ช่วยสรุปหัวข้อ pdpa มีผลใช้บังคับแล้ว มาเตรียมความพร้อมและชวนภาครัฐ สำรวจความพร้อมในการปฏิบัติตามกฎหมาย ให้ด้วยนะคะ
พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA เริ่มมีผลใช้บังคับวันนี้ภายหลังจากเลื่อนการบังคับใช้มาเป็นระยะเวลา 2 ปี[1] ความสำคัญของ PDPA คือ การยกระดับการคุ้มครองข้อมูลส่วนบุคคลในภาพรวม เนื่องจาก PDPA มุ่งหมายใช้กับกิจกรรมการใช้ข้อมูลส่วนบุคคลของคนธรรมดาทุกประเภทโดยไม่จำกัดว่า การเก็บข้อมูลนั้นจะเป็นดิจิทัลหรือกระดาษ การใช้ข้อมูลส่วนบุคคลนั้นจะเกิดขึ้นเพื่อวัตถุประสงค์ในทางธุรกิจหรือไม่ และไม่ว่าจะเป็นการใช้ข้อมูลส่วนบุคคลโดยบุคคลธรรมดา หน่วยงานของรัฐ องค์ธุรกิจเอกชน หรือองค์กรไม่แสวงหาผลกำไร เมื่อพิจารณาในส่วนของภาครัฐซึ่งมีการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นจำนวนมาก และเก็บรวบรวมข้อมูลส่วนบุคคลของบุคคลตั้งแต่จากครรภ์มารดาถึงเชิงตะกอน การคุ้มครองข้อมูลส่วนบุคคลในภาครัฐจึงมีความสำคัญ ซึ่งในอดีตการคุ้มครองข้อมูลส่วนบุคคลในภาครัฐจะเป็นไปตาม พ.ร.บ. ข้อมูลข่าวสารราชการ พ.ศ. 2540 แต่ในปัจจุบันการคุ้มครองข้อมูลส่วนบุคคลของภาครัฐจะต้องยกระดับขึ้นมาตาม PDPA ไปด้วย คำถามสำคัญคือ ภาครัฐมีความพร้อมในการปฏิบัติตาม PDPA แล้วหรือไม่ 1. บทสำรวจความพร้อมในการปฏิบัติตาม PDPA ของภาครัฐ สถานการณ์การเตรียมความพร้อมของหน่วยงานของรัฐในการปฏิบัติตาม PDPA นั้น ไม่ได้แตกต่างไปจากที่สถาบันวิจัยเพื่อการพัฒนาประเทศไทยได้เคยทำการสำรวจเอาไว้ในปี พ.ศ. 2561  หน่วยงานของรัฐอาจไม่คุ้นเคยกับการคุ้มครองข้อมูลส่วนบุคคล และจะเห็นว่าการคุ้มครองข้อมูลส่วนบุคคลเป็นหน้าที่ของสำนัก/กอง/กลุ่ม/แผนกหนึ่งในหน่วยงานของรัฐเป็นผู้รับผิดชอบ[2] เช่น สำนักเทคโนโลยี เป็นต้น อีกทั้งหน่วยงานของรัฐส่วนใหญ่ยังไม่มีนโยบายการปรับเปลี่ยนภายในองค์กรเพื่อรองรับการปฏิบัติตาม PDPA[3] อาทิ การเตรียมกระบวนการเพื่อแจ้งเจ้าของข้อมูลส่วนบุคคลให้ทราบเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล การจัดเตรียมช่องทางการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล การกำหนดบุคคลที่จะปฏิบัติหน้าที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) หรือแม้แต่การปรับเปลี่ยนกฎเกณฑ์ทางกฎหมายภายใต้อำนาจของหน่วยงานของรัฐเพื่อให้สอดคล้องกับหลักการของกฎหมายคุ้มครองข้อมูลส่วนบุคคล ความไม่พร้อมสำคัญของภาครัฐก็คือ เรื่องการรักษาความปลอดภัยของข้อมูลส่วนบุคคล ดังจะเห็นได้ว่า ภายหลัง PDPA ถูกประกาศใช้หน่วยงานของรัฐบางแห่งก็ยังมีข้อจำกัดด้านระบบ รวมถึงยังไม่ได้ให้ความสำคัญกับการป้องกันการละเมิด/รั่วไหลของข้อมูลส่วนบุคคล โดยจะเห็นได้ว่า ในช่วงปี พ.ศ. 2564 มีการละเมิด/รั่วไหลของข้อมูลส่วนบุคคลในภาครัฐถึง 5 ครั้ง[4] ซึ่งเรื่องความปลอดภัยของข้อมูลส่วนบุคคลเป็นความกังวลสำคัญในภาครัฐเนื่องจากภาครัฐมีการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นจำนวนมาก แต่หน่วยงานของรัฐแต่ละแห่งมีการใช้เทคนิคและระบบเทคโนโลยีสารสนเทศที่ปลอดภัยไปจนถึงหน่วยงานของรัฐที่ไม่มีระบบที่ทันสมัยเพียงพอกับการรับมือกับการละเมิด/รั่วไหลของข้อมูลส่วนบุคคล ซึ่งอาจเกิดการรั่วไหลหรือถูกโจมตีต่อระบบคอมพิวเตอร์ได้ หรือในกรณีที่เก็บรักษาเอกสารอิเล็กทรอนิกส์ไว้ในเครื่องคอมพิวเตอร์สำนักงานโดยไม่มีการตั้งรหัสการเข้าถึงข้อมูล (access control) อาจทำให้บุคคลที่ไม่มีส่วนเกี่ยวข้องเข้าถึงข้อมูลได้โดยไม่จำเป็น[5] 2. ถอดบทเรียนการเตรียมความพร้อมของภาครัฐในการปฏิบัติตาม PDPA จากการได้มีโอกาสพูดคุยและเข้าไปช่วยแนะนำการเตรียมความพร้อมในการปฏิบัติตามPDPA พบว่า ปัญหาของหน่วยงานของรัฐในการปฏิบัติตาม PDPA มีอยู่ 3 ปัญหา ดังนี้ หน่วยงานของรัฐไม่เข้าใจบทบาทหน้าที่ตาม PDPA ในการปฏิบัติตาม PDPA ของภาครัฐขั้นตอนแรกที่สำคัญที่สุดในการปฏิบัติตามกฎหมายฉบับนี้คือ การทำความเข้าใจบทบาทของภาครัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคลว่ามีหน้าที่ใดต้องปฏิบัติตามบ้างตาม PDPA ซึ่งในช่วงที่ผ่านมาหลายหน่วยงานอาจจะได้เตรียมความพร้อมในการปฏิบัติตาม PDPA ไปบ้างแล้ว ตัวอย่างเช่น สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) (สพร.) ซึ่งเป็นหน่วยงานของรัฐแรกๆ ที่ได้ดำเนินการปฏิบัติตาม PDPA และเป็นตัวอย่างที่ดีให้กับหน่วยงานอื่นๆ โดยการทำเทมเพลตเอกสารในการปฏิบัติตามกฎหมาย อย่างไรก็ดี หลายหน่วยงานในภาครัฐยังคงมีความเข้าใจผิดเกี่ยวกับการปฏิบัติตาม PDPA โดยการทำเพียงเอกสารตามกฎหมายเท่านั้น โดยไม่ได้เปลี่ยนแปลงพฤติกรรมหรือการทำงานเกี่ยวกับการใช้ข้อมูลส่วนบุคคล ซึ่งอาจจะกลายเป็นปัญหาในตอนท้ายและไม่บรรลุเป้าหมายของ PDPA  ฉะนั้น การทำความเข้าใจหน้าที่ของหน่วยงานของรัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคลจึงมีความสำคัญ ในส่วนของบทบาทหน้าที่ของภาครัฐในการปฏิบัติตาม PDPA ที่สำคัญที่สุดก็คือ การสร้างความโปร่งใสในการสื่อสารกับประชาชน ในกรณีที่จะต้องเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล ภาครัฐควรจะต้องมีการแจ้งให้ประชาชนทราบ เพื่อให้ประชาชสามารถใช้สิทธิของตนเองได้ตามกฎหมาย หน่วยงานของรัฐขาดแนวทางในการปฏิบัติตาม PDPA ในการเตรียมความพร้อมในการปฏิบัติตาม PDPA หน่วยงานของรัฐส่วนใหญ่ประสบปัญหาคล้ายๆ กันคือ ความไม่แน่ใจว่าจะเริ่มต้นอย่างไรในการปฏิบัติตาม PDPA ปัญหาส่วนหนึ่งเกิดมาจากการขาดแนวปฏิบัติ (guidelines) ที่วางแนวทางให้กับหน่วยงานของรัฐ ทั้งในแง่ของการเตรียมความพร้อมในการปฏิบัติตาม PDPA และอธิบายบทบัญญัติของ PDPA ซึ่งหากพิจารณาเฉพาะตัวพระราชบัญญัติแล้วจะเห็นเพียงหลักการ แต่ไม่เห็นแนวทางในการปฏิบัติตาม  ในส่วนของแนวทางการเตรียมความพร้อมในการปฏิบัติตาม PDPA ในภาครัฐ อาจแบ่งขั้นตอนในการเตรียมความพร้อมได้เป็น 5 ขั้นตอน[6] ดังนี้ การเตรียมตัวเบื้องต้น การปฏิบัติตาม PDPA ไม่ใช่เรื่องของคนใดคนหนึ่ง แต่เป็นเรื่องของทั้งองค์กรต้องมีความเข้าใจเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลเป็นไปในทิศทางเดียวกัน ขั้นตอนนี้จึงเป็นการสร้างความเข้าใจร่วมกันของเจ้าหน้าที่ภายในองค์กรทั้งในระดับผู้บริหารลงมาถึงระดับปฏิบัติการ/ปฏิบัติงาน ซึ่งกระบวนการดังกล่าวจะเปิดทางไปสู่การเตรียมความพร้อมในการปฏิบัติตาม PDPA ด้านอื่นๆ
การสำรวจภายในองค์กร การจะปฏิบัติตาม PDPA ให้มีประสิทธิภาพหน่วยงานของรัฐจำเป็นต้องรู้จักการใช้ข้อมูลส่วนบุคคลภายในองค์กรของตนเป็นอย่างดี เพื่อจะได้ทราบว่าภายในองค์กรมีการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในกิจกรรมใดบ้าง
การลงรายละเอียดแผนงาน ในขั้นตอนนี้จะเป็นการพิจารณาลงในรายละเอียดว่า ในแต่ละกิจกรรมที่มีการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลมีข้อมูลใดบ้าง และข้อมูลส่วนบุคคลแต่ละประเภทมีความเสี่ยงอย่างไรบ้างถ้าหากมีการละเมิด/รั่วไหลของข้อมูลส่วนบุคคล
การปิดช่องว่าง ขั้นตอนนี้เป็นการปิดช่องว่างของการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมาย และการจัดแนวทางในการใช้ข้อมูลส่วนบุคคลในอนาคต โดยอาจจะต้องมีการปรับเปลี่ยนวิธีการทำงานของหน่วยงานของรัฐ และการจัดเก็บข้อมูลส่วนบุคคลในบางกิจกรรมที่ไม่จำเป็น
การจัดเตรียมเอกสาร ซึ่งเป็นขั้นตอนในการจัดเตรียมเอกสารต่างๆ ที่จำเป็นในการปฏิบัติตาม PDPA อาทิ การจัดทำ Privacy Notice เพื่อแจ้งการรายละเอียดการเก็บรวบรวมข้อมูลส่วนบุคคล การจัดทำ Privacy Policy สำหรับการแสดงนโยบายการคุ้มครองข้อมูลส่วนบุคคลในภาพรวมขององค์กร การจัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activity: RoPA) และเอกสารอื่นๆ ที่จำเป็น ซึ่งจะเห็นได้ว่า กระบวนการนี้เป็นกระบวนการท้ายๆ ในการปฏิบัติตาม PDPA แต่ในทางปฏิบัติหน่วยงานของรัฐส่วนใหญ่นั้นมักจะเริ่มต้นจากการทำตามเทมเพลตต้นแบบ
การสืบสาน รักษา และต่อยอด ขั้นตอนนี้เป็นขั้นตอนสุดท้ายของการวางระบบตามกรอบ PDPA โดยหน่วยงานของรัฐ โดยหน่วยงานของรัฐจะต้องพยายามสร้างองค์ความรู้เกี่ยวกับ PDPA ให้อยู่ในองค์กร โดยเจ้าหน้าที่ของรัฐทุกคนในองค์กรควรมีการตระหนักเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้การปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลเป็นไปอย่างมีประสิทธิภาพและปิดช่องว่างที่อาจจะเกิดขึ้น รวมถึงจะต้องมีการติดตามผลคอยปรับปรุงระบบที่วางไว้ ปัญหาการขาดความมั่นใจในการเลือกฐานทางกฎหมาย สิ่งหนึ่งที่ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องปฏิบัติตาม PDPA ก็คือ การเลือกฐานในการประมวลผลข้อมูลส่วนบุคคล ในกรณีของภาครัฐหน่วยงานของรัฐก็ต้องมีหน้าที่จะต้องเลือกฐานการประมวลผลข้อมูลส่วนบุคคลเช่นกัน  อย่างไรก็ตาม ในทางปฏิบัติหน่วยงานของรัฐส่วนใหญ่ไม่มั่นใจว่า ภารกิจหรือกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของตนจะต้องใช้ฐานการประมวลผลข้อมูลส่วนบุคคลใด โดยเฉพาะอย่างยิ่งเมื่อพิจารณาบทบัญญัติในมาตรา 19[7]และมาตรา 24[8] ซึ่งหากพิจารณาเพียงผิวเผินอาจจะทำให้เข้าได้ว่า กฎหมายห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ซึ่งทำให้เกิดปัญหามากกับหน่วยงานของรัฐที่มีภารกิจหรือกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่ต้องเก็บจากบุคคลเป็นจำนวนมากตลอดพื้นที่ เช่น ฐานข้อมูลทะเบียนราษฎร หรือฐานข้อมูลบัตรประจำตัวประชาชน เป็นต้น จะสามารถขอความยินยอมได้อย่างไร ในความเป็นจริงแล้ว PDPA ได้กำหนดฐานการประมวลผลที่เหมาะสมสำหรับหน่วยงานของรัฐในการปฏิบัติตามกฎหมายที่ให้อำนาจ และเพื่อการประโยชน์ในการจัดทำบริการสาธารณะเอาไว้ โดยกำหนดให้หน่วยงานของรัฐไม่ต้องขอความยินยอมตาม PDPA ก็สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้[9] นอกจากนี้ ในกรณีอื่นๆ หน่วยงานของรัฐก็อาจจะอาศัยฐานในการประมวลผลอื่นๆ เพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้ นอกเหนือจากการใช้ฐานความยินยอม ได้แก่ ฐานสัญญา ฐานสถิติ เอกสารประวัติศาสตร์ และจดหมายเหตุ ฐานป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ฐานประโยชน์โดยชอบด้วยกฎหมาย และฐานการปฏิบัติตามกฎหมาย ซึ่ง PDPA รับรองเอาไว้ เมื่อพิจารณาแนวทางทั้งหมดแล้วท้ายที่สุด ต้องเน้นย้ำกับภาครัฐเสมอในการปรับตัวตาม PDPA ของภาครัฐคือ การตระหนักถึงบทบาทของภาครัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคลในการคุ้มครองข้อมูลส่วนบุคคลของประชาชน และพยายามสร้างความโปร่งใสในกรณีที่ต้องมีการเก็บรวบรวมหรือใช้ข้อมูลส่วนบุคคล โดยควรจะต้องให้ประชาชนรับรู้ เพื่อประโยชน์ของประชาชนในการควบคุมสิทธิในข้อมูลส่วนบุคคลของตนเอง
พรบคุ้มครองข้อมูลส่วนบุคคลพ.ศ 2562 หรือ PDPA โดยเริ่มมีผลบังคับใช้ หลังจากเลื่อนการบังคับใช้มาเป็นระยะเวลา 2 ปี ทำให้เกิดคำถามว่าภาครัฐมีความพร้อมในการปฏิบัติตาม PDPA แล้วหรือไม่
เนื่องจากหน่วยงานของรัฐบางแห่ง ยังมีข้อจำกัดด้านระบบ ทำให้การป้องกันการรั่วไหลของข้อมูลส่วนบุคคลนั้น ทำได้ยาก
ภาครัฐจะต้องทำความเข้าใจบทบาทในการเป็นผู้ควบคุมข้อมูลส่วนบุคคลว่ามีหน้าที่ใดต้องปฏิบัติตาม PDPA บ้าง โดยรัฐจะต้องสร้างความโปร่งใสในการสื่อสารกับประชาชนกับการจัดเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลซึ่งรัฐจะต้องแจ้งให้ประชาชนทราบ เพื่อให้ได้ใช้สิทธิ์ของตนตามกฎหมาย
อีกทั้งหน่วยงานรัฐ ยังขาดแนวทางในการปฏิบัติ ตาม PDPA เลยควรเตรียมความพร้อมดังต่อไปนี้
1. การเตรียมตัวเบื้องต้น โดยสร้างความเข้าใจร่วมกันของเจ้าหน้าที่ภายในองค์กรทั้งระดับผู้บริหารมาถึงระดับปฏิบัติการ
2. สำรวจภายในองค์กรว่ามีการจัดเก็บรวบรวมข้อมูลส่วนบุคคลในกิจกรรมใดบ้าง
3. ลงรายละเอียดแผนงาน เพื่อพิจารณาว่ามีขั้นตอนใด ที่มีความเสี่ยงในการละเมิดหรือรั่วไหลของข้อมูลบุคคล
4. ปิดช่องว่าง เพื่อป้องกัน และคุ้มครองข้อมูลส่วนบุคคลตามกฎหมาย ด้วยแนวทางใดแนวทางหนึ่ง
5. การจัดเตรียมเอกสารเพื่อรวบรวมข้อมูลส่วนบุคคล และเริ่มต้น โดยทำตาม template ต้นฉบับ
6. สืบสานรักษาและต่อยอด เพื่อพัฒนา ให้องค์กรตระหนักเกี่ยวกับความคุ้มครองข้อมูลส่วนบุคคล ให้เป็นไปตามกฎหมายคุ้มครอง อย่างมีประสิทธิภาพและปิดช่วงว่างที่อาจเกิดขึ้นรวมถึงติดตามผลที่ปรับปรุงระบบไว้
นอกจากนี้รัฐยังมีปัญหาในการขาดความมั่นใจในการเลือกฐานทางกฎหมาย เนื่องจากมีข้อมูลจากบุคคลเป็นจำนวนมาก ทางรัฐจึงไม่มั่นใจว่า จะสามารถขอความยินยอม จากบุคคลได้อย่างไร ในการเก็บข้อมูล ซึ่งในความเป็นจริงแล้ว PDPA ได้กำหนดความเหมาะสมสำหรับหน่วยงานของรัฐในการปฏิบัติ ตามกฎบัตรที่ให้อำนาจและเพื่อประโยชน์ในการจัดเก็บบริการสาธารณะเอาไว้ โดยไม่จำเป็นที่จะต้องขอความยินยอม ซึ่งภาครัฐควรจะต้องตระหนักถึง บทบาทของภาครัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคลในการคุ้มครองข้อมูลของประชาชนและมีความโปร่งใสในการเก็บ ข้อมูลส่วนบุคคล
ความรู้พื้นฐานกฏหมาย