Data Trust สคส. คือแนวทางที่เลขาธิการสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ให้สัมภาษณ์ว่าจะเร่งยกระดับการบังคับใช้ PDPA เพื่อสร้างความเชื่อมั่นด้านข้อมูล ผ่าน 3 มาตรการ บทความนี้เหมาะกับองค์กรที่ถือข้อมูลก้อนใหญ่และหน่วยงานที่เชื่อมข้อมูลข้ามระบบ อ่านแล้วจะรู้ว่าควรเตรียมหลักฐานอะไร
ลองนึกภาพแพลตฟอร์มสุขภาพ บริษัทประกัน หรือสถาบันการเงินที่มีข้อมูลลูกค้าหลายล้านราย และเชื่อมระบบกับหน่วยงานรัฐ วันหนึ่ง สคส. ส่งหนังสือขอดูว่าเก็บข้อมูลอะไร เก็บนานแค่ไหน และลบเมื่อไร ถ้าตอบได้แค่ว่า “มีนโยบายแล้ว” ก็อาจไม่พอ คำให้สัมภาษณ์รอบนี้ชี้ไปทางนั้น
สรุปสั้น: เลขาธิการ สคส. ให้สัมภาษณ์กรุงเทพธุรกิจ (เว็บแสดงวันที่ 18 ตุลาคม 2569) ถึง Data Trust 3 มาตรการ คือกำกับข้อมูลภาครัฐให้สอดคล้อง PDPA ส่งเสริมการเก็บข้อมูลเท่าที่จำเป็น และเพิ่มการตรวจสอบและบังคับใช้ โดยเน้นองค์กรที่ประมวลผลข้อมูลจำนวนมาก นี่เป็นการให้สัมภาษณ์เชิงนโยบาย ยังไม่มีประกาศทางการ ตัวเลข หรือกรอบเวลา
Data Trust สคส. คืออะไร มี 3 มาตรการอะไรบ้าง
Data Trust สคส. คือคำที่เลขาธิการ สคส. ใช้เรียกการสร้างความเชื่อมั่นด้านข้อมูล ท่ามกลางการเชื่อมโยงข้อมูลภาครัฐและภัยไซเบอร์ที่ซับซ้อนขึ้น สคส. จึงเร่งยกระดับการบังคับใช้ PDPA ตามที่กรุงเทพธุรกิจรายงาน
มาตรการแรก วางมาตรฐานการกำกับดูแลข้อมูล (data governance) ภาครัฐให้สอดคล้อง PDPA และรองรับการแลกเปลี่ยนข้อมูลอย่างปลอดภัย มาตรการที่สอง ส่งเสริมการเก็บข้อมูลเท่าที่จำเป็น (data minimization) ให้ภาครัฐและเอกชนทบทวนกระบวนการใช้ข้อมูล โดยเลขาธิการระบุว่าการเก็บเกินเป็นสาเหตุสำคัญของข้อมูลรั่ว มาตรการที่สาม เพิ่มการตรวจสอบและบังคับใช้กฎหมาย โดยเน้นองค์กรที่ประมวลผลข้อมูลจำนวนมากหรือเชื่อมข้อมูลข้ามระบบ
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้ให้สัมภาษณ์ | เลขาธิการ สคส. |
| ผู้เผยแพร่ | กรุงเทพธุรกิจ (เว็บแสดงวันที่ 18 ต.ค. 2569 ไม่ระบุวันเผยแพร่ในเนื้อข่าว) |
| มาตรการ | 1) กำกับข้อมูลภาครัฐ 2) เก็บเท่าที่จำเป็น 3) ตรวจสอบและบังคับใช้ |
| สถานะ | การให้สัมภาษณ์เชิงนโยบาย ไม่มีเลขที่ประกาศ ตัวเลข หรือกรอบเวลา |
ข้อควรระวังคือ เรื่องนี้เป็นการให้สัมภาษณ์ ไม่ใช่ประกาศฉบับทางการ จึงยังไม่มีเลขที่ประกาศ ตัวเลขสถิติการตรวจ หรือกำหนดเวลา ผู้อ่านไม่ควรสรุปว่ามีกฎใหม่ที่มีผลบังคับแล้ว ส่วนข้อสันนิษฐานต่อจากนี้เป็นการวิเคราะห์ของผู้เขียน
Data Trust สคส. กระทบองค์กรไทยอย่างไร
Data Trust สคส. กระทบองค์กรไทยตรงที่สัญญาณการตรวจเชิงรุกชี้ไปที่ผู้ถือข้อมูลก้อนใหญ่และระบบเชื่อมข้ามหน่วยงาน เช่น แพลตฟอร์มสุขภาพ การเงิน และประกัน ซึ่งตรงกับทิศทางที่เว็บนี้เคยรายงานเรื่องการเชื่อมข้อมูลสุขภาพภาครัฐ
องค์กรข้อมูลก้อนใหญ่ถูกตรวจเชิงรุกเมื่อไร ต้องเตรียมอะไร
ยังไม่มีกรอบเวลา แต่ควรเตรียมหลักฐานการเก็บข้อมูลเท่าที่จำเป็นไว้ก่อน ได้แก่ ผังข้อมูล ตารางระยะเก็บรักษา และบันทึกการลบข้อมูล ตามมาตรา 39 ผู้ควบคุมข้อมูลต้องมีบันทึกรายการประมวลผล (RoPA) อยู่แล้ว ซึ่งเป็นฐานของผังข้อมูลนี้ กรณีโครงการเชื่อมข้อมูลสุขภาพ ดูเพิ่มใน BDI วางแผนปี 2570 เชื่อมข้อมูลรัฐผ่าน Health Link และแพลตฟอร์ม D2 แต่ไม่พูดถึง PDPA โรงพยาบาลเอกชนต้องเตรียมอะไรก่อนเชื่อมระบบ
สคส. จะวัดผลจากเอกสารนโยบายหรือหลักฐานการปฏิบัติจริง
ผู้เขียนอ่านจากแนวคิดว่าสร้างความเชื่อมั่น ไม่ใช่แค่ปฏิบัติตามกฎหมาย แล้วมองว่า สคส. มีแนวโน้มให้น้ำหนักกับหลักฐานการปฏิบัติจริงมากกว่าเอกสารนโยบาย สอดคล้องกับเครื่องหมายรับรองที่เว็บนี้เคยรายงานใน สคส. ดัน PDPC Certification Mark เครื่องหมายรับรองการคุ้มครองข้อมูลส่วนบุคคล 16 องค์กรได้แล้ว ธุรกิจไทยควรเตรียมอะไร ข้อนี้เป็นการวิเคราะห์ ไม่ใช่ถ้อยแถลงของ สคส.
การเก็บข้อมูลเกินจำเป็นเกี่ยวกับข้อมูลรั่วอย่างไร
การเก็บเกินจำเป็นทำให้ข้อมูลที่รั่วได้มีมากขึ้น เลขาธิการระบุว่าเป็นสาเหตุสำคัญของข้อมูลรั่ว ตัวอย่างต่างประเทศคือเหตุข้อมูลสมาชิกรั่วในญี่ปุ่นหลายกรณีที่สรุปไว้ใน ญี่ปุ่นข้อมูลรั่วต่อเนื่อง skyticket 14.6 ล้าน คาราโอเกะ 8.7 ล้าน Lawson 2.16 ล้าน รัฐเรียกประชุมฉุกเฉิน สัญญา DPA ของธุรกิจไทยต้องมีข้อไหน
หน่วยงานรัฐและเอกชนที่เชื่อมข้อมูลกันต้องระวังอะไร
หน่วยงานที่แลกเปลี่ยนข้อมูลกันต้องกำหนดให้ชัดว่าใครเป็นผู้ควบคุมข้อมูล ส่งอะไรให้ใคร ด้วยวัตถุประสงค์ใด และปลอดภัยแค่ไหน มาตรการแรกของ Data Trust เน้นด้านภาครัฐ แต่เอกชนที่เป็นคู่เชื่อมระบบย่อมถูกพิจารณาไปด้วย เรื่องการสอบข้อมูลรั่วของระบบสุขภาพภาครัฐเมื่อเดือนสิงหาคม 2569 ดูใน PDPC เร่งสอบข้อมูลรั่วหมอพร้อม-TSD ธุรกิจไทยต้องรับมืออย่างไร
ถ้าไม่ทำอะไรเลย องค์กรเสี่ยงอะไร
ถ้าไม่ทำอะไร องค์กรที่ถือข้อมูลก้อนใหญ่เสี่ยงสามเรื่อง เรื่องแรก ถูกขอดูเอกสารแล้วไม่มีหลักฐานยืนยันว่าเก็บเท่าที่จำเป็น แม้จะมีนโยบายครบ เรื่องที่สอง ตอบไม่ได้ว่าเก็บข้อมูลอะไรไว้ที่ไหน เมื่อเกิดเหตุรั่ว จึงแจ้งเหตุไม่ทัน
เรื่องที่สาม ข้อมูลเก่าที่ไม่จำเป็นยังอยู่ในระบบ ทำให้ผลกระทบของเหตุรั่วใหญ่ขึ้นโดยไม่จำเป็น ทั้งหมดนี้ยังไม่ใช่ข้อบังคับใหม่ แต่เป็นสิ่งที่ PDPA เดิมก็คาดหวังอยู่แล้ว
องค์กรข้อมูลก้อนใหญ่ควรทำอะไรตอนนี้
องค์กรที่ถือข้อมูลก้อนใหญ่หรือเชื่อมข้อมูลข้ามระบบควรทำ 4 เรื่อง เพื่อรับมือแนวทาง Data Trust สคส. ตั้งแต่ตอนนี้
- 1. ทำผังข้อมูลและทบทวนบันทึกรายการประมวลผล (RoPA) ระบุว่าเก็บข้อมูลอะไร จากใคร ไว้ที่ไหน ส่งต่อให้ใคร
- 2. ทำตารางระยะเก็บรักษา กำหนดอายุข้อมูลแต่ละประเภทพร้อมเหตุผล และผูกกับขั้นตอนลบ
- 3. เก็บบันทึกการลบข้อมูล จดว่าลบอะไร เมื่อไร โดยใคร เพื่อใช้เป็นหลักฐานเมื่อถูกขอดู
- 4. ตรวจจุดเชื่อมข้อมูลข้ามระบบ ทบทวนสิทธิ์ของระบบที่เชื่อมกับหน่วยงานอื่น และขอบเขตข้อมูลที่ส่งออก
ถ้าต้องการให้ช่วยจัดชุดหลักฐานพร้อมรับตรวจ PDPA ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ ประโยคที่น่าสนใจที่สุดในข่าวนี้ไม่ใช่ตัวเลขหรือมาตรการ แต่คือการวางเป้าหมายเป็น “ความเชื่อมั่น” แทนที่จะเป็น “การปฏิบัติตามกฎหมาย” ความเชื่อมั่นพิสูจน์ด้วยเอกสารนโยบายไม่ได้ ต้องพิสูจน์ด้วยหลักฐานว่าข้อมูลถูกลบจริง จุดที่องค์กรมักพลาดคือมีนโยบายสวยแต่ไม่มีบันทึกการปฏิบัติ ควรเริ่มจากตารางระยะเก็บรักษากับบันทึกการลบก่อน
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Data Trust สคส.
Data Trust สคส. มี 3 มาตรการอะไรบ้าง
มาตรการแรกคือวางมาตรฐานกำกับดูแลข้อมูลภาครัฐให้สอดคล้อง PDPA มาตรการที่สองคือส่งเสริมการเก็บข้อมูลเท่าที่จำเป็น และมาตรการที่สามคือเพิ่มการตรวจสอบและบังคับใช้กฎหมาย โดยเน้นองค์กรที่ประมวลผลข้อมูลจำนวนมากหรือเชื่อมข้อมูลข้ามระบบ
Data Trust สคส. เป็นประกาศทางการที่มีผลบังคับแล้วหรือไม่
ยังไม่ใช่ ข่าวนี้เป็นการให้สัมภาษณ์เชิงนโยบาย ไม่มีเลขที่ประกาศ ไม่มีตัวเลขสถิติ และไม่มีกรอบเวลา องค์กรจึงควรถือเป็นสัญญาณทิศทาง ไม่ใช่กฎใหม่
สคส. ตรวจเชิงรุกจะเน้นองค์กรแบบไหน
ตามคำให้สัมภาษณ์ สคส. จะเน้นองค์กรที่ประมวลผลข้อมูลจำนวนมากหรือเชื่อมข้อมูลข้ามระบบ ผู้เขียนวิเคราะห์ว่ากลุ่มที่ควรระวังเป็นพิเศษคือแพลตฟอร์มสุขภาพ การเงิน และประกัน
องค์กรควรเตรียมหลักฐานอะไรก่อนถูกตรวจ
ควรเตรียมผังข้อมูล ตารางระยะเก็บรักษา และบันทึกการลบข้อมูล พร้อมบันทึกรายการประมวลผลตามมาตรา 39 เพื่อพิสูจน์ว่าเก็บข้อมูลเท่าที่จำเป็นจริง
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- สคส. ตอบอีก 8 ข้อหารือ PDPA ที่องค์กรควรรู้ — สรุปข้อหารือที่ สคส. ตอบหน่วยงานซึ่งถามมา ใช้ประกอบดุลพินิจได้ แต่ไม่ผูกพันคณะกรรมการผู้เชี่ยวชาญ (aipdpa.com)
- สคส. ตอบข้อหารือ PDPA 8 เรื่องที่บริษัทเจอบ่อย — รวบรวมเรื่องที่ สคส. ตอบข้อหารือ เพื่อดูแนวคิดของผู้กำกับดูแลในทางปฏิบัติ (aipdpa.com)
แหล่งอ้างอิง
- กรุงเทพธุรกิจ — (อ่านต้นฉบับ) — อ่านสัมภาษณ์เลขาธิการ สคส. ที่กรุงเทพธุรกิจ
- ไทยโพสต์ — (อ่านต้นฉบับ) — อ่านข่าวที่ไทยโพสต์
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
