ความมั่นคงปลอดภัยไซเบอร์ ไม่ได้แปลว่าคุณทำถูกกฎหมายเสมอไป!

หลายองค์กรมักเข้าใจผิดว่า หากมีระบบ ความมั่นคงปลอดภัยไซเบอร์ ที่แข็งแกร่ง ป้องกันการโจมตีหรือข้อมูลรั่วไหลได้ดี นั่นหมายความว่าองค์กรได้ปฏิบัติตาม กฎหมายคุ้มครองข้อมูลส่วนบุคคล อย่างครบถ้วนแล้ว แต่ในความเป็นจริงแล้ว สองสิ่งนี้มีความแตกต่างกันอย่างมาก และการมีอย่างหนึ่ง ไม่ได้หมายความว่ามีอีกอย่างหนึ่งโดยอัตโนมัติ

ความมั่นคงปลอดภัยไซเบอร์ คืออะไร?

ความมั่นคงปลอดภัยไซเบอร์ หรือ Cybersecurity คือ มาตรการและเทคโนโลยีที่ใช้เพื่อปกป้องระบบคอมพิวเตอร์ เครือข่าย และข้อมูลจากการเข้าถึงที่ไม่ได้รับอนุญาต การถูกทำลาย การเปลี่ยนแปลง หรือการถูกโจรกรรม

เป้าหมายหลักคือการรักษา ความลับ (Confidentiality) ความสมบูรณ์ (Integrity) และ ความพร้อมใช้งาน (Availability) ของข้อมูลและระบบ

ตัวอย่างเช่น การติดตั้ง ไฟร์วอลล์ (Firewall) การใช้โปรแกรม ป้องกันไวรัส (Antivirus) การเข้ารหัสข้อมูล (Encryption) การสำรองข้อมูล และการใช้ระบบยืนยันตัวตนแบบหลายชั้น

ทั้งหมดนี้เป็นการป้องกันข้อมูลจากภัยคุกคามทางเทคนิคเป็นหลัก

กฎหมายคุ้มครองข้อมูลส่วนบุคคล ทำงานอย่างไร?

ในทางกลับกัน กฎหมายคุ้มครองข้อมูลส่วนบุคคล ไม่ได้มุ่งเน้นแค่เรื่องการป้องกันทางเทคนิคเท่านั้น แต่เน้นไปที่ “วิธีการ” และ “เหตุผล” ในการเก็บ รวบรวม ใช้ และเปิดเผย ข้อมูลส่วนบุคคล ตั้งแต่เริ่มต้นจนสิ้นสุด

กฎหมายประเภทนี้จะกำหนดหน้าที่ให้องค์กรต้องดำเนินการอย่างถูกต้องตามหลักการ เช่น

ต้องมี ฐานทางกฎหมาย (Legal Basis) ที่ชัดเจนในการประมวลผลข้อมูล
ต้องได้รับ ความยินยอม (Consent) จากเจ้าของข้อมูลในบางกรณี
ต้องแจ้ง วัตถุประสงค์ (Purpose) ในการเก็บข้อมูลอย่างชัดเจน
ต้องเก็บข้อมูลเท่าที่จำเป็น (Data Minimization)
ต้องให้ สิทธิ (Data Subject Rights) แก่เจ้าของข้อมูล เช่น สิทธิในการเข้าถึง แก้ไข ลบ หรือโอนย้ายข้อมูล
ต้องมีการบริหารจัดการข้อมูลอย่างโปร่งใส และสามารถตรวจสอบได้ (Accountability)

แม้ปลอดภัยแต่ก็ผิดกฎหมายได้ จริงหรือ?

เป็นไปได้สูงมาก ตัวอย่างเช่น องค์กรของคุณอาจมีระบบป้องกันข้อมูลที่แน่นหนา ไม่มีใครสามารถแฮกเข้ามาได้ แต่ก็ยังเสี่ยงที่จะละเมิดกฎหมายคุ้มครองข้อมูลส่วนบุคคลได้ หากคุณ:

เก็บข้อมูลส่วนบุคคลเกินความจำเป็น เช่น ขอข้อมูลรายได้ของลูกค้า เพียงเพื่อส่งอีเมลประชาสัมพันธ์
ประมวลผลข้อมูลโดยไม่มีฐานทางกฎหมาย เช่น นำข้อมูลที่ได้รับความยินยอมให้ใช้แค่ส่งข่าวสาร ไปวิเคราะห์พฤติกรรมลูกค้าเพื่อวัตถุประสงค์อื่น โดยไม่แจ้งหรือขอความยินยอมเพิ่ม
ไม่แจ้งสิทธิ หรือช่องทางการใช้สิทธิของเจ้าของข้อมูลให้ชัดเจน
เก็บรักษาข้อมูลไว้นานเกินความจำเป็น ที่กฎหมายหรือวัตถุประสงค์กำหนด
ไม่มีข้อตกลงที่รัดกุม กับผู้ให้บริการภายนอกที่ประมวลผลข้อมูลแทนคุณ (เช่น ผู้ให้บริการ Cloud)
ไม่สามารถตอบสนองต่อคำขอใช้สิทธิ ของเจ้าของข้อมูลได้ภายในระยะเวลาที่กำหนด

สถานการณ์เหล่านี้ล้วนเป็นการกระทำที่ถูกต้องตามหลักการทางเทคนิค แต่อาจผิดหลักกฎหมาย

ทางออกคือการบูรณาการที่รอบด้าน

การปกป้องข้อมูลส่วนบุคคลอย่างแท้จริง ต้องอาศัยการทำงานร่วมกันระหว่าง ความมั่นคงปลอดภัยไซเบอร์ และ การปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล องค์กรจำเป็นต้องมีทั้งการป้องกันทางเทคนิคที่แข็งแกร่ง และมีนโยบาย กระบวนการ รวมถึงความเข้าใจด้านกฎหมายที่ชัดเจน

นี่ไม่ใช่แค่เรื่องของฝ่ายไอที หรือฝ่ายกฎหมายเท่านั้น แต่เป็นเรื่องที่ทุกส่วนงานในองค์กรต้องให้ความสำคัญ ตั้งแต่การวางแผน การดำเนินงาน ไปจนถึงการฝึกอบรมพนักงาน

การสร้างวัฒนธรรมองค์กรที่ตระหนักถึงคุณค่าและความสำคัญของการปกป้องข้อมูลส่วนบุคคล จะนำไปสู่การจัดการข้อมูลที่มีประสิทธิภาพและถูกต้องตามกฎหมายอย่างยั่งยืน