ระบบการจัดการข้อมูลความเป็นส่วนตัว ISO/IEC 27701 (PIMS)

ข้อมูลส่วนบุคคลผ่านหลายขั้นตอน ตั้งแต่การเก็บ ใช้ จ้างประมวลผล ไปจนถึงการลบ และเกี่ยวข้องกับหลายหน่วยงานกับผู้ให้บริการ ระบบ PIMS ช่วยให้องค์กรกำหนดวัตถุประสงค์ บทบาท ความเสี่ยง และความรับผิดชอบ เพื่อนำนโยบายไปใช้ในงานประจำ หน้านี้สรุปฉบับใหม่ ประเด็นข้อกำหนด และการเตรียมเปลี่ยนผ่าน

หารือเรื่องการจัดการความเป็นส่วนตัวและการเปลี่ยนผ่าน

1. ภาพรวมการปรับปรุงและกำหนดการเปลี่ยนผ่าน

ISO/IEC 27701:2025 เผยแพร่เมื่อ 14 ตุลาคม 2025 และแทนฉบับปี 2019 ฉบับใหม่นี้เป็นมาตรฐานระบบการจัดการที่ใช้งานและขอรับรองได้อย่างอิสระ หรือบูรณาการกับ ISO/IEC 27001 ก็ได้ การมีใบรับรอง ISO/IEC 27001 ไม่ใช่เงื่อนไขเบื้องต้น ISO/IEC 27002 เป็นแนวทางควบคุม ไม่ใช่ใบรับรองระบบการจัดการที่ต้องมีก่อน แค็ตตาล็อก ISO

โครงสร้าง Annex SL ของ ISO ครอบคลุมข้อ 4–10 ได้แก่ บริบทองค์กร ภาวะผู้นำ การวางแผน การสนับสนุน การดำเนินงาน การประเมินผล และการปรับปรุง ฉบับปี 2019 มีข้อกำหนดเรื่องความเสี่ยงและธรรมาภิบาลด้านความเป็นส่วนตัวอยู่แล้ว การเปลี่ยนแปลงหลักครั้งนี้คือการจัดทำโครงสร้าง PIMS ที่สมบูรณ์และเป็นอิสระ พร้อมจัดระเบียบมาตรการและแนวทางใหม่

PIMS ใช้กับผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคลที่ระบุตัวบุคคลได้ (PII) องค์กรหนึ่งอาจมีทั้งสองบทบาทในกิจกรรมต่างกัน จึงควรพิจารณาตามการประมวลผลจริง ระบบช่วยจัดการหน้าที่ด้านข้อมูลส่วนบุคคลที่เกี่ยวข้อง แต่การได้รับใบรับรองไม่ได้รับประกันการปฏิบัติตาม GDPR, CCPA, LGPD หรือกฎหมายทุกเขตอำนาจ

ใบรับรองฉบับปี 2019 และแผนเปลี่ยนผ่าน

การมีมาตรฐานฉบับใหม่กับวันที่ใบรับรองเดิมหมดสถานะการรับรองเป็นคนละเรื่อง ห้ามนำกำหนดเวลาของโครงการรับรองแห่งหนึ่งไปใช้กับทุกใบรับรอง ตัวอย่างแผนที่เผยแพร่และตรวจสอบสำหรับหน้านี้ ได้แก่

แหล่งข้อมูล: ประกาศเปลี่ยนผ่าน UKAS และ แผนเปลี่ยนผ่าน ENAC ขอแผนเปลี่ยนผ่านเป็นลายลักษณ์อักษรจากหน่วยรับรองเดิม และเผื่อเวลาสำหรับแก้ไขข้อบกพร่องกับการตัดสินรับรอง การรวมการเปลี่ยนผ่านกับการตรวจติดตามหรือการรับรองใหม่ รวมถึงเวลาตรวจเพิ่มเติม ต้องยืนยันกับโครงการที่รับคำขอ

บทบาทของ ISO/IEC 27706:2025

ISO/IEC 27706:2025 กำหนดข้อกำหนดสำหรับหน่วยงานที่ตรวจประเมินและรับรอง PIMS โดยใช้ร่วมกับ ISO/IEC 17021-1 และแทน ISO/IEC TS 27006-2:2021 องค์กรยื่นขอรับรอง ISO/IEC 27701 ส่วน 27706 กำกับความสามารถและการดำเนินงานของหน่วยรับรอง ข้อมูล ISO 27706

2. สรุปการปรับปรุงสำคัญ

1. ระบบการจัดการอิสระ: ไม่ได้เป็นเพียงมาตรฐานเสริมที่ต้องพึ่ง ISMS สามารถกำหนดขอบเขต PIMS ตามกิจกรรมข้อมูลส่วนบุคคล
2. โครงสร้างครบถ้วน: ข้อ 4–10 เป็นข้อกำหนดระบบ PIMS โดยตรง และบูรณาการกับการทบทวนฝ่ายบริหาร การตรวจประเมิน และเอกสารเดิมได้
3. จัดระเบียบมาตรการใหม่: ภาคผนวก A รวมมาตรการ ภาคผนวก B ให้แนวทางปฏิบัติ และภาคผนวก F ช่วยเทียบฉบับเดิมกับฉบับใหม่
4. ความปลอดภัยของข้อมูลยังจำเป็น: การเป็นระบบอิสระไม่ได้ยกเลิกงานความมั่นคงปลอดภัย มาตรการความเสี่ยงด้านความเป็นส่วนตัวยังต้องเชื่อมกับการควบคุมความปลอดภัยที่เหมาะสม
5. วางแผนการเปลี่ยนแปลง: ข้อ 6.3 ครอบคลุมการเปลี่ยน PIMS เช่น วัตถุประสงค์การใช้ข้อมูล แพลตฟอร์ม ผู้ให้บริการ หรือหน้าที่ขององค์กร
6. ปรับขอบเขตและหลักฐาน: ตรวจสอบบทบาทผู้ควบคุม/ผู้ประมวลผล SoA ความเสี่ยง และหลักฐานกระบวนการให้สอดคล้องกัน ระบบเดิมที่ยังมีประสิทธิผลเก็บไว้ได้

3. ประเด็นข้อ 4–10

ตัวอย่างแบบฟอร์ม ตัวชี้วัด และวิธีทำงานต่อไปนี้ใช้เป็นแนวทางเตรียมความพร้อม ปรับตามขนาดองค์กร กิจกรรมประมวลผล และข้อกำหนดที่เกี่ยวข้อง

4. บริบทองค์กร

ข้อ 4.1 วิเคราะห์ประเด็นภายในและภายนอก เช่น วัตถุประสงค์ข้อมูล เทคโนโลยี รูปแบบธุรกิจ และกฎหมาย พร้อมพิจารณาว่าสภาพภูมิอากาศเกี่ยวข้องหรือไม่ ข้อ 4.2 ระบุเจ้าของข้อมูล ลูกค้า คู่ค้า หน่วยงานกำกับ และความต้องการที่ PIMS ต้องจัดการ รวมถึงข้อกำหนดด้านสภาพภูมิอากาศที่ผู้มีส่วนได้เสียอาจมี ข้อ 4.3 ระบุกิจกรรม บริการ สถานที่ เส้นทางข้อมูล และบทบาทที่อยู่ในขอบเขต รวมทั้งจุดเชื่อมต่อกับบริการภายนอก ส่วน 4.4 กำหนดและปรับปรุงระบบกับกระบวนการที่จำเป็น

ตรวจสอบในทางปฏิบัติ: เลือกกิจกรรมรับสมัครงาน การตลาด หรือการประมวลผลแทนลูกค้าหนึ่งรายการ แล้วติดตามแหล่งข้อมูล วัตถุประสงค์ และผู้รับ ตรวจว่าขอบเขตตรงกับงานจริง กฎหมายในแต่ละพื้นที่ต้องผ่านการพิจารณาว่าใช้บังคับหรือไม่ ไม่ควรถือว่าใช้ทั้งหมดโดยอัตโนมัติ

5. ภาวะผู้นำ

ผู้บริหารสูงสุดควรแสดงความมุ่งมั่น จัดทำนโยบายความเป็นส่วนตัว จัดสรรทรัพยากร และผนวกข้อกำหนด PIMS เข้ากับกระบวนการธุรกิจ ระบุและสื่อสารบทบาท ความรับผิดชอบ และอำนาจให้ชัดเจน ฝ่ายกฎหมาย IT ทรัพยากรบุคคล การตลาด และปฏิบัติการอาจร่วมกันดูแลเส้นทางข้อมูลกับการตัดสินใจ ฉบับเดิมมีความรับผิดชอบของผู้นำอยู่แล้ว ฉบับใหม่ยังต้องแสดงหลักฐานว่าฝ่ายบริหารมีส่วนร่วมและระบบมีประสิทธิผล

6. การวางแผน

• 6.1.2 การประเมินความเสี่ยงด้านความเป็นส่วนตัว: ใช้วิธีและเกณฑ์ที่สม่ำเสมอ โดยพิจารณาทั้งผลของการประมวลผลต่อบุคคลและความเสี่ยงความมั่นคงปลอดภัยของ PII
• 6.1.3 การจัดการความเสี่ยง: เลือกมาตรการและแผนจัดการที่จำเป็น จัดทำคำแถลงการบังคับใช้ (SoA) และบันทึกมาตรการด้านความปลอดภัยที่เกี่ยวข้อง ภาคผนวก A ใช้เป็นฐานเปรียบเทียบ และเพิ่มมาตรการจากแหล่งอื่นหรือที่องค์กรออกแบบเองได้เมื่อจำเป็น
• 6.2 วัตถุประสงค์: กำหนดเป้าหมายที่ประเมินได้ และวัดได้เมื่อทำได้จริง พร้อมเจ้าของงาน ทรัพยากร กำหนดเวลา และวิธีประเมิน
• 6.3 การวางแผนการเปลี่ยนแปลง: วางแผนเปลี่ยน PIMS อย่างมีการควบคุม เช่น ก่อนเพิ่มวัตถุประสงค์ใช้ข้อมูล ให้ตรวจประกาศ ฐานที่ใช้ได้ สิทธิ์เข้าถึง และระยะเวลาเก็บรักษา แล้วติดตามผล

ตรวจสอบในทางปฏิบัติ: เชื่อมโยงความเสี่ยง มาตรการ SoA ผู้รับผิดชอบ และหลักฐานให้ตรวจสอบย้อนกลับได้ SoA เป็นส่วนหนึ่งของการวางแผน ไม่ควรรอจนดำเนินการตามข้อ 8 เสร็จจึงค่อยจัดทำ

7. การสนับสนุน

จัดหาทรัพยากรที่ระบบต้องใช้ ดูแลความสามารถและความตระหนักด้านความเป็นส่วนตัว จัดการสื่อสารภายในและภายนอก และควบคุมข้อมูลที่ต้องจัดทำเป็นเอกสาร บันทึกที่เกี่ยวข้องอาจประกอบด้วยการประเมินความเสี่ยง SoA กิจกรรมประมวลผล การฝึกอบรม คำขอใช้สิทธิ เหตุการณ์ และการเปลี่ยนแปลง กำหนดชนิดและรายละเอียดเอกสารตามความจำเป็น รวมเอกสารเดิมได้ หากบันทึกมีข้อมูลส่วนบุคคล ต้องจำกัดสิทธิ์เข้าถึงและกำหนดการเก็บรักษา

8. การดำเนินงาน

8.1 นำกระบวนการและมาตรการที่วางแผนไว้ไปใช้กับงานประจำ จัดการการเปลี่ยนแปลงและบริการหรือกระบวนการจากภายนอก 8.2 ประเมินความเสี่ยงตามรอบที่กำหนดและเมื่อมีเหตุ เช่น การเปลี่ยนแปลงสำคัญ พร้อมเก็บผลประเมิน 8.3 ดำเนินแผนจัดการความเสี่ยงและเก็บหลักฐานผลลัพธ์

ตัวอย่างการตรวจสอบคือคำขอใช้สิทธิของเจ้าของข้อมูลหรือการลบข้อมูลโดยผู้รับจ้าง ให้ตรวจการยืนยันตัวตน การดำเนินการ การตอบกลับ และการแจ้งหน่วยงานปลายทางว่ามีผู้รับผิดชอบชัดเจน ผู้ควบคุมและผู้ประมวลผลต้องใช้มาตรการที่เกี่ยวข้องตามบทบาทของตน

9. การประเมินผล

กำหนดสิ่งที่จะติดตามและวัด วิธีวิเคราะห์และประเมินผล รวมถึงเวลา จัดให้มีการตรวจประเมินภายในและการทบทวนฝ่ายบริหาร ตัวชี้วัดอาจรวมเวลาตอบคำขอใช้สิทธิ อัตราคำขอเกินกำหนด ข้อบกพร่องซ้ำ และความคืบหน้าการจัดการความเสี่ยง การตีความแนวโน้มควรพิจารณาจำนวนกรณีและความรุนแรงร่วมด้วย การทบทวนฝ่ายบริหารควรเปลี่ยนสถานะระบบ การเปลี่ยนแปลง และผลการดำเนินงานให้เป็นการตัดสินใจที่นำไปทำได้ การตรวจภายในต้องเป็นกลางและครอบคลุมข้อกำหนดใหม่ที่ใช้บังคับ

10. การปรับปรุง

10.1 การปรับปรุงอย่างต่อเนื่อง พิจารณาความเหมาะสม ความเพียงพอ และประสิทธิผลของ PIMS; 10.2 สิ่งที่ไม่เป็นไปตามข้อกำหนดและการแก้ไข วิเคราะห์สาเหตุ มาตรการที่จำเป็น และประสิทธิผลของการแก้ไข

จัดการเหตุการณ์ด้านความเป็นส่วนตัวตามขั้นตอนและหน้าที่ตามกฎหมาย แล้วพิจารณาว่าเหตุการณ์นั้นเป็นความไม่สอดคล้องของระบบหรือไม่ เหตุการณ์ไม่ได้หมายถึงความไม่สอดคล้องโดยอัตโนมัติ คำขอใช้สิทธิและข้อค้นพบจากการตรวจประเมินก็ใช้ปรับปรุงกระบวนการได้

ภาคผนวก A: มาตรการควบคุมและ SoA

หน้านี้ใช้จำนวนจากการเทียบรายข้อฉบับเผยแพร่ของ SGS คือ 31 + 18 + 29 รวม 78 มาตรการ บทสรุปสาธารณะบางแห่งรายงานตัวเลขต่างกัน ในการนำไปใช้ควรตรวจแต่ละรายการกับมาตรฐานทางการและทะเบียนควบคุมที่ได้มาโดยชอบ

มีการจัดระเบียบมาตรการใหม่ รวมถึงย้ายและปรับเนื้อหาเดิม จึงสรุปไม่ได้ว่าความรับผิดชอบด้านความปลอดภัยหายไป หน้านี้ไม่ใช้ข้อกล่าวอ้าง “ตัดออกประมาณ 52 รายการ” ที่ยังไม่มีหลักฐานยืนยัน ตารางเปรียบเทียบฉบับปี 2025 และมาตรการจาก SGS

SoA ควรระบุมาตรการที่จำเป็น เหตุผลที่เลือก สถานะการดำเนินงาน และเหตุผลของการตัดมาตรการในภาคผนวก A พร้อมตรวจว่าไม่มีมาตรการจำเป็นตกหล่น ปรับ SoA เดิมและเก็บตารางเทียบฉบับได้ ไม่จำเป็นต้องเขียนเอกสารทุกฉบับใหม่ และห้ามตัดมาตรการเพียงเพราะดำเนินการไม่สะดวก ข้อกำหนดระบบในข้อ 4–10 ไม่สามารถใช้ตรรกะการเลือกมาตรการมาตัดออกได้

ภาคผนวก B–F: แนวทางและตารางเทียบ

ภาคผนวก C–F เป็นตารางเทียบเพื่อให้ข้อมูล ตารางกฎหมายช่วยระบุมาตรการที่เกี่ยวข้อง แต่ไม่แทนการวิเคราะห์การใช้บังคับของกฎหมายหรือพิสูจน์การปฏิบัติตามทั้งหมด

4. หกขั้นตอนเตรียมเปลี่ยนผ่าน

1. วิเคราะห์ช่องว่างและบทบาท: ยืนยันใบรับรอง โครงการรับรอง ขอบเขต PIMS และบทบาทผู้ควบคุม/ผู้ประมวลผล เทียบข้อ 4–10 ภาคผนวก A และระบบเดิม ระบุหลักฐานที่ใช้ต่อได้ ผู้รับผิดชอบ และช่องว่าง โดยใช้ภาคผนวก F ช่วยทำตารางเทียบ
2. ตั้งทีมข้ามหน่วยงาน: ให้ฝ่ายบริหารสนับสนุนและเชิญฝ่ายกฎหมาย IT ทรัพยากรบุคคล ปฏิบัติการ การตลาดและจัดซื้อ วางกำหนดการแก้เอกสาร ฝึกอบรม ทดลองกระบวนการ ตรวจภายใน ทบทวนฝ่ายบริหาร และตรวจภายนอก
3. ฝึกอบรมตามบทบาท: ผู้บริหารเรียนรู้ความรับผิดชอบ ขอบเขต ทรัพยากรและการตัดสินใจความเสี่ยง; ผู้ตรวจภายในเรียนรู้ข้อกำหนดใหม่ SoA และหลักฐาน; แต่ละหน่วยงานทบทวนวัตถุประสงค์ข้อมูล คำขอใช้สิทธิ เหตุการณ์ งานจ้างภายนอกและข้อมูลข้ามพรมแดน
4. ปรับเอกสารและ SoA: ปรับนโยบาย การประเมินและจัดการความเสี่ยง SoA ขั้นตอนเปลี่ยนแปลงและเหตุการณ์ รวมถึงสัญญาและแบบฟอร์มตามความจำเป็น เก็บกระบวนการที่ยังใช้ได้ พร้อมบันทึกเหตุผล ผู้อนุมัติและรุ่นเอกสาร การเปลี่ยนเพียงปีบนปกไม่ใช่การเปลี่ยนผ่าน
5. ใช้งานและสะสมหลักฐาน: ดำเนินระบบใหม่ เก็บบันทึกคำขอ การจัดการความเสี่ยง ผู้ให้บริการและการเปลี่ยนแปลง ตรวจภายใน แก้ไขข้อบกพร่อง และทบทวนฝ่ายบริหาร กำหนดระยะเวลาตามขอบเขต ความซับซ้อนและความเพียงพอของหลักฐาน ไม่มีจำนวนวันตายตัวสำหรับทุกองค์กร
6. จัดการตรวจเปลี่ยนผ่านและการตัดสินรับรอง: ยืนยันโครงการกับหน่วยรับรองอิสระที่มีคุณสมบัติเหมาะสม ตรวจว่าสามารถรวมกับการตรวจติดตามหรือรับรองใหม่ได้หรือจำเป็นต้องตรวจแยก เมื่อแก้ข้อบกพร่องแล้ว หน่วยรับรองเป็นผู้ตัดสิน ผู้เริ่มใช้ใหม่ขอรับรองครั้งแรกตามฉบับใหม่ และการเปลี่ยนฉบับไม่ได้รับประกันใบรับรองใหม่เต็มสามปี

5. ความเข้าใจผิดที่พบบ่อย

27701 ยังเป็นเพียงภาคผนวกความเป็นส่วนตัวของ 27001 หรือไม่?

ฉบับปี 2025 เป็นมาตรฐานอิสระ ต้องยืนยันขอบเขต ข้อกำหนด และหลักฐาน PIMS โดยตรง ISMS เดิมช่วยบูรณาการได้ แต่ไม่ทดแทนงานจัดการความเป็นส่วนตัว

ต้องมีใบรับรอง 27001 ก่อนยื่นหรือไม่?

ฉบับใหม่ไม่ได้กำหนดให้มีใบรับรอง 27001 เป็นเงื่อนไข แต่ยังต้องมีมาตรการความปลอดภัยข้อมูลส่วนบุคคลที่จำเป็น และควรยืนยันโครงการรับรองฉบับใหม่กับหน่วยรับรอง

ต้องเลือกมาตรการภาคผนวก A ทุกข้อ หรือเอาออกได้ตามใจ?

พิจารณาตามบทบาท ความเสี่ยงและข้อกำหนด ตรวจภาคผนวก A ให้ครบ บันทึกเหตุผลที่ตัดออก และเพิ่มมาตรการเมื่อจำเป็น ห้ามเลือกโดยไม่มีหลักเกณฑ์

ต้องเขียน SoA และทุกขั้นตอนใหม่หรือไม่?

ปรับตารางเทียบ เหตุผลการใช้ และหลักฐาน พร้อมเก็บเนื้อหาที่มีประสิทธิผลไว้ได้ จุดสำคัญคือปิดช่องว่างและแสดงการปฏิบัติจริง ไม่ใช่เพิ่มจำนวนเอกสาร

การจัดการข้อมูลเป็นหน้าที่ฝ่ายกฎหมายหรือ IT เท่านั้นหรือไม่?

ข้อมูลถูกใช้ในหลายหน่วยงาน จึงต้องแบ่งความรับผิดชอบและทรัพยากรให้การรับสมัคร การตลาด บริการ และงานจ้างภายนอกปฏิบัติตามระบบ

มีใบรับรอง 27001 หรือ 27701 แล้ว เท่ากับทำตามกฎหมายข้อมูลส่วนบุคคลทุกฉบับหรือไม่?

ใบรับรองมีขอบเขตและฐานประเมินเฉพาะ องค์กรยังต้องระบุกฎหมาย สัญญา และหน้าที่ที่ใช้จริง พร้อมทบทวนการโอนข้อมูลข้ามพรมแดน การแจ้ง และสิทธิของเจ้าของข้อมูล

ขอบเขตบริการและการหารือ

อาจหารือเรื่องบัญชีกิจกรรมประมวลผล แผนผังข้อมูลและบทบาท การวิเคราะห์ช่องว่าง การปรับ SoA การเตรียมตรวจภายใน และการฝึกอบรม ขอบเขต กำหนดการ และค่าใช้จ่ายยืนยันแยกต่างหาก การตัดสินรับรองเป็นหน้าที่ของหน่วยงานอิสระที่รับคำขอ

• ระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ ISO/IEC 27001
• การฝึกอบรมระบบการจัดการ ISO สำหรับองค์กร
• ภาพรวมบริการระบบการจัดการ ISO

สำหรับการหารือเบื้องต้น เตรียมภาพรวมเส้นทางข้อมูลของกิจกรรมหนึ่งรายการ นโยบายปัจจุบัน โครงการรับรอง และบันทึกที่ลบข้อมูลระบุตัวบุคคลแล้ว ติดต่อ Captain International

แหล่งข้อมูลและขอบเขตการตรวจสอบ

หน้านี้จัดทำเมื่อ 29 กันยายน 2026 โดยอ้างอิงแค็ตตาล็อก ISO ตารางเปรียบเทียบฉบับเผยแพร่ของ SGS และประกาศหน่วยรับรอง เป็นแนวทางเปลี่ยนผ่านและคำแนะนำเชิงปฏิบัติ โดยไม่ได้รับมาตรฐานฉบับเต็มที่มีค่าใช้จ่ายเพื่อตรวจข้อกำหนดทีละข้อ โปรดยืนยันข้อกำหนดและแผนเปลี่ยนผ่านกับเอกสารทางการและประกาศล่าสุดของหน่วยรับรองที่รับคำขอ