หลักสูตร PDPA Implementation Training Boot Camp

Practical Personal Data Protection Implementation & DPO in Action

ระยะเวลา: 5 วัน

เวลา: 10:00–17:00 น.

รูปแบบ: Online Training ผ่าน Google Meet

จำนวนผู้เข้าอบรม: จำกัดจำนวน 7 ท่าน

1. วัตถุประสงค์ของหลักสูตร

หลักสูตรนี้จัดทำขึ้นเพื่อให้ผู้เข้าอบรมสามารถนำข้อกำหนดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ไปประยุกต์ใช้และพัฒนาเป็นกระบวนการปฏิบัติงานภายในองค์กรได้จริง โดยมุ่งเน้นการเชื่อมโยงระหว่างข้อกำหนดด้านการคุ้มครองข้อมูลส่วนบุคคล กระบวนการทางธุรกิจ การบริหารความเสี่ยง มาตรการควบคุม และหลักฐานที่ใช้แสดงถึงการปฏิบัติตามข้อกำหนด

ผู้เข้าอบรมจะได้เรียนรู้และฝึกปฏิบัติตั้งแต่การวางโครงสร้าง PDPA Governance การสำรวจและจัดทำบัญชีข้อมูลส่วนบุคคล การจัดทำ Records of Processing Activities (RoPA) และ Data Flow การกำหนดวัตถุประสงค์และฐานกฎหมาย การจัดทำ Privacy Notice และ Consent Management การรองรับสิทธิของเจ้าของข้อมูล การกำหนดระยะเวลาการเก็บรักษาและการทำลายข้อมูล การบริหาร Data Processor และ Third Party การจัดการเหตุละเมิดข้อมูลส่วนบุคคล การจัดทำ Data Protection Impact Assessment (DPIA) ตลอดจนการติดตามและประเมินความพร้อมด้าน PDPA Compliance

หลักสูตรยังครอบคลุมการฝึกปฏิบัติในบทบาท Data Protection Officer (DPO) ผ่านสถานการณ์จำลองที่ผู้เรียนต้องวิเคราะห์ข้อมูลและหลักฐาน จัดลำดับความสำคัญ ให้คำแนะนำ Challenge หน่วยงานที่เกี่ยวข้อง Escalate ประเด็นสำคัญ และรายงานต่อฝ่ายบริหารภายใต้สถานการณ์ที่มีข้อมูลไม่ครบถ้วนและมีข้อจำกัดด้านเวลา

2. เนื้อหาหลักสูตรโดยสังเขป

Day 1 — PDPA Governance, Data Discovery & Processing Activities

• ภาพรวม PDPA ในมุมมองของการนำไปปฏิบัติภายในองค์กร

• Accountability และโครงสร้าง PDPA Governance

• บทบาทและความรับผิดชอบของ Data Controller, Data Processor, DPO และหน่วยงานที่เกี่ยวข้อง

• การกำหนด Privacy Roles & Responsibilities

• การระบุ Personal Data และ Sensitive Personal Data

• การสำรวจ Processing Activities ภายในองค์กร

• Personal Data Inventory

• Records of Processing Activities (RoPA)

• Purpose of Processing และ Categories of Personal Data

• การระบุ Data Subject, Data Source, Data Recipient และ Processing System

• การจัดทำ Data Flow Mapping

• การติดตามวงจรข้อมูลตั้งแต่ Collection, Use, Storage, Sharing, Retention จนถึง Disposal

• Workshop: Personal Data Discovery

• Workshop: Build a Personal Data Inventory & RoPA

• Workshop: Data Flow Mapping

Day 2 — Lawful Basis, Privacy Notice, Consent & Data Subject Rights

• การกำหนด Purpose of Processing

• การวิเคราะห์และกำหนด Lawful Basis

• Consent, Contract, Legal Obligation, Vital Interests, Public Task และ Legitimate Interests

• การประมวลผล Sensitive Personal Data

• การจัดทำ Lawful Basis Assessment

• Privacy Notice Requirements

• Employee, Customer, Applicant และ Service Privacy Notice

• การเชื่อมโยง Privacy Notice กับ Processing Activities และ RoPA

• Consent Management และ Consent Lifecycle

• การจัดเก็บหลักฐาน Consent และการถอน Consent

• Data Subject Rights Management

• การรับและตรวจสอบ Data Subject Request (DSR)

• Identity Verification

• การค้นหาและรวบรวมข้อมูล

• การพิจารณาคำขอและข้อจำกัดในการใช้สิทธิ

• การตอบกลับและจัดเก็บหลักฐานการดำเนินการ

• Workshop: Lawful Basis Assessment

• Workshop: Privacy Notice & Consent Review

• Workshop: Data Subject Rights Simulation

Day 3 — Data Retention, Processor, Third Party, Security & Personal Data Breach

• หลักการกำหนด Data Retention

• Legal, Regulatory และ Business Retention Requirements

• Retention Trigger และ Retention Period

• Secure Disposal และ Disposal Evidence

• การจัดทำ Data Retention Schedule

• ความสัมพันธ์ระหว่าง Data Controller และ Data Processor

• Processor / Third-Party Privacy Due Diligence

• Data Processing Agreement (DPA)

• การบริหาร Sub-Processor

• Data Return และ Secure Destruction

• Cross-Border Data Transfer

• การติดตามและทบทวน Data Processor

• มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

• Access Control, Least Privilege, Encryption, Logging และ Secure Transfer

• Personal Data Breach Management

• Breach Identification, Triage, Containment และ Investigation

• การประเมินผลกระทบและความเสี่ยงต่อเจ้าของข้อมูล

• การพิจารณาการแจ้งเหตุและการสื่อสารกับผู้เกี่ยวข้อง

• Lessons Learned และ Corrective Action

• Workshop: Build a Data Retention Schedule

• Workshop: Processor & Third-Party Assessment

• Workshop: Personal Data Breach Simulation

Day 4 — DPIA, Compliance Monitoring & End-to-End PDPA Implementation

• ความรู้และหลักการเกี่ยวกับ Data Protection Impact Assessment (DPIA)

• DPIA Screening และการระบุ High-Risk Processing

• การวิเคราะห์ Necessity และ Proportionality

• การระบุ Privacy Risk

• การประเมินผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูล

• Existing Controls และ Additional Controls

• Residual Risk และ Risk Treatment

• การทบทวนและอนุมัติ DPIA

• PDPA Compliance Monitoring

• การกำหนด Compliance Control และ Control Owner

• Evidence Requirements และ Evidence Management

• Privacy Risk Register

• Compliance Findings และ Corrective Action

• Issue Tracking และ Management Reporting

• การเตรียมความพร้อมสำหรับ Compliance Assessment และ Internal Audit

• Workshop: DPIA Screening

• Workshop: Conduct a DPIA

• Workshop: PDPA Compliance & Evidence Assessment

• Final Workshop: End-to-End PDPA Implementation Simulation

Day 5 — DPO IN ACTION: The Privacy Crisis Room

• ฝึกปฏิบัติแบบ Mission-Based Simulation โดยผู้เข้าอบรมจะรับบทเป็น DPO และทีมที่เกี่ยวข้องในการจัดการสถานการณ์ด้านการคุ้มครองข้อมูลส่วนบุคคลที่เกิดขึ้นจริงภายในองค์กร

3. กลุ่มผู้เหมาะสมเข้าร่วม

เหมาะสำหรับ Data Protection Officer (DPO), Privacy Team, Compliance, Legal, Risk Management, Internal Audit, Internal Control, IT, Information Security, HR, Marketing, Procurement, Data Owner, Process Owner, System Owner ผู้บริหารและผู้จัดการที่มีหน้าที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล รวมถึงผู้ที่รับผิดชอบการนำ PDPA ไปปฏิบัติภายในองค์กร

ผู้เข้าอบรมควรมีความรู้พื้นฐานเกี่ยวกับ PDPA หรือเคยผ่านการอบรม PDPA Awareness หรือหลักสูตรพื้นฐานมาก่อน เนื่องจากหลักสูตรนี้เน้นการนำข้อกำหนดไปปฏิบัติ การวิเคราะห์ Case และการตัดสินใจจากสถานการณ์จำลองมากกว่าการอธิบายกฎหมายในระดับเบื้องต้น

4. การวัดผล

ประเมินผลจากแบบทดสอบ การมีส่วนร่วมใน Workshop การวิเคราะห์สถานการณ์ การจัดทำ Working Documents และการปฏิบัติใน Mission-Based Simulation

การประเมินมุ่งเน้นความสามารถในการนำข้อกำหนด PDPA ไปใช้กับสถานการณ์จริง การวิเคราะห์ Processing Activity และ Privacy Risk การระบุและประเมินหลักฐาน การกำหนดมาตรการควบคุม การจัดทำ Recommendation และการสื่อสารหรือ Escalate ประเด็นต่อผู้เกี่ยวข้องอย่างเหมาะสม

สำหรับ DPO in Action จะให้ความสำคัญกับหลัก Evidence-Based Decision Making โดยผู้เข้าอบรมต้องไม่สรุปประเด็นที่ไม่มีหลักฐานรองรับ และต้องสามารถระบุได้ว่าข้อมูลหรือหลักฐานใดเพิ่มเติมที่จำเป็นต่อการประเมิน

5. ผลที่ได้รับจากการอบรม

ผู้เข้าอบรมจะสามารถนำหลักการและข้อกำหนดด้านการคุ้มครองข้อมูลส่วนบุคคลไปพัฒนาเป็นกระบวนการปฏิบัติงานภายในองค์กรได้ ตั้งแต่การจัดทำ Personal Data Inventory, RoPA และ Data Flow การวิเคราะห์ Lawful Basis การจัดทำ Privacy Notice และ Consent Management การบริหาร Data Subject Rights การกำหนด Data Retention การควบคุม Data Processor และ Third Party การจัดการ Personal Data Breach และการดำเนินการ DPIA

ผู้เข้าอบรมจะเข้าใจวิธีจัดเตรียม Compliance Evidence ติดตาม Privacy Risk และ Corrective Action รวมถึงสามารถประเมินสถานการณ์ที่มีข้อมูลไม่ครบถ้วน แยกข้อเท็จจริงออกจากข้อสันนิษฐาน และจัดทำข้อเสนอแนะที่มีหลักฐานรองรับ

สำหรับผู้ที่ปฏิบัติหน้าที่ DPO หรือเกี่ยวข้องกับ DPO Function จะได้ฝึกการให้คำแนะนำ การ Challenge หน่วยงานที่เกี่ยวข้อง การจัดการ DSR และ Data Breach การตรวจสอบ Processor และ DPIA การ Escalate ประเด็นสำคัญ และการรายงาน Privacy Risk ต่อ Management และ Board ผ่านสถานการณ์จำลองที่ใกล้เคียงกับการปฏิบัติงานจริง

6. ค่าธรรมเนียมการออกใบประกาศนียบัตร

Certificate of Completion ค่าธรรมเนียมปกติ: 25,000 บาท