10 เรื่องต้องรู้เกี่ยวกับพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล หรือ PDPA ซึ่งย่อมาจากคำว่า Personal Data Protection Act B.E. 2562 (2019) ประกาศไว้ในราชกิจจานุเบกษาเมื่อวันที่ 27 พฤษภาคม 2562 มีผลบังคับใช้ในวันที่ 1 มิถุนายน 2565

กฎหมายฉบับนี้ จะมีบทบาทสำคัญในการคุ้มครองและให้สิทธิกับเจ้าของข้อมูลส่วนบุคคลของเราเอง รวมถึงได้สร้างมาตรฐานใหม่ให้เกิดขึ้นกับบุคคลหรือนิติบุคคลในการเก็บข้อมูล รวบรวมข้อมูลส่วนบุคคล รวมถึงการใช้ข้อมูล หรือเพื่อการเปิดเผยข้อมูลส่วนบุคคล ที่จะต้องปฏิบัติตามกฎหมายฉบับนี้ หากผู้ใดหรือองค์กรใดไม่ปฏิบัติตามนั้น มีโทษทั้งทางแพ่ง โทษทางอาญา และโทษทางปกครอง

1. ข้อมูลส่วนบุคคล คือ ข้อมูลเกี่ยวกับบุคคล ซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม
แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมเฉพาะ เช่น ชื่อ ที่อยู่ หมายเลขประจำตัว ข้อมูลสุขภาพ ฯลฯ (มาตรา 6)

2. ผู้ควบคุมข้อมูลส่วนบุคคล ต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเราไว้ก่อนหรือในขณะเก็บรวบรวม (ห้ามใช้นอกเหนือวัตถุประสงค์) (มาตรา 21)

3. ผู้ควบคุมข้อมูลส่วนบุคคล ต้องเก็บรวบรวมข้อมูลส่วนบุคคลของเราเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย (มาตรา 22) (ใช้ข้อมูลของเราให้น้อยที่สุด)

4. ความยินยอม เป็นฐานการประมวลผลฐานหนึ่งเท่านั้น ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ในการกำหนดฐานการประมวลผล ให้สอดคล้องกับลักษณะการประมวลผล และความสัมพันธ์ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับเจ้าของข้อมูลส่วนบุคคล (ตามมาตรา 24 หรือมาตรา 26)

5. ในการขอความยินยอม ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องคำนึงอย่างที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคล (ต้องไม่มีสภาพบังคับในการให้ / ไม่ให้) (มาตรา 19 วรรคสี่)

6. เจ้าของข้อมูลส่วนบุคคล มีสิทธิ ดังนี้
6.1 สิทธิในการถอนความยินยอม ในกรณีที่ได้ให้ความยินยอมไว้ (มาตรา 19 วรรคห้า) PDPA 07
6.2 สิทธิได้รับการแจ้งให้ทราบรายละเอียด (Privacy Notice) (มาตรา 23) ใช้กับการประมวลผลข้อมูลส่วนบุคคล
6.3 สิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคล (มาตรา 30) ของบุคคลที่อยู่ในประเทศไทย ไม่ว่าจะ
6.4 สิทธิขอให้โอนข้อมูลส่วนบุคคล (มาตรา 31) มีสัญชาติใดก็ตาม (มาตรา 5)
6.5 สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (มาตรา 32)
6.6 สิทธิขอให้ลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ (มาตรา 33)
6.7 สิทธิขอให้ระงับการใช้ขอมูลส่วนบุคคล (บาตรา 34)
6.8 สิทธิขอให้แก้ไขข้อมูลส่วนบุคคล (มาตรา 35)

7. PDPA ใช้กับการประมวลผลข้อมูลส่วนบุคคลของบุคคลที่อยู่ในประเทศไทย ไม่ว่าจะมีสัญชาติใดก็ตาม (มาตรา 5)

8. ในกรณีที่เหตุการณ์ละเมิด ข้อมูลส่วนบุคคลมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบ พร้อมกับแนวทางการเยียวยาโดยไม่ชักช้า (มาตรา 37 (4) )

9. ผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่จัดทำบันทึกรายการกิจกรรม เพื่อให้สำนักงานสามารถตรวจสอบได้ โดยจะบันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้

10. เจ้าของข้อมูลส่วนบุคคล มีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ ในกรณีที่มีการฝ่าฝืนหรือไม่ปฏิบัติตาม PDPA หรือประกาศฯ ที่ออกตาม PDPA (ทั้งนี้ กระบวนการร้องเรียนเป็นไปตามระเบียบที่คณะกรรมการฯ ประกาศกำหนด) (มาตรา 73)