ปรับปรุงล่าสุด

ดาวน์โหลดบทความฉบับ PDF

สารบัญ
  1. สรุปสาระสำคัญ
  2. I. บทนำ: นัยสำคัญของข้อมูลส่วนบุคคลในบริบทโลก
  3. II. ปฐมบท: ภูมิหลังทางประวัติศาสตร์และสิทธิความเป็นส่วนตัวหลังสงครามโลก
  4. III. พัฒนาการยุคแรก: แนวทางของ OECD และการวางรากฐานของสหภาพยุโรป
  5. IV. จุดเปลี่ยนสำคัญ: บรรทัดฐานใหม่ภายใต้ระเบียบ GDPR ของสหภาพยุโรป
  6. V. บริบทของประเทศไทย: การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)
  7. VI. บทวิเคราะห์เปรียบเทียบแบบการคุ้มครองข้อมูลส่วนบุคคล (Privacy Models)
  8. VII. ความท้าทายในอนาคต: ปัญญาประดิษฐ์ (AI) กับข้อจำกัดของกฎหมาย
  9. VIII. แนวโน้มและประเด็นทางกฎหมายที่ต้องจับตา
  10. IX. บทสรุป

สรุปสาระสำคัญ

  • รากของกฎหมายคุ้มครองข้อมูลคือบทเรียนสงคราม ไม่ใช่การค้า ปฏิญญาสากลว่าด้วยสิทธิมนุษยชน ค.ศ. ๑๙๔๘ ข้อ ๑๒ รับรองสิทธิที่จะไม่ถูกแทรกแซงโดยพลการต่อความเป็นส่วนตัว ครอบครัว ที่อยู่อาศัย และการติดต่อสื่อสาร เป็นครั้งแรกในระดับสากล
  • OECD Guidelines ค.ศ. ๑๙๘๐ วางโครงที่กฎหมายทุกฉบับยังใช้อยู่ ทั้งการจำกัดการเก็บ การระบุวัตถุประสงค์ และความรับผิดชอบของผู้ควบคุมข้อมูล ซึ่งปรากฏต่อมาในมาตรา ๒๑ ถึงมาตรา ๒๓ ของ PDPA
  • GDPR เปลี่ยนเกมด้วยผลบังคับนอกอาณาเขต ข้อ ๓ ขยายไปถึงองค์กรทั่วโลกที่เสนอสินค้าหรือบริการแก่คนในสหภาพยุโรป และข้อ ๘๓ วางโทษปรับสูงถึง ๒๐ ล้านยูโรหรือร้อยละ ๔ ของรายได้ทั่วโลก
  • ไทยรับโครงของ GDPR มาโดยลดเพดานโทษลงมาก PDPA พ.ศ. ๒๕๖๒ ถือความยินยอมตามมาตรา ๑๙ เป็นหลัก มีข้อยกเว้นหกประการในมาตรา ๒๔ ส่วนโทษปรับทางปกครองตามมาตรา ๘๒ ถึงมาตรา ๘๔ อยู่ที่หนึ่ง สาม และห้าล้านบาท
  • ฐานทางรัฐธรรมนูญอยู่ที่มาตรา ๓๒ รัฐธรรมนูญแห่งราชอาณาจักรไทย พุทธศักราช ๒๕๖๐ รับรองสิทธิในความเป็นอยู่ส่วนตัว เกียรติยศ ชื่อเสียง และครอบครัว อันเป็นฐานให้แก่การตรากฎหมายคุ้มครองข้อมูลส่วนบุคคล
  • ปัญญาประดิษฐ์ท้าทายหลักความจำกัดของวัตถุประสงค์ การฝึกโมเดลใช้ข้อมูลในลักษณะที่ระบุวัตถุประสงค์ล่วงหน้าได้ยาก ซึ่งปะทะกับมาตรา ๒๑ ของ PDPA ขณะที่สหภาพยุโรปตอบด้วย Regulation (EU) 2024/1689 หรือ AI Act

กฎหมายข้อมูลส่วนบุคคลของไทยคือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (PDPA) ซึ่งวางหลักให้ผู้ควบคุมข้อมูลต้องได้รับความยินยอมตามมาตรา ๑๙ เว้นแต่เข้าฐานทางกฎหมายตามมาตรา ๒๔ และควบคุมการส่งข้อมูลไปต่างประเทศตามมาตรา ๒๘ และมาตรา ๒๙ โครงสร้างนี้สืบทอดจากปฏิญญาสากลว่าด้วยสิทธิมนุษยชน ค.ศ. ๑๙๔๘ แนวทางของ OECD ค.ศ. ๑๙๘๐ และ GDPR ของสหภาพยุโรป ซึ่งบทความนี้ติดตามทีละขั้น

บทความนี้ติดตามเส้นทางของกฎหมายคุ้มครองข้อมูลส่วนบุคคลจากปฏิญญาสากลว่าด้วยสิทธิมนุษยชน ค.ศ. ๑๙๔๘ ผ่าน OECD Guidelines และ GDPR มาจนถึงพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ของไทย แล้ววิเคราะห์ว่าสามโมเดลของโลกต่างกันอย่างไร และกฎหมายจะรับมือปัญญาประดิษฐ์ได้เพียงใด

I. บทนำ: นัยสำคัญของข้อมูลส่วนบุคคลในบริบทโลก

ข้อมูลส่วนบุคคลกลายเป็นสินทรัพย์ทางเศรษฐกิจที่ฝ่ายผู้ประมวลผลควบคุมประโยชน์ไว้ฝ่ายเดียว รัฐจึงเข้าแทรกแซงเพื่อจัดสรรสิทธิเสียใหม่ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๑๙ และมาตรา ๒๔ คือกลไกที่ทำหน้าที่นั้นในระบบกฎหมายไทย

ในทศวรรษที่ผ่านมา การขยายตัวของแพลตฟอร์มดิจิทัลได้พลิกโฉมพฤติกรรมของมนุษยชาติอย่างมีนัยสำคัญ ข้อมูลส่วนบุคคล (Personal Data) ไม่ว่าจะเป็นข้อมูลระบุตัวตน ประวัติการค้นหา หรือพฤติกรรมการบริโภค ถูกรวบรวมและนำไปประมวลผลโดยบรรดาบริษัทเทคโนโลยีขนาดใหญ่ ข้อมูลเหล่านี้ได้แปรสภาพกลายเป็นสินทรัพย์ทางเศรษฐกิจที่มีมูลค่ามหาศาล กระบวนการนี้เองที่นักวิชาการหลายท่านเปรียบข้อมูลส่วนบุคคลว่าเป็น "น้ำมันของยุคดิจิทัล" ที่หล่อเลี้ยงเศรษฐกิจแพลตฟอร์มและเป็นแรงขับเคลื่อนหลักของการเติบโตทางเศรษฐกิจในศตวรรษที่ 21

จากมุมมองเชิงนิติเศรษฐศาสตร์ การที่ฝ่ายหนึ่งสามารถควบคุมผลประโยชน์จากข้อมูลได้แต่เพียงฝ่ายเดียว ย่อมก่อให้เกิดความไม่สมดุลและสร้างความเสียเปรียบต่อเจ้าของข้อมูล ด้วยเหตุนี้ รัฐจึงมีความจำเป็นต้องใช้กลไกทางกฎหมายเข้ามาแทรกแซง เพื่อจัดสรรสิทธิในข้อมูลเสียใหม่ และรักษาสมดุลระหว่างการขับเคลื่อนเศรษฐกิจดิจิทัลกับการคุ้มครองสิทธิความเป็นส่วนตัวของปัจเจกชน

บทความนี้มุ่งทบทวนพัฒนาการทางกฎหมายความเป็นส่วนตัว นับตั้งแต่บทเรียนจากสงครามโลกครั้งที่สอง จนถึงการบังคับใช้กฎหมายยุคใหม่อย่าง GDPR และ PDPA โดยวิเคราะห์ผ่านกรอบเปรียบเทียบสามโมเดลโลก และประเมินแนวโน้มที่กฎหมายต้องรับมือต่อไปในยุคที่ปัญญาประดิษฐ์ (AI) กำลังเปลี่ยนแปลงวิธีที่โลกประมวลผลข้อมูลอย่างพื้นฐาน

II. ปฐมบท: ภูมิหลังทางประวัติศาสตร์และสิทธิความเป็นส่วนตัวหลังสงครามโลก

รากของกฎหมายคุ้มครองข้อมูลไม่ได้มาจากการค้า แต่มาจากบทเรียนที่รัฐเผด็จการใช้ทะเบียนข้อมูลประชากรเป็นเครื่องมือเลือกปฏิบัติและประหัตประหาร ปฏิญญาสากลว่าด้วยสิทธิมนุษยชน ค.ศ. ๑๙๔๘ ข้อ ๑๒ จึงรับรองว่าบุคคลย่อมไม่ถูกแทรกแซงโดยพลการต่อความเป็นส่วนตัว ครอบครัว ที่อยู่อาศัย และการติดต่อสื่อสาร

แนวคิดเรื่องการคุ้มครองข้อมูลส่วนบุคคลไม่ได้เกิดขึ้นจากเจตจำนงในการส่งเสริมการค้า หากแต่มีรากฐานมาจากบทเรียนทางประวัติศาสตร์ที่เจ็บปวด ภายหลังสิ้นสุดสงครามโลกครั้งที่สอง ประชาคมโลกได้ประจักษ์อย่างชัดเจนว่า การที่รัฐบาลเผด็จการสามารถรวบรวมข้อมูลส่วนบุคคลของประชาชนอย่างเป็นระบบ ไม่ว่าจะเป็นข้อมูลเชื้อชาติ ศาสนา หรือที่อยู่อาศัย และนำไปใช้เป็นเครื่องมือในการเลือกปฏิบัติและประหัตประหาร ได้ก่อให้เกิดความหายนะต่อมนุษยชาติ

ด้วยเหตุนี้ ในปี ค.ศ. 1948 สมัชชาใหญ่แห่งสหประชาชาติจึงได้ให้การรับรอง ปฏิญญาสากลว่าด้วยสิทธิมนุษยชน (Universal Declaration of Human Rights: UDHR)1 ซึ่งข้อ 12 ได้บัญญัติรับรองสิทธิความเป็นส่วนตัวไว้เป็นครั้งแรกในระดับสากล

UDHR ข้อ 12 — ปฏิญญาสากลว่าด้วยสิทธิมนุษยชน ค.ศ. 1948

"No one shall be subjected to arbitrary interference with his privacy, family, home or correspondence, nor to attacks upon his honour and reputation. Everyone has the right to the protection of the law against such interference or attacks."

(ไม่มีบุคคลใดจะถูกแทรกแซงโดยพลการต่อความเป็นส่วนตัว ครอบครัว ที่อยู่อาศัย หรือการติดต่อสื่อสาร หรือถูกโจมตีต่อเกียรติยศและชื่อเสียง ทุกคนมีสิทธิที่จะได้รับความคุ้มครองจากกฎหมายต่อการแทรกแซงหรือการโจมตีดังกล่าว)

ต่อมาในปี ค.ศ. 1950 สภายุโรปได้ตรา อนุสัญญาเพื่อการคุ้มครองสิทธิมนุษยชนและเสรีภาพขั้นพื้นฐาน (European Convention on Human Rights: ECHR)2 ซึ่งมาตรา 8 ได้รับรองสิทธิในการดำรงชีวิตส่วนตัวและครอบครัวในลักษณะที่มีผลผูกพันทางกฎหมายต่อรัฐภาคี

ECHR มาตรา 8 — อนุสัญญายุโรปว่าด้วยสิทธิมนุษยชน ค.ศ. 1950

"Everyone has the right to respect for his private and family life, his home and his correspondence."

(ทุกคนมีสิทธิที่จะได้รับความเคารพต่อชีวิตส่วนตัวและครอบครัว บ้านพัก และการติดต่อสื่อสารของตน)

เอกสารทั้งสองฉบับนี้สะท้อนให้เห็นถึงการยกระดับความเป็นส่วนตัวให้เป็นสิทธิมนุษยชนขั้นพื้นฐาน มิใช่เพียงความสะดวกสบายหรือเรื่องส่วนตัว แต่เป็นเงื่อนไขที่จำเป็นต่อการดำรงอยู่ของความเป็นมนุษย์ในสังคมที่เสรีและเป็นธรรม หลักการเหล่านี้ต่อมากลายเป็นรากฐานของกฎหมายคุ้มครองข้อมูลส่วนบุคคลในประเทศต่างๆ ทั่วโลก

III. พัฒนาการยุคแรก: แนวทางของ OECD และการวางรากฐานของสหภาพยุโรป

เมื่อการประมวลผลด้วยคอมพิวเตอร์แพร่หลายในทศวรรษ ๑๙๗๐ ถึง ๑๙๘๐ OECD Guidelines ค.ศ. ๑๙๘๐ ได้วางหลักพื้นฐานที่ยังเป็นโครงของกฎหมายทุกฉบับจนวันนี้ ทั้งการจำกัดการเก็บ การระบุวัตถุประสงค์ และความรับผิดชอบของผู้ควบคุมข้อมูล อันเป็นหลักเดียวกับที่ปรากฏในมาตรา ๒๑ ถึงมาตรา ๒๓ ของ PDPA

ในช่วงทศวรรษ 1970–1980 เมื่อระบบคอมพิวเตอร์เริ่มแพร่หลายและการประมวลผลข้อมูลส่วนบุคคลในเชิงพาณิชย์เริ่มมีบทบาทสำคัญ องค์การเพื่อความร่วมมือทางเศรษฐกิจและการพัฒนา (OECD) ได้เผยแพร่ แนวปฏิบัติว่าด้วยการคุ้มครองความเป็นส่วนตัวและการส่งผ่านข้อมูลส่วนบุคคลระหว่างประเทศ (OECD Privacy Guidelines 1980)3 แม้จะไม่มีสภาพบังคับโดยกฎหมายอย่างเด็ดขาด (Soft Law) แต่ได้วางบรรทัดฐาน 8 ประการที่กลายเป็นรากฐานของกฎหมายคุ้มครองข้อมูลส่วนบุคคลทั่วโลก ได้แก่

OECD Privacy Guidelines 1980 — หลักการ 8 ประการ

1. Collection Limitation — หลักข้อจำกัดการเก็บรวบรวม  |  2. Data Quality — หลักคุณภาพของข้อมูล  |  3. Purpose Specification — หลักวัตถุประสงค์  |  4. Use Limitation — หลักข้อจำกัดการใช้  |  5. Security Safeguards — หลักความมั่นคงปลอดภัย  |  6. Openness — หลักความโปร่งใส  |  7. Individual Participation — หลักการมีส่วนร่วมของเจ้าของข้อมูล  |  8. Accountability — หลักความรับผิดชอบ

ต่อมาในปี ค.ศ. 1995 สหภาพยุโรปได้ยกระดับการคุ้มครองเป็นกฎหมายที่มีผลผูกพันด้วยการตรา Directive 95/46/EC of the European Parliament and of the Council4 ซึ่งเป็นกฎหมายแม่แบบที่บังคับให้รัฐสมาชิกทั้ง 15 ประเทศในขณะนั้นต้องออกกฎหมายคุ้มครองข้อมูลส่วนบุคคลภายในประเทศ ให้สอดคล้องกับมาตรฐานของสหภาพยุโรป นับเป็นการเปลี่ยนผ่านจาก "หลักการอ่อน" สู่ "พันธกรณีทางกฎหมาย" อย่างเป็นรูปธรรมครั้งแรก

IV. จุดเปลี่ยนสำคัญ: บรรทัดฐานใหม่ภายใต้ระเบียบ GDPR ของสหภาพยุโรป

Regulation (EU) 2016/679 หรือ GDPR มีผลบังคับเต็มรูปแบบเมื่อ ๒๕ พฤษภาคม ค.ศ. ๒๐๑๘ จุดเด่นคือผลบังคับนอกอาณาเขตตามข้อ ๓ ที่ครอบคลุมองค์กรทั่วโลกซึ่งเสนอสินค้าหรือบริการแก่คนในสหภาพยุโรป และโทษปรับตามข้อ ๘๓ ที่สูงถึง ๒๐ ล้านยูโรหรือร้อยละ ๔ ของรายได้ทั่วโลก

ในปี ค.ศ. 2016 สหภาพยุโรปได้สร้างบรรทัดฐานใหม่ด้วยการตรา กฎหมายคุ้มครองข้อมูลส่วนบุคคลแห่งสหภาพยุโรป (General Data Protection Regulation: GDPR)5 ซึ่งมีผลบังคับใช้อย่างเต็มรูปแบบในวันที่ 25 พฤษภาคม ค.ศ. 2018 ความโดดเด่นที่สุดของ GDPR คือการมีผลบังคับใช้นอกอาณาเขต (Extraterritorial Effect) กล่าวคือ ตามข้อ 3(2) องค์กรที่ไม่มีสถานประกอบการในสหภาพยุโรปย่อมตกอยู่ภายใต้บังคับของกฎหมายฉบับนี้ เมื่อเสนอสินค้าหรือบริการแก่บุคคลซึ่งอยู่ในสหภาพยุโรป หรือติดตามพฤติกรรมของบุคคลดังกล่าวที่เกิดขึ้นในสหภาพยุโรป โดยไม่คำนึงว่าองค์กรนั้นจะตั้งอยู่ที่ใดในโลก

GDPR ได้วางมาตรการที่เข้มงวดหลายประการ ได้แก่ การขอความยินยอม (Consent) ที่ต้องชัดแจ้งและเพิกถอนได้โดยง่าย การรับรองสิทธิของเจ้าของข้อมูล (Data Subject Rights) อาทิ สิทธิขอให้ลบข้อมูล (Right to Erasure) และสิทธิในการโอนย้ายข้อมูล (Right to Data Portability) ตลอดจนมาตรการรักษาความมั่นคงปลอดภัยและการแจ้งเหตุละเมิดข้อมูล (Data Breach Notification) ภายใน 72 ชั่วโมง

GDPR มาตรา 83 — โทษปรับทางปกครอง

ระดับที่ 1: โทษปรับสูงสุด 10 ล้านยูโร หรือร้อยละ 2 ของรายได้รวมทั่วโลกของปีบัญชีก่อนหน้า แล้วแต่จำนวนใดจะสูงกว่า สำหรับการละเมิดข้อกำหนดทั่วไป เช่น การไม่มี DPO เมื่อกฎหมายกำหนด

ระดับที่ 2: โทษปรับสูงสุด 20 ล้านยูโร หรือร้อยละ 4 ของรายได้รวมทั่วโลกของปีบัญชีก่อนหน้า แล้วแต่จำนวนใดจะสูงกว่า สำหรับการละเมิดหลักการพื้นฐาน เงื่อนไขความยินยอม และสิทธิของเจ้าของข้อมูล

ผลกระทบของ GDPR ต่อธุรกิจทั่วโลกนั้นมีนัยสำคัญอย่างยิ่ง บริษัทเทคโนโลยีชั้นนำหลายแห่งถูกลงโทษปรับในระดับหลักร้อยล้านถึงพันล้านยูโร โดยในปี ค.ศ. 2023 Meta Platforms ถูกปรับสูงสุดเป็นประวัติการณ์ถึง 1.2 พันล้านยูโร จากการโอนย้ายข้อมูลผู้ใช้ชาวยุโรปไปยังสหรัฐอเมริกาโดยไม่ชอบ GDPR จึงไม่ใช่เพียงกฎหมายของยุโรป แต่เป็นมาตรฐานโลกที่ภาคธุรกิจต้องปฏิบัติตามโดยปริยาย

V. บริบทของประเทศไทย: การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

รัฐธรรมนูญแห่งราชอาณาจักรไทย พุทธศักราช ๒๕๖๐ มาตรา ๓๒ รับรองสิทธิในความเป็นอยู่ส่วนตัว เกียรติยศ ชื่อเสียง และครอบครัว อันเป็นฐานทางรัฐธรรมนูญของ PDPA พ.ศ. ๒๕๖๒ ซึ่งวางหลักว่าการเก็บ ใช้ หรือเปิดเผยข้อมูลต้องมีความยินยอมตามมาตรา ๑๙ เว้นแต่เข้าข้อยกเว้นหกประการในมาตรา ๒๔

รัฐธรรมนูญแห่งราชอาณาจักรไทย พุทธศักราช 25606 ได้รับรองสิทธิความเป็นส่วนตัวของบุคคลไว้ในมาตรา 32 และวรรคสองห้ามนำข้อมูลส่วนบุคคลไปใช้ประโยชน์ไม่ว่าในทางใด ๆ เว้นแต่โดยอาศัยอำนาจตามกฎหมาย ซึ่งวางรากฐานทางรัฐธรรมนูญให้แก่การคุ้มครองข้อมูลส่วนบุคคล

รัฐธรรมนูญแห่งราชอาณาจักรไทย พ.ศ. 2560 — มาตรา 32

"บุคคลย่อมมีสิทธิในความเป็นอยู่ส่วนตัว เกียรติยศ ชื่อเสียง และครอบครัว

การกระทำอันเป็นการละเมิดหรือกระทบต่อสิทธิของบุคคลตามวรรคหนึ่ง หรือการนำข้อมูลส่วนบุคคลไปใช้ประโยชน์ไม่ว่าในทางใด ๆ จะกระทำมิได้ เว้นแต่โดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมายที่ตราขึ้นเพียงเท่าที่จำเป็นเพื่อประโยชน์สาธารณะ"

ต่อมาประเทศไทยได้มีการตรา พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)7 ซึ่งมีผลบังคับใช้อย่างเต็มรูปแบบเมื่อวันที่ 1 มิถุนายน 2565 กฎหมายกำหนดนิยามของ "ข้อมูลส่วนบุคคล" ไว้ในมาตรา 6 ดังนี้

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 6

"'ข้อมูลส่วนบุคคล' หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ"

หลักการสำคัญที่สุดของ PDPA คือผู้ควบคุมข้อมูลส่วนบุคคลต้องได้รับความยินยอมจากเจ้าของข้อมูลก่อนหรือในขณะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล (มาตรา 19) เว้นแต่เข้าข้อยกเว้นที่กฎหมายกำหนด สำหรับข้อมูลส่วนบุคคลทั่วไป มาตรา 24 กำหนดข้อยกเว้นที่ให้เก็บรวบรวมได้โดยไม่ต้องขอความยินยอม 6 ประการ ได้แก่ (1) เอกสารประวัติศาสตร์ จดหมายเหตุ การศึกษาวิจัยหรือสถิติ ที่มีมาตรการปกป้องที่เหมาะสม (2) การป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ (Vital Interest) (3) สัญญา (Contract) (4) ภารกิจเพื่อประโยชน์สาธารณะหรือการใช้อำนาจรัฐ (Public Task) (5) ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) และ (6) การปฏิบัติตามกฎหมาย (Legal Obligation) ความยินยอมจึงเป็นหลัก ส่วนหกกรณีนี้เป็นข้อยกเว้น (คำอธิบายเต็มพร้อมตัวบทอยู่ในหน้า ฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล)

สำหรับข้อมูลส่วนบุคคลอ่อนไหว (Sensitive Personal Data) ซึ่งได้แก่ ข้อมูลเชื้อชาติ ศาสนา ข้อมูลสุขภาพ ข้อมูลชีวภาพ (ลายนิ้วมือ ใบหน้า) ประวัติอาชญากรรม เป็นต้น มาตรา 26 กำหนดข้อห้ามที่เข้มงวดกว่า โดยต้องได้รับ ความยินยอมโดยชัดแจ้ง (Explicit Consent) เว้นแต่จะเข้าข้อยกเว้นที่กฎหมายกำหนดไว้โดยเฉพาะ

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — บทกำหนดโทษ (มาตรา 79–90)

โทษทางปกครอง: สูงสุด 1 ล้านบาท สำหรับการไม่แจ้งรายละเอียดการเก็บรวบรวมแก่เจ้าของข้อมูลตามมาตรา 23 หรือไม่จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (มาตรา 82) / สูงสุด 3 ล้านบาท สำหรับการเก็บหรือใช้ข้อมูลโดยไม่มีฐานทางกฎหมาย หรือการส่งหรือโอนข้อมูลไปต่างประเทศโดยไม่เป็นไปตามมาตรา 28 หรือมาตรา 29 (มาตรา 83) / สูงสุด 5 ล้านบาท สำหรับการเก็บ ใช้ เปิดเผย หรือส่งข้อมูลอ่อนไหวตามมาตรา 26 โดยมิชอบ (มาตรา 84)

โทษอาญา: จำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ สำหรับการใช้หรือเปิดเผยข้อมูลอ่อนไหวโดยมิชอบในประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย / จำคุกไม่เกินหนึ่งปี หรือปรับไม่เกินหนึ่งล้านบาท หรือทั้งจำทั้งปรับ หากกระทำเพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมาย (มาตรา 79 ซึ่งเป็นความผิดอันยอมความได้)

หัวใจสำคัญของการบังคับใช้ PDPA คือการส่งสัญญาณว่า มาตรฐานสากลด้านการคุ้มครองข้อมูลส่วนบุคคลได้ถูกผนวกเข้าเป็นส่วนหนึ่งของระบบกฎหมายไทยแล้ว และองค์กรธุรกิจจำเป็นต้องปรับปรุงกระบวนการทำงานและสร้างธรรมาภิบาลข้อมูล (Data Governance) ให้เกิดขึ้นอย่างเป็นรูปธรรม

แนวปฏิบัติอย่างเป็นทางการและกรณีศึกษาจากการบังคับใช้

นับตั้งแต่ PDPA มีผลบังคับใช้เต็มรูปแบบในวันที่ 1 มิถุนายน 2565 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้เผยแพร่ แนวปฏิบัติสำหรับผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล: กรณีศึกษาจากข้อหารือเกี่ยวกับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒8 ฉบับเผยแพร่ ๑๐ กุมภาพันธ์ ๒๕๖๖ ซึ่งรวบรวมสรุปความเห็นของคณะอนุกรรมการเฉพาะกิจในการตอบข้อหารือ ครอบคลุมหน่วยงานรัฐ ภาคเอกชน นิติบุคคล และบุคคลธรรมดา เอกสารดังกล่าวสะท้อนให้เห็นว่า แม้ตัวบทกฎหมายจะกำหนดหลักการไว้อย่างชัดเจน แต่การประยุกต์ใช้ในบริบทต่างๆ ยังต้องอาศัยการตีความที่ละเอียดรอบคอบในแต่ละกรณี

หนึ่งในประเด็นที่ได้รับการวินิจฉัยบ่อยครั้ง คือขอบเขตของการยกเว้นการบังคับใช้ตามมาตรา 4 โดยเฉพาะการยกเว้นสำหรับกระบวนการยุติธรรมทางอาญาตามมาตรา 4 (5) ซึ่งมีนัยสำคัญต่อหน่วยงานรัฐและองค์กรกำกับดูแลที่มีหน้าที่ด้านการบังคับใช้กฎหมาย ข้อยกเว้นนี้ไม่ได้ลดสิทธิของบุคคลที่ถูกดำเนินคดี สิทธิได้รับแจ้งข้อกล่าวหา สิทธิที่จะไม่ให้การ และสิทธิมีทนายความยังอยู่ในประมวลกฎหมายวิธีพิจารณาความอาญา ดู สิทธิของผู้ถูกจับและผู้ต้องหาพ.ร.บ.การเปลี่ยนแปลงสภาพภูมิอากาศ

คำวินิจฉัยคณะกรรมการ PDPA — ขอบเขตการยกเว้น มาตรา 4 (5) กระบวนการยุติธรรมทางอาญา

กรณีที่ได้รับยกเว้น: การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อนำไปใช้ในกระบวนการที่นำไปสู่การลงโทษผู้กระทำความผิดทางอาญา รวมถึงภารกิจของ ป.ป.ช. ในฐานะที่ใช้อำนาจสอบสวนเทียบเท่าพนักงานสอบสวนตามประมวลกฎหมายวิธีพิจารณาความอาญา

กรณีที่ไม่ได้รับยกเว้น: การดำเนินงานธุรการทั่วไปของหน่วยงานเดียวกันที่ไม่เกี่ยวกับกระบวนการอาญา และการลงโทษทางวินัยที่ไม่เกี่ยวเนื่องกับความผิดอาญา ซึ่งต้องปฏิบัติตาม PDPA ตามปกติ

หมายเหตุสำคัญ: แม้ได้รับยกเว้น หน่วยงานยังคงต้องรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ตามมาตรา 4 วรรคสาม

ประเด็นที่สร้างความสับสนอย่างมากในทางปฏิบัติคือการนำ ข้อมูลชีวภาพ (Biometric Data) มาใช้ในชีวิตประจำวัน งานวิจัยทางวิชาการ9 ได้วิเคราะห์กรณีที่ผู้ประกอบกิจการหอพักเอกชนต้องการใช้ระบบสแกนใบหน้าของผู้พักเพื่อควบคุมการเข้าออก ซึ่งแสดงให้เห็นความแตกต่างระหว่างข้อมูลส่วนบุคคลทั่วไปและข้อมูลอ่อนไหวในเชิงปฏิบัติอย่างชัดเจน

กรณีศึกษา: ข้อมูลชีวภาพ (Biometric Data) กับการควบคุมการเข้าออกหอพัก — มาตรา 24 และมาตรา 26 PDPA

ข้อมูลทั่วไป (มาตรา 24): การเก็บข้อมูลทั่วไปเพื่อควบคุมการเข้าออก เช่น ข้อมูลบัตรอิเล็กทรอนิกส์ อาจอ้างฐานทางกฎหมาย "ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest)" ตามมาตรา 24 (5) ได้ หากประโยชน์ดังกล่าวไม่มีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูล

ข้อมูลชีวภาพ (มาตรา 26): ภาพจำลองใบหน้าที่ได้จากการสแกนจัดเป็น "ข้อมูลชีวภาพ" ซึ่งเป็นข้อมูลส่วนบุคคลอ่อนไหวตามมาตรา 26 ต้องมีฐานทางกฎหมายพิเศษ ได้แก่ ความยินยอมโดยชัดแจ้ง (Explicit Consent) หรือข้อยกเว้นตามมาตรา 26 (1) ถึง (5) เช่น มาตรา 26 (5) ซึ่งต้องเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ที่กำหนด อาทิ ประโยชน์สาธารณะที่สำคัญ อย่างไรก็ตาม ไม่มีกฎหมายใดกำหนดให้ผู้ประกอบกิจการหอพักต้องเก็บข้อมูลชีวภาพเพื่อควบคุมการเข้าออก จึงไม่เข้าข้อยกเว้น

ข้อสรุปทางกฎหมาย: ต้องขอ Explicit Consent ตามเงื่อนไขกฎหมาย หรือปรับเปลี่ยนมาตรการโดยใช้วิธีที่ไม่เก็บข้อมูลชีวภาพ เช่น Key Card แทน ซึ่งเป็นทางเลือกที่ได้สัดส่วนกว่าและสอดคล้องกับหลัก Data Minimisation

ภาคสุขภาพเป็นหนึ่งในภาคส่วนที่ต้องเผชิญกับความท้าทายสูงสุดในการปฏิบัติตาม PDPA เนื่องจากข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวตามมาตรา 26 และโรงพยาบาลต้องทำงานอยู่ในกรอบกฎหมายหลายฉบับซ้อนทับกัน ได้แก่ พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 มาตรา 7 และพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 มาตรา 24 ก่อนที่ PDPA จะมีผลบังคับใช้ งานวิจัยที่ตีพิมพ์ในวารสาร Rangsit Journal of Law and Society ปี 202510 ได้ระบุปัญหาหลักสี่ประการในการบังคับใช้ PDPA กับโรงพยาบาลของรัฐ ดังนี้

ปัญหาในการบังคับใช้ PDPA กับโรงพยาบาลของรัฐ — วารสารกฎหมายและสังคมรังสิต ปีที่ 7 ฉบับที่ 1 (2568)

(1) ความคลุมเครือในนิยาม: พ.ร.บ. ไม่ได้บัญญัตินิยาม "ข้อมูลส่วนบุคคลที่อ่อนไหว (Sensitive Personal Data)" และ "ข้อมูลสุขภาพ" อย่างเป็นทางการและชัดเจน ก่อให้เกิดปัญหาการตีความว่าข้อมูลใดคือ "ข้อมูลสุขภาพ" และอยู่ภายใต้มาตรา 26 หรือเพียงแค่ข้อมูลที่เกี่ยวข้องกับสุขภาพ

(2) การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO): ยังไม่มีหลักเกณฑ์ที่ชัดเจนสำหรับคุณสมบัติของ DPO ในสถานพยาบาล ซึ่งต้องการความรู้ทั้งด้านกฎหมายคุ้มครองข้อมูล ด้านเทคโนโลยีสารสนเทศ และด้านการแพทย์ควบคู่กัน

(3) การประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA): การกำหนดอำนาจหน้าที่ของ DPO ในการประเมินความเสี่ยงของผลกระทบจากการประมวลผลข้อมูลขนาดใหญ่ในบริบทโรงพยาบาลยังขาดความชัดเจน

(4) การแจ้งเหตุละเมิดข้อมูล (Data Breach Notification): ไม่มีข้อกำหนดการบันทึกรายละเอียดเหตุละเมิดข้อมูลไว้เป็นหลักฐาน ส่งผลให้ยากต่อการตรวจสอบย้อนหลังและการวิเคราะห์แนวโน้ม อันอาจนำไปสู่ความบกพร่องในการป้องกันเหตุการณ์ซ้ำในอนาคต

นอกจากนี้ กฎหมายยังกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) ในกรณีที่กิจกรรมหลักเกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอ่อนไหวตามมาตรา 26 อย่างเป็นระบบ โดยมาตรา 41 วรรคเจ็ดเปิดช่องให้ DPO เป็นได้ทั้งพนักงานภายในองค์กรหรือผู้รับจ้างจากภายนอก ซึ่งมีข้อดีข้อเสียที่แตกต่างกันไปตามลักษณะและขนาดขององค์กร

ฐานทางกฎหมายหกกรณีตามมาตรา ๒๔ ที่ใช้แทนความยินยอมได้วิเคราะห์แยกไว้ในบทความ ฐานทางกฎหมาย PDPA มาตรา ๒๔ เทียบ GDPR ส่วนการส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศตามมาตรา ๒๘ และมาตรา ๒๙ พร้อมประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสองฉบับ พ.ศ. ๒๕๖๖ ซึ่งยอมรับข้อสัญญามาตรฐานของสหภาพยุโรปและข้อสัญญาต้นแบบของอาเซียน อยู่ในบทความภาษาอังกฤษ Thailand PDPA cross-border transfer: Sections 28 and 29

VI. บทวิเคราะห์เปรียบเทียบแบบการคุ้มครองข้อมูลส่วนบุคคล (Privacy Models)

กฎหมายคุ้มครองข้อมูลทั่วโลกแยกได้สามโมเดล คือโมเดลสิทธิมนุษยชนแบบยุโรปที่ถือความเป็นส่วนตัวเป็นสิทธิขั้นพื้นฐาน โมเดลขับเคลื่อนด้วยตลาดแบบสหรัฐอเมริกาที่ใช้กฎหมายรายสาขา และโมเดลสมดุลแบบเอเชีย ไทยรับโครงของ GDPR มาไว้ในมาตรา ๑๙ ถึงมาตรา ๒๘ ของ PDPA แต่กำหนดเพดานโทษให้เข้ากับบริบทของตน จึงจัดอยู่ในกลุ่มที่แสวงหาจุดสมดุล

เมื่อพิจารณากฎหมายคุ้มครองข้อมูลส่วนบุคคลในระดับโลก สามารถจำแนกได้เป็นสามโมเดลหลัก ซึ่งแต่ละโมเดลสะท้อนปรัชญาทางกฎหมายและการเมืองที่แตกต่างกันอย่างมีนัยสำคัญ

โมเดลที่ 1: โมเดลยุโรป (The Human Rights Model)

สหภาพยุโรปมองว่าความเป็นส่วนตัวคือสิทธิมนุษยชนขั้นพื้นฐาน กฎหมายจึงมีความเข้มงวดและมุ่งเน้นการควบคุมอำนาจของภาคธุรกิจในการประมวลผลข้อมูล หลักการ "ความเป็นส่วนตัวโดยการออกแบบ" (Privacy by Design) และ "ความเป็นส่วนตัวโดยค่าเริ่มต้น" (Privacy by Default) ถูกบังคับใช้อย่างจริงจัง GDPR เป็นตัวแทนที่ชัดเจนที่สุดของโมเดลนี้

โมเดลที่ 2: โมเดลสหรัฐอเมริกา (The Market-Driven Model)

สหรัฐอเมริกายังไม่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคลในระดับประเทศ แต่ใช้กลไกตลาดและกฎหมายเฉพาะสาขา (Sectoral Laws) เป็นหลัก โดยถือว่าความเป็นส่วนตัวเป็นเรื่องของการเลือกของผู้บริโภคในตลาด รัฐแคลิฟอร์เนียเป็นผู้นำด้วยการออก California Consumer Privacy Act (CCPA)11 ซึ่งมีผลบังคับใช้ตั้งแต่ปี ค.ศ. 2020 และถือเป็นต้นแบบของกฎหมายระดับมลรัฐหลายฉบับที่ตามมา

โมเดลที่ 3: โมเดลเอเชีย (The Balanced Model)

หลายประเทศในเอเชียกำลังมุ่งแสวงหาจุดสมดุลระหว่างการเติบโตทางเศรษฐกิจดิจิทัลและการคุ้มครองสิทธิ ตัวอย่างที่โดดเด่นที่สุดคือ Personal Information Protection Law of the People's Republic of China (PIPL)12 ของสาธารณรัฐประชาชนจีน ซึ่งมีมาตรฐานความเข้มงวดสูงในระดับเดียวกับ GDPR แต่มีปรัชญาที่แตกต่างกันอย่างสิ้นเชิง ขณะที่ GDPR มุ่งคุ้มครองบุคคลจากอำนาจขององค์กรธุรกิจ PIPL กลับมุ่งควบคุมการไหลเวียนของข้อมูลออกนอกประเทศ และรักษาอำนาจของรัฐในการเข้าถึงข้อมูล PDPA ของไทยอยู่ในกลุ่มโมเดลเอเชียที่พยายามสร้างสมดุลดังกล่าว

VII. ความท้าทายในอนาคต: ปัญญาประดิษฐ์ (AI) กับข้อจำกัดของกฎหมาย

การเรียนรู้ของโมเดลปัญญาประดิษฐ์ใช้ข้อมูลในลักษณะที่ระบุวัตถุประสงค์ล่วงหน้าได้ยาก จึงปะทะกับหลักความจำกัดของวัตถุประสงค์ที่ PDPA วางไว้ในมาตรา ๒๑ สหภาพยุโรปตอบด้วย Regulation (EU) 2024/1689 ซึ่งกำกับดูแลตามระดับความเสี่ยง ส่วนไทยยังไม่มีกฎหมายเฉพาะรองรับ

วิวัฒนาการของปัญญาประดิษฐ์ (AI) ที่ต้องอาศัยชุดข้อมูลขนาดใหญ่ในการประมวลผล กำลังสร้างความท้าทายต่อหลักการของ PDPA โดยเฉพาะ "หลักความจำกัดของวัตถุประสงค์ (Purpose Limitation)" ที่ห้ามมิให้นำข้อมูลไปใช้เกินกว่าวัตถุประสงค์ที่ได้แจ้งและขอความยินยอมไว้แต่แรก กระบวนการเรียนรู้ของโมเดล AI มักใช้ข้อมูลในลักษณะที่กว้างและยากต่อการกำหนดวัตถุประสงค์ล่วงหน้าได้อย่างชัดเจน ซึ่งอาจขัดกับหลักความโปร่งใสที่ PDPA กำหนด

ในปี ค.ศ. 2024 สหภาพยุโรปได้ตรา Artificial Intelligence Act (AI Act)13 ซึ่งเป็นกฎหมายกำกับดูแล AI แบบครอบคลุมฉบับแรกของโลก มีผลใช้บังคับวันที่ 1 สิงหาคม ค.ศ. 2024 และทยอยใช้บังคับบทบัญญัติแต่ละส่วนเป็นระยะตั้งแต่ปี ค.ศ. 2025 โดยจำแนก AI ตามระดับความเสี่ยง (Risk-based Approach)

Regulation (EU) 2024/1689 — EU AI Act หรือ กฎระเบียบว่าด้วยปัญญาประดิษฐ์แห่งสหภาพยุโรป: การจำแนกระดับความเสี่ยง

(1) ความเสี่ยงที่ยอมรับไม่ได้ (Unacceptable Risk): ห้ามโดยเด็ดขาด เช่น ระบบคะแนนทางสังคม (Social Scoring) และการใช้ระบบระบุตัวบุคคลด้วยข้อมูลชีวภาพจากระยะไกลแบบเวลาจริง (Real-time) ในพื้นที่สาธารณะเพื่อการบังคับใช้กฎหมาย เว้นแต่กรณีจำเป็นที่ข้อ 5 กำหนดไว้อย่างจำกัด

(2) ความเสี่ยงสูง (High Risk): ต้องมีการตรวจสอบ ประเมินความเสี่ยง และลงทะเบียนก่อนใช้งาน เช่น AI ในระบบสินเชื่อ การจ้างงาน และการบังคับใช้กฎหมาย

(3) ความเสี่ยงจำกัด (Limited Risk): ต้องแจ้งผู้ใช้ว่ากำลังติดต่อกับ AI เช่น Chatbot

(4) ความเสี่ยงต่ำ (Minimal Risk): ไม่มีข้อกำหนดเฉพาะ

สำหรับประเทศไทย แม้ปัจจุบันจะยังไม่มีกฎหมายกำกับดูแล AI โดยเฉพาะ แต่องค์กรกำกับดูแลจำเป็นต้องตีความและปรับใช้หลักเกณฑ์ของ PDPA ให้เท่าทันต่อพลวัตของเทคโนโลยี เพื่อรักษาสมดุลระหว่างนวัตกรรมและสิทธิความเป็นส่วนตัว

VIII. แนวโน้มและประเด็นทางกฎหมายที่ต้องจับตา

แนวโน้มสามประการที่ต้องจับตาคือ ประสิทธิภาพของการบังคับใช้เมื่อองค์กรมองค่าปรับตามมาตรา ๘๒ ถึงมาตรา ๘๔ เป็นเพียงต้นทุนในการดำเนินธุรกิจ การเกิดตลาดซื้อขายข้อมูลที่กฎหมายยังไม่มีกรอบรองรับ และการที่เทคโนโลยีเดินเร็วกว่ากฎหมายจนต้องอาศัยประกาศของคณะกรรมการเป็นเครื่องมือตามให้ทัน

จากการวิเคราะห์พัฒนาการของกฎหมายคุ้มครองข้อมูลส่วนบุคคลในภาพรวม สามารถระบุแนวโน้มสำคัญสามประการที่จะมีผลต่อทิศทางกฎหมายในระยะข้างหน้า

1. ความท้าทายในการบังคับใช้กฎหมาย (Enforcement Challenges) — องค์กรบางแห่งยังคงมองค่าปรับเป็นเพียง "ต้นทุนในการดำเนินธุรกิจ" ซึ่งเป็นประเด็นที่หน่วยงานกำกับดูแลต้องพัฒนากลไกบังคับใช้ให้มีประสิทธิภาพและสร้างความเกรงกลัวต่อการละเมิดอย่างแท้จริง รวมถึงการพัฒนาแนวทางปฏิบัติที่ชัดเจนสำหรับภาคธุรกิจในสาขาต่างๆ

2. นวัตกรรมตลาดข้อมูล (Data Monetization) — เมื่อข้อมูลมีมูลค่าเชิงพาณิชย์สูงขึ้น รูปแบบการทำธุรกิจซื้อขายและแลกเปลี่ยนข้อมูลจะทวีความซับซ้อน กฎหมายต้องสร้างความชัดเจนในประเด็นความโปร่งใสและอำนาจควบคุมของเจ้าของข้อมูล รวมถึงกรอบกฎหมายสำหรับ "ตลาดข้อมูล" (Data Marketplace) ที่กำลังเติบโตอย่างรวดเร็ว

3. ข้อจำกัดของหลักความยินยอม (Consent Fatigue) — แนวคิดที่พึ่งพา "ความยินยอม" เพียงฐานเดียวเริ่มแสดงข้อจำกัดในทางปฏิบัติ เนื่องจากผู้บริโภคมักกดยืนยันโดยไม่ได้อ่านเงื่อนไข แนวโน้มทางปฏิบัติในหลายเขตอำนาจจึงมุ่งไปสู่การพิจารณาใช้ "ฐานประโยชน์อันชอบธรรม (Legitimate Interests)" มากยิ่งขึ้น ซึ่งต้องอาศัยการตีความของผู้ควบคุมข้อมูลที่ระมัดระวังและโปร่งใส

IX. บทสรุป

PDPA พ.ศ. ๒๕๖๒ ประกาศว่ามาตรฐานสากลด้านการคุ้มครองข้อมูลได้กลายเป็นส่วนหนึ่งของระบบกฎหมายไทยแล้ว สำหรับภาคธุรกิจ การปฏิบัติตามมาตรา ๑๙ มาตรา ๒๓ และมาตรา ๓๗ จึงไม่ใช่ภาระตามกฎหมายเพียงอย่างเดียว แต่เป็นเงื่อนไขของความน่าเชื่อถือในตลาดที่คู่ค้าตรวจสอบเรื่องนี้จริง

สิทธิความเป็นส่วนตัวไม่ใช่เพียงข้อเรียกร้องเพื่อความสะดวกสบายในโลกยุคดิจิทัล หากแต่เป็นสิทธิขั้นพื้นฐานที่ผลักดันมาจากบทเรียนทางประวัติศาสตร์ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของไทย แม้จะเป็นเพียงจุดเริ่มต้นและอาจต้องเผชิญกับการปรับปรุงแก้ไขเพื่อให้สอดรับกับพลวัตของเทคโนโลยี แต่กฎหมายฉบับนี้ได้วางรากฐานอันสำคัญให้แก่ประเทศ ด้วยการประกาศว่ามาตรฐานสากลด้านการคุ้มครองข้อมูลส่วนบุคคลได้กลายเป็นส่วนหนึ่งของระบบกฎหมายไทยแล้ว

สำหรับภาคธุรกิจ การปฏิบัติตาม PDPA ไม่ควรถูกมองเป็นเพียงภาระในการปฏิบัติตามกฎหมาย (Legal Compliance) แต่ควรตระหนักว่าเป็นกลยุทธ์สำคัญในการสร้างความเชื่อมั่น (Trust) และยกระดับมาตรฐานทางธุรกิจให้สามารถแข่งขันได้ในระดับสากลอย่างยั่งยืน ในยุคที่ผู้บริโภคทั่วโลกตื่นตัวและให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลมากขึ้นทุกวัน การมีระบบ Data Governance ที่ดีจึงมิใช่ทางเลือก แต่เป็นมาตรฐานพื้นฐานที่ธุรกิจยุคใหม่ต้องมี

X. คำถามที่พบบ่อยเรื่องกฎหมายข้อมูลส่วนบุคคล

คำถามที่พบบ่อยเรื่องกฎหมายข้อมูลส่วนบุคคลของไทยมีสี่ประเด็น คือ กฎหมายฉบับใดใช้บังคับและใช้กับผู้ใดตามมาตรา ๕ ความแตกต่างระหว่าง GDPR กับ PDPA ทั้งเพดานโทษตามมาตรา ๗๙ และมาตรา ๘๔ และอำนาจวินิจฉัยความเพียงพอตามมาตรา ๒๘ ต้นแบบของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล และจำนวนฐานทางกฎหมายตามมาตรา ๒๔

กฎหมายข้อมูลส่วนบุคคลของไทยคือกฎหมายฉบับใด
คือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (PDPA) ซึ่งใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในราชอาณาจักร และตามมาตรา ๕ วรรคสอง ยังใช้บังคับแก่ผู้ที่อยู่นอกราชอาณาจักร เมื่อเสนอสินค้าหรือบริการแก่เจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร หรือเฝ้าติดตามพฤติกรรมของบุคคลเหล่านั้นที่เกิดขึ้นในราชอาณาจักร
GDPR กับ PDPA ต่างกันอย่างไร
โครงสร้างหลักใกล้เคียงกัน แต่ต่างกันอย่างน้อยสามจุด ประการแรก โทษปรับทางปกครองของ PDPA มีเพดานเป็นจำนวนเงิน สูงสุดห้าล้านบาทตามมาตรา ๘๔ ขณะที่ GDPR ข้อ ๘๓ ผูกเพดานกับรายได้ทั่วโลก ประการที่สอง PDPA มีโทษทางอาญาตามมาตรา ๗๙ สำหรับการฝ่าฝืนเกี่ยวกับข้อมูลอ่อนไหว ประการที่สาม การวินิจฉัยว่าประเทศปลายทางมีมาตรฐานการคุ้มครองที่เพียงพอเป็นอำนาจของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๒๘ ไม่ใช่คณะกรรมาธิการยุโรปตาม GDPR ข้อ ๔๕
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของไทยใช้อะไรเป็นต้นแบบ
โครงของ PDPA ตรงกับ GDPR ของสหภาพยุโรปในหลายจุดที่ตรวจได้จากตัวบท เช่น ระบบการส่งข้อมูลไปต่างประเทศสามชั้นในมาตรา ๒๘ และมาตรา ๒๙ ซึ่งตรงกับ GDPR ข้อ ๔๕ ข้อ ๔๖ และข้อ ๔๙ และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๒๙ พ.ศ. ๒๕๖๖ ข้อ ๑๐ (๒) ยอมรับข้อสัญญามาตรฐานที่ออกตาม GDPR โดยระบุชื่อ ส่วนหลักการจำกัดการเก็บและการระบุวัตถุประสงค์ย้อนไปถึงแนวทางของ OECD ค.ศ. ๑๙๘๐ ซึ่งปรากฏในมาตรา ๒๑ ถึงมาตรา ๒๓
ฐานทางกฎหมาย PDPA มีกี่ฐาน
นอกจากความยินยอมตามมาตรา ๑๙ แล้ว มาตรา ๒๔ กำหนดกรณีที่เก็บรวบรวมข้อมูลส่วนบุคคลได้โดยไม่ต้องได้รับความยินยอมไว้หกกรณี รายละเอียดของแต่ละฐานและการเทียบกับ GDPR อยู่ในบทความ ฐานทางกฎหมาย PDPA มาตรา ๒๔