การซื้อขายข้อมูลส่วนบุคคล บทเรียนจากเวียดนาม

สามารถนำไปวิเคราะห์เพื่อการตลาด การให้บริการและการประเมินความเสี่ยงทางธุรกิจได้ ข้อมูลเหล่านี้จึงมีมูลค่าทางเศรษฐกิจสูงขึ้นตามการขยายตัวของเทคโนโลยีดิจิทัล

ปัญหาเกิดขึ้นตามมาเมื่อข้อมูลถูกนำไปใช้หรือซื้อขายโดยเจ้าของข้อมูลไม่รู้เห็นหรือไม่สามารถควบคุมการใช้ข้อมูลของตนเอง ข้อมูลเหล่านี้อาจถูกนำไปใช้เพื่อส่งข้อความหลอกลวง เปิดบัญชีปลอม สวมรอยเป็นบุคคลอื่น หรือใช้เป็นฐานข้อมูลสำหรับแก๊งคอลเซ็นเตอร์ 

การรั่วไหลของข้อมูลจึงสามารถเชื่อมโยงกับอาชญากรรมทางไซเบอร์และการฉ้อโกงทางการเงินได้โดยตรง การแก้ปัญหาจึงต้องพิจารณาทั้งผู้ที่ขโมยข้อมูล ผู้ที่ซื้อข้อมูล ผู้ที่นำข้อมูลไปใช้ และผู้ที่จัดให้มีช่องทางสำหรับการซื้อขายข้อมูล

ประเทศไทยมีกฎหมายหลักคือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 หรือ PDPA ซึ่งมีผลใช้บังคับอย่างเต็มรูปแบบเมื่อวันที่ 1 มิ.ย.2565 กฎหมายกำหนดหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูล รวมถึงกำหนดหลักเกณฑ์เกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล

ในขณะที่เวียดนามมีการพัฒนากฎหมายอย่างต่อเนื่องจากบทบัญญัติที่กระจัดกระจายไปสู่กฎหมายเฉพาะ โดยเริ่มจาก Decree No. 13/2023/ND-CP และยกระดับไปสู่ 2025 Law on Personal Data Protection (Law No. 91/2025/QH15) ซึ่งมีผลใช้บังคับตั้งแต่วันที่ 1 ม.ค.2569

การพัฒนาของทั้งสองประเทศจึงสะท้อนว่าการคุ้มครองข้อมูลส่วนบุคคลกำลังเปลี่ยนจากประเด็นด้านความเป็นส่วนตัวไปสู่ประเด็นด้านความมั่นคง เศรษฐกิจ และอาชญากรรมทางไซเบอร์

ประเด็นสำคัญอยู่ที่คำถามว่า หากมีการนำข้อมูลส่วนบุคคลของผู้อื่นไปขายโดยไม่ได้รับอนุญาต กฎหมายสามารถเอาผิดได้โดยตรงหรือไม่

สำหรับประเทศไทย PDPA มีบทลงโทษทั้งทางแพ่ง ทางปกครอง และทางอาญา แต่โครงสร้างความผิดทางอาญามุ่งไปที่บุคคลซึ่งมีหน้าที่ตามกฎหมายเกี่ยวกับข้อมูลแล้วนำข้อมูลไปเปิดเผยโดยมิชอบตามมาตรา 80 ซึ่งมีโทษจำคุกไม่เกินหนึ่งปี หรือปรับไม่เกินหนึ่งล้านบาท หรือทั้งจำทั้งปรับ

ปัญหาคือ บทบัญญัติดังกล่าวไม่ได้กำหนดความผิดฐานซื้อขายข้อมูลส่วนบุคคลโดยมิชอบสำหรับบุคคลทั่วไปไว้อย่างชัดเจน หากบุคคลหนึ่งรวบรวมหมายเลขโทรศัพท์หรือข้อมูลส่วนบุคคลของประชาชนแล้วนำไปขายต่อ

การนำ PDPA มาใช้ลงโทษจึงอาจติดข้อจำกัดเรื่องฐานความผิดและสถานะของผู้กระทำความผิด ส่วน พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ.2550 ก็ไม่สามารถนำมาใช้กับทุกกรณีได้ เพราะข้อมูลที่นำไปซื้อขายอาจเป็นข้อมูลจริง มิใช่ข้อมูลอันเป็นเท็จตามองค์ประกอบความผิดในบางมาตราได้ (พัชรภีม, 2568)

ในปัจจุบันประเทศไทยมีมาตรา 11/2 แห่ง พ.ร.ก.มาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ.2566 ซึ่งกำหนดความผิดเกี่ยวกับการใช้ การเก็บรวบรวม การครอบครอง และการเปิดเผยข้อมูลเกี่ยวกับบุคคลหรือผู้ถึงแก่กรรม

เพื่อนำไปใช้หรือให้ผู้อื่นใช้ในการกระทำความผิด และกำหนดโทษสูงขึ้นเมื่อการกระทำดังกล่าวเกี่ยวข้องกับการซื้อ ขาย เสนอซื้อ เสนอขาย แลกเปลี่ยน หรือการแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย

อย่างไรก็ตาม บทบัญญัติดังกล่าวมีขอบเขตอยู่ที่ข้อมูลซึ่งเชื่อมโยงกับการกระทำความผิด จึงยังมีประเด็นให้พิจารณาว่าการซื้อขายข้อมูลส่วนบุคคลเพื่อประโยชน์ทางการค้าโดยทั่วไป ซึ่งยังไม่ปรากฏวัตถุประสงค์ในการนำไปก่ออาชญากรรมจะอยู่ภายใต้ความผิดดังกล่าวหรือไม่ 

ช่องว่างดังกล่าวมีความสำคัญในทางปฏิบัติ เพราะตลาดข้อมูลผิดกฎหมายสามารถสร้างผลประโยชน์ทางเศรษฐกิจให้แก่ผู้กระทำผิดจำนวนมาก ขณะที่การดำเนินคดีอาจต้องอาศัยกฎหมายหลายฉบับและต้องพิจารณาข้อเท็จจริงเป็นรายกรณี

เวียดนามเลือกแนวทางที่กำหนดข้อห้ามเกี่ยวกับการซื้อขายข้อมูลส่วนบุคคลไว้อย่างชัดเจน ตั้งแต่ Decree No. 13/2023/ND-CP ซึ่งกำหนดห้ามการซื้อขายข้อมูลส่วนบุคคลโดยมิชอบ

และต่อมา 2025 Law on Personal Data Protection ได้ยกระดับการซื้อขายข้อมูลส่วนบุคคลโดยมิชอบให้เป็นหนึ่งในการกระทำที่ห้ามเด็ดขาดตามมาตรา 7(6) พร้อมกำหนดข้อยกเว้นสำหรับการโอนข้อมูลที่กฎหมายอนุญาต

กฎหมายดังกล่าวยังเพิ่มความรุนแรงของมาตรการลงโทษ โดยกำหนดค่าปรับสำหรับการซื้อขายข้อมูลส่วนบุคคลสูงถึง 10 เท่าของกำไรที่ได้รับจากการกระทำผิด หรือสูงสุด 3 พันล้านดง ในกรณีที่ไม่สามารถคำนวณกำไรได้หรือกำไรต่ำกว่าเกณฑ์ที่กฎหมายกำหนด (Nguyen The Duc Tam, 2026)

เวียดนามยังให้ความสำคัญกับการสร้างความรู้ด้านการคุ้มครองข้อมูลส่วนบุคคลในระยะยาว โดยกำหนดเรื่องการคุ้มครองข้อมูลส่วนบุคคลและความเป็นส่วนตัวไว้ใน Digital Competency Framework for Learners ตาม Circular No. 02/2025/TT-BGDDT แนวทางนี้มุ่งสร้างทักษะให้ประชาชนเข้าใจความเสี่ยงของข้อมูลและรู้จักป้องกันข้อมูลของตนเองตั้งแต่ในระบบการศึกษา

สำหรับประเทศไทย ช่องว่างสำคัญจึงอยู่ที่การทำให้กฎหมายสามารถตอบสนองต่อตลาดข้อมูลได้อย่างตรงจุด PDPA วางระบบคุ้มครองข้อมูลส่วนบุคคลและกำหนดหน้าที่ของผู้ควบคุมและผู้ประมวลผลข้อมูลไว้อย่างเป็นระบบ แต่การซื้อขายข้อมูลโดยบุคคลทั่วไปยังเป็นประเด็นที่ควรพิจารณาเพิ่มเติม 

ประเทศไทยอาจพิจารณากำหนดฐานความผิดเกี่ยวกับการซื้อขายข้อมูลส่วนบุคคลโดยมิชอบให้ชัดเจน กำหนดหน้าที่ของผู้ซื้อและผู้ขายข้อมูล รวมถึงกำหนดมาตรการลงโทษให้สัมพันธ์กับผลประโยชน์ทางเศรษฐกิจที่ผู้กระทำผิดได้รับ การกำหนดโทษควรคำนึงถึงขนาดของความเสียหาย จำนวนเจ้าของข้อมูล และกำไรจากการกระทำผิดควบคู่กันไป

นอกจากนี้ควรเพิ่มความโปร่งใสเกี่ยวกับการส่งต่อข้อมูลและสร้างช่องทางให้เจ้าของข้อมูลสามารถตรวจสอบและใช้สิทธิของตนได้อย่างมีประสิทธิภาพ

บทเรียนจากเวียดนามชี้ให้เห็นว่า การคุ้มครองข้อมูลส่วนบุคคลในยุคดิจิทัลจำเป็นต้องมีทั้งกฎหมายที่ชัดเจน บทลงโทษที่มีประสิทธิภาพ การบังคับใช้ที่จริงจัง และการสร้างความรู้ให้ประชาชน

การปิดช่องว่างเรื่องการซื้อขายข้อมูลส่วนบุคคลจึงเป็นประเด็นที่ประเทศไทยควรพิจารณาอย่างจริงจัง เพื่อให้ข้อมูลของประชาชนได้รับการคุ้มครองและไม่กลายเป็นสินค้าที่สามารถซื้อขายได้โดยปราศจากความรับผิด