กฏหมาย PDPA คืออะไร และสำคัญอย่างไรจึงต้องบังคับใช้

PDPA คืออะไร / PDPA มีอะไรบ้าง / ใครต้องอยู่ภายใต้ PDPA บ้าง / บทลงโทษหากไม่ปฏิบัติตาม PDPA

เมื่อ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล 2565 ที่เรียกว่า PDPA ประกาศใช้เมื่อวันที่ 1 มิถุนายน ที่ผ่านมานั้น ทำให้หลายคนที่อาจยังปรับตัวกันไม่ได้  เผลอทำผิดข้อกฏหมาย พ.ร.บ. ด้วยความเคยชิน แม้ว่าจะผ่านมาแล้วหลายเดือน หลังจากมีการบังคับใช้อย่างเป็นทางการ ดังนั้น วันนี้เราจะมาทบทวนกันหน่อยว่า PDPA มีอะไรบ้าง และ PDPA ต้องทำอะไรบ้าง จะได้รักษาสิทธิ์ของตนเอง และได้ไม่ทำผิดตาม พ.ร.บ.PDPA 

PDPA คืออะไร 

ข้อมูลส่วนบุคคล คือ ข้อมูลที่ใช้ระบุตัวตนของคน ๆ หนึ่งได้ ไม่ว่าจะเป็นทางตรงหรือทางอ้อม ส่วน PDPA ย่อมาจาก Personal Data Protection Act เป็น พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ได้ถูกกำหนดขึ้นมาเพื่อคุ้มครองและรักษาสิทธิ์ส่วนบุคคล ไม่ให้ใครเก็บหรือนำข้อมูลและภาพของเราไปใช้ ส่งต่อ หรือ เปิดเผยแก่ผู้อื่น โดยไม่แจ้งให้เราทราบก่อน ไม่เช่นนั้นจะถือว่าทำผิดกฏหมาย และสามารถแจ้งดำเนินการเอาผิดทางกฏหมายได้เช่นกัน 

PDPA มีอะไรบ้าง 

1. ข้อมูลส่วนบุคคล (Personal Data) มีอะไรบ้าง 

• ชื่อ นามสกุล 
• วันเดือนปีเกิด น้ำหนัก ส่วนสูง สัญชาติ 
• หมายเลยโทรศัพท์ อีเมลส่วนตัว ที่อยู่ปัจจุบัน ทะเบียนบ้าน 
• หมายเลขบัตรประชาชน เลขอนุญาตใบขับขี่ หนังสือเดินทาง 
• ทะเบียนรถ โฉนดที่ดิน 
• ข้อมูลทางการศึกษา ข้อมูลทางการเงิน ข้อมูลด้านสุขภาพและทางการแพทย์ 
• ข้อมูลอื่น ๆ ที่ระบุตัวตนบนอินเทอร์เน็ต เช่น Username , password , GPS location 

ไม่เพียงแต่ข้อมูลส่วนบุคคลทั่วไป แต่ยังมีข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Personal Data) ซึ่งจะต้องมีความระมัดระวังในการใช้มากเป็นพิเศษ เนื่องจากมีความละเอียดอ่อน อาจส่งผลกระทบต่อเจ้าของข้อมูลได้ ไม่ว่าจะในด้านความเป็นอยู่ ด้านการทำงาน หรือสังคม จนอาจนำไปสู่การเลือกปฏิบัติ หรือเกิดปัญหารุนแรงตามมาได้ 

2. ข้อมูลส่วนบุคคลที่มีความอ่อนไหว ได้แก่ 

• เชื้อชาติ เผ่าพันธุ์ 
• ความเชื่อ ศาสนา ลัทธิ หรือ ปรัชญา 
• ความคิดเห็นทางการเมือง 
• เพศสภาพ และ พฤติกรรมทางเพศ 
• ข้อมูลด้านสุขภาพ เช่น โรคประจำตัว การรับวัคซีน ใบรับรองแพทย์ 
• ประวัติอาชญากรรม 
• ข้อมูลแสดงตัวตนทางชีวภาพ เช่น ลายมือ ม่านตา

ใครต้องอยู่ภายใต้ PDPA บ้าง 

1. เจ้าของข้อมูลส่วนบุคคล (Data Subject) 

เจ้าของข้อมูลส่วนบุคคล คือ คนที่ถูกชี้ตัวตนจากข้อมูลชุด ๆ นั้น หรือก็คือ ตัวเราเอง โดยภายใต้กฏหมาย PDPA  เจ้าของข้อมูล หรือตัวเราเอง จะได้รับการปกป้องคุ้มครอง และมีสิทธิต่าง ๆ เหนือข้อมูลส่วนบุคคลของตน

2. ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) 

ผู้ควบคุมข้อมูลส่วนบุคคล คือ บุคคล บริษัทหรือองค์กรต่าง ๆ ที่มีการตัดสินใจจะประมวลผลข้อมูลส่วนบุคคล อะไร อย่างไร เพื่ออะไร ภายใต้ PDPA  ซึ่งผู้ควบคุมข้อมูลส่วนบุคคลจะเป็นผู้ที่มีหน้าที่ และรับผิดชอบต่อการปฏิบัติตาม PDPA ให้ครบถ้วน หรือแม้แต่ในรูปแบบ พ่อค้าแม่ค้าออนไลน์ ที่รับข้อมูลสถานที่การจัดส่งสินค้าของลูกค้า และต้องส่งต่อข้อมูลให้กับขนส่งเพื่อบริการส่งสินค้า ก็ถือว่าเป็น Data Controller หรือในรูปแบบองค์กร เช่น บริษัทที่ต้องใช้ข้อมูลพนักงานเพื่อพิจารณารับเข้าทำงาน หรือเพื่อจ่ายเงินเดือน ตัวบริษัทก็เป็น Data Controller เช่นกัน 

3. ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) 

ผู้ประมวลผลข้อมูลส่วนบุคคล คือ บุคคล บริษัท หรือองค์กรต่าง ๆ ที่ประมวลผลข้อมูลส่วนบุคคล ภายใต้คำสั่ง หรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) เท่านั้น ไม่ได้ตัดสินใจประมวลผลด้วยตนเอง เช่น พนักงาน messenger พนักงานส่งของ พนักงานส่งเอกสาร ที่จะต้องนำของหรือสินค้าไปส่งแทนเรา (Data Controller) หรือกรณีที่บริษัทใช้ระบบ Cloud Service ที่ผู้บริการจะต้องเก็บข้อมูลแทนบริษัท ทั้ง Cloud และ messenger ล้วนเป็น Data Processor ทั้งสิ้น 

บทลงโทษหากไม่ปฏิบัติตาม PDPA 

ถึงแม้ PDPA ประกาศใช้มาได้สักระยะหนึ่งแล้ว แต่ยังมีอีกหลายบุคคลและบริษัทปฏิบัติตามไม่ครบถ้วน เช่น ยังไม่มีการจัดทำ Privacy Policy หรือยังไม่ได้ทำเรื่องขอความยินยอมในการจัดเก็บข้อมูล การประมวลผลข้อมูลส่วนบุคคลกับเจ้าของข้อมูลอย่างถูกต้อง หรืออาจไม่ครบถ้วน ยังไม่มีการแต่งตั้ง DPO เป็นต้น อาจนำไปสู่การทำผิดกฏหมายตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล หรือ PDPA  โดยเฉพาะกรณีการจัดเก็บหรือประมวลผลข้อมูลส่วนบุคคลอ่อนไหว และการจัดเก็บข้อมูลส่วนบุคคล ไม่ว่าจะก่อนหรือหลัง พ.ร.บ.บังคับใช้ ต้องมีการแจ้ง Privacy Policy ไม่เช่นนั้นจะถือทำผิด และเจ้าของข้อมูลที่ถือว่าเป็นผู้เสียหายสามารถร้องเรียน เป็นคดีละเมิดข้อมูลส่วนบุคคลได้ โดยบทลงโทษทำผิด PDPA สามารถแบ่งได้ 3 ประเภท ดังนี้ 

• โทษทางอาญา จำคุกสูงสุดไม่เกิน 6 เดือน – 1 ปี หรือปรับสูงสุดไม่เกิน 500,000 – 1 ล้านบาท หรือทั้งจำทั้งปรับ 
• โทษทางแพ่ง ค่าสินไหมทดแทน + ค่าสินไหมเพื่อการลงโทษไม่เกิน 2 เท่า 
• โทษทางปกครอง ปรับไม่เกิน 1/3/5 ล้านบาท 

สรุป 

จะเห็นได้ว่าบทลงโทษ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ค่อนข้างรุนแรงเลยทีเดียว ดังนั้นทั้งเจ้าของข้อมูลจะต้องศึกษาข้อมูลเพื่อรักษาสิทธิ์ของตน และผู้ที่ทำหน้าที่ประมวลผล ไม่ว่าจะเป็นการจัดเก็บข้อมูล หรืออยู่ในส่วนของการดูแล จัดการเอกสารข้อมูลส่วนบุคคล จะต้องพึงยึดถือปฏิบัติให้ถูกต้องตาม PDPA อย่างเคร่งครัด ไม่เช่นนั้นอาจนำไปสู่ความเสียหายที่คุณอาจคาดไม่ถึง และอย่าเพิ่งด่วนสรุปว่าเป็นข้อกำหนดที่ออกมาให้เกิดแต่โทษ เพราะที่จริงแล้ว PDPA ได้ถูกบัญญัติออกมาเพื่อรักษาสิทธิส่วนบุคคลที่เราทุกคนพึงได้รับอย่างเท่าเทียม