นอกเหนือจากการเลือกช่องทำเครื่องหมาย: การสร้างท่าทีด้านความปลอดภัยที่เน้น “ความเป็นส่วนตัวเป็นอันดับแรก” ภายใต้ DPDPA

เกี่ยวกับตอนนี้

ในหัวข้อ “ชั่วโมงแห่งความเป็นส่วนตัว” นี้ Seqrite คุณ Apurva Saxena จาก KPMG อินเดีย เป็นผู้ดำเนินรายการ เพื่อพูดคุยเกี่ยวกับการเปลี่ยนแปลงเชิงปฏิบัติจากการมองความเป็นส่วนตัวว่าเป็นเพียงอุปสรรคด้านการปฏิบัติตามกฎระเบียบ ไปสู่การเป็นกรอบการทำงานหลักของธุรกิจ การคุ้มครองข้อมูลส่วนบุคคลดิจิทัล (DPDP) เมื่อกฎหมายมีผลบังคับใช้เต็มรูปแบบแล้ว

การสนทนาเน้นย้ำว่าองค์กรในอินเดียต้องปรับใช้แนวทางการรักษาความปลอดภัยที่เน้น “ความเป็นส่วนตัวเป็นอันดับแรก” ในขณะนี้ ปกป้องข้อมูล ปฏิบัติตามหลักการและหลีกเลี่ยงบทลงโทษที่รุนแรง

คำถามที่พบบ่อยต่อไปนี้อ้างอิงจากข้อมูลเชิงกลยุทธ์และการดำเนินงานที่ได้แบ่งปันในระหว่างการประชุม

คำถามที่พบบ่อย

กฎหมาย DPDPA มอบอำนาจให้พลเมืองอินเดีย (ผู้มีอำนาจตัดสินใจด้านข้อมูล) ได้อย่างไร?

กฎหมายฉบับนี้เพิ่มสิทธิของผู้ใช้อย่างมีนัยสำคัญเมื่อเทียบกับกฎหมายฉบับก่อนหน้า การให้อำนาจที่สำคัญ ได้แก่ สิทธิในการแต่งตั้ง (การแต่งตั้งบุคคลเพื่อใช้สิทธิในกรณีเสียชีวิตหรือไร้ความสามารถ) และกลไกการแก้ไขข้อร้องเรียนที่ชัดเจน ปัจจุบันองค์กรต่างๆ ต้องแก้ไขข้อร้องเรียนภายใน 90 วัน ตามที่รัฐบาลกำหนด

องค์กรทุกแห่งจำเป็นต้องใช้ “โปรแกรมจัดการความยินยอม” หรือไม่?

ไม่ครับ ความเข้าใจผิดที่พบบ่อยคือ ทุกบริษัทจำเป็นต้องมีผู้จัดการความยินยอม (Consent Manager) ระบบความยินยอมที่มีอยู่แล้วมักจะเพียงพอ ผู้จัดการความยินยอม ซึ่งทำหน้าที่เป็นผู้รวบรวมหรือผู้บูรณาการ จะมีความจำเป็นเฉพาะในสถานการณ์ที่ซับซ้อนซึ่งเกี่ยวข้องกับการตรวจสอบจากบุคคลที่สาม เช่น การตรวจสอบเครดิตหรือการยืนยันตัวตน (คล้ายกับ DigiLocker)

องค์กรควรจัดการกับคำขอข้อมูลส่วนบุคคล (Data Subject Requests หรือ DSRs) อย่างมีประสิทธิภาพอย่างไร?

แม้ว่าปัจจุบันหลายองค์กรจะจัดการคำขอด้วยตนเอง แต่ระบบดิจิทัลที่แข็งแกร่งนั้นจำเป็นอย่างยิ่งสำหรับการขยายขนาด ซึ่งประกอบด้วย:

• ระบบ DSR สำหรับบันทึกคำขอ
• ชั้นการค้นหาข้อมูลพื้นฐานเพื่อค้นหาข้อมูลที่มีโครงสร้างและไม่มีโครงสร้าง
• ROPA (Record of Processing Activities) คือระบบที่ใช้ระบุตำแหน่งและแหล่งที่มาของข้อมูล เพื่อให้มั่นใจว่ารายงานมีความถูกต้องและสามารถตรวจสอบได้

องค์กรสามารถลบข้อมูลโดยอัตโนมัติได้หรือไม่ เมื่อวัตถุประสงค์บรรลุผลแล้ว?

แม้ว่าการทำงานแบบอัตโนมัติจะเป็นไปได้ แต่ก็อาจเป็นอันตรายได้หากไม่ได้ดำเนินการอย่างระมัดระวัง ตรรกะการลบต้องคำนึงถึงข้อจำกัดต่างๆ เช่น:

• กฎหมายเฉพาะภาคส่วนข้อกำหนดของ RBI อาจกำหนดให้ต้องเก็บรักษาข้อมูลไว้เป็นเวลาหลายปี โดยไม่คำนึงถึง DPDPA
• การยึดทรัพย์ทางกฎหมายข้อมูลที่เกี่ยวข้องกับข้อพิพาทในศาลในปัจจุบันจะต้องได้รับการเก็บรักษาไว้
• การสำรองข้อมูล: การลบข้อมูลต้องคำนึงถึงข้อมูลที่จัดเก็บอยู่บนเทปหรือเซิร์ฟเวอร์สำรองด้วย

DPIA คืออะไร และเหตุใดจึงมีความสำคัญสำหรับผู้ดูแลข้อมูลสำคัญ (SDFs)?

A การคุ้มครองข้อมูล การประเมินผลกระทบ (DPIA) เป็นการประเมินตามความเสี่ยงที่มุ่งเน้นผลกระทบของการประมวลผลต่อเจ้าของข้อมูล ช่วยให้หน่วยงานคุ้มครองข้อมูลส่วนบุคคล (SDF) ระบุความเสี่ยงต่างๆ เช่น การโจรกรรมข้อมูลส่วนบุคคล ความเสียหายต่อชื่อเสียง หรือการสูญเสียทางการเงิน และเชื่อมโยงความเสี่ยงเหล่านั้นกับมาตรการบรรเทาผลกระทบทางเทคนิคและองค์กรที่เฉพาะเจาะจง

ปัญญาประดิษฐ์ส่งผลกระทบต่อการกำกับดูแลความเป็นส่วนตัวอย่างไร?

ปัญญาประดิษฐ์ (AI) เพิ่มความซับซ้อนให้กับการกำกับดูแล องค์กรที่ใช้ AI ควร:

• ข้อความแจ้งเตือนแบบไม่ระบุชื่อใช้ตรรกะในการคัดกรองข้อมูลส่วนบุคคลก่อนที่จะนำเข้าสู่ระบบจัดการกฎหมาย (LLM)
• มนุษย์ในวง: ตรวจสอบผลลัพธ์จาก AI ด้วย "สายตาของมนุษย์" เพื่อหลีกเลี่ยงอคติและข้อผิดพลาด
• การควบคุมผู้ขาย: ตรวจสอบว่าผู้ให้บริการแบ็กเอนด์ (เช่น Microsoft หรือ OpenAI) ใช้ข้อมูลของคุณในการฝึกโมเดลของพวกเขาหรือไม่

กำหนดเวลาใหม่สำหรับการรายงานการละเมิดข้อมูลภายใต้ DPDPA คืออะไร?

แตกต่างจากกรอบเวลา 72 ชั่วโมงแบบไม่เป็นทางการก่อนหน้านี้ กรมคุ้มครองผู้บริโภค (DPDA) กำหนดให้องค์กรต้องแจ้งคณะกรรมการและบุคคลที่ได้รับผลกระทบ “โดยเร็วที่สุด” (ASAP) เมื่อตรวจพบการละเมิด จากนั้นต้องมีรายงานโดยละเอียดตามมาภายใน 72 ชั่วโมง

ขั้นตอนแรกสำหรับบริษัทที่เริ่มต้นเส้นทางการรักษาความเป็นส่วนตัวในปัจจุบันคืออะไร?

ขั้นตอนที่สำคัญที่สุดคือการจ้างคนที่เหมาะสม นอกจากนี้ยังแนะนำอย่างยิ่งให้แยกบทบาทของเจ้าหน้าที่คุ้มครองข้อมูล (Data Protection Officer หรือ DPO) ออกจากบทบาทของ CISO (Chief Information Security Officer) เพื่อให้เกิดความโปร่งใสและหลีกเลี่ยงความขัดแย้งทางผลประโยชน์ภายในเมื่อรายงานปัญหา

การประชุมครั้งนี้ทำหน้าที่เป็นแผนที่นำทางสำหรับผู้นำด้านไอทีและกฎหมายในการนำแผนงานไปปฏิบัติใช้จริง data privacy กรอบการทำงานที่ก้าวข้ามการปฏิบัติตามกฎระเบียบไปสู่การสร้างความไว้วางใจทางดิจิทัลอย่างแท้จริง