ลูกค้ากดถอนความยินยอม ต้องหยุดใช้ข้อมูลเร็วแค่ไหน

เปิดแอปของบริษัทคุณเองแล้วนับดู ตอนขอความยินยอมรับข่าวสารหรือแชร์ข้อมูลให้พันธมิตร ลูกค้าต้องกดกี่ครั้ง ส่วนใหญ่ครั้งเดียว จากนั้นหาทางถอนความยินยอมเรื่องเดียวกัน หลายบริษัทให้โทรคอลเซ็นเตอร์ กรอกแบบฟอร์ม หรือส่งอีเมลหา DPO บางแห่งมีปุ่มถอนในแอป แต่มีหมายเหตุตัวเล็กว่าระบบจะปรับปรุงภายในหลายวัน ระหว่างนั้นข้อความโฆษณายังออกตามเดิม

บริษัท Z ผู้ให้บริการเงินอิเล็กทรอนิกส์ (e-Money) เจอปัญหาเดียวกัน และเลือกถามสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ว่า ถ้าการถอนในแอปมีผลทันทีไม่ได้เพราะระบบต้องใช้เวลาประมวลผล จะใส่หมายเหตุบอกระยะเวลาได้หรือไม่ และกี่วันจึงสมควร บทความนี้เล่าคำตอบเรื่องนั้น วางคู่กับข้อหารือของธนาคาร ข. และธนาคาร จ. แล้วแปลงเป็นรายการตรวจที่ทีมผลิตภัณฑ์ใช้กับแอปตัวเองได้วันนี้

มาตรา 19 เขียนเรื่องการถอนความยินยอมไว้ว่าอย่างไร?

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มาตรา 19 วรรคห้า ให้เจ้าของข้อมูลถอนความยินยอมได้ทุกเมื่อ และกำหนดมาตรฐานของช่องทางถอนไว้ในประโยคเดียวกัน คือต้องง่ายเช่นเดียวกับการให้ ตัวบทไม่ได้เขียนว่าต้องมีช่องทางถอน แต่เขียนว่าช่องทางถอนต้องง่ายเท่ากับช่องทางให้

วรรคเดียวกันบอกต่อว่า การถอนไม่กระทบการเก็บรวบรวม ใช้ หรือเปิดเผยที่ทำไปแล้วโดยชอบก่อนวันถอน บริษัทจึงไม่ต้องกลัวว่างานที่ทำไปแล้วจะกลายเป็นผิดย้อนหลัง เรื่องที่ต้องกลัวคือสิ่งที่ระบบยังทำต่อหลังจากลูกค้ากดถอนแล้ว

สคส. ตอบบริษัท Z เรื่องความง่ายของการถอนว่าอย่างไร?

ข้อหารือ สคส. เรื่อง บริษัท Z หารือการขอถอนความยินยอมของลูกค้าในระบบแอปพลิเคชัน เริ่มจากการย้ำว่าบริษัท Z เป็นผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่ทำตามมาตรา 19 วรรคสี่และวรรคห้า จากนั้นคณะอนุกรรมการตอบข้อหารือฯ หยิบแนวทางการขอความยินยอมที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดตามมาตรา 16 (3) มาอธิบายว่าคำว่าง่ายเช่นเดียวกันต้องดูจากอะไร

• ต้องเห็นชัดตั้งแต่ตอนขอ รายละเอียดวิธีการ เงื่อนไข หรือแบบฟอร์มการถอน ต้องแสดงให้เด่นชัดในบริเวณที่เห็นได้ชัดเจนในการขอความยินยอม ทั้งแบบหนังสือและแบบอิเล็กทรอนิกส์
• ให้ด้วยวิธีไหน ถอนด้วยวิธีระดับเดียวกัน ถ้าลูกค้าให้ความยินยอมด้วยการคลิก เลื่อนหน้าจอ หรือวาด key stroke การถอนก็ต้องทำด้วยวิธีแบบเดียวกันหรือระดับเดียวกันได้โดยง่าย หรือด้วยวิธีอื่นที่เข้าถึงง่ายเท่ากัน
• ห้ามมีภาระมากกว่าตอนให้ การถอนต้องไม่สร้างภาระ ค่าใช้จ่าย หรือขั้นตอนให้เจ้าของข้อมูลมากกว่าการให้ความยินยอม
• ถอนแล้วบริการต้องไม่แย่ลง ข้อหารือระบุว่าการถอนต้องไม่มีผลทำให้การให้บริการด้อยประสิทธิภาพลง

เหตุผลที่ สคส. ให้ไว้เป็นส่วนที่ผู้บริหารควรอ่านซ้ำ หลักนี้มีขึ้นเพื่อกันไม่ให้ผู้ควบคุมข้อมูลสร้างอุปสรรคจนการถอนยากกว่าการให้ คณะอนุกรรมการฯ เห็นว่าอุปสรรคแบบนั้นเป็นภาระที่ไม่เหมาะสมแก่เจ้าของข้อมูล และอาจสะท้อนเจตนาของบริษัทว่าไม่อยากให้ลูกค้าถอน ขัดกับหลักที่ต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของการให้ความยินยอม และ สคส. นับสิทธิถอนเป็นส่วนหนึ่งของความเป็นอิสระนั้นด้วย

ลูกค้ากดถอนแล้ว ต้องหยุดใช้ข้อมูลเร็วแค่ไหน?

โดยไม่ชักช้า หรือเร็วที่สุดเท่าที่เป็นไปได้ในทางเทคนิคและทางปฏิบัติ สคส. ตอบบริษัท Z ว่าเมื่อเจ้าของข้อมูลถอนความยินยอมผ่านแอปด้วยวิธีที่ง่ายเช่นเดียวกับการให้แล้ว บริษัทต้องหยุดเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลนั้น ข้อหารือใช้คำกำกับภาษาอังกฤษว่า without undue delay

คณะอนุกรรมการฯ ตั้งข้อสังเกตเพิ่มว่า เวลาที่ใช้กับการถอนความยินยอมต่างจากเวลาที่ใช้ตอบคำขอใช้สิทธิอื่น สิทธิขอเข้าถึงและขอรับสำเนาตามมาตรา 30 หรือสิทธิขอลบตามมาตรา 33 มีกรอบเวลา 30 วันหรือมากกว่า ส่วนการหยุดเก็บ ใช้ หรือเปิดเผยหลังการถอน ถูกคาดหวังให้เกิดเร็วกว่านั้นค่อนข้างมาก

เหตุผลของ สคส. สั้นและหนัก เมื่อลูกค้าถอนแล้ว ผู้ควบคุมข้อมูลไม่มีฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลนั้นอีกต่อไป และมีหน้าที่ลบหรือทำลายข้อมูลที่ลูกค้าถอนความยินยอม เว้นแต่เข้าข้อยกเว้นที่ PDPA กำหนด ทุกชั่วโมงที่ระบบยังส่งข้อความหรือยังแชร์ข้อมูลให้พันธมิตร จึงเป็นการใช้ข้อมูลที่ไม่มีฐานรองรับ

ระบบที่ สคส. อยากเห็น

สำหรับการถอนผ่านช่องทางดิจิทัล เช่น แอปพลิเคชัน สคส. เห็นว่าระบบควรออกแบบให้เปลี่ยนเงื่อนไขการเก็บ ใช้ หรือเปิดเผยข้อมูลตามสถานะความยินยอมของผู้ใช้ได้เองทันที บริษัท Z จึงควรทำสามเรื่อง ให้การถอนมีผลอัตโนมัติเมื่อผู้ใช้กดปุ่ม ให้ระบบปรับสถานะและหยุดเก็บ ใช้ หรือเปิดเผยข้อมูลที่เกี่ยวข้องทันทีหากทำได้ และแจ้งยืนยันการถอนให้เจ้าของข้อมูลรู้ว่าเรื่องเสร็จแล้ว

ถ้าระบบทำทันทีไม่ได้จริง ๆ

สคส. ไม่ได้ปิดทาง แต่วางเงื่อนไขไว้แคบ ต้องเป็นเหตุผลทางเทคนิคหรือทางปฏิบัติที่หลีกเลี่ยงไม่ได้ และบริษัทควรทำตามข้อต่อไปนี้ จุดที่คมที่สุดคือข้อสาม เพราะเป็นไม้บรรทัดที่วัดได้จริง ถ้าความยินยอมมีผลในไม่กี่วินาทีหลังลูกค้ากด บริษัทจะอธิบายยากว่าทำไมการถอนต้องใช้เวลาหลายวัน

1. แจ้งเงื่อนไขและระยะเวลาที่เหมาะสมจนกว่าการถอนจะมีผล ให้เจ้าของข้อมูลทราบโดยชัดแจ้ง ในขั้นตอนการถอน ไม่ใช่ซ่อนไว้ในเอกสารอื่น
2. กำหนดระยะเวลาโดยคำนึงถึงหลักความเป็นธรรมและความโปร่งใส
3. ระยะเวลานั้น ไม่ควรนานกว่าขั้นตอนที่บริษัทใช้ทำให้การให้ความยินยอมมีผลใช้บังคับ
4. ระบุระยะเวลาโดยสังเขปไว้ในประกาศความเป็นส่วนตัวตามมาตรา 23 และในขั้นตอนขอความยินยอมตามมาตรา 19 วรรคสามด้วย เพราะข้อมูลนี้อาจมีผลต่อการตัดสินใจให้ความยินยอมหรือใช้สิทธิอื่น
5. กำหนดระยะเวลาจากกระบวนการจริงของระบบที่เกี่ยวข้อง ระบุเวลาที่คาดว่าการถอนจะมีผลเสร็จสมบูรณ์ และอาจระบุเวลาเร็วที่สุดกับช้าที่สุดที่เป็นไปได้ด้วยก็ได้
6. ระยะเวลาที่ระบุต้องสะท้อนการทำงานที่ไม่ชักช้าและรวดเร็วตามสมควร

บริษัท Z ถามตรง ๆ ว่ากี่วันจึงสมควร สคส. ไม่ได้ให้ตัวเลข คำตอบคือหลักที่ใช้คิดตัวเลขเอง ใครที่หวังจะได้เพดานอย่าง 7 วันหรือ 15 วันไปใส่ในหมายเหตุ ข้อหารือนี้ไม่มีให้ และเมื่อไม่มีตัวเลขกลาง ภาระการอธิบายว่าเวลาของเราไม่ชักช้าก็อยู่กับบริษัทเอง

หลังลูกค้ากดถอน ต้องเกิดอะไรขึ้นตามลำดับ?

ลำดับด้านล่างรวมคำตอบของ สคส. ในข้อหารือบริษัท Z และธนาคาร ข. กับตัวบท PDPA ขั้นที่เป็นแนวปฏิบัติของทีม AIPDPA ไม่ใช่ถ้อยคำของ สคส. เขียนกำกับไว้แล้ว

1. ก่อนลูกค้ากดยืนยัน
   หน้าจอถอนบอกผลกระทบที่ลูกค้าจะเจอหลังถอน และถ้าการถอนมีผลทันทีไม่ได้ ให้บอกเงื่อนไขกับระยะเวลาตรงนี้ม.19 วรรคหก · ข้อหารือบริษัท Z
2. ทันทีที่กด
   ระบบเปลี่ยนสถานะความยินยอม และหยุดเก็บ ใช้ เปิดเผยข้อมูลที่อาศัยความยินยอมนั้นโดยอัตโนมัติข้อหารือบริษัท Z
3. ต่อเนื่องกัน
   แจ้งยืนยันการถอน และแสดงสถานะปัจจุบันให้ลูกค้าเห็น พร้อมจดบันทึกที่ตรวจสอบย้อนกลับได้ว่าใครถอนเรื่องใด เมื่อใดข้อหารือบริษัท Z · ข้อหารือธนาคาร ข.
4. ภายในระยะเวลาที่แจ้งไว้
   กรณีระบบทำทันทีไม่ได้ การถอนต้องมีผลครบภายในเวลาที่บอกลูกค้าไว้ และเวลานั้นไม่ควรนานกว่าตอนทำให้ความยินยอมมีผลข้อหารือบริษัท Z
5. ช่วงเดียวกัน
   ส่งสถานะใหม่ไปยังทุกระบบที่ใช้ข้อมูลชุดนั้น เช่น ระบบส่งอีเมล SMS การแจ้งเตือนในแอป รายชื่อที่ส่งให้พันธมิตรหรือผู้รับจ้าง (แนวปฏิบัติของทีม AIPDPA)แนวปฏิบัติ
6. หลังหยุดใช้แล้ว
   ลบหรือทำลายข้อมูลที่เก็บมาด้วยความยินยอมนั้น เว้นแต่มีฐานอื่นหรือข้อยกเว้นให้เก็บต่อ และจดเหตุผลไว้ม.33 (2) · ม.37 (3)

ปุ่มไม่ยินยอมที่มีอยู่แล้ว นับเป็นช่องทางถอนหรือไม่?

นับได้ ถ้าบริษัทบอกลูกค้าไว้ชัด ธนาคาร ข. ถาม สคส. ว่า ลูกค้าเปลี่ยนจากยินยอมเป็นไม่ยินยอมด้วยตัวเองผ่านเครื่อง VTM และ Mobile Banking ถือเป็นการถอนความยินยอมแล้วหรือยัง หรือต้องทำเมนูเพิกถอนแยกอีก คำตอบคือไม่ต้องทำเมนูแยก โดยมีเงื่อนไขว่าประกาศความเป็นส่วนตัวต้องแจ้งไว้อย่างชัดแจ้งว่าการกดปุ่มไม่ยินยอมหลังจากเคยกดยินยอมมาแล้ว ให้ถือเป็นการถอน

ข่าวดีสำหรับทีมพัฒนาคือ สวิตช์เปิดปิดตัวเดิมใช้ได้ทั้งให้และถอน แต่คำตอบของ สคส. มีท่อนหลังที่ธนาคารและฟินเทคจำนวนมากยังไม่ได้ทำ

สองข้อหารือนี้ตอบตรงกันในจุดเดียว ลูกค้าต้องรู้ว่าการถอนของตัวเองสำเร็จแล้ว ธนาคาร ข. ได้คำแนะนำให้แสดงสถานะ บริษัท Z ได้คำแนะนำให้แจ้งยืนยัน สวิตช์ที่เลื่อนปิดได้ แต่หลังบ้านไม่มีบันทึกว่าปิดเมื่อไร และลูกค้าไม่ได้รับข้อความอะไรเลย จึงยังไม่ครบตามที่ สคส. แนะ

ต้องบอกลูกค้าเรื่องผลของการถอนตอนไหน และบอกอะไร?

ต้องบอกเมื่อการถอนส่งผลกระทบต่อตัวลูกค้า หน้าที่นี้อยู่ในมาตรา 19 วรรคหก และเป็นหน้าที่ที่มีโทษปรับกำกับไว้โดยตรง ต่างจากหลายข้อในมาตราเดียวกัน

สมมติว่าลูกค้าของแอปกระเป๋าเงินถอนความยินยอมให้ใช้ประวัติการใช้จ่ายเพื่อคัดข้อเสนอเฉพาะบุคคล ผลที่ตามมาอาจเป็นว่าเขาจะไม่เห็นส่วนลดที่คัดให้ตรงกับร้านที่ใช้ประจำ หน้าจอถอนควรบอกเรื่องนี้ก่อนลูกค้ากดยืนยัน บอกเท่าที่เป็นจริง และไม่ขู่ให้เปลี่ยนใจ เพราะข้อหารือบริษัท Z ระบุว่าการถอนต้องไม่ทำให้บริการด้อยลง

มาตรา 82 ยังพูดถึงมาตรา 23 ด้วย และมาตรา 23 (6) กำหนดให้ประกาศความเป็นส่วนตัวต้องแจ้งสิทธิตามมาตรา 19 วรรคห้า ประกาศที่ไม่บอกเลยว่าลูกค้าถอนความยินยอมได้และถอนอย่างไร จึงเสี่ยงโทษเพดานเดียวกัน คือปรับทางปกครองไม่เกิน 1 ล้านบาท

ถอนแล้วอะไรต้องหยุด อะไรเก็บต่อได้?

ต้องหยุดทุกกิจกรรมที่อาศัยความยินยอมนั้นเป็นฐาน กิจกรรมที่มีฐานอื่นรองรับตั้งแต่ต้นไม่กระทบ บริษัทที่ตอบไม่ได้ว่าข้อมูลชุดไหนใช้ฐานอะไร จะตอบคำถามนี้ไม่ได้เลย และจะหยุดเกินหรือหยุดขาดอย่างใดอย่างหนึ่ง

มาตรา 37 (3) วางหน้าที่อีกชั้นให้ผู้ควบคุมข้อมูลจัดให้มีระบบตรวจสอบเพื่อลบหรือทำลายข้อมูลที่เจ้าของข้อมูลถอนความยินยอม โดยมีข้อยกเว้น เช่น เก็บไว้เพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมาย หรือเพื่อปฏิบัติตามกฎหมาย ข้อหารือบริษัท Z พูดสอดคล้องกันว่ามีหน้าที่ลบหรือทำลาย เว้นแต่ได้รับยกเว้นตามที่ PDPA กำหนด

เปลี่ยนไปอ้างประโยชน์โดยชอบด้วยกฎหมายหลังลูกค้าถอนได้หรือไม่

ข้อหารือของธนาคาร จ. เป็นเรื่องลูกค้าไม่ให้ความยินยอมตั้งแต่ต้น ไม่ใช่เรื่องถอน แต่ สคส. วางหลักที่ทีมการตลาดควรรู้ไว้ เมื่อธนาคารเลือกใช้ฐานความยินยอมกับกิจกรรมใดแล้ว และลูกค้าไม่ให้ความยินยอม ธนาคารจะกลับไปอ้างฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) กับกิจกรรมเดียวกันนั้นไม่ได้อีก

การนำหลักนี้มาเทียบกับการถอนเป็นการอ่านของผู้เขียน ไม่ใช่ถ้อยคำของ สคส. แต่เหตุผลไปทางเดียวกับข้อหารือบริษัท Z ที่ว่าหลังถอนแล้วไม่มีฐานทางกฎหมายอีกต่อไป ส่วนกิจกรรมที่ใช้ฐานประโยชน์โดยชอบมาตั้งแต่ต้น ลูกค้ามีสิทธิคัดค้านตามมาตรา 32 เป็นอีกช่องทางหนึ่ง รายละเอียดอยู่ในบทความ ส่งโปรฯ หาลูกค้าเก่า ต้องขอความยินยอมทุกครั้งหรือไม่

แอปของคุณผ่านหรือไม่ ตรวจเองได้อย่างไร?

ให้คนในทีมสองคนจับเวลาและนับจำนวนครั้งที่กด คนหนึ่งให้ความยินยอม อีกคนถอนเรื่องเดียวกัน แล้วกรอกตารางนี้ คอลัมน์สุดท้ายคือเกณฑ์ที่ถอดจากข้อหารือบริษัท Z ถ้าช่องตอนถอนแย่กว่าช่องตอนให้แม้ข้อเดียว แปลว่ามีงานต้องแก้

ปล่อยไว้ไม่แก้ เสี่ยงอะไรตามตัวบท?

ข้อหารือทั้งสามเรื่องไม่ได้พูดถึงโทษ ส่วนนี้เป็นการอ่านบทกำหนดโทษของ PDPA เทียบกับพฤติกรรมแต่ละแบบ ยังไม่มีคำวินิจฉัยหรือคำพิพากษาในคลังเอกสารของเรายืนยันผลในแต่ละแถว จึงควรอ่านเป็นแผนที่ความเสี่ยง ไม่ใช่คำทำนายผลคดี

แถวสุดท้ายของตารางน่าสนใจที่สุด บทกำหนดโทษทางปกครองในมาตรา 82 ถึง 84 ไม่ได้เขียนชื่อมาตรา 19 วรรคห้าไว้ตรง ๆ แต่ไม่ได้แปลว่าปลอดภัย ช่องทางถอนที่ยากทำให้การถอนเกิดช้า และช่วงที่ช้านั้นระบบยังใช้ข้อมูลต่อ จึงวนกลับไปเข้ามาตรา 27 กับมาตรา 83 อีกทางหนึ่ง มาตรา 19 วรรคท้ายยังบัญญัติว่าการขอความยินยอมที่ไม่เป็นไปตามหมวดนี้ไม่มีผลผูกพันเจ้าของข้อมูล ทนายฝั่งลูกค้ามีช่องให้โต้แย้งว่าความยินยอมทั้งชุดใช้ไม่ได้ตั้งแต่ต้น

ความรับผิดทางแพ่งตามมาตรา 77 เกิดได้แม้บริษัทไม่ได้จงใจหรือประมาทเลินเล่อ ข้อแก้ตัวว่าระบบยังปรับปรุงไม่เสร็จจึงไม่อยู่ในเหตุยกเว้นที่มาตรา 77 เขียนไว้ เหตุยกเว้นมีเพียงเหตุสุดวิสัย การกระทำของเจ้าของข้อมูลเอง และการทำตามคำสั่งเจ้าหน้าที่ตามกฎหมาย ส่วนพฤติการณ์ที่ศาลใช้กำหนดค่าสินไหมเพื่อการลงโทษตามมาตรา 78 มีเรื่องผลประโยชน์ที่ผู้ควบคุมข้อมูลได้รับรวมอยู่ด้วย

กรรมการและผู้จัดการเกี่ยวตรงไหน

โทษอาญาตามมาตรา 79 ใช้กับการฝ่าฝืนมาตรา 27 ที่เกี่ยวกับข้อมูลอ่อนไหวตามมาตรา 26 และต้องเป็นไปโดยประการที่น่าจะทำให้ผู้อื่นเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย หรือทำเพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย แอปที่ขอความยินยอมใช้ข้อมูลชีวภาพหรือข้อมูลสุขภาพจึงต้องระวังมากกว่าแอปทั่วไป เมื่อนิติบุคคลทำผิด มาตรา 81 ให้กรรมการ ผู้จัดการ หรือผู้รับผิดชอบที่สั่งการ หรือมีหน้าที่ต้องสั่งการแล้วละเว้น รับโทษตามความผิดนั้นด้วย

เพื่อความเป็นธรรมต้องบอกด้วยว่า มาตรา 90 ให้คณะกรรมการผู้เชี่ยวชาญสั่งให้แก้ไขหรือตักเตือนก่อนได้ถ้าเห็นสมควร และเวลากำหนดค่าปรับต้องดูความร้ายแรงของพฤติกรรมและขนาดกิจการประกอบ ตัวเลขในตารางเป็นเพดาน ไม่ใช่อัตราตายตัว ภาพรวมของโทษทุกประเภทอยู่ในคู่มือ โทษตาม PDPA

ห้าความผิดพลาด เทียบกับถ้อยคำของกฎหมาย

1. “ง่ายเช่นเดียวกับการให้ความยินยอม” แต่ให้ในแอป ถอนทางโทรศัพท์หรือสาขา
2. “เมื่อใดก็ได้” แต่รับเรื่องถอนเฉพาะวันและเวลาทำการ หรือรวมถอนเป็นรอบเดือน
3. “ต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบ” แต่หน้าจอถอนมีแค่ปุ่มยืนยัน ไม่บอกว่าถอนแล้วอะไรเปลี่ยน
4. “ไม่มีอำนาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือเปิดเผย” แต่ข้อมูลที่เก็บมาด้วยความยินยอมยังอยู่ครบทุกตาราง ไม่มีใครตรวจว่าต้องลบส่วนไหน
5. “โดยไม่ได้รับความยินยอม” แต่รายชื่อที่ส่งให้ผู้รับจ้างหรือแพลตฟอร์มโฆษณาไปแล้วไม่มีใครแจ้งถอนตาม ระบบปลายทางจึงใช้ต่อ

ผู้ใช้เป็นผู้เยาว์ ใครเป็นคนถอนความยินยอม?

ใช้เงื่อนไขเดียวกับตอนขอความยินยอม สคส. ตอบบริษัท Z ว่า มาตรา 20 วรรคสี่ ให้นำเงื่อนไขการขอความยินยอมจากผู้เยาว์มาใช้กับการถอนความยินยอมโดยอนุโลม คนที่มีอำนาจให้ ก็คือคนที่มีอำนาจถอน

ข้อหารือระบุว่า กรณีผู้ใช้บริการเป็นผู้เยาว์ที่ยังไม่บรรลุนิติภาวะ บริษัท Z ต้องพิจารณาก่อนว่าเป็นเรื่องที่ผู้เยาว์ให้ความยินยอมโดยลำพังได้ตามที่ประมวลกฎหมายแพ่งและพาณิชย์บัญญัติไว้หรือไม่ ถ้าไม่ใช่ ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองด้วย และถ้าผู้เยาว์อายุไม่เกิน 10 ปี ต้องขอจากผู้ใช้อำนาจปกครองแทน ตามมาตรา 20 วรรคหนึ่งของ PDPA ตัวบทประมวลกฎหมายแพ่งและพาณิชย์ไม่อยู่ในคลังของเรา บทความนี้จึงอ้างเท่าที่ข้อหารือกล่าวถึง

สคส. แนะต่อว่า ผู้ควบคุมข้อมูลควรคำนึงถึงวุฒิภาวะของผู้เยาว์ในการตัดสินใจเกี่ยวกับผลิตภัณฑ์หรือบริการนั้น ประกอบกับผลกระทบจากการตัดสินใจ แล้วจัดการเรื่องการขอและการถอนความยินยอมจากผู้ใช้อำนาจปกครองให้เหมาะสม แอปที่มีผู้ใช้อายุน้อยจึงต้องออกแบบทางถอนสำหรับผู้ปกครองไว้คู่กับทางให้ อ่านเรื่องนี้ต่อได้ที่ ข้อมูลเด็กกับความยินยอมของผู้ปกครอง

สามข้อหารือนี้ตอบต่างกันตรงไหน?

ความเห็นทั้งสามเป็นคำตอบต่อผู้ที่หารือ ตามข้อเท็จจริงที่ผู้นั้นเล่ามา ไม่ใช่ตัวบทกฎหมายและไม่ใช่คำสั่งลงโทษ บริษัทอื่นนำไปใช้ได้ในฐานะแนวทางที่หนักแน่นที่สุดเท่าที่มี แต่ต้องตรวจว่าข้อเท็จจริงของตัวเองตรงกับเรื่องที่ถามหรือไม่

ทดสอบตัวเอง 5 ข้อ แล้วแก้ให้จบใน 7 วัน

ตอบห้าข้อนี้ด้วยหลักฐาน ไม่ใช่ความจำ ถ้าตอบว่าไม่ หรือไม่แน่ใจ แม้ข้อเดียว ให้ถือว่าบริษัทมีความเสี่ยงอยู่ในวันนี้

1. ลูกค้าถอนความยินยอมได้ในช่องทางเดียวกับที่ให้ และกดไม่มากครั้งกว่าตอนให้ ใช่หรือไม่
2. หลังลูกค้ากดถอน ระบบทุกตัวที่ใช้ข้อมูลชุดนั้นหยุดเอง โดยไม่ต้องรอพนักงานมาแก้มือ ใช่หรือไม่
3. หน้าจอถอนบอกผลกระทบที่มีจริง และบอกเวลาที่การถอนจะมีผลถ้าไม่ทันที ใช่หรือไม่
4. ลูกค้าได้รับการยืนยันและเห็นสถานะหลังถอน และบริษัทตรวจย้อนได้ว่าใครถอนเรื่องใด วันเวลาใด ใช่หรือไม่
5. บริษัทรู้ว่าหลังถอนต้องลบข้อมูลส่วนไหน เก็บส่วนไหนต่อด้วยฐานอะไร และมีคนรับผิดชอบลบ ใช่หรือไม่

แผนแก้ 7 วัน

1. วันที่ 1 ไล่รายการความยินยอมทุกเรื่องที่แอปและเว็บไซต์ขออยู่ แล้วจดว่าแต่ละเรื่องให้ทางไหน ถอนทางไหน
2. วันที่ 2 กรอกตารางเทียบตอนให้กับตอนถอนด้านบน จับเวลาและนับจำนวนครั้งที่กดจริงจากเครื่องทดสอบ
3. วันที่ 3 ไล่ว่าสถานะความยินยอมถูกส่งต่อไประบบใดบ้าง ทั้งระบบภายใน ผู้รับจ้าง และพันธมิตร แล้ววัดว่าแต่ละปลายทางหยุดใช้ข้อมูลช้ากว่าการกดถอนเท่าไร
4. วันที่ 4 แก้หน้าจอถอน เพิ่มข้อความผลกระทบตามมาตรา 19 วรรคหก และเวลาที่การถอนมีผลในกรณีที่ยังทำทันทีไม่ได้
5. วันที่ 5 เพิ่มการแจ้งยืนยัน การแสดงสถานะ และบันทึกที่ตรวจย้อนได้ ตามที่ สคส. แนะธนาคาร ข.
6. วันที่ 6 แก้ประกาศความเป็นส่วนตัวและข้อความขอความยินยอม ให้บอกวิธีถอนชัดเจน บอกว่าการกดปิดสวิตช์ถือเป็นการถอน และบอกเวลาโดยสังเขป
7. วันที่ 7 กำหนดผู้รับผิดชอบลบข้อมูลหลังถอนตามมาตรา 37 (3) จดข้อยกเว้นที่ใช้เก็บต่อ และวางแผนงานพัฒนาสำหรับปลายทางที่ยังหยุดช้า

ถ้าทีมยังไม่แน่ใจว่าข้อความขอความยินยอมของตัวเองใช้ได้หรือไม่ เริ่มที่คู่มือ ความยินยอมที่ใช้ได้จริง ก่อน เพราะช่องทางถอนที่ดีแก้ความยินยอมที่ขอมาผิดตั้งแต่ต้นไม่ได้ ส่วนข้อหารือเรื่องอื่นที่ธุรกิจถามกันบ่อย อ่านต่อได้ที่ รวมข้อหารือ PDPA 8 เรื่องที่บริษัทเจอบ่อย

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)