เสวนากม.คุ้มครองข้อมูลส่วนบุคคลฯ จัดโดยคณะนิติศาสตร์และนิเทศศาสตร์ ม.ธุรกิจบัณฑิตย์ฯ

คณะนิติศาสตร์ ปรีดี พนมยงค์และคณะนิเทศศาสตร์ ม.ธุรกิจฯร่วมกันจัดเสวนาหัวข้อ กฎหมายคุ้มครองข้อมูลส่วนบุคคล: ภาระ (หรือ) หน้าที่ใหม่ของผู้ประกอบการไทย โดยผู้ร่วมอภิปรายมีความกังวลเกี่ยวกับข้อกฎหมายและตั้งคำถามฝากถึงคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในการทำหน้าที่ตามที่กฏหมายกำหนดและเตรียมความพร้อมให้ความรู้กับผู้ประกอบการไทย ​จากการที่สภานิติบัญญัติแห่งชาติลงมติผ่านร่างพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ....(ร่างพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล) เมื่อวันที่ 28 กุมภาพันธ์ที่ผ่านมา ซึ่งจะมีผลบังคับใช้เมื่อประกาศลงในราชกิจจานุเบกษานั้น ร่าง พ.ร.บ. ฉบับนี้มีสาระสำคัญที่เกี่ยวข้องกับทั้งประชาชนและผู้ประกอบการไทยอย่างมาก คณะนิติศาสตร์ ปรีดี พนมยงค์ และ คณะนิเทศศาสตร์จึงร่วมกันจัดเสวนาเรื่อง “กฎหมายคุ้มครองข้อมูลส่วนบุคคล: ภาระ (หรือ) หน้าที่ใหม่ของผู้ประกอบการไทย” เมื่อวันที่ 19 มีนาคม 2562 ที่มหาวิทยาลัยธุรกิจบัณฑิตย์ เพื่อให้เกิดความเข้าใจที่ถูกต้องต่อกฎหมายฉบับดังกล่าวอันจะทำให้การบังคับใช้กฎหมายมีประสิทธิภาพและนำไปสู่การวิพากษ์วิจารณ์กฎหมายบนพื้นฐานที่ถูกต้อง โดยวิทยากรผู้ทรงคุณวุฒิได้อธิบายถึงหลักการและสาระสำคัญของกฎหมายฉบับนี้ รวมถึง ได้ร่วมอภิปรายถึงประเด็นที่ “กังวล” เกี่ยวกับกฎหมายและมีประเด็นคำถามที่ฝากถึงคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่จะทำหน้าที่ต่างๆ ที่กำหนดไว้ตามกฎหมายนี้ด้วย ​ผู้ช่วยศาสตราจารย์ ดร.ปิยะบุตร บุญอร่ามเรือง จากคณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย กล่าวว่า ประเทศไทยมีความพยายามกว่า 20 ปี ที่จะออกกฎหมายคุ้มครองข้อมูลส่วนบุคคล จนเมื่อปีที่แล้วกลุ่มประเทศสหภาพยุโรปหรือ EU ออกมาตรฐาน General Data Protection Regulation (GDPR) ใหม่ซึ่งกำหนดเข้มข้นมากขึ้นและแก้ไขปัญหาสำคัญเรื่องการโอนข้อมูลข้ามประเทศ (data transfer) โดย GDPR กำหนดว่าประเทศคู่ค้ากับกลุ่มประเทศ EU ใดที่ไม่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอหรือเทียบเท่าจะไม่สามารถโอนข้อมูลถึงกันได้ โดยผู้ประกอบการไทยมีโอกาสมากที่จะทำธุรกิจกันกับ EU หากไม่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลก็จะทำให้การทำธุรกิจกันกับกลุ่มประเทศ EU ลำบาก นอกจากนี้ มาตรา 3 ของ GDPR ยังกำหนดครอบคลุมถึงใครก็ตามที่ target ตลาด EU ใครก็ตามที่ monitor พฤติกรรมของคนใน EU โดยไม่สนใจว่าจะไป process ข้อมูลที่ไหนก็ตาม ก็จะอยู่ในขอบเขตเงื่อนไขที่กำหนดใน GDPR ด้วย แม้ GDPR จะไม่ได้บังคับกับประเทศไทยโดยตรงและก็ตั้งเงื่อนไขผ่าน data transfer นั่นเอง เพราะฉะนั้น รัฐบาลจึงเห็นความสำคัญถึงเหตุผลความจำเป็นและมีแรงผลักดันให้ ร่าง พ.ร.บ.นี้ออกมา ​ผศ.ดร.ปิยบุตร กล่าวว่า กฎหมายได้กำหนดให้มีผู้เกี่ยวข้องสำคัญ 3 กลุ่ม คือ 1) เจ้าของข้อมูล หมายถึง บุคคลที่ข้อมูลนั้นระบุหรือชี้ไปถึง 2) ผู้ควบคุมข้อมูล ได้แก่ผู้ให้บริการทั้งหลายที่มีการขอข้อมูลจากลูกค้าหรือผู้รับบริการ มีความผูกพันตามข้อตกลงกับเจ้าของข้อมูล 3) ผู้ประมวลผลข้อมูล คือ คนที่ทำหน้าที่ประมวลผลข้อมูลตามที่ผู้ควบคุมข้อมูลกำหนดให้ทำ เช่น คนเขียนแอปทั่วไป คือ ผู้ควบคุมข้อมูล แต่พวกผู้ให้บริการ cloud ต่างๆ คือ ผู้ประมวลผลข้อมูล ​ผศ.ดร.ปิยบุตร กล่าวต่อว่า กฎหมายนี้ ประเทศไทยได้รับเอาหลักการเกี่ยวกับสิทธิของเจ้าของข้อมูลตาม GDPR มาทั้งหมด 9 สิทธิ ได้แก่ สิทธิการถอนความยินยอม สิทธิการได้รับแจ้งข้อมูลที่เกี่ยวข้อง สิทธิการได้เข้าถึงข้อมูลของตนเอง สิทธิในการแก้ไขข้อมูลของตนเองได้ สิทธิที่จะให้ลบข้อมูลได้ สิทธิการระงับหรือให้พักการประมวลผลข้อมูลส่วนบุคคล สิทธิให้โอนข้อมูลส่วนบุคคลได้ สิทธิคัดค้านการประมวลผลได้ และสิทธิเกี่ยวข้องกับประมวลผลอัตโนมัติ เช่น การประมวลผลวงเงินกู้โดย algorithm ก็มีสิทธิที่จะขอดูว่าประมวลผลอย่างไร ทั้งนี้ แม้ร่าง พ.ร.บ. นี้รับหลักการ GDPR มาแต่รายละเอียดก็ต้องมีการพัฒนากันต่อเพื่อให้เทียบเท่า ซึ่งจากนี้ก็จะมีการออกประกาศหรือใบรับรองมาตรฐานด้านการคุ้มครองข้อมูลส่วนบุคคลอีกด้วย ​ด้าน ดร.จอมพล พิทักษ์สันตโยธิน คณะสังคมศาสตร์และมนุษย์ศาสตร์ มหาวิทยาลัยมหิดล กล่าวว่า แม้เราจะรับหลักการ GDPR มาในร่าง พ.ร.บ. นี้ มีบางส่วนที่นำมากำหนดให้ละเอียดขึ้นแต่ก็มีหลายส่วนที่ละเอียดน้อยกว่า เช่น นิยามของข้อมูลส่วนบุคคล ร่าง พ.ร.บ. นี้นิยามไว้กว้างมาก ว่าหมายถึงข้อมูลเกี่ยวกับบุคคลที่สามารถทำให้ระบุตัวบุคคลได้ทั้งทางตรงและทางอ้อม ในขณะที่ GDPR ยกตัวอย่างให้เห็นชัด สอดคล้องกับ ผู้ช่วยศาสตราจารย์ ดร.ยุทธนา ศรีสวัสดิ์ CEO ของบริษัท iTAX ที่ตั้งข้อสังเกตว่า ประเด็นเกี่ยวกับข้อมูลที่สามารถทำให้ระบุตัวบุคคลได้ทางอ้อมอาจะเป็นประเด็นที่มีปัญหา เช่น เบอร์โทรศัพท์เฉยๆ หรือ Email address เฉยๆ เช่นนี้เป็นข้อมูลส่วนบุคคลหรือไม่ เพราะด้วยข้อมูลเหล่านี้ ก็อาจ track กลับมาที่เจ้าของข้อมูลได้ รวมถึงข้อมูล metadata ด้วย ​ ดร.จอมพล ได้กล่าวถึงหน้าที่ของผู้ประกอบการไทยที่เป็นผู้ควบคุมข้อมูลตามกฎหมายนี้ว่าจะต้องดูแลและดำเนินการต่างๆ ตามสิทธิของเจ้าของข้อมูลที่ระบุไว้ตามกฎหมายในมาตรา 30-36 เช่น สิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคล การขอให้เปิดเผยที่มาของข้อมูลส่วนบุคคลที่เจ้าของข้อมูลไม่ได้ได้ยินยอม สิทธิการคัดค้านการเก็บรวบรวม ใช้ เปิดเผยข้อมูล สิทธิที่ขอให้ลบข้อมูล หรือที่รู้จักกันในนามของ Right to be forgotten เป็นต้น รวมถึงหน้าที่อื่นๆ ที่สำคัญ อาทิ ผู้ควบคุมข้อมูลจะเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลไม่ให้ความยินยอม และการยินยอมนั้นก็จะต้องยินยอมโดยอิสระไม่ถูกบังคับ ไม่มีเงื่อนไขใดด้วย เช่น ถ้าไม่ให้ข้อมูลส่วนบุคคลแล้วจะรับบริการไม่ได้ ​อย่างไรก็ตาม ร่าง พ.ร.บ.ฉบับนี้ไม่ได้บังคับใช้กับทุกหน่วยงานที่มีการเก็บข้อมูลส่วนบุคคล โดยข้อยกเว้นระบุไว้ในมาตรา 4 ทั้งนี้ นายอาทิตย์ สุริยะวงศ์กุล เครือข่ายพลเมืองเน็ต (Thai Netizen Network) ได้ตั้งข้อสังเกตว่าการยกเว้นนี้อาจทำให้ขอบเขตการคุ้มครองข้อมูลส่วนบุคคลถูกจำกัดลง อาทิ มาตรา 4 (2) ระบุว่าไม่บังคับใช้แก่การดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงความทางการคลังของรัฐ หรือการรักษาความปลอดภัยของประชาชน รวมทั้งหน้าที่ในการป้องกันและปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ หรือการรักษาความมั่นคงปลอดภัยไซเบอร์ ​นายอาทิตย์ตั้งข้อสังเกตว่าในการเก็บข้อมูลส่วนบุคคลนั้น บางครั้งอาจเก็บรวมรวมเพื่อป้องกันและปราบปรามการฟอกเงิน จึงเข้าข้อยกเว้น ไม่ตกอยู่ภายใต้บังคับของกฎหมายฉบับนี้ แต่ในการเอาไปใช้ หากเอาไปใช้ด้วยเหตุผลอื่นที่มิใช่การป้องกันและปราบปรามการฟอกเงิน ก็อาจเกิดปัญหาว่าจะเข้าข้อยกเว้นหรือไม่ ​รวมถึง มาตรา 4 (6) ที่ระบุว่าไม่บังคับใช้แก่การดำเนินการกับข้อมูลของบริษัทข้อมูลเครดิตและสมาชิกตามกฎหมายว่าด้วยการประกอบธุรกิจของข้อมูลเครดิต ซึ่งก็คือธนาคารพาณิชย์ บริษัทเงินทุน บริษัทหลักทรัพย์ บริษัทเครดิตฟองซิเอร์ บริษัทประกันภัย บริษัทประกันชีวิต บริษัทบัตรเครดิต บริษัทที่ดำเนินงานด้านการเงิน และนิติบุคคลอื่นที่ประกอบธุรกิจให้สินเชื่อเป็นทางการ ทั้งนี้ตามพระราชบัญญัติการประกอบธุรกิจข้อมูลเครดิต พ.ศ. 2549 แต่หากในอนาคต มีการแก้ไขพระราชบัญญัติการประกอบธุรกิจข้อมูลเครดิต พ.ศ. 2549 เพิ่มหน่วยงานที่อาจเป็นสมาชิกตามกฎหมายว่าด้วยการประกอบธุรกิจของข้อมูลเครดิต ข้อยกเว้นก็อาจขยายได้มากขึ้น ซึ่งจะทำให้ความคุ้มครองตามกฎหมายนี้มีขอบเขตแคบลง ​ด้านผู้ช่วยศาสตราจารย์ ดร.ยุทธนา ศรีสวัสดิ์ CEO ของบริษัท iTAX ได้ตั้งคำถามเพื่อให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่จะทำหน้าที่ต่างๆ ที่กำหนดไว้ตามกฎหมายนี้ได้พิจารณา อาทิ หากผู้ควบคุมข้อมูลส่วนบุคคลเป็นผู้ประกอบการที่ไม่ได้ตั้งอยู่ในประเทศไทย หากเราในฐานะเจ้าของข้อมูลไปใช้สิทธิเรียกร้องตามกฎหมายฉบับนี้กับศาลไทย ศาลไทยจะบังคับตามสิทธิของเจ้าของข้อมูลได้มากน้อยเพียงใด รวมถึง กรณีที่เจ้าของข้อมูลประสงค์จะขอให้ผู้ควบคุมข้อมูลลบข้อมูลบางประการ โดยในขั้นตอนการดำเนินการ ผู้ควบคุมข้อมูลก็มักจะให้เจ้าของข้อมูลยืนยันตัวตนว่าเป็นเจ้าของข้อมูลที่ต้องการจะลบจริงๆ ซึ่งการยืนยันตัวตนนั้นก็ต้องมีการเก็บข้อมูลส่วนบุคคลไปเพิ่มเติมอีก สรุปว่า ต้องมีการบันทึกข้อมูลชุดหนึ่งเพื่อขอลบข้อมูลอีกชุดหนึ่ง ซึ่งเป็นกรณีที่มีความย้อนแย้งอยู่พอสมควร อีกทั้งยังเป็นกังวลในกรณีที่เจ้าของข้อมูลร้องขอข้อมูลที่ผู้ควบคุมข้อมูลดำเนินการจัดเก็บไป แต่เนื่องจากเป็นข้อมูลที่ไม่สำคัญ ผู้ควบคุมข้อมูลจึงไม่ได้เก็บข้อมูลนั้น เช่นนี้จะกลายเป็นว่าผู้ควบคุมข้อมูลปฏิเสธการให้ข้อมูลซึ่งอาจเป็นความผิดตามกฎหมายฉบับนี้หรือไม่ ​เช่นเดียวกับ อาจารย์จิรวุฒิ ลิปิพันธ์ คณะนิติศาสตร์ปรีดี พนมยงค์ มหาวิทยาลัยธุรกิจบัณฑิตย์ ได้ฝากประเด็นสำคัญไว้ว่า ข้อมูลส่วนบุคคลที่กล่าวถึงนี้ไม่ใช่ข้อมูลส่วนบุคคลที่อยู่บนพื้นที่ออนไลน์เท่านั้น แต่ข้อมูลบุคคลที่อยู่บนกระดาษก็ถือเป็นข้อมูลส่วนบุคคล และต้องตกอยู่ภายใต้กฎหมายฉบับนี้ด้วย และฝากว่า หน่วยงานของรัฐจะต้องพยายามใช้กฎหมายฉบับนี้ให้เกิดประโยชน์ในการคุ้มครองข้อมูลส่วนบุคคลจริงๆ แต่จะต้องไม่ไปมีผลในการจำกัดสิทธิและเสรีภาพ ​เมื่อ ร่าง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ....(ร่างพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล) นี้ประกาศใช้ สิทธิและหน้าที่ดังกล่าวข้างต้นจะเริ่มหลังจากประกาศใช้ 1 ปี ดังนั้น จากนี้จะมีเวลาอีกประมาณ 1 ปีที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจะออกกฎหมายที่เกี่ยวข้อง รวมถึงการเตรียมความพร้อมของผู้ประกอบการไทยที่มีหน้าที่ในฐานะผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล และสำคัญที่สุดคือการสร้างความเข้าใจกับประชาชนให้ตระหนักถึงสิทธิในข้อมูลส่วนบุคคลของตนเองตามกฎหมายฉบับนี้