สรุปสาระสำคัญของการจัดอบรมเรื่อง “ความสำคัญของการจัดทำ RoPA กับงานห้องสมุดตามกฏหมาย PDPA “ วิทยากรโดยนางละอองดาว สมดีวีรเดช รักษาการผู้อำนวยการกองกฎหมาย มหาวิทยาลัยขอนแก่น วันที่ 12 มิถุนายน 2566 เวลา 13.00-16.30 น โดยห้องประชุมออนไลน์ ดังนี้
การจัดทำRoPA (RoPA of Processing Activities)หรือการบันทึกรายการของกิจกรรมประมวลผลข้อมูลส่วนบุคคล ถูกกำหนดด้วยกฏหมายกการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตราที่ 39 (และมาตราที 40) เป็นกฏหมายที่ให้สิทธิกับเข้าของข้อมูลส่วนบุคคล สร้างมาตรฐานการรักษาข้อมูลส่วนบุคคลให้ปลอดภัย และนำไปใช้ให้ถูกวัตถุประสงค์ ตามคำยินยอมที่เจ้าของข้อมูลอนุญาต โดยกฏหมายได้ประกาศไว้ในราชกิจจานุเบกษาเมื่อวันที่ 27 พฤษภาคม 2562 และถูกเลือนให้มีผลบังคับใช้เมื่อวันที่ 1 มิถุนายน 2565
บุคคลสำคัญที่เกี่ยวข้องตามกฏหมาย PAPA มีดังนี้
- Data Subject หรือเจ้าของข้อม฿ลส่วนบุคคล มีสิทธิภาวัตถุประสงค์ในการจัดเก็บ/เผยแพร่ข้อมูล/รวมถึงขอลบ ระงับได้เมื่อไม่ต้องการและสามารถร้องเรียนหากข้อมูลของตนถูกนำไปใช้ผิดวัตถุประสงค์
- Data Controller หรือผู้ควบคุมข้อมูล หน่วยงาน/องค์กร/สถาบันที่มีอำนวจในการตัดสินใจเป็นผู้กำหนดวัตถุประสงค์ วิธีการประมวลผลและวิธีจัดทำบันทึกรายการการใช้ประโยชน์จากข้อมูลส่วนบุคคล และต้องมีมาตการการรักาา ความมั่นคงปลอดภัยและป้องกันไม่ให้ผ฿้อื่นนำไปใช้ข้อมูลโดยมิชอบ
- Data Protection Officer DPO หรือเจ้าที่คุ้มครองข้อมูลส่วนบุคคล บุคคลที่ได้รับมอบหมายเพื่อทำหน้าที่ให้คำแนะนำ ตรวจสอบการดำเนินงานและตรวจสอบการดำเนินงานและการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงาน
- Data Processor หรือผู้ประมวลผลข้อมูลส่วนบุคคล ผู้ที่ทำตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น
ข้อมูลส่วนบุคคลตามกฏหมาย PDPA ประกอบด้วย 2 ส่วน ได้แก่ ข้อมูลส่วนบุคคลทั่วไป และข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน (Sentitive Personal Data)
การดำเนินการตามกฏหมาย PDPA ของมหาวิทยาลัยขอนแก่น ได้ดำเนินการดังนี้ 1) ออกระเบียบมหาวิทยาลับว่าด้วยการคุ้มครองข้อมลส่วนบุคคล พ.ศ. 2565 2) คำสั่งมหาวิทยาลัยขอนแก่น (ที่ 5100/2565) เรื่องการแต่งตั้งคณะกรรมการควบคุมข้อมูลส่วนบุคคลมหาวิทยาลัยขอนแก่น คณะกรรมการควบคุมข้อมูลส่วนบุคลล มหาวิทยลัยขอนแก่น 3) ประกาศมหาวิทยาลัยขอนแก่น (ฉบับที่ 1431/2565) เรื่องนโยบายคุ้มครองข้อมูลส่วนบุคคล 4)คำสั่งมหาวิทยาลัยขอนแก่น (ที่ 5101/2565) เรื่องการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
ระเบียบมหาวิทยาลับว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2565 ที่เกี่ยวข้องกับสำนักหอสมุด ในข้อที่ 10 กำหนดให้หัวหน้าส่วนงานทำหน้าที่การประมวลผลข้อมูลส่วนบุคคล รวมถึงการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลในส่วนที่เกี่ยวข้องกับส่วนงานหรือหน่วยงาน ซึ่งหัวหน้าส่วนงานของสำนักหอสมุดคือผู้อำนวยการซึ่งได้รับการกระจายอำนาจและรับมอบอำนาจจากอธิการบดี และผู้อำนวยการสามารถมอบอำนวจให้เจ้าหน้าที่หรือบุคลากรภายในหน่วยงานเป็นผู้ดูแลข้อมมูลส่วนบุคคลของหน่วยงานหรือส่วยงานได้ตามระเบียบ จำนวนผู้ดูแลขึ้นอยู่กับดุลพินิจของหัวหน้าหน่วยงานนั้นๆ
ขั้นตอนการจัดทำ RoPA ของส่วนงานมีดังนี้
1) จัดทำ Privacy Policy ของหน่วยงาน โดยพิจารณาจากนโนบายของมหาวิทยาลัยและนำมาจัดทำ Privacy Policy ของสำนักหอสมุด
2) มอบหมายเจ้าหน้าที่ที่เกี่ยวข้องดำเนินการวิเคราะห์ข้อมูลว่าส่วนงานมีการจัดเก็บ รวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลหรือไม่
3)มอบหมายเจ้าหน้าที่ผู้ดูแลข้อมูลบันทึกรายการตามมาตรา 39(1)-(8)
4) กำหนดแผนการตรวจสอบหรือปรับปรุงข้อมูลให้เป็นปัจจุบันตลอดเวลา
5) จัดทำแผนความเสี่ยงเพื่อป้องกันการรั่วไหลของข้อมูล หรือปิดช่องโหว่ของการรั่วไหลของข้อมูล
การจัดทำ RoPA ประกอบด้วย 8 ข้อดังนี้
- ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม
- วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท
- ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล
- ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล
- สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคลแต่ละประเภท
- การใชหรือเปิดเผยตามมาตรา 27 วรรค 3
- การปฏิเสธคำขอหรือการคัดค้านตามมาตรา 30 (วรรค 3) มาตรา 31 (วรรค 3) มาตรา 32 (วรรค 3) และมาตรา 36 (วรรค1)
- คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37(1) ในวรรคหนึ่งให้นำมาใช้บังคับกับตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 5 (วรรค 2) โดยอนุโลม
การประมวลผลข้อมูลส่วนบุคคลที่สามารถทำได้โดยชอบด้วยกฏหมาย มี 7 ฐาน (มาตรา 24 ดังนี้
- ฐานความยินยอม (Consent) สามารถใช้เป็นฐานการประมวลผลได้เฉพาะในกรณีเจ้าของข้อมูลสมัครใจเลือยินยอมให้ผู้ควบคุมข้อมูลประมวลผลได้
- ฐานสัญญา (Contract) สัญญาคือการตกลงแลกเปลี่ยนกันทั้งสองฝ่ายไม่สามารถใช้กับการประมวลผลข้อมูล Sensitive Data ได้ และจำกัดการประมวลผลเฉพาะข้อมูลที่เจ้าของข้อมูลส่วนบุคคลที่เป็นคู่สัญญา
- ฐานประโยชน์ต่อชีวิต (Vital Interest) ข้อมูลที่มีความจำเป็นต่อการปกป้องประโยชน์สำคัญของเจ้าของข้อมูลอย่างเช่นเพื่อปกป้องอันตรายร้ายแรงที่อาจเกิดที่อาจเกิดขึ้นกับสุขภาพหรือชีวิตของเจ้าของข้อมูล ผู้ควบคุมข้อมูลสามารถใช้ฐานนี้เพื่อประมวลผลข้อมูลส่วนบุคคลเกี่ยวกับสุขภาพ หรือข้อมูลอ่อนไหวต่างๆ
- ฐานภากิจสาธารณะ/อำนาจรัฐ (Public Task) การประมวลผลข้อมูลที่เป็นเจ้าหน้าที่หรือองค์กรของรัฐ ในกรณีการประมวลผลนั้นๆ จำเป็นต่อการดำเนินงานตามภารกิจของรัฐเพื่อประโยชน์สาธารณตามที่กำหนดไว้ในกฏหมาย
- ฐานประโยชน์อันชอบธรรมด้วยกฏหมาย (Legitimate Interest) ในกรณีที่จำเป็นต่อการดำเนินการเพื่อประโยชน์อันชอบธรรมของผู้ควบคุมข้อมูลและบุคคลอื่นอย่างสมเหตุสมผล เช่น การบันทึกวงจรปิดเพื่อป้องกันอาชญากรรม การประมวลผลเพื่อรักษาความปลอดภัยของระบบและเครือข่ายหรือส่งต่อข้อมูลในเครือเพื่อการบริการจัดการและประโยชน์สาธารณะ
- ฐานปฏิบัติ/หน้าที่ ตามกฏหมาย (Legal Obligation) มีความจำเป็นต่อการปฏิบัติหน้าที่ตามกฏหมาย โดยต้องระบุได้อย่างชัดเจนว่ากำลังปฏิบัติหน้าทีตามบัญญัติในกฏหมาย หรือกระทำตามคำสั่งของหน่วยงานของรัฐที่มีอำนวจตามกฏหมาย เช่น การประมวลผลข้อมูลตามคำสั่งศาล การเปิดเผยข้อมูลของลูกจ้างต่อกรมสรรพากร เป็นต้น
- ฐานจดหมายเหตุ/วิจัย/สถิติ (Historical , Document,Research or Statistic) ผู้ควบคุมข้อมูลสามารถนำข้อมูลส่วนบุคคลของเจ้าของข้อมูลมาประมวลผลได้บนพื้นฐานของการทำบันทึกหอจดหมายเหตุ วิจัยหรือสถิติต่างๆ โดยมีเงื่อนไขสำคัญคือต้องมีมาตรการปกป้องข้อมูลอย่างเหมาะสมสอดคล้องกับหลักการพื้นฐานของการคุ้มครองข้อมูลส่วนบุคคล