ธุรกิจต่าง ๆ มีการเก็บรวบรวมข้อมูลส่วนบุคคลในทุก ๆ วัน ไม่ว่าจะเป็นข้อมูลการลงทะเบียนของลูกค้า ประวัติพนักงาน การสอบถามข้อมูลผ่านเว็บไซต์ ธุรกรรมการชำระเงิน ฐานข้อมูลทางการตลาด หรือใบสมัครงาน ซึ่งล้วนเป็นข้อมูลที่องค์กรจำเป็นต้องบริหารจัดการอย่างมีความรับผิดชอบ
อย่างไรก็ตาม การเก็บรวบรวมข้อมูลส่วนบุคคลเป็นเพียงส่วนหนึ่งของการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลเท่านั้น ธุรกิจยังจำเป็นต้องเข้าใจว่าตนสามารถเก็บรักษาข้อมูลดังกล่าวได้นานเพียงใด เมื่อใดควรลบข้อมูล และต้องดำเนินการอย่างไรเมื่อเจ้าของข้อมูลร้องขอให้ลบข้อมูลของตน
ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือที่เรียกกันทั่วไปว่า PDPA องค์กรไม่สามารถถือว่าข้อมูลส่วนบุคคลเป็นข้อมูลที่สามารถจัดเก็บไว้ได้อย่างไม่มีกำหนด แต่จำเป็นต้องกำหนดระยะเวลาการเก็บรักษาที่เหมาะสม รวมถึงจัดให้มีระบบสำหรับลบหรือทำลายข้อมูลเมื่อหมดความจำเป็น ทั้งนี้ ภายใต้ข้อยกเว้นตามที่กฎหมายกำหนด
บทความนี้จะอธิบายข้อกำหนดทางกฎหมายที่สำคัญและแนวทางปฏิบัติที่ธุรกิจในประเทศไทยควรพิจารณาเมื่อต้องจัดทำนโยบายการเก็บรักษาและการลบข้อมูลส่วนบุคคล
1. เหตุใดการเก็บรักษาข้อมูลจึงมีความสำคัญภายใต้กฎหมาย PDPA ของประเทศไทย
การเก็บรักษาข้อมูลส่วนบุคคลหมายถึงระยะเวลาที่องค์กรจัดเก็บข้อมูลที่เกี่ยวข้องกับบุคคลซึ่งสามารถระบุตัวตนได้
ตัวอย่างของข้อมูลดังกล่าว ได้แก่
- ชื่อ หมายเลขโทรศัพท์ และที่อยู่อีเมลของลูกค้า
- ประวัติของพนักงานปัจจุบันและอดีตพนักงาน
- เอกสารแสดงตัวตนและข้อมูลทางการเงิน
- ข้อมูลผู้เข้าชมเว็บไซต์และประวัติการใช้งานออนไลน์
- ฐานข้อมูลทางการตลาดและประวัติการติดต่อสื่อสารกับลูกค้า
- ใบสมัครงานและข้อมูลที่เกี่ยวข้องกับกระบวนการสรรหาบุคลากร
การเก็บรักษาข้อมูลเหล่านี้ไว้นานเกินความจำเป็นอาจเพิ่มความเสี่ยงด้านความเป็นส่วนตัว ความมั่นคงปลอดภัยทางไซเบอร์ และการปฏิบัติตามกฎระเบียบ
ตัวอย่างเช่น องค์กรที่เก็บรักษาฐานข้อมูลลูกค้าที่ล้าสมัยไว้อย่างไม่มีกำหนด อาจทำให้บุคคลที่เกี่ยวข้องต้องเผชิญกับความเสี่ยงที่ไม่จำเป็น หากระบบขององค์กรถูกโจมตีหรือถูกละเมิดความปลอดภัย
ดังนั้น PDPA จึงกำหนดให้ธุรกิจต้องพิจารณาวัตถุประสงค์ของการเก็บรวบรวมข้อมูล และจัดให้มีมาตรการที่เหมาะสมสำหรับการตรวจสอบและการลบหรือทำลายข้อมูลส่วนบุคคล
2. กฎหมาย PDPA กำหนดเกี่ยวกับการเก็บรักษาข้อมูลไว้อย่างไร?
มาตรา 37 แห่ง PDPA กำหนดหน้าที่สำคัญของผู้ควบคุมข้อมูลส่วนบุคคลไว้โดยเฉพาะ
โดยมาตรา 37(3) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีระบบการตรวจสอบเพื่อลบหรือทำลายข้อมูลส่วนบุคคลเมื่อเกิดกรณีดังต่อไปนี้
- ระยะเวลาการเก็บรักษาข้อมูลที่กำหนดไว้ได้สิ้นสุดลงแล้ว
- ข้อมูลส่วนบุคคลไม่มีความเกี่ยวข้องหรือไม่มีความจำเป็นต่อวัตถุประสงค์เดิมอีกต่อไป
- เจ้าของข้อมูลส่วนบุคคลร้องขอให้ลบหรือทำลายข้อมูล
- เจ้าของข้อมูลส่วนบุคคลถอนความยินยอม ในกรณีที่ความยินยอมเป็นฐานทางกฎหมายที่ใช้ในการประมวลผล และไม่มีฐานทางกฎหมายอื่นที่อนุญาตให้ประมวลผลข้อมูลต่อไปได้
อย่างไรก็ตาม หน้าที่ดังกล่าวอยู่ภายใต้ข้อยกเว้นทางกฎหมายบางประการ รวมถึงกรณีที่เกี่ยวข้องกับการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การใช้สิทธิเรียกร้อง หรือการยกขึ้นต่อสู้สิทธิเรียกร้อง และการปฏิบัติตามกฎหมายที่เกี่ยวข้อง
นอกจากนี้ มาตรา 39 ยังกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลที่อยู่ภายใต้ข้อกำหนดต้องจัดทำบันทึกรายการเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล ซึ่งรวมถึงระยะเวลาการเก็บรักษาข้อมูล โดยอยู่ภายใต้ข้อยกเว้นที่กฎหมายกำหนด
สิ่งสำคัญคือ PDPA ไม่ได้กำหนดระยะเวลาการเก็บรักษาข้อมูลแบบเดียวที่ใช้กับข้อมูลส่วนบุคคลทุกประเภท ธุรกิจจึงต้องกำหนดระยะเวลาที่เหมาะสมโดยพิจารณาจากวัตถุประสงค์ของการประมวลผลข้อมูล หน้าที่ตามกฎหมายที่เกี่ยวข้อง และข้อกำหนดเฉพาะของแต่ละอุตสาหกรรม
3. ธุรกิจควรกำหนดระยะเวลาการเก็บรักษาข้อมูลอย่างไร?
นโยบายการเก็บรักษาข้อมูลที่มีประสิทธิภาพควรระบุให้ชัดเจนว่าข้อมูลส่วนบุคคลแต่ละประเภทจำเป็นต้องจัดเก็บไว้นานเพียงใด
ธุรกิจควรหลีกเลี่ยงการกำหนดระยะเวลาการเก็บรักษาแบบเดียวสำหรับเอกสารหรือฐานข้อมูลทุกประเภท
แต่ควรประเมินความจำเป็นของข้อมูลแต่ละประเภทแยกจากกัน
ข้อมูลลูกค้า
ข้อมูลลูกค้าอาจจำเป็นต้องเก็บรักษาไว้ในระหว่างที่ความสัมพันธ์ทางการค้ายังคงดำเนินอยู่ หรือเก็บไว้ตามระยะเวลาที่กฎหมายกำหนดภายหลังจากการทำธุรกรรมเสร็จสิ้น
ข้อมูลพนักงาน
ข้อมูลการจ้างงานอาจจำเป็นต้องเก็บรักษาไว้เพื่อการบริหารจัดการเงินเดือน การปฏิบัติตามหน้าที่ด้านแรงงาน ข้อกำหนดทางภาษี และการรองรับข้อพิพาทแรงงานที่อาจเกิดขึ้น
ข้อมูลการสมัครงาน
ข้อมูลของผู้สมัครงานที่ไม่ได้รับการคัดเลือกไม่ควรถูกเก็บไว้ในฐานข้อมูลการสรรหาบุคลากรอย่างไม่มีกำหนดโดยอัตโนมัติ องค์กรควรกำหนดระยะเวลาการเก็บรักษาที่เหมาะสม โดยพิจารณาจากวัตถุประสงค์ในการสรรหาบุคลากรและข้อกำหนดทางกฎหมายที่เกี่ยวข้อง
ฐานข้อมูลทางการตลาด
ข้อมูลลูกค้าที่เก็บรวบรวมเพื่อวัตถุประสงค์ทางการตลาดควรได้รับการตรวจสอบอย่างสม่ำเสมอ ธุรกิจควรพิจารณาว่าวัตถุประสงค์เดิมยังคงมีความเหมาะสมหรือไม่ และยังมีฐานทางกฎหมายที่รองรับการใช้ข้อมูลดังกล่าวต่อไปหรือไม่
ข้อมูลเว็บไซต์และข้อมูลการวิเคราะห์
คุกกี้ ตัวระบุการติดตาม บันทึกการใช้งานเว็บไซต์ และข้อมูลการวิเคราะห์ควรได้รับการตรวจสอบ เพื่อให้มั่นใจว่าระยะเวลาการเก็บรักษาสอดคล้องกับวัตถุประสงค์ที่ได้แจ้งแก่ผู้ใช้งานและข้อกำหนดด้านการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้อง
สำหรับข้อมูลแต่ละประเภท ธุรกิจควรจัดทำเอกสารระบุวัตถุประสงค์ ระยะเวลาการเก็บรักษา ฐานทางกฎหมายที่เกี่ยวข้อง และขั้นตอนการลบหรือทำลายข้อมูลให้ชัดเจน
4. จะเกิดอะไรขึ้นเมื่อมีบุคคลร้องขอให้ลบข้อมูลส่วนบุคคล?
มาตรา 33 แห่ง PDPA กำหนดให้เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องขอให้ลบหรือทำลายข้อมูลส่วนบุคคลของตน หรือทำให้ข้อมูลดังกล่าวไม่สามารถระบุตัวบุคคลได้ในบางกรณีที่กฎหมายกำหนด
กรณีดังกล่าวรวมถึงสถานการณ์ต่อไปนี้
- ข้อมูลไม่มีความจำเป็นอีกต่อไปสำหรับวัตถุประสงค์ที่ได้เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลนั้น
- เจ้าของข้อมูลถอนความยินยอม และไม่มีฐานทางกฎหมายอื่นที่อนุญาตให้ประมวลผลข้อมูลต่อไปได้
- เจ้าของข้อมูลใช้สิทธิคัดค้านการประมวลผลข้อมูลตามที่กฎหมายกำหนดได้สำเร็จ
- ข้อมูลส่วนบุคคลถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมาย
อย่างไรก็ตาม สิทธิดังกล่าวไม่ได้เป็นสิทธิที่สามารถใช้ได้โดยไม่มีข้อจำกัดในทุกกรณี
ธุรกิจอาจมีเหตุผลทางกฎหมายในการเก็บรักษาข้อมูลบางประเภทต่อไปได้ หากเข้าข้อยกเว้นที่กฎหมายกำหนด เช่น การจำเป็นเพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมาย การใช้สิทธิเรียกร้อง หรือการยกขึ้นต่อสู้สิทธิเรียกร้อง รวมถึงการปฏิบัติตามหน้าที่ทางกฎหมาย
เมื่อได้รับคำร้องขอให้ลบข้อมูล องค์กรควรดำเนินการดังต่อไปนี้
- ตรวจสอบและยืนยันตัวตนของผู้ร้องขอตามความเหมาะสม
- ระบุข้อมูลส่วนบุคคลที่อยู่ภายใต้คำร้องขอให้ชัดเจน
- พิจารณาฐานทางกฎหมายที่เกี่ยวข้อง และตรวจสอบว่ามีข้อยกเว้นที่อนุญาตให้เก็บรักษาข้อมูลต่อไปหรือไม่
- ประเมินว่าข้อมูลดังกล่าวจำเป็นต้องถูกลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้หรือไม่
- บันทึกการตัดสินใจและการดำเนินการที่ได้ทำไป
- แจ้งผลการดำเนินการให้เจ้าของข้อมูลทราบตามที่กฎหมายกำหนด
นอกจากนี้ ประกาศของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับหลักเกณฑ์การลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ ซึ่งมีผลใช้บังคับตั้งแต่วันที่ 11 พฤศจิกายน 2567 ยังได้กำหนดหลักเกณฑ์เกี่ยวกับการจัดการคำร้องขอให้ลบข้อมูล รวมถึงระยะเวลาดำเนินการสูงสุดไม่เกิน 90 วันในกรณีที่ประกาศดังกล่าวครอบคลุม
ดังนั้น ธุรกิจควรตรวจสอบให้แน่ใจว่าขั้นตอนการดำเนินงานภายในสอดคล้องกับข้อกำหนดที่เกี่ยวข้อง แทนที่จะพึ่งพาวิธีการลบข้อมูลที่ไม่เป็นทางการหรือขาดความสม่ำเสมอ
5. เหตุใดการลบข้อมูลออกจากระบบเดียวจึงอาจไม่เพียงพอ?
ในปัจจุบัน องค์กรส่วนใหญ่มักไม่ได้จัดเก็บข้อมูลส่วนบุคคลไว้ในสถานที่หรือระบบเพียงแห่งเดียว
ข้อมูลลูกค้าและพนักงานอาจกระจายอยู่ในระบบต่าง ๆ เช่น
- ฐานข้อมูลภายในและแอปพลิเคชันทางธุรกิจ
- แพลตฟอร์มจัดเก็บข้อมูลบนคลาวด์
- ระบบบริหารจัดการความสัมพันธ์กับลูกค้า (CRM)
- บัญชีอีเมลและแพลตฟอร์มการสื่อสาร
- ผู้ให้บริการภายนอก
- เครื่องมือระบบอัตโนมัติทางการตลาด
- ระบบสำรองข้อมูลและระบบกู้คืนข้อมูลเมื่อเกิดเหตุฉุกเฉิน
การลบข้อมูลออกจากฐานข้อมูลหลักไม่ได้หมายความว่าข้อมูลทุกสำเนาจะถูกลบออกไปทั้งหมดเสมอไป
ดังนั้น ธุรกิจควรจัดทำแผนผังแสดงแหล่งจัดเก็บข้อมูลส่วนบุคคล และกำหนดขั้นตอนการดำเนินงานให้ครอบคลุมระบบที่เกี่ยวข้อง สำเนาข้อมูล และข้อมูลสำรอง
ในกรณีที่ผู้ประมวลผลข้อมูลส่วนบุคคลภายนอกเป็นผู้จัดการข้อมูลดังกล่าว องค์กรควรตรวจสอบข้อตกลงตามสัญญาและความรับผิดชอบในการลบข้อมูลด้วย
ขั้นตอนการดำเนินงานที่ชัดเจนควรอธิบายวิธีการส่งต่อคำสั่งลบข้อมูล การดำเนินการ และการตรวจสอบยืนยันว่าข้อมูลถูกลบออกจากระบบที่เกี่ยวข้องแล้ว
6. การทำข้อมูลให้ไม่สามารถระบุตัวบุคคลได้: ทางเลือกแทนการลบข้อมูล?
ในบางสถานการณ์ องค์กรอาจมีเหตุผลอันชอบด้วยกฎหมายในการเก็บรักษาข้อมูลไว้เพื่อการวิเคราะห์ทางสถิติ การวิจัย หรือการจัดทำรายงานผลการดำเนินงาน
ในกรณีที่เหมาะสม การทำข้อมูลให้ไม่สามารถระบุตัวบุคคลได้อาจเป็นทางเลือกหนึ่งแทนการเก็บรักษาข้อมูลส่วนบุคคลที่ยังสามารถระบุตัวบุคคลได้
การทำข้อมูลให้ไม่สามารถระบุตัวบุคคลได้ หมายถึงการประมวลผลข้อมูลด้วยวิธีการที่ทำให้ไม่สามารถระบุตัวบุคคลได้ทั้งทางตรงและทางอ้อม โดยใช้วิธีการหรือข้อมูลที่มีอยู่และสามารถเข้าถึงได้อย่างสมเหตุสมผล
ตัวอย่างเช่น ธุรกิจอาจต้องการวิเคราะห์แนวโน้มการซื้อสินค้าของลูกค้าในอดีต โดยไม่จำเป็นต้องเก็บรักษาชื่อ หมายเลขโทรศัพท์ หรือข้อมูลอื่นที่สามารถใช้ระบุตัวบุคคลได้
อย่างไรก็ตาม การลบเพียงชื่อของบุคคลออกจากข้อมูลอาจยังไม่เพียงพอ เนื่องจากข้อมูลอื่น ๆ เช่น ตัวระบุเฉพาะ ประวัติการทำธุรกรรม หรือการนำรายละเอียดส่วนบุคคลหลายรายการมาประกอบกัน อาจยังทำให้สามารถระบุตัวบุคคลได้
ดังนั้น ธุรกิจควรประเมินว่ากระบวนการทำข้อมูลให้ไม่สามารถระบุตัวบุคคลได้นั้นมีประสิทธิภาพเพียงพอหรือไม่ และข้อมูลที่ผ่านกระบวนการดังกล่าวยังคงเข้าข่ายเป็นข้อมูลส่วนบุคคลตามกฎหมายที่เกี่ยวข้องหรือไม่
7. ความเสี่ยงจากการบริหารจัดการระยะเวลาการเก็บรักษาข้อมูลที่ไม่มีประสิทธิภาพ
นโยบายการเก็บรักษาและการลบข้อมูลที่ไม่เหมาะสมอาจก่อให้เกิดความเสี่ยงหลายประการต่อธุรกิจ
ความเสี่ยงด้านการปฏิบัติตามกฎระเบียบ
การไม่จัดให้มีขั้นตอนการกำจัดข้อมูลที่เหมาะสมอาจส่งผลให้องค์กรไม่ปฏิบัติตามข้อกำหนดของ PDPA
การละเมิดข้อมูลส่วนบุคคล
การเก็บรักษาข้อมูลส่วนบุคคลที่ไม่จำเป็นเพิ่มปริมาณข้อมูลที่อาจถูกเปิดเผยเมื่อเกิดเหตุการณ์ด้านความมั่นคงปลอดภัยทางไซเบอร์
ความไม่มีประสิทธิภาพในการดำเนินงาน
การจัดเก็บข้อมูลโดยไม่มีการควบคุมทำให้การค้นหา การบริหารจัดการ และการเรียกใช้ข้อมูลที่จำเป็นทำได้ยากขึ้น
ความเสี่ยงด้านการปฏิบัติตามกฎหมายของบุคคลภายนอก
ธุรกิจอาจสูญเสียความสามารถในการตรวจสอบและควบคุมข้อมูลส่วนบุคคลที่จัดเก็บโดยผู้ให้บริการคลาวด์ บริษัทตัวแทนการตลาด และผู้ให้บริการภายนอกรายอื่น
ความเสียหายต่อชื่อเสียง
ลูกค้าและพนักงานอาจสูญเสียความเชื่อมั่นต่อองค์กรที่ไม่สามารถแสดงให้เห็นถึงการบริหารจัดการข้อมูลส่วนบุคคลอย่างมีความรับผิดชอบ
ดังนั้น การบริหารจัดการระยะเวลาการเก็บรักษาข้อมูลอย่างมีประสิทธิภาพจึงไม่ใช่เพียงงานด้านธุรการเท่านั้น แต่ยังเป็นองค์ประกอบสำคัญของการกำกับดูแลกิจการและการบริหารความเสี่ยงอีกด้วย
8. เช็กลิสต์แนวทางปฏิบัติเพื่อให้สอดคล้องกับข้อกำหนดด้านการเก็บรักษาข้อมูล
ธุรกิจในประเทศไทยควรพิจารณาดำเนินมาตรการดังต่อไปนี้
- ระบุข้อมูลส่วนบุคคล: จัดทำแผนผังแสดงประเภทของข้อมูลส่วนบุคคลที่องค์กรเก็บรวบรวมและจัดเก็บ
- กำหนดวัตถุประสงค์: บันทึกเหตุผลและวัตถุประสงค์ในการประมวลผลข้อมูลแต่ละประเภท
- กำหนดระยะเวลาการเก็บรักษา: กำหนดระยะเวลาที่เหมาะสมโดยพิจารณาจากวัตถุประสงค์ทางธุรกิจและข้อกำหนดทางกฎหมายที่เกี่ยวข้อง
- ปรับปรุงประกาศความเป็นส่วนตัว: ตรวจสอบให้แน่ใจว่าเจ้าของข้อมูลได้รับแจ้งเกี่ยวกับระยะเวลาการเก็บรักษาข้อมูล หรือหลักเกณฑ์ที่ใช้ในการกำหนดระยะเวลาดังกล่าว
- จัดให้มีขั้นตอนการลบข้อมูล: กำหนดกระบวนการลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้เมื่อจำเป็น
- บริหารจัดการคำร้องขอให้ลบข้อมูล: จัดให้มีขั้นตอนที่เป็นระบบสำหรับการรับ การพิจารณา และการตอบสนองต่อคำร้องขอจากเจ้าของข้อมูล
- ตรวจสอบผู้ให้บริการภายนอก: ตรวจสอบว่าสัญญาที่เกี่ยวข้องครอบคลุมเรื่องการเก็บรักษา การลบ และการส่งคืนข้อมูลส่วนบุคคลหรือไม่
- บริหารจัดการข้อมูลสำรอง: รวมระบบสำรองข้อมูลและระบบกู้คืนข้อมูลที่เกี่ยวข้องไว้ในแผนการกำจัดข้อมูล
- จัดเก็บบันทึก: บันทึกการตัดสินใจเกี่ยวกับระยะเวลาการเก็บรักษา กิจกรรมการลบข้อมูล และข้อยกเว้นทางกฎหมายที่เกี่ยวข้อง
- ตรวจสอบอย่างสม่ำเสมอ: ทบทวนกำหนดระยะเวลาการเก็บรักษาและขั้นตอนการกำจัดข้อมูลเป็นระยะ
บทสรุป: การเก็บรักษาข้อมูลเป็นหน้าที่ด้านการปฏิบัติตามกฎหมายที่ต้องดำเนินการอย่างต่อเนื่อง
การปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลไม่ได้สิ้นสุดลงเมื่อมีการเก็บรวบรวมข้อมูลส่วนบุคคลแล้วเท่านั้น ธุรกิจยังต้องบริหารจัดการวงจรชีวิตของข้อมูลทั้งหมด ตั้งแต่การจัดเก็บ การเข้าถึง การตรวจสอบ การเก็บรักษา ไปจนถึงการลบข้อมูลในที่สุด
ภายใต้ PDPA ของประเทศไทย องค์กรควรกำหนดระยะเวลาการเก็บรักษาข้อมูลให้ชัดเจน จัดให้มีขั้นตอนการกำจัดข้อมูลที่เหมาะสม และตรวจสอบให้แน่ใจว่าคำร้องขอให้ลบข้อมูลได้รับการพิจารณาตามข้อกำหนดทางกฎหมายที่เกี่ยวข้อง
นโยบายการเก็บรักษาข้อมูลที่มีโครงสร้างชัดเจนสามารถช่วยให้ธุรกิจลดความเสี่ยงจากการเปิดเผยข้อมูลที่ไม่จำเป็น ยกระดับการกำกับดูแลภายในองค์กร และแสดงให้เห็นถึงแนวทางการบริหารจัดการข้อมูลส่วนบุคคลอย่างมีความรับผิดชอบมากยิ่งขึ้น
สำหรับองค์กรที่ดำเนินธุรกิจในประเทศไทย การทบทวนแนวทางการจัดเก็บข้อมูลที่ใช้อยู่ในปัจจุบันถือเป็นขั้นตอนสำคัญในการเสริมสร้างการปฏิบัติตามกฎหมาย PDPA ให้มีประสิทธิภาพยิ่งขึ้น