ข้อแนะนำเชิงนโนบายด้านข้อมูลส่วนบุคคล (III) (Data Privacy Guideline) นคร เสรีรักษ์ 4. การคุ้มครองข้อมูลในประเทศไทย       4.1 การคุ้มครองภายใต้พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 มีสาระสำคัญอยู่ 2 ประการ คือ การรับรองสิทธิของประชาชนในการเข้าถึงข้อมูล และการคุ้มครองข้อมูลส่วนบุคคลของประชาชน ซึ่งหลักการสำคัญในการคุ้มครองข้อมูลส่วนบุคคลคือ หากหน่วยงานของรัฐจะเปิดเผยข้อมูลส่วนบุคคลที่หน่วยงานของตนเก็บรักษาอยู่ ไม่ว่าจะเป็นการเปิดเผยต่อหน่วยงานราชการอื่นๆ หรือต่อบุคคลอื่นๆ จะต้องได้รับความยินยอมจากเจ้าของข้อมูล เว้นแต่กรณีที่กฎหมายยกเว้นให้       อย่างไรก็ตาม ยังคงปรากฏให้เห็นอยู่ทั่วไปว่า ข้อมูลส่วนบุคคลของประชาชนที่หน่วยงานของรัฐมีหน้าที่ต้องควบคุมดูแลและคุ้มครองอย่างดีนั้น ถูกเปิดเผยและนำไปใช้ประโยชน์กันอยู่บ่อยครั้ง โดยไม่ได้รับคำยินยอมจากเจ้าของข้อมูลแต่อย่างใด       นอกจากนี้ ข้อมูลส่วนบุคคลที่อยู่ในความครอบครองของหน่วยงานของรัฐบางแห่ง ยังไม่ได้รับการคุ้มครองหรือการเก็บรักษาไว้ดีเท่าที่ควร เพราะปรากฏว่ามีการนำเสนอข่าวทางสื่อต่างๆ ว่ามีการนำข้อมูลส่วนบุคคลบางส่วนออกไปใช้ในทางที่ไม่เหมาะสมอยู่บ่อยครั้ง เช่น กรณีผู้สมัครรับเลือกตั้งไปสืบค้นวันเดือนปีเกิดของผู้ที่อยู่ในเขตรับเลือก ตั้งเพื่อส่งจดหมายไปอวยพรวันเกิด ซึ่งคณะกรรมการข้อมูลข่าวสารของราชการเห็นว่า พ.ร.บ. ข้อมูลข่าวสารฯ มีจุดมุ่งหมายที่จะคุ้มครองข้อมูลส่วนบุคคลมิให้ถูกเปิดเผย หรือถูกนำไปใช้อย่างไม่เหมาะสม หรือเป็นผลเสียหายต่อเจ้าของข้อมูล และการเปิดเผยข้อมูลส่วนบุคคลจะต้องได้รับความยินยอมจากเจ้าของข้อมูล เว้นแต่เป็นการเปิดเผยตามข้อยกเว้นตามที่กฎหมายกำหนดไว้ ดังนั้น เพื่อให้การปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลที่อยู่ในความครอบครองของหน่วยงานของรัฐเป็นไปอย่างถูกต้อง คณะกรรมการข้อมูลข่าวสารของราชการได้มีหนังสือแจ้งกำชับหน่วยงานของรัฐเมื่อวันที่ 8 มิถุนายน 2549 กำชับหน่วยงานต่างๆ ของรัฐให้ปฏิบัติตาม พ.ร.บ. ข้อมูลข่าวสารฯ โดยเคร่งครัดต่อไป       4.2 การเตรียมออกกฎหมายคุ้มครองข้อมูลส่วนบุคคล       ปัจจุบันปัญหาการล่วงละเมิดข้อมูลส่วนบุคคลมีอยู่เป็นจำนวนมาก โดยเฉพาะการนำข้อมูลส่วนบุคคลไปใช้ประโยชน์ เปิดเผยหรือเผยแพร่จนทำให้เกิดความเสียหาย ปัจจุบันประเทศไทยมีการคุ้มครองข้อมูลส่วนบุคคลโดยบทบัญญัติของ พ.ร.บ.ข้อมูลข่าวสารของราชการ พ.ศ. 2540 แต่เนื่องจากใช้บังคับเฉพาะในหน่วยงานของรัฐเท่านั้น ไม่ครอบคลุมข้อมูลส่วนบุคคลที่อยู่ในภาคเอกชน ซึ่งมีปริมาณข้อมูลที่จัดเก็บไม่น้อยกว่าข้อมูลในภาครัฐ เช่น ข้อมูลในธนาคารพาณิชย์ ข้อมูลในโรงพยาบาลเอกชน ข้อมูลพนักงานลูกจ้างในบริษัท ห้างร้านเอกชนต่างๆ ข้อมูลลูกค้า ข้อมูลสมาชิกกิจกรรมทางธุรกิจ ข้อมูลของผู้สมัครเป็นสมาชิกบัตรและบริการต่างๆ ดังนั้น เพื่อให้การคุ้มครองสิทธิในข้อมูลส่วนบุคคลเป็นไปอย่างมีประสิทธิภาพ และลดช่องว่างของกฎหมายที่มีอยู่ จึงควรมีบทบัญญัติของกฎหมายที่มีลักษณะเป็นกฎหมายกลาง เพื่อขยายขอบเขตการคุ้มครองสิทธิและเสรีภาพให้ครอบคลุมข้อมูลส่วนบุคคลทั้งหมด สำนักนายกรัฐมนตรี โดยสำนักงานคณะกรรมการข้อมูลข่าวสารของราชการ ได้ศึกษาเตรียมการดำเนินงานเพื่อการคุ้มครองข้อมูลส่วนบุคคลของประชาชน และยกร่าง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลขึ้นมา โดยร่างพระราชบัญญัติฯ ดังกล่าวมีสาระสำคัญ ดังนี้       1. กำหนดให้มี “คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล” และกำหนดอำนาจหน้าที่ของคณะกรรมการ       2. จัดตั้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยเป็นสำนักงานในสังกัดของสำนักงานคณะกรรมการข้อมูลข่าวสารของราชการ พร้อมทั้งกำหนดอำนาจหน้าที่ของสำนักงาน       3. กำหนดหลักเกณฑ์ เงื่อนไข และวิธีการเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล ได้แก่ การเก็บรวบรวม การใช้และการเปิดเผย รวมทั้งการเก็บรักษา การแก้ไขและการโอนข้อมูลส่วนบุคคล       4. กำหนดสิทธิของเจ้าของข้อมูลส่วนบุคคล       5. กำหนดความรับผิดทางแพ่ง และบทลงโทษทางอาญาสำหรับผู้ก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลส่วนบุคคล       คณะรัฐมนตรีในการประชุม เมื่อ 1 สิงหาคม 2549 ได้อนุมัติหลักการร่าง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ... แล้ว และให้ส่งสำนักงานคณะกรรมการกฤษฎีกาตรวจพิจารณา ซึ่งหลังจากสำนักงานคณะกรรมการกฤษฎีกาตรวจพิจารณาแล้ว รัฐบาลได้ส่งร่างกฎหมายดังกล่าวไปยังรัฐสภาเมื่อเดือนตุลาคม 2552 แต่ยังไม่ได้รับการบรรจุเป็นวาระเพื่อพิจารณาของรัฐสภา จนกระทั่งรัฐบาลปัจจุบัน ได้เสนอร่างดังกล่าวไปยังรัฐสภาอีกครั้ง เมื่อเดือนกุมภาพันธ์ 2556 5. ข้อเสนอ : แนวทางปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคล (Data Privacy Guideline)       ข้อมูลส่วนบุคคลนั้น ในทางวิชาการอธิบายว่าเป็นทรัพย์สินส่วนตัวของบุคคล ขณะเดียวกัน ก็เป็นสิทธิในความเป็นอยู่ส่วนตัวของบุคคล การล่วงละเมิดข้อมูลส่วนบุคคลจึงเป็นการล่วงละเมิดในทรัพย์สินของบุคคล และเป็นการล่วงละเมิดสิทธิส่วนบุคคลที่สำคัญ โดยที่ปัจจุบันประเทศไทยมีการคุ้มครองข้อมูลส่วนบุคคล โดยบทบัญญัติของพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 และรัฐบาลกำลังดำเนินการออกกฎหมายเพื่อการคุ้มครองข้อมูลส่วนบุคคลเป็นกฎหมายเฉพาะ ซึ่งเป็นมาตรการด้านกฎหมาย แต่การดำเนินการในกระบวนการนิติบัญญัติคาดว่าน่าจะใช้เวลาอีกนานพอควร การเสริมสร้างความรู้ ความเข้าใจ และสร้างจิตสำนึก และความตระหนักรู้ในสิทธิความเป็นส่วนตัวของประชาชน จึงมีความสำคัญและมีความเหมาะสมที่จะดำเนินการควบคู่กันไปกับการรอใช้มาตรการควบคุมบังคับโดยกฎหมาย การพิจารณาจัดทำข้อแนะนำเชิงนโยบายด้านการคุ้มครองข้อมูลส่วนบุคคล (Data Privacy Guideline) จึงเป็นความพยายามที่จะส่งเสริมและสนับสนุน ในการสร้างและพัฒนาความรู้ความเข้าใจแก่ทุกฝ่ายที่เกี่ยวข้องทั้งในภาครัฐและเอกชน ควบคู่ไปกับการพัฒนาความตระหนักรู้ของสาธารณะในเรื่องสิทธิในความเป็นส่วนตัวของพลเมือง เหตุผล/ความจำเป็น       1. เพื่อรักษาผลประโยชน์ของบุคคลในเรื่องสิทธิความเป็นส่วนตัว เพื่อป้องกันการใช้ข้อมูลโดยมิชอบ และป้องกันความเสียหายที่จะเกิดจากการใช้โดยมิชอบ ไม่ว่าจะเป็นการเก็บ การประมวลผล การใช้ประโยชน์ และการเปิดเผยหรือส่งต่อ (collect-process-use-disclosure/transfer) จึงควรต้องมีการกำหนดมาตรการการคุ้มครองข้อมูลส่วนบุคคล       2. เพื่อเป็นการเผยแพร่ความรู้ความเข้าใจ และพัฒนาการตระหนักรู้ของสาธารณะในเรื่องสิทธิความเป็นส่วนตัว โดยเฉพาะภาครัฐและภาคผู้ประกอบการที่มีการดำเนินการเกี่ยวข้องกับข้อมูลของประชาชนโดยตรง       3. เพื่อพัฒนาความรู้ความเข้าใจต่อผู้ดำเนินกิจกรรมเกี่ยวข้องกับข้อมูลส่วนบุคคล ทุกฝ่ายทั้งภาครัฐและภาคธุรกิจเอกชน ตลอดจนการพัฒนาความรู้ ความเข้าใจ และสร้างจิตสำนึกและความตระหนักรู้ในสิทธิความเป็นส่วนตัวของประชาชน ซึ่งมีความเหมาะสมที่จะดำเนินการควบคู่กันไปกับการรอผลของกระบวนการนิติบัญญัติ คำแนะนำ/แนวทาง       1. ต้องแจ้งเจ้าของข้อมูลอย่างชัดเจนว่าจะมีการเก็บข้อมูลส่วนบุคคล วัตถุประสงค์การเก็บ ประเภทบุคคลหรือองค์กรที่ข้อมูลส่วนบุคคลอาจได้รับการเปิดเผย ต้องแจ้งสิทธิของเจ้าของข้อมูลและมาตรการที่จะใช้ในการจำกัดการใช้ การเปิดเผย การเข้าถึง และการแก้ไข ทั้งนี้ต้องแจ้งก่อนหรือในขณะที่เก็บ หรือเร็วที่สุดหลังการจัดเก็บ       2. ต้องมีการจัดเก็บอย่างจำกัดเท่าที่เป็นไปตามวัตถุประสงค์ของการเก็บ การเก็บต้องทำโดยวิธีที่ถูกกฎหมาย และวิธีที่เป็นธรรมและเหมาะสม โดยได้แจ้งต่อและได้ขอคำยินยอมจากเจ้าของข้อมูลแล้ว       3. ข้อมูลที่เก็บไว้จะเอาไปใช้ได้เฉพาะตามวัตถุประสงค์ของการเก็บเท่านั้น เว้นแต่ได้รับคำยินยอมจากเจ้าของข้อมูล       4. เจ้าของข้อมูลมีสิทธิเลือกว่าจะยินยอมให้มีการเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลของตน       5. ข้อมูลที่จัดเก็บต้องมีความถูกต้อง สมบูรณ์ เป็นปัจจุบัน ตามความจำเป็นและตามวัตถุประสงค์การเก็บ       6. ต้องมีมาตรการคุ้มครองข้อมูลอย่างเหมาะสมเพื่อป้องกันอันตรายที่อาจเกิด ไม่ว่าจะเป็นการสูญหาย-เสียหาย-การเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต การทำลายโดยไม่ได้รับอนุญาต การใช้-ปรับเปลี่ยนแก้ไข-เปิดเผย โดยมิชอบ       7. เจ้าของข้อมูลมีสิทธิรับรู้ว่ามีการเก็บข้อมูลส่วนบุคคลของตนหรือไม่ และมีสิทธิเข้าถึงข้อมูลของตนเอง และมีสิทธิขอให้ตรวจสอบความถูกต้องและขอให้ปรับปรุง แก้ไข เพิ่มเติม หรือทำลาย ข้อมูลของตน       8. ผู้เก็บข้อมูลจะต้องรับผิดชอบการจัดมาตรการต่างๆ ให้เป็นไปตามหลักเกณฑ์ดังกล่าว การส่งข้อมูลส่วนบุคคลไปยังบุคคลหรือองค์การอื่นๆ ไม่ว่าภายในประเทศหรือส่งไปยังต่างประเทศ จะต้องได้รับคำยินยอมจากเจ้าของข้อมูล และจะต้องมีมาตรการที่เหมาะสมที่ประกันได้ว่าบุคคลหรือองค์กรที่ได้รับ ข้อมูลไปแล้วจะเก็บรักษาข้อมูลให้เป็นไปตามหลักเกณฑ์นี้       9. ในกรณีที่เป็นการดำเนินการที่เกี่ยวกับข้อมูลของเด็ก เยาวชน หรือผู้ที่ยังไม่บรรลุนิติภาวะ จะต้องคำนึงถึงการให้คำยินยอมที่เหมาะสม ไม่ว่าจะเป็นการดำเนินการโดยตัวผู้เยาว์เอง หรือโดยผู้ปกครองที่ชอบด้วยกฎหมาย รวมทั้งการใช้ดุลยพินิจของผู้ปกครองโดยพฤตินัย และสถาบันด้านการศึกษา       10. ในกรณีที่จะต้องมีการว่าจ้างหรือมอบหมายให้บุคคลหรือหน่วยงานอื่น (third party) ในลักษณะหน่วยให้บริการ (service provider) ให้ทำหน้าที่หรือจัดการที่เกี่ยวข้องกับข้อมูลส่วนบุคคล บุคคลหรือหน่วยงานดังกล่าวจะต้องมีระบบการคุ้มครองข้อมูลที่มาตรฐาน และจะต้องมีการจัดทำข้อตกลงที่ชัดเจนว่าบุคคลหรือองค์กรดังกล่าว เมื่อได้รับและครอบครองข้อมูลไปแล้วจะเก็บรักษาข้อมูลให้เป็นไปตามหลักเกณฑ์นี้