เลือกฐานทางกฎหมายในการประมวลผลข้อมูลตามมาตรา 24 PDPA อย่างไร ฐานทางกฎหมาย (lawful basis) คือเหตุที่กฎหมายยอมให้เก็บรวบรวมข้อมูลส่วนบุคคลได้ มาตรา 24 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ห้ามเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม เว้นแต่เข้าฐานใดฐานหนึ่งใน 6 ฐาน ได้แก่ จดหมายเหตุหรือวิจัยและสถิติ ป้องกันอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ การปฏิบัติตามสัญญา ภารกิจเพื่อประโยชน์สาธารณะหรืออำนาจรัฐ ประโยชน์โดยชอบด้วยกฎหมาย และการปฏิบัติตามกฎหมาย ให้เลือกฐานที่ตรงที่สุดแยกตามวัตถุประสงค์ และบันทึกเหตุผลไว้
ฝ่ายบุคคลของโรงงานแห่งหนึ่งให้พนักงานทุกคนเซ็นหนังสือยินยอมฉบับเดียว ครอบคลุมตั้งแต่การจ่ายเงินเดือนไปจนถึงการลงรูปในเพจบริษัท วันหนึ่งพนักงานคนหนึ่งไม่ยอมเซ็น ฝ่ายบุคคลจึงไม่แน่ใจว่ายังโอนเงินเดือนเข้าบัญชีของเขาได้หรือไม่
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- ความยินยอมเป็นเพียงหนึ่งในเจ็ดทางเลือก มาตรา 24 ให้อีก 6 ฐานที่ไม่ต้องขอความยินยอม
- ฐานสัญญา ฐานภารกิจสาธารณะ และฐานประโยชน์โดยชอบด้วยกฎหมาย ใช้ได้เฉพาะเมื่อ “จำเป็น” ตามถ้อยคำของมาตรา 24
- ฐานประโยชน์โดยชอบด้วยกฎหมายใช้ไม่ได้ ถ้าประโยชน์นั้นสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลของเจ้าของข้อมูล
- ข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพหรือประวัติอาชญากรรม อยู่ภายใต้มาตรา 26 ซึ่งมีรายการข้อยกเว้นของตัวเอง
- แนวปฏิบัติที่ดีคือเลือกฐานแยกตามวัตถุประสงค์ และบันทึกไว้ในบันทึกรายการกิจกรรมการประมวลผล (RoPA)
ทำตามนี้ 7 ขั้นตอน
ทำตามลำดับ 7 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- แตกกิจกรรมเป็นวัตถุประสงค์ย่อยกิจกรรมเดียวมักมีหลายวัตถุประสงค์ เช่น ข้อมูลลูกค้าใช้ทั้งส่งสินค้าและทำการตลาด แต่ละวัตถุประสงค์ควรมีฐานของตัวเอง
- ถามก่อนว่ามีกฎหมายบังคับไหมถ้าคุณเก็บข้อมูลเพื่อปฏิบัติตามกฎหมายที่ใช้กับคุณ ฐานตามมาตรา 24 (6) มักตรงที่สุด แนวปฏิบัติที่ดีคือระบุชื่อกฎหมายและมาตราที่บังคับไว้ด้วย
- ดูว่าจำเป็นต่อสัญญาหรือไม่ถ้าข้อมูลจำเป็นต่อการปฏิบัติตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา หรือเพื่อดำเนินการตามคำขอของเขาก่อนเข้าทำสัญญา ใช้มาตรา 24 (3) ได้ แต่ต้องจำกัดเฉพาะข้อมูลที่จำเป็นจริง
- ชั่งน้ำหนักก่อนใช้ประโยชน์โดยชอบด้วยกฎหมายถ้าจะใช้มาตรา 24 (5) ให้เขียนว่าประโยชน์ของคุณคืออะไร ทำไมต้องใช้ข้อมูล และกระทบเจ้าของข้อมูลแค่ไหน ถ้าสิทธิของเขาสำคัญกว่า ฐานนี้ใช้ไม่ได้
- ตรวจฐานที่มีเงื่อนไขเฉพาะฐานป้องกันอันตรายต่อชีวิต ฐานภารกิจสาธารณะหรืออำนาจรัฐ และฐานจดหมายเหตุหรือวิจัย มีเงื่อนไขของตัวเอง เช่น งานวิจัยและสถิติต้องมีมาตรการปกป้องที่เหมาะสมตามที่คณะกรรมการประกาศกำหนด
- ขอความยินยอมเมื่อไม่มีฐานอื่นถ้าไม่มีฐานในมาตรา 24 รองรับ ให้ขอความยินยอมให้ถูกต้องตามมาตรา 19 คือชัดแจ้ง แยกจากข้อความอื่น และถอนได้ง่าย
- บันทึกและทบทวนบันทึกฐานและเหตุผลของแต่ละวัตถุประสงค์ไว้ใน RoPA แล้วทบทวนเมื่อวัตถุประสงค์หรือวิธีใช้ข้อมูลเปลี่ยน
ฐานทางกฎหมายตามมาตรา 24 มีอะไรบ้าง?
มาตรา 24 ให้เก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ต้องขอความยินยอมได้ 6 กรณี ถ้าไม่เข้ากรณีใดเลย ต้องขอความยินยอม
- (1) จดหมายเหตุ ประวัติศาสตร์ วิจัย หรือสถิติ ที่มีมาตรการปกป้องที่เหมาะสมตามที่คณะกรรมการประกาศกำหนด
- (2) ป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
- (3) จำเป็นเพื่อปฏิบัติตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา หรือเพื่อดำเนินการตามคำขอของเขาก่อนเข้าทำสัญญา
- (4) จำเป็นเพื่อภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูล หรือการใช้อำนาจรัฐที่ได้รับมอบ
- (5) จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลหรือบุคคลอื่น เว้นแต่ประโยชน์นั้นสำคัญน้อยกว่าสิทธิขั้นพื้นฐานของเจ้าของข้อมูล
- (6) เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูล
ควรใช้ความยินยอมเป็นฐานไว้ก่อนเพื่อความปลอดภัยไหม?
ไม่ควร ถ้ามีฐานในมาตรา 24 ที่ตรงกว่า ความยินยอมเป็นฐานที่เจ้าของข้อมูลถอนได้เมื่อใดก็ได้ตามมาตรา 19 ถ้าใช้กับเรื่องที่ธุรกิจต้องทำอยู่แล้ว เช่น จ่ายเงินเดือน พอเจ้าของข้อมูลถอน งานนั้นจะติดขัดทันที
แนวปฏิบัติที่ดีคือใช้ความยินยอมกับเรื่องที่เจ้าของข้อมูลเลือกได้จริง เช่น การรับข่าวสารการตลาด และใช้ฐานอื่นกับเรื่องที่จำเป็นต่อสัญญาหรือที่กฎหมายบังคับ
ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) ใช้ได้เมื่อไร?
ใช้ได้เมื่อการเก็บข้อมูลจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของคุณหรือของบุคคลอื่น เว้นแต่ประโยชน์นั้นสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูล ตามมาตรา 24 (5)
แนวปฏิบัติที่ดีคือทำบันทึกการชั่งน้ำหนักทุกครั้ง ระบุประโยชน์ที่ต้องการ ความจำเป็น ผลกระทบต่อเจ้าของข้อมูล และมาตรการลดผลกระทบ เพื่อแสดงได้ว่าคุณชั่งน้ำหนักแล้วก่อนเริ่มประมวลผล
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 4 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ ใช้หนังสือยินยอมฉบับเดียวกับทุกเรื่อง พอมีคนไม่ยินยอม งานที่จำเป็นก็เดินต่อไม่ได้ | ✓ แยกวัตถุประสงค์แล้วจับคู่กับฐานที่ตรงที่สุด ทะเบียน RoPA ของ AIPDPA ตั้งต้นจากโครงสร้างองค์กร และมีตัวช่วยเลือกฐานทางกฎหมายที่อ้างมาตรา 24 และ 26 ให้ทุกกิจกรรม |
| ✗ อ้างประโยชน์โดยชอบด้วยกฎหมาย แต่ไม่มีบันทึกการชั่งน้ำหนักให้ใครดูได้ | ✓ มาตรา 24 (5) ใช้ไม่ได้ถ้าสิทธิของเจ้าของข้อมูลสำคัญกว่า บันทึกเหตุผลการชั่งน้ำหนักไว้ในกิจกรรมนั้นก่อนเริ่มประมวลผล ถ้าทีมไม่มีเวลา DPO ภายนอกรายเดือนของ Kooru ช่วยทำและทบทวนให้ได้ |
| ✗ อ้างฐานสัญญาครอบคลุมการตลาดหรือการวิเคราะห์ที่ไม่จำเป็นต่อสัญญา | ✓ มาตรา 24 (3) ครอบคลุมเฉพาะที่จำเป็นต่อการปฏิบัติตามสัญญา ส่วนที่เกินให้หาฐานอื่นหรือขอความยินยอม แล้วติดตามกิจกรรมที่อาศัยความยินยอมและหลักฐานในทะเบียนความยินยอมของ AIPDPA |
| ✗ ไม่ได้บันทึกว่าแต่ละกิจกรรมใช้ฐานอะไร พอผู้ตรวจถามก็ตอบไม่ได้ | ✓ บันทึกฐานและเหตุผลไว้ใน RoPA ทุกกิจกรรม AIPDPA พิมพ์รายงานตามมาตรา 39 ออกมาได้ทันที เป็นหลักฐานที่ผู้ตรวจสอบขอดู |
เลือกฐานถูกตั้งแต่แรก พร้อมเหตุผลที่ผู้ตรวจอ่านได้
ทะเบียน RoPA ของ AIPDPA ตั้งต้นจากโครงสร้างองค์กรของคุณ มีตัวช่วยเลือกฐานทางกฎหมายที่อ้างมาตรา 24 และ 26 และพิมพ์รายงานตามมาตรา 39 ได้ทันที ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ฐานทางกฎหมายตาม PDPA มีกี่ฐาน?
สำหรับข้อมูลส่วนบุคคลทั่วไป มีความยินยอมบวกอีก 6 ฐานตามมาตรา 24 รวม 7 ทางเลือก ข้อมูลอ่อนไหวใช้รายการของมาตรา 26 แยกต่างหาก
ข้อมูลพนักงานควรใช้ฐานอะไร?
ขึ้นกับวัตถุประสงค์ ข้อมูลที่จำเป็นต่อการปฏิบัติตามสัญญาจ้างอาจใช้มาตรา 24 (3) ข้อมูลที่กฎหมายกำหนดให้นายจ้างต้องเก็บอาจใช้มาตรา 24 (6) ส่วนเรื่องที่ไม่จำเป็น เช่น ลงรูปพนักงานเพื่อโปรโมต ให้พิจารณาฐานอื่นหรือขอความยินยอม
ฐานปฏิบัติตามกฎหมายใช้เมื่อไร?
ใช้เมื่อการเก็บข้อมูลเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลเอง ตามมาตรา 24 (6) แนวปฏิบัติที่ดีคือระบุชื่อกฎหมายและมาตราที่บังคับไว้ในบันทึก เพื่อให้ตรวจสอบย้อนได้
ข้อมูลสุขภาพใช้ฐานตามมาตรา 24 ได้ไหม?
ไม่ได้โดยลำพัง ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวตามมาตรา 26 ซึ่งต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นที่มาตรา 26 กำหนดไว้เอง
กิจกรรมเดียวใช้หลายฐานได้ไหม?
กิจกรรมหนึ่งมักมีหลายวัตถุประสงค์ และแต่ละวัตถุประสงค์อาจใช้ฐานต่างกัน แนวปฏิบัติที่ดีคือผูกฐานกับวัตถุประสงค์ ไม่ผูกกับระบบหรือแผนก
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 3 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 24
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 26
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
ลงชื่อรอเปิดใช้งาน →รู้ทันทีว่ากิจกรรมไหนอ้างความยินยอม หลักฐานอยู่ที่ไหน และใครถอนแล้ว
ลงชื่อรอเปิดใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →มี DPO มืออาชีพดูแลต่อเนื่องโดยไม่ต้องจ้างพนักงานประจำ
ดูแพ็กเกจ →คอร์สเสริมทักษะ PDPA, DPO และธรรมาภิบาล AI พร้อม Digital Product ชุดเครื่องมือพร้อมใช้
ดูคอร์สและสินค้า →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ