ผู้ควบคุมข้อมูลส่วนบุคคลคือใคร ในกฎหมาย PDPA

Special track II #PDPA

ใครคือผู้ควบคุมข้อมูลส่วนบุคคลบ้าง

ตามกฎหมาย PDPA  หมายถึง บุคคลธรรมดา หรือ นิติบุคคล ก็ได้ ที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

กรณีบุคคลธรรมดาก็คือ บุคคลทั่วๆไป เช่น นายฮูก นายนก เป็นต้น อาจจะเป็นเจ้าของกิจการที่จำเป็นต้องใช้ข้อมูลส่วนบุคคลของผู้อื่น หรืออาจจะไม่ใช่เจ้าของกิจการก็ได้ แต่ได้มีการนำข้อมูลส่วนบุคคลของผู้อื่นมาใช้โดยเฉพาะในทางพาณิชย์ (Commercial Use) หรือทางอื่นที่ไม่ใช่เพื่อการส่วนตัว

นิติบุคคล คือ บริษัท ห้างหุ้นส่วนจำกัด ห้างหุ้นส่วนสามัญจดทะเบียน มูลนิธิ สมาคม หน่วยงานของรัฐ เป็นต้น

ทั้งบุคคลธรรมดา และนิติบุคคล ที่เป็นผู้ควบคุมข้อมูล ดังที่กล่าวในข้างต้น เมื่อจะเก็บรวบรวม นำไปใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และข้อมูลนั้นฯ ไม่เข้าข้อยกเว้นตามที่กฎหมายกำหนด ต้องขอความยินยอมจากเจ้าของข้อมูลเสมอ

กรณีใดบ้างที่ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) สามารถเก็บรวบรวมข้อมูลส่วนบุคคลได้โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

   •เพื่อจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุ 
   •เพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติโดยกำหนดมาตรการปกป้องที่เหมาะสม เพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล 
   •เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล 
   •เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือ เพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น 

   เช่น  นายฮูกทำสัญญากู้ยืมกับธนาคาร A ในการทำสัญญานั้นจำเป็นต้องกรอกข้อมูลส่วนตัวของนายฮูก เช่น ชื่อ นามสกุล ที่อยู่ เบอร์โทรศัพท์ และข้อมูลอื่นๆที่จำเป็น เมื่อนายฮูกเข้าทำสัญญาดังกล่าวจึงเป็นกรณีที่ธนาคาร A สามารถเก็บข้อมูลส่วนบุคคล และนำไปใช้หรือเปิดเผยเท่าที่เป็นไปตามวัตถุประสงค์ของสัญญาดังกล่าวได้โดยไม่ต้องขอความยินยอมจากนายฮูก

   •เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล 
   •เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล 
   •เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

กรณีนำข้อมูลส่วนบุคคลของผู้อื่นเผยแพร่ เช่น 

ภาพถ่ายที่ติดบุคคลที่สาม แล้วนำไปโพสต์ลงในโซเชียลมิเดีย กรณีดังกล่าวเป็นการเผยแพร่เพื่อใช้ในการส่วนตัว จึงไม่ผิดกฎหมาย PDPA  แต่ถ้าเจ้าของรูปภาพขอให้ลบ อันนี้คนที่โพสต์ก็ต้องลบ 

Cr. นาย ไพบูลย์ อมรภิญโญเกียรติ นักวิชาการด้านความมั่นคงทางไซเบอร์

กรณีติด “กล้องวงจรปิดในบ้านหรือกล้องหน้ารถ” สามารถทำได้เพื่อรักษาความปลอดภัย แต่ถ้านำเนื้อหาในกล้องวงจรปิดเฉพาะข้อมูลบางส่วนไปใช้ ถือว่ากรณีนี้ไม่ใช่การใช้เพื่อส่วนตัวจะถือว่าผิดกฎหมาย

Cr. นาย ไพบูลย์ อมรภิญโญเกียรติ นักวิชาการด้านความมั่นคงทางไซเบอร์