สรุปกฎหมาย PDPA แบบสั้นที่สุด
กฎหมาย PDPA คือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 โดยมีสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. หรือ PDPC) เป็นหน่วยงานกำกับดูแล
กฎหมายนี้กำหนดว่าใครก็ตามที่เก็บ ใช้ หรือเปิดเผยข้อมูลของบุคคลอื่น ต้องมีเหตุผลที่กฎหมายรับรอง ต้องแจ้งให้เจ้าของข้อมูลรู้ และต้องดูแลข้อมูลนั้นให้ปลอดภัย
ในทางปฏิบัติ แทบทุกธุรกิจที่มีลูกค้าอยู่ในขอบเขตของกฎหมายนี้ ไม่ว่าจะเป็นโรงแรมที่เก็บสำเนาหนังสือเดินทาง คลินิกที่มีประวัติคนไข้ ร้านค้าออนไลน์ที่เก็บชื่อและที่อยู่สำหรับจัดส่งผ่าน KEX Express (ชื่อเดิม Kerry Express) หรือ Flash Express หรือบริษัทที่มีเพียงฟอร์มติดต่อบนเว็บไซต์ ขนาดของธุรกิจไม่ได้ทำให้พ้นจากหน้าที่หลัก สิ่งที่ต่างกันคือรายละเอียดบางข้อ เช่น การจัดทำบันทึกรายการ ซึ่งจะอธิบายต่อด้านล่าง
บทความนี้เขียนจากมุมของทีมที่สร้างเว็บไซต์ให้ธุรกิจในกรุงเทพฯ เป้าหมายคือช่วยให้คุณเข้าใจภาพรวมและรู้ว่าเว็บไซต์ต้องทำอะไร บทความนี้ไม่ใช่คำแนะนำทางกฎหมาย หากธุรกิจของคุณมีกรณีเฉพาะ เช่น เก็บข้อมูลสุขภาพจำนวนมาก หรือส่งข้อมูลไปต่างประเทศ ควรปรึกษานักกฎหมายที่เชี่ยวชาญด้านนี้โดยตรง
ข้อมูลส่วนบุคคลและข้อมูลอ่อนไหวคืออะไร
ข้อมูลส่วนบุคคลคือข้อมูลที่ทำให้ระบุตัวบุคคลได้ ไม่ว่าจะโดยตรงหรือโดยอ้อม ตัวอย่างที่พบบนเว็บไซต์ธุรกิจทั่วไป ได้แก่ ชื่อ เบอร์โทรศัพท์ อีเมล ที่อยู่จัดส่ง เลขบัตรประชาชน หมายเลข IP และคุกกี้ที่ใช้ติดตามพฤติกรรมการเข้าชม ข้อมูลของผู้ที่ถึงแก่กรรมและข้อมูลนิติบุคคล เช่น ชื่อบริษัทหรือเลขทะเบียนบริษัท ไม่นับเป็นข้อมูลส่วนบุคคลตามกฎหมายนี้
ข้อมูลอ่อนไหวตามมาตรา 26
กฎหมายแยกข้อมูลบางกลุ่มออกมาเป็นข้อมูลอ่อนไหว เพราะหากรั่วไหลอาจทำให้เจ้าของข้อมูลถูกเลือกปฏิบัติหรือเสียหายรุนแรง ได้แก่ เชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อทางศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม และข้อมูลชีวภาพ เช่น ลายนิ้วมือหรือภาพใบหน้าที่ใช้ยืนยันตัวตน การเก็บข้อมูลกลุ่มนี้ต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นเฉพาะที่กฎหมายกำหนด
เว็บไซต์แต่ละแบบเจอข้อมูลต่างกัน เว็บคลินิกที่มีฟอร์มนัดหมายพร้อมช่องอาการเบื้องต้นกำลังเก็บข้อมูลสุขภาพ ขณะที่เว็บบริษัทที่มีแค่ฟอร์มติดต่อเก็บเพียงชื่อและอีเมล หากยังไม่แน่ใจว่าเว็บของคุณจัดอยู่ในกลุ่มใด บทความประเภทของเว็บไซต์ที่ธุรกิจนิยมทำช่วยให้เห็นว่าเว็บแต่ละแบบมักเก็บข้อมูลอะไรบ้าง
ผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล
กฎหมาย PDPA แบ่งผู้ที่จัดการข้อมูลออกเป็นสองบทบาท และหน้าที่ของแต่ละฝ่ายไม่เท่ากัน
- ผู้ควบคุมข้อมูลส่วนบุคคล คือผู้ที่ตัดสินใจว่าจะเก็บข้อมูลอะไร เพื่ออะไร และเก็บไว้นานเท่าใด สำหรับเว็บไซต์ของคุณ ผู้ควบคุมข้อมูลคือธุรกิจของคุณเอง
- ผู้ประมวลผลข้อมูลส่วนบุคคล คือผู้ที่จัดการข้อมูลตามคำสั่งของผู้ควบคุม เช่น ผู้ให้บริการโฮสติ้งที่เก็บฐานข้อมูล ระบบส่งอีเมล หรือแพลตฟอร์มร้านค้าออนไลน์อย่าง Shopify
สมมติว่าร้านขายของใช้ในบ้านรับออเดอร์ผ่าน WooCommerce แล้วส่งชื่อและที่อยู่ให้บริษัทขนส่ง ร้านเป็นผู้ควบคุมข้อมูล ส่วนโฮสติ้งเป็นผู้ประมวลผล ความรับผิดชอบหลักต่อลูกค้ายังอยู่ที่ร้าน ดังนั้นควรมีข้อตกลงกับผู้ให้บริการแต่ละรายว่าจะใช้ข้อมูลตามที่ตกลงเท่านั้นและดูแลความปลอดภัยอย่างเหมาะสม
ฐานทางกฎหมายในการเก็บข้อมูล
หลายคนเข้าใจว่า PDPA คือการขอความยินยอมทุกครั้ง ความจริงแล้วความยินยอมเป็นเพียงฐานหนึ่ง มาตรา 24 ยังกำหนดฐานอื่นที่เก็บข้อมูลได้โดยไม่ต้องขอความยินยอมไว้อีกหลายฐาน
- สัญญา ใช้ที่อยู่ลูกค้าเพื่อจัดส่งสินค้าที่สั่งซื้อ
- หน้าที่ตามกฎหมาย เก็บข้อมูลที่ต้องใช้ออกใบกำกับภาษีตามกฎหมายภาษี
- ประโยชน์โดยชอบด้วยกฎหมาย บันทึกการเข้าระบบเพื่อป้องกันการโจมตีเว็บไซต์ โดยต้องชั่งน้ำหนักกับสิทธิของเจ้าของข้อมูล
- ป้องกันอันตรายต่อชีวิตหรือร่างกาย และภารกิจเพื่อประโยชน์สาธารณะ ซึ่งธุรกิจทั่วไปไม่ค่อยได้ใช้
- การศึกษาวิจัยหรือสถิติ ภายใต้มาตรการคุ้มครองที่เหมาะสม
- ความยินยอม ใช้เมื่อไม่มีฐานอื่นรองรับ เช่น การส่งโปรโมชันทางอีเมลหรือคุกกี้เพื่อการตลาด
ความยินยอมที่ใช้ได้ต้องแยกเป็นเรื่อง ๆ ไม่ติ๊กไว้ล่วงหน้า และถอนได้ง่ายเท่ากับตอนให้ วิธีจัดวางแบนเนอร์คุกกี้และช่องยินยอมในฟอร์มอธิบายไว้ละเอียดในบทความการทำ PDPA Consent บนเว็บไซต์
สิทธิของเจ้าของข้อมูล
ลูกค้าหรือผู้ติดต่อผ่านเว็บไซต์มีสิทธิตามกฎหมายหลายข้อ ธุรกิจจึงควรเตรียมช่องทางรับคำขอไว้ล่วงหน้า ไม่ใช่รอจนมีคนถามแล้วค่อยคิด
- สิทธิขอเข้าถึงและขอรับสำเนาข้อมูลของตน
- สิทธิขอให้แก้ไขข้อมูลให้ถูกต้องและเป็นปัจจุบัน
- สิทธิขอให้ลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้
- สิทธิคัดค้านการเก็บหรือใช้ข้อมูล และสิทธิขอให้ระงับการใช้ชั่วคราว
- สิทธิขอรับหรือขอให้โอนย้ายข้อมูลไปยังผู้ให้บริการรายอื่น
- สิทธิถอนความยินยอมเมื่อใดก็ได้
สำหรับธุรกิจขนาดเล็ก วิธีที่ใช้ได้จริงคือระบุอีเมลหรือช่องทางติดต่อสำหรับคำขอเรื่องข้อมูลไว้ในประกาศความเป็นส่วนตัว กำหนดคนรับผิดชอบหนึ่งคน และจดบันทึกว่าได้รับคำขอเมื่อไรและดำเนินการอย่างไร กฎหมายกำหนดกรอบเวลาตอบสนองสำหรับคำขอบางประเภท จึงควรตรวจสอบรายละเอียดจากตัวบทหรือเว็บไซต์ของ สคส. ก่อนวางขั้นตอนภายใน
ROPA และ DPO คืออะไร
ROPA คือบันทึกรายการกิจกรรมการประมวลผลที่ผู้ควบคุมข้อมูลต้องจัดทำตามมาตรา 39 ส่วน DPO คือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลที่บางองค์กรต้องแต่งตั้งตามมาตรา 41 กิจการขนาดเล็กอาจได้รับยกเว้นเรื่อง ROPA และส่วนใหญ่ไม่ต้องมี DPO แต่ธุรกิจที่เก็บข้อมูลอ่อนไหวควรตรวจเกณฑ์ให้ละเอียด
ROPA บันทึกรายการกิจกรรมการประมวลผล
ROPA ย่อมาจาก Record of Processing Activities คือเอกสารที่ผู้ควบคุมข้อมูลต้องจัดทำตามมาตรา 39 เพื่อบันทึกว่าเก็บข้อมูลอะไร เพื่อวัตถุประสงค์ใด ใช้ฐานทางกฎหมายใด เก็บไว้นานแค่ไหน และมีมาตรการรักษาความปลอดภัยอย่างไร สำหรับเว็บไซต์ รายการใน ROPA มักประกอบด้วยฟอร์มติดต่อ ระบบสั่งซื้อ รายชื่อผู้รับจดหมายข่าว และคุกกี้วิเคราะห์การเข้าชม
สคส. ออกประกาศยกเว้นการบันทึกรายการให้แก่กิจการขนาดเล็กตามเกณฑ์ที่กำหนด แต่ข้อยกเว้นนี้ไม่ครอบคลุมทุกกรณี เช่น กิจการที่เก็บข้อมูลอ่อนไหว หรือการประมวลผลที่อาจเสี่ยงต่อสิทธิของเจ้าของข้อมูล ควรอ่านประกาศฉบับเต็มก่อนตัดสินใจว่าธุรกิจของคุณได้รับยกเว้น และแม้ได้รับยกเว้น การมีตารางสรุปง่าย ๆ ไว้ก็ช่วยให้ตอบคำถามลูกค้าได้เร็วขึ้น
DPO เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
DPO หรือ Data Protection Officer คือผู้ที่ทำหน้าที่ให้คำแนะนำและตรวจสอบการปฏิบัติตามกฎหมายภายในองค์กร มาตรา 41 กำหนดให้ต้องแต่งตั้งเมื่อเป็นหน่วยงานรัฐตามที่คณะกรรมการประกาศ เมื่อกิจกรรมหลักต้องติดตามตรวจสอบข้อมูลเป็นประจำในปริมาณมาก หรือเมื่อกิจกรรมหลักคือการประมวลผลข้อมูลอ่อนไหว ร้านอาหารหรือบริษัทที่ปรึกษาขนาดเล็กส่วนใหญ่มักไม่เข้าเกณฑ์ ขณะที่โรงพยาบาลหรือเครือคลินิกควรตรวจสอบประกาศของ สคส. อย่างละเอียด
บทลงโทษตามกฎหมาย PDPA
โทษตามกฎหมาย PDPA มีสามประเภท ตัวเลขด้านล่างสรุปจากตัวบทพระราชบัญญัติ ควรตรวจสอบมาตราที่เกี่ยวข้องกับกรณีของคุณอีกครั้งจากแหล่งอ้างอิงท้ายบทความ
ความรับผิดทางแพ่ง
หากการจัดการข้อมูลที่ฝ่าฝืนกฎหมายทำให้เจ้าของข้อมูลเสียหาย ผู้ควบคุมหรือผู้ประมวลผลต้องชดใช้ค่าเสียหายที่เกิดขึ้นจริง และศาลอาจสั่งให้จ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มได้ไม่เกินสองเท่าของค่าเสียหายจริง
โทษทางอาญา
ใช้กับการฝ่าฝืนที่ร้ายแรง เช่น การใช้หรือเปิดเผยข้อมูลอ่อนไหวโดยมิชอบจนน่าจะทำให้ผู้อื่นเสียหาย มีโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ และหากทำเพื่อแสวงหาประโยชน์โดยมิชอบ โทษเพิ่มเป็นจำคุกไม่เกินหนึ่งปี หรือปรับไม่เกิน 1,000,000 บาท หรือทั้งจำทั้งปรับ
โทษทางปกครอง
คณะกรรมการผู้เชี่ยวชาญมีอำนาจสั่งปรับทางปกครองได้ไม่เกิน 1 ล้านบาท 3 ล้านบาท หรือ 5 ล้านบาท ตามลักษณะความผิด ตัวอย่างเช่น การไม่แจ้งวัตถุประสงค์และรายละเอียดการเก็บข้อมูลให้เจ้าของข้อมูลทราบตามมาตรา 23 มีเพดานไม่เกิน 1 ล้านบาท การไม่จัดให้มีมาตรการรักษาความปลอดภัยที่เหมาะสมตามมาตรา 37 มีเพดานไม่เกิน 3 ล้านบาท และการเก็บหรือใช้ข้อมูลอ่อนไหวโดยฝ่าฝืนมาตรา 26 มีเพดานไม่เกิน 5 ล้านบาท
เว็บไซต์ของคุณต้องทำอะไรบ้าง
เมื่อแปลงหลักกฎหมายเป็นงานบนเว็บไซต์ จะได้รายการที่ทำได้จริงดังนี้
- ประกาศความเป็นส่วนตัว (หลายเว็บใช้ชื่อหน้าว่านโยบายความเป็นส่วนตัว) เป็นภาษาไทย และภาษาอังกฤษด้วยหากมีลูกค้าต่างชาติ บอกว่าเก็บอะไร เพื่ออะไร นานเท่าไร ส่งต่อให้ใคร และติดต่อใช้สิทธิได้อย่างไร วางลิงก์ไว้ที่ส่วนท้ายทุกหน้าและใกล้ทุกฟอร์ม
- แบนเนอร์คุกกี้ ที่ไม่โหลดคุกกี้วิเคราะห์หรือคุกกี้การตลาดก่อนผู้ใช้กดยอมรับ และมีปุ่มปฏิเสธเห็นชัดเท่าปุ่มยอมรับ
- ฟอร์มที่เก็บข้อมูลเท่าที่จำเป็น ฟอร์มสอบถามไม่จำเป็นต้องขอวันเกิดหรือเลขบัตรประชาชน ช่องรับข่าวสารแยกจากช่องส่งข้อความและไม่ติ๊กไว้ก่อน
- ความปลอดภัยพื้นฐาน ใช้การเข้ารหัส HTTPS ทั้งเว็บไซต์ อัปเดตระบบและปลั๊กอินสม่ำเสมอ และจำกัดสิทธิผู้ดูแลระบบ อ่านเพิ่มเรื่องHTTPS และใบรับรอง SSLได้ในบทความแยก
- แผนรับมือข้อมูลรั่วไหล มาตรา 37 กำหนดให้แจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่เหตุนั้นไม่มีความเสี่ยงที่จะกระทบสิทธิของบุคคล และต้องแจ้งเจ้าของข้อมูลด้วยหากมีความเสี่ยงสูง
งานเหล่านี้ง่ายที่สุดเมื่อวางไว้ตั้งแต่ขั้นออกแบบ ไม่ใช่เติมทีหลัง ในงานออกแบบเว็บไซต์ให้ธุรกิจของเรา แพ็กเกจ Starter เริ่มต้น 10,000 บาท (ราคาประมาณการ จ่ายครั้งเดียว) มีแบนเนอร์ขอความยินยอมคุกกี้ตาม PDPA รวมอยู่แล้ว สำหรับแพ็กเกจอื่น เราระบุงาน PDPA ไว้ในใบเสนอราคา เช่น ช่องขอความยินยอมในแบบฟอร์มที่วางไว้ตั้งแต่ขั้นออกแบบ
หากองค์กรของคุณต้องการเว็บสองภาษาพร้อมหลายฟอร์ม ดูรายละเอียดได้ที่หน้ารับทำเว็บไซต์บริษัทและองค์กร และหากอยากให้เราช่วยดูว่าเว็บปัจจุบันยังขาดอะไร ส่งรายละเอียดโปรเจกต์มาให้เราได้ทุกวัน
อ่านต่อเรื่อง PDPA และเว็บไซต์
บทความด้านล่างต่อยอดจากเรื่องนี้ ทั้งวิธีทำแบนเนอร์คุกกี้ การเลือกแพลตฟอร์ม และความปลอดภัยของเว็บไซต์ หรือเลือกอ่านหัวข้ออื่นจากคลังบทความเรื่องเว็บไซต์ของเรา
แหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (ราชกิจจานุเบกษา)
- สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)
สร้างเว็บไซต์และดูแลอันดับการค้นหา รวมถึงวางระบบเบื้องหลังเว็บไซต์ลูกค้า 17 แห่งที่เราเผยแพร่ตัวเลขจาก Search Console เกี่ยวกับเรา (หน้าภาษาอังกฤษ)