จัดการ DSR ยังไงไม่ให้ตกหล่น?
คำตอบสั้น ๆ คือ ต้องมีระบบรวมศูนย์รับคำร้อง มีเจ้าภาพชัดเจน และติดตามกำหนดเวลา 30 วันแบบไม่พึ่งความจำคน DSR หรือ Data Subject Request คือคำร้องที่เจ้าของข้อมูลใช้สิทธิตาม PDPA เช่น ขอเข้าถึงข้อมูล ขอให้ลบข้อมูล หรือขอถอนความยินยอม ปัญหาที่พบบ่อยที่สุดไม่ใช่การไม่รู้กฎหมาย แต่คือคำร้องเข้ามาจากหลายช่องทางพร้อมกันจนองค์กรตามไม่ทันและตอบไม่ทันกำหนดเวลา
บทความนี้จะสรุป 7 สิทธิของเจ้าของข้อมูลที่ต้องรู้ กำหนดเวลาที่พลาดไม่ได้ สาเหตุที่ DSR มักตกหล่น และ checklist วางระบบให้ไม่มีคำร้องไหนหลุดมืออีก
DSR คืออะไร ทำไมองค์กรถึงตกหล่นบ่อย
DSR (Data Subject Request) คือคำร้องขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตาม PDPA ซึ่งองค์กรในฐานะผู้ควบคุมข้อมูลมีหน้าที่ต้องตอบสนองภายในเวลาที่กฎหมายกำหนด สาเหตุที่หลายองค์กรจัดการ DSR ได้ไม่ครบไม่ใช่เพราะไม่รู้ว่าต้องทำ แต่เพราะคำร้องสามารถเข้ามาได้จากหลายช่องทางพร้อมกัน ทั้งอีเมล แบบฟอร์มบนเว็บไซต์ LINE Official Account คอลเซ็นเตอร์ หรือแม้แต่ข้อความที่พิมพ์มาทางโซเชียลมีเดีย เมื่อไม่มีระบบรวมศูนย์ คำร้องบางฉบับจึงตกหล่นไปโดยไม่มีใครสังเกตจนเลยกำหนดเวลาตอบกลับ
7 สิทธิของเจ้าของข้อมูลที่องค์กรต้องรู้
ก่อนวางระบบจัดการ DSR ต้องเข้าใจก่อนว่าเจ้าของข้อมูลมีสิทธิอะไรบ้างตาม PDPA
- สิทธิได้รับการแจ้งให้ทราบ เจ้าของข้อมูลมีสิทธิรู้ว่าข้อมูลของตนถูกเก็บ ใช้ หรือเปิดเผยเพื่อวัตถุประสงค์ใด
- สิทธิขอเข้าถึงข้อมูล สามารถขอเข้าถึงและขอสำเนาข้อมูลส่วนบุคคลของตน หรือขอให้เปิดเผยว่าข้อมูลนั้นได้มาอย่างไร
- สิทธิขอให้แก้ไขข้อมูล ให้ข้อมูลที่ไม่ถูกต้องหรือไม่เป็นปัจจุบันได้รับการแก้ไขให้ถูกต้อง
- สิทธิขอให้โอนข้อมูล (Data Portability) ขอรับข้อมูลของตนในรูปแบบที่อ่านได้ด้วยเครื่อง หรือขอให้ส่งต่อไปยังผู้ควบคุมข้อมูลรายอื่น
- สิทธิคัดค้านการประมวลผล คัดค้านการเก็บ ใช้ หรือเปิดเผยข้อมูลในบางกรณี เช่น เพื่อการตลาดโดยตรง
- สิทธิขอให้ลบหรือทำลายข้อมูล ขอให้ลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้ เมื่อหมดความจำเป็นในการเก็บ
- สิทธิขอให้ระงับการใช้ข้อมูล ขอให้ระงับการประมวลผลข้อมูลชั่วคราวในบางสถานการณ์ เช่น ระหว่างรอการตรวจสอบความถูกต้องของข้อมูล
นอกจากนี้เจ้าของข้อมูลยังมีสิทธิถอนความยินยอมได้ตลอดเวลา ซึ่งมักเกิดขึ้นควบคู่กับการยื่นคำร้อง DSR ประเภทอื่น
กำหนดเวลา 30 วัน ที่พลาดไม่ได้
เมื่อองค์กรได้รับคำร้อง DSR จากเจ้าของข้อมูล ต้องดำเนินการตอบสนองภายใน 30 วันนับจากวันที่ได้รับคำร้อง หากไม่สามารถดำเนินการให้แล้วเสร็จภายในกรอบเวลานี้ องค์กรมีหน้าที่ต้องแจ้งเจ้าของข้อมูลถึงความจำเป็นที่ต้องขยายเวลาออกไป พร้อมเหตุผลประกอบ การนิ่งเฉยหรือปล่อยให้คำร้องเงียบหายไปโดยไม่ตอบกลับเลยคือความเสี่ยงที่สูงที่สุด เพราะถือเป็นการไม่ปฏิบัติตามหน้าที่ของผู้ควบคุมข้อมูลตามกฎหมาย
ทำไม DSR ถึงตกหล่น 3 สาเหตุหลัก
1. คำร้องเข้ามาจากหลายช่องทางโดยไม่มีจุดรวมศูนย์
เมื่อคำร้องกระจายอยู่ในอีเมลของหลายแผนก แชทลูกค้า และแบบฟอร์มเว็บไซต์ โดยไม่มีระบบรวมข้อมูลไว้ที่เดียว โอกาสที่คำร้องบางฉบับจะถูกมองข้ามจึงสูงมาก โดยเฉพาะเมื่อพนักงานที่รับคำร้องไม่รู้ว่าต้องส่งต่อให้ใคร
2. ไม่มีระบบติดตามกำหนดเวลาอัตโนมัติ
หลายองค์กรยังใช้วิธีจดบันทึกด้วยมือหรือ Excel ซึ่งไม่มีการแจ้งเตือนเมื่อใกล้ครบกำหนด 30 วัน ทำให้พลาดกำหนดเวลาโดยไม่รู้ตัวจนกว่าลูกค้าจะทวงถามหรือร้องเรียนไปยัง PDPC โดยตรง
3. ไม่มีเจ้าภาพชัดเจนในการตัดสินใจ
DSR บางประเภทต้องอาศัยการตัดสินใจร่วมกันระหว่างทีมกฎหมาย ทีม IT และเจ้าของระบบข้อมูล เช่น การลบข้อมูลที่เชื่อมโยงกับหลายระบบ หากไม่มีคนกลางที่รับผิดชอบประสานงานให้จบภายในเวลา คำร้องจะค้างอยู่ระหว่างแผนกโดยไม่มีใครปิดงานให้เสร็จ
Checklist วางระบบจัดการ DSR ไม่ให้ตกหล่น
- รวมช่องทางรับคำร้องไว้ที่จุดเดียว ไม่ว่าคำร้องจะมาจากช่องทางไหน ให้มีระบบกลางที่บันทึกคำร้องทุกฉบับเข้ามาไว้ในที่เดียวกันเสมอ
- ติดสัญญาณนับถอยหลัง 30 วันให้ทุกคำร้อง พร้อมแจ้งเตือนล่วงหน้าก่อนครบกำหนดอย่างน้อย 2 ครั้ง เพื่อให้ทีมมีเวลาดำเนินการหรือแจ้งขยายเวลาทัน
- กำหนดเจ้าภาพและ workflow อนุมัติที่ชัดเจน ระบุว่า DSR แต่ละประเภทต้องผ่านใครบ้างก่อนปิดงาน เพื่อลดเวลาที่คำร้องค้างอยู่ระหว่างแผนก
- เก็บประวัติการดำเนินการทุกคำร้องไว้เป็นหลักฐาน ทั้งวันที่ได้รับคำร้อง วันที่ตอบกลับ และผลการดำเนินการ เพื่อพร้อมแสดงต่อ PDPC หากถูกตรวจสอบ
- ทบทวนคำร้องที่ค้างอยู่เป็นประจำทุกสัปดาห์ แทนที่จะรอให้ใกล้ครบกำหนดแล้วค่อยเร่งดำเนินการ
คำถามที่พบบ่อย
ถ้าตอบ DSR ไม่ทัน 30 วัน มีความผิดไหม?
การไม่ตอบกลับเลยหรือปล่อยให้เกินกำหนดโดยไม่แจ้งเหตุผลถือเป็นความเสี่ยงสูง แต่หากมีความจำเป็นต้องขยายเวลา องค์กรสามารถแจ้งเจ้าของข้อมูลถึงเหตุผลความจำเป็นนั้นได้ สิ่งสำคัญคือต้องมีการสื่อสารกับเจ้าของข้อมูลเสมอ ไม่ปล่อยให้คำร้องเงียบหายไป
ธุรกิจขนาดเล็กที่ไม่มีทีมกฎหมายต้องทำ DSR เองไหม?
ใช่ ไม่ว่าธุรกิจจะมีทีมกฎหมายหรือไม่ ก็มีหน้าที่ตอบสนอง DSR ตามกฎหมายเช่นกัน สิ่งที่ช่วยได้คือการใช้เครื่องมือที่มี template และ workflow สำเร็จรูป เพื่อให้ทีมเล็ก ๆ จัดการได้โดยไม่ต้องมีผู้เชี่ยวชาญกฎหมายประจำ
ทุกคำร้องต้องดำเนินการให้ตามที่ขอเสมอไปหรือไม่?
ไม่เสมอไป องค์กรสามารถปฏิเสธคำร้องได้ในบางกรณีตามข้อยกเว้นของกฎหมาย เช่น ขัดต่อกฎหมายอื่นหรือคำสั่งศาล แต่ต้องแจ้งเหตุผลของการปฏิเสธนั้นให้เจ้าของข้อมูลทราบอย่างชัดเจนภายในกรอบเวลาเดียวกัน
สรุป: DSR ไม่ตกหล่น ต้องอาศัยระบบ ไม่ใช่ความจำคน
การจัดการ DSR ให้ครบถ้วนไม่ได้ขึ้นอยู่กับว่าองค์กรมีทีมกฎหมายใหญ่แค่ไหน แต่ขึ้นอยู่กับว่ามีระบบรวมศูนย์รับคำร้อง มีการติดตามกำหนดเวลาอัตโนมัติ และมีเจ้าภาพชัดเจนหรือไม่ ยิ่งจำนวนคำร้องเพิ่มขึ้นตามความตื่นตัวเรื่องสิทธิข้อมูลส่วนบุคคลของคนไทย องค์กรที่ยังพึ่งพาการจดบันทึกด้วยมือจะยิ่งเสี่ยงตกหล่นมากขึ้นเรื่อย ๆ
หากต้องการระบบ DSR Management ที่รวมคำร้องจากทุกช่องทาง ติดตามกำหนดเวลาอัตโนมัติ และเก็บหลักฐานครบถ้วนพร้อมตรวจสอบ t-reg พร้อมช่วยให้ธุรกิจไทยจัดการสิทธิเจ้าของข้อมูลได้ครบทุกคำร้อง ไม่พลาดกำหนดเวลา
ติดต่อผู้เชี่ยวชาญจาก t-reg วันนี้ เพื่อสร้างอนาคตที่ขับเคลื่อนด้วยความเชื่อมั่น
โทร 02-096-3585
รับชมบริการของเราได้ที่ t-reg.co
