คำตอบสั้น: สำนักงานทนายความเป็น "ผู้ควบคุมข้อมูลส่วนบุคคล" ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) เพราะเก็บข้อมูลลูกความ คู่ความ และพยาน ข้อมูลหลายอย่างเป็นข้อมูลอ่อนไหว เช่น ประวัติอาชญากรรมและข้อมูลสุขภาพ (มาตรา 26) สิ่งที่ต้องมีขั้นต่ำ: แจ้งวัตถุประสงค์ต่อลูกความ จำกัดคนเข้าถึง มีมาตรการรักษาความปลอดภัย บันทึกรายการประมวลผล (มาตรา 39) และแจ้งเหตุข้อมูลรั่วต่อสำนักงานคณะกรรมการฯ ภายใน 72 ชั่วโมง (มาตรา 37) ฝ่าฝืนอาจถูกปรับทางปกครองสูงสุด 5 ล้านบาท
เช้าวันจันทร์ ทนายปิยะ (นามสมมุติ) เปิดคอมพิวเตอร์ที่สำนักงานแล้วพบว่าโน้ตบุ๊กของพนักงานธุรการหายไปจากร้านกาแฟตั้งแต่เมื่อวาน
ในเครื่องมีไฟล์ Excel รายชื่อลูกความสามร้อยคน พร้อมเลขบัตรประชาชน เบอร์โทร และสรุปคดี บางคดีเป็นคดียาเสพติด บางคดีเป็นคดีครอบครัวที่มีรายละเอียดสุขภาพจิตของคู่สมรส
คำถามแรกที่ทนายปิยะคิดไม่ใช่ "จะหาโน้ตบุ๊กคืนยังไง" แต่เป็น "ต้องแจ้งใครบ้าง และภายในกี่ชั่วโมง"
ทำไม PDPA ถึงหนักกว่าสำหรับสำนักงานทนาย
สำนักงานทนายเก็บข้อมูลที่ละเอียดอ่อนกว่าธุรกิจทั่วไปมาก
- ข้อมูลทั่วไป ชื่อ เลขบัตร ที่อยู่ เบอร์ บัญชีธนาคาร
- ข้อมูลอ่อนไหว (มาตรา 26) ประวัติอาชญากรรม ข้อมูลสุขภาพ ความเชื่อทางศาสนา ข้อมูลชีวภาพ ซึ่งมีเงื่อนไขการเก็บและใช้เข้มกว่า
- ข้อมูลของคนที่ไม่ใช่ลูกความ คู่ความฝ่ายตรงข้าม พยาน ญาติ
PDPA มีข้อยกเว้นให้ใช้ข้อมูลอ่อนไหวได้เมื่อจำเป็นเพื่อก่อตั้ง ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย ซึ่งตรงกับงานคดี แต่ ข้อยกเว้นไม่ได้ยกเว้นหน้าที่รักษาความปลอดภัย สำนักงานยังต้องดูแลข้อมูลให้ปลอดภัยเสมอ
เช็กลิสต์ PDPA ขั้นต่ำสำหรับสำนักงานทนาย
1. แจ้งลูกความว่าเก็บข้อมูลอะไร เพื่ออะไร
มีประกาศความเป็นส่วนตัวหรือข้อความในสัญญาจ้างว่าความ ระบุข้อมูลที่เก็บ วัตถุประสงค์ ระยะเวลาเก็บ และสิทธิของเจ้าของข้อมูล
2. จำกัดคนเข้าถึง
ทนายและพนักงานควรเห็นเฉพาะคดีที่ตัวเองรับผิดชอบ ไม่ใช่ทุกคนเห็นทุกแฟ้ม แยกสิทธิ์ตามหน้าที่ เช่น บัญชีเห็นการเงินแต่ไม่เห็นรายละเอียดคดี
3. มีมาตรการรักษาความปลอดภัย (มาตรา 37)
- ไม่เก็บข้อมูลลูกความเป็นไฟล์กระจายในโน้ตบุ๊กหรือแฟลชไดรฟ์ส่วนตัว
- ตั้งรหัสผ่านที่แข็งแรงและยืนยันตัวตน 2 ขั้น
- บันทึกว่าใครเปิดหรือแก้ข้อมูลอะไร เมื่อไร
- สำรองข้อมูลสม่ำเสมอ และเก็บชุดสำรองไว้อีกที่หนึ่ง
4. บันทึกรายการกิจกรรมการประมวลผล (ROPA, มาตรา 39)
ทำตารางว่าเก็บข้อมูลประเภทใด จากใคร เพื่ออะไร เก็บนานแค่ไหน ส่งต่อให้ใคร เช่น ศาล หรือผู้เชี่ยวชาญ
5. เตรียมแผนรับมือข้อมูลรั่ว
เมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ภายใน 72 ชั่วโมง นับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล ถ้ามีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลด้วย
6. ตรวจผู้ให้บริการภายนอก
ถ้าใช้โปรแกรมหรือคลาวด์ของผู้ให้บริการ ผู้ให้บริการเป็น "ผู้ประมวลผลข้อมูล" สำนักงานต้องรู้ว่าข้อมูลเก็บที่ไหน ใครเข้าถึงได้ และมีข้อตกลงการประมวลผลข้อมูล
เก็บข้อมูลไว้ที่ไหนดี: คลาวด์ หรือในสำนักงาน
ทั้งสองแบบทำให้สอดคล้อง PDPA ได้ ขึ้นกับนโยบายของสำนักงาน
| ออนไลน์ (คลาวด์) | ติดตั้งในสำนักงาน | |
|---|---|---|
| ข้อมูลอยู่ที่ | เซิร์ฟเวอร์ของผู้ให้บริการ | เครื่องของสำนักงานเอง |
| ผู้ดูแลความปลอดภัยเครื่อง | ผู้ให้บริการ | สำนักงาน (หรือทีมไอทีที่จ้าง) |
| การสำรองข้อมูล | ผู้ให้บริการดูแล | อัตโนมัติในเครื่อง + ควรมีชุดสำรองอีกที่ |
| เหมาะกับ | สำนักงานที่ทำงานนอกออฟฟิศบ่อย | สำนักงานที่นโยบายกำหนดให้ข้อมูลไม่ออกนอกสำนักงาน |
ENT Legal Hub มีทั้งสองแบบ เวอร์ชันติดตั้งในสำนักงานเก็บฐานข้อมูลคดี ลูกความ เอกสาร และชุดสำรองไว้ในเครื่องของสำนักงานทั้งหมด สิ่งเดียวที่ส่งมาที่ ENT Group คือการตรวจสิทธิ์ใช้งาน (ดูเวอร์ชันติดตั้งในสำนักงาน) และถ้าต้องการเครื่อง การสำรองข้อมูล และคนดูแล ดูได้ที่ อุปกรณ์และบริการไอที
ระบบช่วยเรื่อง PDPA ได้อย่างไร
- สิทธิ์ตามบทบาท หุ้นส่วน ทนาย ธุรการ บัญชี เห็นเฉพาะส่วนที่ต้องใช้
- บันทึกการใช้งาน ตรวจย้อนหลังได้ว่าใครทำอะไรกับข้อมูล
- ยืนยันตัวตน 2 ขั้น และตั้งให้บังคับทั้งสำนักงานได้
- ไฟล์หลักฐานแก้ไขไม่ได้ หลังอัปโหลด ป้องกันการแก้ไขย้อนหลัง
- สำรองข้อมูลอัตโนมัติทุกคืน ในเวอร์ชันติดตั้ง
ถ้าสำนักงานของทนายปิยะเก็บข้อมูลไว้ในระบบที่ต้องล็อกอิน แทนไฟล์ Excel ในโน้ตบุ๊ก โน้ตบุ๊กที่หายไปก็จะเป็นแค่เครื่องเปล่า ไม่ใช่เหตุข้อมูลรั่วของลูกความสามร้อยคน
คำถามที่พบบ่อย
สำนักงานทนายต้องทำตาม PDPA ไหม
ต้องทำ สำนักงานทนายเป็นผู้ควบคุมข้อมูลส่วนบุคคล เพราะเก็บและใช้ข้อมูลของลูกความ คู่ความ และพยาน รวมถึงข้อมูลอ่อนไหว เช่น ประวัติอาชญากรรม
ข้อมูลรั่วต้องแจ้งภายในกี่ชั่วโมง
ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่ไม่มีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล ถ้าเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลด้วย
ใช้โปรแกรมบนคลาวด์ผิด PDPA ไหม
ไม่ผิด ถ้าผู้ให้บริการมีมาตรการรักษาความปลอดภัยและมีข้อตกลงการประมวลผลข้อมูล สำนักงานที่นโยบายกำหนดให้ข้อมูลอยู่ในสำนักงาน เลือกเวอร์ชันติดตั้งในสำนักงานได้
ไม่ทำตาม PDPA มีโทษอะไร
มีทั้งโทษปรับทางปกครองสูงสุด 5 ล้านบาท ความรับผิดทางแพ่ง และโทษทางอาญาในบางกรณี
ข้อมูลในบทความเป็นความรู้ทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย ควรตรวจสอบประกาศและแนวปฏิบัติล่าสุดของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ข้อมูล ณ พฤศจิกายน 2569
ตัวอย่างสถานการณ์ — ตัวละครและเหตุการณ์แต่งขึ้นเพื่อประกอบบทความ
