สำหรับ Blog นี้ ทางผู้เขียนขอพูดถึง PDPA เบื้องต้นละกัน คิดว่านาทีนี้จากไม่อยากรู้จัก ก็ต้องมาทำความรู้จักกันไว้บ้างแล้วแหละ !! ต้องขอบอกก่อนเลยว่า ในยุคปัจจุบันที่มีการพัฒนาของเทคโนโลยีแบบก้าวกระโดด การเข้าถึงอุปกรณ์ต่างๆ ที่ง่ายขึ้น รวมไปถึงการเข้าใช้งาน Internet แบบเข้าถึงได้ทุกที่ทุกเวลา ทุกเพศทุกวัย และมีการใช้งานที่กำลังขยายเป็นวงกว้าง ส่งผลให้เกิดโลกออนไลน์ที่มีขนาดใหญ่ และสิ่งต่างๆ เหล่านี้นี่แหละที่เราทุกๆ คน หากต้องการเข้าใช้งาน เราก็จะต้องแลกมาด้วยการใส่ข้อมูลเข้าไป ผลจากสิ่งต่างๆ ที่มีความทันสมัย และสะดวกสบายเหล่านั้น มันก็จะมีผลบางอย่างที่เดินตามหลังเรามาแบบติดๆ ผลกระทบที่เห็นได้ชัดอย่างนึงเลยก็คือเรื่องของ “ข้อมูลส่วนบุคคล“ ที่อาจจะมีผู้ไม่หวังดีสามารถที่จะเลือกใช้ช่องโหว่ของเทคโนโลยีเหล่านั้นมาก่อปัญหา และหลายครั้งก็นำมาซึ่งความเดือดร้อน หรือสร้างความเสียหายให้แก่เจ้าของข้อมูล เราจึงจำเป็นต้องมีกฏหมายขึ้นมา เพื่อกำหนดหลักเกณฑ์ มาตรการ กำกับดูแล และคุ้มครองข้อมูลส่วนบุคคลดังกล่าว นั่นก็คือ “PDPA“ พระเอกของเราในวันนี้นั่นเอง PDPA คืออะไร ? PDPA (Personal Data Protection Act, B.E. 2562(2019)) ก็คือพระราชบัญญัติคุ้มครองส่วนบุคคล พ.ศ.2562 ซึ่งประเทศไทยได้ประกาศในราชกิจจานุเบกษาไปเมื่อ วันที่ 27 พฤษภาคม 2562 และได้มีผลบังคับใช้ไปเมื่อวันที่ 28 พฤษภาคม 2562 ไปแล้วในบางส่วน และเมื่อวันที่ 27 พฤษภาคม 2563 ถือเป็นวันที่ พ.ร.บ. ดังกล่าวมีผลบังคับใช้ตามกฏหมายทั้งฉบับ ข้อมูลส่วนบุคคล คืออะไร? ถ้าว่ากันตาม PDPA ดังกล่าว จะให้ความหมายของคำว่า “ข้อมูลส่วนบุคคล” ไว้ดังนี้ “ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม โดยข้อมูลของผู้ถึงแก่กรรม และข้อมูลนิติบุคคล ไม่ถือเป็นข้อมูลส่วนบุคคลตาม พ.ร.บ.นี้” ตัวอย่างข้อมูลส่วนบุคคล (Personal Data) ชื่อ – นามสกุล, เลขประจำตัวประชาชน, เลขประกันสังคม, เลขประจำตัวผู้เสียภาษี เป็นต้น ที่อยู่, เบอร์โทรศัพท์, วันเกิด, อีเมล, การศึกษา, เพศ, อาชีพ, รูปถ่าย ข้อมูลทางการเงิน ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน (Sensitive Personal Data) เช่น ข้อมูลทางการแพทย์หรือสุขภาพ, เชื้อชาติ, ความคิดเห็นทางการเมือง, ความเชื่อทางศาสนาหรือปรัชญา, พฤติกรรมทางเพศ เป็นต้น PDPA เกี่ยวกับใคร ? เอาจริงๆ ผู้เขียนมองว่าเกี่ยวกับทุกคนนะ และอย่างน้อยๆ เราควรรู้ข้อมูลเหล่านี้ไว้บ้างไม่มากก็น้อย เพื่อไว้ในการช่วยรักษาสิทธิของเราเอง เจ้าของข้อมูลส่วนบุคคล (Data Subject) คือ บุคคลที่ข้อมูลระบุไปถึง ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) คือ บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ “ตัดสินใจ” เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) คือ บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล “ตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล” ทั้งนี้บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าว ต้องไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล หากหน่วยงาน / องค์กรของเราต้องการใช้ข้อมูลเหล่านี้ ต้องทำอย่างไร ? กรณีที่ต้องมีการประมวลผลข้อมูลส่วนบุคคลด้วยการยินยอม ผู้ควบคุมข้อมูล (Data Controller) ต้องดำเนินการขอความยินยอมจากเจ้าของข้อมูลก่อนการประมวลผลข้อมูล ดังนี้ ต้องอธิบายให้ชัดเจนถึงวัตถุประสงค์ในการประมวลผลข้อมูลที่ขอความยินยอม ต้องระบุประเภทของข้อมูลที่นำไปใช้ ต้องมีข้อความที่เข้าถึงได้ง่าย อ่านเข้าใจ และไม่เป็นภาษาในทางกฏหมายจนเกินไป ไม่เป็นการบังคับ ต้องให้สิทธิอิสระแก่เจ้าของข้อมูลในการให้หรือไม่ให้ความยินยอม ห้ามกำหนดการให้ความยินยมเป็นเงื่อนไขในการให้บริการ กรณีเป็นผู้เยาว์อายุไม่ถึง 20 ปี คนไร้ความสามารถ คนเสมือนไร้ความสามารถ การขอความยินยอมต้องได้จากผู้ใช้อำนาจปกครอง ผู้อนุบาล หรือผู้พิทักษ์ด้วย บทลงโทษหากเราไม่ปฏิบัติตาม PDPA เพื่อให้ข้อมูลส่วนบุคคลถูกนำไปใช้ในทางที่เหมาะสม ใช้ในทางที่เป็นประโยชน์ การให้ข้อมูลในแต่ละครั้งจำเป็นจะต้องมีการพิจารณาอย่างรอบคอบและถี่ถ้วน เพราะหากไม่ปฏิบัติตาม พ.ร.บ. ดังกล่าวแล้วนั้นหน่วยงาน องค์กร หรือผู้ควบคุมข้อมูล อาจได้รับโทษ ดังนี้ ความรับผิดทางแพ่ง ตามความเสียหายที่เกิดขึ้นจริง และอาจต้องชดใช้ค่าสินไหมทดแทนเพิ่มขึ้นอีก โดยสูงสุดไม่เกิน 2 เท่าของค่าเสียหายที่แท้จริง โทษทางอาญา จำคุกสูงสุดไม่เกิน 1 ปี หรือปรับไม่เกิน 1 ล้านบาท หรือทั้งจำทั้งปรับ โทษทางปกครอง ปรับสูงสุดไม่เกิน 5 ล้านบาท จริงๆแล้ว รายละเอียดที่เราควรรู้ หรือควรเตรียมพร้อมรับมือเกี่ยวกับ
