สำนักงานคุ้มครองข้อมูลส่วนบุคคล เผยสถิติร้องเรียนหน่วยงานเอกชนฝ่าฝืน PDPA สูงถึง 83.1% !!!

จากสถิติที่ทางสำนักงานคุ้มครองข้อมูลส่วนบุคคลเผยแพร่ออกมาจะเห็นได้ว่า หน่วยงานเอกชนได้มีการถูกร้องเรียนในเรื่องการฝ่าฝืนกฎหมาย PDPA อยู่ในกลุ่มที่สูงที่สุด ถึง 83.1 %  ลำดับถัดมาคือประชาชนอยู่ที่ 9.2 %  หน่วยงานรัฐวิสาหกิจ 4.6% และหน่วยงานรัฐเพียง 3.1%   โดยเหตุผลส่วนใหญ่ที่มีการละเมิดการคุ้มครองข้อมูลส่วนบุคคล นั้นล้วนมาจากการที่บุคลากรขององค์ขาดความรู้และความเข้าใจในด้านกฎหมาย PDPA  รวมไปถึงกระบวนการทำงานขององค์กรมีการไหลเวียนข้อมูลส่วนบุคคลเป็นส่วนใหญ่ แต่ไม่มีการดำเนินงานให้ถูกต้องและครบกระบวนการ ทั้งนี้สาเหตุการละเมิดที่ได้รับแจ้งสาเหตุส่วนใหญ่ที่เรารวบรวมได้ มีดังต่อไปนี้ 

1. ระบบคอมพิวเตอร์ขององค์กรถูกเจาะระบบ
2. กระบวนการควบคุมขั้นตอนการเปิดเผยข้อมูลส่วนบุคคล ขององค์กรไม่รัดกุม
3. พนักงานดำเนินการผิดพลาด ส่งข้อมูลให้ผู้รับผิดคน

อีกทั้งหน่วยงานรัฐมีการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO- Data Protection Officer) เตรียมพร้อมอยู่แล้ว ซึ่งเข้ามามีส่วนช่วยในการทำให้องค์กรปฏิบัติตามพ.ร.บ.ได้อย่างถูกต้อง

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO- Data Protection Officer) 

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO- Data Protection Officer) คือ ทำให้แน่ใจว่าองค์กรมีการดำเนินการได้ถูกต้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือกฎหมาย PDPA บทบาทของ DPO ตามข้อกำหนดในกฎหมาย PDPA คำนึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ซึ่งอาจจะเป็นผู้บริหารหรือพนักงานที่มีตำแหน่งตั้งแต่หัวหน้างานขึ้นไป หรือจะเป็นการจัดจ้างเจ้าหน้าที่จากภายนอกก็ได้เช่นกัน แต่ไม่ควรเป็นสัญญาในช่วงสั้นๆ โดยมีหน้าที่ที่ต้องรับผิดชอบ ดังนี้

1. ให้คำแนะนำแก่เจ้าของธุรกิจและเจ้าหน้าที่ภายในบริษัทให้สามารถดำเนินการตามที่กฎหมายกำหนด
2. ตรวจสอบการดำเนินงานของบริษัท รวมถึงลูกจ้าง/ผู้รับจ้างในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามกฎหมาย อาทิ การจัดทำแบบประเมินความเสี่ยงการละเมิดข้อมูลส่วนบุคคลภายในบริษัท (DPIA : Data Protection Impact Assessment)
3. ประสานงานและให้ความร่วมมือกับสำนักงานคุ้มครองข้อมูลส่วนบุคคล หากเกิดปัญหาที่เกี่ยวข้องกับข้อมูลส่วนบุคคลภายในบริษัท อาทิ จัดการคำขอใช้สิทธิ หรือข้อร้องเรียนต่าง ๆ
4. ส่งเสริมให้ภายในบริษัทมีค่านิยมในการคุ้มครองข้อมูลส่วนบุคคล
5. รักษาความลับของข้อมูลส่วนบุคคลที่ตนล่วงรู้หรือได้มาเนื่องจากการปฏิบัติหน้าที่

ดังนั้น หากดูจากบทบาทหน้าที่และคุณสมบัติของ DPO ต้องเป็นเจ้าหน้าที่ในระดับหัวหน้างานขึ้นไป และมีความเชี่ยวชาญในเรื่องกฎหมาย PDPA อย่างน้อย 5 ปี และอาจจะต้องมีใบรับรองคุณสมบัติและความเชี่ยวชาญจากสถาบันที่กฎหมายหรือคณะกรรมการฯ กำหนด (อ้างอิงจากหลักเกณฑ์ของ GDPR)