Our Blog

General Data Protection Regulation หรือ GDPR เป็นกฎหมายของสหภาพยุโรปว่าด้วยมาตรการคุ้มครองความเป็นส่วนตัวของข้อมูลส่วนบุคคล โดยข้อมูลส่วนบุคคลตามนิยามของ GDPR คือ ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม รวมถึงข้อมูลที่นำมารวมกันแล้วสามารถใช้ระบุอัตลักษณ์ของบุคคลได้ เช่น ชื่อ-นามสกุล ที่อยู่ อีเมล หมายเลขบัตรประจำตัว IP Address  แนวคิดพื้นฐานของ Data protection

เรียบเรียงโดย :  อ. ทรงพล หนูบ้านเกาะ – Project manager ด้านการคุ้มครองข้อมูลส่วนบุคคล คุณสุพิชญา เอกยะติ – ที่ปรึกษาและสอบทานการคุ้มครองข้อมูลส่วนบุคคล พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลประกาศใช้อย่างเป็นทางการเมื่อวันที่ 27 พฤษภาคม 2562 และบังคับใช้เต็มรูปแบบในวันที่ 1 มิถุนายน 2565 องค์กรทั้งหลายจะต้องเตรียมพร้อมและเข้าใจถึงหน้าที่ รวมถึงความรับผิดชอบที่มีต่อพระราชบัญญัติฉบับนี้ โ

หลังที่สหภาพยุโรปได้มีการบังคับใช้กฎหมาย General Data Protection Regulation หรือ GDPR เมื่อวันที่ 25 พฤษภาคม 2561 กฎหมายของสหภาพยุโรปว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ทำให้องค์กรธุรกิจต่างมีการปรับตัว และที่ปรับตัวได้ไม่ทันหรือไม่ถูกต้องตามกฎหมาย ก็จะโดนบทลงโทษโดยการ ‘ปรับเงิน’ ซึ่งตามระเบียบของ GDPR มีโทษปรับสูงสุด 20 ล้านยูโร หรืออาจจะคิดจากฐาน 4% ของรายได้ทั่วโลก และอาจจะต้องพิจารณาจ่ายค่าสินไห

PDPA แบ่งออกเป็น 2 ประเภท คือ ข้อมูลส่วนบุคคล (PII) ที่สามารถระบุตัวตนบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรม และอีกประเภทคือ ข้อมูลส่วนบุคคลที่อ่อนไหว (Sensitive PII) คือ ข้อมูลส่วนบุคคลที่เกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อ ศาสนา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลพันธุกรรม ข้อมูลชีวภาพ (เช่น ข้อมูลภาพจำลองใบหน้

ทุกวันนี้ยังมีข่าวเกี่ยวกับการหลุดรั่วของข้อมูลส่วนบุคคลให้เห็นอยู่หลายกรณี ซึ่งแน่นอนว่าส่งผลกระทบต่อความเชื่อมั่นขององค์กร และความวิตกกังวลของประชาชนว่า ข้อมูลส่วนบุคคลของพวกเขา จะถูกนำไปใช้หาประโยชน์อะไรในทางที่ไม่ชอบด้วยกฎหมาย ยังถือว่าเป็นโชคดีของภาครัฐและผู้ประกอบการไทย ที่ปัจจุบันแม้กฎหมาย PDPA จะมีการประกาศใช้บังคับแล้ว แต่ก็ยังต้องยอมรับว่าประเทศก็ยังคงไม่มีเคสที่โดนปรับอย่างจริงจัง เพราะ

ภายในองค์กรธุรกิจ กิจกรรมของฝ่ายขาย (Sale) และงานบริหารลูกค้า(AE-Account Executive) ซึ่งเป็นแผนกหลักๆ ที่มีการติดต่อและประสานงานกับลูกค้าโดยตรง ด้วยเหตุผลดังกล่าว ทำให้แผนกนี้ต้องมีการจัดเก็บข้อมูลส่วนบุคคลของลูกค้าแต่ละบริษัทไว้เป็นจำนวนมาก และด้วยเหตุผลนี้ เราจึงขอยกกรณีตัวอย่างในการจัดเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าอย่างไร ไม่ให้ละเมิดกฎหมาย PDPA หรือพระราชบัญญัติคุ้มครองข้อม

การยืนยันตัวตนด้วยวิธีสแกนใบหน้า สแกนม่านตา หรือลายนิ้วมือในปัจจุบันอาจไม่ใช่เรื่องแปลกใหม่แต่อย่างใด แต่สิ่งหนึ่งที่ผู้ประกอบธุรกิจควรจะทราบด้วยว่า ไบโอเมตริกซ์ (Biometrics) คือ ข้อมูลทางสรีรวิทยาที่เป็นอัตลักษณ์เฉพาะทางกายภาพของบุคคลนั้นๆ เป็น ‘ข้อมูลส่วนบุคคลอ่อนไหว’ (Sensitive Data) ซึ่งกฎหมาย PDPA หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 บัญญัติไว้ว่า ห้ามไม่ให้เก็บรวบรวม ใช้ หรือเปิ

กิจกรรมที่เกี่ยวกับข้อมูลส่วนบุคคลภายใต้ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล หรือ PDPA มีอยู่ 3 กิจกรรมหลักๆ คือ การเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคล ซึ่งหลักการคุ้มครองข้อมูลส่วนบุคคลของ PDPA คือ บริษัทหรืององค์กรจะไม่สามารถประมวนผลใดๆก็ตามได้ เว้นแต่ เจ้าของข้อมูลส่วนบุคคลจะได้ให้ความยินยอม ทั้งนี้ เว้นแต่ข้อยกเว้นตาม PDPA หรือกฎหมายอื่นจะกำหนดให้ทำได้ หมายความว่า โดยหลักคือ จะทำกิจกรรมก