แล้ว ISO 27701 (PIMS) ต่างจาก ISO 27001 (ISMS) อย่างไร
ในส่วนของข้อแตกต่างนั้นอย่างแรกคือ การเพิ่มคำว่า “Privacy” ไปยังทุก Requirements ของ ISMS กล่าวคือ ISO 27001 นั้นจะเน้นไปที่การรักษาความมั่งคงปลอดภัยสำหรับสารสนเทศ แต่เมื่อทำ ISO 27701 แล้วนั้นจะต้องคำนึงถึงเรื่อง “Privacy” ในทุก ๆ กิจกรรมที่เคยทำใน ISO 27001 อาทิเช่น การเข้าใจบริบทภายในภายนอกขององค์กร (Clause 5.2 Context of the organization) เป็นกิจกรรมเดียวกันกับที่ต้องทำใน ISMS แต่จะเพิ่มเนื้อในเรื่ององค์กรจะต้องพิจารณาว่าองค์กรเป็นผู้ควบคุมข้อมูล, ผู้ประมวลผลข้อมูลหรือเป็นทั้ง 2 roles รวมถึงต้องพิจารณาปัจจัยภายในและภายนอกที่เกี่ยวข้องกับข้อมูลส่วนบุคคลด้วย รวมไปถึงการประเมินความเสี่ยง (Clause 5.4.1.2 Information security risk assessment) ที่ต้องพิจารณาความเสี่ยงที่เกี่ยวข้องกับการรวบรวม, ประมวลผลและส่งต่อข้อมูลส่วนบุคคลเพิ่มไปด้วย นอกจากนี้ ยังมีการเพิ่มเติมแนวทางที่เฉพาะเจาะจงในเรื่องข้อมูลส่วนบุคคลโดยเฉพาะไปด้วยนั้นคือใน Clause 7 ที่เป็นแนวทางปฏิบัติสำหรับผู้ควบคุมดูแล PII และ Clause 8 ที่เป็นแนวทางปฏิบัติตสำหรับผู้ประมวลผล PII ซึ่งหากท่านที่พอศึกษามาตรฐาน ISO 27001 มาแล้วบ้างจะพอทราบว่า นอกจากส่วน Requirements ที่เป็น Model PDCA แล้วยังมีส่วนของ Control ใน Annex A เป็นจำนวน 114 ข้อ ที่สามารถให้องค์กรไปปฏิบัติเพื่อควบคุมจัดการความมั่นคงปลอดภัยทางสารสนเทศ เช่นเดียวกับ ISO 27701 ที่เป็นส่วนเพิ่มเติมออกมาจาก ISO 27001 ในมาตรฐานนี้ก็มี Control เพิ่มเติมมาจากเดิมเช่นกันโดยแบ่งออกเป็น Control สำหรับผู้ควบคุมข้อมูล (Annex A) และ Control สำหรับผู้ประมวลผลข้อมูล (Annex B) เป็นจำนวนทั้งหมด 49 ข้อ โดยจุดประสงค์หลักเพื่อให้องค์กรสามารถเลือก Control ที่เหมาะสมกับ role ของตนเอง นำไปปรับใช้เพื่อควบคุมการเก็บรวบรวม การประมวลและการส่งต่อข้อมูลส่วนบุคคลหัวข้อหลักๆที่เพิ่มเติมมาสำหรับ Control ทั้งในส่วน Annex A และ Annex B ประกอบไปด้วย
♦ เงื่อนไขในการรวบรวมและประมวลผลข้อมูลส่วนบุคคล – เพื่อดูว่าการเก็บรวบรวม และการประมวลผลข้อมูลส่วนบุคคลเป็นไปตากฏหมายหรือไม่ และมีการระบุถึงจุดประสงค์ในการใช้งานข้อมูลส่วนบุคคลอย่างชัดเจนหรือไม่ ♦ ข้อผูกพันหรือสิทธิที่มีต้องมีให้เจ้าของข้อมูลส่วนบุคคล – เจ้าของข้อมูลส่วนบุคคลได้รับข้อมูลที่เหมาะสมเกี่ยวกับการประมวลผล ข้อมูลส่วนบุคคลของตนเอง รวมไปถึงข้อผูกพัน อื่น ๆ ที่เกี่ยวข้องกับเจ้าของข้อมูล เช่น สิทธิในการเข้าถึง เปลี่ยนแปลง หรือคัดค้านข้อมูลส่วนบุคคล ♦ Privacy by design and privacy by default – เพื่อมั่นใจได้ว่าการเก็บรวบรวมการประมวลผล การเปิดเผย การเก็บรักษา และการกำจัดข้อมูลส่วนบุคคลนั้น ถูกออกแบบมาอย่างปลอดภัย และถูกจำกัดใช้สำหรับวัตถุประสงค์ที่ระบุให้กับเจ้าของข้อมูลส่วนบุคคลเท่านั้น ♦ การแชร์ เปิดเผย และถ่ายโอนข้อมูลส่วนบุคคล – เพื่อสามารถมั่นใจได้ว่า เมื่อทำการส่งข้อมูลส่วนบุคคลออกไปยังต่างประเทศ หรือบุคคลที่สาม จะต้องปฏิบัติอย่างไรบ้าง
- ลดความยุ่งยากในการพัฒนา – หากเป็นองค์กรที่มีการทำ ISO 27001 อยู่แล้ว การจะเพิ่มมาตรฐานดังกล่าวนี้เพิ่มเติมไปนั้นสามารถทำได้ง่ายเนื่องจากองค์กรมีระบบ ISMS ที่เป็นพื้นฐานตาม Model PDCA อยู่แล้ว เพียงให้แต่ละกิจกรรมคำนึงถึง Privacy และนำ Control ที่เพิ่มขึ้นมาประยุกต์ใช้ก็สามารถสร้างระบบ PIMS ได้แล้ว
- ตอบโจทย์กฎหมายที่เกี่ยวข้องกับข้อมูลส่วนบุคคล – มาตรฐานนี้ช่วยตอบโจทย์ในการ compliance กับมาตรฐานอื่น ๆ ได้หลายตัวทั่วโลก ไม่ว่าจะเป็น GDPR ที่เป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลของ EU หรือ PDPA ของไทยเองด้วย
- สร้างความน่าเชื่อถือในการดำเนินงานกับข้อมูลส่วนบุคคล – เมื่อปฏิบัติตามมาตรฐานนี้แล้ว องค์กรเองจำเป็นต้องมีหลักฐานในการเก็บรวบรวม และการประมวลผลออกมาด้วย ซึ่งส่วนนี้ช่วยให้องค์กร เจ้าของข้อมูล รวมถึง partner ขององค์กรสามารถมั่นใจได้ว่าการเก็บรวบรวมข้อมูลรวมถึงการประมวลผลข้อมูลส่วนบุคคลมีเหตุผล และตรวจสอบได้
- มาตรฐานถูกเขียนให้สามารถนำประยุกต์ใช้งานต่อได้ – มาตรฐานนี้ถูกออกแบบมาให้องค์กรไม่ว่าจะมีขนาดใหญ่ หรือเล็กสามารถนำไปประยุกต์ใช้งานได้ และยังมีการแบ่งหน้าที่ และ Control ผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคลไว้อย่างชัดเจน
อัปเดตเวอร์ชันใหม่ 2025
ปัจจุบันมาตรฐาน ISO/IEC 27701 ได้มีการปรับปรุงและอัปเดตฉบับใหม่ในปี 2025 เพื่อให้สอดคล้องกับบริบทของโลกดิจิทัลที่เปลี่ยนแปลงอย่างรวดเร็ว โดยมีการปรับโครงสร้างและแนวทางสำคัญหลายประการ ทั้งการยกระดับจาก “ส่วนขยายของ ISO 27001” สู่การเป็น มาตรฐานหลักด้านการจัดการข้อมูลส่วนบุคคล (Privacy Information Management System – PIMS) อย่างเต็มรูปแบบ ช่วยให้องค์กรสามารถนำไปประยุกต์ใช้ได้อย่างอิสระโดยไม่จำเป็นต้องมีระบบ ISMS (ISO 27001) มาก่อนเหมือนในอดีต
นอกจากนี้ มาตรฐานฉบับใหม่ยังได้เพิ่มแนวทางและข้อกำหนดที่ตอบโจทย์เทคโนโลยีสมัยใหม่มากขึ้น เช่น AI, Internet of Things (IoT), และ Big Data Analytics ซึ่งมีการประมวลผลข้อมูลส่วนบุคคลจำนวนมากและซับซ้อน เพื่อช่วยให้องค์กรสามารถบริหารความเสี่ยงด้านความเป็นส่วนตัวได้ดียิ่งขึ้น โดยมีการเน้นหลักการ Privacy by Design และ Privacy by Default ควบคู่กับแนวทางการประเมินผลกระทบด้านความเป็นส่วนตัว (Privacy Impact Assessment – PIA) เพื่อให้การจัดการข้อมูลส่วนบุคคลเป็นไปอย่างมีความรับผิดชอบ โปร่งใส และตรวจสอบได้
การเปลี่ยนแปลงครั้งนี้จึงถือเป็นก้าวสำคัญของมาตรฐานด้านความเป็นส่วนตัว ที่ช่วยเสริมความน่าเชื่อถือและการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลทั่วโลก เช่น GDPR, CCPA และ PDPA ของประเทศไทย องค์กรที่ต้องการคงความสอดคล้องกับมาตรฐานสากล เสริมความเชื่อมั่นแก่ลูกค้าและคู่ค้า ควรเริ่มวางแผนและเตรียมความพร้อมสำหรับการปรับใช้ ISO/IEC 27701:2025 เพื่อให้การบริหารข้อมูลส่วนบุคคลเป็นไปอย่างมั่นคง โปร่งใส และยั่งยืนในยุคดิจิทัล
สำหรับบริษัทหรือองค์กรใดที่ต้องการทราบข้อมูลเพิ่มเติม หรือต้องการขอรับรองมาตรฐาน ISO/IEC 27701:2019 เอซีอินโฟเทคพร้อมเป็นที่ปรึกษาให้กับองค์กรของท่าน สอบถามเพิ่มเติม services@acinfotec.com หรือ โทร. 02 670 8980 ถึง 3 (จันทร์ – ศุกร์, 9:00 – 18:00 น.)
