# PDPA One-pager

## ที่มา

หลังจากที่มีการเลื่อนการบังคับใช้ [พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
(Personal Data Protection Act)](https://pdpa.sidata.plus) เพื่อให้องค์กรต่าง ๆ ที่มีการประมวลผลข้อมูลส่วนบุคคล มีเวลาเตรียมกระบวนการทำงานในองค์กรให้พร้อม ก่อนที่กฎหมายจะมีผลบังคับใช้ทั้งฉบับ วันที่ 1 มิถุนายน 2565 นี้ 

เป็นที่แน่นอนว่า องค์กรต้องให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคล แต่ก็ปฏิเสธไม่ได้ว่า พ.ร.บ.นี้ มีรายละเอียดที่ต้องศึกษาไม่น้อยเลย โดย PDPA มีถึง 96 มาตรา และยังมีประกาศที่จะตามมารวมถึงกฎหมายอื่นที่เกี่ยวข้องอีก 

คณะแพทยศาสตร์ศิริราชพยาบาล ก็เป็นองค์กรหนึ่งที่จะต้องดำเนินการตาม PDPA เพื่อให้การทำงานตามกฎหมายนี้ที่ศิริราช เป็นระเบียบ สื่อสาร ถ่ายทอดได้เข้าใจตรงกัน ทีม SiData+ จึงได้ทำการศึกษาและสรุปการทำงานเกือบทั้งหมดไว้ใน 1 หน้า

### Privacy Program Framework

เนื่องจากว่า Data Privacy เป็นประเด็นที่ได้รับความสนใจในระดับสากล [หลาย ๆ ประเทศมีกฎหมายบังคับใช้แล้ว](https://iapp.org/resources/global-privacy-directory/) จึงมีต้นแบบการจัดการ Data Privacy Programs/Standards ให้เรานำมาเป็นตัวอย่างการ implement ในองค์กรได้ เช่น

- [NIST Privacy Framework](https://www.nist.gov/privacy-framework/privacy-framework) และ [Crosswalks เปรียบเทียบกับ Frameworks อื่น ๆ](https://www.nist.gov/privacy-framework/resource-repository/browse/crosswalks)
- [ISO 27701](https://www.iso.org/standard/71670.html)
- [TrustArc Privacy & Data Governance Accountability Framework](https://trustarc.com/trustarc-privacy-data-governance-accountability-framework/)
- [International Association of Privacy Professional (IAPP) Certified Information Privacy Manager (CIPM) Privacy Program Framework](https://iapp.org/media/pdf/certification/CIPM_BOK_3.0.0.pdf) 

ซึ่งศิริราชเลือกใช้ IAPP CIPM Privacy Program Framework มาเป็นแนวทางใน implement PDPA ขององค์กร ซึ่งแบ่งออกเป็น 4 Phases กิจกรรม ดังนี้

1. Assess: ประเมินสถานะ
2. Protect: ปฏิบัติงานคุ้มครอง
3. Sustain: สร้างความต่อเนื่อง
4. Respond: จัดการและตอบสนอง

## อ่านภาพสรุปนี้อย่างไร


![pdpa-one-pager-v.2.2.0](https://cdn.hashnode.com/res/hashnode/image/upload/v1647967179813/aC52l1gkt.png)
*[Download Full Size Image](https://cdn.hashnode.com/res/hashnode/image/upload/v1647967179813/aC52l1gkt.png)*

*อาจจะเริ่มจากด้านซ้ายบน ลงล่าง ไปขวา ขึ้นบน*

ทางด้านซ้าย ยกตัวอย่าง กลุ่มเจ้าของข้อมูลส่วนบุคคล (Data Subject Types) ซึ่งข้อมูลของแต่ละกลุ่มก็อาจจะอยู่ใน Data Formats ต่าง ๆ เมื่อนำมาประกอบกันจึงเป็นข้อมูลส่วนบุคคล (Personal Data) 

การพิจารณาตามกฎหมาย (Unit of Analysis) ให้นำ Data และวัตถุประสงค์การใช้ Data นั้น (Purpose) มาพิจารณาประกอบกัน ซึ่ง 1 ชุด Data อาจมีหลาย Purposes ก็พิจารณาเป็น Unit of Analysis แยกกัน

แน่นอนว่า เมื่อมีการนำ Data มาประมวลผลในองค์กร ก็จะต้องมีการจัดการความปลอดภัย (Security Measures) ตาม[พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562](http://www.ratchakitcha.soc.go.th/DATA/PDF/2562/A/069/T_0020.PDF) เปรียบเสมือนรั้วขององค์กร

กลับมาที่ Unit of Analysis องค์กรก็จะต้องพิจารณากฎหมายที่เกี่ยวข้อง และฐานทางกฎหมาย (Lawful Bases) 7 ฐาน ที่ PDPA ให้ใช้ในการประมวลผลข้อมูล เปรียบเสมือนฐานของบ้าน ก่อนจะทำนำข้อมูลไปใช้ได้

มาที่ชั้นล่างของบ้าน สรุปกิจกรรมที่องค์กรต้องทำ 4 หมวดตาม IAPP CIPM Privacy Program Framework ซึ่งจะมีรายการกิจกรรมย่อย ๆ ที่องค์กรต้องจัดให้มี ตามที่กฎหมายกำหนดไว้ ถ้าหากองค์กรไม่ทำก็อาจได้รับโทษทางปกครอง ทางอาญา ทางแพ่ง ได้

ขึ้นที่ชั้นบนของบ้าน สรุปกิจกรรมที่คนในองค์กรและผู้ใดที่ได้รับมอบหมายให้ประมวลผลข้อมูลขององค์กร จะต้องทำตาม Data Life Cycle 5 ระยะ ตั้งแต่ เก็บรวบรวม จนถึง ทำลาย

การจะทำให้เกิด Operational Compliance ในองค์กรได้ก็จะต้องมีการกำหนดนโยบาย โครสร้างการบริหารจัดการ (Governance Structure) และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer หรือ DPO) หากองค์กรเข้าเงื่อนไขตาม[กฎหมาย](https://pdpa.sidata.plus/?stackedPages=%2Farticle-41)

หลักการที่สำคัญที่ต้องคำนึงถึงเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล (Data Protection/Privacy Principles) มีอยู่ 7 ประการ ที่มีต้นแบบมาจาก GDPR ตามที่ปรากฎในหลังคาบ้าน 

และสิทธิของเจ้าของข้อมูลส่วนบุคคล (Data Subject Rights) ตามที่ปรากฎในกระดาษทางด้านขวาสุดของภาพ


### Version มีมาตรากฎหมายประกอบ


![pdpa-one-pager-v.2.2.0-with-articles](https://cdn.hashnode.com/res/hashnode/image/upload/v1647967222315/Kx9mVPPZz.png)
*[Download Full Size Image](https://cdn.hashnode.com/res/hashnode/image/upload/v1647967222315/Kx9mVPPZz.png)*

แถมอีก 1 version ระบุมาตราตาม [พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
(Personal Data Protection Act)](https://pdpa.sidata.plus) ใช้สำหรับอ้างอิงและอ่านรายละเอียดเพิ่มเติมได้

*หวังว่าสรุปนี้จะเป็นประโยชน์ในการเตรียมความพร้อม PDPA ในองค์กรของท่านนะครับ 😄*