PDPA สำหรับธุรกิจ: ฐานการประมวลผล สิทธิเจ้าของข้อมูล และโทษที่เจ้าของกิจการต้องรู้

ดาวน์โหลดบทความฉบับ PDF

PDPA คืออะไร และใครต้องปฏิบัติตาม?

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือที่รู้จักกันในชื่อ "PDPA" (Personal Data Protection Act) มีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ ๑ มิถุนายน ๒๕๖๕ กฎหมายนี้ใช้บังคับกับ ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) และผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) ทุกราย ไม่ว่าจะเป็นบริษัท ห้างหุ้นส่วน หรือบุคคลธรรมดาที่เก็บรวบรวมหรือใช้ข้อมูลส่วนบุคคลของบุคคลอื่น

กฎหมายให้นิยามสำคัญไว้ในมาตรา ๖ ว่า

"'ข้อมูลส่วนบุคคล' หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ"
— พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๖

ในทางปฏิบัติ "ข้อมูลส่วนบุคคล" ครอบคลุมสิ่งที่ธุรกิจทุกขนาดเก็บอยู่แล้วในชีวิตประจำวัน ไม่ว่าจะเป็นชื่อ-นามสกุล เบอร์โทรศัพท์ อีเมล ที่อยู่ IP address รูปภาพใบหน้า ข้อมูลทางการแพทย์ หรือแม้กระทั่งคุกกี้ที่ติดตามพฤติกรรมบนเว็บไซต์

ข้อมูลส่วนบุคคลอ่อนไหว: ต้องระวังเป็นพิเศษ

กฎหมายแบ่งข้อมูลส่วนบุคคลออกเป็นสองระดับ โดย "ข้อมูลส่วนบุคคลอ่อนไหว" (Sensitive Personal Data) ตามมาตรา ๒๖ ต้องการการคุ้มครองสูงกว่าปกติ และห้ามประมวลผลโดยปราศจากความยินยอมโดยชัดแจ้ง (Explicit Consent) เว้นแต่จะเข้าข้อยกเว้นที่กฎหมายกำหนด ข้อมูลอ่อนไหวได้แก่ เชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิศาสนา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม และข้อมูลชีวภาพ (ลายนิ้วมือ ใบหน้า)

ฐานทางกฎหมาย 7 ประการที่ต้องมีก่อนประมวลผลข้อมูล

หัวใจสำคัญที่สุดของ PDPA คือ การประมวลผลข้อมูลส่วนบุคคลทุกครั้งต้องมี "ฐานทางกฎหมาย" รองรับ ฐานแรกคือความยินยอมตามมาตรา ๑๙ และมาตรา ๒๔ กำหนดฐานที่เก็บรวบรวมได้โดยไม่ต้องขอความยินยอมอีก ๖ ประการ รวมเป็น ๗ ฐาน

"ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้"
— พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๑๙

ฐานทั้ง ๗ ประการ ได้แก่

ข้อผิดพลาดที่พบบ่อยคือธุรกิจอาศัยฐาน "ความยินยอม" เป็นฐานเดียวสำหรับทุกกิจกรรม ทั้งที่ในหลายกรณีฐาน "สัญญา" หรือ "ประโยชน์อันชอบธรรม" อาจเหมาะสมกว่า เพราะฐานความยินยอมมีข้อเสียคือเจ้าของข้อมูลสามารถถอนความยินยอมได้ทุกเมื่อ ซึ่งทำให้ธุรกิจต้องหยุดประมวลผลข้อมูลนั้น

สิทธิ 8 ประการของเจ้าของข้อมูลที่ธุรกิจต้องรองรับ

กฎหมาย PDPA มอบสิทธิให้แก่เจ้าของข้อมูลส่วนบุคคล ๘ ประการ ซึ่งผู้ควบคุมข้อมูลต้องมีระบบรองรับคำขอใช้สิทธิเหล่านี้อย่างเป็นระบบ (สำหรับคำขอเข้าถึงข้อมูล ต้องดำเนินการโดยไม่ชักช้าและไม่เกิน ๓๐ วันนับแต่วันที่ได้รับคำขอ ตามมาตรา ๓๐) ได้แก่ สิทธิรับทราบ (Right to be Informed), สิทธิขอเข้าถึงข้อมูล (Right of Access), สิทธิขอแก้ไขข้อมูล (Right to Rectification), สิทธิขอลบข้อมูล (Right to Erasure), สิทธิขอระงับการใช้ข้อมูล (Right to Restriction), สิทธิขอรับข้อมูลในรูปแบบอิเล็กทรอนิกส์ (Right to Data Portability), สิทธิคัดค้านการประมวลผล (Right to Object) และสิทธิถอนความยินยอม (Right to Withdraw Consent)

บทบาท DPO: ต้องแต่งตั้งหรือไม่?

กฎหมายกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลบางประเภทต้องแต่งตั้ง "เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล" หรือ DPO (Data Protection Officer) ตามมาตรา ๔๑ ซึ่งได้แก่ หน่วยงานรัฐ ผู้ควบคุมข้อมูลที่ต้องเฝ้าระวังเจ้าของข้อมูลในวงกว้างเป็นประจำ หรือผู้ที่ประมวลผลข้อมูลอ่อนไหวเป็นกิจกรรมหลัก สำหรับธุรกิจขนาดกลาง-เล็กทั่วไปที่ไม่ได้อยู่ในข่ายดังกล่าว การแต่งตั้ง DPO ไม่ใช่ข้อบังคับ แต่การมีผู้รับผิดชอบด้าน PDPA ภายในองค์กรยังคงเป็นแนวปฏิบัติที่ดี

โทษทางปกครองและโทษอาญา

กฎหมาย PDPA กำหนดโทษไว้สองระดับ ซึ่งมีผลกระทบร้ายแรงต่อธุรกิจที่ฝ่าฝืน

"ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา ๒๖ วรรคหนึ่งหรือวรรคสาม หรือฝ่าฝืนมาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง หรือมาตรา ๒๘ อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา ๒๖ หรือส่งหรือโอนข้อมูลส่วนบุคคลตามมาตรา ๒๖ โดยไม่เป็นไปตามมาตรา ๒๙ วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินห้าล้านบาท"
— พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๘๔

ขั้นตอนที่ธุรกิจต้องทำเพื่อให้สอดคล้องกับ PDPA

ธุรกิจที่ต้องการให้การดำเนินงานสอดคล้องกับ PDPA ควรเริ่มต้นด้วยการทำ Data Mapping หรือสำรวจว่าองค์กรเก็บข้อมูลส่วนบุคคลอะไรบ้าง จากแหล่งใด ใช้เพื่อวัตถุประสงค์ใด และเก็บรักษาไว้นานเพียงใด จากนั้นจัดทำ Privacy Notice หรือนโยบายความเป็นส่วนตัวที่ครอบคลุม พร้อมสร้างกระบวนการรับคำขอใช้สิทธิจากเจ้าของข้อมูล และฝึกอบรมพนักงานให้เข้าใจหน้าที่ตามกฎหมาย

ทำไมธุรกิจถึงต้องการที่ปรึกษา PDPA?

ความซับซ้อนของ PDPA ไม่ได้อยู่ที่ตัวกฎหมายเพียงอย่างเดียว แต่อยู่ที่การนำหลักการไปปรับใช้กับกิจกรรมทางธุรกิจจริง ซึ่งมีความหลากหลายและเปลี่ยนแปลงตลอดเวลา เอกสยาม ชัยศร ที่ปรึกษากฎหมายซึ่งมีขอบเขตงานครอบคลุมกฎหมายเทคโนโลยีและการคุ้มครองข้อมูลส่วนบุคคล ให้คำปรึกษาโดยพิจารณาทั้งตัวบทและกิจกรรมทางธุรกิจของแต่ละองค์กรไปพร้อมกัน และช่วยจัดทำ Privacy Policy, Consent Form, Data Processing Agreement และ Record of Processing Activities (RoPA) ที่ใช้งานได้จริงและสอดคล้องกับกฎหมาย