ข้อมูลลูกค้า PDPA และ GDPR

ทำไมศูนย์ดำน้ำจึงเก็บข้อมูลเหล่านี้ได้

เพราะจำเป็นต่อความปลอดภัย ศูนย์ดำน้ำในไทยอยู่ภายใต้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) ซึ่งวางหลักการไว้ใกล้เคียงกับ GDPR ของยุโรป ทั้งสองฉบับไม่ได้ห้ามการเก็บข้อมูล แต่กำหนดให้ต้องมีเหตุผล มีขอบเขต และมีการปกป้อง เหตุผลในกรณีนี้อธิบายได้ง่าย หากไม่มีข้อมูลสุขภาพ ก็ไม่มีใครรับผิดชอบได้ว่าใครจะลงไปที่ความลึก 30 เมตร ขอบเขตคือ เก็บเฉพาะสิ่งที่จำเป็นสำหรับเรื่องนี้ ส่วนการปกป้องเป็นหน้าที่ของคุณ

สี่นิสัยที่สร้างปัญหา

• แฟ้มใต้เคาน์เตอร์ แบบฟอร์มสุขภาพบนชั้นที่ใครก็หยิบได้ คือกรณีคลาสสิก ข้อมูลที่อ่อนไหวต้องถูกเก็บไว้ในที่ที่ล็อกได้
• สเปรดชีตทางอีเมล รายชื่อลูกค้าพร้อมข้อมูลสุขภาพที่ส่งไปมาระหว่าง เคาน์เตอร์กับไกด์ทางอีเมลหรือแชต สร้างสำเนาที่ไม่มีใครเก็บคืนได้
• บัญชีที่ใช้ร่วมกัน รหัสผ่านเดียวสำหรับทั้งทีม หมายความว่าไม่มีใครบอกได้ในภายหลังว่าใครเห็นอะไร
• ไม่เคยลบอะไรเลย ระยะเวลาการเก็บรักษาคือขีดจำกัดสูงสุด ไม่ใช่คำเชิญให้เก็บทุกอย่างไว้ตลอดไป ระยะเวลาที่ใช้กับคุณ ควรถามนักบัญชีหรือทนายความสักครั้ง

คำขอที่ลูกค้ามักยื่นจริง ๆ

ในทางปฏิบัติมีสองคำขอที่เจอบ่อย และคุณควรตอบได้ทั้งสองข้อโดยไม่ต้องเครียด "คุณเก็บข้อมูลอะไรของฉันไว้บ้าง?" และ "ช่วยลบข้อมูลของฉันด้วย" ข้อแรกตอบได้ด้วยการพิมพ์ข้อมูลลูกค้าออกมา ส่วนข้อสอง ข้อจำกัดคือเอกสาร ที่กฎหมายกำหนดให้ต้องเก็บ อาจยังอยู่จนกว่าจะครบระยะเวลา ควรอธิบายเรื่องนี้ตั้งแต่แรก

กับ Diver ID เรื่องนี้ง่ายขึ้น เพราะโปรไฟล์เป็นของนักดำน้ำเอง นักดำน้ำเห็นได้ว่ามีข้อมูลอะไรถูกเก็บไว้ และจัดการได้ในบัญชีของตัวเอง ศูนย์ของคุณได้รับเอกสารที่จำเป็นสำหรับการเช็คอิน

หนึ่งประโยคเรื่องสัญญาประมวลผลข้อมูล

ถ้าคุณเก็บข้อมูลลูกค้าไว้ในซอฟต์แวร์ที่บริษัทอื่นเป็นผู้ให้บริการ คุณต้องมีข้อตกลง การประมวลผลข้อมูล (Data Processing Agreement) กับบริษัทนั้น ทั้งตาม GDPR และ PDPA เรื่องนี้เป็นมาตรฐาน ไม่ใช่อุปสรรค แค่ขอเอกสารจากผู้ให้บริการ สิ่งที่บทความนี้ไม่ใช่ และเป็นไม่ได้ คือคำปรึกษาทางกฎหมาย รายละเอียดขึ้นอยู่กับประเทศที่ศูนย์ของคุณดำเนินกิจการ

คำถามที่พบบ่อย