ข้อมูลเด็กและผู้เยาว์ตามมาตรา 20 PDPA ใครต้องเป็นผู้ให้ความยินยอม มาตรา 20 กำหนดว่าถ้าเจ้าของข้อมูลเป็นผู้เยาว์ที่ยังไม่บรรลุนิติภาวะ และเรื่องนั้นไม่ใช่สิ่งที่ผู้เยาว์ทำได้โดยลำพัง ต้องได้ความยินยอมจากผู้ใช้อำนาจปกครองด้วย ส่วนเด็กอายุไม่เกินสิบปี ให้ขอความยินยอมจากผู้ใช้อำนาจปกครอง หลักเดียวกันใช้กับการถอนความยินยอม การแจ้ง และการใช้สิทธิด้วย องค์กรจึงต้องรู้ก่อนว่าข้อมูลเด็กอยู่ตรงไหนในทะเบียน
โรงเรียนกวดวิชาแห่งหนึ่งให้นักเรียนกรอกแบบฟอร์มสมัครเองทางออนไลน์ แล้วนำรูปไปลงโฆษณา ผู้ปกครองคนหนึ่งถามว่าใครอนุญาต โรงเรียนจึงพบว่าไม่มีความยินยอมจากผู้ปกครองสักฉบับ
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- เด็กอายุไม่เกินสิบปี ต้องขอความยินยอมจากผู้ใช้อำนาจปกครอง
- ผู้เยาว์ที่โตกว่านั้นต้องมีผู้ใช้อำนาจปกครองร่วมด้วย เว้นแต่เป็นเรื่องที่ทำได้โดยลำพัง
- หลักเดียวกันใช้กับการถอนความยินยอมและการใช้สิทธิ
- ข้อมูลเด็กมักซ่อนอยู่ในกิจกรรมที่ไม่ได้เขียนไว้ เช่น รูปกิจกรรม
- ต้องเก็บหลักฐานว่าใครเป็นผู้ให้ความยินยอม
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- หาว่าข้อมูลเด็กอยู่ตรงไหนไล่ทะเบียนกิจกรรมว่ามีกลุ่มเจ้าของข้อมูลที่เป็นนักเรียน ลูกค้าเด็ก หรือบุตรพนักงานหรือไม่
- แยกตามอายุแยกกลุ่มอายุไม่เกินสิบปี กับผู้เยาว์ที่โตกว่านั้น เพราะผู้ให้ความยินยอมต่างกัน
- ตรวจฐานทางกฎหมายกิจกรรมที่ไม่ต้องใช้ความยินยอม เช่น ปฏิบัติตามสัญญาหรือกฎหมาย ไม่ต้องใช้กลไกมาตรา 20 แต่ยังต้องแจ้งให้ทราบ
- เก็บความยินยอมให้ถูกคนบันทึกชื่อผู้ใช้อำนาจปกครอง ความสัมพันธ์ วิธีที่ให้ความยินยอม และวันที่
- เปิดทางถอนความยินยอมให้ผู้ปกครองถอนความยินยอมได้ง่ายเท่ากับตอนให้
- ทบทวนเมื่อเด็กโตขึ้นตั้งรอบทบทวนเมื่อเด็กพ้นอายุสิบปีหรือบรรลุนิติภาวะ
ข้อมูลเด็กมักซ่อนอยู่ตรงไหน?
นอกจากใบสมัครเรียน ข้อมูลเด็กมักอยู่ในรูปกิจกรรม กล้องวงจรปิด ข้อมูลสุขภาพจากห้องพยาบาล บัญชีผู้ใช้ในแอป และข้อมูลบุตรในระบบสวัสดิการพนักงาน
- รูปและวิดีโอกิจกรรม
- กล้องวงจรปิด
- ข้อมูลสุขภาพและการแพ้
- บัญชีผู้ใช้แอปหรือเกม
- ข้อมูลบุตรในสวัสดิการพนักงาน
เด็กโตกว่าสิบปีให้ความยินยอมเองได้หรือไม่?
ได้เฉพาะเรื่องที่ผู้เยาว์ทำได้โดยลำพังตามประมวลกฎหมายแพ่งและพาณิชย์ที่มาตรา 20 อ้างถึง นอกนั้นต้องได้ความยินยอมจากผู้ใช้อำนาจปกครองด้วย กรณีที่ไม่แน่ใจ ให้ถือว่าต้องมีผู้ปกครองร่วม
ข้อมูลเด็กที่เป็นข้อมูลอ่อนไหวต้องทำอะไรเพิ่ม?
ถ้าเป็นข้อมูลสุขภาพหรือข้อมูลอ่อนไหวอื่นตามมาตรา 26 ต้องได้ความยินยอมโดยชัดแจ้ง หรือเข้าข้อยกเว้นเฉพาะ และควรพิจารณาทำ DPIA เพราะกระทบกลุ่มเปราะบาง
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ ให้เด็กกดยอมรับเองในแบบฟอร์มออนไลน์ | ✓ เพิ่มขั้นยืนยันโดยผู้ปกครอง และเก็บหลักฐานชื่อและความสัมพันธ์ |
| ✗ ทะเบียนไม่ได้ระบุว่ามีข้อมูลเด็ก | ✓ เพิ่มกลุ่มเจ้าของข้อมูลที่เป็นผู้เยาว์ในทะเบียน และไล่ตรวจกิจกรรมที่เกี่ยวข้อง |
| ✗ ไม่มีรอบทบทวนเมื่อเด็กโตขึ้น | ✓ ตั้งวันทบทวนตามอายุ และขอความยินยอมใหม่เมื่อจำเป็น |
หาข้อมูลเด็กในทะเบียนให้ครบในครั้งเดียว
AIPDPA ตรวจหาจุดที่อาจมีข้อมูลเด็กแม้ทะเบียนไม่ได้เขียนไว้ บอกว่าใครต้องให้ความยินยอมตามมาตรา 20 แยกงานต้องทำกับควรทำ และออกรายงานพร้อมเลขที่
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
บริษัทที่ไม่ได้ขายของให้เด็กต้องสนใจมาตรา 20 หรือไม่?
ควรสนใจ เพราะข้อมูลบุตรพนักงาน ผู้มาติดต่อที่เป็นเด็ก หรือภาพจากกล้องวงจรปิด ก็เป็นข้อมูลของผู้เยาว์
ถ้าใช้ฐานสัญญาไม่ใช่ความยินยอม ต้องทำตามมาตรา 20 หรือไม่?
กลไกความยินยอมตามมาตรา 20 ใช้เมื่ออาศัยความยินยอม แต่การแจ้งและการใช้สิทธิของผู้เยาว์ก็ต้องคำนึงถึงผู้ใช้อำนาจปกครองด้วย
เก็บหลักฐานความยินยอมของผู้ปกครองอย่างไร?
บันทึกชื่อผู้ให้ความยินยอม ความสัมพันธ์กับเด็ก วิธีให้ความยินยอม วันที่ และฉบับของข้อความที่ใช้ขอ
ผู้ปกครองถอนความยินยอมได้หรือไม่?
ได้ และต้องถอนได้ง่ายเท่ากับตอนให้ความยินยอม
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 3 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 20 — ความยินยอมของผู้เยาว์ คนไร้ความสามารถ และคนเสมือนไร้ความสามารถ
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19 — เงื่อนไขของความยินยอม
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) — การขอความยินยอมจากผู้เยาว์
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
หาจุดที่อาจมีข้อมูลเด็กแม้ทะเบียนไม่ได้เขียนไว้ บอกว่าใครต้องให้ความยินยอมตามมาตรา 20 และแยกงานต้องทำกับควรทำ
สมัครใช้งาน →รู้ทันทีว่ากิจกรรมไหนอ้างความยินยอม หลักฐานอยู่ที่ไหน และใครถอนแล้ว
สมัครใช้งาน →ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
สมัครใช้งาน →เอกสารพร้อมใช้ 40 แบบ ไทย/อังกฤษ ยืนยันข้อสัญญาที่ AI เขียนเพิ่มครบ 88 ข้อ กรอกจากทะเบียนให้เอง และมี QR ยืนยันฉบับที่อนุมัติ
สมัครใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ