ไม่ติดป้ายแจ้งสิทธิ…อาจติดคุก! .. หากใครที่เดินทางไปต่างประเทศ อาทิ ยุโรป หรืออเมริกา จะพบเห็นได้บ่อยๆ มีการแจ้ง ‘CCTV Notice’ เช่น ในสนามบิน และร้านค้าต่างๆ ซึ่งเป็นป้าย หรือสติ๊กเกอร์แจ้งเตือนว่า พื้นที่ดังกล่าวมีการติดกล้องวงจรปิด CCTV ซึ่งข้อมูลในนั้นนอกจากจะแจ้งเตือน และบอกสิทธิไว้อย่างชัดเจนแล้ว ยังมี QR Code ที่สามารถสแกนเข้าถึงคำประกาศเกี่ยวกับความเป็นส่วนตัวในการใช้กล้องวงจรปิด (CCTV Privacy Notice) ของสถานประกอบการต่างๆ โดยมักจะติดอยู่ในบริเวณที่สังเกตเห็นได้ง่ายเพื่อให้ผู้มาติดต่อหรือใช้บริการได้ทราบ
โดยสติ๊กเกอร์ CCTV Notice เป็นการปฏิบัติตามข้อบังคับในกฎหมายของสหภาพยุโรปว่าด้วยการคุ้มครองข้อมูลความเป็นส่วนตัว (General Data Protection Regulation : GDPR) โดยภาพถ่ายบุคคลไม่ว่าจะเป็นภาพนิ่ง ภาพเคลื่อนไหว รวมทั้งเสียงสนทนา ซึ่งถือเป็นข้อมูลส่วนบุคคล ดังนั้นสถานประกอบการที่ติดกล้องวงจรปิด CCTV จึงมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) และได้มีการเก็บ รวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคล แต่จะให้ทุกคนที่มาติดต่อหรือใช้บริการมาเซ็นชื่อในข้อตกลงความยินยอม (Consent) ก็คงไม่ไหว
ทั้งการติดกล้องวงจรปิด CCTV ในสถานประกอบการ สามารถใช้ ‘ฐานประโยชน์โดยชอบธรรม’ อาทิ มีวัตถุประสงค์เพื่อรักษาความปลอดภัยแก่ชีวิตและทรัพย์สิน ดังนั้นกฎหมายจึงระบุให้ มีการแจ้งสิทธิโดยจัดให้มีสติ๊กเกอร์ CCTV Notice แจ้งสิทธิแก่ผู้มาติดต่อหรือลูกค้าไว้อย่างชัดเจนเพื่อป้องกันความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล
ไม่ใช่แค่จำเป็น …แต่จำเป็นอย่างมาก เนื่องจากประเทศไทยกำลังบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 หรือ กฎหมาย PDPA มีผลต่อทุกองค์กร ทุกสถานประการที่ติดกล้องวงจรปิด CCTV ซึ่งข้อมูลภาพนิ่ง และภาพเคลื่อนไหวเป็นข้อมูลส่วนบุคคลตามข้อมูลที่ระบุไว้ในข้างต้น ดังนั้น จะต้องดำเนินการให้สอดคล้องกับกฎหมาย หากไม่ดำเนินการก็เป็นที่แน่นอนว่ามีบทลงโทษจนสามารถทำให้เจ้าของกิจการติดคุกได้จริงๆ !!!
ทั้งนี้ กฎหมาย PDPA กำหนดโทษทางอาญา ในกรณีที่ บุคคล หรือนิติบุคคลจะต้องขอความยินยอมจากเจ้าของข้อมูลในการเก็บ รวบรวมใช้ หรือเปิดเผย ซึ่งในกรณีการติดกล้องวงจรปิด ทำได้โดยการแจ้งสิทธิในรูปแบบ ‘สติ๊กเกอร์ CCTV Notice’ และหากไม่ดำเนินการตามกฎหมาย จนนำไปสู่การละเมิดสิทธิเจ้าของข้อมูลส่วนบุคคล หรือการฟ้องร้อง กฎหมายกำหนดโทษอาญา คือ จำคุกสูงสุดไม่เกิน 1 ปี ปรับไม่เกิน 1 ล้านบาท หรือทั้งจำทั้งปรับ
และมีโทษทางคดีแพ่งในกรณีที่ข้อมูลส่วนบุคคลที่เกิดการละเมิด จนทำให้เกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง เลือกปฏิบัติ หรือได้รับความอับอาย ความผิดทางแพ่ง คือ สถานประกอบการนั้นจะต้องชดใช้ตามความเสียหายที่เกิดขึ้น หรือสูงสุดไม่เกิน 2 เท่าของค่าเสียหายที่แท้จริง
และแม้ทั้งสองกรณีไม่ได้เกิดขึ้น คือ ยังไม่มีการกล่าวโทษ ยังไม่เกิดการละเมิด หรือกระทำความผิด แต่กฎหมาย PDPA ยังพ่วง ‘โทษทางปกครอง’ ไว้ด้วย โดยระบุชัดเจนว่า หากบุคคล หรือนิติบุคคลไม่ดำเนินการตามที่กฎหมายกำหนด มีโทษปรับสูงสุด 5 ล้านบาท ทั้งนี้ก็เพื่อเป็นการ ‘ตักเตือน’ ซึ่งก็นับเป็นเงินจำนวนไม่น้อยเลยทีเดียว ดังนั้น ถามว่าจำเป็นไหม ก็ลองถามใจเธอดู!
โดยในที่นี้เราหยิบยกกรณีตัวอย่าง สถานบริการที่เราจะพบกล้องวงจรปิด CCTV ได้ทั่วไป และเราก็ไปใช้บริการกันบ่อยๆ เช่น ร้านกาแฟ และร้านอาหาร รวมถึงคำแนะนำหากผู้ประกอบการร้านกาแฟ ร้านอาหาร จะมีการติดกล้อง CCTV ต้องดำเนินการอย่างไรบ้าง เพื่อให้สอดคล้องตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ดังนี้
1.สิ่งจำเป็นมากและทุกร้านที่ติดกล้องวงจรปิดต้องทำ คือ สติ๊กเกอร์ ‘CCTV Notice’ ซึ่งภายในสติ๊กเกอร์จะต้องระบุไว้อย่างชัดเจนว่า ร้านนี้ หรือบริเวนนี้ได้มีการติดกล้องวงจรปิด (ไว้นะ) ซึ่งเป็นการแจ้งสิทธิพื้นฐานให้แก่ผู้มาติดต่อ หรือผู้มาใช้บริการได้ทราบ และจะต้องติดไว้ในจุดที่ที่สังเกตเห็นได้ง่าย และชัดเจน ใช้ภาษาที่เข้าใจง่าย ไม่กำกวม หรือเจตนาทำให้เข้าใจผิด
2.จัดทำประกาศการคุ้มครองส่วนบุคคลเกี่ยวกับการใช้กล้องวงจรปิด (Privacy Notice on CCTV Use) ของทางร้าน ในกรณีที่ร้านกาแฟ หรือร้านอาหารนั้นๆ มีลูกค้าที่มาติดต่อเป็นจำนวนมาก ซึ่งสุ่มเสี่ยงต่อการละเมิดข้อมูลส่วนบุคคลได้โดยง่าย ซึ่ง Privacy Notice on CCTV Use จะต้องประกอบด้วย
- ประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวม คือ บอกข้อมูลว่าเก็บภาพ ภาพนิ่ง หรือเสียงสนทนา อะไรบ้างนั้นเอง
- วิธีการประมวลผลข้อมูลส่วนบุคคล หากมีการจัดเก็บแล้วนำไปใช้ประโยชน์ทางธุรกิจ มีการดำเนินการใดบ้าง
- วัตถุประสงค์ในการเก็บข้อมูลเพื่อนำไปใช้ประโยชน์ด้านใดบ้าง
- หลักเกณฑ์ หรือฐานทางกฎหมาย ทางร้านในฐานใดบ้างในการเก็บและประมวลผลข้อมูลลูกค้าจากไฟล์ที่บันทึกโดบกล้องวงจรปิด CCTV เช่น ฐานกฎหมาย ฐานประโยชน์โดยชอบ หรือฐานสัญญา
- ข้อมูลที่มีการเปิดเผยข้อมูลส่วนบุคคลต่อบุคคลที่สาม ควรระบุด้วยว่าข้อมูลจากกล้องวงจรปิดมีการเปิดเผยหรือส่งต่อแก่บุคคลที่สามใดบ้าง และเพื่อกิจกรรมใด
- ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล มีการเก็บไว้นานเท่าใด และจะลบทำลายเมื่อใด
- การแจ้งสิทธิ นั่นคือบอกอย่างตรงไปตรงมา โดยการจัดทำสติ๊กเกอร์แจ้งตามที่ระบุข้างต้น (ข้อที่ 1) ทั้งควรจัดทำ QR Code เพื่อเป็นช่องทางให้ลูกค้าสามารถสแกนเพื่อรับทราบสิทธิต่างๆ ของเจ้าของข้อมูลส่วนบุคคลได้ เช่น สิทธิในการขอให้แก้ไข ขอสำนำ ระงับ ถ่ายโอน หรือลบทำลาย
- ช่องทางการติดต่อของทางร้าน ในกรณีที่ลูกค้าต้องการทราบถึงรายละเอียดอื่นๆ หรือมีคำขอสำหรับการใช้สิทธิโดยชอบตามกฎหมาย PDPA
- มาตรการรักษาความปลอดภัยข้อมูลส่วนบุคคล ทางร้านจะต้องมีการป้องกันข้อมูลรั่วไหลหรือการละเมิดที่เหมาะสมกับความเสี่ยง
ทั้งนี้ สิ่งที่ร้านกาแฟ ร้ายอาหาร หรือสถานประกอบการควรทราบอีกว่า คดีฟ้องร้องในกรณีเกิดการละเมิดข้อมูลส่วนบุคคลอันก่อให้เกิดความเสียหายในรูปแบบต่างๆ สิทธิเรียกร้องค่าเสียหายอันเกิดจากการละเมิดข้อมูลส่วนบุคคลตามกฎหมาย PDPA มีอายุความ 3 ปี นับจากวันที่ผู้เสียหายรับรู้ถึงความเสียหายที่เกิดขึ้น และรู้ตัวผู้ควบคุมข้อมูลส่วนบุคคลหรือ ผู้ประมวลผลข้อมูลส่วนบุคคลที่ต้องรับผิด หรือเมื่อพ้นสิบปีนับแต่วันที่มีการละเมิดข้อมูลส่วนบุคคล ซึ่งก็นับว่าเป็นบทลงโทษที่ค่อนข้างแรงแถมมีอายุความที่ยาวนานพอสมควร ดังนั้น จึงต้องระมัดระวังและให้ความสำคัญต่อกฎหมาย PDPA ที่ค่อนข้างอ่อนไหวได้ง่ายนี้อย่างมาก
