เบอร์เราไปอยู่ในมือคนขายประกันได้อย่างไร ทั้งที่ไม่เคยให้ใคร คำถามนี้มีเครื่องมือทางกฎหมายให้ตามได้จริง และเครื่องมือนั้นคือ PDPA
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บังคับใช้เต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 วางกติกาว่าองค์กรจะเก็บ ใช้ และเปิดเผยข้อมูลของเราได้แค่ไหน และให้สิทธิเราไปถามเขาได้
ข้อมูลส่วนบุคคลคืออะไร
ข้อมูลที่ทำให้ระบุตัวคนได้ ไม่ว่าทางตรงหรือทางอ้อม เช่น ชื่อ เลขบัตรประชาชน เบอร์โทร อีเมล ภาพถ่าย ข้อมูลตำแหน่งที่ตั้ง หรือแม้แต่เลขทะเบียนรถ
ที่หลายคนไม่รู้คือ ข้อมูลบางประเภทกฎหมายคุมเข้มกว่าปกติ เรียกว่าข้อมูลอ่อนไหว
ได้แก่ เชื้อชาติ ความคิดเห็นทางการเมือง ความเชื่อทางศาสนา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม และข้อมูลชีวภาพอย่างลายนิ้วมือกับใบหน้า
การเก็บข้อมูลกลุ่มนี้ต้องได้ความยินยอมโดยชัดแจ้ง จะอ้างว่า “ใช้ในการดำเนินธุรกิจตามปกติ” ไม่ได้
สิทธิ 8 ข้อของเจ้าของข้อมูล
| สิทธิ | ใช้ตอนไหน |
|---|---|
| ได้รับการแจ้งให้ทราบ | องค์กรต้องบอกก่อนหรือขณะเก็บว่าเก็บอะไร เพื่ออะไร เก็บนานแค่ไหน |
| ขอเข้าถึงและขอสำเนา | อยากรู้ว่าเขามีข้อมูลอะไรของเราบ้าง และได้มาจากไหน |
| ขอให้โอนย้ายข้อมูล | ย้ายไปใช้บริการเจ้าอื่น แล้วอยากให้ส่งข้อมูลต่อในรูปแบบที่อ่านได้ |
| คัดค้านการประมวลผล | ไม่อยากให้เอาข้อมูลไปใช้ทำการตลาดหรือวิเคราะห์พฤติกรรม |
| ขอให้ลบหรือทำลาย | หมดความจำเป็นแล้ว หรือถอนความยินยอมไปแล้ว |
| ขอให้ระงับการใช้ชั่วคราว | ระหว่างที่ยังเถียงกันอยู่ว่าข้อมูลถูกหรือผิด |
| ขอให้แก้ไขให้ถูกต้อง | ข้อมูลผิด ไม่เป็นปัจจุบัน หรือไม่ครบถ้วน |
| ขอเพิกถอนความยินยอม | เคยกดยินยอมไว้ แล้วเปลี่ยนใจ ถอนได้ทุกเมื่อ |
การถอนความยินยอมทำได้ง่ายเท่ากับตอนให้ความยินยอม องค์กรจะตั้งเงื่อนไขให้ถอนยากกว่าตอนกดยอมไม่ได้
องค์กรต้องตอบภายใน 30 วัน
หลายคนส่งคำขอไปแล้วเงียบ ก็คิดว่าจบแค่นั้น
ไม่จบ มาตรา 30 กำหนดให้ผู้ควบคุมข้อมูลดำเนินการตามคำขอภายใน 30 วันนับแต่วันที่ได้รับคำขอ
ถ้าองค์กรเงียบเกิน 30 วัน หรือปฏิเสธโดยไม่ให้เหตุผล นั่นคือจุดที่ร้องเรียนได้
เขียนคำขออย่างไรให้เขาปฏิเสธยาก
ส่งเป็นลายลักษณ์อักษรเสมอ ทางอีเมลหรือแบบฟอร์มของบริษัท ไม่ใช่โทรถามพนักงานหน้าร้าน แล้วใส่ให้ครบ
- ระบุว่ากำลังใช้สิทธิข้อไหนตาม PDPA และอ้างมาตราถ้าทราบ
- บอกให้ชัดว่าต้องการอะไร เช่น ขอสำเนาข้อมูลทั้งหมดที่บริษัทมีเกี่ยวกับตนเอง และขอทราบแหล่งที่มา
- แนบหลักฐานยืนยันตัวตนเท่าที่จำเป็น
- ระบุวันที่ส่ง และขอให้ตอบกลับภายใน 30 วันตามที่กฎหมายกำหนด
- เก็บสำเนาคำขอและหลักฐานการส่งไว้ทุกครั้ง
ระวังเรื่องการส่งสำเนาบัตรประชาชนให้องค์กรที่ยังไม่ไว้ใจ อ่านวิธีป้องกันที่ ร้านขอสำเนาบัตรประชาชน ให้ได้ไหม
หน้าที่ขององค์กร
ต้องแจ้งวัตถุประสงค์ให้ชัดก่อนหรือขณะเก็บ เก็บเท่าที่จำเป็นต่อวัตถุประสงค์นั้น มีมาตรการรักษาความปลอดภัยที่เหมาะสม และเมื่อเกิดเหตุข้อมูลรั่วไหลต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง นับแต่ทราบเหตุ
ถ้าเหตุนั้นเสี่ยงสูงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล ต้องแจ้งเจ้าของข้อมูลด้วย ไม่ใช่แจ้งแต่หน่วยงานกำกับแล้วเงียบกับลูกค้า
ถ้าข้อมูลของคุณรั่วออกไปแล้ว มีขั้นตอนเฉพาะที่ควรทำทันที อ่านที่ ข้อมูลส่วนตัวรั่ว ต้องทำอะไรบ้าง
บทลงโทษ
PDPA มีโทษสามชั้นซ้อนกัน ทางแพ่งชดใช้ค่าเสียหาย และศาลสั่งค่าสินไหมเพื่อการลงโทษเพิ่มได้ ทางอาญามีทั้งจำและปรับสำหรับกรณีร้ายแรง ส่วนโทษปรับทางปกครองมีตั้งแต่ระดับ 1 ล้าน 3 ล้าน จนถึง สูงสุด 5 ล้านบาท
ตัวเลขนี้มีผลกับผู้บริโภคตรงที่องค์กรส่วนใหญ่ยอมแก้ไขตั้งแต่ได้รับคำขอ ถ้าเราส่งเรื่องอย่างเป็นทางการและอ้างกฎหมายให้ถูก คำขอที่เขียนดีจึงมีน้ำหนักกว่าที่คิด
เมื่อคิดว่าสิทธิถูกละเมิด
- ติดต่อผู้ควบคุมข้อมูลขององค์กรนั้นเป็นลายลักษณ์อักษรก่อน องค์กรขนาดใหญ่มักมีอีเมล dpo หรือช่องทางเฉพาะระบุไว้ในนโยบายความเป็นส่วนตัว
- รอครบ 30 วัน แล้วเก็บหลักฐานว่าไม่ได้รับการตอบกลับหรือถูกปฏิเสธ
- ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พร้อมแนบสำเนาคำขอเดิมและหลักฐานการส่ง
ขั้นตอนที่ 1 สำคัญที่สุด เพราะการร้องเรียนโดยไม่เคยติดต่อองค์กรมาก่อน มักถูกตีกลับให้ไปคุยกันเองก่อน
คำถามที่พบบ่อย
ถ่ายรูปติดคนอื่นแล้วโพสต์ ผิด PDPA ไหม
การใช้ส่วนตัวหรือในครอบครัวได้รับยกเว้นจากกฎหมายฉบับนี้ แต่ถ้านำไปใช้เชิงพาณิชย์หรือทำให้ผู้อื่นเสียหาย อาจเข้าข่ายกฎหมายอื่น เช่น หมิ่นประมาท
บริษัทบอกว่าข้อมูลถูกลบไม่ได้เพราะกฎหมายบัญชี ทำได้ไหม
ได้ กฎหมายอื่นที่กำหนดให้เก็บเอกสารไว้ตามระยะเวลาเป็นข้อยกเว้นที่ชอบด้วยกฎหมาย แต่บริษัทต้องอธิบายได้ว่าอ้างกฎหมายฉบับไหน
เคยกดยอมรับคุกกี้ไปแล้ว ถอนทีหลังได้ไหม
ได้ การถอนความยินยอมทำได้ทุกเมื่อ และต้องทำได้ง่ายเท่ากับตอนให้ความยินยอม
ร้องเรียนแล้วจะได้เงินชดเชยไหม
การร้องเรียนต่อหน่วยงานกำกับเป็นเรื่องการบังคับใช้กฎหมาย ส่วนค่าเสียหายต้องเรียกทางแพ่งแยกต่างหาก
บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะกรณี อ้างอิงจากพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศที่ออกตามกฎหมายฉบับนี้ ควรตรวจสอบฉบับล่าสุดกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลก่อนใช้อ้างอิง