การเลือกฐาน PDPA ให้ถูกงาน คือการดูว่าข้อมูลทั่วไปเก็บได้โดยไม่ต้องขอความยินยอมถ้าเข้าฐานอื่นตามมาตรา 24 เช่น สัญญา กฎหมาย หรือประโยชน์โดยชอบด้วยกฎหมาย ส่วนข้อมูลอ่อนไหวตามมาตรา 26 ต้องได้ความยินยอมโดยชัดแจ้ง เหมาะกับ DPO และทีมการตลาด
- มาตรา 24 ของ PDPA มีฐานอื่นอีก 6 ฐานนอกจากความยินยอม เช่น สัญญา หน้าที่ตามกฎหมาย และประโยชน์โดยชอบด้วยกฎหมาย
- TDPG 4.0 ข้อ C14: ถ้าจำเป็นตามสัญญาจริง ไม่ต้องขอความยินยอมซ้ำ และการขอโดยไม่จำเป็นทำให้ลูกค้าสับสน
- TDPG 4.0 ข้อ C34: นายจ้างกับลูกจ้างอำนาจต่อรองไม่เท่ากัน ความยินยอมจึงมักใช้เป็นฐานไม่ได้
- ข้อมูลอ่อนไหวตามมาตรา 26 ใช้ฐานสัญญาไม่ได้ ต้องได้ความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นในมาตรา 26
- TDPG 4.0 เป็นแนวปฏิบัติ ไม่ผูกพันเหมือน พ.ร.บ. ถ้าขัดกันให้ยึดตัวบท
สมมติว่าบริษัทหนึ่งเพิ่งทำเรื่อง PDPA ฝ่ายบุคคลแก้ใบสมัครงานให้มีช่อง “ข้าพเจ้ายินยอมให้บริษัทเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคล” ฝ่ายขายก็ใส่ช่องเดียวกันในใบสั่งซื้อ ส่วนแอปสมาชิกบังคับกดยอมรับก่อนใช้งาน ทุกคนรู้สึกว่าครบถ้วนแล้ว
ปัญหาคือความยินยอมแบบนี้จำนวนมากไม่มีผลเลย และบางช่องยังสร้างภาระใหม่ให้บริษัทเอง ถ้าพนักงานหรือลูกค้าถอนความยินยอมวันพรุ่งนี้ บริษัทจะหยุดจ่ายเงินเดือน หยุดส่งของ หรือหยุดยื่นภาษีได้หรือ คำตอบคือไม่ได้ เพราะงานเหล่านั้นไม่ควรตั้งอยู่บนความยินยอมตั้งแต่ต้น
บทความนี้วางพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มาตรา 19, 24 และ 26 ไว้คู่กับบท C ของ TDPG 4.0 ซึ่งเป็นแนวปฏิบัติเรื่องฐานในการประมวลผล แล้วสรุปเป็นตารางว่างานแต่ละอย่างควรใช้ฐานอะไร
PDPA บังคับให้ขอความยินยอมก่อนทุกครั้งจริงไหม?
ไม่จริง มาตรา 19 วรรคหนึ่งตั้งหลักว่าต้องได้ความยินยอม แต่มีคำว่า “เว้นแต่” ต่อท้าย และมาตรา 24 คือข้อยกเว้นที่ใช้บ่อยที่สุด ข้อมูลส่วนบุคคลทั่วไปจึงเก็บได้โดยไม่ต้องขอความยินยอม ถ้าเข้าฐานใดฐานหนึ่งในมาตรา 24
ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้
มาตรา 24 มีฐานให้เลือก 6 ฐาน ได้แก่ จดหมายเหตุหรือวิจัยและสถิติ ป้องกันอันตรายต่อชีวิตร่างกาย ปฏิบัติตามสัญญา ภารกิจของรัฐ ประโยชน์โดยชอบด้วยกฎหมาย และปฏิบัติตามกฎหมาย สำหรับธุรกิจเอกชนทั่วไป ฐานที่ใช้จริงมีอยู่ 3 ฐาน คือสัญญา กฎหมาย และประโยชน์โดยชอบด้วยกฎหมาย
(3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
(5) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
TDPG 4.0 ข้อ C4 อธิบายว่าธุรกิจส่วนใหญ่เกี่ยวข้องกับฐานสัญญาและฐานความยินยอมมากที่สุด ธุรกิจที่ถูกกำกับเข้มจะใช้ฐานปฏิบัติตามกฎหมายเยอะ ส่วนฐานประโยชน์อันชอบธรรมมักใช้ในสถานการณ์เฉพาะ และต้องประเมินความเสี่ยงอย่างรอบคอบ
ทำไม TDPG 4.0 ถึงบอกว่าความยินยอมเป็นฐานที่เสี่ยง?
เพราะเจ้าของข้อมูลถอนความยินยอมเมื่อไรก็ได้ และเมื่อถอนแล้วบริษัทอาจต้องหยุดใช้ข้อมูลทันที TDPG 4.0 ข้อ C14 จึงแนะนำว่า ถ้างานนั้นจำเป็นตามสัญญาจริง ไม่ต้องขอความยินยอมเพิ่มอีก
ความยินยอมจึงเป็นฐานการประมวลผลที่มีความเสี่ยงมาก เพราะอาจต้องหยุดประมวลผลเมื่อใดก็ตามที่เจ้าของข้อมูลถอนความยินยอมไป ดังนั้น หากการประมวลผลข้อมูลส่วนบุคคลเป็นไปเพื่อความจำเป็นในการปฏิบัติตามสัญญาโดยแท้จริง ไม่มีความจำเป็นใด ๆ ที่จะต้องขอความยินยอมอีก
ความเสี่ยงข้อที่สองคือเรื่องการพิสูจน์ TDPG 4.0 ข้อ C13 ระบุว่าผู้ควบคุมข้อมูลมีภาระพิสูจน์ว่าเจ้าของข้อมูลเลือกยินยอมโดยสมัครใจจริง ถ้าความยินยอมถูกผูกเป็นเงื่อนไขของการรับบริการ ก็พิสูจน์ได้ยาก
ข้อนี้ตรงกับมาตรา 19 วรรคสี่ ซึ่งห้ามเอาความยินยอมที่ไม่จำเป็นต่อสัญญามาเป็นเงื่อนไขในการทำสัญญาหรือให้บริการ และมาตรา 19 วรรคท้ายบอกผลไว้ชัดว่า ความยินยอมที่ขอไม่ถูกต้องไม่ผูกพันเจ้าของข้อมูล
ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ทั้งนี้ ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ
ความเสี่ยงข้อที่สามเป็นเรื่องความไว้ใจ TDPG 4.0 ข้อ C8 เตือนว่าการขอความยินยอมพร่ำเพรื่อทำให้ลูกค้าเข้าใจผิดว่าถอนความยินยอมได้ ทั้งที่ยังมีสัญญาผูกกันอยู่ ผลคือเรื่องร้องเรียนที่ไม่ควรเกิด
งานแต่ละอย่างควรใช้ฐานอะไร? ตารางเลือกฐานรายกิจกรรม
ตารางนี้เรียงจากงานที่บริษัทไทยทำกันเป็นประจำ ช่องขวาสุดบอกว่าข้อสรุปมาจากตัวบทหรือจาก TDPG 4.0 ซึ่งเป็นแนวปฏิบัติ ถ้าข้อเท็จจริงของบริษัทต่างไปจากตัวอย่าง ต้องประเมินใหม่
| กิจกรรม | ฐานที่เหมาะ | ทำไมไม่ควรใช้ความยินยอม | ที่มา |
|---|---|---|---|
| เก็บเลขบัญชีธนาคารพนักงานเพื่อจ่ายเงินเดือน | สัญญา (มาตรา 24 (3)) | จ่ายเงินเดือนเป็นหน้าที่ตามสัญญาจ้าง ถ้าพนักงานถอนความยินยอม บริษัทก็ยังต้องจ่าย | TDPG ข้อ C5–C9 (ตัวอย่างบัญชีธนาคารลูกจ้าง) |
| เก็บที่อยู่จัดส่งและอีเมลส่งใบเสร็จในร้านออนไลน์ | สัญญา | ส่งของไม่ได้ถ้าไม่มีที่อยู่ ความยินยอมไม่ได้เพิ่มอะไร | TDPG ข้อ C5–C9 |
| ส่งข้อมูลเงินเดือนพนักงานให้กรมสรรพากร | ปฏิบัติตามกฎหมาย (มาตรา 24 (6)) | บริษัทไม่มีดุลพินิจว่าจะส่งหรือไม่ จึงไม่ใช่เรื่องที่ให้เลือก | TDPG ข้อ C56–C57 |
| เก็บข้อมูลจราจรทางคอมพิวเตอร์ตามที่กฎหมายกำหนด | ปฏิบัติตามกฎหมาย | หน้าที่ตามกฎหมาย ถอนความยินยอมแล้วก็ยังต้องเก็บ | TDPG ข้อ C3 และ C56 |
| ติดกล้องวงจรปิดเพื่อความปลอดภัยของอาคาร | ประโยชน์อันชอบธรรม พร้อมทำ LIA | คนเดินผ่านไม่มีทางเลือกปฏิเสธจริง | TDPG ข้อ E44 |
| วิเคราะห์พฤติกรรมเข้าเว็บเพื่อยิงโฆษณา | ความยินยอม หรือประโยชน์อันชอบธรรม | ไม่ใช่สิ่งจำเป็นตามสัญญาซื้อขาย จึงใช้ฐานสัญญาไม่ได้ | TDPG ข้อ C11 |
| ส่งจดหมายข่าวการตลาดหลังซื้อเสร็จ | ความยินยอม | เหมาะกับความยินยอม เพราะลูกค้าปฏิเสธได้โดยไม่เสียบริการหลัก | TDPG ข้อ C13 และตัวอย่างท้ายข้อ C33 |
| เก็บชื่อลูกค้าที่ขอไม่รับจดหมายข่าว | ประโยชน์อันชอบธรรม | ใช้กันไม่ให้ส่งซ้ำ ไม่ต้องขอความยินยอมเพื่อเคารพการปฏิเสธ | TDPG ตัวอย่างใต้ข้อ C65 |
| ติดตามทวงหนี้หรือเตรียมฟ้องคดี | ประโยชน์อันชอบธรรม | ไม่ใช่การปฏิบัติตามสัญญาตามปกติ และขอความยินยอมจากลูกหนี้ไม่สมเหตุสมผล | TDPG ข้อ C11 |
| ข้อมูลคู่สมรสของผู้เอาประกัน | ความยินยอม หรือประโยชน์อันชอบธรรม | คู่สมรสไม่ใช่คู่สัญญา จึงใช้ฐานสัญญาไม่ได้ | TDPG ข้อ C6 |
| ใบรับรองแพทย์เพื่อเบิกค่ารักษาสวัสดิการบริษัท (อ่อนไหว) | ความยินยอมโดยชัดแจ้ง (มาตรา 26) | กรณีนี้ความยินยอมใช้ได้ เพราะเป็นประโยชน์ของพนักงานเองและเลือกไม่เบิกได้ | TDPG ข้อ HR92 |
| สแกนลายนิ้วมือลงเวลา (อ่อนไหว) | ความยินยอมโดยชัดแจ้งที่ให้โดยอิสระจริง หรือเปลี่ยนวิธีลงเวลา | สัญญาจ้างไม่พอสำหรับข้อมูลชีวภาพ และต้องดูว่ามีวิธีที่ล่วงล้ำน้อยกว่าหรือไม่ | TDPG ข้อ S41 |
ทำไมความยินยอมของพนักงานมักใช้ไม่ได้?
เพราะพนักงานอยู่ในฐานะที่ปฏิเสธนายจ้างได้ยาก ความยินยอมที่ได้มาจึงไม่ค่อยเป็นอิสระตามที่มาตรา 19 วรรคสี่ต้องการ TDPG 4.0 ข้อ C34 พูดเรื่องนี้ไว้ตรง ๆ
เนื่องจากความยินยอมจะต้องเกิดขึ้นโดยสมัครใจอย่างแท้จริง ในกรณีที่อำนาจต่อรองของผู้ควบคุมข้อมูลและเจ้าของข้อมูลแตกต่างกันมาก ๆ จึงมักใช้ความยินยอมเป็นฐานไม่ได้ เช่น ในกรณีของการดำเนินภารกิจหน่วยงานของรัฐ และความสัมพันธ์ระหว่างนายจ้างกับลูกจ้าง ยกเว้นแต่ในกรณีที่เจ้าของข้อมูลสามารถมีทางเลือกในการปฏิเสธที่จะไม่ให้ข้อมูลได้จริง ๆ
ตัวอย่างที่ TDPG ยกว่าใช้ความยินยอมได้ คือนายจ้างขอให้พนักงานออกกล้องในสารคดีที่มาถ่ายทำในบริษัท โดยปฏิเสธได้ง่ายและมีที่นั่งนอกมุมกล้องให้ จุดร่วมคือ ถ้าพนักงานบอกว่า “ไม่” แล้วไม่มีอะไรเกิดขึ้นกับงานของเขาเลย ความยินยอมก็ใช้ได้
ส่วนงานบุคคลหลัก เช่น ทะเบียนประวัติ เงินเดือน ประกันสังคม ภาษี ควรผูกกับฐานสัญญาหรือหน้าที่ตามกฎหมาย ส่วนการกำกับดูแลการทำงานควรใช้ฐานประโยชน์อันชอบธรรมพร้อมแจ้งให้ชัด รายละเอียดแยกตามช่วงงานอยู่ใน บทความเรื่องข้อมูลพนักงานตั้งแต่สมัครงานจนลาออก
ใช้ฐานปฏิบัติตามกฎหมายได้เมื่อไร?
ใช้ได้เมื่อชี้ได้ว่ากฎหมายบทไหนสั่งให้ทำ และบริษัทไม่มีทางเลือกอื่น TDPG 4.0 ข้อ C56 ให้ระบุบทบัญญัติหรือคำสั่งของหน่วยงานรัฐที่มีอำนาจให้ได้ ส่วนข้อ C57 วางเงื่อนไขที่หลายบริษัทมองข้าม
ฐานนี้จะใช้ไม่ได้หากผู้ควบคุมข้อมูลสามารถใช้ดุลพินิจได้ว่าจะประมวลผลข้อมูลนี้เพื่อทำตามกฎหมาย หรือมีทางเลือกอื่นที่เหมาะสมในการปฏิบัติตามกฎหมายนอกเหนือจากการประมวลผลข้อมูลส่วนบุคคล ในกรณีที่ประมวลผลตามฐานนี้ เจ้าของข้อมูลจะไม่มีสิทธิในการลบ โอนย้ายข้อมูล หรือคัดค้านการประมวลผล
ประโยคสุดท้ายของข้อ C57 มีผลในทางปฏิบัติมาก ถ้าเลือกฐานถูก บริษัทจะตอบคำขอลบข้อมูลได้ว่ายังต้องเก็บตามกฎหมาย แต่ถ้าเคยบอกพนักงานว่าเก็บ “ตามความยินยอม” แล้วเขาถอน บริษัทจะติดอยู่ระหว่างคำพูดของตัวเองกับหน้าที่ตามกฎหมาย
ประโยชน์อันชอบธรรมต้องทดสอบอย่างไร?
ต้องผ่าน 3 ขั้น คือวัตถุประสงค์ชอบด้วยกฎหมาย การประมวลผลจำเป็นจริง และไม่กระทบสิทธิของเจ้าของข้อมูลเกินสมควร TDPG 4.0 ยกความเห็นข้อหารือของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) มาประกอบ และเพิ่มหน้าที่ต้องบันทึกเหตุผลไว้ด้วย
ทั้งนี้ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลเปิดเผยข้อมูลด้วยฐานประโยชน์โดยชอบด้วยกฎหมาย ต้องบันทึกรายละเอียดการเปิดเผยนั้น และเหตุผลในการใช้ดุลพินิจชั่งน้ำหนักไว้ในบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (ROPA)
- ทดสอบวัตถุประสงค์: เขียนให้ได้ว่าบริษัทได้ประโยชน์อะไร เช่น ป้องกันการทุจริต รักษาความปลอดภัยของระบบ
- ทดสอบความจำเป็น: ถามว่ามีวิธีที่กระทบสิทธิน้อยกว่าหรือไม่ และใช้ฐานอื่นแทนได้ไหม
- ทดสอบความสมดุล: เจ้าของข้อมูลคาดหมายได้หรือไม่ ข้อมูลอ่อนไหวแค่ไหน และมีมาตรการลดผลกระทบอะไร
- บันทึกผล ลง RoPA พร้อมเหตุผล เพื่อให้ตอบได้เมื่อถูกร้องเรียน
อีกข้อที่ควรรู้คือ TDPG 4.0 ข้อ C64 บอกว่า การเขียนไว้ในนโยบายความเป็นส่วนตัวยาว ๆ ไม่ได้แปลว่าเจ้าของข้อมูล “คาดหมายได้” เสมอไป ถ้าข้อความไม่เฉพาะเจาะจงหรือไม่มีใครได้อ่านจริง
ข้อมูลอ่อนไหวต่างออกไปอย่างไร?
สำหรับข้อมูลอ่อนไหว หลักกลับด้าน ต้องได้ความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นที่มาตรา 26 ระบุไว้เอง รายการข้อยกเว้นของมาตรา 26 ไม่มีฐานสัญญาหรือฐานประโยชน์อันชอบธรรมอยู่ในนั้น TDPG 4.0 ข้อ C5 ก็ย้ำว่าข้อมูลอ่อนไหวใช้ฐานสัญญาไม่ได้
ห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการประกาศกำหนด โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่
ข้อยกเว้นที่ธุรกิจเจอบ่อยคือมาตรา 26 (4) การก่อตั้งหรือต่อสู้สิทธิเรียกร้องตามกฎหมาย และมาตรา 26 (5) การปฏิบัติตามกฎหมายในเรื่องที่ระบุไว้ เช่น อาชีวเวชศาสตร์ การประเมินความสามารถในการทำงานของลูกจ้าง และการคุ้มครองแรงงานหรือประกันสังคม ถ้าไม่เข้าข้อเหล่านี้ ก็ต้องกลับมาที่ความยินยอมโดยชัดแจ้ง
เมื่อจำเป็นต้องใช้ความยินยอมกับลูกจ้าง ก็ต้องทำให้การปฏิเสธเป็นไปได้จริง เช่น มีบัตรหรือรหัสให้เลือกแทนการสแกนลายนิ้วมือ ข้อมูลประวัติอาชญากรรมมีประกาศเฉพาะอีกฉบับ อ่านต่อได้ที่ บทความเรื่องการตรวจประวัติอาชญากรรมผู้สมัครงาน
เลิกใช้ความยินยอมแล้วเปลี่ยนเป็นฐานอื่น ต้องทำอะไรบ้าง?
ต้องแจ้งเจ้าของข้อมูลก่อน จะเปลี่ยนเงียบ ๆ ไม่ได้ TDPG 4.0 ข้อ C3 ระบุว่าจะเปลี่ยนฐานโดยไม่แจ้งเจ้าของข้อมูลก่อนไม่ได้ และมาตรา 23 (1) ก็กำหนดให้แจ้งวัตถุประสงค์ รวมถึงวัตถุประสงค์ที่อาศัยฐานตามมาตรา 24 ด้วย
- ไล่แบบฟอร์มและหน้าจอทุกจุดที่มีช่อง “ยินยอม” แล้วจับคู่กับกิจกรรมใน RoPA
- แยกกิจกรรมที่ทำได้ด้วยฐานสัญญา กฎหมาย หรือประโยชน์อันชอบธรรม ออกจากกิจกรรมที่ต้องใช้ความยินยอมจริง
- แก้ประกาศความเป็นส่วนตัวให้บอกฐานรายวัตถุประสงค์ แล้วแจ้งเจ้าของข้อมูลเดิมก่อนใช้ฐานใหม่
- เหลือช่องความยินยอมเฉพาะเรื่องที่ปฏิเสธได้จริง แยกออกจากข้อความอื่นตามมาตรา 19 วรรคสาม
- ทำ LIA สำหรับทุกกิจกรรมที่ใช้ประโยชน์อันชอบธรรม และเก็บผลไว้กับ RoPA
ผูกความยินยอมที่ไม่จำเป็นกับการรับบริการ ขัดมาตรา 19 วรรคสี่ และความยินยอมที่ขอผิดหลักไม่ผูกพันเจ้าของข้อมูลตามมาตรา 19 วรรคท้าย
กว้างเกินไปและผู้สมัครปฏิเสธไม่ได้จริง ควรแยกเรื่องที่มีกฎหมายบังคับ เรื่องที่ใช้ฐานประโยชน์อันชอบธรรม และเรื่องอ่อนไหวที่ต้องได้ความยินยอมโดยชัดแจ้ง
ตรงกับ TDPG 4.0 ข้อ C5 และ C13 คือฐานสัญญาสำหรับสิ่งที่จำเป็น และความยินยอมสำหรับบริการเสริมที่ปฏิเสธได้
เป็นหน้าที่ตามกฎหมายที่ไม่มีดุลพินิจ ตาม TDPG 4.0 ข้อ C56–C57 ถ้าพนักงานถอนความยินยอม บริษัทก็ยังต้องส่ง
คำถามที่พบบ่อย
ถ้าขอความยินยอมไว้เผื่อทุกเรื่อง ผิดกฎหมายไหม?
การขอความยินยอมเกินจำเป็นไม่ได้ทำให้ผิดเสมอไป แต่มีความเสี่ยงสองทาง คือถ้าผูกเป็นเงื่อนไขของบริการโดยไม่จำเป็น ความยินยอมนั้นไม่ผูกพันตามมาตรา 19 และถ้าเจ้าของข้อมูลถอน บริษัทอาจต้องหยุดใช้ข้อมูลที่ยังจำเป็นต้องใช้ TDPG 4.0 ข้อ C8 และ C14 จึงแนะนำให้ไม่ขอพร่ำเพรื่อ
ไม่ได้ขอความยินยอม แล้วยังต้องแจ้งเจ้าของข้อมูลอยู่ไหม?
ต้องแจ้ง มาตรา 23 กำหนดให้แจ้งรายละเอียดก่อนหรือขณะเก็บข้อมูล และมาตรา 23 (1) ระบุชัดว่ารวมถึงวัตถุประสงค์ที่มาตรา 24 ให้เก็บได้โดยไม่ต้องขอความยินยอม ฐานต่างกันแต่หน้าที่แจ้งยังอยู่
ใช้ความยินยอมกับพนักงานได้เลยไหม?
ได้เฉพาะเรื่องที่พนักงานปฏิเสธได้จริงโดยไม่เสียประโยชน์ TDPG 4.0 ข้อ C34 ระบุว่าความสัมพันธ์นายจ้างกับลูกจ้างมีอำนาจต่อรองต่างกันมาก ความยินยอมจึงมักใช้เป็นฐานไม่ได้
ข้อมูลสุขภาพพนักงานใช้ฐานสัญญาจ้างได้ไหม?
ไม่ได้ ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวตามมาตรา 26 ต้องได้ความยินยอมโดยชัดแจ้ง หรือเข้าข้อยกเว้นในมาตรา 26 เช่น การปฏิบัติตามกฎหมายด้านอาชีวเวชศาสตร์หรือการคุ้มครองแรงงานตามมาตรา 26 (5) TDPG 4.0 ข้อ C5 และ S41 ก็ระบุว่าฐานสัญญาไม่พอสำหรับข้อมูลอ่อนไหว
TDPG 4.0 มีผลบังคับเหมือนกฎหมายไหม?
ไม่มี TDPG 4.0 เป็นแนวปฏิบัติ ใช้ประกอบการตีความและวางระบบงาน แต่ไม่ผูกพันเหมือน พ.ร.บ. ถ้าข้อความใดขัดกับตัวบท ให้ยึดตัวบท
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 19 · มาตรา 23 (1) · มาตรา 24 · มาตรา 26
- TDPG 4.0 แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคลของไทย (แนวปฏิบัติ ไม่ใช่กฎหมาย) — บท C (ข้อ C3 · C5–C14 · C34 · C56–C57 · C62–C65) · บท S ข้อ S41 · บท HR ข้อ HR92
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)