พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA เริ่มมีผลใช้บังคับวันนี้ภายหลังจากเลื่อนการบังคับใช้มาเป็นระยะเวลา 2 ปี[1] ความสำคัญของ PDPA คือ การยกระดับการคุ้มครองข้อมูลส่วนบุคคลในภาพรวม เนื่องจาก PDPA มุ่งหมายใช้กับกิจกรรมการใช้ข้อมูลส่วนบุคคลของคนธรรมดาทุกประเภทโดยไม่จำกัดว่า การเก็บข้อมูลนั้นจะเป็นดิจิทัลหรือกระดาษ การใช้ข้อมูลส่วนบุคคลนั้นจะเกิดขึ้นเพื่อวัตถุประสงค์ในทางธุรกิจหรือไม่ และไม่ว่าจะเป็นการใช้ข้อมูลส่วนบุคคลโดยบุคคลธรรมดา หน่วยงานของรัฐ องค์ธุรกิจเอกชน หรือองค์กรไม่แสวงหาผลกำไร
เมื่อพิจารณาในส่วนของภาครัฐซึ่งมีการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นจำนวนมาก และเก็บรวบรวมข้อมูลส่วนบุคคลของบุคคลตั้งแต่จากครรภ์มารดาถึงเชิงตะกอน การคุ้มครองข้อมูลส่วนบุคคลในภาครัฐจึงมีความสำคัญ ซึ่งในอดีตการคุ้มครองข้อมูลส่วนบุคคลในภาครัฐจะเป็นไปตาม พ.ร.บ. ข้อมูลข่าวสารราชการ พ.ศ. 2540 แต่ในปัจจุบันการคุ้มครองข้อมูลส่วนบุคคลของภาครัฐจะต้องยกระดับขึ้นมาตาม PDPA ไปด้วย คำถามสำคัญคือ ภาครัฐมีความพร้อมในการปฏิบัติตาม PDPA แล้วหรือไม่
1. บทสำรวจความพร้อมในการปฏิบัติตาม PDPA ของภาครัฐ
สถานการณ์การเตรียมความพร้อมของหน่วยงานของรัฐในการปฏิบัติตาม PDPA นั้น ไม่ได้แตกต่างไปจากที่สถาบันวิจัยเพื่อการพัฒนาประเทศไทยได้เคยทำการสำรวจเอาไว้ในปี พ.ศ. 2561
หน่วยงานของรัฐอาจไม่คุ้นเคยกับการคุ้มครองข้อมูลส่วนบุคคล และจะเห็นว่าการคุ้มครองข้อมูลส่วนบุคคลเป็นหน้าที่ของสำนัก/กอง/กลุ่ม/แผนกหนึ่งในหน่วยงานของรัฐเป็นผู้รับผิดชอบ[2] เช่น สำนักเทคโนโลยี เป็นต้น อีกทั้งหน่วยงานของรัฐส่วนใหญ่ยังไม่มีนโยบายการปรับเปลี่ยนภายในองค์กรเพื่อรองรับการปฏิบัติตาม PDPA[3] อาทิ การเตรียมกระบวนการเพื่อแจ้งเจ้าของข้อมูลส่วนบุคคลให้ทราบเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล การจัดเตรียมช่องทางการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล การกำหนดบุคคลที่จะปฏิบัติหน้าที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) หรือแม้แต่การปรับเปลี่ยนกฎเกณฑ์ทางกฎหมายภายใต้อำนาจของหน่วยงานของรัฐเพื่อให้สอดคล้องกับหลักการของกฎหมายคุ้มครองข้อมูลส่วนบุคคล
ความไม่พร้อมสำคัญของภาครัฐก็คือ เรื่องการรักษาความปลอดภัยของข้อมูลส่วนบุคคล ดังจะเห็นได้ว่า ภายหลัง PDPA ถูกประกาศใช้หน่วยงานของรัฐบางแห่งก็ยังมีข้อจำกัดด้านระบบ รวมถึงยังไม่ได้ให้ความสำคัญกับการป้องกันการละเมิด/รั่วไหลของข้อมูลส่วนบุคคล โดยจะเห็นได้ว่า ในช่วงปี พ.ศ. 2564 มีการละเมิด/รั่วไหลของข้อมูลส่วนบุคคลในภาครัฐถึง 5 ครั้ง[4] ซึ่งเรื่องความปลอดภัยของข้อมูลส่วนบุคคลเป็นความกังวลสำคัญในภาครัฐเนื่องจากภาครัฐมีการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นจำนวนมาก แต่หน่วยงานของรัฐแต่ละแห่งมีการใช้เทคนิคและระบบเทคโนโลยีสารสนเทศที่ปลอดภัยไปจนถึงหน่วยงานของรัฐที่ไม่มีระบบที่ทันสมัยเพียงพอกับการรับมือกับการละเมิด/รั่วไหลของข้อมูลส่วนบุคคล ซึ่งอาจเกิดการรั่วไหลหรือถูกโจมตีต่อระบบคอมพิวเตอร์ได้ หรือในกรณีที่เก็บรักษาเอกสารอิเล็กทรอนิกส์ไว้ในเครื่องคอมพิวเตอร์สำนักงานโดยไม่มีการตั้งรหัสการเข้าถึงข้อมูล (access control) อาจทำให้บุคคลที่ไม่มีส่วนเกี่ยวข้องเข้าถึงข้อมูลได้โดยไม่จำเป็น[5]
2. ถอดบทเรียนการเตรียมความพร้อมของภาครัฐในการปฏิบัติตาม PDPA
จากการได้มีโอกาสพูดคุยและเข้าไปช่วยแนะนำการเตรียมความพร้อมในการปฏิบัติตามPDPA พบว่า ปัญหาของหน่วยงานของรัฐในการปฏิบัติตาม PDPA มีอยู่ 3 ปัญหา ดังนี้
หน่วยงานของรัฐไม่เข้าใจบทบาทหน้าที่ตาม PDPA
ในการปฏิบัติตาม PDPA ของภาครัฐขั้นตอนแรกที่สำคัญที่สุดในการปฏิบัติตามกฎหมายฉบับนี้คือ การทำความเข้าใจบทบาทของภาครัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคลว่ามีหน้าที่ใดต้องปฏิบัติตามบ้างตาม PDPA ซึ่งในช่วงที่ผ่านมาหลายหน่วยงานอาจจะได้เตรียมความพร้อมในการปฏิบัติตาม PDPA ไปบ้างแล้ว ตัวอย่างเช่น สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) (สพร.) ซึ่งเป็นหน่วยงานของรัฐแรกๆ ที่ได้ดำเนินการปฏิบัติตาม PDPA และเป็นตัวอย่างที่ดีให้กับหน่วยงานอื่นๆ โดยการทำเทมเพลตเอกสารในการปฏิบัติตามกฎหมาย
อย่างไรก็ดี หลายหน่วยงานในภาครัฐยังคงมีความเข้าใจผิดเกี่ยวกับการปฏิบัติตาม PDPA โดยการทำเพียงเอกสารตามกฎหมายเท่านั้น โดยไม่ได้เปลี่ยนแปลงพฤติกรรมหรือการทำงานเกี่ยวกับการใช้ข้อมูลส่วนบุคคล ซึ่งอาจจะกลายเป็นปัญหาในตอนท้ายและไม่บรรลุเป้าหมายของ PDPA ฉะนั้น การทำความเข้าใจหน้าที่ของหน่วยงานของรัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคลจึงมีความสำคัญ
ในส่วนของบทบาทหน้าที่ของภาครัฐในการปฏิบัติตาม PDPA ที่สำคัญที่สุดก็คือ การสร้างความโปร่งใสในการสื่อสารกับประชาชน ในกรณีที่จะต้องเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล ภาครัฐควรจะต้องมีการแจ้งให้ประชาชนทราบ เพื่อให้ประชาชสามารถใช้สิทธิของตนเองได้ตามกฎหมาย
หน่วยงานของรัฐขาดแนวทางในการปฏิบัติตาม PDPA
ในการเตรียมความพร้อมในการปฏิบัติตาม PDPA หน่วยงานของรัฐส่วนใหญ่ประสบปัญหาคล้ายๆ กันคือ ความไม่แน่ใจว่าจะเริ่มต้นอย่างไรในการปฏิบัติตาม PDPA ปัญหาส่วนหนึ่งเกิดมาจากการขาดแนวปฏิบัติ (guidelines) ที่วางแนวทางให้กับหน่วยงานของรัฐ ทั้งในแง่ของการเตรียมความพร้อมในการปฏิบัติตาม PDPA และอธิบายบทบัญญัติของ PDPA ซึ่งหากพิจารณาเฉพาะตัวพระราชบัญญัติแล้วจะเห็นเพียงหลักการ แต่ไม่เห็นแนวทางในการปฏิบัติตาม
ในส่วนของแนวทางการเตรียมความพร้อมในการปฏิบัติตาม PDPA ในภาครัฐ อาจแบ่งขั้นตอนในการเตรียมความพร้อมได้เป็น 5 ขั้นตอน[6] ดังนี้
- การเตรียมตัวเบื้องต้น การปฏิบัติตาม PDPA ไม่ใช่เรื่องของคนใดคนหนึ่ง แต่เป็นเรื่องของทั้งองค์กรต้องมีความเข้าใจเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลเป็นไปในทิศทางเดียวกัน ขั้นตอนนี้จึงเป็นการสร้างความเข้าใจร่วมกันของเจ้าหน้าที่ภายในองค์กรทั้งในระดับผู้บริหารลงมาถึงระดับปฏิบัติการ/ปฏิบัติงาน ซึ่งกระบวนการดังกล่าวจะเปิดทางไปสู่การเตรียมความพร้อมในการปฏิบัติตาม PDPA ด้านอื่นๆ
- การสำรวจภายในองค์กร การจะปฏิบัติตาม PDPA ให้มีประสิทธิภาพหน่วยงานของรัฐจำเป็นต้องรู้จักการใช้ข้อมูลส่วนบุคคลภายในองค์กรของตนเป็นอย่างดี เพื่อจะได้ทราบว่าภายในองค์กรมีการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในกิจกรรมใดบ้าง
- การลงรายละเอียดแผนงาน ในขั้นตอนนี้จะเป็นการพิจารณาลงในรายละเอียดว่า ในแต่ละกิจกรรมที่มีการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลมีข้อมูลใดบ้าง และข้อมูลส่วนบุคคลแต่ละประเภทมีความเสี่ยงอย่างไรบ้างถ้าหากมีการละเมิด/รั่วไหลของข้อมูลส่วนบุคคล
- การปิดช่องว่าง ขั้นตอนนี้เป็นการปิดช่องว่างของการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมาย และการจัดแนวทางในการใช้ข้อมูลส่วนบุคคลในอนาคต โดยอาจจะต้องมีการปรับเปลี่ยนวิธีการทำงานของหน่วยงานของรัฐ และการจัดเก็บข้อมูลส่วนบุคคลในบางกิจกรรมที่ไม่จำเป็น
- การจัดเตรียมเอกสาร ซึ่งเป็นขั้นตอนในการจัดเตรียมเอกสารต่างๆ ที่จำเป็นในการปฏิบัติตาม PDPA อาทิ การจัดทำ Privacy Notice เพื่อแจ้งการรายละเอียดการเก็บรวบรวมข้อมูลส่วนบุคคล การจัดทำ Privacy Policy สำหรับการแสดงนโยบายการคุ้มครองข้อมูลส่วนบุคคลในภาพรวมขององค์กร การจัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activity: RoPA) และเอกสารอื่นๆ ที่จำเป็น ซึ่งจะเห็นได้ว่า กระบวนการนี้เป็นกระบวนการท้ายๆ ในการปฏิบัติตาม PDPA แต่ในทางปฏิบัติหน่วยงานของรัฐส่วนใหญ่นั้นมักจะเริ่มต้นจากการทำตามเทมเพลตต้นแบบ
- การสืบสาน รักษา และต่อยอด ขั้นตอนนี้เป็นขั้นตอนสุดท้ายของการวางระบบตามกรอบ PDPA โดยหน่วยงานของรัฐ โดยหน่วยงานของรัฐจะต้องพยายามสร้างองค์ความรู้เกี่ยวกับ PDPA ให้อยู่ในองค์กร โดยเจ้าหน้าที่ของรัฐทุกคนในองค์กรควรมีการตระหนักเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้การปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลเป็นไปอย่างมีประสิทธิภาพและปิดช่องว่างที่อาจจะเกิดขึ้น รวมถึงจะต้องมีการติดตามผลคอยปรับปรุงระบบที่วางไว้
ปัญหาการขาดความมั่นใจในการเลือกฐานทางกฎหมาย
สิ่งหนึ่งที่ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องปฏิบัติตาม PDPA ก็คือ การเลือกฐานในการประมวลผลข้อมูลส่วนบุคคล ในกรณีของภาครัฐหน่วยงานของรัฐก็ต้องมีหน้าที่จะต้องเลือกฐานการประมวลผลข้อมูลส่วนบุคคลเช่นกัน อย่างไรก็ตาม ในทางปฏิบัติหน่วยงานของรัฐส่วนใหญ่ไม่มั่นใจว่า ภารกิจหรือกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของตนจะต้องใช้ฐานการประมวลผลข้อมูลส่วนบุคคลใด โดยเฉพาะอย่างยิ่งเมื่อพิจารณาบทบัญญัติในมาตรา 19[7]และมาตรา 24[8] ซึ่งหากพิจารณาเพียงผิวเผินอาจจะทำให้เข้าได้ว่า กฎหมายห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ซึ่งทำให้เกิดปัญหามากกับหน่วยงานของรัฐที่มีภารกิจหรือกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่ต้องเก็บจากบุคคลเป็นจำนวนมากตลอดพื้นที่ เช่น ฐานข้อมูลทะเบียนราษฎร หรือฐานข้อมูลบัตรประจำตัวประชาชน เป็นต้น จะสามารถขอความยินยอมได้อย่างไร
ในความเป็นจริงแล้ว PDPA ได้กำหนดฐานการประมวลผลที่เหมาะสมสำหรับหน่วยงานของรัฐในการปฏิบัติตามกฎหมายที่ให้อำนาจ และเพื่อการประโยชน์ในการจัดทำบริการสาธารณะเอาไว้ โดยกำหนดให้หน่วยงานของรัฐไม่ต้องขอความยินยอมตาม PDPA ก็สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้[9]
นอกจากนี้ ในกรณีอื่นๆ หน่วยงานของรัฐก็อาจจะอาศัยฐานในการประมวลผลอื่นๆ เพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้ นอกเหนือจากการใช้ฐานความยินยอม ได้แก่ ฐานสัญญา ฐานสถิติ เอกสารประวัติศาสตร์ และจดหมายเหตุ ฐานป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ฐานประโยชน์โดยชอบด้วยกฎหมาย และฐานการปฏิบัติตามกฎหมาย ซึ่ง PDPA รับรองเอาไว้
เมื่อพิจารณาแนวทางทั้งหมดแล้วท้ายที่สุด ต้องเน้นย้ำกับภาครัฐเสมอในการปรับตัวตาม PDPA ของภาครัฐคือ การตระหนักถึงบทบาทของภาครัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคลในการคุ้มครองข้อมูลส่วนบุคคลของประชาชน และพยายามสร้างความโปร่งใสในกรณีที่ต้องมีการเก็บรวบรวมหรือใช้ข้อมูลส่วนบุคคล โดยควรจะต้องให้ประชาชนรับรู้ เพื่อประโยชน์ของประชาชนในการควบคุมสิทธิในข้อมูลส่วนบุคคลของตนเอง
เชิงอรรถ
[1] ครั้งที่ 1 พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2563 ประกาศเมื่อวันที่ 21 พฤษภาคม 2563 และในครั้งที่ 2 พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (ฉบับที่ 2) พ.ศ. 2564 ประกาศเมื่อวันที่ 8 พฤษภาคม 2564.
[2] สถาบันวิจัยเพื่อการพัฒนาประเทศไทย, รายงานผลการสำรวจการเตรียมความพร้อมหน่วยงานในการคุ้มครองข้อมูลส่วนบุคคล ปี 2561 (สถาบันวิจัยเพื่อการพัฒนาประเทศไทย 2561) 110.
[3] เพิ่งอ้าง.
[4] พสิษฐ์ คงคุณากรกุล. ‘ย้อนรอยเหตุ ‘ข้อมูลเสี่ยงรั่ว-รั่วไหล’ ขององค์กรในไทย จากทั้งปี 64 ถึงกรณี TCAS’ (The Standard, 4 กุมภาพันธ์ 2565) สืบค้นเมื่อ 3 มิถุนายน 2565.
[5] วิชญาดา อำพนกิจวิวัฒน์, ‘ระบบ ‘ข้อมูลส่วนบุคคล’ ที่ดี รัฐต้องมี ‘คน’ ที่พร้อม’ (TDRI, 27 สิงหาคม 2564) สืบค้นเมื่อ 6 มิถุนายน 2565.
[6] ดู กิรติพงศ์ แนวมาลี เขมภัทร ทฤษฎิคุณ และคณะ, แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล: หน่วยงานของรัฐ (สถาบันวิจัยเพื่อการพัฒนาประเทศไทย, 2564) 8 – 14.
[7] พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19
ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้.
[8] พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 24
ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่
(1) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ ตามที่คณะกรรมการประกาศกำหนด
(2) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
(3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
(4) เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล
(5) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
(6) เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
[9] พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 24 (4).
บทความอื่นที่เกี่ยวข้อง
PDPA มีผลใช้บังคับแล้ว ถอดบทเรียนการเตรียมความพร้อมและชวนภาครัฐสำรวจความพร้อมในการปฏิบัติตามกฎหมาย
พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA เริ่มมีผลใช้บังคับวันนี้ภายหลังจากเลื่อนการบังคับใช้มาเป็นระยะเวลา 2 ปี[1] ความสำคัญของ PDPA คือ การยกระดับการคุ้มครองข้อมูลส่วนบุคคลในภาพรวม เนื่องจาก PDPA มุ่งหมายใช้กับกิจกรรมการใช้ข้อมูลส่วนบุคคลของคนธรรมดาทุกประเภทโดยไม่จำกัดว่า การเก็บข้อมูลนั้นจะเป็นดิจิทัลหรือกระดาษ การใช้ข้อมูลส่วนบุคคลนั้นจะเกิดขึ้นเพื่อวัตถุประสงค์ในทางธุรกิจหรือไม่ และไม่ว่าจะเป็นการใช้ข้อมูลส่วนบุคคลโดยบุคคลธรรมดา หน่วยงานของรัฐ องค์ธุรกิจเอกชน หรือองค์กรไม่แสวงหาผลกำไร
เมื่อพิจารณาในส่วนของภาครัฐซึ่งมีการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นจำนวนมาก และเก็บรวบรวมข้อมูลส่วนบุคคลของบุคคลตั้งแต่จากครรภ์มารดาถึงเชิงตะกอน การคุ้มครองข้อมูลส่วนบุคคลในภาครัฐจึงมีความสำคัญ ซึ่งในอดีตการคุ้มครองข้อมูลส่วนบุคคลในภาครัฐจะเป็นไปตาม พ.ร.บ. ข้อมูลข่าวสารราชการ พ.ศ. 2540 แต่ในปัจจุบันการคุ้มครองข้อมูลส่วนบุคคลของภาครัฐจะต้องยกระดับขึ้นมาตาม PDPA ไปด้วย คำถามสำคัญคือ ภาครัฐมีความพร้อมในการปฏิบัติตาม PDPA แล้วหรือไม่
1. บทสำรวจความพร้อมในการปฏิบัติตาม PDPA ของภาครัฐ
สถานการณ์การเตรียมความพร้อมของหน่วยงานของรัฐในการปฏิบัติตาม PDPA นั้น ไม่ได้แตกต่างไปจากที่สถาบันวิจัยเพื่อการพัฒนาประเทศไทยได้เคยทำการสำรวจเอาไว้ในปี พ.ศ. 2561
หน่วยงานของรัฐอาจไม่คุ้นเคยกับการคุ้มครองข้อมูลส่วนบุคคล และจะเห็นว่าการคุ้มครองข้อมูลส่วนบุคคลเป็นหน้าที่ของสำนัก/กอง/กลุ่ม/แผนกหนึ่งในหน่วยงานของรัฐเป็นผู้รับผิดชอบ[2] เช่น สำนักเทคโนโลยี เป็นต้น อีกทั้งหน่วยงานของรัฐส่วนใหญ่ยังไม่มีนโยบายการปรับเปลี่ยนภายในองค์กรเพื่อรองรับการปฏิบัติตาม PDPA[3] อาทิ การเตรียมกระบวนการเพื่อแจ้งเจ้าของข้อมูลส่วนบุคคลให้ทราบเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล การจัดเตรียมช่องทางการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล การกำหนดบุคคลที่จะปฏิบัติหน้าที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) หรือแม้แต่การปรับเปลี่ยนกฎเกณฑ์ทางกฎหมายภายใต้อำนาจของหน่วยงานของรัฐเพื่อให้สอดคล้องกับหลักการของกฎหมายคุ้มครองข้อมูลส่วนบุคคล
ความไม่พร้อมสำคัญของภาครัฐก็คือ เรื่องการรักษาความปลอดภัยของข้อมูลส่วนบุคคล ดังจะเห็นได้ว่า ภายหลัง PDPA ถูกประกาศใช้หน่วยงานของรัฐบางแห่งก็ยังมีข้อจำกัดด้านระบบ รวมถึงยังไม่ได้ให้ความสำคัญกับการป้องกันการละเมิด/รั่วไหลของข้อมูลส่วนบุคคล โดยจะเห็นได้ว่า ในช่วงปี พ.ศ. 2564 มีการละเมิด/รั่วไหลของข้อมูลส่วนบุคคลในภาครัฐถึง 5 ครั้ง[4] ซึ่งเรื่องความปลอดภัยของข้อมูลส่วนบุคคลเป็นความกังวลสำคัญในภาครัฐเนื่องจากภาครัฐมีการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นจำนวนมาก แต่หน่วยงานของรัฐแต่ละแห่งมีการใช้เทคนิคและระบบเทคโนโลยีสารสนเทศที่ปลอดภัยไปจนถึงหน่วยงานของรัฐที่ไม่มีระบบที่ทันสมัยเพียงพอกับการรับมือกับการละเมิด/รั่วไหลของข้อมูลส่วนบุคคล ซึ่งอาจเกิดการรั่วไหลหรือถูกโจมตีต่อระบบคอมพิวเตอร์ได้ หรือในกรณีที่เก็บรักษาเอกสารอิเล็กทรอนิกส์ไว้ในเครื่องคอมพิวเตอร์สำนักงานโดยไม่มีการตั้งรหัสการเข้าถึงข้อมูล (access control) อาจทำให้บุคคลที่ไม่มีส่วนเกี่ยวข้องเข้าถึงข้อมูลได้โดยไม่จำเป็น[5]
2. ถอดบทเรียนการเตรียมความพร้อมของภาครัฐในการปฏิบัติตาม PDPA
จากการได้มีโอกาสพูดคุยและเข้าไปช่วยแนะนำการเตรียมความพร้อมในการปฏิบัติตามPDPA พบว่า ปัญหาของหน่วยงานของรัฐในการปฏิบัติตาม PDPA มีอยู่ 3 ปัญหา ดังนี้
หน่วยงานของรัฐไม่เข้าใจบทบาทหน้าที่ตาม PDPA
ในการปฏิบัติตาม PDPA ของภาครัฐขั้นตอนแรกที่สำคัญที่สุดในการปฏิบัติตามกฎหมายฉบับนี้คือ การทำความเข้าใจบทบาทของภาครัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคลว่ามีหน้าที่ใดต้องปฏิบัติตามบ้างตาม PDPA ซึ่งในช่วงที่ผ่านมาหลายหน่วยงานอาจจะได้เตรียมความพร้อมในการปฏิบัติตาม PDPA ไปบ้างแล้ว ตัวอย่างเช่น สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) (สพร.) ซึ่งเป็นหน่วยงานของรัฐแรกๆ ที่ได้ดำเนินการปฏิบัติตาม PDPA และเป็นตัวอย่างที่ดีให้กับหน่วยงานอื่นๆ โดยการทำเทมเพลตเอกสารในการปฏิบัติตามกฎหมาย
อย่างไรก็ดี หลายหน่วยงานในภาครัฐยังคงมีความเข้าใจผิดเกี่ยวกับการปฏิบัติตาม PDPA โดยการทำเพียงเอกสารตามกฎหมายเท่านั้น โดยไม่ได้เปลี่ยนแปลงพฤติกรรมหรือการทำงานเกี่ยวกับการใช้ข้อมูลส่วนบุคคล ซึ่งอาจจะกลายเป็นปัญหาในตอนท้ายและไม่บรรลุเป้าหมายของ PDPA ฉะนั้น การทำความเข้าใจหน้าที่ของหน่วยงานของรัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคลจึงมีความสำคัญ
ในส่วนของบทบาทหน้าที่ของภาครัฐในการปฏิบัติตาม PDPA ที่สำคัญที่สุดก็คือ การสร้างความโปร่งใสในการสื่อสารกับประชาชน ในกรณีที่จะต้องเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล ภาครัฐควรจะต้องมีการแจ้งให้ประชาชนทราบ เพื่อให้ประชาชสามารถใช้สิทธิของตนเองได้ตามกฎหมาย
หน่วยงานของรัฐขาดแนวทางในการปฏิบัติตาม PDPA
ในการเตรียมความพร้อมในการปฏิบัติตาม PDPA หน่วยงานของรัฐส่วนใหญ่ประสบปัญหาคล้ายๆ กันคือ ความไม่แน่ใจว่าจะเริ่มต้นอย่างไรในการปฏิบัติตาม PDPA ปัญหาส่วนหนึ่งเกิดมาจากการขาดแนวปฏิบัติ (guidelines) ที่วางแนวทางให้กับหน่วยงานของรัฐ ทั้งในแง่ของการเตรียมความพร้อมในการปฏิบัติตาม PDPA และอธิบายบทบัญญัติของ PDPA ซึ่งหากพิจารณาเฉพาะตัวพระราชบัญญัติแล้วจะเห็นเพียงหลักการ แต่ไม่เห็นแนวทางในการปฏิบัติตาม
ในส่วนของแนวทางการเตรียมความพร้อมในการปฏิบัติตาม PDPA ในภาครัฐ อาจแบ่งขั้นตอนในการเตรียมความพร้อมได้เป็น 5 ขั้นตอน[6] ดังนี้
ปัญหาการขาดความมั่นใจในการเลือกฐานทางกฎหมาย
สิ่งหนึ่งที่ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องปฏิบัติตาม PDPA ก็คือ การเลือกฐานในการประมวลผลข้อมูลส่วนบุคคล ในกรณีของภาครัฐหน่วยงานของรัฐก็ต้องมีหน้าที่จะต้องเลือกฐานการประมวลผลข้อมูลส่วนบุคคลเช่นกัน อย่างไรก็ตาม ในทางปฏิบัติหน่วยงานของรัฐส่วนใหญ่ไม่มั่นใจว่า ภารกิจหรือกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของตนจะต้องใช้ฐานการประมวลผลข้อมูลส่วนบุคคลใด โดยเฉพาะอย่างยิ่งเมื่อพิจารณาบทบัญญัติในมาตรา 19[7]และมาตรา 24[8] ซึ่งหากพิจารณาเพียงผิวเผินอาจจะทำให้เข้าได้ว่า กฎหมายห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ซึ่งทำให้เกิดปัญหามากกับหน่วยงานของรัฐที่มีภารกิจหรือกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่ต้องเก็บจากบุคคลเป็นจำนวนมากตลอดพื้นที่ เช่น ฐานข้อมูลทะเบียนราษฎร หรือฐานข้อมูลบัตรประจำตัวประชาชน เป็นต้น จะสามารถขอความยินยอมได้อย่างไร
ในความเป็นจริงแล้ว PDPA ได้กำหนดฐานการประมวลผลที่เหมาะสมสำหรับหน่วยงานของรัฐในการปฏิบัติตามกฎหมายที่ให้อำนาจ และเพื่อการประโยชน์ในการจัดทำบริการสาธารณะเอาไว้ โดยกำหนดให้หน่วยงานของรัฐไม่ต้องขอความยินยอมตาม PDPA ก็สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้[9]
นอกจากนี้ ในกรณีอื่นๆ หน่วยงานของรัฐก็อาจจะอาศัยฐานในการประมวลผลอื่นๆ เพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้ นอกเหนือจากการใช้ฐานความยินยอม ได้แก่ ฐานสัญญา ฐานสถิติ เอกสารประวัติศาสตร์ และจดหมายเหตุ ฐานป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ฐานประโยชน์โดยชอบด้วยกฎหมาย และฐานการปฏิบัติตามกฎหมาย ซึ่ง PDPA รับรองเอาไว้
เมื่อพิจารณาแนวทางทั้งหมดแล้วท้ายที่สุด ต้องเน้นย้ำกับภาครัฐเสมอในการปรับตัวตาม PDPA ของภาครัฐคือ การตระหนักถึงบทบาทของภาครัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคลในการคุ้มครองข้อมูลส่วนบุคคลของประชาชน และพยายามสร้างความโปร่งใสในกรณีที่ต้องมีการเก็บรวบรวมหรือใช้ข้อมูลส่วนบุคคล โดยควรจะต้องให้ประชาชนรับรู้ เพื่อประโยชน์ของประชาชนในการควบคุมสิทธิในข้อมูลส่วนบุคคลของตนเอง
เชิงอรรถ
[1] ครั้งที่ 1 พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2563 ประกาศเมื่อวันที่ 21 พฤษภาคม 2563 และในครั้งที่ 2 พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (ฉบับที่ 2) พ.ศ. 2564 ประกาศเมื่อวันที่ 8 พฤษภาคม 2564.
[2] สถาบันวิจัยเพื่อการพัฒนาประเทศไทย, รายงานผลการสำรวจการเตรียมความพร้อมหน่วยงานในการคุ้มครองข้อมูลส่วนบุคคล ปี 2561 (สถาบันวิจัยเพื่อการพัฒนาประเทศไทย 2561) 110.
[3] เพิ่งอ้าง.
[4] พสิษฐ์ คงคุณากรกุล. ‘ย้อนรอยเหตุ ‘ข้อมูลเสี่ยงรั่ว-รั่วไหล’ ขององค์กรในไทย จากทั้งปี 64 ถึงกรณี TCAS’ (The Standard, 4 กุมภาพันธ์ 2565)สืบค้นเมื่อ 3 มิถุนายน 2565.
[5] วิชญาดา อำพนกิจวิวัฒน์, ‘ระบบ ‘ข้อมูลส่วนบุคคล’ ที่ดี รัฐต้องมี ‘คน’ ที่พร้อม’ (TDRI, 27 สิงหาคม 2564) สืบค้นเมื่อ 6 มิถุนายน 2565.
[6] ดู กิรติพงศ์ แนวมาลี เขมภัทร ทฤษฎิคุณ และคณะ, แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล: หน่วยงานของรัฐ (สถาบันวิจัยเพื่อการพัฒนาประเทศไทย, 2564) 8 – 14.
[7] พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19
ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้.
[8] พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 24
ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่
(1) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ ตามที่คณะกรรมการประกาศกำหนด
(2) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
(3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
(4) เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล
(5) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
(6) เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
[9] พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 24 (4).
บทความอื่นที่เกี่ยวข้อง