ทุกคนคงเคยประสบพบเจอใครก็ไม่รู้โทรศัพท์เข้าในเครื่องของเรา เสนอขายโน่นขายนี่ เราก็เออออห่อหมก บางครั้งตกเป็นเครื่องมือยัดเยียดขายสินค้าราคาไม่ตรงปกบ้าง ถูกนำชื่อไปใช้เพื่อประโยชน์ทางธุรกิจบ้าง และทุกคนต่างงุนงงสงสัยว่าคนเหล่านั้นรู้เบอร์โทรศัพท์ของเราได้อย่างไร หรือเบอร์โทรศัพท์ของเราหลุดรอดจากจุดไหน ยิ่งในยุคดิจิทัลแบบนี้ หากข้อมูลของเรามีการรั่วไหลจากจุดใดจุดหนึ่งทั้งโดยตั้งใจและไม่ตั้งใจ เผลอแผล็บเดียวก็กระจายไปทั่วโลก การละเมิดข้อมูลส่วนตัวจึงต้องมีบทลงโทษจริงจัง เพื่อไม่ให้ข้อมูลของเรารั่วไหล หรือถูกซื้อขายเหมือนสินค้าโดยไม่ได้รับความยินยอม
วันที่ 1 มิถุนายน 2565 ที่จะถึงนี้ ถือเป็นการเริ่มต้นการประกาศใช้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล อย่างเป็นทางการ องค์กรใดก็ตาม เก็บข้อมูลของเราไว้โดยไม่ได้รับความยินยอมจากเรา ถือว่าผิดกฎหมาย สามารถแจ้งความเอาผิดได้ตามโทษที่ระบุไว้ หรือหน่วยงานใดแม้จะมีสิทธิเก็บข้อมูลของเรา แต่การใช้ข้อมูลของเราก็ต้องรายงานให้เราทราบว่าจะนำข้อมูลไปใช้เพื่อการใด และต้องได้รับความยินยอมจากเราก่อน หากเกิดปัญหาข้อมูลรั่วไหล จะต้องแจ้งให้เราทราบภายใน 72 ชั่วโมง ซึ่งหลายคนอาจยังไม่รับทราบเรื่องนี้ และยังไม่เข้าใจว่า พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล มีความสำคัญต่อชีวิตของเราอย่างไร
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (พ.ศ. 2562) หรือ PDPA ย่อมาจาก Personal Data Protection Act (B.E.2562) เป็นบทบัญญัติที่ให้ความคุ้มครองข้อมูลส่วนบุคคลของ “บุคคลธรรมดา” ให้สิทธิในการแก้ไข, เข้าถึง หรือแจ้งลบข้อมูลที่ให้ไว้กับองค์กร เป็นต้น จะว่าไปแล้ว พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล เตรียมประกาศใช้ตั้งแต่ 2 ปีที่ผ่านมา แต่มีเหตุให้ต้องเลื่อนมาจนถึงวันนี้ อย่างไรก็ตาม มีการยืนยันชัดเจนว่าจะมีผลบังคับใช้ในวันที่ 1 มิถุนายน 2565 นี้แน่นอน
เนื้อหาหลักของกฎหมายฉบับนี้ คือ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลใด จะต้องมีการขอจากเจ้าของข้อมูลส่วนบุคคล หรือตามที่มีการบัญญัติไว้ในกฎหมายฉบับนี้ จะต้องมีการบอกกล่าวถึงวัตถุประสงค์ในการนำข้อมูลไปใช้ และใช้ตรงตามวัตถุประสงค์ที่ระบุ อีกทั้งยังให้ความสำคัญกับการให้สิทธิแก่ “เจ้าของข้อมูลส่วนบุคคล” ที่สามารถขอให้เปลี่ยนแปลง แก้ไข ขอสำเนา ขอให้ลบได้ หากไม่ขัดกับหลักการหรือข้อกฎหมายใดๆ และองค์กรที่ได้ข้อมูลส่วนบุคคลมาจะต้องมีมาตรการและมาตรฐานในการบริหารจัดการดูแลข้อมูลเหล่านี้อย่างเหมาะสมและปลอดภัย
การคุ้มครองข้อมูลส่วนบุคคลเป็นหลักสากลที่ประเทศต่างๆ ให้ความสำคัญ โดยเฉพาะคู่ค้าสำคัญของประเทศไทยที่ต่างนำหลักการคุ้มครองข้อมูลส่วนบุคคลมาตราเป็นกฎหมาย เพื่อคุ้มครองประชาชนในประเทศของตนเอง เริ่มจากสหภาพยุโรป มีกฎหมายชื่อ General Data Protection Regulation หรือ GDPR บังคับใช้ไปตั้งแต่ปี 2561 ทำให้ประเทศต่างๆ เริ่มมีกฎหมายลักษณะเดียวกัน เช่น สิงคโปร์ มาเลเซีย อินโดนิเซีย ฟิลิปปินส์ ญี่ปุ่น เกาหลีใต้ ไต้หวัน ฮ่องกง และจีน ขณะที่ประเทศไทยมีการละเมิดข้อมูลส่วนบุคคลเพิ่มมากขึ้น และองค์กรต่างๆ ไม่ตระหนักถึงการรักษาความปลอดภัยของข้อมูลที่เก็บจากประชาชนหรือลูกค้าของตน ทำให้ข้อมูลมีการรั่วไหลออกไปยังผู้ที่ไม่ประสงค์ดีต่อเจ้าของข้อมูลส่วนบุคคล นั่นทำให้ประเทศไทยมีความจำเป็นที่จะต้องมี พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล อย่างไม่อาจปฏิเสธได้
การมีกฎหมาย PDPA นอกจากจะช่วยในการคุ้มครองข้อมูลส่วนบุคคลของเจ้าของข้อมูลแล้ว ยังทำให้องค์กรที่เก็บข้อมูลส่วนบุคคลต้องมีการทบทวนถึงความจำเป็นของการเก็บ ประมวลผลและใช้ข้อมูลว่ามีความจำเป็นมากน้อยเพียงใด ต้องให้ความสำคัญกับข้อมูลส่วนบุคคลว่าได้มาอย่างไร เก็บรักษาอย่างไร และ ใช้อย่างไร เพื่อลดต้นทุนในการบริหารจัดการ การเก็บ ประมวลผล และใช้ รวมทั้งให้สิทธิแก่เจ้าของข้อมูลและการรักษาความปลอดภัยของข้อมูล ซึ่งจะทำให้องค์กรสามารถใช้ประโยชน์จากข้อมูลส่วนบุคคลได้อย่างมีประสิทธิภาพในระยะยาว
อย่างไรก็ตาม หลายๆ องค์กรยังกังวลกับกฎหมายฉบับนี้ว่ามีบทลงโทษที่มากเกินไป เช่น การลงโทษทางอาญาที่มีโทษจำคุกสูงสุด 1 ปี หรือโทษทางปกครองที่ปรับได้ถึง 5 ล้านบาท และคิดว่าการลงโทษแบบนี้ในต่างประเทศไม่มี ซึ่งโดยข้อเท็จจริงแล้วหลายๆ ประเทศในอาเซียนมีบทลงโทษทางอาญาเช่นกัน ส่วนโทษทางปกครองนั้นทางคณะกรรมการกำลังยกร่างเพื่อกำหนดโทษแบบจากเบาไปหาหนัก เพื่อไม่ให้สร้างความตระหนกแก่องค์กรต่างๆ มากเกินไป
