PDPA สำหรับร้านค้าและธุรกิจขนาดเล็ก: เก็บข้อมูลลูกค้าให้ถูกกฎหมาย กล้องวงจรปิด และแจ้งเหตุข้อมูลรั่วไหลใน 72 ชั่วโมง

ร้านกาแฟที่มีระบบสมาชิก ร้านออนไลน์ที่จดชื่อและที่อยู่ลูกค้าเพื่อส่งของ คลินิกที่เก็บประวัติผู้รับบริการ หรือร้านที่ติดกล้องวงจรปิด ล้วนกำลังเก็บข้อมูลส่วนบุคคล และมีหน้าที่ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA ซึ่งใช้บังคับเต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 บทความนี้สรุปสิ่งที่กิจการขนาดเล็กต้องทำกับข้อมูลของลูกค้า

ร้านเล็กต้องทำตาม PDPA ด้วยหรือ

ต้องทำ กฎหมายใช้กับผู้ควบคุมข้อมูลส่วนบุคคล คือบุคคลหรือนิติบุคคลที่มีอำนาจตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ว่ากิจการจะเล็กหรือใหญ่ ส่วนข้อมูลส่วนบุคคลคือข้อมูลเกี่ยวกับบุคคลที่ทำให้ระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม (มาตรา 6) เช่น ชื่อ เบอร์โทรศัพท์ ที่อยู่ อีเมล หรือภาพจากกล้องที่เห็นหน้าชัด

หลักพื้นฐานมี 3 ข้อ

• เก็บได้เท่าที่จำเป็นภายใต้วัตถุประสงค์ที่ชอบด้วยกฎหมาย (มาตรา 22)
• ใช้และเปิดเผยได้ตามวัตถุประสงค์ที่แจ้งไว้ จะใช้เพื่อเรื่องใหม่ต้องแจ้งและได้รับความยินยอมก่อน เว้นแต่กฎหมายให้ทำได้ (มาตรา 21)
• ต้องมีฐานทางกฎหมายรองรับ คือความยินยอม หรือข้อยกเว้นตามมาตรา 24

ไม่ต้องขอความยินยอมทุกเรื่อง

หลายคนเข้าใจว่า PDPA บังคับให้ขอความยินยอมทุกครั้ง ความจริงมาตรา 24 ให้เก็บข้อมูลได้โดยไม่ต้องขอความยินยอมในหลายกรณี ที่กิจการทั่วไปใช้บ่อยคือ

• จำเป็นเพื่อปฏิบัติตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา หรือเพื่อดำเนินการตามคำขอของเขาก่อนทำสัญญา เช่น ชื่อ ที่อยู่ และเบอร์โทรศัพท์เพื่อจัดส่งสินค้าที่ลูกค้าสั่ง
• ปฏิบัติตามกฎหมาย เช่น ข้อมูลที่ต้องใช้ออกเอกสารทางภาษี
• จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของกิจการ เว้นแต่ประโยชน์นั้นสำคัญน้อยกว่าสิทธิขั้นพื้นฐานของเจ้าของข้อมูล เช่น การรักษาความปลอดภัยของร้าน

เรื่องที่ไม่เข้าข้อยกเว้นต้องขอความยินยอม ซึ่งมาตรา 19 กำหนดว่า

1. ต้องขอโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ ก่อนหรือขณะเก็บข้อมูล
2. ต้องแจ้งวัตถุประสงค์ และแยกส่วนคำขอออกจากข้อความอื่นอย่างชัดเจน ใช้ภาษาที่อ่านง่าย ไม่ทำให้เข้าใจผิด
3. ห้ามตั้งความยินยอมในข้อมูลที่ไม่จำเป็นเป็นเงื่อนไขของการขายสินค้าหรือให้บริการ
4. ลูกค้าถอนความยินยอมได้ทุกเมื่อ และต้องถอนได้ง่ายเท่ากับตอนที่ให้

ถ้าเจ้าของข้อมูลเป็นผู้เยาว์อายุไม่เกิน 10 ปี ต้องขอความยินยอมจากผู้ใช้อำนาจปกครอง (มาตรา 20)

ข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ความพิการ ศาสนา ประวัติอาชญากรรม และข้อมูลชีวภาพอย่างลายนิ้วมือหรือภาพจำลองใบหน้า ห้ามเก็บโดยไม่ได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นเฉพาะของมาตรา 26

ประกาศความเป็นส่วนตัวต้องบอกอะไร

ไม่ว่าจะใช้ฐานใด กิจการต้องแจ้งรายละเอียดให้เจ้าของข้อมูลทราบก่อนหรือขณะเก็บข้อมูล (มาตรา 23) ได้แก่

1. วัตถุประสงค์ของการเก็บ รวมถึงกรณีที่เก็บโดยอาศัยข้อยกเว้นตามมาตรา 24
2. กรณีที่ลูกค้าต้องให้ข้อมูลเพื่อทำสัญญาหรือตามกฎหมาย และผลที่อาจเกิดขึ้นหากไม่ให้
3. ข้อมูลที่จะเก็บ และระยะเวลาที่เก็บไว้
4. ประเภทของบุคคลหรือหน่วยงานที่อาจได้รับข้อมูลต่อ
5. ชื่อกิจการ สถานที่ และวิธีการติดต่อ
6. สิทธิของเจ้าของข้อมูล

กล้องวงจรปิดในร้าน

ภาพจากกล้องที่ระบุตัวคนได้เป็นข้อมูลส่วนบุคคล ร้านที่ติดกล้องเพื่อรักษาความปลอดภัยอาศัยฐานประโยชน์โดยชอบด้วยกฎหมายได้ จึงไม่ต้องขอความยินยอมจากลูกค้าทีละคน แต่ยังมีหน้าที่แจ้งตามมาตรา 23 เช่น ติดป้ายในจุดที่เห็นชัดว่ามีการบันทึกภาพ เพื่อวัตถุประสงค์ใด และติดต่อร้านได้ทางใด ส่วนกล้องที่ติดในบ้านเพื่อประโยชน์ส่วนตนอยู่นอกขอบเขตของ PDPA ตามมาตรา 4

ลูกค้ามีสิทธิอะไร และร้านต้องทำอย่างไร

เก็บรักษาและส่งต่อข้อมูล

กิจการต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันไม่ให้ข้อมูลสูญหาย หรือถูกเข้าถึง ใช้ แก้ไข หรือเปิดเผยโดยไม่มีอำนาจ และต้องมีระบบตรวจสอบเพื่อลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาเก็บรักษา (มาตรา 37)

เมื่อจ้างผู้อื่นจัดการข้อมูลแทน เช่น ผู้ให้บริการระบบสมาชิกหรือระบบส่งข้อความ ผู้รับจ้างนั้นคือผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งต้องทำตามคำสั่งของกิจการเท่านั้น และกิจการต้องจัดให้มีข้อตกลงระหว่างกันเพื่อควบคุมการทำงานของผู้ประมวลผล (มาตรา 40)

ข้อมูลรั่วไหล ต้องแจ้งภายใน 72 ชั่วโมง

เมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล เช่น รายชื่อลูกค้าหลุดออกไป กิจการต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ เว้นแต่เหตุนั้นไม่มีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของบุคคล และถ้ามีความเสี่ยงสูง ต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย (มาตรา 37)

กิจการขนาดเล็กได้รับยกเว้นเรื่องใด

โดยปกติผู้ควบคุมข้อมูลต้องจัดทำบันทึกรายการ เช่น ข้อมูลที่เก็บ วัตถุประสงค์ และระยะเวลาเก็บรักษา เพื่อให้เจ้าของข้อมูลและ สคส. ตรวจสอบได้ (มาตรา 39) คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลออกประกาศเมื่อ พ.ศ. 2565 ยกเว้นหน้าที่นี้ให้กิจการขนาดเล็ก ได้แก่ วิสาหกิจขนาดย่อมหรือขนาดกลาง วิสาหกิจชุมชน วิสาหกิจเพื่อสังคม สหกรณ์ มูลนิธิ สมาคม และกิจการในครัวเรือน

ข้อยกเว้นนี้มีขอบเขตจำกัด

• ไม่ใช้กับกิจการที่เก็บข้อมูลซึ่งมีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของเจ้าของข้อมูล หรือเก็บข้อมูลอ่อนไหวตามมาตรา 26
• ยังต้องบันทึกการปฏิเสธคำขอใช้สิทธิของเจ้าของข้อมูลพร้อมเหตุผล
• ยกเว้นเฉพาะการบันทึกรายการ หน้าที่อื่นทั้งหมดในบทความนี้ยังต้องทำครบ

ส่วนเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) กฎหมายบังคับให้มีเมื่อกิจกรรมหลักเป็นการเก็บหรือใช้ข้อมูลอ่อนไหว หรือมีข้อมูลจำนวนมากที่ต้องตรวจสอบอย่างสม่ำเสมอตามเกณฑ์ที่คณะกรรมการประกาศ (มาตรา 41)

ฝ่าฝืนแล้วมีโทษอย่างไร

• โทษปรับทางปกครอง ไม่เกิน 1 ล้านบาท เช่น ไม่แจ้งรายละเอียดตามมาตรา 23 หรือไม่ดำเนินการตามคำขอเข้าถึงข้อมูล (มาตรา 82) ไม่เกิน 3 ล้านบาท เช่น เก็บข้อมูลโดยไม่มีฐานทางกฎหมาย หรือไม่ปฏิบัติตามมาตรา 37 (มาตรา 83) และไม่เกิน 5 ล้านบาทเมื่อเป็นเรื่องข้อมูลอ่อนไหว (มาตรา 84) คณะกรรมการผู้เชี่ยวชาญจะสั่งให้แก้ไขหรือตักเตือนก่อนก็ได้ และต้องคำนึงถึงขนาดของกิจการประกอบด้วย (มาตรา 90)
• ความรับผิดทางแพ่ง ต้องชดใช้ค่าสินไหมทดแทนแก่เจ้าของข้อมูล และศาลสั่งให้จ่ายเพิ่มได้อีกไม่เกิน 2 เท่าของค่าสินไหมทดแทนที่แท้จริง (มาตรา 77 และ 78)
• โทษอาญา สำหรับการใช้หรือเปิดเผยข้อมูลอ่อนไหวโดยฝ่าฝืนกฎหมาย ในประการที่น่าจะทำให้ผู้อื่นเสียหายหรืออับอาย จำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ (มาตรา 79)

ปรึกษาทนายเรื่อง PDPA

เอกสารอย่างประกาศความเป็นส่วนตัว แบบขอความยินยอม และข้อตกลงกับผู้ประมวลผล ควรเขียนให้ตรงกับวิธีทำงานจริงของแต่ละกิจการ หากต้องการให้ทนายช่วยตรวจหรือจัดทำ คุณโพสต์เล่าเรื่องบน Lawmaneeได้ฟรี ทนายที่สนใจจะติดต่อกลับผ่านแชทของแพลตฟอร์ม หรือค้นหาทนายด้านธุรกิจตามจังหวัดและภาษาได้ทันที