ทดสอบมาตรการรักษาความมั่นคงปลอดภัยตาม PDPA มาตรา 37
มาตรา 37(1) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลทุกรายจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยกฎหมายไม่ได้ระบุวิธีทดสอบไว้ การทดสอบเจาะระบบของเราจึงเป็นหลักฐานว่ามาตรการเหล่านั้นได้ผลจริง
PDPA คืออะไร?
พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA คือกฎหมายหลักของไทยที่กำกับดูแลเรื่องการเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคล
- ครอบคลุมตั้งแต่การเก็บรวบรวม ใช้ เปิดเผย ไปจนถึงการโอนข้อมูลส่วนบุคคล
- ใช้บังคับในวงกว้างกับองค์กรที่ดูแลข้อมูลส่วนบุคคล โดยมีข้อยกเว้นตามมาตรา 4
- กำกับดูแลโดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)
อ้างอิง: พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกาศในราชกิจจานุเบกษา
ใครบ้างที่ต้องปฏิบัติตาม PDPA?
PDPA ใช้บังคับในวงกว้างกับองค์กรที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยมาตรา 4 กำหนดข้อยกเว้นไว้
สถาบันการเงิน
ธนาคาร บริษัทประกัน และผู้ให้บริการ Payment ที่ดูแลข้อมูลการเงินลูกค้า
สถานพยาบาลและ Health Tech
โรงพยาบาล คลินิก รวมถึงสตาร์ทอัพด้านสุขภาพที่ถือข้อมูลผู้ป่วย
E-Commerce และค้าปลีก
แพลตฟอร์มออนไลน์และร้านค้าที่มีการเก็บข้อมูลลูกค้า
บริษัท Technology
ผู้ให้บริการ SaaS นักพัฒนาแอป และบริษัท IT Services
ทุกธุรกิจที่มีข้อมูลลูกค้า
แค่เก็บชื่อ อีเมล เบอร์โทร หรือเลขบัตรประชาชน ก็ต้องปฏิบัติตามแล้ว
หน่วยงานภาครัฐ
ทุกหน่วยงานรัฐที่ประมวลผลหรือดูแลข้อมูลของประชาชน
สิ่งที่ PDPA กำหนดให้ต้องทำ
สิ่งที่ พ.ร.บ. และประกาศเรื่องมาตรการรักษาความมั่นคงปลอดภัยกำหนด พร้อมคำแนะนำเพิ่มเติมจาก Reconix
มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
มาตรา 37(1) กำหนดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และทบทวนเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไป ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 กำหนดให้ทบทวนหลังเกิดเหตุละเมิดที่มีความเสี่ยงด้วย และกำหนดให้มาตรการสอดคล้องกับระดับความเสี่ยง และคำนึงถึงมาตรฐานที่เป็นที่ยอมรับสำหรับองค์กรประเภทเดียวกัน
การทดสอบความปลอดภัย (คำแนะนำของ Reconix)
ทั้ง PDPA และประกาศเรื่องมาตรการรักษาความมั่นคงปลอดภัยไม่ได้ระบุให้ทดสอบ ในมุมมองของเรา การทดสอบเจาะระบบและการประเมินช่องโหว่เป็นวิธีที่นิยมใช้แสดงว่ามาตรการใช้ได้จริง และใช้ประกอบการทบทวนมาตรการแต่ละครั้ง
แจ้งเหตุละเมิดภายใน 72 ชั่วโมง
มาตรา 37(4) กำหนดให้แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยง หากมีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลส่วนบุคคลพร้อมแนวทางการเยียวยาด้วย
หน้าที่ของผู้ประมวลผลข้อมูล
มาตรา 40(2) กำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัย และแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลให้ผู้ควบคุมข้อมูลทราบ
บทลงโทษเมื่อไม่ปฏิบัติตาม PDPA
PDPA กำหนดทั้งโทษปรับทางปกครอง โทษทางอาญา และความรับผิดทางแพ่ง หน้านี้ไม่ได้ระบุจำนวนโทษ โปรดตรวจสอบกับที่ปรึกษากฎหมาย
โทษปรับทางปกครอง โปรดตรวจสอบจำนวนและเงื่อนไขกับที่ปรึกษากฎหมาย
โทษทางอาญา โปรดตรวจสอบจำนวนและเงื่อนไขกับที่ปรึกษากฎหมาย
ความรับผิดทางแพ่ง โปรดตรวจสอบขอบเขตและเงื่อนไขกับที่ปรึกษากฎหมาย
Penetration Testing ช่วยเรื่อง PDPA ได้อย่างไร
คำแนะนำของ Reconix: การทดสอบที่เหมาะกับระบบที่ดูแลข้อมูลส่วนบุคคล โดย PDPA ไม่ได้ระบุการทดสอบใดไว้
Checklist ปฏิบัติตาม PDPA
คำแนะนำของ Reconix ที่ช่วยรองรับมาตรา 37 โดย พ.ร.บ. ไม่ได้กำหนดรายการเหล่านี้ไว้
เอกสารอ้างอิง
ศึกษารายละเอียดเพิ่มเติมได้จากเอกสารต้นฉบับ
คำถามที่พบบ่อยเกี่ยวกับ PDPA
รวมคำถามยอดนิยมเรื่อง Penetration Testing กับการปฏิบัติตาม PDPA
เริ่มปฏิบัติตาม PDPA วันนี้
ปกป้องข้อมูลส่วนบุคคล ทดสอบมาตรการที่มาตรา 37 กำหนด และรับรายงานที่บันทึกสิ่งที่ทดสอบและสิ่งที่แก้ไขแล้ว
Reconix คือผู้เชี่ยวชาญการทดสอบเจาะระบบเชิงรุกที่เน้นการพิสูจน์ในประเทศไทย ให้บริการธุรกิจดิจิทัลภายใต้การกำกับดูแลทุกขนาด