การขออนุญาตขึ้นกับสิทธิ์ส่วนบุคคล

หลายคนทักมาถามเรื่อง “แบบฟอร์มขอความยินยอม PDPA โรงเรียน (DOC)” ว่าควรมีอะไรบ้าง และอีกคำถามที่เจอบ่อยคือเคส “มหาวิทยาลัย A ใช้ข้อมูลนักศึกษาเพื่อวิเคราะห์ผลการเรียน แล้วจ้างบริษัท B ทำรายงานสรุป” แบบนี้บริษัท B เป็นใครตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) เรามาสรุปแบบเข้าใจง่ายจากมุมคนทำเอกสาร/ทำงานหน้างานกันค่ะ/ครับ 1) แบบฟอร์มขอความยินยอม PDPA โรงเรียน (DOC) ควรมีหัวข้ออะไร - ชื่อเรื่องชัดเจน: “แบบฟอร์มขอความยินยอมในการเก็บ ใช้ เปิดเผยข้อมูลส่วนบุคคล (PDPA)” - ระบุ “ผู้ควบคุมข้อมูลส่วนบุคคล” ของโรงเรียน: ชื่อโรงเรียน ที่อยู่ ช่องทางติดต่อ (และ DPO ถ้ามี) - วัตถุประสงค์การใช้ข้อมูล: เช่น ทำทะเบียนนักเรียน สื่อสารผู้ปกครอง จัดกิจกรรม ส่งภาพ/ผลงานลงเพจโรงเรียน ทำระบบเรียนออนไลน์ ฯลฯ - ประเภทข้อมูล: ข้อมูลทั่วไป (ชื่อ-สกุล เบอร์โทร รูปถ่าย) และข้อมูลอ่อนไหวถ้ามี (ศาสนา สุขภาพ) ต้องเขียนให้ชัดและระวังเป็นพิเศษ - ระยะเวลาจัดเก็บ: เก็บนานเท่าไร เก็บจนจบการศึกษา/ตามระเบียบเอกสาร - ผู้รับข้อมูล/การเปิดเผย: เช่น บริษัทผู้ให้บริการระบบทะเบียน, ระบบ LMS, ช่างภาพ, หรือหน่วยงานรัฐตามกฎหมาย - สิทธิของเจ้าของข้อมูล: ขอเข้าถึง ขอแก้ไข ขอถอนความยินยอม ขอให้ลบ/ทำลาย ฯลฯ (ย้ำว่า “จะอนุญาตหรือไม่อนุญาต เป็นสิทธิ์ของแต่ละคน”) - ช่องให้เลือก “ยินยอม/ไม่ยินยอม” แบบแยกหัวข้อ: แนะนำให้แยกยินยอมเป็นส่วน ๆ เช่น ยินยอมใช้รูปภาพเพื่อประชาสัมพันธ์ / ยินยอมรับข่าวสารทางไลน์ / ยินยอมให้ส่งต่อผู้ให้บริการระบบ - ลายเซ็นผู้ปกครอง/นักเรียน (ตามช่วงอายุ) วันที่ และช่องทางติดต่อกลับ ทิปจากประสบการณ์: ฟอร์มที่ดีควรอ่านแล้วรู้ทันทีว่า “ข้อมูลจะถูกใช้ทำอะไร” ไม่เขียนกว้าง ๆ จนเหมารวม และควรทำให้การ “ไม่ยินยอม” ไม่ทำให้เด็กเสียสิทธิ์หลักด้านการศึกษา (ยกเว้นกรณีจำเป็นตามกฎหมาย/สัญญา) 2) เคสมหาวิทยาลัย A จ้างบริษัท B วิเคราะห์ผลการเรียน: บริษัท B เป็นใครตาม PDPA? โดยหลักทั่วไป ถ้ามหาวิทยาลัย A เป็นคนกำหนด “จะเอาข้อมูลอะไร ไปทำอะไร ต้องได้ผลลัพธ์แบบไหน” และบริษัท B แค่ทำตามคำสั่งเพื่อวิเคราะห์/ประมวลผลให้ แล้วส่งรายงานกลับมา กรณีนี้บริษัท B มักเข้าข่าย “ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor)” ส่วนมหาวิทยาลัย A คือ “ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)” แต่มีข้อสังเกตสำคัญ: - ถ้าบริษัท B เอาข้อมูลไปใช้ต่อเพื่อวัตถุประสงค์ของตัวเอง (เช่น ทำโมเดลของบริษัท เก็บเป็นฐานข้อมูลของบริษัท หรือใช้ทำการตลาด) แบบนี้บริษัท B อาจกลายเป็น “ผู้ควบคุมข้อมูล” (หรือ “ผู้ควบคุมร่วม”) ได้ ไม่ใช่แค่ผู้ประมวลผล 3) เอกสาร/สัญญาที่ควรมีเมื่อจ้างบริษัท B - ทำสัญญาประมวลผลข้อมูล (DPA) หรือเงื่อนไขในสัญญาจ้าง ให้ระบุเรื่องความปลอดภัย การเก็บรักษา ระยะเวลา การลบ/คืนข้อมูล การห้ามใช้เกินวัตถุประสงค์ และการแจ้งเหตุข้อมูลรั่วไหล - ระบุสิทธิการตรวจสอบ/การทำ audit ได้ - จำกัดการเข้าถึงข้อมูล และใช้ข้อมูลเท่าที่จำเป็น (data minimization) สรุปสั้น ๆ: แบบฟอร์ม PDPA โรงเรียนที่ดีคือ “ให้เลือกยินยอม/ไม่ยินยอมได้จริง” พร้อมบอกวัตถุประสงค์ชัดเจน ส่วนเคสมหาวิทยาลัยจ้างบริษัทวิเคราะห์ผลการเรียน ส่วนใหญ่บริษัท B เป็นผู้ประมวลผลข้อมูล แต่ต้องดูว่าเขาใช้ข้อมูลต่อเพื่อวัตถุประสงค์ของตัวเองหรือไม่ด้วยค่ะ/ครับ