ข้อหารือ PDPA ที่ สคส. ตอบแล้วคือคำถามจริงที่องค์กรส่งเข้าไป เช่น กดไม่ยินยอมในแอปถือเป็นการถอนความยินยอม และเสนอสินค้าใหม่อ้างฐานสัญญาไม่ได้ บทความนี้เหมาะกับ DPO และฝ่ายกฎหมายที่ต้องการแนวคำตอบ ได้ 8 เรื่องที่พบบ่อย คำตอบเหล่านี้เป็นความเห็นแนะนำ ไม่ผูกพันคณะกรรมการ
- ลูกค้ากดเปลี่ยนเป็น “ไม่ยินยอม” ในแอปเอง ถือว่าถอนความยินยอมแล้ว ถ้า privacy notice เขียนไว้ชัด (ม.19 วรรคห้า)
- เสนอสินค้าใหม่ให้ลูกค้าเดิมอ้างฐานสัญญาตาม ม.24 (3) ไม่ได้ และถ้าขอความยินยอมแล้วลูกค้าปฏิเสธ จะกลับไปใช้ ม.24 (5) ไม่ได้
- บริษัทจำกัดไม่ใช่องค์กรไม่แสวงหากำไร ถ้าประมวลผลเป็นประจำหรือมีข้อมูลอ่อนไหว ต้องทำ RoPA ตาม ม.39 วรรคสาม
- ส่งเวชระเบียนให้พนักงานสอบสวนตามหมายเรียกได้โดยไม่ต้องขอความยินยอม แต่ต้องบันทึกการเปิดเผยไว้ใน RoPA (ม.27 วรรคสาม)
- คำตอบข้อหารือเป็นความเห็นแนะนำ ไม่ผูกพันคณะกรรมการผู้เชี่ยวชาญ ใช้ประกอบการตัดสินใจ แล้วจดเหตุผลขององค์กรไว้เอง
งานของ DPO ไทยส่วนใหญ่คือการตอบคำถามที่ยังไม่มีใครตอบไว้ ตัวบท PDPA สั้น แนวปฏิบัติก็กว้าง และยังไม่มีคดีให้เทียบ
แต่มีเอกสารชุดหนึ่งที่หลายองค์กรยังไม่ได้เปิดดู คือ สำเนาสรุปการตอบข้อหารือ ที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) รวมเล่มเผยแพร่ ในเล่มเป็นคำถามที่ธนาคาร โรงพยาบาล บริษัท และหน่วยงานรัฐส่งไปถามจริง ตอบโดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
บทความนี้คัดมา 8 เรื่องที่บริษัทเอกชนเจอบ่อยที่สุด แต่ละเรื่องเล่าคำถามด้วยภาษาธรรมดา ยกคำตอบจากหนังสือมาคำต่อคำ แล้วสรุปว่าองค์กรควรทำอะไร ก่อนอ่าน ขอให้รู้สถานะของเอกสารนี้ก่อน ซึ่งคำตอบข้อหนึ่งในเล่มเขียนไว้เอง
การตอบข้อหารือนี้เป็นความเห็นและคำแนะนำทางกฎหมายของคณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ ซึ่งท่านอาจใช้ประกอบดุลพินิจในการดำเนินการที่เกี่ยวข้อง แต่ความเห็นดังกล่าวนี้ไม่ผูกพันการใช้อำนาจและหน้าที่ของคณะกรรมการผู้เชี่ยวชาญตามกฎหมาย
สรุป 8 คำตอบในตารางเดียว
| # | คำถาม | สคส. ตอบโดยย่อ | มาตราหลักใน PDPA | ควรทำอะไร |
|---|---|---|---|---|
| 1 | ลูกค้ากดเปลี่ยนเป็น “ไม่ยินยอม” ในแอปเอง ถือว่าถอนความยินยอมหรือยัง | ถือว่าถอนแล้ว ถ้า privacy notice เขียนไว้ชัด ไม่ต้องทำเมนูถอนแยก | ม.19 วรรคห้า วรรคหก | เขียนไว้ใน privacy notice ว่าปุ่มนี้มีผลอย่างไร และเก็บประวัติให้ย้อนดูได้ |
| 2 | จะเสนอสินค้าใหม่ให้ลูกค้าเดิม ต้องขอความยินยอมก่อนไหม | สินค้าใหม่อ้างฐานสัญญาไม่ได้ ส่วนสินค้าที่เกี่ยวเนื่องอาจใช้ฐานประโยชน์โดยชอบด้วยกฎหมายได้ | ม.24 (3) (5) · ม.19 · ม.32 | เลือกฐานทางกฎหมายให้ถูกตั้งแต่แรก และทำ LIA |
| 3 | บริษัทเล็กได้รับยกเว้นไม่ต้องทำ RoPA ไหม | บริษัทจำกัดไม่นับเป็นองค์กรไม่แสวงหากำไร และถ้ารับงานเป็นผู้ประมวลผล ยังต้องบันทึกตาม ม.40 (3) | ม.39 วรรคสาม · ม.40 (3) | ตรวจว่าเข้าเกณฑ์กิจการขนาดเล็กหรือไม่ และดูเงื่อนไขที่ทำให้ข้อยกเว้นใช้ไม่ได้ |
| 4 | ลูกค้าลืมมือถือหรือโน้ตบุ๊กไว้ ต้องจัดการอย่างไร | งานรับของหายไม่ทำให้เป็นผู้ควบคุมข้อมูล แต่ควรลบข้อมูลก่อนจำหน่าย | ม.6 · ม.37 (1) | ลบข้อมูล ล้างเครื่องกลับค่าโรงงาน หรือทำลายชิ้นส่วนเก็บข้อมูล ก่อนส่งต่อ |
| 5 | พนักงานสอบสวนขอเวชระเบียนผู้ป่วย ส่งให้ได้ไหม | ส่งได้ตามหนังสือหรือหมายเรียก โดยไม่ต้องขอความยินยอม | ม.4 (2) (5) · ม.27 วรรคหนึ่ง · ม.21 | ตรวจอำนาจของผู้ขอ และบันทึกการเปิดเผยลง RoPA |
| 6 | บริษัทประกันให้นายจ้างเซ็นรับรองว่าพนักงานยินยอมแล้ว | การเซ็นรับรองไม่ใช่การยินยอมแทนพนักงาน และรับมอบหมายให้ไปขอแทนได้ | ม.19 · ม.20 · ม.26 | ขอความยินยอมจากพนักงานทีละคนจริง เก็บหลักฐาน แล้วจึงเซ็น |
| 7 | โพสต์รูปคนอื่นลง Facebook ผิด PDPA ไหม | รูปที่ระบุตัวคนได้เป็นข้อมูลส่วนบุคคล แต่ถ้าโพสต์เพื่อประโยชน์ส่วนตนอาจอยู่นอก PDPA | ม.4 (1) · ม.5 · ม.6 | เพจบริษัทไม่ใช่การใช้ส่วนตัว ต้องมีฐานทางกฎหมาย |
| 8 | ใช้เครื่องสแกนหน้าหรือลายนิ้วมือลงเวลา ต้องขอความยินยอมไหม | อาจไม่ต้อง ถ้าจำเป็นต่อการคุ้มครองแรงงานจริง ถ้าไม่จำเป็นต้องขอความยินยอมโดยชัดแจ้งและมีวิธีลงเวลาอื่นให้เลือก | ม.26 (5) (ค) · ม.26 วรรคสอง · ม.19 วรรคสี่ | จดเหตุผลความจำเป็นไว้ และเตรียมวิธีลงเวลาสำรอง |
1. ลูกค้ากด “ไม่ยินยอม” ในแอปเอง ถือว่าถอนความยินยอมแล้วหรือยัง?
เรื่องที่ถาม: ธนาคาร ข. เปิดให้ลูกค้าเปลี่ยนสถานะจาก “ยินยอม” เป็น “ไม่ยินยอม” ได้เองทางตู้ VTM และ Mobile Banking แล้วถามว่าแค่นี้นับเป็นการถอนความยินยอมได้หรือไม่ หรือต้องทำเมนู “ถอนความยินยอม” ขึ้นมาอีกเมนูหนึ่ง
กรณีนี้หากธนาคาร ข. ได้แจ้งในประกาศความเป็นส่วนตัว (Privacy Notice) ให้เจ้าของข้อมูลส่วนบุคคลทราบอย่างชัดแจ้งว่าการที่ลูกค้าผู้ใช้บริการได้กดปุ่ม "ไม่ยินยอม" ผ่านระบบ SUMO (เครื่อง Virtual Teller Machine (VTM)) และผ่านระบบ Mobile Banking ซึ่งเป็นการกดปุ่มหลังจากที่ทำการกดปุ่มให้ความยินยอมมาแล้ว ให้ถือว่าเป็นการถอนความยินยอมจากการให้บริการ แม้กระบวนการถอนความยินยอมไม่ได้จัดทำเป็นกรณีเฉพาะก็ถือเป็นการถอนความยินยอมตามกฎหมายแล้ว
องค์กรควรทำอย่างไร: ไม่ต้องทำเมนูถอนความยินยอมแยก ถ้าปุ่มเดียวกับที่ใช้ให้ความยินยอมใช้ถอนได้ด้วย และ privacy notice บอกไว้ชัดว่ากดแล้วมีผลอย่างไร
ในคำตอบเดียวกัน สคส. แนะนำเพิ่มอีกสองเรื่อง คือ มีระบบตรวจสอบย้อนกลับ (trace back) ว่าลูกค้าให้และถอนความยินยอมเมื่อไร และแสดงสถานะให้ลูกค้าเห็นว่าถอนสำเร็จแล้ว หลักกฎหมายที่อยู่เบื้องหลังคือ PDPA มาตรา 19 วรรคห้า
เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม
2. จะเสนอขายสินค้าใหม่ให้ลูกค้าเดิม ต้องขอความยินยอมก่อนหรือไม่?
เรื่องที่ถาม: ธนาคาร จ. ถามว่า ถ้าจะเสนอสินเชื่อให้ลูกค้าเงินฝาก หรือเสนอบัตร ATM และ Mobile Banking ให้ลูกค้าเดิม ต้องขอความยินยอมก่อนไหม และถ้าลูกค้าเคยกด “ไม่ยินยอม” เรื่องการตลาดไว้แล้ว ธนาคารจะทำอะไรได้บ้าง
การนำเสนอผลิตภัณฑ์ใหม่เพื่อวัตถุประสงค์ทางการตลาดเป็นกิจกรรมที่ไม่เกี่ยวข้องกับการปฏิบัติตามสัญญาของผลิตภัณฑ์เดิม จึงไม่สามารถอ้างฐานการปฏิบัติตามสัญญาตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้
ส่วนสินค้าที่เกี่ยวเนื่องกับของเดิม เช่น บัตร ATM ของลูกค้าเงินฝาก สคส. ว่าอาจพิจารณาใช้ฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) ได้ โดยต้องประเมิน LIA และแจ้งลูกค้าว่ามีสิทธิคัดค้านการตลาดตามมาตรา 32 แต่ประโยคที่ควรอ่านให้ดีที่สุดอยู่ท้ายคำตอบ
แต่กรณีธนาคารเลือกใช้ฐานความยินยอมแล้ว ลูกค้าไม่ให้ความยินยอม ธนาคารจะไม่สามารถนำฐานทางกฎหมายตามมาตรา ๒๔ (๕) มาใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลกับลูกค้าในกิจกรรมดังกล่าวได้อีก
องค์กรควรทำอย่างไร: อย่าขอความยินยอมไว้ก่อนเพราะคิดว่าปลอดภัยกว่า ถ้าถามแล้วลูกค้าปฏิเสธ องค์กรจะกลับไปอ้างฐานประโยชน์โดยชอบด้วยกฎหมายกับกิจกรรมเดียวกันไม่ได้อีก
ควรเลือกฐานทางกฎหมายของแต่ละกิจกรรมตั้งแต่ตอนทำ RoPA ไม่ใช่มาคิดตอนออกแบบฟอร์ม วิธีเลือกอยู่ในคู่มือฐานทางกฎหมาย
เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
3. บริษัทเล็กได้รับยกเว้นไม่ต้องทำ RoPA จริงไหม?
เรื่องที่ถาม: บริษัท ศ. รับจ้างบริหารอาคารชุดและหมู่บ้าน ถามว่านิติบุคคลอาคารชุดนับเป็น “องค์กรที่ไม่แสวงหากำไร” ซึ่งได้รับยกเว้นการบันทึกรายการตามประกาศเรื่องกิจการขนาดเล็ก พ.ศ. 2565 หรือไม่ สคส. ตอบเลยไปถึงตัวบริษัทผู้ถามด้วย (ฉบับ 2565 ถูกยกเลิกโดยประกาศเรื่องเดียวกัน พ.ศ. 2567 ซึ่งระบุนิติบุคคลอาคารชุดไว้เป็นกลุ่มที่ได้ยกเว้นโดยตรงแล้ว)
การจดทะเบียนจัดตั้งธุรกิจในรูปแบบบริษัทจำกัดจึงเป็นไปเพื่อการแบ่งปันกำไร บริษัทฯ จึงไม่ถือเป็นองค์กรที่ไม่แสวงหากำไร
องค์กรควรทำอย่างไร: บริษัทจำกัดใช้ข้อยกเว้นเรื่ององค์กรไม่แสวงหากำไรไม่ได้ ช่องที่อาจใช้ได้คือการเป็นวิสาหกิจขนาดย่อมหรือขนาดกลาง ซึ่งข้อหารือนี้ยกไว้เป็นลักษณะแรกในข้อ 3 ของประกาศ
แต่ข้อยกเว้นนี้มีเงื่อนไขตามมาตรา 39 วรรคสาม ถ้าการประมวลผลเสี่ยงต่อสิทธิของเจ้าของข้อมูล ไม่ได้ทำเป็นครั้งคราว หรือมีข้อมูลอ่อนไหวตามมาตรา 26 ก็ยังต้องทำ RoPA และเมื่อรับงานเป็นผู้ประมวลผลให้ลูกค้า สคส. ตอบว่าบริษัทยังมีหน้าที่บันทึกรายการตามมาตรา 40 (3)
เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา 26
ถ้าสรุปแล้วต้องทำ RoPA เริ่มได้จากคู่มือทำ RoPA หรือใช้ทะเบียน RoPA ใน AIPDPA ซึ่งพิมพ์รายงานตามมาตรา 39 ได้
4. ลูกค้าลืมมือถือหรือโน้ตบุ๊กไว้ เราเป็นผู้ควบคุมข้อมูลหรือไม่?
เรื่องที่ถาม: บริษัท อ. ผู้ดูแลสนามบิน กำลังจัดทำระเบียบรับฝากและจัดการทรัพย์สินที่เก็บได้ จึงถามว่าอุปกรณ์อิเล็กทรอนิกส์ที่มีข้อมูลส่วนบุคคลอยู่ในเครื่อง ต้องจัดการอย่างไรก่อนนำไปจำหน่ายหรือขายทอดตลาด
การดำเนินกิจกรรมของแผนกบริการทรัพย์สินสูญหาย (Lost & Found) เป็นเพียงการจัดการทรัพย์สินที่ไม่ทราบว่าเป็นของผู้ใดเท่านั้น ไม่ใช่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่จะทำให้บริษัทฯ เป็นผู้ควบคุมข้อมูลส่วนบุคคลแต่อย่างใด
องค์กรควรทำอย่างไร: โรงแรม ห้าง ร้านอาหาร หรือโรงพยาบาลที่เก็บของหายไว้ ไม่ได้เป็นผู้ควบคุมข้อมูลเพียงเพราะเก็บมือถือไว้ในลิ้นชัก แต่ก่อนบริจาคหรือจำหน่าย สคส. แนะนำแนวปฏิบัติไว้ 3 ขั้น
- ถ้ามีชิ้นส่วนเก็บข้อมูล ให้ลบข้อมูลในชิ้นส่วนนั้น
- ถ้าข้อมูลอยู่ในตัวเครื่อง ให้ล้างเครื่องกลับค่าโรงงาน (Factory Reset)
- ถ้าเข้าถึงข้อมูลไม่ได้เลย ให้ทำลายอุปกรณ์หรือชิ้นส่วนเก็บข้อมูล
สคส. เห็นว่าการทำตามนี้อาจถือเป็นมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมแล้ว เขียน 3 ขั้นนี้ลงในระเบียบงานรับของหาย (Lost & Found) ได้เลย
5. พนักงานสอบสวนขอข้อมูลผู้ป่วยหรือลูกค้า ต้องขอความยินยอมก่อนส่งให้หรือไม่?
เรื่องที่ถาม: โรงพยาบาล B ได้รับหนังสือหรือหมายเรียกพยานเอกสารจากพนักงานสอบสวนอยู่บ่อย ๆ เพื่อขอประวัติการรักษาของผู้ป่วยไปใช้ในสำนวนคดีอาญา จึงถามว่าส่งให้ได้เลยโดยไม่ต้องขอความยินยอมหรือไม่
ดังนั้น โรงพยาบาล B จึงสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ซึ่งรวมถึงประวัติการรักษาพยาบาลของผู้ป่วยที่ถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามที่พนักงานสอบสวนมีหนังสือ และ/หรือหมายเรียกพยานเอกสารได้โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
สคส. ให้เหตุผลสองข้อ ข้อแรก การสอบสวนคดีอาญาของพนักงานสอบสวนเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญาตามมาตรา 4 (5) ซึ่ง PDPA ไม่ใช้บังคับ
ข้อที่สอง ข้อมูลที่โรงพยาบาลเก็บมาโดยได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24 หรือ 26 นำไปเปิดเผยได้ตามมาตรา 27 วรรคหนึ่ง และกรณีนี้ยังมีประมวลกฎหมายวิธีพิจารณาความอาญาเป็นกฎหมายอื่นรองรับอีกชั้นหนึ่ง
องค์กรควรทำอย่างไร: บริษัทเอกชนที่ได้หนังสือขอข้อมูลจากเจ้าหน้าที่ ไม่ต้องรีบไปตามขอความยินยอมจากลูกค้า แต่มีสองเรื่องที่ห้ามข้าม
เรื่องแรก ตรวจว่าผู้ขอมีอำนาจตามกฎหมายจริง ข้อหารือของบริษัท ย. ซึ่งทำแพลตฟอร์มอีคอมเมิร์ซในเล่มเดียวกันก็ย้ำประเด็นนี้ เรื่องที่สอง บันทึกการเปิดเผยครั้งนั้นไว้ใน RoPA เพราะเป็นการเปิดเผยโดยไม่ได้ขอความยินยอม
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึกการใช้หรือเปิดเผยนั้นไว้ในรายการตามมาตรา 39
6. บริษัทประกันให้นายจ้างเซ็นรับรองว่าพนักงานยินยอมแล้ว เซ็นได้หรือไม่?
เรื่องที่ถาม: บริษัท ก. ทำประกันสุขภาพกลุ่มให้พนักงาน บริษัทประกันขอให้นายจ้างเซ็น “หนังสือรับรองการได้รับความยินยอม” จากพนักงาน ถ้าไม่เซ็นจะไม่ต่อกรมธรรม์และไม่รับสมาชิกเพิ่ม
DPO ของบริษัท ก. เห็นว่าเท่ากับบังคับให้นายจ้างยินยอมแทนพนักงาน จึงถามว่าหนังสือนี้ขัด PDPA หรือไม่
การที่บริษัท ก. ทำหน้าที่ประสานงานเพื่อขอความยินยอมจากพนักงานของบริษัท ก. แทนผู้รับประกันภัยและ/หรือนายหน้าประกันชีวิตหรือบุคคลอื่นใดตามที่กำหนดในหนังสือดังกล่าว และให้คำรับรองกับผู้รับประกันภัยและ/หรือนายหน้าประกันชีวิตตามที่กำหนดในหนังสือ จึงไม่ใช่การที่บริษัท ก. ให้ความยินยอมแทนพนักงานซึ่งเป็นเจ้าของข้อมูลส่วนบุคคล
องค์กรควรทำอย่างไร: หนังสือรับรองแบบนี้คือการรับหน้าที่ไปขอความยินยอมจากพนักงานแทนบริษัทประกัน แล้วรับรองว่าขอมาแล้ว นายจ้างไม่ได้ยินยอมแทนพนักงาน สคส. ตอบว่ามอบหมายงานนี้กันได้ ถ้าความยินยอมที่ได้มาเป็นไปตามมาตรา 19 และ 20 จริง ส่วนเงื่อนไขในหนังสือเป็นเรื่องสัญญาที่ต่อรองแก้ไขกันได้
ก่อนเซ็น ฝ่ายบุคคลควรขอความยินยอมจากพนักงานทีละคนจริง โดยเฉพาะข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหว เก็บหลักฐานให้เรียกดูได้ และวางขั้นตอนไว้รองรับกรณีพนักงานถอนความยินยอม ดูวิธีออกแบบแบบฟอร์มได้ในคู่มือความยินยอมที่ใช้ได้จริง
7. โพสต์รูปคนอื่นลง Facebook ผิด PDPA หรือไม่?
เรื่องที่ถาม: สถานีตำรวจ F รับแจ้งความว่ามีผู้ใช้ Facebook โพสต์รูปผู้เสียหายพร้อมข้อความที่ทำให้ถูกดูหมิ่นเกลียดชัง จึงถามว่าผู้โพสต์เป็นผู้ควบคุมข้อมูลส่วนบุคคลและผิด PDPA หรือไม่
สคส. ตอบก่อนว่ารูปหรือข้อความที่ระบุตัวคนได้ ทั้งทางตรงและทางอ้อม เป็นข้อมูลส่วนบุคคล จากนั้นจึงอธิบายว่า PDPA ตั้งใจใช้บังคับกับใคร
บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าวมุ่งประสงค์จะใช้บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น
สคส. จึงให้ตำรวจพิจารณาว่าการโพสต์นั้นทำ “เพื่อประโยชน์ส่วนตน” ตามข้อยกเว้นมาตรา 4 (1) หรือไม่ ถ้าใช่ก็อยู่นอก PDPA แต่ผู้โพสต์ยังอาจผิดกฎหมายอื่นได้ เช่น พ.ร.บ.คอมพิวเตอร์ ความผิดฐานหมิ่นประมาทตามประมวลกฎหมายอาญา หรือละเมิดตามมาตรา 420 ประมวลกฎหมายแพ่งและพาณิชย์
การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น
องค์กรควรทำอย่างไร: อย่าอ่านข้อหารือนี้ว่าเพจบริษัทโพสต์รูปลูกค้าหรือพนักงานได้ตามใจ ข้อยกเว้นมาตรา 4 (1) ใช้ได้เฉพาะประโยชน์ส่วนตนหรือกิจกรรมในครอบครัว
เพจบริษัทที่ลงรูปงานอีเวนต์ รูปลูกค้ารับรางวัล หรือรูปพนักงาน เป็นการใช้ข้อมูลเพื่อวัตถุประสงค์ขององค์กร จึงต้องมีฐานทางกฎหมายและแจ้ง privacy notice เหมือนกิจกรรมอื่น
8. ใช้เครื่องสแกนหน้าหรือลายนิ้วมือลงเวลา ต้องขอความยินยอมทุกคนหรือไม่?
เรื่องที่ถาม: การทางพิเศษแห่งประเทศไทย (กทพ.) เก็บใบหน้าและลายนิ้วมือพนักงานเข้าระบบลงเวลาไปแล้ว 3,314 คน ติดตั้งเครื่อง 84 เครื่อง รวม 3,149,010 บาท แต่มีพนักงาน 1 คนไม่ยินยอม เพราะกลัวข้อมูลรั่วไหล และอ้าง PDPA มาตรา 26
กทพ. จึงถามว่าต้องได้ความยินยอมหรือไม่ และถ้าไม่ได้จะทำอย่างไร คำตอบพูดถึงนายจ้าง “ที่เป็นเอกชนหรือรัฐวิสาหกิจ” ไว้ด้วย บริษัทเอกชนจึงนำไปใช้ได้โดยตรง
ข้อมูลชีวภาพตามวรรคหนึ่งให้หมายถึงข้อมูลส่วนบุคคลที่เกิดจากการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการนำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้นที่ไม่เหมือนกับบุคคลอื่นได้ เช่น ข้อมูลภาพจำลองใบหน้า ข้อมูลจำลองม่านตา หรือข้อมูลจำลองลายนิ้วมือ
ในกรณีที่ กทพ. เห็นว่า การเก็บรวบรวมข้อมูลชีวภาพสำหรับการบันทึกเวลาทำงานเป็นสิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของ กทพ. หรือผู้ปฏิบัติงานของ กทพ. เกี่ยวกับการคุ้มครองแรงงานตามกฎหมาย เช่น เพื่อป้องกันปัญหาการทุจริตในการบันทึกเวลาทำงานแทนกัน โดยได้พิจารณาจากข้อเท็จจริงแล้วว่า หากไม่ดำเนินการเช่นนั้น กทพ. จะไม่สามารถปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงานได้ กทพ. ก็อาจยกกรณีดังกล่าวเป็นข้อยกเว้นการได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตามมาตรา ๒๖ (๕) (ค) ได้
คำตอบอีกครึ่งหนึ่งสำคัญไม่แพ้กัน ถ้าข้อเท็จจริงยังไม่ชัดว่ามีปัญหาลงเวลาแทนกัน หรือยังมีวิธีอื่นที่ไม่ต้องใช้ข้อมูลชีวภาพ ก็อ้างข้อยกเว้นนี้ไม่ได้ ต้องขอความยินยอมโดยชัดแจ้ง
ถ้าพนักงานไม่ยินยอม และข้อมูลชีวภาพไม่จำเป็นต่อสัญญาจ้างตามมาตรา 19 วรรคสี่ นายจ้างต้องมีวิธีลงเวลาอื่นให้คนที่ไม่ยินยอมหรือถอนความยินยอม เช่น ลงลายมือชื่อในบัญชีลงเวลา
องค์กรควรทำอย่างไร: ก่อนซื้อเครื่องสแกน ให้เขียนเหตุผลความจำเป็นไว้เป็นหนังสือ ระบุปัญหาจริงที่เครื่องจะแก้ และวิธีอื่นที่พิจารณาแล้วว่าไม่พอ เอกสารนี้คือสิ่งที่ใช้ชี้ว่ากรณีของคุณเข้ามาตรา 26 (5) (ค) หรือไม่
จากนั้นเตรียมช่องทางลงเวลาสำรองไว้เสมอ และวางมาตรการรักษาความปลอดภัยให้เหมาะกับความเสี่ยง ข้อหารือนี้ย้ำว่าข้อมูลชีวภาพมีความเสี่ยงค่อนข้างสูงอยู่แล้วโดยธรรมชาติ อ่านเรื่องข้อมูลอ่อนไหวเพิ่มได้ในคู่มือข้อมูลส่วนบุคคลอ่อนไหว
อ่านข้อหารือ สคส. อย่างไรไม่ให้ตีความเกิน?
ทั้ง 8 เรื่องมีรูปแบบคล้ายกัน รู้ไว้แล้วจะอ่านข้อหารือเรื่องอื่นได้เร็วขึ้น สคส. แทบไม่ตอบว่า “ได้” หรือ “ไม่ได้” แบบเด็ดขาด แต่ตอบเป็น เงื่อนไข เช่น ถ้าแจ้งไว้ใน privacy notice ถ้าจำเป็นจริง หรือถ้าได้ความยินยอมมาโดยชอบ แล้วให้ผู้ควบคุมข้อมูลเป็นฝ่ายพิสูจน์
องค์กรที่ได้ประโยชน์จากข้อหารือมากที่สุด คือองค์กรที่จดเหตุผลของตัวเองไว้ก่อนมีใครมาถาม
- อ่านข้อเท็จจริงของผู้ถามก่อนอ่านคำตอบ ถ้าไม่ตรงกับกรณีของคุณ ให้ใช้เป็นแนวคิดเท่านั้น
- ดูว่าคำตอบอ้างมาตราใด แล้วเปิดตัวบทมาตรานั้นอ่านเอง
- แยก “ความเห็น” ออกจาก “ข้อสังเกต” ข้อสังเกตมักเป็นแนวปฏิบัติที่ดี ไม่ใช่หน้าที่ตามกฎหมาย
- บันทึกการตัดสินใจขององค์กร พร้อมระบุข้อหารือที่ใช้ประกอบ ไว้ใน RoPA หรือบันทึก LIA
เรื่องที่วนกลับมาบ่อยที่สุดใน 8 ข้อคือความยินยอม ทั้งการถอน การขอผ่านคนกลาง และการเลือกฐานผิด ทะเบียนความยินยอมของ AIPDPA เก็บประวัติการให้และถอนให้ย้อนตรวจได้ ตรงกับที่ สคส. แนะนำธนาคาร ข. ส่วน RoPA บันทึกการเปิดเผยที่ไม่ต้องขอความยินยอมไว้ในที่เดียว ดูบัญชีตัวอย่าง ไม่ต้องสมัคร
คำถามที่พบบ่อย
ข้อหารือของ สคส. ผูกพันตามกฎหมายหรือไม่?
ไม่ผูกพัน ในเล่มเขียนไว้เองว่าคำตอบเป็นความเห็นและคำแนะนำทางกฎหมายของคณะอนุกรรมการเฉพาะกิจตอบข้อหารือ ใช้ประกอบดุลพินิจได้ แต่ไม่ผูกพันการใช้อำนาจของคณะกรรมการผู้เชี่ยวชาญ ถ้ามีเรื่องร้องเรียน ผลจะขึ้นกับข้อเท็จจริงของเรื่องนั้น
ต้องทำเมนู “ถอนความยินยอม” แยกในแอปหรือไม่?
ไม่จำเป็น ตามข้อหารือของธนาคาร ข. ถ้าลูกค้าเปลี่ยนจาก “ยินยอม” เป็น “ไม่ยินยอม” ได้เอง และ privacy notice เขียนไว้ชัดว่าการกดนั้นคือการถอน ก็ถือว่าถอนตามกฎหมายแล้ว แต่ สคส. แนะนำให้มีระบบตรวจสอบย้อนกลับ และแสดงสถานะให้ลูกค้าเห็น
ขอความยินยอมไว้ก่อน ปลอดภัยกว่าใช้ฐานประโยชน์โดยชอบด้วยกฎหมายหรือไม่?
ไม่เสมอไป ข้อหารือของธนาคาร จ. ระบุว่าถ้าเลือกฐานความยินยอมแล้วลูกค้าไม่ให้ จะกลับไปใช้ฐานมาตรา 24 (5) กับกิจกรรมนั้นไม่ได้อีก จึงควรเลือกฐานให้ถูกตั้งแต่แรก
SME ไม่ต้องทำ RoPA ใช่ไหม?
ไม่เสมอไป วิสาหกิจขนาดย่อมและขนาดกลางเป็นกลุ่มหนึ่งที่ประกาศเรื่องกิจการขนาดเล็กยกเว้นไว้ แต่มาตรา 39 วรรคสามตัดข้อยกเว้นออก ถ้าการประมวลผลเสี่ยงต่อสิทธิ ไม่ได้ทำเป็นครั้งคราว หรือมีข้อมูลอ่อนไหว และถ้ารับประมวลผลให้คนอื่น ยังต้องมีบันทึกตามมาตรา 40 (3)
นายจ้างบังคับให้พนักงานสแกนหน้าลงเวลาได้หรือไม่?
ขึ้นกับว่าจำเป็นจริงหรือไม่ ข้อหารือของ กทพ. ว่าอาจใช้ข้อยกเว้นมาตรา 26 (5) (ค) ได้ ถ้าจำเป็นต่อการคุ้มครองแรงงาน เช่น ป้องกันการลงเวลาแทนกัน และไม่มีวิธีอื่น ถ้าไม่เข้าเงื่อนไข ต้องขอความยินยอมโดยชัดแจ้ง และมีวิธีลงเวลาอื่นให้คนที่ไม่ยินยอม
ตัวบทและแหล่งอ้างอิง
- สำเนาสรุปการตอบข้อหารือ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (ส่วนแรกของหนังสือรวมคำสั่งทางปกครองของคณะกรรมการผู้เชี่ยวชาญ และสำเนาสรุปการตอบข้อหารือ · สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — ข้อหารือ 9 เรื่องที่ยกในบทความ
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 4 (1) · 19 · 24 (5) · 26 วรรคสอง · 27 วรรคสาม · 39 วรรคสาม
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)