“เจ้าของข้อมูล” ได้รับสิทธิ์และความคุ้มครองจากกฎหมาย PDPA อย่างไร?

PDPA (Personal Data Protection Act) หรือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อาจเป็นเรื่องใกล้ตัวที่หลายคนมองข้าม เพราะคาดไม่ถึงว่าตนเองจะเข้าไปเกี่ยวข้องกับข้อมูลต่างๆ เหล่านั้นอย่างไร หากมองย้อนกลับมาทบทวนอย่างถี่ถ้วน จะพบว่าทุกสิ่งรอบตัวเราล้วนแล้วแต่เกี่ยวข้องกับ PDPA ด้วยกันทั้งสิ้น ดังนั้นวันนี้เราจะพาไปดูกันว่า เจ้าของข้อมูลนั้นมีสิทธิ์และความคุ้มครองจากกฎหมาย PDPA อย่างไร

เจ้าของข้อมูลส่วนบุคคลคือใคร?

เจ้าของข้อมูลส่วนบุคคล (Data Subject) คือ บุคคลธรรมดาซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลและหมายรวมถึงผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ ผู้อนุบาลที่มีอำนาจกระทำการแทนคนไร้ความสามารถ หรือผู้พิทักษ์ที่มีอำนาจกระทำการแทนคนเสมือนไร้ความสามารถ

เจ้าของข้อมูลส่วนบุคคลมีสิทธิ์อะไรในกฎหมาย PDPA

ข้อมูลทุกอย่างที่สื่อถึงตัวตนเราที่ไปปรากฏในทุกๆ ที่ จะถูกคุ้มครองโดย PDPA เพื่อป้องกันการละเมิดด้วยวิธีต่างๆ คือการเก็บ ใช้ เผยแพร่ และโอนข้อมูลโดยเราไม่รู้ตัว หรือไม่ยินยอม เช่น ข้อมูลที่ให้ไว้กับบริษัทเครือข่ายโทรศัพท์มือถือ ข้อมูลการสมัครบัตรสมาชิก บัตรเครดิต บัตรเอทีเอ็ม การลงทะเบียนเพื่อใช้งานเว็บไซต์ หรือแอปพลิเคชันต่างๆ ซึ่งโดยรวมแล้วเจ้าของข้อมูลมีสิทธิ์ต่างๆ ดังนี้

1. สิทธิ์ที่จะต้องได้รับการแจ้งให้ทราบ

ตามข้อบัญญัติของ PDPA นั้น ข้อมูลที่ผู้ให้บริการผลิตภัณฑ์ต่างๆ หรือหน่วยงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคล เก็บรวบรวมไว้ ผู้ให้บริการหรือหน่วยงานนั้นๆ จะถูกเรียกว่าผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่ที่จะต้องแจ้งรายละเอียด และวัตถุประสงค์ในการเก็บข้อมูล การนำไปใช้ และการเผยแพร่ รวมถึงระยะเวลาในการเก็บข้อมูลนั้นๆ ซึ่งจะต้องดำเนินการแจ้งให้เจ้าของข้อมูลทราบก่อนทำการเก็บข้อมูล นอกจากนี้ยังต้องแจ้งรายละเอียดของผู้ควบคุมข้อมูลส่วนบุคคลด้วยว่าเป็นใคร และติดต่อได้อย่างไร

2. สิทธิ์ในการขอเข้าถึงข้อมูลส่วนบุคคล

การตัดสินใจเกี่ยวกับข้อมูลส่วนบุคคลเป็นสิทธิ์โดยชอบธรรมของเจ้าของข้อมูลส่วนบุคคล ดังนั้นเจ้าของข้อมูลมีสิทธิ์ที่จะขอเข้าถึง และขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตนเองจากผู้ควบคุมข้อมูลส่วนบุคคล รวมทั้งยังสามารถขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลดังกล่าวในกรณีที่ไม่แน่ใจว่าตนเองได้ให้ความยินยอมหรือไม่ โดยสิทธิ์การเข้าถึงข้อมูลจะต้องไม่ขัดต่อกฎหมายหรือคำสั่งศาล และการใช้สิทธิ์นั้นต้องไม่ละเมิดสิทธิ์หรือเสรีภาพของบุคคลอื่น

*** มาตรา 30 ระบุว่า เจ้าของข้อมูลส่วนบุคคลมีสิทธิ์ขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตนซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลดังกล่าวที่ตนไม่ได้ให้ความยินยอม

3. สิทธิ์ในการขอให้โอนข้อมูลส่วนบุคคล

ในกรณีที่เจ้าของข้อมูลต้องการนำข้อมูลที่เคยให้ไว้กับผู้ควบคุมข้อมูลรายหนึ่ง ไปใช้กับผู้ควบคุมข้อมูลอีกราย เช่น ผู้ควบคุมข้อมูลส่วนบุคคลรายแรกได้ทำจัดทำข้อมูลส่วนบุคคลของเราไปอยู่ในรูปแบบต่างๆ ที่เข้าถึงได้ด้วยวิธีการอัตโนมัติ เจ้าของข้อมูลสามารถขอให้ผู้ควบคุมข้อมูลส่วนบุคคลที่จัดทำข้อมูลนั้น ทำการส่งหรือโอนข้อมูลดังกล่าวให้ได้ หรือจะขอให้ส่งไปยังผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นโดยตรงก็สามารถทำได้ หากไม่ติดขัดทางวิธีการและเทคนิค โดยการใช้สิทธิ์นั้นต้องไม่ขัดต่อกฎหมาย สัญญา หรือละเมิดสิทธิ์เสรีภาพของบุคคลอื่น

4. สิทธิ์คัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

ตาม มาตรา 32 เจ้าของข้อมูลส่วนบุคคลมีสิทธิ์คัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตนเมื่อใดก็ได้ ดังนั้นหากผู้ที่เป็นเจ้าของข้อมูลรู้สึกไม่มั่นใจถึงความปลอดภัยของข้อมูลที่ผู้ควบคุมข้อมูลเก็บไว้ ก็มีสิทธิ์ที่จะคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเมื่อใดก็ได้

5. สิทธิ์ขอให้ลบหรือทำลาย หรือให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้

ตาม มาตรา 33 ซึ่งระบุว่าเจ้าของข้อมูลส่วนบุคคลมีสิทธิ์ขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบ หรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้

สิทธิ์ในข้อนี้อาจเกิดขึ้นในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลนำข้อมูลไปเผยแพร่ในที่สาธารณะ หรือในพื้นที่ที่ผู้อื่นสามารถเข้าถึงตัวตนของเจ้าของข้อมูลได้โดยง่าย เจ้าของข้อมูลก็มีสิทธิ์ที่ขอให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการลบหรือทำลายข้อมูลนั้น หรือทำให้ข้อมูลนั้นไม่สามารถระบุตัวตนได้ และผู้ควบคุมข้อมูลต้องรับผิดชอบดำเนินการทั้งในทางเทคโนโลยีและค่าใช้จ่ายที่ต้องเสียเพื่อให้เป็นไปตามคำขอ

6. สิทธิ์ในการเพิกถอนความยินยอม

กรณีที่เจ้าของข้อมูลเคยให้ความยินยอมเพื่อเปิดเผยหรือให้ใช้ข้อมูลได้ แต่ต่อมาเกิดเปลี่ยนใจ เจ้าของข้อมูลสามารถแจ้งยกเลิกความยินยอมนั้นเมื่อใดก็ได้ โดยการยกเลิกจะต้องไม่ขัดต่อข้อจำกัดสิทธิ์ในการถอนความยินยอมทางกฎหมาย หรือสัญญาที่ทำไว้ก่อนหน้านี้

7. สิทธิ์ขอให้ระงับการใช้ข้อมูลส่วนบุคคลของตนเองชั่วคราว

จาก มาตรา 34 เจ้าของข้อมูลส่วนบุคคลมีสิทธิ์ขอให้ผู้ควบคุมข้อมูลส่วนบุคคลระงับการใช้ข้อมูลส่วนบุคคลได้ โดยการระงับใช้ข้อมูลนั้นเจ้าของข้อมูลส่วนบุคคลมีสิทธิ์กระทำได้ในทุกกรณี ไม่ว่าจะเป็นการเปลี่ยนใจไม่ต้องการให้ข้อมูลแล้ว หรือเปลี่ยนใจไม่ทำลายข้อมูลเมื่อถึงกำหนดเวลาในการทำลาย ก็สามารถทำได้ทั้งสิ้น

8. สิทธิ์ในการดำเนินการขอให้แก้ไขข้อมูลส่วนบุคคลให้ถูกต้องสมบูรณ์และเป็นปัจจุบัน

เจ้าของข้อมูลมีสิทธิ์ขอแก้ไขข้อมูลส่วนบุคคลให้มีความถูกต้อง เหมาะสม เป็นปัจจุบันมากที่สุด และไม่ก่อให้เกิดความเข้าใจผิดได้ โดยต้องแก้ไขนั้นต้องเป็นไปด้วยความสุจริตและไม่ขัดต่อกฎหมาย

บทลงโทษผู้กระทำผิดต่อเจ้าของข้อมูลส่วนบุคคลตามบัญญัติ PDPA

โทษทางแพ่ง

• ผู้กระทำผิดต้องชดใช้ค่าสินไหมทดแทนเพิ่มเติมได้ 2 เท่า ของค่าสินไหมทดแทนที่แท้จริง

โทษทางอาญา

• ต้องระวางโทษสูงสุดจำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 1,000,000 บาท หรือทั้งจำทั้งปรับ

• ในกรณีที่ผู้กระทำความผิดเป็นนิติบุคคล กรรมการหรือผู้จัดการ หรือบุคคลใดซึ่งรับผิดชอบ ในการดำเนินงานของนิติบุคคลนั้นอาจต้องร่วมรับผิดในความผิดอาญาที่เกิดขึ้น

โทษทางปกครอง

• มีโทษปรับสูงสุด 5,000,000 บาท

ข้อมูลส่วนบุคคลมีความสำคัญต่อความปลอดภัยของเจ้าของข้อมูล ดังนั้นหากถูกละเมิดสิทธิ์ สามารถแจ้งเรื่องร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ ซึ่งมีหน้าที่พิจารณาเรื่องร้องเรียนตามพระราชบัญญัตินี้ได้