ตรียมความพร้อม พรบ. คุ้มครองข้อมูลส่วนบุคคล-สำหรับหน่วยงานขาย
(Personal Data Protection Guideline – PDPA)
พร้อมตัวอย่างและเอกสารแบบฟอร์ม PDPA สำเร็จรูป
หลักการและเหตุผล
แนวปฏิบัติเป็นเครื่องมือสำคัญที่ช่วยให้การดำเนินการตามกฎหมายเป็นไปอย่างสมเหตุสมผลในทางปฏิบัติ ซึ่งกฎหมายโดยทั่วไปแล้วจะบัญญัติไว้เพียงในระดับที่กำหนด “การห้าม” เป็นหลักการไว้เท่านั้น แต่ในขั้นตอนปฏิบัติย่อมไม่สามารถระบุรายละเอียดวิธีการได้โดยสมบูรณ์ จึงมีคำถามเกี่ยวกับวิธีการปฏิบัติว่าควรทำ “อย่างไร” เพื่อให้องค์กรสามารถดำเนินกิจการให้สอดคล้องกับ พรบ.คุ้มครองข้อมูลส่วนบุคคลได้
จากการที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ได้ขยายเวลาการบังคับใช้ออกไปเป็นวันที่ 1 มิถุนายน 2564 เพื่อให้หน่วยงานและองค์กรต่าง ๆ ได้มีเวลาเพิ่มขึ้นในเตรียมความพร้อมดำเนินการให้เป็นไปตามกฎหมาย ดังนั้น จำเป็นจะต้องเตรียมความพร้อมเพื่อให้มีความเข้าใจและปฏิบัติให้ถูกต้องตามสิทธิ หน้าที่และความรับผิดชอบตามกรอบกฎหมายฉบับนี้ เพราะไม่เพียงแต่ส่งผลต่อการดำเนินกิจการขององค์กรเท่านั้น ยังส่งผลต่อการปฏิบัติของหน่วยงานงานต่าง ๆ (Business Functions) โดยเฉพาะอย่างยิ่ง งานฝ่ายขายและการตลาด, งานด้านทรัพยากรบุคคล, งานด้านเทคโนโลยีสารสนเทศ, งานด้านจัดซื้อจัดจ้าง และอื่น ๆ อีกด้วย
วัตถุประสงค์
1. เพื่อสร้างความรู้ความเข้าใจเกี่ยวกับหลักการและสาระสำคัญของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
2. เพื่อสร้างความเข้าใจในกระบวนการเตรียมความพร้อมขององค์กร เพื่อให้สอดคล้องกับเงื่อนไขตามกฎหมาย อาทิ การให้ความยินยอม กระบวนการเพื่อรองรับการใช้สิทธิต่าง ๆ ของเจ้าของข้อมูล
3. สามารถจัดทำ แนวปฏิบัติเพื่อการประเมินความเสี่ยง/ผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล ตามของเขต DPIA และ ทบทวน (Review) การปฏิบัติภายในองค์กร ว่ามีความเพียงพอหรือสอดคล้องตามกฎหมายแล้วหรือไม่
4. สามารถนำความรู้ที่ได้รับไปประยุกต์ใช้ในการดำเนินงานของหน่วยงานฝ่ายขายและการตลาดได้อย่างมีประสิทธิภาพ
หัวข้อการฝึกอบรม
1. เหตุผลและความเป็นมาของ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562
2. สาระสำคัญของ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล
– ข้อมูลส่วนบุคคลคืออะไร และใครคือเจ้าของข้อมูลส่วนบุคคล
– ตัวบุคคลและบทบาทหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)
– สิทธิของเจ้าของข้อมูลส่วนบุคคล และการใช้สิทธิต่าง ๆ ตามที่กฎหมายกำหนด
– หลักการขอความยินยอม – การเก็บ – การใช้ – การเปิดเผย ข้อมูลส่วนบุคคล
– ฐานในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้โดยชอบด้วยกฎหมาย
– ความรับผิดและบทลงโทษดตามกฎหมาย ทั้งทางแพ่ง – ทางอาญา – โทษทางปกครอง
3. ขั้นตอนการเตรียมความพร้อมกับ 10 ภารกิจที่องค์กรต้องทำก่อน PDPA บังคับใช้
4. การจัดเตรียมเอกสารและแบบฟอร์มต่าง ๆ ที่จำเป็นสำหรับ PDPA อาทิ หนังสือให้ความยินยอมเกี่ยวกับข้อมูลส่วนบุคคล (Consent From) เอกสารแจ้งข้อมูลการประมวลผลข้อมูล (Privacy Notice) ข้อตกลงประมวลผลข้อมูล (Data Processing Agreement) คำร้องขอใช้สิทธิต่าง ๆ ของเจ้าของข้อมูลส่วนบุคคล (Request Form) เป็นต้น
5. แนวการทบทวน (Review) การปฏิบัติภายในองค์กร ว่ามีความเพียงพอหรือสอดคล้องตามมาตรฐาน การจัดการเกี่ยวกับข้อมูลส่วนบุคคล
6. แนวปฏิบัติการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล PDIA (Data Protection Impact Assessment) และการวิเคราะห์ความเสี่ยง/มาตรการจัดการความเสี่ยง
7. การเตรียมความพร้อมในการปฏิบัติของฝ่ายขายและการตลาด (Guideline for Marketing and Sales)
– ความสัมพันธ์ของการประมวลผลข้อมูลส่วนบุคคลและการทำการตลาด
– ข้อมูลที่ใช้ในการระบุเป้าหมายการขาย (Provided, Observed and Inferred data)
– ลักษณะของข้อมูลส่วนบุคคลตามเส้นทางการทำการตลาด
– ฐานการประมวลผลที่เกี่ยวข้องและข้อควรระวัง
– แนวการปฏิบัติสำหรับกลุ่มลูกค้าเดิมและกลุ่มลูกค้าใหม่
– การทำการตลาดแบบตรง (Direct Marketing)
– ระบบสมาชิกสะสมแต้ม (Loyalty Program)
– การใช้ข้อมูลเครือข่ายสังคมเพื่อกระตุ้นยอดขาย (Social Network)
– การโฆษณาตามพฤติกรรมออนไลน์ (Online Behavioral Advertisement)
8. ประเด็นปัญหาที่เกี่ยวข้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล ด้านการขายและการตลาด อาทิ
– การสมัครบริการแล้วขอบัตรประชาชนของลูกค้า ที่มีข้อมูลศาสนาอยู่ ถือเป็นการเก็บข้อมูลอ่อนไหวหรือไม่ แล้วต้องขอความยินยอมโดยชัดแจ้งหรือไม่
– การบันทึก VDO ถือว่าเป็นข้อมูลส่วนบุคคลหรือไม่ ถ้าเป็นแล้วจะต้องทำอย่างไร
– การกรอกข้อมูลส่วนตัวของลูกค้า จำเป็นต้องมี choice ให้เลือกหรือไม่ว่า อนุญาตหรือไม่อนุญาต เพื่อให้เปิดเผยข้อมูลกับ Third parties
– ข้อมูลอ่อนไหว ที่จำเป็นต้องการปฏิบัติตามสัญญา หากต้องขอความยินยอม สามารถกำหนดให้เป็นเงื่อนไขของการเข้าทำสัญญาได้หรือไม่ เป็นต้น
9. Workshop / กิจกรรม
– วิเคราะห์ความเสี่ยงต่อการละเมิดกฎหมายของกิจกรรมภายในหน่วยงาน
– นโยบายคุ้มครองข้อมูลส่วนบุคคล
– เอกสาร/แบบฟอร์ม PDPA ที่เกี่ยวข้อง
ผู้เข้าฝึกอบรม
นายจ้าง หน่วยงานด้านการขายและการตลาด และเจ้าหน้าที่ที่รับผิดชอบข้อมูลส่วนบุคคลที่เกี่ยวข้อง
ระยะเวลาการฝึกอบรม:
1 วัน (6 ชั่วโมง)
จำนวนผู้เข้ารับการฝึกอบรม:เวลา:
30 คน
วิธีการฝึกอบรม: บรรยาย 40% กิจกรรมการเรียนรู้ 60%
– เป็นการเรียนรู้แบบผู้ใหญ่ (Adult Learning) โดยผู้เรียนต้องเรียนรู้ด้วยตัวเอง และนำความรู้ที่ได้ไปใช้ในแนวทางของตัวเอง
– กิจกรรมการเรียนรู้
– การบรรยาย-สาธิต
– ระดมสมอง – เกมประกอบหลักสูตร – กิจกรรมกลุ่มสัมพันธ์
– การแสดงบทบาทสมมติ
– วิทยากรทำหน้าที่เพียงผู้อำนวยความสะดวกในการเรียนรู้ (Facilitator) ทำให้การพัฒนาเป็นไปตามธรรมชาติของผู้เรียนรู้นั้น ๆ
วิธีการประเมินผล
– จากแบบสอบถามและการสังเกต
– จากการสุ่มตัวอย่างทดสอบและทบทวนกลับ
– จากข้อมูลที่ได้รับและการติดตาม วิเคราะห์ประเมินผลจากนามธรรมสู่รูปธรรมจนเกิดประสิทธิผลสูงสุด