เมื่อโลกของข้อมูลไร้พรมแดนและเต็มไปด้วยบรรดาอาชญากรคอมพิวเตอร์ที่ยังคงท้าทายกฎหมายด้วยการสร้างเว็บไซต์ปลอม หรือ ฟิชชิ่ง สแกม แฮ็กเกอร์ที่ยังคงใช้เทคโนโลยีที่ก้าวหน้าเพื่อล้วงลึกข้อมูลเพื่อหาประโยชน์ ทำให้การปกป้องและบริหารความเสี่ยงของข้อมูลส่วนบุคคลเป็นเรื่องสำคัญ

ปัจจุบันมีกฎหมายหรือข้อบังคับในการกำกับดูแลการเข้าถึงข้อมูลในหลายรูปแบบ อาทิ กฎหมายปกป้องข้อมูลที่ใช้เฉพาะในแต่ละประเทศ กฎหมายกำกับการใช้ข้อมูลเป็นการเฉพาะในแต่ละอุตสาหกรรม ไปจนถึงกฎหมายคุ้มครองการรับ-ส่งข้อมูลข้ามพรมแดนในรูปแบบประเทศต่อประเทศ หรือองค์กรต่อองค์กร

สำหรับกฎการคุ้มครองข้อมูลส่วนตัวของประเทศในกลุ่มสหภาพยุโรป (อียู)ที่เรียกว่า จีดีพีอาร์ (General Data Protection Regulation-GDPR) ซึ่งเป็นกฎข้อบังคับที่ออกมา เพื่อคุ้มครองข้อมูลส่วนบุคคลของพลเมืองชาวอียูที่อาศัยกลุ่มประเทศสหภาพยุโรป รวมถึงในประเทศต่างๆ ทั่วโลก และกำลังจะมีผลบังคับใช้ในเดือน พ.ค.นี้ เป็นสิ่งที่ไม่ควรมองข้าม เพราะมีอำนาจครอบคลุมการใช้งานข้อมูลส่วนบุคคลที่กว้างขวางในระดับประเทศต่อประเทศ

ความเข้มข้นของจีดีพีอาร์คือ การไม่ยินยอมให้มีการไหลออกของข้อมูลส่วนบุคคลไปยังประเทศที่มีมาตรฐานการคุ้มครองที่ต่ำกว่า หรือไม่ได้มาตรฐาน ซึ่งถ้าหากประเทศที่ประกอบธุรกิจ หรือเกี่ยวข้องกับอียูจะด้วยเรื่องใด เกิดตกชั้นเรื่องเกณฑ์การคุ้มครองข้อมูลตามที่จีดีพีอาร์กำหนด ก็จะเสียโอกาสในการทำธุรกิจกับอียูไปโดยปริยาย

ทั้งนี้ กฎของจีดีพีอาร์ที่ประเทศหรือองค์กรไทยที่มีการประกอบธุรกิจ หรือติดต่อกับพลเมืองของอียูควรจะศึกษาและเตรียมความพร้อมแต่เนิ่นๆ ได้แก่ ประเทศหรือองค์กรนั้นๆ ต้องกำหนดให้มีการคุ้มครองสิทธิของเจ้าของข้อมูลให้สามารถย้ายและลบข้อมูลส่วนตัวที่อยู่ในระบบของผู้ให้บริการได้แล้วแต่กรณี และหากมีการนำข้อมูลไปใช้หรือประมวลผลจะต้องขอความยินยอม (Consent) จากเจ้าของข้อมูลก่อน รวมถึงต้องจัดเก็บข้อมูลนั้นๆ ไว้ในรูปแบบที่ไม่สามารถระบุตัวตนได้ (Anonymous) เพื่อปกป้องความเป็นส่วนตัว

นอกจากนี้ องค์กรต่างๆ ต้องสร้างมาตรฐานการปกป้องข้อมูลส่วนบุคคลเพื่อกันการสูญหาย หรือถูกนำไปเปิดเผยโดยไม่ได้รับการยินยอมจากเจ้าของข้อมูล จะต้องมีระบบแจ้งเตือนเมื่อเกิดข้อมูลรั่วไหล รวมถึงการประเมินแนวนโยบายการปกป้องข้อมูล เพื่อนิยามความเสี่ยงที่มีผลต่อข้อมูลของลูกค้า การทบทวนข้อปฏิบัติเพื่อบ่งชี้ความเสี่ยงได้อย่างแม่นยำ

มองในมุมบวกจีดีพีอาร์ จึงไม่ต่างจากการสร้างมาตรฐานใหม่ของการปกป้องข้อมูลที่ทำให้เจ้าของข้อมูลเข้าใจถึงสิทธิความเป็นส่วนตัวของข้อมูลที่ต้องไม่ถูกละเมิด ขณะที่องค์กรหรือหน่วยงานต่างๆ สามารถใช้เป็นโอกาสในการยกระดับระบบบริหารจัดการข้อมูลเพื่อเพิ่มประสิทธิภาพการดำเนินงาน หรือการประกอบธุรกิจ และสร้างความเชื่อมั่นในสายตาลูกค้า ผ่านการนิยามข้อมูลส่วนบุคคลให้ชัดเจน และกำหนดระดับการป้องกันอย่างเข้มข้น

ดังนั้น ธุรกิจจึงควรรักษาโอกาสทางธุรกิจท่ามกลางความกังวลของลูกค้าเหล่านี้ ด้วยการศึกษาที่มาที่ไปและประเภทของข้อมูลที่มีหรือใช้อยู่ในองค์กร การศึกษาถึงการไหลของข้อมูล ซึ่งอาจต้องเน้นข้อมูลที่เกี่ยวข้องกับอียู ว่ามีผลกระทบต่อธุรกิจอย่างไร ข้อมูลได้ถูกจัดเก็บและมีการประมวลผล ณ ที่ใด และหากข้อมูลนั้นถูกจัดเก็บและประมวลผลอยู่ภายนอกองค์กรจะเป็นอย่างไร น่าจะเป็นจุดเริ่มต้นที่ดีในการตอบรับกฎของจีดีพีอาร์

ขั้นตอนต่อไปคือ การประเมินระบบความปลอดภัยด้านข้อมูล เพื่อดูว่าส่วนใดที่เป็นไปตามกฎของจีดีพีอาร์แล้ว ส่วนใดที่ต้องตรวจสอบและปรับปรุงต่อเนื่องต่อไป เพราะการปรับปรุงแผนให้สอดรับกับกฎของจีดีพีอาร์ จะเป็นหนทางหนึ่งในการการันตีความได้เปรียบทางการแข่งขันทางธุรกิจ หรือบริการกับกลุ่มประเทศ หรือพลเมืองชาวอียูได้อย่างแน่นอน