ประวัติความเป็นมา

โดยมีหลักการสำคัญจากเรื่องความปลอดภัยของข้อมูลของเจ้าของข้อมูลส่วนบุคคลหรือผู้บริโภคว่า หากผู้ควบคุมข้อมูล (CONTROLLER) ต้องการถ่ายโอนข้อมูลในประเทศตนออกนอกดินแดนผู้ที่ถ่ายโอนต่อมานั้น ต้องให้ความรับรองว่า ข้อมูลดังกล่าวจะต้องมีระดับความคุ้มครองที่เพียงพอ เทียบเท่ากับการรักษาความปลอดภัยของการจัดเก็บข้อมูลในประเทศตน

ทำให้ประเทศไทยนั้นได้เร่งประกาศพระราชกฤษฎีกา เพื่อบังคับใช้เมื่อวันที่ 27 พ.ค. 62 ซึ่งในส่วนของสำนักงานและคณะกรรมการมีผลบังคับใช้ทันที และในส่วนของสิทธิและหน้าที่ต่างๆ มีผลบังคับใช้เมื่อพ้นกำหนดหนึ่งปีนับแต่วันประกาศ และเมื่อวันที่ 1 มิ.ย. 62 พรบ.ข้อมูลส่วนบุคคล จะมีผลบังคับใช้สมบูรณ์ โดยจะมีกฎหมายลำดับรองออกขึ้นภายหลังเพื่อประกอบตัว พรบ.ข้อมูลส่วนบุคคล ตามมา เช่น มีคณะกรรมการกำกับดูแล การปฎิบัติหน้าที่และมีบทบาทในการคุ้มครองข้อมูลส่วนบบุคคล เช่นเดียวกับ พรบ.ผู้บริโภค คือ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล, สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ความหมายของข้อมูลส่วนบุคคลโดยทั่วไป

ตาม มาตรา 6 พรบ.ข้อมูลส่วนบุคคล ได้ให้ความหมายข้อมูลส่วนบุคคลไว้ว่า หมายถึง ข้อมูลใดๆที่ระบุไปถึง เจ้าของข้อมูล ได้ไม่ว่าทางตรงหรือทางอ้อม โดยไม่รวมถึงข้อมูลของผู้ที่ถึงแก่กรรม เช่น ชื่อ-นามสกุล เลขบัตรประชาชนสิบสามหลัก ที่สามารถระบุตัวตนของบุคคลได้อย่างชัดเจนว่าคือผู้ใด หรือ ข้อมูลที่มิได้สามารถระบุตัวตนได้โดยตรง แต่หากประกอบกับข้อมูลอื่น อาจสามารถทำให้ระบุตัวบุคคลของผู้หนึ่งผู้ใดได้ เช่น หมายเลขโทรศัพท์ส่วนตีวที่ประกอบกับหมายเลขไปรษณีย์ของบุคคล หรือ หมายเลข IP Adress โดยผู้ควบคุมข้อมูล สามารถใช้ข้อมูลเหล่านี้มาใช้วิเคราะห์ จัดเก็บ รวบรวม เผยแพร่ เพื่อบรรลุวัตถุประสงค์บางอย่าง เช่น การใช้ในเชิงการตลาด, ทางการเมือง ซึ่งถือเป็นสินทรัพย์ที่มีมูลค่า สามารถคาดการณ์พฤติกรรมของผู้ใช้งานได้ (BIG DATA) ดังนั้น พรบ.ข้อมูลส่วนบุคคล จึงจำต้องเกิดบทบัญญัติขึ้นมาเพื่อควบคุม

โดยผู้ควบคุมข้อมูลส่วนบุคคล (CONTROLLER) ตามที่ได้กล่าวมาในข้างตั้นนั้นมักคือ ผู้ประกอบธุรกิจ ซึ่ง พรบ.ข้อมูลส่วนบุคคล ได้ให้การคุ้มครองแก่เจ้าของข้อมูลส่วนบุคคลที่เข้าใช้บริการทางอิเล็กทรอนิคซ์ คือ ผู้บริโภค ผู้ใช้บริการ ไว้หลายประการโดยมีฐานทางกฎหมายรับรอง และมีคณะกรรมการเฉพาะเกิดขึ้น ซึ่งขอแยกออกเป็นประเด็น ดังต่อไปนี้

ความจำเป็นกับการคุ้มครองสิทธิของผู้บริโภค

1. จากหลักการที่เชื่อว่ายิ่งข้อมูลไหลเวียนในสังคมอย่างมากและอิสระนั้นเป็นการดี นำไปสู่การตัดสินใจที่ดียิ่งขึ้น เช่น ระบบอัลกอรึทึ่มของ FACEBOOK แต่อย่างไรก็ดี การไหลเวียนข้อมูลที่มากนั้นอาจส่งผลกระทบ หรือ มีความเสี่ยงในการก่อความเดือดร้อนรำคาญ ของบุคคลใดบุคคลหนึ่งขึ้นได้ พรบ.ข้อมูลส่วนบุคคล จึงต้องเข้ามา คุ้มครอง (DATA PRIVACY) และสร้างความสมดุลขึ้น (BALANCE) แก่ผู้บริโภค ตามหมวด 2 การคุ้มครองข้อมูลส่วนบุคคล
2. เนื่องจากข้อมูลส่วนบุคคลนั้น ถูกแปลงรูปแบบเป็นดิจิทัลมากขึ้น ทำให้ข้อมูลนั้นถูกกระจายแพร่หลายอย่างรวดเร็วมากกว่าในอดีต ผ่านอุปกรณ์อิเล็กทรอนิกซ์ (SMART DIVICE) ซึ่งอาจเกิดการรั่วไหลของข้อมูล ที่มาจากระบบความปลอดภัยที่ไม่ได้มาตรฐาน แก่ผู้บริโภคที่พอสมควร ตามมาตรา 37 ในหมวด 3 สิทธิของเจ้าของข้อมูลส่วนบุคคล จึงกำหนดให้ผู้ควบคุมข้อมูลจะต้องมีระบบรักษาความปลอดภัยและเหมาะสมในการดูแลข้อมูล ตามที่คณะกรรมการกำหนด
3. เนื่องจากสถานะของข้อมูลส่วนบุคคล มิใช่สิทธิอย่างที่เจ้าของกรรมสิทธิ์ อย่างที่เจ้าของข้อมูลส่วนบุคคลพึงมี เช่น การมีสิทธิเหนือข้อมูลส่วนบุคคลของตนเองว่า การควบคุมได้ว่าข้อมูลส่วนบุคคลของตนจะสามารถใช้ไปเพื่อวัตถุประสงค์ใดบ้างอย่างมีขอบเขต (LEVEL CONTROL) มาตรา 19
4. เพื่อสร้างความเชื่อมั่นและความไว้วางใจ การดูแลข้อมูลที่ดีของผู้ควบคุมข้อมูล (PTRVENT POTENTAIL HARMS) ที่ส่งผลต่อ ความน่าเชื่อถือในการใช้บริการ (TRUST) และเกิดสังคมที่ดีขึ้น ผู้บริโภค ตามหมวด 2 การคุ้มครองข้อมูลส่วนบุคคล ส่วนที่ 1 บททั่วไป
5. ข้อมูลส่วนบุคคล ถือ เป็นสินทรัพย์ที่มีมูลค่าและมีความเสี่ยง (RISK) จึงเกิด ความรับผิดชอบของผู้ควบคุมข้อมูล (RESPONSIBILITY) ที่หน่วยงานและบทบัญญัติการกำหนดโทษตามกฎหมายมควบคุม ตามหมวด 4 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และกำหนดเรื่องการร้องเรียน และค่าเสียหายที่ถูกกำหนดเชิงลงโทษ ที่ผูกกับความเสียหายที่แท้จริงกล่าวคือไม่เกินสองเท่า ของความเสียหายที่แท้จริง ตามมาตรา 77 ซึ่งเป็นหลักการเดียวกันกับ วิธีพิจารณาคดีผู้บริโภค ที่กำหนดให้ลงโทษผู้ประมาทเลินเล่ออย่างร้ายแรงและไม่ใยดีต่อความปลอดภัยของข้อมูล

แต่อย่างไรก็ตาม หากข้อมูลส่วนบุคคลนั้นรั่วไหล “ความเสียหายที่แท้จริง” ควรจะมีขอบเขตเช่นใด เนื่องจาก ข้อมูลนั้น หากยังไม่ถูกซื้อขายก็ยังไม่มีมูลค่า ซึ่งเป็นค่าเสียหายที่ไม่ใช่ตัวเงิน ที่แตกต่างกันกับตัว วิธีพิจารณาคดีผู้บริโภค แม้ พรบ.ควบคุมข้อมูลส่วนบุคคล จะกำหนดให้ผู้ประกอบธุรกิจเป็นผู้พิสูจน์ความเสียหาย และรับผิดโดยเคร่งครัดก็ตาม

ติดต่อเราเพื่อบริการจัดทำร่าง หรือ บริการตรวจร่างสัญญา PDPA (คุ้มครองข้อมูลส่วนบุคคล) ที่นี่