PDPA คืออะไร? เข้าใจกฎหมายคุ้มครองข้อมูลส่วนบุคคลและวิธีปฏิบัติให้ถูกต้อง

ทุกครั้งที่เราสมัครสมาชิกเว็บไซต์ ซื้อสินค้าออนไลน์ กรอกชื่อและเบอร์โทรศัพท์ ใช้อีเมลสมัครบริการ หรือให้ข้อมูลกับแอปพลิเคชัน เรากำลังส่งมอบ “ข้อมูลส่วนบุคคล” ให้กับระบบหรือองค์กรใดองค์กรหนึ่ง

ในโลกดิจิทัล ข้อมูลเหล่านี้สามารถถูกจัดเก็บ คัดลอก วิเคราะห์ ส่งต่อ และประมวลผลได้อย่างรวดเร็ว จึงเป็นที่มาของ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือที่เราคุ้นเคยกันในชื่อ PDPA

บทความนี้จะอธิบาย PDPA ตั้งแต่พื้นฐาน ไปจนถึงแนวทางที่ผู้ใช้อินเทอร์เน็ต เจ้าของเว็บไซต์ และองค์กรสามารถนำไปประยุกต์ใช้ได้จริง

PDPA คืออะไร?

PDPA ย่อมาจาก Personal Data Protection Act หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งเป็นกฎหมายของประเทศไทยที่กำหนดหลักเกณฑ์เกี่ยวกับการเก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคล

แนวคิดสำคัญคือ เจ้าของข้อมูลควรทราบว่า ใครกำลังเก็บข้อมูล เก็บข้อมูลอะไร นำไปใช้เพื่ออะไร และข้อมูลจะถูกส่งต่อให้ใครบ้าง รวมถึงมีสิทธิตามกฎหมายเกี่ยวกับข้อมูลส่วนบุคคลของตน

ทำไมเราจึงต้องมีกฎหมาย PDPA?

เทคโนโลยีทำให้การเก็บและประมวลผลข้อมูลเกิดขึ้นได้ง่ายมาก เว็บไซต์หนึ่งแห่งอาจมีข้อมูลตั้งแต่ชื่อ อีเมล หมายเลขโทรศัพท์ IP Address ไปจนถึงประวัติการใช้งานของผู้ใช้

หากข้อมูลเหล่านี้ถูกนำไปใช้อย่างไม่เหมาะสม อาจนำไปสู่ปัญหา เช่น

ข้อมูลส่วนบุคคลรั่วไหล
การนำข้อมูลไปขายหรือเปิดเผยโดยไม่มีฐานกฎหมายรองรับ
การส่งโฆษณาหรือการตลาดที่ไม่เหมาะสม
การนำข้อมูลไปสร้างบัญชีปลอม
Identity Theft หรือการสวมรอยตัวตน
Phishing และ Social Engineering
การวิเคราะห์พฤติกรรมผู้ใช้เกินกว่าวัตถุประสงค์ที่แจ้งไว้

เหตุผลในการตรากฎหมายฉบับนี้ยังกล่าวถึงปัญหาการล่วงละเมิดสิทธิความเป็นส่วนตัว และความก้าวหน้าทางเทคโนโลยีที่ทำให้การเก็บ ใช้ หรือเปิดเผยข้อมูลสามารถทำได้ง่าย สะดวก และรวดเร็วยิ่งขึ้น

ข้อมูลส่วนบุคคลคืออะไร?

โดยหลักแล้ว ข้อมูลส่วนบุคคลคือข้อมูลเกี่ยวกับบุคคลที่ทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าจะโดยตรงหรือโดยอ้อม ตามขอบเขตที่กฎหมายกำหนด

ตัวอย่างที่พบได้ทั่วไป เช่น

ชื่อและนามสกุล
หมายเลขโทรศัพท์
อีเมล
ที่อยู่
เลขประจำตัวประชาชน
ภาพถ่ายที่สามารถระบุตัวบุคคลได้
ข้อมูลลูกค้าและข้อมูลสมาชิก
ข้อมูลการติดต่อ
ข้อมูลอื่นที่เมื่อประกอบกันแล้วสามารถเชื่อมโยงไปยังบุคคลได้

ข้อมูลส่วนบุคคลที่มีความอ่อนไหวคืออะไร?

PDPA ให้ความสำคัญเป็นพิเศษกับ ข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Personal Data) ซึ่งการประมวลผลอยู่ภายใต้เงื่อนไขที่เข้มงวดกว่าข้อมูลส่วนบุคคลทั่วไป

ตัวอย่างตามกฎหมาย ได้แก่

เชื้อชาติ
เผ่าพันธุ์
ความคิดเห็นทางการเมือง
ความเชื่อทางศาสนาหรือปรัชญา
พฤติกรรมทางเพศ
ประวัติอาชญากรรม
ข้อมูลสุขภาพ
ข้อมูลความพิการ
ข้อมูลสหภาพแรงงาน
ข้อมูลพันธุกรรม
ข้อมูลชีวภาพที่ใช้เพื่อระบุตัวบุคคล

องค์กรที่จำเป็นต้องประมวลผลข้อมูลประเภทนี้ควรตรวจสอบฐานกฎหมาย และมาตรการรักษาความมั่นคงปลอดภัยอย่างรอบคอบเป็นพิเศษ

PDPA ไม่ได้หมายความว่าต้องขอ Consent ทุกครั้ง

หนึ่งในความเข้าใจผิดที่พบบ่อยคือ “เก็บข้อมูลส่วนบุคคลเมื่อใด ต้องขอ Consent ทุกครั้ง” แต่ในทางปฏิบัติ Consent เป็นเพียงหนึ่งในฐานกฎหมายสำหรับการประมวลผลข้อมูล

การประมวลผลข้อมูลอาจอาศัยฐานกฎหมายอื่นได้ตามข้อเท็จจริงและเงื่อนไขของกฎหมาย เช่น การดำเนินการที่จำเป็นเกี่ยวกับสัญญา การปฏิบัติตามกฎหมาย ภารกิจเพื่อประโยชน์สาธารณะ หรือประโยชน์โดยชอบด้วยกฎหมายในกรณีที่เข้าเงื่อนไข

ดังนั้น สิ่งสำคัญไม่ใช่เพียงการสร้างช่องให้ผู้ใช้กด “ยอมรับ” แต่ต้องพิจารณาว่าแต่ละกิจกรรมการประมวลผลใช้ฐานกฎหมายใดอย่างเหมาะสม

Consent ที่ดีควรเป็นอย่างไร?

ในกรณีที่กิจกรรมจำเป็นต้องอาศัยความยินยอม การขอ Consent ควรทำให้ผู้ใช้เข้าใจได้ว่า กำลังยินยอมให้นำข้อมูลไปทำอะไร

แนวทางที่ควรคำนึงถึง ได้แก่

ใช้ภาษาที่อ่านและเข้าใจได้
ระบุวัตถุประสงค์ให้ชัดเจน
ไม่ซ่อนเงื่อนไขสำคัญไว้ในข้อความจำนวนมากจนผู้ใช้เข้าใจได้ยาก
แยกวัตถุประสงค์ที่แตกต่างกันอย่างเหมาะสม
มีช่องทางสำหรับถอนความยินยอมตามเงื่อนไขของกฎหมาย

Privacy Notice มีความสำคัญอย่างไร?

Privacy Notice หรือประกาศความเป็นส่วนตัว เป็นส่วนสำคัญของการแจ้งให้เจ้าของข้อมูลทราบเกี่ยวกับการประมวลผลข้อมูล

โดยทั่วไปควรอธิบายประเด็นสำคัญ เช่น

องค์กรหรือเว็บไซต์เก็บข้อมูลอะไร
เก็บข้อมูลจากช่องทางใด
นำข้อมูลไปใช้เพื่อวัตถุประสงค์อะไร
ใช้ฐานกฎหมายใดในการประมวลผล
ข้อมูลอาจถูกเปิดเผยหรือส่งต่อให้ใคร
จัดเก็บข้อมูลไว้นานเพียงใด
มีมาตรการดูแลข้อมูลอย่างไร
เจ้าของข้อมูลสามารถใช้สิทธิได้อย่างไร
สามารถติดต่อผู้ควบคุมข้อมูลหรือ DPO ได้ทางใด หากเกี่ยวข้อง

เจ้าของข้อมูลมีสิทธิอะไรบ้าง?

PDPA กำหนดสิทธิของเจ้าของข้อมูลส่วนบุคคลไว้หลายด้าน โดยการใช้สิทธิแต่ละประเภทขึ้นอยู่กับเงื่อนไขตามกฎหมาย

สิทธิในการเข้าถึงข้อมูล

เจ้าของข้อมูลสามารถขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของตน ตามหลักเกณฑ์และเงื่อนไขที่กฎหมายกำหนด

สิทธิในการแก้ไขข้อมูล

หากข้อมูลไม่ถูกต้อง ไม่สมบูรณ์ หรือไม่เป็นปัจจุบัน เจ้าของข้อมูลสามารถขอให้มีการแก้ไขข้อมูลได้

สิทธิในการลบข้อมูล

ในบางกรณี เจ้าของข้อมูลสามารถร้องขอให้ลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ หากเข้าเงื่อนไขตามที่กฎหมายกำหนด

สิทธิในการระงับการใช้ข้อมูล

เจ้าของข้อมูลอาจขอให้ระงับการใช้ข้อมูลส่วนบุคคลได้ในบางสถานการณ์ ตามเงื่อนไขของกฎหมาย

สิทธิในการคัดค้าน

เจ้าของข้อมูลสามารถคัดค้านการประมวลผลบางประเภทได้ โดยสิทธิและผลของการคัดค้านขึ้นอยู่กับฐานกฎหมายและวัตถุประสงค์ในการประมวลผล

สิทธิในการโอนข้อมูล

ในกรณีที่เข้าเงื่อนไข เจ้าของข้อมูลอาจมีสิทธิได้รับข้อมูลในรูปแบบ ที่สามารถอ่านหรือใช้งานด้วยวิธีการอัตโนมัติ และสามารถส่งหรือโอนข้อมูลตามที่กฎหมายกำหนด

ใครคือ Data Controller และ Data Processor?

Data Controller

ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) คือบุคคลหรือนิติบุคคลที่มีอำนาจตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

ตัวอย่างเช่น ร้านค้าออนไลน์เก็บชื่อ ที่อยู่ และเบอร์โทรศัพท์ของลูกค้า เพื่อจัดส่งสินค้า ร้านค้านั้นอาจอยู่ในฐานะผู้ควบคุมข้อมูลสำหรับกิจกรรมดังกล่าว

Data Processor

ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) คือบุคคลหรือนิติบุคคลที่ดำเนินการเกี่ยวกับข้อมูลตามคำสั่ง หรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล โดยพิจารณาตามบทบาทและข้อเท็จจริงของกิจกรรมนั้น

เจ้าของเว็บไซต์ควรเตรียมอะไรเกี่ยวกับ PDPA?

เว็บไซต์ที่มี Contact Form, Newsletter, ระบบสมาชิก, Analytics, Advertising หรือระบบร้านค้าออนไลน์ ควรตรวจสอบว่ามีข้อมูลส่วนบุคคลไหลผ่านระบบใดบ้าง

แนวทางพื้นฐานที่ควรตรวจสอบ ได้แก่

จัดทำ Privacy Policy หรือ Privacy Notice ที่เหมาะสมกับบริการ
สำรวจว่าระบบเก็บข้อมูลส่วนบุคคลอะไรบ้าง
ระบุวัตถุประสงค์และฐานกฎหมายของแต่ละกิจกรรม
เก็บเฉพาะข้อมูลที่จำเป็นต่อวัตถุประสงค์
กำหนดระยะเวลาจัดเก็บข้อมูล
กำหนดสิทธิการเข้าถึงข้อมูลภายในองค์กร
ตรวจสอบบริการ Third-party ที่ได้รับข้อมูล
มีช่องทางรับคำขอใช้สิทธิของเจ้าของข้อมูล
เตรียมขั้นตอนรับมือเหตุข้อมูลส่วนบุคคลรั่วไหล
ใช้มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม

Cookies เกี่ยวข้องกับ PDPA อย่างไร?

Cookies เป็นข้อมูลขนาดเล็กที่เว็บไซต์จัดเก็บหรืออ่านผ่าน Browser เพื่อใช้ในวัตถุประสงค์ต่าง ๆ เช่น การรักษาสถานะการเข้าสู่ระบบ การจดจำการตั้งค่า การวิเคราะห์การใช้งาน และการโฆษณา

อย่างไรก็ตาม Cookie แต่ละประเภทไม่ได้มีวัตถุประสงค์เหมือนกัน เจ้าของเว็บไซต์จึงควรตรวจสอบว่า Cookie หรือเทคโนโลยีติดตามแต่ละตัวทำอะไร เกี่ยวข้องกับข้อมูลส่วนบุคคลหรือไม่ ใช้ฐานกฎหมายใด และจำเป็นต้องขอความยินยอมหรือจัดการตัวเลือกของผู้ใช้ในลักษณะใด

PDPA กับ Cybersecurity เกี่ยวข้องกันอย่างไร?

Privacy และ Cybersecurity เป็นคนละเรื่องแต่มีความสัมพันธ์กันอย่างมาก เพราะต่อให้องค์กรมี Privacy Notice ที่ดี หากระบบรักษาความปลอดภัยไม่เหมาะสม ข้อมูลส่วนบุคคลก็อาจรั่วไหลได้

มาตรการพื้นฐานที่ควรพิจารณา เช่น

ใช้ HTTPS
ใช้รหัสผ่านที่แข็งแรงและไม่ใช้ซ้ำ
เปิด Multi-Factor Authentication เมื่อระบบรองรับ
จำกัดสิทธิผู้ใช้งานตามความจำเป็น
อัปเดตระบบและซอฟต์แวร์อย่างสม่ำเสมอ
เข้ารหัสข้อมูลที่เหมาะสมตามความเสี่ยง
สำรองข้อมูลอย่างเป็นระบบ
จัดเก็บ Log ที่จำเป็นต่อการตรวจสอบเหตุการณ์
มี Incident Response Plan
ทบทวนสิทธิของบัญชีที่ไม่ใช้งานแล้ว

ถ้าข้อมูลส่วนบุคคลรั่วไหลควรทำอย่างไร?

เหตุข้อมูลรั่วไหลหรือ Personal Data Breach ไม่ได้หมายถึงเฉพาะกรณี Hacker ขโมยฐานข้อมูลเท่านั้น

เหตุการณ์อื่นก็อาจเป็น Data Breach ได้ เช่น

ส่งอีเมลที่มีข้อมูลลูกค้าไปผิดคน
ตั้งค่า Cloud Storage เป็น Public โดยไม่ตั้งใจ
Notebook หรือโทรศัพท์ที่มีข้อมูลสูญหาย
บัญชีพนักงานถูกขโมย Password
ฐานข้อมูลถูกโจมตี
บุคคลที่ไม่มีสิทธิสามารถเข้าถึงข้อมูลได้

เมื่อเกิดเหตุ องค์กรควรมีขั้นตอนสำหรับควบคุมเหตุการณ์ ตรวจสอบข้อมูลที่ได้รับผลกระทบ ประเมินความเสี่ยง เก็บหลักฐานและบันทึกเหตุการณ์ รวมถึงพิจารณาหน้าที่ในการแจ้งเหตุและแจ้งเจ้าของข้อมูล ตามหลักเกณฑ์และกรอบเวลาที่กฎหมายกำหนด

ตัวอย่าง PDPA ในชีวิตประจำวัน

สมัครสมาชิกเว็บไซต์

เว็บไซต์ขอชื่อ อีเมล และรหัสผ่านเพื่อสร้างบัญชี เว็บไซต์ควรอธิบายว่านำข้อมูลไปใช้เพื่ออะไร และไม่ควรเก็บข้อมูลเพิ่มเติมโดยไม่มีความจำเป็นต่อวัตถุประสงค์

ร้านค้าออนไลน์

ร้านค้าอาจต้องใช้ชื่อ ที่อยู่ และเบอร์โทรศัพท์เพื่อดำเนินการตามคำสั่งซื้อ และจัดส่งสินค้า โดยควรกำหนดการเข้าถึงและระยะเวลาการเก็บข้อมูลอย่างเหมาะสม

สมัคร Newsletter

หากเว็บไซต์ต้องการส่งข่าวสารหรือการตลาดทางอีเมล ควรตรวจสอบฐานกฎหมายและข้อกำหนดที่เกี่ยวข้อง รวมถึงจัดให้มีวิธีจัดการการรับข่าวสารที่เหมาะสม

Checklist สำหรับเจ้าของเว็บไซต์

หากคุณดูแลเว็บไซต์หรือบริการออนไลน์ สามารถเริ่มตรวจสอบ PDPA จากรายการพื้นฐานต่อไปนี้

□ เว็บไซต์เก็บข้อมูลอะไรบ้าง?
□ ข้อมูลแต่ละรายการจำเป็นจริงหรือไม่?
□ มีวัตถุประสงค์ในการเก็บที่ชัดเจนหรือไม่?
□ มีฐานกฎหมายรองรับหรือไม่?
□ Privacy Notice อธิบายการใช้ข้อมูลครบถ้วนหรือไม่?
□ มี Third-party Service ใดได้รับข้อมูลบ้าง?
□ Cookies และ Tracking Technology ถูกตรวจสอบแล้วหรือไม่?
□ ผู้ใช้สามารถติดต่อเพื่อใช้สิทธิได้หรือไม่?
□ มีการจำกัดสิทธิการเข้าถึงข้อมูลหรือไม่?
□ มีแผนรับมือ Data Breach หรือไม่?
□ มีนโยบายลบข้อมูลเมื่อหมดความจำเป็นหรือไม่?

คำถามที่พบบ่อยเกี่ยวกับ PDPA

PDPA ใช้กับเฉพาะบริษัทขนาดใหญ่หรือไม่?

ไม่ควรพิจารณาจากขนาดองค์กรเพียงอย่างเดียว ต้องดูว่าบุคคลหรือองค์กรนั้นมีบทบาทและกิจกรรมเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อยู่ภายใต้กฎหมายหรือไม่ รวมถึงข้อยกเว้นและเงื่อนไขที่เกี่ยวข้อง

มี Privacy Policy แล้วถือว่าปฏิบัติตาม PDPA ครบหรือยัง?

ไม่ครบ เพราะเอกสาร Privacy Notice เป็นเพียงส่วนหนึ่ง องค์กรยังต้องพิจารณากระบวนการภายใน ฐานกฎหมาย การรักษาความปลอดภัย การจัดการคำขอใช้สิทธิ ระยะเวลาจัดเก็บ และการจัดการเหตุข้อมูลรั่วไหลด้วย

ข้อมูลอีเมลถือเป็นข้อมูลส่วนบุคคลหรือไม่?

อีเมลที่สามารถเชื่อมโยงหรือระบุตัวบุคคลธรรมดาได้ สามารถอยู่ในขอบเขตข้อมูลส่วนบุคคลได้ จึงควรพิจารณาการใช้งานและการจัดเก็บอย่างเหมาะสม

PDPA เป็นเรื่องของฝ่าย IT เท่านั้นหรือไม่?

ไม่ใช่ เพราะข้อมูลส่วนบุคคลอาจอยู่ในหลายฝ่าย เช่น HR, Marketing, Customer Service, Sales, Accounting และ IT การปฏิบัติตาม PDPA จึงต้องอาศัยทั้งกระบวนการ คน และเทคโนโลยีร่วมกัน

สรุป

PDPA ไม่ควรถูกมองเพียงว่าเป็นกฎหมายที่บังคับให้เว็บไซต์มี Cookie Banner หรือ Privacy Policy เท่านั้น

แก่นสำคัญคือการทำให้องค์กร รู้ว่ามีข้อมูลอะไรอยู่ในระบบ เก็บมาเพราะอะไร ใครสามารถเข้าถึงได้ ส่งต่อไปที่ใด เก็บไว้นานเท่าใด และจะปกป้องข้อมูลนั้นอย่างไร

สำหรับผู้ใช้อินเทอร์เน็ต การเข้าใจ PDPA ช่วยให้เรารู้จักสิทธิของตนเองมากขึ้น ส่วนเจ้าของเว็บไซต์และองค์กร การออกแบบระบบโดยคำนึงถึง Privacy และ Security ตั้งแต่ต้น จะช่วยลดความเสี่ยงทั้งด้านข้อมูล ความปลอดภัย และการปฏิบัติตามกฎหมาย

หมายเหตุ: บทความนี้จัดทำเพื่อให้ความรู้ทั่วไปเกี่ยวกับ PDPA ไม่ใช่คำปรึกษาทางกฎหมาย การประเมินกรณีเฉพาะควรพิจารณาข้อเท็จจริง กฎหมาย ประกาศ และหลักเกณฑ์ที่มีผลใช้บังคับในขณะนั้น

PDPA คืออะไร? เข้าใจกฎหมายคุ้มครองข้อมูลส่วนบุคคลและวิธีปฏิบัติให้ถูกต้อง