สังคมไทยตื่นตัวแค่ไหน กับกฎหมาย PDPA 

สังคมไทยตื่นตัวแค่ไหน กับกฎหมาย PDPA 

ปัญหาการละเมิดข้อมูลส่วนบุคคลเป็นสิ่งที่เกิดขึ้นมาอย่างยาวนาน และยังไม่ได้รับการแก้ไข หรือการป้องกันอย่างจริงจัง กระทั่งมีการร่าง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล หรือ PDPA ขึ้น และบังคับใช้อย่างเป็นทางการเมื่อวันที่ 1 มิถุนายน พ.ศ 2565 ผ่านมา 1 ปี มีปัญหาและอุปสรรคใดเกิดขึ้นบ้าง และแนวทางต่อไปของกฎหมายฉบับนี้จะเป็นอย่างไร  ตลอด 1 ปีที่ผ่านมา นอกจากหน่วยงานทั้งภาครัฐ และเอกชน ที่เริ่มตื่นตัว จะเห็นได้ว่า องค์กรที่มีหน้าที่โดยตรง อย่าง สำนักคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้เริ่มภารกิจมากมาย ไม่ว่าจะเป็นการออกกฎหมายลูก การจัดตั้งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล รวมถึงการออกแนวทางปฎิบัติเมื่อถูกละเมิดข้อมูลส่วนบุคคล และการให้ความรู้แก่ประชาชนในแง่มุมต่าง ๆ เพื่อสร้างการตระหนักรู้ที่มากขึ้น ขณะที่ Security Pitch ได้สอบถามไปยัง…

ความเปลี่ยนแปลง หลังบังคับใช้ PDPA ครบ 1 ปี

1 มิถุนายน พ.ศ. 2565 คือวันแรกที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 หรือ PDPA ถูกบังคับใช้อย่างเป็นทางการ ถือเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคล และความเป็นส่วนตัวของข้อมูลฉบับแรก ครั้งนี้ Security Pitch จะพาทุกท่านไปย้อนรอยกันว่า ตลอด 1 ปีที่ผ่านมา ประเทศไทยมีความเปลี่ยนแปลงอย่างไรบ้าง หลังการประกาศใช้กฎหมายฉบับนี้ เรียกได้ว่า 1 ปีที่ผ่านมา เป็นปีที่ท้าทายสำหรับองค์กร และหน่วยงานต่าง ๆ เพราะนับตั้งแต่มีการบังคับใช้กฎหมาย องค์กรต่าง ๆ ก็ต้องปรับตัวครั้งใหญ่ โดยเฉพาะองค์กรที่มีการจัดเก็บข้อมูลส่วนบุคคลอยู่เป็นจำนวนมาก รวมถึงต้องจัดตั้งคณะทำงานเพื่อให้สอดคล้องกับกฎหมายฉบับนี้ แต่ก็ยังมีบางองค์กรที่ยังมีแนวคิดว่าการปฏิบัติตามกฎหมาย PDPA ยังไม่ใช่สิ่งที่จำเป็น สิ้นเปลืองงบประมาณ หรือยังไม่รู้ว่าฝ่ายใดต้องเป็นผู้รับผิดชอบ ส่วนหนึ่งก็เพราะบุคลากรในองค์กรเองยังขาดความรู้ความเข้าใจ และขาดการตระหนักรู้เกี่ยวกับกฎหมาย ด้วยเหตุนี้องค์กรจำนวนไม่น้อยจึงยังไม่สามารถบริหารจัดการข้อมูลส่วนบุคคล…

องค์กรปลอดภัย ข้อมูลไม่รั่วไหล ควรเริ่มใส่ใจระบบไซเบอร์ขององค์กร

ปัจจุบันองค์กรจำนวนมากล้วนเข้าสู่การทำ Digital Transformation ไม่เว้นแม้แต่สถานพยาบาลที่เริ่มยกเลิกการจัดเก็บข้อมูลผู้ใช้บริการในรูปแบบเอกสารที่จัดเก็บยาก ด้วยเสี่ยงต่อการชำรุด และสูญหาย ขณะที่การจัดเก็บบนระบบเครือข่าย นอกจากช่วยอำนวยความสะดวก ยังลดจำนวนบุคลากรที่ทำงานได้มากกว่า แต่ก็ปฏิเสธไม่ได้ว่าสิ่งที่ต้องระมัดระวังคือความเสี่ยงจากภัยคุกคามทางไซเบอร์ ที่อาจทำให้สูญเสียการเป็น องค์กรปลอดภัย ไม่กี่ปีที่ผ่านมา มีทั้งองค์กรเอกชน และหน่วยงานภาครัฐประสบกับปัญหาภัยคุกคามทางไซเบอร์มากขึ้น ภัยเหล่านั้นไม่เพียงทำให้ระบบเครือข่ายขององค์กรเสียหาย แต่ยังอาจทำให้ข้อมูลรั่วไหล หรือ ถูกนำออกไปใช้ในทางมิชอบ ซ้ำร้ายองค์กรยังอาจสูญเสียความเชื่อมั่น และตกเป็นจำเลยสังคมไปในที่สุด ทั้งนี้ ภัยคุกคามทางไซเบอร์ที่เกิดขึ้นกับองค์กรต่าง ๆ ในประเทศไทย มักเกิดขึ้นจากความผิดพลาดของมนุษย์ หรือ เกิดจากช่องโหว่ของระบบที่องค์กรอาจไม่เคยพบมาก่อน ทำให้ผู้คุกคามสามารถโจมตีระบบเครือข่ายได้อย่างง่ายดาย ซึ่งสถานพยาบาล ถือเป็นอีกหนึ่งเป้าหมายที่มักประสบกับปัญหาเหล่านี้ เช่น กรณีข้อมูลส่วนบุคคลของผู้ใช้บริการโรงพยาบาลแห่งหนึ่งในประเทศไทยรั่วไหล แสดงให้เห็นว่า แม้โรงพยาบาลจะได้รับการรับรองมาตรฐาน ก็ไม่อาจมั่นใจได้ว่าระบบไซเบอร์จะได้รับการปกป้องอย่างดีเพียงพอ อย่างไรก็ตาม ปัจจุบันมีสถานพยาบาลจำนวนไม่น้อยเริ่มตื่นตัว หามาตรการที่ปลอดภัยกว่าเดิมให้กับระบบเครือข่ายขององค์กร ทว่าจะมั่นใจได้อย่างไรว่า มาตรการป้องกันที่มีอยู่เพียงพอต่อภัยคุกคามที่คืบคลานเข้ามา…

จำเป็นไหม? ที่ต้องให้ “ความยินยอม”

การได้รับการรักษาพยาบาลจากบุคลากรทางการแพทย์ เป็นสิทธิขั้นพื้นฐานที่ประชาชนพึงได้รับ ทว่าในการรักษา หรือ เข้ารับบริการในสถานพยาบาล อาจต้องใช้ข้อมูลส่วนบุคคลประกอบการรักษา เมื่อมีการประกาศบังคับใช้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ขึ้น การขอความยินยอมจากเจ้าของข้อมูลจึงเป็นเรื่องสำคัญ ในจุดนี้เองอาจทำให้หลายคนสงสัยว่า หากไม่ให้ ความยินยอม เพื่อนำข้อมูลของตนเองไปใช้ในสถานพยาบาล จะสามารถทำได้หรือไม่ หรือจะส่งผลอย่างไรกับการรักษา Security Pitch มีคำตอบครับ ทำไม? ผู้เข้ารับบริการต้องให้ “ความยินยอม“ ปฏิเสธไม่ได้ว่าการให้ความยินยอมต่อสถานพยาบาลถือเป็นเรื่องสำคัญ และเกี่ยวข้องโดยตรงกับการรักษา เนื่องจากวัตถุประสงค์หนึ่งของการขอความยินยอมให้จัดเก็บ หรือ ประมวลผลข้อมูลส่วนบุคคล ก็คือการเก็บบันทึกข้อมูลการรักษาหรือข้อมูลสุขภาพ กรณีที่ผู้ป่วยอยู่ในสภาวะที่ไม่สามารถให้ความยินยอมได้ ข้อมูลต่าง ๆ เหล่านี้ก็อาจถูกนำมาใช้เพื่อช่วยเหลือในการรักษาได้อย่างทันท่วงที ขณะเดียวกันบางสถานพยาบาลยังอาจระบุถึงวัตถุประสงค์ทางการตลาดไว้ในเอกสารขอความยินยอม  ด้วยเหตุนี้เองผู้เข้ารับบริการจึงควรทำความเข้าใจ อ่านเนื้อหาให้ถี่ถ้วน ก่อนตัดสินใจให้ความยินยอมในการจัดเก็บ หรือ ประมวลผลข้อมูลส่วนบุคคลก่อนทุกครั้ง ไม่ให้ความยินยอม…

สิทธิและ “ความยินยอม” ของผู้ป่วย สำคัญอย่างไรกับสถานพยาบาล

ปัจจุบันสิทธิส่วนบุคคลเป็นสิ่งที่สำคัญอย่างมาก ด้วยเพราะมีกฎหมายต่าง ๆ ออกมารองรับมากขึ้น ทำให้การทำธุรกรรม หรือกิจกรรมต่าง ๆ มักต้องได้รับความยินยอมเป็นลายลักษณ์อักษร หรือมีหลักฐานยืนยัน ไม่เว้นแม้แต่การเข้ารับบริการในสถานพยาบาล ซึ่งมีหน้าที่ให้การรักษา หรือให้บริการด้านสาธารณสุขแก่ประชาชนก็จำเป็นต้องเข้าถึงข้อมูลส่วนบุคคลของผู้ป่วย ไม่ว่าจะเป็น ชื่อ-สกุล ประวัติการรักษา หรือข้อมูลสำคัญด้านสุขภาพ ดังนั้นความจำเป็นในการขอ ความยินยอม จึงเป็นสิ่งที่ไม่อาจละเลยได้ ทำไมต้องขอความยินยอมจากผู้เข้ารับบริการ? สำหรับสถานพยาบาล การขอ ความยินยอม จากผู้เข้ารับบริการเป็นสิ่งที่สำคัญไม่แพ้กับการรักษาสวัสดิภาพของผู้เข้ารับบริการ เพราะหากดูตามรายละเอียดใน พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตราที่ 41 ซึ่งระบุไว้ว่า  “ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มี เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ในกรณีดังต่อไปนี้ (1) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงานของรัฐตามที่ คณะกรรมการประกาศกำหนด (2) การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ในการเก็บรวบรวม…

 คลายข้อสงสัย การทำ PDPA เป็นหน้าที่ของใคร

คลายข้อสงสัย การทำ PDPA เป็นหน้าที่ของใคร

อีกเพียง 1 สัปดาห์ ก็จะครบรอบ 1 ปี ของการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุลคล พ.ศ.2562 หรือ PDPA แล้ว ซึ่งตลอดระยะเวลาที่ผ่านมา หลายองค์กรได้เริ่มเคลื่อนไหวปรับเปลี่ยนการทำงานให้สอดคล้องกับกฎหมาย ขณะเดียวกันก็มีอีกหลายองค์กรที่ยังมองข้าม เพียงเพราะไม่รู้ว่าเป็นหน้าที่ของใคร Security Pitch พาไปทำความเข้าใจ ถึงความสำคัญของการทำ PDPA และใครบ้างคือผู้รับผิดชอบในส่วนนี้  PDPA หรือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่ถูกบัญญัติขึ้น โดยมีวัตถุประสงค์เพื่อให้การคุ้มครองข้อมูลส่วนบุคคล เช่น ชื่อ ที่อยู่ เบอร์โทรศัพท์ บัญชีธนาคาร อีเมล ลายนิ้วมือ รวมไปถึงข้อมูลที่มีความละเอียดอ่อนของบุคคล เช่น ความเชื่อ รสนิยมทางเพศ ข้อมูลสุขภาพ…

ความปลอดภัย ตามมาตรฐาน HA กับ สิทธิในการปกปิดข้อมูลของผู้ป่วย

ปี 2564 เกิดเหตุข้อมูลผู้ป่วยโรงพยาบาลแห่งหนึ่งในประเทศไทยรั่วไหล กว่า 16 ล้านรายการ ข้อมูลส่วนบุคคลที่ว่าประกอบด้วย ชื่อ ที่อยู่ เบอร์โทร เลขบัตรประชาชน วันเกิด รวมถึงชื่อแพทย์ประจำตัว ถูกแฮ็กและนำไปประกาศขายบนดาร์กเว็บ แม้เป็นเหตุการณ์ที่ไม่นานเรื่องก็เงียบหาย แต่สิ่งหนึ่งที่บ่งบอกถึงระบบ ความปลอดภัย ในประเทศได้เป็นอย่างดี คือ ภาพสะท้อนถึงมาตรฐานความปลอดภัยของสถานพยาบาลที่หละหลวม ทั้งที่เป็นองค์กรที่ควรคำนึงถึงประเด็นความปลอดภัย และความเป็นส่วนตัวมากที่สุด  ตามมาตรฐานโรงพยาบาลและบริการสุขภาพ (HA) ที่ถือเป็นมาตรฐานที่สถานพยาบาลจำเป็นต้องมี ระบุถึงข้อกำหนดเกี่ยวกับสิทธิของผู้ป่วยว่า จะต้องมีการประกาศสิทธิของผู้ป่วยอย่างชัดเจน 9 ประการ โดยครอบคลุมสิทธิในการรักษา สิทธิในการรับรู้ข้อมูล นอกจากนี้ยังรวมไปถึงสิทธิในการปกปิดข้อมูลของตนเอง หรือ ไม่อนุญาตให้นำไปใช้ได้หากไม่ได้รับอนุญาต แม้มาตรฐานดังกล่าวจะมีมาก่อนการประกาศใช้ พระราชบัญญัติคุ้มครองครองข้อมูลส่วนบุคคล พ.ศ.2562 หรือ PDPA แต่เนื่องจากข้อกำหนดหนึ่งตามมาตรฐาน…

 เสริม “ความปลอดภัย” เพื่อผู้ป่วย สร้างความเชื่อมั่นเพื่อองค์กร

เสริม “ความปลอดภัย” เพื่อผู้ป่วย สร้างความเชื่อมั่นเพื่อองค์กร

ขึ้นชื่อว่าเป็นสถานพยาบาล เราต่างคาดหวังเรื่อง ความปลอดภัย ในทุกด้าน ไม่ว่าจะเป็นมาตรฐานในการรักษา สุขอนามัย ระบบที่ได้มาตรฐาน และความปลอดภัยทางกายภาพที่สามารถเห็นได้ตั้งแต่ก้าวเข้ามาในโรงพยาบาล รวมไปถึงความปลอดภัยทางไซเบอร์ และความเป็นส่วนตัวของข้อมูลส่วนบุคคลที่ผู้ป่วยส่วนใหญ่คาดหวังให้เป็นความลับ แล้วองค์กรของคุณ มีมาตรการความปลอดภัยเหล่านี้แล้วหรือยัง?  ความปลอดภัยทางกายภาพ ทางไซเบอร์ และความเป็นส่วนตัวของข้อมูล เป็นสิ่งที่สถานพยาบาลต้องให้ความสำคัญ เพราะความเชื่อมั่นขององค์กรเกิดขึ้นได้ตั้งแต่ก้าวแรกที่ผู้ป่วยเข้ามาในสถานพยาบาล โดยควรมีระบบรักษาความปลอดภัยที่รัดกุม ไม่ว่าจะเป็นระบบการเข้า-ออก หรือระบบ CCTV ที่มีประสิทธิภาพ รวมถึงการเก็บรักษาข้อมูลส่วนบุคคล และข้อมูลการรักษา ซึ่งเป็นข้อมูลที่ละเอียดอ่อน ให้ปลอดภัย เป็นระบบ และสอดคล้องกับกฎหมาย เพราะหากปล่อยให้ข้อมูลเหล่านี้รั่วไหลออกไป นอกจากจะสร้างความเสียหายให้แก่ผู้ใช้บริการ ยังนำมาซึ่งผลเสียต่อภาพลักษณ์และความเชื่อมั่นขององค์กร ไปจนถึงถูกคาดโทษจากหน่วยงานที่กำกับดูแลและตรวจสอบ Security Pitch เห็นความสำคัญของความปลอดภัยในทุกด้าน เราจึงพัฒนาแพลตฟอร์ม OneFence ขึ้น เพื่อบริหารจัดการความปลอดภัยและความเป็นส่วนตัวแบบรวมศูนย์ ช่วยให้องค์กรทุกขนาดสามารถสร้างระบบนิเวศด้านความปลอดภัยได้อย่างไร้รอยต่อ…

 รัฐบาลใหม่ กับมาตรการรับมือปัญหา “ข้อมูลรั่วไหล” ในวันที่กฎหมาย pdpa บังคับใช้ใกล้ครบ 1 ปี

รัฐบาลใหม่ กับมาตรการรับมือปัญหา “ข้อมูลรั่วไหล” ในวันที่กฎหมาย pdpa บังคับใช้ใกล้ครบ 1 ปี

ขณะที่สปอตไลท์แทบทุกดวงกำลังส่องไปยังว่าที่รัฐบาลใหม่ ซึ่งกำลังจัดตั้งขึ้นเร็ว ๆ นี้ ไม่เพียงแต่จะมีการคาดเดาถึงตัวบุคคล แต่ประชาชนจำนวนไม่น้อยก็กำลังจับตาว่า จะมีนโยบายด้านใดบ้างที่ถูกหยิบยกมาทำให้เป็นจริงก่อน เพื่อแก้ปัญหาที่เกิดขึ้นในสังคมอย่างจริงจัง              และในฐานะที่ Security Pitch เรามองเห็นความสำคัญของความปลอดภัย เป็นหนึ่งในปัจจัยพื้นฐานของชีวิต จึงอยากเห็นนโยบายที่จะมาแก้ปัญหา โดยเฉพาะในเรื่องของความเป็นส่วนตัวของข้อมูลส่วนบุคคล เนื่องจาก 2 ปีที่ผ่านมา ประเทศไทยต้องพบเจอกับปัญหาข้อมูลส่วนบุคคลรั่วไหล เกิดการหลอกลวงโดยแก๊งมิจฉาชีพ อย่าง สแกมเมอร์ คอลเซ็นเตอร์ รวมไปถึงแฮ็กเกอร์ อย่างเหตุการณ์ข้อมูลส่วนบุคคลของประชาชนกว่า 55 ล้านคน รั่วไหล เมื่อไม่กี่เดือนที่ผ่านมา นี่จึงเป็นอีกประเด็นที่น่าสนใจว่า หลังจากการเลือกตั้งแล้ว รัฐบาลใหม่จะใช้อำนาจที่มีแก้ปัญหาดังกล่าวอย่างไรบ้าง หรือจะมีวิธีจัดการ ป้องกันไม่ให้เกิดปัญหาเหล่านี้อีกได้อย่างไร นับเป็นอีกความท้าทายไม่น้อย เพราะประชาชนไม่น้อยยังมองว่า การที่ข้อมูลส่วนบุคคลรั่วไหลไม่ใช่เรื่องใหญ่ และยังไม่มีองค์กรใดที่ให้ความสำคัญเรื่องนี้อย่างแท้จริง รวมไปถึงยังไม่มีกรณีศึกษาที่สำคัญให้ผู้คนรู้สึกตระหนักรู้มากนัก ทั้งที่อีกไม่กี่วันข้างหน้าก็ถึงจะวันที่…

 3 “มาตรฐานความปลอดภัย” ทางไซเบอร์ ที่สำคัญต่อองค์กรยุคใหม่

3 “มาตรฐานความปลอดภัย” ทางไซเบอร์ ที่สำคัญต่อองค์กรยุคใหม่

หากจะเอ่ยถึง มาตรฐานความปลอดภัย องค์กรส่วนใหญ่มักจะมองว่าความปลอดภัยทางกายภาพเป็นสิ่งที่สำคัญ เนื่องจากเป็นสิ่งที่สามารถจับต้องได้ และการมีมาตรการความปลอดภัยที่ดีก็จะช่วยให้องค์กรได้รับความเชื่อมั่นจากบุคลากร และลูกค้าต่าง ๆ มากขึ้น ทว่าในปัจจุบันที่โลกทางกายภาพและไซเบอร์ถูกหล่อหลอมเข้าไว้ด้วยกัน องค์กรอาจพบเจอกับภัยคุกคามด้านความปลอดภัยทางไซเบอร์ได้ด้วย จึงจำเป็นต้องมีมาตรฐานความปลอดภัยทางไซเบอร์ที่ดี Security Pitch จึงหยิบเอามาตรฐานความปลอดภัยทางไซเบอร์ที่ทุกองค์กรควรจะมี มาฝากกันครับ 1. มาตรฐานความปลอดภัย สารสนเทศ ISO 27001 ISO 27001 เป็นหลักเกณฑ์มาตรฐานที่กำหนดขึ้น เพื่อเป็นโครงสร้างพื้นฐานสำหรับระบบบริหารที่เป็นกลางทางเทคโนโลยี และเพื่อเป็นสิ่งการันตีว่า องค์กรของคุณมีมาตรการความปลอดภัยทางข้อมูลที่มีประสิทธิภาพ โดยมีข้อกำหนดมาตรฐาน ดังนี้ ความสามารถในการเข้าถึงข้อมูล การรักษาความลับ การรักษาให้ระบบสารสนเทศของตน และของผู้มีส่วนร่วม มีความครบถ้วนสมบูรณ์ แนวทางในการปฏิบัติตามกฎหมาย ไม่เพียงเท่านั้นมาตรฐานนี้ยังสามารถใช้งานร่วมกับระบบบริหารอื่น ๆ ได้ เช่น ISO 9001…