📌 ข้อควรรู้สำหรับฝ่ายบริหารอาคาร เพื่อไม่ให้ผิด PDPA จากกรณีเอกสารหลุด

จักรพันธ์ ภวังคะรัตน์

Head of Property and Asset Management, JLL Thailand

เลขาธิการ สมาคมบริหารทรัพย์สินแห่งประเทศไทย

2 August 2025

จากข่าวล่าสุดเรื่อง โรงพยาบาลถูกปรับเพราะเอกสารผู้ป่วยหลุดไปทำถุงขนมโตเกียว ถือเป็นบทเรียนสำคัญสำหรับวงการงาน บริหารอาคาร ทั้งสำนักงาน คอนโด ห้าง หรือโรงพยาบาลที่มีการจัดการเอกสารและข้อมูลผู้ใช้บริการจำนวนมาก (https://www.thairath.co.th/news/society/2874286)

1. ข้อมูลส่วนบุคคล = ความรับผิดชอบ

• เอกสารใดก็ตามที่มีชื่อ-นามสกุล, เบอร์โทร, เลขบัตรประชาชน, รูปบุคคล, หมายเลขทะเบียนรถ ฯลฯ ถือเป็น ข้อมูลส่วนบุคคล

• เอกสารจากลูกบ้าน, ผู้เช่า, ผู้มาติดต่อ, พนักงาน, บริษัทผู้รับเหมา ล้วนเข้าข่าย PDPA หากระบุข้อมูลเหล่านี้

2. การทำลายเอกสาร = จุดอ่อนที่พบบ่อยที่สุด

• กรณีข่าวล่าสุดเกิดจากการ มอบหมายให้บุคคลภายนอกทำลายเอกสาร โดยไม่มีการควบคุมหรือยืนยันผล

• หลายอาคารส่งเอกสารให้บริษัทรับทำลายโดยไม่มี “ใบรับรองการทำลายเอกสาร (Certificate of Destruction)”

• เอกสารอาจถูกนำไปขายต่อ / นำกลับมาใช้ใหม่อย่างไม่ตั้งใจ = ผิดกฎหมาย

✅ แนวทางที่ควรทำ:

• ใช้เครื่องทำลายเอกสาร (shredder แบบ cross-cut)

• หากใช้บริษัทภายนอก ต้อง:

  • ทำบันทึกข้อตกลง (Data Processing Agreement – DPA)

  • ตรวจสอบกระบวนการทำลาย

  • ขอใบรับรองการทำลายเอกสารทุกครั้ง

3. ผู้รับเหมาต้องรู้ PDPA ด้วย

• บริษัทผู้ให้บริการ เช่น รปภ., แม่บ้าน, ทีมซ่อมบำรุง, บริษัท IT ที่อาจเข้าถึงข้อมูล ต้องมี การเซ็นสัญญา PDPA หรือ NDA (Non-disclosure agreement)

• ต้องมีอบรมขั้นพื้นฐาน เช่น:

  • ห้ามถ่ายรูปบัตรประชาชนลูกค้า

  • ห้ามแชร์ข้อมูลผู้เช่าในไลน์กลุ่มโดยไม่มีเหตุอันควร

  • ห้ามใช้กล้องวงจรปิดเพื่อดูพฤติกรรมส่วนตัวโดยไม่จำเป็น

4. เอกสารในที่สาธารณะ = ช่องโหว่เสี่ยง

• บอร์ดประชาสัมพันธ์ในล็อบบี้ที่ติดประกาศรายชื่อคนค้างค่าส่วนกลาง หรือเบอร์โทรผู้เช่า = ละเมิด PDPA

• รายงานผู้มาติดต่อ หรือรายชื่อแขกประจำวันควร ปิดชื่อรายก่อนหน้า หรือใช้ระบบดิจิทัลแทน

5. การเก็บข้อมูลต้อง “แจ้ง” และ “จำกัด”

• ทุกครั้งที่เก็บข้อมูลจากใคร ต้องมี Privacy Notice แจ้งให้ชัดว่า:

  • เก็บข้อมูลอะไร

  • เพื่ออะไร

  • ใครเข้าถึงได้

  • เก็บไว้นานเท่าไร

• ตัวอย่าง: แบบฟอร์มขอเข้าอาคาร, แบบฟอร์มขอ Key Card ควรมีหัวข้อแจ้งการเก็บข้อมูลแนบไปด้วย

6. CCTV ก็อยู่ใน PDPA เช่นกัน

• หากอาคารใช้กล้องวงจรปิด ต้อง:

  • ติดป้ายแจ้งให้ทราบทั่วพื้นที่ว่ามีการบันทึกภาพ

  • กำหนดนโยบายการเก็บภาพ (ระยะเวลาที่เก็บ, ใครเข้าถึงได้, ใช้เพื่ออะไร)

  • ห้ามนำภาพไปเผยแพร่ เช่น แชร์ในไลน์หรือเฟซบุ๊ก หากไม่ใช่เพื่อความปลอดภัยหรือเหตุฉุกเฉิน

7. จัดตั้ง “เจ้าหน้าที่คุ้มครองข้อมูล” (DPO) หรือผู้รับผิดชอบ

• อาคารขนาดใหญ่หรือมีการประมวลผลข้อมูลจำนวนมากควรมี DPO

• อย่างน้อยควรมี 1 คนในทีมบริหารอาคารที่มีความรู้พื้นฐานเรื่อง PDPA เพื่อเป็นผู้รับผิดชอบหากเกิดเหตุ

✅ Checklist: ถามตัวเองว่าอาคารของคุณมีหรือยัง

รายการ	มี / ไม่มี
🔒 เอกสารเก็บในที่ปลอดภัย (ตู้ล็อก/สิทธิ์จำกัด)
🧾 มีการควบคุมการทำลายเอกสารที่ชัดเจน
📄 มี Privacy Notice สำหรับแบบฟอร์มต่างๆ
🛑 ห้ามติดรายชื่อ/เบอร์โทรในที่สาธารณะ
🎥 มีกล้องวงจรปิดพร้อมป้ายแจ้ง PDPA
👥 ทีมงานภายนอกเซ็นสัญญา PDPA แล้ว
🧠 ทีมอาคารเข้าใจสิทธิของเจ้าของข้อมูล