หน่วยที่ 7 กฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

แผนการจัดการเรียนรู้

หน่วยที่ 7

หลักสูตร ประกาศนียบัตรวิชาชีพ พุทธศักราช 2562

สัปดาห์ครั้งที่ 13-14

รหัสวิชา 20204-2009 ชื่อวิชา จริยธรรมและกฎหมายคอมพิวเตอร์ ท-ป-น 2-0-2

ชื่อหน่วยการเรียนรู้ กฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ทฤษฎี 4 ชั่วโมง ปฏิบัติ 0 ชั่วโมง

สาระสำคัญ

เพื่อก่อให้เกิดการรับรองสิทธิ และให้ความคุ้มครองข้อมูลส่วนบุคคลซึ่งอาจถูกประมวลผลเปิดเผยหรือ เผยแพร่ถึงบุคคลจำนวนมากได้ในระยะเวลาอันรวดเร็วโดยอาศัยพัฒนาการทางเทคโนโลยี จนอาจก่อให้เกิดการนำ ข้อมูลนั้นไปใช้ในทางมิชอบอันเป็นการละเมิดต่อเจ้าของข้อมูล ทั้งนี้โดยคำนึงถึงการรักษาดุลยภาพระหว่างสิทธิขั้น พื้นฐานในความเป็นส่วนตัว เสรีภาพในการติดต่อสื่อสาร และความมั่นคงของรัฐ

สมรรถนะประจำหน่วย

1. แสดงความรู้เกี่ยวกับกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

2. สามารถประยุกต์ใช้หลักกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลได้

จุดประสงค์การเรียนรู้

1. เพื่อให้มีความรู้เกี่ยวกับกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล (ด้านความรู้)

2. เพื่อให้มีความรู้เกี่ยวกับความสําคัญของกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

(ด้านทักษะ)

3. เพื่อให้มีความรู้เกี่ยวกับแนวคิดกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล (ด้านเจตคติ)

4. เพื่อมีจิตสำนึกที่ดีเกี่ยวกับมนุษยสัมพันธ์ (ด้านคุณธรรม จริยธรรม/บูรณาการเศรษฐกิจพอเพียง)

จุดประสงค์เชิงพฤติกรรม

1. อธิบายความหมายของกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลได้ (ด้านความรู้ความจำ)

2. บอกความสําคัญของกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลได้ (ด้านการวิเคราะห์)

3. อธิบายแนวคิดพื้นฐานกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลได้ (ด้านการประเมินผล)

4. บอกคุณสมบัติทั่วไปของกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลได้ (ด้านจิตพิสัย)

5. จำแนกประเภทของกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลได้ (ด้านทักษะ)

6. เพื่อมีจิตสำนึกที่ดีเกี่ยวกับมนุษยสัมพันธ์ (ด้านคุณธรรม จริยธรรม/บูรณาการเศรษฐกิจพอเพียง

PDPA พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล เรื่องใกล้ตัวเรากว่าที่คิค

PDPA (Personal Data Protection Act, B.E. 2562 (2019)) คือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งได้ประกาศในราชกิจจานุเบกษาไปเมื่อ 27 พฤษภาคม 2562 และมีผลบังคับใช้เมื่อ 28 พฤษภาคม 2562 แล้วในบางส่วน โดยวันที่ 27 พฤษภาคม 2563 เป็นวันที่ พ.ร.บ.นี้มีผลบังคับใช้ตามกฎหมายทั้งฉบับ

เหตุผลในการประกาศใช้ PDPA เนื่องมาจากเทคโนโลยีก้าวหน้าขึ้น ช่องทางสื่อสารต่างๆ มีหลากหลายขึ้น ทำให้การละเมิดสิทธิความเป็นส่วนตัวของข้อมูลส่วนบุคคลทำได้ง่ายขึ้น และหลายครั้งก็นำมาซึ่งความเดือดร้อนรำคาญหรือสร้างความเสียหายให้แก่เจ้าของข้อมูล ตลอดจนสามารถส่งผลต่อเศรษฐกิจโดยรวมของประเทศได้ด้วย จึงต้องมีกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลขึ้นเพื่อกำหนดหลักเกณฑ์ กลไก หรือมาตรการกำกับดูแลเกี่ยวกับการให้ความคุ้มครองข้อมูลส่วนบุคคลที่รวมถึงการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลขึ้น

ข้อมูลส่วนบุคคล

คือข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม โดยข้อมูลของผู้ถึงแก่กรรม และข้อมูลนิติบุคคล ไม่ถือเป็นข้อมูลส่วนบุคคลตาม พ.ร.บ.นี้

ข้อมูลส่วนบุคคล (Personal Data) ได้แก่ ชื่อ - นามสกุล, เลขประจำตัวประชาชน, ที่อยู่, เบอร์โทรศัพท์, วันเกิด, อีเมล, การศึกษา, เพศ, อาชีพ, รูปถ่าย, ข้อมูลทางการเงิน นอกจากนี้ยังรวมถึง ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน (Sensitive Personal Data) ด้วย เช่น ข้อมูลทางการแพทย์หรือสุขภาพ, ข้อมูลทางพันธุกรรมและไบโอเมทริกซ์, เชื้อชาติ, ความคิดเห็นทางการเมือง, ความเชื่อทางศาสนาหรือปรัชญา, พฤติกรรมทางเพศ, ประวัติอาชญากรรม, ข้อมูลสหภาพแรงงาน เป็นต้น

สิทธิของเจ้าของข้อมูลส่วนบุคคล (Data Subject) ได้แก่

• สิทธิได้รับการแจ้งให้ทราบ (Right to be informed)

• สิทธิขอเข้าถึงข้อมูลส่วนบุคคล (Right of access)

• สิทธิในการขอให้โอนข้อมูลส่วนบุคคล (Right to data portability)

• สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (Right to object)

• สิทธิขอให้ลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคล (Right to erasure (also known as right to be forgotten)

• สิทธิขอให้ระงับการใช้ข้อมูล (Right to restrict processing)

• สิทธิในการขอให้แก้ไขข้อมูลส่วนบุคคล (Right of rectification)

บุคคลที่เกี่ยวข้องกับข้อมูลส่วนบุคคล

• เจ้าของข้อมูลส่วนบุคคล (Data Subject) คือ บุคคลที่ข้อมูลระบุไปถึง

• ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) คือ บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ “ตัดสินใจ” เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

• ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) คือ บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล “ตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล” ทั้งนี้บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าว ต้องไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล

การเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล สามารถทำได้ในกรณีต่อไปนี้

• ได้รับความยินยอมจากเจ้าของข้อมูส่วนบุคคล

• จัดทำเอกสารประวัติศาสตร์ หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ การศึกษาวิจัยหรือการจัดทำสถิติ

• ป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล

• จำเป็นเพื่อปฏิบัติกฎหมาย หรือสัญญา

• จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลอื่น

• จำเป็นเพื่อประโยชน์สาธารณะ และการปฏิบัติหน้าที่ในการใช้อำนาจรัฐ

การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ (Cross-border Personal Data Transfer)

ประเทศปลายทางหรือองค์การระหว่างประเทศ ที่รับข้อมูลส่วนบุคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ เว้นแต่จะได้รับความยินยอมจากเจ้าของข้อมูล หรือเป็นการปฏิบัติตามกฎหมาย/สัญญา หรือเพื่อประโยชน์สาธารณะเป็นสำคัญเท่านั้น

บทลงโทษหากไม่ปฏิบัติตาม PDPA

เพื่อให้ข้อมูลส่วนบุคคลถูกนำไปใช้ในทางที่เหมาะสมและเป็นประโยชน์มากกว่าโทษ การให้ข้อมูลแต่ละครั้งจึงต้องพิจารณาอย่างรอบคอบก่อนให้ข้อมูล เช่นการให้ข้อมูลเพื่อจัดส่งสินค้า หากมีการขอข้อมูลที่ไม่เกี่ยวกับการจัดส่ง เจ้าของข้อมูลก็มีสิทธิปฏิเสธการให้ข้อมูลนั้น และในส่วนของผู้เก็บข้อมูล ก็ต้องรู้ขอบเขตในการเข้าถึงข้อมูลส่วนบุคคล มีระบบในการควบคุม/ยืนยันตัวตนในการเข้าถึงข้อมูล และจำเป็นต้องมีการกำหนดนโยบายองค์กรเพื่อให้บุคคลที่เกี่ยวข้องปฏิบัติตาม เพราะหากไม่ทำตามอาจได้รับโทษดังนี้

• ความรับผิดทางแพ่ง ตามความเสียหายที่เกิดขึ้นจริง และอาจต้องชดใช้ค่าสินไหมทดแทนเพิ่มขึ้นอีก โดยสูงสุดไม่เกิน 2 เท่าของค่าเสียหายที่แท้จริง

• โทษทางอาญา จำคุกสูงสุดไม่เกิน 1 ปี หรือปรับไม่เกิน 1 ล้านบาท หรือทั้งจำทั้งปรับ

• โทษทางปกครอง ปรับสูงสุดไม่เกิน 5 ล้านบาท