ข้อมูลส่วนบุคคลคือทรัพย์สินหรือสิทธิ?

ดาวน์โหลดบทความฉบับ PDF

I. บทนำ: คำถามที่ดูเหมือนง่าย แต่คำตอบเปลี่ยนวิธีทำธุรกิจ

หากถามผู้ประกอบการว่า "ข้อมูลลูกค้าที่บริษัทเก็บไว้เป็นของใคร" คำตอบที่ได้ยินบ่อยคือ "เป็นของบริษัท เพราะบริษัทลงทุนเก็บและดูแล" คำตอบนี้เข้าใจได้ในมุมธุรกิจ แต่ยังไม่ได้ตอบคำถามที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลให้ความสำคัญ คือ บริษัทมีอำนาจเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลนั้นได้เพียงใด และเจ้าของข้อมูลยังมีสิทธิอะไรเหลืออยู่บ้าง

คำถามว่าข้อมูลส่วนบุคคลเป็น "ทรัพย์สิน" หรือเป็น "สิทธิ" จึงไม่ใช่เพียงคำถามเชิงปรัชญา เพราะกรอบคิดที่เลือกจะกำหนดว่าข้อมูลซื้อขายได้หรือไม่ ใครควบคุมการใช้ และเมื่อเกิดความเสียหายจะเยียวยากันอย่างไร พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) วางโครงสร้างไว้บนฐานของ สิทธิของเจ้าของข้อมูล มากกว่าความเป็นเจ้าของแบบทรัพย์สิน ซึ่งส่งผลโดยตรงต่อวิธีที่ธุรกิจต้องบริหารข้อมูล

บทความนี้อธิบาย (1) แนวคิดสองแบบที่ใช้มองข้อมูลส่วนบุคคล (2) ความแตกต่างในทางปฏิบัติ (3) ตัวบทกฎหมายไทยที่เกี่ยวข้อง (4) ผลต่อธุรกิจและเศรษฐกิจข้อมูล และ (5) ทิศทางที่ธุรกิจควรเตรียมตัว

II. แนวคิดที่ 1: ข้อมูลส่วนบุคคลในฐานะ "ทรัพย์สิน"

"โมเดลทรัพย์สิน" (Property Model) มองว่าข้อมูลเกี่ยวกับบุคคลเป็นสิ่งที่บุคคลนั้นเป็นเจ้าของ เจ้าของจึงควรมีอำนาจใช้ อนุญาตให้ผู้อื่นใช้ เรียกค่าตอบแทน หรือปฏิเสธไม่ให้ผู้อื่นใช้ ทำนองเดียวกับทรัพย์สินอื่น

Lawrence Lessig นักวิชาการกฎหมายชาวอเมริกัน เสนอในบทความ "Privacy as Property"¹ ว่าการให้ความเป็นส่วนตัวมีลักษณะคล้ายสิทธิในทรัพย์สิน อาจช่วยให้การคุ้มครองแข็งแรงขึ้น เพราะผู้ที่ต้องการใช้ข้อมูลจะต้องเจรจาและได้รับอนุญาตจากเจ้าของก่อน แทนที่จะนำข้อมูลไปใช้ได้เองแล้วค่อยรับผิดภายหลัง

อย่างไรก็ดี แนวทางนี้มีข้อวิจารณ์สำคัญ งานของ Jerry Kang และ Benedikt Buchner ซึ่งเขียนในรูปบทสนทนา² ชั่งน้ำหนักข้อดีและข้อจำกัดของการมองความเป็นส่วนตัวผ่านกรอบทรัพย์สินเทียบกับกรอบอื่น ข้อกังวลที่นักวิชาการหลายฝ่ายหยิบยกคือ หากข้อมูลเป็นสินค้าที่ขายขาดได้ ผู้ที่มีอำนาจต่อรองน้อยหรือมีความจำเป็นทางการเงินอาจถูกกดดันให้ยอมสละข้อมูลของตนในราคาต่ำ และเมื่อขายไปแล้วก็ยากจะควบคุมการใช้ต่อ

III. แนวคิดที่ 2: ข้อมูลส่วนบุคคลในฐานะ "สิทธิขั้นพื้นฐาน"

"โมเดลสิทธิ" (Rights Model) มองว่าการคุ้มครองข้อมูลส่วนบุคคลเป็นส่วนหนึ่งของสิทธิขั้นพื้นฐานของบุคคล ซึ่งผูกอยู่กับศักดิ์ศรีและความเป็นส่วนตัว สิทธินี้จึงไม่ได้หมดไปเพียงเพราะบุคคลนั้นยอมให้ผู้อื่นใช้ข้อมูล

สหภาพยุโรปรับรองแนวคิดนี้ไว้ชัดเจนในกฎบัตรว่าด้วยสิทธิขั้นพื้นฐานของสหภาพยุโรป ข้อ 8³ ซึ่งบัญญัติว่าทุกคนมีสิทธิได้รับความคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวกับตน และ GDPR⁴ ก็สร้างระบบบนฐานนี้ คือ การประมวลผลชอบด้วยกฎหมายเมื่อมีฐานทางกฎหมายรองรับ และเจ้าของข้อมูลยังคงมีสิทธิต่าง ๆ อยู่ตลอด เช่น สิทธิเข้าถึง สิทธิขอแก้ไข และสิทธิถอนความยินยอม

IV. กฎหมายไทยวางโครงสร้างไว้อย่างไร: อ่านจากตัวบท

PDPA ไม่ได้บัญญัติว่าใครเป็น "เจ้าของกรรมสิทธิ์" ในข้อมูลส่วนบุคคล แต่กำหนดหน้าที่ของผู้ควบคุมข้อมูลและรับรองสิทธิของเจ้าของข้อมูล ซึ่งสะท้อน โมเดลสิทธิ อย่างชัดเจน หลักฐานในตัวบทมีหลายจุด

ประการแรก เหตุผลในการประกาศใช้ PDPA ระบุว่ามีการล่วงละเมิดสิทธิความเป็นส่วนตัวของข้อมูลส่วนบุคคลเป็นจำนวนมาก จึงต้องมีกฎหมายคุ้มครองข้อมูลส่วนบุคคลเป็นการทั่วไป และมาตรา 24 (5) ใช้ถ้อยคำว่า "สิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล" เป็นเกณฑ์ชั่งน้ำหนักกับประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูล⁶

ประการที่สอง รัฐธรรมนูญแห่งราชอาณาจักรไทย พุทธศักราช 2560 มาตรา 32 บัญญัติว่าบุคคลย่อมมีสิทธิในความเป็นอยู่ส่วนตัว เกียรติยศ ชื่อเสียง และครอบครัว⁷ ซึ่ง PDPA อ้างถึงในส่วนที่ว่าด้วยการจำกัดสิทธิและเสรีภาพของบุคคล

ประการที่สาม มาตรา 19 กำหนดหลักว่าผู้ควบคุมข้อมูลจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่กฎหมายบัญญัติให้กระทำได้ และเจ้าของข้อมูลจะถอนความยินยอมเมื่อใดก็ได้⁹ สิทธิถอนความยินยอมนี้เป็นลักษณะของสิทธิที่ยังติดอยู่กับตัวบุคคล ไม่ใช่การโอนกรรมสิทธิ์ที่จบลงเมื่อส่งมอบ ในแง่นี้แนวทางของไทยจึงสอดคล้องกับแนวทางของสหภาพยุโรป

V. ผลในทางปฏิบัติ: มองเป็นทรัพย์สินหรือสิทธิ ต่างกันอย่างไร

หากมองข้อมูลส่วนบุคคลเป็น ทรัพย์สิน แบบเต็มรูป:

• เจ้าของข้อมูลอาจขายหรือโอนข้อมูลให้ผู้อื่นโดยเด็ดขาด แล้วหมดอำนาจควบคุมการใช้ต่อ
• ราคาและเงื่อนไขการใช้ข้อมูลจะถูกกำหนดโดยการต่อรองในตลาด ซึ่งผู้มีอำนาจต่อรองน้อยอาจเสียเปรียบ
• ความเสียหายจากการนำข้อมูลไปใช้โดยมิชอบจะถูกวัดในเชิงมูลค่าของทรัพย์เป็นหลัก

เมื่อมองข้อมูลส่วนบุคคลเป็น สิทธิ ตามโครงสร้างของ PDPA:

• การเก็บรวบรวม ใช้ หรือเปิดเผยต้องมีฐานทางกฎหมายรองรับ ความยินยอมเป็นฐานหลัก แต่มาตรา 24 ก็กำหนดฐานอื่นไว้ เช่น การปฏิบัติตามสัญญา ประโยชน์โดยชอบด้วยกฎหมาย และการปฏิบัติตามกฎหมาย
• แม้เจ้าของข้อมูลให้ความยินยอมแล้ว ก็ยังถอนความยินยอมได้ และยังมีสิทธิอื่นตามกฎหมายติดตัวอยู่
• ผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูลที่ฝ่าฝืน PDPA จนเกิดความเสียหายต่อเจ้าของข้อมูล ต้องชดใช้ค่าสินไหมทดแทนตามมาตรา 77 ไม่ว่าจะกระทำโดยจงใจหรือประมาทเลินเล่อ และยังอาจเป็นละเมิดตามมาตรา 420 แห่งประมวลกฎหมายแพ่งและพาณิชย์ ซึ่งคุ้มครองทั้งทรัพย์สินและ "สิทธิอย่างหนึ่งอย่างใด"⁸

ข้อสังเกตสำคัญคือ โมเดลสิทธิไม่ได้ห้ามการใช้ข้อมูลเชิงพาณิชย์ทุกกรณี ธุรกิจยังใช้ข้อมูลได้ภายในขอบเขตฐานทางกฎหมายและวัตถุประสงค์ที่แจ้งไว้ แต่การ "ขายต่อ" ข้อมูลส่วนบุคคลถือเป็นการเปิดเผยข้อมูลที่ต้องมีฐานรองรับของตนเอง ไม่ได้เกิดขึ้นโดยอัตโนมัติเพียงเพราะบริษัทเก็บข้อมูลไว้

VI. ประมวลกฎหมายแพ่งและพาณิชย์อ่านอย่างไร

ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 137 บัญญัติว่า "ทรัพย์" หมายความว่าวัตถุมีรูปร่าง ส่วนมาตรา 138 บัญญัติว่า "ทรัพย์สิน" หมายความรวมทั้งทรัพย์และวัตถุไม่มีรูปร่าง ซึ่งอาจมีราคาและอาจถือเอาได้⁵ ข้อมูลดิจิทัลไม่มีรูปร่างจึงไม่ใช่ "ทรัพย์" ตามมาตรา 137 ส่วนจะเป็น "ทรัพย์สิน" ตามมาตรา 138 ได้หรือไม่ ขึ้นอยู่กับว่าข้อมูลนั้นอาจมีราคาและอาจถือเอาได้หรือไม่ ซึ่งยังเป็นประเด็นที่ต้องพิจารณาเป็นรายกรณี

ในทางปฏิบัติ ฐานข้อมูลของบริษัทอาจมีมูลค่าทางเศรษฐกิจและได้รับความคุ้มครองตามกฎหมายอื่นได้ แต่แม้จะมองว่าฐานข้อมูลเป็นทรัพย์สินทางธุรกิจ ข้อมูลส่วนบุคคลที่อยู่ในฐานข้อมูลนั้นก็ยังอยู่ภายใต้สิทธิของเจ้าของข้อมูลตาม PDPA บริษัทจึงควรมองตนเองเป็น ผู้ควบคุมข้อมูลที่มีหน้าที่ มากกว่าเป็นเจ้าของข้อมูลที่ทำอะไรกับข้อมูลก็ได้

VII. เศรษฐกิจข้อมูล: เมื่อข้อมูลมีมูลค่าทางการค้า

ปัจจุบันข้อมูลพฤติกรรม ความสนใจ และการค้นหาของผู้บริโภคมีมูลค่าสูงในทางการตลาด Shoshana Zuboff อธิบายปรากฏการณ์นี้ว่าเป็น "ทุนนิยมการสอดส่อง" (surveillance capitalism)¹⁰ ซึ่งประสบการณ์ของผู้คนถูกแปลงเป็นข้อมูลเพื่อทำนายและชี้นำพฤติกรรม

ภายใต้โมเดลสิทธิ การซื้อขายหรือแลกเปลี่ยนข้อมูลส่วนบุคคลที่ไม่มีฐานทางกฎหมายรองรับ เช่น ไม่ได้รับความยินยอมสำหรับการเปิดเผยนั้น ย่อมเสี่ยงต่อการละเมิดสิทธิของเจ้าของข้อมูล ธุรกิจบางรายจึงหันไปใช้ข้อมูลที่ทำให้ไม่สามารถระบุตัวบุคคลได้ แต่ Paul Ohm ชี้ให้เห็นว่าการทำให้ข้อมูลเป็นนิรนามมักไม่สมบูรณ์ และอาจถูกเชื่อมโยงกลับไปหาตัวบุคคลได้¹¹ การพึ่งพาเทคนิคเพียงอย่างเดียวจึงไม่เพียงพอ ต้องมีการประเมินความเสี่ยงประกอบด้วย

VIII. ทิศทางในอนาคต

สหภาพยุโรปวางข้อมูลส่วนบุคคลไว้ในฐานะสิทธิขั้นพื้นฐาน GDPR ข้อ 6(1) จึงกำหนดว่าการประมวลผลชอบด้วยกฎหมายต่อเมื่อมีฐานรองรับอย่างน้อยหนึ่งในหกฐาน ความยินยอมเป็นเพียงฐานหนึ่ง และความยินยอมต้องให้โดยอิสระ เจาะจง ได้รับข้อมูลครบถ้วน และชัดเจน

ไทยไปในทางเดียวกันแต่เข้มกว่าในเชิงโครงสร้าง PDPA ตั้งความยินยอมเป็นหลักในมาตรา 19 และให้มาตรา 24 เป็นข้อยกเว้นหกประการ ทั้งมาตรา 19 ยังกำหนดให้ผู้ควบคุมข้อมูลคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลในการให้ความยินยอม และห้ามตั้งเงื่อนไขให้ยินยอมเกินกว่าที่จำเป็นหรือเกี่ยวข้องกับสัญญาหรือบริการ แนวคิดเบื้องหลังคือข้อมูลเป็นสิทธิของเจ้าของข้อมูล ไม่ใช่สินค้าที่โอนขาดได้ (ดูโครงสร้างเต็มใน ฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล)

IX. บทสรุป

ภายใต้กฎหมายไทย ข้อมูลส่วนบุคคลได้รับความคุ้มครองในฐานะ สิทธิของเจ้าของข้อมูล มากกว่าในฐานะทรัพย์สินที่ซื้อขายขาดได้ คำถามที่ธุรกิจควรถามจึงไม่ใช่ "ข้อมูลนี้เป็นของใคร" แต่เป็น "บริษัทมีฐานทางกฎหมายใดในการใช้ข้อมูลนี้ และได้เคารพสิทธิของเจ้าของข้อมูลครบถ้วนแล้วหรือไม่"

สำหรับผู้บริหาร การเปลี่ยนมุมมองจาก "เจ้าของข้อมูลลูกค้า" เป็น "ผู้ดูแลข้อมูลที่มีหน้าที่ต่อเจ้าของข้อมูล" ช่วยให้วางระบบได้ถูกตั้งแต่ต้น ทั้งการกำหนดฐานทางกฎหมาย การแจ้งวัตถุประสงค์ การรองรับคำขอใช้สิทธิ และการตรวจสอบก่อนเปิดเผยหรือแลกเปลี่ยนข้อมูลกับผู้อื่น ซึ่งท้ายที่สุดคือการสร้างความไว้วางใจที่เป็นทุนทางธุรกิจระยะยาว