ข้อมูลอ่อนไหวที่บริษัทเก็บโดยไม่รู้ตัว คือข้อมูลตาม PDPA มาตรา 26 ที่ติดมากับงานประจำ เช่น ใบรับรองแพทย์ ช่องแพ้อาหาร หมู่โลหิต และลายนิ้วมือลงเวลา ถ้าไม่เข้าข้อยกเว้นต้องได้ความยินยอมโดยชัดแจ้ง บทความนี้ช่วยฝ่ายบุคคล ไอที และ DPO หาให้เจอและเลือกทางที่ถูก
- PDPA มาตรา 26 ห้ามเก็บข้อมูลสุขภาพ ข้อมูลชีวภาพ ศาสนา ประวัติอาชญากรรม และอื่น ๆ โดยไม่มีความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้น
- ใบรับรองแพทย์ลาป่วยใช้ข้อยกเว้นด้านการคุ้มครองแรงงานได้ ตามตัวอย่างใน TDPG ไม่ต้องขอความยินยอม
- สคส. ตอบ กทพ. ว่าสแกนนิ้วหรือหน้าลงเวลาจะไม่ต้องขอความยินยอมได้ ต้องผ่าน 4 องค์ประกอบ และถ้าใช้ความยินยอมต้องมีวิธีลงเวลาแบบอื่นให้
- ข้อมูลตามมาตรา 26 ทำให้สิทธิยกเว้นการบันทึกรายการของกิจการขนาดเล็กใช้ไม่ได้ (มาตรา 39 วรรคท้าย)
- ฝ่าฝืนมาตรา 26 วรรคหนึ่ง มีโทษปรับทางปกครองไม่เกิน 5 ล้านบาท (มาตรา 84)
ถามฝ่ายบุคคลว่าบริษัทเก็บข้อมูลอ่อนไหวไหม คำตอบแรกมักเป็น "ไม่มี เราไม่ใช่โรงพยาบาล" แต่พอไล่ดูแฟ้มจริง จะเจอใบรับรองแพทย์ในแฟ้มลาป่วย ช่องหมู่โลหิตในใบประวัติพนักงาน ช่องแพ้อาหารในใบลงทะเบียนสัมมนา และเครื่องสแกนนิ้วที่ติดอยู่หน้าลิฟต์มาหลายปี
ทั้งหมดนี้เป็นข้อมูลที่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มาตรา 26 ห้ามเก็บ ถ้าไม่ได้ความยินยอมโดยชัดแจ้งหรือไม่เข้าข้อยกเว้น ส่วนใหญ่บริษัทไม่ได้ตั้งใจทำผิด เพียงแต่ไม่มีใครรู้ว่าเก็บข้อมูลแบบนี้ไว้
บทความนี้ไล่หาจุดที่ข้อมูลอ่อนไหวมักซ่อนอยู่ แล้วดูว่าในแต่ละจุด ตัวบท ข้อหารือของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) และแนวปฏิบัติ TDPG 4.0 ว่าไว้อย่างไร
ข้อมูลอ่อนไหวตาม PDPA มีอะไรบ้าง?
PDPA ไม่ได้ใช้คำว่า "ข้อมูลอ่อนไหว" ในตัวบท แต่วงการเรียกข้อมูลตามมาตรา 26 แบบนั้น รายการอยู่ในวรรคแรกของมาตรา
ห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการประกาศกำหนด โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่
ตามด้วยข้อยกเว้น (1) ถึง (5) เช่น ป้องกันอันตรายต่อชีวิต การก่อตั้งสิทธิเรียกร้องตามกฎหมาย และการปฏิบัติตามกฎหมายเพื่อวัตถุประสงค์บางเรื่อง อย่างการคุ้มครองแรงงานและการประกันสังคม ในมาตรา 26 (5) (ค)
คำที่องค์กรสะดุดบ่อยที่สุดคือ "ข้อมูลชีวภาพ" เพราะเครื่องสแกนนิ้วหรือสแกนหน้ากลายเป็นอุปกรณ์สำนักงานธรรมดาไปแล้ว มาตรา 26 นิยามไว้ดังนี้
ข้อมูลชีวภาพตามวรรคหนึ่งให้หมายถึงข้อมูลส่วนบุคคลที่เกิดจากการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการนำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้นที่ไม่เหมือนกับบุคคลอื่นได้ เช่น ข้อมูลภาพจำลองใบหน้า ข้อมูลจำลองม่านตา หรือข้อมูลจำลองลายนิ้วมือ
ข้อมูลอ่อนไหวซ่อนอยู่ตรงไหนในงานประจำ?
ตารางนี้รวมจุดที่พบบ่อย คอลัมน์ขวาสุดบอกว่าเอกสารฉบับไหนพูดถึง ถ้าเขียนว่า "ตัวอย่างของทีม" แปลว่าเป็นตัวอย่างที่ทีมยกเองจากรายการในมาตรา 26 ไม่ได้มาจากข้อหารือหรือแนวปฏิบัติ
| เอกสารหรือระบบที่ใช้ทุกวัน | ข้อมูลที่ติดมา | ประเภทตามมาตรา 26 | ใครพูดถึง |
|---|---|---|---|
| แฟ้มลาป่วย ลาคลอด ลาทำหมัน | ใบรับรองแพทย์ อาการ การวินิจฉัย | ข้อมูลสุขภาพ | TDPG ข้อ S4 และ S6 |
| ใบประวัติพนักงาน ใบลงทะเบียนงานเลี้ยงหรือสัมมนา | หมู่โลหิต การแพ้อาหาร ประวัติฉีดวัคซีน | ข้อมูลสุขภาพ | TDPG ข้อ D10 (ตัวอย่างประเภทข้อมูลสุขภาพ) |
| เครื่องสแกนนิ้วหรือสแกนหน้าลงเวลา เข้าอาคาร เปิดลิ้นชักเงินสด | แม่แบบลายนิ้วมือ ภาพจำลองใบหน้า | ข้อมูลชีวภาพ | ข้อหารือ กทพ. · TDPG ข้อ S40 |
| ตรวจสุขภาพและตรวจประวัติก่อนเข้าทำงาน | ผลตรวจร่างกาย ประวัติอาชญากรรม | ข้อมูลสุขภาพ · ประวัติอาชญากรรม | TDPG (ตัวอย่างข้อมูลที่มีความเป็นส่วนตัวสูง) |
| บริการรถเข็น ที่จอดรถหรือห้องพักสำหรับผู้พิการ | สภาพความพิการ | ความพิการ | TDPG ข้อ S4 (ตัวอย่างสายการบิน) |
| รูปถ่ายบนสำเนาบัตรประชาชน | เครื่องแต่งกายที่บอกความเชื่อทางศาสนา | ขึ้นกับวัตถุประสงค์ที่ใช้ | TDPG ข้อ S2 |
| รายการหักเงินเดือนค่าสมาชิกสหภาพแรงงาน | การเป็นสมาชิกสหภาพ | ข้อมูลสหภาพแรงงาน | ตัวอย่างของทีม |
รูปในบัตรประชาชนบอกศาสนาได้ นับเป็นข้อมูลอ่อนไหวไหม?
คำตอบของ TDPG น่าสนใจ และช่วยให้หลายบริษัทไม่ต้องตื่นตกใจเกินเหตุ ข้อมูลจะถูกนับเป็นข้อมูลอ่อนไหวหรือไม่ ขึ้นกับว่าเอาไปใช้ทำอะไร ไม่ใช่ดูแค่ว่าข้อมูลนั้นบังเอิญบอกอะไรได้
ท่านต้องการยืนยันตัวตนผู้สมัครใช้บริการจากข้อมูลในบัตรประจำตัวประชาชน โดยที่ในบัตรประจำตัวประชาชนมีรูปของผู้สมัครใช้บริการผ้าโพกศีรษะแสดงให้เห็นความเชื่อทางศาสนา รูปภาพดังกล่าวมีความจำเป็นในการยืนยันตัวตนของผู้ใช้บริการ เช่นนี้ไม่ถือเป็นการประมวลผลข้อมูลดังกล่าวอย่างข้อมูลอ่อนไหว
แต่ TDPG เตือนต่อในตัวอย่างเดียวกันว่า ถ้าวันหนึ่งบริษัทเอารายชื่อลูกค้าที่รูปในบัตรสวมผ้าโพกศีรษะมาจัดกลุ่มเพื่อวัตถุประสงค์อะไรก็ตาม การใช้งานนั้นอาจเข้าข่ายประมวลผลข้อมูลอ่อนไหวทันที และต้องหาเงื่อนไขตามมาตรา 26 มารองรับ
ใบรับรองแพทย์ลาป่วย ต้องขอความยินยอมพนักงานไหม?
ไม่ต้อง ถ้าเก็บเพื่อใช้สิทธิลาตามกฎหมายแรงงาน TDPG ยกตัวอย่างนี้ไว้ตรง ๆ ว่านายจ้างใช้ฐานสัญญาจ้างกับข้อมูลทั่วไปในใบรับรองแพทย์ และใช้ข้อยกเว้นด้านการคุ้มครองแรงงานกับข้อมูลสุขภาพ
นายจ้างประมวลผลข้อมูลลูกจ้างเกี่ยวกับการลาป่วยของลูกจ้าง โดยลูกจ้างมีสิทธิได้รับค่าจ้างแม้จะไม่ได้มาทำงานเมื่อลาป่วย โดยตามกฎหมายคุ้มครองแรงงาน นายจ้างอาจเรียกให้ลูกจ้างส่งมอบใบรับรองแพทย์ได้เมื่อลาป่วยตั้งแต่ 3 วันขึ้นไป ซึ่งข้อมูลในใบรับรองแพทย์มีทั้งข้อมูลส่วนบุคคลทั่วไปและข้อมูลอ่อนไหว
TDPG ข้อ S6 ขยายแนวเดียวกันไปถึงการลาทำหมัน ลาคลอด และการเบิกประกันสังคม สิ่งที่ต้องระวังคือขอบเขต ใบรับรองแพทย์ในแฟ้มลาป่วยใช้เพื่อพิจารณาการลา ถ้าวันหนึ่งหัวหน้างานหยิบไปดูประกอบการประเมินผลงาน นั่นเป็นวัตถุประสงค์ใหม่ที่ข้อยกเว้นเดิมอาจไม่ครอบคลุม
ช่องแพ้อาหารในใบลงทะเบียนงานเลี้ยงต่างออกไป เพราะไม่มีกฎหมายแรงงานสั่งให้ถาม ทางที่ง่ายที่สุดคือถามแบบไม่บังคับ แจ้งว่าใช้เพื่อจัดอาหารเท่านั้น ขอความยินยอมโดยชัดแจ้งแยกจากเรื่องอื่น และลบเมื่องานจบ (ข้อเสนอของทีม ไม่ใช่ข้อกำหนดในตัวบท)
เครื่องสแกนนิ้วลงเวลา สคส. ตอบ กทพ. ไว้อย่างไร?
การทางพิเศษแห่งประเทศไทย (กทพ.) เก็บใบหน้าและลายนิ้วมือพนักงานเพื่อบันทึกเวลาทำงาน มีผู้เข้ารับการจัดเก็บแล้ว 3,314 คน แต่มีพนักงาน 1 คนไม่ยินยอมเพราะกังวลว่าข้อมูลจะรั่ว กทพ. จึงหารือ สคส. ว่าเก็บได้โดยไม่ต้องขอความยินยอมไหม และถ้าต้องขอแต่เขาไม่ให้ จะทำอย่างไร
สคส. ยืนยันก่อนว่าเป็นข้อมูลชีวภาพตามมาตรา 26 วรรคสอง แล้ววางเกณฑ์ว่าจะใช้ข้อยกเว้นด้านการคุ้มครองแรงงานตามมาตรา 26 (5) (ค) ได้ ต้องดูองค์ประกอบดังนี้
(๑) ผู้ควบคุมข้อมูลส่วนบุคคลมีความจำเป็นต้องเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวเพื่อการปฏิบัติตามกฎหมายฉบับใดฉบับหนึ่งหรือหลายฉบับ (๒) การเก็บรวบรวมข้อมูลส่วนบุคคลจะต้องเป็นไปเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน (๓) การเก็บรวบรวมข้อมูลส่วนบุคคลนั้นเป็นสิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าของข้อมูลส่วนบุคคล
จุดที่ตัดสินจริงคือข้อ (๓) ความจำเป็น สคส. ยกตัวอย่างว่า ถ้ามีข้อเท็จจริงว่ามีการลงเวลาแทนกันจนไม่เก็บข้อมูลชีวภาพก็ทำหน้าที่ตามกฎหมายแรงงานไม่ได้ ก็อาจใช้ข้อยกเว้นนี้ได้ แต่ถ้ายังไม่ชัดว่ามีปัญหาทุจริต หรือยังมีวิธีอื่นที่ไม่ต้องใช้ข้อมูลชีวภาพ ข้อยกเว้นนี้ก็ใช้ไม่ได้ และต้องกลับไปขอความยินยอมโดยชัดแจ้ง
แล้วถ้าพนักงานไม่ยินยอม สคส. ตอบว่า ถ้าข้อมูลชีวภาพไม่จำเป็นต่อการลงเวลาตามสัญญาจ้าง กทพ. ต้องมีวิธีอื่นให้คนที่ไม่ยินยอม
กทพ. จะต้องจัดให้มีวิธีการอื่นในการบันทึกเวลาทำงานและการดำเนินการที่เกี่ยวข้อง สำหรับพนักงานหรือลูกจ้างที่ไม่ให้ความยินยอมหรือถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพดังกล่าวด้วย
สคส. ยังทิ้งท้ายไว้สองเรื่องที่บริษัทเอกชนควรจดไว้ หนึ่ง ข้อมูลชีวภาพมีความเสี่ยงค่อนข้างสูงโดยธรรมชาติ มาตรการรักษาความปลอดภัยต้องเหมาะกับระดับความเสี่ยงนั้น สอง ถ้าเปลี่ยนฐานทางกฎหมายตามแนวข้อหารือนี้ ควรแจ้งพนักงานใหม่อีกครั้ง (re-notice) และแก้บันทึกรายการตามมาตรา 39 ให้ตรง
ฝั่ง TDPG ข้อ S41 วางหลักไว้ใกล้กัน แต่เข้มกว่าในบริบทการจ้างงาน
การใช้ข้อมูลชีวมิติจะต้องพิจารณาถึงความจำเป็นในการใช้ข้อมูลนั้น หากมีวิธีการที่เป็นการล่วงล้ำความเป็นส่วนตัวน้อยกว่าวิธีการเช่นนั้น (less intrusive) ก็ควรพิจารณาแนวทางเช่นนั้นเสียก่อน
เรื่องข้อมูลพนักงานตลอดวงจรการจ้างงาน อ่านต่อได้ที่ ข้อมูลพนักงานตั้งแต่สมัครงานจนลาออก
ให้เซ็นยินยอมทุกคนแล้ว ทำไมยังไม่ปลอดภัย?
เพราะความยินยอมโดยชัดแจ้งต้องให้โดยอิสระเหมือนความยินยอมทั่วไป ถ้าไม่ยินยอมแล้วใช้บริการไม่ได้ หรือทำงานไม่ได้ ความยินยอมนั้นอาจไม่มีผลเลย TDPG ยกตัวอย่างไว้หลายกรณี
สมาชิกไม่มีทางเลือกจริง และการสแกนหน้าไม่ใช่สิ่งจำเป็นต่อการใช้บริการ (TDPG ข้อ S5)
เมื่อมีทางเลือกที่ใช้ได้จริง ความยินยอมโดยชัดแจ้งก็อาจครบเงื่อนไข (TDPG ข้อ S5)
พนักงานถูกบังคับ ไม่มีอิสระที่จะปฏิเสธ (TDPG ข้อ S41)
ข้อมูลจำเป็นต่อบริการที่ผู้โดยสารร้องขอเอง (TDPG ข้อ S5 (4))
สังเกตกรณีสุดท้าย ความยินยอมผูกกับบริการได้เมื่อข้อมูลนั้นจำเป็นต่อบริการที่เจ้าของข้อมูลขอเองจริง ๆ ส่วนเครื่องสแกนที่มีไว้เพื่อความสะดวกของบริษัท ต้องมีทางเลือกเสมอ
มีข้อมูลอ่อนไหวแล้ว หน้าที่อะไรตามมาอีก?
ข้อมูลตามมาตรา 26 ไม่ได้เพิ่มแค่เรื่องความยินยอม แต่ยังทำให้กิจการขนาดเล็กเสียสิทธิยกเว้นบางข้อด้วย ข้อที่สำคัญที่สุดคือบันทึกรายการตามมาตรา 39
ความใน (1) (2) (3) (4) (5) (6) และ (8) อาจยกเว้นมิให้นำมาใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด เว้นแต่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา 26
ร้านหรือบริษัทเล็กที่คิดว่าตัวเองได้รับยกเว้นไม่ต้องทำบันทึกรายการ ถ้ามีเครื่องสแกนนิ้วลงเวลาเพียงเครื่องเดียว ก็อาจหลุดจากข้อยกเว้นนั้นแล้ว เริ่มทำบันทึกรายการได้ตามแผนใน Data Mapping ใน 7 วัน
เรื่องที่สองคือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) มาตรา 41 (3) บังคับให้มี DPO เมื่อ "กิจกรรมหลัก" เป็นการเก็บ ใช้ หรือเปิดเผยข้อมูลตามมาตรา 26 บริษัทที่มีแค่ใบรับรองแพทย์ในแฟ้มลาป่วยไม่ได้มีกิจกรรมหลักแบบนั้น แต่คลินิก แล็บ หรือบริษัทรับตรวจสุขภาพอาจเข้าข่าย ดูเกณฑ์ละเอียดได้ที่ บริษัทไหนต้องมี DPO
เรื่องที่สามคือโทษ มาตรา 84 กำหนดโทษปรับทางปกครองสำหรับการฝ่าฝืนมาตรา 26 ไว้สูงกว่าความผิดทั่วไป
ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา 26 วรรคหนึ่งหรือวรรคสาม หรือฝ่าฝืนมาตรา 27 วรรคหนึ่งหรือวรรคสอง หรือมาตรา 28 อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 หรือส่งหรือโอนข้อมูลส่วนบุคคลตามมาตรา 26 โดยไม่เป็นไปตามมาตรา 29 วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินห้าล้านบาท
สำรวจข้อมูลอ่อนไหวในบริษัทให้เสร็จในบ่ายเดียว ทำอย่างไร?
ไม่ต้องรอโครงการใหญ่ เรียกหัวหน้าฝ่ายบุคคล ไอที อาคารสถานที่ และฝ่ายขายมานั่งด้วยกันสองชั่วโมง แล้วไล่ตามลำดับนี้
- เปิดแบบฟอร์มทุกใบที่ให้คนกรอก ทั้งกระดาษและออนไลน์ วงช่องที่ถามเรื่องสุขภาพ ศาสนา ความพิการ หมู่โลหิต การแพ้อาหาร และประวัติอาชญากรรม
- เดินดูอุปกรณ์จริง เครื่องสแกนนิ้ว สแกนหน้า กล้องที่จับใบหน้าได้ แล้วถามไอทีว่าเก็บแม่แบบไว้ที่ไหน ใครเข้าถึงได้
- แต่ละจุด ถามว่าใช้ข้อมูลในฐานะข้อมูลอ่อนไหวหรือแค่ติดมา (หลัก TDPG ข้อ S2)
- จุดที่ใช้จริง หาข้อยกเว้นตามมาตรา 26 (1) ถึง (5) ก่อน ถ้าไม่มี ต้องขอความยินยอมโดยชัดแจ้ง แยกจากความยินยอมเรื่องอื่น
- ทุกจุดที่ใช้ความยินยอม ตรวจว่ามีทางเลือกที่ไม่ด้อยกว่าให้คนที่ไม่ยินยอม
- ช่องที่ถามโดยไม่ได้ใช้ ตัดทิ้งจากแบบฟอร์ม ยิ่งเก็บน้อย ความเสี่ยงก็ยิ่งลด
- จดทุกจุดลงบันทึกรายการตามมาตรา 39 ทำเครื่องหมายว่ามีข้อมูลตามมาตรา 26 แล้วตรวจว่าสิทธิยกเว้นของกิจการขนาดเล็กยังใช้ได้หรือไม่
ทะเบียน RoPA ของ AIPDPA ให้ติดป้ายกิจกรรมที่มีข้อมูลตามมาตรา 26 ไว้ตั้งแต่ตอนบันทึก และพิมพ์รายงานตามมาตรา 39 ได้เมื่อ สคส. หรือเจ้าของข้อมูลขอดู ดูบัญชีตัวอย่าง
คำถามที่พบบ่อย
ข้อมูลอ่อนไหวตาม PDPA มีอะไรบ้าง
มาตรา 26 ระบุเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ และข้อมูลอื่นที่คณะกรรมการประกาศกำหนด
เครื่องสแกนนิ้วลงเวลาต้องขอความยินยอมพนักงานไหม
ตามข้อหารือที่ สคส. ตอบ กทพ. ถ้าพิสูจน์ได้ว่าจำเป็นต่อหน้าที่ตามกฎหมายคุ้มครองแรงงาน เช่น มีปัญหาลงเวลาแทนกันจริง อาจใช้ข้อยกเว้นมาตรา 26 (5) (ค) ได้ ถ้าไม่ถึงขั้นนั้นต้องขอความยินยอมโดยชัดแจ้ง และต้องมีวิธีลงเวลาแบบอื่นให้คนที่ไม่ยินยอม
ใบรับรองแพทย์ที่พนักงานส่งมาตอนลาป่วย ต้องขอความยินยอมไหม
TDPG ยกตัวอย่างว่าไม่ต้อง นายจ้างใช้ฐานสัญญาจ้างกับข้อมูลทั่วไป และใช้ข้อยกเว้นด้านการคุ้มครองแรงงานกับข้อมูลสุขภาพ แต่ต้องใช้เพื่อพิจารณาการลาเท่านั้น
สำเนาบัตรประชาชนที่มีรูปสวมผ้าโพกศีรษะ เป็นข้อมูลอ่อนไหวไหม
ถ้าใช้แค่ยืนยันตัวตน TDPG ถือว่าไม่ได้ประมวลผลในฐานะข้อมูลอ่อนไหว ใช้ฐานทั่วไปได้ แต่ถ้าเอาไปจัดกลุ่มลูกค้าตามลักษณะนั้น อาจเข้าข่ายข้อมูลอ่อนไหวและต้องมีเงื่อนไขตามมาตรา 26
บริษัทเล็กที่มีเครื่องสแกนนิ้ว ยังได้รับยกเว้นการทำบันทึกรายการไหม
มาตรา 39 วรรคท้ายบอกว่าข้อยกเว้นสำหรับกิจการขนาดเล็กใช้ไม่ได้ถ้ามีการเก็บ ใช้ หรือเปิดเผยข้อมูลตามมาตรา 26 ข้อมูลลายนิ้วมือเป็นข้อมูลชีวภาพ จึงควรทำบันทึกรายการไว้
ตัวบทและแหล่งอ้างอิง
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 26 · มาตรา 39 · มาตรา 41 (3) · มาตรา 84
- สำเนาสรุปการตอบข้อหารือ ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (สคส.) — ข้อหารือ การทางพิเศษแห่งประเทศไทย (บันทึกเวลาทำงานด้วยข้อมูลชีวภาพ)
- แนวปฏิบัติ TDPG 4.0 (ไม่ใช่กฎหมาย) — S2–S6 · S40–S42 · D10
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)