PDPA Thailand

PDPA Thailand
PDPA Thailand

หลักการประมวลผล “ประวัติอาชญากรรม” ถูกหลัก ปลอดภัย ไม่ละเมิด PDPA

‘ประวัติอาชญากรรม’ เป็นข้อมูลส่วนบุคคลอ่อนไหว (Sensitive Data) ซึ่งกฎหมาย PDPA หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ระบุว่า ‘ห้าม’ ไม่ให้เก็บรวบรวมข้อมูลส่วนบุคคลอ่อนไหวที่อาจจะส่งผลกระทบต่อร่างกายและจิตใจของบุคคลนั้นโดยไม่ได้รับ ‘ความยินยอม’ โดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล และต้องกระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย หรือได้จัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด
ซึ่งผู้เกี่ยวข้องหลักสำหรับการนำข้อมูลเกี่ยวกับประวัติอาชญากรรมไปใช้ในการประมวลผลข้อมูล จะเป็นบุคลากรฝ่ายทรัพยากรบุคคล (HR) ในกิจกรรม อาทิ การพิจารณารับบุคลากรเข้าทำงานตำแหน่งที่จำเป็นต้องตรวจสอบ ทำให้องค์กรจำเป็นต้องให้ความสำคัญกับการพัฒนาผู้ที่เกี่ยวข้องให้รู้และดำเนินการได้สอดคล้องกับกฎหมาย PDPA เนื่องจากเป็นความรับผิดชอบโดยตรง ซึ่งเมื่อเกิดเหตุละเมิดหรือเหตุร้องเรียน องค์กรอาจมีส่วนร่วมต้องรับผิดชอบสำหรับความผิดพลาดในการปฏิบัติหน้าที่ด้วย
สาระสำคัญกฎหมายลำดับรองเกี่ยวกับ “ประวัติอาชญากรรม” ที่ต้องรู้
ประกาศ “คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่องหลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม ที่มิได้กระทำการควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566 ” (บังคับใช้ตั้งแต่วันที่ 7 เมษายน 2567) เป็นกฎหมายลำดับรอง ที่ว่าด้วยเรื่องของการเก็บรวบรวมข้อมูลส่วนบุคคลโดยอาศัยอำนาจตามมาตรา 26 วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติว่า
“การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมต้องกระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย หรือได้จัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคล ตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด”
หมายความว่า ถ้าองค์กรไม่ใช่หน่วยงานรัฐที่ทำหน้าที่เก็บรวบรวมข้อมูลประวัติอาชญากรรม องค์กรของคุณก็สามารถเก็บได้เช่นกัน โดยต้องมีมาตรการคุ้มครองข้อมูลส่วนบุคคลตามเกณฑ์ฯ โดยประกาศดังกล่าวระบุถึงมาตรการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับอาชญากรรมตามที่ สคส. กำหนด ได้แก่ ระยะเวลาการเก็บ ข้อยกเว้นกรณีหากจำเป็นต้องเก็บเกินเวลา และการลบทำลาย/ทำเป็นข้อมูลไม่สามารถรระบุตัวตนได้
นิยามของข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตาม PDPA
“ข้อมูลส่วนบุคคลที่เกี่ยวกับประวัติอาชญากรรม” ในบริบทนี้ หมายถึง ข้อมูลส่วนบุคคลเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญาที่เป็นข้อมูลที่เป็นทางการ หรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมาย เกี่ยวกับการดำเนินการดังกล่าว ทั้งนี้ ไม่ว่าการดำเนินการนั้นจะถึงที่สุดแล้วหรือไม่ก็ตาม
การเก็บรวบรวม-การเก็บรักษา-ประวัติอาชญากรรม-PDPA-PDPAThailand
หลักเกณฑ์ในการเก็บรวบรวมและเก็บรักษาข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม
จากประกาศฯ การเก็บรวบรวมข้อมูลประวัติอาชญากรรมสามารถทำได้ ภายใต้วัตถุประสงค์ ดังนี้
1. มีกฎหมายเฉพาะกำหนดให้เก็บรวบรวมเพื่อตรวจสอบประวัติอาชญากรรม คุณสมบัติหรือลักษณะต้องห้ามเกี่ยวกับการกระทำความผิดทางอาญา
ตัวอย่างเช่น ตำแหน่งงานที่ทำงานด้านการป้องกันและปราบปรามการฟอกเงินต้องมีการตรวจประวัติอาชญากรรมตามกฎหมายป้องกันและปราบปรามการฟอกเงิน
2. ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล สำหรับกรณีที่เป็นไปตามวัตถุประสงค์เฉพาะ ดังนี้
2.1 การพิจารณารับบุคคลเข้าทำงาน หรือการตรวจสอบคุณสมบัติ ลักษณะต้องห้ามหรือพิจารณาความเหมาะสมของบุคคลที่จะดำรงตำแหน่งใด 
การตรวจสอบประวัติอาชญากรรมเพื่อพิจารณาการรับสมัครเข้าทำงาน จะต้องได้รับความยินยอมจากเจ้าของข้อมูลในการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูล องค์กรหรือบริษัทจึงจำเป็นต้องมีเอกสารขอความยินยอมในการให้องค์กรหรือบริษัท ตรวจสอบข้อมูลประวัติอาชญากรรม จึงจำเป็นต้องมี “ลายเซ็น” ของเจ้าของข้อมูลเซ็นกำกับ เพื่อให้องค์กรหรือบริษัทดำเนินการได้ตามที่ PDPA บัญญัติไว้
ตัวอย่างเช่น การรับสมัครผู้ที่ดำรงตำแหน่งเจ้าหน้าที่รักษาความปลอดภัย (รปภ.) ต่าง ๆ ไม่ว่าจะเป็นทั้งองค์กรหรือบริษัท จัดตั้งด้วยตัวเอง ซึ่งรวมไปถึงการใช้บริการ Outsource จากองค์กรหรือบริษัทที่ให้บริการด้านรักษาความปลอดภัย จึงจำเป็นต้องใช้ข้อมูลส่วนตัวเกี่ยวกับประวัติอาชญากรรมเพื่อการพิจารณารับเข้าทำงานหรือใช้บริการได้ด้วย
2.2 การตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามของบุคคลในการออกใบอนุญาตต่าง ๆ ซึ่งดำเนินการโดยหน่วยงานของรัฐ หรือผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับมอบหมายให้ปฏิบัติหน้าที่ในการใช้อำนาจแทนหน่วยงานของรัฐ 
ตัวอย่างเช่น การออกใบอนุญาตขับขี่ประเภท 2 ให้กับบุคคลขับรถรับจ้างทั้งประจำทางและไม่ประจำทาง เพื่อการพิจารณาในการออกใบอนุญาตของกรมขนส่งทางบก
2.3 การตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามของบุคคลในการอนุญาตต่าง ๆ โดยผู้ควบคุมข้อมูลส่วนบุคคลอื่น ที่นอกเหนือจากข้อ (2.2)
โดยภายใต้วัตถุประสงค์ตามข้างต้นนี้ต้องได้รับความยินยอมโดยชัดแจ้ง หรือมีฐานทางกฎหมายรองรับให้สามารถเก็บรวบรวมได้  ซึ่งต้องแจ้งผลกระทบระหว่างการให้ – ไม่ให้ความยินยอม ในขั้นตอนการขอความยินยอม และแจ้งให้ทราบว่าจะมีการตรวจประวัติอาชญากรรมตั้งแต่ขั้นตอนแรก เช่น ขั้นตอนการประกาศรับสมัคร การสรรหา การรับเลือก
หลักเกณฑ์ในการเก็บรักษาข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม
จากประกาศฯ เมื่อประมวลผลหรือใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเสร็จแล้ว ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) สามารถเก็บข้อมูลนั้นต่อไปได้อีก “ไม่เกิน 6 เดือน” หากเกินระยะเวลาดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคล ต้องลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุถึงเจ้าของข้อมูลส่วนบุคคลได้

 

แต่กฎหมายยังมี “ข้อยกเว้น” ในกรณีที่จำเป็นต้องเก็บข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมนอกเหนือจากระยะเวลาที่กฎหมายกำหนดไว้ด้วย ตามกรณีดังนี้
1. มีกฎหมายเฉพาะกำหนดให้สามารถเก็บรักษาต่อไปได้ กรณีที่สามารถเก็บรวบข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม โดยที่ “กฎหมายกำหนด” ให้สามารถเก็บรวบรวมต่อไปได้ 
ตัวอย่างเช่น มีกฎหมายเฉพาะที่กำหนดให้องค์กรจะต้องเก็บประวัติอาชญากรรมของพนักงานเป็นเวลา 10 ปีองค์กรจึงสามารถเก็บได้มากกว่า 6 เดือน
2. มีฐานทางกฎหมายอื่นซึ่งได้รับการยกเว้นไม่ต้องขอความยินยอมตามมาตรา 26 กรณีที่ไม่มีกฎหมายอื่นกำหนดให้เก็บ แต่มี “ฐานทางกฎหมาย” ตามที่ PDPA กำหนด ให้เก็บได้มากกว่า 6 เดือน
ตัวอย่างเช่น องค์กรจำเป็นจะต้องเก็บประวัติอาชญากรรมของพนักงานไว้ เนื่องจากมีการฟ้องร้องคดีซึ่งประวัติอาชญากรรมเป็นหลักฐานในการต่อสู้คดี องค์กรสามารถใช้ฐานตามมาตราา 26 (อนุมาตรา 4) จึงเก็บประวัติอาชญากรรมได้มากกว่า 6  เดือน
3. ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลเป็นอย่างอื่น กรณีที่จำเป็นต้องขอตรวจสอบประวัติอาชญากรรม จำเป็นต้องได้รับ “ความยินยอม” โดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลก่อนจึงจะสามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมได้
ดังนั้น หากองค์กรหรือธุรกิจ มีความจำเป็นต้องเก็บรวบ “ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม” เพื่อจุดประสงค์ใดจุดประสงค์หนึ่ง ควรมีการศึกษาถึงรายละเอียดข้อกฎหมายต่าง ๆ หรือดำเนินการโดยมีผู้เชี่ยวชาญคอยให้คำแนะนำพร้อมคำปรึกษา เพื่อให้ดำเนินการได้ถูกต้องและสอดคล้องตามกฎหมาย PDPA 
pdpa guru
dpo in action อบรม pdpa dpo
DPO ภาครัฐ PDPA
หลักสูตร PDPA in Action
DPAC อบรม PDPA Internal Audit
PDPA Guru Google Forms EP8
DPOinActionรุ่น19 1200x300
DPO in Action TU - 1200x300
Advanced PDPA in Action สำหรับภาคเอกชน
Banner DPAC 1200x300
dpo รวม