ถูกแคนดิตโดยไม่ได้รับอนุญาต เอาผิด PDPA ได้ไหม ?

ข้อเท็จจริง ต้องแยกระหว่าง ข้อมูลส่วนบุคคล กับ สิทธิส่วนบุคคล ออกจากกันก่อน ดังนั้น กฎหมาย PDPA คือ กฎหมายคุ้มครองข้อมูลส่วนบุคคล ไม่ได้เป็นสิ่งเดียวกันกับการละเมิดสิทธิส่วนบุคคลแต่อย่างใด

ส่วน สิทธิส่วนบุคคล ในกรณีนี้ คือ สิทธิ์ในการอนุญาตหรือไม่อนุญาตให้ผู้อื่นถ่ายภาพของเรา หรือโพสต์ภาพของเราโดยไม่ได้รับอนุญาต

เว้นแต่ ช่างภาพที่ถ่ายแคนดิต นำภาพไปขายในแพลตฟอร์มขายรายได้ หรือ ทำเพื่อโปรโมทสินค้าโดยไม่ได้รับอนุญาต จึงจะเข้าข่ายเอาผิด PDPA ได้

ข้อมูลส่วนบุคคล มีอะไรบ้าง ?

สำหรับ ข้อมูลส่วนบุคคล (Personal Data) ได้แก่ ชื่อ – นามสกุล, เลขประจำตัวประชาชน, ที่อยู่, เบอร์โทรศัพท์, วันเกิด, อีเมล, การศึกษา, เพศ, อาชีพ, ข้อมูลทางการเงิน และ รูปถ่าย ที่เห็นใบหน้า สรีระร่างกาย ปาน แผลเป็นต่าง ๆ ที่เก็บบนแพลตฟอร์มดิจิทัลเพื่อนำไปใช้ทำอย่างอื่น เช่น เก็บเพื่อสมัครบัตรเครดิต , เก็บเพื่อสมัครเฟซบุ๊ก

ซึ่งตามตัวบทกฎหมาย ถ้าแพลตฟอร์มหรือเว็บไซต์ต้องการเก็บข้อมูลเพื่อไปใช้ต่อไม่ว่าทางใดทางหนึ่ง ต้องเก็บรักษาข้อมูลเหล่านั้นให้ปลอดภัยด้วย และถ้าจะส่งต่อให้หน่วยงานอื่นต้องได้รับการยินยอมจากเจ้าของข้อมูลด้วย

ถูกแอบถ่ายแคนดิตต้องทำอย่างไร ?

ทั้งนี้ หากถูกแอบถ่ายแบบแคนดิตโดยไม่ได้รับอนุญาต เราที่ถูกถ่ายสามารถบอกช่างกล้องหยุดถ่ายได้ แต่หากถูกแอบถ่ายแล้วยังถูกนำไปโพสต์ลงสื่อสังคมออนไลน์ จะเข้าข่ายละเมิดสิทธิส่วนบุคคล ตามสิทธิที่เรามีใน ประมวลกฎหมายแพ่งและพาณิชย์ ซึ่งต้องไปพิสูจน์ในชั้นศาล ว่า เราเสียหายอย่างไร และ อาจเข้าข่ายผิดกฎหมายอาญาลหุโทษ เนื่องจากก่อให้เกิดความรำคาญต่อโจทก์

อย่างไรก็ตามการแอบถ่ายแบบแคนดิต ไม่ใช่การแอบถ่ายใต้กระโปรงจนเข้าข่ายลามกอนาจาร เพราะจะเข้าข่ายผิดกฎหมายอาญาแทน

• อ่าน : ทำไมต้อง ยอมรับ ‘คุกกี้’ เวลาเข้าเว็บไซต์ ? Cookies คืออะไร ?
• อ่าน : เปิด 5 ขั้นตอนพื้นฐาน การทำตามกฏหมาย PDPA หรือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล
• อ่าน : มอง พรบ.คุ้มครองข้อมูลส่วนบุคคล หรือ PDPA ในมิติความน่าเชื่อถือทางธุรกิจ

The post ถูกแอบถ่ายภาพแคนดิตในที่สาธารณะ เอาผิด PDPA ได้ไหม ? โดยเฉพาะในงานอีเวนท์ appeared first on Brickinfo News Agency.

• อ่าน : เปิด 5 ขั้นตอนพื้นฐาน การทำตามกฏหมาย PDPA หรือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล
• อ่าน : ทำไมต้อง ยอมรับ ‘คุกกี้’ เวลาเข้าเว็บไซต์ ? Cookies คืออะไร ?

PDPA คืออะไร?

PDPA หรือ Personal Data Protection Act. คือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่มีวัตถุประสงค์ในการเก็บรักษาข้อมูลส่วนบุคคล เพื่อให้ไม่ผู้ไม่ประสงค์ดีทางโลกออนไลน์ ทำการละเมิดสิทธิหรือข้อมูลส่วนบุคคล ที่มีจุดประสงค์ในการข่มขู่เพื่อหวังผลประโยชน์ ทั้งกับตัวเจ้าของข้อมูลเอง หรือจากบุคคลที่ดูแลข้อมูลอยู่

PDPA Solution คืออะไร?

PDPA Solution คือตัวช่วยที่จะทำให้เจ้าของกิจการ เจ้าของเว็บไซต์ หรือผู้ประกอบการต่างๆ สามารทำการขออนุญาตผู้ใช้งาน หรือพนักงาน ในการขอเก็บข้อมูลส่วนตัวส่วนบุคคลต่างๆ ภายใต้กฎหมายที่กำหนด โดยข้อมูลเหล่านั้นจะไม่ใช่ข้อมูลส่วนลึก เพื่อคุม้ครองผู้ใช้งานบนอินเทอร์เน็ต ที่เฉพาะผู้ได้รับอนุญาต จะสามารถเข้าถึงข้อมูล ภายใต้การจัดเเก็บที่เหมาะสม เพื่อไม่ให้ข้อมูลเหล่านั้นหลุดออกไปในแหล่งสาธารณะนั่นเอง

PDPA Solution ดีอย่างไร?

• ตัวช่วยในการจัดเก็บข้อมูล

ในฐานะเจ้าของกิจการ คุณสามารถใช้ตัวช่วยที่ดีอย่าง PDPA Solution ในการเป็นตัวช่วยในการมาปรับใช้ให้เหมาะสมกับความจำเป็นในการใช้งานเป็นหลัก รวมทั้งยังสามารถควบคุมและดูแลข้อมูลที่รับมาอีกด้วย

• ตัวช่วยในการวิเคราะห์ข้อมูล

เมื่อคุณได้ข้อมูลมาแล้ว คุณสามารถนำข้อมูลไปวิเคราะห์วางแผน เพื่อดูความสนใจและความต้องการของผู้บริโภค หรือผู้ที่เข้าเยี่ยมชมเว็บไซต์มากขึ้น

สุดท้ายนี้ เราอยากฝากผู้ประกอบการ หรือเจ้าของกิจการทั้งหลาย ให้ศึกษาข้อมูลเกี่ยวกับ PDPA มากขึ้น เพราะในโลกที่เทคโนโลยีก้าวล้ำมากขึ้นทุกวันแบบนี้ คุณในฐานะเจ้าของกิจการควรศึกษาข้อมูลเกี่ยวกับกฎหมายคุ้มครองข้อมูลส่วนบุคคลทางด้านนี้ เพื่อจะได้รับประโยชน์ รวมทั้งไม่สูญเสียผลประโยชน์จากความก้าวหน้านี้ด้วย

The post PDPA Solution คืออะไร? มาทำความรู้จัก พ.ร.บ. นี้กันมากขึ้น appeared first on Brickinfo News Agency.

เจ้าของข้อมูล (Data Subject) จะต้องมีสิทธิและเสรีภาพอย่างเต็มที่ต่อข้อมูลของตนที่จะให้บุคคลอื่นหรือองค์กรต่าง ๆ นำข้อมูลไปใช้ตามความยินยอม (Consent) ที่อนุญาตเท่านั้น เพื่อรักษาความเป็นส่วนตัว ผลประโยชน์ และปกป้องความเสียหายที่อาจเกิดขึ้นกับตนเอง ซึ่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Act – PDPA) ที่จะมีผลบังคับใช้ในกลางปี 2564 นี้ จะเป็นเครื่องมือที่จะทำให้ปัจเจกบุคคลมั่นใจได้ว่า ข้อมูลของตนที่อนุญาตให้องค์กรนำไปใช้มีการบริหารจัดการอย่างเหมาะสมและมีระบบการป้องกันข้อมูลที่น่าเชื่อถือและปลอดภัย

การที่องค์กรจัดเก็บและนำข้อมูลส่วนบุคคลไปใช้โดยไม่ปฏิบัติตาม พ.ร.บ. ถือว่าเป็นการละเมิดสิทธิของเจ้าของข้อมูล และองค์กรจะกลายเป็นผู้กระทำความผิดทั้งทางแพ่งและทางอาญาตามบทลงโทษของกฎหมาย ดังนั้นก่อนที่ พ.ร.บ. จะมีผลบังคับใช้อย่างจริงจัง องค์กรต่าง ๆ ควรทบทวนขั้นตอนพื้นฐานเพื่อเตรียมความพร้อมและแสดงความรับผิดชอบในการให้ความดูแลข้อมูลส่วนบุคคลและปฏิบัติตามกฎระเบียบอย่างเคร่งครัด ดังนี้

5 ขั้นตอนพื้นฐานในการปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล

• จัดตั้งและมอบหมายหน้าที่ให้บุคลากรหรือหน่วยงานเข้ามาดูแลอย่างชัดเจน ตามข้อกำหนดใน พ.ร.บ.
• ค้นหาและจัดกลุ่มข้อมูลส่วนบุคคลอย่างเป็นระบบ (Data Discovery and Classification)
• จัดทำขั้นตอนและระบบการปกป้องข้อมูล (Data Protection)
• จัดทำระบบป้องกันการรั่วไหลของข้อมูล (Data Loss Prevention)
• จัดทำระบบบริหารจัดการข้อมูลส่วนบุคคล (Personal Data Management)

1. จัดตั้งและมอบหมายหน้าที่ให้บุคลากรหรือหน่วยงานเข้ามาดูแลอย่างชัดเจน ตามข้อกำหนดใน พ.ร.บ. ฯตรวจเช็คให้ชัดเจนว่าองค์กรมีผู้ดูแลความพร้อมในส่วนของผู้เกี่ยวข้องตาม พ.ร.บ. แล้วหรือยัง ซึ่งได้แก่

คณะกรรมการป้องกันข้อมูลส่วนบุคคล (Personal Data Protection Committee) ประกอบด้วยบุคลากรจากหลายหน่วยงานที่เกี่ยวข้อง ได้แก่ ผู้บริหารระดับสูง, ฝ่ายกฎหมาย (Legal), ฝ่ายกำกับดูแล (Compliance), ฝ่ายขายและการตลาด (Sales and Marketing), ฝ่ายเทคโนโลยีสารสนเทศ (Information Technology), ฝ่ายต่างประเทศ (International Administration) เป็นต้น

ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) คือ บุคคล/นิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการจัดเก็บ รวบรวม นำไปใช้ ปรับปรุง หรือเปิดเผย ให้อยู่ภายใต้มาตรการรักษาความปลอดภัยที่เหมาะสม

• อ่าน : DPO คืออะไร? รู้จักกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) คือ บุคคล/นิติบุคลทั้งภายในและภายนอกองค์กร ซึ่งเป็นผู้ที่เก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคล

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) คือ กรณีที่องค์กรหรือหน่วยงานมีข้อมูลประมวลผลทั้งข้อมูลส่วนบุคคลหรือข้อมูลอ่อนไหวเป็นปริมาณมาก องค์กรหรือหน่วยงานจำเป็นต้องแต่งตั้งเจ้าหน้าที่ DPO เพื่อทำหน้าที่ประสานงาน ตรวจสอบ ให้คำแนะนำ และดูแลด้านความมั่นคงปลอดภัยของข้อมูลโดยเฉพาะ

2. ค้นหาและจัดกลุ่มข้อมูลส่วนบุคคลอย่างเป็นระบบ (Data Discovery and Classification)

ทำการค้นหาข้อมูลส่วนบุคคลและข้อมูลที่เคลื่อนไหวทั้งหมดที่เก็บอยู่ภายในและภายนอกองค์กรเพื่อจัดการอย่างเป็นระบบ แต่ในกรณีที่ข้อมูลมีปริมาณมากและเพิ่มจำนวนขึ้นอย่างต่อเนื่องตลอดเวลา ควรจะพิจารณาจัดหาเครื่องมือหรือระบบเข้ามาช่วยในการค้นหา คัดแยก และจัดการ การใช้เครื่องมือเข้ามาช่วยในการจัดการข้อมูลที่มีปริมาณเพิ่มขึ้นและการเปลี่ยนแปลงอยู่ตลอดจะช่วยให้องค์กรสามารถปฏิบัติตาม พ.ร.บ. ได้อย่างรวดเร็ว ถูกต้อง และมีประสิทธิภาพมากขึ้น รวมทั้งยังช่วยในการออกแบบระบบรักษาความปลอดภัยของข้อมูลแต่ละกลุ่มได้อย่างเหมาะสม

3. จัดทำขั้นตอนและระบบการปกป้องข้อมูล (Data Protection)

Data ในยุคดิจิทัลมีบทบาทสำคัญเพิ่มขึ้นมาก จนอาจถือได้ว่า Data ได้กลายเป็นทรัพย์สิน (Asset) ที่สามารถนำไปใช้สร้างประโยชน์ให้กับผู้ที่ครอบครองได้อย่างมหาศาล ตัวอย่างเช่น

• รวบรวมข้อมูลเพื่อนำไปวิเคราะห์และสร้างสินค้าหรือบริการให้ตรงตามความต้องการมากขึ้น
• นำไปใช้ในการชี้นำหรือเปลี่ยนความคิดที่มีต่อ Brand บุคคล หรือ หน่วยงาน/องค์กร
• นำไปใช้ในโจมตีและสร้างความเสียหายให้กับเจ้าของข้อมูล

เมื่อผลกระทบของการนำ Data ไปใช้มีทั้งที่ก่อประโยชน์และสร้างโทษให้กับเจ้าของข้อมูล ผู้คนจึงเริ่มตื่นตัวกับสิทธิการเป็นเจ้าของข้อมูลส่วนบุคคลมากขึ้น ทั่วโลกต่างออกกฎหมายมารองรับการคุ้มครองความเป็นส่วนตัวและความเป็นเจ้าของข้อมูลเพื่อสร้างความมั่นใจว่าองค์กรจะต้องได้รับความยินยอมจากเจ้าของข้อมูลก่อนการจัดเก็บ และมีระบบจัดเก็บและรักษาความปลอดภัยข้อมูลที่กันไม่ให้ผู้ที่ไม่ได้รับความยินยอมหรือผู้ไม่หวังดีสามารถนำข้อมูลออกไปใช้ได้ ดังนั้นข้อมูลที่จัดเก็บอยู่ในระบบคอมพิวเตอร์จึงจำเป็นต้องมีการปกป้องข้อมูล ไม่ว่าจะเป็นการเข้ารหัส/ถอดรหัสข้อมูล (Data Encryption/Decryption) การสลับข้อมูล (Data Shuffling) หรือการปกปิดหรือปิดบังข้อมูล (Data Masking, Pseudonymize or Anonymize)

4. จัดทำระบบป้องกันการรั่วไหลของข้อมูล (Data Loss Prevention – DLP)

ผลกระทบจากการที่ข้อมูลส่วนบุคคลรั่วไหลออกจากองค์กรนั้นสามารถสร้างความเสียหายให้กับเจ้าของข้อมูลทั้งในด้านความเป็นส่วนตัว ชื่อเสียง หรือแม้กระทั่งทรัพย์สิน และความเสียหายนั้นอาจส่งผลต่อมูลค่าทางธุรกิจขององค์กรที่จัดเก็บข้อมูล เนื่องจากความน่าเชื่อถือของลูกค้าที่มีต่อองค์กรลดลง ดังนั้นองค์กรจึงหลีกเลี่ยงไม่ได้ที่จะต้องมีแผนการบริหารจัดการและป้องกันที่รัดกุม โดยหาวิธีป้องกันการถูกนำข้อมูลออกจากองค์กรทั้งโดยตั้งใจและไม่ตั้งใจ และครอบคลุมถึงข้อมูลที่มีการจัดส่งผ่านสื่อต่าง ๆ (Data in Motion) เช่น การส่งข้อมูลผ่านระบบเครือข่ายภายใน หรือระบบเครือข่ายอินเทอร์เน็ต แล้ว Copy ไปยัง Media อื่นเช่น USB flash drive/HDD Drive หรือ Flash Drive หรือข้อมูลที่อยู่บนเครื่อง Computer, Server, Storage และ On Cloud (Data in Rest)

• อ่าน : ทำไมต้อง ยอมรับ ‘คุกกี้’ เวลาเข้าเว็บไซต์ ? Cookies คืออะไร ?

5. จัดทำระบบบริหารจัดการข้อมูลส่วนบุคคล (Personal Data Management)

การบริหารจัดการข้อมูลส่วนบุคคล มีส่วนประกอบของงานดังนี้

• การบริหารจัดการสิทธิ์การเข้าถึงข้อมูล (Right of Access) ตั้งแต่การรับคำร้องขอ การยืนยันตัวตน การเก็บรักษา/แก้ไข/ปรับปรุง/ลบข้อมูลที่จำเป็น และการรักษาความปลอดภัย
• การบริหารความยินยอม (Consent Management) เพื่อเก็บรวบรวม นำไปใช้ และเปิดเผยข้อมูลส่วนบุคคลตามที่เจ้าของข้อมูลได้แจ้งไว้ จึงต้องมีการจัดทำระบบบริหารความยินยอมแบบครบวงจร ตั้งแต่ขั้นตอนการเริ่มเก็บความยินยอมของลูกค้า การร้องขอ ไปจนถึงขั้นตอนการเพิกถอนความยินยอมของลูกค้าออกจากระบบ

การปฏิบัติตามขั้นตอนดังกล่าวข้างต้นอาจพบข้อขัดข้องเรื่องการปฏิบัติ พ.ร.บ. อยู่บ้าง แต่การเริ่มดำเนินการเป็นการแสดงความใส่ใจและให้ความเคารพในสิทธิในความเป็นเจ้าของข้อมูลส่วนบุคคลของลูกค้า ซึ่งเป็นก้าวเริ่มต้นที่สำคัญในการสร้างความน่าเชื่อถือให้กับองค์กร และจะนำมาซึ่งความไว้ใจในการเลือกใช้สินค้าและบริการต่อไป

The post เปิด 5 ขั้นตอนพื้นฐาน การทำตามกฏหมาย PDPA หรือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล appeared first on Brickinfo News Agency.