การให้เซ็นต์หนังสือยินยอมคือทุกอย่างที่ต้องทำเพื่อรับมือกับ PDPA จริงหรือ ?

ผ่านมาเกือบครบ 1 ปีกับ พรบ.คุ้มครองข้อมูลส่วนบุคคล สิ่งที่ได้ยินมากที่สุดจากการอบรม หรือ ฟังสัมมนาต่างๆ มี 2 สิ่งคือ การทำหนังสือยินยอม และ การหาโปรแกรมมาจัดการข้อมูล ส่วนตัวไม่ได้ต่อต้านว่าไม่ให้ทำทั้ง 2 อย่างข้างต้น เพียงแต่หลายสำนักเลือกที่จะอธิบายหรือถึงขั้นไม่อธิบายเรื่อง “ฐานกฏหมาย” เหตุผลน่าจะเพราะว่าเป็นเรื่องยาก แถมถ้าอธิบายจนเข้าใจจริงๆ ก็แทบจะขายอะไรไม่ได้เลย ดังนั้นบทความนี้จะขออธิบายเรื่องของฐานกฏหมายแบบเข้าใจง่ายๆตามนี้นะคะ

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลได้กำหนดไว้ว่า การประมวลผลข้อมูล คือ การดำเนินการเกี่ยวกับการ “เก็บ” “รวบรวม” “ใช้” หรือ “เปิดเผย” ข้อมูลส่วนบุคคล โดยสามารถปฏิบัติได้อย่างถูกต้องตามกฎหมาย เมื่อดำเนินการภายใต้ฐานทางกฎหมายที่เหมาะสม 7 ฐาน ดังนี้

ฐานประโยชน์สำคัญต่อชีวิต (Vital Interest) เช่น โรงงานผลิตสิ่งทอ ส่งพนักงานตรวจความจุปอด แล้วขอทราบผลของพนักงานรายบุคคล เพื่อนำผลมาวางแผนดุแลสุขภาพของพนักงานเป็นการเฉพาะ

ฐานภารกิจสาธารณะ/อำนาจรัฐ (Public Task / Official Authority) เช่น กรมสรรพากรคิดคำนวณข้อมูลเงินเดือนของลูกจ้างเพื่อตรวจสอบรายการรายได้ รายจ่าย ที่กิจการนั้นๆ ยื่นต่อกรมสรรพากรว่าถูกต้องหรือไม่

ฐานประโยชน์อันชอบธรรมด้วยกฎหมาย (Legitimate Interest) เช่น ข้อมูลการทำงานของลูกจ้าง บริษัทเก็บรวบรวมข้อมูลจำนวนชั่วโมงทำงานของพนักงานเพื่อคิดคำนวณค่าจ้าง และ ค่าล่วงเวลา ในกรณีนี้บริษัทได้รับผลประโยชน์ในการบริหารจัดการภายใน และพนักงานไม่ได้ถูกละเมิดความเป็นส่วนตัวมากจนเกินไป ระบบค่อนข้างมีความโปร่งใสทำให้ตัวลูกจ้างสามารถตรวจสอบ โต้แย้งได้จึงสามารถอ้างฐานผลประโยชน์อันชอบธรรมได้ และอาจอ้างฐานการปฏิบัติตามสัญญาได้ด้วยหากสอดคล้องกับเนื้อหาสัญญาว่าจ้าง

ฐานการปฎิบัติ/หน้าที่ตามกฎหมาย (Legal Obligation) หากจะใช้ฐานนี้จำเป็นต้องระบุข้อกฏหมายที่ใช้ทุกครั้ง เช่น นายจ้างเปิดเผยข้อมูลเงินเดือนของลูกจ้างต่อกรมสรรพากรเพื่อแจกแจงรายละเอียดในการคำนวณรายได้ รายจ่ายของกิจการตามมาตรา 65 ประมวลรัษฎากร

ฐานจดหมายเหตุ/วิจัย/สถิติ (Historical Document, Research, or Statistics) ผู้ควบคุมข้อมูลสามารถนำเอาข้อมูลส่วนบุคคลของเจ้าของข้อมูลมาประมวลผลได้บนพื้นฐานของการทำบันทึกจดหมายเหตุ วิจัย หรือสถิติต่าง ๆ ซึ่งฐานนี้คงไม่เหมาะกับการทำข้อมูลในระดับบริษัท หรือ องค์กร ทั้งนี้ต้องรอประกาศเพิ่มเติมจากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลต่อไปอีกครั้งนะคะ

ฐานสัญญา (Contract) เช่น สัญญาจ้างต่างๆ ทั้งนี้ สัญญานั้นต้องไม่ขัดกับกฏหมายพื้นฐานฉบับอื่นด้วย

ฐานความยินยอม (Consent) ใดๆๆที่ไม่เข้ากับฐานข้างต้น ก็ขอให้ปรึกษากับนักกฏหมายเพื่อจัดทำหนังสือยินยอมให้สอดคล้องกับวัตถุประสงค์ที่ต้องการใช้ข้อมูลนั้นๆนะจ๊ะ

อ่านดูแล้วก็ค่อนข้างยากในการเข้าใจ แต่อยากให้ทุกคนลองทำความเข้าใจดูนะคะ เพราะมันสำคัญกว่าการทำหนังสือยินยอมมาก สิ่งที่หลายคนยังไม่ทราบคือ หากคุณใช้ฐานกฏหมายผิด ก็จะไม่มีผลทางกฏหมาย ถ้าให้เปรียบเทียบก็คือ หากสัญญาจ้างกำหนดว่าไม่ให้พนักงานลาป่วยหากไม่ใช่โรคร้าย จะขัดต่อกฏหมายแรงงาน ประโยคเช่นนี้ในสัญญาจ้างก็จะไม่มีผลทางกฏหมายเช่นกัน ดังนั้นหากเราไม่เข้าใจในฐานทางกฏหมายแล้วเอาแต่ให้พนักงาน หรือ ลูกค้า ลงชื่อยินยอมในเอกสารต่างๆ โดยเขียนว่ายินยอมทุกกรณีไม่มีสาเหตุ หรือ วัตถุประสงค์แสดงให้เห็นอย่างชัดเจน หนังสือยินยอมฉบับนั้นก็ไม่ได้มีผลทางกฏหมายเช่นกัน