กฎหมาย PDPA Thailand (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล) ได้ประกาศไว้ในราชกิจจานุเบกษาเมื่อวันที่ 27 พฤษภาคม 2562 และปัจจุบันได้ถูกเลื่อนให้มีผลบังคับใช้ในวันที่ 1 มิถุนายน 2565 ที่ผ่านมา ซึ่งเป็นกฎหมายว่าด้วยการให้สิทธิ์กับเจ้าของข้อมูลส่วนบุคคล สร้างมาตรฐานการรักษาข้อมูลส่วนบุคคลให้ปลอดภัย และนำไปใช้ให้ถูกวัตถุประสงค์ตามคำยินยอมที่เจ้าของข้อมูลส่วนบุคคลอนุญาต
กฎหมายฉบับนี้เป็นสิ่งที่ทุกคนควรทราบและตระหนักรู้ถึงสิทธิในข้อมูลส่วนบุคคลของเรา โดยเฉพาะอย่างยิ่งองค์กรธุรกิจต่าง ๆ ที่มีการเก็บข้อมูลส่วนบุคคล ของลูกค้า ผู้ใช้งาน หรือพนักงานในองค์กร
ซึ่งในส่วนของคำว่า “ข้อมูลส่วนบุคคลภายใต้การคุ้มครองของ PDPA” ที่เราควรรู้ไว้มีอะไรบ้าง?
ข้อมูลส่วนบุคคลทั่วไป ได้แก่
1. ชื่อ-นามสกุล
2. เบอร์โทรศัพท์ อีเมลส่วนตัว ที่อยู่ปัจจุบัน
3. เลขบัตรประชาชน
4. เลขหนังสือเดินทาง
5. เลขใบอนุญาตขับขี่
6. ข้อมูลทางการศึกษา
7. ข้อมูลทางการเงิน
8. ข้อมูลทางการแพทย์
9. ทะเบียนรถยนต์
10.โฉนดที่ดิน
11.ทะเบียนบ้าน
12.วันเดือนปีเกิด
13.สัญชาติ
14.น้ำหนักส่วนสูง
15.ข้อมูลบนอื่น ๆ บนอินเทอร์เน็ตที่สามารถระบุตัวตนได้ เช่น Username /password, Cookies IP address, GPS Location
ส่วน ข้อมูลส่วนบุคคลที่มีความอ่อนไหว ซึ่งส่วนนี้นต้องระวังการใช้ข้อมูลที่มีความอ่อนไหว (Sensitive Personal Data) มากเป็นพิเศษ เพราะเป็นข้อมูลที่อาจส่งผลกระทบต่อเจ้าของข้อมูล ได้แก่
16.เชื้อชาติ เผ่าพันธุ์
17.ความคิดเห็นทางการเมือง
18.ความเชื่อในลัทธิ ศาสนาหรือปรัชญา
19.พฤติกรรมทางเพศ
20.ประวัติอาชญากรรม
21.ข้อมูลด้านสุขภาพ ความพิการ เช่น โรคประจำตัว การฉีดวัคซีน ใบรับรองแพทย์
22.ข้อมูลสหภาพแรงงาน
23.ข้อมูลพันธุกรรม
24.ข้อมูลชีวภาพ เช่น ลายนิ้วมือ แบบจำลองใบหน้า ข้อมูลม่านตา
สำหรับ ผู้ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลภายใต้ PDPA ประกอบด้วย
- เจ้าของข้อมูลส่วนบุคคล (Data Subject) ซึ่งหมายถึงข้อมูลที่อยู่ในตัวหรือเกี่ยวข้องเชื่อมโยงไปถึงบุคลหนึ่งบุคคลใดที่เป็นของบุคคล คน นั้น
- ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) คือคน บริษัทหรือองค์กรต่าง ๆ ที่เป็นคนตัดสินใจว่า จะมีการประมวลผลข้อมูลส่วนบุคคลอะไร เพื่ออะไร ภายใต้ PDPA ผู้ควบคุมข้อมูลส่วนบุคคลเป็นผู้มีหน้าที่และความรับผิดหลักที่ต้องปฏิบัติตาม PDPA ให้ครบถ้วน
- ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) คือ คน บริษัทหรือองค์กรต่าง ๆ ที่ประมวลผลข้อมูลส่วนบุคคล โดยจะทำภายใต้คำสั่ง หรือในนามของ ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) เท่านั้น ไม่ได้เป็นคนตัดสินใจทำการประมวลผลข้อมูลด้วยตัวเอง
บทลงโทษหากไม่ปฎิบัติตาม PDPA
- โทษทางอาญา: จำคุกสูงสุดไม่เกิน 6 เดือนถึง 1 ปี หรือปรับสูงสุดไม่เกิน 500,000 ถึง 1 ล้านบาท หรือทั้งจำทั้งปรับ
- โทษทางแพ่ง: ค่าสินไหมทดแทน + ค่าสินไหมเพื่อการลงโทษอีกไม่เกิน 2 เท่า
- โทษทางปกครอง: ปรับไม่เกิน 1หรือ 3 หรือ 5 ล้านบาท
ที่มา : สำนักงานกิจการยุติธรรม
https://www.pptvhd36.com/news/%E0%B8%AA%E0%B8%B1%E0%B8%87%E0%B8%84%E0%B8%A1/173588
