ประกาศความเป็นส่วนตัวที่คนอ่านจริง คือการแจ้ง 6 เรื่องตามมาตรา 23 ด้วยภาษาง่าย ณ จุดที่เก็บข้อมูล แล้วค่อยพาไปฉบับเต็ม สคส. ยืนยันว่ากฎหมายไม่ได้กำหนดรูปแบบ แจ้งด้วยวาจา ป้าย หรือ QR ก็ได้ เจ้าของธุรกิจและ DPO จะได้ตารางเขียนทีละข้อ ตัวอย่างร้านกาแฟ และข้อผิดพลาดที่พบบ่อย
- มาตรา 23 บังคับให้แจ้ง 6 เรื่องก่อนหรือขณะเก็บข้อมูล เช่น วัตถุประสงค์ ข้อมูลที่เก็บ ระยะเวลา ผู้รับข้อมูล ช่องทางติดต่อ และสิทธิ
- สคส. ตอบกรมเจ้าท่าว่ามาตรา 23 ไม่ได้กำหนดรูปแบบ จะแจ้งด้วยวาจา เป็นหนังสือ หรือทางอิเล็กทรอนิกส์ก็ได้
- ประกาศความเป็นส่วนตัวเป็นการแจ้งให้ทราบ ไม่ได้มีผลบังคับต่อเจ้าของข้อมูล จึงไม่ควรเขียนแบบเงื่อนไขที่ลูกค้าต้องยอมรับ
- TDPG 4.0 แนะให้แจ้งเป็นชั้น แจ้ง ณ จุดเก็บข้อมูล เลี่ยงคำว่า "อาจ" และทบทวนอย่างน้อยปีละครั้ง (แนวปฏิบัติ ไม่ใช่กฎหมาย)
- ใช้ข้อมูลนอกวัตถุประสงค์ที่แจ้งไว้ไม่ได้ เว้นแต่แจ้งใหม่และได้รับความยินยอม หรือมีกฎหมายให้ทำได้ (มาตรา 21)
เปิดเว็บบริษัทไทยสักสิบแห่ง จะเจอประกาศความเป็นส่วนตัวหน้าตาเหมือนกันแทบทุกแห่ง ยาวหลายหน้า เต็มไปด้วยคำว่า "อาจ" และ "รวมถึงแต่ไม่จำกัดเพียง" ลอกต่อกันมาจนไม่มีใครรู้ว่าบริษัทเก็บอะไรจริง
ปัญหาคือประกาศแบบนี้ไม่ได้ช่วยใครเลย ลูกค้าไม่อ่าน ส่วนบริษัทก็ผูกตัวเองไว้กับวัตถุประสงค์กว้าง ๆ ที่ตอบไม่ได้ว่าทำจริงหรือเปล่า บทความนี้ใช้ตัวบทมาตรา 23 ข้อหารือของ สคส. และตัวอย่างใน TDPG 4.0 มาตอบว่าประกาศที่ทั้งถูกกฎหมายและคนอ่านจริงหน้าตาเป็นอย่างไร
กฎหมายบังคับให้ประกาศความเป็นส่วนตัวต้องมีอะไรบ้าง?
พ.ร.บ.คุ้มครองข้อมูลฯ มาตรา 23 บังคับ 6 เรื่อง และบังคับเรื่องเวลาด้วย คือต้องแจ้งก่อนหรือขณะเก็บข้อมูล ไม่ใช่แจ้งย้อนหลังหลังจากลูกค้ากรอกฟอร์มไปแล้ว ข้อยกเว้นมีข้อเดียวในวรรคแรก คือเจ้าของข้อมูลรู้รายละเอียดนั้นอยู่แล้ว
ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียด ดังต่อไปนี้ เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว
6 เรื่องนั้นคือ (1) วัตถุประสงค์ รวมถึงวัตถุประสงค์ที่มาตรา 24 ให้เก็บได้โดยไม่ต้องขอความยินยอม (2) กรณีที่ต้องให้ข้อมูลเพราะกฎหมายหรือสัญญา และผลถ้าไม่ให้ (3) ข้อมูลที่เก็บและระยะเวลาเก็บ (4) ประเภทบุคคลหรือหน่วยงานที่อาจได้รับข้อมูล (5) ข้อมูลและช่องทางติดต่อผู้ควบคุมข้อมูล ตัวแทน หรือ DPO (6) สิทธิของเจ้าของข้อมูล
ข้อที่บริษัทพลาดบ่อยที่สุดคือข้อ (3) เรื่องระยะเวลา หลายแห่งเขียนว่า "เก็บไว้ตามระยะเวลาที่จำเป็น" ซึ่งไม่ได้บอกอะไรเลย ตัวบทเปิดทางให้ไว้แล้วว่าถ้ากำหนดตายตัวไม่ได้ ให้บอกระยะเวลาที่คาดหมายได้
(3) ข้อมูลส่วนบุคคลที่จะมีการเก็บรวบรวมและระยะเวลาในการเก็บรวบรวมไว้ ทั้งนี้ ในกรณีที่ไม่สามารถกำหนดระยะเวลาดังกล่าวได้ชัดเจน ให้กำหนดระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม
ต้องเป็นเอกสารยาว ๆ บนเว็บไซต์เท่านั้นหรือเปล่า?
ไม่ใช่ เรื่องนี้ สคส. ตอบไว้ชัดในข้อหารือของกรมเจ้าท่า ซึ่งกำลังร่างประกาศความเป็นส่วนตัวของตัวเองและสงสัยว่าต้องทำเป็นประกาศทางการ ให้อธิบดีลงนาม และลงราชกิจจานุเบกษาหรือไม่
มาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้กำหนดรูปแบบหรือวิธีการของการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) ซึ่งในทางปฏิบัติ ผู้ควบคุมข้อมูลส่วนบุคคลอาจใช้วิธีการแจ้งโดยวาจา แจ้งเป็นหนังสือ แจ้งโดยวิธีการทางอิเล็กทรอนิกส์ หรือแจ้งโดยวิธีการอื่นใดที่เจ้าของข้อมูลส่วนบุคคลจะทราบได้
สคส. ยังบอกด้วยว่าจะแจ้งเป็นรายบุคคลหรือแจ้งเป็นการทั่วไปก็ได้ ส่วนจะลงนามหรือไม่ก็ได้ทั้งสองแบบ คำถามเรื่องลงราชกิจจานุเบกษาเป็นอำนาจของคณะกรรมการข้อมูลข่าวสารของราชการ สคส. จึงไม่ได้ตอบแทน
ประโยคที่สำคัญที่สุดในข้อหารือนี้อยู่ตรงที่ สคส. อธิบายว่าประกาศความเป็นส่วนตัวคืออะไรในทางกฎหมาย
ประกาศดังกล่าวจึงมีลักษณะเป็นเพียงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ โดยไม่ได้มุ่งหมายให้มีผลทางกฎหมายเป็นการบังคับต่อเจ้าของข้อมูลส่วนบุคคล
ภาษาแบบไหนที่ทำให้คนอ่านจบ?
TDPG 4.0 หมวด E ให้รายการลักษณะของประกาศที่ดีไว้ละเอียด ต้องย้ำว่า TDPG เป็นแนวปฏิบัติที่ใช้กันในวงการ ไม่ใช่กฎหมาย และไม่ผูกพันแบบตัว พ.ร.บ. แต่ใช้เป็นมาตรฐานเทียบได้ดี
ใจความคือ ประโยคสั้น ย่อหน้าสั้น แบ่งหัวข้อ เลี่ยงศัพท์เทคนิคและภาษาราชการเกินจำเป็น และอย่าใส่ข้อมูลมากจนคนอ่านเหนื่อย ข้อที่ใช้ได้ทันทีคือข้อห้ามใช้ถ้อยคำกำกวม ซึ่ง TDPG ยกตัวอย่างประโยคที่เจอในแม่แบบแทบทุกฉบับ
หลีกเลี่ยงการใช้ข้อความหรือคำอธิบายที่คลุมเครือ เช่น ข้อความว่า “อาจมีการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ”
แทนที่จะเขียนว่า "อาจโอน" ให้บอกตรง ๆ ว่าโอนไปที่ไหน เพื่ออะไร ถ้าบริษัทใช้คลาวด์ในต่างประเทศ ก็เขียนว่าข้อมูลสมาชิกเก็บบนเซิร์ฟเวอร์ของผู้ให้บริการคลาวด์ที่สิงคโปร์ เป็นต้น ความชัดแบบนี้ยังช่วยบริษัทเองด้วย เพราะมาตรา 21 ผูกบริษัทไว้กับวัตถุประสงค์ที่แจ้ง
ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม
| มาตรา 23 | แบบแม่แบบที่ควรเลี่ยง | แบบที่คนอ่านรู้เรื่อง |
|---|---|---|
| (1) วัตถุประสงค์ | เพื่อวัตถุประสงค์ทางธุรกิจของบริษัท รวมถึงแต่ไม่จำกัดเพียง… | เราใช้เบอร์โทรของคุณเพื่อสะสมแต้มและแจ้งเมื่อแต้มใกล้หมดอายุ |
| (2) ต้องให้ข้อมูลเพราะกฎหมายหรือสัญญา | ไม่เขียนถึงเลย | ถ้าไม่ให้เบอร์โทร เราสะสมแต้มให้ไม่ได้ แต่คุณยังซื้อสินค้าได้ตามปกติ |
| (3) ข้อมูลที่เก็บและระยะเวลา | เก็บไว้ตามระยะเวลาที่จำเป็น | เก็บชื่อเล่นและเบอร์โทร จนกว่าคุณจะเลิกเป็นสมาชิก แล้วลบภายในเวลาที่กำหนดไว้ชัดเจน |
| (4) ใครอาจได้รับข้อมูล | อาจเปิดเผยแก่บุคคลภายนอกตามความเหมาะสม | ผู้ให้บริการระบบสมาชิกที่เราจ้าง และหน่วยงานรัฐเมื่อมีกฎหมายให้อำนาจขอ |
| (5) ติดต่อใคร | ติดต่อบริษัทตามที่อยู่ในเว็บไซต์ | ชื่อบริษัท ที่อยู่ อีเมลหรือ LINE ที่มีคนตอบจริง และช่องทางติดต่อ DPO ถ้ามี |
| (6) สิทธิของคุณ | ท่านมีสิทธิตามที่กฎหมายกำหนด | ขอดู ขอแก้ ขอลบ ขอหยุดใช้ ถอนความยินยอม และร้องเรียน สคส. ได้ พร้อมลิงก์ไปช่องทางยื่นคำขอ |
แจ้งที่ไหน เมื่อไร ให้ลูกค้าเห็นจริง?
TDPG 4.0 แนะให้แจ้งผ่านช่องทางเดียวกับที่เก็บข้อมูล เก็บผ่านฟอร์มออนไลน์ก็ให้มีข้อความสั้นตรงฟอร์ม เก็บที่หน้าร้านก็แจ้งที่หน้าร้าน แล้วค่อยพาไปฉบับเต็ม TDPG เรียกว่าการแจ้งแบบเป็นชั้น (layered) และการแจ้ง ณ เวลาใช้งาน (just-in-time)
ผู้ประกอบการค้าปลีก (Retailer) รายหนึ่งเก็บข้อมูลส่วนบุคคลผ่านแบบฟอร์มออนไลน์ โดยแจ้งข้อความสั้นในจุดที่ลูกค้ากรอกอีเมลว่า “ข้อมูลนี้จะถูกใช้เพื่อการดำเนินการสั่งซื้อสินค้า” (ระบุวัตถุประสงค์ของการประมวลผล) พร้อมทั้งแสดง Link ที่เห็นได้ชัดเจนนำไปยังเอกสารฉบับเต็ม
TDPG ยังยกกรณีหนึ่งที่น่าคิด องค์กรหนึ่งวางประกาศไว้หน้าแรกของเว็บ แต่พอทดสอบกับลูกค้าจริงกลับพบว่าลูกค้าจำนวนมากเข้าเว็บผ่านเครื่องมือค้นหาตรงไปหน้าอื่นเลย ไม่เคยเห็นหน้าแรก ทางแก้คือวางลิงก์ประกาศไว้ทุกหน้าที่มีการเก็บข้อมูล
ตัวอย่าง ร้านกาแฟสะสมแต้มด้วยเบอร์โทร
สมมติว่าร้านกาแฟเล็ก ๆ ร้านหนึ่งให้ลูกค้าสแกน QR ที่เคาน์เตอร์เพื่อสมัครสะสมแต้มด้วยเบอร์โทร ป้ายตั้งโต๊ะขนาดฝ่ามือทำหน้าที่เป็นชั้นแรกของประกาศได้ ส่วนหน้าเว็บที่ QR พาไปคือชั้นที่สอง ข้อหารือกรมเจ้าท่าและตัวอย่างใน TDPG รับรองว่าการแจ้งผ่าน URL หรือ QR ใช้ได้ ตราบที่สาระครบตามมาตรา 23
- ก่อนสแกนป้ายบนเคาน์เตอร์บอกสั้น ๆ ว่าร้านอะไร เก็บเบอร์โทรเพื่อสะสมแต้ม ไม่สมัครก็ซื้อได้ อ่านฉบับเต็มที่ QRม.23 (1) (2) (5)
- ขณะกรอกเบอร์ใต้ช่องกรอกมีประโยคเดียวบอกว่าใช้เบอร์ทำอะไร และเก็บนานแค่ไหน พร้อมลิงก์ฉบับเต็มม.23 (3)
- หน้าเว็บฉบับเต็มแบ่งหัวข้อตาม 6 เรื่อง ระบุผู้ให้บริการระบบสมาชิกที่ร้านจ้าง และวิธียื่นคำขอใช้สิทธิม.23 (4) (6)
- ร้านอยากส่งโปรฯ ทาง LINEเป็นวัตถุประสงค์ใหม่ ต้องแจ้งก่อนเริ่ม และขอความยินยอมถ้าไม่มีฐานอื่นม.21
- ครบรอบปีทบทวนประกาศว่าตรงกับที่ร้านทำจริงหรือไม่ (แนวปฏิบัติ TDPG E7)TDPG E7
ถ้าร้านต่อยอดไปเก็บคุกกี้หรือส่งโปรโมชันทางแชต ประเด็นจะขยับไปเรื่องความยินยอมและการตลาด อ่านต่อได้ที่ ส่งโปรฯ หาลูกค้าเก่า ต้องขอความยินยอมทุกครั้งไหม
เขียนเสร็จแล้ว ต้องกลับมาแก้เมื่อไร?
ประกาศที่ถูกต้องในวันนี้ จะไม่ตรงความจริงทันทีที่บริษัทเปลี่ยนวิธีทำงานแต่ไม่ได้แก้ประกาศ TDPG 4.0 แนะให้ทบทวนอย่างน้อยปีละครั้ง และทบทวนทันทีเมื่อมีการเปลี่ยนแปลงสำคัญ
E7 องค์กรควรทบทวน Privacy Notice อย่างน้อยปีละครั้ง และควรมีการทบทวนเพิ่มเติมเมื่อมีการเปลี่ยนแปลงที่สำคัญต่อการประมวลผลข้อมูลส่วนบุคคล
TDPG ยังแนะให้ทดสอบกับผู้ใช้จริง สุ่มลูกค้ามาลองอ่านแล้วถามว่าหาประกาศเจอไหม เข้าใจไหม ตรงไหนงง เป็นวิธีที่ประหยัดและได้ผลกว่าการให้ฝ่ายกฎหมายอ่านกันเองหลายรอบ
ส่วนข้อมูลที่ไม่ได้เก็บจากลูกค้าโดยตรง เช่น รายชื่อที่ได้จากพันธมิตร มีกติกาเพิ่มในมาตรา 25 กรณีที่ต้องขอความยินยอม ต้องแจ้งเจ้าของข้อมูลไม่เกิน 30 วันนับแต่วันที่เก็บ และถ้าจะนำไปเปิดเผยต่อ ต้องแจ้งก่อนเปิดเผยครั้งแรก
ข้อผิดพลาดที่พบบ่อย และตัวบทที่ขัด
มาตรา 23 ให้แจ้งก่อนหรือในขณะเก็บรวบรวม
มาตรา 23 (3) ให้ระบุระยะเวลา หรืออย่างน้อยระยะเวลาที่คาดหมายได้
TDPG 4.0 ข้อ E2 ยกประโยคนี้เป็นตัวอย่างที่ควรเลี่ยง (แนวปฏิบัติ)
สคส. อธิบายว่าประกาศเป็นเพียงการแจ้ง ไม่ได้มีผลบังคับต่อเจ้าของข้อมูล
สคส. ตอบว่ามาตรา 23 ไม่ได้กำหนดรูปแบบ และ TDPG ยอมรับการแจ้งผ่าน URL หรือ QR
มาตรา 21 ห้ามใช้ต่างจากวัตถุประสงค์ที่แจ้ง เว้นแต่แจ้งใหม่และได้รับความยินยอม หรือมีกฎหมายให้ทำได้
คำถามที่พบบ่อย
ประกาศความเป็นส่วนตัวต้องมีหัวข้ออะไรบ้างตามกฎหมาย
มาตรา 23 บังคับ 6 เรื่อง คือ วัตถุประสงค์ กรณีที่ต้องให้ข้อมูลตามกฎหมายหรือสัญญาและผลถ้าไม่ให้ ข้อมูลที่เก็บและระยะเวลา ผู้ที่อาจได้รับข้อมูล ข้อมูลติดต่อผู้ควบคุมข้อมูลหรือ DPO และสิทธิของเจ้าของข้อมูล
แจ้งด้วยป้ายหรือ QR code แทนเอกสารยาวได้ไหม
ได้ สคส. ตอบกรมเจ้าท่าว่ามาตรา 23 ไม่ได้กำหนดรูปแบบ แจ้งด้วยวาจา หนังสือ ทางอิเล็กทรอนิกส์ หรือวิธีอื่นที่เจ้าของข้อมูลทราบได้ แต่สาระต้องครบ 6 เรื่อง ป้ายจึงมักเป็นชั้นแรกที่พาไปฉบับเต็ม
ประกาศความเป็นส่วนตัวต้องให้ผู้บริหารลงนามไหม
ตาม PDPA ไม่บังคับ สคส. ตอบว่าจะลงนามหรือไม่ก็ได้ ถ้าต้องการให้ลงนามก็มอบหมายผู้ที่เหมาะสมได้ สำหรับหน่วยงานรัฐ ต้องดูระเบียบราชการของตัวเองด้วย
ให้ลูกค้ากดยอมรับประกาศความเป็นส่วนตัว ถือเป็นความยินยอมไหม
สคส. อธิบายว่าประกาศเป็นเพียงการแจ้งให้ทราบ ไม่ได้มีผลบังคับต่อเจ้าของข้อมูล ทีม AIPDPA จึงแนะให้แยกการขอความยินยอมออกมาต่างหากเมื่อจำเป็นต้องใช้ฐานความยินยอม
ต้องแก้ประกาศบ่อยแค่ไหน
กฎหมายไม่ได้กำหนดรอบ แต่ TDPG 4.0 ซึ่งเป็นแนวปฏิบัติแนะให้ทบทวนอย่างน้อยปีละครั้ง และทุกครั้งที่เปลี่ยนวัตถุประสงค์ เพิ่มแหล่งข้อมูล หรือเปลี่ยนคำสั่งแก่ผู้ประมวลผล
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 21 · 23 · 25
- TDPG4.0 แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (แนวปฏิบัติ ไม่ใช่กฎหมาย) — TDPG4.0-E ข้อ E2 · E7 · E25 · E27
- สำเนาสรุปการตอบข้อหารือ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — ข้อหารือกรมเจ้าท่า เรื่องคำประกาศความเป็นส่วนตัว
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)