สถาบันนโยบายศึกษา : Institute of Public Policy Studies (IPPS)

กรอบการคุ้มครองข้อมูลส่วนบุคคลของ UN

ดร.นคร เสรีรักษ์
ผู้เชี่ยวชาญด้านข้อมูลข่าวสาร

ในประเทศไทย ถือว่ามีการคุ้มครองข้อมูลส่วนบุคคลอย่างจริงจังตั้งแต่ปี 2540 โดยบทบัญญัติของรัฐธรรมนูญ 2540 และพ.ร.บ.ข้อมูลข่าวสารฯ และยังคงความสำคัญอยู่ในรัฐธรรมนูญ 2550 ในปัจจุบัน

สำหรับการคุ้มครองข้อมูลส่วนบุคคลในทางสากล นอกจากที่ปรากฏอยู่ในกฎหมายหรือข้อตกลงระหว่างประเทศ เช่น แนวทางปฏิบัติขององค์การเพื่อความร่วมมือทางเศรษฐกิจและการพัฒนา (OECD) ข้อบังคับสหภาพยุโรป (EU) ข้อตกลงของรัฐสภาแห่งยุโรป (Council of Europe) และหลักเกณฑ์เกี่ยวกับข้อมูลส่วนบุคคล (APEC Information Privacy Principles) ของกลุ่มความร่วมมือทางเศรษฐกิจเอเชีย-แปซิฟิกหรือเอเปค แล้ว

สหประชาชาติก็ได้กำหนดหลักเกณฑ์เกี่ยวกับข้อมูลส่วนบุคคลไว้ในแนวทางการควบคุมข้อมูลส่วนบุคคลที่จัดเก็บด้วยคอมพิวเตอร์ (Guidelines for the Regulation of Computerized Personal Data Files) ซึ่งมีสาระสำคัญดังนี้

หลักความชอบด้วยกฎหมายและความเป็นธรรม (Principle of lawfulness and fairness)
ข้อมูลส่วนบุคคลจะต้องไม่ถูกเก็บรวบรวมหรือประมวลผลด้วยวิธีการที่ไม่เป็นธรรมหรือไม่ชอบด้วยกฎหมายและการใช้ข้อมูลส่วนบุคคลจะต้องไม่ขัดกับวัตถุประสงค์และหลักการของกฎบัตรสหประชาชาติ
หลักความถูกต้อง (Principle of accuracy)
ในการเก็บรวบรวมข้อมูลส่วนบุคคลจะต้องมีการตรวจสอบอย่างสม่ำเสมอว่ากระทำด้วยความถูกต้อง ข้อมูลมีความสมบูรณ์ ทันสมัยอยู่เสมอ และเก็บได้ภายในระยะเวลาเท่าที่จะมีการประมวลผลหรือใช้ข้อมูลเหล่านั้น
หลักการระบุวัตถุประสงค์โดยเฉพาะเจาะจง (Principle of the purpose-specification)
จะต้องมีการระบุวัตถุประสงค์ในการจัดเก็บและเงื่อนไขของการใช้ประโยชน์ข้อมูลที่เก็บตามวัตถุประสงค์ซึ่งชอบด้วยกฎหมายโดย
(1) เก็บรวบรวมเพียงเท่าที่เกี่ยวข้อง และเหมาะสมกับวัตถุประสงค์ที่ระบุไว้
(2) ข้อมูลส่วนบุคคลจะต้องไม่ถูกใช้หรือเปิดเผย เว้นแต่ได้รับความยินยอมจากบุคคลที่เกี่ยวข้อง
(3) ระยะเวลาที่จัดเก็บข้อมูลส่วนบุคคลจะต้องไม่เกินกว่าระยะเวลาที่การดำเนินการตามวัตถุประสงค์ที่ระบุไว้ได้สำเร็จลง
หลักการเข้าถึงข้อมูล (Principle of interested-person access)
เจ้าของข้อมูลมีสิทธิที่จะได้รู้ว่ามีการประมวลผลข้อมูลข่าวสารที่เกี่ยวกับตนโดยได้รับข้อมูลในรูปแบบที่เข้าใจได้ในเวลาอันสมควรและปราศจากค่าใช้จ่าย และสามารถขอให้แก้ไขหรือลบในกรณีมีการเก็บข้อมูลโดยไม่ชอบด้วยกฎหมาย ไม่จำเป็น หรือมีการเก็บข้อมูลโดยไม่ถูกต้อง ข้อกำหนดแห่งหลักการนี้ให้บังคับใช้กับบุคคลทุกคนโดยไม่คำนึงถึงสัญชาติหรือถิ่นที่อยู่
หลักการไม่เลือกปฏิบัติ (Principle of non-discrimination)
ห้ามเก็บรวบรวมข้อมูลซึ่งอาจทำให้เกิดการเลือกปฏิบัติที่ขัดต่อกฎหมาย เช่น ข้อมูลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ สีผิว พฤติกรรมทางเพศ ความคิดเห็นทางการเมือง การนับถือศาสนา ความเชื่อทางปรัชญาหรือความเชื่ออื่นๆ รวมทั้งข้อมูลการเป็นสมาชิกสหภาพ หรือสมาคมทางการค้า
การกำหนดข้อยกเว้น (Power to make exceptions)
ข้อยกเว้นจากหลักการข้อที่ ๑-๔ อาจกำหนดได้ในกรณีจำเป็นเพื่อรักษาความมั่นคงของชาติ ระเบียบสังคม สาธารณสุข หลักคุณธรรม และสิทธิและเสรีภาพของบุคคลอื่น
ข้อยกเว้นจากหลักการข้อที่ ๕ อาจเป็นกรณีเพื่อการป้องกันการเลือกปฏิบัติ ภายใต้ข้อบัญญัติของปฏิญญาสากลว่าด้วยสิทธิมนุษยชนหรือกลไกของกฎหมายอื่นๆ ที่เกี่ยวกับการคุ้มครองสิทธิมนุษยชนและการป้องกันการเลือกปฏิบัติ
หลักการรักษาความปลอดภัย (Principle of security)
จะต้องมีการรักษาความปลอดภัยข้อมูลที่จัดเก็บ เพื่อป้องกันอันตรายทั้งจากภัยธรรมชาติ การสูญหายหรือเสียหาย การทำลายโดยบุคคล การเข้าถึงโดยปราศจากอำนาจ การใช้ในทางที่ผิด หรือการทำลายโดยไวรัสคอมพิวเตอร์
การกำกับดูแล (Supervision and sanctions)
กฎหมายของประเทศต่างๆ จะต้องระบุหน่วยงานที่รับผิดชอบในการ ควบคุมดูแลและให้คำแนะนำเกี่ยวกับการปฏิบัติตามหลักการนี้
การส่งข้อมูลข้ามพรมแดน (Trans border data flows)
การส่งข้อมูลระหว่างประเทศจะสามารถกระทำได้ในกรณีที่ประเทศสองประเทศหรือมากกว่าสองประเทศ มีกลไกในการคุ้มครองสิทธิความเป็นส่วนตัวในระดับเดียวกัน
ขอบเขตการใช้ข้อปฏิบัติ (Field of application)
หลักปฏิบัติดังกล่าวควรได้มีการปฏิบัติใช้สำหรับข้อมูลในภาครัฐและเอกชนที่จัดเก็บด้วยคอมพิวเตอร์ (Computerized Files) เช่นเดียวกับการจัดเก็บด้วยวิธีการอื่นๆ ที่มีการปรับปรุงให้เหมาะสมกับเอกสารที่จัดเก็บด้วยมือ (Manual Files)

การคุ้มครองข้อมูลส่วนบุคคลในข้อตกลงระหว่างประเทศ ไม่ว่าจะเป็นแนวทางของ OECD ข้อบังคับสหภาพยุโรป 95/46 ข้อตกลงของรัฐสภาแห่งยุโรป แนวทางของ APEC และแนวทางของ UN ข้างต้นนี้ ล้วนเป็นกรอบที่กำหนดหลักการปฏิบัติเกี่ยวกับการเก็บ-ประมวล-ส่งข้อมูลส่วนบุคคล ซึ่งเป็นไปตามมาตรฐานสากล ได้แก่ หลักการเกี่ยวกับหลักข้อจำกัดในการเก็บ หลักคุณภาพ หลักความยินยอม หลักการกำหนดวัตถุประสงค์ หลักการรักษาความปลอดภัย หลักการห้ามเก็บข้อมูลที่มีความอ่อนไหว (sensitive data) และหลักการส่งข้อมูลข้ามแดน

หลักสำคัญประการหนึ่ง คือบทบัญญัติว่าด้วยเรื่องการส่งข้อมูลส่วนบุคคลระหว่างประเทศ ซึ่งกำหนดว่าการแลกเปลี่ยนข้อมูลจะดำเนินการได้เฉพาะระหว่างประเทศที่มีกฎหมายหรือมีมาตรการในการให้ความคุ้มครองข้อมูลส่วนบุคคลที่มีมาตรฐานเพียงพอ กฎเกณฑ์ดังกล่าวมีผลกระทบโดยตรงกับการดำเนินธุรกิจระหว่างประเทศซึ่งต้องมีการส่งข้อมูลส่วนบุคคลข้ามพรมแดน จึงต้องอยู่ภายใต้บทบัญญัติระหว่างประเทศ เช่น การรับส่งข้อมูลกับประเทศสมาชิกสหภาพยุโรป จึงต้องปฏิบัติตามข้อบังคับสหภาพยุโรป ที่กำหนดมาตรการเพื่อการคุ้มครองข้อมูล โดยได้กำหนดห้ามส่งและรับข้อมูลส่วนบุคคล กับประเทศที่ไม่มีมาตรการการคุ้มครองข้อมูลส่วนบุคคลเทียบเท่ามาตรฐานEU หรือไม่มีมาตรการรักษาความปลอดภัยของข้อมูลอย่างเพียงพอ เรื่องนี้เป็นเงื่อนไขสำคัญที่อาจเป็นอุปสรรคต่อการค้าระหว่างประเทศในที่สุด