พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA)

ข้อมูลส่วนบุคคล (Personal Data) คือ ข้อมูลเกี่ยวกับบุคคลที่สามารถระบุตัวบุคคลนั้นได้ ทั้งทางตรงหรือทางอ้อม แต่จะไม่นับรวมข้อมูลของผู้ที่เสียชีวิตไปแล้ว

ข้อมูลส่วนบุคคล ได้แก่ ชื่อ-นามสกุล หรือชื่อเล่น / เลขประจำตัวประชาชน, เลขหนังสือเดินทาง, เลขบัตรประกันสังคม, เลขใบอนุญาตขับขี่, เลขประจำตัวผู้เสียภาษี, เลขบัญชีธนาคาร, เลขบัตรเครดิต (การเก็บเป็นภาพสำเนาบัตรประชาชนหรือสำเนาบัตรอื่น ๆ ที่มีข้อมูลส่วนบุคคลที่กล่าวมา ย่อมสามารถใช้ระบุตัวบุคคลได้โดยตัวมันเอง จึงถือเป็นข้อมูลส่วนบุคคล)

• ที่อยู่, อีเมล์, เลขโทรศัพท์ / ข้อมูลอุปกรณ์หรือเครื่องมือ เช่น IP address, MAC address, Cookie ID

• ข้อมูลทางชีวมิติ (Biometric) เช่น รูปภาพใบหน้า, ลายนิ้วมือ, ฟิล์มเอกซเรย์, ข้อมูลสแกนม่านตา, ข้อมูลอัตลักษณ์เสียง, ข้อมูลพันธุกรรม

• ข้อมูลระบุทรัพย์สินของบุคคล เช่น ทะเบียนรถยนต์, โฉนดที่ดิน

• ข้อมูลที่สามารถเชื่อมโยงไปยังข้อมูลข้างต้นได้ เช่น วันเกิดและสถานที่เกิด, เชื้อชาติ,สัญชาติ, น้ำหนัก, ส่วนสูง, ข้อมูลตำแหน่งที่อยู่ (location), ข้อมูลการแพทย์, ข้อมูลการศึกษา, ข้อมูลทางการเงิน, ข้อมูลการจ้างงาน

• ข้อมูลหมายเลขอ้างอิงที่เก็บไว้ในไมโครฟิล์ม แม้ไม่สามารถระบุไปถึงตัวบุคคลได้ แต่หากใช้ร่วมกับระบบดัชนีข้อมูลอีกระบบหนึ่งก็จะสามารถระบุไปถึงตัวบุคคลได้

• ข้อมูลการประเมินผลการทำงานหรือความเห็นของนายจ้างต่อการทำงานของลูกจ้าง

• ข้อมูลบันทึกต่าง ๆ ที่ใช้ติดตามตรวจสอบกิจกรรมต่าง ๆ ของบุคคล เช่น log file

• ข้อมูลที่สามารถใช้ในการค้นหาข้อมูลส่วนบุคคลอื่นในอินเทอร์เน็ต

ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน (Sensitive Personal Data)

นอกจากนี้ยังมีข้อมูลส่วนบุคคลอีกประเภท ที่ พ.ร.บ. ฉบับนี้ให้ความสำคัญ และมีบทลงโทษที่รุนแรง กรณีเกิดการรั่วไหลสู่สาธารณะ ได้แก่ ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน (Sensitive Personal Data) ได้แก่ ข้อมูล เชื้อชาติ, เผ่าพันธุ์, ความคิดเห็นทางการเมือง, ความเชื่อในลัทธิ ศาสนาหรือปรัชญา, พฤติกรรมทางเพศ, ประวัติอาชญากรรม, ข้อมูลสุขภาพ ความพิการ หรือข้อมูลสุขภาพจิต, ข้อมูลสหภาพแรงงาน, ข้อมูลพันธุกรรม, ข้อมูลชีวภาพ, ข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลในทำนองเดียวกัน ตามที่คณะกรรมการประกาศกำหนด

สาเหตุเหตุที่ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน มีบทลงโทษรุนแรงกว่าข้อมูลส่วนบุคคลทั่วไป

เพราะหากข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน มีการรั่วไหลไปสู่สาธารณะแล้ว จะเกิดผลเสียที่ร้ายแรงกับผู้เป็นเจ้าของข้อมูลส่วนบุคคล ได้มากกว่าข้อมูลส่วนบุคคลอื่น ๆ มีผลต่อสิทธิเสรีภาพของบุคคล เช่น สิทธิเสรีภาพในความคิด ความเชื่อทางศาสนา การแสดงออก การชุมนุม สิทธิในชีวิตร่างกาย การอยู่อาศัย การไม่ถูกเลือกปฏิบัติ ซึ่งอาจก่อให้เกิดการแทรกแซง ซึ่งสิทธิเสรีภาพ และการเลือกปฏิบัติต่อการใช้สิทธิเสรีภาพของบุคคล ได้มากกว่าข้อมูลส่วนบุคคลทั่วไป

ยกตัวอย่างเช่น ข้อมูลพฤติกรรมทางเพศ เชื่อชาติ ศาสนา ประวัติอาชญากรรม หากรั่วไหลไปแล้ว ข้อมูลเหล่านี้จะนำมาสู่ความเป็นอคติ และจะมีผลกระทบต่อชีวิตส่วนบุคคล ได้มากกว่าข้อมูลทั่วไปเป็นอย่างมาก

ขอบคุณข้อมูล: t-reg knowledge

ผู้ควบคุมข้อมูลส่วนบุคคล สามารถรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลได้ ก็ต่อเมื่อได้รับคำยินยอม (Consent) จากเจ้าของข้อมูล

บุคคลธรรมดา หรือนิติบุคคล หากมีการเก็บรวบรวมข้อมูลส่วนบุคคลไว้ หรือมีการนำข้อมูลส่วนบุคคลไปใช้ หรือเปิดเผย ไม่ว่าจะวัตถุประสงค์ใดก็ตาม จำเป็นต้องได้รับคำยินยอม (Consent) จากเจ้าของข้อมูล

ข้อยกเว้นสำหรับข้อมูลส่วนบุคคลทั่วไป (Personal Data)

• จัดทำเอกสารประวัติศาสตร์ หรือจดหมายเหตุ เพื่อประโยชน์สาธารณะ ที่เกี่ยวข้องกับการศึกษาวิจัย หรือการจัดทำสถิติ

• เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล

• จำเป็นเพื่อปฏิบัติตามสัญญากับเจ้าของข้อมูล เช่น การซื้อขายของออนไลน์ ต้องใช้ชื่อ ที่อยู่ เบอร์โทรศัพท์ อีเมล

• จำเป็นเพื่อประโยชน์สาธารณะ และการปฏิบัติหน้าที่ในการใช้อำนาจรัฐ

• จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลอื่น

• เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล เช่น ส่งข้อมูลพนักงานให้กรมสรรพากรเรื่องภาษี เป็นต้น

ข้อยกเว้นสำหรับข้อมูลส่วนบุคคลที่อ่อนไหว (Sensitive Personal Data)

• เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล

• การดำเนินกิจกรรมที่ชอบด้วยกฎหมายที่มีการคุ้มครองที่เหมาะสมของ มูลนิธิ สมาคม องค์กรไม่แสวงหากำไร เช่น เรื่องศาสนาหรือความคิดเห็นทางการเมือง ซึ่งจำเป็นต้องเปิดเผยให้ทราบก่อนเข้าองค์กรนั้น ๆ เป็นต้น

• เป็นข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคล เช่น บุคคลสาธารณะที่มีข้อมูลที่เปิดเผยต่อสาธารณะอยู่แล้วในความยินยอมของเจ้าของข้อมูล

• เป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย เช่น เก็บลายนิ้วมือของผู้ที่บุกรุกเพื่อนำไปใช้ในชั้นศาล เป็นต้น

• เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ เกี่ยวกับ เวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ เช่น การเก็บข้อมูลสุขภาพของพนักงานซึ่งเป็นข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน (Sensitive Personal Data) องค์กรมักใช้ข้อนี้ในการอ้างสิทธิที่จำเป็นต้องเก็บข้อมูลนี้ไว้ เป็นต้น / ประโยชน์ด้านสาธารณะสุข, การคุ้มครองแรงงาน, การประกันสังคม, หลักประกันสุขภาพแห่งชาติ / การศึกษาวิจัยทางวิทยาศาสตร์, ประวัติศาสตร์, สถิติ, หรือประโยชน์สาธารณะอื่น / ประโยชน์สาธารณะที่สำคัญ

ขอบคุณข้อมูล: t-reg knowledge

จะเห็นได้ว่า PDPA (กฎหมายคุ้มครองข้อมูลส่วนบุคคล) กำหนดขึ้นเพื่อคึ้มครองสิทธิ์ของเจ้าของข้อมูล ว่าข้อมูลส่วนตัวของเขาจะปลอดภัย ถูกนำไปใช้อย่างถูกต้องเหมาะสม ตามความต้องการและยินยอมของเจ้าของข้อมูลอย่างแท้จริง

อย่างไรก็ตาม เจ้าของข้อมูล ควรพิจารณาอย่างรอบคอบเช่นกันว่า การให้ข้อมูลส่วนบุคคลในแต่ละครั้ง เป็นไปเพื่อวัตถุประสงค์ที่กำหนด อย่างเพียงพอหรือไม่? หากมองว่ามีการให้ข้อมูลส่วนบุคคล ที่ไม่เกี่ยวข้องกับวัตถุประสงค์ของการขอข้อมูล เราสามารถปฏิเสธการให้ข้อมูลนั้นได้ เพื่อป้องกันการนำข้อมูลไปใช้ในทางที่ผิด หรือหาผลประโยชน์จากข้อมูลส่วนบุคคลของเรา

PDPA อาจส่งผลกระทบโดยตรง กับผู้เก็บข้อมูล ที่ต้องปฏิบัติตาม ผู้ควบคุมข้อมูลส่วนบุคคล จึงจำเป็นต้องกำหนดนโยบายความปลอดภัยของข้อมูลส่วนบุคคลภายในองค์กร ทั้งต้องให้ความรู้แก่บุคคลากรในองค์กร

ให้ชัดเจนในขอบเขตการเก็บรวบรวม การใช้ และการเผยแพร่ข้อมูลส่วนบุคคล มีระบบการจัดเก็บข้อมูลส่วนบุคคลที่ปลอดภัย มีการจำกัดการเข้าถึงข้อมูลส่วนบุคคล มีการบันทึกกิจกรรมการใช้ข้อมูลส่วนบุคคล

สิ่งเหล่านี้ล้วนจำเป็นอย่างยิ่ง ที่ผู้ควบคุมข้อมูลจะต้องปฏิบัติ เพื่อให้สอดคล้องกับ PDPA ต่อไป

ขอบคุณข้อมูล: t-reg knowledge

Cookie Consent คืออะไร

Cookie เป็นไฟล์ข้อมูลขนาดเล็กที่ได้จากการเชื่อมต่อระหว่างเว็บไซต์และคอมพิวเตอร์ เป็นเทคโนโลยีที่เกิดขึ้นมาตั้งแต่ปี ค.ศ. 1994 โดยคุกกี้มีหน้าที่จดจำข้อมูลที่เป็นประโยชน์ต่อตัวเว็บไซต์ ไม่ว่าจะเป็นตำแหน่งโลเคชั่นของผู้ใช้งาน หรือข้อมูลที่ผู้ใช้งานสนใจเพื่อนำไปใช้ทำการตลาดโฆษณษแบบเจาะกลุ่มเป้าหมาย ซึ่งถือเป็นการจัดเก็บและใช้ข้อมูลส่วนบุคคลเช่นเดียวกัน ดังนั้นจึงต้องมีการขอความยินยอม (Consent) จากเจ้าของข้อมูลส่วนบุคคลก่อนเสมอ

คุกกี้แบ่งออกเป็นประเภทย่อย ดังนี้

1. Session cookies เป็นหน่วยความจำชั่วคราว ซึ่งจะบันทึกความเคลื่อนไหวที่เกิดบนหน้าเว็บไซต์

2. First-Party Cookies เป็นคุกกี้ที่ทำหนน้าเหมือนหน่วยความจำระยะยาวของเว็บไซต์ ไม่ว่าจะเป็นการตั้งค่าเมนูบนเว็บ, ธีม, ภาษาที่เลือก หรือ Bookmark เป็นต้น

3. Third-Party Cookies ทำหน้าที่แค่คอยติดตามความเคลื่อนไหว ดูพฤติกรรมการออนไลน์ และลักษณะการใช้จ่ายของเรา โดยมักนำมาใช้ในการทำการตลาด เพื่อเพิ่มยอดขายและยอดเพจวิว

4. Secure Cookies เป็นคุกกี้ที่ช่วยปกป้องข้อมูลสำคัญของเราไม่ให้ถูกดักระหว่างที่มีการรับส่งข้อมูล

5. HTTP-Only Cookies มักจะทำงานร่วมกับ Sucure Cookies เพื่อป้องกันการถูกโจมตีด้วยวิธี Cross-site scripting

6. Flash Cookies เป็นคุกกี้ท่าที่เปลี่ยนแปลงข้อมูลของผู้ใช้ได้ จึงมักถูกนำมาใช้ในทางที่ผิด

7. Zombie Cookies เป็นคุกกี้ที่สามารถสร้างตัวเองขึ้นมาใหม่ได้ (เมื่อ Back up)

8. Same-site Cookies เป็นคุกกี้แบบใหม่ ทำให้มีความปลอดภัยค่อนข้างมาก โดยจะมีการควบคุมการรับส่งคุกกี้ระหว่างเว็บไซต์ต่างๆ

ขอบคุณ : pdpaplus.com