PDPA กฏหมายที่ช่วยปกป้องข้อมูลของชาวเน็ต

22/7/2020

PDPA คืออะไร

HS Brands อยากพาคุณมารู้จักกับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Act B.E. 2562 (2019)) หรือ PDPA กัน

  PDPA คือกฎหมายคุ้มครองข้อมูลส่วนบุคคล เป็นกฎหมายน้องใหม่ที่มีผลบังคับใช้ทั้งฉบับตั้งแต่วันที่ 27 พฤษภาคม 2563 ที่ผ่านมา พ.ร.บ. นี้ผลบังคับใช้กับทุกองค์กรทั่วโลกที่เก็บข้อมูลคนไทยและไม่ได้จำกัดอาณาเขตแค่ในประเทศไทยเท่านั้น

  จะว่าไปแล้ว รากของกฎหมายคือมาจากสหภาพยุโรป ที่ได้ออกกฎหมาย "General Data Protection Regulation" หรือเรียกกันย่อ ๆ ว่า "GDPR" บังคับใช้กฎหมายคุ้มครองข้อมูลใน 28 ประเทศที่เป็นสมาชิกของสหภาพยุโรป โดยมีผลบังคับใช้ในวันศุกร์ที่ 25 พฤษภาคม 2018

  และเหตุการณ์สำคัญที่มีส่วนผลักดันให้เกิดกฎหมาย PDPA นี้คือ คดี Cambridge Analytica ที่เฟสบุ้คทำข้อมูลผู้ใช้ 87 ล้านคนหลุดไป

  พูดให้ง่ายก็คือ กฎหมายนี้เกิดขึ้นมาเพื่อแก้ปัญหาการละเมิดข้อมูลส่วนบุคคล ไม่ให้องค์กรใดนำข้อมูลส่วนบุคคลไปขายต่อ ก่อความรำคาญหรือความเสียหายใด ๆ แก่เจ้าของข้อมูล หากมีการละเมิดเกิดขึ้นหรือเจ้าของข้อมูลไม่ต้องการให้นำข้อมูลไปใช้อีกต่อไป เจ้าของข้อมูลก็สามารถบอกถอนสิทธิการให้ใช้ข้อมูลได้และอีกฝ่ายต้องมีการจัดการทันที

เนื้อหาสำคัญของ PDPA

พ.ร.บ.ข้อมูลส่วนบุคคลฯ ระบุว่า

ต้องได้รับความยินยอมจากผู้ให้ข้อมูลหากมีการเก็บข้อมูล ใช้ข้อมูล และนำข้อมูลไปเปิดเผยข้อมูล
ต้องแจ้งวัตถุประสงค์ของการเก็บข้อมูลให้เจ้าของข้อมูล
ต้องแจ้งรายละเอียดและสิทธิให้เจ้าของข้อมูลทราบ
ต้องเก็บข้อมูลจากเจ้าของข้อมูลโดยตรงเท่านั้น ห้ามเก็บจากแหล่งอื่น

PDPA ครอบคลุมอะไรบ้าง?

คุ้มครองข้อมูลที่ทำให้สามารถระบุตัวบุคคลได้ไม่ว่าจะทางตรงหรือทางอ้อม
ข้อมูลของลูกค้า พนักงาน หุ้นส่วนทางธุรกิจของเจ้าของข้อมูลก็ต้องได้รับความคุ้มครองด้วย
เจ้าของข้อมูลต้องยินยอมให้เกิดการเก็บ ใช้ เปิดเผย และถ่ายโอนข้อมูล ยกเว้นมีเหตุอื่นที่ได้รับอนุญาตตามกฏหมาย
ความยินยอมนั้นต้องให้โดยอิสระ ระบุอย่างเจาะจงและชัดแจ้งว่าเป็นความยินยอมให้ทำอะไร ต้องไม่ถูกบังคับให้ยินยอม
หากเจ้าของข้อมูลต้องการถอนความยินยอมก็สามารถทำเมื่อไรก็ได้ แม้เคยให้ความยินยอมไว้แล้ว แต่จะขอถอนความยินยอมก็ย่อมทำได้
เมื่อไรก็ตามที่มีการละเมิดข้อมูลส่วนบุคคล ผู้ครอบครองข้อมูลจะต้องแจ้งเหตุดังกล่าวให้เจ้าของข้อมูลทราบภายใน 72 ชั่วโมง
เจ้าของข้อมูลมีสิทธิ์ปฏิเสธไม่ให้ใช้ข้อมูล และสามารถเข้าถึง แก้ไข ลบ จำกัดการประมวลผล ถ่ายโอน ไปจนถึงทำลายข้อมูล และสามารถขอให้เปิดเผยถึงการได้มาของข้อมูลได้

PDPA ถือเป็นกฏหมายที่ก้าวหน้ามาก

  แม้กระทั่งประเทศที่ "พัฒนาแล้ว" อย่างสหรัฐอเมริกาก็ยังไม่มีกฎหมายใดที่เทียบเท่า PDPA เลย

  เนื่องจากกฎหมายในแต่ละมลรัฐมีความแตกต่างกันมาก ข้อกำหนดจึงมีความแตกต่าง และกฎหมายไม่ได้คุ้มครองข้อมูลที่หลากหลาย เน้นให้ความคุ้มครองข้อมูลบางประเภทเท่านั้น เช่น เลขประกันสังคม ข้อมูลด้านการเงินและสุขภาพ อาจเป็นเพราะ SEC ของสหรัฐอเมริกาให้คำแนะนำคร่าว ๆ ว่าบริษัทมหาชนควรเปิดเผยข้อมูลเกี่ยวกับการละเมิดและความเสี่ยงเท่านั้น

  กฎหมายสำหรับมลรัฐแคลิฟอเนียถือเป็นเคสตัวอย่างที่ดี โดยเพิ่งประกาศบังคับใช้ในวันที่ 1 กรกฎาคม 2563 ที่ผ่านมา

  สำหรับเจ้าของธุรกิจในแคลิฟอร์เนียสำหรับการปฏิบัติตามกฎหมาย CCPA ได้แก่:

  ✅ ถ้าคุณทำธุรกิจขายข้อมูลของผู้อาศัยในแคลิฟอร์เนีย ให้เตรียมตัวสร้างกลไกในการขอความยินยอมจากผู้เยาว์ (ผู้เยาว์อายุ 13-16 ปีสามารถยินยอมได้เอง ผู้เยาว์อายุต่ำกว่า 13 ปีต้องให้ผู้ปกครองอนุญาต)

  ✅ จัดเตรียมช่องทางสำหรับติดต่ออย่างน้อย 2 ช่องทาง ได้แก่ อีเมล์ ศูนย์ติดต่อ แบบฟอร์ม เว็บไซต์ เป็นต้น

รู้สิทธิ PDPA เพื่อไม่ให้ใครละเมิดและไม่ละเมิดใคร

เราเห็นความเปลี่ยนแปลงที่ได้ทั่วไปหลังกฏหมาย PDPA ประกาศใช้ และเห็นว่ากฎหมายนี้จะทำให้โลกน่าอยู่ขึ้น

และนี่คือสิทธิทั้งหมดในกฏหมาย PDPA

สิทธิที่จะได้รับแจ้ง
สิทธิในการแก้ไข
สิทธิในการได้รับและโอนถ่ายข้อมูล
สิทธิในการเข้าถึง
สิทธิคัดค้าน
สิทธิในการลบ (ถูกลืม)
สิทธิในการจำกัด
สิทธิในการเพิกถอนคำยินยอม

  ข้อร้องขอต่าง ๆ จากเจ้าของข้อมูลจะต้องจัดการให้แล้วเสร็จภายใน 30 วัน

  - เราได้แจ้งลูกค้าของเราทุกเจ้าให้ทราบถึง Best Practice ที่ควรทำเพื่อไม่ให้ลูกค้าของเรากระทำการใด ๆ ที่ละเมิดพนักงานของพวกเขา
  - เราได้แจ้งช้อปเปอร์ของเราทุกท่านให้ทราบถึงสิทธิที่พวกเขาพึงมี และเราได้ดำเนินการอย่างสอดคล้องเคร่งครัดกับ PDPA ในการใช้ข้อมูลความคิดเห็น รวมถึงไฟล์เสียงที่ได้จากการตรวจร้านค้า

Best Practice สำหรับธุรกิจที่ใช้ mystery shopping เป็นเครื่องมือในการพัฒนาพนักงาน

สำหรับภาพรวมทั่วไปแล้ว สิ่งที่บริษัทต้องทำเพื่อรักษาสิทธิของผู้อื่นภายในกฏหมาย PDPA คือ:

อัพเดทนโยบายคุ้มครองความเป็นส่วนตัวของบริษัทให้ทันสมัยอยู่เสมอ
ฝึกอบรมพนักงานให้มีความรู้ความเข้าใจนโยบาย และหลักปฏิบัติที่ถูกต้องเหมาะสม อีกทั้งสอดคล้องกับคุณค่าและแนวทางของบริษัท
สำหรับบริษัทมหาชน ให้ตั้งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นคณะทำงานให้ชัดเจน
ทดสอบแผนฉุกเฉินเมื่อเกิดการละเมิดข้อมูล
ปรับปรุงฐานข้อมูลให้อัพเดทถูกต้องเสมอ
บำรุงให้โครงสร้างรักษาความปลอดภัยของข้อมูลมีความเข้มแข็งตลอดเวลา
ตรวจสอบให้มั่นใจว่าคู่ค้าทุกเจ้าปฏิบัติตามนโยบายคุ้มครองความเป็นส่วนตัวของบริษัท

สำหรับการทำ Mystery Shopping ในประเทศไทย ซึ่งผู้ว่าจ้างเรียกร้องให้ต้องมีไฟล์เสียงบันทึกการเข้าตรวจแบบไม่เปิดเผยตัว ผู้ว่าจ้างพึงเข้าใจบทบาทหน้าที่ของตนว่า ต้องมีการแจ้งให้พนักงานทราบ (ควรแจ้งทั้งทางวาจาและลายลักษณ์อักษร รวมถึงทำความเข้าใจกับพนักงานเพื่อให้เกิดความร่วมมืออันดี) และขอความยินยอมจากพนักงานก่อน

การแจ้งให้พนักงานที่จะได้รับการตรวจแบบ Mystery Shopping นั้น บริษัทของผู้ว่าจ้างพึงทราบว่า ต้องได้รับความยินยอมจากพนักงานของตนก่อนว่าจะมีการอัดเสียงขณะทำงาน

หลักปฏิบัติคือ:

ให้ระบุช่วงเวลาที่การบันทึกเสียงอาจเกิดขึ้น
ระบุวัถตุประสงค์ของการตรวจให้ชัดเจน หากระบุจุดประสงค์ว่าต้องการพัฒนาการบริการ บริษัทผู้ว่าจ้างไม่สามารถนำข้อมูลที่ได้รับจากการทำ Mystery Shopping มาใช้ลงโทษหรือไล่พนักงานออกเด็ดขาด

Best PractiCE สำหรับ Mystery shopping

  ในฐานะผู้ให้บริการ Mystery Shopping เราดำเนินธุรกิจของเราด้วยความตั้งใจให้ผู้ว่าจ้างของเราสามารถพัฒนาการบริการของพวกเขาให้มีคุณภาพดีและตอบสนองกับลูกค้าของพวกเขาได้ดียิ่งขึ้น จุดยืนของพวกเราภายใต้กฏหมาย PDPA จึงต้องการสนับสนุนให้ลูกค้าของเราปฏิบัติตามกฎหมายอย่างถูกต้องและใช้ข้อมูลที่ได้จากการทำ Mystery Shopping ไปใช้พัฒนาพนักงานได้อย่างสร้างสรรค์

  สำหรับในส่วนของ Shoppers ก่อนที่จะร่วมงานบริษัทได้ให้ช้อปเปอร์ยอมรับข้อตกลงในการทำงานรวมถึงข้อตกลงการไม่เปิดเผยความลับ และแจ้งให้ทราบว่าข้อมูลที่ได้จากการเข้าตรวจร้านค้าจะถูกนำไปใช้ในการพัฒนาพนักงานของผู้ว่าจ้าง โดยบริษัทจะไม่นำข้อมูลส่วนตัวของช้อปเปอร์ไปส่งต่อ หรือนำไปใช้นอกวัตถุประสงค์ที่แจ้งไว้

  หากช้อปเปอร์ต้องการเปลี่ยนแปลงข้อมูลส่วนบุคคลก็สามารถล๊อกอินเข้าไปจัดการเปลี่ยนแปลงแก้ไขได้ด้วยตนเอง รวมทั้งหากไม่ต้องการเป็นช้อปเปอร์อีกต่อไปก็สามารถเข้าไป Deactivate บัญชีผู้ใช้ด้วยตนเอง

  รวมถึงบริษัทมีช่องทางให้ชอปเปอร์ติดต่อได้แก่ เฟสบุ้คเพจ เว็บไซต์ โทรศัพท์ หรือสามารถติดต่อได้ที่อีเมล์ : [email protected]

--------------------------------

  ทุกองค์กรที่เกี่ยวข้องกับการบังคับใช้กฎหมาย PDPA ควรเตรียมพร้อมรับความเปลี่ยนแปลงที่กำลังเกิดขึ้น กฏหมายนี้เป็นกฎหมายใหม่มากจึงมีแนวโน้มในการเลี่ยนแปลงอีกมาก และเป็นหน้าที่ของทุกคนที่เกี่ยวข้องที่จะทำตามกฎหมายอย่างเหมาะสม

-------------------------------
ที่มา:
https://techsauce.co/tech-and-biz/pdpa-big-data-private-law
https://ahead.asia/2018/05/24/facebook-ready-for-gdpr/
https://www.mailerlite.com/blog/california-consumer-privacy-act-ccpa-email-marketing

บทความ