สารบัญ6 หัวข้อหลัก
บทที่ 1 ขอบเขต นิยาม และประตูเข้าสู่กฎหมาย
กฎหมายคุ้มครองข้อมูลส่วนบุคคลสร้างดุลระหว่างการใช้ข้อมูลกับสิทธิความเป็นส่วนตัว โดยถือว่าข้อมูลส่วนบุคคลคือข้อมูลเกี่ยวกับบุคคลซึ่งทำให้ระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ จุดเริ่มต้นของการวินิจฉัยจึงไม่ใช่ถามเพียงว่าองค์กรมีข้อมูลอยู่หรือไม่ แต่ต้องถามว่าข้อมูลเชื่อมกลับไปหาบุคคลธรรมดาได้เพียงใด ใครเป็นผู้กำหนดวัตถุประสงค์และวิธีการ และกิจกรรมที่ทำคือการเก็บรวบรวม ใช้ หรือเปิดเผย การคุ้มครองจึงติดตามข้อมูลตั้งแต่รับเข้ามา ระหว่างใช้ ส่งต่อ เก็บรักษา จนถึงลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้
วงจรการคุ้มครองข้อมูล
สิทธิและหน้าที่ติดตามข้อมูลตั้งแต่เริ่มเก็บจนสิ้นสุดความจำเป็น
- 1รับข้อมูลระบุตัวบุคคล ฐาน วัตถุประสงค์ และผู้รับผิดชอบ
- 2ใช้และส่งต่อจำกัดตามวัตถุประสงค์ สิทธิ และเงื่อนไขของผู้รับข้อมูล
- 3เก็บรักษาควบคุมการเข้าถึง ความถูกต้อง ความพร้อมใช้ และระยะเวลา
- 4สิ้นสุดวงจรลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลเมื่อหมดเหตุเก็บ
ขอบเขตของกฎหมายยึดทั้งสถานที่ตั้งของผู้ดำเนินการและผลที่เกิดแก่บุคคลในประเทศไทย ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในราชอาณาจักรอยู่ใต้กฎหมายแม้กิจกรรมบางช่วงเกิดนอกประเทศ ส่วนผู้ดำเนินการที่อยู่ต่างประเทศก็อาจอยู่ใต้กฎหมายเมื่อเสนอสินค้าหรือบริการแก่บุคคลในประเทศ หรือเฝ้าติดตามพฤติกรรมที่เกิดขึ้นในประเทศ หลักนี้ป้องกันไม่ให้การย้ายระบบหรือผู้ให้บริการไปต่างประเทศกลายเป็นช่องว่างของการคุ้มครอง และทำให้ต้องตรวจสายงานข้อมูลทั้งเครือข่ายแทนการมองเพียงที่ตั้งของเครื่องแม่ข่าย (มักออกสอบ)
กฎหมายกำหนดข้อยกเว้นตามลักษณะกิจกรรม มิได้ยกเว้นเพราะผู้ดำเนินการเป็นรัฐหรือเอกชนเพียงอย่างเดียว การใช้ข้อมูลเพื่อประโยชน์ส่วนตนหรือกิจกรรมในครอบครัว งานด้านความมั่นคงของรัฐและความปลอดภัยของประชาชน งานสื่อมวลชน ศิลปกรรม หรือวรรณกรรมที่ทำตามจริยธรรมและเพื่อประโยชน์สาธารณะ งานของรัฐสภา กระบวนพิจารณาคดีและการบังคับคดี ตลอดจนกิจการข้อมูลเครดิตตามกฎหมายเฉพาะ ล้วนมีขอบเขตเฉพาะของตน อย่างไรก็ดี ผู้ที่ได้รับยกเว้นบางกลุ่มยังต้องรักษาความมั่นคงปลอดภัยตามมาตรฐาน การเห็นคำว่า “ยกเว้น” จึงต้องตรวจต่อว่าเว้นทั้งระบบหรือเว้นเฉพาะบทบางส่วน
เมื่อมีกฎหมายเฉพาะคุ้มครองข้อมูลในกิจการหนึ่งอยู่แล้ว ให้ใช้กฎเฉพาะนั้นเป็นหลักในเรื่องเดียวกัน กฎหมายฉบับนี้ทำหน้าที่เสริมส่วนที่กฎเฉพาะมิได้บัญญัติ และยังเปิดทางให้กลไกร้องเรียนตามกฎหมายคุ้มครองข้อมูลเข้ามาเมื่อกฎหมายเฉพาะไม่มีช่องทาง หรือมีเจ้าหน้าที่พิจารณาได้แต่ขอบเขตอำนาจไม่เพียงพอ หลักดังกล่าวลดความซ้ำซ้อนโดยไม่ปล่อยให้เจ้าของข้อมูลไร้การคุ้มครอง การทำงานจริงจึงต้องวางกฎหมายเฉพาะกับกฎหมายทั่วไปเคียงกัน แล้วแยกให้ได้ว่าเรื่องฐานประมวลผล สิทธิ การร้องเรียน หรือโทษอยู่ภายใต้กลไกใด
โครงสร้างการกำกับประกอบด้วยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล สำนักงาน คณะกรรมการกำกับสำนักงาน และคณะกรรมการผู้เชี่ยวชาญ คณะกรรมการระดับนโยบายกำหนดแผน มาตรการ หลักเกณฑ์การโอน และแนวปฏิบัติ ส่วนสำนักงานสนับสนุนวิชาการ ตรวจสอบมาตรฐาน ให้คำปรึกษา และเป็นศูนย์กลางความรู้ คณะกรรมการกำกับสำนักงานดูทิศทางและการบริหาร ขณะที่คณะกรรมการผู้เชี่ยวชาญรับเรื่องร้องเรียน ตรวจสอบ และออกคำสั่งแก้ไข การแยกหน้าที่เช่นนี้ทำให้ระบบมีทั้งการวางกติกา การสนับสนุนการปฏิบัติ และการบังคับใช้โดยหน่วยที่มีอำนาจเฉพาะ
บทที่ 2 ฐานการประมวลผลและวงจรการใช้ข้อมูล
ความยินยอมเป็นฐานหนึ่งของการประมวลผล มิใช่ถ้อยคำที่ใช้แก้การเก็บข้อมูลทุกกรณี การขอต้องทำโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ แยกออกจากข้อความอื่น อ่านและเข้าถึงได้ง่าย ใช้ภาษาที่เข้าใจได้ และแจ้งวัตถุประสงค์อย่างเฉพาะเจาะจง ผู้ควบคุมต้องคำนึงถึงความเป็นอิสระของเจ้าของข้อมูลและห้ามผูกความยินยอมกับบริการส่วนที่ไม่จำเป็นต่อสัญญา เจ้าของข้อมูลถอนความยินยอมได้ง่ายเช่นเดียวกับตอนให้ และการถอนมีผลต่อการประมวลผลในอนาคตโดยไม่ลบล้างการดำเนินการที่ชอบด้วยกฎหมายไปแล้ว (มักออกสอบ)
ผู้เยาว์ คนไร้ความสามารถ และคนเสมือนไร้ความสามารถต้องได้รับการดูแลตามกฎหมายแพ่งควบคู่กัน หากการให้ความยินยอมของผู้เยาว์ไม่ใช่การกระทำที่ทำได้เองโดยลำพัง ต้องขอจากผู้ใช้อำนาจปกครองด้วย และในกรณีผู้เยาว์อายุไม่เกินสิบปีให้ขอจากผู้ใช้อำนาจปกครองแทน ส่วนคนไร้ความสามารถให้ผู้อนุบาลดำเนินการ และคนเสมือนไร้ความสามารถให้ผู้พิทักษ์ดำเนินการ หลักเดียวกันยังใช้กับการถอนความยินยอม การแจ้งสิทธิ และกระบวนการร้องเรียน ทำให้การตรวจอายุหรือสถานะมิใช่ขั้นตอนเอกสาร แต่เป็นเงื่อนไขความสมบูรณ์ของฐานที่ใช้อ้าง
แม้ไม่มีความยินยอม การเก็บข้อมูลทั่วไปอาจทำได้เมื่อจำเป็นเพื่อจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุ การศึกษาวิจัยหรือสถิติที่มีมาตรการคุ้มครอง เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ เพื่อปฏิบัติตามสัญญาหรือคำขอก่อนเข้าทำสัญญา เพื่อภารกิจสาธารณะหรือการใช้อำนาจรัฐ เพื่อประโยชน์โดยชอบด้วยกฎหมายที่ไม่เหนือกว่าสิทธิขั้นพื้นฐานของเจ้าของข้อมูล หรือเพื่อปฏิบัติตามกฎหมายของผู้ควบคุม ฐานเหล่านี้ต้องสัมพันธ์กับวัตถุประสงค์จริงและหลักเก็บเท่าที่จำเป็น การมีฐานไม่ได้อนุญาตให้เก็บกว้างหรือเก็บนานโดยไร้ขอบเขต
ก่อนหรือขณะเก็บข้อมูล ผู้ควบคุมต้องแจ้งวัตถุประสงค์ ความจำเป็นที่เจ้าของข้อมูลต้องให้ข้อมูลและผลหากไม่ให้ ประเภทข้อมูล ระยะเวลาเก็บ ผู้รับข้อมูล ข้อมูลติดต่อของผู้ควบคุม ตัวแทนหรือเจ้าหน้าที่คุ้มครองข้อมูล และสิทธิที่เจ้าของข้อมูลใช้ได้ หากได้ข้อมูลจากแหล่งอื่น ต้องแจ้งแหล่งที่มาและรายละเอียดที่เกี่ยวข้องโดยไม่ชักช้า ภายในสามสิบวันนับแต่เก็บ หรือในเวลาที่ติดต่อหรือเปิดเผยครั้งแรก แล้วแต่เหตุใดเกิดก่อน เว้นแต่เจ้าของข้อมูลทราบอยู่แล้ว การแจ้งไม่ใช่พิธีกรรม แต่เป็นเงื่อนไขให้บุคคลคาดหมายการใช้ข้อมูลและตรวจสอบการเปลี่ยนวัตถุประสงค์ได้
ข้อมูลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อ ศาสนา พฤติกรรมทางเพศ ประวัติอาชญากรรม สุขภาพ ความพิการ สหภาพแรงงาน พันธุกรรม และชีวภาพที่ใช้ยืนยันตัวบุคคลเป็นข้อมูลส่วนบุคคลอ่อนไหว การเก็บโดยหลักต้องอาศัยความยินยอมโดยชัดแจ้ง เว้นแต่เข้าเงื่อนไขเฉพาะ เช่น ป้องกันอันตรายเมื่อเจ้าของข้อมูลให้ความยินยอมไม่ได้ กิจกรรมโดยชอบขององค์กรไม่แสวงกำไร การเปิดเผยโดยชัดแจ้งของเจ้าของข้อมูล การก่อตั้งหรือใช้สิทธิเรียกร้อง การรักษาพยาบาลและสาธารณสุข การคุ้มครองแรงงานหรือประกันสังคม การวิจัย หรือประโยชน์สาธารณะที่สำคัญพร้อมมาตรการเหมาะสม ความอ่อนไหวจึงเพิ่มระดับการพิสูจน์ฐานและการคุ้มครอง มิได้ห้ามประมวลผลทุกกรณี
เนื้อหาสรุปนี้จัดทำขึ้นเพื่อการศึกษาส่วนบุคคล ห้ามคัดลอก ทำซ้ำ หรือนำไปใช้เพื่อวัตถุประสงค์ทางการค้าโดยไม่ได้รับอนุญาต