คำชี้แจง
คำชี้แจง : กรณีศึกษานี้เขียนสำหรับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) และผู้ปฏิบัติงานด้าน PDPA
โรงแรมส่งชื่อ เบอร์โทรศัพท์ เลขหนังสือเดินทาง และวันเดินทางกลับของลูกค้าให้บริษัทประกันพันธมิตรทุกสัปดาห์ มีผู้ร้องเรียน 47 ราย บริษัทยืนยันว่าโครงการนี้ผ่านที่ประชุมผู้บริหาร โดย DPO “ไม่มีข้อคัดค้าน”
วิธีใช้ : อ่านเรื่องเล่าและลำดับเหตุการณ์แล้วลองวิเคราะห์ว่า คำว่า “ไม่มีข้อคัดค้าน” ในรายงานการประชุมพิสูจน์อะไรได้บ้าง ก่อนอ่านส่วนผลที่ตามมาและประเด็นกฎหมาย
กรณีศึกษาจำลองเพื่อการศึกษา ชื่อองค์กร บุคคล และเหตุการณ์ทั้งหมดเป็นเรื่องสมมติ
ข้อเสนอพิเศษจากฝ่ายบุคคล
สัปดาห์ที่สามของ DPO คนใหม่
ภาคิน เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลที่เพิ่งเริ่มงานได้เพียงสามสัปดาห์ เพิ่งจัดโต๊ะเสร็จเมื่อจดหมายจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมาถึง
จดหมายขอให้ เครือโรงแรม ภูผาวารี จำกัด (มหาชน) ชี้แจงภายใน 15 วัน กรณีมีผู้ร้องเรียน 47 ราย เรื่องว่าได้รับโทรศัพท์เสนอขายประกันการเดินทางจากบริษัทที่ไม่เคยติดต่อด้วย ผู้โทรรู้ชื่อ เบอร์โทรศัพท์ เลขหนังสือเดินทาง แม้กระทั่งวันเดินทางกลับ
ผู้ร้องเรียนรายหนึ่งรับสายขณะนั่งรอลูกชายวัยห้าขวบที่ห้องฉุกเฉินของโรงพยาบาลในโตเกียว
ผู้โทรบอกเธอว่า “ประกันของคุณไม่ครอบคลุมกรณีนี้นะครับ ถ้าซื้อเพิ่มตอนนี้ เราคุ้มครองย้อนหลังให้ได้”
โดยผู้ร้องเรียนทุกรายเคยเข้าพักโรงแรมในเครือภูผาวารี และยื่นหนังสือเดินทางให้พนักงานสแกนตอนเช็กอิน
ทนายประจำบริษัท ยื่นแฟ้มให้ภาคินด้วยสีหน้าสบายใจ
“โครงการนี้ชื่อ Travel Plus ผ่านที่ประชุมผู้บริหารไปตั้งแต่ปีที่แล้ว DPO คนก่อนก็นั่งอยู่ในห้อง รายงานการประชุมเขียนไว้ชัดว่าไม่มีข้อคัดค้าน”
ภาคินอ่านชื่อ DPO คนก่อน คุณมาลี ทำงานกับภูผาวารีมา 22 ปี และเกษียณก่อนกำหนดไปเมื่อสิบเดือนก่อน
ย้อนไปสิบเอ็ดเดือนก่อน
การประชุมผู้บริหาร วันจันทร์ 10.00 น. ฝ่ายการตลาดนำเสนอโครงการ Travel Plus บริษัทประกันพันธมิตรจะจ่ายค่าตอบแทนให้โรงแรมทุกครั้งที่ผู้เข้าพักซื้อประกัน สิ่งที่โรงแรมต้องทำคือส่งรายชื่อลูกค้า เบอร์โทรศัพท์ เลขหนังสือเดินทาง และวันเดินทางกลับให้ทางพันธมิตรทุกสัปดาห์ ประมาณการรายได้ปีแรก 18 ล้านบาท
มาลียกมือ “ข้อมูลหนังสือเดินทางเราเก็บมาเพื่อเช็กอินและเพื่อทำตามกฎหมายที่พัก ไม่ได้เก็บมาเพื่อขายประกันค่ะ ถ้าจะทำโครงการนี้ ต้องขอความยินยอมจากลูกค้าก่อน”
คุณวิเชียร CEO วางปากกาลง
“ถ้าต้องขอความยินยอม ยอดจะเหลือไม่ถึงสิบเปอร์เซ็นต์ครับคุณมาลี โครงการก็ไม่มีความหมาย”
“ถ้าอย่างนั้น โครงการนี้ก็ไม่ควรทำค่ะ” มาลีตอบ
ห้องเงียบไปครู่หนึ่ง คุณวิเชียรมองนาฬิกา แล้วปิดการประชุมโดยบอกว่าจะ “ไปคุยรายละเอียดกันต่อ”
สองสัปดาห์ต่อมา ฝ่ายบุคคลประกาศโครงการเกษียณก่อนกำหนดโดยสมัครใจ สำหรับพนักงานอาวุโส มาลีได้รับซองสีน้ำตาลที่ประทับว่า “ข้อเสนอพิเศษจากฝ่ายบุคคล” เงินชดเชยสูงกว่าที่เธอคาดไว้เกือบเท่าตัว
เธอเพิ่งมีหลานคนแรก และสามีเพิ่งผ่าตัดหัวใจ มาลีเซ็นรับข้อเสนอภายในสัปดาห์นั้น งานเลี้ยงส่งมีเค้กสามชั้น และคำกล่าวอำลาจากคุณวิเชียรที่ทำให้หลายคนน้ำตาซึม
หนึ่งเดือนหลังมาลีออก Travel Plus เปิดตัว ตำแหน่ง DPO ว่างตั้งแต่วันนั้นจนถึงวันที่ภาคินเริ่มงาน
เจ็ดเดือนหลังเปิดตัว บริษัทประกันพันธมิตรจ้างศูนย์ขายทางโทรศัพท์ภายนอกที่มีเป้ายอดขายรายวัน พนักงานโทรหาลูกค้าในวันที่ข้อมูลระบุว่ากำลังอยู่ต่างประเทศ เพราะเป็นช่วงที่ “ปิดการขายได้ง่ายที่สุด”
ลำดับเหตุการณ์
ลำดับเวลา | เหตุการณ์ | ผู้รับทราบเหตุการณ์ | DPO รับทราบหรือไม่ |
|---|---|---|---|
สิบเอ็ดเดือนก่อน | ประชุมผู้บริหารเรื่อง Travel Plus มาลีคัดค้านด้วยวาจา | ผู้บริหารในห้อง | มาลีทราบ |
สองสัปดาห์ต่อมา | มาลีได้รับข้อเสนอเกษียณก่อนกำหนด และเซ็นรับ | ฝ่ายบุคคล | มาลีทราบ |
หนึ่งเดือนหลังมาลีออก | Travel Plus เปิดตัว เริ่มส่งข้อมูลลูกค้าทุกสัปดาห์ | ฝ่ายการตลาด | ไม่มี DPO |
เจ็ดเดือนหลังเปิดตัว | ศูนย์ขายทางโทรศัพท์เริ่มโทรหาลูกค้าขณะอยู่ต่างประเทศ | บริษัทประกัน | ไม่มี DPO |
สามสัปดาห์หลังภาคินเริ่มงาน | สคส. ขอให้ชี้แจงกรณีผู้ร้องเรียน 47 ราย | ทนาย ผู้บริหาร | ภาคินทราบ |
ผลที่ตามมา
คำชี้แจงของภูผาวารีต่อ สคส. ยืนยันว่าโครงการผ่านการพิจารณาของผู้บริหารทุกฝ่าย รวมทั้ง DPO และแนบรายงานการประชุมไปด้วย
คณะกรรมการผู้เชี่ยวชาญสั่งให้ยุติการส่งข้อมูลทันที และลงโทษปรับทางปกครอง ผู้ร้องเรียนสิบสองรายยื่นฟ้องทั้งโรงแรมและบริษัทประกัน บริษัทประกันยกเลิกความร่วมมือ และสำนักข่าวต่างประเทศสองแห่งนำเรื่องแม่ที่โรงพยาบาลในโตเกียวไปรายงาน
ทนายของโรงแรมยังมีแนวแก้ต่างข้อสุดท้าย บริษัทไม่ได้ตั้งใจละเมิด โครงการผ่านการพิจารณาอย่างรอบคอบ และ DPO ที่ทำงานกับบริษัทมา 22 ปีไม่ได้คัดค้าน ศาลออกหมายเรียกมาลีมาเป็นพยาน
สองชั่วโมงหลังการประชุม
ก่อนวันนัดสืบพยาน ภาคินขอเข้าดูระบบเอกสารของฝ่ายบุคคลเพื่อรวบรวมประวัติการทำงานของมาลี เขาพบสิ่งที่ไม่ได้ตั้งใจจะหา
โครงการเกษียณก่อนกำหนดโดยสมัครใจ มีผู้ได้รับข้อเสนอเพียงคนเดียว
ร่างจดหมาย “ข้อเสนอพิเศษ” ถูกสร้างเวลา 12.14 น. ของวันจันทร์ที่ประชุม Travel Plus สองชั่วโมงหลังคุณวิเชียรปิดการประชุม ช่องหมายเหตุภายในเขียนว่า “เร่งด่วน ตามคำสั่ง CEO วงเงินไม่จำกัด ขอให้ทันก่อนเปิดตัวโครงการ”
ภาคินเปิดร่างแรกของรายงานการประชุม ที่เลขานุการพิมพ์ระหว่างประชุม ในร่างนั้นมีประโยคหนึ่ง “คุณมาลีแจ้งว่าโครงการต้องได้รับความยินยอมจากลูกค้า มิฉะนั้นไม่ควรดำเนินการ” ในฉบับที่ผู้บริหารลงนามรับรอง ประโยคนั้นหายไป แทนที่ด้วยคำว่า “ที่ประชุมไม่มีข้อคัดค้าน”
มาลีคัดค้านจริง แต่คัดค้านเพียงคำพูดเท่านั้น เธอไม่เคยส่งความเห็นเป็นลายลักษณ์อักษร ไม่เคยขอแก้รายงานการประชุม และเมื่อเซ็นรับข้อเสนอพิเศษ เธอเซ็นข้อตกลงรักษาความลับไปด้วย สิ่งเดียวที่พิสูจน์ได้ว่า DPO ของภูผาวารีเคยพูดว่า “ไม่” คือร่างเอกสารที่ไม่มีใครตั้งใจเก็บไว้
ประเด็นทางกฏหมาย
คำถาม | หน้าที่ตามกฎหมาย | ข้อเท็จจริงในกรณีนี้ | บทที่เกี่ยวข้อง |
|---|---|---|---|
เปิดเผยข้อมูลลูกค้าให้พันธมิตรได้หรือไม่ | มาตรา 27 ห้ามใช้หรือเปิดเผยข้อมูลโดยไม่ได้รับความยินยอม เว้นแต่เป็นข้อมูลที่เก็บได้โดยได้รับยกเว้นตามมาตรา 24 หรือ 26 | ข้อมูลเก็บเพื่อเช็กอินและเพื่อปฏิบัติตามกฎหมายที่พัก แต่ถูกส่งให้พันธมิตรเพื่อขายประกัน โดยไม่ขอความยินยอมเพราะคาดว่าลูกค้าส่วนใหญ่จะไม่ยินยอม | ปรับทางปกครองไม่เกิน 3 ล้านบาท (มาตรา 83) |
การที่ DPO | มาตรา 42 วรรคหนึ่ง DPO มีหน้าที่ให้คำแนะนำและตรวจสอบ | DPO คัดค้านในที่ประชุม แต่รายงานฉบับรับรองถูกแก้เป็น “ไม่มีข้อคัดค้าน” | การแก้รายงานการประชุมอาจมีผลต่อการประเมินพฤติการณ์ของบริษัท |
ให้ DPO ออกจากงานเพราะทำหน้าที่ได้หรือไม่ | มาตรา 42 วรรคสาม ห้ามให้ DPO ออกจากงานหรือเลิกสัญญาจ้างด้วยเหตุที่ปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ | มาลีรับข้อเสนอเอง แต่ข้อเสนอนั้นมีผู้รับคนเดียว และร่างขึ้นสองชั่วโมงหลังเธอคัดค้าน | ข้อเสนอแบบสมัครใจจะถือเป็นการให้ออกหรือไม่ ขึ้นกับศาล หากใช่อาจเข้ามาตรา 82 (ปรับไม่เกิน 1 ล้านบาท) |
ผู้ที่ต้องชดใช้ | มาตรา 77 และ มาตรา78 | โรงแรมเป็นผู้ส่งข้อมูลออกไป บริษัทประกันและศูนย์ขายทางโทรศัพท์ใช้ข้อมูลต่อ | ความรับผิดทางแพ่ง ความรับผิดของผู้รับข้อมูลต้องพิจารณาแยก |
จุดที่ DPO ต้องอ่านให้ละเอียด
ฐานในการเก็บ ไม่ใช่ฐานในการเปิดเผย ข้อมูลหนังสือเดินทางอาจเก็บได้โดยชอบด้วยเหตุตามมาตรา 24(6) แต่การนำไปเปิดเผยเพื่อวัตถุประสงค์อื่นต้องพิจารณาตามมาตรา 27 แยกกัน
ฐานในการเก็บ : ข้อกำหนดตามกฎหมายที่พักเรื่องการเก็บข้อมูลผู้เข้าพักต่างชาติ เป็นไปตาม พ.ร.บ. โรงแรม พ.ศ. 2547 มาตรา 35 วรรคสี่ กำหนดให้ผู้ประกอบการโรงแรมต้องบันทึกข้อมูลผู้เข้าพักลงในทะเบียน เป็นระยะเวลาอย่างน้อย 1 ปี และตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา24(6) ประกอบมาตรา 22 ยกเว้นการขอความยินยอมได้เป็นการจำเป็นเพื่อการปฏิบัติตามกฎหมาย หรือเพื่อประโยชน์สาธารณะและความมั่นคง และอนุญาตให้เก็บข้อมูลเท่าที่จำเป็นเพื่อความปลอดภัยหรือกรณีฉุกเฉินได้
ฐานในการเปิดเผย : มาตรา 27 ผู้ควบคุมข้อมูลส่วนบุคคล ใช้/เปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม/นอกขอบเขตวัตถุประสงค์ จึงมีความผิดตามมาตรา 83 มีโทษปรับไม่เกิน 3 ล้านบาท
ความยินยอมที่คาดว่าจะไม่ได้ ไม่ใช่เหตุผลให้ข้ามการขอความยินยอม เหตุผลว่า “ถ้าขอความยินยอม ยอดจะเหลือไม่ถึงสิบเปอร์เซ็นต์” คือหลักฐานว่าบริษัทรู้ว่าเจ้าของข้อมูลส่วนใหญ่ไม่ต้องการ
การคุ้มครอง DPO ต้องมีหลักฐาน มาตรา 42 วรรคสาม การคุ้มครอง DPO ที่ปฏิบัติหน้าที่ แต่การพิสูจน์ว่า DPO ปฏิบัติหน้าที่แล้ว ต้องอาศัยเอกสาร คำคัดค้านที่ไม่ได้บันทึกไว้ทำให้ทั้ง DPO และเจ้าของข้อมูลเสียเปรียบ
บทเรียนสำหรับ DPO
DPO ที่พูดว่า “ไม่” แต่ไม่ได้เขียนไว้ อาจกลายเป็น DPO ที่ “ไม่มีข้อคัดค้าน” ได้ง่ายกว่าที่คิด
สิ่งที่อยู่นอกเหนืออำนาจของ DPO
- CEO เป็นผู้ตัดสินใจเดินหน้าโครงการ
- รายงานการประชุมถูกแก้โดยผู้มีอำนาจรับรอง
- ข้อเสนอเกษียณถูกออกแบบให้ปฏิเสธได้ยากในช่วงที่ครอบครัวเดือดร้อน
- บริษัทปล่อยตำแหน่ง DPO ว่างในช่วงที่โครงการเสี่ยงที่สุดกำลังเปิดตัว
สิ่งที่ DPO ทำได้มากกว่านี้
- เขียนความเห็นในวันเดียวกัน และส่งความเห็นเป็นลายลักษณ์อักษรถึงผู้บริหารหลังการประชุม
- ตรวจรายงานการประชุมก่อนรับรอง ขอแก้ทันทีเมื่อคำคัดค้านหายไป ซึ่งเป็นสิ่งที่ DPO ควรทำ
- ใช้ช่องทางรายงานตรง เมื่อ CEO ไม่รับฟัง เรื่องที่กระทบลูกค้าทั้งเครือ เรื่องควรถึงคณะกรรมการบริษัท
- ปรึกษานักกฎหมายภายนอกก่อนเซ็นข้อตกลงรักษาความลับ เพื่อรู้ว่าข้อตกลงนั้นจำกัดการให้ข้อมูลต่อหน่วยงานรัฐหรือศาลหรือไม่
บทเรียนหลัก: องค์กรที่อยากให้เสียงของ DPO หายไป ไม่จำเป็นต้องไล่ใครออก แค่ทำให้การออกดูน่าสนใจกว่าการอยู่ต่อ
ข้อเสนอแนะเชิงระบบ
ประเด็น | การดำเนินการ | ฝ่ายที่ DPO ร่วมทำงาน |
ความเห็นของ DPO | บันทึกเป็นลายลักษณ์อักษรแยกจากรายงานการประชุม | เลขานุการบริษัท |
รายงานการประชุม | ให้ผู้ที่ถูกอ้างถึงตรวจทานก่อนรับรอง | เลขานุการบริษัท |
โครงการใช้ข้อมูลเพื่อวัตถุประสงค์ใหม่ | ประเมินผลกระทบและฐานทางกฎหมายก่อนอนุมัติ | ฝ่ายการตลาด ฝ่ายกฎหมาย |
การคุ้มครอง DPO | การเลิกจ้าง เกษียณ หรือโยกย้าย DPO ผ่านการพิจารณาของคณะกรรมการตรวจสอบ | คณะกรรมการตรวจสอบ ฝ่ายบุคคล |
ความต่อเนื่องของตำแหน่ง DPO | ห้ามปล่อยตำแหน่ง DPO ว่างในช่วงที่มีโครงการใช้ข้อมูลใหม่ | ผู้บริหารสูงสุด |
พันธมิตร | ตรวจพฤติกรรมการขายของพันธมิตรและผู้รับจ้างช่วงที่ได้รับข้อมูล | ฝ่ายพัฒนาธุรกิจ |
เช็กลิสต์สำหรับองค์กร
- ความเห็นของ DPO ต่อโครงการเสี่ยงมีบันทึกเป็นลายลักษณ์อักษรทุกครั้ง
- รายงานการประชุมที่อ้างถึง DPO ผ่านการตรวจของ DPO ก่อนรับรอง
- การเปิดเผยข้อมูลลูกค้าให้พันธมิตรมีฐานทางกฎหมายที่ระบุไว้ชัด
- การพ้นตำแหน่งของ DPO ผ่านคณะกรรมการตรวจสอบ
- ข้อตกลงรักษาความลับไม่จำกัดการให้ข้อมูลต่อหน่วยงานรัฐหรือศาล
- ตำแหน่ง DPO ไม่ว่างในช่วงเปิดตัวโครงการที่ใช้ข้อมูลใหม่
คำถามชวนอภิปราย
- ทางเลือกของมาลี ถ้าคุณเป็นมาลี ในวันที่ได้รับซองสีน้ำตาล คุณมีหลานคนแรก ส่วนสามีก็เพิ่งผ่าตัดหัวใจ คุณจะรับข้อเสนอนั้นหรือไม่
- มุมของเลขานุการ เลขานุการที่พิมพ์ร่างรายงานการประชุมรู้ว่าฉบับรับรองต่างจากที่เธอพิมพ์ เธอควรทำอะไร และองค์กรควรคุ้มครองเธออย่างไร
- การตัดสินใจของ CEO คุณวิเชียรอาจเชื่อจริงว่ารายได้ 18 ล้านบาทสำคัญต่อพนักงานหลายพันคน การตัดสินใจของเขาต่างจากการตัดสินใจเชิงธุรกิจที่เสี่ยงทั่วไปอย่างไร
- เอกสารที่ทำร้ายบริษัทตัวเอง ภาคินพบเอกสารที่ทำร้ายบริษัท ในฐานะ DPO เขาควรส่งเอกสารนั้นให้ใคร
- ขอบเขตข้อตกลงรักษาความลับ ข้อตกลงรักษาความลับในสัญญาเลิกจ้างควรมีขอบเขตแค่ไหน จึงไม่กลายเป็นเครื่องมือปิดปาก DPO
- กระจกสะท้อน ในองค์กรของคุณ ถ้า DPO คัดค้านในที่ประชุม คำคัดค้านนั้นจะถูกบันทึกไว้ที่ไหน
หมายเหตุการอ้างอิงและแหล่งที่มา
- มาตรา 24: https://pdpa.sidata.plus/article-24/
- มาตรา 27: https://pdpa.sidata.plus/article-27/
- มาตรา 42: https://pdpa.sidata.plus/article-42/
- มาตรา 77: https://pdpa.sidata.plus/article-77/
- มาตรา 78: https://pdpa.sidata.plus/article-78/
- มาตรา 82: https://pdpa.sidata.plus/article-82/
- มาตรา 83: https://pdpa.sidata.plus/article-83/
