การคุ้มครองข้อมูลส่วนบุคคล | ปรับปรุงแนวทางข้อมูลนามแฝงทั้งฉบับ คาดว่ากลยุทธ์การใช้ข้อมูลขององค์กรจะเปลี่ยนแปลง

การเปลี่ยนแปลงที่สำคัญที่สุดคือการกำหนดมาตรฐานหลักเกณฑ์การประเมินระดับความเสี่ยง

เดิมใช้วิธีประเมินโดยแจกแจงปัจจัยเสี่ยงแต่ละรายการ แต่ภายหลังการปรับปรุงให้พิจารณาโดยยึดหลักเกณฑ์สองประการต่อไปนี้เป็นหลัก

• ผู้ใช้ข้อมูล
• ความสามารถในการควบคุมสภาพแวดล้อมการประมวลผล

ด้วยเหตุนี้ จึงได้กำหนดโครงสร้างดังต่อไปนี้

• จำนวนแบบฟอร์ม: ลดจาก 24 ประเภท → 10 ประเภท
• ความเสี่ยงต่ำ: ใช้เอกสารขั้นต่ำและให้ผู้รับผิดชอบตรวจสอบ
• ความเสี่ยงปานกลาง·สูง: ตรวจสอบเชิงลึกตามแต่ละขั้นตอน

โครงสร้างนี้ได้รับการออกแบบเพื่อลดอุปสรรคในการเริ่มโครงการที่มีความเสี่ยงต่ำ ขณะเดียวกันก็ทำให้โครงการที่มีความเสี่ยงสูงได้รับการจัดการอย่างละเอียดมากขึ้น

• อนุญาตให้กำหนดวัตถุประสงค์ที่สามารถขยายได้
• กำหนดระยะเวลาการประมวลผลได้อย่างยืดหยุ่น
• สามารถเรียนรู้ซ้ำและพัฒนาโมเดลให้มีประสิทธิภาพยิ่งขึ้น

เมื่อข้อจำกัดด้านวัตถุประสงค์ที่เคยเคร่งครัดได้รับการผ่อนคลาย การออกแบบโครงการ AI จึงสามารถนำไปใช้ในทางปฏิบัติได้มากขึ้นอย่างมีนัยสำคัญ

• การตรวจสอบข้อมูลทั้งหมด → อนุญาตให้ตรวจสอบโดยการสุ่มตัวอย่าง
• สะท้อนสภาพความเป็นจริงของการประมวลผลข้อมูลปริมาณมาก เช่น วิดีโอ เสียง และข้อความ

อย่างไรก็ตาม ภาระในการพิสูจน์เกี่ยวกับเหตุผลที่เลือกวิธีตรวจสอบ การออกแบบตัวอย่าง มาตรการเสริม และการเก็บรักษาบันทึกกลับเพิ่มขึ้น

จากการเปลี่ยนแปลงครั้งนี้ องค์กรต้องจัดเตรียมกลยุทธ์รับมือดังต่อไปนี้

ฝ่ายกฎหมายและกำกับดูแลการปฏิบัติตามกฎหมาย

• จำแนกประเภทโครงการใช้ข้อมูลทั้งหมดใหม่
• ตรวจสอบว่าอยู่ภายใต้ข้อยกเว้นในการประมวลผลข้อมูลนามแฝงหรือไม่
• กำหนดข้อความระบุวัตถุประสงค์ให้เฉพาะเจาะจง (การฝึก AI → แบ่งตามโมเดล·ตัวชี้วัด)

ฝ่ายข้อมูล·AI

• ข้อมูลที่ไม่มีโครงสร้าง = ออกแบบโดยถือว่ามีความเสี่ยงสูง
• ออกแบบการตรวจสอบโดยการสุ่มตัวอย่างและจัดทำระบบบันทึก
• แยกข้อมูลฝึกออกจากผลลัพธ์ของบริการ

ฝ่ายรักษาความปลอดภัย·IT และฝ่ายธุรกิจ

• ออกแบบโครงสร้างการให้ข้อมูลแก่ภายนอกใหม่
• ตรวจสอบโครงสร้างสัญญากับผู้รับจ้างประมวลผล
• จัดทำระบบควบคุมสิทธิการเข้าถึง การจัดการบันทึก และการนำข้อมูลออก

รายการต่อไปนี้เป็นหลักเกณฑ์ที่สามารถใช้ในการตรวจสอบภายในองค์กรได้

การใช้ข้อมูลและการบริหารระดับความเสี่ยง

• มีหลักเกณฑ์จำแนกระดับความเสี่ยงล่วงหน้าสำหรับแต่ละโครงการหรือไม่
• แยกการใช้ภายในออกจากการให้ข้อมูลแก่ภายนอกหรือไม่
• มีสภาพแวดล้อมการวิเคราะห์ที่สามารถควบคุมได้หรือไม่

ระบบการแปลงเป็นข้อมูลนามแฝงและการตรวจสอบ

• มีหลักเกณฑ์ตรวจสอบความเหมาะสมของวิธีแปลงเป็นข้อมูลนามแฝงหรือไม่
• มีระบบตรวจสอบแยกต่างหากสำหรับข้อมูลที่ไม่มีโครงสร้างหรือไม่
• มีการจัดทำเอกสารเกี่ยวกับการออกแบบการตรวจสอบโดยการสุ่มตัวอย่างและกระบวนการเสริมหรือไม่

ระบบเอกสารและการพิสูจน์

• กำหนดวัตถุประสงค์ให้มีความเฉพาะเจาะจง (ระดับโมเดล ตัวชี้วัด)
• บันทึกเหตุผลประกอบการประเมินระดับความเสี่ยง
• เก็บรักษาบันทึกกระบวนการตรวจสอบและอนุมัติ

โครงสร้างสัญญาและการให้ข้อมูลแก่ภายนอก

• กำหนดข้อสัญญาคุ้มครองข้อมูลส่วนบุคคลในสัญญากับผู้รับจ้างประมวลผล
• จัดทำระบบควบคุมการนำข้อมูลออกและบริหารสิทธิการเข้าถึง
• จัดให้มีบันทึกและความสามารถในการติดตามย้อนหลัง

การปรับปรุงครั้งนี้สะท้อนสาระดังต่อไปนี้

แม้ขอบเขตการใช้ข้อมูลจะขยายออกไป แต่ความรับผิดในการพิสูจน์ความชอบธรรมและความปลอดภัยของการใช้ข้อมูลดังกล่าวกลับเพิ่มขึ้น

การลดขั้นตอนสำหรับกรณีความเสี่ยงต่ำ การขยายวัตถุประสงค์ด้าน AI และการอนุญาตให้ตรวจสอบโดยการสุ่มตัวอย่าง ถือเป็นการผ่อนคลายกฎเกณฑ์อย่างชัดเจน แต่จะเป็นประโยชน์ต่อองค์กรที่มีระบบบริหารความเสี่ยงซึ่งสามารถอธิบายได้เท่านั้น

แนวทางที่ปรับปรุงใหม่มิใช่เรื่องที่สามารถแก้ไขได้ด้วยมาตรการทางเทคนิคเพียงอย่างเดียว และท้ายที่สุดแล้ว ความเหมาะสมของการประมวลผลข้อมูลนามแฝงขึ้นอยู่กับความสามารถในการอธิบายในทางกฎหมาย

สำนักงานกฎหมาย Daeryun ให้คำปรึกษาตลอดกระบวนการใช้ข้อมูลขององค์กรในด้านดังต่อไปนี้

• ตรวจสอบความชอบด้วยกฎหมายของการประมวลผลข้อมูลนามแฝงและออกแบบระบบจำแนกระดับความเสี่ยง
• กำหนดวัตถุประสงค์ของโครงการ AI·ข้อมูลและออกแบบโครงสร้างเอกสาร
• กำหนดหลักเกณฑ์ทางกฎหมายสำหรับการประมวลผลและตรวจสอบข้อมูลที่ไม่มีโครงสร้าง
• ตรวจสอบความเสี่ยงในสัญญากับผู้รับจ้างประมวลผลและโครงสร้างการให้ข้อมูลแก่ภายนอก
• กำหนดกลยุทธ์รับมือการตรวจสอบและมาตรการลงโทษเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

โดยเฉพาะในประเด็นที่เกี่ยวข้องกับข้อมูล IT และกฎหมาย การให้คำปรึกษาแบบบูรณาการที่ครอบคลุมทั้งเทคโนโลยีและกฎหมายช่วยให้สามารถเตรียมการรับมือในทางปฏิบัติได้

หากต้องการความช่วยเหลือเกี่ยวกับเรื่องดังกล่าว สามารถดำเนินการ 🔗จองการปรึกษากฎหมายกับสำนักงานของเราได้