PDPA สำหรับทีมไอทีและผู้ดูแลข้อมูล

รายละเอียดหลักสูตร

อบรม 1 วัน 6 ชั่วโมง รูปแบบบรรยายพร้อมปฏิบัติจริง (Hands-on Workshop) ระดับ Beginner ถึง Intermediate ไม่ต้องมีพื้นฐานด้านกฎหมาย ผู้เรียนจะได้ Template RoPA แบบขอความยินยอม แบบตอบคำขอใช้สิทธิ Checklist ความปลอดภัยเชิงเทคนิค และแผนรับมือเหตุละเมิดข้อมูล กลับไปใช้งานจริง หมายเหตุ: หลักสูตรนี้ให้ความรู้เชิงปฏิบัติสำหรับทีมไอที ไม่ใช่การให้คำปรึกษาทางกฎหมายรายกรณี

Section 1: สาระสำคัญของ PDPA และบทบาทหน้าที่

• ภาพรวม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ขอบเขตการบังคับใช้ และบทลงโทษที่องค์กรต้องรู้
• นิยามข้อมูลส่วนบุคคลและข้อมูลอ่อนไหว (Sensitive Data) และตัวอย่างในระบบงานไอที
• บทบาทผู้ควบคุมข้อมูล (Data Controller) ผู้ประมวลผลข้อมูล (Data Processor) และหน้าที่ของ DPO
• ความรับผิดชอบที่มักตกกับทีมไอทีในทางปฏิบัติ และการทำงานร่วมกับฝ่ายกฎหมายและ HR

Section 2: ฐานทางกฎหมายและการขอความยินยอม

• ฐานทางกฎหมายในการประมวลผลข้อมูล และการเลือกฐานให้เหมาะกับแต่ละงาน
• หลักการขอความยินยอมที่ถูกต้อง: ชัดเจน แยกส่วน ถอนได้ และการเก็บหลักฐานการให้ความยินยอม
• การออกแบบแบบฟอร์มและ Privacy Notice บนเว็บไซต์และแอปให้ครบถ้วน
• Workshop: ตรวจสอบจุดเก็บข้อมูลในระบบของตนเองและระบุฐานทางกฎหมายที่ใช้

Section 3: Data Inventory และ RoPA

• การสำรวจว่าองค์กรเก็บข้อมูลส่วนบุคคลอะไร ที่ไหน ใครเข้าถึงได้ และเก็บนานเท่าใด (Data Mapping)
• การจัดทำบันทึกกิจกรรมการประมวลผล (RoPA) ให้ครบตามที่กฎหมายกำหนด
• การจำแนกชั้นความลับของข้อมูลและการติดป้ายกำกับในระบบ
• Workshop: กรอก Template RoPA สำหรับระบบงานหนึ่งระบบของผู้เรียน

Section 4: สิทธิเจ้าของข้อมูลและการตอบคำขอ

• สิทธิของเจ้าของข้อมูล: ขอเข้าถึง ขอสำเนา แก้ไข ลบ คัดค้าน ระงับ และโอนย้ายข้อมูล
• การออกแบบกระบวนการรับและตอบคำขอใช้สิทธิ (DSR) ให้ตอบได้ภายในกรอบเวลา
• การพิสูจน์ตัวตนผู้ยื่นคำขอ และข้อยกเว้นที่องค์กรปฏิเสธคำขอได้
• Workshop: ออกแบบขั้นตอนตอบคำขอลบข้อมูลตั้งแต่รับเรื่องจนปิดเคส

Section 5: มาตรการความปลอดภัยและวงจรชีวิตข้อมูล

• มาตรการเชิงเทคนิค: การควบคุมสิทธิ์เข้าถึงตามหน้าที่ การเข้ารหัสข้อมูล และการเก็บ Log การเข้าถึง
• การทำข้อมูลนิรนาม (Anonymization) และการแฝงข้อมูล (Pseudonymization) สำหรับงานทดสอบและวิเคราะห์
• การกำหนดระยะเวลาเก็บรักษาและการลบหรือทำลายข้อมูลเมื่อครบกำหนดอย่างปลอดภัย
• Workshop: ตรวจสอบระบบด้วย Checklist ความปลอดภัยและระบุช่องว่างที่ต้องแก้

Section 6: เหตุละเมิดข้อมูลและแผนปฏิบัติของทีม

• การเตรียมพร้อมรับมือเหตุละเมิดข้อมูลส่วนบุคคล และการประเมินความเสี่ยงต่อเจ้าของข้อมูล
• ขั้นตอนการแจ้งเหตุต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและเจ้าของข้อมูลตามกรอบเวลาที่กำหนด
• การจัดการผู้ประมวลผลภายนอก (Vendor) และข้อตกลงการประมวลผลข้อมูล รวมถึงการใช้บริการ AI และคลาวด์
• Workshop: ซ้อมสถานการณ์ข้อมูลรั่วไหลและจัดทำแผนงาน PDPA ของทีมไอที