วันที่ 28 พฤษภาคม 2562 เป็นวันที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Act B.E. 2562 (2019) หรือ PDPA) มีผลบังคับใช้หลังการประกาศในราชกิจจานุเบกษาในวันที่ 27 พฤษภาคม 2562 ท่ามกลางเสียงวิพากษ์วิจารณ์ว่าเนื้อหาสาระของกฎหมายฉบับนี้ไม่ได้คุ้มครองการใช้ข้อมูลส่วนบุคคลอย่างแท้จริง ซึ่งแตกต่างจากชื่อของกฎหมายอย่างสิ้นเชิง

อะไรคือ กฎหมายคุ้มครองข้อมูลส่วนบุคคล และทำไมต้องมีกฎหมายฉบับนี้!

ย้อนกลับไปเมื่อ 20 ปีที่ผ่านมา ที่เริ่มนำเทคโนโลยีเข้ามาใช้ทำงานในรูปแบบของ Information Technology คอมพิวเตอร์เข้ามามีบทบาทในการทำงานของผู้คนในสังคม และมีบทบาทในการจัดเก็บข้อมูลส่วนบุคคลมากขึ้น ทำให้มีการพูดถึงการคุ้มครองการใช้ข้อมูลส่วนบุคคลเพื่อคุ้มครองการใช้ข้อมูลส่วนบุคคลในธุรกรรมต่าง ๆ ที่เจ้าของข้อมูลไม่ต้องการให้ผู้อื่นนำไปใช้

จากวันนั้นถึงวันนี้ผ่านมา 23 ปี กฎหมายฉบับนี้คลอดออกมา และจะมีผลบังคับใช้อย่างเต็มรูปแบบในปี 2563

สาระสำคัญของกฎหมายฉบับนี้คือ การให้ความคุ้มครองข้อมูลข่าวสารส่วนบุคคล เช่น การศึกษา ฐานะการเงิน ประวัติสุขภาพ ประวัติอาชญากรรม ประวัติการทำงาน และข้อมูลส่วนบุคคล เช่น ลายพิมพ์นิ้วมือ แผ่นบันทึกลักษณะเสียง เลขบัตรประชาชน หรือเลขหมายเอกสารส่วนตัวอื่น ๆ โดยห้ามไม่ให้ผู้อื่นนำข้อมูลดังกล่าวไปใช้เพื่อประโยชน์ในด้านใดด้านหนึ่งที่เจ้าของข้อมูลไม่ยินยอมให้นำไปใช้ประโยชน์

เนื่องจากปัจจุบันเราต้องติดต่อกับหน่วยงานและองค์กรต่าง ๆ ทั้งภาครัฐและเอกชน โดยใช้ข้อมูลส่วนตัวในการติดต่อเพื่อทำธุรกรรมต่าง ๆ เช่น การเปิดบัญชีเงินฝากกับสถาบันการเงิน เราต้องให้ข้อมูลส่วนตัวทั้งสำเนาบัตรประชาชน ที่อยู่ เบอร์โทรศัพท์เพื่อการติดต่อ ข้อมูลที่เราให้เหล่านี้คือใช้เพื่อการเปิดบัญชีเงินฝากกับธนาคารและเราอนุญาตให้ใช้เพื่อเปิดบัญชีกับธนาคารเท่านั้น แต่สิ่งที่เราต้องเผชิญในปัจจุบันคือ ข้อมูลดังกล่าวถูกนำไปใช้ในเชิงพาณิชย์ โดยขายข้อมูลต่าง ๆ ของเราให้หน่วยงานหรือองค์กรอื่น ๆ เพื่อไปใช้ประโยชน์ในด้านอื่น ๆ เช่น เรามักจะได้รับโทรศัพท์ติดต่อเพื่อเสนอขายสินค้าต่าง ๆ ทางโทรศัพท์ ทั้ง ๆ ที่เราไม่เคยติดต่อกับองค์กรดังกล่าวเลย ซึ่งถือเป็นการละเมิดสิทธิส่วนบุคคลของเรา

กฎหมายคุ้มครองข้อมูลส่วนบุคคล จะเข้ามาแก้ไขปัญหานี้ โดยระบุให้องค์กรหรือหน่วยงานที่เกี่ยวข้องที่เก็บข้อมูลส่วนบุคคลของประชาชนไม่ว่าจะเป็นบริษัทเอกชน หรือหน่วยงานภาครัฐ ต้องไม่นำเอาข้อมูลส่วนตัวของเราไปใช้ในกิจกรรมอื่น ๆ ที่เราไม่ยินยอม

องค์ประกอบของกฎหมายได้กำหนดให้ ผู้เก็บข้อมูล ไม่ว่าจะเป็นหน่วยงานของรัฐ หรือผู้ประกอบการเอกชนที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก หรือผู้ประกอบการที่มีกิจกรรมหลัก คือ การเก็บข้อมูล การใช้ข้อมูล หรือการเปิดเผยข้อมูล ต้องจัดให้มี “เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” เป็นของตัวเอง ซึ่งอาจเป็นพนักงานของผู้ประกอบการนั้น ๆ หรือเป็นผู้รับจ้างให้บริการ (Outsource) มีหน้าที่ในการจัดเก็บและคุ้มครองข้อมูลส่วนบุคคลไม่ให้รั่วไหลไปยังบุคคลภายนอก เพื่อนำไปใช้ในกิจกรรมที่เจ้าของข้อมูลไม่ได้ให้การยินยอมนำไปใช้

เนื้อหาและวัตถุประสงค์ของกฎหมายอ่านแล้วน่าจะดีสำหรับประชาชน เพราะเป้าหมายคือการคุ้มครองข้อมูลส่วนบุคคล ซึ่งเราไม่เคยได้รับการคุ้มครองมาก่อน แต่เมื่อเข้าไปดูไส้ในของกฎหมายโดยเฉพาะมาตรา 4 ของกฎหมายฉบับนี้ที่มีข้อยกเว้นไม่ให้กฎหมายฉบับนี้มีผลบังคับใช้กับกิจการ 6 ประเภทคือ

การเก็บข้อมูล การใช้ข้อมูล และการเปิดเผยข้อมูล เพื่อประโยชน์ของตัวเองหรือกิจกรรมในครอบครัว, การดำเนินงานของหน่วยงานของรัฐที่มีหน้าที่รักษาความมั่นคงของรัฐ ซึ่งรวมถึง ความมั่นคงทางการคลังของรัฐ หรือการรักษาความปลอดภัยของประชาชน รวมทั้งหน้าที่เกี่ยวกับ การป้องกันและปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ หรือการรักษาความมั่นคงปลอดภัยไซเบอร์, การเปิดเผยข้อมูลส่วนบุคคลเพื่อกิจการสื่อมวลชน ศิลปกรรม หรือวรรณกรรม ตามจริยธรรมของวิชาชีพหรือเป็นประโยชน์สาธารณะ, การทำงานของสภาผู้แทนราษฎร วุฒิสภา และรัฐสภา ในการพิจารณาตามอำนาจหน้าที่, การพิจารณาคดีของศาล และเจ้าหน้าที่ในกระบวนการยุติธรรม,และ การดำเนินการกับข้อมูลของบริษัทข้อมูลเครดิตและสมาชิก

ข้อยกเว้นดังกล่าวทำให้เกิดการโจมตีจากนักวิชาการว่า แก่นแท้ของกฎหมายฉบับนี้ไม่ได้ให้ความคุ้มครองกับการล่วงละเมิดข้อมูลอย่างแท้จริงให้กับประชาชน

แล้วจริงๆ กฎหมายฉบับนี้คุ้มครองหรือไม่คุ้มครองข้อมูลส่วนบุคคลกันแน่!

ปัจจุบันมีการใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลอยู่ในหลายประเทศ โดยเฉพาะในอาเซียน ได้แก่ อินโดนีเซีย มาเลเซีย ฟิลิปปินส์ เวียดนาม ไทย ในขณะที่สหรัฐอเมริกาและสหภาพยุโรป ก็ประกาศใช้กฎหมายนี้เช่นกัน

สหภาพยุโรป (European Union: EU) ได้ออก GDPR ( General Data Protection Regulation) เป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคล บังคับใช้เมื่อ 25 พฤษภาคม ปี 2561 ใน Article 2 ของกฎหมายฉบับนี้ก็มีการกำหนดหลักการที่ไม่ให้บังคับใช้กฎหมาย GDPR กับการดำเนินงานเกี่ยวกับการรักษาความมั่นคง หรือความปลอดภัยด้วยเช่นกัน

เรียกว่าการยกเว้นการใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคล เป็นหลักการที่ใช้กันในกฎหมายรูปแบบเดียวกัน แต่อาจจะแตกต่างการในเนื้อหาสาระ จึงไม่น่าจะสรุปว่า กฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทยเป็นกฎหมายที่ไม่ได้ให้ความคุ้มครองกับประชาชน แต่ก็ต้องยอมรับว่ากฎหมายฉบับนี้ยังไม่สมบูรณ์ เพราะยังต้องมีการออกกฎหมายลูกและกฎระเบียบต่างๆ เพื่อให้กฎหมายชัดเจนและสามารถใช้งานตอบโจทย์กับความต้องการที่แท้จริงของประชาชนได้

อย่างน้อยการที่ประเทศไทยมีกฎหมายคุ้มครองข้อมูลส่วนบุคคล ก็ถือเป็นก้าวแรกของการปกป้องและคุ้มครองสิทธิขั้นพื้นฐานของคนไทย จากที่ไม่เคยมีมาก่อน ส่วนการแก้ไขและปรับปรุงเป็นเรื่องที่ต้องเกิดขึ้นในอนาคตไปพร้อม ๆ กับการเรียนรู้ร่วมกันของคนไทย เมื่อประเทศไทยก้าวข้ามไปสู่ยุคของเศรษฐกิจดิจิทัล ที่ข้อมูลมีส่วนสำคัญต่อการขับเคลื่อนเศรษฐกิจ แต่จะออกแบบในการเลือกใช้และยินยอมให้ใช้ข้อมูลกันในรูปแบบใด เป็นเรื่องที่ต้องพัฒนาไปร่วมกันเพื่อให้กฎหมายสมบูรณ์และเหมาะสมกับสังคมไทยในอนาคต

——————————————————

ที่มา : ETDA / 10 ตุลาคม 2562

Link : https://www.etda.or.th/content/personal-data-protection-act-protect-or-not.html

Tags: การรักษาความปลอดภัย ข้อมูลส่วนบุคคล

Author: Admin S.10

The Personal Data Protection Act: Does it Really Protect?

You are here:

Home
Knowledge
The Personal Data Protection Act:…

May 28 was the day when the 2019 Personal Data Protection Act (PDPA) went into effect after it was published in the Royal Gazette on May 27, 2019, despite criticism that its provisions would not protect personal data, as the Act’s title claims.

What is the Personal Data Protection Act and why does Thailand need it?

Some 20 years ago, information technology was introduced in Thailand for the first time. This is when computers began playing a role in many occupations and later began storing personal data. This gave rise to discussions about how personal data can be protected from abuse. Thus, the idea of enacting personal data protection law was introduced in Thailand.

Since then, 23 years have passed and the PDPA was enacted and will be fully enforced in 2020.

The essence of the PDPA is to protect all personal data, such as people’s educational background, financial status, health records, criminal record, work record and other personal data like fingerprints, voice, identification card number or numerical data of other documents. The law stops people from using this data for any kind of benefit without consent from the data subject.

Now when we contact different public or private agencies and organisations, we have to provide personal data to carry out any sort of transaction. For instance, when we open a bank account, we have to provide personal information, including a copy of our ID card, our street address and telephone numbers. This information is for opening a bank account, but it can also be used for commercial purposes by being sold or disclosed to other agencies or organisations. For instance, we can receive phone calls from people offering to sell products, even though we have never had any contact with these organisations before – this kind of practice is clear violation of our privacy.

The PDPA tackles this problem by requiring all private and public organisations or agencies holding our personal data to promise not to use this information without our consent.

The law requires both public and private agencies or firms that keep a lot of personal data to have their own “Data Protection Officer”. Such officers may be employees of the concerned organisations or may be outsourced workers tasked with protecting this personal data from being leaked to outsiders and from being used in activities that has not been given consent by the data subject.

The purposes of the law sound good, because it aims to protect personal data and we have never had such protection before. But when it is looked at closely, certain details such as Article 4, can be of concern as it exempts six types of operations:

Collecting, using and disclosing personal data for the sake of data subject’s own interest or activities of their family;
Operations of government agencies in charge of maintaining national security, including the state’s financial stability or public safety;
Preventing and suppressing money laundering;
Forensic science investigations and cyber security;
Using or disclosing personal data for journalistic, arts and cultural works in accordance with ethics of the professional organisations or for public interest;
Deliberations by the House of Representatives, the Senate and Parliament in accordance with their authority, court proceedings, and judicial process as well as operations by the Credit Bureau and its members.

These exemptions have been slammed by academics, who say the law does not really protect people’s personal data.

Does the law really protect personal data?

Many countries have already enacted a personal data protection law. For instance, in the ASEAN region, this law has been implemented in Indonesia, Malaysia, the Philippines, Vietnam and Thailand, while in the West, it is in place in the United States and the European Union (EU).

The EU enforced the General Data Protection Regulation (GDPR) on May 25, 2018, and its Article 2 allows personal data to be used for operations related to maintaining security and public safety.

The same principles have been applied to Thailand’s PDPA, and though the details may be different, its intentions are the same. Therefore, though the law is not yet perfect, it cannot be said it does not provide protection to the people. The PDPA’s related subordinate laws and regulations still need to be enacted to clarify its implementation and to ensure it really meets the public’s needs.

However, the enactment of the PDPA is the first step in protecting the fundamental rights of the Thai citizen, compared to before when there was no such law. This law is bound to be amended and improved in the future, once the country enters the digital economy era fully, when information will play a key role in steering the economy

Society, in the meantime, must learn and deliberate on how the law can be amended, and decide on what kind of information can be used and disclosed so it can serve the Thai society more wholly in the future.

——————————————————

ที่มา : ETDA / 10 ตุลาคม 2562

Link : https://www.etda.or.th/content/personal-data-protection-act-protect-or-not.html

Tags: Security ข้อมูลส่วนบุคคล

กฎหมายคุ้มครองข้อมูลส่วนบุคคล : คุ้มครองหรือไม่คุ้มครอง

Author: Admin S.10

Related posts

The Personal Data Protection Act: Does it Really Protect?

Author: Admin S.10

Related posts