เบอร์โทรศัพท์เป็นข้อมูลส่วนบุคคลหรือไม่?

https://copilot.microsoft.com/images/...

ก่อนอื่น ต้องเข้าใจก่อนว่า ข้อมูลส่วนบุคคล คืออะไร?

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 มาตรา 6 ได้ให้นิยามของ ข้อมูลส่วนบุคคลไว้ว่า

“ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

 

ดังนั้น เมื่อจะพิจารณาว่าเบอร์โทรศัพท์เป็นข้อมูลส่วนบุคคลหรือไม่? ต้องพิจารณาว่า เบอร์โทรศัพท์ทำให้สามารถระบุตัวบุคคลได้หรือไม่? ไม่ว่าจะเป็นทางตรงหรือทางอ้อม .... 

คำตอบคือ ... เป็นไปได้ทั้งสองแบบ

เพราะ?

• ข้อมูลเบอร์โทรศัพท์ที่เมื่อเชื่อมโยงกับข้อมูลอื่น ๆ เช่น Prompt pay, True wallet, บัญชีธนาคาร หรืออื่น ๆ แล้วทำให้สามารถระบุตัวบุคคลได้ ก็หมายความว่ามันเป็น "ข้อมูลส่วนบุคคล"
• แต่ในกรณีที่เบอร์โทรนั้นไม่สามารถเชื่อมโยงได้ว่าเป็นใคร มันก็ไม่ใช่ข้อมูลส่วนบุคคล เช่น เบอร์โทรบริษัทฯ แต่ก็อาจมีกรณีที่เบอร์โทรสำนักงาน หรือเบอร์โทรศัพท์ของบริษัท เป็นเบอร์ประจำห้องส่วนตัว เบอร์นี้ก็จะกลายเป็นข้อมูลส่วนบุคคลทันที เพราะสามารถระบุตัวบุคคลได้

ดังนั้นโดยสรุป เบอร์โทรศัพท์จะเป็นข้อมูลส่วนบุคคลหรือไม่ ต้องดูบริบทของเบอร์โทรศัพท์นั้น ๆ ด้วย

---

• https://www.ratchakitcha.soc.go.th/DATA/PDF/2562/A/069/T_0052.PDF

The 7 Key Foundations for Modern D&A Governance

 ---

• 7 Data and Analytics Governance Foundations (gartner.com)

ละเว้นไม่เปิดเผยว่าเป็นโรคความดันสูง สัญญาประกันชีวิตเป็นโมฆียะ

คำพิพากษาศาลฎีกาที่ 922/2566

การที่ ย. รู้ถึงข้อเท็จจริงที่ตนเคยได้รับการตรวจสุขภาพ และแพทย์ให้ข้อสังเกตว่าตนเป็นโรคความดันโลหิตสูงมาก่อนแล้ว แต่ไม่เปิดเผยข้อความจริงนั้น ซึ่งหาก ย. เปิดเผยย่อมจูงใจให้จำเลยเรียกเบี้ยประกันภัยสูงขึ้นหรือบอกปัดไม่ยอมทำสัญญาไม่ว่า ย. จะได้รับการรักษาต่อไปตามคำแนะนำของแพทย์หรือไม่ จะเข้าพบแพทย์ด้วยสิทธิประโยชน์ทางใด หรือจะได้รับการจ่ายยาเพื่อรักษาโรคหรือไม่ รวมทั้งแท้จริงแล้ว ย. จะป่วยเป็นโรคความดันโลหิตสูงหรือไม่ เพราะเป็นเรื่องข้อมูลที่จำเลยได้รับขณะทำสัญญาประกันภัยไม่ถูกต้องและเป็นข้อสำคัญที่จำเลยจะปฏิเสธไม่รับประกันภัย หรือหากจะรับประกันภัยก็ต้องสืบสวนหาข้อเท็จจริงต่อไปว่าควรเสี่ยงรับประกัน ย. หรือไม่ ทั้งข้อวินิจฉัยของแพทย์ก็เป็นการตั้งข้อสังเกตโดยแพทย์แล้วว่าเป็นโรคความดันโลหิตสูงแล้ว ไม่ว่า ย. จะถึงแก่ความตายด้วยสาเหตุใด การที่ ย. ละเว้นไม่เปิดเผยข้อความดังกล่าว สัญญาประกันชีวิตตามฟ้องย่อมตกเป็นโมฆียะ เมื่อจำเลยบอกล้างภายในกำหนดเวลาตามกฎหมายแล้ว ให้ถือว่าเป็นโมฆะมาแต่เริ่มแรก จำเลยจึงไม่จำต้องจ่ายค่าสินไหมทดแทนแก่โจทก์

--

ที่มา

• สืบค้นฎีกา 2015 (supremecourt.or.th)

SUCCESS - เส้นทางสู่ความสำเร็จ?

S ee your goal.
U nderstand the obstacles.
C reate a positive mental picture.
C ear your mind of self doubt.
E mbrace the challenge.
S tay on track.

and then 

S how the world you can do it!

PDPA Self Check - ทำครบหรือยัง?

PDPA Self Check

1. แต่งตั้งเจ้าหน้าที่คุัมครองข้อมูลส่วนบุคคล (Data Protection Officer | DPO)
2. จัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activity | RoPA)
3. การแจ้งคำประกาศการประมวลผลข้อมูลส่วนบุคคล (Privacy Notice)
4. จัดให้มีมาตรการการรักษาความมั่นคงปลอดภัยของข้อมูล (Security Measure)
5. จัดให้มีกระบวนการในการขอใช้สิทธิ์ของเจ้าของข้อมูลส่วนบุคคล
6. จัดให้มีกระบวนการในการตอบสนองต่ออุบัติการณ์และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล (Data Breach Response)
7. การจัดทำข้อตกลงการแลกเปลี่ยนข้อมูลส่วนบุคคล (Data Sharing Agreement | DSA) หรือข้อตกลงในการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement | DPA) --- ถ้ามี
8. การจัดทำหลักเกณฑ์/ข้อตกลง การคุ้มครองข้อมูลส่วนบุคคล กรณีที่ส่งหรือโอนข้อมูลไปต่างประเทศ (Cross Border Transfer)

---

ประกาศที่เกี่ยวข้อง:

• พระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือหน่วยงาน ที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ
• ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 
• ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566
• ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565
• ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565
• ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565
• ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

Update ประกาศอื่น ๆ > กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม MDES

CCTV Notice -- ตัวอย่างการจัดทำประกาศความเป็นส่วนตัวสำหรับกล้องโทรทัศน์วงจรปิด

 

ข้อกำหนดตามมาตรฐาน ISO 22301:2019

ความมุ่งมั่นของฝ่ายบริหาร (Leadership & Commitment)

มาตรฐานได ๆ ไม่อาจสำเร็จ หรือบรรลุวัตถุประสงค์ได้หากไม่ได้รับการสนับสนุนจากผู้บริหาร ถ้าแค่ไม่ค่อยเห็นความสำคัญอาจจะยังไม่เป็นปัญหาเท่าใหร่ แต่หากผู้บริหารไม่รู้ว่าการดำเนินการเหล่านี้มีไว้ทำไม หรือมีประโยชน์อะไร อันนี้ตัวใครตัวมันแล้ว !!!

ความมุ่งมั่นของฝ่ายบริหาร (Management commitment) เป็นส่วนหนึ่งของข้อกำหนดในมาตรฐานระบบการจัดการ ในที่นี้จะยกมาในส่วนของระบบการจัดการความมั่นคงปลอดภัยสารสนเทศฯ ตามมาตรฐาน ISO27001 ซึ่งได้วางข้อกำหนดเกี่ยวกับความมุ่งมั่นของผู้บริหารไว้ดังนี้

ซึ่งประเด็นสำคัญของมันก็คือ ผู้บริหารระดับสูงต้องแสดงให้เห็นถึงความมุ่งมั่นในการพัฒนาและนำระบบการจัดการด้านความมั่นคงปลอดภัยสารสนเทศฯ ไปปฏิบัติใช้ รวมถึงการปรับปรุงประสิทธิภาพของระบบอย่างต่อเนื่อง

คำถามที่ตามมาคือ ในฐานะผู้บริหารจะแสดงความมุ่งมั่นอย่างไร ในฐานะผู้ตรวจปัญหาสำคัญคือจะทำอย่างไรในการเก้บรวบรวมหลักฐานที่แสดงให้เห็นถึงความมุ่งมั่นในการดำเนินการของผู้บริหาร

ผู้บริหารเซ็นต์ลงนามในประกาศนโยบาย และระเบียบปฎิบัติ เพียงพอใหมที่จะบอกว่าผู้บริหารมีความมุ่งมั่น? เอาตามตรงมันอาจจะยังไม่เพียงพอ แต่อย่างไรก็ตามก็สามารถมององค์ประกอบอื่นๆ  เพิ่มเติมได้ ถึงแม้บางอย่างในข้อกำหนดจะให้เก็บเป็นหลักฐานเชิงประจักษ์ยากหน่อยก็เหอะ

แล้วเราจะดูอะไรได้ หรือผู้บริหารจะทำยังไงให้เห็นถึงความมุ่งมั่นหละ สิ่งเหล่านี้อาจจะพอเป็นแนวทางได้นะครับ เช่น ผู้บริหารเข้าร่วมประชุมทบทวนระบบ กำกับดูแล และติดตามผลการดำเนินการ ให้ข้อเสนอแนะ และตัดสินใจในประเด้นที่เกี่ยวข้อง (เช่น แผนการจัดการความเสี่ยง, ประสิทธิผลการดำเนินการ เป็นต้น), ผู้บริหารจัดสรรทรัพยากรที่จำเป็นให้, ผู้บริหารสนับสนุนให้มีการฝึกอบรมพนักงาน เป็นต้น

การตัดสินใจเข้าสู่ขั้นตอนการสื่อสารภาวะวิกฤต

ปัญหาหนึ่งที่มักจะเจอในการจัดทำแผนความต่อเนื่องทางธุรกิจ คือการกำหนดจุดตัดสินใจในการเข้าสู่ภาวะวิกฤต แต่เจอการตัดสินใจเข้าสู่ขั้นตอนการสื่อสารภาวะวิกฤต ในคู่มือการสื่อสารประชาสัมพันธ์ในภาวะวิกฤตของกรุงเทพมหานคร แล้วชอบเป็นพิเศษเลยเอามาปรับนิดหน่อย (นิดเดียวจริงๆ) คิดว่ามีหลายหน่วยงานที่สามารถนำไปประยุกต์ใช้ต่อได้

---

คู่มือการสื่อสารประชาสัมพันธ์ในภาวะวิกฤตของกรุงเทพมหานคร (2023). Retrieved 18 September 2023, from https://pr-bangkok.com/insite/03-PRFLIP/mobile/index.html#p=1

ตัวอย่างกระบวนการขึ้นทะเบียนจัดทำเอกสารคุณภาพใหม่