ป้ายกำกับ: กฎหมายคุ้มครองข้อมูลส่วนบุคคล

คู่มือ PDPA สำหรับผู้ประกอบการ SMEs

เขมภัทร ทฤษฎิคุณ

ชื่อหนังสือ: คู่มือ PDPA สำหรับผู้ประกอบการ SMEs

การอ้างอิงแนะนำตามรูปแบบ APA: เวทางค์ พ่วงทรัพย์. (2565). คู่มือ PDPA สำหรับผู้ประกอบการ SMEs. กรุงเทพฯ: สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล. https://www.pdpc.or.th/pdpc-book/คู่มือ-pdpa-สำหรับผู้ประกอบ/

สรุปสาระสำคัญ

คู่มือ PDPA สำหรับผู้ประกอบการ SMEs เล่มนี้จัดทำขึ้นโดยข้อจำกัดด้านระยะเวลาโดยมีเป้าหมายเพื่อใช้ในการสื่อสารกับประชาชนในช่วงระยะสั้นๆ โดยคู่มือฉบับนี้ได้รับความอนุเคราะห์ในการเผยแพร่ในตรวจสอบความถูกต้องของเนื้อหาจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

Download

PDPA101: มาเข้าใจกฎหมายคุ้มครองข้อมูลส่วนบุคคลแบบนับหนึ่งกันเถอะ

เขมภัทร ทฤษฎิคุณ

เผยแพร่ครั้งแรกเมื่อวันที่ 1 มิถุนายน 2565 บนเว็บไซต์ pridi.or.th

1 มิถุนายน 2565 วันนี้เป็นวันแรกที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลจะเริ่มบังคับใช้ ภายหลังจากเลื่อนมาเป็นระยะเวลากว่า 2 ปีแล้ว ทำให้เกิดความตื่นตัวขึ้นในสังคมไทย โดยเฉพาะเมื่อช่วงที่ผ่านมาได้มีข่าวเกี่ยวกับการนำรูปภาพส่วนตัวออกมาเผยแพร่ ประกอบกับมีผู้นำเสนอข้อมูลและสร้างความเข้าใจผิดเกี่ยวกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล จึงทำให้กฎหมายฉบับนี้ถูกพูดถึงเป็นจำนวนมากในช่วงเวลาสั้นๆ มีทั้งความเข้าใจที่ถูกต้อง และไม่ถูกต้อง

ก่อนการบังคับใช้ ในบทความนี้ผู้เขียนจึงอยากชวนมาทำความเข้าใจและตระหนักถึงความสำคัญของกฎหมายฉบับนี้

ที่มาของกฎหมาย

ในความเป็นจริงแล้ว “กฎหมายคุ้มครองข้อมูลส่วนบุคคล” นั้น สังคมไทย หากแต่มีความพยายามในการยกร่างกฎหมายฉบับนี้มาตั้งแต่ประมาณปี พ.ศ. 2540[1]  อย่างไรก็ดี เวลาล่วงมากว่า 20 ปี กฎหมายก็ไม่ได้มีการประกาศใช้ จนกระทั่งกระแสเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลกลับมาถูกกล่าวถึงมากขึ้นในโลกเมื่อสหภาพยุโรปผ่าน “กฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป” (General Data Protection Regulation: GDPR) ซึ่งเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ได้รับการจัดว่าเป็นกฎหมายที่ก้าวหน้าที่สุด และมีผลเป็นการทำให้ประเทศต่างๆ ต้องปรับเปลี่ยนกฎหมายคุ้มครองข้อมูลส่วนบุคคลหรือต้องยกร่างกฎหมายคุ้มครองข้อมูลส่วนบุคคล ซึ่งรวมถึงประเทศไทยที่มีกฎหมายฉบับดังกล่าวเป็นแม่แบบในการยกร่างพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA

จุดมุ่งหมายของ PDPA

ในช่วงที่ผ่านมา ทั้งสื่อมวลชนและบุคคลสาธารณะจำนวนหนึ่งที่พยายามจะสื่อสารว่า ห้ามมิให้มีการเก็บหรือใช้ข้อมูลส่วนบุคคลของผู้อื่น ซึ่งความเข้าใจดังกล่าวเป็นความเข้าใจที่ผิด เพราะตาม PDPA แล้ว ไม่ได้ห้ามมิให้มีการเก็บหรือใช้ข้อมูลส่วนบุคคล แต่กฎหมายต้องการให้เกิดความตระหนักถึงสิทธิของเจ้าของข้อมูลส่วนบุคคล (Data Subject; คนที่ข้อมูลนั้นเชื่อมโยงไปถึง) เพื่อให้เจ้าของข้อมูลส่วนบุคคลมีอำนาจควบคุมและสามารถตัดสินใจเกี่ยวกับข้อมูลส่วนบุคคลของตนเองได้ ซึ่งจะเห็นได้ว่ากระบวนการทั้งหมดของกฎหมาย คือ การมอบอำนาจในการตัดสินใจเกี่ยวกับข้อมูลส่วนบุคคลให้กับเจ้าของข้อมูลส่วนบุคคล เช่น การแจ้งเกี่ยวกับการเก็บและใช้ข้อมูลส่วนบุคคล และการขอความยินยอมในการเก็บและใช้สำหรับกิจกรรมบางกิจกรรม เป็นต้น

ใครที่ PDPA มุ่งคุ้มครอง

PDPA มุ่งคุ้มครองคนธรรมดาทุกคนที่ยังมีชีวิตอยู่ ดังจะเห็นได้จากกฎหมายกำหนดความหมายของ “ข้อมูลส่วนบุคคล” คือ ข้อมูลใดๆ ก็ตามที่สามารถเชื่อมโยงไปหาบุคคลนั้นได้โดยทางตรงหรือทางอ้อม โดยข้อมูลส่วนบุคคลตามกฎหมายไม่รวมถึงข้อมูลของคนตายโดยเฉพาะ[2]  ฉะนั้น หากเป็นข้อมูลของคนตายไปแล้วก็จะไม่ได้รับความคุ้มครองตามกฎหมายฉบับนี้ แต่ในกรณีของหน่วยงานของรัฐที่เก็บหรือใช้ข้อมูลส่วนบุคคลยังคงมีหน้าที่ต้องคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายอื่น[3]  อย่างไรก็ดี ไม่ใช่ว่า นอกหน่วยงานของรัฐข้อมูลส่วนบุคคลของคนตายจะไม่ได้รับความคุ้มครอง ทายาทยังคงดำเนินการในเรื่องของคนตายตามกฎหมายอื่นๆ ได้

PDPA ใช้กับเรื่องใดบ้าง

ขอบเขตการบังคับใช้ PDPA นั้นใช้กับกิจกรรมการใช้ข้อมูลส่วนบุคคลของคนธรรมดา (ฉะนั้น กฎหมายไม่ใช้กับข้อมูลของหน่วยงานหรือองค์กร) ทุกประเภทโดยไม่จำกัด ว่าการเก็บข้อมูลนั้นจะเป็นดิจิทัลหรือกระดาษ

การใช้ข้อมูลส่วนบุคคลนั้นจะเกิดขึ้นเพื่อวัตถุประสงค์ในทางธุรกิจหรือไม่ และไม่ว่าจะเป็นการใช้ข้อมูลส่วนบุคคลโดยบุคคลธรรมดา หน่วยงานของรัฐ องค์กรธุรกิจเอกชน หรือองค์กรไม่แสวงหาผลกำไร (สมาคมและมูลนิธิ) 

อย่างไรก็ดี กฎหมายฉบับนี้มุ่งใช้กับกิจกรรมของหน่วยงานหรือองค์กรขนาดใหญ่เสียส่วนใหญ่ที่มีการเก็บหรือใช้ข้อมูลจำนวนมาก  ฉะนั้น กฎหมายจึงไม่ได้มีผลเปลี่ยนแปลงการใช้ชีวิตส่วนใหญ่ของคนธรรมดา เพราะหากเป็นการใช้ข้อมูลส่วนบุคคลเกี่ยวกับเรื่องส่วนตัวหรือครอบครัวก็จะได้รับการยกเว้น[4] เช่น การถ่ายภาพที่ระลึกครอบครัว การถ่ายวิดีโอของครอบครัว หรือการทำแผนผังครอบครัว เป็นต้น  ฉะนั้น ในทางปฏิบัติคนธรรมดาแบบเราคือคนสำคัญที่กฎหมายมุ่งจะคุ้มครอง

ใครมีหน้าที่ตาม PDPA และต้องทำอะไรบ้าง

ตาม PDPA กำหนดหน้าที่ให้กับผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ซึ่งก็คือ “บุคคลธรรมดา” (คนธรรมดาแบบเรา) หรือ “นิติบุคคล” (หน่วยงานหรือองค์กร) ที่มีการเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคล (เข้าไปเกี่ยวกับข้อมูลส่วนบุคคลของคนอื่น) ซึ่งกฎหมายกำหนดหน้าที่ให้คนคนนี้ ต้องปฏิบัติเพื่อคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคล ซึ่งหน้าที่โดยส่วนใหญ่ของผู้ควบคุมข้อมูลส่วนบุคคลก็คือ การคุ้มครองข้อมูลส่วนบุคคล (ให้หลักประกัน) มิให้มีการนำข้อมูลส่วนบุคคลไปใช้นอกเหนือความคาดหมายของเจ้าของข้อมูลส่วนบุคคล และสนับสนุนการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ซึ่งอาจจะสรุปหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลเป็นหลักการสำคัญที่ต้องคำนึงถึง ดังนี้[5]

1. หลักความชอบด้วยกฎหมาย ความเป็นธรรม และความโปร่งใส ผู้ควบคุมจะต้องกำหนดให้การเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลจะต้องเป็นไปโดยมีเหตุผลความจำเป็นที่สามารถอ้างอิงฐานการประมวลผลได้ และมีการประกาศ/แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบเหตุผลความจำเป็น

2. หลักการจำกัดวัตถุประสงค์ โดยกำหนดให้การประมวลผลข้อมูลส่วนบุคคลกระทำเท่าที่จำเป็นภายใต้ขอบเขตของวัตถุประสงค์ที่ได้แจ้งไว้กับเจ้าของข้อมูลส่วนบุคคล

3. หลักการรวบรวมข้อมูลเท่าที่จำเป็น การประมวลผลข้อมูลส่วนบุคคลภายใต้วัตถุประสงค์และรวบรวมข้อมูลเฉพาะเท่าที่จำเป็นและในสัดส่วนที่เหมาะสม

4. หลักความถูกต้องของข้อมูลส่วนบุคคล การประมวลผลข้อมูลส่วนบุคคลนั้น ผู้ควบคุมข้อมูลส่วนบุคคลจำเป็นต้องจัดให้มีมาตรการหรือวิธีการใดๆ เพื่อรับรองข้อมูลที่เก็บรวบรวมไว้ให้มีความถูกต้องและเป็นปัจจุบัน

5. หลักการเก็บข้อมูลส่วนบุคคลอย่างจำกัดระยะเวลา ภายใต้วัตถุประสงค์ที่กำหนดไว้ ผู้ควบคุมข้อมูลส่วนบุคคลจะเก็บรักษาข้อมูลไว้ในระยะเวลาเท่าที่จำเป็นตามวัตถุประสงค์

6. หลักความสมบูรณ์ของข้อมูลส่วนบุคคลและการเก็บรักษาเป็นความลับ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องประมวลผลข้อมูลส่วนบุคคลด้วยความระมัดระวังและใช้มาตรการรักษาความปลอดภัยข้อมูลที่เหมาะสมเพื่อป้องกันการรั่วไหลของข้อมูลส่วนบุคคลหรือการสูญหาย

7. หลักความรับผิดชอบ ผู้ควบคุมข้อมูลส่วนบุคคลมีความรับผิดชอบในการดำเนินการเพื่อบรรลุวัตถุประสงค์หลักดังกล่าวข้างต้น และจะแสดงให้เห็นได้อย่างชัดเจนว่า ผู้ควบคุมข้อมูลส่วนบุคคลได้มีการปฏิบัติหน้าที่ตามที่กฎหมายกำหนดไว้อย่างครบถ้วน

อย่างไรก็ดี หากจะสรุปหน้าที่ตามหลักการ 7 ประการก็คือ

(1) การใช้ข้อมูลส่วนบุคคลจะต้องใช้เท่าที่จำเป็น เหมาะสมโดยแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์การเก็บ ใช้ หรือเปิดเผย และในกรณีที่ต้องขอความยินยอมก็ต้องขอความยินยอมให้ถูกต้องตามกฎหมาย

(2) ต้องคำนึงถึงความปลอดภัยของข้อมูลส่วนบุคคล หลีกเลี่ยงการให้บุคคลไม่มีส่วนเกี่ยวข้องเข้าถึงข้อมูลส่วนบุคคล และคอยตรวจสอบให้ข้อมูลดังกล่าวอัปเดตตรงกับความเป็นจริง และ

(3) เมื่อเกิดข้อผิดพลาดใดๆ กับข้อมูลส่วนบุคคลจะต้องดำเนินการแจ้งหน่วยงานกำกับดูแลให้ทราบและแจ้งเจ้าของข้อมูลส่วนบุคคลในกรณีที่กฎหมายกำหนด

แม้ว่ากฎหมายฉบับนี้จะใหม่ แต่ก็ไม่ยากเกินกว่าจะทำความเข้าใจ เพราะหากทำความเข้าใจหลักการของกฎหมายทั้งหมดแล้วการปฏิบัติตามกฎหมายในลำดับต่อไปก็จะไม่ใช่เรื่องยากอีกต่อไป และหากมีข้อสงสัยเกี่ยวกับ PDPA สามารถติดตามช่องทางอย่างเป็นทางการของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นหน่วยงานกำกับดูแลตามกฎหมายได้ทาง Facebook Fanpage PDPC Thailand

เชิงอรรถ

[1] นคร เสรีรักษ์, ความเป็นส่วนตัว (พิมพ์ครั้งที่ 2, สำนักพิมพ์ฟ้าฮ่าม 2563) 263 – 264.

[2] พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6.

[3] ดู พระราชบัญญัติข้อมูลข่าวสารราชการ พ.ศ. 2540.

[4] พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 4 (1).

[5] เขมภัทร ทฤษฎิคุณ, ‘เมื่อเราอยู่ในยุคที่ข้อมูลส่วนบุคคลมีค่าดั่งทองคำ’ (สถาบันปรีดี พนมยงค์, 28 กุมภาพันธ์ 2565) <https://pridi.or.th/th/content/2022/02/991> สืบค้นเมื่อ 31 พฤษภาคม 2565.

PDPA มีผลใช้บังคับแล้ว ถอดบทเรียนการเตรียมความพร้อมและชวนภาครัฐสำรวจความพร้อมในการปฏิบัติตามกฎหมาย

เขมภัทร ทฤษฎิคุณ

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA เริ่มมีผลใช้บังคับวันนี้ภายหลังจากเลื่อนการบังคับใช้มาเป็นระยะเวลา 2 ปี[1] ความสำคัญของ PDPA คือ การยกระดับการคุ้มครองข้อมูลส่วนบุคคลในภาพรวม เนื่องจาก PDPA มุ่งหมายใช้กับกิจกรรมการใช้ข้อมูลส่วนบุคคลของคนธรรมดาทุกประเภทโดยไม่จำกัดว่า การเก็บข้อมูลนั้นจะเป็นดิจิทัลหรือกระดาษ การใช้ข้อมูลส่วนบุคคลนั้นจะเกิดขึ้นเพื่อวัตถุประสงค์ในทางธุรกิจหรือไม่ และไม่ว่าจะเป็นการใช้ข้อมูลส่วนบุคคลโดยบุคคลธรรมดา หน่วยงานของรัฐ องค์ธุรกิจเอกชน หรือองค์กรไม่แสวงหาผลกำไร

เมื่อพิจารณาในส่วนของภาครัฐซึ่งมีการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นจำนวนมาก และเก็บรวบรวมข้อมูลส่วนบุคคลของบุคคลตั้งแต่จากครรภ์มารดาถึงเชิงตะกอน การคุ้มครองข้อมูลส่วนบุคคลในภาครัฐจึงมีความสำคัญ ซึ่งในอดีตการคุ้มครองข้อมูลส่วนบุคคลในภาครัฐจะเป็นไปตาม พ.ร.บ. ข้อมูลข่าวสารราชการ พ.ศ. 2540 แต่ในปัจจุบันการคุ้มครองข้อมูลส่วนบุคคลของภาครัฐจะต้องยกระดับขึ้นมาตาม PDPA ไปด้วย คำถามสำคัญคือ ภาครัฐมีความพร้อมในการปฏิบัติตาม PDPA แล้วหรือไม่

1. บทสำรวจความพร้อมในการปฏิบัติตาม PDPA ของภาครัฐ

สถานการณ์การเตรียมความพร้อมของหน่วยงานของรัฐในการปฏิบัติตาม PDPA นั้น ไม่ได้แตกต่างไปจากที่สถาบันวิจัยเพื่อการพัฒนาประเทศไทยได้เคยทำการสำรวจเอาไว้ในปี พ.ศ. 2561 

หน่วยงานของรัฐอาจไม่คุ้นเคยกับการคุ้มครองข้อมูลส่วนบุคคล และจะเห็นว่าการคุ้มครองข้อมูลส่วนบุคคลเป็นหน้าที่ของสำนัก/กอง/กลุ่ม/แผนกหนึ่งในหน่วยงานของรัฐเป็นผู้รับผิดชอบ[2] เช่น สำนักเทคโนโลยี เป็นต้น อีกทั้งหน่วยงานของรัฐส่วนใหญ่ยังไม่มีนโยบายการปรับเปลี่ยนภายในองค์กรเพื่อรองรับการปฏิบัติตาม PDPA[3] อาทิ การเตรียมกระบวนการเพื่อแจ้งเจ้าของข้อมูลส่วนบุคคลให้ทราบเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล การจัดเตรียมช่องทางการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล การกำหนดบุคคลที่จะปฏิบัติหน้าที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) หรือแม้แต่การปรับเปลี่ยนกฎเกณฑ์ทางกฎหมายภายใต้อำนาจของหน่วยงานของรัฐเพื่อให้สอดคล้องกับหลักการของกฎหมายคุ้มครองข้อมูลส่วนบุคคล

ความไม่พร้อมสำคัญของภาครัฐก็คือ เรื่องการรักษาความปลอดภัยของข้อมูลส่วนบุคคล ดังจะเห็นได้ว่า ภายหลัง PDPA ถูกประกาศใช้หน่วยงานของรัฐบางแห่งก็ยังมีข้อจำกัดด้านระบบ รวมถึงยังไม่ได้ให้ความสำคัญกับการป้องกันการละเมิด/รั่วไหลของข้อมูลส่วนบุคคล โดยจะเห็นได้ว่า ในช่วงปี พ.ศ. 2564 มีการละเมิด/รั่วไหลของข้อมูลส่วนบุคคลในภาครัฐถึง 5 ครั้ง[4] ซึ่งเรื่องความปลอดภัยของข้อมูลส่วนบุคคลเป็นความกังวลสำคัญในภาครัฐเนื่องจากภาครัฐมีการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นจำนวนมาก แต่หน่วยงานของรัฐแต่ละแห่งมีการใช้เทคนิคและระบบเทคโนโลยีสารสนเทศที่ปลอดภัยไปจนถึงหน่วยงานของรัฐที่ไม่มีระบบที่ทันสมัยเพียงพอกับการรับมือกับการละเมิด/รั่วไหลของข้อมูลส่วนบุคคล ซึ่งอาจเกิดการรั่วไหลหรือถูกโจมตีต่อระบบคอมพิวเตอร์ได้ หรือในกรณีที่เก็บรักษาเอกสารอิเล็กทรอนิกส์ไว้ในเครื่องคอมพิวเตอร์สำนักงานโดยไม่มีการตั้งรหัสการเข้าถึงข้อมูล (access control) อาจทำให้บุคคลที่ไม่มีส่วนเกี่ยวข้องเข้าถึงข้อมูลได้โดยไม่จำเป็น[5]

2. ถอดบทเรียนการเตรียมความพร้อมของภาครัฐในการปฏิบัติตาม PDPA

จากการได้มีโอกาสพูดคุยและเข้าไปช่วยแนะนำการเตรียมความพร้อมในการปฏิบัติตามPDPA พบว่า ปัญหาของหน่วยงานของรัฐในการปฏิบัติตาม PDPA มีอยู่ 3 ปัญหา ดังนี้

หน่วยงานของรัฐไม่เข้าใจบทบาทหน้าที่ตาม PDPA

ในการปฏิบัติตาม PDPA ของภาครัฐขั้นตอนแรกที่สำคัญที่สุดในการปฏิบัติตามกฎหมายฉบับนี้คือ การทำความเข้าใจบทบาทของภาครัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคลว่ามีหน้าที่ใดต้องปฏิบัติตามบ้างตาม PDPA ซึ่งในช่วงที่ผ่านมาหลายหน่วยงานอาจจะได้เตรียมความพร้อมในการปฏิบัติตาม PDPA ไปบ้างแล้ว ตัวอย่างเช่น สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) (สพร.) ซึ่งเป็นหน่วยงานของรัฐแรกๆ ที่ได้ดำเนินการปฏิบัติตาม PDPA และเป็นตัวอย่างที่ดีให้กับหน่วยงานอื่นๆ โดยการทำเทมเพลตเอกสารในการปฏิบัติตามกฎหมาย

อย่างไรก็ดี หลายหน่วยงานในภาครัฐยังคงมีความเข้าใจผิดเกี่ยวกับการปฏิบัติตาม PDPA โดยการทำเพียงเอกสารตามกฎหมายเท่านั้น โดยไม่ได้เปลี่ยนแปลงพฤติกรรมหรือการทำงานเกี่ยวกับการใช้ข้อมูลส่วนบุคคล ซึ่งอาจจะกลายเป็นปัญหาในตอนท้ายและไม่บรรลุเป้าหมายของ PDPA  ฉะนั้น การทำความเข้าใจหน้าที่ของหน่วยงานของรัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคลจึงมีความสำคัญ

ในส่วนของบทบาทหน้าที่ของภาครัฐในการปฏิบัติตาม PDPA ที่สำคัญที่สุดก็คือ การสร้างความโปร่งใสในการสื่อสารกับประชาชน ในกรณีที่จะต้องเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล ภาครัฐควรจะต้องมีการแจ้งให้ประชาชนทราบ เพื่อให้ประชาชสามารถใช้สิทธิของตนเองได้ตามกฎหมาย

หน่วยงานของรัฐขาดแนวทางในการปฏิบัติตาม PDPA

ในการเตรียมความพร้อมในการปฏิบัติตาม PDPA หน่วยงานของรัฐส่วนใหญ่ประสบปัญหาคล้ายๆ กันคือ ความไม่แน่ใจว่าจะเริ่มต้นอย่างไรในการปฏิบัติตาม PDPA ปัญหาส่วนหนึ่งเกิดมาจากการขาดแนวปฏิบัติ (guidelines) ที่วางแนวทางให้กับหน่วยงานของรัฐ ทั้งในแง่ของการเตรียมความพร้อมในการปฏิบัติตาม PDPA และอธิบายบทบัญญัติของ PDPA ซึ่งหากพิจารณาเฉพาะตัวพระราชบัญญัติแล้วจะเห็นเพียงหลักการ แต่ไม่เห็นแนวทางในการปฏิบัติตาม

ในส่วนของแนวทางการเตรียมความพร้อมในการปฏิบัติตาม PDPA ในภาครัฐ อาจแบ่งขั้นตอนในการเตรียมความพร้อมได้เป็น 5 ขั้นตอน[6] ดังนี้

  • การเตรียมตัวเบื้องต้น การปฏิบัติตาม PDPA ไม่ใช่เรื่องของคนใดคนหนึ่ง แต่เป็นเรื่องของทั้งองค์กรต้องมีความเข้าใจเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลเป็นไปในทิศทางเดียวกัน ขั้นตอนนี้จึงเป็นการสร้างความเข้าใจร่วมกันของเจ้าหน้าที่ภายในองค์กรทั้งในระดับผู้บริหารลงมาถึงระดับปฏิบัติการ/ปฏิบัติงาน ซึ่งกระบวนการดังกล่าวจะเปิดทางไปสู่การเตรียมความพร้อมในการปฏิบัติตาม PDPA ด้านอื่นๆ
  • การสำรวจภายในองค์กร การจะปฏิบัติตาม PDPA ให้มีประสิทธิภาพหน่วยงานของรัฐจำเป็นต้องรู้จักการใช้ข้อมูลส่วนบุคคลภายในองค์กรของตนเป็นอย่างดี เพื่อจะได้ทราบว่าภายในองค์กรมีการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในกิจกรรมใดบ้าง
  • การลงรายละเอียดแผนงาน ในขั้นตอนนี้จะเป็นการพิจารณาลงในรายละเอียดว่า ในแต่ละกิจกรรมที่มีการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลมีข้อมูลใดบ้าง และข้อมูลส่วนบุคคลแต่ละประเภทมีความเสี่ยงอย่างไรบ้างถ้าหากมีการละเมิด/รั่วไหลของข้อมูลส่วนบุคคล
  • การปิดช่องว่าง ขั้นตอนนี้เป็นการปิดช่องว่างของการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมาย และการจัดแนวทางในการใช้ข้อมูลส่วนบุคคลในอนาคต โดยอาจจะต้องมีการปรับเปลี่ยนวิธีการทำงานของหน่วยงานของรัฐ และการจัดเก็บข้อมูลส่วนบุคคลในบางกิจกรรมที่ไม่จำเป็น
  • การจัดเตรียมเอกสาร ซึ่งเป็นขั้นตอนในการจัดเตรียมเอกสารต่างๆ ที่จำเป็นในการปฏิบัติตาม PDPA อาทิ การจัดทำ Privacy Notice เพื่อแจ้งการรายละเอียดการเก็บรวบรวมข้อมูลส่วนบุคคล การจัดทำ Privacy Policy สำหรับการแสดงนโยบายการคุ้มครองข้อมูลส่วนบุคคลในภาพรวมขององค์กร การจัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activity: RoPA) และเอกสารอื่นๆ ที่จำเป็น ซึ่งจะเห็นได้ว่า กระบวนการนี้เป็นกระบวนการท้ายๆ ในการปฏิบัติตาม PDPA แต่ในทางปฏิบัติหน่วยงานของรัฐส่วนใหญ่นั้นมักจะเริ่มต้นจากการทำตามเทมเพลตต้นแบบ
  • การสืบสาน รักษา และต่อยอด ขั้นตอนนี้เป็นขั้นตอนสุดท้ายของการวางระบบตามกรอบ PDPA โดยหน่วยงานของรัฐ โดยหน่วยงานของรัฐจะต้องพยายามสร้างองค์ความรู้เกี่ยวกับ PDPA ให้อยู่ในองค์กร โดยเจ้าหน้าที่ของรัฐทุกคนในองค์กรควรมีการตระหนักเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้การปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลเป็นไปอย่างมีประสิทธิภาพและปิดช่องว่างที่อาจจะเกิดขึ้น รวมถึงจะต้องมีการติดตามผลคอยปรับปรุงระบบที่วางไว้

ปัญหาการขาดความมั่นใจในการเลือกฐานทางกฎหมาย

สิ่งหนึ่งที่ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องปฏิบัติตาม PDPA ก็คือ การเลือกฐานในการประมวลผลข้อมูลส่วนบุคคล ในกรณีของภาครัฐหน่วยงานของรัฐก็ต้องมีหน้าที่จะต้องเลือกฐานการประมวลผลข้อมูลส่วนบุคคลเช่นกัน  อย่างไรก็ตาม ในทางปฏิบัติหน่วยงานของรัฐส่วนใหญ่ไม่มั่นใจว่า ภารกิจหรือกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของตนจะต้องใช้ฐานการประมวลผลข้อมูลส่วนบุคคลใด โดยเฉพาะอย่างยิ่งเมื่อพิจารณาบทบัญญัติในมาตรา 19[7]และมาตรา 24[8] 

ซึ่งหากพิจารณาเพียงผิวเผินอาจจะทำให้เข้าได้ว่า กฎหมายห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ซึ่งทำให้เกิดปัญหามากกับหน่วยงานของรัฐที่มีภารกิจหรือกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่ต้องเก็บจากบุคคลเป็นจำนวนมากตลอดพื้นที่ เช่น ฐานข้อมูลทะเบียนราษฎร หรือฐานข้อมูลบัตรประจำตัวประชาชน เป็นต้น จะสามารถขอความยินยอมได้อย่างไร

ในความเป็นจริงแล้ว PDPA ได้กำหนดฐานการประมวลผลที่เหมาะสมสำหรับหน่วยงานของรัฐในการปฏิบัติตามกฎหมายที่ให้อำนาจ และเพื่อการประโยชน์ในการจัดทำบริการสาธารณะเอาไว้ โดยกำหนดให้หน่วยงานของรัฐไม่ต้องขอความยินยอมตาม PDPA ก็สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้[9]

นอกจากนี้ ในกรณีอื่นๆ หน่วยงานของรัฐก็อาจจะอาศัยฐานในการประมวลผลอื่นๆ เพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้ นอกเหนือจากการใช้ฐานความยินยอม ได้แก่ ฐานสัญญา ฐานสถิติ เอกสารประวัติศาสตร์ และจดหมายเหตุ ฐานป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ฐานประโยชน์โดยชอบด้วยกฎหมาย และฐานการปฏิบัติตามกฎหมาย ซึ่ง PDPA รับรองเอาไว้

เมื่อพิจารณาแนวทางทั้งหมดแล้วท้ายที่สุด ต้องเน้นย้ำกับภาครัฐเสมอในการปรับตัวตาม PDPA ของภาครัฐคือ การตระหนักถึงบทบาทของภาครัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคลในการคุ้มครองข้อมูลส่วนบุคคลของประชาชน และพยายามสร้างความโปร่งใสในกรณีที่ต้องมีการเก็บรวบรวมหรือใช้ข้อมูลส่วนบุคคล โดยควรจะต้องให้ประชาชนรับรู้ เพื่อประโยชน์ของประชาชนในการควบคุมสิทธิในข้อมูลส่วนบุคคลของตนเอง

เชิงอรรถ

[1] ครั้งที่ 1 พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2563 ประกาศเมื่อวันที่ 21 พฤษภาคม 2563 และในครั้งที่ 2 พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (ฉบับที่ 2) พ.ศ. 2564 ประกาศเมื่อวันที่ 8 พฤษภาคม 2564.

[2] สถาบันวิจัยเพื่อการพัฒนาประเทศไทย, รายงานผลการสำรวจการเตรียมความพร้อมหน่วยงานในการคุ้มครองข้อมูลส่วนบุคคล ปี 2561 (สถาบันวิจัยเพื่อการพัฒนาประเทศไทย 2561) 110.

[3] เพิ่งอ้าง.

[4] พสิษฐ์ คงคุณากรกุล. ‘ย้อนรอยเหตุ ‘ข้อมูลเสี่ยงรั่ว-รั่วไหล’ ขององค์กรในไทย จากทั้งปี 64 ถึงกรณี TCAS’ (The Standard, 4 กุมภาพันธ์ 2565) สืบค้นเมื่อ 3 มิถุนายน 2565.

[5] วิชญาดา อำพนกิจวิวัฒน์, ‘ระบบ ‘ข้อมูลส่วนบุคคล’ ที่ดี รัฐต้องมี ‘คน’ ที่พร้อม’ (TDRI, 27 สิงหาคม 2564)  สืบค้นเมื่อ 6 มิถุนายน 2565.

[6] ดู กิรติพงศ์ แนวมาลี เขมภัทร ทฤษฎิคุณ และคณะ, แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล: หน่วยงานของรัฐ (สถาบันวิจัยเพื่อการพัฒนาประเทศไทย, 2564) 8 – 14.

[7] พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19  

ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้.

[8] พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 24

ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่

(1) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล  ทั้งนี้ ตามที่คณะกรรมการประกาศกำหนด

(2) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล

(3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น

(4) เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล

(5) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล

(6) เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

[9] พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 24 (4).

แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล: หน่วยงานของรัฐ

เขมภัทร ทฤษฎิคุณ

ชื่อหนังสือ: แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล: หน่วยงานของรัฐ

การอ้างอิงแนะนำตามรูปแบบ APA: กิรติพงศ์ แนวมาลี และคณะ. (2565). แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล: หน่วยงานของรัฐ. กรุงเทพฯ: สถาบันวิจัยเพื่อการพัฒนาประเทศไทย.

สรุปสาระสำคัญ

แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล: หน่วยงานของรัฐ เป็นหนึ่งในแนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลทั้ง 7 เล่ม ของสถาบันวิจัยเพื่อการพัฒนาประเทศไทย (TDRI) ได้รับมอบหมายจากสำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมทำหน้าที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจัดทำขึ้นเพื่อวางแนวทางให้กับองค์กรหรือธุรกิจเฉพาะด้านได้ใช้เป็นแนวทางในการทำความเข้าใจกฎหมายคุ้มครองข้อมูลส่วนบุคคล และจัดเตรียมแนวทางในการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

ทั้งนี้ สำหรับแนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล: หน่วยงานของรัฐเล่มนี้จัดทำขึ้นเพื่อให้เกิดแนวทางและวิธีการเตรียมความพร้อมสำหรับหน่วยงานของรัฐทั้งส่วนราชการครอบคลุมราชการส่วนกลาง ราชการส่วนภูมิภาค และราชการส่วนท้องถิ่น และหน่วยงานของรัฐรูปแบบอื่นๆ เช่น องค์กรปกครองส่วนท้องถิ่น เป็นต้น นอกจากนี้ แนวปฏิบัติฉบับนี้ให้ความสำคัญกับการวางแนวทางที่เป็นประโยชน์แก่หน่วยงานของรัฐที่ได้รับการยกเว้นการปฏิบัติหน้าที่ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

บรรยายอบรมการเตรียมความพร้อมกฎหมายคุ้มครองข้อมูลส่วนบุคคลสำหรับผู้ประกอบธุรกิจโรงแรม

เขมภัทร ทฤษฎิคุณ

สไลด์ประกอบการบรรยายอบรมการเตรียมความพร้อมกฎหมายคุ้มครองข้อมูลส่วนบุคคลสำหรับผู้ประกอบธุรกิจโรงแรม จัดโดยสมาคมโรงแรม (Thai Hotels Association) โดยการอบรมนี้แบ่งเนื้อหาออกเป็น 4 ส่วน โดยเป็นเรื่องกฎหมายและการเตรียมความพร้อมในการปฏิบัติตามกฎหมายของผู้ประกอบธุรกิจโรงแรม โดยการบรรยายนี้จัดขึ้นในวันที่ 7 เมษายน 2565 ผ่านทางออนไลน์ในรูปแบบ Webminar

เมื่อเราอยู่ในยุคที่ข้อมูลส่วนบุคคลมีค่าดั่งทองคำ

เขมภัทร ทฤษฎิคุณ

เผยแพร่ครั้งแรกเมื่อวันที่ 28 กุมภาพันธ์ 2565 บนเว็บไซต์ pridi.or.th

มื่อไม่นานมานี้มีข่าวว่ารัฐบาลได้ทำการแต่งตั้งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลขึ้นมา ข่าวนี้เป็นสัญญาณสำคัญถึงการใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลในประเทศ โดยคณะกรรมการชุดนี้จะมีบทบาทสำคัญในการกำหนดนโยบายการคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย ภายใต้ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ท่ามกลางยุคสมัยที่ข้อมูลส่วนบุคคลมีค่าดั่งทองคำ

ข้อมูลส่วนบุคคลคืออะไร

ก่อนจะไปทำความเข้าใจว่าเพราะอะไรข้อมูลส่วนบุคคลจึงมีค่าดั่งทองคำ ในบทความนี้จะขอเริ่มต้นจากการอธิบายก่อนว่า ข้อมูลส่วนบุคคลคืออะไร?

หากพิจารณานิยามของข้อมูลส่วนบุคคลตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล จะเห็นได้ว่า “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม (แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ)[1]

กล่าวโดยสรุปง่ายๆ “ข้อมูลส่วนบุคคล” คือ ข้อมูลใดๆ ก็ตามที่สามารถระบุตัวตนของบุคคลนั้นได้ ตัวอย่างของสิ่งที่เราแน่ใจอย่างแน่นอนว่าเป็นข้อมูลส่วนบุคคล เช่น ชื่อนามสกุล เบอร์โทรศัพท์ เลขบัตรประจำตัวประชาชน ส่วนสูง และน้ำหนัก เป็นต้น 

อย่างไรก็ตาม ความหมายของข้อมูลส่วนบุคคลนั้นกว้างกว่าที่เราคิด ข้อมูลส่วนบุคคลนั้นยังรวมไปถึงข้อมูลอื่นๆ เช่น เชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา ข้อมูลพันธุกรรม และข้อมูลชีวภาพ เป็นต้น

ดังจะเห็นได้ว่าความหมายของข้อมูลส่วนบุคคลนั้นมีความหมายกว้างมากโดยเฉพาะในยุคสมัยที่เราทุกคนนั้นมีการเชื่อมต่อกันในยุคแห่ง internet of things (IoTs) หรือที่เรียกว่า “อินเทอร์เน็ตสำหรับทุกสรรพสิ่ง” ที่ผู้ใช้งานอินเทอร์เน็ตไม่ได้เพียงเชื่อมต่ออินเทอร์เน็ตจากคอมพิวเตอร์เท่านั้น แต่การเชื่อมต่อนั้นเกิดขึ้นกับอุปกรณ์ต่างๆ รอบตัว เช่น นาฬิกาข้อมือที่มีการเก็บข้อมูลอัตราการเต้นของหัวใจ และความดันของผู้สวมใส่ หรือโทรศัพท์มือถือที่มีการเก็บข้อมูลพิกัดการใช้งานแอปพลิเคชัน เป็นต้น

ทำไมข้อมูลส่วนบุคคลจึงกลายเป็นสิ่งมีค่า

ด้วยเหตุที่ชีวิตปัจจุบันของเราเข้าไปสัมพันธ์กับการเชื่อมต่ออินเทอร์เน็ตอยู่ตลอดเวลา ทำให้มีการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเพิ่มขึ้นแตกต่างจากยุคก่อนๆ ที่การเก็บรวบรวมข้อมูลส่วนบุคคลจะมีเฉพาะในเวลาที่มีการทำธุรกรรมบางอย่างเท่านั้น

ในปัจจุบันการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นมีความจำเป็นมากในทางธุรกิจ เพราะการมีข้อมูลเป็นจำนวนมากนั้นทำให้เกิดความแม่นยำในการสร้างสรรค์ผลิตภัณฑ์ การโฆษณาเพื่อตอบสนองความต้องการของผู้บริโภค และปรับเปลี่ยนกลยุทธ์ทางธุรกิจให้เหมาะสมกับสถานการณ์ในปัจจุบัน ความต้องการข้อมูลเป็นจำนวนมากนี้ถึงขั้นทำให้มีผู้กล่าวว่า “ข้อมูล (ส่วนบุคคล) นั้นเปรียบเสมือนน้ำมันใหม่ของเศรษฐกิจดิจิทัล” เพราะหากยิ่งผู้ประกอบการมีข้อมูลมากเท่าไรและรู้จักผู้บริโภคมากเท่าไร ผู้ประกอบการก็ยิ่งจะสามารถตอบสนองความต้องการของผู้บริโภคได้ตรงจุดมากเท่านั้น

ตัวอย่างเช่น สถาบันการเงินประเภทธนาคารแห่งหนึ่งต้องการเสนอสินเชื่อให้กับลูกค้า กรณีเช่นนี้ธนาคารก็ต้องใช้ข้อมูลทางด้านรายได้ ภาระหนี้สิน พฤติกรรมการใช้จ่ายของลูกค้า และการชำระหนี้ของลูกค้ามาประกอบเพื่อตัดสินใจจะให้สินเชื่อแก่ลูกค้าหรือไม่ หรือแม้แต่กระทั่งหน่วยงานของรัฐก็จำเป็นต้องใช้ข้อมูลส่วนบุคคลของผู้ใช้บริการเพื่อทำความเข้าใจกลุ่มเป้าหมายที่ใช้งานบริการ และพยายามปรับเปลี่ยนนโยบายการทำงานให้มีประสิทธิภาพ (กรณีนี้เริ่มเกิดขึ้นบ้างแล้วในหน่วยงานของรัฐในประเทศไทย เช่น กรมสรรพากร ที่ช่วยอำนวยความสะดวกในการเก็บข้อมูลเพื่อการลดหย่อนภาษี เป็นต้น[2]) หรือ การนำข้อมูลมาใช้ทำฐานข้อมูลเพื่อจัดทำระบบป้องกันอาชญากรรม

นอกจากนี้ ในทางการเมืองการใช้ข้อมูลส่วนบุคคลก็มีปัจจัยสำคัญในการสร้างความได้เปรียบทางการเมือง ดังเช่นในกรณีของ Cambridge Analytica ซึ่งหนังสือพิมพ์ New York Time และ The Guardian ในช่วงเดือนมีนาคม 2561 ได้ออกมาเปิดเผยรายงานข่าวการสอบสวนเชิงลึกว่า บัญชีผู้ใช้งาน Facebook ถูกนำข้อมูลส่วนบุคคลบางส่วนไปใช้ประโยชน์ในการวิเคราะห์ทางการเมือง โดยเจ้าของบัญชีผู้ใช้งานเหล่านั้นไม่รู้ถึงการนำข้อมูลส่วนบุคคลดังกล่าวไปใช้มาก่อน[3]

ด้วยเหตุดังกล่าวนี้ ทั้งในภาคเอกชนและภาครัฐจึงมีความพยายามที่จะเก็บรวบรวมข้อมูลส่วนบุคคลให้ได้มากเพื่อที่จะนำข้อมูลส่วนบุคคลนั้นมาใช้ในการประกอบการตัดสินใจ และเพื่อสร้างความได้เปรียบในทางเศรษฐกิจหรือการเมือง

อย่างไรก็ดี การนำข้อมูลส่วนบุคคลมาใช้ในการวิเคราะห์หรือสร้างฐานข้อมูลบางอย่างนั้นก็เป็นเสมือนดาบสองคม ในแง่หนึ่ง การใช้ข้อมูลเพื่อวิเคราะห์ความต้องการของผู้ใช้บริการเพื่อปรับปรุงบริการ นำเสนอผลิตภัณฑ์ที่ตรงต่อความต้องการของผู้ใช้บริการนั้นก็เป็นสิ่งที่ดี หรือช่วยทำให้การตัดสินใจบางประการขององค์กรมีประสิทธิภาพ แต่ในอีกแง่หนึ่ง การใช้ข้อมูลส่วนบุคคลในลักษณะเกินความเหมาะสมหรือความพอดี โดยการเก็บรวบรวมหรือใช้ข้อมูลส่วนบุคคลโดยไม่คำนึงถึงสิทธิของเจ้าของข้อมูลส่วนบุคคล ทั้งในแง่ของสิทธิความเป็นส่วนตัวหรือสิทธิในข้อมูลส่วนบุคคลก็อาจจะกลายเป็นการคุกคามความเป็นส่วนตัวและสิทธิในข้อมูลส่วนบุคคลได้

กฎหมายคุ้มครองข้อมูลส่วนบุคคลกับการกำกับดูแลการใช้ข้อมูลส่วนบุคคล

ผลจากความต้องการรักษาสมดุลของการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลกับการคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคลในด้านความเป็นส่วนตัวและสิทธิในข้อมูลส่วนบุคคลนั้นทำให้เกิดกฎหมายคุ้มครองข้อมูลส่วนบุคคลขึ้นมา

กฎหมายคุ้มครองข้อมูลส่วนบุคคลในปัจจุบันที่มีอิทธิพลมากที่สุดในขณะนี้คงหนีไม่พ้น GDPR (General Data Protection Regulation) ของสหภาพยุโรป ซึ่งเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ถูกเรียกว่ามีความทันสมัยที่สุดในขณะนี้ โดยมีวัตถุประสงค์เพื่อประมวลกฎเกณฑ์เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และกำหนดแนวทางในการรักษาความเป็นธรรมระหว่างการใช้ข้อมูลส่วนบุคคลกับการคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคลของพลเมืองสหภาพยุโรปไม่ว่าบุคคลนั้นจะอยู่ที่ใดในโลก (เพราะฉะนั้น GDPR สามารถบังคับได้กับทุกการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลไม่ว่าจะอยู่ในสหภาพยุโรปหรือไม่)

จุดสำคัญของ GDPR ที่คนส่วนใหญ่มักจะพูดถึงคือ การกำหนดโทษปรับไว้เป็นจำนวนที่ค่อนข้างสูง โดยมีเจตนาเพื่อที่จะห้ามปรามการละเมิดข้อมูลส่วนบุคคลโดยเจตนาและการจงใจไม่ดำเนินการเพื่อบรรเทาความเสียหายที่อาจจะเกิดขึ้นได้กับข้อมูลส่วนบุคคล โดยบทลงโทษที่รุนแรงของ GDPR คือ การปรับเป็นเงินจำนวนสูงสุด 20 ล้านยูโร หรือคิดจากผลประโยชน์การดำเนินการมากถึงร้อยละ 4 ของมูลค่าการซื้อขายทั่วโลกในปีบัญชีก่อนหน้า[4]

ผลของการตรา GDPR ของสหภาพยุโรปนั้นมีนัยสำคัญต่อสังคมเศรษฐกิจดิจิทัลของโลกมาก เนื่องจากปริมาณการบริโภคและส่วนแบ่งตลาดของสหภาพยุโรปนั้นค่อนข้างสูง อันเป็นผลมาจากการรวมตัวของประเทศต่างๆ ในทวีปยุโรป ทำให้กฎหมายคุ้มครองข้อมูลส่วนบุคคลทั่วโลกเกิดการปรับเปลี่ยนเนื้อหาของกฎหมายคุ้มครองข้อมูลส่วนบุคคลเพื่อให้สอดคล้องกับ GDPR ของสหภาพยุโรป ไม่เว้นแม้แต่ประเทศไทยซึ่งในช่วงปี พ.ศ. 2562 ประเทศได้ตรา พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลขึ้นมาเพื่อให้เป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย

หลักการส่วนใหญ่ของ พ.ร.บ. นี้นั้นสอดคล้องกันกับ GDPR ในหลายๆ ส่วน มีหลักการสำคัญคือ การมุ่งสร้างความเป็นธรรมในการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคล (ผู้เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ของตนเอง) และเจ้าของข้อมูลส่วนบุคคล โดยมีหลักการสำคัญ ดังนี้

หลักความชอบด้วยกฎหมาย ความเป็นธรรม และความโปร่งใส กำหนดให้การประมวลผลข้อมูลส่วนบุคคลจะต้องเป็นไปโดยมีเหตุผลความจำเป็นที่สามารถอ้างอิงฐานการประมวลผลได้ และมีการประกาศ/แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบเหตุผลความจำเป็น

หลักการจำกัดวัตถุประสงค์ โดยกำหนดให้การประมวลผลข้อมูลส่วนบุคคลกระทำเท่าที่จำเป็นภายใต้ขอบเขตของวัตถุประสงค์ที่ได้แจ้งไว้กับเจ้าของข้อมูลส่วนบุคคล

หลักการรวบรวมข้อมูลเท่าที่จำเป็น การประมวลผลข้อมูลส่วนบุคคลภายใต้วัตถุประสงค์และรวบรวมข้อมูลเฉพาะเท่าที่จำเป็นและในสัดส่วนที่เหมาะสม

หลักความถูกต้องของข้อมูลส่วนบุคคล การประมวลผลข้อมูลส่วนบุคคลนั้น ผู้ควบคุมข้อมูลส่วนบุคคลจำเป็นต้องจัดให้มีมาตรการหรือวิธีการใดๆ เพื่อรับรองข้อมูลที่เก็บรวบรวมไว้ให้มีความถูกต้องและเป็นปัจจุบัน

หลักการเก็บข้อมูลส่วนบุคคลอย่างจำกัดระยะเวลา ภายใต้วัตถุประสงค์ที่กำหนดไว้ ผู้ควบคุมข้อมูลส่วนบุคคลจะเก็บรักษาข้อมูลไว้ในระยะเวลาเท่าที่จำเป็นตามวัตถุประสงค์

หลักความสมบูรณ์ของข้อมูลส่วนบุคคลและการเก็บรักษาเป็นความลับ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องประมวลผลข้อมูลส่วนบุคคลด้วยความระมัดระวังและใช้มาตรการรักษาความปลอดภัยข้อมูลที่เหมาะสมเพื่อป้องกันการรั่วไหลของข้อมูลส่วนบุคคลหรือการสูญหาย

หลักความรับผิดชอบ ผู้ควบคุมข้อมูลส่วนบุคคลมีความรับผิดชอบในการดำเนินการเพื่อบรรลุวัตถุประสงค์หลักดังกล่าวข้างต้น และจะแสดงให้เห็นได้อย่างชัดเจนว่า ผู้ควบคุมข้อมูลส่วนบุคคลได้มีการปฏิบัติหน้าที่ตามที่กฎหมายกำหนดไว้อย่างครบถ้วน

นอกเหนือจากหลักการต่างๆ แล้วสิ่งที่เหมือนกันกับ GDPR ก็คือ การกำหนดโทษสำหรับผู้ที่ฝ่าฝืนไม่ปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ซึ่งทำให้ทั้งภาคเอกชนและหน่วยงานของรัฐต้องตระหนักในการคุ้มครองข้อมูลส่วนบุคคลให้มากขึ้น

ธุรกิจกับการคุ้มครองข้อมูลส่วนบุคคล

อย่างไรก็ดี ในเชิงธุรกิจนั้นการคุ้มครองข้อมูลส่วนบุคคลไม่ได้มีความสำคัญเพียงเฉพาะเรื่องของการถูกลงโทษตามกฎหมาย  ทว่า การคุ้มครองข้อมูลส่วนบุคคลนั้นเป็นเรื่องของความน่าเชื่อถือในทางธุรกิจ เพราะเป็นที่แน่นอนว่าไม่อยากมีผู้ใช้บริการใด อยากใช้บริการของผู้ประกอบกิจการที่มีการปล่อยให้มีข้อมูลส่วนบุคคลรั่วไหล หรือไม่ได้ดำเนินการเพื่อคุ้มครองข้อมูลส่วนบุคคลให้อยู่ในความปลอดภัย ซึ่งหากบริษัทและองค์กรธุรกิจไม่มีความตระหนักในเรื่องดังกล่าวแล้ว เมื่อเกิดการรั่วไหลของข้อมูลส่วนบุคคล ผลกระทบที่ร้ายแรงกว่าการโดนปรับตามกฎหมายก็คือ การขาดความน่าเชื่อถือในทางธุรกิจ

ปัญหานี้จึงไม่ใช่เพียงแค่การลงโทษตามกฎหมายเท่านั้น แต่มันเป็นเรื่องของความน่าเชื่อถือทางธุรกิจ ซึ่งบริษัทและองค์กรธุรกิจควรตระหนักถึงความสำคัญในการคุ้มครองข้อมูลส่วนบุคคลให้มากกว่าแต่ก่อน และเริ่มต้นเตรียมตัวให้พร้อมกับการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่กำลังจะมีผลบังคับใช้ในอนาคต

การคุ้มครองข้อมูลส่วนบุคคลนั้นเป็นเรื่องที่ในสังคมประชาธิปไตยควรให้ความสำคัญ มิใช่เฉพาะกับในทางหน่วยงานของรัฐ แต่รวมถึงบริษัทและองค์กรธุรกิจ เพื่อคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคล โดยเฉพาะ เมื่อเราอยู่ในยุคที่ข้อมูลส่วนบุคคลมีค่าดั่งทองคำ การตระหนักถึงการใช้ข้อมูลส่วนบุคคลจึงมีความสำคัญทั้งในทางกฎหมายและเศรษฐกิจ

เชิงอรรถ

[1] พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6.

[2] กรมสรรพากร, ‘สรรพากรชู 9 ระบบ Easy Tax ช่วยผู้ประกอบการลดต้นทุน กระตุ้นการหมุนเวียนเศรษฐกิจ สร้างวิถีภาษีใหม่ให้ยิ่งง่ายและเป็นธรรม’ (กรมสนรรพากร, 24 สิงหาคม 2563) <https://www.rd.go.th/fileadmin/user_upload/news/news52_2563.pdf> สืบค้นเมื่อ 20 มกราคม 2565.

[3] Nicholas Confessore, ‘Cambridge Analytica and Facebook: The Scandal and the Fallout So Far’ (NY Time, 4 April 2018) <https://www.nytimes.com/2018/04/04/us/politics/cambridge-analytica-scandal-fallout.html>; and Carole Cadwalladr and Emma Graham-Harrison accessed 20 January 2022, ‘Revealed: 50 million Facebook profiles harvested for Cambridge Analytica in major data breach’ (The Guardian, 17 Mar 2018) <https://www.theguardian.com/news/2018/mar/17/cambridge-analytica-facebook-influence-us-election> accessed 20 January 2022.

[4] GDPR, Article 83 (5).

สไลด์การนำเสนอแนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลสำหรับหน่วยงานของรัฐ

เขมภัทร ทฤษฎิคุณ

สไลด์ประกอบการนำเสนอแนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลสำหรับหน่วยงานของรัฐ ครั้งที่ 2 โดยการนำเสนอครั้งนี้สถาบันวิจัยเพื่อการพัฒนาประเทศไทยร่วมกับสำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ปฏิบัติหน้าที่แทนสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยเขมภัทร ทฤษฎิคุณ วิชญาดา อำพนกิจวิวัฒน์ และหัตถพงษ์ หิรัญรัตน์ ในวันที่ 25 สิงหาคม 2564 ณ สถาบันวิจัยเพื่อการพัฒนาประเทศไทย