ความยินยอมเรื่องข้อมูลเด็กเป็นไปตาม PDPA มาตรา 20 เด็กไม่เกิน 10 ปี ผู้ใช้อำนาจปกครองเป็นคนยินยอม ผู้เยาว์ที่โตกว่านั้นหลายเรื่องต้องได้ทั้งเด็กและผู้ปกครอง แต่ถ้างานนั้นใช้ฐานสัญญาหรือฐานอื่นได้ ก็ไม่ต้องขอความยินยอม เหมาะกับโรงเรียน แอป และธุรกิจที่มีลูกค้าเป็นเด็ก
- เด็กอายุไม่เกิน 10 ปี ต้องขอความยินยอมจากผู้ใช้อำนาจปกครอง (PDPA มาตรา 20 (2))
- ผู้เยาว์อายุเกิน 10 ปี ถ้าเรื่องนั้นไม่ใช่สิ่งที่ทำเองได้ตามประมวลกฎหมายแพ่งฯ ต้องได้ความยินยอมจากผู้ใช้อำนาจปกครองด้วย (มาตรา 20 (1))
- สคส. เห็นว่าเปิดบัญชีเงินฝากให้ผู้เยาว์ใช้ฐานสัญญาได้ จึงไม่ต้องทำตามมาตรา 20 แต่การตลาดกับเด็กควรได้ความยินยอมจากผู้ใช้อำนาจปกครองด้วย
- สแกนหน้าหรือลายนิ้วมือเด็กเป็นข้อมูลชีวภาพตามมาตรา 26 ต้องได้ความยินยอมโดยชัดแจ้ง และต้องมีทางเลือกอื่นที่ไม่ด้อยกว่า
- การแจ้ง การถอนความยินยอม และการใช้สิทธิของเด็ก ใช้หลักเดียวกับมาตรา 20 โดยอนุโลม (มาตรา 20 วรรคท้าย)
โรงเรียนขอรูปนักเรียนไปลงวารสาร แอปเกมเปิดให้เด็กสมัครสมาชิก ธนาคารเปิดบัญชีเงินฝากให้เด็กประถม สามเรื่องนี้มีคำถามเดียวกันซ่อนอยู่ คือใครมีสิทธิตัดสินใจเรื่องข้อมูลส่วนบุคคลของเด็ก
พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ตอบไว้ในมาตรา 20 แต่ตอบได้แค่ครึ่งเดียว อีกครึ่งอยู่ที่คำถามก่อนหน้านั้น ว่างานนี้ต้องใช้ความยินยอมจริงหรือเปล่า ถ้าไม่ต้องใช้ มาตรา 20 ก็ไม่เข้ามาเกี่ยวเลย
สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เคยตอบข้อหารือที่แตะสองเรื่องนี้ไว้แล้ว ทั้งของธนาคารที่มีลูกค้าเป็นผู้เยาว์ และของหน่วยงานการศึกษา บทความนี้เอาคำตอบเหล่านั้นมาวางคู่กับตัวบท แล้วต่อด้วยตัวอย่างโรงเรียนและแอปจากแนวปฏิบัติ TDPG 4.0
มาตรา 20 บอกว่าใครให้ความยินยอมแทนเด็ก?
คำตอบขึ้นกับสองเรื่อง คืออายุของเด็ก และเรื่องที่ขอนั้นเด็กทำเองได้ตามประมวลกฎหมายแพ่งและพาณิชย์หรือไม่ มาตรา 20 วรรคหนึ่งแยกไว้สองกรณี
(1) ในกรณีที่การให้ความยินยอมของผู้เยาว์ไม่ใช่การใด ๆ ซึ่งผู้เยาว์อาจให้ความยินยอมโดยลำพังได้ตามที่บัญญัติไว้ในมาตรา 22 มาตรา 23 หรือมาตรา 24 แห่งประมวลกฎหมายแพ่งและพาณิชย์ ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย (2) ในกรณีที่ผู้เยาว์มีอายุไม่เกินสิบปี ให้ขอความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์
อ่านง่าย ๆ คือ เด็กอายุไม่เกิน 10 ปี ผู้ใช้อำนาจปกครองเป็นคนให้ความยินยอม ส่วนผู้เยาว์ที่อายุเกิน 10 ปี ถ้าเรื่องนั้นไม่ใช่สิ่งที่ผู้เยาว์ทำเองได้ตามประมวลกฎหมายแพ่งฯ มาตรา 22 ถึง 24 ต้องได้ความยินยอมของผู้ใช้อำนาจปกครองมาประกอบด้วย ถ้าเป็นเรื่องที่ทำเองได้ ผู้เยาว์ก็ให้ความยินยอมเองได้
| เจ้าของข้อมูล | ใครให้ความยินยอม | ที่มา |
|---|---|---|
| เด็กอายุไม่เกิน 10 ปี | ผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทน | มาตรา 20 (2) |
| ผู้เยาว์อายุเกิน 10 ปี และเรื่องนั้นไม่ใช่สิ่งที่ทำเองได้ตาม ป.พ.พ. มาตรา 22–24 | ตัวผู้เยาว์ และผู้ใช้อำนาจปกครองด้วย | มาตรา 20 (1) |
| ผู้เยาว์ที่เรื่องนั้นทำเองได้ตาม ป.พ.พ. มาตรา 22–24 | ตัวผู้เยาว์ | มาตรา 20 (1) อ่านกลับ |
| ผู้เยาว์ที่บรรลุนิติภาวะโดยการสมรส หรือมีฐานะเสมือนบรรลุนิติภาวะตาม ป.พ.พ. มาตรา 27 | ตัวเจ้าของข้อมูลเอง มาตรา 20 วรรคหนึ่งไม่ใช้ | มาตรา 20 วรรคหนึ่ง |
| คนไร้ความสามารถ | ผู้อนุบาลที่มีอำนาจกระทำการแทน | มาตรา 20 วรรคสอง |
| คนเสมือนไร้ความสามารถ | ผู้พิทักษ์ที่มีอำนาจกระทำการแทน | มาตรา 20 วรรคสาม |
งานแบบไหนไม่ต้องขอความยินยอม แม้เจ้าของข้อมูลเป็นเด็ก?
ที่เจอบ่อยคือ พอเห็นว่าเป็นข้อมูลเด็ก ก็ทำแบบฟอร์มให้พ่อแม่เซ็นยินยอมไว้ก่อนทุกเรื่อง ทั้งที่ PDPA มาตรา 24 มีฐานทางกฎหมายอื่นอีกหลายฐาน ถ้างานนั้นเข้าฐานอื่น ก็ไม่ต้องขอความยินยอม และไม่ต้องไปถึงมาตรา 20
ธนาคาร ม. เคยหารือ สคส. ว่าเปิดบัญชีเงินฝากให้ลูกค้าผู้เยาว์ต้องขอความยินยอมไหม สคส. เห็นว่าการเปิดบัญชีอาศัยฐานสัญญาตามมาตรา 24 (3) ได้ ส่วนผู้เยาว์จะทำสัญญาเองได้แค่ไหน เป็นเรื่องของประมวลกฎหมายแพ่งฯ ไม่ใช่เรื่องของ PDPA
ทั้งนี้ เนื่องจากกรณีการเปิดบัญชีเงินฝากของผู้เยาว์ที่หารือดังกล่าวไม่ได้ใช้ "ความยินยอม" เป็นฐานทางกฎหมายตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จึงไม่ต้องปฏิบัติตามมาตรา ๒๐ แห่งพระราชบัญญัติดังกล่าว
ฝั่งสถานศึกษาก็มีตัวอย่าง สำนักงาน ก.ค.ศ. หารือเรื่องครูส่งคลิปการสอนเพื่อประเมินวิทยฐานะ ซึ่งในคลิปมีหน้าตานักเรียนติดอยู่ด้วย สคส. เห็นว่าเป็นการเก็บข้อมูลตามอำนาจหน้าที่ตามกฎหมาย ใช้ฐานมาตรา 24 (4) หรือ (6) ได้ ไม่ต้องขอความยินยอม
แต่ไม่ต้องขอความยินยอม ไม่ได้แปลว่าไม่ต้องบอกใคร สคส. แนะนำต่อว่าให้แจ้งนักเรียนหรือผู้ปกครองก่อนเก็บ เก็บเท่าที่จำเป็น และลบเมื่อหมดความจำเป็น
อย่างไรก็ดี สำนักงาน ก.ค.ศ. ควรกำหนดหลักเกณฑ์และวิธีการในการเก็บรวบรวมไฟล์วีดิทัศน์ที่มีข้อมูลส่วนบุคคลของนักเรียนหรือบุคคลอื่น โดยให้ผู้จัดทำไฟล์วีดิทัศน์และเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว แจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวให้นักเรียนและ/หรือผู้ปกครองของนักเรียน
ทำการตลาดกับลูกค้าที่เป็นเด็ก ต้องขอความยินยอมจากใคร?
เรื่องนี้ สคส. ตอบไว้ในข้อหารือเดียวกันของธนาคาร ม. การส่งข้อเสนอผลิตภัณฑ์ใหม่ไม่เกี่ยวกับสัญญาเปิดบัญชี จึงอ้างฐานสัญญาไม่ได้ และไม่เข้าฐานอื่นในมาตรา 24 ธนาคารจึงควรขอความยินยอม คำถามต่อมาคือขอจากใคร
เมื่อคำนึงถึงความเหมาะสมด้านวุฒิภาวะของผู้เยาว์ในการตัดสินใจเพื่อทำการตลาดประกอบกับผลกระทบจากการตัดสินใจดังกล่าว จึงเห็นว่า การขอความยินยอมในการทำการตลาดกับลูกค้าที่เป็นผู้เยาว์ดังกล่าว ควรได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย
ประเด็นที่ 4 ของข้อหารือเดียวกันไปไกลกว่านั้นอีก แม้เป็นการเสนอผลิตภัณฑ์เดิมหรือผลิตภัณฑ์ที่ต่อยอดจากของเดิม เช่น บัตร ATM หรือ Mobile Banking ถ้าไม่จำเป็นต่อสัญญาเดิม สคส. ก็เห็นว่าควรได้ความยินยอมจากผู้ใช้อำนาจปกครองด้วยเหมือนกัน
สังเกตว่า สคส. ใช้คำว่า "ควร" ไม่ได้ใช้คำว่า "ต้อง" แต่ธุรกิจที่ทำตามความเห็นนี้จะอธิบายตัวเองได้ง่ายกว่ามากเมื่อมีผู้ปกครองร้องเรียน ส่วนเรื่องส่งโปรโมชันหาลูกค้าทั่วไป อ่านต่อได้ที่ ส่งโปรฯ หาลูกค้าเก่า ต้องขอความยินยอมทุกครั้งไหม
สแกนหน้าหรือลายนิ้วมือเด็ก ต้องระวังอะไรเพิ่ม?
ข้อมูลใบหน้าและลายนิ้วมือที่ใช้ยืนยันตัวตนเป็นข้อมูลชีวภาพ ซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 ถ้าไม่เข้าข้อยกเว้น ต้องได้ความยินยอมโดยชัดแจ้ง และเมื่อเจ้าของข้อมูลเป็นเด็ก มาตรา 20 ก็ต้องใช้ซ้อนเข้าไปอีกชั้น ธนาคาร ม. ถามเรื่องสแกนหน้าลูกค้าผู้เยาว์ในแอป และได้คำตอบดังนี้
ดังนั้น ธนาคารจึงต้องพิจารณาฐานทางกฎหมายตามมาตรา ๒๖ วรรคหนึ่ง (๑) ถึง (๕) ในการเก็บรวบรวมข้อมูลส่วนบุคคลสำหรับกิจกรรมที่มีวัตถุประสงค์เพื่อยืนยันตัวตน เมื่อไม่มีเหตุดังกล่าว ก็จะต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมของผู้เยาว์จะต้องเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐
แนวปฏิบัติ TDPG 4.0 ยกตัวอย่างเรื่องโรงเรียนไว้หลายกรณี ทุกกรณีลงเอยที่หลักเดียวกัน คือความยินยอมต้องให้โดยอิสระ ถ้าไม่ยินยอมแล้วเสียเปรียบ ความยินยอมนั้นก็ใช้ไม่ได้ (TDPG เป็นแนวปฏิบัติของภาคเอกชน ไม่ใช่กฎหมาย และตัวอย่างเหล่านี้เป็นตัวอย่างประกอบในแนวปฏิบัติ ไม่ใช่คดีในไทย)
TDPG ชี้ว่าโรงเรียนกับนักเรียนมีอำนาจต่อรองต่างกันชัดเจน ความยินยอมที่อ้างจึงไม่ได้ให้โดยอิสระ
มีทางเลือกก็จริง แต่ทางเลือกถูกทำให้เสียเปรียบ เท่ากับบีบให้ยินยอม
อ้างว่าจำเป็นตามสัญญาไม่ได้ และเมื่อตั้งเงื่อนไขว่าไม่ยินยอมก็ใช้บริการไม่ได้ ความยินยอมนั้นไม่มีผล
TDPG ยกเป็นตัวอย่างที่ความยินยอมเป็นฐานที่เหมาะ เพราะปฏิเสธได้จริงโดยไม่เสียอะไร
โรงเรียนใช้ระบบสแกนลายนิ้วมือเด็กนักเรียนเพื่อใช้เข้าใช้บริการโรงอาหารและระบบจ่ายเงิน โดยได้รับความยินยอมเป็นหนังสือจากผู้แทนโดยชอบธรรมของนักเรียนแล้ว แต่ก็มีช่องทางอื่นสำหรับนักเรียนที่จะใช้วิธีอื่นในการยืนยันตัวตน เช่น การใช้บัตรอิเล็กทรอนิกส์ หรือการบอกชื่อและหมายเลขอ้างอิง เป็นต้น อย่างไรก็ดีนักเรียนที่ใช้วิธีอื่นจะต้องรอนักเรียนที่มีการใช้ข้อมูลลายนิ้วมือที่เข้าแถวหมดก่อนจึงจะได้รับบริการ การกระทำดังกล่าวเป็นการฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคล
บทเรียนจากตัวอย่างโรงอาหารคือ ลายเซ็นผู้ปกครองอย่างเดียวไม่พอ ทางเลือกอื่นต้องสะดวกพอ ๆ กันจริง ถ้าโรงเรียนหรือผู้ให้บริการเก็บข้อมูลชีวภาพโดยฝ่าฝืนมาตรา 26 วรรคหนึ่ง มาตรา 84 กำหนดโทษปรับทางปกครองไว้ไม่เกิน 5 ล้านบาท เรื่องข้อมูลอ่อนไหวที่ซ่อนอยู่ในงานประจำ อ่านต่อได้ที่ ข้อมูลอ่อนไหวที่บริษัทเก็บอยู่โดยไม่รู้ตัว
แอปและบริการออนไลน์ที่เด็กใช้ ควรออกแบบอย่างไร?
TDPG ข้อ C51 อธิบายว่าทำไมต้องระวังเป็นพิเศษ ผู้เยาว์มักเข้าใจวัตถุประสงค์และรายละเอียดของการใช้ข้อมูลได้ไม่เท่าผู้ใหญ่ และประเมินผลในอนาคตได้ยาก ความยินยอมที่ได้จากเด็กจึงอาจไม่ครบเงื่อนไขของมาตรา 19 แนวปฏิบัติจึงเสนอเครื่องมือไว้ดังนี้
นอกเหนือจากการใช้ภาษาที่ผู้เยาว์สามารถเข้าใจได้ง่ายแล้ว ยังอาจพิจารณาใช้เครื่องมือในการป้องกันไม่ให้เกิดการเก็บข้อมูลส่วนบุคคลของผู้เยาว์โดยไม่สมควร เช่น สอบถามว่าผู้ใช้บริการอายุเกินเกณฑ์แล้วหรือไม่ [10] หรือแจ้งเตือนให้มีผู้ปกครองให้ความยินยอม หรือกำหนดให้มีการตั้งค่าโดยผู้ปกครอง (parental setting หรือ parental mode) ในการใช้บริการเพื่อป้องกันมิให้ผู้เยาว์ให้ข้อมูลส่วนบุคคลโดยรู้เท่าไม่ถึงการณ์
TDPG ข้อ C53 และ C54 เล่าเพิ่มว่า GDPR ของสหภาพยุโรปกำหนดเกณฑ์อายุ 16 ปี หรือ 13 ปีถ้ากฎหมายภายในของประเทศนั้นกำหนด และโซเชียลมีเดียหลายรายไม่เปิดบัญชีให้ผู้ที่อายุต่ำกว่า 13 ปี ตัวเลขเหล่านี้เป็นของ GDPR และนโยบายของผู้ให้บริการ ไม่ใช่เกณฑ์ของ PDPA เกณฑ์ในกฎหมายไทยมีแค่ 10 ปีตามมาตรา 20 (2) และสถานะผู้เยาว์
TDPG ข้อ C54 ยังแนะนำว่า ถ้าจำเป็นต้องขอความยินยอมจากผู้เยาว์จริง ควรทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ไว้ด้วย ดูวิธีทำได้ที่ DPIA ทำเมื่อไรและทำอย่างไร
หน้าสมัครสมาชิกที่ออกแบบตามมาตรา 20
- ถามวันเกิดหรือช่วงอายุก่อนเก็บข้อมูลอื่น แล้วแยกเส้นทาง: ไม่เกิน 10 ปีไปทางผู้ปกครองทันที เกิน 10 ปีแต่ยังเป็นผู้เยาว์ไปทางที่ต้องมีผู้ปกครองร่วมด้วย ถ้าเรื่องนั้นเด็กทำเองไม่ได้
- แยกคำขอความยินยอมออกจากข้อความอื่น ใช้ภาษาที่เด็กอ่านเข้าใจ ตามที่มาตรา 19 วรรคสามกำหนดไว้สำหรับทุกคนอยู่แล้ว
- บันทึกว่าใครเป็นคนกดยินยอมในฐานะผู้ใช้อำนาจปกครอง และเก็บหลักฐานนั้นไว้
- มีโหมดผู้ปกครองให้ปิดฟีเจอร์ที่เก็บข้อมูลเกินจำเป็น เช่น ตำแหน่งที่ตั้ง หรือการแชร์โปรไฟล์
- ไม่ผูกการใช้งานหลักของแอปไว้กับความยินยอมเรื่องการตลาด ตามหลักความเป็นอิสระในมาตรา 19 วรรคสี่
- ทำช่องทางถอนความยินยอมให้ง่ายเท่ากับตอนให้ ทั้งสำหรับเด็กและผู้ปกครอง
นอกจากความยินยอม ผู้ปกครองต้องเข้ามาเกี่ยวตรงไหนอีก?
หลายองค์กรคิดว่ามาตรา 20 จบที่แบบฟอร์มยินยอม แต่วรรคท้ายของมาตราเดียวกันนำหลักนี้ไปใช้กับเรื่องอื่นอีกหลายเรื่อง
ให้นำความในวรรคหนึ่ง วรรคสอง และวรรคสาม มาใช้บังคับกับการถอนความยินยอมของเจ้าของข้อมูลส่วนบุคคล การแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ การใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล การร้องเรียนของเจ้าของข้อมูลส่วนบุคคล และการอื่นใดตามพระราชบัญญัตินี้ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ โดยอนุโลม
ผลในทางปฏิบัติมีสามเรื่อง หนึ่ง ประกาศความเป็นส่วนตัวสำหรับเด็กต้องส่งถึงคนที่มีอำนาจตัดสินใจแทน สอง การถอนความยินยอมต้องรับจากผู้ปกครองได้ด้วย สาม ช่องทางรับคำขอใช้สิทธิของเจ้าของข้อมูลต้องรับคำขอจากผู้ปกครองได้ และควรตรวจว่าผู้ยื่นมีอำนาจกระทำการแทนเด็กจริง ดูวิธีตอบคำขอให้ทันกำหนดได้ที่ ลูกค้าขอดู ขอลบ ขอหยุดใช้ข้อมูล
เช็กลิสต์สำหรับโรงเรียน แอป และธุรกิจที่มีลูกค้าเป็นเด็ก
- ไล่ดูทุกจุดที่เก็บข้อมูลเด็ก เช่น ใบสมัคร แอป กล้อง เครื่องสแกน งานกิจกรรม แล้วจดลงบันทึกรายการตามมาตรา 39 (ดูวิธีทำใน Data Mapping ใน 7 วัน)
- แต่ละจุด ถามก่อนว่าใช้ฐานอื่นตามมาตรา 24 ได้ไหม ถ้าได้ ไม่ต้องขอความยินยอม แต่ยังต้องแจ้งตามมาตรา 23
- จุดที่ต้องใช้ความยินยอม แยกเด็กอายุไม่เกิน 10 ปี กับผู้เยาว์ที่โตกว่านั้น และระบุว่าเรื่องนั้นต้องมีผู้ใช้อำนาจปกครองร่วมด้วยหรือไม่
- งานการตลาดกับลูกค้าผู้เยาว์ ขอความยินยอมจากผู้ใช้อำนาจปกครองด้วย ตามความเห็นของ สคส. ในข้อหารือธนาคาร ม.
- ข้อมูลชีวภาพ สุขภาพ หรือข้อมูลอ่อนไหวอื่นของเด็ก ขอความยินยอมโดยชัดแจ้ง แยกจากความยินยอมเรื่องอื่น และมีทางเลือกที่ไม่ด้อยกว่า
- ถ้าต้องพึ่งความยินยอมของผู้เยาว์จริง ทำ DPIA ตามที่ TDPG แนะนำ
- ตั้งช่องทางให้ผู้ปกครองถอนความยินยอมและใช้สิทธิแทนเด็กได้ พร้อมวิธีตรวจอำนาจกระทำการแทน
งานที่เหนื่อยที่สุดในเช็กลิสต์นี้คือการตามว่าใครยินยอมเรื่องไหนไว้เมื่อไร ทะเบียนความยินยอมของ AIPDPA เก็บประวัตินี้ไว้ทีละรายการ ทั้งตอนให้และตอนถอน ส่วนงานที่ต้องประเมินความเสี่ยงก็เปิดทำ DPIA ต่อในระบบเดียวกันได้ ดูบัญชีตัวอย่าง ไม่ต้องสมัคร
คำถามที่พบบ่อย
เด็กอายุ 12 ปีสมัครแอปเอง ให้ความยินยอมเองได้ไหม
ขึ้นกับว่าเรื่องนั้นเป็นสิ่งที่ผู้เยาว์ทำเองได้ตามประมวลกฎหมายแพ่งฯ มาตรา 22 ถึง 24 หรือไม่ ถ้าไม่ใช่ PDPA มาตรา 20 (1) กำหนดให้ต้องได้ความยินยอมจากผู้ใช้อำนาจปกครองด้วย ถ้าไม่แน่ใจ ขอทั้งเด็กและผู้ปกครองปลอดภัยกว่า
เด็กอายุไม่เกิน 10 ปี กดยินยอมเองแล้ว ใช้ได้ไหม
ไม่ได้ มาตรา 20 (2) ให้ขอความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ และมาตรา 19 วรรคท้ายบอกว่าความยินยอมที่ไม่เป็นไปตามหมวดนี้ไม่มีผลผูกพันเจ้าของข้อมูล
โรงเรียนต้องให้ผู้ปกครองเซ็นยินยอมทุกเรื่องไหม
ไม่จำเป็น งานที่เข้าฐานอื่นตามมาตรา 24 เช่น การจัดการศึกษาตามอำนาจหน้าที่ ไม่ต้องขอความยินยอม ข้อหารือของสำนักงาน ก.ค.ศ. เป็นตัวอย่าง แต่ต้องแจ้งนักเรียนหรือผู้ปกครองให้ทราบ และเก็บเท่าที่จำเป็น
ธนาคารเปิดบัญชีเงินฝากให้ผู้เยาว์ ต้องทำตามมาตรา 20 ไหม
สคส. เห็นว่าการเปิดบัญชีอาศัยฐานสัญญาตามมาตรา 24 (3) ได้ จึงไม่ต้องทำตามมาตรา 20 ส่วนความสามารถของผู้เยาว์ในการทำสัญญาเป็นไปตามประมวลกฎหมายแพ่งฯ แต่ถ้าใช้ข้อมูลไปทำการตลาด ควรได้ความยินยอมจากผู้ใช้อำนาจปกครองด้วย
ใช้เครื่องสแกนลายนิ้วมือนักเรียนในโรงอาหารได้ไหม
ข้อมูลลายนิ้วมือเป็นข้อมูลชีวภาพตามมาตรา 26 ต้องได้ความยินยอมโดยชัดแจ้งจากผู้มีอำนาจตามมาตรา 20 และต้องมีทางเลือกอื่นที่ไม่ด้อยกว่า TDPG ยกตัวอย่างว่าถ้าคนใช้บัตรต้องรอคิวหลังสุด ถือว่าฝ่าฝืนกฎหมาย
ตัวบทและแหล่งอ้างอิง
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 19 · มาตรา 20 · มาตรา 26 · มาตรา 84
- สำเนาสรุปการตอบข้อหารือ ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (สคส.) — ข้อหารือ ธนาคาร ม. · ข้อหารือ สำนักงาน ก.ค.ศ.
- แนวปฏิบัติ TDPG 4.0 (ไม่ใช่กฎหมาย) — C51–C54 · S5
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)