ตั้งแต่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มีผลบังคับใช้เต็มรูปแบบ ธุรกิจติดตามหนี้เป็นหนึ่งในกลุ่มที่ถูกจับตามองมากที่สุด เพราะทำงานกับข้อมูลส่วนบุคคลของลูกหนี้จำนวนมากทุกวัน — ชื่อ เลขบัตรประชาชน เบอร์โทร ที่อยู่ และข้อมูลทางการเงิน การละเมิดไม่ใช่แค่ความเสี่ยงทางกฎหมาย แต่คือความเสี่ยงต่อชื่อเสียงของบริษัทและลูกค้าผู้ว่าจ้าง
หลักการ PDPA ที่เกี่ยวข้องกับงานติดตามหนี้
- ฐานในการประมวลผลข้อมูล — การติดตามหนี้โดยทั่วไปอาศัยฐาน "การปฏิบัติตามสัญญา" และ "ประโยชน์อันชอบธรรม" (legitimate interest) ไม่จำเป็นต้องขอความยินยอมจากลูกหนี้ แต่ต้องใช้ข้อมูลเท่าที่จำเป็น
- หลักการจำกัดวัตถุประสงค์ — ข้อมูลที่ได้รับจากผู้ว่าจ้างต้องใช้เพื่อติดตามหนี้เท่านั้น ห้ามนำไปใช้วัตถุประสงค์อื่น เช่น ขายต่อหรือทำการตลาด
- หลักความถูกต้องของข้อมูล — ต้องมีกระบวนการอัปเดตข้อมูลลูกหนี้ให้ถูกต้อง และแก้ไขเมื่อเจ้าของข้อมูลร้องขอ
- หลักความมั่นคงปลอดภัย — ต้องมีมาตรการป้องกันข้อมูลที่เหมาะสม ทั้งด้านเทคนิคและองค์กร
แนวปฏิบัติที่ทีมติดตามหนี้ควรทำทันที
- กำหนดสิทธิ์การเข้าถึงตามบทบาท — Collector เห็นเฉพาะลูกหนี้ที่ได้รับมอบหมาย ไม่ใช่ทั้งพอร์ต
- บันทึก access logs — ทุกครั้งที่มีการเปิดดูข้อมูลลูกหนี้ต้องมีบันทึกว่าใคร ดูรายไหน เมื่อไหร่ เพื่อใช้ตอบคำถามเมื่อถูกร้องเรียน
- ซ่อนข้อมูล (masking) ในหน้าจอที่ไม่จำเป็น — เช่น ซ่อนบางส่วนของชื่อ-นามสกุลหรือเลขบัตรในหน้าจอที่ไม่ต้องใช้ข้อมูลเต็ม
- กำหนดระยะเวลาเก็บข้อมูล — เมื่อปิดพอร์ตหรือสิ้นสุดสัญญากับผู้ว่าจ้าง ต้องมีนโยบายลบ/ทำลายข้อมูลที่ชัดเจน
- อบรมพนักงาน — พนักงานติดตามต้องรู้ว่าห้ามเปิดเผยข้อมูลลูกหนี้ต่อบุคคลที่สาม เช่น ญาติหรือเพื่อนร่วมงานของลูกหนี้ นอกเหนือจากที่กฎหมายอนุญาต
การโทรติดตามหนี้ภายใต้ PDPA ต้องระวังอะไร
การโทรไปหาลูกหนี้ถือเป็นการประมวลผลข้อมูลส่วนบุคคลตามฐานสัญญา แต่พฤติกรรมบางอย่างอาจกลายเป็นการละเมิด เช่น การบอกบุคคลที่สามว่าลูกหนี้มีหนี้ (เปิดเผยข้อมูลโดยไม่มีฐานกฎหมาย) การโทรรบกวนถี่เกินสมควร หรือการบันทึกเสียงโดยไม่แจ้ง ทีมควรมีสคริปต์มาตรฐานและบันทึกผลการโทรทุกครั้งเป็นเหตุเป็นผล
ระบบช่วยให้ปฏิบัติตาม PDPA ได้อย่างไร
การทำตาม PDPA ด้วย Excel และสมุดจดแทบเป็นไปไม่ได้ในทางปฏิบัติ ระบบติดตามหนี้ที่ดีจะบังคับสิทธิ์ตามบทบาทโดยอัตโนมัติ บันทึก access logs ทุกการเปิดดู ซ่อนข้อมูลส่วนบุคคลในหน้าจอ และมีร่องรอยการตรวจสอบ (audit trail) ครบถ้วน — DCMS ออกแบบมาให้มาตรการเหล่านี้เป็นค่าเริ่มต้น ไม่ใช่ตัวเลือกเสริม
ข้อจำกัดความรับผิด: บทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย โปรดปรึกษาที่ปรึกษากฎหมายขององค์กรสำหรับกรณีเฉพาะ