PDPA มีผลบังคับใช้กับองค์กร หรือ เว็บไซต์อย่างไร ? และต้องรับมือกับ PDPA อย่างไร ?

PDPA มีผลบังคับใช้กับองค์กร หรือ เว็บไซต์อย่างไร ?
และต้องรับมือกับ PDPA อย่างไร ?

เว็บไซต์ และองค์กร จะต้องปรับตัวอย่างไรเมื่อข้อมูลส่วนบุคคล มีกฎหมายคุ้มครอง และต้องบริหารจัดการอย่างระมัดระวัง เพราะไม่เช่นนั้นอาจมีสิทธิ์ต้องติดคุก หรือถูกปรับเงินหลายล้านบาท 

ในประเทศไทย พระราชบัญญัติ (พ.ร.บ.) คุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Act หรือ PDPA) พ.ศ. 2562 (ค.ศ. 2019) ได้ถูกอิงตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป หรือที่เรียกว่า General Data Protection Regulation (GDPR) และจะมีผลบังคับใช้ในประเทศไทยตั้งแต่วันที่ 1 มิ.ย. 2565 (ค.ศ. 2022)

อย่างไรก็ตามกฎหมายนี้ จะเข้ามามีบทบาทกับคนไทยอย่างแน่นอนโดย เฉพาะองค์กรต่างๆ ทั้งภาครัฐ (บุคคล หรือนิติบุคลคล) และภาคเอกชน ไม่ว่าจะจัดตั้งหรือประกอบธุรกิจอยู่ในประเทศไหน หากมีการครอบครองข้อมูลส่วนบุคคลของประชาชนไทยเอาไว้ ต้องปฏิบัติตามข้อกฎหมาย ไม่มีใครสามารถฝ่าฝืน ส่งต่อ, เผยแพร่ หรือเก็บไว้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเสียก่อน ซึ่งคำว่า เจ้าของข้อมูลส่วนบุคคล ก็หมายถึงประชาชนทั่วไปอย่างเรานั่นเอง

ข้อมูลส่วนบุคคล (Personal Data) คืออะไร ?

ภาพจาก สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ใน พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ของประเทศไทยมีการระบุว่าข้อมูลเหล่านั้น เป็นข้อมูลที่เกี่ยวกับบุคลล ซึ่งสามารถใช้ระบุตัวบุคคลนั้นได้ ไม่ว่าจะเป็นทางตรงหรือทางอ้อม ซึ่งประกอบด้วย

• รูปถ่าย
• เสียงบันทึก
• ชื่อ (หรือแม้แต่ชื่อในโซเชียล อย่างเช่น Facebook หรือ Instagram ฯลฯ)
• ที่อยู่
• เพศ
• ส่วนสูง
• เลขที่บัตรประชาชน
• เชื้อชาติ
• ทะเบียนรถ
• อายุ
• ศาสนา หรือปรัชญา
• ประวัติการรักษาพยาบาล
• ประวัติการทำงาน
• ประวัติอาชญากรรม
• ข้อมูลพันธุกรรม
• ภาพจากกล้องวงจรปิด ที่เปิดเผยให้เห็นตัวคนนั้น

จากทั้งหมดที่กล่าวมา หรือที่มีลักษณะเข้าข่ายตามหลักเกณฑ์ล้วนย่อมหมายถึงข้อมูลส่วนบุคคลทั้งสิ้น ดังนั้นองค์กรและเว็บไซต์ที่มั่นใจว่าตัวเองมีข้อมูลเหล่านี้ของลูกค้าเก็บบันทึกเอาไว้ คุณต้องทำให้แน่ใจว่า คุณจะเก็บไว้อย่างปลอดภัย และได้รับความยินยอมจากเจ้าของข้อมูลไปแล้ว

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล มีผลบังคับใช้ อย่างไร และกับใคร?

 
ภาพจาก https://www.netcube.co.th/th/pdpa/

การบังคับใช้ สำหรับเว็บไซต์ และองค์กร โดยเฉพาะอย่างยิ่งเว็บไซต์ที่เก็บข้อมูลสมาชิก เว็บไซต์อีคอมเมิร์ซ ซื้อขายสินค้าต่างๆ อย่าง สินค้าไอที สินค้าอุปกรณ์บริโภค และอื่นๆ นอกจากจะต้องเตรียมตัวกับผลกระทบที่จะตามมาแล้ว ก่อนอื่นอยากให้สำรวจตัวเองก่อนว่าคุณเข้าข่ายถูกบังคับใช้ หรือไม่ซึ่งถ้าตรงตามลักษณะที่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ได้กล่าวเอาไว้ดังต่อไปนี้ คิดไปได้เลยว่าใช่แน่นอน 

1. องค์กรมีการเก็บรวบรวมประวัติของลูกค้าไว้ ไม่ว่าจะเป็นชื่อ ที่อยู่ เบอร์โทรศัพท์ติดต่อ หรืออื่นๆ ซึ่งเราพบเห็นได้ทั่วไป ไม่ว่าจะเป็นองค์กรเล็ก หรือองค์ใหญ่ เช่น เว็บไซต์ที่มีระบบสมาชิก หรือค่ายมือถือที่มีฐานข้อมูลลูกค้า ซึ่งมีสิทธิในการตัดสินใจ เกี่ยวกับการรวบรวม ใช้ หรือเปิดเผย โดย พ.ร.บ.นี้เรียกว่า ผู้ควบคุมข้อมูลส่วนบุคคล
2. หากองค์กรมีธุรกิจในต่างประเทศ แต่มีการเสนอสินค้าหรือบริการให้แก่ลูกค้าที่อยู่ในประเทศไทย ซึ่งมีการเฝ้าติดตามข้อมูลส่วนบุคคลของลูกค้า เช่น เก็บประวัติเพื่อทำการตลาด เป็นต้น ซึ่งองค์กรเหล่านี้ก็จะเข้าข่ายถูกเรียกว่าเป็น ผู้ควบคุมข้อมูลส่วนบุคคล เช่นกัน
3. บุคคล หรือนิติบุคคล ในองค์กร หรือ ภายนอกองค์กรที่ได้รับการว่าจ้างให้นำข้อมูลส่วนบุคคลไปประมวลผล โดยทำตามคำสั่งในนามของผู้ควบคุมข้อมูลส่วนบุคคล เช่น ผู้วิเคราะห์ข้อมูลแล้วทำการตลาดให้องค์กร ซึ่ง พ.ร.บ.นี้เรียกว่า ผู้ประมวลผลข้อมูลส่วนบุคคล

เว็บไซต์ หรือองค์กรสามารถ เก็บรวบรวมข้อมูลส่วนบุคคล นำไปใช้ หรือเปิดเผย ได้อย่างไร ?

จากผลของการบังคับใช้กฎหมาย ผู้พัฒนาเว็บไซต์ แอปพลิเคชัน และองค์กรต่างๆ จะไม่มีสิทธิ์เก็บข้อมูลส่วนบุคคลของผู้อื่น หรือ ส่งต่อ และใช้เผยแพร่ได้ เว้นแต่จะ ได้รับความยินยอมจากเจ้าของข้อมูล เสียก่อน ซึ่งในการขอความยินยอมจากเจ้าของข้อมูลต้องปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลดังต่อไปนี้ 

ภาพจาก https://www.netcube.co.th/th/pdpa/

1. หากจะเก็บข้อมูล ต้องแจ้งสิทธิ์ และวัตถุประสงค์อย่างชัดเจนให้เจ้าของทราบก่อนเสมอ ซึ่งองค์กรต้องจัดทำเป็นลายลักษณ์อักษร โดยสามารถให้
   • เจ้าของข้อมูลทำได้บนกระดาษเอกสาร หรือบนออนไลน์ก็ได้
   • ต้องเข้าใจง่าย ไม่มีการหลอกลวงด้วยภาษา ให้เข้าใจวัตถุประสงค์ผิดไป
   • แยกวัตถุประสงค์ให้ชัดเจน เช่น ต้องการนำไปใช้ทำอะไร หรือจะขออนุญาตเปิดเผยข้อมูลเพราะอะไร โดยวัตถุประสงค์แต่ละวาระต้องไม่ปะปนกัน
   • การเก็บรวบรวมข้อมูลส่วนบุคคลต้องเก็บเท่าที่จำเป็นภายใต้วัตถุประสงค์นั้น
   • เมื่อแจ้งวัตถุประสงค์การใช้ข้อมูลไปแล้ว ต้องทำตามวัตถุประสงค์ที่แจ้งเอาไว้เท่านั้น
   • การจะทำตามวัตถุประสงค์ใหม่นอกเหนือจากที่ได้รับความยินยอมไปแล้ว ต้องให้เจ้าของข้อมูลยินยอมอีกรอบทุกครั้ง
   • ถ้าเป็นเว็บไซต์ ระบบสมาชิกควรมีข้อกำหนดไว้เป็นลายลักษณ์อักษรระบุบนเว็บก่อนเจ้าของข้อมูลจะทำการกรอกอะไรลงไปเพื่อสมัคร
2. การเก็บข้อมูลบันทึกไว้ต้องคำนึงถึงอิสระของเจ้าของข้อมูลส่วนบุคคลเสมอ เช่น
   • การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลต้องไม่มีเงื่อนไข ลดทอนประโยชน์ต่างๆ เว้นแต่จะแจ้งถึงผลกระทบที่เป็นไปได้จากการที่ไม่ให้ข้อมูล
   • เจ้าของข้อมูลส่วนบุคคลสามารถ ร้องขอการลบหรือถอนความยินยอมจากองค์กรได้ทุกเมื่อ และต้องทำได้โดยง่าย
   • ในการถอนความยินยอมต้องไม่ส่งผลกระทบต่อประโยชน์ที่เจ้าของข้อมูลได้รับ
3. กรณี ถ่ายโอนข้อมูลไปยังต่างประเทศ ผู้ควบคุมข้อมูลต้องมีมาตรฐานการคุ้มครองที่เพียงพอ เว้นแต่จะเป็นไปตามกฎหมาย และได้รับการยินยอมแล้ว ซึ่งต้องมีการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงมาตรฐานที่ไม่ปลอดภัยอีกด้วย
4. ข้อมูลที่เก็บบันทึกไว้ ต้องให้สิทธิในการแก้ไข หรือตรวจสอบได้ตลอดเวลา โดยเจ้าของต้องสามารถเข้าถึงได้โดยง่าย ซึ่งอาจจัดทำเป็นบันทึกหนังสือ หรือเก็บบันทึกบนออนไลน์ก็ได้
5. ข้อมูลที่จัดเก็บต้องเป็นข้อมูลปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดตวามเข้าใจผิด
6. หากปฏิบัติไม่ได้ดังนี้ อาจนำพาองค์กรของคุณไปสู่ โซน ที่เข้าข่ายกระทำความผิด พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล อย่างแน่นอน

ข้อยกเว้น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยชอบด้วยโดยกฎหมาย  

1. หากเป็นการเก็บรวบรวมข้อมูลส่วนบุคคล เพื่อใช้ประโยชน์ส่วนตัว หรือเพื่อกิจกรรมในครอบครัว
2. หากการเก็บรวบรวมข้อมูลส่วนบุคคล เป็นการเก็บเพื่อประโยชน์ต่อสาธารณะ หรือเกี่ยวกับการศึกษาวิจัย สถิติ ที่จัดทำเพื่อ คุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล
3. หากการเก็บรวบรวมข้อมูลส่วนบุคคล เป็นการเก็บเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกายของเจ้าของ เช่น แพทย์ หรือพยาบาล สอบถามข้อมูลคนไข้
4. การเก็บรวบรวมข้อมูลส่วนบุคคล นั้นมีความจำเป็นเพื่อการปฏิบัติตามสัญญา ระหว่างเจ้าของข้อมูล และผู้ควบคุมข้อมูล
5. การเก็บข้อมูล ได้รับมอบหมายจากอำนาจรัฐ ให้นำมาปฏิบัติเพื่อประโยชน์สาธารณะ
6. เป็นการเก็บข้อมูลเพื่อประโยชน์ของผู้ควบคุมและเสรีภาพพื้นฐานของเจ้าของข้อมูล โดยชอบด้วยกฎหมาย

เว็บไซต์ หรือผู้ประกอบการต้องเตรียมตัวกับ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล อย่างไร ?

ภาพจาก https://www.netcube.co.th/th/pdpa/

สิ่งที่เว็บไซต์ และผู้ประกอบการต้องกระทำ อย่างแรกคือ กำหนดบทบาทหน้าที่ แต่งตั้งผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล หรือถ้ามีการเก็บข้อมูลไว้มาก ต้องจัดตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคล และคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ซึ่งอาจเป็น คนในองค์กร หรือเป็นผู้ประสานงานจากภายนอกองค์กรก็ได้

ต่อมาให้วางนโยบายมาตรการรักษาความปลอดภัยที่เหมาะสม ตามแต่วัฒนธรรมองค์กร หรือรูปแบบเว็บไซต์ ซึ่งขั้นตอนที่ต้องทำมีดังต่อไปนี้

1. ปรับการทำงานของคนในองค์กร ให้สอดคล้องกับนโยบาย ซึ่งทุกคนต้องปฏิบัติตาม ไม่ว่าจะเป็นผู้บริหารระดับบน ไปจนถึงพนักงานระดับล่าง 
2. องค์กรที่เป็นเว็บไซต์ ควรปรับเนื้อหาให้ตรงตามที่กฎหมายกำหนดไว้ โดยเฉพาะระบบสมาชิก ต้องมีจุดประสงค์ของการกรอกประวัติส่วนตัวที่ชัดเจน และไม่ทำเกินนอกเหนือจากเงื่อนไข
3. แผนกที่ทำงานติดต่อลูกค้า เช่น ฝ่ายขาย หรือฝ่ายการตลาด ถ้ามีการเก็บข้อมูลลูกค้า ต้องขอความยินยอมจากเจ้าของข้อมูลทุกครั้ง
4. ประเมินความเสี่ยงของข้อมูลที่เก็บบันทึกไว้ ซึ่งอาจแบ่งได้เป็น
   • ความเสี่ยงระดับบุคคล เช่น อาจถูกสวมรอย ถูกเลือกปฏิบัติ หรือถูกแบล็คเมล์ 
   • ความเสี่ยงระดับองค์กร เช่น สูญเสียความน่าเชื่อถือ ความเสียหายทางการเงิน และผิดกฎหมาย 
5. ใช้เทคโนโลยีช่วยติดตามตรวจสอบการปฏิบัติงาน 
6. เตรียมแนวทางการเยียวยา พร้อมมาตรการแจ้งเหตุ หากเกิดการรั่วไหลของข้อมูล ให้แจ้งแก่หน่วยงานที่ควบคุมดูแลภายใน 72 ชั่วโมง 
7. กรณีเป็นผู้ประมวลผลข้อมูลส่วนบุคคลขององค์กร ต้องปฏิบัติตามคำสั่งที่ได้รับจาก ผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งจะขัดต่อกฎหมาย
8. กรณีเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ต้องจัดทำ และเก็บรักษาบันทึกรายงานของกิจกรรม การประมวลผลเอาไว้ด้วย

บทลงโทษของผู้ประกอบการที่ฝ่าฝืน พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล

ภาพจาก สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

มาดูกันที่บทลงโทษ กันบ้าง โดยจุดประสงค์หลักของกฎหมายนี้ ก็เพื่อไม่ให้เกิดการละเมิดสิทธิความเป็นส่วนตัว หรือเยียวยาเจ้าของข้อมูลในกรณีที่ถูกละเมิดนั่นเอง แน่นอนว่าหากองค์กรใดมีการกระทำที่เข้าข่ายฝ่าฝืนกฎหมาย ตามที่กล่าวมาข้างต้น องค์กรนั้นมีสิทธิ์ต้องโทษตามความผิด พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ซึ่งระบุบทลงโทษเอาไว้ดังต่อไปนี้ว่า

1. หากมีการฝ่าฝืนกฎหมาย กระทำ และสั่งการ หรือละเว้น จะต้องโทษทางอาญา จำคุกสูงสุดไม่เกิน 1 ปี ปรับไม่เกิน 1 ล้านบาท หรือทั้งจำทั้งปรับ 
2. หากในกรณีใด มีความเสียหายเกิดขึ้นจริง จะเข้าข่ายความผิดทางแพ่ง และอาจจะต้องชดใช้ค่าสินไหมทดแทน เพิ่มขึ้นสูงสุดไม่เกิน 2 เท่า ของค่าเสียหายที่แท้จริง
3. มีโทษทางปกครอง โทษปรับสูงสุดไม่เกิน 5 ล้านบาท

ความแตกต่างระหว่างกฎหมายในไทย และต่างประเทศ

ภาพจาก สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ปัจจุบันมีการใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลในหลายประเทศ ซึ่งในอาเซียน ได้แก่ อินโดนีเซีย มาเลเซีย ฟิลิปปินส์ เวียดนาม และประเทศไทย ส่วนในฝั่งสหรัฐอเมริกาก็มีการใช้กฎหมายนี้เช่นกัน เห็นได้จากเหตุการณ์ที่ Google ถูกปรับเงินเป็นจำนวน 300 ล้านเหรียญ กรณีที่มีการประมวลผลข้อมูลของเยาวชนเพื่อขายโฆษณา โดยไม่ได้รับความยินยอมจากผู้ปกครอง

ทางฝั่งยุโรปที่ใช้กฎหมาย General Data Protection Regulation (GDPR) ของ EU เหตุผลในเรื่องของบทลงโทษ ก็ไม่แตกต่างกับไทยเท่าไหร่ ซึ่งมูลค่าโทษปรับสูงสุดคือ 4 % ของรายได้รวมทั่วโลก ตัวอย่างที่เราเห็น คือ กรณีการรั่วไหลข้อมูลลูกค้าในปี พ.ศ. 2561 (ค.ศ. 2018) ของสายการบิน British Airways (บริติช แอร์เวย์ส) ซึ่งมีกระทบข้อมูลส่วนตัวของลูกค้ากว่า 500,000 ราย ทำให้สายการบินต้องจ่ายค่าปรับถึง 230 ล้านเหรียญ (7,000 ล้านบาท)  

ถ้ามองเปรียบเทียบกับโทษของไทยแล้วก็ดูไม่ต่างกันมาก ถึงแม้โทษปรับสูงสุดของไทย จะแค่เป็นโทษทางปกครองไม่เกิน 5 ล้านบาท ซึ่งอาจดูผิวเผิน แต่ถ้าผู้ถูกละเมิดมีหลายคน องค์กรจะต้องเสียค่าสินไหมทดแทนแก่ผู้เสียหายแต่ละรายด้วย ดังนั้นหากมีการกระทำผิด โอกาสที่องค์กรต้องสูญเงินก้อนใหญ่ก็มีความเป็นไปได้สูง แถมกฎหมายฉบับนี้ของไทยยังร้ายแรงกว่า เนื่องจากมีการวางโทษจำคุกเอาไว้ด้วยสูงสุด 1 ปีถ้าไม่ทำตามข้อบังคับ 

ภาพจากเว็บ https://mobidev.biz/blog/gdpr-compliant-software-development-guide

แต่ข่าวดีสำหรับผู้บริหารองค์กร หรือเว็บไซต์ ต่างๆ ณ ตอนนี้ คือทุกฝ่ายจะมีเวลาเตรียมตัวเพิ่มมากขึ้น เพราะเดิมกฎหมายนี้มีผลบังคับใช้ในวันที่ 27 พฤษภาคม 2563 ตามที่กล่าวไว้ข้างต้น แต่เนื่องด้วยสถานการณ์ต่างๆ ในบ้านเมืองยังไม่เข้ารูปเข้ารอย ทั้งเหตุการณ์โควิด-19 รวมถึงความพร้อมต่างๆ ทำให้คณะรัฐมนตรี (ครม.) เล็งเห็นว่าต้องมีการเลื่อนผลบังคับใช้ไปอีก 1 ปี (ในบางหมวด) เพื่อให้ทั้งภาครัฐ ภาคเอกชน และประชาชน มีความพร้อมในการศึกษาว่าแบบไหนถึงจะผิด แล้วแบบไหนถึงจะไม่ละเมิด ดังนั้นจึงคิดว่าบทความนี้ คงช่วยองค์กรของท่านทำความเข้าใจได้อยู่บ้าง