โพสต์รูปคนอื่นผิด PDPA หรือไม่ สคส. ตอบตำรวจแล้ว 8 เรื่อง

ข้อความที่แชร์กันบ่อยที่สุดเรื่อง PDPA คือ โพสต์รูปคนอื่นโดยเขาไม่ยินยอม ผิดกฎหมาย ติดคุกได้ คนที่ถูกเอารูป เอาแชต หรือเอาเอกสารไปโพสต์ประจาน จึงมักไปแจ้งความด้วยข้อหาตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นข้อหาแรก

พนักงานสอบสวนและพนักงานอัยการต้องการความชัดเจนเรื่องนี้เช่นกัน สถานีตำรวจ 8 แห่งจึงทำหนังสือหารือสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) คำตอบทั้งหมดอยู่ในหนังสือสำเนาสรุปการตอบข้อหารือที่ สคส. เผยแพร่ โดยปกปิดชื่อสถานีและชื่อคู่กรณีเป็นตัวอักษร

บทความนี้วางทั้ง 8 เรื่องไว้ในตารางเดียว แล้วแยกให้เห็นว่า สคส. ใช้เกณฑ์อะไร เกณฑ์ไหนไม่ได้ใช้ โทษอาญาของ PDPA ต้องมีองค์ประกอบอะไร และร้านค้าหรือแอดมินเพจอยู่ตรงไหนของเกณฑ์นี้ ตัวบทและความเห็นคัดจากเอกสารต้นฉบับคำต่อคำ

ตำรวจ 8 สถานีถามอะไร และ สคส. ตอบว่าอย่างไร?

หกเรื่องเป็นการโพสต์ลง Facebook หรือ TikTok โดยบุคคลธรรมดา อีกสองเรื่องต่างออกไป เรื่องหนึ่งเป็นรายการข่าวโทรทัศน์ อีกเรื่องเป็นประกาศของหน่วยงานปกครองส่วนท้องถิ่น สองเรื่องหลังนี้ทำให้เห็นข้อยกเว้นของสื่อมวลชน และองค์ประกอบของโทษอาญาใน PDPA

อ่านตารางแล้วจะเห็นสองอย่าง อย่างแรก ใน 4 จาก 8 เรื่อง คือสถานี F E H และสถานีตำรวจภูธร ข. คำถามเริ่มจากหนังสือของพนักงานอัยการถึงพนักงานสอบสวน ก่อนจะมาถึง สคส. อย่างที่สอง สิ่งที่โพสต์ต่างกันมาก ตั้งแต่รูปธรรมดาจนถึงสำเนาบัตรประชาชน แต่หกเรื่องแรกได้ความเห็นที่ถ้อยคำแทบตรงกันทั้งหมด

เหตุที่ต้องถามก็เขียนไว้ในข้อหารือเอง สถานีตำรวจ J อธิบายว่านิยามผู้ควบคุมข้อมูลส่วนบุคคลยังตีความกันหลายทาง

รูป ใบหย่า สำเนาบัตร เป็นข้อมูลส่วนบุคคล แล้วทำไมยังไม่ผิด PDPA?

เพราะ PDPA ไม่ได้ถามแค่ว่าข้อมูลนั้นเป็นข้อมูลส่วนบุคคลหรือไม่ แต่ถามต่อว่าใครเป็นคนใช้ข้อมูล และใช้ในฐานะอะไร ในทุกเรื่อง สคส. ตอบข้อแรกว่าใช่ ภาพหรือข้อความที่ระบุตัวบุคคลได้ทั้งทางตรงและทางอ้อมเป็นข้อมูลส่วนบุคคลตามมาตรา 6 รวมถึงชื่อบนใบสำคัญการหย่าและภาพสำเนาบัตรประจำตัวประชาชน

จากนั้นความเห็นจึงไปที่มาตรา 5 วรรคหนึ่ง มาตรานี้ให้ PDPA ใช้กับการเก็บ ใช้ หรือเปิดเผยข้อมูลโดยผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล คำถามที่ตัดสินเรื่องจึงเป็นว่า คนโพสต์เป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือไม่

อ่านนิยามตามตัวอักษร ใครตัดสินใจโพสต์ก็ดูจะเป็นผู้ควบคุมข้อมูลได้ทั้งนั้น สคส. ไม่ได้อ่านแบบนั้น ความเห็นไล่หน้าที่ที่กฎหมายวางให้ผู้ควบคุมข้อมูล เช่น ต้องมีฐานตามมาตรา 24 หรือ 26 ต้องแจ้งวัตถุประสงค์ตามมาตรา 23 ต้องรักษาความมั่นคงปลอดภัยและแจ้งเหตุละเมิดตามมาตรา 37 ต้องตอบคำขอใช้สิทธิตามมาตรา 30 ถึง 36 และต้องตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41

หน้าที่ชุดนี้ออกแบบมาสำหรับคนหรือองค์กรที่เก็บและใช้ข้อมูลเป็นงานประจำ สคส. จึงสรุปว่ากฎหมายมุ่งใช้กับผู้ที่เก็บ ใช้ หรือเปิดเผยข้อมูล “อย่างเป็นระบบหรือเป็นประจำสม่ำเสมอ” เพื่อวัตถุประสงค์ขององค์กรหรือของบุคคลนั้น แล้วอ่านประกอบกับข้อยกเว้นในมาตรา 4 (1)

บุคคลธรรมดาที่โพสต์ถึงคนอื่น อยู่นอก PDPA เมื่อไร?

เมื่อโพสต์เพื่อประโยชน์ส่วนตน และไม่ได้เก็บ ใช้ หรือเปิดเผยข้อมูลเป็นระบบหรือเป็นประจำในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ข้อความด้านล่างปรากฏในความเห็นทั้งหกเรื่อง ต่างกันแค่ชื่อสถานี

สิ่งที่ สคส. ใช้เป็นเกณฑ์ และสิ่งที่ไม่ได้ใช้

เรื่องการตั้งค่าการมองเห็นเป็นจุดที่ถามกันมาก สถานีตำรวจ F ถามตรง ๆ ว่าสัญลักษณ์รูปโลกกับรูปคนบน Facebook ทำให้คนทั่วไปเห็นโพสต์หรือเห็นเฉพาะกลุ่ม สคส. ตอบสั้นมาก

ข้อเท็จจริงว่าโพสต์เปิดสาธารณะหรือไม่ จึงไม่ได้ทำให้ PDPA ใช้หรือไม่ใช้ ส่วนจะมีผลต่อความผิดตามกฎหมายอื่นแค่ไหน ความเห็นไม่ได้ตอบ และปล่อยให้พนักงานสอบสวนพิจารณาตามข้อเท็จจริง

อยู่นอก PDPA แล้ว คนโพสต์ยังผิดกฎหมายอื่นได้หรือไม่?

ได้ และ สคส. เขียนเตือนไว้ท้ายความเห็นทุกเรื่อง ข้อยกเว้นมาตรา 4 (1) ตอบแค่ว่า PDPA ไม่ใช้กับการกระทำนั้น ไม่ได้รับรองว่าการกระทำนั้นชอบด้วยกฎหมาย

สคส. ยกตัวอย่างไว้สามทาง คือ พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ความผิดฐานหมิ่นประมาทหรือหมิ่นประมาทโดยการโฆษณาตามประมวลกฎหมายอาญา และการทำละเมิดตามมาตรา 420 แห่งประมวลกฎหมายแพ่งและพาณิชย์ ส่วนข้อกฎหมายท้ายข้อหารือระบุมาตรา 326 และมาตรา 328 ของประมวลกฎหมายอาญาไว้ด้วย

ตัวบทของกฎหมายสามฉบับนี้ไม่อยู่ในคลังเอกสารที่บทความนี้ใช้ จึงไม่อธิบายองค์ประกอบหรืออัตราโทษไว้ที่นี่ สิ่งที่ผู้อ่านควรรู้คือ สำนวนที่เริ่มจากข้อหา PDPA อาจไปต่อด้วยข้อหาอื่นได้ ถ้าข้อเท็จจริงเข้าองค์ประกอบของกฎหมายนั้น ผู้โพสต์จึงไม่ควรอ่านมาตรา 4 (1) แล้วสรุปว่าตนปลอดภัย

โทษอาญาของ PDPA ใช้กับการโพสต์แบบไหน?

ใช้กับกรณีที่แคบกว่าที่เข้าใจกันมาก คำตอบที่ละเอียดที่สุดอยู่ในข้อหารือของสถานีตำรวจภูธร ข. สคส. อธิบายว่าผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่หลายข้อ แต่การฝ่าฝืนหน้าที่ไม่ได้เป็นความผิดอาญาทุกข้อ

มาตรา 79 จึงต้องมีครบสามอย่าง ผู้กระทำเป็นผู้ควบคุมข้อมูลส่วนบุคคล ข้อมูลเป็นข้อมูลตามมาตรา 26 และการเปิดเผยฝ่าฝืนมาตรา 27 หรือ 28 ข้อมูลตามมาตรา 26 ได้แก่ เชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม และข้อมูลชีวภาพ

ข้อหารือของสถานีตำรวจภูธร ข. ยังบันทึกว่า ในเวลาที่ตอบ คณะกรรมการยังไม่ได้ออกประกาศเพิ่มข้อมูลชนิดอื่นเข้าในรายการนี้ รูปถ่ายทั่วไป ชื่อ นามสกุล หรือสำเนาบัตรประชาชน ไม่มีชื่ออยู่ในรายการของมาตรา 26 และความเห็นทั้งหกเรื่องก็ไม่ได้จัดสิ่งเหล่านี้เป็นข้อมูลตามมาตรา 26

สถานีตำรวจ J เป็นเรื่องเดียวที่ผู้ร้องระบุว่าข้อมูลที่ถูกโพสต์เป็นประวัติอาชญากรรม ข้อมูลชนิดนี้อยู่ในรายการของมาตรา 26 ถึงอย่างนั้น สคส. ยังให้พิจารณาก่อนว่าผู้โพสต์อยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือไม่ ลำดับการคิดจึงเป็น ผู้กระทำก่อน แล้วจึงดูชนิดข้อมูล

นอกจากโทษอาญา สคส. บอกสถานีตำรวจภูธร ข. ว่ายังมีโทษทางปกครอง และผู้เสียหายร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญตามมาตรา 73 ได้ ผลของการร้องเรียนใช้ประกอบคดีอาญาได้ด้วย

สำนักข่าวและเพจข่าว อ้างข้อยกเว้นสื่อมวลชนได้แค่ไหน?

อ้างได้เมื่อครบเงื่อนไขในมาตรา 4 (3) ข้อหารือของสถานีตำรวจภูธร ก. เป็นเรื่องรายการข่าวที่อ่านข่าวว่าผู้เสียหายโกงค่าอาหาร ออกภาพใบหน้าโดยไม่ปิดบัง และขึ้นข้อความว่า “ผู้ก่อเหตุ” ทั้งที่ยังไม่มีคำพิพากษา

สคส. เห็นว่าการเปิดเผยข้อมูลของสำนักข่าวเป็นการใช้ข้อมูลที่เก็บไว้เฉพาะเพื่อกิจการสื่อมวลชน จึง “อาจ” มีลักษณะที่ได้รับยกเว้น แต่ไม่ได้หยุดแค่นั้น

สคส. แนะให้สถานีตำรวจขอความเห็นเรื่องจริยธรรมจากองค์กรวิชาชีพที่บริษัทเจ้าของรายการเป็นสมาชิก ตามกฎหมายว่าด้วยการประกอบกิจการกระจายเสียงและกิจการโทรทัศน์ สำหรับคนทำสื่อ ข้อยกเว้นนี้จึงขึ้นกับว่าการนำเสนอเป็นไปตามจริยธรรมวิชาชีพหรือเป็นประโยชน์สาธารณะ ไม่ได้ขึ้นกับการเรียกตัวเองว่าสื่อ

ข้อหารือเรื่องนี้เป็นกรณีสถานีโทรทัศน์ที่มีองค์กรวิชาชีพกำกับ ความเห็นไม่ได้ตอบว่าเพจข่าวบนโซเชียล ยูทูบเบอร์ หรือนักข่าวพลเมือง นับเป็นกิจการสื่อมวลชนตามมาตรา 4 (3) หรือไม่ แอดมินเพจจึงไม่ควรถือว่าตนได้รับยกเว้นโดยอัตโนมัติ

ร้านค้า แอดมินเพจ และบริษัท ยังใช้ข้อยกเว้นประโยชน์ส่วนตนได้หรือไม่?

ใช้ได้ยาก ถ้าโพสต์นั้นเป็นส่วนหนึ่งของงานกิจการ เหตุผลอยู่ในถ้อยคำสองแห่ง มาตรา 4 (1) ยกเว้นเฉพาะการเก็บเพื่อประโยชน์ส่วนตนหรือกิจกรรมในครอบครัว “เท่านั้น” และ สคส. อธิบายว่ากฎหมายมุ่งใช้กับผู้ที่เก็บ ใช้ หรือเปิดเผยข้อมูลเป็นระบบหรือเป็นประจำ “เพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น”

ร้านที่จดชื่อ ที่อยู่ เบอร์โทร และเก็บสลิปของลูกค้าทุกวัน เก็บข้อมูลเพื่อการค้าเป็นประจำอยู่แล้ว เมื่อหยิบข้อมูลชุดเดียวกันไปโพสต์ ร้านกำลังใช้ข้อมูลที่เก็บมาในฐานะผู้ควบคุมข้อมูลส่วนบุคคล เรื่องหน้าที่พื้นฐานของร้านอ่านได้ที่ ร้านเล็กและ SME ต้องทำ PDPA อะไรก่อน

ตัวอย่างด้านล่างเป็นเรื่องสมมติ ทีม AIPDPA วิเคราะห์จากถ้อยคำในข้อหารือและตัวบท ไม่ใช่คำวินิจฉัยของ สคส. และไม่มีข้อหารือเรื่องใดในแปดเรื่องนี้ที่ผู้โพสต์เป็นร้านค้า

เมื่อเป็นผู้ควบคุมข้อมูลแล้ว โพสต์ผิดต้องเจออะไรบ้าง

สำหรับบริษัท ตารางนี้แปลว่าโพสต์เดียวของแอดมินอาจตามมาด้วยความรับผิดสามทางพร้อมกัน และถ้าเป็นข้อมูลตามมาตรา 26 คนที่ต้องตอบคำถามพนักงานสอบสวนอาจเป็นกรรมการหรือผู้จัดการที่อนุมัติหรือปล่อยให้โพสต์ ดูภาพรวมโทษทั้งหมดได้ที่ บทลงโทษตาม PDPA

ก่อนโพสต์ และเมื่อถูกโพสต์ ควรทำอะไร?

ตารางแรกสำหรับคนที่กำลังจะโพสต์ ช่องขวาสุดเป็นข้อแนะนำของทีม AIPDPA ไม่ใช่หน้าที่ตามกฎหมาย เว้นแต่ระบุมาตราไว้

ถ้าคุณเป็นคนถูกโพสต์

ขั้นแรกคือดูว่าใครเป็นคนโพสต์ เพราะช่องทางตาม PDPA เปิดเมื่ออีกฝ่ายเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเท่านั้น

1. เก็บหลักฐานก่อนโพสต์ถูกลบ ภาพหน้าจอที่เห็นชื่อบัญชี วันเวลา ลิงก์ของโพสต์ และจำนวนการแชร์ (ข้อแนะนำ ไม่ใช่ข้อกฎหมาย)
2. แยกให้ออกว่าผู้โพสต์เป็นใคร บุคคลธรรมดาที่มีเรื่องส่วนตัวกับคุณ หรือร้าน บริษัท เพจ หน่วยงาน ที่ได้ข้อมูลของคุณมาจากการทำงานของเขา
3. ถ้าเป็นร้าน บริษัท หรือองค์กร ใช้สิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญตามมาตรา 73 ได้ คณะกรรมการมีอำนาจตามมาตรา 74 สั่งให้แก้ไข หรือสั่งห้ามการกระทำที่ก่อความเสียหาย และคุณเรียกค่าสินไหมทดแทนตามมาตรา 77 ได้
4. ถ้าข้อมูลที่ถูกโพสต์เป็นข้อมูลตามมาตรา 26 และผู้โพสต์เป็นผู้ควบคุมข้อมูล ร้องทุกข์ต่อพนักงานสอบสวนตามมาตรา 79 ได้ ความผิดนี้ยอมความได้ กำหนดเวลาร้องทุกข์อยู่ในกฎหมายอื่น จึงควรปรึกษาทนายโดยเร็ว
5. ถ้าเป็นบุคคลธรรมดาที่โพสต์เรื่องส่วนตัว ข้อหา PDPA อาจไปไม่ถึง ตามแนวความเห็นหกเรื่อง เล่าข้อเท็จจริงทั้งหมดให้พนักงานสอบสวน เพื่อให้พิจารณาข้อหาตามกฎหมายอื่นที่ สคส. ระบุไว้ด้วย
6. บอกข้อเท็จจริงที่ชี้ว่าเขาทำเป็นประจำ เช่น โพสต์ถึงหลายคน โพสต์ต่อเนื่อง หรือทำในนามเพจหรือกิจการ เพราะเป็นข้อเท็จจริงที่ สคส. ให้ตำรวจใช้พิจารณาฐานะผู้ควบคุมข้อมูล

ข้อหารือทั้ง 8 เรื่องยังไม่ได้ตอบอะไร?

ความเห็นทั้งหมดออกโดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เป็นความเห็นต่อหน่วยงานที่ถาม ไม่ใช่คำพิพากษา และไม่ใช่คำสั่งของคณะกรรมการผู้เชี่ยวชาญ เวลานำไปใช้จึงต้องรู้ว่าคำตอบหยุดอยู่ตรงไหน

• โพสต์กี่ครั้งจึงเป็น “ประจำสม่ำเสมอ” ความเห็นไม่ได้ให้ตัวเลขหรือตัวอย่าง ให้พนักงานสอบสวนดูจากข้อเท็จจริงเป็นเรื่อง ๆ
• ผลของแต่ละคดี สรุปข้อหารือไม่ได้บอกว่าสุดท้ายพนักงานสอบสวน อัยการ หรือศาลเห็นอย่างไร จึงอ้างไม่ได้ว่าผู้โพสต์ในเรื่องใดผิดหรือไม่ผิด
• คำถามบางข้อของสถานีตำรวจ D ว่าใบสำคัญการหย่าเป็นข้อมูลอ่อนไหวหรือไม่ และผู้กล่าวหายื่นร้องเรียนต่อคณะกรรมการได้หรือไม่ ไม่มีคำตอบแยกไว้ในสรุปที่เผยแพร่
• ความรับผิดของผู้ควบคุมข้อมูลต้นทาง ในเรื่องสถานีตำรวจ E ภาพหลุดมาจากผู้ควบคุมข้อมูลรายหนึ่ง ความเห็นตอบเฉพาะฝั่งผู้โพสต์ ไม่ได้พูดถึงหน้าที่ของผู้ที่ปล่อยให้ภาพออกไป
• เพจและผู้ผลิตเนื้อหาออนไลน์ นับเป็นกิจการสื่อมวลชนตามมาตรา 4 (3) หรือไม่ ยังไม่มีคำตอบในแปดเรื่องนี้
• องค์ประกอบของกฎหมายอื่น สคส. ระบุชื่อกฎหมายไว้ แต่ไม่ได้ชี้ว่าเรื่องใดเข้าองค์ประกอบ เป็นอำนาจของพนักงานสอบสวน อัยการ และศาล

อ่านแปดเรื่องนี้จบแล้ว ประโยคที่ควรใช้แทนข้อความที่แชร์กันคือ โพสต์ถึงคนอื่นอาจผิดกฎหมายได้หลายฉบับ ส่วนจะผิด PDPA หรือไม่ ขึ้นกับว่าผู้โพสต์อยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือไม่ คนทั่วไปที่โพสต์เรื่องส่วนตัวมักไม่อยู่ในฐานะนั้น ร้าน เพจ และบริษัทมักอยู่

ข้อหารือเรื่องอื่นที่ สคส. ตอบไว้ อ่านต่อได้ที่ สคส. ตอบข้อหารือ PDPA 8 เรื่องที่บริษัทเจอบ่อย และถ้าคุณอยู่ฝั่งบริษัทที่ได้รับหนังสือจากพนักงานสอบสวน อ่าน ตำรวจขอข้อมูลลูกค้า บริษัทส่งให้ได้แค่ไหน

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)