แม้ว่าทางรัฐบาลได้มีการเลื่อนการให้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล 2562 หรือที่เราเรียกคุ้นชื่อกัน คือ PDPA ให้มีผลบังคับใช้กับองค์กรเป็นวันที่ 1 มิถุนายน 2565 ซึ่งจากนี้ไปจะเหลืออีกเพียง 7-8 เดือน ก็จะได้เวลาของการมีผลบังคบใช้ ซึ่งแต่ละองค์กรควรจะต้องมีความพร้อมที่จะดำเนินการตามกฎหมายที่เป็นความต้องการขั้นต่ำได้
โดยที่ PMAT ในฐานะที่เป็นองค์กรหนึ่งที่ทำบทบาทในการฉายภาพสะท้อนเรื่องของการบริหารคน และฉายภาพของผลกระทบทางกฎหมายที่มีต่อการบริหารคนจึงมีความสนใจที่จะนำศึกษาสำรวจความพร้อมขององค์กรในการดำเนินการตาม PDPA เพื่อเป็นข้อมูลในภาพรวมให้กับผู้เกี่ยวข้อง ผู้ที่สนใจได้มีการดำเนินการในส่วนเกี่ยวข้องต่อไป รวมทั้ง PMAT เองก็จะได้มีข้อมูลว่าจะช่วยเหลือหรือสนับสนุนองค์กรทั้งที่เป็นสมาชิกและไม่เป็นสมาชิกอย่างไร
รูปแบบการสำรวจและช่วงเวลาดำเนินการ
เราได้ทำการสำรวจผ่านระบบ Online โดยทีมงานของ PMAT ไปยังองค์กรสมาชิกและองค์กรที่ไม่ได้เป็นสมาชิกแต่ใช้บริการ PMAT จำนวน 1,810 องค์กร ในช่วงเดือนกันยายน 2564 โดยแบบสอบประกอบด้วยข้อที่กระชับแยกเป็น 4 ส่วน ดังนี้
ส่วนที่ 1 ข้อมูลทั่วไปขององค์กร จำนวน 4 ข้อ
ส่วนที่ 2 ข้อมูลทั่วไปของผู้ตอบแบบสำรวจ จำนวน 2 ข้อ
ส่วนที่ 3 แบบสำรวจความพร้อมขององค์กรต่อ PDPA จำนวน 4 ข้อ
ส่วนที่ 4 แบบสำรวจความจำเป็นของ Technology / Application ต่อการดำเนินการเกี่ยวกับ PDPA จำนวน 4 ข้อ
โดยในคำถามปลายปิดจะให้ผู้ตอบแบบสำรวจเลือกให้ค่าคะแนนมา 5 ค่าคะแนน คือ (1) ไม่เห็นด้วยอย่างยิ่ง (2) ไม่เห็นด้วย (3) ค่อนข้างเห็นด้วย (4) เห็นด้วย (5) เห็นด้วยอย่างยิ่ง
มีองค์กรที่ตอบแบบสำรวจมา 85 องค์กร ซึ่งถึงแม้ว่าจะมีผู้ตอบแบบสอบถามกลับมาเป็นจำนวนไม่มาก แต่ก็ทำให้เราสามารถมองเห็นภาพของความพร้อม และภาพของการต้องการการสนับสนุนได้อยู่ในระดับหนึ่งพอสมควร
องค์กรที่ร่วมสำรวจ
หากมองในแง่ของจำนวนพนักงานในองค์กร พบว่า
เป็นองค์กรที่มีพนักงานน้อยกว่า 500 คน จำนวน 54 องค์กรคิดเป็น 63 %
เป็นองค์กรที่มีพนักงาน 500 – 1000 คน จำนวน 15 องค์กรคิดเป็น 18%
เป็นองค์กรที่มีพนักงาน 1001- 2000 คน จำนวน 6 องค์กรคิดเป็น 7 %
เป็นองค์กรที่มีพนักงาน 2000 คน ขึ้นไป จำนวน 10 องค์กรคิดเป็น 12%
โดยสถานที่ตั้งขององค์กร จะอยู่ในเขตกรุงเทพมหานคร 39 องค์กร (46 %) อยู่ในเขตปริมณฑล 18 องค์กร ( 21%) อยู่ในเขต EEC 14 องค์กร (16.5 %) และอยู่ในเขตอื่นๆ 14 องค์กร (16.5 %)
ความเกี่ยวข้องของผู้ให้ข้อมูลต่อ PDPA
เมื่อดูผู้ตอบแบบสอบถามกับความเกี่ยวข้องกับ PDPA พบว่าเป็นหัวหน้าคณะทำงานเพื่อปรับใช้ PDPA 15 คน (18 %) เป็นผู้ที่อยู่ในคณะทำงานปรับใช้ PDPA ในองค์กร 34 คน ( 41%) เป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล 7 คน ( 8%) เป็นผู้ดูแลหรือดำเนินการเกี่ยวกับข้อมูลส่วนบุคคล (Process Owner) 10 คน (12%) เป็นผู้ทำกิจกรรมอื่นที่เกี่ยวข้องกับ PDPA 6 คน (7%) และเป็นผู้ที่ไม่เกี่ยวข้องกับ PDPA 10 คน (12%)
ซึ่งจากจำนวนผู้ตอบแบบสอบถามที่ส่วนใหญ่จะเกี่ยวข้องกับ PDPA ทำให้ข้อมูลที่ได้จะสะท้อนความพร้อมของการเตรียมการเพื่อดำเนินการตาม PDPA ได้อย่างตรงประเด็น
องค์กรมีพร้อมในระดับใดด้านการจัดทำนโยบาย เอกสารแบบฟอร์ม และกระบวนการทำงาน
เราทำสำรวจความพร้อมในมิติต่างๆ ที่เป็นการเตรียมการเพื่อการดำเนินการปรับใช้ PDPA ในองค์กร โดยจะสำรวจความพร้อมในมิติดังต่อไปนี้
1. ความพร้อมในการกำหนดนโยบาย ข้อบังคับ ระเบียบ หรือแนวปฏิบัติ ที่เกี่ยวข้องกับการปรับใช้ PDPA
73 องค์กร หรือ 85.9% มองว่าองค์กรได้เตรียมการวางระเบียบ แนวปฏิบัติที่เป็นเรื่องพื้นฐานอยู่ในระดับที่มีความพร้อม ขณะที่อีก 12 องค์กร หรือ 14.1% มองว่าตนเองยังไม่มีความพร้อม
2. ความพร้อมของการจัดทำแบบฟอร์ม Template หรือรูปแบบสัญญา ที่เกี่ยวข้องกับ PDPA
58 องค์กร หรือ 68.2% มองว่าองค์กรได้เตรียมการเรื่องนี้อยู่ในระดับที่มีความพร้อม อีก 27 องค์กร หรือ 31.8% มองว่าตนเองยังไม่มีความพร้อมในการจัดทำเอกสารที่เป็นแบบฟอร์มเพื่อใช้งาน
3. ความพร้อมในการจัดทำกระบวนการที่เกี่ยวข้องกับ PDPA เช่น การขอความยินยอม การถอนความยินยอม การขอสิทธิ์ในการเข้าถึงข้อมูล
47 องค์กร หรือ 55.3% มองว่าองค์กรได้เตรียมกระบวนการทำงานอยู่ในระดับที่มีความพร้อม อีก 38 องค์กร หรือ 44.7% มองว่าตนเองยังไม่มีความพร้อมในการจัดทำกระบวนการทำงานเพื่อรองรับให้มีการนำนโยบายมาปรับใช้
4. ความพร้อมในการจัดทำฐานการจัดเก็บข้อมูลส่วนบุคคล (Data Inventory)
55 องค์กร หรือ 64.7% มองว่าองค์กรได้เตรียมกระบวนการทำงานอยู่ในระดับที่มีความพร้อม อีก 30 องค์กร หรือ 35.3% มองว่าตนเองยังไม่มีความพร้อมในการจัดทำกระบวนการทำงานเพื่อรองรับให้มีการนำนโยบายมาปรับใช้
ซึ่งผลสำรวจความพร้อมข้างต้น จะสอดคล้องกับคำถามปลายเปิดที่สอบถามว่า “ต้องการสนับสนุนอะไรจาก PMAT ในการดำเนินการตาม PDPA” พบว่า ความต้องการในลำดับต้นๆจะเป็นเรื่องการฝึกอบรม การให้คำปรึกษา บริการขอคำปรึกษาแนะนำการปรับใช้ คำแนะนำการออกแบบเอกสาร การให้แนวทางการทวนสอบว่าได้ดำเนินการถูกต้องตาม PDPA หรือไม่
ความพร้อมและความเห็นขององค์กรต่อการนำ Technology / Application มาปรับใช้
1. ด้านการนำ Technology / Application เข้ามาช่วยในกระบวนการที่เกี่ยวข้องกับ PDPA
40 องค์กร หรือ 47.1% มองว่าองค์กรได้นำ Technology และ/หรือ Application เข้ามาช่วยในกระบวนการที่เกี่ยวข้องกับการปรับใช้ PDPA อีก 45 องค์กร หรือ 52.9% มองว่าองค์กรยังไม่ได้นำ Technology และ/หรือ Application มาปรับใช้
2. ความเห็นต่อความจำเป็นในการนำ Technology / Application มีความจำเป็นต่อกระบวนการที่เกี่ยวข้องกับ PDPA
75 องค์กร หรือ 88.2% มองว่าเป็นความจำเป็นขององค์กรที่จะต้องนำ Technology และ/หรือ Application มาช่วยในการปรับใช้ PDPA อีก 10 องค์กร หรือ 11.8% มองว่าไม่มีความจำเป็น
โดยองค์กรที่มองว่า Technology จำเป็นสำหรับการดำเนินการตาม PDPA คือ Technology หรือ Application ที่มาช่วยในการเก็บข้อมูล ช่วยในกระบวนการขอความยินยอม มาช่วยในทุกกระบวนการที่จำเป็น และมาช่วยควบคุมการเข้าถึงข้อมูล
จากผลสำรวจที่ได้นำเสนอดังข้างต้น แม้จำนวนกลุ่มตัวอย่างจะไม่มากนัก แต่ก็สะท้อนให้เห็นภาพรวมว่า องค์กรส่วนใหญ่จะมีความพร้อมในการกำหนดนโยบาย ข้อบังคับเกี่ยวกับ PDPA แต่ยังขาดความพร้อมในจัดทำเอกสารหรือแบบฟอร์ม รวมทั้งการจัดทำกระบวนการทำงานเพื่อนำนโยบายหรือข้อบังคับไปสู่การปฏิบัติ และเมื่อมองในเรื่องของการนำ Technology มาช่วยในการดำเนินการแล้ว องค์กรส่วนใหญ่เห็นว่าจำเป็น แต่องค์กรที่ได้นำ Technology มาปรับใช้ยังมีจำนวนไม่มาก และหากดูลงไปในรายละเอียดของเทคโนโลยีที่นำมาปรับใช้ จะเป็นเทคโนโลยีทางด้านการเก็บข้อมูล ทางด้านการป้องกันข้อมูลมากกว่าจะเป็น Technology ที่ตอบสนองกับกระบวนการที่สนับสนุนการดำเนินการตามเงื่อนไขของ PDPA
หวังว่าผลสำรวจเล็กๆชิ้นนี้ จะเป็นข้อมูลที่จะทำให้ผู้เกี่ยวข้องได้เห็นภาพแล้วนำไปต่อยอดในการยกระดับความรู้ ความเข้าใจ รวมทั้งพัฒนา Technologyและหรือ Application เพื่อช่วยให้องค์กรสามารถดำเนินการตาม PDPA ได้อย่างมีประสิทธิภาพ
.svg)
