Cool Uncle ⚖ Legal Lab02 สรุปคดีใน 30 วินาที
พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) บังคับใช้เต็มรูปแบบ 1 มิ.ย. 2565 ช่วง 2566–2567 PDPC รับเรื่องร้องเรียนเกิน 390 เรื่อง ส.ค. 2567 PDPC สั่งปรับเอกชน 7 ล้านบาท จากคดีข้อมูลลูกค้ารั่วไหล ฐานไม่มี DPO ไม่มีมาตรการรักษาความมั่นคงปลอดภัย และไม่จัดการเหตุละเมิดตามกรอบเวลา สะท้อนว่า PDPA มีโทษทั้งทางปกครองและทางอาญา
03 ดูข่าว/วีดีโอที่เกี่ยวข้อง
📺 วีดีโอแนะนำ: pending — ยังไม่มีคลิปที่ตรงกับคดีโดยตรง (บันทึกใน TODO_VIDEOS.md)
04 เบื้องหลัง — คดีนี้เกิดขึ้นได้อย่างไร
นับแต่ PDPA มีผลบังคับใช้เต็มรูปแบบในปี 2565 ภาพรวมชี้ว่าองค์กรจำนวนมากยังไม่พร้อม ทั้งเรื่องฐานการประมวลผล การขอความยินยอม การกำกับดูแลข้อมูลอ่อนไหว และระบบรักษาความมั่นคงปลอดภัย เมื่อเกิดเหตุละเมิดจริงจึงนำไปสู่คดีจริงและค่าปรับจริงครั้งแรก ๆ กับภาคเอกชน
05 ลำดับเหตุการณ์
1. PDPA มีผลบังคับใช้เต็มรูปแบบ พ.ศ. 2565
1 มิถุนายน 2565 พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลบังคับใช้เต็มรูปแบบ กำหนดฐานการประมวลผล การขอความยินยอม และหน้าที่ของผู้ควบคุมข้อมูล
2. เรื่องร้องเรียนสะสมเกิน 390 เรื่อง พ.ศ. 2566
ตลอดปี 2566 PDPC รับแจ้งเหตุและเรื่องร้องเรียนจำนวนมากเกินกว่า 390 เรื่อง สะท้อนว่าเหตุละเมิดเกิดขึ้นจริงและประชาชนเริ่มใช้ช่องทางร้องเรียน
3. PDPC มีคำสั่งปรับ 7 ล้านบาท พ.ศ. 2567
ส.ค. 2567 PDPC มีคำสั่งปรับเอกชนเป็นเงิน 7 ล้านบาท จากคดีเปิดเผยข้อมูลลูกค้า โดยฐานความผิดหลักคือองค์กรไม่มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ไม่มีมาตรการรักษาความมั่นคงปลอดภัย และแจ้งเหตุละเมิดล่าช้าจนเยียวยาไม่ทันเวลา
4. เริ่มคดีอาญา PDPA ชิ้นแรก ๆ พ.ศ. 2567
สื่อรายงานว่ามีคดีอาญา PDPA ชิ้นแรก ๆ ที่ผู้เสียหายร้องทุกข์ โดยมีศูนย์ช่วยเหลือและจัดการปัญหาการถูกละเมิดข้อมูลส่วนบุคคล (ศคด.) เข้าช่วยดำเนินคดี สะท้อนว่า PDPA มีทั้งกลไกทางปกครองและทางอาญา
06 ประเด็นกฎหมายที่คดีนี้ถาม
คำถาม: การประมวลผลข้อมูลต้องมีฐานที่ชอบด้วยกฎหมายหรือไม่ — คำตอบ: PDPA มาตรา 17 กำหนดฐานการประมวลผลข้อมูลส่วนบุคคลเป็นกติกาทั่วไป หากไม่มีฐานที่ชอบด้วยกฎหมาย เช่น หน้าที่ตามกฎหมาย ผลประโยชน์โดยชอบธรรม หรือความยินยอม การเก็บรวบรวมหรือใช้ข้อมูลย่อมผิดกฎหมาย confirmed
คำถาม: ความยินยอมใช้เมื่อใด — คำตอบ: PDPA มาตรา 20 ควบคุมกรณีที่ต้องอาศัยความยินยอมของเจ้าของข้อมูล ผู้ควบคุมข้อมูลต้องขอความยินยอมให้ชัดเจนและเป็นอิสระเมื่อไม่มีฐานการประมวลผลอื่นรองรับ confirmed
คำถาม: ข้อมูลอ่อนไหวมีการกำกับเข้มงวดกว่าหรือไม่ — คำตอบ: PDPA มาตรา 26 กำหนดหลักเกณฑ์เข้มงวดสำหรับข้อมูลที่ไวต่อการละเมิด การประมวลผลข้อมูลอ่อนไหวต้องเป็นไปตามเงื่อนไขที่กฎหมายกำหนดเป็นพิเศษ confirmed
คำถาม: องค์กรต้องมีมาตรการรักษาความมั่นคงปลอดภัยอย่างไร — คำตอบ: PDPA มาตรา 35–36 กำหนดให้ผู้ควบคุมข้อมูลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมกับความเสี่ยง เพื่อให้มั่นใจว่าการประมวลผลจะไม่กระทบสิทธิของเจ้าของข้อมูล ความปลอดภัยของข้อมูลจึงเป็นหน้าที่ทางกฎหมาย ไม่ใช่เรื่องเทคนิคอย่างเดียว confirmed
คำถาม: เมื่อเกิดเหตุละเมิดต้องแจ้งใครและเมื่อใด — คำตอบ: PDPA มาตรา 37 กำหนดหน้าที่แจ้งเหตุละเมิดต่อสำนักงานภายในกรอบเวลาที่กฎหมายกำหนด และเมื่อมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคลต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยา การแจ้งล่าช้ากระทบต่อประสิทธิภาพในการเยียวยาและเพิ่มโอกาสถูกสั่งลงโทษ confirmed
คำถาม: โทษทางปกครองและอัตราปรับเป็นอย่างไร — คำตอบ: PDPA มาตรา 77–91 กำหนดโทษทางปกครองรวมถึงคำสั่งปรับ และกรอบความรับผิดของผู้ควบคุมและผู้ประมวลผลข้อมูล มาตรา 88–91 ใช้กำหนดขอบเขตความรับผิดในกรณีผู้ควบคุมข้อมูลเป็นผู้ถูกพิจารณา confirmed
คำถาม: กระบวนการทางปกครองและทางอาญาต่างกันอย่างไร — คำตอบ: PDPA มีสองเส้นทางควบคู่กัน คำสั่งปรับของ PDPC เป็นคนละขั้นตอนกับคดีอาญา แม้มีฐานความเสียหายร่วมกัน ผู้เรียนกฎหมายต้องแยก แนวคำสั่งของ PDPC ออกจากกระบวนคดีอาญาที่อาศัยพยานและองค์ประกอบความผิด confirmed
07 บทบัญญัติที่เกี่ยวข้อง (กดดูบทกฎหมายเต็ม)
มาตรา 17 — พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
สถานะ: external_law — ไม่อยู่ใน codex — ฐานการประมวลผลข้อมูล
มาตรา 20 — พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
สถานะ: external_law — ไม่อยู่ใน codex — ความยินยอม
มาตรา 26 — พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
สถานะ: external_law — ไม่อยู่ใน codex — ข้อมูลอ่อนไหว
มาตรา 35 — พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
สถานะ: external_law — ไม่อยู่ใน codex — มาตรการรักษาความมั่นคงปลอดภัย
มาตรา 37 — พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
สถานะ: external_law — ไม่อยู่ใน codex — หน้าที่แจ้งเหตุละเมิด
มาตรา 77–91 — พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
สถานะ: external_law — ไม่อยู่ใน codex — บทกำหนดโทษทางปกครอง
08 บทเรียนจากคดีนี้
-
อย่ามองคดีข้อมูลรั่วไหลเป็นเพียงเหตุการณ์ปลายทาง ควรฝึกอ่านเป็นลำดับหน้าที่ขององค์กร เริ่มจากฐานการประมวลผล (ม.17) และความยินยอม (ม.20) ข้อมูลอ่อนไหว (ม.26) แล้วจึงดูมาตรการรักษาความมั่นคงปลอดภัย (ม.35–36) ที่ต้องเหมาะสมกับความเสี่ยง
-
DPO และระบบกำกับดูแลไม่ใช่องค์ประกอบเชิงสัญลักษณ์ กฎหมายต้องการระบบที่ทำให้การป้องกันและการตอบสนองต่อเหตุเกิดขึ้นจริง ไม่ใช่เพียงการแต่งตั้งชื่อแล้วจบ เมื่อไม่มีระบบย่อมสะท้อนความบกพร่องตามหน้าที่
-
เมื่อเกิดเหตุ เวลา มีความสำคัญทางกฎหมาย หน้าที่แจ้งเหตุละเมิดและการแจ้งเจ้าของข้อมูลตามกรอบเวลาที่กฎหมายกำหนด หากแจ้งล่าช้าย่อมกระทบต่อประสิทธิภาพในการเยียวยาและเพิ่มโอกาสถูกสั่งลงโทษ
-
PDPA มีสองเส้นทางควบคู่ คือทางปกครองและทางอาญา คำสั่งปรับของ PDPC เป็นคนละขั้นตอนกับคดีอาญา แม้มีฐานความเสียหายร่วมกัน สิทธิของเจ้าของข้อมูลจะเกิดผลจริงก็ต่อเมื่อองค์กรปฏิบัติตามหน้าที่ครบถ้วนตั้งแต่ต้นจนปลาย