ขอความยินยอมให้ถูกต้องตามมาตรา 19 PDPA ต้องทำอย่างไร ความยินยอมที่ใช้ได้ตามมาตรา 19 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คือความยินยอมที่ขอก่อนหรือขณะเก็บข้อมูล ทำโดยชัดแจ้งเป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ แจ้งวัตถุประสงค์ แยกจากข้อความอื่นอย่างชัดเจน ใช้ภาษาอ่านง่าย ไม่ผูกบริการกับความยินยอมที่ไม่จำเป็น และต้องถอนได้ง่ายเท่ากับตอนให้ ความยินยอมที่ขอไม่ตรงตามนี้ไม่ผูกพันเจ้าของข้อมูล
ร้านเครื่องสำอางออนไลน์ทำหน้าสมัครสมาชิกที่มีช่องติ๊กเดียว เขียนว่า “ยอมรับเงื่อนไข นโยบายความเป็นส่วนตัว และการรับข่าวสารการตลาด” ลูกค้าที่ไม่อยากได้โฆษณาจึงสมัครไม่ได้ ส่วนคนที่อยากเลิกรับ ต้องอีเมลหาฝ่ายบริการลูกค้าแล้วรอหลายวัน
สรุปสิ่งที่ต้องรู้
6 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- ขอความยินยอมก่อนหรือขณะเก็บข้อมูล โดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์
- คำขอความยินยอมต้องแยกจากข้อความอื่น อ่านง่าย และไม่หลอกให้เข้าใจผิดในวัตถุประสงค์
- ห้ามตั้งเงื่อนไขให้ยินยอมในข้อมูลที่ไม่จำเป็นหรือไม่เกี่ยวกับสัญญาหรือบริการนั้น
- เจ้าของข้อมูลถอนความยินยอมเมื่อใดก็ได้ และต้องถอนได้ง่ายเท่ากับตอนให้
- ผู้เยาว์อายุไม่เกิน 10 ปี ต้องขอความยินยอมจากผู้ใช้อำนาจปกครอง (มาตรา 20)
- ความยินยอมที่ขอไม่ถูกต้อง ไม่ผูกพันเจ้าของข้อมูล และใช้เป็นเหตุให้เก็บ ใช้ หรือเปิดเผยข้อมูลไม่ได้
ทำตามนี้ 8 ขั้นตอน
ทำตามลำดับ 8 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ตรวจว่าต้องขอความยินยอมจริงไหมมาตรา 19 ยกเว้นกรณีที่ พ.ร.บ. นี้หรือกฎหมายอื่นให้ทำได้โดยไม่ต้องขอ ถ้ากิจกรรมมีฐานอื่นรองรับ แนวปฏิบัติที่ดีคือไม่ขอความยินยอมซ้อน เพราะจะทำให้เจ้าของข้อมูลเข้าใจว่าปฏิเสธได้
- แยกคำขอออกจากข้อความอื่นวางข้อความขอความยินยอมแยกจากข้อกำหนดการใช้บริการอย่างชัดเจน แนวปฏิบัติที่ดีคือหนึ่งช่องต่อหนึ่งวัตถุประสงค์ เช่น แยกการตลาดออกจากการส่งข้อมูลให้พันธมิตร
- เขียนวัตถุประสงค์ด้วยภาษาง่ายบอกให้ชัดว่าจะเก็บ ใช้ หรือเปิดเผยข้อมูลเพื่ออะไร ใช้ถ้อยคำที่คนทั่วไปเข้าใจ และไม่ทำให้เข้าใจผิดในวัตถุประสงค์
- ให้เจ้าของข้อมูลแสดงเจตนาเองขอเป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ แนวปฏิบัติที่ดีคือใช้ช่องว่างให้ผู้ใช้ติ๊กเอง ไม่ติ๊กไว้ล่วงหน้า เพื่อให้พิสูจน์ได้ว่าความยินยอมทำโดยชัดแจ้ง
- ไม่ผูกบริการกับความยินยอมที่ไม่จำเป็นถ้าข้อมูลนั้นไม่จำเป็นหรือไม่เกี่ยวกับการเข้าทำสัญญาหรือให้บริการ ลูกค้าต้องใช้บริการได้แม้ไม่ยินยอม
- ทำช่องทางถอนความยินยอมให้ถอนได้ง่ายเท่ากับตอนให้ เช่น ให้ด้วยการคลิกก็ถอนด้วยการคลิก ถ้าการถอนกระทบเจ้าของข้อมูล ต้องแจ้งผลกระทบนั้นให้ทราบ
- ตรวจอายุและความสามารถถ้าเจ้าของข้อมูลเป็นผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ ให้ขอจากผู้ใช้อำนาจปกครอง ผู้อนุบาล หรือผู้พิทักษ์ตามมาตรา 20
- เก็บหลักฐานบันทึกว่าใครยินยอม เมื่อไร ต่อวัตถุประสงค์ใด ผ่านข้อความฉบับไหน และถอนเมื่อไร เป็นแนวปฏิบัติที่ทำให้ตอบผู้ตรวจสอบได้ทันที
ความยินยอมที่ถูกต้องตาม PDPA ต้องมีลักษณะอย่างไร?
ต้องทำโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ แจ้งวัตถุประสงค์ และแยกจากข้อความอื่นอย่างชัดเจน ตามมาตรา 19 วรรคสองและวรรคสาม ใช้วิธีอื่นได้เฉพาะเมื่อโดยสภาพไม่อาจขอด้วยวิธีดังกล่าว
- ขอก่อนหรือในขณะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
- แจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยไปพร้อมกัน
- มีแบบหรือข้อความที่เข้าถึงง่าย เข้าใจได้ และใช้ภาษาอ่านง่าย
- ไม่หลอกลวงหรือทำให้เข้าใจผิดในวัตถุประสงค์
- คณะกรรมการอาจประกาศกำหนดแบบและข้อความที่ต้องใช้ได้
บังคับให้ยินยอมก่อนสมัครใช้บริการได้ไหม?
ไม่ได้ ถ้าข้อมูลนั้นไม่จำเป็นหรือไม่เกี่ยวข้องกับการเข้าทำสัญญาหรือการให้บริการ มาตรา 19 วรรคสี่ให้ผู้ควบคุมข้อมูลคำนึงอย่างถึงที่สุดถึงความเป็นอิสระของเจ้าของข้อมูลในการให้ความยินยอม
กรณีที่พบบ่อยคือบังคับให้ยินยอมรับข่าวสารการตลาดก่อนสมัครสมาชิก ทางแก้คือแยกช่องการตลาดออกมาเป็นทางเลือก ลูกค้าที่ไม่ติ๊กยังต้องสมัครได้ตามปกติ
ขอความยินยอมจากเด็กต้องทำอย่างไร?
มาตรา 20 กำหนดว่า ผู้เยาว์อายุไม่เกิน 10 ปี ต้องขอความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ ส่วนผู้เยาว์ที่อายุเกินกว่านั้น ถ้าการให้ความยินยอมไม่ใช่การที่ทำได้โดยลำพังตามมาตรา 22 23 หรือ 24 แห่งประมวลกฎหมายแพ่งและพาณิชย์ ต้องได้ความยินยอมจากผู้ใช้อำนาจปกครองด้วย
หลักเดียวกันใช้กับคนไร้ความสามารถ ซึ่งต้องขอจากผู้อนุบาล และคนเสมือนไร้ความสามารถ ซึ่งต้องขอจากผู้พิทักษ์ และใช้กับการถอนความยินยอม การแจ้ง การใช้สิทธิ และการร้องเรียนตาม พ.ร.บ. นี้ด้วย
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 4 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ ช่องติ๊กเดียวรวมเงื่อนไขบริการ นโยบาย และการตลาดไว้ด้วยกัน | ✓ แยกคำขอความยินยอมตามวัตถุประสงค์ และให้บริการได้แม้ลูกค้าไม่ยินยอมเรื่องที่ไม่จำเป็น คลังเอกสารพร้อมใช้ของ AIPDPA มีแบบฟอร์มขอความยินยอมไทยและอังกฤษที่ข้อสัญญาผ่านการตรวจโดยทนายความ เอกสารพร้อมใช้ทันที |
| ✗ ให้ความยินยอมด้วยคลิกเดียว แต่ถอนต้องส่งอีเมลหรือโทรหาบริษัท | ✓ มาตรา 19 ให้ถอนได้ง่ายเท่ากับตอนให้ ใช้ช่องทางเดียวกับตอนให้ บนเว็บไซต์ คุกกี้แบนเนอร์ของ AIPDPA มีปุ่มยอมรับและปฏิเสธน้ำหนักเท่ากัน และเก็บบันทึกหลักฐานความยินยอมโดยไม่เก็บ IP |
| ✗ ไม่มีใครบอกได้ว่ากิจกรรมไหนอาศัยความยินยอม และหลักฐานเก็บไว้ที่ใด | ✓ ทำทะเบียนกิจกรรมที่อาศัยความยินยอมพร้อมที่เก็บหลักฐาน ทะเบียนความยินยอมของ AIPDPA รวมสองเรื่องนี้ไว้ในที่เดียว ให้ผู้ตรวจสอบเห็นได้ในไม่กี่นาที |
| ✗ ให้เด็กกดยินยอมเองในแอปหรือกิจกรรมโรงเรียน | ✓ ตรวจอายุก่อน ถ้าอายุไม่เกิน 10 ปี ต้องขอจากผู้ใช้อำนาจปกครอง และถ้าอายุเกินแต่ไม่ใช่การที่ผู้เยาว์ทำได้โดยลำพัง ต้องได้ความยินยอมจากผู้ใช้อำนาจปกครองด้วย ตามมาตรา 20 |
รู้ทันทีว่ากิจกรรมไหนใช้ความยินยอม และหลักฐานอยู่ที่ไหน
ทะเบียนความยินยอมของ AIPDPA รวมกิจกรรมที่อาศัยความยินยอมและที่เก็บหลักฐานไว้ในที่เดียว ใช้คู่กับแบบฟอร์มขอความยินยอมไทย-อังกฤษที่ข้อสัญญาตรวจโดยทนายความ ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในทุกแพ็กเกจ เริ่มต้น 2,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ขอความยินยอมด้วยวาจาได้ไหม?
มาตรา 19 ให้ขอเป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ ใช้วิธีอื่นได้เฉพาะเมื่อโดยสภาพไม่อาจขอด้วยวิธีดังกล่าว ถ้าจำเป็นต้องขอด้วยวาจา แนวปฏิบัติที่ดีคือบันทึกเหตุผลและหลักฐานไว้
ลูกค้าถอนความยินยอมแล้ว ข้อมูลที่ใช้ไปก่อนหน้านั้นผิดกฎหมายไหม?
ไม่ผิด การถอนความยินยอมไม่กระทบการเก็บรวบรวม ใช้ หรือเปิดเผยที่ทำไปแล้วโดยชอบ แต่ถ้าการถอนส่งผลกระทบต่อเจ้าของข้อมูล ผู้ควบคุมข้อมูลต้องแจ้งผลกระทบนั้นให้ทราบ
บังคับให้ลูกค้ายินยอมรับโปรโมชันก่อนสมัครสมาชิกได้ไหม?
ไม่ได้ ถ้าการรับโปรโมชันไม่จำเป็นต่อการให้บริการ มาตรา 19 ห้ามตั้งเงื่อนไขให้ยินยอมในข้อมูลที่ไม่จำเป็นหรือไม่เกี่ยวข้องกับสัญญาหรือบริการนั้น
เด็กอายุ 12 ปีให้ความยินยอมเองได้ไหม?
ขึ้นกับว่าการให้ความยินยอมนั้นเป็นการที่ผู้เยาว์ทำได้โดยลำพังตามมาตรา 22 ถึง 24 แห่งประมวลกฎหมายแพ่งและพาณิชย์หรือไม่ ถ้าไม่ใช่ ต้องได้ความยินยอมจากผู้ใช้อำนาจปกครองด้วย ตามมาตรา 20
ขอความยินยอมไม่ถูกต้องตามมาตรา 19 มีผลอย่างไร?
ความยินยอมนั้นไม่ผูกพันเจ้าของข้อมูล และไม่ทำให้ผู้ควบคุมข้อมูลเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลได้ เท่ากับกิจกรรมนั้นไม่มีความยินยอมรองรับ
ทุกกิจกรรมต้องขอความยินยอมไหม?
ไม่ มาตรา 19 วรรคหนึ่งยกเว้นกรณีที่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลหรือกฎหมายอื่นให้ทำได้ ควรตรวจฐานทางกฎหมายอื่นก่อน แล้วขอความยินยอมเฉพาะเมื่อไม่มีฐานใดรองรับ
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 2 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 20
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
รู้ทันทีว่ากิจกรรมไหนอ้างความยินยอม หลักฐานอยู่ที่ไหน และใครถอนแล้ว
ลงชื่อรอเปิดใช้งาน →เอกสารพร้อมใช้ 40 แบบ ไทย/อังกฤษ ยืนยันข้อสัญญาที่ AI เขียนเพิ่มครบ 88 ข้อ กรอกจากทะเบียนให้เอง และมี QR ยืนยันฉบับที่อนุมัติ
ลงชื่อรอเปิดใช้งาน →แบนเนอร์ปุ่มยอมรับ/ปฏิเสธเท่ากัน 10 สกิน ไทย/อังกฤษ เก็บหลักฐานโดยไม่เก็บ IP และสร้างหน้านโยบายคุกกี้ให้อัตโนมัติ
ลงชื่อรอเปิดใช้งาน →ทีมทนายความตรวจความพร้อมและวางระบบ PDPA ให้ครบ เหมาะกับ SME ที่ไม่มีเวลาทำเอง
ดูบริการ →คอร์สเสริมทักษะ PDPA, DPO และธรรมาภิบาล AI พร้อม Digital Product ชุดเครื่องมือพร้อมใช้
ดูคอร์สและสินค้า →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ