ปัจจุบันการเปลี่ยนผ่านไปสู่ยุค Digital Transformation ข้อมูลส่วนบุคคลได้กลายเป็นทรัพยากรสำคัญ จึงทำให้การจัดการและคุ้มครองข้อมูลเหล่านี้จึงเป็นเรื่องที่ทุกองค์กรต้องให้ความสำคัญอย่างยิ่ง ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือที่เราพูดกับจนชินปากอย่าง PDPA นั้น ได้เข้ามามีบทบาทสำคัญในการกำหนดแนวทางการปฏิบัติ ซึ่งหนึ่งในหัวใจหลักของ PDPA คือ Consent หรือการขอความยินยอมจากเจ้าของข้อมูล ดังนั้น วันนี้ Ditto จะพาคุณไปทำความเข้าใจว่า Consent คืออะไร มีความสำคัญอย่างไร และองค์กรควรดำเนินการขอความยินยอมอย่างไรให้ถูกต้อง รวมถึงเอกสารแสดงความยินยอม (Consent Form) ควรจะต้องมีลักษณะแบบไหน ในบทความนี้กัน
Consent คืออะไร
Consent คือการอนุญาตหรือการแสดงเจตนาโดยอิสระ ชัดแจ้งและเฉพาะเจาะจงจากเจ้าของข้อมูลส่วนบุคคล เพื่อให้องค์กร (ผู้ควบคุมข้อมูล) สามารถเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลของตนได้ตามวัตถุประสงค์ที่แจ้งไว้
โดยภายใต้กฎหมาย PDPA นั้น การให้ความยินยอมจะต้องเป็นไปโดยสมัครใจ ไม่มีการบังคับหรือหลอกลวง เจ้าของข้อมูลต้องได้รับทราบข้อมูลอย่างเพียงพอเกี่ยวกับวัตถุประสงค์ของการประมวลผลข้อมูลก่อนตัดสินใจให้ความยินยอม และต้องสามารถถอนความยินยอมเมื่อใดก็ได้ โดยการถอนความยินยอมจะต้องทำได้ง่ายเหมือนตอนให้ความยินยอม
Consent มีความสำคัญอย่างไรต่อองค์กร
การขอ Consent PDPA อย่างถูกต้องไม่ได้เป็นเพียงข้อบังคับทางกฎหมายเท่านั้น แต่ยังมีความสำคัญต่อองค์กรในหลายมิติ ดังนี้
- ความถูกต้องตามกฎหมาย เป็นพื้นฐานสำคัญที่ทำให้องค์กรสามารถประมวลผลข้อมูลส่วนบุคคลได้อย่างถูกต้องตาม PDPA หลีกเลี่ยงบทลงโทษทางกฎหมายซึ่งอาจมีมูลค่าสูง ทั้งโทษทางแพ่ง อาญา และปกครอง
- การสร้างความน่าเชื่อถือ การดำเนินการขอความยินยอมอย่างโปร่งใสและชัดเจน แสดงให้เห็นว่าองค์กรให้ความเคารพในสิทธิส่วนบุคคลของลูกค้า ซึ่งช่วยสร้างความไว้วางใจและความสัมพันธ์ที่ดีในระยะยาว
- ช่วยบริหารความเสี่ยง การมีระบบการขอและจัดเก็บ Consent ที่ดี จะช่วยลดความเสี่ยงจากการถูกร้องเรียน หรือการฟ้องร้องเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลได้
- ช่วยให้การดำเนินธุรกิจเป็นไปอย่างราบรื่น ในหลายกิจกรรมทางธุรกิจ เช่น การตลาด การวิเคราะห์ข้อมูลลูกค้าเชิงลึก หากได้รับความยินยอมที่ถูกต้องเป็นสิ่งจำเป็นเพื่อให้สามารถนำข้อมูลไปใช้ประโยชน์ได้อย่างเต็มที่และถูกกฎหมาย
ขอความยินยอม (Consent) อย่างไรให้ถูกต้องตามกฎ PDPA
เพื่อให้การขอความยินยอมสอดคล้องกับหลักการของ Consent PDPA องค์กรควรปฏิบัติตามแนวทางต่อไปนี้
- แจ้งวัตถุประสงค์ให้ชัดเจน ต้องแจ้งให้เจ้าของข้อมูลทราบอย่างชัดเจนว่าจะเก็บข้อมูลอะไรบ้าง จะนำไปใช้เพื่อวัตถุประสงค์ใด ระยะเวลาในการจัดเก็บเท่าใด และอาจมีการเปิดเผยข้อมูลให้ใครบ้าง
- ขอความยินยอมอย่างชัดเจนและแยกส่วน แสดงเจตนาโดยชัดแจ้ง และควรแยกส่วนการขอความยินยอมออกจากข้อกำหนดและเงื่อนไขอื่น ๆ เพื่อให้เจ้าของข้อมูลรับทราบและตัดสินใจโดยเฉพาะ
- ไม่ใช้ภาษาหรือถ้อยคำที่กำกวม ใช้ภาษาที่เข้าใจง่าย ตรงไปตรงมา ไม่ทำให้เจ้าของข้อมูลเข้าใจผิดเกี่ยวกับขอบเขตและวัตถุประสงค์ของการให้ความยินยอม หลีกเลี่ยงการใช้ศัพท์เทคนิคที่ซับซ้อนหรือการเขียนที่อาจตีความได้หลายนัย
- ให้อิสระในการให้ความยินยอม เจ้าของข้อมูลต้องมีอิสระอย่างแท้จริงในการตัดสินใจว่าจะให้ความยินยอมหรือไม่ โดยต้องไม่มีเงื่อนไขเชิงบังคับหรือนำไปผูกกับบริการอื่นที่ไม่จำเป็น
- บันทึกและจัดเก็บหลักฐาน ควรมีระบบจัดเก็บบันทึกการให้ความยินยอม (และอาจรวมถึงการถอนความยินยอม) เพื่อใช้เป็นหลักฐานยืนยันได้ว่าองค์กรได้ดำเนินการอย่างถูกต้องตามกฎหมาย PDPA
Consent Form ข้อมูลส่วนบุคคล ประกอบไปด้วยอะไรบ้าง
สำหรับ Consent form หรือเอกสารขอความยินยอมข้อมูลส่วนบุคคล เป็นเอกสารสำคัญที่ใช้ในการขอ ความยินยอมจากเจ้าของข้อมูล ซึ่งรูปแบบฟอร์มอาจแตกต่างกันไป แต่โดยทั่วไปควรประกอบด้วยองค์ประกอบหลักดังนี้
- ข้อมูลผู้ควบคุมข้อมูล ชื่อและรายละเอียดการติดต่อขององค์กรที่ขอความยินยอม
- วัตถุประสงค์ ระบุอย่างชัดเจนและเฉพาะเจาะจงว่าต้องการนำข้อมูลส่วนบุคคลไปใช้เพื่ออะไรบ้าง (หากมีหลายวัตถุประสงค์ อาจต้องให้เลือกยินยอมแยกตามวัตถุประสงค์)
- ประเภทข้อมูล ระบุประเภทของข้อมูลส่วนบุคคลที่จะเก็บรวบรวม ใช้ หรือเปิดเผย
- สิทธิเจ้าของข้อมูล แจ้งสิทธิ์ในการถอนความยินยอมได้ตลอดเวลา และวิธีการถอนความยินยอมต้องทำได้ง่าย
- ระยะเวลาในการจัดเก็บข้อมูล ระบุระยะเวลาที่จะจัดเก็บข้อมูล หรือเกณฑ์ที่ใช้กำหนดระยะเวลา
- การเปิดเผยข้อมูล แจ้งให้ทราบหากจะมีการเปิดเผยข้อมูลไปยังบุคคลหรือหน่วยงานอื่น
- ช่องทางแสดงเจตนา พื้นที่ให้เจ้าของข้อมูลแสดงเจตนา เช่น ช่องทำเครื่องหมาย หรือลายเซ็น
อย่างไรก็ตาม การจัดการ Consent Form เก็บข้อมูลส่วนบุคคล เหล่านี้ รวมถึงการติดตามสถานะความยินยอม การอัปเดตเมื่อมีการเปลี่ยนแปลง และการจัดเก็บอย่างปลอดภัยถือเป็นความท้าทายสำหรับหลายองค์กร ดังนั้น การนำระบบจัดการเอกสาร จาก Ditto สามารถเข้ามาช่วยเพิ่มประสิทธิภาพในกระบวนการเหล่านี้ได้ ตั้งแต่การจัดเก็บแบบฟอร์มดิจิทัล ค้นหาเอกสาร รวมไปถึงกำหนดสิทธิ์การเข้าถึง ไปจนถึงการแก้ไขเอกสารล่าสุด ก็จะทำให้การบริหารจัดการ Consent PDPA เป็นไปอย่างมีระบบและสอดคล้องตามกฎหมายเช่นกัน
สรุปบทความ
Consent คือหัวใจสำคัญของการปฏิบัติตามกฎหมาย PDPA ซึ่งหมายถึงการที่เจ้าของข้อมูลอนุญาตให้องค์กรประมวลผลข้อมูลส่วนบุคคลของตนโดยอิสระและได้รับข้อมูลครบถ้วน ดังนั้น การขอ Consent PDPA อย่างถูกต้องไม่เพียงช่วยให้องค์กรดำเนินงานได้ตามกฎหมาย แต่ยังเสริมสร้างความน่าเชื่อถือและความสัมพันธ์ที่ดีกับลูกค้า องค์กรจึงจำเป็นต้องออกแบบกระบวนการขอความยินยอมและ Consent Form เพื่อขอความยินยอมให้ชัดเจน เข้าใจง่าย แยกส่วนและเจ้าของข้อมูลสามารถถอนความยินยอมได้สะดวก ดังนั้น การนำเทคโนโลยีอย่างระบบจัดการเอกสาร จะช่วยให้การบริหารจัดการความยินยอมมีประสิทธิภาพและลดความเสี่ยงด้านการปฏิบัติตาม PDPA ได้อย่างแน่นอน
