อ้างประโยชน์โดยชอบด้วยกฎหมาย ต้องตอบ 3 คำถามให้ได้

บริษัทจำนวนมากเขียนในประกาศความเป็นส่วนตัวว่า “บริษัทประมวลผลข้อมูลของท่านเพื่อประโยชน์โดยชอบด้วยกฎหมาย” แล้วถือว่าเรื่องจบ ฐานนี้ดูสะดวกที่สุดในกฎหมาย ไม่ต้องรอให้ใครกดยอมรับ และไม่มีใครถอนความยินยอมได้ เพราะไม่ได้ขอตั้งแต่แรก

แต่มาตรา 24 (5) ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มีเงื่อนไขอยู่ในประโยคเดียวกัน คือต้อง “เป็นการจำเป็น” และใช้ไม่ได้ถ้าประโยชน์ของบริษัทสำคัญน้อยกว่าสิทธิของเจ้าของข้อมูล วันที่ลูกค้าหรือพนักงานคัดค้าน หรือสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ขอดูเหตุผล บริษัทต้องมีคำตอบที่เขียนไว้แล้ว ไม่ใช่ความรู้สึกว่าน่าจะใช้ได้

บทความนี้แยกฐานนี้ออกเป็น 3 คำถามที่ต้องตอบ ชี้ว่าข้อมูลแบบไหนใช้ฐานนี้ไม่ได้หรือต้องระวังเป็นพิเศษ อธิบายสิทธิคัดค้านตามมาตรา 32 บอกว่าบันทึก LIA ควรมีหัวข้ออะไร แล้วปิดด้วยผลเบื้องต้นของกิจกรรมที่บริษัทไทยทำกันบ่อย

มาตรา 24 (5) อนุญาตอะไร และมีเงื่อนไขอะไรบ้าง?

มาตรา 24 (5) อนุญาตให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บข้อมูลส่วนบุคคลโดยไม่ต้องขอความยินยอม ถ้าจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของบริษัทเองหรือของบุคคลอื่น ตัวบทเขียนไว้สั้นมาก

อ่านทีละท่อนจะเห็นเงื่อนไข 3 ชั้น ชั้นแรก ต้องมี “ประโยชน์โดยชอบด้วยกฎหมาย” อยู่จริง ชั้นที่สอง ต้อง “เป็นการจำเป็น” ไม่ใช่แค่สะดวกหรือประหยัด ชั้นที่สามอยู่หลังคำว่า “เว้นแต่” คือถ้าชั่งแล้วสิทธิของเจ้าของข้อมูลหนักกว่า ฐานนี้ก็ใช้ไม่ได้

TDPG 4.0 ข้อ C63 เตือนไว้ตรง ๆ ว่าฐานนี้กว้างและยืดหยุ่น ผู้ควบคุมข้อมูลจึงต้องใช้ดุลพินิจมาก และการใช้ดุลพินิจผิดอาจทำให้ต้องรับผิดภายหลัง ความยืดหยุ่นที่ทำให้ฐานนี้น่าใช้ จึงเป็นเหตุผลเดียวกับที่ต้องเขียนเหตุผลไว้ให้ชัด

สามคำถามที่ต้องตอบก่อนอ้างฐานนี้มีอะไรบ้าง?

สามคำถามคือ เก็บเพื่ออะไร จำเป็นแค่ไหน และชั่งแล้วกระทบเจ้าของข้อมูลเกินสมควรหรือไม่ TDPG 4.0 ยกข้อหารือของ สคส. ที่แนะนำให้ประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment หรือ LIA) ตามหลักเกณฑ์ 3 ประการนี้ ตอบข้อใดไม่ได้ ควรหยุดแล้วหาฐานอื่น

คำถามที่ 1 วัตถุประสงค์ชอบธรรมไหม

คำตอบที่ใช้ได้ต้องเจาะจงพอให้คนอื่นตรวจได้ เช่น “ป้องกันการลักขโมยสินค้าในร้านสาขา” หรือ “ตรวจจับการสั่งซื้อด้วยบัตรที่ถูกขโมย” ส่วน “เพื่อการบริหารจัดการ” หรือ “เพื่อพัฒนาธุรกิจ” กว้างจนตรวจอะไรไม่ได้

TDPG 4.0 ข้อ C62 ยกตัวอย่างประโยชน์ที่มักยอมรับกัน เช่น การป้องกันอาชญากรรมและการฉ้อโกง การส่งต่อในเครือบริษัทเพื่อการบริหารภายในที่ไม่รวมการส่งไปต่างประเทศ และการรักษาความปลอดภัยของระบบและเครือข่าย โดยมีกรอบว่าต้องไม่เกินขอบเขตที่เจ้าของข้อมูลคาดหมายได้อย่างสมเหตุสมผล

คำถามที่ 2 จำเป็นจริงไหม มีวิธีที่กระทบน้อยกว่าหรือเปล่า

คำถามนี้คัดกิจกรรมออกมากที่สุด เพราะบังคับให้ถามว่าถ้าใช้ข้อมูลน้อยลงจะได้ผลเหมือนเดิมไหม ต้องเก็บภาพกล้องไว้ 90 วัน หรือ 30 วันก็พอ ต้องรู้ว่าใครเป็นคนกด หรือนับจำนวนครั้งก็พอ ถ้ามีวิธีที่กระทบน้อยกว่าแต่ยังเลือกวิธีที่กระทบมากกว่า ข้อนี้ไม่ผ่าน

ตาราง LIA ใน TDPG 4.0 ยังให้ถามว่า “สามารถประมวลผลบนฐานอื่นได้หรือไม่” ถ้างานนั้นเข้าฐานสัญญาหรือฐานหน้าที่ตามกฎหมายอยู่แล้ว ก็ใช้ฐานนั้นตรง ๆ ไม่ต้องดึงประโยชน์โดยชอบด้วยกฎหมายมาใช้ซ้อน

คำถามที่ 3 ชั่งแล้วสิทธิของเจ้าของข้อมูลหนักกว่าไหม

ข้อนี้ต้องมองจากฝั่งเจ้าของข้อมูล TDPG 4.0 แนะนำให้ถามว่า เจ้าของข้อมูลคาดหมายได้ไหมว่าจะมีการประมวลผลนี้ เขาได้ประโยชน์จากบริการด้วยหรือไม่ และจะเกิดผลเสียหรืออันตรายกับเขาหรือไม่ ยิ่งข้อมูลเป็นเรื่องส่วนตัวมาก หรือคนที่ถูกประมวลผลมีอำนาจต่อรองน้อย น้ำหนักยิ่งเอียงไปทางเจ้าของข้อมูล

กับดักที่เจอบ่อยคือคิดว่าเขียนไว้ในนโยบายความเป็นส่วนตัวแล้ว ลูกค้าย่อมคาดหมายได้ TDPG 4.0 ปิดทางนี้ไว้ในข้อ C64

ในทางปฏิบัติ ถ้าอยากให้เจ้าของข้อมูล “คาดหมายได้” ต้องแจ้งตรงจุดที่เกิดการเก็บ เช่น ป้ายหน้าพื้นที่ที่มีกล้อง ข้อความสั้นตอนสมัครสมาชิก หรือบรรทัดเดียวในหน้าชำระเงิน การซ่อนไว้ในหน้าที่สิบของนโยบายไม่ช่วยให้ผ่านคำถามนี้

ข้อมูลแบบไหนใช้ฐานนี้ไม่ได้ หรือต้องระวังเป็นพิเศษ?

ข้อมูลอ่อนไหวตามมาตรา 26 ใช้ฐานประโยชน์โดยชอบด้วยกฎหมายไม่ได้ ส่วนข้อมูลของผู้เยาว์ยังใช้ได้ในบางกรณี แต่ต้องชั่งน้ำหนักเข้มกว่าปกติ สองเรื่องนี้ต่างกันและมักถูกเหมารวม

ข้อมูลอ่อนไหว มาตรา 26

ข้อยกเว้นที่ตามหลังคำว่า “เว้นแต่” มี 5 อนุมาตรา ได้แก่ ป้องกันอันตรายต่อชีวิตเมื่อเจ้าของข้อมูลให้ความยินยอมไม่ได้ กิจกรรมของมูลนิธิหรือสมาคมกับสมาชิก ข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้ง การก่อตั้งหรือต่อสู้สิทธิเรียกร้องตามกฎหมาย และการปฏิบัติตามกฎหมายในเรื่องที่ระบุไว้ ในรายการนี้ไม่มีประโยชน์โดยชอบด้วยกฎหมาย

ผลที่เห็นชัดที่สุดคือเรื่องกล้อง ถ้าบริษัทเปลี่ยนกล้องหน้าตึกจากบันทึกภาพธรรมดาเป็นระบบจดจำใบหน้า ข้อมูลที่ได้เข้านิยาม “ข้อมูลชีวภาพ” ในมาตรา 26 วรรคสอง ซึ่งยกตัวอย่าง “ข้อมูลภาพจำลองใบหน้า” ไว้เอง LIA ที่ทำไว้สำหรับกล้องธรรมดาจึงใช้กับระบบใหม่ไม่ได้ ต้องหาข้อยกเว้นในมาตรา 26 หรือขอความยินยอมโดยชัดแจ้ง

ข้อมูลผู้เยาว์ มาตรา 20

มาตรา 20 วางวิธีขอความยินยอมจากผู้เยาว์ ตัวบทไม่ได้ห้ามใช้ฐานประโยชน์โดยชอบด้วยกฎหมายกับข้อมูลเด็ก แต่วรรคสี่ของมาตรา 20 ขยายหลักเรื่องผู้ใช้อำนาจปกครองไปถึงการแจ้งและการใช้สิทธิด้วย

แม้ไม่ได้ขอความยินยอม การแจ้งว่าจะใช้ข้อมูลอย่างไรและช่องทางคัดค้านจึงต้องคิดถึงผู้ปกครองตามหลักเดียวกัน ในการชั่งน้ำหนัก TDPG 4.0 ยกแนวปฏิบัติของคณะกรรมการคุ้มครองข้อมูลแห่งยุโรป (EDPB) ไว้ว่าเด็กต้องได้น้ำหนักมากกว่าปกติ

ทางที่รอบคอบคือ กิจกรรมที่มีผู้เยาว์เกี่ยวข้อง เช่น แอปการเรียน ระบบสมาชิกที่เด็กสมัครเองได้ หรือภาพกิจกรรมในโรงเรียน ให้คนเป็นผู้ตัดสินผล LIA ทุกครั้ง ไม่ปล่อยให้แบบฟอร์มสรุปเอง อ่านเกณฑ์อายุเพิ่มได้ที่คู่มือข้อมูลเด็ก มาตรา 20

ถ้าเจ้าของข้อมูลคัดค้าน บริษัทต้องทำอะไร?

ต้องหยุดและแยกข้อมูลนั้นออกทันที เว้นแต่พิสูจน์ได้ว่ามีเหตุที่สำคัญยิ่งกว่า หรือเป็นเรื่องสิทธิเรียกร้องตามกฎหมาย มาตรา 32 (1) ให้สิทธิคัดค้านกับข้อมูลที่เก็บตามมาตรา 24 (5) ไว้โดยตรง

ตัวบทใช้คำว่า “พิสูจน์ได้” ภาระจึงอยู่ที่บริษัท ไม่ใช่ที่ผู้คัดค้าน ถ้าบริษัทปฏิเสธคำคัดค้าน มาตรา 32 วรรคสามให้บันทึกการปฏิเสธพร้อมเหตุผลไว้ในบันทึกรายการตามมาตรา 39 ซึ่งมาตรา 39 กำหนดเป็นรายการที่ต้องมี

การตลาดแบบตรงยิ่งเข้มกว่านั้น มาตรา 32 (2) ให้สิทธิคัดค้านการตลาดแบบตรงไว้เป็นอีกกรณีหนึ่ง โดยไม่มีข้อความให้บริษัทพิสูจน์เหตุที่สำคัญยิ่งกว่าแบบใน (1) และ TDPG 4.0 ยกแนวปฏิบัติของ EDPB ไว้ว่าเมื่อคัดค้านแล้วต้องหยุดทันที

บันทึก LIA ที่ตรวจได้ ควรมีหัวข้ออะไรบ้าง?

บันทึก LIA ควรตอบสามคำถามข้างต้นเป็นลายลักษณ์อักษร พร้อมชื่อผู้ตัดสินและวันทบทวน พ.ร.บ.คุ้มครองข้อมูลฯ ไม่ได้กำหนดแบบฟอร์ม LIA ไว้ หัวข้อในตารางนี้จึงเป็นแนวปฏิบัติที่ดี ไม่ใช่ข้อบังคับ แต่ทุกหัวข้อโยงกลับไปที่คำถามในตัวบทหรือใน TDPG 4.0 ได้

สองแถวสุดท้ายสำคัญกว่าที่คิด LIA ที่ไม่มีชื่อผู้ตัดสินคือเอกสารที่ไม่มีใครรับผิดชอบ และ LIA ที่ไม่มีวันทบทวนจะค้างอยู่กับกิจกรรมแบบเดิม ทั้งที่กล้องอาจเพิ่มจาก 4 ตัวเป็น 40 ตัวไปแล้ว

ใน AIPDPA ขั้นตอน LIA อยู่ในทะเบียน RoPA แบ่งเป็น 3 ส่วน 15 คำถาม (บังคับตอบ 14 ข้อ) และดึงคำตอบที่มีอยู่ในทะเบียนมาเติมให้ กิจกรรมที่มีข้อมูลอ่อนไหว ผู้เยาว์ หรือการตัดสินใจอัตโนมัติ ระบบไม่สรุปผลเองแต่ส่งให้คนตัดสิน AI ช่วยเติมคำตอบและทำได้แค่ทำให้ผลระมัดระวังขึ้น ถ้าผู้ตัดสินเห็นต่างจากที่ระบบเสนอต้องเขียนเหตุผล ผลที่ได้คือบันทึก LIA มีเลขที่ อายุ 12 เดือน ใช้ได้ทุกแพ็กเกจ

กิจกรรมที่ใช้บ่อย ใช้ฐานนี้ได้แค่ไหน?

ผลด้านล่างเป็นความเห็นเชิงแนวปฏิบัติจากการอ่านตัวบทคู่กับ TDPG 4.0 ไม่ใช่คำวินิจฉัยของ สคส. ผลจริงขึ้นกับรายละเอียดของแต่ละองค์กร จึงใช้เป็นจุดเริ่มของ LIA ไม่ใช่สิ่งที่ใช้แทน LIA

การตลาดกับลูกค้าเดิม TDPG เขียนไว้สองด้าน

TDPG 4.0 ข้อ C35 วางหลักว่าการตลาดแบบตรงต้องใช้ฐานความยินยอมเป็นหลัก แต่ข้อ C39 เปิดช่องไว้สำหรับกรณีที่ไม่รุกล้ำความเป็นส่วนตัวมากและลูกค้าคาดหมายได้อยู่แล้ว สองข้อนี้ต้องอ่านคู่กัน

ข้อหารือของ สคส. ที่ TDPG ยกไว้เรื่องธนาคารเสนอบัตร ATM หรือ Mobile Banking ให้ลูกค้าเงินฝากก็ไปทางเดียวกัน คือพิจารณาใช้ฐานนี้ได้โดยดูความคาดหวังของลูกค้าและความได้สัดส่วน อาจทำ LIA ประกอบบันทึกรายการ และควรแจ้งลูกค้าว่าคัดค้านได้

เส้นแบ่งที่ใช้งานได้คือ สินค้าใกล้เคียงกับที่ลูกค้าใช้อยู่ ส่งไม่ถี่ และมีทางยกเลิกง่าย ชั่งน้ำหนักได้ ส่วนการเอาพฤติกรรมรายคนไปยิงโฆษณาเจาะจง ให้ขอความยินยอม อ่านเรื่องรายชื่อลูกค้าและคุกกี้ต่อได้ที่บทความรายชื่อการตลาดกับคุกกี้

ติดตามพนักงาน ตัวอย่างที่ TDPG ตัดสินว่าไม่ผ่าน

TDPG 4.0 วางตัวอย่างไว้คู่กัน การเก็บชั่วโมงทำงานของทนายที่ปรึกษาเพื่อคิดค่าใช้จ่ายและโบนัสอ้างฐานนี้ได้ เพราะระบบโปร่งใสและพนักงานโต้แย้งได้ ส่วนบริษัทที่เฝ้าดูการใช้อินเทอร์เน็ตของพนักงาน รวมถึงประวัติการเข้าเว็บและการดาวน์โหลด ไม่ผ่าน

ตัวอย่างนี้ตกทั้งคำถามที่ 2 และ 3 วัตถุประสงค์ฟังขึ้น แต่มีวิธีที่กระทบน้อยกว่า และพนักงานไม่รู้ตัวเลย สำหรับนายจ้าง บทเรียนคือแจ้งก่อน เก็บเท่าที่ต้องใช้ และเลือกบล็อกเว็บก่อนเก็บประวัติรายคน อ่านภาพรวมได้ที่คู่มือข้อมูลพนักงาน

ความผิดพลาดแบบไหนที่ทำให้ LIA ใช้ไม่ได้?

• เขียน LIA หลังเริ่มกิจกรรมไปแล้วเพื่อให้มีเอกสารไว้ตอบ คำตอบมักเป็นการหาเหตุผลมารองรับ ไม่ใช่การชั่งน้ำหนักจริง
• ใช้ LIA ฉบับเดียวครอบทุกกิจกรรม ทั้งที่ข้อมูล คนที่ได้รับผลกระทบ และทางเลือกของแต่ละกิจกรรมไม่เหมือนกัน
• อ้างว่าเขียนไว้ในนโยบายความเป็นส่วนตัวแล้ว ซึ่ง TDPG 4.0 ข้อ C64 ไม่ยอมรับถ้าเนื้อหาไม่เจาะจง
• ไม่เขียนทางเลือกที่กระทบน้อยกว่าเลย คำถามที่ 2 จึงว่างเปล่าและตรวจไม่ได้
• ใช้ฐานนี้กับข้อมูลชีวภาพ ข้อมูลสุขภาพ หรือประวัติอาชญากรรม ซึ่งมาตรา 26 ไม่มีข้อยกเว้นนี้ให้
• ไม่มีช่องทางรับคำคัดค้าน และไม่มีที่บันทึกการปฏิเสธตามมาตรา 39 (7)

LIA ที่ดีไม่จำเป็นต้องยาว แต่ต้องตอบได้ว่าใครตัดสิน ตัดสินด้วยเหตุผลอะไร และจะกลับมาดูอีกเมื่อไร ถ้าอยากเริ่มจากจุดที่คนนอกเห็นก่อน ลองใช้เครื่องมือตรวจเว็บไซต์ฟรี ซึ่งออกรายงาน PDPA และความปลอดภัยของเว็บไซต์ แล้วดูว่าประกาศความเป็นส่วนตัวแจ้งฐานและสิทธิคัดค้านไว้หรือยัง ขั้นตอนทำ LIA ละเอียดอยู่ในคู่มือ LIA

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)