นิติบุคคลหมู่บ้านจัดสรรและคอนโดมิเนียมเก็บข้อมูลส่วนบุคคลของลูกบ้านจำนวนมาก ตั้งแต่ชื่อ-นามสกุล เบอร์โทรศัพท์ เลขบัตรประชาชน ไปจนถึงข้อมูลยานพาหนะและประวัติการชำระเงิน ข้อมูลเหล่านี้อยู่ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) เช่นเดียวกับองค์กรอื่นๆ บทความนี้สรุปสิ่งที่นิติบุคคลควรรู้และปฏิบัติ
นิติบุคคลเป็น "ผู้ควบคุมข้อมูลส่วนบุคคล" ตามกฎหมาย
เมื่อนิติบุคคลเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลของลูกบ้าน (เจ้าของร่วม ผู้พักอาศัย ผู้เยี่ยมชม) นิติบุคคลมีสถานะเป็น "ผู้ควบคุมข้อมูลส่วนบุคคล" (Data Controller) ตาม PDPA ซึ่งมีหน้าที่ตามกฎหมายที่ต้องปฏิบัติตาม ไม่ต่างจากบริษัทเอกชนทั่วไป
ข้อมูลที่นิติบุคคลมักเก็บรวบรวม
- ข้อมูลระบุตัวตน: ชื่อ-นามสกุล เลขบัตรประชาชน เบอร์โทรศัพท์ อีเมล
- ข้อมูลที่อยู่อาศัย: เลขที่ห้อง/บ้าน สถานะเจ้าของ/ผู้เช่า
- ข้อมูลยานพาหนะ: ทะเบียนรถ ยี่ห้อ สี
- ข้อมูลการเงิน: ประวัติการชำระค่าส่วนกลาง ยอดค้างชำระ
- ข้อมูลผู้มาเยือน: ชื่อ เบอร์โทร เวลาเข้า-ออก (จากระบบรักษาความปลอดภัย)
หลักการสำคัญที่ต้องปฏิบัติ
1. เก็บเท่าที่จำเป็น (Data Minimization) — เก็บเฉพาะข้อมูลที่จำเป็นต่อการบริหารจัดการนิติบุคคลจริงๆ ไม่เก็บข้อมูลเกินความจำเป็น
2. แจ้งวัตถุประสงค์การใช้ข้อมูล — ลูกบ้านควรรู้ว่าข้อมูลของตนถูกเก็บไปเพื่ออะไร เช่น ออกใบแจ้งหนี้ ติดต่อแจ้งข่าวสาร หรือควบคุมความปลอดภัย
3. จำกัดการเข้าถึงตามบทบาท — พนักงานแต่ละแผนกควรเห็นเฉพาะข้อมูลที่จำเป็นต่องานของตน เช่น เจ้าหน้าที่การเงินไม่จำเป็นต้องเห็นข้อมูล HR ของพนักงานอื่น
4. เก็บรักษาความปลอดภัยของข้อมูล — ข้อมูลควรถูกเข้ารหัสทั้งขณะส่งและจัดเก็บ มีการควบคุมสิทธิ์การเข้าถึง และมีการบันทึกประวัติการเข้าถึงข้อมูล (audit log) เพื่อตรวจสอบย้อนหลังได้หากเกิดเหตุ
5. รองรับสิทธิของเจ้าของข้อมูล — ลูกบ้านมีสิทธิขอเข้าถึง แก้ไข หรือขอให้ลบข้อมูลของตนได้ (ภายใต้ข้อยกเว้นตามกฎหมาย เช่น ข้อมูลที่ต้องเก็บไว้เพื่อหลักฐานทางบัญชี)
ความเสี่ยงหากไม่ปฏิบัติตาม
การละเมิด PDPA มีทั้งโทษทางแพ่ง โทษทางปกครอง (ปรับสูงสุดถึง 5 ล้านบาท) และในบางกรณีมีโทษทางอาญา นอกจากนี้ข้อมูลรั่วไหลยังกระทบความเชื่อมั่นของลูกบ้านที่มีต่อนิติบุคคลโดยตรง
สิ่งที่ควรตรวจสอบกับซอฟต์แวร์ที่ใช้งาน
หากนิติบุคคลใช้ระบบซอฟต์แวร์บริหารจัดการ ควรตรวจสอบว่าระบบนั้น:
- เข้ารหัสข้อมูลทั้งขณะส่งและจัดเก็บ (encryption in transit and at rest)
- มีระบบสิทธิ์การเข้าถึงตามบทบาท (role-based access control)
- มี Row Level Security หรือกลไกป้องกันไม่ให้ข้อมูลของนิติบุคคลหนึ่งเข้าถึงข้อมูลของอีกนิติบุคคลหนึ่งได้ (สำคัญมากสำหรับระบบที่ให้บริการหลายโครงการ)
- มีการสำรองข้อมูล (backup) และแผนกู้คืนข้อมูลเมื่อเกิดเหตุขัดข้อง
การปฏิบัติตาม PDPA ไม่ใช่แค่เรื่องกฎหมาย แต่คือการสร้างความไว้วางใจระหว่างนิติบุคคลกับลูกบ้าน NitiFlow ออกแบบมาโดยคำนึงถึงหลักการเหล่านี้ตั้งแต่ต้น ทั้งการเข้ารหัสข้อมูล การจำกัดสิทธิ์ตามบทบาท และการแยกข้อมูลของแต่ละโครงการออกจากกันอย่างชัดเจน