น้องแว่น — Kelomn Legal Café · ก่อนจะเปิดแบบฟอร์มรับข้อมูลลูกค้า มาดูกันก่อนนะคะว่าต้องเตรียมอะไรบ้าง
PDPA สำหรับ SME — ก่อนเก็บข้อมูลลูกค้า ต้องทำอะไรเป็นลำดับแรก
ร้านเล็ก กิจการขนาดกลางและขนาดย่อม (SME) หรือร้านใหญ่ ถ้าจะเก็บชื่อ เบอร์โทร ที่อยู่ หรือไลน์ของลูกค้าเพื่อค้าขาย ก็อยู่ภายใต้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (เรียกสั้น ๆ ว่า PDPA) เหมือนกันค่ะ หน้าที่สำคัญหลายข้อต้องทำให้เรียบร้อย ก่อนหรือในขณะที่เก็บข้อมูล ไม่ใช่รอให้มีปัญหาก่อน น้องแว่นสรุปสิ่งที่ต้องทำก่อนเปิดแบบฟอร์มไว้เป็น 7 ขั้นตอนค่ะ ในแต่ละขั้นจะบอกว่าข้อไหนกฎหมายบังคับ ข้อไหนเป็นคำแนะนำ และถ้าข้ามไปจะเสี่ยงอะไรบ้าง
“พี่เอ” เป็นตัวละครสมมติ ใช้เล่าให้เห็นภาพ ไม่ได้พาดพิงบุคคลหรือร้านค้าใดค่ะ
พี่เอเปิดร้านขนมออนไลน์ มีพนักงาน 2 คน กำลังจะเปิดแบบฟอร์มสั่งซื้อบนเว็บไซต์ และให้แอดมินรับออเดอร์ทางไลน์ด้วยค่ะ ในแบบฟอร์มมีช่องให้กรอกชื่อ เบอร์โทร ที่อยู่จัดส่ง และอาการแพ้อาหาร ท้ายแบบฟอร์มมีช่องให้ทำเครื่องหมายเพียงช่องเดียว เขียนว่า “ยอมรับเงื่อนไขการสั่งซื้อและยินดีรับข่าวโปรโมชัน” พี่เอบอกว่า “เปิดแบบฟอร์มวันจันทร์เลย เรื่อง PDPA ไว้ร้านโตก่อนค่อยทำ”
น้องแว่น: ขอให้รอก่อนนะคะ มาเตรียมเรื่องนี้กันอีกสักนิด แบบฟอร์มนี้มีจุดเสี่ยงอยู่ 3 จุดค่ะ จุดแรก ยังไม่ได้เขียนไว้ว่าข้อมูลแต่ละอย่างจะนำไปใช้ทำอะไร (ในกฎหมายเรียกว่า “วัตถุประสงค์”) จุดที่สอง ช่องให้ทำเครื่องหมายมีช่องเดียว แต่รวมการยอมรับเงื่อนไขการสั่งซื้อกับการรับข่าวโปรโมชันไว้ด้วยกัน ลูกค้าจึงไม่มีทางเลือกว่าจะรับโปรโมชันหรือไม่ค่ะ จุดที่สาม ยังไม่มีข้อความบอกลูกค้าว่าร้านจะนำข้อมูลไปใช้ทำอะไร เพื่อให้ลูกค้าได้อ่านก่อนกรอกข้อมูลค่ะ ส่วนช่องอาการแพ้อาหารควรถือเป็นข้อมูลสุขภาพ ซึ่งกฎหมายคุ้มครองเข้มกว่าข้อมูลทั่วไป (มาตรา 26) ร้านจึงเก็บได้ยากกว่าค่ะ
1. เพื่อน ๆ ทำความเข้าใจ 3 ข้อนี้ก่อนนะคะ
ก่อนจะไล่ขั้นตอน ขอปูพื้นฐาน 3 ข้อซึ่งเป็นรากของทุกขั้นที่จะเล่าต่อไปค่ะ
- ร้านเล็กก็อยู่ภายใต้ PDPA ข้อยกเว้นที่ร้านค้ามักเข้าใจว่าใช้กับตัวเองได้ คือมาตรา 4 (1) ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งยกเว้นให้เฉพาะการเก็บข้อมูลไว้ใช้ส่วนตัวหรือใช้ในกิจกรรมของครอบครัวตัวเองเท่านั้นค่ะ การเก็บข้อมูลลูกค้าเพื่อค้าขายจึงไม่อยู่ในข้อยกเว้นนี้ ไม่ว่ากิจการจะมีขนาดเท่าใดค่ะ ส่วนข้อยกเว้นอื่นในมาตรา 4 เป็นเรื่องของหน่วยงานหรือกิจกรรมเฉพาะด้าน เช่น หน่วยงานของรัฐที่มีหน้าที่รักษาความมั่นคงของรัฐ งานสื่อมวลชน ศิลปกรรม หรือวรรณกรรมที่เป็นไปตามจริยธรรมวิชาชีพหรือเพื่อประโยชน์สาธารณะ รัฐสภา ศาลและกระบวนการยุติธรรม บริษัทข้อมูลเครดิตและสมาชิก รวมถึงกิจการที่มีพระราชกฤษฎีกายกเว้นไว้ ไม่ใช่ร้านค้าทั่วไปนะคะ
- ร้านเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” มาตรา 6 บอกว่าข้อมูลส่วนบุคคลคือข้อมูลเกี่ยวกับบุคคลธรรมดาที่ทำให้รู้ได้ว่าเป็นใคร ไม่ว่าจะรู้ได้โดยตรงหรือโดยอ้อม แต่ไม่รวมข้อมูลที่เป็นของผู้ที่เสียชีวิตแล้วโดยเฉพาะ ในชีวิตจริงก็เช่น ชื่อ เบอร์โทร ที่อยู่ หรือไลน์ไอดีของลูกค้าค่ะ มาตราเดียวกันบอกว่า “ผู้ควบคุมข้อมูล” คือบุคคลหรือนิติบุคคล เช่น บริษัท ที่มีอำนาจตัดสินใจว่าจะเก็บข้อมูลอะไร นำไปใช้ทำอะไร หรือเปิดเผยให้ใครบ้าง ร้านที่ตัดสินใจเรื่องเหล่านี้เอง จึงมีหน้าที่ในฐานะผู้ควบคุมข้อมูลค่ะ
- จะเก็บข้อมูลลูกค้าได้ ต้องมีเหตุผลที่กฎหมายรองรับเสมอ มาตรา 19 วรรคหนึ่ง วางหลักว่าร้านต้องได้รับความยินยอมจากลูกค้าก่อนหรือในขณะที่เก็บ ใช้ หรือเปิดเผยข้อมูล เว้นแต่พระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้ทำได้ และมาตรา 24 ระบุกรณีที่เก็บได้โดยไม่ต้องขอความยินยอมไว้ 6 กรณี เช่น เก็บเพราะจำเป็นต่อการทำตามสัญญาที่ลูกค้าสั่งซื้อ เหตุผลที่กฎหมายรองรับให้เก็บได้นี้ คนในวงการมักเรียกสั้น ๆ ว่า “ฐานทางกฎหมาย” ค่ะ ดังนั้นความยินยอมจึงเป็นเพียงหนึ่งในหลายฐานทางกฎหมายที่ใช้ได้ ไม่ใช่ทางเดียวค่ะ
2. เจ็ดขั้นตอนสำคัญ ก่อนที่เราจะรับข้อมูลจากลูกค้า
น้องแว่นจัดกลุ่มหน้าที่ตามตัวบทไว้เป็น 7 ขั้นตอน เพื่อให้เพื่อน ๆ เริ่มทำได้ทีละเรื่องค่ะ ขั้นที่ 1 ถึง 4 ควรทำให้เสร็จก่อนเปิดรับข้อมูลครั้งแรก เพราะหน้าที่ในขั้นที่ 2 ถึง 4 กฎหมายผูกไว้กับช่วง “ก่อนหรือในขณะเก็บรวบรวม” ถ้ารอทำทีหลังก็จะไม่ทันตามที่กฎหมายกำหนดค่ะ ส่วนขั้นที่ 5 ถึง 7 ต้องพร้อมใช้ตั้งแต่วันแรกที่มีข้อมูลเข้ามาเช่นกันค่ะ เพราะหน้าที่ตามมาตรา 37 (1) และมาตรา 39 วรรคหนึ่ง เริ่มทันทีที่ร้านมีข้อมูลลูกค้าอยู่ในมือ (ร้านขนาดเล็กอาจได้รับยกเว้นการจดบันทึกได้เพียงบางรายการตามมาตรา 39 วรรคสาม) และถ้าร้านเข้ากรณีใดกรณีหนึ่งตามมาตรา 41 วรรคหนึ่ง ร้านต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลค่ะ กฎหมายไม่ได้ให้เวลาเตรียมตัวก่อนนะคะ
มาดูรายละเอียดขั้นที่ 2 และขั้นที่ 3 กันค่ะ
3. เขียนให้ชัดก่อนว่าจะนำข้อมูลไปใช้ทำอะไร แล้วจึงดูว่ากฎหมายอนุญาตให้เก็บด้วยเหตุผลข้อใด
ข้อมูลชุดเดียวกัน เช่น เบอร์โทรของลูกค้า อาจเก็บได้ด้วยเหตุผลตามกฎหมายคนละข้อ ขึ้นอยู่กับว่าร้านจะนำไปใช้ทำอะไรค่ะ จึงต้องเขียนก่อนว่าข้อมูลแต่ละอย่างจะนำไปใช้ทำอะไร มาตรา 21 กำหนดให้ร้านเก็บ ใช้ หรือเปิดเผยข้อมูลตามวัตถุประสงค์ที่บอกลูกค้าไว้ก่อนหรือในขณะเก็บ และมาตรา 22 ให้เก็บได้เท่าที่จำเป็นต่อวัตถุประสงค์ที่ชอบด้วยกฎหมาย ช่องกรอกข้อมูลที่ไม่ได้ใช้กับเรื่องใดเลย จึงควรลดช่องการกรอกแบบฟอร์มที่ไม่จำเป็นออกตั้งแต่ตอนออกแบบค่ะ
แบบฟอร์มของพี่เอนำข้อมูลไปใช้ปนกันอยู่ 4 เรื่องค่ะ คือ ส่งของตามออเดอร์ ส่งข่าวโปรโมชัน ทำขนมให้ปลอดภัยสำหรับลูกค้าที่แพ้อาหาร และเก็บหลักฐานบางอย่างที่กฎหมายอื่นบังคับให้ร้านต้องเก็บไว้ (ถ้ามี) น้องแว่นจึงชวนพี่เอแยกทีละเรื่อง แล้วดูว่าข้อมูลแต่ละอย่างเก็บได้ด้วยเหตุผลตามกฎหมายข้อใดค่ะ
| ข้อมูลที่เก็บ และเก็บไปเพื่ออะไร | กฎหมายอนุญาตให้เก็บด้วยเหตุผลข้อใด | สิ่งที่ต้องระวัง |
|---|---|---|
| เก็บชื่อ เบอร์โทร และที่อยู่ เพื่อจัดส่งสินค้าตามที่ลูกค้าสั่งซื้อ | มาตรา 24 (3) เพราะร้านจำเป็นต้องใช้ข้อมูลนี้เพื่อส่งของตามที่ลูกค้าสั่งซื้อ ซึ่งเป็นการทำตามสัญญาซื้อขายที่ลูกค้าเป็นคู่สัญญา (คือเป็นฝ่ายหนึ่งของสัญญา) นอกจากนี้ยังใช้ได้ในกรณีที่จำเป็นต้องใช้ข้อมูลเพื่อทำตามที่ลูกค้าขอไว้ก่อนจะตกลงซื้อ | ไม่ต้องขอความยินยอมเมื่อใช้ข้อมูลชุดนี้เพื่อจัดส่ง แต่ร้านยังต้องบอกลูกค้าว่าจะเก็บไปทำอะไรตามมาตรา 23 (1) |
| เก็บเบอร์โทรหรือไลน์ เพื่อส่งข่าวโปรโมชัน | ต้องขอความยินยอมจากลูกค้าตามมาตรา 19 เพราะการส่งข่าวโปรโมชันไม่ใช่เรื่องจำเป็นต่อการส่งของตามออเดอร์ จึงใช้เหตุผลตามมาตรา 24 (3) ไม่ได้ | ร้านควรแยกช่องให้เลือกรับโปรโมชันออกจากช่องยอมรับเงื่อนไขการสั่งซื้อ และลูกค้าต้องสั่งซื้อได้แม้ไม่เลือกรับโปรโมชัน (มาตรา 19 วรรคสี่) |
| เก็บอาการแพ้อาหาร เพื่อทำขนมให้ปลอดภัยสำหรับลูกค้าที่แพ้ | ต้องดูตามมาตรา 26 เพราะอาการแพ้อาหารควรถือเป็นข้อมูลสุขภาพ ซึ่งต้องได้รับความยินยอมที่ลูกค้าแสดงออกอย่างชัดเจน (กฎหมายเรียกว่า ความยินยอมโดยชัดแจ้ง) เว้นแต่เข้าข้อยกเว้นที่กำหนดไว้ในมาตรานั้น | ถ้าร้านยังไม่พร้อมดูแลข้อมูลประเภทนี้ ควรรอก่อนที่จะเปิดช่องนี้ หรือเปลี่ยนไปให้ลูกค้าเลือกเมนูที่ไม่มีส่วนผสมที่ลูกค้าแพ้ แทนการให้กรอกอาการแพ้ลงในแบบฟอร์ม |
| เก็บข้อมูลที่กฎหมายอื่นบังคับให้ร้านต้องเก็บไว้ (ถ้ามี) เพื่อให้ร้านทำตามกฎหมายนั้น | มาตรา 24 (6) เพราะเป็นการเก็บเพื่อทำตามกฎหมายที่ผู้ควบคุมข้อมูลมีหน้าที่ต้องปฏิบัติ | ร้านควรเก็บเฉพาะเท่าที่กฎหมายนั้นกำหนด และจดชื่อกฎหมายนั้นไว้ในบันทึกภายในของร้านด้วย |
บางร้านอาจอยากอ้างว่าเก็บข้อมูลได้เพราะเป็น “ประโยชน์โดยชอบด้วยกฎหมาย” ของร้าน ตามมาตรา 24 (5) โดยไม่ต้องขอความยินยอมค่ะ ถ้าจะใช้เหตุผลข้อนี้ ร้านต้องตอบให้ได้ 2 ข้อ ข้อแรก การเก็บข้อมูลนั้นจำเป็นต่อประโยชน์โดยชอบด้วยกฎหมายของร้านจริงหรือไม่ ข้อสอง ประโยชน์ของร้านสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานของลูกค้าที่จะได้รับความคุ้มครองข้อมูลของตัวเองใช่หรือไม่ น้องแว่นแนะนำให้จดเหตุผลที่ชั่งน้ำหนักไว้ทุกครั้งค่ะ เพราะถ้าลูกค้าใช้สิทธิคัดค้าน มาตรา 32 (1) กำหนดให้ร้านเป็นฝ่ายต้องพิสูจน์ว่ามีเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า บันทึกนี้จะช่วยให้ร้านพิสูจน์ได้ค่ะ
เปิดอ่านตัวบท (มาตรา 21 · มาตรา 22 · มาตรา 24)
มาตรา ๒๑ ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้ตามวรรคหนึ่งจะกระทำมิได้ เว้นแต่ (๑) ได้แจ้งวัตถุประสงค์ใหม่นั้นให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอมก่อนเก็บรวบรวม ใช้ หรือเปิดเผยแล้ว (๒) บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้
มาตรา ๒๒ การเก็บรวบรวมข้อมูลส่วนบุคคล ให้เก็บรวบรวมได้เท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
มาตรา ๒๔ ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่ (๑) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ ตามที่คณะกรรมการประกาศกำหนด (๒) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล (๓) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น (๔) เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล (๕) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล (๖) เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
ร้านควรเขียนก่อนว่าจะนำข้อมูลแต่ละอย่างไปใช้ทำอะไร ลดช่องการกรอกแบบฟอร์มที่ไม่จำเป็น แล้วดูทีละเรื่องว่ากฎหมายอนุญาตให้เก็บด้วยเหตุผลข้อใดค่ะ ข้อมูลสำหรับจัดส่งตามออเดอร์เก็บได้ตามมาตรา 24 (3) ส่วนการส่งข่าวโปรโมชันควรขอความยินยอมแยกต่างหาก และข้อมูลแพ้อาหารควรถือเป็นข้อมูลสุขภาพที่ต้องทำตามเงื่อนไขในมาตรา 26 ค่ะ
มาดูวิธีขอความยินยอมกันค่ะ ส่วนนี้เป็นรายละเอียดของขั้นที่ 3 สำหรับร้านที่เลือกใช้วิธีขอความยินยอม
4. ถ้าจะขอความยินยอมจากลูกค้า ต้องขอให้ถูกวิธี ไม่อย่างนั้นความยินยอมนั้นจะใช้ไม่ได้
ความยินยอมที่ขอไม่ถูกวิธี ไม่ได้เป็นแค่ข้อบกพร่องเล็ก ๆ ค่ะ มาตรา 19 วรรคเจ็ด บัญญัติว่าการขอความยินยอมที่ไม่เป็นไปตามที่กำหนดในหมวดนี้ ไม่มีผลผูกพันเจ้าของข้อมูล (คือลูกค้า) และไม่ทำให้ผู้ควบคุมข้อมูลมีสิทธิเก็บ ใช้ หรือเปิดเผยข้อมูลได้ ผลคือร้านจะอ้างความยินยอมนั้นเป็นเหตุผลในการเก็บ ใช้ หรือเปิดเผยข้อมูลไม่ได้ค่ะ ถ้าไม่มีเหตุผลข้ออื่นที่กฎหมายรองรับ เช่น กรณีตามมาตรา 24 หรือสำหรับข้อมูลอ่อนไหวคือข้อยกเว้นตามมาตรา 26 ร้านก็เก็บ ใช้ หรือเปิดเผยข้อมูลนั้นไม่ได้เลยค่ะ
| กฎหมายกำหนดว่าอย่างไร | ในทางปฏิบัติร้านต้องทำอย่างไร | อยู่ในมาตราไหน |
|---|---|---|
| ร้านต้องขอความยินยอมอย่างชัดเจน โดยให้ลูกค้าเป็นผู้แสดงความต้องการเอง (กฎหมายเรียกว่า ขอโดยชัดแจ้ง) | ลูกค้าต้องตัดสินใจเอง เช่น ทำเครื่องหมายในช่องที่ยังว่างอยู่ด้วยตัวเอง ไม่ใช่ร้านทำเครื่องหมายไว้ให้ล่วงหน้าแล้วให้ลูกค้ากดผ่านไปเฉย ๆ น้องแว่นแนะนำวิธีนี้เพราะเห็นได้ชัดว่าลูกค้าตัดสินใจเอง ซึ่งตรงกับที่มาตรา 19 วรรคสอง กำหนดให้ขอความยินยอมโดยชัดแจ้ง | มาตรา 19 วรรคสอง |
| ร้านต้องขอเป็นลายลักษณ์อักษร (เป็นหนังสือ) หรือผ่านระบบอิเล็กทรอนิกส์ | ต้องมีหลักฐานที่เก็บไว้ได้ เช่น ข้อความยินยอมในแบบฟอร์มออนไลน์ หรือเอกสารที่ลูกค้าลงชื่อ เว้นแต่โดยสภาพแล้วไม่สามารถขอด้วยวิธีเหล่านี้ได้ | มาตรา 19 วรรคสอง |
| ร้านต้องบอกวัตถุประสงค์ไปพร้อมกับการขอ | บอกให้ชัดว่าลูกค้ากำลังยินยอมเพื่อให้ร้านทำอะไร เช่น “ยินยอมให้ร้านส่งข่าวโปรโมชันทางไลน์” | มาตรา 19 วรรคสาม |
| ร้านต้องแยกข้อความขอความยินยอมออกจากข้อความอื่นอย่างชัดเจน | ร้านต้องไม่ซ่อนข้อความยินยอมไว้ในเงื่อนไขการสั่งซื้อยาว ๆ ต้องใช้ภาษาที่อ่านง่าย และต้องไม่หลอกลวงหรือทำให้ลูกค้าเข้าใจผิดว่ายินยอมเพื่ออะไร | มาตรา 19 วรรคสาม |
| ร้านต้องไม่บังคับให้ลูกค้ายินยอมในเรื่องที่ไม่จำเป็นหรือไม่เกี่ยวกับการซื้อขายหรือการให้บริการ เพื่อแลกกับการเข้าทำสัญญา | ลูกค้าต้องสั่งซื้อสินค้าได้ตามปกติ แม้จะไม่ยินยอมรับข่าวโปรโมชันก็ตาม | มาตรา 19 วรรคสี่ |
| ร้านต้องเปิดทางให้ลูกค้าถอนความยินยอมได้ง่ายเท่ากับตอนที่ให้ความยินยอม | มีช่องทางให้ยกเลิกที่ง่ายพอ ๆ กับตอนที่ทำเครื่องหมายยินยอม และถ้าการถอนความยินยอมมีผลกระทบต่อลูกค้า ร้านต้องแจ้งให้ลูกค้าทราบด้วย ทั้งนี้ การถอนไม่มีผลย้อนหลังกับสิ่งที่ร้านทำไปแล้วโดยชอบ และอาจมีข้อจำกัดตามกฎหมายหรือสัญญาที่ให้ประโยชน์แก่ลูกค้า | มาตรา 19 วรรคห้าและวรรคหก |
ช่องให้ทำเครื่องหมายเพียงช่องเดียวของพี่เอ ซึ่งเขียนว่า “ยอมรับเงื่อนไขการสั่งซื้อและยินดีรับข่าวโปรโมชัน” ยังไม่เป็นไปตามมาตรา 19 วรรคสาม เพราะไม่ได้แยกข้อความขอความยินยอมออกจากเงื่อนไขอื่นค่ะ และยังไม่เป็นไปตามวรรคสี่ เพราะทำให้ลูกค้าต้องยินยอมรับโปรโมชันจึงจะสั่งซื้อได้ค่ะ น้องแว่นจึงแนะนำให้แยกเป็น 2 ช่อง ช่องแรกเป็นการรับทราบเงื่อนไขการสั่งซื้อ ช่องที่สองเป็นการยินยอมรับข่าวโปรโมชัน ซึ่งลูกค้าเลือกได้เองว่าจะทำเครื่องหมายหรือไม่ และยังสั่งซื้อได้ตามปกติแม้ไม่ทำเครื่องหมายค่ะ
เปิดอ่านตัวบท (มาตรา 19)
มาตรา ๑๙ ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ การขอความยินยอมต้องทำโดยชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวได้ ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไปด้วย และการขอความยินยอมนั้นต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่าย และไม่เป็นการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว ทั้งนี้ คณะกรรมการจะให้ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามแบบและข้อความที่คณะกรรมการประกาศกำหนดก็ได้ ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ทั้งนี้ ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล ทั้งนี้ การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบตามที่กำหนดไว้ในหมวดนี้ ในกรณีที่การถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบจากการถอนความยินยอมนั้น การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่ไม่เป็นไปตามที่กำหนดไว้ในหมวดนี้ ไม่มีผลผูกพันเจ้าของข้อมูลส่วนบุคคล และไม่ทำให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้
สรุปสั้น ๆ ค่ะ ถ้าร้านจะขอความยินยอมในเรื่องที่ไม่จำเป็นต่อการขาย เช่น การส่งข่าวโปรโมชัน ร้านต้องแยกช่องให้ชัด บอกลูกค้าว่าจะนำข้อมูลไปทำอะไร ให้ลูกค้าเลือกเองได้ และเปิดให้ถอนความยินยอมได้ง่ายค่ะ ถ้าขอผิดวิธี ความยินยอมนั้นจะไม่มีผลผูกพันลูกค้า และร้านจะใช้เป็นเหตุผลเก็บข้อมูลไม่ได้ตามมาตรา 19 วรรคเจ็ดค่ะ
มาดูรายละเอียดขั้นที่ 4 กันค่ะ
5. บอกลูกค้าให้ครบ 6 เรื่องตามมาตรา 23 ก่อนหรือในขณะที่เก็บข้อมูล
หน้าที่บอกลูกค้าข้อนี้ใช้ทุกครั้งที่ร้านเก็บข้อมูล ไม่ว่าร้านจะเก็บโดยขอความยินยอม หรือเก็บได้เพราะเข้าข้อยกเว้นตามมาตรา 24 ก็ตามค่ะ มีข้อยกเว้นเฉพาะกรณีที่ลูกค้ารู้รายละเอียดเรื่องนั้นอยู่แล้ว ซึ่งร้านไม่ต้องบอกซ้ำค่ะ ตัวบทกำหนดหน้าที่ “แจ้ง” แต่ไม่ได้กำหนดชื่อเอกสาร ร้านจะใช้ข้อความหน้าแบบฟอร์ม ข้อความตอบกลับอัตโนมัติในไลน์ หรือลิงก์ไปยังหน้าประกาศของร้านก็ได้ค่ะ ขอเพียงเนื้อหาครบ และลูกค้าเห็นได้ก่อนหรือในขณะที่กรอกข้อมูลก็พอค่ะ
พี่เอ: “ต้องจ้างคนร่างนโยบายความเป็นส่วนตัวยาวหลายหน้าเลยไหม” น้องแว่น: ไม่จำเป็นต้องยาวค่ะ ขอให้ครบ 6 เรื่องและลูกค้าเห็นก่อนกรอก ร้านเล็กอาจใช้ข้อความสั้น ๆ หน้าแบบฟอร์ม แล้วใส่ลิงก์ไปหน้ารายละเอียดเต็มก็ได้ค่ะ
| เรื่องที่ต้องบอกลูกค้า | ตัวอย่างข้อความที่ร้านขนมใช้ได้ | ข้อย่อยในมาตรา 23 |
|---|---|---|
| ร้านเก็บข้อมูลไปทำอะไร (รวมถึงกรณีที่กฎหมายให้เก็บได้โดยไม่ต้องขอความยินยอมตามมาตรา 24 ด้วย) | “ใช้ชื่อ เบอร์ และที่อยู่ เพื่อจัดส่งสินค้าตามที่ท่านสั่งซื้อ” | (1) |
| ร้านต้องบอกว่าลูกค้าจำเป็นต้องให้ข้อมูลหรือไม่ (เพราะกฎหมายหรือสัญญากำหนด หรือเพราะต้องใช้ในการทำสัญญากับร้าน) และถ้าไม่ให้ข้อมูลจะเกิดผลอย่างไร | “หากไม่ระบุที่อยู่ ร้านจะจัดส่งสินค้าให้ไม่ได้” | (2) |
| ร้านจะเก็บข้อมูลอะไรบ้าง และจะเก็บไว้นานแค่ไหน (ถ้ากำหนดตัวเลขชัด ๆ ไม่ได้ ให้บอกระยะเวลาที่คาดหมายได้ตามมาตรฐานของการเก็บข้อมูลประเภทนั้น) | “ร้านเก็บข้อมูลไว้ [จำนวน] ปีนับแต่วันส่งสินค้า” โดยร้านต้องเติมตัวเลขตามที่ใช้จริง | (3) |
| ร้านอาจส่งข้อมูลนี้ให้ใครบ้าง เป็นบุคคลหรือหน่วยงานประเภทใด | “ร้านอาจส่งชื่อ เบอร์โทร และที่อยู่ของท่านให้บริษัทขนส่งที่ร้านใช้จัดส่งสินค้า” | (4) |
| ร้านคือใคร ติดต่อร้านได้ที่ไหนและอย่างไร (รวมถึงตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ถ้ามี) | “ท่านติดต่อร้าน [ชื่อร้าน] ได้ที่ [ที่อยู่] โทร [เบอร์โทร] หรือไลน์ทางการ [ไอดีไลน์]” | (5) |
| ลูกค้ามีสิทธิอะไรบ้างตามที่มาตรา 23 (6) กล่าวถึง เช่น ถอนความยินยอม ขอดูข้อมูลของตัวเอง ขอให้ลบ และร้องเรียน | “ท่านมีสิทธิขอดูและขอสำเนาข้อมูลของท่าน และขอทราบว่าร้านได้ข้อมูลมาจากที่ใด ในกรณีที่ท่านไม่ได้ให้ความยินยอม ท่านขอให้ส่งข้อมูลของท่านไปยังผู้ควบคุมข้อมูลรายอื่น (คือร้านหรือหน่วยงานอื่นที่ท่านต้องการ) ได้ คัดค้านการเก็บ ใช้ หรือเปิดเผยข้อมูลได้ ขอให้ลบหรือทำลาย ขอให้ระงับการใช้ ขอแก้ไขให้ถูกต้อง หรือถอนความยินยอมได้ โดยติดต่อทางไลน์ของร้าน หากท่านเห็นว่าร้านฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ท่านมีสิทธิร้องเรียนได้” | (6) |
เปิดอ่านตัวบท (มาตรา 23)
มาตรา ๒๓ ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียด ดังต่อไปนี้ เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว (๑) วัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผยซึ่งรวมถึงวัตถุประสงค์ตามที่มาตรา ๒๔ ให้อำนาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล (๒) แจ้งให้ทราบถึงกรณีที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือสัญญาหรือมีความจำเป็นต้องให้ข้อมูลส่วนบุคคลเพื่อเข้าทำสัญญา รวมทั้งแจ้งถึงผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล (๓) ข้อมูลส่วนบุคคลที่จะมีการเก็บรวบรวมและระยะเวลาในการเก็บรวบรวมไว้ ทั้งนี้ ในกรณีที่ไม่สามารถกำหนดระยะเวลาดังกล่าวได้ชัดเจน ให้กำหนดระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม (๔) ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย (๕) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อในกรณีที่มีตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ให้แจ้งข้อมูล สถานที่ติดต่อ และวิธีการติดต่อของตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลด้วย (๖) สิทธิของเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๑๙ วรรคห้า มาตรา ๓๐ วรรคหนึ่ง มาตรา ๓๑ วรรคหนึ่ง มาตรา ๓๒ วรรคหนึ่ง มาตรา ๓๓ วรรคหนึ่ง มาตรา ๓๔ วรรคหนึ่ง มาตรา ๓๖ วรรคหนึ่ง และมาตรา ๗๓ วรรคหนึ่ง
ข้อความที่บอกลูกค้าต้องครบ 6 เรื่องตามมาตรา 23 และวางไว้ตรงที่ลูกค้าเห็นก่อนหรือในขณะที่กรอกข้อมูลค่ะ จะเรียกเอกสารนั้นว่าอะไรก็ได้ ไม่จำเป็นต้องใช้ชื่อว่า “นโยบายความเป็นส่วนตัว” สิ่งสำคัญคือเนื้อหาครบถ้วนและลูกค้าเข้าถึงได้จริงค่ะ
ขั้นที่ 1 ถึง 4 ควรทำให้เสร็จก่อนรับข้อมูลชิ้นแรก และอย่างช้าต้องพร้อมในขณะที่เก็บข้อมูลค่ะ ส่วนขั้นที่ 5 ถึง 7 ต้องเริ่มทำตั้งแต่วันแรกที่มีข้อมูลเข้ามาค่ะ หลังจากนั้นร้านต้องทบทวนวิธีดูแลความปลอดภัยเมื่อจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนไป (มาตรา 37 (1)) และปรับบันทึกรายการทุกครั้งที่เริ่มเก็บข้อมูลใหม่ค่ะ
มาดูรายละเอียดขั้นที่ 5 ถึงขั้นที่ 7 กันค่ะ
6. ร้านเล็กต้องทำอะไรบ้าง ในเรื่องความปลอดภัยของข้อมูล การจดบันทึก และการมีเจ้าหน้าที่คุ้มครองข้อมูล
สามเรื่องนี้เจ้าของร้านเล็กมักเข้าใจคลาดเคลื่อนค่ะ บางคนคิดว่าร้านเล็กได้รับยกเว้นทั้งหมด บางคนคิดว่าทุกร้านต้องจ้างเจ้าหน้าที่คุ้มครองข้อมูล น้องแว่นสรุปตามตัวบทไว้ในตารางนี้นะคะ
| หน้าที่ของร้าน | กฎหมายกำหนดไว้อย่างไร | ร้านเล็กต้องทำหรือไม่ |
|---|---|---|
| ดูแลข้อมูลให้ปลอดภัย (มาตรการรักษาความมั่นคงปลอดภัย) | มาตรา 37 (1) ให้ร้านมีวิธีป้องกันที่เหมาะสม เพื่อไม่ให้ข้อมูลสูญหาย หรือถูกเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยโดยไม่มีอำนาจหรือโดยมิชอบ ต้องทบทวนวิธีนี้เมื่อจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนไป และต้องไม่ต่ำกว่ามาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด | ร้านเล็กต้องทำเหมือนร้านอื่น เพราะตัวบทไม่ได้ให้ข้อยกเว้นเรื่องนี้แก่กิจการขนาดเล็ก |
| จดบันทึกรายการข้อมูลที่เก็บ | มาตรา 39 วรรคหนึ่ง ให้ร้านจดบันทึกอย่างน้อย 8 เรื่อง จะจดเป็นเอกสารหรือเก็บในระบบอิเล็กทรอนิกส์ก็ได้ ส่วนวรรคสามเปิดช่องให้คณะกรรมการประกาศยกเว้นให้กิจการขนาดเล็กไม่ต้องจดบางข้อ ซึ่งหมายถึงข้อ (1) ถึง (6) (ดูรายการ 8 เรื่องใต้ตารางนี้) และข้อ (8) ร้านจึงไม่ต้องจดข้อเหล่านั้นก็ต่อเมื่อเข้าหลักเกณฑ์ในประกาศนั้นจริง | ร้านเล็กยกเว้นได้เพียงบางข้อ และใช้ข้อยกเว้นนี้ไม่ได้ใน 3 กรณี กรณีแรก ข้อมูลที่ร้านเก็บมีความเสี่ยงต่อสิทธิและเสรีภาพของลูกค้า กรณีที่สอง ร้านเก็บข้อมูลเป็นประจำ ไม่ใช่เป็นครั้งคราว กรณีที่สาม ร้านเก็บข้อมูลตามมาตรา 26 ส่วนข้อ (7) คือการจดไว้เมื่อร้านปฏิเสธคำขอหรือคำคัดค้านของลูกค้า ข้อนี้ประกาศยกเว้นให้ไม่ได้เลย ร้านทุกขนาดที่ปฏิเสธคำขอดูหรือขอสำเนาข้อมูล (มาตรา 30) คำขอให้ส่งหรือโอนข้อมูล (มาตรา 31) คำคัดค้าน (มาตรา 32) หรือไม่แก้ไขข้อมูลตามที่ลูกค้าขอ (มาตรา 36) จึงต้องจดการปฏิเสธนั้นพร้อมเหตุผลไว้ทุกครั้ง (มาตรา 39 วรรคหนึ่ง (7)) |
| เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) | มาตรา 41 วรรคหนึ่ง กำหนดให้ต้องมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเฉพาะ 3 กรณี คือ (1) กิจการเป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด (2) กิจการต้องตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอ เพราะมีข้อมูลเป็นจำนวนมากถึงเกณฑ์ที่คณะกรรมการประกาศกำหนด (3) งานหลักของกิจการคือการเก็บ ใช้ หรือเปิดเผยข้อมูลตามมาตรา 26 (ข้อมูลอ่อนไหว) | ไม่ใช่ทุกร้านต้องมี ให้ตรวจว่าร้านเข้ากรณีใดใน 3 กรณีนี้หรือไม่ ถ้าไม่เข้ากรณีใดเลย กฎหมายก็ไม่ได้บังคับให้ต้องมี |
รายการ 8 เรื่องที่มาตรา 39 วรรคหนึ่ง ให้จดไว้ ได้แก่ (1) ข้อมูลส่วนบุคคลที่ร้านเก็บ (2) วัตถุประสงค์ของการเก็บข้อมูลแต่ละประเภท (3) ข้อมูลเกี่ยวกับร้านในฐานะผู้ควบคุมข้อมูล (4) ระยะเวลาที่เก็บรักษาข้อมูล (5) สิทธิและวิธีการเข้าถึงข้อมูล รวมทั้งเงื่อนไขว่าใครเข้าถึงข้อมูลได้และเข้าถึงได้อย่างไร (6) การใช้หรือเปิดเผยข้อมูลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา 27 วรรคสาม (7) การปฏิเสธคำขอหรือคำคัดค้านของลูกค้าตามมาตรา 30 วรรคสาม มาตรา 31 วรรคสาม มาตรา 32 วรรคสาม และมาตรา 36 วรรคหนึ่ง และ (8) คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1) ค่ะ
จุดที่น้องแว่นอยากให้ระวังที่สุดคือ ข้อยกเว้นเรื่องจดบันทึก ค่ะ ร้านที่รับออเดอร์และเก็บข้อมูลลูกค้าทุกวัน อาจไม่เข้าเงื่อนไข “เก็บเป็นครั้งคราว” ตามมาตรา 39 วรรคสาม และถ้าร้านเก็บข้อมูลแพ้อาหารซึ่งควรถือเป็นข้อมูลตามมาตรา 26 ข้อยกเว้นนี้ก็ใช้ไม่ได้อยู่แล้วค่ะ ร้านจึงไม่ควรคิดเองว่าตัวเองได้รับยกเว้น ก่อนจะอ้างข้อยกเว้นนี้ ขอให้เปิดอ่านฉบับทางการของ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567 (ราชกิจจานุเบกษา เล่ม 142 ตอนพิเศษ 5 ง หน้า 19 วันที่ 8 มกราคม 2568) เพื่อดูเงื่อนไขก่อนนะคะ ราชกิจจานุเบกษาคือหนังสือที่รัฐใช้ประกาศกฎหมายและประกาศทางการค่ะ ขอให้ระวังอย่าสับสนกับประกาศอีกฉบับที่ออกวันเดียวกันด้วยค่ะ ฉบับนั้น (เล่ม 142 ตอนพิเศษ 5 ง หน้า 21) ใช้กับ “ผู้ประมวลผลข้อมูล” คือผู้ที่รับจัดการข้อมูลตามคำสั่งหรือในนามของร้าน ไม่ใช่ร้านที่เป็นผู้ควบคุมข้อมูลเองค่ะ
ประกาศอีก 2 ฉบับที่ร้านควรรู้จักมีดังนี้ค่ะ
- มาตรฐานขั้นต่ำของวิธีดูแลความปลอดภัย อยู่ใน ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 (ราชกิจจานุเบกษา เล่ม 139 ตอนพิเศษ 140 ง หน้า 28 วันที่ 20 มิถุนายน 2565)
- เกณฑ์ “ข้อมูลเป็นจำนวนมาก” ตามมาตรา 41 (2) อยู่ใน ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 (ราชกิจจานุเบกษา เล่ม 140 ตอนพิเศษ 226 ง หน้า 12 วันที่ 14 กันยายน 2566)
รายละเอียดของแต่ละฉบับให้อ่านจากฉบับทางการก่อนนำไปใช้นะคะ
สรุปเป็นเอกสารภายใน 3 อย่างที่ร้านเล็กควรเตรียมไว้ค่ะ
เรื่องความปลอดภัยของข้อมูล ทุกร้านต้องทำค่ะ เรื่องจดบันทึก กฎหมายยกเว้นให้ได้เพียงบางข้อและมีเงื่อนไข ร้านที่เก็บข้อมูลลูกค้าเป็นประจำจึงไม่ควรคิดเองว่าได้รับยกเว้น ส่วนเจ้าหน้าที่คุ้มครองข้อมูล ต้องมีเฉพาะ 3 กรณีตามมาตรา 41 เท่านั้นค่ะ
มาดูกันค่ะว่าถ้าข้ามขั้นตอนไป จะเกิดอะไรขึ้นบ้าง
7. ถ้าข้ามขั้นตอนไหนไป ร้านเสี่ยงถูกปรับเท่าไร
พระราชบัญญัตินี้กำหนดโทษปรับทางปกครอง (คือค่าปรับที่คณะกรรมการผู้เชี่ยวชาญตามกฎหมายนี้มีอำนาจสั่งได้เองตามมาตรา 90) ไว้ตามเรื่องที่ร้านฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายค่ะ ตัวเลขในตารางเป็น เพดานสูงสุด ไม่ใช่จำนวนที่ต้องจ่ายทุกกรณี นอกจากโทษปรับแล้ว ถ้าร้านฝ่าฝืนจนลูกค้าได้รับความเสียหาย ร้านต้องชดใช้ค่าเสียหาย (กฎหมายเรียกว่า ค่าสินไหมทดแทน) ตามมาตรา 77 ไม่ว่าร้านจะจงใจหรือประมาทเลินเล่อ (คือไม่ระมัดระวังเท่าที่ควร) หรือไม่ก็ตามค่ะ ร้านจะพ้นความรับผิดได้ก็ต่อเมื่อพิสูจน์ได้ว่าความเสียหายเกิดจากเหตุสุดวิสัย (คือเหตุที่ไม่อาจป้องกันได้ แม้จะระมัดระวังตามสมควรแล้ว) หรือเกิดจากการกระทำหรือการละเว้นการกระทำของลูกค้าเอง หรือเป็นการทำตามคำสั่งของเจ้าหน้าที่ซึ่งปฏิบัติการตามหน้าที่และอำนาจตามกฎหมายค่ะ
พี่เอ: “ร้านเล็กแค่นี้ คงไม่มีใครมาร้องเรียนหรอก” น้องแว่น: มาตรา 82 ถึง 84 ใช้กับผู้ควบคุมข้อมูลทุกรายค่ะ ร้านเล็กก็ไม่ได้รับยกเว้น ขนาดของร้านเป็นเพียงเรื่องหนึ่งที่คณะกรรมการผู้เชี่ยวชาญนำมาพิจารณาตอนกำหนดค่าปรับตามมาตรา 90 ค่ะ ขนาดของร้านไม่ได้ทำให้ร้านพ้นจากโทษปรับ ทั้งนี้ ถ้าเห็นสมควร คณะกรรมการผู้เชี่ยวชาญจะสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้ (มาตรา 90 วรรคหนึ่ง) และถ้าลูกค้าเสียหายจากการฝ่าฝืน ร้านยังต้องชดใช้ตามมาตรา 77 ด้วยค่ะ
| จุดที่มักพลาด | ความเสี่ยง | สิ่งที่ควรปรับปรุง |
|---|---|---|
| ร้านไม่ได้เตรียมข้อความบอกลูกค้าตามมาตรา 23 ไว้ | ร้านอาจถูกปรับทางปกครองไม่เกิน 1,000,000 บาท (มาตรา 82) | ร้านควรวางข้อความบอกลูกค้าครบ 6 เรื่องไว้หน้าแบบฟอร์ม และในข้อความตอบกลับของไลน์ |
| ร้านไม่จดบันทึกรายการตามมาตรา 39 วรรคหนึ่ง หรือไม่มีเจ้าหน้าที่คุ้มครองข้อมูล (DPO) ทั้งที่เข้ากรณีตามมาตรา 41 วรรคหนึ่ง | ร้านอาจถูกปรับทางปกครองไม่เกิน 1,000,000 บาท (มาตรา 82) | ร้านควรเริ่มตารางจดบันทึกตั้งแต่วันเปิดระบบ และจดผลการตรวจเรื่องเจ้าหน้าที่คุ้มครองข้อมูลไว้ |
| ร้านไม่บอกลูกค้าว่าถ้าถอนความยินยอมแล้วจะมีผลอะไรตามมา (มาตรา 19 วรรคหก) | ร้านอาจถูกปรับทางปกครองไม่เกิน 1,000,000 บาท (มาตรา 82) | ร้านควรบอกลูกค้าให้ชัดว่าถ้าถอนความยินยอมแล้วจะมีผลอย่างไร เช่น จะไม่ได้รับข่าวโปรโมชันอีก |
| ร้านนำข้อมูลไปใช้นอกเหนือจากที่บอกลูกค้าไว้ เก็บข้อมูลมากเกินจำเป็น หรือเก็บโดยไม่มีเหตุผลตามกฎหมายรองรับ (มาตรา 21 มาตรา 22 และมาตรา 24) | ร้านอาจถูกปรับทางปกครองไม่เกิน 3,000,000 บาท (มาตรา 83) | ร้านควรเขียนให้ชัดว่าจะนำข้อมูลไปใช้ทำอะไร ลดช่องการกรอกแบบฟอร์มที่ไม่จำเป็น และตรวจให้ครบว่าข้อมูลทุกอย่างเก็บได้ด้วยเหตุผลตามกฎหมายข้อใด |
| ร้านไม่มีวิธีป้องกันข้อมูลตามมาตรา 37 หรือร้านขอความยินยอมโดยหลอกลวง หรือทำให้ลูกค้าเข้าใจผิดว่าจะนำข้อมูลไปทำอะไร | ร้านอาจถูกปรับทางปกครองไม่เกิน 3,000,000 บาท (มาตรา 83) | ร้านควรจำกัดผู้ที่เข้าถึงข้อมูลได้ และเขียนข้อความขอความยินยอมให้ตรงกับสิ่งที่ร้านจะทำจริง |
| ร้านเก็บข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ โดยที่ลูกค้าไม่ได้ให้ความยินยอมโดยชัดแจ้ง และไม่เข้าข้อยกเว้นตามมาตรา 26 | ร้านอาจถูกปรับทางปกครองไม่เกิน 5,000,000 บาท (มาตรา 84) | ร้านควรรอก่อนที่จะมีช่องให้กรอกข้อมูลอ่อนไหวในแบบฟอร์ม จนกว่าจะมีเหตุผลตามกฎหมายรองรับและมีวิธีดูแลข้อมูลที่ชัดเจนแล้ว |
เปิดอ่านตัวบท (มาตรา 82 · มาตรา 83 · มาตรา 84)
มาตรา ๘๒ ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา ๒๓ มาตรา ๓๐ วรรคสี่ มาตรา ๓๙ วรรคหนึ่ง มาตรา ๔๑ วรรคหนึ่ง หรือมาตรา ๔๒ วรรคสองหรือวรรคสาม หรือไม่ขอความยินยอมตามแบบหรือข้อความที่คณะกรรมการประกาศกำหนดตามมาตรา ๑๙ วรรคสาม หรือไม่แจ้งผลกระทบจากการถอนความยินยอมตามมาตรา ๑๙ วรรคหก หรือไม่ปฏิบัติตามมาตรา ๒๓ ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา ๒๕ วรรคสอง ต้องระวางโทษปรับทางปกครองไม่เกินหนึ่งล้านบาท
มาตรา ๘๓ ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนหรือไม่ปฏิบัติตามมาตรา ๒๑ มาตรา ๒๒ มาตรา ๒๔ มาตรา ๒๕ วรรคหนึ่ง มาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง มาตรา ๒๘ มาตรา ๓๒ วรรคสอง หรือมาตรา ๓๗ หรือขอความยินยอมโดยการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ หรือไม่ปฏิบัติตามมาตรา ๒๑ ซึ่งได้นำมาใช้บังคับโดยอนุโลมตามมาตรา ๒๕ วรรคสอง หรือส่งหรือโอนข้อมูลส่วนบุคคลโดยไม่เป็นไปตามมาตรา ๒๙ วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินสามล้านบาท
มาตรา ๘๔ ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา ๒๖ วรรคหนึ่งหรือวรรคสาม หรือฝ่าฝืนมาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง หรือมาตรา ๒๘ อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา ๒๖ หรือส่งหรือโอนข้อมูลส่วนบุคคลตามมาตรา ๒๖ โดยไม่เป็นไปตามมาตรา ๒๙ วรรคหนึ่งหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินห้าล้านบาท
หน้าที่ตั้งแต่ขั้นที่ 2 ถึงขั้นที่ 7 มีโทษปรับทางปกครองรองรับอยู่ โดยมีเพดานสูงสุดตั้งแต่ 1 ล้านถึง 5 ล้านบาทค่ะ และร้านยังอาจต้องชดใช้ค่าเสียหายให้ลูกค้าตามมาตรา 77 อีกด้วย การเตรียมให้ครบก่อนเปิดแบบฟอร์มจึงคุ้มค่ากว่าการตามแก้ไขในภายหลังค่ะ
หัวใจของเรื่องนี้คือ เตรียมให้ครบก่อนรับข้อมูลลูกค้าคนแรก ค่ะ เพราะการบอกว่าจะนำข้อมูลไปใช้ทำอะไร การมีเหตุผลตามกฎหมายรองรับ และการบอกลูกค้า ล้วนเป็นหน้าที่ที่ต้องทำก่อนหรือในขณะที่เก็บข้อมูลค่ะ ส่วนความปลอดภัยของข้อมูลและการจดบันทึกก็ต้องพร้อมตั้งแต่วันแรก ไม่ใช่รอให้ร้านโตก่อนนะคะ
- รู้ว่าร้านมีหน้าที่อะไร และเก็บข้อมูลอะไรบ้าง — ตรวจว่าร้านเป็นผู้ควบคุมข้อมูลตามมาตรา 6 แล้วจดไว้ว่าแบบฟอร์มเก็บข้อมูลอะไรบ้างค่ะ
- รู้ว่าจะนำข้อมูลไปใช้ทำอะไร และเก็บเท่าที่จำเป็น — เขียนไว้ให้ชัดว่าข้อมูลแต่ละอย่างจะนำไปใช้ทำอะไร และเก็บเฉพาะเท่าที่จำเป็นจริง ๆ ตามมาตรา 21 และมาตรา 22 ค่ะ
- ข้อมูลทุกอย่างมีเหตุผลตามกฎหมายรองรับให้เก็บ — ดูทีละเรื่องว่าเก็บได้เพราะกฎหมายอนุญาตโดยไม่ต้องขอความยินยอม (มาตรา 24) หรือต้องขอความยินยอมก่อน (มาตรา 19) ส่วนข้อมูลอ่อนไหวต้องได้รับความยินยอมโดยชัดแจ้ง หรือเข้าข้อยกเว้นตามมาตรา 26 ค่ะ
- ขอความยินยอมให้ถูกวิธี — ให้ลูกค้าทำเครื่องหมายเอง แยกช่องออกจากข้อความอื่น บอกว่าจะนำข้อมูลไปทำอะไร ไม่ตั้งเงื่อนไขให้ลูกค้าต้องยินยอมในเรื่องที่ไม่จำเป็นต่อการซื้อขายก่อนจึงจะสั่งซื้อได้ และเปิดให้ถอนความยินยอมได้ง่าย ตามมาตรา 19 ค่ะ
- บอกลูกค้าให้ครบ 6 เรื่อง — วางข้อความไว้ให้ลูกค้าเห็นก่อนหรือในขณะที่กรอกข้อมูล ตามมาตรา 23 ค่ะ
- ดูแลข้อมูลให้ปลอดภัย และจดบันทึกรายการ — จัดวิธีดูแลความปลอดภัยตามมาตรา 37 (1) และเริ่มจดบันทึกตามมาตรา 39 ตั้งแต่วันแรก โดยไม่คิดเองว่าร้านได้รับยกเว้นค่ะ
- ตรวจแล้วว่าต้องมีเจ้าหน้าที่คุ้มครองข้อมูล (DPO) หรือไม่ — ดูว่าร้านเข้ากรณีใดใน 3 กรณีตามมาตรา 41 หรือไม่ แล้วเก็บผลที่ตรวจไว้เป็นหลักฐานค่ะ
อ้างอิง · พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 4 (1) มาตรา 6 มาตรา 19 มาตรา 21 มาตรา 22 มาตรา 23 มาตรา 24 มาตรา 26 มาตรา 37 มาตรา 39 มาตรา 41 มาตรา 77 มาตรา 82 มาตรา 83 มาตรา 84 และมาตรา 90 · ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2567 · ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 · ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566
พี่เอเลื่อนเปิดแบบฟอร์มไปอีกไม่กี่วัน แต่ได้แบบฟอร์มที่บอกชัดว่าเก็บข้อมูลไปทำอะไรในแต่ละเรื่อง มีข้อความบอกลูกค้าครบ และไม่มีช่องกรอกข้อมูลที่ร้านยังไม่พร้อมดูแล น้องแว่นว่าคุ้มค่ะ เพื่อน ๆ ที่กำลังจะเปิดช่องรับข้อมูลลูกค้า ลองไล่ 7 ขั้นตอนนี้ไปทีละข้อนะคะ
ทางลัดไปยังชุดความรู้ PDPA และข้อมูลส่วนบุคคล
ถ้าอยากอ่านตัวบทฉบับทางการเพิ่มเติม ค้นได้ที่เว็บไซต์ สำนักงานคณะกรรมการกฤษฎีกา ค่ะ
หมายเหตุจาก Kelomn: บทความนี้ให้ความรู้ทั่วไปเรื่องการเตรียมตัวก่อนเก็บข้อมูลลูกค้าตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ไม่ใช่คำปรึกษาสำหรับกิจการใดโดยเฉพาะค่ะ ตัวบทที่อ้างถึงคือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (สำนักงานคณะกรรมการกฤษฎีกา) ส่วนประกาศของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่กล่าวถึง บทความบอกเพียงชื่อและวันที่ลงราชกิจจานุเบกษาเท่านั้น ถ้าจะนำไปใช้ ควรอ่านเงื่อนไขจากฉบับทางการก่อน ร้านแต่ละแห่งต่างกันค่ะ จึงต้องดูข้อเท็จจริงของร้านตัวเองเสมอว่าจะเก็บข้อมูลด้วยเหตุผลตามกฎหมายข้อใด และเข้าข้อยกเว้นหรือไม่ ก่อนนำไปใช้กับระบบจริง ควรปรึกษาผู้เชี่ยวชาญด้วยนะคะ
รับอัปเดตกฎหมายธุรกิจจาก Kelomn
ติดตามบทความใหม่และสรุปประเด็นกฎหมายธุรกิจที่ควรรู้ได้ต่อใน KKB Fans
ถ้าข้อมูลนี้เป็นประโยชน์ ส่งกำลังใจให้น้องแว่นได้ค่ะ
เลือกกาแฟหรือขนมปังสักอย่างไหมคะ?
กาแฟ 0 แก้ว ขนมปัง 0 แผ่น เปิดหน้า KKB Fans →