หน้าที่ผู้ควบคุมข้อมูลส่วนบุคคลตาม พ.ร.บ.คุ้มครองข้อมูล

  พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ) เป็นกฎหมายที่บัญญัติถึงหน้าที่และความรับผิดของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล   เพื่อให้การประมวลผลข้อมูลส่วนบุคคลเป็นไปโดยชอบด้วยกฎหมาย โดยบทความนี้จะอธิบายถึงหน้าที่ของผู้ควบคุมข้อมูลเท่านั้น   มาตรา 6 กำหนดนิยามของผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ว่าคือ บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เห็นได้ว่าผู้ควบคุมข้อมูลเป็นได้ทั้งบุคคลธรรมดาและนิติบุคคล เช่น ผู้ประกอบธุรกิจรูปแบบเจ้าของคนเดียว ผู้ประกอบธุรกิจ SME บริษัทจำกัด หน่วยงานของรัฐ เป็นต้น โดยผู้ควบคุมข้อมูลมี “อำนาจในการตัดสินใจ” เกี่ยวกับวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคล   ผู้ควบคุมข้อมูลอาจมีความสัมพันธ์กับเจ้าของข้อมูลส่วนบุคคลตามสัญญาหรือไม่มีความผูกพันตามสัญญาก็ได้ โดยเจ้าของข้อมูลอาจมีสถานะเป็นลูกค้า คู่ค้า พนักงาน ผู้สมัครงาน หรือผู้มาติดต่อของผู้ควบคุมข้อมูล     (ภาพถ่ายโดย Kelly L)   ซึ่งหน้าที่ของผู้ควบคุมข้อมูลที่มีต่อเจ้าของข้อมูลตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ มีดังต่อไปนี้     1. หน้าที่ในการแจ้งรายละเอียดเกี่ยวกับการประมวลผล   มาตรา 23 กำหนดให้ผู้ควบคุมข้อมูลมีหน้าที่แจ้งรายละเอียดเกี่ยวกับการประมวลผลข้อมูลให้เจ้าของข้อมูลทราบ ไม่ว่าผู้ควบคุมข้อมูลจะได้รับข้อมูลจากเจ้าของข้อมูลโดยตรงหรือจากแหล่งอื่น…

ข้อมูลส่วนบุคคล ที่เป็นภาพถ่าย ภาพเคลื่อนไหว

  พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลใช้บังคับเต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 ตามบทบัญญัติดังกล่าว มีข้อกฎหมายที่สำคัญ ที่เกี่ยวกับการดำเนินชีวิตประจำวันในการบันทึกภาพและการใช้และเผยแพร่ภาพที่บันทึกไว้ของบุคคลทั่วไป และผู้ประกอบกิจการ   ข้อกฎหมายที่เกี่ยวข้องดังกล่าว คือ ภาพถ่ายบุคคล ทั้งภาพนิ่งและภาพเคลื่อนไหวของบุคคลถือเป็นข้อมูลส่วนบุคคลหรือไม่   เมื่อพิจารณา จากคำนิยามศัพท์ของ คำว่า “ข้อมูลส่วนบุคคล” ที่หมาย หมายความว่าข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูล ของผู้ถึงแก่กรรมโดยเฉพาะ   จากคำนิยามของคำว่าข้อมูลส่วนบุคคล แล้วเห็นว่า ภาพถ่ายบุคคล ไม่ว่าจะเป็น ภาพเดี่ยวหรือถ่ายตั้งแต่สองคนขึ้นไปเป็นกลุ่มบุคคล หรือที่เรียกว่าภาพหมู่ สามารถระบุตัวบุคคลนั้นได้ จึงเข้าข่ายเป็น ข้อมูลส่วนบุคคล   ภาพถ่ายฝูงชน (Photographs of crowds) เช่น ภาพถ่ายฝูงชนที่เข้าไปชมการแข่งขันกีฬา หรือชมการแสดง หรือกระทำกิจกรรมอย่างหนึ่งอย่างใด หากไม่สามารถระบุตัวบุคคลใดได้อย่างชัดแจ้งเฉพาะเจาะจง ก็ไม่อาจถือได้ว่าเป็นข้อมูลส่วนบุคคลของบุคคลใด   แต่ถ้าหากมีการขยายภาพ และตัดส่วนภาพ (crop ) จนเหลือภาพบุคคล ผู้หนึ่งผู้ใด ซึ่งสามารถยืนยันตัวบุคคลได้ชัดเจน…

“ความยินยอม” ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 “ความยินยอม” เป็นฐานทางกฎหมายในการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ฐานหนึ่งในหลาย ๆ ฐานที่กฎหมายกำหนดไว้ เพื่อให้ “ผู้ควบคุมข้อมูลส่วนบุคคล” ใช้เป็นเครื่องมือในการบรรลุวัตถุประสงค์การใช้ข้อมูลส่วนบุคคล ทั้งข้อมูลส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคลตามมาตรา 26 อาทิ เชื้อชาติ ศาสนา ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ และข้อมูลชีวภาพ เป็นต้น ก่อนที่จะใช้ความยินยอมเป็นฐานการประมวลผลข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตรวจสอบก่อนว่าความยินยอมเป็นฐานทางกฎหมายที่สอดคล้องกับกิจกรรมการประมวลผล ลักษณะการประมวลผล และกฎหมายอื่น ๆ ที่เกี่ยวข้องหรือไม่ เนื่องจากตามมาตรา 19 วรรคท้ายกำหนดว่า การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่ไม่เป็นไปตามที่กำหนดไว้ในหมวดนี้ (หมวด 2 มาตรา 19-29 ) ไม่มีผลผูกพันเจ้าของข้อมูลส่วนบุคคลและไม่ทำให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถทำการประมวลผลข้อมูลส่วนบุคคลได้ เมื่อพิจารณาแล้วว่าความยินยอมเป็นฐานทางกฎหมายที่เหมาะสม ถูกต้อง จึงพิจารณาเงื่อนไขของการจัดทำความยินยอมที่ชอบด้วยกฎหมายตามที่กำหนดไว้ในมาตรา 19 ดังนี้ 1) ต้องได้รับความยินยอมเมื่อใด: ต้องได้มาก่อนหรือในขณะที่จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยจะขอความยินยอมทีหลัง หรือขอย้อนหลังไม่ได้ 2)…

Right to be forgotten คำขอร้องเพื่อถูกลืม/Cool Tech จิตต์สุภา ฉิน

Delete Remove Trash Can Application Graphic Right to be forgotten คำขอร้องเพื่อถูกลืม   เมื่อชีวิตของเราผูกพันกับอินเตอร์เน็ตไปในทุกแง่มุม ทั้งเรื่องงานไปจนถึงเรื่องส่วนตัวจึงไม่ใช่เรื่องน่าแปลกใจเลยหากข้อมูลส่วนตัวบางอย่างของเราอาจจะถูกเผยแพร่ออกไปบนโลกอินเตอร์เน็ตโดยที่เราไม่รู้ตัว   ซ้ำร้ายไปกว่านั้นหากข้อมูลส่วนตัวที่ว่าไปปรากฏอยู่ในผลลัพธ์การค้นหาของ Google ด้วย ก็จะยิ่งเป็นการเพิ่มโอกาสที่ข้อมูลของเราจะถูกหยิบฉวยไปใช้ให้กลับมาเป็นโทษต่อตัวเราเองได้   Right to be forgotten หรือสิทธิที่จะถูกลืมเป็นแนวคิดที่มีการพูดถึงและใช้จริงมานานหลายปีแล้ว   สิทธินี้หมายถึงการที่เจ้าของข้อมูลสามารถดำเนินเรื่องร้องขอให้มีการปลดข้อมูลส่วนตัวของตัวเองลงจากผลลัพธ์การค้นหาบนอินเตอร์เน็ตได้   ลองนึกดูว่าหากช่วงใดช่วงหนึ่งของชีวิตเราเคยตัดสินใจผิดพลาด อาจจะด้วยความเยาว์ในช่วงเวลานั้นหรือการถูกกลั่นแกล้งใส่ร้ายให้เสียหายและมีหลักฐานปรากฏหราอยู่บนอินเตอร์เน็ต ทุกครั้งที่มีคนเสิร์ชชื่อเราซึ่งอาจจะเป็นนายจ้างขององค์กรที่เราไปยื่นใบสมัครงานไว้ หรือแม้กระทั่งคนที่เรากำลังจะไปออกเดตด้วย ผลลัพธ์การค้นหาที่แสดงให้เห็นถึงเรื่องราวชีวิตที่น่าอายของเราก็จะปรากฏขึ้นมาให้คนเหล่านั้นได้เห็นก่อนที่พวกเขาจะได้สัมผัสถึงตัวตนที่แท้จริงของเราเสียด้วยซ้ำ   สิทธิที่จะถูกลืมคือการหยิบยื่นโอกาสในการลบอดีตอันน่าอายและไม่เป็นธรรมของเราทิ้งไปและทำให้เราใช้ชีวิตต่อไปได้โดยไม่ต้องคอยหวาดระแวงอยู่เสมอ   การปลดข้อมูลที่เราต้องการลืมทิ้งไปไม่ได้หมายความว่าเราจะสามารถยื่นเรื่องเพื่อบังคับให้เว็บไซต์ต้นตอลบข้อมูลของเราทิ้งได้ แต่เป็นการขอให้เสิร์ชเอนจิ้นซึ่งรายใหญ่ที่สุดก็คือ Google ช่วยปลดลิงค์เหล่านั้นออกไม่ให้ปรากฏอยู่ในผลลัพธ์การค้นหาอีกต่อไป   ดังนั้น แม้เว็บไซต์ต้นทางจะยังอยู่ แต่เวลาใครค้นหาชื่อเรา ลิงค์นั้นก็จะไม่ปรากฏขึ้นมาให้คลิกเข้าไปดูได้อีกต่อไป   กรณีที่มีการหยิบยกสิทธิในการถูกลืมมาพูดถึงบ่อยๆ ก็อย่างเช่น สิ่งที่เรียกว่า revenge porn หรือการที่แฟนเก่านำภาพลับในตอนที่ยังคบกันออกมาเผยแพร่สู่สาธารณชนโดยไม่ได้รับการยินยอม สร้างความอับอายและเสื่อมเสียชื่อเสียงให้กับคนๆ นั้น สิทธิที่จะถูกลืมจึงเป็นเครื่องมือที่จะช่วยเหยื่อกลุ่มนี้ได้…

ระวังแก๊งคอลเซ็นเตอร์ อ้างเป็นเจ้าหน้าที่ สปสช. เพื่อขโมยข้อมูลส่วนตัว

ระวังแก๊งคอลเซ็นเตอร์ อ้างเป็นเจ้าหน้าที่ สปสช.โทรหลอกถามข้อมูลส่วนบุคคล ชี้ สปสช.จะโทรหากรณีเดียวคือถามผู้ป่วยโควิด-19 ที่ลงทะเบียนเข้า Home Isolation ว่าจะให้จัดส่งยาให้ที่บ้านระหว่างรอหน่วยบริการตอบรับ ไม่มีสอบถามข้อมูลส่วนบุคคลและไม่โทรหาในกรณีอื่นๆ   ระวังแก๊งคอลเซ็นเตอร์ อ้างเป็นเจ้าหน้าที่ สปสช. ขโมยข้อมูลส่วนตัว   ภาพ : สำนักงานหลักประกันสุขภาพแห่งชาติ   ทพ.อรรถพร ลิ้มปัญญาเลิศ รองเลขาธิการในฐานะโฆษกสำนักงานหลักประกันสุขภาพแห่งชาติ (สปสช.) เปิดเผยว่า สปสช.ได้รับรายงานว่าในระยะนี้มีแก๊งคอลเซ็นเตอร์โทรศัพท์ล่อลวงประชาชนหลอกถามข้อมูลส่วนบุคคลโดยอ้างว่าเป็นเจ้าหน้าที่จาก สปสช. หรือจากสายด่วน สปสช. 1330   ดังนั้นจึงขอแจ้งให้ประชาชนโปรดระมัดระวังตัว ไม่หลงเชื่อคำแอบอ้างดังกล่าว และขอยืนยันว่า สปสช. จะโทรหาประชาชนในกรณีเดียวเท่านั้นคือเมื่อบุคคลนั้นลงทะเบียนเข้ารับการดูแลในระบบ Home Isolation และไม่ได้รับการติดต่อกลับจากหน่วยบริการ อีกทั้งการโทรหาผู้ป่วยก็จะไม่สอบถามข้อมูลส่วนบุคคลเนื่องจากผู้ป่วยได้แจ้งข้อมูลตั้งแต่ขั้นตอนการลงทะเบียนแล้ว   “ช่วงนี้เราจะเห็นแก๊งคอลเซ็นเตอร์พัฒนารูปแบบการหลอกลวงโดยแอบอ้างว่าเป็นเจ้าหน้าที่จากหน่วยงานต่างๆตั้งแต่เจ้าหน้าที่ธนาคาร ตำรวจ ปปส. ไปรษณีย์ กสทช. และล่าสุดคือ สปสช. ซึ่งมักหลอกถามข้อมูลส่วนบุคคล เช่น ชื่อ นามสกุล วันเดือนปีเกิด เบอร์โทรศัพท์ หมายเลขบัตรประชาชน…

วิธีแจ้ง Google ลบข้อมูลส่วนตัวที่ปรากฎบนผลค้นหาของ Google Search ออก

  วิธีแจ้ง Google ลบข้อมูลส่วนตัวที่ปรากฎบนผลค้นหาของ Google Search โดย Google ได้แสดงตัวเลือกใหม่ ที่ช่วยให้คุณสามารถลบข้อมูลส่วนบุคคลของคุณออกจากผลการค้นหาเช่น รหัสผ่าน หมายเลขโทรศัพท์ ชื่อ นามสกุล และที่อยู่จริงได้โดยการส่งร้องเรียนมายัง Google ได้ โดยมีรายละเอียดขั้นตอนดังนี้   วิธีแจ้ง Google ลบข้อมูลส่วนตัวที่ปรากฎบนผลค้นหาของ Google Search ออก สามารถเข้าในหน้า Google Support คลิกที่นี่ แล้วคลิกที่ปุ่ม เริ่มส่งคําขอนําออก แล้วทำตามขั้นตอน ซึ่งขั้นตอนนั้นอธิบายเป็นภาษาไทยหมดเลย   เงื่อนไขข้อกําหนดในการนำข้อมูลส่วนบุคคลออกจาก Google Search เนื้อหานั้นต้องเป็นข้อมูลประเภทต่อไปนี้ –  หมายเลขประจำตัวประชาชนที่เป็นความลับ เช่น หมายเลขประกันสังคมของสหรัฐอเมริกา, หมายเลขประจำตัวผู้เสียภาษีส่วนบุคคลของอาร์เจนตินา, Cadastro de pessoas Físicas ของบราซิล, หมายเลขทะเบียนผู้พำนักในเกาหลี, บัตร –  ประจำตัวผู้พำนักในจีน เป็นต้น –  หมายเลขบัญชีธนาคาร…