PDPA หรือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บังคับใช้เต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 และใช้กับข้อมูลส่วนบุคคลไม่ว่าจะเก็บในออฟฟิศหรือบน Cloud การย้ายระบบขึ้น Cloud ไม่ได้ย้ายความรับผิดชอบไปให้ผู้ให้บริการ องค์กรยังเป็นผู้ควบคุมข้อมูล ส่วนผู้ให้บริการ Cloud มักอยู่ในฐานะผู้ประมวลผลข้อมูลแทนองค์กร ฝ่าย IT จึงต้องรู้ว่าส่วนไหนเป็นหน้าที่ของตัวเอง
PDPA บน Cloud ใครรับผิดชอบอะไร
| เรื่อง | องค์กร (ผู้ควบคุมข้อมูล) | ผู้ให้บริการ Cloud |
|---|---|---|
| เลือกเก็บข้อมูลอะไร และเก็บไว้นานแค่ไหน | ✔ | |
| สิทธิ์การเข้าถึงของผู้ใช้และรหัสผ่าน | ✔ | |
| อัปเดตระบบปฏิบัติการและแอปบน Cloud Server | ✔ | |
| ความปลอดภัยของอาคาร Data Center | ✔ | |
| ฮาร์ดแวร์ ไฟสำรอง และเครือข่ายหลัก | ✔ | |
| แจ้งเหตุข้อมูลรั่วต่อ สคส. | ✔ | แจ้งองค์กรเมื่อพบเหตุ |
[ตรวจสอบ: ขอบเขตความรับผิดชอบตาม SLA และสัญญาของ Thai Data Cloud]
เช็กลิสต์ PDPA สำหรับระบบบน Cloud 10 ข้อ
1. ทำรายการว่ามีข้อมูลส่วนบุคคลอะไร อยู่ระบบไหน
ระบุให้ได้ว่าข้อมูลลูกค้า พนักงาน และคู่ค้าอยู่ในระบบไหน เป็นข้อมูลประเภทใด และใครใช้ รายการนี้คือฐานของการทำบันทึกรายการกิจกรรมการประมวลผล (ROPA) ที่ฝ่ายกฎหมายต้องใช้
2. รู้ว่าข้อมูลเก็บอยู่ประเทศไหน
ถ้าข้อมูลถูกเก็บหรือสำรองไว้ต่างประเทศ ถือเป็นการส่งข้อมูลออกนอกประเทศ ซึ่ง PDPA มีเงื่อนไขเพิ่มเติม การเลือก Cloud ที่มี Data Center ในไทยช่วยลดความซับซ้อนส่วนนี้
3. มีสัญญาประมวลผลข้อมูลกับผู้ให้บริการ
ผู้ให้บริการ Cloud ที่ประมวลผลข้อมูลแทนองค์กร ควรมีข้อตกลงที่ระบุหน้าที่ด้านความปลอดภัย การแจ้งเหตุ และการลบข้อมูลเมื่อเลิกใช้บริการ
4. จำกัดสิทธิ์และเปิด MFA
ให้สิทธิ์เท่าที่จำเป็นต่องาน แยกบัญชีผู้ดูแลระบบกับบัญชีใช้งานปกติ เปิด MFA ทุกบัญชีที่เข้าถึงข้อมูลส่วนบุคคล และปิดบัญชีของพนักงานที่ลาออกทันที
5. เข้ารหัสข้อมูล
เข้ารหัสข้อมูลระหว่างส่ง (HTTPS, VPN) และข้อมูลที่จัดเก็บ โดยเฉพาะฐานข้อมูลและไฟล์ Backup
6. เก็บ Log การเข้าถึง
บันทึกว่าใครเข้าระบบหรือเข้าถึงข้อมูลเมื่อไร และเก็บ Log ไว้ในที่ที่ผู้ใช้ทั่วไปแก้ไขไม่ได้ Log คือหลักฐานสำคัญเมื่อต้องสืบสวนเหตุข้อมูลรั่ว
7. Backup และทดสอบกู้คืน
PDPA กำหนดให้รักษาความพร้อมใช้งานของข้อมูลด้วย ไม่ใช่แค่กันรั่ว การมี Backup Solution และทดสอบกู้คืนสม่ำเสมอ ช่วยให้ข้อมูลไม่หายเมื่อเกิดแรนซัมแวร์หรือระบบเสีย
8. กำหนดระยะเวลาเก็บและลบข้อมูล
ข้อมูลที่หมดความจำเป็นแล้วควรลบหรือทำให้ระบุตัวตนไม่ได้ ตั้งรอบการลบให้ครอบคลุมทั้งระบบหลักและไฟล์ Backup
9. เตรียมแผนแจ้งเหตุภายใน 72 ชั่วโมง
PDPA กำหนดให้แจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล ฝ่าย IT ควรมีขั้นตอนที่ชัดเจนว่าใครตัดสินใจ ใครรวบรวมข้อมูล และใครติดต่อผู้ให้บริการ
10. ประเมินผู้ให้บริการทุกราย
ตรวจไม่เฉพาะผู้ให้บริการ Cloud หลัก แต่รวมถึงบริการอื่นที่ระบบเชื่อมไปใช้ เช่น ระบบส่งอีเมล ระบบ SMS และเครื่องมือวิเคราะห์ข้อมูล