ฝากคกก.คุ้มครองข้อมูลฯให้ความรู้ผู้ประกอบการไทย

คณะนิติศาสตร์และนิเทศศาสตร์ มหาวิทยาลัยธุรกิจบัณฑิตย์ฯ.ร่วมกันจัดเสวนาหัวข้อ กฎหมายคุ้มครองข้อมูลส่วนบุคคล: ภาระ (หรือ) หน้าที่ใหม่ของผู้ประกอบการไทย เมื่อเร็วๆ นี้ โดยมีผศ.ดร.ปิยะบุตร บุญอร่ามเรือง อาจารย์คณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย กล่าวว่า ประเทศไทยมีความพยายามกว่า 20 ปี ที่จะออกกฎหมายคุ้มครองข้อมูลส่วนบุคคล จนเมื่อปีที่แล้วกลุ่มประเทศสหภาพยุโรปหรือ EU ออกมาตรฐาน General Data Protection Regulation (GDPR) ใหม่ซึ่งกำหนดเข้มข้นมากขึ้นและแก้ไขปัญหาสำคัญเรื่องการโอนข้อมูลข้ามประเทศ (data transfer)

โดย GDPR กำหนดว่าประเทศคู่ค้ากับกลุ่มประเทศ EU ใดที่ไม่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอหรือเทียบเท่าจะไม่สามารถโอนข้อมูลถึงกันได้ โดยผู้ประกอบการไทยมีโอกาสมากที่จะทำธุรกิจกันกับ EU หากไม่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลก็จะทำให้การทำธุรกิจกันกับกลุ่มประเทศ EU ลำบาก นอกจากนี้ มาตรา 3 ของ GDPR ยังกำหนดครอบคลุมถึงใครก็ตามกลุ่มเป้าหมายตลาด EU ใครก็ตามที่ monitor พฤติกรรมของคนใน EU โดยไม่สนใจว่าจะไป process ข้อมูลที่ไหนก็ตาม ก็จะอยู่ในขอบเขตเงื่อนไขที่กำหนดใน GDPR ด้วย แม้ GDPR จะไม่ได้บังคับกับประเทศไทยโดยตรงและก็ตั้งเงื่อนไขผ่าน data transfer นั่นเอง เพราะฉะนั้น รัฐบาลจึงเห็นความสำคัญถึงเหตุผลความจำเป็นและมีแรงผลักดันให้ ร่าง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ....นี้ออกมา

ผศ.ดร.ปิยบุตร กล่าวว่า กฎหมายได้กำหนดให้มีผู้เกี่ยวข้องสำคัญ 3 กลุ่ม คือ 1) เจ้าของข้อมูล หมายถึง บุคคลที่ข้อมูลนั้นระบุหรือชี้ไปถึง 2) ผู้ควบคุมข้อมูล ได้แก่ผู้ให้บริการทั้งหลายที่มีการขอข้อมูลจากลูกค้าหรือผู้รับบริการ มีความผูกพันตามข้อตกลงกับเจ้าของข้อมูล 3) ผู้ประมวลผลข้อมูล คือ คนที่ทำหน้าที่ประมวลผลข้อมูลตามที่ผู้ควบคุมข้อมูลกำหนดให้ทำ เช่น คนเขียนแอปทั่วไป คือ ผู้ควบคุมข้อมูล แต่พวกผู้ให้บริการ cloud ต่างๆ คือ ผู้ประมวลผลข้อมูล

อีกทั้ง กฎหมายนี้ ประเทศไทยได้รับเอาหลักการเกี่ยวกับสิทธิของเจ้าของข้อมูลตาม GDPR มาทั้งหมด 9 สิทธิ ได้แก่ สิทธิการถอนความยินยอม สิทธิการได้รับแจ้งข้อมูลที่เกี่ยวข้อง สิทธิการได้เข้าถึงข้อมูลของตนเอง สิทธิในการแก้ไขข้อมูลของตนเองได้ สิทธิที่จะให้ลบข้อมูลได้ สิทธิการระงับหรือให้พักการประมวลผลข้อมูลส่วนบุคคล สิทธิให้โอนข้อมูลส่วนบุคคลได้ สิทธิคัดค้านการประมวลผลได้ และสิทธิเกี่ยวข้องกับประมวลผลอัตโนมัติ เช่น การประมวลผลวงเงินกู้โดย algorithm ก็มีสิทธิที่จะขอดูว่าประมวลผลอย่างไร ทั้งนี้ แม้ร่าง พ.ร.บ. นี้รับหลักการ GDPR มาแต่รายละเอียดก็ต้องมีการพัฒนากันต่อเพื่อให้เทียบเท่า ซึ่งจากนี้ก็จะมีการออกประกาศหรือใบรับรองมาตรฐานด้านการคุ้มครองข้อมูลส่วนบุคคลอีกด้วย

ด้าน ดร.จอมพล พิทักษ์สันตโยธิน คณะสังคมศาสตร์และมนุษย์ศาสตร์ มหาวิทยาลัยมหิดล กล่าวว่า แม้จะรับหลักการ GDPR มาในร่าง พ.ร.บ. นี้ มีบางส่วนที่นำมากำหนดให้ละเอียดขึ้นแต่ก็มีหลายส่วนที่ละเอียดน้อยกว่า เช่น นิยามของข้อมูลส่วนบุคคล ร่าง พ.ร.บ. นี้นิยามไว้กว้างมาก ว่าหมายถึงข้อมูลเกี่ยวกับบุคคลที่สามารถทำให้ระบุตัวบุคคลได้ทั้งทางตรงและทางอ้อม ในขณะที่ GDPR ยกตัวอย่างให้เห็นชัด สอดคล้องกับ ผู้ช่วยศาสตราจารย์ ดร.ยุทธนา ศรีสวัสดิ์ CEO ของบริษัท iTAX ที่ตั้งข้อสังเกตว่า ประเด็นเกี่ยวกับข้อมูลที่สามารถทำให้ระบุตัวบุคคลได้ทางอ้อมอาจะเป็นประเด็นที่มีปัญหา เช่น เบอร์โทรศัพท์เฉยๆ หรือ Email address เฉยๆ เช่นนี้เป็นข้อมูลส่วนบุคคลหรือไม่ เพราะด้วยข้อมูลเหล่านี้ ก็อาจ track กลับมาที่เจ้าของข้อมูลได้ รวมถึงข้อมูล metadata ด้วย

ดร.จอมพล ได้กล่าวถึงหน้าที่ของผู้ประกอบการไทยที่เป็นผู้ควบคุมข้อมูลตามกฎหมายนี้ว่าจะต้องดูแลและดำเนินการต่างๆ ตามสิทธิของเจ้าของข้อมูลที่ระบุไว้ตามกฎหมายในมาตรา 30-36 เช่น สิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคล การขอให้เปิดเผยที่มาของข้อมูลส่วนบุคคลที่เจ้าของข้อมูลไม่ได้ได้ยินยอม สิทธิการคัดค้านการเก็บรวบรวม ใช้ เปิดเผยข้อมูล สิทธิที่ขอให้ลบข้อมูล หรือที่รู้จักกันในนามของ Right to be forgotten เป็นต้น รวมถึงหน้าที่อื่นๆ ที่สำคัญ อาทิ ผู้ควบคุมข้อมูลจะเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลไม่ให้ความยินยอม และการยินยอมนั้นก็จะต้องยินยอมโดยอิสระไม่ถูกบังคับ ไม่มีเงื่อนไขใดด้วย เช่น ถ้าไม่ให้ข้อมูลส่วนบุคคลแล้วจะรับบริการไม่ได้

อย่างไรก็ตาม ร่าง พ.ร.บ.ฉบับนี้ไม่ได้บังคับใช้กับทุกหน่วยงานที่มีการเก็บข้อมูลส่วนบุคคล โดยข้อยกเว้นระบุไว้ในมาตรา 4 ทั้งนี้

ทั้งนี้ เมื่อ ร่าง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ...นี้ประกาศใช้ สิทธิและหน้าที่ดังกล่าวข้างต้นจะเริ่มหลังจากประกาศใช้ 1 ปี ดังนั้น จากนี้จะมีเวลาอีกประมาณ 1 ปีที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจะออกกฎหมายที่เกี่ยวข้อง รวมถึงการเตรียมความพร้อมของผู้ประกอบการไทยที่มีหน้าที่ในฐานะผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล และสำคัญที่สุดคือการสร้างความเข้าใจกับประชาชนให้ตระหนักถึงสิทธิในข้อมูลส่วนบุคคลของตนเองตามกฎหมายฉบับนี้