โพสต์รูปงาน CSR ลงเพจบริษัท ต้องขอความยินยอมใคร

ทีมสื่อสารองค์กรกลับจากงานมอบอุปกรณ์การเรียนที่โรงเรียนต่างจังหวัดพร้อมรูปสามร้อยใบ คืนนั้นอัลบั้มขึ้นเพจบริษัท มีรูปผู้บริหารยื่นถุงของขวัญให้เด็ก ป.2 รูปครูใหญ่ และรูปคุณยายที่มารับลูกหลาน แคปชันใส่ชื่อโรงเรียนและชื่อเด็กที่ได้ทุน ไม่มีใครในทีมถามว่าคนในรูปรู้หรือไม่ว่าหน้าของเขาจะอยู่บนเพจที่มีผู้ติดตามหลายหมื่น

บริษัทแห่งหนึ่งถามคำถามนี้กับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ตรง ๆ ในข้อหารือ สคส. เรื่อง บริษัท V ขอหารือเกี่ยวกับแนวทางการเผยแพร่กิจกรรม CSR ผ่านสื่อสังคมออนไลน์ บริษัท V ทำ CSR ต่อเนื่อง และอยากลงผลงานบน Facebook Page ขององค์กร คณะอนุกรรมการตอบข้อหารือฯ ตอบยาว 8 หน้า บทความนี้ถอดคำตอบออกมาเป็นสิ่งที่ทีมการตลาด PR HR และเอเจนซีต้องทำ พร้อมตัวบทที่กำหนดผลของการไม่ทำ

รูปถ่ายคนในงานบริษัท เป็นข้อมูลส่วนบุคคลหรือไม่?

เป็น ถ้าดูแล้วรู้ว่าเป็นใคร สคส. เปิดคำตอบถึงบริษัท V ด้วยหลักนี้ ภาพถ่ายหรือภาพเคลื่อนไหวของบุคคลที่ทำให้ระบุตัวบุคคลนั้นได้ ถือเป็นข้อมูลส่วนบุคคลตามบทนิยามในมาตรา 6 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การถ่าย การอัดวิดีโอ และการเอาไปลงเว็บไซต์หรือสื่อสังคมออนไลน์ จึงเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลครบทั้งสามอย่าง

สคส. พูดเรื่องเดียวกันไว้ก่อนหน้านี้ในข้อหารือที่ตำรวจถามมา กรณีมีคนเอารูปใบหน้าของผู้อื่นไปโพสต์บน Facebook ที่ตั้งค่าสาธารณะ

อีกข้อที่ สคส. ชี้ตั้งแต่ต้นคือสถานะของบริษัท บริษัท V เป็นนิติบุคคลที่ตัดสินใจเองว่าจะถ่ายใคร เก็บรูปไหน และโพสต์ที่ใด จึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 6 หน้าที่ทั้งหมดอยู่ที่บริษัท ไม่ได้อยู่ที่ช่างภาพ ไม่ได้อยู่ที่โรงเรียนที่เปิดสถานที่ให้ และไม่ได้อยู่ที่แพลตฟอร์ม

บริษัท V ถามอะไร และ สคส. วางลำดับคิดไว้อย่างไร?

บริษัท V ถาม 4 ข้อ และ สคส. ตอบข้อ 1 ถึง 3 รวมกันเป็นเรื่องเดียว

1. เอาชื่อ ภาพถ่าย วิดีโอของผู้เข้าร่วมกิจกรรมไปลงสื่อสังคมออนไลน์ ต้องได้รับความยินยอมล่วงหน้าหรือไม่ และควรเก็บหลักฐานความยินยอมในรูปแบบใด
2. ถ้าผู้เข้าร่วมเป็นเยาวชน หรือคนในชุมชนที่ไม่ใช่พนักงานของบริษัท ควรคุ้มครองสิทธิของเขาอย่างไร
3. มีตัวอย่างหรือแนวปฏิบัติที่ดีในการเผยแพร่กิจกรรม CSR รวมถึงป้ายประชาสัมพันธ์เกี่ยวกับ PDPA หรือไม่
4. คำแนะนำอื่นในการเผยแพร่ให้ถูกต้องตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล

คำตอบไม่ได้เริ่มที่ความยินยอม สคส. ให้คิดเป็นลำดับ เริ่มจากวัตถุประสงค์อันชอบด้วยกฎหมายว่าถ่ายไปเพื่ออะไร เช่น ประชาสัมพันธ์ผลงานและสร้างภาพลักษณ์ขององค์กร แล้วเก็บเท่าที่จำเป็นตามมาตรา 22 จากนั้นแจ้งรายละเอียดให้เจ้าของข้อมูลทราบก่อนหรือขณะเก็บตามมาตรา 23 ใช้และเปิดเผยตามวัตถุประสงค์ที่แจ้งไว้เท่านั้นตามมาตรา 21 และต้องมีฐานทางกฎหมายตามมาตรา 24 หรือมาตรา 26 ประกอบมาตรา 27 วรรคหนึ่ง กำกับทุกครั้ง

โพสต์รูปกิจกรรมโดยไม่ขอความยินยอมได้เมื่อไร?

ได้เมื่อบริษัทประเมินแล้วผ่านเงื่อนไขของฐานประโยชน์โดยชอบด้วยกฎหมาย สคส. ให้บริษัท V เลือกฐานโดยดูความสัมพันธ์ระหว่างบริษัทกับคนในรูปประกอบ และชี้ไปที่มาตรา 24 (5) เป็นฐานที่อาจใช้ได้ทั้งกับพนักงานและบุคคลภายนอก

การประเมิน LIA 3 ข้อที่ สคส. ให้บริษัท V ทำ

สคส. เสนอให้บริษัททำการประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) จากหลักเกณฑ์ 3 ประการ

1. ทดสอบวัตถุประสงค์ (Purpose Test) เหตุผลและประโยชน์ที่จะได้จากการถ่ายและโพสต์ชอบด้วยกฎหมายหรือไม่ การประชาสัมพันธ์ผลงานและสร้างภาพลักษณ์ขององค์กร สคส. ยกเป็นตัวอย่างของวัตถุประสงค์ที่อ้างได้
2. ทดสอบความจำเป็น (Necessity Test) ต้องเปิดเผยข้อมูลมากน้อยเพียงใดจึงจะบรรลุวัตถุประสงค์ และมีวิธีอื่นที่กระทบสิทธิของคนในรูปน้อยกว่าหรือไม่ เช่น ใช้ภาพมุมกว้าง ภาพด้านหลัง หรือภาพมือที่กำลังปลูกต้นไม้
3. ทดสอบความสมดุลแห่งสิทธิ (Balancing Test) ชั่งประโยชน์ของบริษัทกับสิทธิของคนในรูป ต้องไม่กระทบสิทธิและเสรีภาพ โดยเฉพาะสิทธิในความเป็นส่วนตัว เกินสมควร และต้องคิดถึงความคาดหวังต่อความเป็นส่วนตัวที่เขาพึงมีในบริบทนั้น

ถ้าผ่านทั้งสามข้อ สคส. เห็นว่าบริษัทอาจเก็บ ใช้ หรือเปิดเผยได้โดยไม่ต้องขอความยินยอม ตามมาตรา 24 (5) ประกอบมาตรา 27 วรรคหนึ่ง คำว่า อาจ สำคัญ เพราะคนที่ต้องพิสูจน์ว่าชั่งน้ำหนักแล้วคือบริษัท ถ้าวันหนึ่งมีคนร้องเรียน บริษัทที่ไม่มีบันทึกการประเมินสักแผ่นจะตอบได้ยากว่าใช้ฐานนี้ถูกต้อง วิธีทำ LIA ทีละข้ออ่านต่อได้ที่ ฐานประโยชน์โดยชอบด้วยกฎหมายกับคำถาม 3 ข้อ

เมื่อไร สคส. เห็นว่าควรขอความยินยอมแทน

ท้ายคำตอบ สคส. รวมปัจจัยทั้งหมดเข้าด้วยกัน ได้แก่ วัตถุประสงค์ของการประชาสัมพันธ์ ความจำเป็น ผลกระทบต่อสิทธิในความเป็นส่วนตัว ความคาดหวังของคนในรูป การที่คนในรูปเป็นผู้เยาว์หรือบุคคลเปราะบาง หลักเก็บเท่าที่จำเป็น และลักษณะการแพร่กระจายในวงกว้างของสื่อสังคมออนไลน์ แล้วสรุปว่า หากเห็นสมควรและทำได้ บริษัทควรพิจารณาเลือกทางใดทางหนึ่งในสามทางนี้

• ขอความยินยอมจากเจ้าของข้อมูล แทนการอาศัยฐานที่เป็นข้อยกเว้นตามมาตรา 24 โดยทำให้ถูกตามมาตรา 19 และมาตรา 20
• เผยแพร่เฉพาะภาพบรรยากาศโดยรวมเท่าที่จำเป็น และเลี่ยงภาพที่ระบุตัวบุคคลได้
• ใช้วิธีอื่นที่กระทบต่อคนในรูปน้อยลง

ใครอยู่ในรูป ใช้ฐานอะไร และต้องทำอะไรก่อนโพสต์?

ตารางนี้เรียบเรียงจากคำตอบถึงบริษัท V ช่องฐานตามแนว สคส. สรุปจากข้อหารือ ส่วนช่องสุดท้ายเป็นข้อเสนอของทีม AIPDPA ที่ต่อยอดจากคำตอบ ไม่ใช่ข้อความของ สคส.

รูปที่เป็นข้อมูลตามมาตรา 26 โดยที่ช่างภาพไม่รู้ตัว

สคส. เตือนบริษัท V ว่าถ้าภาพถ่ายหรือภาพเคลื่อนไหวมีลักษณะเป็นข้อมูลตามมาตรา 26 เช่น ข้อมูลเกี่ยวกับความเชื่อในลัทธิ ศาสนาหรือปรัชญา ข้อมูลสุขภาพ หรือความพิการของผู้เข้าร่วมกิจกรรม บริษัทควรระวังเป็นพิเศษ เหตุผลคือการเก็บ ใช้ หรือเปิดเผยข้อมูลประเภทนี้โดยไม่เหมาะสม อาจกระทบสิทธิและเสรีภาพของเจ้าของข้อมูลรุนแรง เช่น การเลือกปฏิบัติโดยไม่เป็นธรรม

กิจกรรม CSR ยอดนิยมหลายแบบอยู่ใกล้มาตรานี้มาก งานเลี้ยงอาหารผู้ป่วยติดเตียง งานมอบรถเข็นให้ผู้พิการ งานบริจาคโลหิต งานทำบุญตามศาสนา รูปเดียวที่เห็นหน้าชัดพร้อมแคปชันบอกว่าเป็นผู้ป่วยหรือผู้พิการ ก็อาจเป็นการเปิดเผยข้อมูลสุขภาพหรือความพิการของคนคนนั้นต่อสาธารณะ ข้อยกเว้นในมาตรา 26 (1) ถึง (5) ไม่มีข้อใดเขียนถึงประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูล ดูรายการข้อมูลกลุ่มนี้เพิ่มได้ที่ ข้อมูลอ่อนไหวที่บริษัทถืออยู่โดยไม่รู้ตัว

ในรูปมีเด็ก คนพิการ หรือผู้ด้อยโอกาส ต้องทำอะไรเพิ่ม?

ต้องระวังเป็นพิเศษทั้งตอนชั่งน้ำหนักและตอนขอความยินยอม สคส. ใช้คำว่า บริษัทต้องใช้ความระมัดระวังเป็นพิเศษ กับผู้เยาว์ ผู้พิการ คนไร้ความสามารถ คนเสมือนไร้ความสามารถ ผู้ด้อยโอกาส และบุคคลเปราะบางที่ขาดความสามารถในการปกป้องสิทธิและประโยชน์ของตน

ถ้าเลือกขอความยินยอม ต้องขอจากใคร

สคส. ตอบโดยอ้างมาตรา 20 ของ PDPA ผู้เยาว์ที่ยังไม่บรรลุนิติภาวะ ถ้าการให้ความยินยอมนั้นไม่ใช่เรื่องที่ผู้เยาว์ให้ความยินยอมโดยลำพังได้ตามมาตรา 22 มาตรา 23 หรือมาตรา 24 แห่งประมวลกฎหมายแพ่งและพาณิชย์ ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองด้วย และถ้าผู้เยาว์อายุไม่เกิน 10 ปี ต้องขอจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ ส่วนผู้ใหญ่ที่ศาลสั่งให้เป็นคนไร้ความสามารถหรือคนเสมือนไร้ความสามารถ มาตรา 20 วรรคสองและวรรคสามกำหนดผู้ให้ความยินยอมแทนไว้

ครูประจำชั้น ผู้อำนวยการโรงเรียน หรือเจ้าหน้าที่มูลนิธิที่พาเด็กมาร่วมงาน ไม่อยู่ในรายชื่อผู้ให้ความยินยอมแทนตามมาตรา 20 คำตอบถึงบริษัท V ไม่ได้พูดถึงบุคคลกลุ่มนี้ บริษัทจึงไม่ควรถือเองว่าลายเซ็นของโรงเรียนใช้แทนผู้ปกครองได้ ทางที่ทำได้จริงคือขอให้โรงเรียนช่วยส่งหนังสือขอความยินยอมถึงผู้ปกครองก่อนวันงาน รายละเอียดเรื่องอายุและผู้ให้ความยินยอมแทนอยู่ใน ข้อมูลเด็กต้องขอความยินยอมจากใคร

แนวนี้ตรงกับที่ สคส. เคยตอบธนาคาร ม. เรื่องการทำการตลาดกับลูกค้าผู้เยาว์ ครั้งนั้น สคส. คำนึงถึงวุฒิภาวะของผู้เยาว์และผลกระทบจากการตัดสินใจ แล้วเห็นว่าควรได้รับความยินยอมจากผู้ใช้อำนาจปกครองด้วย การเอาหน้าเด็กไปประชาสัมพันธ์องค์กรก็เป็นการตัดสินใจที่เด็กประเมินผลเองได้ยากเช่นกัน

ถ้าเลือกใช้ฐานประโยชน์โดยชอบด้วยกฎหมายกับรูปเด็ก

สคส. ไม่ได้ปิดทางนี้ แต่กำหนดน้ำหนักไว้ ในการทดสอบความสมดุลแห่งสิทธิ บริษัทควรให้ความสำคัญแก่สิทธิ เสรีภาพ และประโยชน์ของผู้เยาว์เป็นพิเศษ เพราะผู้เยาว์อาจรู้ถึงความเสี่ยงและผลกระทบได้น้อยกว่าผู้ใหญ่ และปกป้องสิทธิของตนได้น้อยกว่า คนไร้ความสามารถและคนเสมือนไร้ความสามารถก็ให้น้ำหนักทำนองเดียวกัน

คณะอนุกรรมการฯ ยังตั้งข้อสังเกตเรื่องบริบทไว้ด้วยตัวอย่างสองภาพ และบอกว่าสองภาพนี้อาจกระทบสิทธิและเสรีภาพต่างกัน ทีมงานควรเอาสองภาพนี้ไปเทียบกับงานของตัวเอง

วันงานต้องบอกอะไรกับคนที่จะถูกถ่าย?

ต้องแจ้งรายละเอียดตามมาตรา 23 ก่อนหรือขณะถ่าย และต้องเจาะจงพอ สคส. แนะนำบริษัท V ให้ทำป้ายประกาศในบริเวณที่จัดกิจกรรม มีข้อความแจ้งว่าพื้นที่นี้มีการบันทึกภาพถ่ายหรือภาพเคลื่อนไหวของผู้เข้าร่วมกิจกรรม ถ้ามีบุคคลภายนอกร่วมงาน ให้แจ้งวัตถุประสงค์ รายละเอียด และฐานทางกฎหมายให้ชัดเจน ให้ผู้เข้าร่วมรับทราบได้โดยง่าย

ป้ายไม่ต้องยาว สคส. เห็นว่าระบุรายละเอียดในป้ายโดยสังเขป แล้วมีรายละเอียดครบตามมาตรา 23 ในรูปแบบอื่นที่เข้าถึงง่ายก็ได้ เช่น เอกสารที่จุดลงทะเบียน ประกาศบนเว็บไซต์ QR code หรืออีเมล วิธีแจ้งที่ สคส. ยกไว้มีทั้งหนังสือ ป้ายประกาศ ข้อความสั้น การแจ้งด้วยวาจา และทางโทรศัพท์ สคส. ยังอ้างถึงแนวทางการแจ้งวัตถุประสงค์และรายละเอียดฯ ที่คณะกรรมการกำหนดตามมาตรา 16 (3) และสื่อประชาสัมพันธ์ของสำนักงานเรื่องการจัดงานอบรมหรือสัมมนากับ PDPA ให้ไปศึกษาเพิ่ม

• วัตถุประสงค์ที่เจาะจง สคส. ให้เลี่ยงวัตถุประสงค์ที่กว้างเกินสมควร โดยเฉพาะแบบที่ครอบคลุมทุกเรื่อง เขียนให้ชัดว่าถ่ายเพื่อประชาสัมพันธ์กิจกรรมนี้ บนช่องทางใดของบริษัท (มาตรา 23 (1))
• ข้อมูลที่เก็บและระยะเวลา ภาพนิ่ง วิดีโอ ชื่อ และจะเก็บหรือเผยแพร่นานเท่าใด (มาตรา 23 (3))
• ผู้ที่อาจได้รับข้อมูล เช่น เอเจนซี ช่างภาพ สื่อมวลชน และสาธารณชนที่เห็นโพสต์ (มาตรา 23 (4))
• ผู้ควบคุมข้อมูลและช่องทางติดต่อ ชื่อบริษัท และช่องทางติดต่อ รวมถึง DPO ถ้ามี (มาตรา 23 (5))
• สิทธิของเจ้าของข้อมูล โดยเฉพาะสิทธิคัดค้านและสิทธิขอลบ พร้อมวิธีแจ้งที่ทำได้ในวันงาน (มาตรา 23 (6))

วัตถุประสงค์ที่แจ้งไว้จะผูกบริษัทไปตลอด สคส. อธิบายว่ามาตรา 21 กำหนดให้ใช้และเปิดเผยตามวัตถุประสงค์ที่แจ้งไว้เท่านั้น ถ้าปีหน้าฝ่ายขายอยากเอารูปชาวบ้านจากงาน CSR ไปทำโบรชัวร์สินค้า นั่นคือวัตถุประสงค์ใหม่ ต้องแจ้งและได้รับความยินยอมก่อนตามมาตรา 21 วรรคสอง (1) หรือมีกฎหมายให้ทำได้ตามมาตรา 21 วรรคสอง (2)

หลักฐานความยินยอมควรเก็บแบบไหน

บริษัท V ถามข้อนี้ตรง ๆ สคส. ไม่ได้กำหนดแบบฟอร์มให้ แต่ตอบว่าการขอความยินยอมต้องเป็นไปตามมาตรา 19 และมาตรา 20 มาตรา 19 วรรคสองให้ขอโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ วรรคสามให้แยกส่วนออกจากข้อความอื่นอย่างชัดเจน ใช้ภาษาที่อ่านง่าย วรรคห้าให้ถอนความยินยอมได้ง่ายเช่นเดียวกับตอนให้ และวรรคสุดท้ายบอกผลของการขอผิดวิธีไว้

เมื่ออ่านมาตรา 19 ครบ หลักฐานที่ควรมีจึงเป็นเอกสารหรือบันทึกอิเล็กทรอนิกส์ที่บอกได้ว่าใครยินยอม ยินยอมให้ใช้รูปเพื่ออะไร บนช่องทางใด เมื่อไร และถอนได้ทางไหน ถ้าเป็นเด็กต้องเห็นว่าผู้ลงชื่อคือผู้ใช้อำนาจปกครอง องค์ประกอบของความยินยอมที่ใช้ได้ อ่านเพิ่มที่ คู่มือความยินยอมที่ถูกต้อง

มีคนขอให้ลบรูปหลังโพสต์ไปแล้ว บริษัทต้องทำอย่างไร?

ถ้าบริษัทใช้ฐานมาตรา 24 (5) คนในรูปมีสิทธิคัดค้านตามมาตรา 32 (1) เมื่อใดก็ได้ สคส. เขียนถึงบริษัท V ว่าผู้มีอำนาจกระทำการแทนตามมาตรา 20 เช่น ผู้ใช้อำนาจปกครองของเด็ก ก็ใช้สิทธินี้แทนได้ เมื่อมีคำคัดค้าน ภาระพิสูจน์อยู่ที่บริษัท ลำดับด้านล่างเรียงตามที่ สคส. อธิบาย

1. ทันทีที่ได้รับแจ้ง
   แยกรูปและวิดีโอของคนนั้นออกจากข้อมูลอื่นอย่างชัดเจน ในทางปฏิบัติคือซ่อนโพสต์หรือเอารูปนั้นออกจากอัลบั้มก่อน แล้วจดวันเวลาที่ได้รับคำคัดค้านและตัวตนของผู้แจ้งมาตรา 32 วรรคสอง
2. ขั้นพิจารณา
   ถามว่าบริษัทพิสูจน์ได้หรือไม่ว่ามีเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า หรือจำเป็นต้องใช้เพื่อก่อตั้ง ใช้ หรือต่อสู้สิทธิเรียกร้องตามกฎหมาย สำหรับรูปประชาสัมพันธ์ เหตุแบบนี้หาได้ยากมาตรา 32 (1) (ก) (ข)
3. ถ้าพิสูจน์ไม่ได้
   หยุดเก็บ ใช้ และเปิดเผยรูปนั้น เจ้าของข้อมูลมีสิทธิขอให้ลบ ทำลาย หรือทำให้ระบุตัวไม่ได้ เช่น เบลอหน้าหรือครอปออกมาตรา 32 วรรคสอง · มาตรา 33 วรรคหนึ่ง (3)
4. ตามรอยรูปที่กระจายไปแล้ว
   เพราะบริษัทเป็นคนทำให้รูปเปิดเผยต่อสาธารณะ บริษัทต้องรับผิดชอบทั้งทางเทคโนโลยีและค่าใช้จ่าย และแจ้งผู้ควบคุมข้อมูลรายอื่นที่เอารูปไปใช้ เช่น เพจพันธมิตร สื่อที่ลงข่าวแจก เว็บไซต์ของโรงเรียนมาตรา 33 วรรคสาม
5. ถ้าปฏิเสธคำคัดค้าน
   บันทึกการปฏิเสธพร้อมเหตุผลไว้ในบันทึกรายการ (RoPA)มาตรา 32 วรรคสาม · มาตรา 39
6. ถ้าบริษัทนิ่งเฉย
   เจ้าของข้อมูลมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ ให้สั่งบริษัทลบหรือทำให้ระบุตัวไม่ได้มาตรา 33 วรรคสี่

มาตรานี้เป็นเหตุผลทางธุรกิจที่หนักที่สุดของการคิดก่อนโพสต์ รูปที่ขึ้นเพจแล้วถูกแชร์ ถูกสื่อท้องถิ่นหยิบไปลง ถูกเอเจนซีตัดเป็นคลิปสรุปผลงานประจำปี เมื่อวันหนึ่งผู้ปกครองขอให้ลบ งานตามลบและค่าใช้จ่ายทั้งหมดเป็นของบริษัท ส่วนกรณีที่ใช้ฐานความยินยอม การถอนความยินยอมก็นำไปสู่สิทธิขอลบตามมาตรา 33 วรรคหนึ่ง (2) ได้เหมือนกัน ขั้นตอนรับคำขอใช้สิทธิทั้งระบบอยู่ใน ตอบคำขอใช้สิทธิของเจ้าของข้อมูล

โพสต์ลงโซเชียล เป็นการส่งข้อมูลไปต่างประเทศด้วยหรือไม่?

คำตอบถึงบริษัท V ไม่ได้พูดถึงประเด็นนี้ จึงยังไม่มีความเห็นของ สคส. ว่าการโพสต์รูปบนแพลตฟอร์มสื่อสังคมออนไลน์เป็นการส่งหรือโอนข้อมูลไปต่างประเทศตามมาตรา 28 หรือไม่ แต่มีข้อหารืออีกเรื่องที่ให้เกณฑ์คิดไว้ คือข้อหารือ สคส. เรื่องการเผยแพร่ข้อมูลส่วนบุคคลและการเผยแพร่ข้อมูลข้ามพรมแดน ในโครงการนำร่องระบบเลขนิติบุคคลเดียวในอาเซียน (UBIN) ที่สำนักงานส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม (สสว.) ถามมา

โครงการนั้นจะเชื่อมฐานข้อมูลทะเบียนนิติบุคคลของประเทศสมาชิกผ่าน API Gateway กลาง โดยไม่เก็บข้อมูลไว้บน Portal ข้อมูลที่จะแสดงมีชื่อกรรมการและผู้ถือหุ้นรวมอยู่ด้วย สคส. เทียบกับบทนิยามในประกาศคณะกรรมการฯ เรื่องการส่งหรือโอนข้อมูลไปต่างประเทศ แล้วเห็นว่าแม้เชื่อมผ่าน Gateway แต่ผู้รับในประเทศปลายทางเข้าถึงข้อมูลได้ จึงถือเป็นการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามมาตรา 28 และมาตรา 29

ในเรื่อง UBIN สคส. ยังตอบว่าหน่วยงานที่ถือข้อมูลต้องทำตามกฎหมายเฉพาะของตนก่อน แล้วทำตาม PDPA เพิ่มเติม และก่อนส่งข้อมูลต้องแจ้งวัตถุประสงค์และประเภทของผู้รับตามมาตรา 23 (1) และ (4) ให้ครอบคลุมผู้รับในต่างประเทศ เปิดเผยเท่าที่จำเป็นตามมาตรา 22 และมีมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1) สำหรับผู้ประกอบการที่มีชื่อเป็นกรรมการหรือผู้ถือหุ้น ข้อหารือนี้บอกว่าข้อมูลของท่านยังอยู่ในความคุ้มครองของ PDPA แม้ถูกเปิดเผยข้ามประเทศโดยหน่วยงานของรัฐ

บริษัทที่โพสต์รูปงานควรเอาสองเรื่องนี้ไปคิดแบบระวัง ข้อแรก อย่าสรุปเองว่าโพสต์สาธารณะไม่เกี่ยวกับมาตรา 28 เพราะ สคส. ยังไม่เคยตอบ ข้อสอง กรณีที่มีผู้รับในต่างประเทศชัดเจน เช่น ส่งไฟล์ดิบให้สตูดิโอตัดต่อหรือบริษัทแม่ในต่างประเทศ เกณฑ์เรื่องบุคคลภายนอกเข้าถึงข้อมูลได้ใช้เทียบได้ตรงกว่า และควรตรวจตาม ส่งข้อมูลไปต่างประเทศตามมาตรา 28 ข้อสาม ประกาศหน้างานควรบอกตรง ๆ ว่ารูปจะเผยแพร่บนสื่อสังคมออนไลน์ที่ใครก็เปิดดูได้ ข้อสุดท้ายนี้เป็นข้อเสนอของเรา

ถ้าทำผิด พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลกำหนดผลไว้อย่างไร?

มีสามทางที่เดินพร้อมกันได้ คือ ค่าสินไหมทดแทนทางแพ่ง โทษอาญา และโทษปรับทางปกครอง สคส. ไม่ได้ไล่บทกำหนดโทษในคำตอบถึงบริษัท V เพียงเตือนว่าหน้าที่ตามมาตรา 21 และมาตรา 23 มีบทกำหนดโทษแยกกัน ตารางนี้จึงจับคู่พฤติการณ์กับตัวบทในหมวด 6 และหมวด 7 ที่เราเปิดอ่านจากคลัง ตัวเลขทั้งหมดเป็นเพดานที่กฎหมายเขียนไว้ ไม่ใช่ค่าปรับที่มีการสั่งจริงในคดีใด

โทษอาญาใกล้งาน CSR มากกว่าที่คิด

มาตรา 79 ใช้กับข้อมูลตามมาตรา 26 เท่านั้น รูปพนักงานยืนยิ้มหน้าป้ายงานจึงไม่เข้า แต่รูปผู้ป่วย ผู้พิการ หรือรูปที่เผยความเชื่อทางศาสนาของคนในภาพ อยู่ในกลุ่มที่ต้องอ่านมาตรานี้ องค์ประกอบคือเปิดเผยโดยฝ่าฝืนมาตรา 27 และโดยประการที่น่าจะทำให้ผู้อื่นเสียหายหรืออับอาย กฎหมายใช้คำว่า น่าจะ จึงไม่ต้องรอให้เสียหายจริง จะเข้าองค์ประกอบหรือไม่ขึ้นกับข้อเท็จจริงของแต่ละเรื่อง มาตรา 79 วรรคสามกำหนดให้เป็นความผิดอันยอมความได้

ทางแพ่ง: คนในรูปไม่ต้องพิสูจน์ว่าบริษัทจงใจ

มาตรา 77 ให้ผู้ควบคุมข้อมูลที่ฝ่าฝืน พ.ร.บ. จนเจ้าของข้อมูลเสียหาย ต้องชดใช้ค่าสินไหมทดแทน ไม่ว่าจะจงใจหรือประมาทเลินเล่อหรือไม่ก็ตาม ข้อแก้ตัวมีเพียงเหตุสุดวิสัย การกระทำของเจ้าของข้อมูลเอง หรือการปฏิบัติตามคำสั่งของเจ้าหน้าที่ มาตรา 78 วรรคสองกำหนดอายุความ 3 ปีนับแต่ผู้เสียหายรู้ถึงความเสียหายและรู้ตัวผู้ต้องรับผิด หรือ 10 ปีนับแต่วันที่มีการละเมิด โพสต์ที่ค้างอยู่บนเพจจึงเป็นความเสี่ยงที่ติดตัวบริษัทไปอีกหลายปี

ใครในบริษัทอยู่ตรงไหนของความรับผิด

เช็กลิสต์วันงาน: ก่อน ระหว่าง และหลัง

รายการนี้รวมสิ่งที่ สคส. แนะนำบริษัท V กับแนวปฏิบัติของทีม AIPDPA ข้อที่มาจากคำตอบของ สคส. หรือจากตัวบท มีเลขมาตรากำกับ ข้อที่ไม่มีเลขมาตราเป็นข้อเสนอของเรา

ทดสอบทีมการตลาด 5 ข้อ ตอบไม่ได้ข้อไหนให้แก้ข้อนั้น

1. อัลบั้มงาน CSR ล่าสุดบนเพจ ใช้ฐานทางกฎหมายใด และมีบันทึก LIA หรือหลักฐานความยินยอมให้เปิดดูได้ภายในวันนี้หรือไม่
2. คนในงานครั้งนั้นได้รับแจ้งก่อนถูกถ่ายด้วยวิธีใด มีรูปป้ายหรือสำเนาเอกสารเก็บไว้หรือไม่
3. ในอัลบั้มมีรูปเด็กที่เห็นหน้าชัดกี่รูป และแต่ละรูปมีความยินยอมจากผู้ใช้อำนาจปกครองหรือไม่
4. มีรูปใดเผยข้อมูลสุขภาพ ความพิการ หรือความเชื่อทางศาสนาของคนในภาพหรือไม่
5. ถ้าพรุ่งนี้มีผู้ปกครองทักมาขอให้ลบรูปลูก ใครรับเรื่อง ต้องลบที่ใดบ้าง และใครแจ้งเพจพันธมิตรกับสื่อที่เอารูปไปใช้

บริษัทที่ตอบไม่ได้ตั้งแต่สามข้อขึ้นไป ไม่จำเป็นต้องหยุดทำ CSR หรือหยุดโพสต์ สิ่งที่ต้องเปลี่ยนคือขั้นตอนก่อนกดโพสต์ และต้องย้อนดูโพสต์เก่าด้วย เพราะสิทธิคัดค้านตามมาตรา 32 ใช้ได้เมื่อใดก็ได้ และอายุความเรียกค่าเสียหายตามมาตรา 78 นับเป็นปี

แผน 7 วันสำหรับเพจบริษัทที่โพสต์ไปแล้วหลายปี

1. วันที่ 1
   ไล่ดูโพสต์กิจกรรมย้อนหลัง ทำรายการอัลบั้มที่มีเด็ก ผู้ป่วย ผู้พิการ ผู้สูงอายุในสถานดูแล หรือพิธีทางศาสนามาตรา 26 · มาตรา 20
2. วันที่ 2
   ซ่อนหรือแก้รูปกลุ่มเสี่ยงที่ไม่มีหลักฐานความยินยอม เริ่มจากรูปเดี่ยวที่มีชื่อกำกับ แล้วแทนด้วยภาพบรรยากาศมาตรา 22 · มาตรา 27
3. วันที่ 3
   เขียนบันทึก LIA สำหรับรูปกิจกรรมทั่วไปที่จะคงไว้ แยกกลุ่มพนักงานกับบุคคลภายนอกมาตรา 24 (5)
4. วันที่ 4
   ทำชุดเอกสารหน้างาน ได้แก่ ป้ายแจ้งการบันทึกภาพ ประกาศรายละเอียดตามมาตรา 23 และแบบขอความยินยอมสำหรับผู้ใหญ่และสำหรับผู้ใช้อำนาจปกครองมาตรา 19 · มาตรา 20 · มาตรา 23
5. วันที่ 5
   กำหนดช่องทางรับคำคัดค้านและคำขอลบ ผู้รับผิดชอบ และขั้นตอนแยกรูปออกทันทีมาตรา 32 · มาตรา 33
6. วันที่ 6
   แก้สัญญาจ้างเอเจนซี ช่างภาพ และออร์แกไนเซอร์ ให้มีข้อกำหนดเรื่องการใช้รูปตามคำสั่งของบริษัทเท่านั้น และการส่งคืนหรือลบไฟล์หลังจบงานมาตรา 6 (นิยามผู้ประมวลผลข้อมูลส่วนบุคคล)
7. วันที่ 7
   เพิ่มกิจกรรมถ่ายภาพและเผยแพร่งานอีเวนต์ลงในบันทึกรายการ แล้วอบรมแอดมินเพจและทีมหน้างานด้วยเช็กลิสต์ข้างบนมาตรา 39

ข้อหารือนี้ยังไม่ได้ตอบเรื่องใด?

คำตอบถึงบริษัท V เป็นความเห็นของคณะอนุกรรมการตอบข้อหารือฯ ต่อข้อเท็จจริงที่บริษัทถามมา ไม่ใช่ตัวบทและไม่ใช่คำวินิจฉัยลงโทษ ถ้อยคำส่วนใหญ่เป็นระดับ ควรพิจารณา และ อาจ บริษัทจึงยังต้องประเมินเอง มีเรื่องที่คำตอบไม่ได้แตะ และบทความนี้ไม่ตอบแทน

• รูปแบบของหลักฐานความยินยอมที่ถือว่าเพียงพอ สคส. ตอบเพียงว่าต้องเป็นไปตามมาตรา 19 และมาตรา 20
• สถานะของเอเจนซี ช่างภาพ และโรงเรียนหรือมูลนิธิที่ร่วมจัดงาน ว่าเป็นผู้ประมวลผลหรือผู้ควบคุมข้อมูลร่วม
• การโพสต์สาธารณะบนแพลตฟอร์มเป็นการส่งหรือโอนข้อมูลไปต่างประเทศตามมาตรา 28 หรือไม่
• สิทธิของคนในรูปตามประมวลกฎหมายแพ่งและพาณิชย์หรือกฎหมายอื่น สคส. อ้างประมวลกฎหมายแพ่งและพาณิชย์เฉพาะเรื่องความสามารถของผู้เยาว์ตามที่มาตรา 20 ของ PDPA โยงไปถึง
• กำหนดเวลาตอบคำคัดค้านและคำขอลบ คำตอบนี้พูดเพียงว่าต้องแยกส่วนข้อมูลในทันทีตามมาตรา 32 วรรคสอง

รูปงานของบริษัทยังมีอีกสองเรื่องที่ไม่ใช่ PDPA แต่มักมาพร้อมกัน คือลิขสิทธิ์ของภาพและเพลงประกอบคลิป อ่านที่ เอารูปจากเน็ตมาลงเว็บบริษัท ผิดลิขสิทธิ์ตรงไหน และการเอารายชื่อผู้ร่วมงานไปส่งข่าวสารการตลาดต่อ อ่านที่ ส่งโปรฯ หาลูกค้าเก่า ต้องขอความยินยอมทุกครั้งหรือไม่

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)