Outsource Call Center กับการปฏิบัติตามกฎหมาย PDPA: สิ่งที่องค์กรผู้ว่าจ้างต้องรู้และระวัง

ในยุคที่ข้อมูลส่วนบุคคลมีมูลค่ามหาศาลและมีความเสี่ยงทางกฎหมายสูง การใช้บริการ Outsource Call Center ไม่ได้เป็นเพียงเรื่องของประสิทธิภาพการบริการหรือความคุ้มค่าด้านต้นทุนอีกต่อไป แต่ยังผูกพันโดยตรงกับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

เมื่อเกิดเหตุข้อมูลลูกค้ารั่วไหลจากศูนย์บริการลูกค้า องค์กรผู้ว่าจ้างในฐานะ “ผู้ควบคุมข้อมูลส่วนบุคคล” ไม่อาจปฏิเสธความรับผิดชอบได้ การวางกรอบความร่วมมือและมาตรการควบคุมด้านความปลอดภัยร่วมกับพาร์ตเนอร์ Outsource จึงเป็นเรื่องสำคัญอย่างยิ่งในระดับยุทธศาสตร์ขององค์กร

1. สถานะทางกฎหมาย: ผู้ควบคุมข้อมูล vs ผู้ประมวลผลข้อมูล

เพื่อกำหนดหน้าที่และความรับผิดชอบให้ถูกต้อง จำเป็นต้องเข้าใจสถานะตามนิยามของ PDPA:

  • องค์กรผู้ว่าจ้าง = ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller): มีอำนาจตัดสินใจเกี่ยวกับการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เป็นผู้กำหนดวัตถุประสงค์ของการจ้าง Outsource และเป็นผู้รับผิดชอบหลักตามกฎหมายต่อเจ้าของข้อมูล
  • Outsource Call Center = ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor): ดำเนินการประมวลผลข้อมูลตามคำสั่งและในนามของผู้ควบคุมข้อมูลเท่านั้น ไม่มีสิทธิ์นำข้อมูลไปใช้เพื่อวัตถุประสงค์อื่นนอกเหนือจากที่ตกลงไว้ในสัญญา

2. 5 จุดเสี่ยงด้าน PDPA ในการปฏิบัติงานของ Call Center

Call Center เป็นจุดสัมผัส (Touchpoint) ที่มีข้อมูลส่วนบุคคลไหลเวียนตลอดเวลา จึงมีจุดเสี่ยงสำคัญที่ต้องควบคุมอย่างเข้มงวด:

  • การบันทึกเสียงสนทนา (Call Recording): การบันทึกเสียงถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคล ต้องมีการแจ้งวัตถุประสงค์และฐานทางกฎหมาย (เช่น ฐานประโยชน์โดยชอบด้วยกฎหมาย หรือขอความยินยอม) ผ่านระบบเสียงตอบรับอัตโนมัติ (IVR Notice) ก่อนที่ลูกค้าจะเข้าสู่การสนทนากับเจ้าหน้าที่
  • การยืนยันตัวตนลูกค้า (Customer Authentication): ควรถามเฉพาะข้อมูลที่จำเป็นต่อการระบุตัวตน เช่น วันเดือนปีเกิด 4 หลักท้ายของหมายเลขโทรศัพท์ หลีกเลี่ยงการให้เจ้าหน้าที่บันทึกข้อมูลอ่อนไหว (Sensitive Data) หรือหมายเลขบัตรประชาชนแบบเต็มรูปโดยไม่จำเป็น
  • การเข้าถึงข้อมูลของพนักงานรับสาย (Data Access Control): เจ้าหน้าที่ Call Center แต่ละคนควรเข้าถึงข้อมูลลูกค้าได้เฉพาะตามบทบาทหน้าที่ (Role-based Access) และควรใช้เทคนิค Data Masking เช่น ซ่อนเลขหน้าบัตรเครดิต หรือหมายเลขบัตรประชาชนบางส่วน
  • สภาพแวดล้อมการทำงานของ Agent (Clean Desk Policy): ไม่อนุญาตให้นำโทรศัพท์มือถือ สมาร์ตวอทช์ สมุด หรือปากกา เข้าไปยังพื้นที่ปฏิบัติงาน เพื่อป้องกันการแอบถ่ายรูปหรือจดบันทึกข้อมูลลูกค้า
  • การใช้ระบบบันทึกหน้าจอและกิจกรรม (Screen & Audit Logs): ระบบต้องมีการบันทึก Log การค้นหาและการเปิดดูประวัติลูกค้าของเจ้าหน้าที่ทุกคน เพื่อให้สามารถตรวจสอบย้อนหลังได้เมื่อเกิดเหตุผิดปกติ

3. สิ่งที่ต้องมีในข้อตกลงประมวลผลข้อมูล (Data Processing Agreement: DPA)

การจ้าง Outsource Call Center ต้องมีสัญญาแนบท้ายด้านการประมวลผลข้อมูล (DPA) เสมอ โดยระบุเงื่อนไขต่อไปนี้อย่างชัดเจน:

  • ขอบเขตและวัตถุประสงค์: ระบุชัดเจนว่า Outsource ประมวลผลข้อมูลใดได้บ้าง และมีสิทธิ์ทำอะไรกับข้อมูลได้บ้าง
  • มาตรการรักษาความปลอดภัย (Security Measures): ระบุมาตรฐานความปลอดภัยด้านเทคนิคและการบริหารจัดการ เช่น การเข้ารหัสข้อมูล (Encryption), การจำกัดสิทธิ์เข้าถึง และการติดตั้งไฟร์วอลล์
  • การส่งต่อผู้รับจ้างช่วง (Sub-processor): กำหนดห้ามมิให้ Outsource ส่งต่องานให้บุคคลภายนอกโดยไม่ได้รับความยินยอมเป็นลายลักษณ์อักษรจากผู้ว่าจ้าง
  • การแจ้งเตือนเหตุละเมิด (Data Breach Notification): หากเกิดเหตุข้อมูลรั่วไหล Outsource จะต้องแจ้งให้ผู้ว่าจ้างทราบภายในกรอบเวลาที่รวดเร็ว (เช่น ไม่เกิน 24–48 ชั่วโมง) เพื่อให้ผู้ว่าจ้างสามารถแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้ทันภายใน 72 ชั่วโมงตามกฎหมาย
  • การทำลายหรือส่งคืนข้อมูล (Data Deletion/Return): เมื่อสิ้นสุดสัญญา Outsource ต้องทำลายหรือส่งคืนข้อมูลทั้งหมดโดยไม่มีการเก็บสำเนาไว้

4. Checklist สำหรับผู้ว่าจ้างในการตรวจประเมิน Outsource (PDPA Compliance Audit)

หมวดการตรวจประเมิน รายการตรวจสอบที่สำคัญ ตรวจสอบแล้ว
สัญญาและเอกสาร มีสัญญา Data Processing Agreement (DPA) ครบถ้วนและลงนามร่วมกัน ☐
ระบบงาน มีข้อความแจ้งเตือนการบันทึกเสียงและแจ้งนโยบายความเป็นส่วนตัวในระบบ IVR ☐
ความปลอดภัยไอที ระบบ CRM มีการทำ Masking ข้อมูลสำคัญ และมีการจำกัดสิทธิ์การเข้าถึง ☐
การเก็บบันทึก มี Audit Logs บันทึกการเข้าดูข้อมูล และมีมาตรการสำรองข้อมูลที่ปลอดภัย ☐
พื้นที่ทำงาน พื้นที่ปฏิบัติการมีกล้องวงจรปิด และใช้นโยบาย Clean Desk / No Mobile Device ☐
บุคลากร Agent และ Supervisor ทุกคนผ่านการฝึกอบรมความรู้เรื่อง PDPA เป็นประจำทุกปี ☐

บทสรุป

การจ้าง Outsource Call Center ภายใต้กฎหมาย PDPA คือความรับผิดชอบร่วมกันระหว่างผู้ว่าจ้างในฐานะผู้ควบคุมข้อมูล และผู้ให้บริการในฐานะผู้ประมวลผลข้อมูล การเข้าใจสถานะทางกฎหมาย ควบคุม 5 จุดเสี่ยงหน้างาน จัดทำสัญญา DPA ที่รัดกุม และตรวจประเมินอย่างสม่ำเสมอ จะช่วยลดความเสี่ยงการรั่วไหลของข้อมูล ปกป้องชื่อเสียงองค์กร และสร้างความไว้วางใจให้กับลูกค้าได้อย่างยั่งยืน

ติดต่อเรา