PDPA ในมหาวิทยาลัย: 7 เรื่องที่บุคลากรต้องรู้ก่อนจัดการข้อมูลนักศึกษาและเพื่อนร่วมงาน

บทความให้ความรู้ด้านไอที ฉบับที่ 1/2569

PDPA ในมหาวิทยาลัย: 7 เรื่องที่บุคลากรต้องรู้ก่อนจัดการข้อมูลนักศึกษาและเพื่อนร่วมงาน

เข้าใจพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แบบใช้งานจริง

โดย: นางสาวนาตยา ภูมิโคกรักษ์|  หมวดหมู่: ความปลอดภัยทางไซเบอร์|  เผยแพร่: 18 ตุลาคม 2568

บทนำ

ในยุคที่ข้อมูลคือทรัพย์สินที่มีมูลค่าสูง มหาวิทยาลัยในฐานะหน่วยงานที่ครอบครองข้อมูลส่วนบุคคลจำนวนมาก ทั้งข้อมูลนักศึกษา บุคลากร ผู้มีส่วนได้ส่วนเสีย จำเป็นต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA (Personal Data Protection Act) ซึ่งมีผลบังคับใช้อย่างเต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 เป็นต้นมา

บทความนี้จะช่วยให้บุคลากรของคณะเข้าใจประเด็นสำคัญ 7 ข้อที่ต้องรู้ เพื่อให้การปฏิบัติงานประจำวันไม่ขัดต่อกฎหมาย และไม่ก่อให้เกิดความเสี่ยงต่อตนเองและหน่วยงาน

1. ข้อมูลส่วนบุคคล คืออะไร?

ข้อมูลส่วนบุคคล หมายถึง ข้อมูลเกี่ยวกับบุคคลที่สามารถระบุตัวตนของบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม ซึ่งแบ่งออกเป็น 2 ประเภทหลัก:

ข้อมูลส่วนบุคคลทั่วไป

1. ชื่อ-นามสกุล
2. เลขประจำตัวประชาชน
3. ที่อยู่ เบอร์โทรศัพท์ อีเมล
4. รหัสนักศึกษา/รหัสพนักงาน
5. ภาพถ่าย วิดีโอ
6. IP Address, Cookie ID

ข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data)

1. เชื้อชาติ ศาสนา เผ่าพันธุ์
2. ความคิดเห็นทางการเมือง
3. ข้อมูลสุขภาพ ความพิการ
4. ข้อมูลพันธุกรรม ข้อมูลชีวภาพ
5. ประวัติอาชญากรรม
6. พฤติกรรมทางเพศ

2. หลักการสำคัญของ PDPA

3. สิทธิของเจ้าของข้อมูล

นักศึกษา บุคลากร และบุคคลภายนอก มีสิทธิตามกฎหมาย 8 ประการ:

1. สิทธิได้รับการแจ้งให้ทราบ (Right to be informed)
2. สิทธิในการเข้าถึงข้อมูลส่วนบุคคล (Right of access)
3. สิทธิในการขอให้โอนย้ายข้อมูล (Right to data portability)
4. สิทธิในการคัดค้านการเก็บ ใช้ หรือเปิดเผย (Right to object)
5. สิทธิในการขอให้ลบหรือทำลาย (Right to erasure / Right to be forgotten)
6. สิทธิในการขอให้ระงับการใช้ (Right to restriction of processing)
7. สิทธิในการขอแก้ไขข้อมูลให้ถูกต้อง (Right to rectification)
8. สิทธิในการร้องเรียน (Right to lodge a complaint)

4. ตัวอย่างสถานการณ์ในมหาวิทยาลัยที่ต้องระวัง

📸 การถ่ายภาพกิจกรรมแล้วเผยแพร่

การถ่ายภาพนักศึกษาหรือบุคลากรในกิจกรรมของคณะแล้วนำไปเผยแพร่บนเว็บไซต์ Facebook หรือสื่ออื่น ต้องมีการแจ้งให้ทราบล่วงหน้า และควรมีป้ายประกาศหรือข้อความชัดเจนในสถานที่จัดงานว่าจะมีการบันทึกภาพเพื่อการประชาสัมพันธ์

📧 การส่งอีเมลหมู่

การส่งอีเมลไปยังผู้รับหลายคนพร้อมกัน ควรใช้ช่อง BCC (Blind Carbon Copy) แทน CC เพื่อไม่ให้ผู้รับคนอื่นเห็นอีเมลของกันและกัน การเปิดเผยอีเมลผู้อื่นโดยไม่ได้รับอนุญาตเป็นการละเมิดข้อมูลส่วนบุคคล

📁 การเก็บไฟล์ข้อมูลนักศึกษา

ไฟล์รายชื่อนักศึกษา เกรด หรือข้อมูลส่วนตัวต่าง ๆ ควรเก็บในที่ที่ปลอดภัย กำหนดรหัสผ่าน และไม่แชร์ให้บุคคลที่ไม่เกี่ยวข้อง หลีกเลี่ยงการบันทึกไฟล์เหล่านี้ลงใน Flash Drive หรือ Cloud ส่วนตัว

💬 การแชร์ข้อมูลผ่าน Line Group

การส่งต่อข้อมูลนักศึกษา เช่น รูปภาพบัตรประชาชน รายชื่อ หรือเกรด ผ่านกลุ่ม Line ของบุคลากร ถึงแม้จะเป็นกลุ่มภายใน ก็อาจเข้าข่ายการเปิดเผยข้อมูลโดยไม่ได้รับอนุญาต ควรใช้ช่องทางที่เป็นทางการและปลอดภัยกว่า

5. บทลงโทษหากฝ่าฝืน PDPA

6. แนวปฏิบัติ 10 ข้อสำหรับบุคลากร

1. ก่อนเก็บข้อมูลใด ๆ ให้แจ้งวัตถุประสงค์และขอความยินยอมจากเจ้าของข้อมูลเสมอ
2. เก็บข้อมูลเท่าที่จำเป็น ไม่เก็บเกินกว่าที่ใช้งาน
3. ใช้ BCC เมื่อส่งอีเมลหมู่ไปยังบุคคลภายนอก
4. ตั้งรหัสผ่านที่แข็งแรง (≥ 12 ตัวอักษร ผสมตัวพิมพ์ใหญ่-เล็ก ตัวเลข สัญลักษณ์)
5. เปิดใช้งาน Two-Factor Authentication (2FA) ทุกบัญชีที่สำคัญ
6. เก็บไฟล์ข้อมูลส่วนบุคคลในระบบที่หน่วยงานกำหนด ไม่เก็บใน Cloud ส่วนตัว
7. ลบไฟล์ที่หมดความจำเป็นออกอย่างปลอดภัย (Shred/Permanent Delete)
8. ตรวจสอบ URL ก่อนกรอกข้อมูลสำคัญ ระวัง Phishing
9. ล็อกหน้าจอทุกครั้งที่ลุกจากโต๊ะทำงาน
10. แจ้งหน่วยสารสนเทศทันที หากพบเหตุข้อมูลรั่วไหลหรือสงสัยว่าถูกโจมตี

7. การแจ้งเหตุข้อมูลรั่วไหล (Data Breach Notification)

หากพบเหตุที่ข้อมูลส่วนบุคคลรั่วไหล สูญหาย ถูกเข้าถึง หรือถูกเปลี่ยนแปลงโดยไม่ได้รับอนุญาต ผู้ควบคุมข้อมูลต้อง:

1. แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมง นับจากที่ทราบเหตุ
2. แจ้งเจ้าของข้อมูล หากเหตุนั้นมีความเสี่ยงสูงต่อสิทธิและเสรีภาพ
3. บันทึกเหตุการณ์และมาตรการแก้ไข

สรุป

PDPA ไม่ใช่เพียงกฎหมายที่สร้างภาระ แต่เป็นเครื่องมือสำคัญในการสร้างความเชื่อมั่นให้กับนักศึกษา บุคลากร และผู้มีส่วนได้ส่วนเสีย ว่ามหาวิทยาลัยให้ความสำคัญกับความเป็นส่วนตัวและความปลอดภัยของข้อมูล บุคลากรทุกคนมีบทบาทสำคัญในการร่วมปฏิบัติตามหลักการ PDPA ซึ่งจะส่งผลให้คณะและมหาวิทยาลัยเป็นองค์กรที่น่าเชื่อถือและทันสมัย สอดคล้องกับยุคดิจิทัลอย่างแท้จริง

แหล่งข้อมูลอ้างอิง

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
2. เว็บไซต์สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (pdpc.or.th)
3. แนวทางการปฏิบัติตาม PDPA สำหรับสถาบันอุดมศึกษา กระทรวง อว.
4. นโยบายการคุ้มครองข้อมูลส่วนบุคคลของมหาวิทยาลัยเทคโนโลยีราชมงคลสุวรรณภูมิ

แท็ก: #PDPA #ความปลอดภัยข้อมูล #กฎหมายดิจิทัล #ไอทีมหาวิทยาลัย #ข้อมูลส่วนบุคคล