PDPA กฏหมายที่ช่วยปกป้องข้อมูลของชาวเน็ต

PDPA คืออะไร

            HS Brands อยากพาคุณมารู้จักกับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Act B.E. 2562 (2019)) หรือ PDPA กัน

            PDPA คือกฎหมายคุ้มครองข้อมูลส่วนบุคคล เป็นกฎหมายน้องใหม่ที่มีผลบังคับใช้ทั้งฉบับตั้งแต่วันที่ 27 พฤษภาคม 2563 ที่ผ่านมา พ.ร.บ. นี้ผลบังคับใช้กับทุกองค์กรทั่วโลกที่เก็บข้อมูลคนไทยและไม่ได้จำกัดอาณาเขตแค่ในประเทศไทยเท่านั้น

​            จะว่าไปแล้ว รากของกฎหมายคือมาจากสหภาพยุโรป ที่ได้ออกกฎหมาย "General Data Protection Regulation" หรือเรียกกันย่อ ๆ ว่า "GDPR" บังคับใช้กฎหมายคุ้มครองข้อมูลใน 28 ประเทศที่เป็นสมาชิกของสหภาพยุโรป โดยมีผลบังคับใช้ในวันศุกร์ที่ 25 พฤษภาคม 2018 

            และเหตุการณ์สำคัญที่มีส่วนผลักดันให้เกิดกฎหมาย PDPA นี้คือ คดี Cambridge Analytica ที่เฟสบุ้คทำข้อมูลผู้ใช้ 87 ล้านคนหลุดไป

            ​พูดให้ง่ายก็คือ กฎหมายนี้เกิดขึ้นมาเพื่อแก้ปัญหาการละเมิดข้อมูลส่วนบุคคล ไม่ให้องค์กรใดนำข้อมูลส่วนบุคคลไปขายต่อ ก่อความรำคาญหรือความเสียหายใด ๆ แก่เจ้าของข้อมูล หากมีการละเมิดเกิดขึ้นหรือเจ้าของข้อมูลไม่ต้องการให้นำข้อมูลไปใช้อีกต่อไป เจ้าของข้อมูลก็สามารถบอกถอนสิทธิการให้ใช้ข้อมูลได้และอีกฝ่ายต้องมีการจัดการทันที
​

เนื้อหาสำคัญของ PDPA

​พ.ร.บ.ข้อมูลส่วนบุคคลฯ ระบุว่า 

1. ต้องได้รับความยินยอมจากผู้ให้ข้อมูลหากมีการเก็บข้อมูล ใช้ข้อมูล และนำข้อมูลไปเปิดเผยข้อมูล
2. ต้องแจ้งวัตถุประสงค์ของการเก็บข้อมูลให้เจ้าของข้อมูล
3. ต้องแจ้งรายละเอียดและสิทธิให้เจ้าของข้อมูลทราบ
4. ต้องเก็บข้อมูลจากเจ้าของข้อมูลโดยตรงเท่านั้น ห้ามเก็บจากแหล่งอื่น 

 
PDPA ครอบคลุมอะไรบ้าง?

• คุ้มครองข้อมูลที่ทำให้สามารถระบุตัวบุคคลได้ไม่ว่าจะทางตรงหรือทางอ้อม
• ข้อมูลของลูกค้า พนักงาน หุ้นส่วนทางธุรกิจของเจ้าของข้อมูลก็ต้องได้รับความคุ้มครองด้วย
• เจ้าของข้อมูลต้องยินยอมให้เกิดการเก็บ ใช้ เปิดเผย และถ่ายโอนข้อมูล ยกเว้นมีเหตุอื่นที่ได้รับอนุญาตตามกฏหมาย
• ความยินยอมนั้นต้องให้โดยอิสระ ระบุอย่างเจาะจงและชัดแจ้งว่าเป็นความยินยอมให้ทำอะไร ต้องไม่ถูกบังคับให้ยินยอม
• หากเจ้าของข้อมูลต้องการถอนความยินยอมก็สามารถทำเมื่อไรก็ได้ แม้เคยให้ความยินยอมไว้แล้ว แต่จะขอถอนความยินยอมก็ย่อมทำได้ 
• เมื่อไรก็ตามที่มีการละเมิดข้อมูลส่วนบุคคล ผู้ครอบครองข้อมูลจะต้องแจ้งเหตุดังกล่าวให้เจ้าของข้อมูลทราบภายใน 72 ชั่วโมง
• เจ้าของข้อมูลมีสิทธิ์ปฏิเสธไม่ให้ใช้ข้อมูล และสามารถเข้าถึง แก้ไข ลบ จำกัดการประมวลผล ถ่ายโอน ไปจนถึงทำลายข้อมูล และสามารถขอให้เปิดเผยถึงการได้มาของข้อมูลได้ ​

PDPA ถือเป็นกฏหมายที่ก้าวหน้ามาก

            ​แม้กระทั่งประเทศที่ "พัฒนาแล้ว" อย่างสหรัฐอเมริกาก็ยังไม่มีกฎหมายใดที่เทียบเท่า PDPA เลย 

            ​เนื่องจากกฎหมายในแต่ละมลรัฐมีความแตกต่างกันมาก ข้อกำหนดจึงมีความแตกต่าง และกฎหมายไม่ได้คุ้มครองข้อมูลที่หลากหลาย เน้นให้ความคุ้มครองข้อมูลบางประเภทเท่านั้น เช่น เลขประกันสังคม ข้อมูลด้านการเงินและสุขภาพ อาจเป็นเพราะ SEC ของสหรัฐอเมริกาให้คำแนะนำคร่าว ๆ ว่าบริษัทมหาชนควรเปิดเผยข้อมูลเกี่ยวกับการละเมิดและความเสี่ยงเท่านั้น 

            ​กฎหมายสำหรับมลรัฐแคลิฟอเนียถือเป็นเคสตัวอย่างที่ดี โดยเพิ่งประกาศบังคับใช้ในวันที่ 1 กรกฎาคม 2563 ที่ผ่านมา 

            ​สำหรับเจ้าของธุรกิจในแคลิฟอร์เนียสำหรับการปฏิบัติตามกฎหมาย CCPA ได้แก่:

            ​✅ ถ้าคุณทำธุรกิจขายข้อมูลของผู้อาศัยในแคลิฟอร์เนีย ให้เตรียมตัวสร้างกลไกในการขอความยินยอมจากผู้เยาว์ (ผู้เยาว์อายุ 13-16 ปีสามารถยินยอมได้เอง ผู้เยาว์อายุต่ำกว่า 13 ปีต้องให้ผู้ปกครองอนุญาต) 

​            ​​✅ จัดเตรียมช่องทางสำหรับติดต่ออย่างน้อย 2 ช่องทาง ได้แก่ อีเมล์ ศูนย์ติดต่อ แบบฟอร์ม เว็บไซต์ เป็นต้น 

รู้สิทธิ PDPA เพื่อไม่ให้ใครละเมิดและไม่ละเมิดใคร

            ​เราเห็นความเปลี่ยนแปลงที่ได้ทั่วไปหลังกฏหมาย PDPA ประกาศใช้ และเห็นว่ากฎหมายนี้จะทำให้โลกน่าอยู่ขึ้น 

และนี่คือสิทธิทั้งหมดในกฏหมาย PDPA 

1. สิทธิที่จะได้รับแจ้ง 
2. สิทธิในการแก้ไข
3. สิทธิในการได้รับและโอนถ่ายข้อมูล
4. สิทธิในการเข้าถึง
5. สิทธิคัดค้าน
6. สิทธิในการลบ (ถูกลืม)
7. สิทธิในการจำกัด
8. สิทธิในการเพิกถอนคำยินยอม

            ​ข้อร้องขอต่าง ๆ จากเจ้าของข้อมูลจะต้องจัดการให้แล้วเสร็จภายใน 30 วัน

            ​- เราได้แจ้งลูกค้าของเราทุกเจ้าให้ทราบถึง Best Practice ที่ควรทำเพื่อไม่ให้ลูกค้าของเรากระทำการใด ๆ ที่ละเมิดพนักงานของพวกเขา 
            ​- เราได้แจ้งช้อปเปอร์ของเราทุกท่านให้ทราบถึงสิทธิที่พวกเขาพึงมี และเราได้ดำเนินการอย่างสอดคล้องเคร่งครัดกับ PDPA ในการใช้ข้อมูลความคิดเห็น รวมถึงไฟล์เสียงที่ได้จากการตรวจร้านค้า
​

Best Practice สำหรับธุรกิจที่ใช้ mystery shopping เป็นเครื่องมือในการพัฒนาพนักงาน

            ​สำหรับภาพรวมทั่วไปแล้ว สิ่งที่บริษัทต้องทำเพื่อรักษาสิทธิของผู้อื่นภายในกฏหมาย PDPA คือ:

1. อัพเดทนโยบายคุ้มครองความเป็นส่วนตัวของบริษัทให้ทันสมัยอยู่เสมอ
2. ฝึกอบรมพนักงานให้มีความรู้ความเข้าใจนโยบาย และหลักปฏิบัติที่ถูกต้องเหมาะสม อีกทั้งสอดคล้องกับคุณค่าและแนวทางของบริษัท
3. สำหรับบริษัทมหาชน ให้ตั้งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นคณะทำงานให้ชัดเจน
4. ทดสอบแผนฉุกเฉินเมื่อเกิดการละเมิดข้อมูล
5. ปรับปรุงฐานข้อมูลให้อัพเดทถูกต้องเสมอ
6. บำรุงให้โครงสร้างรักษาความปลอดภัยของข้อมูลมีความเข้มแข็งตลอดเวลา
7. ตรวจสอบให้มั่นใจว่าคู่ค้าทุกเจ้าปฏิบัติตามนโยบายคุ้มครองความเป็นส่วนตัวของบริษัท

            ​​สำหรับการทำ Mystery Shopping ในประเทศไทย ซึ่งผู้ว่าจ้างเรียกร้องให้ต้องมีไฟล์เสียงบันทึกการเข้าตรวจแบบไม่เปิดเผยตัว ผู้ว่าจ้างพึงเข้าใจบทบาทหน้าที่ของตนว่า ต้องมีการแจ้งให้พนักงานทราบ (ควรแจ้งทั้งทางวาจาและลายลักษณ์อักษร รวมถึงทำความเข้าใจกับพนักงานเพื่อให้เกิดความร่วมมืออันดี) และขอความยินยอมจากพนักงานก่อน 

            ​​การแจ้งให้พนักงานที่จะได้รับการตรวจแบบ Mystery Shopping นั้น บริษัทของผู้ว่าจ้างพึงทราบว่า ต้องได้รับความยินยอมจากพนักงานของตนก่อนว่าจะมีการอัดเสียงขณะทำงาน

​หลักปฏิบัติคือ:

1. ให้ระบุช่วงเวลาที่การบันทึกเสียงอาจเกิดขึ้น
2. ระบุวัถตุประสงค์ของการตรวจให้ชัดเจน หากระบุจุดประสงค์ว่าต้องการพัฒนาการบริการ บริษัทผู้ว่าจ้างไม่สามารถนำข้อมูลที่ได้รับจากการทำ Mystery Shopping มาใช้ลงโทษหรือไล่พนักงานออกเด็ดขาด 

​

Best PractiCE สำหรับ Mystery shopping 

​            ​ในฐานะผู้ให้บริการ Mystery Shopping เราดำเนินธุรกิจของเราด้วยความตั้งใจให้ผู้ว่าจ้างของเราสามารถพัฒนาการบริการของพวกเขาให้มีคุณภาพดีและตอบสนองกับลูกค้าของพวกเขาได้ดียิ่งขึ้น จุดยืนของพวกเราภายใต้กฏหมาย PDPA จึงต้องการสนับสนุนให้ลูกค้าของเราปฏิบัติตามกฎหมายอย่างถูกต้องและใช้ข้อมูลที่ได้จากการทำ Mystery Shopping ไปใช้พัฒนาพนักงานได้อย่างสร้างสรรค์

​            ​สำหรับในส่วนของ Shoppers ก่อนที่จะร่วมงานบริษัทได้ให้ช้อปเปอร์ยอมรับข้อตกลงในการทำงานรวมถึงข้อตกลงการไม่เปิดเผยความลับ และแจ้งให้ทราบว่าข้อมูลที่ได้จากการเข้าตรวจร้านค้าจะถูกนำไปใช้ในการพัฒนาพนักงานของผู้ว่าจ้าง โดยบริษัทจะไม่นำข้อมูลส่วนตัวของช้อปเปอร์ไปส่งต่อ หรือนำไปใช้นอกวัตถุประสงค์ที่แจ้งไว้ 

            ​หากช้อปเปอร์ต้องการเปลี่ยนแปลงข้อมูลส่วนบุคคลก็สามารถล๊อกอินเข้าไปจัดการเปลี่ยนแปลงแก้ไขได้ด้วยตนเอง รวมทั้งหากไม่ต้องการเป็นช้อปเปอร์อีกต่อไปก็สามารถเข้าไป Deactivate บัญชีผู้ใช้ด้วยตนเอง 

            ​รวมถึงบริษัทมีช่องทางให้ชอปเปอร์ติดต่อได้แก่ เฟสบุ้คเพจ เว็บไซต์ โทรศัพท์ หรือสามารถติดต่อได้ที่อีเมล์ : [email protected]

--------------------------------
​
            ​ทุกองค์กรที่เกี่ยวข้องกับการบังคับใช้กฎหมาย PDPA ควรเตรียมพร้อมรับความเปลี่ยนแปลงที่กำลังเกิดขึ้น กฏหมายนี้เป็นกฎหมายใหม่มากจึงมีแนวโน้มในการเลี่ยนแปลงอีกมาก และเป็นหน้าที่ของทุกคนที่เกี่ยวข้องที่จะทำตามกฎหมายอย่างเหมาะสม
​
​-------------------------------
ที่มา: 
https://techsauce.co/tech-and-biz/pdpa-big-data-private-law
https://ahead.asia/2018/05/24/facebook-ready-for-gdpr/
https://www.mailerlite.com/blog/california-consumer-privacy-act-ccpa-email-marketing