ประเมินประโยชน์โดยชอบด้วยกฎหมาย (LIA) ทำอย่างไรให้อ้างฐานมาตรา 24 (5) ได้จริง ฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) ใช้ได้เมื่อการใช้ข้อมูลจำเป็นต่อประโยชน์ที่ชอบธรรมของบริษัทหรือบุคคลอื่น และประโยชน์นั้นไม่ได้สำคัญน้อยกว่าสิทธิขั้นพื้นฐานของเจ้าของข้อมูล วิธีพิสูจน์คือทำ LIA สามส่วน ได้แก่ วัตถุประสงค์ชอบธรรมหรือไม่ จำเป็นจริงหรือมีทางที่กระทบน้อยกว่า และชั่งน้ำหนักกับความคาดหมายและผลกระทบต่อเจ้าของข้อมูล แล้วเก็บบันทึกไว้ทบทวนทุกปี
ร้านค้าออนไลน์แห่งหนึ่งส่งโปรโมชันหาลูกค้าเก่าโดยอ้างประโยชน์โดยชอบด้วยกฎหมาย พอลูกค้าร้องเรียน สำนักงานขอดูว่าบริษัทชั่งน้ำหนักไว้อย่างไร บริษัทตอบได้แค่ว่าคิดว่าใช้ได้ เพราะไม่เคยเขียนอะไรไว้เลย
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- มาตรา 24 (5) ใช้ได้เมื่อประโยชน์ของบริษัทไม่สำคัญน้อยกว่าสิทธิของเจ้าของข้อมูล
- LIA มีสามส่วน วัตถุประสงค์ ความจำเป็น และการชั่งน้ำหนัก
- ข้อมูลอ่อนไหวตามมาตรา 26 ใช้ฐานนี้ไม่ได้
- เจ้าของข้อมูลคัดค้านได้ตามมาตรา 32 ต้องมีช่องทางรองรับ
- บันทึก LIA ควรทบทวนอย่างน้อยปีละครั้ง
ทำตามนี้ 6 ขั้นตอน
ทำตามลำดับ 6 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- เขียนวัตถุประสงค์ให้ชัดระบุว่าใช้ข้อมูลเพื่ออะไร ใครได้ประโยชน์ และประโยชน์นั้นชอบด้วยกฎหมายหรือไม่
- ทดสอบความจำเป็นถามว่ามีวิธีที่ใช้ข้อมูลน้อยกว่าหรือกระทบน้อยกว่าหรือไม่ ถ้ามี ต้องใช้วิธีนั้นก่อน
- ชั่งน้ำหนักกับเจ้าของข้อมูลดูว่าเจ้าของข้อมูลคาดหมายได้หรือไม่ ผลกระทบรุนแรงแค่ไหน และมีกลุ่มเปราะบางหรือข้อมูลอ่อนไหวหรือไม่
- กำหนดมาตรการลดผลกระทบเช่น ให้ยกเลิกรับได้ง่าย จำกัดระยะเก็บ หรือแยกข้อมูลที่ระบุตัวบุคคลออก
- สรุปผลและอนุมัติบันทึกผลการตัดสิน เหตุผล และผู้อนุมัติ ถ้าตัดสินต่างจากผลการชั่งน้ำหนักต้องเขียนเหตุผลไว้
- ทบทวนเป็นรอบตั้งวันทบทวนทุก 12 เดือน หรือเร็วกว่านั้นเมื่อกิจกรรมเปลี่ยน
ฐานประโยชน์โดยชอบด้วยกฎหมายเหมาะกับกิจกรรมแบบไหน?
มักใช้กับกิจกรรมที่เจ้าของข้อมูลคาดหมายได้และกระทบน้อย เช่น การรักษาความปลอดภัยของระบบ การป้องกันการทุจริต หรือการติดต่อลูกค้าเดิมเรื่องสินค้าใกล้เคียง
ถ้ากิจกรรมนั้นทำให้เจ้าของข้อมูลประหลาดใจหรือเสียประโยชน์ชัดเจน ควรพิจารณาฐานอื่น เช่น ความยินยอม
ทำไมข้อมูลอ่อนไหวใช้ฐานนี้ไม่ได้?
ข้อมูลอ่อนไหวตามมาตรา 26 เช่น ข้อมูลสุขภาพ ข้อมูลชีวภาพ หรือประวัติอาชญากรรม ต้องได้ความยินยอมโดยชัดแจ้ง หรือเข้าข้อยกเว้นเฉพาะในมาตรานั้น ฐานประโยชน์โดยชอบด้วยกฎหมายไม่อยู่ในรายการ
ผู้ตรวจอยากเห็นอะไรในบันทึก LIA?
เหตุผลทั้งสามส่วนที่เขียนเป็นลายลักษณ์อักษร วันที่ประเมิน ผู้อนุมัติ และวันทบทวนครั้งถัดไป
ถ้ามีการตัดสินที่ต่างจากผลการชั่งน้ำหนัก ผู้ตรวจจะถามหาเหตุผลก่อนเสมอ
- วัตถุประสงค์และผู้ได้ประโยชน์
- ทางเลือกที่กระทบน้อยกว่าที่พิจารณาแล้ว
- ผลกระทบและมาตรการลด
- ผู้อนุมัติและวันทบทวน
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ อ้างฐานประโยชน์โดยชอบด้วยกฎหมายในทะเบียน แต่ไม่มีบันทึกการชั่งน้ำหนัก | ✓ ทำ LIA ย้อนหลังทีละกิจกรรม เริ่มจากกิจกรรมที่มีลูกค้าจำนวนมากหรือเกี่ยวกับการตลาด |
| ✗ ใช้ฐานนี้กับข้อมูลสุขภาพหรือข้อมูลชีวภาพ | ✓ เปลี่ยนเป็นความยินยอมโดยชัดแจ้งหรือข้อยกเว้นในมาตรา 26 และแก้ทะเบียนให้ตรง |
| ✗ ไม่มีช่องทางให้คัดค้าน | ✓ เพิ่มช่องทางคัดค้านในประกาศความเป็นส่วนตัวและหน้ารับคำขอใช้สิทธิ |
ทำ LIA ทีละขั้นจากทะเบียนเดิม
AIPDPA พาทำ LIA สามส่วน เติมคำตอบตั้งต้นจากทะเบียนกิจกรรมให้ ถ้าตัดสินต่างจากผลที่ระบบแนะนำต้องเขียนเหตุผล และได้บันทึกที่มีเลขที่พร้อมวันทบทวน
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
LIA ต้องทำทุกกิจกรรมหรือไม่?
ควรทำทุกกิจกรรมที่อ้างฐานประโยชน์โดยชอบด้วยกฎหมาย เพราะเป็นหลักฐานเดียวที่แสดงว่าบริษัทชั่งน้ำหนักแล้ว
LIA ต่างจาก DPIA อย่างไร?
LIA ตอบว่าใช้ฐานนี้ได้หรือไม่ DPIA ประเมินความเสี่ยงของกิจกรรมที่อาจกระทบเจ้าของข้อมูลสูง กิจกรรมเดียวอาจต้องทำทั้งสองอย่าง
ใช้ฐานนี้ส่งการตลาดได้หรือไม่?
บางกรณีได้ เช่น ลูกค้าเดิมกับสินค้าใกล้เคียง แต่ต้องให้ยกเลิกรับได้ง่าย และถ้าลูกค้าคัดค้านต้องหยุดส่ง
ต้องทบทวน LIA บ่อยแค่ไหน?
อย่างน้อยปีละครั้ง และทุกครั้งที่วัตถุประสงค์ ข้อมูล หรือผู้รับข้อมูลเปลี่ยน
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 3 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 24 (5) — ฐานประโยชน์โดยชอบด้วยกฎหมาย เว้นแต่ประโยชน์นั้นสำคัญน้อยกว่าสิทธิขั้นพื้นฐานของเจ้าของข้อมูล
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 32 — สิทธิคัดค้านการเก็บ ใช้ หรือเปิดเผยข้อมูล
- แนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคล (TDPG 4.0) — การประเมินประโยชน์โดยชอบด้วยกฎหมาย
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
พาทำ 3 ส่วน วัตถุประสงค์ ความจำเป็น การชั่งน้ำหนัก เติมคำตอบจากทะเบียนให้ ได้บันทึก LIA มีเลขที่และอายุ 12 เดือน
สมัครใช้งาน →ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
สมัครใช้งาน →แบบประเมิน ทะเบียนความเสี่ยง และการอนุมัติในที่เดียว พิมพ์รายงานได้ทันที
สมัครใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →คอร์สเสริมทักษะ PDPA, DPO และธรรมาภิบาล AI พร้อม Digital Product ชุดเครื่องมือพร้อมใช้
ดูคอร์สและสินค้า →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ