รวมคำถามที่พบบ่อยเรื่อง PDPA กับ Microsoft 365 จากมุมมอง IT Admin

บทนำ: ทำไม IT Admin ต้องเข้าใจ PDPA ให้ลึกกว่าเดิม

นับตั้งแต่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) มีผลบังคับใช้อย่างเต็มรูปแบบในประเทศไทย สิ่งที่ตามมาคือคำถามจำนวนมากจาก IT Admin และ IT Pro ที่ต้องดูแลระบบ Microsoft 365 ขององค์กร ไม่ว่าจะเป็นเรื่องของการเก็บข้อมูล การตั้งค่า Retention Policy หรือแม้แต่การรับมือเมื่อเกิด Data Breach คำถามเหล่านี้ไม่ได้มีคำตอบเดียวตายตัว และหลายครั้งก็ต้องอาศัยการทำความเข้าใจทั้งฝั่งกฎหมายและฝั่งเทคนิคไปพร้อมกัน

ปัญหาที่พบบ่อยคือ IT Admin มักถูกดึงเข้ามาในโปรเจกต์ PDPA Compliance ในช่วงท้าย ทั้งที่จริงแล้วการตั้งค่าใน Microsoft 365 นั้นเป็นหัวใจสำคัญของการปฏิบัติตามกฎหมาย ตั้งแต่การกำหนดสิทธิ์การเข้าถึงข้อมูล (Access Control) ไปจนถึงการเปิดใช้งาน Audit Log และการจัดการ Data Subject Request (DSR) ล้วนต้องอาศัยความเชี่ยวชาญด้านเทคนิคทั้งนั้น

บทความนี้จึงรวบรวมคำถามที่พบบ่อยที่สุดจากมุมมอง IT Admin พร้อมคำตอบที่ปฏิบัติได้จริง เพื่อให้คุณสามารถนำไปปรับใช้กับองค์กรได้เลยโดยไม่ต้องเสียเวลาค้นหาจากหลายแหล่ง

คำถามที่ 1: Microsoft 365 เก็บข้อมูลของเราไว้ที่ไหน และสอดคล้องกับ PDPA หรือไม่?

นี่คือคำถามแรกที่ผู้บริหารมักถามหลังจาก IT Admin นำเสนอแผน Migration ขึ้น Cloud ข้อเท็จจริงคือ Microsoft มี Data Residency ให้เลือกหลายภูมิภาค และสำหรับลูกค้าในไทย ข้อมูลหลักอย่าง Exchange Online, SharePoint Online และ Teams สามารถกำหนดให้จัดเก็บในภูมิภาค Asia Pacific หรือเลือกใช้ Microsoft 365 Multi-Geo เพื่อควบคุม Data Location ได้อย่างละเอียด

• ตรวจสอบ Data Center Location ได้ที่ Microsoft 365 Admin Center → Settings → Org settings → Organization profile
• ใช้ Microsoft Privacy Dashboard เพื่อดูว่า Microsoft ประมวลผลข้อมูลอะไรบ้างในฐานะ Data Processor
• ทำความเข้าใจว่าในกรอบ PDPA องค์กรคือ Data Controller และ Microsoft คือ Data Processor ซึ่ง Microsoft Data Processing Agreement (DPA) รองรับความสัมพันธ์นี้อยู่แล้ว
• ขอ Microsoft Products and Services Data Protection Addendum (DPA) ได้จาก Microsoft Volume Licensing หรือดาวน์โหลดจาก Microsoft Trust Center

คำถามที่ 2: ต้องเปิด Audit Log ไว้ตลอดไหม และเก็บนานแค่ไหน?

PDPA กำหนดให้องค์กรต้องสามารถพิสูจน์ได้ว่ามีมาตรการรักษาความปลอดภัยที่เหมาะสม การเปิด Unified Audit Log ใน Microsoft 365 จึงเป็นสิ่งจำเป็น ไม่ใช่ทางเลือก

• เปิด Audit Log ได้ที่ Microsoft Purview Compliance Portal → Audit
• License ระดับ Microsoft 365 E3 เก็บ Audit Log ได้นาน 90 วัน ส่วน E5 หรือ Microsoft Purview Audit (Premium) เก็บได้นานถึง 1 ปี หรือ 10 ปีหากต้องการ
• PDPA ไม่ได้ระบุตัวเลขระยะเวลาเก็บ Log ไว้ตายตัว แต่แนวปฏิบัติทั่วไปขององค์กรในไทยมักกำหนดที่ 1-3 ปี ตามความเสี่ยง
• ควร Export Audit Log ไปเก็บใน Azure Storage หรือ SIEM Solution เช่น Microsoft Sentinel เพื่อความปลอดภัยในการเก็บหลักฐาน

คำถามที่ 3: จัดการ Data Subject Request (DSR) ผ่าน Microsoft 365 ได้อย่างไร?

เมื่อมีคำขอจากเจ้าของข้อมูล เช่น ขอดูข้อมูล ขอแก้ไข หรือขอลบข้อมูล IT Admin ต้องสามารถตอบสนองได้ภายใน 30 วันตามที่กฎหมายกำหนด Microsoft 365 มีเครื่องมือช่วยโดยเฉพาะ

• ใช้ Microsoft Purview → Data Subject Requests เพื่อสร้าง DSR Case และค้นหาข้อมูลที่เกี่ยวข้องกับบุคคลนั้นทั่วทั้ง Tenant
• เครื่องมือนี้สามารถค้นหาข้อมูลใน Exchange Online, SharePoint, OneDrive, Teams และ Yammer ได้ในครั้งเดียว
• สำหรับการ ลบข้อมูล (Right to Erasure) ควรระวังความขัดแย้งกับ Retention Policy ที่ตั้งค่าไว้ เพราะ Policy อาจป้องกันการลบได้
• แนะนำให้สร้าง Playbook หรือขั้นตอนการปฏิบัติงานภายในองค์กรเอาไว้ล่วงหน้า ไม่ใช่รอให้มีคำขอก่อนแล้วค่อยหาวิธี

คำถามที่ 4: ตั้งค่า Retention Policy และ Sensitivity Labels อย่างไรให้สอดคล้อง PDPA?

การควบคุม Data Lifecycle เป็นหนึ่งในหัวใจของ PDPA ที่ระบุว่าข้อมูลต้องไม่ถูกเก็บนานเกินความจำเป็น

• Retention Policy: กำหนดได้ที่ Microsoft Purview → Data Lifecycle Management โดยแนะนำให้แบ่งตาม Data Type เช่น ข้อมูล HR เก็บ 5 ปี, ข้อมูลสัญญาเก็บ 10 ปี เป็นต้น
• Sensitivity Labels: ใช้ใน Microsoft Purview Information Protection เพื่อติด Label เช่น "ข้อมูลส่วนบุคคล", "ข้อมูลอ่อนไหว (Sensitive)" บนไฟล์และ Email ซึ่งช่วยให้ DLP Policy ทำงานได้แม่นยำขึ้น
• DLP (Data Loss Prevention) Policy: ตั้งค่าเพื่อป้องกันการส่งข้อมูลส่วนบุคคล เช่น เลขบัตรประชาชน หรือข้อมูลธนาคาร ออกนอกองค์กรโดยไม่ได้รับอนุญาต
• Microsoft มี Sensitive Information Type สำหรับประเทศไทยอยู่แล้ว เช่น Thai National ID Number ซึ่งใช้ใน DLP Policy ได้เลย

คำถามที่ 5: เกิด Data Breach ต้องทำอะไรบ้าง และ Microsoft 365 ช่วยได้อย่างไร?

PDPA กำหนดให้ต้องแจ้ง PDPC ภายใน 72 ชั่วโมงหลังพบเหตุ Data Breach ที่มีความเสี่ยงสูง ดังนั้น IT Admin ต้องตรวจพบเหตุได้เร็วและมีขั้นตอนพร้อม

• Microsoft Defender for Office 365 และ Microsoft Defender for Cloud Apps ช่วย Detect ความผิดปกติในการเข้าถึงข้อมูลแบบ Real-time
• ใช้ Microsoft Secure Score เพื่อประเมินสถานะความปลอดภัยและรับคำแนะนำในการปิดช่องโหว่
• ตั้งค่า Alert Policy ใน Microsoft Purview เพื่อรับการแจ้งเตือนเมื่อมีการดาวน์โหลดข้อมูลจำนวนมากผิดปกติ หรือมีการเข้าถึงจาก Location ที่ไม่คุ้นเคย
• เตรียม Incident Response Plan ที่ระบุว่าใครต้องแจ้งใคร ภายในกี่ชั่วโมง และต้องรวบรวมหลักฐานอะไรบ้าง

เคล็ดลับจากประสบการณ์จริง (Practical Tips)

นอกจากการตั้งค่าเชิงเทคนิคแล้ว สิ่งที่ IT Admin มักมองข้ามคือมิติของกระบวนการและเอกสาร ต่อไปนี้คือเคล็ดลับที่ได้จากประสบการณ์จริงในการทำ PDPA Compliance กับ Microsoft 365:

• ทำ Data Mapping ก่อนเสมอ: ก่อนตั้งค่าใด ๆ ต้องรู้ว่าข้อมูลส่วนบุคคลอยู่ที่ไหนบ้างใน Tenant ของคุณ ใช้ Microsoft Purview Data Map ช่วยได้มาก
• อย่าตั้งค่าโดยไม่มี Business Owner รับรอง: การลบข้อมูลหรือตั้ง Retention Policy ต้องได้รับความเห็นชอบจากเจ้าของกระบวนการทางธุรกิจด้วย ไม่ใช่แค่ IT ตัดสินใจเอง
• ทดสอบ DSR Process อย่างน้อยปีละครั้ง: หลายองค์กรตั้งค่าแล้วลืม พอมีคำขอจริงพบว่าเครื่องมือใช้ไม่เป็น หรือสิทธิ์หมดอายุไปแล้ว
• ใช้ Microsoft Compliance Manager: เครื่องมือนี้ช่วย Track สถานะ Compliance ขององค์กรเทียบกับ Framework ต่าง ๆ รวมถึง PDPA Thailand ได้โดยตรง
• อบรม User ให้รู้จัก Sensitivity Labels: เครื่องมือดีแค่ไหนก็ไม่มีประโยชน์ หาก User ไม่รู้ว่าไฟล์ไหนต้องติด Label อะไร

สรุป: IT Admin คือแนวหน้าของ PDPA Compliance

PDPA ไม่ใช่แค่เรื่องของกฎหมายหรือฝ่าย Legal เท่านั้น IT Admin คือผู้ที่ถือกุญแจสำคัญในการปฏิบัติตามกฎหมายผ่านการตั้งค่าและบริหารจัดการ Microsoft 365 อย่างถูกต้อง ตั้งแต่การเปิด Audit Log ไปจนถึงการรับมือกับ Data Breach ทุกอย่างขึ้นอยู่กับความพร้อมของทีม IT

ข่าวดีคือ Microsoft 365 มีเครื่องมือครบครันสำหรับการทำ PDPA Compliance อยู่แล้ว สิ่งที่ต้องทำคือเรียนรู้ให้ถูกเครื่องมือ วางแผนให้รอบคอบ และสื่อสารกับทีม Business ให้เข้าใจตรงกัน

คุณเริ่มต้นแล้วหรือยัง? ลองเช็ค Microsoft Compliance Manager ของ Tenant คุณวันนี้เลย แล้วคุณจะเห็นทันทีว่ายังมีจุดไหนที่ต้องปรับปรุงอีกบ้าง หากมีคำถามเพิ่มเติมหรืออยากแชร์ประสบการณ์การทำ PDPA กับ Microsoft 365 ในองค์กรของคุณ ฝากคอมเมนต์ไว้ด้านล่างได้เลยครับ