ความสัมพันธ์ระหว่าง “ธรรมาภิบาลข้อมูล” (Data Governance) และ “การปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล” (PDPA Compliance)

“ธรรมาภิบาลข้อมูล” หมายถึง การดูแลจัดการข้อมูลให้มีความเป็นปรกติ

อะไรคือความ “ปรกติ”?

     ความปรกติคือ มีคุณภาพ มีความปลอดภัย และมีความรับผิดชอบ โดยในบริบทขององค์กรนั้น ต้องกำหนดนโยบาย มาตรฐาน และบทบาทของผู้เกี่ยวข้องให้ชัด นอกจากจะทำให้ข้อมูลเป็น “ปรกติสุข” แล้ว ยังสามารถต่อยอดกลายเป็นทรัพยากรที่สร้างคุณค่าได้จริง

ในขณะที่ “PDPA Compliance” คือการดำเนินการให้การเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคล “เป็นไปตามกฎหมาย” โดยคำนึงถึงสิทธิ เสรีภาพ และความเป็นส่วนตัวของเจ้าของข้อมูล

สองแนวคิดนี้สัมพันธ์กันในลักษณะ “ร่มใหญ่กับส่วนย่อย”

     กล่าวคือ ธรรมาภิบาลข้อมูลเป็นกรอบใหญ่ที่ครอบคลุมข้อมูลทุกประเภท ส่วน PDPA เป็นเพียง “ส่วนหนึ่ง” หรือ “เซตย่อย” (subset) ที่มุ่งจัดการข้อมูลส่วนบุคคลให้ถูกต้องตามกฎหมาย ดังนั้น PDPA จึงมิใช่สิ่งที่แยกขาดจาก Data Governance หากแต่เป็นหนึ่งในเป้าหมายที่ Data Governance ต้องการบรรลุ

ในทางปฏิบัติ ระบบ Data Governance ช่วยให้การปฏิบัติตาม PDPA เป็นไปอย่างมีโครงสร้าง เช่น ข้อมูลใน Data Catalog ได้รับการนำมาใช้จัดทำ Record of Processing Activities (RoPA) หรือเมื่อเกิดเหตุละเมิดข้อมูล (Data Breach) ฝ่าย IT ใช้กระบวนการตอบสนองเหตุในกรอบ Data Governance ขณะที่ฝ่ายกฎหมายดำเนินการแจ้งเหตุและรายงานต่อสำนักงานคุ้มครองข้อมูลส่วนบุคคล

โดยสรุป หากองค์กรมีระบบธรรมาภิบาลข้อมูลที่ดี การปฏิบัติตาม PDPA จะเป็นไปอย่างราบรื่น มั่นคง และยั่งยืน แต่หากมีเพียงการทำ PDPA เพื่อให้ผ่านตรวจสอบโดยไร้ระบบ Data Governance องค์กรย่อมไม่อาจสร้างความไว้วางใจต่อสาธารณะได้อย่างแท้จริง