ส่วนที่ 1 / เนื้อหาเกณฑ์การตรวจมาตรฐาน
เกณฑ์การตรวจมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล
แนบท้ายประกาศสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
เรื่อง หลักเกณฑ์การให้ใบรับรองและเครื่องหมายรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๙
1. หลักการและเหตุผล
เพื่อให้การดำเนินการเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลขององค์กรเป็นไปอย่างมีมาตรฐานและตรวจสอบได้ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจึงกำหนดหลักเกณฑ์การให้ใบรับรองและเครื่องหมายรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล สำหรับองค์กรที่ต้องการแสดงความมุ่งมั่นในการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
2. คำนิยาม
- "เกณฑ์การตรวจมาตรฐาน" หมายถึง หลักเกณฑ์และแนวทางการตรวจประเมินมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลขององค์กร
- "องค์กรผู้ขอรับ" หมายถึง นิติบุคคลหรือองค์กรภาครัฐ/เอกชนที่ยื่นคำขอรับใบรับรอง
- "ผู้ตรวจประเมิน" หมายถึง ผู้เชี่ยวชาญที่ได้รับการรับรองจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
- "ใบรับรอง" หมายถึง เอกสารรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ออกโดยสำนักงาน
- "เครื่องหมายรับรอง" หมายถึง สัญลักษณ์ที่องค์กรได้รับอนุญาตให้ใช้แสดงการได้รับการรับรองมาตรฐาน
3. ขอบเขตและการนำไปใช้บังคับ
เกณฑ์ฉบับนี้ใช้กับองค์กรที่ประมวลผลข้อมูลส่วนบุคคลซึ่งต้องการแสดงการปฏิบัติตามมาตรฐาน ครอบคลุมการกำกับดูแลองค์กร ฐานทางกฎหมาย สิทธิเจ้าของข้อมูล มาตรการรักษาความปลอดภัย และการจัดการเหตุการณ์ละเมิดข้อมูล
4. หลักเกณฑ์การยื่นคำขอ
- องค์กรต้องจัดทำเอกสารนโยบายคุ้มครองข้อมูลส่วนบุคคลที่เป็นลายลักษณ์อักษร
- ต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) และแจ้งข้อมูลติดต่อต่อสำนักงาน
- ต้องจัดทำบันทึกรายการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activities)
- ต้องแนบผลการประเมินผลกระทบการคุ้มครองข้อมูลส่วนบุคคล (DPIA) กรณีประมวลผลความเสี่ยงสูง
5. การตรวจประเมิน
การตรวจประเมินแบ่งออกเป็น 4 หมวด ได้แก่
| หมวด | สาระสำคัญ |
|---|---|
| หมวด 1 การกำกับดูแลองค์กร | นโยบาย การแต่งตั้ง DPO และการอบรม |
| หมวด 2 การเก็บรวบรวมและฐานทางกฎหมาย | ฐานทางกฎหมาย ความยินยอม และสิทธิเจ้าของข้อมูล |
| หมวด 3 มาตรการรักษาความปลอดภัย | มาตรการทางกายภาพ เทคโนโลยี และการจำกัดการเข้าถึง |
| หมวด 4 การจัดการเหตุการณ์ละเมิดข้อมูล | แผนรับมือ การแจ้งเหตุภายใน 72 ชั่วโมง |
ผลการตรวจประเมินรายหมวดคิดเป็นร้อยละ (ผ่าน / รายการที่ประเมิน ไม่รวมรายการไม่เกี่ยวข้อง) และรวมความครบถ้วนโดยรวมของทั้ง 4 หมวด
6. การออกใบรับรองและเครื่องหมายรับรอง
- องค์กรที่ได้รับผลการประเมินครบถ้วนตามเกณฑ์จะได้รับใบรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล
- ใบรับรองมีอายุ 3 ปี นับจากวันที่ออกใบรับรอง
- องค์กรได้รับอนุญาตให้ใช้เครื่องหมายรับรองในการเผยแพร่ตามเงื่อนไขที่กำหนด
7. การเพิกถอนใบรับรอง
- สำนักงานมีอำนาจเพิกถอนใบรับรองกรณีพบว่าองค์กรให้ข้อมูลเท็จหรือละเมิดเกณฑ์อย่างร้ายแรง
- การเพิกถอนจะมีผลเมื่อได้แจ้งเป็นลายลักษณ์อักษรและครบกำหนดระยะเวลาโต้แย้ง
8. ค่าธรรมเนียม
- ค่าธรรมเนียมการยื่นคำขอ ค่าธรรมเนียมการตรวจประเมิน และค่าธรรมเนียมรายปี เป็นไปตามที่ประกาศกำหนด
- องค์กรขนาดเล็ก (SME) อาจได้รับการลดหย่อนค่าธรรมเนียมตามหลักเกณฑ์ที่สำนักงานกำหนด
เอกสารนี้เป็นสรุปเชิงโครงสร้างเพื่อการนำเสนอ โปรดอ้างอิงต้นฉบับประกาศอย่างเป็นทางการจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ส่วนที่ 2 / แบบประเมินอินเทอร์แอกทีฟ
แบบประเมินตนเองตามเกณฑ์ PDPA
วิธีตอบสไตล์ NIST — เลือกสถานะการดำเนินงานของแต่ละข้อ: ดำเนินการแล้ว (1 คะแนน) · ดำเนินการบางส่วน (0.5 คะแนน) · ยังไม่ดำเนินการ (0 คะแนน) · ไม่เกี่ยวข้อง (ตัดออกจากการคำนวณ)
ข้อมูลผู้ประเมิน
D1-01องค์กรต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ตามมาตรา ๔๑ แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ตามที่กฎหมายกำหนด
อ้างอิง: มาตรา 41 (การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล - DPO)
D1-02องค์กรต้องกำหนดอำนาจ หน้าที่ และจัดสรรทรัพยากรที่เพียงพอให้แก่ DPO เพื่อให้สามารถปฏิบัติหน้าที่ได้อย่างมีประสิทธิภาพและเป็นอิสระ
อ้างอิง: มาตรา 41 (อำนาจ หน้าที่ และการจัดสรรทรัพยากรของ DPO)
D1-03กรณีที่องค์กรไม่เข้าข่ายที่ต้องแต่งตั้ง DPO ตามกฎหมาย องค์กรต้องมอบหมายบุคลากรที่มีความเหมาะสมรับผิดชอบงานด้านการคุ้มครองข้อมูลส่วนบุคคลแทน พร้อมจัดสรรทรัพยากรให้เพียงพอที่จะดำเนินการต่าง ๆ ให้สอดคล้องกับหน้าที่ด้านการคุ้มครองข้อมูลส่วนบุคคล
อ้างอิง: มาตรา 41 วรรคสาม (กรณีไม่เข้าข่ายต้องแต่งตั้ง DPO ต้องมอบหมายบุคลากรที่เหมาะสมแทน)
D1-04องค์กรต้องกำหนดให้ DPO มีความเป็นอิสระและรายงานตรงต่อผู้บริหารระดับสูงโดยต้องไม่มีผลประโยชน์ทับซ้อนเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล
อ้างอิง: มาตรา 42 (ความเป็นอิสระและการรายงานตรงของ DPO)
D1-05องค์กรควรเปิดโอกาสให้ DPO ให้คำแนะนำแก่ผู้บริหารระดับสูงได้โดยตรง รวมถึงสามารถรายงานปัญหาในการปฏิบัติหน้าที่ด้านการคุ้มครองข้อมูลส่วนบุคคลได้อย่างอิสระ
อ้างอิง: มาตรา 41 (การเสนอคำแนะนำและรายงานปัญหาในการปฏิบัติหน้าที่ของ DPO)
D1-06องค์กรต้องจัดบุคลากรและกระบวนการสนับสนุน DPO เพื่อช่วยในการจัดการและกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคลอย่างต่อเนื่อง
อ้างอิง: มาตรา 39 และ 41 (การจัดบุคลากรและกระบวนการสนับสนุน DPO)
D1-07องค์กรต้องจัดตั้งคณะทำงานหรือคณะกรรมการกำกับดูแลด้านการคุ้มครองข้อมูลส่วนบุคคลที่ครอบคลุมถึงการดำเนินงาน การจัดทำตัวชี้วัด (KPI) รวมถึงการระบุปัญหาและความเสี่ยง สำหรับการคุ้มครองข้อมูลส่วนบุคคลขององค์กร
อ้างอิง: มาตรา 39 และ 41 (คณะทำงาน/คณะกรรมการกำกับดูแล ตัวชี้วัด ปัญหา และความเสี่ยง)
D1-08ผู้บริหารระดับสูงขององค์กรต้องพิจารณาประเด็นด้านการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูล และความเสี่ยงที่จัดทำโดยคณะทำงานอย่างสม่ำเสมอ
อ้างอิง: มาตรา 41 (การพิจารณาประเด็นการคุ้มครองข้อมูลโดยผู้บริหารระดับสูง)
D1-09องค์กรต้องมีการรายงานปัญหาการคุ้มครองข้อมูลส่วนบุคคลและการกำกับดูแลข้อมูลและความเสี่ยงใด ๆ ที่เกิดขึ้นไปยังคณะ DPO
อ้างอิง: มาตรา 39 (การรายงานปัญหาการคุ้มครองข้อมูลและความเสี่ยงไปยังคณะ DPO)
D1-10องค์กรมีการพัฒนากระบวนการและเครื่องมือเพิ่มเติมเพื่อสนับสนุนการทำงานของ DPO และ DPO มีการตรวจสอบการดำเนินการคุ้มครองข้อมูลส่วนบุคคลให้เป็นไปตามกฎหมายและประกาศที่เกี่ยวข้อง
อ้างอิง: มาตรา 37 และ 41 (การพัฒนากระบวนการและเครื่องมือสนับสนุนการทำงานของ DPO)
D1-11องค์กรต้องประกาศแต่งตั้ง DPO หรือมอบหมายบุคลากรที่มีความเหมาะสมรับผิดชอบงานด้านการคุ้มครองข้อมูลส่วนบุคคล เป็นลายลักษณ์อักษร
อ้างอิง: มาตรา 41 (การประกาศแต่งตั้ง DPO หรือการมอบหมายเป็นลายลักษณ์อักษร)
D1-12องค์กรต้องเผยแพร่ข้อมูลช่องทางการติดต่อ DPO อย่างชัดเจน ผ่านช่องทางต่าง ๆ ขององค์กร เพื่อให้ผู้ที่เกี่ยวข้องทั้งภายในและภายนอกรับทราบ
อ้างอิง: มาตรา 23 และ 41 (การเผยแพร่ช่องทางการติดต่อ DPO)
D1-13องค์กรต้องมีการตรวจสอบการปฏิบัติ ของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ว่าสอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล
อ้างอิง: มาตรา 37 (การตรวจสอบการปฏิบัติของผู้ควบคุมข้อมูลส่วนบุคคล)
สรุปผลการประเมิน
| หมวด | คะแนน | ประเมิน | ร้อยละ |
|---|---|---|---|
| กลุ่มที่ 1 ด้านที่ 1 องค์กรและการกำกับดูแล (Organization and Oversight) | 0 | 0 | — |
| กลุ่มที่ 1 ด้านที่ 2 นโยบายและแนวปฏิบัติ (Policies and Procedures) | 0 | 0 | — |
| กลุ่มที่ 2 ด้านที่ 3 การอบรมและการสร้างความตระหนักรู้ (Training and Awareness) | 0 | 0 | — |
| กลุ่มที่ 3 ด้านที่ 4 สิทธิของเจ้าของข้อมูลส่วนบุคคล (Individual Rights) | 0 | 0 | — |
| กลุ่มที่ 3 ด้านที่ 5 การแจ้งวัตถุประสงค์และความโปร่งใส (Transparency) | 0 | 0 | — |
| กลุ่มที่ 3 ด้านที่ 6 การจัดทำบันทึกรายการและฐานทางกฎหมาย (ROPA and Lawful Basis) | 0 | 0 | — |
| กลุ่มที่ 3 ด้านที่ 7 ข้อตกลงการประมวลผลข้อมูลและข้อตกลงการแบ่งปันข้อมูล (Data Sharing Agreement and Data Processing Agreement) | 0 | 0 | — |
| กลุ่มที่ 3 ด้านที่ 8 ความเสี่ยงและการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (Risk and DPIA) | 0 | 0 | — |
| กลุ่มที่ 4 ด้านที่ 9 มาตรการรักษาความมั่นคงปลอดภัย (Data Security) | 0 | 0 | — |
| กลุ่มที่ 4 ด้านที่ 10 การแจ้งเหตุการณ์ละเมิดข้อมูลส่วนบุคคล (Breach Response) | 0 | 0 | — |
| รวมทั้งหมด | 0 | 0/128 | — |
ความครบถ้วนโดยรวม: ตอบแล้ว 0 จาก 128 รายการ (รายการ "ไม่เกี่ยวข้อง" จะถูกตัดออกจากการคำนวณคะแนน)
- ยังไม่ตอบ
สัดส่วนสถานะการตอบ
ข้อเสนอแนะเบื้องต้น
- หมวด "กลุ่มที่ 1 ด้านที่ 1 องค์กรและการกำกับดูแล (Organization and Oversight)" ยังไม่ได้รับการประเมิน (ตอบ "ไม่เกี่ยวข้อง" หากใช้ไม่ได้กับองค์กร)
- หมวด "กลุ่มที่ 1 ด้านที่ 2 นโยบายและแนวปฏิบัติ (Policies and Procedures)" ยังไม่ได้รับการประเมิน (ตอบ "ไม่เกี่ยวข้อง" หากใช้ไม่ได้กับองค์กร)
- หมวด "กลุ่มที่ 2 ด้านที่ 3 การอบรมและการสร้างความตระหนักรู้ (Training and Awareness)" ยังไม่ได้รับการประเมิน (ตอบ "ไม่เกี่ยวข้อง" หากใช้ไม่ได้กับองค์กร)
- หมวด "กลุ่มที่ 3 ด้านที่ 4 สิทธิของเจ้าของข้อมูลส่วนบุคคล (Individual Rights)" ยังไม่ได้รับการประเมิน (ตอบ "ไม่เกี่ยวข้อง" หากใช้ไม่ได้กับองค์กร)
- หมวด "กลุ่มที่ 3 ด้านที่ 5 การแจ้งวัตถุประสงค์และความโปร่งใส (Transparency)" ยังไม่ได้รับการประเมิน (ตอบ "ไม่เกี่ยวข้อง" หากใช้ไม่ได้กับองค์กร)
- หมวด "กลุ่มที่ 3 ด้านที่ 6 การจัดทำบันทึกรายการและฐานทางกฎหมาย (ROPA and Lawful Basis)" ยังไม่ได้รับการประเมิน (ตอบ "ไม่เกี่ยวข้อง" หากใช้ไม่ได้กับองค์กร)
- หมวด "กลุ่มที่ 3 ด้านที่ 7 ข้อตกลงการประมวลผลข้อมูลและข้อตกลงการแบ่งปันข้อมูล (Data Sharing Agreement and Data Processing Agreement)" ยังไม่ได้รับการประเมิน (ตอบ "ไม่เกี่ยวข้อง" หากใช้ไม่ได้กับองค์กร)
- หมวด "กลุ่มที่ 3 ด้านที่ 8 ความเสี่ยงและการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (Risk and DPIA)" ยังไม่ได้รับการประเมิน (ตอบ "ไม่เกี่ยวข้อง" หากใช้ไม่ได้กับองค์กร)
- หมวด "กลุ่มที่ 4 ด้านที่ 9 มาตรการรักษาความมั่นคงปลอดภัย (Data Security)" ยังไม่ได้รับการประเมิน (ตอบ "ไม่เกี่ยวข้อง" หากใช้ไม่ได้กับองค์กร)
- หมวด "กลุ่มที่ 4 ด้านที่ 10 การแจ้งเหตุการณ์ละเมิดข้อมูลส่วนบุคคล (Breach Response)" ยังไม่ได้รับการประเมิน (ตอบ "ไม่เกี่ยวข้อง" หากใช้ไม่ได้กับองค์กร)