PDPA หมายถึง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (2019) เป็นกฎหมายที่เผยแพร่ในเดือนพฤษภาคม 2019 เกี่ยวกับการปกป้องข้อมูลและคาดว่าจะมีผลบังคับใช้ตั้งแต่วันที่ 1 มิถุนายน 2022 เป็นต้นไปซึ่งก่อนหน้านี้ถูกเลื่อนออกไปสองครั้งเนื่องจากสถานการณ์ Covid-19 โดย PDPA มีตัวย่อคล้ายกับกฎหมายที่คล้ายคลึงกันที่ตราขึ้นในสิงคโปร์
พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลนี้ เป็นกฎหมายฉบับแรกในประเทศไทยที่จะแก้ไขปัญหานี้และคาดว่าจะสร้างความท้าทายให้กับธุรกิจที่ดำเนินการทางออนไลน์ ทั้งก่อนและหลังกฎหมายมีผลบังคับใช้ เนื่องจากขอบเขตที่กว้างและด้วยข้อกำหนดมากมายที่ธุรกิจเหล่านั้นจะต้องปฏิบัติตาม เอกสาร PDPA ประกอบด้วยเนื้อหาเจ็ดบทและ 96 ส่วน อย่างไรก็ตาม เนื่องจากการบังคับใช้กฎหมายถูกเลื่อนออกไปถึงสองครั้ง บริษัทต่าง ๆ ควรมีเวลามากพอที่จะเตรียมตัวในการปฏิบัติตามข้อบังคับที่จำเป็นอย่างครบถ้วน
PDPA คืออะไร?
เนื่องจากมีความกังวลมากมายเกี่ยวกับวิธีที่เว็บไซต์สามารถรวบรวมข้อมูลส่วนบุคคลจากผู้ใช้ออนไลน์และแบ่งปันข้อมูลกับผู้อื่นได้ PDPA พยายามที่จะควบคุมกิจกรรมเหล่านี้และให้แนวทางแก่เว็บไซต์เกี่ยวกับวิธีที่พวกเขาควรได้รับความยินยอมจากผู้ใช้ออนไลน์ดังกล่าว ก่อนที่จะประมวลผลข้อมูลส่วนบุคคลของพวกเขา
ในการขอรับความยินยอม ผู้ใช้ออนไลน์จะต้องได้รับแจ้งว่าข้อมูลใดที่จะถูกเก็บรวบรวม ข้อมูลจะถูกนำไปใช้อย่างไรและโดยใคร ข้อมูลส่วนบุคคลจะต้องใช้เพื่อวัตถุประสงค์ที่ชัดเจนเท่านั้น กฎหมายนี้จะบังคับใช้ไม่เฉพาะกับเว็บไซต์ไทยเท่านั้น แต่ยังรวมถึงหน่วยงานต่างประเทศที่ทำธุรกิจกับผู้ใช้ออนไลน์ที่เข้าถึงเว็บไซต์ของตนจากประเทศไทย
บทลงโทษสำหรับการละเมิด PDPA อาจรวมถึงค่าปรับไม่เกิน 5,000,000 บาท และจำคุกไม่เกินหนึ่งปี ซึ่งบทลงโทษเหล่านี้ถือว่ารุนแรงเกินไป สุพันธุ์ มงคลสุธี ประธานสภาอุตสาหกรรมแห่งประเทศไทย (FTI) ชี้ โทษจำคุกนั้นรุนแรงกว่ากฎหมายที่คล้ายคลึงกันในประเทศอื่น ๆ และแนวปฏิบัติระดับโลก ท่านได้เรียกร้องให้รัฐบาลพิจารณาแก้ไขบทลงโทษตามกฎหมายเพื่อให้มีเพียงโทษปรับเช่นเดียวกับประเทศอื่น ๆ
เมื่อได้รับอนุมัติออกกฎหมายในปี 2019 สมาชิกสภานิติบัญญัติได้เลือกที่จะให้ระยะเวลาผ่อนผันแก่ธุรกิจที่ได้รับผลกระทบเป็นเวลาหนึ่งปีเพื่อปรับให้เข้ากับข้อกำหนด การเลื่อนครั้งแรกและครั้งที่สองได้รับอนุญาตเพื่อให้ทั้งองค์กรภาครัฐและเอกชน ได้มีเวลาในการเตรียมกระบวนการภายในที่อาจหยุดชะงักเนื่องจากการระบาดใหญ่ของ Covid-19
เพื่อให้เป็นไปตามเงื่อนใขของ PDPA เว็บไซต์ต้อง:
- นำเสนอแบนเนอร์แจ้งเรื่องคุ้กกี้แก่ผู้ใช้ออนไลน์ เพื่อแจ้งให้ทราบว่าข้อมูลประเภทใดจะถูกเก็บรวบรวม ใครเป็นผู้รวบรวม และจะถูกเก็บไว้นานแค่ไหน
- ป้องกันไม่ให้คุกกี้เปิดใช้งานจนกว่าจะได้รับการยินยอมจากผู้ใช้ออนไลน์
- อนุญาตให้ผู้ใช้มีตัวเลือกในการปฏิเสธการใช้คุกกี้
- จัดเตรียมวิธีการเพื่อให้สามารถเปลี่ยนแปลงหรือเพิกถอนความยินยอมคุกกี้สำหรับผู้ใช้
- เก็บความยินยอมได้นานถึง 5 ปีเท่านั้นตามกฎหมาย
ขั้นตอนนี้ช่วยทำให้มั่นใจว่า ตั้งแต่ที่ผู้ใช้ออนไลน์เข้ามาในเว็บไซต์ พวกเขาจะได้รับสิทธิ์ในการตัดสินใจว่าควรใช้คุกกี้หรือไม่ หากพวกเขาปฏิเสธคุกกี้ การตัดสินใจของพวกเขาควรได้รับการเคารพและคุกกี้จะไม่เปิดใช้งาน
ข้อมูลส่วนบุคคลคืออะไร?
สิ่งสำคัญคือต้องเข้าใจว่าข้อมูลส่วนบุคคลตาม PDPA คืออะไร ซึ่งก็หมายถึง ข้อมูลใด ๆ ที่สามารถใช้เพื่อระบุตัวบุคคลได้โดยตรงหรือโดยอ้อม ข้อมูลนี้อาจรวมถึง แต่ไม่จำกัดเพียง ชื่อ, ที่อยู่, หมายเลขบัตรประจำตัวประชาชน, หมายเลขโทรศัพท์และที่อยู่อีเมล
ข้อมูลเพิ่มเติมที่ PDPA ได้จัดประเภทว่าได้รับการคุ้มครอง ได้แก่ :
• ข้อมูลไบโอเมตริก ข้อมูลทางพันธุกรรม และบันทึกสุขภาพ
• เพศ รสนิยมทางเพศ และความทุพพลภาพ
• สมาชิกภาพทางเชื้อชาติ ชาติพันธุ์ และศาสนา
• ข้อมูลสหภาพแรงงานและความเกี่ยวข้องทางการเมือง
ตราบใดที่ข้อมูลที่รวบรวมโดยเว็บไซต์สามารถนำมาใช้เพื่อระบุตัวบุคคลได้ ผู้ใช้ออนไลน์จะได้รับการคุ้มครองจาก PDPA เว็บไซต์สามารถรวบรวมข้อมูลส่วนบุคคลได้หากมีเหตุผลทางกฎหมาย รวมถึงเนื่องจากภาระผูกพันทางกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย สาธารณะประโยชน์ หรือได้รับความยินยอม
ความยินยอมใน PDPA คืออะไร?
ก่อนที่เว็บไซต์จะสามารถรวบรวม จัดเก็บ และเริ่มประมวลผลข้อมูลจากผู้ใช้ออนไลน์ได้นั้น จำเป็นต้องขอความยินยอมจากผู้ใช้โดย PDPA ก่อน ผู้ใช้ต้องสามารถให้ความยินยอมได้อย่างอิสระ ไม่ว่าจะในรูปแบบลายลักษณ์อักษรหรือในรูปแบบอิเล็กทรอนิกส์
เว็บไซต์ต้องขอความยินยอมในลักษณะที่เรียบง่ายและไม่หลอกลวง ซึ่งมีความชัดเจนจากเนื้อหาอื่น ๆ บนเว็บไซต์ แบนเนอร์คุกกี้ที่ดูเป็นมืออาชีพมักถูกใช้เพื่อนำเสนอคำขอดังกล่าวต่อผู้ใช้ออนไลน์ โดยมาตรฐานแล้วเพื่อให้ผู้ใช้ออนไลน์มีตัวเลือก “ใช่” หรือ “ไม่ใช่” ในการอนุญาตให้ใช้คุกกี้ในการติดตามกิจกรรมและรวบรวมข้อมูลของพวกเขา
คุ้กกี้
ผู้ใช้ออนไลน์ส่วนใหญ่มักจะคุ้นเคยกับคุกกี้เมื่อเข้าชมเว็บไซต์อยู่แล้ว ซึ่งเว็บไซต์จะใช้เพื่อรวบรวมข้อมูลส่วนบุคคลของผู้ใช้ออนไลน์และประมวลผลเพื่อใช้ในแคมเปญโฆษณาออนไลน์ ข้อมูลทั่วไปบางส่วนที่ถูกเก็บรวบรวม ได้แก่ ตำแหน่งทางภูมิศาสตร์, ที่อยู่ IP, รหัสอุปกรณ์และกิจกรรมออนไลน์
เมื่อข้อมูลได้รับการประมวลผลแล้ว ข้อมูลจะถูกใช้สำหรับการดำเนินการต่าง ๆ เช่น แคมเปญรีมาร์เก็ตติ้ง หากโปรไฟล์ของผู้ชมออนไลน์ตรงกับเป้าหมายที่กำหนด พวกเขาจะเริ่มเห็นโฆษณาขณะเข้าชมเว็บไซต์ต่าง ๆ ข้อมูลเดิมอาจถูกใช้เพื่อแสดงโฆษณาเมื่อเข้าชมซ้ำในเว็บไซต์เดิมหรือเว็บไซต์อื่น ๆ ในเครือข่าย
ผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูล มีหน้าที่รับผิดชอบในการเก็บรวบรวมความยินยอมจากผู้ใช้ออนไลน์ก่อนที่คุกกี้จะได้รับอนุญาตจากบุคคลที่สามเพื่อเริ่มรวบรวมข้อมูลเหล่านี้จากเว็บไซต์
ความท้าทายที่ธุรกิจต้องเผชิญในการปฏิบัติตาม PDPA
ในปี 2563 บริษัทตรวจสอบบัญชี PriceWaterhouseCoopers (PWC) ประเทศไทย ได้ทำการสำรวจเพื่อพิจารณาความพร้อมของธุรกิจในการปฏิบัติตามเงื่อนใขของ PDPA ภายในกำหนดเส้นตายในต้นเดือนมิถุนายน 2564 การศึกษาของพวกเขาพบว่า แม้ว่าธุรกิจจำนวนมากตระหนักถึงข้อกำหนดของ PDPA แต่ส่วนใหญ่ก็ยังไม่พร้อมสำหรับการบังคับใช้ บางคนมั่นใจว่าต้องใช้เวลาหนึ่งปีหรือมากกว่านั้น เพื่อให้สามารถทำได้ตามข้อกำหนดโดยเฉพาะอย่างยิ่ง เมื่อต้องดำเนินการตามกระบวนการและนโยบายใหม่
ยังมีความกังวลอยู่บ้างเกี่ยวกับบทลงโทษที่รุนแรงที่แนบมากับ PDPA โดยหลายคนอ้างว่ากฎหมายธุรกิจดังกล่าวไม่ควรมีบทลงโทษทางอาญาแนบมาด้วย อย่างไรก็ตาม บทลงโทษบางส่วนนั้นสอดคล้องกับระเบียบว่าด้วยการคุ้มครองข้อมูลทั่วไปของสหภาพยุโรป
หากคุณไม่แน่ใจว่าคุณต้องทำอะไรเพื่อให้สอดคล้องกับการเปลี่ยนแปลงของ PDPA ที่จะเกิดขึ้น โปรดติดต่อทีมงานของเราที่ Phoenix Media เพื่อที่เราจะสามารถให้ความช่วยเหลือได้
