ไม่ติดป้ายแจ้งเตือน อาจติดคุก! หากใครที่เดินทางไปต่างประเทศ อาทิ ยุโรป หรืออเมริกา จะพบเห็นได้บ่อยๆ มีการแจ้ง CCTV Notice เช่น ในสนามบิน และร้านค้าต่าง ๆ ซึ่งเป็นป้ายหรือสติกเกอร์แจ้งเตือนว่า พื้นที่ดังกล่าวมีการติดกล้องวงจรปิด CCTV ซึ่งข้อมูลในนั้นนอกจากจะแจ้งเตือนไว้อย่างชัดเจนแล้ว ยังมี QR Code ที่สามารถสแกนเข้าถึงคำประกาศเกี่ยวกับความเป็นส่วนตัวในการใช้กล้องวงจรปิด (CCTV Privacy Notice) ของสถานประกอบการต่าง ๆ โดยมักจะติดอยู่ในบริเวณที่สังเกตเห็นได้ง่ายเพื่อให้ผู้มาติดต่อหรือใช้บริการได้ทราบ 

สติกเกอร์ CCTV Notice เป็นการปฏิบัติตามข้อบังคับในกฎหมายของสหภาพยุโรปว่าด้วยการคุ้มครองข้อมูลความเป็นส่วนตัว (General Data Protection Regulation : GDPR) โดยภาพถ่ายบุคคลไม่ว่าจะเป็นภาพนิ่ง ภาพเคลื่อนไหว รวมทั้งเสียงสนทนา ซึ่งถือเป็นข้อมูลส่วนบุคคล ดังนั้นสถานประกอบการที่ติดกล้องวงจรปิด CCTV จึงมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) และได้มีการเก็บ รวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคล แต่จะให้ทุกคนที่มาติดต่อหรือใช้บริการมาเซ็นชื่อในข้อตกลงความยินยอม (Consent) ก็คงไม่ไหว 

ทั้งการติดกล้องวงจรปิด CCTV ในสถานประกอบการ สามารถใช้ ฐานประโยชน์โดยชอบธรรม อาทิ มีวัตถุประสงค์เพื่อรักษาความปลอดภัยแก่ชีวิตและทรัพย์สิน ดังนั้นกฎหมายจึงระบุให้มีการแจ้งสิทธิโดยจัดให้มีสติกเกอร์ CCTV Notice แจ้งสิทธิแก่ผู้มาติดต่อหรือลูกค้าไว้อย่างชัดเจนเพื่อป้องกันความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล

 

CCTV Notice สำหรับสถานประกอบการในไทยจำเป็นหรือไม่? 

ไม่ใช่แค่จำเป็น แต่จำเป็นอย่างมาก เนื่องจากประเทศไทยมีการบังคับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 หรือ กฎหมาย PDPA มีผลต่อทุกองค์กร ทุกสถานประการที่ติดกล้องวงจรปิด CCTV ซึ่งข้อมูลภาพนิ่ง และภาพเคลื่อนไหวเป็นข้อมูลส่วนบุคคลตามข้อมูลที่ระบุไว้ในข้างต้น ดังนั้นจะต้องดำเนินการให้สอดคล้องกับกฎหมาย หากไม่ดำเนินการก็เป็นที่แน่นอนว่ามีบทลงโทษจนอาจสามารถทำให้เจ้าของกิจการติดคุกได้จริง ๆ !

ทั้งนี้ กฎหมาย PDPA กำหนดโทษทางอาญา หากตั้งใจปล่อยปละละเลยจนเกิดการละเมิดสิทธิเจ้าของข้อมูลส่วนบุคคลอย่างร้ายแรง หรือสั่งการภายใต้อำนาจอันเป็นเหตุละเมิดข้อมูลส่วนบุคคล กฎหมายกำหนดโทษอาญา คือ จำคุกสูงสุดไม่เกิน 1 ปี ปรับไม่เกิน 1 ล้านบาท หรือทั้งจำทั้งปรับ

และมีโทษทางคดีแพ่งในกรณีที่ข้อมูลส่วนบุคคลที่เกิดการละเมิดจนทำให้เกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง เลือกปฏิบัติ หรือได้รับความอับอาย ความผิดทางแพ่ง คือ สถานประกอบการนั้นจะต้องชดใช้ตามความเสียหายที่เกิดขึ้น หรือสูงสุดไม่เกิน 2 เท่าของค่าเสียหายที่แท้จริง

นอกจากนั้น กฎหมาย PDPA ยังพ่วง โทษทางปกครอง ไว้ด้วย โดยระบุชัดเจนว่าหากบุคคลหรือนิติบุคคลไม่ดำเนินการตามที่กฎหมายกำหนด หากถูกร้องเรียนจนถูกตรวจสอบ (มีมูล) ก็มีโทษปรับสูงสุด 5 ล้านบาท ทั้งนี้ก็เพื่อเป็นการ ‘ตักเตือน’ ซึ่งก็นับเป็นเงินจำนวนไม่น้อยเลยทีเดียว ดังนั้นถามว่าจำเป็นไหม ก็ลองถามใจเธอดู!

 

แนะนำ ร้านกาแฟ ร้านอาหาร ติดกล้องวงจรปิดอย่างไรไม่ผิดกฎหมาย PDPA 

ในที่นี้เราหยิบยกกรณีตัวอย่าง สถานบริการที่เราจะพบกล้องวงจรปิด CCTV ได้ทั่วไป และเราก็ไปใช้บริการกันบ่อยๆ เช่น ร้านกาแฟ และร้านอาหาร รวมถึงคำแนะนำหากผู้ประกอบการร้านกาแฟ ร้านอาหาร จะมีการติดกล้อง CCTV ต้องดำเนินการอย่างไรบ้าง เพื่อให้สอดคล้องตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ดังนี้ 

1. สิ่งจำเป็นมากและทุกร้านที่ติดกล้องวงจรปิดต้องทำ คือ สติ๊กเกอร์ CCTV Notice ซึ่งภายในสติ๊กเกอร์จะต้องระบุไว้อย่างชัดเจนว่า ร้านนี้ หรือบริเวณนี้ได้มีการติดกล้องวงจรปิด (ไว้นะ) ซึ่งเป็นการแจ้งสิทธิพื้นฐานให้แก่ผู้มาติดต่อ หรือผู้มาใช้บริการได้ทราบ และจะต้องติดไว้ในจุดที่ที่สังเกตเห็นได้ง่ายและชัดเจน ใช้ภาษาที่เข้าใจง่าย ไม่กำกวม หรือเจตนาทำให้เข้าใจผิด

2. จัดทำประกาศการคุ้มครองส่วนบุคคลเกี่ยวกับการใช้กล้องวงจรปิด (Privacy Notice on CCTV Use) ของทางร้าน ในกรณีที่ร้านกาแฟ หรือร้านอาหารนั้น ๆ มีลูกค้าที่มาติดต่อเป็นจำนวนมาก ซึ่งสุ่มเสี่ยงต่อการละเมิดข้อมูลส่วนบุคคลได้โดยง่าย ซึ่ง Privacy Notice on CCTV Use จะต้องประกอบด้วย 

– ประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวม คือ บอกข้อมูลว่าเก็บภาพ ภาพนิ่ง หรือเสียงสนทนา อะไรบ้างที่ถูกเก็บข้อมูลไว้

– วิธีการประมวลผลข้อมูลส่วนบุคคล หากมีการจัดเก็บแล้วนำไปใช้ประโยชน์ทางธุรกิจ มีการดำเนินการใดบ้าง 

– วัตถุประสงค์ในการเก็บข้อมูลเพื่อนำไปใช้ประโยชน์ด้านใดบ้าง

– หลักเกณฑ์ หรือฐานทางกฎหมาย ทางร้านใช้ฐานใดบ้างในการเก็บและประมวลผลข้อมูลลูกค้าจากไฟล์ที่บันทึกโดยกล้องวงจรปิด CCTV เช่น ฐานกฎหมาย ฐานประโยชน์โดยชอบ หรือฐานสัญญา 

– ข้อมูลที่มีการเปิดเผยข้อมูลส่วนบุคคลต่อบุคคลที่สาม ควรระบุด้วยว่าข้อมูลจากกล้องวงจรปิดมีการเปิดเผยหรือส่งต่อแก่บุคคลที่สามใดบ้าง และเพื่อกิจกรรมใด 

– ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล มีการเก็บไว้นานเท่าใด และจะลบทำลายเมื่อใด 

– การแจ้งสิทธิ นั่นคือบอกอย่างตรงไปตรงมา โดยการจัดทำสติ๊กเกอร์แจ้งตามที่ระบุข้างต้น (ข้อที่ 1) ทั้งควรจัดทำ QR Code เพื่อเป็นช่องทางให้ลูกค้าสามารถสแกนเพื่อรับทราบสิทธิต่าง ๆ ของเจ้าของข้อมูลส่วนบุคคล 

– ช่องทางการติดต่อของทางร้าน ในกรณีที่ลูกค้าต้องการทราบถึงรายละเอียดอื่นๆ หรือมีคำขอสำหรับการใช้สิทธิโดยชอบตามกฎหมาย PDPA

– มาตรการรักษาความปลอดภัยข้อมูลส่วนบุคคล ทางร้านจะต้องมีการป้องกันข้อมูลรั่วไหลหรือถูกละเมิดที่เหมาะสม

ทั้งนี้ ร้านกาแฟ ร้านอาหาร หรือสถานประกอบการควรทราบอีกว่า คดีฟ้องร้องในกรณีเกิดการละเมิดข้อมูลส่วนบุคคลอันก่อให้เกิดความเสียหายในรูปแบบต่างๆ  สิทธิเรียกร้องค่าเสียหายอันเกิดจากการละเมิดข้อมูลส่วนบุคคลตามกฎหมาย PDPA มีอายุความ 3 ปี นับจากวันที่ผู้เสียหายรับรู้ถึงความเสียหายที่เกิดขึ้น และรู้ตัวผู้ควบคุมข้อมูลส่วนบุคคลหรือ ผู้ประมวลผลข้อมูลส่วนบุคคลที่ต้องรับผิด หรือเมื่อพ้นสิบปีนับแต่วันที่มีการละเมิดข้อมูลส่วนบุคคล ซึ่งก็นับว่าเป็นบทลงโทษที่ค่อนข้างแรงแถมมีอายุความที่ยาวนานพอสมควร ดังนั้นจะต้องระมัดระวัง และให้ความสำคัญต่อกฎหมาย PDPA นี้อย่างมาก