PDPA

PDPA (Personal Data Protection Act) คือชื่อย่อของกฎหมายไทยฉบับเต็ม "พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562" ประกาศในราชกิจจานุเบกษาเมื่อ 27 พฤษภาคม 2562 หลังจากนั้นภาครัฐเลื่อนวันบังคับใช้ส่วนที่เป็นบทบังคับหลักออกไปหลายรอบเพื่อให้ธุรกิจมีเวลาปรับตัว จนมาเริ่มบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 หน่วยงานกำกับดูแลคือสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือ PDPC ทำหน้าที่ออกแนวปฏิบัติและรับเรื่องร้องเรียน ส่วนอำนาจสั่งปรับทางปกครองอยู่ที่คณะกรรมการผู้เชี่ยวชาญที่ตั้งขึ้นตามกฎหมาย กฎหมายบังคับกับองค์กรที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในไทย และครอบคลุมองค์กรที่ตั้งอยู่ต่างประเทศด้วย เมื่อองค์กรนั้นเสนอสินค้าหรือบริการให้คนที่อยู่ในไทย หรือเฝ้าติดตามพฤติกรรมของคนที่อยู่ในไทย (มาตรา 5)

หัวใจของ PDPA คือการบังคับว่าองค์กรต้องมี "ฐานทางกฎหมาย" รองรับทุกครั้งที่ประมวลผลข้อมูลส่วนบุคคล ไม่ใช่พึ่งการขอความยินยอม (consent) อย่างเดียว แต่ยังมีฐานอื่นที่กฎหมายรับรอง เช่น จำเป็นต้องทำตามสัญญา ต้องทำตามกฎหมาย หรือเพื่อประโยชน์โดยชอบด้วยกฎหมายขององค์กร (legitimate interest) เจ้าของข้อมูลมีสิทธิสำคัญหลายข้อ เช่น สิทธิปฏิเสธหรือถอนความยินยอมได้ทุกเมื่อ สิทธิคัดค้านการใช้ข้อมูลเพื่อการตลาดตรง และสิทธิขอให้ลบ ทำลาย หรือทำให้ข้อมูลระบุตัวตนไม่ได้ กฎหมายยังแยกบทบาทองค์กรออกเป็นสองฝั่งชัดเจน: ผู้ควบคุมข้อมูล (data controller) คือฝ่ายตัดสินใจว่าจะเก็บและใช้ข้อมูลไปทำอะไร ส่วนผู้ประมวลผลข้อมูล (data processor) คือฝ่ายที่ทำตามคำสั่งของผู้ควบคุมเท่านั้น และมีข้อมูลกลุ่มพิเศษเรียกว่า "ข้อมูลอ่อนไหว" (sensitive data) เช่น เชื้อชาติ ความเห็นทางการเมือง ศาสนา พฤติกรรมทางเพศ ประวัติอาชญากรรม สุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน พันธุกรรม และข้อมูลชีวมิติ ซึ่งโดยหลักต้องได้ความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล เว้นแต่เข้าข้อยกเว้นที่มาตรา 26 กำหนดไว้ เช่น เพื่อป้องกันอันตรายต่อชีวิตหรือสุขภาพ หรือเพื่อปฏิบัติตามกฎหมายด้านแรงงานและสาธารณสุข ส่วนการส่งข้อมูลออกนอกประเทศต้องส่งไปยังปลายทางที่มีมาตรฐานคุ้มครองข้อมูลเพียงพอ หรือใช้กลไกอย่างสัญญามาตรฐานและกฎองค์กรที่ผ่านการรับรอง (มาตรา 28 และ 29) โดย PDPC ออกประกาศหลักเกณฑ์รองรับสัญญามาตรฐาน (SCC) และกฎองค์กร (BCR) มีผลตั้งแต่ 24 มีนาคม 2567

คนทำงานยุค ai จะเจอคำว่า PDPA บ่อยที่สุดตอนมีคนอยากเอาข้อมูลลูกค้าหรือพนักงานไปป้อนให้เครื่องมือ AI ภายนอก เช่น chatgpt หรือบริการ AI อื่นๆ เพราะถ้าสิ่งที่ป้อนเข้าไปเป็นข้อมูลส่วนบุคคล การกระทำนั้นถือเป็นการเปิดเผยข้อมูลให้บุคคลที่สามประมวลผล ซึ่งไม่ได้แปลว่าผิดกฎหมายโดยอัตโนมัติ แต่แปลว่าต้องมีฐานทางกฎหมายรองรับและมีสัญญาที่รัดกุม สิ่งที่ต้องเช็กก่อนคือใช้ฐานทางกฎหมายข้อไหน สัญญากับผู้ให้บริการเขียนคุ้มครองข้อมูลไว้แค่ไหน และถ้าเซิร์ฟเวอร์อยู่ต่างประเทศก็โยงกับกฎการส่งข้อมูลออกนอกประเทศด้วย (data-residency, zero-data-retention) กฎหมายมีบทลงโทษสามชั้น: โทษทางปกครองปรับได้ตั้งแต่หลักแสนถึงห้าล้านบาท โดยเพดานห้าล้านบาท (มาตรา 84) เป็นเพดานของความผิดหนึ่งฐานที่เกี่ยวกับข้อมูลอ่อนไหว ไม่ใช่เพดานของทั้งเคส เคสเดียวที่ผิดหลายฐานจึงรวมกันเกินห้าล้านได้ ปี 2567 มีบริษัทหนึ่งถูกสั่งปรับรวม 7 ล้านบาทจากการไม่ตั้ง DPO มาตรการความปลอดภัยไม่เพียงพอ และแจ้งเหตุละเมิดล่าช้า โทษอาญามีขอบเขตแคบกว่าที่หลายคนเข้าใจ คือใช้กับการใช้หรือเปิดเผยข้อมูลอ่อนไหวโดยมิชอบจนน่าจะทำให้ผู้อื่นเสียหายหรือเสียชื่อเสียง (มาตรา 79) และผู้ที่ล่วงรู้ข้อมูลจากการปฏิบัติหน้าที่ตามกฎหมายนี้แล้วนำไปเปิดเผย (มาตรา 80) ไม่ใช่ว่าข้อมูลทั่วไปหลุดแล้วจะเข้าโทษอาญาทุกกรณี ส่วนโทษทางแพ่งคือชดใช้ค่าเสียหายจริง และศาลมีอำนาจสั่งค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มได้อีกไม่เกินสองเท่าของค่าเสียหายจริง (มาตรา 78) หน้านี้เป็นข้อมูลทั่วไปเพื่อความเข้าใจ ไม่ใช่ความเห็นทางกฎหมาย การประเมินว่าเคสขององค์กรคุณเข้ามาตราไหนและเสี่ยงแค่ไหน ควรให้ฝ่ายกฎหมายหรือที่ปรึกษากฎหมายตรวจเป็นกรณีไป

ตัวอย่างจากบทสนทนาจริง

ฝ่ายจัดซื้อ: "เราจะเซ็นสัญญาซื้อ AI chatbot ตัวใหม่มาให้ทีมขายใช้ตอบลูกค้า ต้องเช็กเรื่อง PDPA อะไรเป็นพิเศษไหมครับ"

ทีม IT: "ต้องดูก่อนว่าเวนเดอร์เก็บข้อมูลแชตของลูกค้าไว้ที่ไหน ส่งออกนอกประเทศไหม แล้วในสัญญาระบุชัดไหมว่าเขาเป็น data processor ที่ทำตามคำสั่งเราเท่านั้น ห้ามเอาข้อมูลลูกค้าไปเทรนโมเดลต่อโดยไม่ขออนุญาตก่อน ถ้าเอกสารตอบคำถามพวกนี้ไม่ได้ ต้องส่งให้ฝ่ายกฎหมายดูสัญญาก่อนเซ็นทุกครั้ง"

ระวังสับสนกับ

• gdpr : โครงสร้างคล้ายกันมาก ทั้งเรื่องสิทธิเจ้าของข้อมูล บทบาท controller/processor และการต้องมีฐานทางกฎหมาย เพราะ PDPA ร่างขึ้นโดยอิงแนวทางของ GDPR แต่เป็นคนละกฎหมายคนละเขตอำนาจ: PDPA คุ้มครองข้อมูลคนในไทยและกำกับโดย PDPC ส่วน GDPR คุ้มครองคนใน EU และมีบทปรับที่แรงกว่ามาก องค์กรไทยที่มีลูกค้าทั้งสองฝั่งอาจต้องทำตามกฎหมายทั้งสองฉบับพร้อมกัน
• data-privacy : data privacy คือแนวคิดกว้างๆ เรื่องสิทธิความเป็นส่วนตัวของข้อมูลที่ใช้กันทั่วโลก ส่วน PDPA คือกฎหมายไทยฉบับหนึ่งที่นำแนวคิดนั้นมาเขียนเป็นข้อบังคับที่มีบทลงโทษจริงบังคับใช้ในไทย