PDPA และการเก็บ Log File เรื่องของผู้ประกอบการที่ควรรู้เท่าทันในยุคอินเทอร์เน็ต

PDPA และการเก็บ Log File เรื่องของผู้ประกอบการที่ควรรู้เท่าทันในยุคอินเทอร์เน็ต

เข้าสู่ยุคที่อินเทอร์เน็ตมีความสำคัญและใครๆก็ใช้อินเทอร์เน็ต คุณผู้อ่านหรือผู้ประกอบการอาจเคยได้ยินเกี่ยวกับ พรบ คอมพิวเตอร์ หรือกฎหมายไซเบอร์ที่ชื่อว่า PDPA กันบ้างใช่ไหมคะ บทความนี้แอดมินจะพาทุกท่านมารู้จักกับ PDPA และความสำคัญของการเก็บ Log File กันค่ะ

เมื่อไม่นานมานี้ โรงแรมแห่งหนึ่งแถวนนทบุรีที่แอดมินรู้จักได้มีตำรวจเข้าพบเพื่อสอบถามในเรื่องของการเก็บ Log File ย้อนหลังของลูกบ้านเป็นเวลา 180 วัน รวมถึงการติดตั้งกล้องวงจรปิดเพิ่ม สิ่งเหล้านี้แสดงให้เห็นว่า พรบ.คอม และกฎหมายโลกไซเบอร์นั้นไม่ใช่แค่เพียงการขู่ให้ใช้อินเทอร์เน็ตกันอย่างถูกต้อง แต่สะท้อนให้เห็นถึงการให้ความสำคัญต่อและจริงจังต่อการดำเนินตามกฏหมายในโลกไซเบอร์ของหน่วยงานบังคับใช้กฏหมาย

หรือเพราะการเก็บการทำ PDPA ไม่ได้มีเพียงแค่การการขอความยินยอมใช้ข้อมูลส่วนบุคคลแค่เท่านั้น แต่ยังเกี่ยวข้องไปถึงการจัดเก็บ Log File อย่างไรให้สามารถยืนยันเป็นหลักฐานได้ว่าทางองค์กรจัดเก็บ เมื่อสำรวจแล้วพบว่ามีความน่าเชื่อถือและความปลอดภัยมากพอที่จะเป็นไปตามกฎหมายได้นั่นเองค่ะ

PDPA ต้องเก็บ log ด้วยหรือไม่ ?

สิ่งที่บอกว่าเราต้องจัดเก็บ log มันจะอยู่ในตัวมาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล พ. ศ. 2563 ของประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ประกาศตัวนี้บอกว่า “เราต้องมีวิธีให้เราสามารถตรวจสอบย้อนหลังว่าใครเข้าถึง เปลี่ยนแปลง ลบ หรือถ่ายโอนข้อมูลส่วนบุคคลในองค์กรของเราบ้าง” ก็เลยเป็นที่มาว่าเราจะต้องจัดเก็บ log ด้วยนั่นเองค่ะ  

PDPA ต้องเก็บ Log file อะไรบ้าง ?

วัตถุประสงค์ในการเก็บ Log เพื่อ Comply ตามกฎหมาย PDPA จากอุปกรณ์ที่มีข้อมูลส่วนบุคคลอยู่ ซึ่งสมัยก่อนข้อมูลส่วนบุคคลอาจจะอยู่ในรูปแบบของเอกสาร แต่ในการเก็บ Log ผ่านทางออนไลน์ อาจต้องมีวิธีการตรวจสอบว่าใครเข้ามาดูเอกสารบ้าง เช่น กล้องวงจรปิด แต่ในปัจจุบันที่ข้อมูลส่วนบุคคลของลูกค้าหรือผู้ใช้งานจะไม่ได้อยู่ในรูปแบบเฉพาะที่เป็นแผ่นกระดาษอย่างเดียวอีกต่อไปค่ะ แต่จะมีข้อมูลส่วนบุคคลในรูปแบบดิจิทัลด้วย การเก็บ Log สามารถทำให้เราทราบได้ว่า ใครบ้างที่เข้าถึงข้อมูลส่วนบุคคลที่เก็บอยู่ในอุปกรณ์ที่ต่าง ๆ เหล่านั้น

อุปกรณ์อะไรบ้างที่จัดเก็บข้อมูลส่วนบุคคลของลูกค้าของเราอยู่ ?

ตัวอย่างหรือว่าประเภทของอุปกรณ์ที่ใช้สำหรับเก็บข้อมูลส่วนบุคคลนั้น เช่น File Share Server ที่ไว้เก็บไฟล์ ซึ่งในไฟล์เหล่านั้นก็อาจจะมีข้อมูลส่วนบุคคลอยู่ในไฟล์เหล่านั้นก็ได้ หรือว่าจะเป็นในส่วนของ Database Server เช่น เวลาลูกค้าสมัครสมาชิกเข้ามาหรือเข้ามาใช้เว็บไซต์ของเราและได้ทำการกรอกข้อมูลส่วนบุคคลเข้ามา โดยเราจะเก็บข้อมูลส่วนบุคคลไว้ใน Database นอกเหนือจากนั้นก็จะเป็นในส่วนของระบบ CRM (Customer Relation Management) หรือระบบ ERP (Enterprise Resource Planing) ก็ได้ค่ะ

เมื่อเรารู้แล้วว่าเราจะต้องจัดเก็บ log จากอุปกรณ์ประเภทไหนบ้าง คราวนี้เรามาดูกันว่ามีขั้นตอนอะไรบ้างในการจัดเก็บ Log

ขั้นตอนการจัดเก็บ Log File

• Enable Audit Log : ก่อนหน้านี้ บางอุปกรณ์อาจไม่มีการเปิดบันทึก Log ไว้ ที่จะบอกว่ามีใครเข้าถึงหรือมีใครทำอะไรกับข้อมูลส่วนบุคคลบ้าง เราจะต้องเข้าไปตรวจสอบหรือเปิดให้บันทึก Log บนอุปกรณ์เหล่านั้นก่อน ซึ่งแต่ละอุปกรณ์ก็จะมีวิธีการ enable audit log แตกต่างกันไป และเป็นสิ่งเราต้องศึกษาเพิ่มเติมว่าแต่ละอุปกรณ์เราสามารถ Enable Audit Log ได้อย่างไรบ้าง
• Log Collection : ขั้นตอนการส่ง Log หรือขั้นตอนการเก็บ Log นั่นเอง เช่น File share หรือว่าระบบ CRM จะมีการจัดเก็บ Log ในตัวเองหรือเราสามารถ Config เพื่อส่ง Log ออกจากอุปกรณ์นั้นไปเก็บที่ Remote Server เป็น Centralize Log Management ได้
• Log Visualization : การนำออกมาใช้ ในส่วนของ PDPA นั้น เมื่อเกิดเหตุข้อมูลรั่วไหล สิ่งที่เราต้องทำก็คือหาสาเหตุว่าข้อมูลรั่วไหลได้อย่างไร แล้วให้เราทำการแจ้งไปที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงหรือว่าภายใน 3 วัน ถือเป็นขั้นตอนที่ 3 ของการจัดเก็บ Log คือการ Parsing และการทำ Visualization เพื่อช่วยให้เราสามารถค้นหาข้อมูลได้ง่ายขึ้น เร็วขึ้น

แต่ที่สำคัญคือหากเราเก็บ Log เรียบร้อยแล้ว แต่ไม่มีกระบวนการนำ Log มาใช้ประโยชน์ได้ อาจทำให้เราไม่สามารถหาหลักฐานหรือหาสาเหตุได้ภายใน 72 ชั่วโมง ขั้นตอนสำคัญเราจะต้องมีวิธีการที่จะนำ Log ออกมาใช้งานได้อย่างง่าย โดยทั้ง 3 ขั้นตอนนี้ควรจะทำให้ครอบคลุมทุกอุปกรณ์ที่เราจะเก็บข้อมูลส่วนบุคคลค่ะ

ทั้งนี้สำหรับผู้ประกอบการ เจ้าของหอพัก หรือผู้ประกอบการทุกท่าน ที่มีหน้าที่ในการเก็บรวบรวมและควบคุมข้อมูลส่วนบุคคล แอดมินแนะนำว่าให้เจ้าของอาคารทุกท่านใส่ใจกฎหมาย PDPA ด้วยการเก็บ Log File จากการติดตั้งไวไฟหอพัก การติดตั้งไวไฟอพาร์ทเม้นท์  การติดตั้งระบบอินเทอร์เน็ตโรงแรม หรือหาผู้ให้บริการติดตั้งไวไฟหอพัก การติดตั้งไวไฟอพาร์ทเม้นท์  การติดตั้งระบบอินเทอร์เน็ตโรงแรมที่สามารถให้บริการเก็บและดูแล Log File ให้กับคุณได้ เพื่อเป็นการปฏิบัติให้ถูกต้องตามกฎหมาย และเพื่อเป็นการปกป้องทั้งตัวเจ้าของหอพักเองและผู้อาศัยในระยะยาวจะดีกว่าค่ะ