PDPA คืออะไร? สิทธิที่ทำได้และข้อห้ามที่ต้องรู้

องค์กร "ทำอะไรไม่ได้" หากไม่มีฐานทางกฎหมาย

ความเข้าใจที่ว่า PDPA คือกฎหมายขอความยินยอมนั้นถูกเพียงครึ่งเดียว เพราะการเก็บและใช้ข้อมูลต้องมีฐานทางกฎหมายรองรับ ซึ่งความยินยอม (Consent) เป็นเพียงหนึ่งในฐานเหล่านั้น องค์กรจะนำข้อมูลไปใช้นอกวัตถุประสงค์ที่แจ้งไว้ หรือเก็บข้อมูลโดยไม่มีฐานรองรับใด ๆ ไม่ได้

กฎหมายเปิดช่องให้ใช้ข้อมูลได้โดยไม่ต้องขอความยินยอมในบางกรณี เช่น เพื่อปฏิบัติตามกฎหมาย เพื่อประโยชน์สาธารณะ เพื่อป้องกันอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ การปฏิบัติตามสัญญา หรือกรณีข้อมูลที่เจ้าของเปิดเผยต่อสาธารณะด้วยความสมัครใจเอง ตามที่ระบุไว้ในมาตรา 24 และมาตรา 26 โดยข้อมูลอ่อนไหวมีเงื่อนไขเข้มงวดกว่าข้อมูลทั่วไป

เข้าใจผิดบ่อย — สิ่งที่ PDPA "ไม่ได้" ห้าม

ช่วงที่กฎหมายเริ่มบังคับใช้ มีความเข้าใจคลาดเคลื่อนแพร่หลายว่าห้ามถ่ายภาพในที่สาธารณะหากติดบุคคลอื่น หรือห้ามนำภาพที่มีคนอื่นมาลงโซเชียลโดยเด็ดขาด ซึ่งไม่ตรงกับเจตนารมณ์ของกฎหมาย การถ่ายภาพหรือบันทึกวิดีโอในที่สาธารณะที่มีบุคคลอื่นติดมาโดยไม่ได้เจตนา และไม่ก่อให้เกิดความเสียหายแก่ผู้นั้น โดยทั่วไปไม่ถือเป็นความผิดตาม PDPA

นอกจากนี้ กฎหมายยังยกเว้นการเก็บรวบรวมหรือใช้ข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือกิจกรรมในครอบครัวล้วน ๆ ออกจากการบังคับใช้ เช่น การเก็บเบอร์โทรของเพื่อนไว้ในโทรศัพท์ส่วนตัว PDPA จึงมุ่งกำกับการประมวลผลข้อมูลเชิงระบบขององค์กรเป็นหลัก ไม่ใช่กิจกรรมส่วนตัวในชีวิตประจำวัน

ถ้าถูกละเมิด ทำอะไรได้ และมีบทลงโทษอย่างไร

หากเจ้าของข้อมูลเห็นว่าถูกละเมิด สามารถยื่นเรื่องร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้ทั้งช่องทางเอกสารและช่องทางอิเล็กทรอนิกส์ โดยกฎหมายกำหนดบทลงโทษไว้สามทาง

โทษทางแพ่ง ผู้เสียหายเรียกค่าสินไหมทดแทนได้ และศาลอาจสั่งให้จ่ายค่าสินไหมเพิ่มเติมได้อีก แต่ไม่เกินสองเท่าของค่าสินไหมที่แท้จริง โดยมีอายุความ 3 ปีนับแต่วันที่รู้ถึงความเสียหายและรู้ตัวผู้รับผิด หรือ 10 ปีนับแต่วันที่มีการละเมิด โทษทางปกครอง มีโทษปรับสูงสุดไม่เกิน 5,000,000 บาท สำหรับการฝ่าฝืนหน้าที่ตามกฎหมาย ส่วนโทษทางอาญา ใช้กับการใช้หรือเปิดเผยข้อมูลอ่อนไหวโดยมิชอบจนทำให้ผู้อื่นเสียหาย เสียชื่อเสียง หรือเพื่อแสวงหาประโยชน์โดยมิชอบด้วยกฎหมาย

โดยสรุป PDPA ให้เครื่องมือแก่ประชาชนในการรับรู้ ตรวจสอบ และควบคุมว่าข้อมูลของตนถูกใช้อย่างไร ขณะเดียวกันก็วางกรอบให้องค์กรเก็บและใช้ข้อมูลอย่างมีความรับผิดชอบ การเข้าใจว่ากฎหมายให้สิทธิอะไร และห้ามอะไรจริง ๆ จึงช่วยให้ทั้งผู้บริโภคและธุรกิจปฏิบัติได้ถูกต้องโดยไม่ตื่นตระหนกเกินจำเป็น