10 เรื่อง PDPA ที่ “นายจ้าง” ต้องรู้

• แชร์บทความ
• ทวีต
• ส่งไลน์

1. การติดกล้องวงจรปิดเพื่อดูพฤติกรรมการทำงานของลูกจ้าง

ถือเป็นการรุกล้ำความเป็นส่วนตัว เว้นแต่เป็นการติดกล้องเฝ้าระวัง เพื่อตรวจสอบความเรียบร้อยปลอดภัยของสถานที่ และเพื่อป้องกันอันตราย

2. การติดตามโลเคชั่นของลูกจ้าง

เช่น การเช็คอินเข้างานนอกสถานที่ ถือเป็นการติดตามพนักงานโดยใช้ข้อมูลตำแหน่งที่ตั้ง ซึ่งต้องอยู่ในการควบคุมของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562

3. การ WFH ต้องมีมาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคล

องค์กรต้องปฏิบัติตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 โดยเฉพาะเรื่องมาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคล ไม่ว่าข้อมูลนั้นจะถูกใช้จากภายในองค์กรหรือถูกใช้โดยรีโมทหรือเข้าถึงจากระบบภายนอกองค์กรก็ตาม

4. การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

ผู้ส่งหรือองค์กรต้นทางต้องพิจารณาว่าประเทศปลายทางหรือองค์กรระหว่างประเทศที่รับมีมาตรฐานคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอหรือไม่

5. การตลาดแบบตรงจะทำได้ต่อเมื่อได้รับความยินยอมจากลูกค้า

ลูกค้าบางรายอาจไม่ต้องการรับโปรโมชั่น ซึ่งอาจเป็นการรุกล้ำความเป็นส่วนตัว ฉะนั้น ก่อนทำการตลาดแบบตรงต้องขอความยินยอมจากลูกค้า และเจ้าของสามารถคัดค้านไม่ให้องค์กรทำการตลาดแบบตรงได้ทุกเมื่อ

6. จัดทำนโยบายส่วนตัวความเป็นส่วนตัว และประกาศความเป็นส่วนตัว (Cookies)

หากธุรกิจขององค์กรมีเว็บไซต์ องค์กรต้องจัดให้มีการจัดเก็บคุกกี้ (Cookie) และจะต้องทำ Cookie Policy เพื่ออธิบายการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ให้เจ้าของข้อมูลทราบ

7. ทำการบันทึกรายการข้อมูลส่วนบุคคล(RoPA)

เช่น ข้อมูลส่วนบุคคลที่มีการเก็บ วัตถุประสงค์ในการเก็บรวบรวม แหล่งที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล กำหนดระยะเวลาการเก็บรักษา ฯลฯ

8. จัดทำข้อตกลงความเป็นส่วนตัวสำหรับผู้สมัครงานและพนักงาน

เพื่อเป็นข้อตกลงตามฐานสัญญาสำหรับผู้สมัครงานที่นายจ้างมีการเก็บรักษาข้อมูล และต้องแจ้งให้ผู้สมัคร รวมถึงพนักงานภายในองค์กรทราบด้วย

9. ประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA)

สำรวจและวิเคราะห์ข้อมูลส่วนบุคคล เพื่อประเมินความเสี่ยง และจัดให้มีมาตรการด้านความมั่นคงปลอดภัยที่เหมาะสมกับความเสี่ยงและประเภทของข้อมูลที่อาจเกิดขึ้นแก่เจ้าของข้อมูล

10. ห้ามเก็บข้อมูลส่วนบุคคลจากแหล่งอื่น ที่ไม่ใช่จากเจ้าของข้อมูลโดยตรง

เว้นแต่ ได้แจ้งการเก็บรวบรวมข้อมูลจากแหล่งอื่นให้เจ้าของข้อมูลทราบโดยไม่ชักช้า แต่ต้องไม่เกิน 30 วันนับแต่วันที่เก็บรวบรวมและได้รับความยินยอม