กฎและระเบียบที่ใช้สำหรับการรวบรวมข้อมูลละเอียดอ่อนมีอะไรบ้าง?

ข้อมูลละเอียดอ่อน (Sensitive Information) คือข้อมูลที่ถูกจัดประเภท (Classified Information) ที่ควรได้รับการปกป้อง และเข้าถึงไม่ได้โดยฝ่ายภายนอก เว้นแต่จะได้รับอนุญาตโดยเฉพาะเจาะจง ข้อมูลสามารถอยู่ในรูปแบบทางกายภาพหรืออิเล็กทรอนิกส์ แต่อย่างไรก็ตาม ข้อมูลละเอียดอ่อนถูกมองว่าเป็นข้อมูลส่วนตัวหรือข้อมูลส่วนตัว สาเหตุทางจริยธรรมหรือกฎหมายสามารถเป็นเหตุให้เกิดความจำเป็นที่จะมีข้อจำกัดที่ซับซ้อนเกี่ยวกับบุคคลที่สามารถเข้าถึงข้อมูลละเอียดอ่อนส่วนบุคคลหรือองค์กร โดยเฉพาะเมื่อมันเกี่ยวข้องกับความเป็นส่วนตัวและสิทธิทรัพย์สินของบุคคล

ตัวอย่างเช่น การรั่วไหลข้อมูลในคณะกรรมการรัฐบาลสามารถเปิดเผยความลับรัฐบาลให้กำลังต่างชาติ ข้อมูลเดียวกันสามารถใช้กับข้อมูลบุคคลหรือองค์กร ซึ่งสามารถสร้างความเสี่ยงรุนแรง เช่น การจासูสทางธุรกิจ (Corporate Spying) ความเสี่ยงประกันภัย (Insurance Risk) ภัยคุกคามทางไซเบอร์ (Cyber Threats) หรือการละเมิดความเป็นส่วนตัวของลูกค้า และพนักงาน

คำจำกัดความทางกฎหมายของข้อมูลละเอียดอ่อน อธิบายมันว่าเป็นข้อมูลที่ควรได้รับการปกป้องต่อการเปิดเผยที่ไม่ได้รับอนุญาต รวมถึง PII (Personally Identifiable Information - ข้อมูลระบุตัวตนส่วนบุคคล) PHI (Protected Health Information - ข้อมูลสุขภาพที่ได้รับการปกป้อง) ฯล฿

เมื่อเราพูดว่าข้อมูลเป็นข้อมูลละเอียดอ่อน ความละเอียดอ่อนของมันต้องมีระดับ (Levels) ความละเอียดอ่อนของข้อมูลสามารถจัดประเภทได้หลายประเภท และการจัดประเภทของพวกเขาสามารถกำหนดได้โดยกฎระเบียบระดับสหพันธรัฐ (Federal Regulations) ตามที่ได้รับจากหน่วยควบคุมความปลอดภัย (Security Control Units) เฉพาะอุตสาหกรรม หรือบุคคลรวมถึงเจ้าหน้าที่ความปลอดภัยข้อมูล (Information Security Officer) สามารถกำหนดได้

ดังนั้น การรวบรวมข้อมูลละเอียดอ่อน (Compilation of Sensitive Information) ถูกกำหนดอย่างเข้มงวด IPPs (Information Privacy Principles) อนุญาตให้ระดับการปกป้องที่สูงกว่าสำหรับข้อมูลละเอียดอ่อน นี้หมายถึงข้อมูลหรือความคิดเห็นเกี่ยวกับบุคคล —

• ทางเลือกทางการเมือง (Political Opinions)
• ความเชื่อทางศาสนาหรือปรัชญา (Religious or Philosophical Beliefs)
• ความชอบหรือปฏิบัติทางเพศ (Sexual Preferences or Practices)
• การเป็นสมาชิกของสมาคมวิชาชีพ สหภาพแรงงาน หรือกลุ่มการเมือง (Membership of Professional Associations, Trade Unions or Political Parties)
• เชื้อชาติหรือเชื้อเชื้อทางเชื้อชาติ (Racial or Ethnic Origin)
• ข้อมูลทางอาญา (Criminal Record)

หลักการนี้รวมถึงสิ่งต่อไปนี้ —

• หน่วยงานไม่ควรรวบรวมข้อมูลละเอียดอ่อนเกี่ยวกับบุคคล เว้นแต่ —

  • บุคคลยินยอมให้รวบรวม
  • องค์กรถูกกำหนดโดยกฎหมายให้รวบรวมข้อมูล
  • บุคคลไม่สามารถทางกายภาพหรือทางกฎหมายให้ความยินยอมได้ต่อการรวบรวม หรือไม่สามารถทางกายภาพสื่อสารความยินยอมต่อการรวบรวม และการรวบรวมข้อมูลเป็นสิ่งจำเป็นเพื่อป้องกันหรือลดภัยคุกคามรุนแรงและใกล้เคียงต่อชีวิตหรือสุขภาพของบุคคลหรืออีกบุคคลหนึ่ง
  • การรวบรวมข้อมูลเป็นสิ่งจำเป็นเพื่อสร้าง ใช้ หรือปกป้องอावाเบื้องกฎหมายหรืออิสระ (Legal or Equitable Claim) อย่างไรก็ตาม หน่วยงานสามารถรวบรวมข้อมูลละเอียดอ่อนเกี่ยวกับบุคคลได้ หากการรวบรวมเป็นสิ่งจำเป็นสำหรับการวิจัย หรือการรวบรวมหรือการตรวจสอบสถิติ ที่เกี่ยวข้องกับบริการสวัสดิการหรือการศึกษาที่ได้รับเงินทุนจากรัฐบาลและเป็นเป้าหมาย (Targeted) หรือเป็นข้อมูลที่เชื่อมโยงกับเชื้อชาติหรือเชื้อเชื้อทางเชื้อชาติของบุคคล และเป็นเพื่อการให้บริการสวัสดิการหรือการศึกษาที่ได้รับเงินทุนจากรัฐบาลและเป็นเป้าหมาย
  • ไม่มีทางเลือกที่เป็นไปได้อย่างสมเหตุสมผลอื่นสำหรับการรวบรวมข้อมูลเพื่อเหตุผลนั้น
  • เป็นไปไม่ได้สำหรับสมาคมที่จะขอความยินยอมของบุคคลต่อการรวบรวม