การคุ้มครองข้อมูลส่วนบุคคลของพลเมือง : กฎหมายคุ้มครองข้อมูลส่วนบุคคล-คุ้มครองประชาชนได้จริงหรือ       สถาบันนโยบายศึกษา โดยการสนับสนุนของมูลนิธิคอนราด อาเดนาวร์ ร่วมกับ สำนักงานคณะกรรมการสิทธิมนุษยชนแห่งชาติ วิทยาลัยการปกครองท้องถิ่น ม.ขอนแก่น และ Privacy Thailand ได้จัดเวทีสัมมนาภายใต้โครงการ “การคุ้มครองข้อมูลส่วนบุคคลของพลเมือง” เป็นการจัดสัมมนา เรื่อง “ความเป็นส่วนตัวกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล” เมื่อวันอังคารที่ 19 พฤศจิกายน 2562 ที่ ห้องแมกโนเลีย 1 โรงแรม ทีเค พาเลซ แอนด์ คอนเวนชั่น ถนนแจ้งวัฒนะ กรุงเทพฯ       คุณทิพย์พาพร ตันติสุนทร ผู้อำนวยการ สถาบันนโยบายศึกษา กล่าวต้อนรับและแนะนำการเสวนาว่า สถาบันนโยบายศึกษาได้ทำ MOU ร่วมกับสำนักงานคณะกรรมการสิทธิมนุษยชนแห่งชาติรวมถึงประสานกับองค์กรพันธมิตรต่างๆ ในการจุดประกายริเริ่มเพื่อเสริมสร้างความรู้ความเข้าเรื่องกฎหมายคุ้มครองข้อมูลส่วนบุคคลให้แก่ประชาชน โดยได้จัดเสวนาเป็นซี่รีส์ต่อเนื่องในประเด็นต่างๆ ล่วงหน้าตั้งแต่ต้นปี 2562 จนมีการประกาศใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เมื่อวันที่ 27 พฤษภาคม 2562 สรุปแล้วรวมจำนวน 6 ครั้ง การจัดเสวนาในครั้งนี้ เป็นครั้งที่ 7 เป็นการเสวนาทั่วไปและปิดชุดโครงการเสวนาของปีนี้ โดยเพื่อสรุปว่าการเสวนาที่ผ่านมาได้ค้นพบอะไร และตั้งประเด็นการเสวนาครั้งนี้ว่า “กฎหมายคุ้มครองข้อมูลส่วนบุคคล : คุ้มครองประชาชนได้จริงหรือ?” ในฐานะที่ภาครัฐและภาคเอกชนเป็นผู้เก็บข้อมูลส่วนบุคคลและเป็นผู้ใช้โดยตรง ซึ่งประชาชนอาจจะให้ข้อมูลโดยไม่รู้ตัวหรือข้อมูลถูกนำไปใช้โดยไม่ทราบ ทั้งนี้ ท่านสามารถจะเข้าไปเรียกดูเอกสารการเสวนาทั้งหมดได้จาก QR Code ที่ปรากฏในเอกสารกำหนดการเสวนาที่แจกให้แล้ว       Mr.Georg Gafron ผู้แทนมูลนิธิคอนราด อาเดนาวร์ ประจำประเทศไทย กล่าวต้อนรับว่า ในฐานะตัวแทนที่ได้ทำงานร่วมกับสถาบันนโยบายศึกษามา 3 ปีแล้ว เห็นว่าสถาบันฯ มุ่งเน้นการส่งเสริมความเป็นพลเมืองและสิทธิมนุษยชน ซึ่งเป็นเรื่องสำคัญที่มูลนิธิให้การสนับสนุนทั้งปัจจุบันและในอนาคต มูลนิธิตั้งชื่อตามนายกรัฐมนตรีคนแรกของเยอรมัน คือ คอนราด อาเดนาวร์ มูลนิธิได้เงินทุนมาจากภาษีของชาวเยอรมัน มีสำนักงานมากกว่า 120 ประเทศและมีโครงการกว่า 144 โครงการ โดยมูลนิธิมีวัตถุประสงค์ร่วมกับประเทศต่างๆ และหนึ่งในนั้นคือการไม่เข้าไปก้าวก่ายกิจการภายใน (Domestic Political Issues) ของประเทศเหล่านั้น สำหรับในประเทศไทย สถาบันและมูลนิธิมีวัตถุประสงค์สอดคล้องกันในเรื่องการส่งเสริมประชาธิปไตย การสร้างความเข้มแข็งภาคพลเมือง การส่งเสริมการมีส่วนร่วมของภาคประชาชนและการรับฟังความเห็นจากกลุ่มเยาวชน โดยเฉพาะการให้การศึกษาเพื่อสร้างความเป็นพลเมือง (Civic Education) มูลนิธิยังร่วมมือกับหน่วยงานรัฐและองค์กรอื่นๆ อีกในการส่งเสริมด้านเศรษฐกิจ ด้านท้องถิ่น ด้านวัฒนธรรม ด้านความมั่นคง สำหรับการเสวนาในครั้งนี้ สถาบันได้นำเรื่องการปกป้องข้อมูลส่วนบุคคล ซึ่งเป็นประเด็นสำคัญที่สอดคล้องกับยุคข้อมูลข่าวสารที่มีการส่งผ่านข้อมูลส่วนบุคคลอย่างรวดเร็ว ซึ่งเป็นความเจริญที่มาพร้อมกับความเสี่ยง โดยฉพาะในโลกธุรกิจมีการทำธุรกรรมบนอิเล็กทรอนิกส์ จึงเป็นเรื่องเกี่ยวกับสิทธิมนุษยชนที่สำนักงานคณะกรรมการสิทธิมนุษยชนแห่งชาติ (กสม.) ได้เข้ามาร่วมทำงานด้วย        คุณประกายรัตน์ ต้นธีรวงศ์ กรรมการสิทธิมนุษยชนแห่งชาติ กล่าวนำการเสวนาความว่า ปัจจุบันปัญหาการละเมิดสิทธิในข้อมูลส่วนบุคคล เป็นปัญหาที่เกิดขึ้นในยุคดิจิทัล และส่งผลกระทบต่อความเป็นส่วนตัว ความปลอดภัยของชีวิตและทรัพย์สิน สถาบันนโนบายศึกษาและสำนักงานคณะกรรมการสิทธิมนุษยชนแห่งชาติจึงได้ทำ MOU ร่วมกันในเรื่องสิทธิมนุษยชนและการคุ้มครองสิทธิความเป็นส่วนตัว โดยการสนับสนุนจากมูลนิธิคอนราด อาเดนาวร์ และหน่วยงานต่างๆ ในการจัดเสวนาครั้งนี้เรื่อง “กฎหมายคุ้มครองข้อมูลส่วนบุคคล : คุ้มครองประชาชนได้จริงหรือ?” มีความมุ่งหมายเพื่อสร้างความตระหนักรู้ให้แก่ประชาชนในการคุ้มครองข้อมูลส่วนบุคคลโดยหน่วยงานของรัฐ รัฐวิสาหกิจ องค์กรปกครองท้องถิ่น องค์กรธุรกิจเอกชน สื่อและหน่วยงานต่างๆ ที่เป็นผู้เก็บ/ใช้และเปิดเผยข้อมูลส่วนบุคคล ด้วยการคำนึงถึงศักดิ์ศรีความเป็นมนุษย์ เช่น ข้อมูลทะเบียนราษฎร์ ข้อมูลบริการของโรงพยาบาล ข้อมูลการขอใช้น้ำ ไฟฟ้า ข้อมูลการขอสินเชื่อ เป็นต้น ซึ่งอาจจะไม่ได้รับความมยินยอมจากเจ้าของข้อมูล แม้ว่าจะมีการประกาศใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยมีผลตั้งแต่วันที่ 27 พฤษภาคม 2562 ที่การเก็บ การใช้และการเปิดเผยข้อมูลจะต้องได้รับความยินยอม รวมถึงการถอนความยินยอม ซึ่งตามหลักสิทธิมนุษยชนกำหนดไว้ 5 ข้อ ได้แก่ 1. สิทธิและเสรีภาพในการแสดงความคิดเห็น 2. สิทธิในการกำหนดเจตจำนงค์ด้วยตนเอง 3. สิทธิในการไม่ถูกเลือกปฏิบัติ 4. สิทธิในการเป็นอยู่ส่วนตัว 5. สิทธิในชีวิตร่างกาย แต่พระราชบัญญัติการคุ้มครองข้อมูลส่วนบุคคลฯ ยังจะต้องมีการออกกฎหมาย กฎ ระเบียบและแนวทางปฏิบัติ ที่หน่วยงานภาครัฐและภาคเอกชนจะต้องมีการเตรียมความพร้อมและการทำความเข้าใจให้ตรงกัน รวมถึงการสร้างความตระหนักรู้ให้แก่ประชาชน ซึ่งกสม. จะเข้ามาร่วมดำเนินการด้วยหลักสุจริต เที่ยงธรรม กล้าหาญ และปราศจากอคติ       ผศ.ดร.นคร เสรีรักษ์ วิทยาลัยการปกครองท้องถิ่น มหาวิทยาลัยขอนแก่น เป็นพิธีกร ได้กล่าวแนะนำวิทยากร 2 ท่าน คือ ดร.ประพันธ์พงษ์ ขำอ่อน รองคณบดีฝ่ายวิชาการ คณะนิติศาสตร์ มหาวิทยาลัยหอการค้าไทย มาในฐานะที่ปรึกษาเลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และคุณโกศล สงเนียม สำนักบริหาร องค์การกระจายเสียงและแพร่ภาพสาธารณะแห่งประเทศไทย (TPBS : Thai Public Broadcasting Service) มาในฐานะประธานสภาวิชาชีพข่าววิทยุและโทรทัศน์ไทย สำหรับการเสวนา หรือสนทนา หรือแลกเปลี่ยนความเห็นในครั้งนี้ ขอเริ่มจากคำว่า “ความเป็นส่วนตัว” (Privacy) ที่เห็นว่าน่าจะเป็นศัพท์ใหม่สำหรับคนไทย เช่นเดียวกับการประกาศใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งสังคมไทยเข้าใจว่าเป็นเรื่องที่นำเข้ามาจากต่างประเทศ คนไทยไม่มีคำว่า ความเป็นส่วนตัว สิ่งเหล่านี้จึงทำให้เป็นเรื่องที่ต้องนำมาศึกษาและเสวนากัน ซึ่งสถาบันโดยการสนับสนุนของมูลนิธิคอนราด อาเดนาวร์ กสม. วิทยาลัยปกครองท้องถิ่น ม.ขอนแก่น และ Privacy Thailand ได้มีการจัดเสวนาไปแล้ว 6 ครั้ง คือ 1. เรื่องสิทธิความเป็นส่วนตัว : แนวคิดและการปกป้องโดยกฎหมาย 2. เรื่องข้อมูลส่วนบุคคล : กฎหมายระเบียบและแนวทางทางปฏิบัติ 3. เรื่องสิทธิความเป็นส่วนตัว : บทบาทของสื่อ 4. เรื่องข้อมูลส่วนบุคคล : ความมั่นคงสาธารณะ 5. เรื่องการปกป้องข้อมูลส่วนบุคคล : ความตระหนักต่อการละเมิดทางอิเล็กทรอนิกส์ 6. เรื่องแนวทางการปฏิบัติเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล : อาญากรรมทางอิเล็กทรอนิกส์ จากการเสวนาทั้ง 6 ครั้งดังกล่าวที่ประมวลความเห็นไว้แล้ว จึงนำมาสู่การเสวนาสรุปยอดในครั้งนี้ โดยตั้งเป็นประเด็นว่า “กฎหมายคุ้มครองข้อมูลส่วนบุคคล : คุ้มครองประชาชนได้จริงหรือ?” จากนั้นได้เชิญวิทยากรทั้งสองท่านนำเสวนาต่อไป       ดร.ประพันธ์พงษ์ ขำอ่อน ที่ปรึกษาเลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้นำเสนอโดยสรุปว่า สาระสำคัญของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้กำหนดให้ตั้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อเป็นผู้กำกับดูแล (Regulator) โดยมีคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นคณะผู้บริหารให้เป็นไปตามกฎหมายฉบับนี้ สำนักงานคณะกรรมการคุ้มครองฯ มีหน้าที่สร้างความเข้าใจให้กับภาครัฐ ภาคเอกชน และภาคประชาชนได้ตระหนักรู้ในเรื่องกฎหมายคุ้มครองข้อมูลส่วนบุคคล หลักการและสาระสำคัญของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ ฉบับนี้ ได้แก่ 1. ทำไมต้องมีกฎหมายคุ้มครองข้อมูลส่วนบุคคล ซึ่งสรุปได้ว่าเพื่อใช้เป็นกฎหมายกลาง (Baseline) ในการคุ้มครองข้อมูลส่วนบุคคลที่ใช้ได้กับทุกหน่วยงาน โดยยึดหลักความเป็นส่วนตัว หลักสิทธิพื้นฐานของบุคคล การมีธรรมาภิบาลข้อมูลส่วนบุคคลที่ดี (Data Governance) และเพื่อให้มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลตามหลักสากลเป็นที่ยอมรับของต่างประเทศ 2. ข้อมูลส่วนบุคคลถูกนำไปใช้โดยใครบ้าง ซึ่งสรุปได้ว่า มีผู้ใช้ที่เป็น 0nline และ Offline 3. สาเหตุที่ทำให้เกิดการตื่นตัวของการคุ้มครองข้อมูลส่วนบุคคล มาจากกรณีเหตุร้องเรียนจากทั่วโลก อาทิ กรณี Facebook - Cambridge Analytica, กรณี Google – Right to be forgotten 4. พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ จะคุ้มครองข้อมูลส่วนบุคคลในประเด็นใดบ้าง โดยสรุปประเด็นได้ดังนี้ ประเด็นการบังคับใช้กับใคร ซึ่งกฎหมายนี้ใช้บังคับแก่หน่วนงานภาครัฐ ภาคเอกชน ภาคประชาชน ยกเว้นหน่วยงานด้านความมั่นคงซึ่งต้องจัดทำมาตรการคุ้มครองข้อมูลขึ้นเองตามแนวทางที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลให้ไว้ โดยกฎหมายกำหนดให้มีผู้ปฏิบัติงานที่รับผิดชอบ คือ ผู้ควบคุมข้อมูลส่วนบุคคล(Data Controller) ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) รวมถึงบริษัทรับจ้างภายนอก (Outsource) ที่ปฏิบัติงานอยู่นอกประเทศไทยแต่เสนอสินค้าหรือบริการให้กับคนที่อยู่ในไทย ประเด็นการคุ้มครองเรื่องอะไร ซึ่งหลักการทั่วไป ต้องคุ้มครองการเก็บการใช้และการประมวลผลข้อมูล ด้วยความเป็นธรรม โปร่งใส เป็นไปตามวัตถุประสงค์ที่กำหนดและตามเท่าที่จำเป็น แต่อย่างไรก็ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ มาตรา 24 ได้กำหนดข้อยกเว้นที่การเก็บข้อมูลส่วนบุคคล ไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โดยถือหลักฐานกฎหมายที่อนุญาตให้กระทำได้ (Lawfulness of processing) เช่น เก็บข้อมูลเพื่อจัดทำเอกสารประวัติศาสตร์/จดหมายเหตุ/วิจัย/สถิติ เพื่อป้องกันหรือระงับอันตรายต่อชีวิต เพื่อปฏิบัติตามสัญญา เพื่อประโยชน์สาธารณะ เพื่อผลประโยชน์อันชอบด้วยกฎหมาย เป็นต้น ประเด็นกรณีผู้ใช้ Facebook จะต้องให้ความยินยอมใน Term and Conditions ก่อนเข้าใช้บัญชีได้นั้น ในยุโรป Facebook ยอมปรับแก้ไขข้อมูลส่วนบุคคลที่มีการเก็บข้อมูลในลักษณะนี้ไปแล้ว สำหรับประเทศไทยมีกฎหมายคุ้มครองข้อมูลส่วนบุคคลบังคับใช้แล้ว หากมีผู้ร้องเรียนขึ้นมาในการทำ Term and Conditions กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมสามารถจะเข้าไปดูแลได้       คุณโกศล สงเนียม ประธานสภาวิชาชีพข่าววิทยุและโทรทัศน์ไทย ได้นำเสนอโดยสรุปว่า 1. ประเด็นเรื่องบทบาทสื่อมวลชนภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งการทำงานของสื่อมวลชนมีข้อยกเว้นให้สื่อดำเนินงานได้ ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ มาตรา 4(3) ระบุว่า “พระราชบัญญัตินี้ไม่ใช้บังคับแก่บุคคลหรือนิติบุคคลซึ่งใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน งานศิลปกรรม หรืองานวรรณกรรมอันเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะเท่านั้น” ปัจจุบันในยุคดิจิทัล สื่อมวลชนมีการนำเสนอข่าวสารในรูปแบบ social media กันอย่างกว้างขวางและรวดเร็ว ทำให้มีการเสนอข่าวที่ไม่เป็นไปตามข้อเท็จจริงได้ง่าย ดังนั้น เมื่อสื่อได้รับการยกเว้นให้ทำงานได้ตาม พ.ร.บ. ดังนั้น สื่อจึงต้องรายงานข่าวสารโดยยึดหลักในการประกอบวิชาชีพและหลักจริยธรรม ซึ่งที่ผ่านมามีการเสนอปฏิรูปสื่อ ที่จัดทำเป็น “ร่างพระราชบัญญัติส่งเสริมจริยธรรมและมาตรฐานวิชาชีพสื่อมวลชน พ.ศ. .....” เพื่อใช้กำกับการดำเนินงานของสื่อให้มีหลักจริยธรรม (Gold regulation) แต่ร่างกฎหมายนี้ไม่สามารถนำเสนอเข้าสภานิติบัญญัติแห่งชาติ (สนช.) ได้ทัน ซึ่งร่างกฎหมายฉบับนี้วางหลักจริยธรรมสื่อมวลชนเป็นมาตรฐานวิชาชีพไว้ 7 เรื่อง คือ (1) การเสนอข่าวและแสดงความคิดเห็นเพื่อประโยชน์สาธารณะ (2) การเสนอข้อเท็จจริงด้วยความถูกต้อง (3) การให้ความเป็นธรรมต่อผู้ตกเป็นข่าว (4) การเคารพสิทธิมนุษยชน ศักดิ์ศรีความเป็นมนุษย์ และสิทธิในความเป็นอยู่ส่วนตัวของผู้เกี่ยวข้องในข่าว (5) ความซื่อสัตย์สุจริตต่อวิชาชีพสื่อมวลชน และไม่มีผลประโยชน์ทับซ้อน (6) การปกป้องและปฏิบัติต่อแหล่งข่าวอย่างเป็นธรรม และ (7) มาตรการที่จะดำเนินการในกรณีที่ผู้ประกอบวิชาชีพสื่อมวลชนเสนอข่าวหรือแสดงความคิดเห็นโดยฝ่าฝืนหรือไม่เป็นไปตามจริยธรรมวิชาชีพสื่อมวลชน 2. ประเด็นเรื่องทำอย่างไรให้เกิดขับเคลื่อนและส่งเสริมให้เกิดการเรียนรู้กฎหมายข้อมูลส่วนบุคคลในภาคประชาสังคม ซึ่งกระบวนการนี้สามารถทำได้โดยเริ่มจาก 2.1 สื่อต้องเสนอข่าวสาร ด้วยความตระหนักรู้และสมดุลกันระหว่างสิทธิในการแสวงหาข่าวสารของสื่อมวลชน กับสิทธิการรับรู้ของประชาชนและสิทธิส่วนบุคคลของเจ้าของข้อมูล 2.2 สื่อต้องทำหน้าที่เพื่อประโยชน์สาธารณะ (Public Interest) โดยสื่อต้องคำนึงถึงประเด็นต่างๆ ดังนี้ การแจ้งให้เจ้าของข้อมูลส่วนบุคคลมีความตระหนักในสิทธิของตนเอง การเก็บ ใช้ เปิดเผยต้องขอความยินยอมและแจ้งวัตถุประสงค์ก่อน การให้ความยินยอมต้องชัดแจ้ง เข้าใจง่าย เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ การขอถอนความยินยอมสามารถทำได้ การนำไปใช้ เปิดเผยได้ตามวัตถุประสงค์ที่ขอไว้ การเก็บข้อมูลจากผู้ที่เกี่ยวข้องโดยตรง การเก็บใช้ข้อมูลอ่อนไหว(Sensitive Data)ต้องทำให้ถูกต้องตามมาตรฐานสากล และการร้องเรียนให้ทำไปที่คณะกรรมการผู้เชี่ยวชาญ 2.3 การออกกฎหมายลูก กฎระเบียบ และแนวทางปฏิบัติของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ให้เป็นไปตามแผนการดำเนินงานของพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ ที่สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA : Electronic Transactions Development Agency)จัดทำขึ้น มีระยะเวลาที่เหลือจัดทำประมาณ 6 เดือน ทำให้อาจจะต้องพิจารณาขยายระยะเวลาการดำเนินงานออกไป ซึ่งรวมถึงจะต้องมีแผนการประชาสัมพันธ์ด้วย ดังนั้น สื่ออาจจะช่วยรายงานความคืบหน้าของแผนการดำเนินงานของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลให้สังคมได้รับทราบเป็นระยะๆ เพื่อให้ทุกภาคส่วนและประชาชนได้ติดตามและเตรียมการได้อย่างต่อเนื่อง 2.4 การจัดการกับผู้สร้างและนำเสนอข่าวสารปลอมหรือข่าวที่บิดเบือน (Fake News) เห็นว่า กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมควรจะเข้ามาเป็นหลักในการขับเคลื่อนและจัดการแก้ปัญหานี้       ต่อจากนั้น เวทีเสวนาได้มีการซักถามและแลกเปลี่ยนความคิดเห็นอย่างกว้างขวาง ซึ่งสรุปสาระสำคัญได้ ดังนี้       1. ประเด็นการประเมินความมีจริยธรรมของสื่อมวลชนไทย ซึ่งสรุปว่า การประเมินเป็นเรื่องที่แต่ละคนมีมุมมองไม่ตรงกัน แต่หัวใจหรือสาระสำคัญคือ การนำเสนอข้อมูลข่าวสารของสื่อมีความถูกต้องเป็นธรรมหรือไม่ ปกติสื่อจะมีกองบรรณาธิการทำหน้าที่ตรวจสอบข่าว แต่ในโลกยุคดิจิทัล การเผยแพร่ข่าวของสื่อทาง Social media ทำเพื่อดึงดูดความสนใจและรวดเร็ว จึงอาจจะไม่มีการตรวจสอบข่าว ดังนั้น ผู้เสพข่าวจึงต้องตระหนักรู้ และรู้เท่าทันการนำเสนอข้อมูลข่าวสาร       2. ประเด็นการตรวจสอบการปฏิบัติงานของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ในหน่วยงานรัฐและหน่วยงานเอกชน สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่ทำหน้าที่เป็นผู้กำกับดูแล (Regulator) ได้มีแผนการจัดทำกฎหมายลูก กฎระเบียบ และแนวทางปฏิบัติ โดยจะกำหนดมาตรฐานขั้นต่ำ (Minimum Standard) ในการปฏิบัติงานของ Data Controller ซึ่งจะทำให้เสร็จประมาณเดือนพฤษภาคม ปี 2563 แต่การบังคับใช้จะไม่มีผลย้อนหลัง       3. ประเด็นการขอใช้ภาพควบคุมการจราจรของกล้องวงจรปิดจากสำนักงานตำรวจ เพื่อตรวจสอบข้อสงสัยในการกระทำผิด สามารถขอดูได้ ไม่ถือว่าเป็นการละเมิดข้อมูลส่วนบุคคล เนื่องจากกฎหมายให้อำนาจแก่ตำรวจสามารถติดตั้งกล้องวงจรปิดสาธารณะเพื่อปกป้องคุ้มภัยให้ประชาชน แต่ถ้าเป็นการขอใช้ภาพบันทึกภายในของสำนักงานต่างๆ จะไม่สามารถขอดูได้เพราะถือเป็นการรักษาความปลอดภัยของสำนักงานนั้นๆ       4. ประเด็นการปฏิบัติงานของ Data Controller หน่วยงานสามารถมอบหมายให้ดูแลคุ้มครองปกป้องข้อมูลส่วนบุคคลได้เลย ไม่ต้องรอการออกกฎหมายลูกหรือแนวทางปฏิบัติ เนื่องจาก พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ ได้กำหนดหน้าที่ขั้นพื้นฐานไว้เพียงพอแล้ว ส่วนการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer หรือเรียกย่อว่า Data Officer) ซึ่งแต่งตั้งหรือว่าจ้างบริษัทภายนอก หากเป็นหน่วยงานใหญ่ๆ ที่เก็บข้อมูลขนาดใหญ่ อาทิ กระทรวง ธนาคาร บริษัทประกันภัย ก็สามารถจะมีตำแหน่งนี้ได้ แต่ถ้าเป็นหน่วยงานขนาดเล็ก อาทิ SME ก็ไม่จำเป็นต้องมี กล่าวโดยสรุปขอให้เป็นการจัดการให้เหมาะสมกับฐานานุรูป       5. ประเด็นข้อมูลส่วนบุคคลที่ประชาชนได้ให้แก่หน่วยงานรัฐหรือหน่วยงานเอกชนไปแล้ว ซึ่งบางครั้งเป็นการให้ความยินยอมเชิงบังคับ เช่น ข้อมูลการขอใช้บัตรเครดิต การขอใช้ Facebook เป็นต้น กฎหมายกำหนดให้หน่วยงานจัดเก็บเฉพาะข้อมูลที่ต้องใช้ตามวัตถุประสงค์เท่านั้น หากวัตถุประสงค์กำหนดไม่ชัดเจนหรือมีการนำข้อมูลไปเสนอบริการใหม่ หน่วยงานนั้นๆ จะต้องขอความยินยอมใหม่จากเจ้าของข้อมูล       6. ประเด็นกรณีหน่วยงานใดทำการละเมิดข้อมูลส่วนบุคคล หรือมีการกระทำความผิดเกิดขึ้น อาทิ ข้อมูลรั่วไหล กฎหมายฉบับนี้ให้อำนาจหน่วยงานกำกับดูแล (Regulator) เข้าไปทำหน้าที่ดูแลการร้องเรียน ไกล่เกลี่ยเรื่องร้องเรียน และร้องทุกข์แทนได้ ซึ่งมีเพดานโทษปรับไม่เกินห้าล้านบาท       7. ประเด็นการอธิบายความมาตรา 35 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ที่ระบุว่า “ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการให้ข้อมูลส่วนบุคคลนั้นถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด” ข้อความที่ว่า “... เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด” นั้นหมายถึง ข้อมูลส่วนบุคคลที่จัดเก็บจะต้องจัดการให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์ หากข้อมูลใดที่ไม่จำเป็นต้องเก็บ ให้ดำเนินการยกเลิกได้ ซึ่งองค์กรจะต้องมีหน่วยงานตรวจสอบ มีนโยบายการตรวจสอบข้อมูล และมีกระบวนการปรับปรุงข้อมูลให้เป็นปัจจุบันตามมาตรฐานการปฏิบัติงานที่ดี (Best Practice)       8. ประเด็นกรณีการสมัครขอใช้บัตรเครดิต หรือขอเปิดบัญชี (Account) จากธนาคารหรือสถาบันต่างๆ จะต้องให้ความยินยอมในเชิงบังคับในการกรอกข้อมูล Term and Conditions ก่อนที่จะได้รับอนุมัติใช้บริการ ถือว่าเป็นการทำธุรกรรมก่อนที่พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ นี้ใช้บังคับ แต่หลังจากกฎหมายนี้ใช้แล้ว ข้อมูลการใช้ขอออกบัตรเครดิตจะต้องขอเท่าที่จำเป็น หากธนาคารขอข้อมูลส่วนบุคคลไปใช้ไม่ตรงตามวัตถุประสงค์ เช่น ขอข้อมูลเพื่อออกบัตรเครดิต แต่เอาข้อมูลไปให้บริษัทลูกเพื่อเสนอขายประกัน เป็นต้น ลักษณะนี้จะต้องให้เจ้าของข้อมูลยินยอมก่อน       9. ประเด็น พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ ได้กำหนดให้มีโครงสร้างคณะกรรมการชุดสำคัญๆ อาทิ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล คณะกรรมการกำกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล คณะกรรมการผู้เชี่ยวชาญ ซึ่งคณะกรรมการเหล่านี้มีบทบาทในการใช้ดุลยพินิจต่อเรื่องการคุ้มครองข้อมูลส่วนบุคคล ดังนั้น เพื่อให้โครงสร้างคณะกรรมการเหล่านี้มีการยึดโยงกับประชาชน พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ ตามมาตรา 8 จึงกำหนดให้กรรมการในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (รวมทั้งหมด จำนวน 17 คน) ส่วนใหญ่มาจากการสรรหาจากภาคประชาชน (กรรมการผู้ทรงคุณวุฒิ 9 คน) ซึ่งต้องมีคุณสมบัติเป็นผู้เชี่ยวชาญและถือว่าต้องปฏิบัติหน้าที่โดยใช้ความรู้ความสามารถอย่างเต็มที่ ส่วนคณะกรรมการผู้เชี่ยวชาญก็สรรหามาจากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล       10. ประเด็นพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯที่บังคับใช้กับคนไทยทั่วไป สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล มีการวางแผนหรือแนวทางการทำความเข้าใจให้กับคนไทย โดยจะมีการจัดเวทีเสวนาให้กับคนไทยในประเทศ ส่วนคนไทยในต่างประเทศจะมีแผนสื่อสารผ่านช่องทาง Website ซึ่งนอกจากจะออกแบบให้มีเนื้อหาหลักการของกฎหมายแล้ว ยังจะให้มีการเขียนคำขยายความข้อกฎหมายนั้นๆ ให้เป็นภาษาแบบง่ายๆ (Recital) กำกับไปด้วย และต้องยกตัวอย่างเป็นรูปธรรม แต่อย่างไรก็ตาม แม้จะจัดทำแนวทางปฏิบัติเสร็จแล้ว ยังต้องสื่อความเพื่อสร้างความเข้าใจอย่างต่อเนื่องต่อไป       11. ประเด็นการจัดทำแนวทางปฏิบัติให้เป็นไปตามพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ประสานงานกับผู้มีส่วนได้เสีย (Stake Holder) ที่เป็นสมาคมมาจาก Sector หลักๆ ของภาคเอกชนและภาคประชาชน เพื่อเข้ามาร่วมจัดทำแนวทางปฏิบัติแล้ว นอกจากนั้นมีบางธุรกิจอุตสาหกรรมได้จัดทำแนวทางปฏิบัติเองโดยได้การรับรอง (Endorsement) จากหน่วยงานกำกับดูแล (Regulator) ส่วนการจัดทำแนวทางปฏิบัติของภาครัฐ อาจจะทำแนวทางปฏิบัติเฉพาะ (Specific) ไม่ได้ แต่ให้ใช้ข้อกฎหมายของหน่วยงานรัฐนั้นๆ เป็นแนวทาง ซึ่งหน่วยงานรัฐอาจจะสรรหาวิธีการประเมินความเสี่ยงข้อมูลมาใช้ประกอบ อาทิ การจำแนกประเภทข้อมูล (Data Classification) และสุดท้ายการจัดทำแนวทางปฏิบัติเกี่ยวกับการโอนข้อมูลข้ามพรมแดน เป็นเรื่องที่อาจจะไม่สามารถจัดทำแนวทางปฏิบัติได้ เพราะบางประเทศยังไม่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคล ทำให้ไม่มีมาตรฐานในระดับเดียวกันที่ใช้โอนข้อมูล ซึ่งปัญหานี้สามารถแก้ไขได้ ด้วยการทำเป็นสัญญาแทน โดยเฉพาะการโอนข้อมูลกับประชาคมอาเซียน       12. ประเด็นการจัดทำแนวทางปฏิบัติ บางหน่วยงานทำหน้าที่เป็นทั้ง Regulator และ Operator อาทิ หรือบางหน่วยงานทำหน้าที่ Regulator หรือ Operator อย่างใดอย่างหนึ่ง โดยหลักการแล้ว พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล เป็นกฎหมายกลาง ตามมาตรา 3 กำหนดว่าหากหน่วยงานใดมีกฎหมายเฉพาะรองรับของตนเองก็ให้ปฏิบัติตามกฎหมายนั้นๆ แต่ได้กำหนดข้อยกเว้นว่า ถ้ากฎหมายเฉพาะของหน่วยงานนั้นๆ ไม่มีมาตรฐานการปฏิบัติเพียงพอเท่ากับ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล แล้ว เช่น คุ้มครองข้อมูลส่วนบุคคลได้ แต่ไม่ให้สิทธิการร้องเรียน เป็นต้น ให้ถือปฏิบัติตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ฉบับนี้       13. ประเด็นการปกป้องข้อมูลส่วนบุคคลของหน่วยงานราชการ ซึ่งหน่วยงานราชการจะอยู่ภายใต้กฎหมาย 2 ฉบับในเวลาเดียวกัน คือ พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 และ       พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังนั้น หน่วยงานราชการจะต้องทำความเข้าใจกฎหมายให้ชัดเจน เช่น ข้อมูลคนตาย พ.ร.บ.ข้อมูลข่าวสารของราชการ จะคุ้มครองข้อมูลของคนตาย แต่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ จะไม่คุ้มครอง เป็นต้น นอกจากนั้น Privacy Thailand ในฐานะที่เข้าไปร่วมเป็นอนุกรรมการข้อมูลส่วนบุคคลภายใต้ พ.ร.บ.ข้อมูลข่าวสารของราชการ เคยเสนอแนวทางปฏิบัติการคุ้มครองข้อมูลส่วนบุคคลในภาครัฐไว้ ซึ่งสำนักนายกรัฐมนตรีได้มีหนังสือสั่งการให้หน่วยงานภาครัฐถือปฏิบัติไปแล้ว ซึ่งท่านสามารถจะเรียกดูแนวทางปฏิบัตินี้ได้จาก QR Code ที่แจ้งไว้       14. ประเด็นปัญหาการรับรู้ข่าวสารข้อมูลส่วนบุคคลเป็นเรื่องสำคัญ ซึ่งจะต้องสร้างความรู้ความเข้าใจให้แก่ประชาชนในเรื่องกฎหมายคุ้มครองข้อมูลส่วนบุคคล โดยต้องทำให้คนเรียนรู้ได้ง่ายและสะดวก เช่น เรียนรู้ผ่านทาง Website ด้วยการขยายความข้อกฎหมายให้เป็นภาษาแบบง่ายๆ (Recital) เป็นต้น       15. ประเด็นธนาคารแห่งประเทศไทยที่เป็น Controller ได้มอบหมายให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer) เป็นผู้แจ้งการรั่วไหลของข้อมูลส่วนบุคคล ซึ่งสามารถทำได้ แต่โดยหลักการของพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ แล้ว จะต้องเป็นหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) เป็นผู้แจ้ง แต่ประเทศใน EU มีการว่าจ้างบริษัทภายนอก (Outsource) ให้ทำหน้าที่ Data Protection Officer และกำหนด Term and Conditions ชัดเจนให้เป็นผู้แจ้งการรั่วไหล ดังนั้น ในบริบทของประเทศไทยจึงสามารถให้ Data Protection Officer ทำลักษณะนี้ได้เช่นกัน ส่วนเมื่อใดที่ต้องแจ้งการรั่วไหลข้อมูลนั้น ขอให้เป็นไปตามแนวทางปฏิบัติที่จะจัดทำขึ้น แต่กฎหมายได้กำหนดไว้แล้วว่าให้แจ้งได้ต่อเมื่อทราบการรั่วไหลของข้อมูล โดยจะต้องแจ้งภายใน 72 ชั่วโมง       นอกจากข้อสรุปจากการสัมมนาดังกล่าวข้างต้นแล้ว ยังมีข้อพิจารณาเพิ่มเติมอีกดังนี้       1. การส่งถ่ายโอนข้อมูลส่วนบุคคลระหว่างประเทศเป็นเรื่องที่สำคัญ ในมาตรฐานของประเทศเยอรมันและ EU กฎหมายคุ้มครองข้อมูลส่วนบุคคลตั้งอยู่บนหลักสิทธิมนุษยชน (Human Right) ดังนั้น จึงเป็นเรื่องที่ส่วนราชการไทยและสื่อมวลชนจะต้องช่วยกันสื่อสารให้ประชาชนเข้าใจ ตระหนักถึงการเคารพสิทธิส่วนบุคคล และยอมรับวิถีการดำรงชีวิตตามหลักสิทธิมนุษยชนให้เกิดขึ้นในสังคมไทย       2. พระราชบัญญัติข้อมูลข่าวสารของราชการฯ ซึ่งใช้ครอบคลุมถึงข้อมูลส่วนบุคคลด้วย ตราบใดที่ยังใช้ชื่อว่า “ข้อมูลข่าวสารราชการ” อยู่ การเข้าถึงข้อมูลส่วนบุคคลของประชาชนจะทำได้ยาก จึงขอฝากว่า ควรเสนอเปลี่ยนชื่อเป็น “พระราชบัญญัติข้อมูลข่าวสารสาธารณะ” เพื่อให้ประชาชนเข้าถึงข้อมูลส่วนบุคคลของเขาและข้อมูลส่วนอื่นๆ ของประเทศได้ด้วย