สแกนใบหน้าเข้าคอนโด คือการเก็บข้อมูลชีวภาพตาม PDPA มาตรา 26 มติที่ประชุมใหญ่อย่างเดียวจึงยังไม่พอ สคส. ตอบนิติบุคคลอาคารชุด ก. ว่าต้องขอความยินยอมโดยชัดแจ้งรายคน และมีวิธีเข้าอาคารแบบอื่นให้คนที่ไม่ยินยอม กรรมการ ผู้จัดการอาคาร และเจ้าของกิจการ จะได้ขั้นตอนแก้ใน 7 วัน
- ภาพจำลองใบหน้าที่ใช้เปิดประตูเป็นข้อมูลชีวภาพตามมาตรา 26 วรรคสอง สคส. ไม่พบข้อยกเว้นในมาตรา 26 ที่ตรงกับการเข้าออกอาคารชุด
- มติที่ประชุมใหญ่ผ่านและแก้ข้อบังคับแล้ว สคส. ยังให้ขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลแต่ละคนตามมาตรา 19
- ถ้าใบหน้าไม่จำเป็นต่อสัญญาหรือบริการ ต้องมีวิธีอื่น เช่น คีย์การ์ด แอป MFA หรือ รปภ. ตรวจ และต้องไม่ลำบากเกินสมควร
- แบบยินยอมที่รวมหลายวัตถุประสงค์ไว้ในช่องยินยอมช่องเดียว สคส. ชี้ว่าเป็น bundled consent ต้องแยกให้เลือกทีละข้อ
- ฝ่าฝืนมาตรา 26 วรรคหนึ่ง ปรับทางปกครองไม่เกิน 5 ล้านบาทตามมาตรา 84 และรับผิดทางแพ่งตามมาตรา 77 และ 78
หลายอาคารเปลี่ยนจากคีย์การ์ดเป็นเครื่องสแกนใบหน้าด้วยลำดับเดียวกัน ผู้ขายระบบมาเสนอราคา กรรมการเห็นชอบ ที่ประชุมใหญ่ลงมติ ช่างมาติดเครื่อง แล้วนิติบุคคลประกาศให้ทุกห้องมาถ่ายรูปหน้าตรง เรื่องกฎหมายคุ้มครองข้อมูลมาถึงทีหลัง หรือไม่มีใครพูดถึงเลย
นิติบุคคลอาคารชุด ก. ทำต่างออกไป ก่อนเปิดใช้ระบบ บริษัทผู้จัดการอาคารถามสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ในนามนิติบุคคลว่า ถ้าเจ้าของร่วมหรือผู้พักอาศัยบางคนไม่ยินยอมให้เก็บภาพใบหน้า นิติบุคคลทำอะไรได้บ้าง และขอให้ตรวจหนังสือให้ความยินยอมที่เตรียมไว้ คำตอบอยู่ในข้อหารือ สคส. เรื่อง ขั้นตอนการจัดเก็บข้อมูลอ่อนไหวของระบบสแกนใบหน้า (Face Scan) สำหรับนิติบุคคลอาคารชุด ก.
บทความนี้ไล่คำตอบนั้นทีละประเด็น เทียบกับข้อหารืออีกสองเรื่องที่ใช้ข้อมูลชีวภาพ คือเรื่องผู้ดำเนินการสนามบินและเรื่องการทางพิเศษแห่งประเทศไทย แล้ววางคู่กับบทกำหนดโทษใน พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) หลักเดียวกันใช้กับอาคารสำนักงาน โรงงาน ฟิตเนส และกิจการที่ติดเครื่องสแกนใบหน้าหรือลายนิ้วมือไว้ที่ประตูหรือเครื่องลงเวลา
มติที่ประชุมใหญ่ผ่านแล้ว ทำไมยังต้องขอความยินยอมรายคน?
เพราะมติที่ประชุมกับความยินยอมตาม PDPA ตอบคนละคำถาม มติตามกฎหมายอาคารชุดใช้แก้ข้อบังคับเรื่องการใช้และการจัดการทรัพย์ส่วนกลาง ส่วนความยินยอมตามมาตรา 26 เป็นของเจ้าของข้อมูลแต่ละคน เจ้าของร่วมที่ยกมือเห็นด้วยให้ความยินยอมแทนเพื่อนบ้านหรือผู้เช่าไม่ได้
ข้อเท็จจริงในข้อหารือชัดเจน นิติบุคคลอาคารชุด ก. แจ้งว่าได้เสนอเรื่องต่อที่ประชุมใหญ่ครบตามที่ พ.ร.บ.อาคารชุดกำหนด และแก้ข้อบังคับเรื่องระบบเข้าออกแล้ว สคส. บันทึกข้อเท็จจริงนี้ไว้ในความเห็น แล้วยังสรุปว่าต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล ข้อสรุปที่ว่ามติใช้แทนความยินยอมไม่ได้เป็นการอ่านของผู้เขียนจากคำตอบนี้ สคส. ไม่ได้เขียนประโยคนั้นไว้ตรง ๆ
ทำไมรูปหน้าตรงของลูกบ้านจึงเป็นข้อมูลชีวภาพ
ระบบของอาคารชุด ก. ต้องเก็บภาพถ่ายหน้าตรงของเจ้าของร่วมและผู้พักอาศัยทั้งโครงการ เพื่อทำฐานข้อมูลให้โปรแกรมเทียบใบหน้า สคส. เห็นว่าข้อมูลแบบนี้เกิดจากเทคโนโลยีที่นำลักษณะเด่นทางกายภาพของคนมาใช้ยืนยันตัวตน จึงเข้านิยามในมาตรา 26 วรรคสอง
ข้อมูลชีวภาพตามวรรคหนึ่งให้หมายถึงข้อมูลส่วนบุคคลที่เกิดจากการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการนำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้นที่ไม่เหมือนกับบุคคลอื่นได้ เช่น ข้อมูลภาพจำลองใบหน้า ข้อมูลจำลองม่านตา หรือข้อมูลจำลองลายนิ้วมือ
จากนั้น สคส. นำวัตถุประสงค์ของนิติบุคคล คือเพิ่มความปลอดภัยของอาคาร อำนวยความสะดวกแก่ผู้พักอาศัย และคัดกรองคนนอก ไปเทียบกับข้อยกเว้นในมาตรา 26 แล้วไม่พบข้อใดที่ตรง ทางที่เหลือจึงมีทางเดียว คือความยินยอมโดยชัดแจ้ง
อาคารที่คิดว่าเขียนคำว่า เพื่อความปลอดภัย ไว้ในประกาศแล้วจบ ควรอ่านตรงนี้ซ้ำ เหตุผลด้านความปลอดภัยที่ใช้อธิบายกล้องวงจรปิดธรรมดาได้ ใช้กับเครื่องสแกนใบหน้าไม่ได้ เพราะข้อมูลคนละประเภทและอยู่คนละมาตรา เรื่องกล้องธรรมดาอ่านได้ที่ ติดกล้องวงจรปิดในออฟฟิศ ร้าน คอนโด ต้องทำอะไรตาม PDPA
บังคับลูกบ้านทุกคนให้สแกนใบหน้าได้หรือไม่?
ได้เฉพาะเมื่อการสแกนใบหน้าจำเป็นและเกี่ยวข้องกับสัญญาหรือบริการของอาคารจริง ถ้าไม่จำเป็น บังคับไม่ได้ และต้องมีวิธีเข้าอาคารแบบอื่นให้ เกณฑ์นี้มาจากมาตรา 19 วรรคสี่ ที่ สคส. ยกมาทั้งวรรค
ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ
สคส. อธิบายว่าบทนี้มีไว้กันการบังคับให้ยินยอมเป็นเงื่อนไขผูกมัด แต่ถ้าข้อมูลนั้นจำเป็นและเกี่ยวข้องกับสัญญาหรือบริการ ผู้ควบคุมข้อมูลส่วนบุคคลก็ตั้งความยินยอมเป็นเงื่อนไขได้ โดยต้องเก็บเท่าที่จำเป็นตามมาตรา 22 คำตอบจึงแยกเป็นสองกรณี
| สถานการณ์ของอาคาร | ตั้งความยินยอมเป็นเงื่อนไขได้หรือไม่ | หน้าที่ที่ตามมา |
|---|---|---|
| อาคารใช้ระบบรักษาความปลอดภัยด้วยข้อมูลชีวภาพมาตั้งแต่เริ่มโครงการหรือตั้งแต่ทำสัญญา เป็นส่วนหนึ่งของเงื่อนไขที่จำเป็นและเกี่ยวข้อง และเจ้าของข้อมูลที่เป็นคู่สัญญารับทราบและตกลงแล้ว | สคส. เห็นว่าอาจถือเป็นกรณีที่ตั้งเงื่อนไขได้ตามมาตรา 19 วรรคสี่ | ยังต้องขอความยินยอมโดยชัดแจ้ง เก็บเท่าที่จำเป็น (ม.22) และแจ้งผลกระทบของการไม่ให้หรือการถอนความยินยอม (ม.23 (2) และ ม.19 วรรคหก) |
| นิติบุคคลพิจารณาแล้วเห็นว่าภาพจำลองใบหน้าไม่จำเป็นหรือไม่เกี่ยวข้องกับสัญญาหรือบริการของนิติบุคคล | บังคับให้ยินยอมเป็นเงื่อนไขผูกมัดไม่ได้ | ต้องจัดวิธียืนยันตัวตนแบบอื่นให้คนที่ไม่ให้หรือถอนความยินยอม และวิธีนั้นต้องไม่เป็นอุปสรรคเกินสมควร |
อาคารที่ใช้คีย์การ์ดมาหลายปีแล้วเพิ่งเปลี่ยนเป็นสแกนใบหน้าอยู่กรณีไหน สคส. ไม่ได้ชี้ขาดให้ และให้นิติบุคคลพิจารณาเอง แต่ตัวอย่างที่ สคส. ยกสำหรับกรณีแรกคืออาคารที่ใช้ข้อมูลชีวภาพมาตั้งแต่เริ่มโครงการหรือเมื่อเข้าทำสัญญา อาคารที่คีย์การ์ดใช้ได้มาตลอดจึงต้องตอบให้ได้ว่า เหตุใดวันนี้ใบหน้าจึงกลายเป็นสิ่งจำเป็น
คำว่าจำเป็นมีแนวให้เทียบในข้อหารือของการทางพิเศษแห่งประเทศไทย (กทพ.) เรื่องเครื่องบันทึกเวลาทำงาน สคส. ยกตัวอย่างสถานการณ์ที่ยังถือไม่ได้ว่าข้อมูลชีวภาพจำเป็นไว้ดังนี้
เช่น ข้อเท็จจริงยังไม่ชัดเจนว่ามีปัญหาการทุจริตในการบันทึกเวลาทำงานของผู้ปฏิบัติงานของ กทพ. หรือยังไม่แน่ชัดว่าการเก็บรวบรวมข้อมูลชีวภาพจะช่วยแก้ไขปัญหาดังกล่าว หรือยังมีมาตรการอื่นที่ไม่ต้องใช้ข้อมูลชีวภาพที่อาจแก้ปัญหาได้ผล ซึ่ง กทพ. ยังไม่ได้พิจารณาดำเนินการ
ถ้าแปลงเป็นคำถามของอาคารจะได้สามข้อ อาคารมีปัญหาจริงหรือไม่ เช่น คีย์การ์ดถูกทำซ้ำหรือคนนอกเข้าอาคารได้ การสแกนใบหน้าแก้ปัญหานั้นได้จริงหรือไม่ และอาคารลองวิธีที่ไม่ใช้ข้อมูลชีวภาพแล้วหรือยัง การเทียบนี้เป็นข้อเสนอของผู้เขียน เพราะข้อหารือ กทพ. ตอบเรื่องนายจ้างกับลูกจ้าง ไม่ได้ตอบเรื่องอาคารชุด
ลูกบ้านที่ไม่ยอมสแกนใบหน้า นิติบุคคลต้องมีอะไรให้?
ต้องมีวิธียืนยันตัวตนแบบอื่นที่ใช้เข้าออกได้จริง สคส. ยกตัวอย่างไว้สี่วิธี และให้นิติบุคคลเลือกตามความเหมาะสมและความเป็นไปได้ของอาคาร
- บัตรอิเล็กทรอนิกส์สำหรับเปิดประตู (keycard) แบบที่อาคารชุด ก. ใช้อยู่ก่อนเปลี่ยนระบบ
- ยืนยันตัวตนผ่านแอปพลิเคชันในอุปกรณ์พกพา
- ยืนยันตัวตนโดยใช้หลายปัจจัย (multi-factor authentication)
- ให้เจ้าหน้าที่รักษาความปลอดภัยหรือพนักงานที่นิติบุคคลมอบหมายตรวจตัวตน
เงื่อนไขที่อาคารมักมองข้ามอยู่ท้ายคำตอบ วิธีอื่นนั้นต้องไม่เป็นอุปสรรคต่อการใช้สิทธิตามสัญญาหรือบริการเกินสมควร สคส. ให้เหตุผลว่าถ้าเป็นอุปสรรคเกินสมควร การขอความยินยอมจะไม่เป็นอิสระอย่างแท้จริง พูดอีกแบบคือ ถ้าทางเลือกลำบากจนลูกบ้านต้องจำใจสแกน ใบยินยอมที่ได้มาก็มีปัญหาไปด้วย
คีย์การ์ดเป็นวิธีแรกที่ สคส. ยกตัวอย่าง และการใช้งานไม่ด้อยกว่าคนที่ยินยอม
ผู้เขียนเห็นว่าเข้าข่ายที่ สคส. เตือน เพราะทางเลือกถูกทำให้ด้อยลงจนคนต้องยอมสแกน อาคารควรตอบให้ได้ว่าข้อจำกัดแต่ละข้อจำเป็นเพราะอะไร
มาตรา 19 วรรคห้าให้ถอนเมื่อใดก็ได้ และต้องถอนได้ง่ายเท่ากับตอนให้ นิติบุคคลต้องแจ้งผลกระทบตามวรรคหก ออกวิธีเข้าอาคารแบบอื่นให้ และลบข้อมูลตามระบบที่มาตรา 37 (3) กำหนด
ความยินยอมต้องขอก่อนหรือขณะเก็บ พร้อมแจ้งวัตถุประสงค์และผลกระทบของการไม่ให้ข้อมูล การยืนให้ถ่ายรูปเฉย ๆ ไม่ใช่การแสดงเจตนาโดยชัดแจ้ง
ข้อหารือ สคส. เรื่องระบบพิสูจน์อัตลักษณ์บุคคลของผู้ดำเนินการสนามบินเล่าขั้นตอนไว้ในทำนองเดียวกัน ผู้โดยสารที่ไม่ยินยอมให้เก็บข้อมูลอัตลักษณ์ใช้เอกสารยืนยันตัวตนกับบัตรผ่านขึ้นอากาศยานตามขั้นตอนปกติ ช่องทางเดิมยังอยู่ครบ
ต้องบอกล่วงหน้าว่าไม่ยอมแล้วจะเกิดอะไร
สคส. ให้นิติบุคคลเขียนผลของการไม่ให้ข้อมูลไว้ในประกาศความเป็นส่วนตัว (privacy notice) ตั้งแต่ตอนขอความยินยอม เช่น ต้องใช้วิธีอื่นตามที่นิติบุคคลกำหนดในการเข้าออกอาคาร เหตุผลคือข้อมูลนี้มีผลต่อการตัดสินใจของเจ้าของข้อมูล ตามหลักความเป็นธรรมและความโปร่งใส
(2) แจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือสัญญาหรือมีความจำเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าทำสัญญา รวมทั้งแจ้งถึงผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล
หนังสือให้ความยินยอมของอาคารชุด ก. มีปัญหาตรงไหน?
มีปัญหาที่รวมหลายวัตถุประสงค์ไว้ในการยินยอมครั้งเดียว แบบที่ส่งให้ สคส. ตรวจระบุวัตถุประสงค์สองข้อ ข้อแรกเพื่อความปลอดภัยของบุคคลและทรัพย์สิน เช่น ยืนยันตัวบุคคลในการเข้าออก การเข้าออกของยานพาหนะ การขนย้ายทรัพย์สิน รวมถึงการบริหารอาคารชุด ข้อสองเพื่อการบริหารอาคารชุดและป้องกันคนนอก แต่ให้เลือก ยินยอม หรือ ไม่ยินยอม ได้ช่องเดียว
สคส. เห็นว่าแบบนี้เป็น bundled consent ถ้าวัตถุประสงค์ไม่เกี่ยวข้องกัน เจ้าของข้อมูลควรเลือกยินยอมแยกทีละข้อได้ ตัวอย่างที่ สคส. ให้คือ แยกการสแกนใบหน้าเพื่อรักษาความปลอดภัยของอาคาร ออกจากการสแกนใบหน้าเพื่อการบริหารจัดการทั่วไปและวัตถุประสงค์อื่นที่ไม่เกี่ยวกับความปลอดภัย
นอกจากเรื่องนี้ สคส. สรุปเกณฑ์ของการขอความยินยอมตามมาตรา 19 มาตรา 20 และแนวทางการขอความยินยอมของคณะกรรมการไว้ให้ นิติบุคคลใช้เป็นรายการตรวจแบบฟอร์มของตัวเองได้ทันที
- ขอก่อนหรือขณะเก็บ สคส. ระบุว่าไม่มีการขอความยินยอมย้อนหลัง
- ให้เจ้าของข้อมูลแสดงเจตนาเองโดยชัดแจ้ง เช่น ลงชื่อหรือกดเลือกด้วยตัวเอง
- ทำเป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพทำไม่ได้
- แจ้งวัตถุประสงค์ให้เฉพาะเจาะจง ไม่เขียนกว้างเป็นการทั่วไป
- แยกส่วนจากข้อความอื่นให้ชัด และไม่รวมข้อมูลหลายประเภทหรือหลายเรื่องไว้ในการยินยอมครั้งเดียว
- ใช้แบบและภาษาที่เข้าถึงง่าย อ่านง่าย ไม่หลอกลวงหรือทำให้เข้าใจผิดในวัตถุประสงค์
- ผู้เยาว์ คนไร้ความสามารถ และคนเสมือนไร้ความสามารถ ทำตามมาตรา 20 เช่น ผู้เยาว์อายุไม่เกิน 10 ปี ต้องขอจากผู้ใช้อำนาจปกครอง
แบบฟอร์มที่ไม่ผ่านเกณฑ์เหล่านี้มีผลอย่างไร สคส. อ้างมาตรา 19 วรรคเจ็ดไว้ในคำตอบ และวรรคนี้เขียนผลไว้ตรงมาก
การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่ไม่เป็นไปตามที่กำหนดไว้ในหมวดนี้ ไม่มีผลผูกพันเจ้าของข้อมูลส่วนบุคคล และไม่ทำให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้
ไม่ทำอะไรเลย PDPA เขียนผลไว้อย่างไร?
PDPA กำหนดผลไว้สามทาง คือโทษปรับทางปกครอง ความรับผิดทางแพ่ง และโทษอาญาในบางพฤติการณ์ ข้อมูลตามมาตรา 26 อยู่ในขั้นสูงสุดของโทษปรับทางปกครอง
ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา 26 วรรคหนึ่งหรือวรรคสาม หรือฝ่าฝืนมาตรา 27 วรรคหนึ่งหรือวรรคสอง หรือมาตรา 28 อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 หรือส่งหรือโอนข้อมูลส่วนบุคคลตามมาตรา 26 โดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินห้าล้านบาท
| สิ่งที่เกิดขึ้นในอาคาร | บทที่ฝ่าฝืน | ผลที่ PDPA กำหนด |
|---|---|---|
| เก็บภาพจำลองใบหน้าหรือลายนิ้วมือโดยไม่มีความยินยอมโดยชัดแจ้ง หรือมีแต่แบบฟอร์มไม่เป็นไปตามมาตรา 19 | มาตรา 26 วรรคหนึ่ง | ปรับทางปกครองไม่เกิน 5 ล้านบาท (ม.84) |
| นำข้อมูลชีวภาพไปใช้หรือเปิดเผยโดยไม่ได้รับความยินยอม | มาตรา 27 วรรคหนึ่ง | ปรับทางปกครองไม่เกิน 5 ล้านบาท (ม.84) และมีโทษอาญาถ้าเข้าองค์ประกอบของมาตรา 79 |
| ไม่แจ้งรายละเอียดตามมาตรา 23 เช่น ผลของการไม่ให้ข้อมูล หรือไม่แจ้งผลกระทบของการถอนความยินยอม | มาตรา 23 · มาตรา 19 วรรคหก | ปรับทางปกครองไม่เกิน 1 ล้านบาท (ม.82) |
| เก็บเกินจำเป็น มาตรการรักษาความมั่นคงปลอดภัยไม่ถึงมาตรฐานขั้นต่ำ หรือขอความยินยอมโดยทำให้เข้าใจผิดในวัตถุประสงค์ | มาตรา 22 · มาตรา 37 | ปรับทางปกครองไม่เกิน 3 ล้านบาท (ม.83) |
| การฝ่าฝืนข้อใดข้อหนึ่งทำให้เจ้าของข้อมูลเสียหาย เช่น ฐานข้อมูลใบหน้ารั่ว | บทบัญญัติของ PDPA ข้อที่ฝ่าฝืน | ค่าสินไหมทดแทน (ม.77) และศาลสั่งเพิ่มได้ไม่เกิน 2 เท่าของค่าสินไหมที่แท้จริง (ม.78) |
ตัวเลขในตารางเป็นเพดานที่กฎหมายเขียนไว้ ไม่ได้บอกว่าอาคารใดจะถูกปรับเท่าใด มาตรา 90 ให้คณะกรรมการผู้เชี่ยวชาญคำนึงถึงความร้ายแรงของพฤติกรรมและขนาดกิจการ และจะสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้ ถึงอย่างนั้น อาคารที่รู้แล้วยังไม่แก้ก็อธิบายพฤติการณ์ของตัวเองได้ยากกว่าอาคารที่ไม่เคยรู้
ลูกบ้านฟ้องเรียกค่าเสียหายได้ โดยไม่ต้องพิสูจน์ว่านิติบุคคลจงใจ
ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งดำเนินการใด ๆ เกี่ยวกับข้อมูลส่วนบุคคลอันเป็นการฝ่าฝืนหรือไม่ปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัตินี้ทำให้เกิดความเสียหายต่อเจ้าของข้อมูลส่วนบุคคล ต้องชดใช้ค่าสินไหมทดแทนเพื่อการนั้นแก่เจ้าของข้อมูลส่วนบุคคล ไม่ว่าการดำเนินการนั้นจะเกิดจากการกระทำโดยจงใจหรือประมาทเลินเล่อหรือไม่ก็ตาม
มาตรา 77 ครอบคลุมทั้งผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล นิติบุคคลและบริษัทผู้ดูแลระบบจึงอยู่ในบทเดียวกัน ข้อแก้ตัวที่มาตรานี้รับมีสองข้อ คือเหตุสุดวิสัยหรือการกระทำของเจ้าของข้อมูลเอง และการทำตามคำสั่งของเจ้าหน้าที่ตามกฎหมาย คำว่าเราไม่รู้ว่าต้องขอความยินยอมไม่อยู่ในสองข้อนี้
ให้ศาลมีอำนาจสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลจ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มขึ้นจากจำนวนค่าสินไหมทดแทนที่แท้จริงที่ศาลกำหนดได้ตามที่ศาลเห็นสมควร แต่ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริงนั้น
ใบหน้าต่างจากรหัสผ่านตรงที่เปลี่ยนใหม่ไม่ได้ ถ้าฐานข้อมูลใบหน้าของทั้งอาคารหลุดออกไป นิติบุคคลออกบัตรใหม่ให้ลูกบ้านได้ แต่ออกใบหน้าใหม่ให้ไม่ได้ สคส. เองเขียนไว้ในคำตอบว่าข้อมูลชีวภาพโดยธรรมชาติมีความเสี่ยงกระทบสิทธิและเสรีภาพของบุคคลได้ค่อนข้างมาก มาตรา 78 วรรคสองให้อายุความ 3 ปีนับแต่วันที่ผู้เสียหายรู้ถึงความเสียหายและรู้ตัวผู้ต้องรับผิด หรือ 10 ปีนับแต่วันที่มีการละเมิด
กรรมการและผู้จัดการรับโทษเป็นส่วนตัวได้ในกรณีใด
โทษอาญาใน PDPA ที่เกี่ยวกับข้อมูลตามมาตรา 26 อยู่ที่มาตรา 79 ใช้กับการใช้หรือเปิดเผยข้อมูลโดยฝ่าฝืนมาตรา 27 และต้องมีองค์ประกอบเพิ่ม ไม่ได้ใช้กับการเก็บข้อมูลเฉย ๆ
ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา 27 วรรคหนึ่งหรือวรรคสอง หรือไม่ปฏิบัติตามมาตรา 28 อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 โดยประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ
ในกรณีที่ผู้กระทำความผิดตามพระราชบัญญัตินี้เป็นนิติบุคคล ถ้าการกระทำความผิดของนิติบุคคลนั้นเกิดจากการสั่งการหรือการกระทำของกรรมการหรือผู้จัดการ หรือบุคคลใดซึ่งรับผิดชอบในการดำเนินงานของนิติบุคคลนั้น หรือในกรณีที่บุคคลดังกล่าวมีหน้าที่ต้องสั่งการหรือกระทำการและละเว้นไม่สั่งการหรือไม่กระทำการจนเป็นเหตุให้นิติบุคคลนั้นกระทำความผิด ผู้นั้นต้องรับโทษตามที่บัญญัติไว้สำหรับความผิดนั้น ๆ ด้วย
สมมติว่านิติบุคคลนำภาพใบหน้าและเวลาเข้าออกของลูกบ้านที่เก็บไว้เปิดประตู ไปเปิดเผยในกลุ่มสนทนาของอาคารเพื่อประจานคนค้างค่าส่วนกลาง กรณีแบบนี้เป็นการเปิดเผยข้อมูลนอกเหนือจากที่ยินยอม และอาจทำให้เจ้าของข้อมูลอับอาย จึงต้องอ่านมาตรา 79 และมาตรา 81 ประกอบกัน มาตรา 81 ใช้คำว่าการสั่งการ การกระทำ และการละเว้นไม่สั่งการของกรรมการ ผู้จัดการ หรือผู้รับผิดชอบการดำเนินงาน
| ใคร | สถานะตามข้อหารือและตัวบท | ความรับผิดที่ต้องดู |
|---|---|---|
| นิติบุคคลอาคารชุด | ผู้ควบคุมข้อมูลส่วนบุคคล สคส. ชี้ไว้ตามมาตรา 6 เพราะเป็นผู้ตัดสินใจเรื่องการเก็บ ใช้ หรือเปิดเผยข้อมูล | โทษปรับทางปกครองตามมาตรา 82 ถึง 84 และค่าสินไหมทดแทนตามมาตรา 77 และ 78 |
| กรรมการ ผู้จัดการ หรือผู้รับผิดชอบการดำเนินงานของนิติบุคคล | บุคคลที่มาตรา 81 ระบุ | รับโทษอาญาเช่นเดียวกับนิติบุคคล เมื่อความผิดเกิดจากการสั่งการ การกระทำ หรือการละเว้นของตน |
| บริษัทรับจ้างบริหารอาคาร | ในข้อหารือ บริษัท ป. เป็นผู้จัดการนิติบุคคลและเป็นผู้ถามในนามนิติบุคคล สคส. ไม่ได้วิเคราะห์สถานะของบริษัทนี้แยกไว้ | ตรวจสัญญาจ้างบริหารว่าใครเป็นคนสั่งเก็บ ใครเข้าถึงฐานข้อมูลใบหน้า แล้วให้นักกฎหมายดูสถานะเป็นรายกรณี |
| บริษัทผู้ติดตั้งและดูแลระบบ | ผู้ประมวลผลข้อมูลส่วนบุคคล สคส. ชี้ไว้สำหรับบริษัท ม. | หน้าที่ตามมาตรา 40 โทษปรับทางปกครองไม่เกิน 3 ล้านบาทตามมาตรา 86 และค่าสินไหมทดแทนตามมาตรา 77 ถ้าใช้ข้อมูลนอกคำสั่ง มาตรา 40 วรรคสองให้ถือเป็นผู้ควบคุมข้อมูลเอง |
สัญญากับผู้ขายระบบสแกนใบหน้าต้องเขียนอะไร?
ต้องมีข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (data processing agreement) กับผู้ติดตั้งและดูแลระบบ ใบเสนอราคากับใบรับประกันเครื่องใช้แทนไม่ได้ สคส. บอกนิติบุคคลอาคารชุด ก. ไว้ในข้อสังเกตเพิ่มเติม โดยอ้างมาตรา 40 วรรคสาม
การดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
สคส. ระบุเนื้อหาที่ข้อตกลงต้องมีไว้สองเรื่อง เรื่องแรก ผู้ประมวลผลต้องมีมาตรการรักษาความมั่นคงปลอดภัยตามมาตรฐานขั้นต่ำของประกาศคณะกรรมการ เรื่องที่สอง ผู้ประมวลผลต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่นิติบุคคลโดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ ที่มาของข้อนี้คือข้อ 6 ของประกาศเรื่องมาตรการรักษาความมั่นคงปลอดภัย ประกอบประกาศเรื่องการแจ้งเหตุการละเมิด
ให้ผู้ควบคุมข้อมูลส่วนบุคคลพิจารณากำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น
เหตุที่ข้อนี้กระทบนิติบุคคลโดยตรงคือ หน้าที่แจ้งเหตุต่อ สคส. ภายใน 72 ชั่วโมงตามมาตรา 37 (4) เป็นของนิติบุคคลในฐานะผู้ควบคุมข้อมูล ถ้าผู้ดูแลระบบรู้ว่าฐานข้อมูลใบหน้าถูกเจาะแล้วไม่บอก นิติบุคคลก็ไม่มีข้อมูลไปแจ้ง รายละเอียดข้อสัญญาอ่านต่อได้ที่ สัญญากับผู้ประมวลผลข้อมูลต้องมีข้อใดบ้าง
ก่อนเซ็นหรือต่อสัญญา ผู้เขียนเสนอให้ถามผู้ขายสี่ข้อเป็นลายลักษณ์อักษร ภาพจำลองใบหน้าเก็บอยู่ในเครื่องที่ประตู เซิร์ฟเวอร์ในอาคาร หรือคลาวด์ พนักงานของผู้ขายคนใดเข้าถึงได้ ลูกบ้านย้ายออกหรือถอนความยินยอมแล้วลบอย่างไรและภายในกี่วัน สิ้นสัญญาแล้วข้อมูลทั้งหมดส่งคืนหรือลบอย่างไร ทั้งสี่ข้อเป็นแนวปฏิบัติที่ดี ไม่ใช่ถ้อยคำในข้อหารือ
ข้อหารือเรื่องสนามบินให้แนวคิดเรื่องอายุของข้อมูลไว้ ผู้หารือแจ้งว่าข้อมูล Token ของผู้โดยสารถูกลบหลังเที่ยวบินออกเดินทางไปแล้ว 48 ชั่วโมง และ สคส. แนะให้พิจารณาการแฝงข้อมูล (pseudonymization) หรือการเข้ารหัสข้อมูล (encryption) เป็นส่วนหนึ่งของมาตรการรักษาความมั่นคงปลอดภัย อาคารควรถามตัวเองแบบเดียวกันว่า ใบหน้าของผู้เช่าที่ย้ายออกไปเมื่อปีที่แล้วยังอยู่ในระบบหรือไม่
นิติบุคคลที่เคยได้รับยกเว้นบันทึกรายการ ยังได้รับยกเว้นอยู่หรือไม่
นิติบุคคลอาคารชุดบางแห่งเข้าใจว่าตนไม่ต้องทำบันทึกรายการตามมาตรา 39 เพราะ สคส. เคยตอบนิติบุคคลอาคารชุด อ. ว่านิติบุคคลอาคารชุดโดยทั่วไปมีลักษณะเป็นองค์กรที่ไม่แสวงหากำไร และได้รับยกเว้นบางรายการตามประกาศเรื่องกิจการขนาดเล็ก แต่คำตอบเดียวกันเขียนขอบเขตของการยกเว้นไว้ด้วย
ไม่รวมกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงจะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลหรือมิใช่กิจการที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖
ภาพจำลองใบหน้าเป็นข้อมูลตามมาตรา 26 วันที่อาคารเปิดเครื่องสแกนใบหน้า การยกเว้นที่เคยอาศัยจึงไม่ครอบคลุมกิจกรรมนี้ นิติบุคคลต้องมีบันทึกรายการของกิจกรรมสแกนใบหน้าให้ สคส. และเจ้าของข้อมูลตรวจได้ การไม่ทำตามมาตรา 39 วรรคหนึ่งมีโทษปรับทางปกครองไม่เกิน 1 ล้านบาทตามมาตรา 82
สคส. ตอบเรื่องข้อมูลชีวภาพไว้สามเรื่อง ต่างกันตรงไหน?
ทั้งสามเรื่องเริ่มจากจุดเดียวกัน คือใบหน้าหรือลายนิ้วมือที่ใช้ยืนยันตัวตนเป็นข้อมูลชีวภาพตามมาตรา 26 วรรคสอง ที่ต่างกันคือ มีกฎหมายฉบับใดรองรับวัตถุประสงค์ของผู้เก็บหรือไม่
| ผู้เก็บข้อมูล | เก็บเพื่ออะไร | ฐานตามมาตรา 26 ที่ สคส. ชี้ | เงื่อนไขที่ สคส. กำกับ | คนที่ไม่ยินยอม |
|---|---|---|---|---|
| นิติบุคคลอาคารชุด ก. | ยืนยันตัวตนเจ้าของร่วมและผู้พักอาศัยในการเข้าออกอาคาร | ไม่พบข้อยกเว้นที่ตรง ต้องขอความยินยอมโดยชัดแจ้ง | แบบยินยอมแยกวัตถุประสงค์ แจ้งผลกระทบ มีมาตรการรักษาความมั่นคงปลอดภัย และทำข้อตกลงกับผู้ประมวลผล | ต้องมีวิธีอื่น เว้นแต่ใบหน้าจำเป็นและเกี่ยวข้องกับสัญญาหรือบริการ |
| ผู้ดำเนินการสนามบินอนุญาตซึ่งให้บริการแก่สาธารณะ (สำนักงานการบินพลเรือนแห่งประเทศไทยเป็นผู้หารือ) | ยืนยันตัวตนผู้โดยสารผ่านระบบพิสูจน์อัตลักษณ์บุคคล | ถ้าเป็นการทำตามหน้าที่ตามแผนรักษาความปลอดภัยการบินพลเรือนแห่งชาติ ใช้มาตรา 26 (5) (จ) ประโยชน์สาธารณะที่สำคัญได้ ถ้าไม่ใช่ ต้องขอความยินยอมโดยชัดแจ้ง | มีมาตรการคุ้มครองสิทธิขั้นพื้นฐานของเจ้าของข้อมูล แจ้งตามมาตรา 23 และควรพิจารณาการแฝงข้อมูลหรือการเข้ารหัส | ตามขั้นตอนที่ผู้หารือแจ้ง ใช้เอกสารยืนยันตัวตนและบัตรผ่านขึ้นอากาศยาน |
| การทางพิเศษแห่งประเทศไทย ในฐานะนายจ้าง | บันทึกเวลาทำงานของพนักงานและลูกจ้าง | ใช้มาตรา 26 (5) (ค) การคุ้มครองแรงงานได้ ถ้าพิจารณาจากข้อเท็จจริงแล้วจำเป็นจริง ถ้าไม่จำเป็น ต้องขอความยินยอมโดยชัดแจ้ง | มีมาตรการคุ้มครองสิทธิขั้นพื้นฐาน ระวังความเป็นอิสระของลูกจ้าง และแจ้งสิทธิร้องเรียนให้ทราบ | ถ้าข้อมูลชีวภาพไม่จำเป็นต่อสัญญาจ้าง ต้องมีวิธีอื่น เช่น ลงลายมือชื่อในบัญชีลงเวลา |
อ่านตารางแล้วจะเห็นว่า ผู้เก็บที่ไม่ต้องขอความยินยอมคือผู้ที่มีกฎหมายเฉพาะรองรับวัตถุประสงค์ สนามบินมีกฎหมายการเดินอากาศและแผนรักษาความปลอดภัยการบินพลเรือนแห่งชาติ นายจ้างมีกฎหมายคุ้มครองแรงงาน และแม้มีกฎหมายรองรับ สคส. ก็ยังให้พิสูจน์ความจำเป็นจากข้อเท็จจริงก่อน
อาคารสำนักงานให้เช่า ฟิตเนส และหมู่บ้านจัดสรร ใกล้กับอาคารชุดมากกว่าสนามบิน ถ้าตอบไม่ได้ว่ากฎหมายฉบับใดให้ตนยืนยันตัวลูกค้าหรือผู้เช่าด้วยใบหน้า ก็ควรเตรียมตัวตามคำตอบที่ สคส. ให้อาคารชุด ก. ส่วนโรงงานและบริษัทที่ใช้เครื่องสแกนลงเวลาพนักงาน เทียบกับเรื่อง กทพ. ได้ตรงกว่า อ่านรายละเอียดได้ที่ ข้อมูลอ่อนไหวที่บริษัทเก็บอยู่ทุกวันโดยไม่รู้ตัว
กทพ. แจ้งในข้อหารือว่าได้จัดซื้อและติดตั้งเครื่องบันทึกเวลาทำงานที่ใช้ข้อมูลชีวภาพแล้ว 84 เครื่อง เป็นเงิน 3,149,010 บาท คำตอบของ สคส. ไม่ได้เปลี่ยนไปตามจำนวนเงินที่จ่ายไปแล้ว เกณฑ์ที่ใช้ยังเป็นความจำเป็นและความยินยอมเหมือนเดิม
ผู้เขียนจึงเห็นว่า กิจการที่ซื้อเครื่องมาแล้วไม่ควรหวังว่าเงินลงทุนจะเป็นเหตุผลให้บังคับสแกนได้ ส่วนคนที่ยังไม่ได้ซื้อ มีคำถามที่ควรตอบก่อนเปิดใช้อยู่ใน กล้องสแกนใบหน้าพนักงาน ต้องมีเหตุผลแค่ไหนจึงใช้ได้
อาคารที่เปิดใช้ไปแล้ว ต้องแก้อะไรก่อนหลังใน 7 วัน?
แผนด้านล่างเป็นข้อเสนอของผู้เขียน เรียงจากคำตอบของ สคส. ถึงนิติบุคคลอาคารชุด ก. ใช้ได้กับอาคารสำนักงานและกิจการอื่นโดยเปลี่ยนคำว่าลูกบ้านเป็นผู้เช่า สมาชิก หรือพนักงาน
- วันที่ 1สำรวจของจริง มีเครื่องกี่จุด ภาพจำลองใบหน้าเก็บที่ใด มีข้อมูลของใครบ้าง รวมผู้เช่าที่ย้ายออก เด็ก แม่บ้าน และพนักงานของอาคาร ใครเข้าถึงได้ และมีเอกสารยินยอมของใครอยู่ในแฟ้มมาตรา 22 · 39
- วันที่ 2ตอบคำถามเรื่องความจำเป็นเป็นลายลักษณ์อักษร แล้วเสนอกรรมการลงมติว่าอาคารถือว่าใบหน้าจำเป็นต่อบริการหรือไม่ ถ้าไม่จำเป็น กำหนดวิธีเข้าอาคารแบบอื่นและตรวจว่าใช้ได้ทุกประตูมาตรา 19 วรรคสี่
- วันที่ 3แก้หนังสือให้ความยินยอม แยกช่องตามวัตถุประสงค์ เขียนผลของการไม่ยินยอมและการถอนความยินยอม และแก้ประกาศความเป็นส่วนตัวให้ตรงกันมาตรา 19 · 23 (2)
- วันที่ 4ขอความยินยอมใหม่ด้วยแบบที่แก้แล้ว สำหรับคนที่เก็บใบหน้าไปก่อนโดยไม่มีความยินยอมที่ชอบ สคส. ระบุว่าไม่มีการขอย้อนหลัง ผู้เขียนจึงเสนอให้หยุดใช้ข้อมูลชุดเดิมของคนนั้นจนกว่าจะได้ความยินยอมใหม่ และลบของคนที่ปฏิเสธมาตรา 19 วรรคเจ็ด · 26
- วันที่ 5เปิดวิธีเข้าอาคารแบบอื่นให้คนที่ไม่ยินยอมใช้จริง และประกาศช่องทางถอนความยินยอมที่ทำได้ง่ายเท่ากับตอนให้มาตรา 19 วรรคห้าและวรรคหก
- วันที่ 6ทำหรือแก้ข้อตกลงการประมวลผลข้อมูลกับผู้ดูแลระบบ ให้มีข้อมาตรการรักษาความมั่นคงปลอดภัยและข้อแจ้งเหตุภายใน 72 ชั่วโมง พร้อมกำหนดวิธีลบข้อมูลเมื่อย้ายออกและเมื่อสิ้นสัญญามาตรา 40 วรรคสาม · ประกาศมาตรการฯ ข้อ 6
- วันที่ 7ลงกิจกรรมสแกนใบหน้าในบันทึกรายการ จำกัดผู้เข้าถึงฐานข้อมูล กำหนดระยะเวลาเก็บ ลบข้อมูลของคนที่ย้ายออกแล้ว และจดมติกรรมการพร้อมเหตุผลเก็บเข้าแฟ้มมาตรา 37 (1) (3) · 39
ตรวจตัวเองห้าข้อ อาคารของคุณตอบได้กี่ข้อ?
- ลูกบ้านที่ไม่สแกนใบหน้าเข้าอาคารได้ทุกประตู ทุกเวลา เท่ากับคนที่สแกนหรือไม่
- หนังสือให้ความยินยอมแยกช่องตามวัตถุประสงค์ และเซ็นก่อนถ่ายรูปหรือไม่
- ประกาศของอาคารเขียนไว้หรือไม่ว่า ไม่ยินยอมหรือถอนความยินยอมแล้วจะเกิดอะไร
- มีข้อตกลงการประมวลผลข้อมูลกับผู้ดูแลระบบ และมีข้อแจ้งเหตุภายใน 72 ชั่วโมงหรือไม่
- ใบหน้าของคนที่ย้ายออกแล้วถูกลบจากระบบหรือไม่ และมีใครตรวจเรื่องนี้เป็นประจำ
ข้อ 1 ถึง 3 มาจากคำตอบ สคส. เรื่องความยินยอมโดยตรง ข้อ 4 มาจากข้อสังเกตเพิ่มเติมเรื่องผู้ประมวลผล ข้อ 5 มาจากหน้าที่ตามมาตรา 37 (3) ถ้าตอบว่าไม่หรือไม่แน่ใจแม้ข้อเดียว ให้เริ่มที่วันที่ 1 ของแผนข้างบน
คำตอบของ สคส. รับรองว่าอาคารทำถูกแล้วหรือไม่?
ไม่ได้รับรอง สคส. เขียนกำกับท้ายคำตอบถึงนิติบุคคลอาคารชุด ก. ว่า ความเห็นและข้อสังเกตเป็นเพียงข้อเสนอแนะในบางประเด็น ไม่ได้รับรองว่าการทำทั้งหมดชอบด้วยกฎหมายหรือครบถ้วนทุกกรณี และผู้ที่เห็นว่านิติบุคคลฝ่าฝืนกฎหมายยังมีสิทธิร้องเรียนหรือใช้สิทธิอื่นตามขั้นตอนที่กฎหมายกำหนด
สิทธิร้องเรียนนี้มีอยู่จริงและใช้ได้ทันที ในเรื่อง กทพ. สคส. เขียนถึงผู้ปฏิบัติงานที่ไม่เห็นด้วยกับการเก็บข้อมูลชีวภาพไว้ดังนี้
ผู้นั้นย่อมมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญตามมาตรา ๗๓ โดยยื่นคำร้องเรียนมายังสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ลูกบ้านคนเดียวที่ไม่พอใจจึงเริ่มเรื่องได้เอง โดยไม่ต้องรอเสียงข้างมากและไม่ต้องผ่านที่ประชุมใหญ่ อาคารที่มีแบบยินยอมแยกวัตถุประสงค์ มีวิธีเข้าออกแบบอื่น มีข้อตกลงกับผู้ดูแลระบบ และมีบันทึกมติพร้อมเหตุผล จะมีเอกสารชี้แจงครบในวันนั้น ถ้าต้องการทบทวนเกณฑ์ของความยินยอมที่ใช้ได้ อ่านต่อที่ คู่มือความยินยอมที่ใช้ได้ตาม PDPA
คำถามที่พบบ่อย
มติที่ประชุมใหญ่เจ้าของร่วมใช้แทนความยินยอมให้สแกนใบหน้าได้หรือไม่
จากคำตอบ สคส. ถึงนิติบุคคลอาคารชุด ก. มติผ่านและแก้ข้อบังคับแล้ว สคส. ยังให้ขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลตามมาตรา 19 และ 26 ผู้เขียนจึงอ่านว่ามติอย่างเดียวไม่พอ
ลูกบ้านไม่ยอมสแกนใบหน้า นิติบุคคลห้ามเข้าอาคารได้หรือไม่
ถ้าภาพจำลองใบหน้าไม่จำเป็นหรือไม่เกี่ยวข้องกับสัญญาหรือบริการ สคส. ตอบว่าบังคับไม่ได้ และต้องมีวิธียืนยันตัวตนแบบอื่น เช่น คีย์การ์ด แอป MFA หรือ รปภ. ตรวจ โดยวิธีนั้นต้องไม่เป็นอุปสรรคเกินสมควร
บริษัทใช้เครื่องสแกนใบหน้าลงเวลาพนักงาน ใช้หลักเดียวกับคอนโดหรือไม่
ใกล้กับข้อหารือ กทพ. มากกว่า นายจ้างอาจใช้ข้อยกเว้นด้านการคุ้มครองแรงงานตามมาตรา 26 (5) (ค) ได้ถ้าจำเป็นจริงตามข้อเท็จจริง ถ้าไม่จำเป็นต้องขอความยินยอมโดยชัดแจ้ง และมีวิธีลงเวลาแบบอื่นให้คนที่ไม่ยินยอม
เก็บใบหน้าไปแล้วโดยไม่มีใบยินยอม ให้เซ็นย้อนหลังได้หรือไม่
สคส. ระบุว่าการขอความยินยอมต้องทำก่อนหรือขณะเก็บ ไม่มีการขอย้อนหลัง ข้อเสนอของผู้เขียนคือหยุดใช้ข้อมูลชุดเดิมของคนนั้น ขอความยินยอมใหม่ด้วยแบบที่ถูกต้อง และลบข้อมูลของคนที่ปฏิเสธ
โทษสูงสุดของการเก็บข้อมูลชีวภาพโดยไม่มีความยินยอมคือเท่าใด
มาตรา 84 กำหนดโทษปรับทางปกครองไม่เกิน 5 ล้านบาทสำหรับการฝ่าฝืนมาตรา 26 วรรคหนึ่ง เจ้าของข้อมูลยังเรียกค่าสินไหมทดแทนตามมาตรา 77 ได้ และศาลสั่งเพิ่มได้ไม่เกิน 2 เท่าตามมาตรา 78
นิติบุคคลอาคารชุดต้องทำสัญญาอะไรกับบริษัทที่ติดตั้งเครื่องสแกนใบหน้า
ต้องมีข้อตกลงการประมวลผลข้อมูลตามมาตรา 40 วรรคสาม สคส. ระบุว่าต้องกำหนดมาตรการรักษาความมั่นคงปลอดภัยตามมาตรฐานขั้นต่ำ และให้ผู้ประมวลผลแจ้งเหตุละเมิดแก่นิติบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ
อ่านจบแล้ว ทำต่อให้เสร็จได้เลย
เปิดบัญชีตัวอย่างดูระบบ AIPDPA ของจริงกับข้อมูลบริษัทสมมติ ทั้งทะเบียน RoPA เหตุละเมิด 72 ชั่วโมง คำขอใช้สิทธิ คุกกี้แบนเนอร์ และเอกสารพร้อมใช้ ครบในระบบเดียว
เริ่มต้น 2,900 บาท/ปี (11 โมดูล) · ครบ 24 โมดูลตั้งแต่ ENTERPRISE 19,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
ไม่มีเวลาทำเอง ให้ทีมทนายดูแลให้ →ทีมทนายความ Kooru วางระบบและเป็น DPO ให้
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 19 · 20 · 22 · 23 · 26 · 37 · 40 · 77 · 78 · 79 · 81 · 82 · 83 · 84 · 86 · 90
- สำเนาสรุปการตอบข้อหารือ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — ข้อหารือการทางพิเศษแห่งประเทศไทย (บันทึกเวลาทำงานด้วยข้อมูลชีวภาพ) · ข้อหารือนิติบุคคลอาคารชุด อ. (องค์กรที่ไม่แสวงหากำไร)
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 6
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)