1 มิถุนายน 2566 ครบ 1 ปีที่กฎหมาย PDPA (Personal Data Protection Act) มีผลบังคับใช้ คงมีคำถามมากมายว่าแต่ละองค์กรทำอะไรไปบ้าง ซึ่งทรู คอร์ป หนึ่งในองค์กรที่มีลูกค้าจากการควบรวมทรู-ดีแทค มากถึง 50.5 ล้านเลขหมาย ได้ออกแนวทางหรือมาตรการอะไรในการดูแลลูกค้าทรู-ดีแทค เรื่องการใช้ข้อมูลส่วนบุคคลไปบ้างแล้ว
ในช่วงปีที่ผ่านมา ทรู คอร์ปอยู่ในกระบวนการควบรวมทรู-ดีแทค ซึ่งมีหลายอย่างที่แตกต่างกัน แต่สิ่งที่เหมือนกันคือทั้ง 2 องค์กรต่างให้ความสำคัญสูงสุดกับนโยบายการดูแลเรื่องการใช้ข้อมูลส่วนบุคคลทั้งของลูกค้าและพนักงานในองค์กร ซึ่งภายหลังการรวมธุรกิจ ทรู คอร์ปได้นำสิ่งที่ดีที่สุด เข้มงวดที่สุดของแต่ละองค์กรมากำหนดเป็นนโยบายและแนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคล Privacy Policy and Procedure เพื่อให้เป็นไปตามฟุตพรินต์มาตรฐานการปกป้องข้อมูลที่เป็นสากล และสอดคล้องกับกฎหมาย GDPR (General Data Protection Regulation) ซึ่งเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป โดยทรู คอร์ป ได้ดำเนินการ 5 แนวทางสำคัญ เพื่อดูแลคุ้มครองข้อมูลส่วนบุคคล (PDPA) ดังนี้
1.แต่งตั้งทีมงานดูแลเรื่องการปกป้องข้อมูลส่วนบุคคล ที่เป็นอิสระและเป็นกลาง เนื่องด้วยการประเมินการใช้ข้อมูลส่วนบุคคลไม่ว่าจะมิติใดก็ตาม จำเป็นอย่างยิ่งที่ควรมีมุมมองที่อิสระและเป็นกลาง เพื่อให้การควบคุมเป็นไปภายใต้มิติที่สอดคล้องกับวัตถุประสงค์ที่ทรูได้รับการยินยอมจากลูกค้า ทรู คอร์ป จึงแต่งตั้งให้มีทีมงานดูแลข้อมูลส่วนบุคคล ซึ่งเป็นกลางและมีอิสระในการตรวจสอบทุกหน่วยงานภายใน รายงานตรงผู้บริหารงานกิจการองค์กร และมีช่องทางรายงานต่อผู้บริหารสูงสุดหรือ CEO ซึ่งสะท้อนชัดว่า การดูแลข้อมูลส่วนบุคคลเป็นสิ่งสำคัญสูงสุดในองค์กร
2.จัดทำนโยบายและแนวปฎิบัติในการคุ้มครองการใช้ข้อมูลส่วนบุคคล Privacy Policy and Procedure ที่ชัดเจน
การป้องกันข้อมูลส่วนบุคคล (Data Protection) เป็นสิ่งที่สำคัญยิ่ง ดังนั้นทุกชุดข้อมูลจะถูกกำกับตามมาตรฐานอุสาหกรรม และกฎหมาย PDPA เพื่อปกป้องสิทธิและเสรีภาพของเจ้าของข้อมูล โดยทรู คอร์ปยึดหลัก 2 แกนสำคัญ คือ 1.ความเป็นส่วนตัว (Privacy) ที่เน้นความโปร่งใส ใช้ข้อมูลตามที่สัญญากับลูกค้าเท่านั้น และข้อมูลที่ใช้งานจะสอดคล้องกับประเภทธุรกิจที่บุคคลนั้นๆ ใช้บริการเท่านั้น 2.การรักษาความปลอดภัย (Security)
เพื่อมั่นใจว่าการใช้ข้อมูลทุกชุดเป็นไปตามวัตถุประสงค์ที่ได้แจ้งไว้กับเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ ทรู ตระหนักดีว่า ลูกค้าเป็นเจ้าของข้อมูล เราเป็นเพียง ‘ผู้คุ้มครองข้อมูลส่วนบุคคลเท่านั้น’ การกระทำการใดๆ ที่เกี่ยวข้องกับข้อมูลต้องเป็นไปตามเงื่อนไขที่โปร่งใสและลูกค้าอนุญาต ภายใต้นโยบายความเป็นส่วนตัว ภายใต้มาตรการที่เข้มแข็งตามมาตรฐานความปลอดภัยสารสนเทศ ISO 27001 ที่ช่วยรับประกันให้ระบบความปลอดภัยของข้อมูล ลดความเสี่ยงไม่ให้มีความละเมิดเกิดขึ้นได้
3.อบรมบุคลากรในองค์กร เรื่องของพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลเพราะเราตระหนักดีว่าการดูแลข้อมูลส่วนบุคคลเป็นหน้าที่ของพนักงานทรูทุกคน จึงจัดอบรมเพื่อสร้างความรู้ความเข้าใจกับพนักงานทุกคนในเรื่องของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล และได้มีการกำหนดแนวทางปฏิบัติหน้าที่ของพนักงานที่ต้องสอดคล้องกับวัตถุประสงค์ตามกฎหมาย รวมทั้งปลูกฝังเรื่องดังกล่าวให้เป็นสิ่งสำคัญของวัฒนธรรมองค์กรโดยได้ระบุไว้ในหลักธรรมาภิบาล (Code of Conduct) ของบริษัทฯ
4.คุมเข้มการเข้าถึงข้อมูล ยึดหลัก Security and Privacy by Design (SPbD) ทรู คอร์ป ได้ปรับเปลี่ยนระบบการทำงานภายในองค์กร รวมถึงผู้ให้บริการภายนอก (vendors) พันธมิตรทางธุรกิจ (Business Partners) และบริษัทในเครือ (Subsidiaries) ให้มีการกลั่นกรองและการทบทวนสิทธิเข้าถึงข้อมูลลูกค้าของทุกหน่วยงานในองค์กร ตลอดจนคุมเข้มการเข้าถึงและการใช้งานข้อมูลตามขอบเขตและวัตถุประสงค์ของกฎหมาย รวมทั้งกำหนด checkpoint สำหรับการใช้ข้อมูลทุกชุดและทุกกระบวนการ เพื่อให้ทุกการใช้ข้อมูลอยู่ในทัศนะวิสัย (Visibility) และ ออกแบบกระบวนการโดยยึดการเคารพสิทธิลูกค้าเป็นหลัก (Privacy by Design)
ทั้งนี้ ทรู ยังกำหนดมาตรการในการปฏิบัติตามคำขอของหน่วยงานภาครัฐอย่างเคร่งครัด โดยทุกคำขอต้องยืนอยู่บนฐานกฎหมายและวัตถุประสงค์ที่ชัดเจน รวมถึงการขอข้อมูลการใช้งานหมายเลขโทรศัพท์เคลื่อนที่จากเจ้าหน้าที่ตำรวจ หรือคำสั่งปิดเว็บไซต์ จำเป็นต้องมีการอ้างอิงฐานกฎหมาย หรือคำสั่งศาล ทั้งนี้ เพื่อปกป้องสิทธิของลูกค้าบนหลักสิทธิมนุษยชน
5.ใช้เทคโนโลยี AI และระบบออโตเมชันเพิ่มความแม่นยำในการเก็บ-ใช้-เปิดเผยข้อมูลของลูกค้า ซึ่งจะเป็นไปตามมาตรฐานที่ กสทช. กำกับ เช่น การลงทะเบียนซิมโทรศัพท์ จะมีขั้นตอนการพิสูจน์ตัวตน ใช้ระบบ AI เน้นความแม่นยำและความปลอดภัย อีกทั้งทำให้บริการลูกค้าได้เร็ว สะดวกยิ่งขึ้น และมีการเปิดซิมใหม่โดยใช้วิธีการสแกนหน้า กับบัตรประชาชน ซึ่งการนำเทคโนโลยีมาใช้ ช่วยลดปัญหาความผิดพลาดที่อาจเกิดจากคน และสร้างความมั่นใจให้ลูกค้าได้เป็นอย่างดี อีกทั้งการนำข้อมูลส่วนบุคคลไปใช้หรือนำไปเปิดเผยไม่ว่าจะวัตถุประสงค์ใดก็ตาม จะเป็นไปตามวัตถุประสงค์ที่แจ้งกับเจ้าของข้อมูลเท่านั้น หากนอกเหนือจากที่แจ้ง จำเป็นต้องขอคำยินยอมจากเจ้าของข้อมูลก่อนเสมอ
ทั้งนี้ ทรูตระหนักดีว่า สิทธิในข้อมูลเป็นของเจ้าของข้อมูล ทรูมีช่องทางต่างๆ เพื่อให้เจ้าของข้อมูลสามารถติดต่อสอบถามถึงการใช้ข้อมูล (Right to Information) รวมถึงการใช้สิทธิต่างๆ ตามกฎหมาย
นอกจากนี้ เพื่อให้ก้าวทันความเปลี่ยนแปลงของโลก ทันต่อทุกสถานการณ์ ทรู คอร์ป ได้ทำงานอย่างใกล้ชิดกับภาครัฐ และองค์กรที่เกี่ยวข้องไม่ว่าจะเป็นสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือสำนักงานคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ (กสทช.)
เพื่อเสนอแนะแนวทางเน้นความเป็นบูรณาการในการควบคุมดูแลสิทธิของเจ้าของข้อมูลส่วนบุคคล เพื่อให้มั่นใจว่าการทำงานของเราก้าวทันในยุคดิจิทัล ทำให้ลูกค้าเชื่อมั่นและไว้วางใจได้ เพราะเหนือสิ่งอื่นใดแล้ว ประโยชน์และคุณค่าที่เกิดขึ้นแก่ลูกค้าเป็นสิ่งที่สำคัญมากที่สุด
