สถาบันนโยบายศึกษา : Institute of Public Policy Studies (IPPS)

มาตรฐานสากลในการคุ้มครองข้อมูลส่วนบุคคล: ผลกระทบต่อประเทศไทย¹ (ตอนที่ 1)

นคร เสรีรักษ์²

1. บทนำ

      ข้อมูลมีความสำคัญอย่างยิ่ง โดยเฉพาะในโลกปัจจุบัน เนื่องจากสังคมสมัยใหม่เป็นทั้งสังคมข้อมูลข่าวสารและสังคมแห่งการติดต่อสื่อสาร ข้อมูลจึงมีความสำคัญทั้งต่อการวางแผน ระบบการทำงาน และการบริหารจัดการ การดำเนินกิจกรรมต่างๆ ไม่ว่าจะเป็นภาครัฐหรือเอกชน มีความจำเป็นต้องมีข้อมูลไว้ในครอบครองให้มากที่สุด ซึ่งในข้อมูลข่าวสารจำนวนมากมายมหาศาลที่มีการครอบครอง หรือมีการแลกเปลี่ยน หรือแย่งชิงแข่งขันกันครอบครองนี้ มีข้อมูลส่วนหนึ่งเป็นข้อมูลส่วนบุคคล

      ปัญหาที่เกิดขึ้นในเรื่องการคุ้มครองข้อมูลส่วนบุคคลนี้เกิดขึ้นเนื่องจากการเข้าถึงข้อมูลข่าวสารที่ทำได้สะดวกและรวดเร็วมากในปัจจุบัน โดยเฉพาะความสามารถในการจัดเก็บด้วยคอมพิวเตอร์และเทคโนโลยีการติดต่อสื่อสารโดยอินเทอร์เน็ต การสืบค้นข้อมูล การเข้าถึงข้อมูล การรับ-ส่งข้อมูล การแลกเปลี่ยนข้อมูลข่าวสารนั้นเกิดขึ้นตลอดเวลาและมีอยู่ทั่วไป การสะสมข้อมูลไว้ในครอบครองเพื่อหาประโยชน์จากข้อมูลนั้นมีมากขึ้นและมีอยู่ในทุกๆ วงการธุรกิจ ทั้งนี้เพื่อเพิ่มโอกาสในการดำเนินธุรกิจ แต่ผลกระทบต่อบุคคลที่เกิดขึ้นคือการนำข้อมูลส่วนบุคคลไปใช้ ประมวลผล หรือเปิดเผย ทำให้บุคคลผู้เป็นเจ้าของข้อมูลอาจได้รับความเสียหาย เช่น อาจมีผลต่อความปลอดภัยต่อชีวิต ร่างกาย สิทธิ และเสรีภาพของบุคคล หรือการนำข้อมูลข่าวสารไปใช้ประโยชน์ในทางพาณิชย์โดยปราศจากการได้รับอนุญาตจากผู้เป็นเจ้าของข้อมูล ตลอดจนการทำให้เกิดความเสียหายต่อความเป็นอยู่ในชีวิตส่วนตัว รวมทั้งการสร้างความเดือดร้อนรำคาญ

      ข้อมูลเป็นพื้นฐานในการค้าระหว่างประเทศ ซึ่งในปัจจุบันนี้การติดต่อสัมพันธ์ทางเศรษฐกิจไม่ได้จำกัดอยู่เฉพาะในประเทศของตนและโดยเฉพาะในโลกปัจจุบันที่การแลกเปลี่ยน รับ-ส่งข้อมูลผ่านอินเทอร์เน็ตมีประสิทธิภาพสูงมาก ทำให้การรับ-ส่งข้อมูลเป็นไปอย่างไร้ขีดจำกัดและอยู่นอกเหนือข้อจำกัดทางเขตแดนของประเทศ รัฐต่างๆจึงต้องกำหนดมาตรการกำกับดูแลหรือควบคุมการติดต่อสื่อสารที่เกี่ยวข้องกับการข้อมูลโดยเฉพาะข้อมูลส่วนบุคคล ซึ่งต้องเป็นกติกาที่ไม่เป็นอุปสรรคในการดำเนินการทางการค้าระหว่างประเทศ จึงนำมาซึ่งการจัดทำมาตรการทางกฎหมายและข้อตกลงระหว่างประเทศในหลายเวที³

2. หลักการคุ้มครองข้อมูลส่วนบุคคลในมาตรฐานสากล

      กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลในประเทศต่างๆ ตลอดจนในข้อตกลงระหว่างประเทศ แม้ในรายละเอียดของบทบัญญัติกฎหมายจะมีความแตกต่างกัน เนื่องจากสภาพปัญหาและกระบวนการการคุ้มครองทางกฎหมายที่แตกต่างกันของแต่ละประเทศและเงื่อนไขที่แตกต่างกันในแต่ละภูมิภาค แต่ในท้ายที่สุดแล้วหลักการสำคัญก็เพื่อให้ความคุ้มครองความเป็นส่วนตัวของบุคคลในมิติของข้อมูลหรือการคุ้มครองข้อมูลส่วนบุคคลของพลเมือง ซึ่งอยู่บนพื้นฐานของหลักความยินยอม (Consent) เป็นสำคัญ ซึ่งสาระสำคัญของบทบัญญัติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลในทางสากลมีดังนี้

      1. หลักความยินยอม
      การเก็บรวบรวมข้อมูลส่วนบุคคลต้องได้รับความยินยอมหรือมีการแจ้งต่อเจ้าของข้อมูล (data subject) ก่อนหรือในขณะที่มีการเก็บรวบรวมข้อมูล ในกรณีที่ไม่สามารถขอความยินยอมจากเจ้าของข้อมูลได้ ผู้ดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลต้องแจ้งขอความยินยอมจากเจ้าของข้อมูลในเวลาใดๆ ที่สามารถทำได้ และการนำข้อมูลส่วนบุคคลไปใช้แต่ละครั้งต้องมีการแจ้งต่อเจ้าของข้อมูลทุกครั้งและต้องใช้เท่าที่จำกัดเฉพาะตามวัตถุประสงค์ที่ได้แจ้งไว้เท่านั้น

      2. หลักวัตถุประสงค์ที่เฉพาะเจาะจง
      การเก็บรวบรวมข้อมูลส่วนบุคคลต้องมีวัตถุประสงค์เฉพาะเจาะจง แน่นอน และมีความชัดเจน การใช้ การเปิดเผย และการประมวลผล ต้องเป็นไปตามวัตถุประสงค์ที่ได้แจ้งไว้ในคราวแรกที่มีการขอความยินยอม การใช้ การเปิดเผย การประมวลผลต้องเป็นไปตามวัตถุประสงค์ที่กำหนด ห้ามมิให้ใช้ เปิดเผย ประมวลผล ข้อมูลข่าวสารในวัตถุประสงค์อื่น เว้นแต่จะได้มีการแจ้งแก่เจ้าของข้อมูลข่าวสาร อย่างไรก็ดีเจ้าของข้อมูลข่าวสารดังกล่าวมีสิทธิบอกเลิก การใช้ การเปิดเผย และการประมวลผล ดังกล่าวได้

      3. หลักคุณภาพของข้อมูล
      ข้อมูลข่าวสารที่มีคุณภาพต้องมีคุณสมบัติคือ มีความถูกต้องแน่นอน (Accuracy) มีความทันสมัย และอยู่ภายในขอบเขตของวัตถุประสงค์ที่กำหนด

      4. หลักสิทธิของเจ้าของข้อมูล
      เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการเข้าถึงข้อมูลข่าวสารของตน สิทธิในการเรียกร้องให้มีการตรวจสอบและแก้ไขเปลี่ยนแปลง ปรับปรุง ข้อมูลเกี่ยวกับตนให้ถูกต้องและทันสมัย สิทธิที่จะรู้ว่าใครบ้างที่สามารถเข้าถึงข้อมูลส่วนบุคคลของตนได้บ้าง สิทธิในการรับรู้ถึงกระบวนการหรือวิธีการต่างๆในการใช้ ประมวลผล เผยแพร่ ข้อมูลที่เกี่ยวกับตน

      5. หลักการคุ้มครองข้อมูลที่เป็นข้อมูลที่มีความอ่อนไหว
      หลักการคุ้มครองข้อมูลที่มีลักษณะเฉพาะหรือมีความอ่อนไหว (Sensitive data) เป็นประเด็นที่นานาประเทศให้ความสำคัญและมีการกำหนดมาตรการคุ้มครองอย่างเคร่งครัด แม้ว่าในคำจำกัดความของข้อมูลส่วนตัวโดยเฉพาะจะไม่สามารถกำหนดได้อย่างชัดเจนก็ตาม เช่นในเรื่องเกี่ยวกับการเมือง ลัทธิทางศาสนา แนวทางในการดำเนินชีวิต การเป็นสมาชิกสหพันธ์ ข้อมูลเกี่ยวกับสุขภาพ พฤติกรรมทางเพศและประวัติอาชญากรรม เป็นต้น ซึ่งการเก็บหรือการประมวลผล อาจมีได้โดยการให้ความยินยอมของเจ้าของข้อมูลอย่างชัดเจน หรืออาจกำหนดว่าไม่สามารถที่จะส่งข้อมูลเหล่านี้ออกนอกประเทศได้ หรืออาจให้ความคุ้มครองที่มากกว่านี้ เช่นการกำหนดห้ามมิให้มีการดำเนินการใดๆเกี่ยวกับข้อมูลเหล่านี้เลย เว้นแต่กฎหมายให้อำนาจ

      6. หลักการรักษาความปลอดภัยของข้อมูล
      หมายถึงมาตรการการรักษาความปลอดภัยทางกฎหมายและมาตรการรักษาความปลอดภัยทางกายภาพ กล่าวคือ การเก็บรักษาข้อมูลส่วนบุคคลในสถานที่ปลอดภัย มีความเข้มงวดการเข้าออกสถานที่เก็บข้อมูลดังกล่าว

      7. หลักการแจ้งการดำเนินการจัดเก็บข้อมูลส่วนบุคคล
      ในการจัดเก็บข้อมูลส่วนบุคคลในหลายประเทศส่วนใหญ่ต้องมีการบอกกล่าวหรือแจ้งต่อองค์กรที่มีอำนาจกับกำดูแล หรือในบางกรณีหมายถึงการแจ้งต่อนายทะเบียนที่มีอำนาจของรัฐ ซึ่งผู้ดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคล (data controller) จะได้รับใบอนุญาต (License) ให้ดำเนินการได้ และผู้ดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลต้องปฏิบัติตามกฎเกณฑ์ ข้อบังคับ ที่เจ้าหน้าที่ผู้มีอำนาจได้กำหนด หากมีการฝ่าฝืนอาจถูกถอดถอนใบอนุญาตชั่วคราวหรือเป็นการถาวรแล้วแต่กรณี

      8. หลักลงโทษและองค์กรที่มีอำนาจบังคับการให้เป็นไปตามกฎหมาย
      การนำข้อมูลส่วนบุคคลไปใช้ก่อให้เกิดความเสียหายต่อบุคคล ได้แก่ การนำข้อมูลส่วนบุคคลไปใช้ในทางที่ผิด การขโมย การเข้าถึง หรือการสำเนาข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต การกระทำดังกล่าวได้มีการนำหลักกฎหมายว่าด้วยความรับผิดทางละเมิดในกฎหมายแพ่งหรือหลักคอมมอนลอว์มาปรับใช้ในกฎหมายอาญาในส่วนบทบัญญัติว่าด้วยการเปิดเผยความลับ ความรับผิดฐานหมิ่นประมาท ดูหมิ่น และในกฎหมายเฉพาะเรื่องอื่นๆ ที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ซึ่งภายใต้กฎหมายนี้ได้ให้อำนาจบุคคลหรือคณะบุคคลซึ่งจัดตั้งเป็นองค์กรมีอำนาจควบคุม กำกับดูแลให้เป็นไปตามบทบัญญัตินี้ (กล่าวรายละเอียดในคำอธิบายว่าด้วยเรื่ององค์กรผู้มีอำนาจ)

      หลักสำคัญของการคุ้มครองข้อมูลส่วนบุคคลที่เป็นหลักใหญ่ คือ หลักการยินยอม (Consent) กฎหมายส่วนใหญ่มิได้กำหนดแบบการอนุญาตที่แน่นอนไว้ การอนุญาตโดยหลักการจะเป็นการอนุญาตเป็นลายลักษณ์อักษรหรือโดยการทำเป็นสัญญาหรือไม่ก็ได้ การอนุญาตโดยนัยหรือมีท่าทางแสดงให้ทราบว่าได้อนุญาต ในกฎหมายคอมมอนลอว์มีหลักกฎหมายว่าด้วยการรักษาความลับ (Law of Confidence) ภายใต้หลักการนี้บุคคลใดที่ได้รับรู้ข้อมูลหรือได้ครอบครองข้อมูลส่วนบุคคลของบุคคลอื่นไว้ บุคคลผู้นั้นมีหน้าที่ต้องรักษาความลับ และต้องไม่เปิดเผยข้อมูลเหล่านั้นแก่บุคคลที่สามหรือบุคคลภายนอกโดยไม่ได้รับอนุญาตจากเจ้าของข้อมูล หน้าที่ดังกล่าวอาจเป็นหน้าที่ที่ได้แจ้งไว้เป็นลายลักษณ์อักษรอย่างชัดเจนหรือไม่ก็ได้ หากผู้ที่ได้รับข้อมูลมีเหตุสามารถรู้หรือควรรู้ได้ว่าเจ้าของข้อมูลไม่ต้องการให้เปิดเผย ผู้รับข้อมูลมีหน้าที่ในการรักษาความลับไว้ไม่เปิดเผยแก่บุคคลภายนอกนับแต่ได้รับรู้ข้อมูลดังกล่าว นอกจากนี้หน้าที่ในการรักษาความลับนี้สามารถเกิดขึ้นกับบุคคลภายนอกด้วย หากในกรณีที่ว่าบุคคลภายนอกได้มีการรับรู้ข้อมูลนั้นมาอีกทอดหนึ่ง บุคคลภายนอกย่อมเกิดหน้าที่ในการรักษาความลับหรือต้องไม่เปิดเผยแก่บุคคลภายนอกภายใต้หลักการเดียวกัน เคยมีคำพิพากษาของศาลในประเทศสหรัฐอเมริกาตัดสินไว้ว่า ถึงแม้ว่าบุคคลภายนอกจะไม่ได้ผูกพันเป็นคู่สัญญา แต่ความรับผิดในหน้าที่ที่ต้องไม่เปิดเผยข้อมูลส่วนบุคคลก็ไม่ได้จำกัดเฉพาะคู่สัญญาเท่านั้น หน้าที่ดังกล่าวมีผลไปถึงบุคคลภายนอกที่ได้รับรู้ข้อมูลเหล่านั้นในเวลาต่อมาด้วย

      กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลนี้ นอกจากหลักการให้ความยินยอมเป็นหลักใหญ่แล้ว เนื้อหาสาระสำคัญของกฎหมายนี้ยังให้ความสำคัญในเรื่องกระบวนการการเก็บรวบรวมข้อมูลเป็นอย่างมาก กล่าวคือ การเก็บข้อมูลส่วนบุคคลต้องมีประสิทธิภาพ เป็นธรรม และชอบด้วยกฎหมาย โดยเฉพาะอย่างยิ่งข้อมูลส่วนบุคคลประเภทข้อมูลส่วนตัวโดยเฉพาะ (Sensitive data) โดยหลักกฎหมายห้ามมิให้มีการเก็บรวบรวมข้อมูลข่าวสารประเภทนี้เว้นแต่มีกฎหมายให้อำนาจไว้อย่างชัดเจนและต้องปฏิบัติตามที่กฎหมายกำหนดอย่างเคร่งครัด

      กระบวนการต่างๆ ที่กำหนดไว้ในบทบัญญัติกฎหมายอาจแตกต่างกันไปในรายละเอียดของกฎหมาย ทั้งนี้ขึ้นอยู่กับสภาพปัญหา กระบวนการทางกฎหมาย และนโยบายของรัฐ แต่โดยหลักการพื้นฐานในกฎหมายต่างประเทศและข้อตกลงระหว่างประเทศล้วนประกอบไปด้วยหลักสำคัญข้างต้นเป็นอย่างน้อย

3. การคุ้มครองข้อมูลส่วนบุคคลในข้อตกลงระหว่างประเทศ⁴

      กฎหมายระหว่างประเทศและข้อตกลงระหว่างประเทศที่เป็นมาตรการควบคุมกำกับการดำเนินการที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลที่สำคัญ มีดังนี้

      3.1 การคุ้มครองข้อมูลส่วนบุคคลตามหลักการภายใต้ปฏิญญาสากลว่าด้วยสิทธิมนุษยชน

      3.2 การคุ้มครองข้อมูลส่วนบุคคลตามแนวทางขององค์การเพื่อความร่วมมือทางเศรษฐกิจและการพัฒนา (OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data)

      3.3 การคุ้มครองข้อมูลส่วนบุคคลตามข้อตกลง (Convention) ของรัฐสภาแห่งยุโรป

      3.4 การคุ้มครองข้อมูลส่วนบุคคลตามข้อบังคับสหภาพยุโรป (European Union Directive 95/46/EC) ซึ่งปรับปรุงแก้ไขและพัฒนามาเป็น Regulation (EU) 2016/679 (General Data Protection Regulation) ในปัจจุบัน

      3.5 การคุ้มครองข้อมูลส่วนบุคคลตามแนวทางของสหประชาชาติ

      3.6 การคุ้มครองข้อมูลส่วนบุคคลตามแนวทางของ APEC

      3.7 การคุ้มครองข้อมูลส่วนบุคคลตามหลักการความตกลงหุ้นส่วนยุทธศาสตร์เศรษฐกิจเอเชีย-แปซิฟิก (Trans-Pacific Strategic Economic Partnership Agreement: TPP)

      แต่ในที่นี้จะขอกล่าวถึงกฏเกณฑ์ของสหภาพยุโรป ซึ่งกำลังเป็นที่สนใจอย่างมากในปัจจุบัน

(อ่านต่อฉบับหน้า)

----------------------------------------------------------------------------------------
¹ เอกสารนี้จัดทำขึ้นเพื่อใช้ในการประชุมสัมมนาทางวิชาการในโครงการ “การคุ้มครองข้อมูลส่วนบุคคลของพลเมือง” ของสถาบันนโยบายศึกษา โดยการสนับสนุนของมูลนิธิคอนราด อาเดนาวร์ โดยพัฒนาจากเอกสารประกอบการเสวนาทางวิชาการเรื่อง “การคุ้มครองความเป็นส่วนตัว Big data และ GDPR ในการพัฒนาเศรษฐกิจดิจิทัล” (ธนาคารแห่งประเทศไทย, 22 สิงหาคม 2561), ได้มีการปรับปรุงเพื่อใช้ในการประชุมหลายครั้งคือ การประชุมเรื่อง “เมื่อข้อมูลส่วนบุคคลออนไลน์โดนละเมิด: ถอดบทเรียนจากกรณีศึกษาปัจจุบัน” (31 สิงหาคม 2561, จุฬาลงกรณ์มหาวิทยาลัย) การประชุมเรื่อง “สิทธิความเป็นส่วนตัว: แนวคิดและการปกป้องโดยกฎหมาย” (สถาบันนโยบายศึกษา, 28 มีนาคม 2562) การประชุมเรื่อง “ความเป็นส่วนตัว GDPR และธรรมาภิบาลข้อมูล ในการพัฒนาเศรษฐกิจดิจิทัล” (มหาวิทยาลัยแม่ฟ้าหลวง, 10 พฤษภาคม 2562) และการสัมมนาเชิงปฏิบัติการเรื่อง “สิทธิส่วนบุคคลในงานห้องสมุดและจดหมายเหตุ” (สำนักงานคณะกรรมการสิทธิมนุษยชนแห่งชาติ, 25 กรกฎาคม 2562)

² อาจารย์ประจำวิทยาลัยการปกครองท้องถิ่น มหาวิทยาลัยขอนแก่น, ผู้ก่อตั้งและผู้อำนวยการ Privacy Thailand

³ นคร เสรีรักษ์, “การคุ้มครองข้อมูลส่วนบุคคล: ข้อเสนอสำหรับประเทศไทย,” (กรุงเทพฯ: สำนักพิมพ์ฟ้าฮ่าม, 2558).

⁴ ศิริกุล ภู่พันธ์ และนคร เสรีรักษ์, “กฎหมายระหว่างประเทศที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล,” สำนักงานคณะกรรมการข้อมูลข่าวสารของราชการ, 2544.