กฎหมาย pdpa และ GDPR สำคัญแค่ไหน มีหลักเกณฑ์ป้องกันข้อมูลรั่วไหลอย่างไร

unyana

สำหรับกฎหมาย pdpa แม้ว่าจะมีบทลงโทษรุนแรงน้อยกว่า โดยเรียกค่าปรับสูงสุดไม่เกิน 1 ล้านบาท แต่ก็เพียงพอที่แสดงให้เห็นว่ากฎหมายใหม่มีความสำคัญซึ่งจะส่งผลกระทบต่อหลายฝ่าย รวมทั้งภาครัฐและองค์กรธุรกิจโดยรวมอย่างแน่นอน

        การทำความเข้าใจกฎหมาย GDPR และ pdpa คือ เป็นขั้นแรกของการคุ้มครองข้อมูลส่วนบุคคลเพื่อให้ทำตามกฎหมายถูกต้องและป้องกันข้อมูลรั่วไหลให้มีความปลอดภัยตามมาตรฐานสากล หลักเกณฑ์สำคัญของของกฎหมายใหม่คือ
- ให้สิทธิเจ้าของข้อมูลรับทราบว่ามีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลนั้นเพื่อวัตถุประสงค์ใดและเป็นระยะเวลาเท่าไร
- เจ้าของข้อมูลมีสิทธิ์แก้ไข ลบ โอน หรือเพิกถอนความยินยอมได้ทุกเมื่อ
- สิทธิคัดค้านการประมวลผลข้อมูลของตนเอง
- สิทธิคัดค้านการตัดสินใจแทนแบบอัตโนมัติ เป็นส่วนหนึ่งของกฎหมาย GDPR แต่กฎหมายของ pdpa ถูกเลื่อนออกไปก่อน ต้องรอดูว่าท้ายที่สุดจะมีสาระสำคัญนี้เป็นมาตรฐานเดียวกันหรือไม่

สรุปหลักเกณฑ์ในการควบคุมข้อมูลให้ปลอดภัยไม่รั่วไหลออกไปโดยคร่าว ๆ ดังนี้
1.กฎหมาย pdpa และ GDPR ไม่ได้จำกัดเฉพาะในดินแดนประเทศไทยและสหภาพยุโรปเท่านั้น แต่ครอบคลุมถึงคู่ค้าและบุคคลที่อยู่นอกอาณาเขตประเทศด้วย ไม่ว่าจะเป็นการส่งข้อมูลผ่านออนไลน์หรือออฟไลน์ต้องดูแลให้เป็นไปตามข้อกำหนดกฎหมาย สิ่งแรกที่ต้องทำคือการขอความยินยอมจากบุคคลให้เข้าถึง เก็บบันทึก และใช้ประโยชน์ข้อมูลนั้น คำยินยอมเป็นลายลักษณ์อักษรบนแผ่นกระดาษหรือในระบบออนไลน์อย่างชัดเจน

2.กฎหมาย GDPR และ pdpa ให้สิทธิ์เจ้าของข้อมูลในการติดตามการใช้ข้อมูลตามวัตถุประสงค์เท่านั้น มีสิทธิ์สั่งให้องค์กรลบข้อมูลรวมทั้งลบสำเนาที่คัดลอกไปเผยแพร่แก่บุคคลภายนอกด้วย ในกรณีที่ต้องการทำการประมวลผลข้อมูลส่วนบุคคล ต้องแจ้งให้เจ้าของข้อมูลทราบว่ามีวัตถุประสงค์อะไรและได้รับความยินยอมจากเจ้าของข้อมูลก่อน หากบุคคลนั้นต้องการสำเนาข้อมูลที่ประมวลผลนั้น จะต้องจัดทำให้โดยไม่คิดค่าใช้จ่าย

3.หากองค์กรปกป้องความปลอดภัยไม่ได้ แล้วเกิดเหตุข้อมูลรั่วไหลหรือเกิดความเสียหาย ต้องแจ้งให้ผู้เสียหายรับทราบทันที รวมทั้งองค์กรต้องยอมรับบทลงโทษรุนแรงอย่างหลีกเลี่ยงไม่ได้ โดย กฎหมาย pdpa (เพิ่มเติม: https://www.marketingoops.com/news/biz-news/pdpa-columbus-agency/) ระบุให้จ่ายค่าปรับระหว่าง 500,000 บาทถึง 1 ล้านบาท ส่วนกฎหมาย GDPR กำหนดโทษปรับสูงสุด 20 ล้านยูโร หรือ 4% ของรายได้ทั้งปีทั่วโลก

        เห็นได้ชัดว่าการกำหนดมาตรฐานกฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือ pdpa คือ เรื่องที่ส่งผลกระทบรุนแรงซึ่งบีบให้ผู้ควบคุมข้อมูลต้องเพิ่มความรัดกุมด้านนโยบายความเป็นส่วนตัวยิ่งขึ้น โดยเฉพาะผู้ขายสินค้าและบริการบนโลกออนไลน์และโซเชียลมีเดียต่าง ๆ ต้องปรับตัวรับมือกับความเปลี่ยนแปลงนี้อย่างเร่งด่วนก่อนที่จะเริ่มใช้กฎหมายอย่างจริงจัง

แหล่งที่มาข้อมูล
https://news.microsoft.com/th-th/2020/03/05/pdpaguide-th/