PDPA พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ที่นักธุรกิจควรรู้

PDPA (Personal Data Protection Act, B.E.2562) หรือพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ได้ประกาศในราชกิจจานุเบกษาเมื่อวันที่ 27 พฤษภาคม 2562 ภายใต้การกำกับดูแลของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ซึ่งการประกาศใช้พ.ร.บ.นี้ มีเหตุผลมาจากว่า เทคโนโลยีนั้นพัฒนาเพิ่มมากขึ้นทุกวัน ไม่ว่าช่องทางไหนก็สามารถเข้าถึงข้อมูลส่วนบุคคลได้หมด โดยเฉพาะแพลตฟอร์ม Social Media ส่งผลให้เกิดการละเมิดข้อมูลส่วนบุคคล สร้างความเสียหายให้แก่เจ้าของข้อมูลและอาจเสียหายไปถึงองค์กรที่เป็นเจ้าของข้อมูลนั้นได้ด้วย

PDPA พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล คืออะไร

PDPA หรือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล เป็นเรื่องว่าด้วยข้อมูลส่วนบุคคล ซึ่งเป็นข้อมูลส่วนบุคคลทั้งทางตรงก็คือ ชื่อ, นามสกุล, ที่อยู่, เบอร์โทรศัพท์,เลขบัตรประชาชน, วันเกิด และทางอ้อมก็คือข้อมูลที่ระบุถึงตัวบุคคลได้ รวมถึงข้อมูลที่มีความละเอียดอ่อน ทั้งข้อมูลทางการแพทย์หรือข้อมูลที่สามารถติดตามถึงตัวเจ้าของข้อมูลได้ ซึ่งข้อสำคัญของพ.ร.บ.นี้ มีดังนี้

• คุ้มครองข้อมูลส่วนบุคคล ปกป้องข้อมูลส่วนตัว หากมีคนนำข้อมูลส่วนตัวมาใช้ทำร้ายเจ้าของข้อมูล
• บุคคลหรือนิติบุคคลใด ๆ ที่เก็บรวบรวมข้อมูล นำไปใช้หรือเปิดเผยข้อมูล ต้องปฏิบัติตามข้อมูลอย่างเคร่งครัดและรักษาข้อมูลทุกส่วนให้อยู่ในความปลอดภัย
• ก่อนจะเก็บรวบรวมข้อมูลใดก็แล้วแต่ เจ้าของข้อมูลต้องทำการยินยอมก่อน 
• ก่อนขอการยินยอม ต้องระบุให้ชัดเจนและเจาะจงว่าต้องการนำข้อมูลไปใช้ทำอะไร ซึ่งเจ้าของข้อมูลสามารถตัดสินใจได้ว่าจะยินยอมหรือไม่ยินยอม และขอยกเลิกคำยินยอมได้ในภายหลัง
• เจ้าของข้อมูลสามารถแก้ไขข้อมูล ขอสำเนา ลบข้อมูล ได้ด้วยตัวเอง

โดยรวมแล้วก็คือเป็นการคุ้มครองข้อมูลส่วนบุคคลไม่ให้ไปใช้ในทางที่ไม่ถูกต้องหรือนำไปใช้โดยไม่ได้ยินยอม ซึ่งเจ้าของข้อมูลนั้น มีสิทธิอะไรบ้างในข้อมูลส่วนตัวนั้น

เจ้าของข้อมูลส่วนบุคคลมีสิทธิอะไรบ้าง

สิทธิได้รับการแจ้งให้ทราบ
เจ้าของข้อมูลทีสิทธิที่จะได้รับการแจ้งว่าจะนำข้อมูลส่วนตัวเหล่านั้นไปใช้ทำอะไร จุดประสงค์ในการเก็บข้อมูลคืออะไร นำไปใช้หรือนำไปเผยแพร่ช่องทางไหน รวมถึงระยะเวลาในการเก็บข้อมูล ซึ่งจะต้องได้รับการแจ้งให้ทราบก่อนทำการเก็บข้อมูลส่วนตัวของตน และต้องแจ้งรายละเอียดของผู้ควบคุมข้อมูลส่วนบุคคด้วยว่าเป็นใคร สถานที่ติดต่ออยู่ที่ไหนและผลกระทบจากการไม่ให้ข้อมูลส่วนตัวกับผู้ควบคุม

สิทธิขอเข้าถึงข้อมูลส่วนบุคคล
เจ้าของข้อมูลมีสิทธิที่จะขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตนเองจากผู้ควบคุมข้อมูลส่วนบุคคล สามารถขอให้เปิดเผยถึงที่มาของข้อมูลส่วนบุคคล ในกรณีที่ไม่แน่ใจว่าตนเองได้รับความยินยอมหรือไม่ สิทธิในการเข้าถึงข้อมูลนั้นไม่ขัดต่อกฏหมายหรือคำสั่งศาล และการใช้สิทธินั้นจะต้องไม่ละเมิดสิทธิของผู้อื่นด้วย

สิทธิในการขอให้โอนข้อมูลส่วนบุคคล
เจ้าของข้อมูลต้องการนำข้อมูลที่เคยให้กับผู้ควบคุมรายหนึ่ง ไปให้ผู้ควบคุมอีกหนึ่งราย เช่น ผู้ควบคุมข้อมูลส่วนบุคคลรายแรกอาจนำข้อมูลของเราไปใช้ในทิศทางใดทิศทางหนึ่ง เราสามารถขอให้ผู้ควบคุมรายแรกส่งข้อมูลไปให้ผู้ควบคุมข้อมูลรายที่สองได้ 

สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
เจ้าของข้อมูลสามารถคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เมื่อไหร่ก็ได้

สิทธิขอให้ลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคล
หากผู้ควบคุมนำข้อมูลส่วนบุคคลไปเผยแพร่ในพื้นที่สาธารณะ หรือเข้าถึงได้ง่าย เจ้าของข้อมูลมีสิทธิให้ผู้ควบคุมข้อมูลส่วนบุคคลลบหรือทำลายข้อมูลเหล่านั้น พร้อมทั้งทำให้ข้อมูลนั้นไม่สามารถระบุตัวตนได้ ก็ทำได้เช่นกัน โดยผู้ควบคุมข้อมูลส่วนบุคคลต้องเป็นผู้ดำเนินการทั้งหมดทั้งการทำงานและค่าใช้จ่ายที่ต้องเสีย

สิทธิในการเพิกถอนความยินยอม
หากเจ้าของข้อมูลเคยให้ความยินยอมในการเปิดเผยหรือใช้ข้อมูล สามารถยกเลิกคำยินยอมนั้นเมื่อไหร่ก็ได้และการยกเลิกจะต้องไม่ขัดต่อข้อจำกัดสิทธิในการถอนความยินยอมทางกฏหมายหรือสัญญาที่ทำไว้ก่อนหน้านี้

สิทธิขอให้ระงับการใช้ข้อมูล
เจ้าของข้อมูลมีสิทธิที่จะให้ผู้ควบคุมข้อมูลส่วนบุคคลระงับการใช้ข้อมูลส่วนบุคคลนั้น ๆ ไม่ว่าจะในกรณีที่ไม่อยากให้ข้อมูลเหล่านั้นแล้วหรือเปลี่ยนใจไม่ทำลายข้อมูลเมื่อถึงกำหนดเวลาในการทำลาย ก็สามารถทำได้

สิทธิในการขอให้แก้ไขข้อมูลส่วนบุคคล
เจ้าของข้อมูลมีสิทธิที่จะแก้ไขข้อมูลส่วนบุคคลให้มีความถูกต้องและเหมาะสม เป็นปัจจุบันที่สุดและไม่ก่อให้เกิดความเข้าใจผิด โดยต้องแก้ไขด้วยความสุจริตและไม่ขัดต่อกฏหมาย

บทลงโทษของผู้ที่ฝ่าฝืน

การที่ได้ร่าง PDPA หรือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลขึ้นมาก็เพื่อให้การนำข้อมูลส่วนบุคคลไปใช้นั้นไปในทางที่ถูกต้องและไม่ละเมิดต่อข้อมูลส่วนบุคคลของเจ้าของข้อมูล เพราะหากไม่ปฏิบัติตามพ.ร.บ.นี้ จะมีบทลงโทษดังนี้

• ความรับผิดทางแพ่ง คิดตามความเสียหายที่เกิดขึ้นจริง และอาจต้องเสียค่าสินไหมทดแทนเพิ่มขึ้น โทษสูงสุดไม่เกิน 2 เท่าของความเสียหายที่เกิดขึ้นจริง
• โทษทางอาญา จำคุกสูงสุดไม่เกิน 1 ปีหรือปรับไม่เกิน 1 ล้านบาท หรือทั้งจำทั้งปรับ 
• โทษทางปกครอง ปรับสูงสุดไม่เกิน 5 ล้านบาท

ที่มา : [1], [2], [3]

Supattra Ammaranon x Ourgreenfish