PDPA คืออะไร

PDPA หรือ Personal Data Protection Act คือ พระราชบัญญัติข้อมูลส่วนบุคคล พ.ศ. 2562 ที่มีการออกและประกาศใช้อย่างเป็นทางการภายใต้วัตถุประสงค์สำคัญเกี่ยวกับเรื่องป้องกันการละเมิดข้อมูลส่วนบุคคล การจัดเก็บและการนำไปใช้งานของใครก็ตามที่ไม่ได้รับความยินยอมจากเจ้าของข้อมูลนั้น ๆ มีการประกาศบังคับใช้อย่างเป็นทางการเมื่อวันที่ 1 มิถุนายน พ.ศ. 2565 ที่ผ่านมา

ซึ่งคำว่าข้อมูลส่วนตัวมีด้วยกันหลายรูปแบบ เช่น ชื่อ-สกุล เบอร์โทรศัพท์ อีเมล ที่อยู่ปัจจุบัน เลขที่บัตรประชาชน เลขบัญชีธนาคาร เลขใบอนุญาตขับขี่ ข้อมูลด้านการเงิน ข้อมูลทางการศึกษา ข้อมูลด้านการแพทย์ ทะเบียนบ้าน โฉนดที่ดิน ทะเบียนรถยนต์ น้ำหนัก ส่วนสูง สัญชาติ ศาสนา วันเดือนปีเกิด ไปจนถึงข้อมูลการเข้าถึงอินเทอร์เน็ตที่สามารถระบุตัวตนหรือการเชื่อมต่อไปยังข้อมูลส่วนบุคคลอื่น ๆ ได้ อาทิ Password, IP Address, GPS Location เป็นต้น

ตามกฎหมาย PDPA ผู้ควบคุมข้อมูล (Data Controller) จะต้องรับผิดชอบในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล รวมถึงต้องรับผิดชอบในการเก็บรักษา ใช้ และเปิดเผยข้อมูลส่วนบุคคลอย่างถูกต้อง และเพียงพอต่อภาระทางกฎหมาย อีกทั้งยังต้องรับผิดชอบในการให้ข้อมูลส่วนบุคคลถูกต้องและครบถ้วน

นอกจากนี้ PDPA ยังกำหนดให้ผู้ถือข้อมูล (Data Subject) มีสิทธิ์ในการเข้าถึง ตรวจสอบ และขอข้อมูลส่วนบุคคลของตนเอง และสามารถขอให้ผู้ควบคุมข้อมูลปรับปรุง ลบ หรือจำกัดการใช้ข้อมูลส่วนบุคคลของตนได้

ดังนั้น ในการดำเนินงานธุรกิจที่มีการใช้งานข้อมูลส่วนบุคคล จำเป็นต้องปฏิบัติตามกฎหมาย PDPA เพื่อปกป้องข้อมูลส่วนบุคคลของลูกค้าและผู้ใช้บริการ และเพื่อป้องกันการกระทำที่ไม่เหมาะสมต่อข้อมูลส่วนบุคคลของผู้ใช้งาน

PDPA ส่งผลให้ธุรกิจต้องปรับตัวอย่างไร?

ในอดีตธุรกิจแทบทุกประเภทสามารถขอข้อมูลส่วนบุคคลของลูกค้ามาใช้งานได้โดยไม่มีความผิดใด ๆ ซึ่งตรงนี้มักเป็นช่องโหว่ให้เกิดการนำข้อมูลไปขายต่อ หรือนำไปใช้ในทางที่เจ้าของได้รับความเสียหาย เมื่อมีกฎหมาย PDPA ออกมา ส่งผลให้เจ้าของข้อมูลมีสิทธิในการปกป้องตนเองมากขึ้น ธุรกิจจึงต้องทำการขออนุญาตในกรณีที่ต้องการจัดเก็บ หรือนำข้อมูลดังกล่าวไปใช้ตามความเหมาะสม ซึ่งตรงนี้จะถูกเรียกว่า

ตามหลักการเบื้องต้นของ PDPA Consent คือ ต้องมีการระบุวัตถุประสงค์ของการเก็บรวบรวมข้อมูลและการนำข้อมูลไปใช้ เจ้าของข้อมูลตัดสินใจด้วยตนเองว่าจะให้หรือไม่ มีการแยกสัดส่วนด้านความยินยอมจากเรื่องอื่นชัดเจน เพิกถอนความยินยอมได้ แต่ต้องระบุผลที่อาจเกิดขึ้นให้กับเจ้าของข้อมูลรู้หากจะทำการเพิกถอน