PDPA (Personal Data Protection Act) พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่ถูกบัญญัติขึ้นจากการเล็งเห็นถึงปัญหาการละเมิดสิทธิข้อมูลส่วนบุคคล (PDPA Breach) ในปัจจุบันที่เกิดขึ้นมากมายจนสร้างความเสียหายให้กับผู้เป็นเจ้าของข้อมูล ยิ่งปัจจุบันเทคโนโลยีก้าวหน้าขึ้นทำให้การรวบรวม ใช้ หรือเผยแพร่ข้อมูลส่วนบุคคลกลายเป็นเรื่องง่าย สะดวก และรวดเร็วเมื่อเทคโนโลยีมีความทันสมัยมากขึ้น ช่องว่างและความรุนแรงในการโจมตีทางไวเบอร์ก็มากขึ้น ส่งผลกระทบต่อเจ้าของข้อมูลจึงมีการกำหนด PDPA Act ขึ้น เพื่อสร้างมาตรฐานการรักษาข้อมูลให้ปลอดภัย PDPA Thailand (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล) ได้ประกาศขึ้นในราชกิจจานุเบกษาเมื่อวันที่ 27 พฤษภาคม 2562 มีกำหนดบังคับใช้บางส่วนตั้งแต่ วันที่ 28 พฤษภาคม 2562 และวันที่ 27 พฤษภาคม 2563 เป็นวันที่ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลบังคับใช้ตามกฎหมายทั้งฉบับ
ข้อมูลส่วนบุคคลคือ
ข้อมูลส่วนบุคคล คือข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้น ได้แก่ ชื่อ – นามสกุล, เลขประจำตัวประชาชน, ที่อยู่, เบอร์โทรศัพท์, วันเกิด, อีเมล์, การศึกษา, เพศ, อาชีพ, รูปถ่าย, ข้อมูลทางการเงิน หรือแม้แต่ข้อมูลทางการแพทย์ก็ตาม แต่ข้อมูลของผู้ถึงแก่กรรมและข้อมูลนิติไม่ถือเป็นข้อมูลส่วนบุคคลตาม พ.ร.บ.นี้
ใครเป็นผู้เกี่ยวข้องกับข้อมูลส่วนบุคคลบ้าง?
- เจ้าของข้อมูลส่วนบุคคล
- ผู้ควบคุมข้อมูลส่วนบุคคล บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จะต้องปฏิบัติตาม PDPA (PDPA Compliance) อย่างเคร่งครัด
- ผู้ประมวลผลข้อมูลส่วนบุคคล บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล
ผู้ควบคุมข้อมูลส่วนบุคคล สามารถรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลได้ก็ต่อเมื่อ?
- ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นๆ ให้ชัดเจน
- เก็บข้อมูลจากการทำสัญญากับเจ้าของข้อมูลนั้น
- จัดทำเอกสารประวัติศาสตร์ หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ ที่เกี่ยวข้องกับ การศึกษาวิจัยหรือการจัดทำสถิติ
- ป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
- เป็นการกระทำตามสัญญาระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับบุคคลหรือนิติบุคคลอื่น เพื่อประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
- จำเป็นเพื่อปฏิบัติตามกฎหมาย หรือสัญญา
หากผู้ควบคุมข้อมูลส่วนบุคคลหรือองค์กรใดไม่ รวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลอย่างถูกต้องตามหลัก PDPA Act จะมีบทลงโทษอย่างไร ?
- โทษทางแพ่งชดใช้ค่าสินไหมทดแทนที่เกิดขึ้นจริงให้กับเจ้าของข้อมูลส่วนบุคคลที่ได้รับความเสียหายจากการละเมิด และอาจจะต้องชดใช้ค่าสินไหมทดแทนเพื่อลงโทษเพิ่มเติมสูงสุดได้อีก 2 เท่าของค่าเสียหายจริง
- โทษทางอาญามีทั้งโทษจำคุกและโทษปรับ โดยมี โทษจำคุกสูงสุดไม่เกิน 1 ปี หรือ ปรับไม่เกิน 1 ล้านบาท หรือทั้งจำทั้งปรับ
- โทษทางปกครองโทษปรับตั้งแต่ 1 ล้านบาทจนถึงสูงสุดไม่เกิน 5 ล้านบาท
โทษของ PDPA นั้นร้ายแรงและการโจมตีทางไวเบอร์ได้ทวีความรุนแรงมากขึ้นโดยพุ่งเป้าไปที่ข้อมูลส่วนบุคคลเป็นหลัก จากเหตุการณ์ที่ผ่านมาพบว่าต้นเหตุของการรั่วไหลของข้อมูลจำนวนมากเกิดจากหน่วยงานหรือองค์กรซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล ดังนั้นองค์กรต้องปฏิบัติตามและเตรียมตัวให้พร้อมสำหรับการเก็บรักษาข้อมูลของบุคคลอื่น ทุกองค์กรต่างมีข้อมูลส่วนบุคคลที่ต้องเก็บรักษา ไม่ว่าจะเป็นข้อมูลส่วนบุคคลของพนักงาน ลูกค้ารวมถึงพาร์ทเนอร์ การเก็บรักษา PDPA Data ทั้งหมดจึงเป็นเรื่องที่ควบคุมยากและซับซ้อน เปลี่ยนการปฏิบัติตาม PDPA ที่ยากและซับซ้อนในองค์กรของท่านให้เป็นเรื่องง่ายเมื่อใช้บริการให้คำปรึกษา PDPA (PDPA Compliance Service) จาก Vinarco ผู้เชี่ยวชาญด้าน PDPA ช่วยให้การปกป้องข้อมูลส่วนบุคคลในองค์กรของท่านปลอดภัย สามารถควบคุมข้อกำหนด PDPA ได้อย่างง่ายดาย สร้างความเชื่อมั่นในการจัดการข้อมูลส่วนบุคคลให้กับองค์กร
