จัดการข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ประวัติอาชญากรรม ตามมาตรา 26 อย่างไร ข้อมูลอ่อนไหวตามมาตรา 26 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คือข้อมูลที่ต้องระวังเป็นพิเศษ เช่น ข้อมูลสุขภาพ ความพิการ ประวัติอาชญากรรม ข้อมูลชีวภาพอย่างลายนิ้วมือหรือภาพจำลองใบหน้า ศาสนา และเชื้อชาติ ซึ่งห้ามเก็บรวบรวมโดยไม่ได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นในมาตรา 26 ส่วนประวัติอาชญากรรมต้องเก็บภายใต้การควบคุมของหน่วยงานที่มีอำนาจตามกฎหมาย หรือมีมาตรการคุ้มครองตามประกาศคณะกรรมการ พ.ศ. 2566
บริษัทรักษาความปลอดภัยแห่งหนึ่งให้ผู้สมัครทุกตำแหน่ง รวมถึงพนักงานบัญชี แนบผลตรวจประวัติอาชญากรรม แล้วเก็บสำเนาไว้ในตู้เอกสารที่ใครก็เปิดได้ ไม่กี่เดือนต่อมา บริษัทติดตั้งเครื่องสแกนลายนิ้วมือลงเวลาเข้างาน โดยไม่มีใครถามพนักงานสักคำ
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- มาตรา 26 ระบุประเภทข้อมูลอ่อนไหวไว้ชัด และให้คณะกรรมการประกาศกำหนดข้อมูลอื่นที่กระทบในทำนองเดียวกันเพิ่มได้
- เก็บข้อมูลอ่อนไหวได้เมื่อได้รับความยินยอมโดยชัดแจ้ง หรือเข้าข้อยกเว้นในมาตรา 26 (1) ถึง (5) เท่านั้น
- ข้อมูลชีวภาพ คือข้อมูลที่ใช้ลักษณะเด่นทางกายภาพหรือพฤติกรรมยืนยันตัวตน เช่น ภาพจำลองใบหน้า ม่านตา หรือลายนิ้วมือ
- เก็บประวัติอาชญากรรมนอกการควบคุมของหน่วยงานรัฐ ทำได้เฉพาะเมื่อกฎหมายกำหนดให้ตรวจสอบ หรือได้ความยินยอมโดยชัดแจ้ง และเพื่อวัตถุประสงค์ที่ประกาศกำหนด
- ประกาศเรื่องประวัติอาชญากรรม พ.ศ. 2566 ใช้บังคับแล้วตั้งแต่ 8 เมษายน 2567
ทำตามนี้ 7 ขั้นตอน
ทำตามลำดับ 7 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ค้นหาว่าข้อมูลอ่อนไหวอยู่ที่ไหนไล่ดูแบบฟอร์มสมัครงาน ใบรับรองแพทย์ ระบบลงเวลา ระบบกล้อง และฐานข้อมูลลูกค้า แล้วติดธงกิจกรรมที่มีข้อมูลอ่อนไหวไว้ในบันทึกรายการกิจกรรมการประมวลผล (RoPA)
- เลือกทาง: ความยินยอมโดยชัดแจ้งหรือข้อยกเว้นตรวจทีละกิจกรรมว่าเข้าข้อยกเว้นในมาตรา 26 (1) ถึง (5) หรือไม่ ถ้าไม่เข้า ต้องได้ความยินยอมโดยชัดแจ้งก่อนเก็บ
- ทำแบบขอความยินยอมเฉพาะเรื่องแยกคำขอสำหรับข้อมูลอ่อนไหวออกจากเรื่องอื่น ระบุประเภทข้อมูลและวัตถุประสงค์ให้ชัด แนวปฏิบัติที่ดีคือมีทางเลือกให้คนที่ไม่ยินยอม เช่น บัตรพนักงานแทนลายนิ้วมือ
- ตรวจเงื่อนไขก่อนขอประวัติอาชญากรรมขอได้เฉพาะเมื่อกฎหมายกำหนดให้ตรวจสอบ หรือได้ความยินยอมโดยชัดแจ้ง เพื่อวัตถุประสงค์ตามข้อ 5 ของประกาศ เช่น พิจารณารับเข้าทำงานหรือความเหมาะสมกับตำแหน่ง ถ้าข้อมูลนี้สำคัญอย่างยิ่งและจำเป็น ต้องแจ้งความจำเป็นตั้งแต่ประกาศรับสมัคร
- แจ้งผลของการไม่ยินยอมเมื่อขอความยินยอมเก็บประวัติอาชญากรรม ต้องแจ้งผลกระทบของการไม่ให้ความยินยอมหรือการถอนความยินยอมไปพร้อมกัน ตามข้อ 6 ของประกาศ
- วางมาตรการคุ้มครองข้อ 7 ของประกาศให้มีมาตรการเชิงองค์กรและเชิงเทคนิคที่เหมาะสม และมาตรการทางกายภาพที่จำเป็น เพื่อให้ใช้ประวัติอาชญากรรมเท่าที่จำเป็น สำหรับข้อมูลอ่อนไหวทุกประเภท แนวปฏิบัติที่ดีคือจำกัดคนเข้าถึงและแยกเก็บจากแฟ้มทั่วไป
- ประเมินความเสี่ยงก่อนเริ่มแนวปฏิบัติที่ดีคือทำการประเมินผลกระทบด้านข้อมูลส่วนบุคคล (DPIA) ก่อนใช้ข้อมูลอ่อนไหวจำนวนมาก หรือก่อนนำเทคโนโลยีใหม่อย่างระบบจดจำใบหน้ามาใช้
ข้อมูลอ่อนไหวตาม PDPA มีอะไรบ้าง?
มาตรา 26 ห้ามเก็บรวบรวมข้อมูลต่อไปนี้โดยไม่ได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้น และให้คณะกรรมการประกาศกำหนดข้อมูลอื่นที่กระทบเจ้าของข้อมูลในทำนองเดียวกันเพิ่มได้
- เชื้อชาติ เผ่าพันธุ์ และความคิดเห็นทางการเมือง
- ความเชื่อในลัทธิ ศาสนา หรือปรัชญา
- พฤติกรรมทางเพศ
- ประวัติอาชญากรรม
- ข้อมูลสุขภาพ และความพิการ
- ข้อมูลสหภาพแรงงาน
- ข้อมูลพันธุกรรม และข้อมูลชีวภาพ
ไม่มีความยินยอม จะเก็บข้อมูลอ่อนไหวได้ในกรณีใด?
ได้เฉพาะเมื่อเข้าข้อยกเว้นในมาตรา 26 (1) ถึง (5) ซึ่งเป็นรายการแยกจากฐานในมาตรา 24 และหลายข้อกำหนดให้ต้องมีมาตรการคุ้มครองที่เหมาะสม
- ป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ เมื่อเจ้าของข้อมูลให้ความยินยอมไม่ได้ ไม่ว่าด้วยเหตุใด
- กิจกรรมโดยชอบของมูลนิธิ สมาคม หรือองค์กรไม่แสวงหากำไรด้านการเมือง ศาสนา ปรัชญา หรือสหภาพแรงงาน ต่อสมาชิก อดีตสมาชิก หรือผู้ติดต่อสม่ำเสมอ โดยไม่เปิดเผยออกภายนอก
- ข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูล
- จำเป็นเพื่อก่อตั้ง ปฏิบัติตาม ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
- จำเป็นในการปฏิบัติตามกฎหมายเพื่อวัตถุประสงค์ที่กำหนด เช่น อาชีวเวชศาสตร์และการประเมินความสามารถในการทำงานของลูกจ้าง การสาธารณสุข การคุ้มครองแรงงานและประกันสังคม งานวิจัย หรือประโยชน์สาธารณะที่สำคัญ
เก็บประวัติอาชญากรรมของผู้สมัครงานได้ไหม?
ได้ในกรณีที่ประกาศกำหนด ถ้าไม่ได้เก็บภายใต้การควบคุมของหน่วยงานที่มีอำนาจตามกฎหมาย ต้องทำตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่องประวัติอาชญากรรม พ.ศ. 2566 ซึ่งลงราชกิจจานุเบกษาเมื่อ 8 มกราคม 2567 และใช้บังคับเมื่อพ้น 90 วัน คือตั้งแต่ 8 เมษายน 2567
ข้อ 5 ของประกาศให้เก็บได้เฉพาะเมื่อกฎหมายกำหนดให้ตรวจสอบประวัติอาชญากรรมหรือลักษณะต้องห้าม หรือได้ความยินยอมโดยชัดแจ้ง และต้องเป็นไปเพื่อวัตถุประสงค์ที่ระบุ เช่น การพิจารณารับเข้าทำงาน หรือพิจารณาความเหมาะสมของบุคคลที่จะดำรงตำแหน่ง
ประกาศนิยามประวัติอาชญากรรมว่าเป็นข้อมูลเกี่ยวกับการสืบสวนสอบสวน การดำเนินคดีอาญา หรือการรับโทษทางอาญา ที่เป็นทางการหรือรับรองโดยหน่วยงานรัฐที่มีอำนาจ ไม่ว่าคดีจะถึงที่สุดแล้วหรือไม่
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ ขอผลตรวจประวัติอาชญากรรมจากผู้สมัครทุกตำแหน่ง โดยไม่บอกเหตุผลล่วงหน้า | ✓ ตรวจเงื่อนไขตามข้อ 5 ของประกาศก่อน ถ้าจำเป็นอย่างยิ่ง ให้แจ้งความจำเป็นตั้งแต่ประกาศรับสมัคร และแจ้งผลของการไม่ยินยอมตามข้อ 6 คลังเอกสารพร้อมใช้ของ AIPDPA มีแบบฟอร์มขอความยินยอมไทยและอังกฤษที่ข้อสัญญาผ่านการตรวจโดยทนายความ เอกสารพร้อมใช้ทันที |
| ✗ ติดตั้งเครื่องสแกนลายนิ้วมือหรือระบบจดจำใบหน้าโดยไม่ถามพนักงาน | ✓ ลายนิ้วมือและภาพจำลองใบหน้าเป็นข้อมูลชีวภาพตามมาตรา 26 ถ้าไม่เข้าข้อยกเว้น ต้องได้ความยินยอมโดยชัดแจ้ง ประเมินความเสี่ยงก่อนติดตั้งด้วยพื้นที่ทำงาน DPIA ของ AIPDPA ซึ่งมีแบบสอบถาม ทะเบียนความเสี่ยง และการลงนามรับรอง |
| ✗ เก็บใบรับรองแพทย์และผลตรวจประวัติไว้ในแฟ้มรวมที่ใครก็เปิดได้ | ✓ แยกเก็บ จำกัดสิทธิ์เข้าถึง และบันทึกว่าใครเปิดดู ระบบมาตรการความปลอดภัยของ AIPDPA จับคู่มาตรการกับแนวทางของ สคส. กรอบของ ETDA และมาตรฐานของ NCSA ให้เห็นว่ายังขาดอะไร |
รู้ทันทีว่ากิจกรรมไหนแตะข้อมูลอ่อนไหว
ทะเบียน RoPA ของ AIPDPA ติดธงกิจกรรมที่มีข้อมูลอ่อนไหว มีตัวช่วยเลือกฐานที่อ้างมาตรา 24 และ 26 และคัดกรองว่ากิจกรรมใดควรทำ DPIA ทั้งหมดในระบบเดียว ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ข้อมูลอ่อนไหวตาม PDPA มีอะไรบ้าง?
มาตรา 26 ระบุเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม และข้อมูลชีวภาพ และคณะกรรมการประกาศกำหนดเพิ่มได้
ใช้เครื่องสแกนลายนิ้วมือลงเวลาเข้างาน ต้องขอความยินยอมไหม?
ลายนิ้วมือเป็นข้อมูลชีวภาพตามมาตรา 26 ถ้าไม่เข้าข้อยกเว้นในมาตรานั้น ต้องได้ความยินยอมโดยชัดแจ้งก่อนเก็บ แนวปฏิบัติที่ดีคือมีวิธีลงเวลาอื่นให้คนที่ไม่ยินยอม
ขอใบตรวจประวัติอาชญากรรมจากผู้สมัครงานได้ไหม?
ได้ ถ้ากฎหมายกำหนดให้ตรวจสอบ หรือได้ความยินยอมโดยชัดแจ้ง เพื่อพิจารณารับเข้าทำงานหรือความเหมาะสมกับตำแหน่ง ตามข้อ 5 ของประกาศ พ.ศ. 2566 และต้องแจ้งผลของการไม่ยินยอมด้วย
ผลตรวจสุขภาพประจำปีของพนักงานใช้ฐานอะไร?
ถ้าจำเป็นในการปฏิบัติตามกฎหมายเพื่ออาชีวเวชศาสตร์หรือการประเมินความสามารถในการทำงานของลูกจ้าง อาจเข้าข้อยกเว้นตามมาตรา 26 (5) (ก) ถ้าไม่เข้า ต้องได้ความยินยอมโดยชัดแจ้ง แนวปฏิบัติที่ดีคือจำกัดคนที่เข้าถึงผลตรวจ
ประกาศเรื่องประวัติอาชญากรรมมีผลเมื่อไร?
ประกาศลงราชกิจจานุเบกษาเมื่อ 8 มกราคม 2567 และใช้บังคับเมื่อพ้น 90 วันนับแต่วันประกาศ จึงมีผลตั้งแต่ 8 เมษายน 2567
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 2 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 26
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566 ข้อ 3 และข้อ 5–7
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
ทะเบียนเติมจากโครงสร้างองค์กรให้เอง เลือกฐานกฎหมายพร้อมมาตรา แล้วพิมพ์รายงานตามมาตรา 39 ได้ทันที
ลงชื่อรอเปิดใช้งาน →แบบประเมิน ทะเบียนความเสี่ยง และการอนุมัติในที่เดียว พิมพ์รายงานได้ทันที
ลงชื่อรอเปิดใช้งาน →เอกสารพร้อมใช้ 40 แบบ ไทย/อังกฤษ ยืนยันข้อสัญญาที่ AI เขียนเพิ่มครบ 88 ข้อ กรอกจากทะเบียนให้เอง และมี QR ยืนยันฉบับที่อนุมัติ
ลงชื่อรอเปิดใช้งาน →ข้อกำหนดจาก สคส. ETDA และ NCSA ในที่เดียว ทำหนึ่งครั้งได้หลักฐานหลายมาตรฐาน
ลงชื่อรอเปิดใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ