พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลบังคับใช้เต็มรูปแบบเมื่อวันที่ 1 มิถุนายน 2565 หลังจากเลื่อนมาแล้วสองครั้ง นับแต่นั้นคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้เปลี่ยนบทบาทจากการออกแนวปฏิบัติไปสู่การบังคับใช้ รวมถึงการลงโทษปรับทางปกครองต่อองค์กรที่ไม่ได้คุ้มครองข้อมูลส่วนบุคคลอย่างเพียงพอ
โครงการด้าน PDPA ส่วนใหญ่เริ่มต้นที่เว็บไซต์ ได้แก่ แบนเนอร์คุกกี้ ประกาศความเป็นส่วนตัว และช่องให้ความยินยอมในแบบฟอร์มการจอง แต่ความเสี่ยงที่ใหญ่กว่ามักอยู่ที่อื่น นั่นคือในระบบปฏิบัติการที่เก็บหนังสือเดินทาง ข้อมูลสุขภาพ บันทึกการเข้าออก และประวัติพนักงาน ซึ่งมักถูกคัดลอกไปมาระหว่างผู้ให้บริการหลายราย โดยแต่ละรายเก็บข้อมูลฉบับของตนเอง
จุดที่ข้อมูลในงานปฏิบัติการรั่วไหล
ในการตรวจประเมินที่ Opsian ดำเนินการ รูปแบบเดิมปรากฏซ้ำอยู่เสมอ
- สำเนาหลายชุด ภาพสแกนหนังสือเดินทางอยู่ทั้งในระบบบริหารจัดการโรงแรม กล่องอีเมล ไดรฟ์ที่ใช้ร่วมกัน และพอร์ทัลของสำนักงานตรวจคนเข้าเมือง โดยแต่ละแห่งมีสิทธิ์การเข้าถึงต่างกัน
- ไม่มีกฎการเก็บรักษา ข้อมูลถูกเก็บไว้ไม่มีกำหนด เพราะไม่มีสิ่งใดลบข้อมูลเหล่านั้น
- ใช้บัญชีผู้ใช้ร่วมกัน ที่เคาน์เตอร์ต้อนรับหรือเคาน์เตอร์พยาบาล จึงไม่มีใครบอกได้ว่าใครเป็นผู้เปิดดูข้อมูล
- ข้อมูลอ่อนไหวอยู่ผิดที่ ข้อมูลชีวภาพและข้อมูลสุขภาพ ซึ่งกฎหมายถือเป็นข้อมูลอ่อนไหว ถูกเก็บรวมกับข้อมูลทั่วไปภายใต้การควบคุมระดับเดียวกัน
มาตรการที่ใช้ได้จริง
การแก้ไขต้องทำที่สถาปัตยกรรมของระบบ ไม่ใช่ที่เอกสาร บันทึกความยินยอม ณ ขณะที่เก็บข้อมูล และเก็บไว้คู่กับข้อมูลนั้น ใช้ข้อมูลหลักเพียงชุดเดียวต่อบุคคลแทนการมีสำเนาในทุกระบบ กำหนดระยะเวลาการเก็บรักษาตามสถานที่และตามประเภทข้อมูล แล้วให้ระบบลบข้อมูลตามกำหนด ให้ผู้ใช้และเอเจนต์ทุกรายมีตัวตนของตนเอง และบันทึกการเข้าถึงทุกครั้ง
นี่คือแนวทางเบื้องหลัง ENTRIX ซึ่งบันทึกความยินยอมก่อนเก็บข้อมูล ใช้กฎการเก็บรักษาแยกตามสถานที่ และมีบันทึกที่แสดงว่าใครเห็นข้อมูลใด เมื่อใด และยังเป็นสาระสำคัญของบริการด้านการปฏิบัติตาม PDPA ของ Opsian ซึ่งเริ่มต้นจากการค้นหาสำเนาทุกชุดก่อนตัดสินใจว่าจะคุ้มครองสิ่งใด
