ผู้ควบคุมข้อมูลส่วนบุคคล vs ผู้ประมวลผล: ร้านของคุณคือใคร

บทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำปรึกษาทางกฎหมาย การจำแนกบทบาทในแต่ละกรณีขึ้นกับข้อเท็จจริง โปรดปรึกษานักกฎหมายหรือดูแนวปฏิบัติของ สคส.

ร้านบริการยุคนี้ใช้เครื่องมือหลายตัวพร้อมกัน ระบบจองคิว LINE OA ระบบรับชำระเงิน อีเมล บางร้านยังมีโปรแกรมบัญชี คำถามสำคัญตาม PDPA คือ ใครเป็นผู้ควบคุมข้อมูลส่วนบุคคล และใครเป็นผู้ประมวลผล เพราะหน้าที่และความรับผิดชอบต่างกัน บทความนี้อธิบายด้วยตัวอย่างจากร้านจริง พร้อมสิ่งที่ร้านควรตรวจในสัญญากับผู้ให้บริการ

ผู้ควบคุมข้อมูลส่วนบุคคลคือใคร

ผู้ควบคุมข้อมูลส่วนบุคคล (data controller) คือผู้ที่มีอำนาจตัดสินใจเกี่ยวกับการเก็บ ใช้ หรือเปิดเผยข้อมูล หลักจำง่าย ๆ คือ ใครเป็นคนตัดสินใจว่าจะเก็บอะไร และเอาไปใช้ทำอะไร คนนั้นคือผู้ควบคุม

ในร้านบริการ ร้านเป็นผู้ตัดสินใจว่า

• จะให้ลูกค้ากรอกอะไรตอนจอง
• จะถามประวัติแพ้ยาหรือไม่
• จะส่งข้อความเตือนนัดหรือโปรโมชัน
• จะเก็บประวัติลูกค้าไว้นานแค่ไหน

ดังนั้นสำหรับข้อมูลลูกค้าของร้าน ร้านคือผู้ควบคุม แม้ข้อมูลจะเก็บอยู่บนระบบของบริษัทอื่นก็ตาม

ผู้ประมวลผลข้อมูลส่วนบุคคลคือใคร

ผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) คือผู้ที่ดำเนินการกับข้อมูล ตามคำสั่งหรือในนามของ ผู้ควบคุม ไม่ได้ตัดสินใจวัตถุประสงค์เอง ตัวอย่าง

• ผู้ให้บริการระบบจองที่เก็บข้อมูลนัดหมายตามที่ร้านตั้งค่า
• ผู้ให้บริการส่ง SMS ที่ส่งข้อความเตือนนัดตามที่ระบบสั่ง
• ผู้ให้บริการคลาวด์ที่ให้พื้นที่เก็บข้อมูล

ผู้ประมวลผลมีหน้าที่ของตัวเองเช่นกัน เช่น ประมวลผลตามคำสั่งเท่านั้น จัดให้มีมาตรการความปลอดภัยที่เหมาะสม และแจ้งผู้ควบคุมเมื่อเกิดเหตุละเมิดข้อมูล

ตารางเปรียบเทียบหน้าที่หลัก

บทบาทเดียวกันอาจเปลี่ยนตามข้อมูล

บริษัทเดียวอาจเป็นทั้งผู้ควบคุมและผู้ประมวลผล ขึ้นกับว่าเป็นข้อมูลของใคร ตัวอย่างกับ NadQ

กล่าวคือ เมื่อพูดถึงข้อมูลลูกค้าของร้าน NadQ ทำหน้าที่ผู้ประมวลผลตามคำสั่งของร้าน แต่เมื่อพูดถึงข้อมูลบัญชีของเจ้าของร้านเอง NadQ เป็นผู้ควบคุม

ผู้ประมวลผลช่วงต่อ (sub-processor)

ผู้ให้บริการระบบมักใช้บริการอื่นต่ออีกทอด เช่น ผู้ให้บริการคลาวด์ ผู้ส่ง SMS ผู้ส่งอีเมล หรือ LINE สำหรับส่งข้อความ ร้านควรรู้ว่ามีใครบ้าง ข้อมูลอะไรถูกส่งไป และอยู่ในประเทศใด เพราะการส่งข้อมูลออกนอกประเทศมีเงื่อนไขเพิ่มเติมตาม PDPA

สำหรับ NadQ ข้อมูลหลักของระบบ ได้แก่ ฐานข้อมูล ข้อมูลสำรอง และไฟล์สลิป เก็บบนคลาวด์ในศูนย์ข้อมูลประเทศไทย ส่วน SMS ส่งผ่านผู้ให้บริการในไทย รายชื่อผู้ให้บริการย่อยและรายละเอียดอื่นอยู่ใน นโยบายความเป็นส่วนตัว

ข้อตกลงการประมวลผลข้อมูล (DPA) ควรมีอะไร

เมื่อร้านใช้ผู้ประมวลผล ควรมีข้อตกลงที่ครอบคลุมอย่างน้อย

1. ขอบเขตและวัตถุประสงค์ ประเภทข้อมูล และกลุ่มเจ้าของข้อมูล
2. หน้าที่ประมวลผลตามคำสั่งที่เป็นลายลักษณ์อักษรเท่านั้น
3. การรักษาความลับของพนักงานผู้ประมวลผล
4. มาตรการความปลอดภัยทางเทคนิคและองค์กร
5. เงื่อนไขการใช้ผู้ประมวลผลช่วงต่อ
6. การช่วยเหลือร้านในการตอบคำขอใช้สิทธิ์และการแจ้งเหตุละเมิด พร้อมกรอบเวลา
7. สิทธิตรวจสอบหรือรายงานการปฏิบัติตาม
8. การคืนหรือลบข้อมูลเมื่อสิ้นสุดสัญญา

ใน NadQ ข้อตกลงการประมวลผลข้อมูลรวมอยู่ในข้อกำหนดการให้บริการที่ร้านยอมรับตอนสร้างร้าน และ NadQ ตั้งเป้าแจ้งร้านภายใน 24 ชั่วโมงเมื่อทราบเหตุละเมิดข้อมูลที่กระทบลูกค้าของร้าน เพื่อให้ร้านมีเวลาพอสำหรับการแจ้ง สคส. อ่านเพิ่มใน ข้อมูลลูกค้ารั่วต้องแจ้งภายใน 72 ชั่วโมง

ตัวอย่าง: ร้านนวดที่ใช้ 4 ระบบพร้อมกัน

ตัวอย่าง ร้านนวดแห่งหนึ่งใช้ระบบจองคิว LINE OA ของร้าน ระบบรับชำระเงิน และ Google Sheet ที่ผู้จัดการทำเอง

• ระบบจองคิว ประมวลผลข้อมูลลูกค้าตามที่ร้านตั้งค่า เป็นผู้ประมวลผล ร้านตรวจ DPA และรายชื่อผู้ให้บริการย่อย
• LINE OA ร้านเป็นเจ้าของบัญชี OA และตัดสินใจส่งข้อความ ส่วน LINE มีนโยบายข้อมูลของตัวเองในฐานะผู้ให้บริการแพลตฟอร์ม ร้านควรอ่านเงื่อนไขของ LINE ประกอบ
• ระบบรับชำระเงิน ร้านควรตรวจว่าข้อมูลบัตรหรือบัญชีไม่ผ่านมือร้านโดยตรง
• Google Sheet ที่ผู้จัดการทำเอง ร้านเป็นผู้ควบคุมเต็มตัว ต้องดูแลสิทธิ์การแชร์เอง และมักเป็นจุดเสี่ยงที่สุด

บทเรียนคือ ยิ่งข้อมูลกระจายหลายที่ ยิ่งดูแลยาก การรวมข้อมูลลูกค้าไว้ในระบบเดียวที่มีการกำหนดสิทธิ์ช่วยลดความเสี่ยงได้มาก

เช็กลิสต์สำหรับร้าน

• ทำรายการระบบทั้งหมดที่ข้อมูลลูกค้าผ่าน
• ระบุว่าระบบไหนเป็นผู้ประมวลผลของร้าน
• ตรวจว่ามี DPA หรือข้อกำหนดที่ครอบคลุมหัวข้อข้างต้น
• ตรวจรายชื่อผู้ประมวลผลช่วงต่อและที่ตั้งข้อมูล
• ระบุผู้ประมวลผลในประกาศความเป็นส่วนตัวของร้าน
• เลิกใช้ไฟล์หรือแชทที่ไม่มีการควบคุมสิทธิ์

สรุป

ผู้ควบคุมข้อมูลส่วนบุคคลคือผู้ตัดสินใจ ผู้ประมวลผลคือผู้ทำตามคำสั่ง ร้านบริการเกือบทุกร้านเป็นผู้ควบคุมข้อมูลลูกค้าของตัวเอง แม้จะใช้ระบบของบริษัทอื่น การรู้บทบาทช่วยให้ร้านเลือกผู้ให้บริการได้ถูก ตรวจสัญญาได้ตรงจุด และพร้อมรับมือเมื่อเกิดเหตุ อ่านภาพรวมหน้าที่ของร้านได้ใน PDPA ร้านบริการ

ถ้าคุณกำลังเลือกระบบจองที่มี DPA ชัดเจนและเก็บข้อมูลในประเทศไทย ลองทดลองใช้ NadQ ได้