก
ผู้รับผิดชอบ
สถานะและหลักฐานของแต่ละงาน
งานมีผู้รับผิดชอบ แต่หลักฐานอยู่คนละที่
ทีมต้องค้นว่าใครรับงาน ทำถึงขั้นไหน และเก็บหลักฐานไว้ที่ใด การรวมสถานะกับข้อมูลอ้างอิงช่วยให้ส่งต่องานและตรวจย้อนหลังได้สะดวกขึ้น
ไม่รู้ว่าข้อมูลส่วนบุคคลอยู่ที่ไหนบ้าง
ข้อมูลส่วนบุคคลอาจอยู่ใน CRM, HR, ERP, อีเมล และ Excel ทีมจึงต้องระบุว่าข้อมูลใดอยู่ที่ไหนและใครเข้าถึงได้
หลายระบบ
ที่เก็บ PII กระจัดกระจาย
ใช้สเปรดชีตติดตามความยินยอมแล้วงานไม่ทัน
เมื่อหลายทีมแก้ไขไฟล์ความยินยอมแยกกัน การติดตามเวอร์ชัน สถานะ และหลักฐานอาจคลาดเคลื่อนได้
เวอร์ชันและสถานะ
ที่ทีมต้องตรวจสอบร่วมกัน
คำขอใช้สิทธิเข้ามา แต่ข้อมูลอยู่หลายระบบ
แต่ละคำขออาจมีผู้รับผิดชอบ ข้อมูลที่ต้องตรวจ และกำหนดเวลาต่างกัน ทีมต้องประเมินสิทธิ์และเงื่อนไขที่เกี่ยวข้องก่อนดำเนินการ
แต่ละคำขอ
ต้องตรวจสิทธิ์และกำหนดเวลาที่เกี่ยวข้อง
ทีมต้องติดตามแนวปฏิบัติของ สคส. ให้ทัน
ทีมต้องระบุประกาศและแนวปฏิบัติที่เกี่ยวข้องกับงาน พร้อมมอบหมายผู้ตรวจผลกระทบและติดตามการปรับวิธีทำงาน
อัปเดตต่อเนื่อง
ประกาศและแนวปฏิบัติที่เกี่ยวข้อง
ข้อมูลสุขภาพคือ "ข้อมูลอ่อนไหว" ตาม มาตรา 26
ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวตามมาตรา 26 ต้องตรวจความยินยอมหรือข้อยกเว้นตามกฎหมายที่ใช้กับงานนั้น พร้อมมาตรการคุ้มครองที่เหมาะสม
มาตรา 26
ตรวจฐานการใช้ข้อมูลและมาตรการคุ้มครอง
ส่งต่อข้อมูลผู้ป่วยระหว่างหน่วยงานไม่มี Audit Trail
เมื่อต้องส่งข้อมูลผู้ป่วยระหว่างหน่วยงาน ทีมควรตรวจผู้ส่ง ผู้รับ วัตถุประสงค์ ฐานกฎหมาย และหลักฐานการส่งต่อที่จำเป็น
การส่งต่อข้อมูล
ต้องมีข้อมูลอ้างอิงที่ตรวจสอบได้
แอปสุขภาพต้องกำหนดการใช้ข้อมูลให้ชัดเจน
ทบทวนวัตถุประสงค์ ฐานกฎหมาย ข้อมูลที่เก็บ และระยะเวลาเก็บของแอปสุขภาพ รวมถึงวิธีขอและเพิกถอนความยินยอมเมื่อใช้ฐานความยินยอม
วัตถุประสงค์
และเงื่อนไขการใช้ข้อมูล
ลดการคัดลอกข้อมูลจากระบบต้นทาง
ออกแบบการเชื่อมต่อเพื่อลดการคัดลอกข้อมูลจากระบบต้นทาง โดยเก็บข้อมูลอ้างอิงและหลักฐานที่จำเป็นตามขอบเขตงาน ข้อมูลบัญชีผู้ใช้และรายละเอียดบางรายการยังอาจเป็นข้อมูลส่วนบุคคล จึงต้องกำหนดสิทธิ์ การเก็บรักษา และมาตรการคุ้มครองให้เหมาะสม
ตัวอย่างระบบต้นทางที่ต้องประเมินการเชื่อมต่อ
CRM
ข้อมูลลูกค้า
HIS / EMR
ข้อมูลผู้ป่วย
Core Banking
ข้อมูลธุรกรรม
HR
ข้อมูลพนักงาน
ERP
ข้อมูลธุรกิจ
Lab / Pharmacy
ข้อมูลสุขภาพ
PrivacyHub
กำหนดข้อมูลและสิทธิ์ตามงาน
ประเภท, วัตถุประสงค์, ฐานกฎหมาย
ลิงก์อ้างอิงไปยังระบบต้นทาง
ค่า hash สำหรับ pseudonymization
บันทึกการเข้าถึงและการเปลี่ยนแปลง
ลดการคัดลอกข้อมูลที่ไม่จำเป็น
กำหนดว่าข้อมูลใดต้องเก็บใน PrivacyHub และข้อมูลใดให้อ้างอิงกลับไปยังระบบต้นทาง
กำหนดที่จัดเก็บและผู้เข้าถึงข้อมูล
ทบทวนที่ตั้งระบบ ผู้ให้บริการ และสิทธิ์เข้าถึงตามข้อมูลและขอบเขตงานจริง
เชื่อมระบบตามขอบเขตที่ตกลง
ตรวจ API สิทธิ์เข้าถึง รูปแบบข้อมูล และทดสอบการเชื่อมต่อก่อนใช้งาน
เครื่องมือสำหรับงาน PDPA ที่ต้องติดตามร่วมกัน
ทบทวนโมดูลและขั้นตอนที่ต้องใช้ร่วมกับทีม Enersys โดยกำหนดการเชื่อมต่อ งานอัตโนมัติ และจุดที่ต้องให้คนตรวจจากขอบเขตงานจริง
Consent Lifecycle Management
ติดตามความยินยอม
ติดตามการขอ บันทึก เปลี่ยนแปลง และเพิกถอนความยินยอมตามช่องทางที่กำหนด
Data Subject Request (DSR)
ติดตามคำขอใช้สิทธิ
รวมสถานะ ผู้รับผิดชอบ และหลักฐานของคำขอ เพื่อให้ทีมตรวจสิทธิ์และดำเนินการตามขั้นตอนที่กำหนด
Data Inventory & Mapping
จัดทำรายการและแผนผังข้อมูล
ระบุระบบ ชุดข้อมูล วัตถุประสงค์ และผู้เกี่ยวข้อง เพื่อใช้ทบทวนการจัดการข้อมูลร่วมกัน
Records of Processing Activities (RoPA)
บันทึกกิจกรรมการประมวลผลข้อมูล
จัดทำและทบทวนรายการกิจกรรมการประมวลผลข้อมูล พร้อมข้อมูลอ้างอิงและผู้รับผิดชอบ
Breach Incident Management
ติดตามเหตุละเมิดข้อมูล
บันทึกรายละเอียดเหตุ การประเมิน งานแจ้ง และการแก้ไข โดยให้ผู้รับผิดชอบตรวจเงื่อนไขและกำหนดเวลาที่เกี่ยวข้อง
Vendor & Third-party Management
ติดตามผู้ให้บริการและคู่สัญญา
รวบรวมข้อมูลผู้เกี่ยวข้อง สัญญา และประเด็นความเสี่ยง เพื่อให้ทีมทบทวนการเข้าถึงข้อมูลส่วนบุคคล
งานที่นำ AI มาช่วยทีม PDPA ได้
ตัวอย่างต่อไปนี้เป็นงานที่ควรประเมินและสาธิตร่วมกันก่อนกำหนดขอบเขตการเชื่อม Genesis AI ผู้รับผิดชอบยังต้องตรวจข้อมูลอ้างอิงและอนุมัติก่อนนำผลไปใช้
ช่วยคัดแยกคำขอใช้สิทธิ
ให้ AI เสนอประเภทคำขอจากข้อความที่ได้รับ แล้วให้ผู้รับผิดชอบตรวจและมอบหมายงาน
ตัวอย่างสมมติ: คำขอให้ลบข้อมูลถูกเสนอเป็นงานตรวจสิทธิ์ขอลบ เพื่อให้ทีมพิจารณาเงื่อนไขต่อ
ค้นคำตอบจากนโยบายองค์กร
ประเมินการค้นคำตอบจากนโยบายที่อนุมัติแล้ว พร้อมแหล่งอ้างอิงให้ผู้ใช้ตรวจต้นฉบับ
ตัวอย่างสมมติ: ค้นนโยบายระยะเวลาเก็บข้อมูลที่เกี่ยวข้องกับคำถามของพนักงาน
ช่วยเตรียมรายการที่ต้องตรวจ
ใช้ AI ช่วยเปรียบเทียบข้อมูลและเอกสารที่ทีมกำหนด เพื่อเสนอประเด็นให้ผู้รับผิดชอบตรวจต่อ
ตัวอย่างสมมติ: เสนอให้ตรวจฐานกฎหมายและสัญญาก่อนส่งข้อมูลให้ผู้ให้บริการ
ติดตามเอกสารที่ทีมเลือก
ประเมินการแจ้งงานจากเอกสารที่ทีมระบุ โดยให้ผู้รับผิดชอบตรวจวันที่ สถานะ และผลกระทบ
ตัวอย่างสมมติ: ทีมเพิ่มประกาศที่เกี่ยวข้อง แล้วมอบหมายผู้รับผิดชอบตรวจผลกระทบ
ช่วยร่างข้อมูลเกี่ยวกับเหตุละเมิด
เตรียมร่างจากรายละเอียดเหตุและหลักฐานที่ทีมให้ ผู้รับผิดชอบตรวจความครบถ้วน เงื่อนไข และผู้รับก่อนใช้
ตัวอย่างสมมติ: เตรียมร่างจากรายละเอียดเหตุให้ผู้รับผิดชอบตรวจ
งานที่เหมาะกับ PrivacyHub
อุตสาหกรรมที่ต้องจัดการ PDPA อย่างเข้มงวด
PrivacyHub ออกแบบมาสำหรับองค์กรที่มีข้อมูลส่วนบุคคลจำนวนมาก และต้องปฏิบัติตาม PDPA อย่างเคร่งครัด
เริ่มจากงานที่ทีมต้องติดตาม กำหนดผู้รับผิดชอบ ข้อมูลที่จำเป็น และหลักฐานที่ต้องใช้ร่วมกัน ก่อนเลือกโมดูลและการเชื่อมต่อ
แนวทางการออกแบบ PrivacyHub โดย Enersys
คุยเรื่องงาน PDPA ที่ทีมต้องการจัดการ
บอกเราว่าทีมติดตามงานใดอยู่ ใช้ระบบอะไร และต้องเก็บหลักฐานแบบไหน เพื่อเลือกขอบเขตสาธิตและการเชื่อมต่อที่เหมาะสม