PDPA คืออะไร ทำไมเจ้าของเว็บไซต์ต้องให้ความสำคัญ เริ่มใช้แล้ว 1 มิ.ย 65 นี้

ทำความรู้จักกฎหมายคุ้มครองข้อมูลส่วนบุคคล PDPA คืออะไร ในฐานะเจ้าของเว็บไซต์ต้องเตรียมตัวยังไงบ้าง?

PDPA คืออะไร?

PDPA ย่อมาจาก Personal Data Protection Act B.E. 2562 (2019) หรือเรียกเป็นภาษาไทยว่า “พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562” เป็นกฎหมายว่าด้วยการให้สิทธิ์กับเจ้าของข้อมูลส่วนบุคคล มีขึ้นเพื่อให้เอกชนและรัฐที่เก็บรวบรวม ใช้ เปิดเผย หรือ โอนข้อมูลส่วนบุคคลในประเทศไทยนั้น ปฏิบัติตามมาตรการปกป้องข้อมูลของผู้อื่นจากการถูกละเมิดสิทธิส่วนตัว โดยต้องขอ “ความยินยอม” จากเจ้าของข้อมูลก่อน และต้องนำไปใช้ให้ถูกวัตถุประสงค์ตามคำยินยอมที่เจ้าของข้อมูลส่วนบุคคลอนุญาต

หากผู้ใดหรือองค์กรใดไม่ปฏิบัติตามย่อมมีบทลงโทษตามกฎหมายตามมา ซึ่งบทลงโทษของ PDPA สำหรับผู้ที่ไม่ปฏิบัติตามนั้น มีทั้งโทษทางแพ่ง โทษทางอาญา และโทษทางปกครองด้วย

โดยกฎหมาย PDPA Thailand (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล) ได้ประกาศไว้ในราชกิจจานุเบกษาเมื่อวันที่ 27 พฤษภาคม 2562 และมีผลบังคับใช้ในวันที่ 1 มิถุนายน 2565

ใครบ้างที่ต้องทำตามกฎหมาย PDPA

เมื่อกฎหมายนี้ถูกบังคับใช้ ผู้ที่เป็นเจ้าของข้อมูลส่วนบุคคลหรือคนทั่วไปอย่างเราๆ ในฐานะผู้ใช้งานเว็บไซต์ก็จะได้รับความคุ้มครองตาม กฎหมาย PDPA ส่วนผู้ประกอบการหรือเจ้าของเว็บไซต์ที่เข้าข่ายต้องปฏิบัติตามกฎหมาย PDPA แบ่งออกเป็น 3 ประเภทดังต่อไปนี้

1. เจ้าของเว็บไซต์ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล เป็นองค์กรที่เก็บหรือใช้ข้อมูลส่วนบุคคล เช่น บริษัทการตลาดที่เก็บข้อมูลลูกค้า บริษัทขายของออนไลน์

2. เป็นผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งได้รับการว่าจ้างให้ประมวลผลข้อมูลของลูกค้าหรือบุคคลใดๆ ตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคล

3. เป็นองค์กรที่อยู่นอกราชอาณาจักรแต่มีการเสนอขายสินค้าหรือบริการให้กับลูกค้าในประเทศไทย มีการโอนถ่ายข้อมูล อาทิ การเฝ้าติดตามพฤติกรรมผู้บริโภค อาจจะเป็น การตั้งกลุ่มเป้าหมายทำโฆษณาออนไลน์ หรือการรับจองรองแรมผ่านเว็บไซต์ ก็ถือว่าอยู่ในกลุ่มนี้ทั้งหมด

ธุรกิจที่มีเว็บไซต์ต้องเตรียมพร้อมอย่างไร

เมื่อธุรกิจมีการเก็บรวบรวม ใช้ หรือเปิดเผย หรือมีการประมวลผลข้อมูลส่วนบุคคลของผู้ใช้งาน จะต้องเตรียมความพร้อมตามหัวข้อต่อไปนี้

1. แจ้งว่านำข้อมูลส่วนบุคคลของผู้ใช้งานมาประมวลผลอย่างไร โดยการจัดทำ Privacy Policy หรือนโยบายคุ้มครองข้อมูลส่วนบุคคล

2. มีช่องทางในการขอความยินยอมการเก็บข้อมูลส่วนบุคคลจากผู้ใช้งาน โดยการสร้าง Cookie Consent Banner

3. มีช่องทางให้ผู้ใช้งานส่งคำร้องขอใช้สิทธิแก้ไขเปลี่ยนแปลงข้อมูลส่วนบุคคล โดยการสร้าง แบบฟอร์มการขอใช้สิทธิตาม PDPA

1. Privacy Policy

เว็บไซต์ต้องมี Privacy Policy (นโยบายความเป็นส่วนตัว) เมื่อมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เช่น การเก็บอีเมล์ เบอร์โทรศัพท์ เพื่อนำไปทำการตลาด เสนอสินค้าหรือบริการ หรือปรับปรุงประสบการณ์การใช้งาน เพื่อแจ้งผู้ใช้งานว่านำข้อมูลส่วนบุคคลไปประมวลผลอย่างไรบ้าง

Privacy Policy ควรบอกอะไรกับผู้ใช้งานบ้าง?

– ข้อมูลส่วนบุคคลที่ถูกเก็บมีอะไรบ้าง

– วิธีการจัดเก็บข้อมูลส่วนบุคคลนั้นๆ

– การเก็บข้อมูลส่วนบุคคลนั้นมีขั้นตอนอย่างไร

– วัตถุประสงค์ในการนำข้อมูลไปประมวลผล

– รายละเอียดในการเปิดเผยข้อมูลส่วนบุคคล เช่น มีการเปิดเผยข้อมูลส่วนบุคคลให้กับใครบ้าง

– สิทธิของเจ้าของข้อมูลส่วนบุคคล

– มาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคล

– รายละเอียดการติดต่อผู้ควบคุมข้อมูลส่วนบุคคล และเจ้าหน้าที่ผู้คุ้มครองข้อมูลส่วนบุคคล

2. Cookie Consent Banner

Cookie Consent Banner คือ ช่องทางสำหรับผู้ใช้งานในการเลือกให้ความยินยอมในการเก็บข้อมูลส่วนบุคคล

Cookie คือ ไฟล์ขนาดเล็กที่มีหน้าที่ในการจัดเก็บข้อมูลส่วนบุคคลของผู้ใช้งาน มีวัตถุประสงค์หลักในการจดจำข้อมูล เช่น ชื่อบัญชีผู้ใช้ ประวัติการเข้าชมและลักษณะการใช้งานเว็บไซต์ เพื่อนำไปประมวลผลตามจุดประสงค์ของผู้ให้บริการ เช่น การปรับปรุงประสบการณ์การใช้งาน การวิเคราะห์ข้อมูลเพื่อนำไปใช้ทำการตลาด เป็นต้น

Cookie มีกี่ประเภท?

1. คุกกี้ที่มีความจำเป็นอย่างยิ่ง (Strictly Necessary Cookies): มีความสำคัญต่อการทำงานของเว็บไซต์ ซึ่งช่วยให้ผู้เข้าชมสามารถเข้าถึงข้อมูล และใช้งานในเว็บไซต์ได้อย่างปลอดภัย

2. คุกกี้สำหรับการวิเคราะห์และวัดผลการทำงาน (Analytical/Performance Cookies): มีหน้าที่จดจำและนับจำนวนผู้เข้าชมเว็บไซต์ ตลอดจนวิเคราะห์พฤติกรรมในการเยี่ยมชมเว็บไซต์ เพื่อปรับปรุงการทำงานของเว็บไซต์

3. คุกกี้เพื่อการทำงานของเว็บไซต์ (Functionality Cookies): ทำหน้าที่จดจำการตั้งค่าการใช้งานเว็บไซต์ เช่น ภาษา ขนาดตัวอักษร หรือภูมิภาคของผู้ใช้งานเว็บไซต์

4. คุกกี้สำหรับกลุ่มเป้าหมาย (Targeting Cookies): ทำหน้าที่บันทึกการเยี่ยมชมเว็บไซต์ เช่น ลิงก์ที่เยี่ยมชม เพื่อนำข้อมูลไปปรับปรุงเนื้อหาให้ตรงกับความสนใจมากขึ้น และอาจมีการเปิดเผยข้อมูลให้กับบุคคลที่สาม

5. คุกกี้เพื่อการโฆษณา (Advertising Cookies): ทำการบันทึกข้อมูลของผู้ใช้งานเว็บไซต์ เพื่อนำเสนอขายสินค้าที่ตรงกับความสนใจของผู้ใช้งาน

3. แบบฟอร์มการขอใช้สิทธิตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล

ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลนั้น กำหนดให้ผู้ให้บริการต้องมีช่องทางอย่างง่ายให้ผู้ใช้งานเว็บไซต์ สามารถยื่นคำร้องขอใช้สิทธิในการขอลบ แก้ไข โอน ตลอดจนทำข้อมูลส่วนบุคคลให้เป็นปัจจุบัน ซึ่งอาจจะเป็นอีเมล์ จดหมาย หรือช่องทางใดๆ แต่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) นั้นต้องทำการตอบสนองคำขอดังกล่าวภายใน 30 วันหลังจากได้รับคำขอ

วิธีในการสร้างช่องทางคือการสร้างแบบฟอร์มขอใช้สิทธิ์บนหน้าเว็บไซต์ ที่ผู้ใช้งานสามารถกดเข้ามาใช้สิทธิ์และกรอกข้อมูลได้โดยง่าย คำร้องขอนั้นๆก็จะถูกส่งไปยังเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเพื่อให้ดำเนินการต่อไป