PDPC จับมือ สวทช. จัดสัมมนาออนไลน์ "Decoding PDPA" ยกระดับมาตรฐานความปลอดภัยข้อมูลส่วนบุคคลในองค์กร ในบริบทงานวิจัยและเทคโนโลยี
ดร.จุฬารัตน์ ตันประเสริฐ รองผู้อำนวยการสายงานกลยุทธ์องค์กร สำนักงานพัฒนาวิทยาศาสตร์และเทคโนโลยีแห่งชาติ (สวทช.) กล่าวว่า สวทช. และ สคส. หรือ PDPC เป็นสองหน่วยงานที่ร่วมผลักดันด้านการใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือ PDPA กันมาอย่างต่อเนื่อง จากการลงนามความร่วมมือในแง่ต่าง ๆ อาทิ สนับสนุนความเชี่ยวชาญบุคลากร เพื่อเสริมสร้างความเข้าใจและยกระดับการรักษาความมั่นคงปลอดภัยทางสารสนเทศ รวมถึงสนับสนุนด้านทรัพยากร ในการศึกษาและวิจัยเพื่อช่วยเหลือกันด้านมาตรการป้องกัน รับมือ และลดความเสี่ยงจากภัยคุกคามข้อมูลส่วนบุคคลที่เพิ่มขึ้น
โดย ดร.สุนทรีย์ ส่งเสริม ผู้ทรงคุณวุฒิ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC ให้ข้อมูลว่า PDPA เป็นกฎหมายที่ถูกออกแบบมาเพื่อให้เกิดการแลกเปลี่ยนข้อมูลระหว่างองค์กรอย่างปลอดภัยและรักษาสิทธิความเป็นส่วนตัว ซึ่งพื้นฐานจะเป็นเรื่องกระบวนการในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยชอบด้วยกฎหมาย ร่วมกับการรักษาความปลอดภัยของข้อมูล โดยการพัฒนาระบบบริการดิจิทัลควรคำนึงถึงหลักความเป็นส่วนตัวตลอดกระบวนการตั้งแต่ต้นจนจบ เพื่อสร้างความเชื่อมั่นให้เกิดกับผู้ใช้บริการ ตามหลักการออกแบบ Privacy by Design ทั้ง 7 หัวข้อ ได้แก่
- กำหนด privacy ให้เป็นค่ามาตรฐาน (Privacy as the default)
- คำนึงถึง privacy ตั้งแต่ต้นกระบวนการ (Privacy embedded design)
- ออกแบบให้ทำงานเต็มรูปแบบ (Full functionally)
- ต้องปลอดภัยตลอดกระบวนการ (End-to-end security)
- ชัดเจนและโปร่งใส (Visibility and transparency)
- เคารพความเป็นส่วนตัวของผู้ใช้งาน (Respect user privacy)
"หลักการสำคัญของ PDPA คือการเก็บข้อมูลเท่าที่จำเป็นและใช้งานตามวัตถุประสงค์ ดังนั้นองค์กรจึงจำเป็นต้องมีการกำหนดนโยบายให้บุคลากรสามารถนำไปเป็นแนวทางการปฏิบัติได้จริง รวมถึงกำหนดการควบคุมต่าง ๆ ตามกระบวนการออกแบบ PbD (Privacy by Design) ในการออกแบบโปรแกรมหรือแพลตฟอร์ม ไม่ว่าจะเป็น การทบทวนโค้ดในโปรแกรม ตรวจพฤติกรรมการทำงานของโปรแกรมหลังถูกใช้งาน และทำตามขั้นตอนการออกแบบซอฟต์แวร์ รวมไปถึงการมีผู้เชี่ยวชาญเฉพาะด้าน ที่เข้าใจกระบวนการธุรกิจและเชี่ยวชาญในกฎหมายประกอบกัน เพื่อให้ออกแบบแผนงานที่สอดคล้องกับกฎหมาย และป้องกันการละเมิดข้อมูลส่วนบุคคลอย่างมีประสิทธิภาพไปพร้อมกัน"
"ความท้าทายในการทำข้อมูลนิรนาม คือจะทำอย่างไรให้ข้อมูลนั้นอยู่ในรูปแบบนิรนาม แต่ยังนำไปใช้งานต่อได้ โดยองค์กรจะต้องเริ่มขั้นตอนตั้งแต่ในดีไซน์แรก คือพิจารณาว่าข้อมูลไหนเป็นข้อมูลส่วนบุคคลบ้าง จากนั้นจึงเป็นการเลือกใช้เทคนิคเครื่องมือต่าง ๆ โดยพิจารณาว่าข้อมูลนั้นจะถูกนำไปใช้ในด้านใด เช่นการทำ Pseudonymization หรือการแทนที่ข้อมูลจริงด้วยข้อมูลหลอก เพื่อไม่ให้คาดเดาตัวตนเจ้าของข้อมูลได้ หรือการทำ Synthetic Data โดยใช้ AI ในการวิเคราะห์ และสร้างข้อมูลใหม่โดยไม่เชื่อมโยงกับข้อมูลจริง"
"สวทช. ได้ร่วมมือกับ PDPC ในการใช้งานระบบ GPPC (Government Platform for PDPA Compliance) ซึ่งได้มีทีมที่เกี่ยวข้องเข้าไปศึกษา ทดลองกรอกข้อมูล และทดสอบระบบร่วมกับทีมพัฒนา พร้อมทั้งรายงานผลการทดสอบอย่างต่อเนื่อง ตั้งแต่ส่วนของการกรอกบันทึกรายการ (ROPA), การนำ Cookie Consent ของระบบมาประยุกต์ใช้, การให้บริการจัดการสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมไปถึงการจัดเตรียมระบบรับเรื่องร้องเรียนผ่าน GPPC ซึ่งนับว่าโครงการดังกล่าวช่วยลดภาระในการปฏิบัติตามกฎหมายให้กับทั้งองค์กรภาครัฐ เอกชน และประชาชน ได้อย่างมีประสิทธิภาพ"
สามารถติดตามข่าวสารเกี่ยวกับการคุ้มครองและดูแลข้อมูลส่วนบุคคลได้ทาง Facebook : PDPC Thailand
