กฎหมายคุ้มครองข้อมูลส่วนบุคคล : เพื่อความมั่นคงของรัฐ หรือเพื่อคุ้มครองความปลอดภัยของบุคคล       สถาบันนโยบายศึกษา โดยการสนับสนุนของมูลนิธิคอนราด อาเดนาวร์ ร่วมกับ สำนักงานคณะกรรมการสิทธิมนุษยชนแห่งชาติ วิทยาลัยการปกครองท้องถิ่น มหาวิทยาลัยขอนแก่น และ Privacy Thailand จัดการเสวนาในประเด็น “การคุ้มครองข้อมูลส่วนบุคคลของพลเมือง” จำนวน 6 ครั้ง ในปี 2562 เพื่อพัฒนาเอกสาร ข้อเสนอแนะ ตลอดจนการทำกระบวนการสร้างความเข้าใจในวงกว้าง โดยกำหนดจัดการเสวนาครั้งที่ 2 เรื่อง “ข้อมูลส่วนบุคคล : กฎหมาย ระเบียบ และแนวทางการปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล” เมื่อวันพุธที่ 29 พฤษภาคม 2562 ณ ห้องสยาม 2-3 โรงแรมเมอร์เคียว ไอบีส ถนนพระราม 1 กรุงเทพฯ        คุณทิพย์พาพร ตันติสุนทร กล่าวต้อนรับและเปิดงานเสวนาว่า การประชุมครั้งที่ 2 เรื่อง กฎหมาย ระเบียบ และแนวทางปฏิบัติเกี่ยวกับการคุ้มครองสิทธิมนุษยชน จัดต่อเนื่องจากการประชุมครั้งที่ 1 ซึ่งนำเสนอเรื่องแนวคิดและหลักการเกี่ยวกับข้อมูลส่วนบุคคล โดยสถาบันฯ เน้นเรื่องส่งเสริมการเมืองการปกครองในระบอบประชาธิปไตยอันมีพระมหากษัตริย์ทรงเป็นพระประมุข การสร้างพลเมืองที่ตื่นตัว (Active Citizen) ในกิจการสาธารณะ หรือประโยชน์ส่วนรวม จะช่วยดูแลและสร้างการเปลี่ยนแปลงต่างๆ เพื่อการพัฒนาบ้านเมืองได้อย่างต่อเนื่อง เรื่องสิทธิในการเป็นเจ้าของข้อมูลของบุคคล ก็เป็นเรื่องสำคัญที่พลเมืองจะต้องรู้จักปกป้อง        คุณสมชาติ เจศรีชัย ดำเนินการเสวนา โดยเริ่มต้นนำเสนอสถานการณ์ปัจจุบัน ที่มีการประกาศใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เมื่อวันที่ 27 พฤษภาคม 2562 จึงมีความจำเป็นในการเตรียมความพร้อม ทั้งการทำความเข้าใจกับภาคส่วนต่างๆ ในสังคมวงกว้าง การเตรียมการด้านกฎหมาย ระเบียบ และแนวทางปฏิบัติที่เกี่ยวข้อง (ซึ่งมีมากกว่า 21 ฉบับ) ในการดำเนินการตามพระราชบัญญัติบางมาตราในพระราชบัญญัติ ซึ่งจะส่งผลกระทบต่อทั้งเรื่องความเป็นส่วนตัวและการดำเนินการต่างๆ ที่เกี่ยวข้อง        คุณจักรพงษ์ ชาวงศ์ ผู้อำนวยการสำนักงานธุรกรรมทางอิเล็กทรอนิกส์ กล่าวว่าพระราชบัญญัติฯ จำนวน 96 มาตรา มีโครงสร้างทั้งหมด 8 บท ครอบคลุมสาระดังนี้ พ.ร.บ. มีผลบังคับใช้ทั้งกับภาครัฐและเอกชน โดยเป็นกฎหมายกลางว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และมีการกำหนดการยกเว้นบางกิจกรรม มีลักษณะสำคัญคือ เน้นการดำเนินกิจกรรมที่เกี่ยวกับข้อมูล (มากกว่าการดำเนินการกับบุคคล) การรักษาความปลอดภัยของรัฐ กิจการสื่อสารมวลชน งานศิลปกรรม กิจกรรมตามอำนาจหน้าที่ของสภาผู้แทนราษฎร วุฒิสภา และรัฐสภา การพิจารณาคดีของศาล และการดำเนินการของเจ้าหน้าที่ในกระบวนการยุติธรรม การดำเนินการกับข้อมูลของบริษัทข้อมูลเครดิตและสมาชิกตามกฎหมาย ทั้งนี้ ครอบคลุมวการกระทำนอกราชอาณาจักรไทย (Extra -Territorial) มีการกล่าวถึงลักษณะข้อจำกัดด้านการปฏิบัติและเทคโนโลยีต่างๆ โดยเฉพาะในลักษณะการใช้หรือการเปิดเผยข้อมูล (มาตรา 29) และการโอนข้อมูลในต่างประเทศ (มาตรา 28) การกำหนดนิยามข้อมูลส่วนบุคคล (Indentifiable) โดยครอบคลุมระบบต่าง แบ่งบทบาท/หน้าที่ ระหว่างการเป็นผู้ควบคุม (Data Controller) และผู้ประมวลผล (Data Processor) โดยกำหนดสิทธิของเจ้าของข้อมูลส่วนบุคคล ทั้งเรื่องการขอเข้าถึง การขอรับสำเนา การเปิดเผย สิทธิในการเคลื่อนย้ายข้อมูล (มาตรา 31) สิทธิโต้แย้งและสิทธิระงับใช้ข้อมูล (มาตรา 34) หลักการให้ความยินยอม (Consent) ถือเป็นส่วนสำคัญครอบคลุมการเก็บ การใช้และการเปิดเผย โดยเน้นเรื่องความชัดเจน ไม่หลอกลวง การไม่สร้างความเข้าใจผิด การสื่อสารให้ชัดเจนเป็นลายลักษณ์อักษร ซึ่งกำหนดขั้นตอนวิธีการต่างๆ รวมถึงการข้อยกเว้นการจัดเก็บข้อมูลโดยไม่ต้องได้รับความยินยอม (มาตรา 24) และข้อยกเว้นการจัดเก็บข้อมูลจากแหล่งอื่น (มาตรา 25) นอกจากนั้น ยังมีส่วนที่เกี่ยวกับการเก็บข้อมูลที่อ่อนไหว (มาตรา 26) โดยกำหนดห้ามไว้ การกำหนดกลไกการตรวจสอบ พัฒนากระบวนการและการดำเนินการต่างๆ เกี่ยวกับเรื่องร้องเรียน การดำเนินการของกฎหมายใช้เวลา 1 ปี หลังจากนี้ โดยเริ่มจากฝ่ายสำนักงานก่อน แล้วจังมีการ ดำเนินการตามบทบัญญัติอื่นๆ ตามกฎหมาย       ทั้งนี้ เน้นย้ำว่า ลักษณะของกฎหมายเป็นการกำหนดเรื่องบทบาทหน้าที่การดำเนินการของผู้ควบคุม (Controller) และผู้ประมวลผลข้อมูล (Data Processor) เป็นสำคัญ ในขณะที่เสนอประเด็นหารีอในการเสวนา คือการพิจารณารายละเอียดในการกำหนดกรอบกฎหมายเกี่ยวกับข้อมูลส่วนบุคคล ครอบคลุมความแตกต่างระหว่างควบคุมการถ่ายโอนข้อมูลส่วนบุคคลภายใน/นอกพื้นที่ทางกฎหมาย (Jurisdiction) การเป็นผู้ควบคุม (Controller) หรือผู้ประมวล (Processor) ลักษณะทางกฎหมายในการประมวลผล/การเก็บข้อมูล การควบคุมร่วมและอื่นๆ        รองศาสตราจารย์ คณาธิป ทองรวีวงศ์ ผู้อำนวยการสถาบันกฎหมายสื่อดิจิตอล มหาวิทยาลัยเกษมบัณฑิต นำเสนอว่า รากฐานกฎหมายการคุ้มครองข้อมูลคือ สิทธิมนุษยชน โดยการนำเสนอกรอบตามกฎหมายยุโรปซึ่งให้ความสำคัญกับการจัดการในระดับภูมิภาค โดยกรอบของความเป็นส่วนบุคคล (Privacy) มีประเด็นที่อ่อนไหวและจำเป็นต้องจำแนกให้ชัดเจนกับประเด็นความปลดอภัย (Security) ทั้งนี้ ส่วนที่เป็นแบบพิมพ์เขียวคือหลักคุ้มครองข้อมูลส่วนบุคคลของยุโรป (General Data Protection Regulation : GDPR) ก็มีการดำเนินงานอย่างระมัดระวัง ควบคู่กับกฎหมาย/หลักสิทธิมนุษยชน       สิทธิในการมีชีวิตส่วนบุคคล (Private Life) โดยทั่วไปมักจะตีความไปในชื่อเสียง (Reputation) มากกว่า เรื่องสิทธิมนุษยชน ซึ่งสิทธิในชื่อเสียงแตกต่างจากสิทธิในการควบคุมข้อมูล (Right To Control Data) ดังจะเห็น จากการบัญญัติกฎหมายภายในประเทศคือ การกำหนดโทษอาญาตาม “มาตรา 49 ผู้ควบคุมข้อมูลฝ่าฝืนมาตรา 27 วรรคหนึ่ง วรรคสอง ไม่ปฏิบัติตามมาตรา 28 อันเกี่ยวกับข้อมูลมาตรา 26 โดยประการที่น่าจะทำให้ผู้อื่นเกิดความ เสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือความอับอาย ”       ประเด็นที่เป็นปัญหา ข้อยกเว้นของกฎหมายระดับ 1 โดยพบว่า ระดับ 1 บุคคล ปัจเจกชนหรือกิจกรรม ทางธุรกิจโดยสภาพแล้วการคุ้มครองข้อมูลส่วนบุคคลมิใช่มีเพียงการกำหนดการถ่ายโอนข้อมูลโดยอัตโนมัติ ในหลายประเทศมีกฎหมายอื่นๆ ในการควบคุมหรือดูแลข้อมูลส่วนบุคคล อาทิ Safe Harbor โดยมีกรณีพิพาท C-362/14 วันที่ 6 ตุลาคม 2558 ซึ่งมีเรื่องของ Privacy Shield ซึ่งทำให้มีข้อสังเกตุเรื่องการใช้กฎหมายของไทยมีความชัดเจน       ประเด็นปัญหาของความยินยอม โดยกำหนดมาตรา 19 วรรคสี่ “ผู้ควบคุมข้อมูลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูล สัญญาต้องไม่มีเงื่อนไขการให้ความยินยอมที่ไม่จำเป็นหรือไม่เกี่ยวข้องกับ การเข้าทำสัญญา”       ประเด็นข้อยกเว้นย่อยของหลักการต่างๆ อาทิ ข้อ 24 ห้ามเก็บโดยไม่ได้รับความยินยอม เว้นแต่ปฏิบัติ ตามกฎหมาย ข้อ 26 ห้ามเก็บข้อมูลอ่อนไหว (Sensitive) เว้นแต่ปฏิบัติตามกฎหมาย การกำหนดเรื่องความยินยอม (กรณีความสัมพันธ์เชิงอำนาจ อาทิ ลูกจ้าง/นายจ้าง) ประวัติอาชญากรรมหน่วยงานที่มีอำนาจ การดูแลความ ปลอดภัยของข้อมูล (Data Security)       ประเด็นการยกเว้นให้ผู้ประกอบธุรกิจขนาดเล็ก โดยยกเว้นให้เฉพาะการบันทึกรายการกิจกรรม สำหรับ ผู้ควบคุมข้อมูล (มาตรา 39) ผู้ประมวลข้อมูล (มาตรา 40) และไม่ได้ยกเว้นหน้าที่หลัก (มาตรา 37) ซึ่งจะส่งผลกระทบด้านการลงทุน การใช้ความรู้ต่างๆ       ประเด็นการใช้อำนาจฝ่ายบริหารในการกำหนดกฎเกณฑ์ที่มีผลกระทบต่อสิทธิเสรีภาพ (มาตรา 41)        คุณกษิต ภิรมย์ มีความเห็นต่อเรื่องนี้ว่า ขณะนี้เราจะมีรัฐบาลจากการเลือกตั้ง และมีโอกาสประมวลข้อบกพร่องของกฎหมายนี้ และหาประเด็นที่จะเสริมสิ่งที่เราขาด ที่ EU เขาเป็นประเทศที่พัฒนาแล้ว และคนของเขาได้รับการศึกษาในระดับที่มีเรื่องสิทธิมนุษยชนเป็นตัวตั้ง ไม่ใช่เรื่องความมั่นคงเป็นตัวตั้ง เราจึงมีหน้าที่ตรงนี้ที่จะไปพูดกับหน่วยงาน พูดกับรัฐสภา กับพรรคการเมืองว่า กฎหมายนี้ต้องเราเรื่องสิทธิมนุษยชนเป็นตัวตั้ง ไม่ใช่กฎหมายที่มีน้ำหนักไปทางควบคุมประชาชน และการใช้อำนาจข้าราชการประจำมาก่อนเรื่องสิทธิมนุษยชน        มีข้อสังเกตุว่า (1) กฎหมายข้อมูลบางประเทศมีข้อยกเว้นการเอาผิด (ปรับ/ลงโทษ) ในกรณีที่ ข้อมูลส่วน บุคคลรั่วไหล (อาทิ กรณีการเลือกตั้งของประเทศฟิลิปปินส์) (2) ภาครัฐเป็นหน่วยที่เก็บข้อมูลมากที่สุด (มากกว่า ภาคเอกชน) และ (3) กรณีการกระทำ/ละเว้นการกระทำใดๆ ของรัฐและส่งผลให้เกิดการรั่วไหลของข้อมูลบุคคล ไม่ถือเป็นการกระทำละเมิดสิทธิมนุษยชน       ความเห็นของที่ประชุม ได้อภิปรายกว้างขวางถึงลักษณะกฎหมายที่นำเข้าจากยุโรปโดยขาดบริบทรองรับสำหรับประเทศไทยซึ่งกฎหมายมีเนื้อหาที่เน้นความมั่นคงของรัฐมากกว่าการคำนึงถึงหลักสิทธิมนุษยชนเป็นพื้นฐาน การดำเนินการของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ควรเน้นการคุ้มครองและการ ป้องกันการละเมิดสิทธิมนุษยชนเป็นสำคัญ มากกว่าการอำนวย/สร้างกระบวนการในการบริหารจัดการเพื่อประโยชน์อื่นๆ ที่เน้นความมั่นคงของรัฐหรือความได้เปรียบของภาคเอกชนจากการใช้ประโยชน์ข้อมูลส่วนบุคคลของพลเมือง บทบัญญัติต่างๆ ในพระราชบัญญัติฯ กำหนดไว้กว้างๆ อาทิ มาตรา 4 (2) “การดำเนินการของหน่วยงาน ของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐซึ่งรวมถึง ความมั่นคงทางการคลังของรัฐหรือการรักษาความ ปลอดภัยของประชาชน รวมทั้งหน้าที่เกี่ยวกับการป้องกันและปราบปรามการฟอกเงิน นิติวิทยาศาสตร์หรือการ รักษาความมั่นคงปลอดภัยไซเบอร์” ซึ่งนำมาขยาย/เชื่อมโยงกับกฎหมายอื่นๆ ที่ค่อนข้างกว้าง (โดยเฉพาะด้าน ความมั่นคง) การดำเนินการในเชิงการบังคับหรือดูแลเรื่องสิทธิ จำเป็นต้องกำหนดกลไกในการดูแลหรือการบริหารจัดการที่ชัดเจนโดยมีกลไกคณะกรรมการผู้เชี่ยวชาญ (ตามพระราชบัญญัติ) และศาลปกครองตรวจสอบข้อมูลต่างๆ การใช้หน้าที่และอำนาจของคณะกรรมการตามพระราชบัญญัติฯ มาตรา 16 (8) “เสนอแนะต่อคณะรัฐมนตรีในการตราพระราชกฤษฎีกาหรือทบทวนความเหมาะสมของพระราชบัญญัตินี้อย่างน้อยทุกรอบห้าปี” ทั้งนี้ ในเชิงหลักการเป็นเรื่องของดำเนินการเกี่ยวกับกฎหมายลูก (ประมาณ 21 เรื่อง) กรอบการกำหนดพระราชบัญญัติฯ ใช้บังคับมาตรา 4 (6) “การดำเนินการกับข้อมูลของบริษัทข้อมูลเครดิตและสมาชิกตามกฎหมายว่าด้วยการประกอบธุรกิจข้อมูลเครดิต” โดยเน้นเรื่องของข้อมูลกิจกรรม (Activity) มากกว่าการดำเนินการที่มีแนวปฏิบัติให้ชัดเจน       การสะท้อนลักษณะการดำเนินการออกกฎหมายที่อาจจะไม่ครอบคลุมหรือยังจำเป็นต้องพัฒนา หรือจัดทำแนวปฏิบัติที่เกี่ยวข้องอีกจำนวนมาก เนื่องด้วยเป็นเรื่องใหม่ทั้งกับภาครัฐ ภาคเอกชน และภาคพลเมือง จึงต้องช่วยกันติดตามเพื่อดูแล ปกป้องข้อมูลของปัจเจกบุคคลโดยเฉพาะ