ในยุคที่ข้อมูลขนาดใหญ่ (Big Data) สามารถสร้างมูลค่าได้มหาศาลสำหรับธุรกิจต่างๆ โดยเฉพาะอย่างยิ่งธุรกิจที่เกี่ยวข้องกับ Digital Marketing ที่ต้องอาศัยข้อมูลเกี่ยวกับผู้บริโภคเป็นจำนวนมากเพื่อวิเคราะห์พฤติกรรมผู้บริโภค ย่อมทำให้สิ่งเหล่านี้เป็นตัวแปรสำคัญสำหรับภาคธุรกิจในปัจจุบัน และถ้าหากยังจำกันได้ เมื่อปี 2019 บริษัทเจ้าของแฟลตฟอร์มระดับโลกอย่าง Facebook (Meta) ได้ถูกปรับในฐานบกพร่องการป้องกันข้อมูลความเป็นส่วนตัวผู้ใช้ ทำให้ข้อมูลผู้ใช้งานมากกว่า 87 ล้านราย รั่วไหลไปยัง Cambridge Analytica เป็นจำนวนเงินสูงถึง 5 พันล้านดอลลาร์สหรัฐ หรือประมาณ 155,000 ล้านบาท จึงทำให้ ณ เวลานี้ ทุกฝ่ายต่างให้ความสำคัญกับเรื่องของข้อมูลส่วนบุคคลกันมากขึ้น จึงเป็นที่มาของหัวข้อ PDPA ในครั้งนี้นั่นเอง

PDPA คืออะไร

PDPA (Personal Data Protection Act) หรือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีขึ้นเพื่อให้ความคุ้มครองข้อมูลส่วนบุคคล และป้องกันการละเมิดสิทธิที่เกิดจากการนำข้อมูลส่วนบุคคลไปใช้ต่ออันก่อให้เกิดความเดือดร้อน รำคาญ หรือสร้างความเสียหายให้แก่เจ้าขอข้อมูลส่วนบุคคล โดยมีการกำหนดให้ต้องแจ้งเพื่อได้รับความยินยอมจากเจ้าของข้อมูลก่อนที่จะนำไปเก็บ ใช้ เปิดเผย และการถ่ายโอนข้อมูล ซึ่งเจ้าของข้อมูลต้องได้รับอิสระในการเลือก ชัดเจน เฉพาะเจาะจง รวมถึงจะต้องสามารถถอนความยินยอมเมื่อไหร่ก็ได้ตามที่ต้องการ (โดยมีการนำหลักการของ GDPR: General Data Protection Regulation มาใช้เพื่อเพิ่มความเป็นมาตรฐานสากลของบัญญัติอีกด้วย) ซึ่งได้มีการประกาศบังคับใช้กฎหมายตัวนี้อย่างเต็มรูปแบบไปแล้วเมื่อ วันที่ 1 มิถุนายน 2565 ที่ผ่านมา

นอกจากนี้ PDPA ยังคุ้มครองในส่วนของข้อมูลที่จัดอยู่ในกลุ่มของ ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน (Sensitive Personal Data) ซึ่งแม้จะไม่ได้ระบุเกี่ยวกับบุคคลนั้นๆ โดยตรง แต่ก็อาจจะมีการส่งผลต่อบุคคลนั้นๆ ได้ ในแง่ของการทำงาน และสภาพความเป็นอยู่ ซึ่งในท้ายที่สุดอาจส่งผลต่อการเลือกปฏิบัติได้

• เชื้อชาติ เผ่าพันธุ์ ชาติกำเนิด
• ความคิดเห็นทางการเมือง
• ความเชื่อในลัทธิ ศาสนาหรือปรัชญา
• พฤติกรรมหรือรสนิยมทางเพศ
• ประวัติอาชญากรรม
• ข้อมูลด้านสุขภาพ ความพิการ เช่น โรคประจำตัว การฉีดวัคซีน ใบรับรองแพทย์
• ข้อมูลสหภาพแรงงาน
• ข้อมูลพันธุกรรม
• ข้อมูลชีวภาพ เช่น ลายนิ้วมือ แบบจำลองใบหน้า ข้อมูลม่านตา

ใครบ้างที่เกี่ยวข้องกับ PDPA ?

PDPA สามารถแบ่งผู้เกี่ยวข้องตามลักษณะของข้อมูล ได้ดังนี้

• เจ้าของข้อมูล (Data Subject) หมายถึง บุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลที่ข้อมูลเหล่านั้นระบุไปถึง ซึ่งอาจในทางบริษัทจะอยู่ในลักษณะของลูกค้า ลูกจ้าง ผู้ใช้ สมาชิก หรือ คนไข้ ผู้ป่วย เป็นต้น
• ผู้ควบคุมข้อมูล (Data Controller) หมายถึง บุคคลธรรมดาหรือนิติบุคคล ผู้ซึ่งมีอำนาจหน้าที่ตัดสินใจในการเก็บรวบรวม ใช้ และ เปิดเผยข้อมูลส่วนบุคคล เช่น เจ้าของธุรกิจ รวมไปถึงพ่อค้าแม่ค้าออนไลน์ที่มีการเก็บข้อมูลลูกค้าเพื่อใช้ในการติดต่อส่งของก็เข้าข่ายเป็นผู้ควบคุมข้อมูลด้วยเช่นกัน
• ผู้ประมวลผลข้อมูล (Data Processor) หมายถึง บุคคลธรรมดาหรือนิติบุคคล ซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล “ตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล” ทั้งนี้บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าว ต้องไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล เช่น พนักงาน นักการตลาด ผู้วิเคราะห์ข้อมูล หรือพูดอีกอย่างคือเป็นบุคคลที่สามที่ไม่เกี่ยวข้องกับการเก็บรวบรวมข้อมูล