PDPA คืออะไร? 10 เรื่องต้องรู้เกี่ยวกับพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล หรือ PDPA ซึ่งย่อมาจากคำว่า Personal Data Protection Act B.E. 2562 (2019) ประกาศไว้ในราชกิจจานุเบกษาเมื่อวันที่ 27 พฤษภาคม 2562 หลังจากที่ถูกเลื่อนออกมาให้มีผลบังคับใช้ในวันที่ 1 มิถุนายน 2565 นี้ 

หากคุณกำลังสับสนเกี่ยวกับกฎหมาย PDPA เพราะตามโซเชียลมีเดียได้ออกมาทำสื่อกันมากมายและอาจทำให้เกิดความเข้าใจผิดได้ ทาง PCDC Thailand จึงได้ออกมาประกาศชัดเจนรวม 10 เรื่อง ซึ่งข้อมูลนี้สามารถเชื่อถือได้อย่างแน่นอน ดังนี้
 

ข่าวที่เกี่ยวข้อง : 

• 4 เรื่องไม่จริงเกี่ยวกับกฎหมาย PDPA พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล
• ดีแทค ยืนยันความพร้อมรับ PDPA ตอกย้ำหลักสิทธิมนุษยชน-ธรรมาภิบาล
• ก.ดิจิทัล เตรียม 4 แพลตฟอร์มรัฐ รองรับการบังคับใช้ กฎหมาย PDPA 1 มิ.ย.นี้

1.ข้อมูลส่วนบุคคล  คือข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้แก่กรรมเฉพาะ เช่น ชื่อ ที่อยู่ หมายเลขประจำตัว ข้อมูลสุขภาพและอื่นๆ (มาตรา 6)

2.ผู้ควบคุมข้อมูลส่วนบุคคล ต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเราไว้ก่อนหรือในขณะเก็บรวบรวม (ห้ามใช้นอกเหนือจุดประสงค์) (มาตรา 21)

3.ผู้ควบคุมข้อมูลส่วนบุคคล ต้องเก็บรวบรวมข้อมูลส่วนบุคคลของเราเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย (มาตรา 22) (ใช้ข้อมูลของเราให้น้อยที่สุด)

4.ความยินยอม เป็นฐานการประมวลผลฐานหนึ่งเท่านั้น ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ในการกำหนดฐานการประมวลผล ให้สอดคล้องกับลักษณะการประมวลผลและความสัมพันธ์ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับเจ้าของข้อมูลส่วนบุคคล (ตามมาตรา 24 หรือมาตรา 26)

5.ในการขอความยินยอม ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องคำนึงอย่างที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนตัวบุคคล (ต้องไม่มีสภาพบังคับในการให้/ไม่ให้) (มาตรา 19 วรรคสี่)

6.เจ้าของข้อมูลส่วนบุคคล มีสิทธิ 
1)ในการถอดถอนความยินยอม ในกรณีที่ได้ให้ความยินยอมไว้  (มาตรา 19 วรรคห้า)
2)สิทธิได้รับการแจ้งให้ทราบรายละเอียด (Privacy Notice) (มาตรา 23)
3)สิทธิการขอเข้าถึงและการขอสำเนาข้อมูลส่วนบุคคล (มาตรา 30)
4)สิทธิขอให้โอนข้อมูลส่วนบุคคล (มาตรา 31)
5)สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (มาตรา 32)
6)สิทธิขอให้ลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ (มาตรา 33)
7)สิทธิขอให้ระงับการใช้ข้อมูลส่วนบุคคล (มาตรา 34)
8)สิทธิขอให้แก้ไขข้อมูลส่วนบุคคล (มาตรา 35)

7.PDPA ใช้กับการประมวลผลข้อมูลส่วนบุคคล ของบุคคลที่อยู่ในประเทศไทย ไม่ว่าจะมีสัญชาติไหนก็ตาม (มาตรา 5)

8.ในกรณีที่เหตุการละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยาโดยไม่ชักช้า (มาตรา 37) (4)

9.ผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่จัดทำบันทึกรายการกิจกรรม เพื่อให้สำนักงานสามารถตรวจสอบได้ โดยจะบันทึกเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้

10.เจ้าของข้อมูลส่วนบุคคล มีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญในกรณีที่มีการฝ่าฝืนหรือไม่ปฎิบัติตาม PDPA หรือประกาศฯที่ออกตาม PDPA (ทั้งนี้ กระบวนการร้องเรียนเป็นไปตามระเบียบที่คณะกรรมการฯ ประกาศกำหนด มาตรา 73)

และนี่ก็เป็น 10 เรื่องที่ประชาชนไทยทุกคนต้องรู้ไว้เกี่ยวกับ PDPA ที่จะบังคับใช้ในวันที่ 1 มิถุนายน 2565 ถือว่าเป็นการเปลี่ยนแปลงกฎหมายครั้งยิ่งใหญ่และสำคัญกับชีวิตคนไทย