บทบาทของกรรมการบริษัทต่อกฎหมายคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีอะไรบ้าง?
หัวข้อ สรุป ทิศทางของผู้ประกอบการก่อนเริ่มใช้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล

​

   พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
มีผลบังคับใช้ทั้งกับ บุคคลธรรมดา นิติบุคคล หน่วยงานภาครัฐ รัฐวิสาหกิจ ภาคเอกชน ล้วนจะต้องปฏิบัติตาม พ.ร.บ.ฉบับนี้ทั้งนั้น ซึ่งบทลงโทษของพ.ร.บ.ฉบับนี้สูงถึง 5 ล้านบาท ส่งผลให้ผู้ประกอบการเริ่มตระหนักถึงความสำคัญของข้อมูลส่วนบุคคลมากขึ้น จึงขออัพเดตทิศทางของผู้ประกอบการที่มีต่อ พ.ร.บ. ฉบับนี้ ดังต่อไปนี้
1. มีเวลาเตรียมตัวเพิ่มขึ้น
เนื่องจากความไม่พร้อมขององค์กรหลาย ๆ ส่วนทำให้มีประกาศ “ พระราชกฤษฎีกา กำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ” ตั้งแต่วันที่ 27 พฤษภาคม 2563 จนถึงวันที่ 31 พฤษภาคม 2564 ส่งผลให้พ.ร.บ.ฉบับนี้จะมีผลบังคับใช้กับกิจการตามที่ พ.ร.ฎ. กำหนด ในวันที่ 1 มิถุนายน 2564  จึงมีเวลาให้หน่วยงานต่าง ๆ ได้เตรียมตัว และตรวจสอบความเรียบร้อยมากขึ้น
2. จัดมาตรฐานความปลอดภัยของข้อมูลส่วนบุคคล
แม้ว่าจะมีประกาศยกเว้นให้บางหน่วยงานยังไม่ต้องอยู่ภายใต้กฎหมายฉบับนี้ แต่หน่วยงานต่าง ๆ ยังจำเป็นต้องมีมาตรฐานการรักษาความปลอดภัยที่เหมาะสม ตาม “ ประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. 2563 ” เช่น จัดให้มีมาตรการป้องกันด้านการบริหารจัดการ ด้านเทคนิค และด้านกายภาพ แจ้งมาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคลให้แก่บุคคลากร พนักงาน หรือบุคคลที่เกี่ยวข้องทราบ ฯลฯ
3. สร้างความตระหนัก
กฎหมายระบุให้กรรมการอาจมีส่วนร่วมในความรับผิดด้วย ในกรณีที่ผู้กระทำความผิดเป็นนิติบุคคล หากเกิดจากการสั่งการหรือการกระทำของกรรมการ ผู้จัดการ หรือบุคคลที่รับผิดชอบเกี่ยวกับการดำเนินงานของนิติบุคคล ที่ส่งผลให้นิติบุคคลนั้นกระทำความผิด บุคคลดังกล่าวต้องรับโทษตามที่บัญญัติไว้สำหรับความผิดนั้น ๆ ด้วย (มาตรา 81 พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562) ดังนั้น หน่วยงานต่าง ๆ ควรเริ่มปฏิบัติให้ถูกต้องตามกฎหมายเพราะนอกจากจะโดนบทลงโทษที่แรงแล้ว ยังสูญเสียความน่าเชื่อถือต่อองค์กรธุรกิจอีกด้วย
4. เริ่มเตรียมความพร้อมและตรวจสอบความถูกต้อง
แม้จะมี พ.ร.ฎ. ยกเว้นบางกิจการยังไม่ต้องอยู่ภายใต้พ.ร.บ.ฉบับนี้แต่ผู้ประกอบการไหนที่ยังไม่ได้มีการเตรียมความพร้อม ควรเริ่มมีการวางระบบที่เหมาะสมถูกต้อง วางแผนแนวทางการจัดการเกี่ยวกับข้อมูลส่วนบุคคล ควรประเมินความเสี่ยงที่เกิดขึ้น อบรมสร้างความรู้ความเข้าใจให้กับบุคคลากรภายในองค์กร และสร้างความตระหนักถึงความปลอดภัยของข้อมูลส่วนบุคคลอยู่เสมอ
  การไม่ปฏิบัติตาม พ.ร.บ.ฉบับนี้ นอกจากจะได้รับโทษตามที่กฎหมายระบุแล้ว ธุรกิจยังสูญเสียความน่าเชื่อถือและสูญเสียโอกาสทางการค้าอย่างมากมาย และถึงแม้ธุรกิจใดจะมีการเตรียมการแล้วก็ควรต้องมีการตรวจสอบความถูกต้องครบถ้วน ก่อนกฎหมายบังคับใช้ต่อไป   พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
มีผลบังคับใช้ทั้งกับ บุคคลธรรมดา นิติบุคคล หน่วยงานภาครัฐ รัฐวิสาหกิจ ภาคเอกชน ล้วนจะต้องปฏิบัติตาม พ.ร.บ.ฉบับนี้ทั้งนั้น ซึ่งบทลงโทษของพ.ร.บ.ฉบับนี้สูงถึง 5 ล้านบาท ส่งผลให้ผู้ประกอบการเริ่มตระหนักถึงความสำคัญของข้อมูลส่วนบุคคลมากขึ้น จึงขออัพเดตทิศทางของผู้ประกอบการที่มีต่อ พ.ร.บ. ฉบับนี้ ดังต่อไปนี้
1. มีเวลาเตรียมตัวเพิ่มขึ้น
เนื่องจากความไม่พร้อมขององค์กรหลาย ๆ ส่วนทำให้มีประกาศ “ พระราชกฤษฎีกา กำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ” ตั้งแต่วันที่ 27 พฤษภาคม 2563 จนถึงวันที่ 31 พฤษภาคม 2564 ส่งผลให้พ.ร.บ.ฉบับนี้จะมีผลบังคับใช้กับกิจการตามที่ พ.ร.ฎ. กำหนด ในวันที่ 1 มิถุนายน 2564  จึงมีเวลาให้หน่วยงานต่าง ๆ ได้เตรียมตัว และตรวจสอบความเรียบร้อยมากขึ้น
2. จัดมาตรฐานความปลอดภัยของข้อมูลส่วนบุคคล
แม้ว่าจะมีประกาศยกเว้นให้บางหน่วยงานยังไม่ต้องอยู่ภายใต้กฎหมายฉบับนี้ แต่หน่วยงานต่าง ๆ ยังจำเป็นต้องมีมาตรฐานการรักษาความปลอดภัยที่เหมาะสม ตาม “ ประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. 2563 ” เช่น จัดให้มีมาตรการป้องกันด้านการบริหารจัดการ ด้านเทคนิค และด้านกายภาพ แจ้งมาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคลให้แก่บุคคลากร พนักงาน หรือบุคคลที่เกี่ยวข้องทราบ ฯลฯ
3. สร้างความตระหนัก
กฎหมายระบุให้กรรมการอาจมีส่วนร่วมในความรับผิดด้วย ในกรณีที่ผู้กระทำความผิดเป็นนิติบุคคล หากเกิดจากการสั่งการหรือการกระทำของกรรมการ ผู้จัดการ หรือบุคคลที่รับผิดชอบเกี่ยวกับการดำเนินงานของนิติบุคคล ที่ส่งผลให้นิติบุคคลนั้นกระทำความผิด บุคคลดังกล่าวต้องรับโทษตามที่บัญญัติไว้สำหรับความผิดนั้น ๆ ด้วย (มาตรา 81 พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562) ดังนั้น หน่วยงานต่าง ๆ ควรเริ่มปฏิบัติให้ถูกต้องตามกฎหมายเพราะนอกจากจะโดนบทลงโทษที่แรงแล้ว ยังสูญเสียความน่าเชื่อถือต่อองค์กรธุรกิจอีกด้วย
4. เริ่มเตรียมความพร้อมและตรวจสอบความถูกต้อง
แม้จะมี พ.ร.ฎ. ยกเว้นบางกิจการยังไม่ต้องอยู่ภายใต้พ.ร.บ.ฉบับนี้แต่ผู้ประกอบการไหนที่ยังไม่ได้มีการเตรียมความพร้อม ควรเริ่มมีการวางระบบที่เหมาะสมถูกต้อง วางแผนแนวทางการจัดการเกี่ยวกับข้อมูลส่วนบุคคล ควรประเมินความเสี่ยงที่เกิดขึ้น อบรมสร้างความรู้ความเข้าใจให้กับบุคคลากรภายในองค์กร และสร้างความตระหนักถึงความปลอดภัยของข้อมูลส่วนบุคคลอยู่เสมอ
  การไม่ปฏิบัติตาม พ.ร.บ.ฉบับนี้ นอกจากจะได้รับโทษตามที่กฎหมายระบุแล้ว ธุรกิจยังสูญเสียความน่าเชื่อถือและสูญเสียโอกาสทางการค้าอย่างมากมาย และถึงแม้ธุรกิจใดจะมีการเตรียมการแล้วก็ควรต้องมีการตรวจสอบความถูกต้องครบถ้วน ก่อนกฎหมายบังคับใช้ต่อไป    พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
มีผลบังคับใช้ทั้งกับ บุคคลธรรมดา นิติบุคคล หน่วยงานภาครัฐ รัฐวิสาหกิจ ภาคเอกชน ล้วนจะต้องปฏิบัติตาม พ.ร.บ.ฉบับนี้ทั้งนั้น ซึ่งบทลงโทษของพ.ร.บ.ฉบับนี้สูงถึง 5 ล้านบาท ส่งผลให้ผู้ประกอบการเริ่มตระหนักถึงความสำคัญของข้อมูลส่วนบุคคลมากขึ้น จึงขออัพเดตทิศทางของผู้ประกอบการที่มีต่อ พ.ร.บ. ฉบับนี้ ดังต่อไปนี้ 1. มีเวลาเตรียมตัวเพิ่มขึ้น เนื่องจากความไม่พร้อมขององค์กรหลาย ๆ ส่วนทำให้มีประกาศ “ พระราชกฤษฎีกา กำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ” ตั้งแต่วันที่ 27 พฤษภาคม 2563 จนถึงวันที่ 31 พฤษภาคม 2564 ส่งผลให้พ.ร.บ.ฉบับนี้จะมีผลบังคับใช้กับกิจการตามที่ พ.ร.ฎ. กำหนด ในวันที่ 1 มิถุนายน 2564  จึงมีเวลาให้หน่วยงานต่าง ๆ ได้เตรียมตัว และตรวจสอบความเรียบร้อยมากขึ้น 2. จัดมาตรฐานความปลอดภัยของข้อมูลส่วนบุคคล แม้ว่าจะมีประกาศยกเว้นให้บางหน่วยงานยังไม่ต้องอยู่ภายใต้กฎหมายฉบับนี้ แต่หน่วยงานต่าง ๆ ยังจำเป็นต้องมีมาตรฐานการรักษาความปลอดภัยที่เหมาะสม ตาม “ ประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. 2563 ” เช่น จัดให้มีมาตรการป้องกันด้านการบริหารจัดการ ด้านเทคนิค และด้านกายภาพ แจ้งมาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคลให้แก่บุคคลากร พนักงาน หรือบุคคลที่เกี่ยวข้องทราบ ฯลฯ 3. สร้างความตระหนัก กฎหมายระบุให้กรรมการอาจมีส่วนร่วมในความรับผิดด้วย ในกรณีที่ผู้กระทำความผิดเป็นนิติบุคคล หากเกิดจากการสั่งการหรือการกระทำของกรรมการ ผู้จัดการ หรือบุคคลที่รับผิดชอบเกี่ยวกับการดำเนินงานของนิติบุคคล ที่ส่งผลให้นิติบุคคลนั้นกระทำความผิด บุคคลดังกล่าวต้องรับโทษตามที่บัญญัติไว้สำหรับความผิดนั้น ๆ ด้วย (มาตรา 81 พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562) ดังนั้น หน่วยงานต่าง ๆ ควรเริ่มปฏิบัติให้ถูกต้องตามกฎหมายเพราะนอกจากจะโดนบทลงโทษที่แรงแล้ว ยังสูญเสียความน่าเชื่อถือต่อองค์กรธุรกิจอีกด้วย 4. เริ่มเตรียมความพร้อมและตรวจสอบความถูกต้อง แม้จะมี พ.ร.ฎ. ยกเว้นบางกิจการยังไม่ต้องอยู่ภายใต้พ.ร.บ.ฉบับนี้แต่ผู้ประกอบการไหนที่ยังไม่ได้มีการเตรียมความพร้อม ควรเริ่มมีการวางระบบที่เหมาะสมถูกต้อง วางแผนแนวทางการจัดการเกี่ยวกับข้อมูลส่วนบุคคล ควรประเมินความเสี่ยงที่เกิดขึ้น อบรมสร้างความรู้ความเข้าใจให้กับบุคคลากรภายในองค์กร และสร้างความตระหนักถึงความปลอดภัยของข้อมูลส่วนบุคคลอยู่เสมอ   การไม่ปฏิบัติตาม พ.ร.บ.ฉบับนี้ นอกจากจะได้รับโทษตามที่กฎหมายระบุแล้ว ธุรกิจยังสูญเสียความน่าเชื่อถือและสูญเสียโอกาสทางการค้าอย่างมากมาย และถึงแม้ธุรกิจใดจะมีการเตรียมการแล้วก็ควรต้องมีการตรวจสอบความถูกต้องครบถ้วน ก่อนกฎหมายบังคับใช้ต่อไป TAG กฎหมาย ผู้ประกอบการ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล

​
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) กำหนดให้ กรรมการบริษัท มีบทบาทสำคัญในการปฏิบัติตามกฎหมาย ดังนี้
 
1. กำกับดูแลให้บริษัทปฏิบัติตามกฎหมาย:
กรรมการมีหน้าที่กำกับดูแลให้บริษัทปฏิบัติตามข้อกำหนดของ PDPA ทั้งหมด รวมถึงการวางนโยบาย แนวทางปฏิบัติ และมาตรการควบคุมต่างๆ เกี่ยวกับข้อมูลส่วนบุคคล กรรมการต้องตรวจสอบให้แน่ใจว่าบริษัทมีระบบและกลไกที่เพียงพอสำหรับการจัดการข้อมูลส่วนบุคคลอย่างถูกต้องและปลอดภัย

2. รับผิดชอบต่อความเสียหาย:
กฎหมายกำหนดให้กรรมการ ร่วมรับผิด กับบริษัท ในกรณีที่บริษัทละเมิด PDPA หมายความว่ากรรมการอาจถูกดำเนินคดีอาญาและแพ่ง รวมถึงต้องจ่ายค่าเสียหายและค่าปรับหากบริษัทไม่ปฏิบัติตามกฎหมาย

3. ตัวอย่างกรณีที่กรรมการต้องรับผิด:
กรรมการสั่งให้บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลที่ไม่จำเป็นต่อธุรกิจ กรรมการเพิกเฉยต่อการร้องเรียนของเจ้าของข้อมูลเกี่ยวกับการใช้ข้อมูลส่วนบุคคลของพวกเขา กรรมการไม่ดำเนินการแก้ไขเมื่อพบว่าบริษัทมีการละเมิด PDPA

4. แนวทางปฏิบัติสำหรับกรรมการ:
- ศึกษาแลทำความเข้าใจ PDPA อย่างละเอียด
- เข้าร่วมการอบรมเกี่ยวกับ PDPA
- กำกับดูแลให้บริษัทมีนโยบายและแนวทางปฏิบัติที่สอดคล้องกับ PDPA
- ตรวจสอบให้แน่ใจว่าพนักงานทุกคนได้รับการฝึกอบรมเกี่ยวกับ PDPA
- ติดตามและประเมินความเสี่ยงที่เกี่ยวข้องกับข้อมูลส่วนบุคคล
- จัดทำแผนเผชิญเหตุฉุกเฉินกรณีเกิดการรั่วไหลของข้อมูลส่วนบุคคล
- รายงานการละเมิด PDPA ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคบ.)

5. สรุป:
กรรมการบริษัทมีบทบาทสำคัญในการปฏิบัติตาม PDPA  กรรมการต้องมีความรู้ความเข้าใจเกี่ยวกับกฎหมาย และต้องดำเนินการอย่างจริงจังเพื่อให้บริษัทปฏิบัติตามข้อกำหนดทั้งหมด  มิฉะนั้น กรรมการอาจต้องรับผิดต่อความเสียหายที่เกิดขึ้น

หมายเหตุ:
ข้อมูลในบทความนี้เป็นเพียงข้อมูลทั่วไป กรรมการควรศึกษาข้อมูลเพิ่มเติมเกี่ยวกับ PDPA และปรึกษาทนายความหากมีความสงสัย
ประมวลกฎหมายอาญา,ประมวลกฎหมายแพ่งและพาณิชย์,ประมวลกฎหมายวิธีพิจารณาความแพ่งฯ(วิแพ่ง),ประมวลกฎหมายวิธีพิจาณาความอาญา(วิอาญา),กฎหมายไซเบอร์-คุ้มครองข้อมูลส่วนบุคคล(PDPA)