ติดกล้องวงจรปิด (CCTV) อย่างไรไม่ให้ผิด PDPA? ติดกล้องวงจรปิดได้ แต่ภาพบุคคลจากกล้องเป็นข้อมูลส่วนบุคคลที่ได้รับความคุ้มครอง แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล TDPG 4.0 แนะนำให้แจ้งก่อนหรือขณะเก็บข้อมูลด้วยป้ายที่เห็นชัดก่อนเข้าพื้นที่กล้อง ระบุผู้ควบคุมข้อมูล ช่องทางติดต่อ DPO (ถ้ามี) วัตถุประสงค์ ฐานทางกฎหมาย และสิทธิโดยย่อ พร้อมลิงก์หรือ QR ไปยังประกาศฉบับเต็ม ใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย จำกัดมุมกล้องและระยะเก็บภาพ และบันทึกการเข้าถึงไฟล์
เจ้าของร้านอาหารรายหนึ่งติดกล้องวงจรปิดแปดตัวรอบร้านเพื่อกันขโมย ตั้งให้บันทึกต่อเนื่องจนฮาร์ดดิสก์เต็ม หน้าร้านไม่มีป้ายแจ้ง และพนักงานทุกคนเปิดดูภาพย้อนหลังจากมือถือได้ คืนหนึ่งคลิปลูกค้าสองโต๊ะทะเลาะกันหลุดไปอยู่ในกลุ่มแชตของคนในซอย
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- ต้องแจ้งเจ้าของข้อมูลก่อนหรือขณะเก็บข้อมูล โดยใช้ป้ายที่เห็นได้ง่ายก่อนเข้าพื้นที่กล้อง
- TDPG 4.0 แนะนำการแจ้งเป็นชั้น ป้ายชั้นแรกสรุปสาระสำคัญ ชั้นที่สองคือประกาศฉบับเต็มผ่านลิงก์หรือ QR
- สำหรับกล้องเพื่อความปลอดภัย TDPG 4.0 แนะนำฐานประโยชน์โดยชอบด้วยกฎหมาย และควรทำการประเมินประโยชน์โดยชอบด้วยกฎหมาย (LIA)
- การบันทึกเสียงหรือใช้ระบบวิเคราะห์ใบหน้าทำให้ความเสี่ยงสูงขึ้น และ TDPG 4.0 แนะนำให้ทำ DPIA
- TDPG 4.0 ยกตัวอย่างระยะเก็บภาพ 15–30 วัน คู่กับการจำกัดมุมกล้อง บันทึกการเข้าถึงไฟล์ และเข้ารหัสหรือล็อกไฟล์
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- กำหนดวัตถุประสงค์ให้ชัดเขียนให้ชัดว่าติดกล้องเพื่ออะไร เช่น ความปลอดภัยหรือการป้องกันเหตุ แล้วบันทึกกิจกรรมนี้ไว้ในบันทึกรายการกิจกรรมการประมวลผล (RoPA) เพราะวัตถุประสงค์เป็นตัวกำหนดมุมกล้องและระยะเก็บภาพ
- เลือกฐานทางกฎหมายและทำ LIATDPG 4.0 แนะนำฐานประโยชน์โดยชอบด้วยกฎหมาย (legitimate interests) สำหรับ CCTV และให้ทำการประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) เพื่อชั่งน้ำหนักกับความเป็นส่วนตัวของผู้ถูกบันทึกภาพ
- จัดมุมกล้องเท่าที่จำเป็นหลีกเลี่ยงการเก็บข้อมูลเกินจำเป็น โดยเฉพาะในพื้นที่ที่เป็นส่วนตัวมาก และอย่าเปิดการบันทึกเสียงหรือระบบวิเคราะห์ใบหน้าโดยยังไม่ได้ทำ DPIA
- ติดป้ายก่อนเข้าพื้นที่กล้องติดป้ายหรือสติกเกอร์ที่ทางเข้าและบริเวณที่กล้องครอบคลุม ระบุผู้ควบคุมข้อมูล ช่องทางติดต่อ DPO (ถ้ามี) วัตถุประสงค์ ฐานทางกฎหมาย และสิทธิโดยย่อ พร้อมลิงก์หรือ QR ไปยังประกาศฉบับเต็ม
- ตั้งระยะเก็บภาพและเขียนทับอัตโนมัติกำหนดระยะเก็บให้เหมาะกับความเสี่ยงของกิจการ TDPG 4.0 ยกตัวอย่าง 15–30 วัน และถ้ามีการแจ้งความ ให้เก็บคลิปที่เกี่ยวข้องไว้จนกว่าตำรวจจะเข้ามาเก็บเป็นพยานหลักฐาน
- คุมคนดูภาพและไฟล์กำหนดบทบาทของผู้ดูกล้อง บันทึกการเข้าถึงไฟล์ CCTV เข้ารหัสหรือล็อกไฟล์ และอบรมเจ้าหน้าที่รักษาความปลอดภัย ถ้าใช้บริษัทรักษาความปลอดภัย ให้ทำข้อตกลงในฐานะผู้ประมวลผลข้อมูล
ภาพจากกล้องวงจรปิดถือเป็นข้อมูลส่วนบุคคลหรือไม่?
ใช่ TDPG 4.0 อธิบายว่าข้อมูลส่วนบุคคลยังได้รับความคุ้มครองไม่ว่าจะจัดเก็บอยู่ในระบบไอที ระบบกล้องวงจรปิด หรือเอกสารกระดาษ เพราะการคุ้มครองใช้ทั้งกับการประมวลผลด้วยระบบอัตโนมัติและไม่อัตโนมัติ
TDPG 4.0 ยังจัดระบบ CCTV ไว้ในตัวอย่างกิจกรรมที่อาจเข้าข่ายการติดตามพฤติกรรมของบุคคล และถือว่าการเก็บข้อมูลจากการสังเกตการณ์ เช่น กล้องวงจรปิด เป็นการเก็บข้อมูลจากเจ้าของข้อมูลโดยตรงที่ต้องแจ้งประกาศความเป็นส่วนตัว (Privacy Notice)
ป้ายแจ้งกล้องวงจรปิดต้องเขียนอะไรบ้าง?
TDPG 4.0 แนะนำให้แจ้งเป็น 2 ชั้น ชั้นแรกคือป้ายเตือนที่เห็นชัดก่อนเข้าพื้นที่กล้อง ชั้นที่สองคือข้อมูลเพิ่มเติมที่เข้าถึงได้ง่าย เช่น ที่โต๊ะประชาสัมพันธ์ หน้าเว็บไซต์ที่ลิงก์จากป้าย หรือบาร์โค้ดที่สแกนได้
- ใครเป็นผู้ควบคุมข้อมูล หรือตัวแทน (ถ้ามี)
- ช่องทางติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ถ้ามี
- วัตถุประสงค์และฐานทางกฎหมายในการใช้กล้อง
- สิทธิของเจ้าของข้อมูลโดยย่อ
ควรเก็บภาพจากกล้องวงจรปิดไว้นานแค่ไหน?
TDPG 4.0 ไม่ได้กำหนดตัวเลขเดียวสำหรับทุกธุรกิจ แต่ยกตัวอย่างการจำกัดระยะเก็บไว้ที่ 15–30 วัน และให้กำหนดระยะตามความจำเป็นของแต่ละกิจการ
ตัวอย่างใน TDPG 4.0 คือธนาคารที่ติดกล้องที่ตู้เอทีเอ็มเพื่อป้องกันการฉ้อฉลอาจต้องเก็บภาพหลายสัปดาห์ เพราะธุรกรรมต้องสงสัยมักปรากฏหลังลูกค้าได้รับรายการเดินบัญชี ขณะที่ร้านอาหารเครื่องดื่มอาจเก็บสั้นกว่า และหากมีการแจ้งความ ต้องเก็บภาพไว้จนกว่าตำรวจจะเข้ามาเก็บเป็นพยานหลักฐาน
ใช้บริษัทรักษาความปลอดภัยดูแลกล้อง ใครรับผิดชอบข้อมูล?
ตามตัวอย่างใน TDPG 4.0 ถ้าลูกค้าเป็นผู้กำหนดว่าจะบันทึกที่ไหน เมื่อไร และนานแค่ไหน และบริษัทรักษาความปลอดภัยบันทึกตามคำสั่งโดยไม่มีดุลพินิจเรื่องวัตถุประสงค์ ลูกค้าคือผู้ควบคุมข้อมูล ส่วนบริษัทรักษาความปลอดภัยคือผู้ประมวลผลข้อมูล
เจ้าของสถานที่ในฐานะผู้ควบคุมข้อมูลจึงควรดูแลป้ายแจ้งและระยะเก็บภาพเอง และทำข้อตกลงให้บริษัทรักษาความปลอดภัยทำตามคำสั่งและรักษาความปลอดภัยของภาพ
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ ไม่มีป้ายแจ้ง หรือมีแค่สติกเกอร์รูปกล้องที่ไม่บอกอะไรเลย | ✓ ทำป้ายชั้นแรกให้มีผู้ควบคุมข้อมูล ช่องทางติดต่อ วัตถุประสงค์ ฐานทางกฎหมาย และสิทธิโดยย่อ พร้อม QR ไปยังประกาศฉบับเต็ม AIPDPA มีแม่แบบประกาศความเป็นส่วนตัวสำหรับกล้องวงจรปิดทั้งภาษาไทยและอังกฤษ เนื้อหาผ่านการตรวจโดยทนายความ และฉบับที่อนุมัติแล้วมี QR ให้ตรวจสอบได้ |
| ✗ เก็บภาพไว้จนฮาร์ดดิสก์เต็ม โดยไม่มีระยะเก็บที่กำหนดไว้ | ✓ ตั้งระยะเก็บตามความจำเป็น เช่น 15–30 วันตามตัวอย่างใน TDPG 4.0 แล้วให้เครื่องบันทึกเขียนทับอัตโนมัติ โมดูลระยะเก็บรักษาของ AIPDPA เก็บกฎระยะเก็บและตารางทบทวนไว้ ระยะที่ประกาศกับที่ตั้งค่าจริงจึงตรงกัน |
| ✗ เปิดระบบจดจำใบหน้าหรือบันทึกเสียงโดยไม่ประเมินความเสี่ยง | ✓ TDPG 4.0 ระบุว่าการบันทึกเสียงหรือวิเคราะห์ใบหน้าทำให้ความเสี่ยงสูงขึ้นและควรทำ DPIA พื้นที่ทำงาน DPIA ของ AIPDPA มีแบบสอบถาม ทะเบียนความเสี่ยง และขั้นตอนลงนามอนุมัติ ให้ประเมินเสร็จก่อนเปิดใช้งาน |
ป้ายและประกาศ CCTV พร้อมใช้ในไม่กี่นาที
AIPDPA มีแม่แบบประกาศความเป็นส่วนตัวสำหรับกล้องวงจรปิดภาษาไทยและอังกฤษ เนื้อหาผ่านการตรวจโดยทนายความ พร้อม QR ยืนยันฉบับที่อนุมัติ ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ติดกล้องวงจรปิดในร้าน ต้องขอความยินยอมลูกค้าไหม?
สำหรับกล้องเพื่อความปลอดภัย TDPG 4.0 แนะนำฐานประโยชน์โดยชอบด้วยกฎหมาย ควบคู่กับการทำ LIA และการแจ้งด้วยป้ายก่อนหรือขณะเก็บข้อมูล ส่วนการเผยแพร่ภาพในสื่อสาธารณะ ตัวอย่างนิติบุคคลอาคารชุดใน TDPG 4.0 ใช้ฐานความยินยอม
ป้ายกล้องวงจรปิดต้องมีข้อความอะไรบ้าง?
ตามแนวทางใน TDPG 4.0 ป้ายชั้นแรกควรบอกว่าใครเป็นผู้ควบคุมข้อมูล ช่องทางติดต่อ DPO (ถ้ามี) วัตถุประสงค์และฐานทางกฎหมาย และสิทธิโดยย่อ แล้วใส่ลิงก์หรือ QR ไปยังประกาศฉบับเต็ม
ใช้กล้องที่มีระบบจดจำใบหน้าได้ไหม?
TDPG 4.0 ระบุว่าการใช้ระบบวิเคราะห์ใบหน้าหรือบันทึกเสียงทำให้ความเสี่ยงการละเมิดข้อมูลส่วนบุคคลสูงขึ้น และแนะนำให้ทำ DPIA ก่อนเปิดใช้งาน
นิติบุคคลอาคารชุดหรือหมู่บ้านจัดสรรติดกล้องได้ไหม?
ได้ ตัวอย่างใน TDPG 4.0 ให้นิติบุคคลใช้ฐานประโยชน์โดยชอบด้วยกฎหมายเพื่อความปลอดภัย จำกัดพื้นที่ที่กล้องเก็บข้อมูลเท่าที่จำเป็น จัดทำ RoPA และอบรมเจ้าหน้าที่รักษาความปลอดภัย
TDPG 4.0 เป็นกฎหมายหรือไม่?
ไม่ใช่ TDPG 4.0 เป็นแนวปฏิบัติที่อธิบายวิธีนำ PDPA ไปใช้จริง ไม่ใช่ตัวบทกฎหมาย การทำตามแนวปฏิบัตินี้ช่วยให้แสดงได้ว่าการใช้กล้องขององค์กรมีความสมเหตุสมผล
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 6 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (Thailand Data Protection Guidelines: TDPG 4.0) ข้อ A23 — ข้อมูลในระบบกล้องวงจรปิดได้รับความคุ้มครอง
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) ข้อ E14 — การแจ้ง Privacy Notice เมื่อเก็บข้อมูลโดยตรง รวมถึงการสังเกตการณ์ผ่านกล้องวงจรปิด
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) ข้อ E24 — การแจ้งผ่านป้ายหรือสัญลักษณ์
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) — ตัวอย่างข้อความแจ้งเมื่อใช้กล้องวงจรปิด (การแจ้งเป็นชั้น)
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) — ตัวอย่างกิจกรรมเก็บข้อมูลผ่าน CCTV (ฐานทางกฎหมาย LIA DPIA และมาตรการเสริม)
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) — ตัวอย่างระยะเก็บภาพกล้องวงจรปิด และตัวอย่างบริษัทรักษาความปลอดภัยในฐานะผู้ประมวลผล
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
เอกสารพร้อมใช้ 40 แบบ ไทย/อังกฤษ ยืนยันข้อสัญญาที่ AI เขียนเพิ่มครบ 88 ข้อ กรอกจากทะเบียนให้เอง และมี QR ยืนยันฉบับที่อนุมัติ
ลงชื่อรอเปิดใช้งาน →ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
ลงชื่อรอเปิดใช้งาน →แบบประเมิน ทะเบียนความเสี่ยง และการอนุมัติในที่เดียว พิมพ์รายงานได้ทันที
ลงชื่อรอเปิดใช้งาน →กฎระยะเก็บ ตารางรอบตรวจ และบันทึกการทำลาย — หลักฐานตามมาตรา 37(3) ที่ผู้ตรวจขอเสมอ
ลงชื่อรอเปิดใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ