DPO

Cap & Corp Forum หลังจากได้มีการตราพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“PDPA”) ขึ้น “เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” หรือ Data Protection Officer (“DPO”) ถือเป็นวิชาชีพใหม่ที่มีความสำคัญและมีบทบาทเป็นอย่างยิ่งในการช่วยให้ผู้ประกอบการที่มีการดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (“การประมวลผลข้อมูลส่วนบุคคล”) ไม่ว่าจะในฐานะของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลให้สามารถดำเนินการประมวลผลข้อมูลส่วนบุคคลได้อย่างถูกต้องและเป็นไปตามที่ PDPA กำหนด โดยในขณะเดียวกัน DPO ยังมีบทบาทที่สำคัญต่อการสนับสนุนให้เจ้าของข้อมูลส่วนบุคคลได้รับความคุ้มครองสิทธิในความเป็นส่วนตัว ซึ่งถือเป็นสิทธิเสรีภาพขั้นพื้นฐาน (fundamental rights) ของประชาชนตามเจตนารมณ์ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลอีกด้วย ในบริบทของ “หลักความรับผิดชอบ” (Accountability Principle) ต่อการประมวลผลข้อมูลส่วนบุคคล DPO จึงมีบทบาทสำคัญอย่างมากในการแสดงให้เห็นว่า องค์กรนั้น ๆ มีความพร้อมในการปฏิบัติตามกฎหมายและได้กำหนดตัวบุคคลที่มีหน้าที่ในการกำกับและตรวจสอบการดำเนินการตาม PDPA ขององค์กรแล้ว ซึ่งตำแหน่ง DPO นี้ อาจเป็นการกำหนดหน้าที่ให้กับพนักงานในองค์กรก็ได้ (internal DPO) หรือจะใช้ลักษณะของสัญญาจ้างจากบุคคลภายนอกก็ได้ (DPO As A Service) ซึ่งทั้งสองรูปแบบมีข้อดีข้อเสียต่างกันไปขึ้นอยู่กับบริบทการประมวลผลข้อมูลส่วนบุคคลขององค์กรและขนาดกิจการ ตาม PDPA กำหนดให้กิจการใน 3 ลักษณะดังต่อไปนี้ ต้องจัดให้มี DPO (mandatory DPO) กล่าวคือ (1) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงานของรัฐตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด (2) การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการประมวลผลข้อมูลส่วนบุคคลที่จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด (3) กิจกรรมหลักของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นการประมวลผลข้อมูลส่วนบุคคลประเภทที่กฎหมายมุ่งคุ้มครองเป็นพิเศษตามมาตรา 26 นอกจาก DPO ภาคบังคับแล้ว หลาย ๆ องค์กรก็อาจจะแต่งตั้ง DPO ภาคสมัครใจก็ได้ กล่าวคือ แม้ว่ากฎหมายจะไม่ได้บังคับให้มี DPO แต่เพื่อให้การบริหารความเสี่ยงของการจัดการข้อมูลภายในองค์กรเป็นไปอย่างมีประสิทธิภาพและสอดคล้องกับกฎหมายมากยิ่งขึ้น องค์กรนั้น ๆ ก็อาจจะพิจารณาแต่งตั้ง DPO ขึ้นด้วยก็ได้ แต่ก็ต้องพึงระวังว่าการแต่งตั้ง DPO ภาคสมัครใจนั้น (voluntary DPO) ก็อาจนำมาทั้งหน้าที่และความรับผิดขององค์กรและ DPO ตามกฎหมายด้วยเช่นกัน (ข้อแนะนำของ WP29) ดังนั้น เพื่อให้การทำงานของ DPO เป็นไปตามเจตนารมณ์ของกฎหมายและลดโอกาสในการประมวลผลข้อมูลส่วนบุคคลที่อาจเป็นการละเมิดต่อกฎหมาย DPO จึงจำเป็นต้องมีคุณสมบัติดังต่อไปนี้ (1) มีความเข้าใจในหลักการ เนื้อหา และวิธีการปฏิบัติตาม PDPA เป็นอย่างดี (2) มีความเชี่ยวชาญทางด้านมาตรการด้วนความมั่นคงปลอดภัยของเทคโนโลยีสารสนเทศทั้งในมาตรการความมั่นคงปลอดภัยทางด้านเทคนิค (technical measure) มาตรการความมั่นคงปลอดภัยทางด้านองค์กร (organizational measure) และมาตรการความมั่นคงปลอดภัยทางกายภาพ (physical measures) (3) มีความเชี่ยวชาญทางด้านเทคนิคในการออกแบบเทคโนโลยีให้มีค่าเริ่มต้นที่เป็นมิตรต่อการคุ้มครองข้อมูลส่วนบุคคลและมีความมั่นคงปลอดภัย (privacy by design and by default & data security) (4) มีความเข้าใจในกิจการหรือประเภทของธุรกิจที่ทางบริษัทประกอบกิจการอยู่ (sector-specific knowledge) (5) มีประสบการณ์ที่เหมาะสมกับขนาดขององค์กร (6) มีความตระหนักในเรื่องของการประมวลผลข้อมูลส่วนบุคคลประเภทข้อมูลอ่อนไหว (sensitive data) (7) มีความสามารถในการจัดการสอบสวนให้คำปรึกษา วิเคราะห์ และประเมินสถานการณ์และจัดทำบันทึกเป็นเอกสาร (8) มีความสามารถในการประสานงานกับเจ้าของข้อมูลส่วนบุคคลและองค์กร นอกจากเรื่องคุณสมบัติของ DPO ที่กล่าวมาข้างต้นแล้ว หน้าที่ในการสนับสนุนการทำหน้าที่ของ DPO ก็ถือเป็นอีกประเด็นหนึ่งที่ทั้งผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องให้ความสำคัญ กล่าวคือ (1) การสนับสนุนการทำหน้าที่ PDPA มาตรา 42 ได้กำหนดหน้าที่ให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องสนับสนุนการปฏิบัติหน้าที่ของ DPO โดยจัดหาเครื่องมือหรืออุปกรณ์อย่างเพียงพอ รวมทั้งอำนวยความสะดวกในการเข้าถึงข้อมูลส่วนบุคคลเพื่อการปฏิบัติหน้าที่อีกด้วย (2) การลงโทษหรือไล่ออกผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล จะให้ DPO ออกจากงานหรือเลิกสัญญาการจ้างด้วยเหตุที่ DPO ปฏิบัติหน้าที่ตามกฎหมายไม่ได้ ทั้งนี้เพื่อเป็นหลักประกันในการทำหน้าที่ของ DPO อย่างเป็นอิสระ (independent in role and function) ที่ในสถานะหนึ่งก็มีบทบาทในการปฏิบัติหน้าที่ในการคุ้มครองสิทธิด้านความเป็นส่วนตัวของประชาชนในฐานะเจ้าของข้อมูลส่วนบุคคล (มาตรา 42) (3) การประสานงานภายในองค์กร DPO ต้องสามารถรายงานเหตุการณ์และรายละเอียดในการทำหน้าที่ต่าง ๆ ไปยังผู้บริหารสูงสุดขององค์กรได้โดยตรง ทั้งนี้เพื่อเป็นหลักประกันทางด้านความอิสระในการปฏิบัติหน้าที่และเพื่อให้มั่นใจว่าการตัดสินใจและการติดตามงานของ DPO นั้นสามารถดำเนินไปโดยปราศจากความล่าช้าหรืออาจเกิดความกดดันจากลำดับการบังคับบัญชาหรือการแทรกแซงจากบุคคลที่สาม (4) การปฏิบัติหน้าที่อื่น ๆ ของ DPO โดยหลักการแล้วองค์กรสามารถที่จะมอบหมายหน้าที่ต่าง ๆ นอกเหนือไปจากการทำหน้าที่ในฐานะของ DPO ตามที่กล่าวมาแล้วข้างต้นได้ตราบเท่าที่หน้าที่นั้นไม่เป็นการขัดต่อการปฏิบัติหน้าที่ (conflict of interest) ในฐานะของ DPO ทั้งนี้ใน PDPA ได้บัญญัติไว้ว่าผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่มีการมอบหมายหน้าที่อื่นแก่ DPO นั้น ต้องสามารถให้ความรับรองกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ว่า หน้าที่หรือภารกิจดังกล่าวที่มอบหมายให้ DPO ปฏิบัตินั้นไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ของ DPO ตามที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด กล่าวโดยสรุปคือ ผู้ประกอบการควรสรรหา DPO ที่เป็นผู้มีความรู้ความเข้าใจทั้งทางด้านกฎหมาย เทคโนโลยี และลักษณะของกิจการ และหลังจากได้แต่งตั้ง DPO ที่มีคุณสมบัติที่เหมาะสมแล้ว การช่วยเหลือสนับสนุนและให้หลักประกันความเป็นอิสระต่อการทำหน้าที่ของ DPO ก็เป็นอีกประเด็นหนึ่งที่สำคัญไม่ยิ่งหย่อนไปกว่ากันในการที่จะช่วยลดโอกาสที่อาจเกิดเหตุการณ์การประมวลผลข้อมูลส่วนบุคคลโดยละเมิดต่อกฎหมายคุ้มครองข้อมูลส่วนบุคคล ... ศุภวัชร์ มาลานนท์, CIPP/E Certified Information Privacy Professional/ Europe คณะนิติศาสตร์ มหาวิทยาลัยสงขลานครินทร์ ชิโนภาส อุดมผล Optimum Solution Defined (OSD)