สารบัญ
- ข่าวนี้กำลังเปลี่ยนอะไร
- สิ่งที่หลายคนเข้าใจผิดเรื่อง “7 ฐาน”
- ร่างแก้ไข PDPA สำคัญกับธุรกิจไทยอย่างไร
- ผลกระทบต่อประเทศไทย
- แล้วองค์กรควรเริ่มทำอะไร
- มุมมองผู้เชี่ยวชาญ
- แหล่งอ้างอิง
ร่างแก้ไข PDPA กำลังบอกอะไรกับธุรกิจไทย
ร่างแก้ไข PDPA กำลังเดินเข้าสู่อีกขั้น หลังมีการเปิดรับฟังความคิดเห็นต่อร่างแก้ไขพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผ่านกระบวนการตามมาตรา 77 ของรัฐธรรมนูญ และการรับฟังความคิดเห็นสิ้นสุดลงเมื่อวันที่ 15 สิงหาคม 2569 ตามรายงานของ The Reporter Asia ขณะนี้ยังเป็น “ร่างกฎหมาย” ไม่ใช่กฎหมายที่มีผลใช้บังคับแล้ว
สิ่งที่ทำให้ข่าวนี้น่าสนใจสำหรับภาคธุรกิจ ไม่ใช่เพียงการพูดถึง GDPR หรือคำว่า “7 ฐานทางกฎหมาย” แต่คือทิศทางของกฎหมายที่กำลังพยายามทำให้การใช้ข้อมูลส่วนบุคคลอธิบายได้ชัดขึ้นว่า องค์กรใช้ข้อมูลเพราะอะไร และอาศัยเหตุผลทางกฎหมายข้อไหน
พูดง่าย ๆ คือ ต่อไปคำถามสำคัญอาจไม่ใช่แค่
“ขอ Consent แล้วหรือยัง?”
แต่ต้องถามเพิ่มว่า
“ข้อมูลชุดนี้ เรามีเหตุผลอะไรตามกฎหมายจึงใช้มันได้?”
นี่เป็นการเปลี่ยนวิธีคิดที่ธุรกิจควรเริ่มมองตั้งแต่วันนี้
เรื่องที่ต้องแก้ความเข้าใจ: ไทยไม่ได้เพิ่งมี “7 ฐาน”
หัวข้อข่าวที่พูดว่าไทยกำลังเปลี่ยนจากระบบ Consent ไปสู่ “7 ฐานแบบ GDPR” อาจทำให้คนอ่านเข้าใจว่า PDPA ไทยในปัจจุบันมีเพียง Consent เท่านั้น
ความจริงไม่ใช่แบบนั้น
ภายใต้ PDPA ปัจจุบัน มาตรา 24 ก็มีกรณีที่สามารถเก็บรวบรวมข้อมูลโดยไม่ต้องขอความยินยอม เช่น การทำตามสัญญา การปฏิบัติตามกฎหมาย ภารกิจเพื่อประโยชน์สาธารณะ และประโยชน์โดยชอบด้วยกฎหมาย ขณะที่กรณีเอกสารประวัติศาสตร์ การวิจัยหรือสถิติก็อยู่ในกรอบข้อยกเว้นของมาตรา 24 อยู่แล้ว
มหาวิทยาลัยมหิดลเองเคยจัดทำสื่ออธิบายเรื่อง “7 ฐานการประมวลผล” ภายใต้ PDPA และหน่วยงานภาครัฐก็ใช้งานแนวคิดเรื่อง “ฐานการประมวลผล” ในการจัดทำนโยบายข้อมูลส่วนบุคคลจริงในปัจจุบัน
ดังนั้น จุดที่ควรจับตาของ ร่างแก้ไข PDPA จึงไม่ใช่การนับตัวเลขว่า “จากหนึ่งกลายเป็นเจ็ด” อย่างเดียว แต่คือการพยายามจัดกรอบเรื่องฐานทางกฎหมายให้เป็นหลักคิดที่ชัดขึ้น และลดภาพว่าการใช้ข้อมูลทุกเรื่องต้องเริ่มต้นด้วย Consent
นี่ต่างกันมาก
เพราะ Consent เป็นเพียงหนึ่งเหตุผลทางกฎหมาย ไม่ใช่คำตอบสำหรับทุกสถานการณ์
แล้ว 7 ฐานที่พูดถึงมีอะไรบ้าง
ตามรายงานเกี่ยวกับร่างฉบับนี้ มีการจัดกรอบเหตุผลทางกฎหมายไว้ในลักษณะที่สอดคล้องกับแนวคิดของ GDPR มากขึ้น ได้แก่
- ประโยชน์สาธารณะหรือการใช้อำนาจรัฐ
- เอกสารประวัติศาสตร์ การวิจัย หรือสถิติ
- การป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ
- การปฏิบัติตามสัญญา
- ประโยชน์โดยชอบด้วยกฎหมาย หรือ Legitimate Interest
- การปฏิบัติตามกฎหมาย
- ความยินยอม หรือ Consent
The Reporter Asia รายงานด้วยว่าร่างยังเสนอการปรับมาตรา 4 และมาตรา 6 ในเรื่องข้อยกเว้นสำหรับภารกิจของรัฐและนิยาม “หน่วยงานของรัฐ” ให้ชัดเจนขึ้น
สิ่งหนึ่งที่ธุรกิจควรระวังคือ อย่าอ่านคำว่า “7 ฐาน” แล้วตีความว่า “ต่อไปไม่ต้องขอ Consent แล้ว”
ไม่ใช่แบบนั้น
Consent ยังอยู่ เพียงแต่ไม่จำเป็นต้องเป็นคำตอบแรกในทุกกรณี
กล่องคำศัพท์: คนทั่วไปควรรู้ 3 คำนี้
Consent
= ความยินยอมจากเจ้าของข้อมูล
Lawful Basis
= เหตุผลทางกฎหมายที่ทำให้องค์กรมีสิทธิประมวลผลข้อมูล
Legitimate Interest
= ประโยชน์โดยชอบด้วยกฎหมายขององค์กรหรือบุคคลอื่น
แต่ต้องไม่หนักน้อยกว่าสิทธิขั้นพื้นฐานของเจ้าของข้อมูลพูดให้เข้าใจง่ายที่สุด
Consent คือ “เจ้าของข้อมูลอนุญาต”
แต่
Lawful Basis คือ “กฎหมายอนุญาตให้องค์กรทำได้เพราะมีเหตุผลที่กฎหมายรองรับ”
สองอย่างนี้ไม่เหมือนกัน
นี่เป็นจุดที่เจ้าของกิจการ ผู้บริหาร และคนทำ Privacy ในองค์กรควรเข้าใจให้ตรงกัน
ร่างแก้ไข PDPA จะกระทบธุรกิจไทยอย่างไร
สำหรับธุรกิจ ผลกระทบที่แท้จริงอาจเกิดขึ้นหลังบ้านมากกว่าหน้าบ้าน
ปัจจุบันหลายองค์กรทำงานแบบง่ายที่สุด คือมี Privacy Notice หนึ่งชุด มี Consent Form หนึ่งชุด แล้วนำไปใช้กับหลายกระบวนการ แต่เมื่อกฎหมายเน้นเรื่องฐานทางกฎหมายมากขึ้น สิ่งที่องค์กรต้องทำจะละเอียดกว่าเดิม เพราะต้องตอบให้ได้ว่า “ข้อมูลชุดนี้ใช้เพื่ออะไร” และ “เหตุผลทางกฎหมายที่ใช้กับวัตถุประสงค์นั้นคืออะไร”
ยกตัวอย่างง่าย ๆ บริษัทหนึ่งมีข้อมูลลูกค้าอยู่ 100,000 ราย การเก็บชื่อ ที่อยู่ และข้อมูลติดต่อเพื่อส่งสินค้า อาจเกี่ยวข้องกับการปฏิบัติตามสัญญา แต่การนำข้อมูลกลุ่มเดิมไปทำการตลาด อาจต้องพิจารณาฐานทางกฎหมายและเงื่อนไขที่แตกต่างออกไป การนำข้อมูลไปวิเคราะห์พฤติกรรมเพื่อพัฒนาบริการก็อาจมีคำถามอีกแบบหนึ่ง
ดังนั้น การมีฐานข้อมูลเดียว ไม่ได้หมายความว่าจะมีเหตุผลทางกฎหมายเพียงฐานเดียว
นี่คือจุดที่ธุรกิจขนาดเล็กมีโอกาสเจอปัญหา เพราะที่ผ่านมาอาจสนใจเพียงว่า “มีเอกสาร Consent ครบหรือไม่” แต่ไม่ได้ตรวจว่าการใช้งานจริงตรงกับเอกสารหรือไม่
สำหรับองค์กรขนาดใหญ่ ผลกระทบจะใหญ่กว่า เพราะข้อมูลหนึ่งชุดอาจไหลผ่านหลายระบบ ทั้ง CRM, HR, ERP, Marketing, Cloud, Call Center และผู้ให้บริการภายนอก เมื่อฐานทางกฎหมายต้องชัดขึ้น งานที่เกี่ยวข้องกับ Data Mapping, Privacy Notice, RoPA, DPA และกระบวนการภายในก็มีโอกาสต้องถูกทบทวนตามไปด้วย
ส่วนประชาชน ผลในทางบวกคือการทำให้การใช้ข้อมูลอธิบายได้เป็นเหตุเป็นผลมากขึ้น แทนที่จะเกิดสถานการณ์ที่ผู้บริโภคเห็นแบบฟอร์มยาว ๆ แล้วมีเพียงคำว่า “กดยอมรับ” โดยไม่รู้ว่าข้อมูลของตนถูกนำไปใช้เพื่ออะไร
ในอีกด้านหนึ่ง การมีหลายฐานทางกฎหมายไม่ได้แปลว่าประชาชนจะมีสิทธิน้อยลง ธุรกิจไม่ได้รับใบอนุญาตให้ใช้ข้อมูลได้อย่างอิสระ เพียงเพราะอ้างคำว่า Legitimate Interest หรือ Contract ได้ ทุกฐานยังต้องอยู่ภายใต้เงื่อนไขของกฎหมาย วัตถุประสงค์ และสิทธิของเจ้าของข้อมูล
ที่สำคัญที่สุดคือ การปรับกฎหมายไม่ได้ทำให้การเก็บข้อมูลถูกกฎหมายโดยอัตโนมัติ
องค์กรยังต้องตอบให้ได้ว่าเก็บเท่าที่จำเป็นหรือไม่ ใช้ตรงวัตถุประสงค์หรือไม่ และมีมาตรการคุ้มครองเหมาะสมหรือไม่
ดังนั้น ในเชิงธุรกิจ สิ่งที่จะเปลี่ยนไม่ใช่แค่แบบฟอร์มหนึ่งหน้า แต่คือวิธีบริหารข้อมูลทั้งระบบ
สิ่งที่น่าจับตาเป็นพิเศษ: ฝั่งรัฐ
อีกประเด็นหนึ่งในร่างคือการขยายกรอบข้อยกเว้นสำหรับภารกิจของรัฐ โดยรายงานระบุถึงการเพิ่มเรื่องการป้องกันและปราบปรามการทุจริตและประพฤติมิชอบ รวมถึงการกำหนดนิยาม “หน่วยงานของรัฐ” ให้ครอบคลุมหน่วยงานของรัฐในหลายระดับมากขึ้น
เรื่องนี้ไม่ใช่ประเด็นเฉพาะของราชการ
เพราะธุรกิจเอกชนจำนวนมากต้องส่งข้อมูลให้หน่วยงานกำกับดูแล หน่วยงานบังคับใช้กฎหมาย สถาบันการเงิน หรือคู่สัญญาภาครัฐ
หากกฎหมายในอนาคตเขียนเส้นแบ่งเรื่องการใช้และการส่งต่อข้อมูลของภาครัฐให้ชัดขึ้น สิ่งที่จะเปลี่ยนตามมาคือวิธีที่องค์กรเอกชนต้องประเมินคำขอข้อมูลจากหน่วยงานรัฐด้วย
คำถามจะกลายเป็นว่า
“คำขอนี้มีฐานกฎหมายรองรับหรือไม่?”
แทนที่จะรีบตอบว่า
“ส่งได้หรือส่งไม่ได้?”
สิ่งที่ควรทำต่อ
ยังไม่จำเป็นต้องรื้อระบบทั้งหมดในวันนี้ เพราะร่างยังไม่ใช่กฎหมายที่มีผลใช้บังคับ และ The Reporter Asia ระบุว่าร่างจะมีผลเมื่อผ่านกระบวนการออกกฎหมายและประกาศในราชกิจจานุเบกษา
แต่ธุรกิจสามารถเตรียมตัวแบบไม่ต้องเสียแรงซ้ำได้
- ทำ Data Mapping ใหม่
ดูว่าข้อมูลแต่ละประเภทอยู่ที่ไหน ใครใช้ และใช้เพื่ออะไร - ใส่ฐานทางกฎหมายลงในแต่ละกิจกรรม
อย่าดูเพียงว่า “บริษัทมี Consent Form หรือไม่” ให้ถามว่าแต่ละกิจกรรมใช้ฐานใด - แยก Consent ออกจากเหตุผลอื่น
อย่าใช้ Consent เป็นคำตอบแบบเหมาเข่งสำหรับทุกกิจกรรมขององค์กร - เตรียมตารางเปรียบเทียบกฎหมายเดิมกับร่างใหม่
โดยเฉพาะมาตรา 4, มาตรา 6 และมาตรา 24 - ติดตามแหล่งทางการก่อนแก้เอกสารจริง
ยังไม่ควรประกาศกับลูกค้าว่า “PDPA ใหม่มีผลแล้ว” เพราะขณะนี้ยังเป็นเพียงร่างกฎหมาย
อีกเรื่องที่คนทำงาน PDPA ควรจำให้ขึ้นใจ
สิ่งที่น่ากลัวที่สุดไม่ใช่การไม่มี Consent
แต่คือการมีเอกสารครบทุกใบ แล้วสิ่งที่บริษัททำจริงไม่ตรงกับเอกสาร
ตัวอย่างเช่น Privacy Notice บอกว่าใช้ข้อมูลเพื่อให้บริการ แต่ฝ่ายการตลาดกลับนำข้อมูลชุดเดียวกันไปใช้ทำแคมเปญอีกแบบหนึ่ง หรือบริษัทอ้าง Legitimate Interest แต่ไม่มีการประเมินและไม่มีเหตุผลที่อธิบายได้ว่าเหตุใดประโยชน์ของบริษัทจึงเหมาะสมเมื่อเทียบกับสิทธิของเจ้าของข้อมูล
ในโลกการทำงานจริง เรื่องเหล่านี้สำคัญกว่าการมีไฟล์ Word ชื่อ “PDPA Final Version.docx”
เพราะเมื่อมีปัญหา สิ่งที่จะถูกถามคือ
“คุณใช้ข้อมูลเพราะอะไร?”
และ
“พิสูจน์ได้อย่างไร?”
มุมมองผู้เชี่ยวชาญ
“ผมมองว่าประเด็นนี้ไม่ใช่เรื่องว่า ต่อไปเราจะขอ Consent น้อยลงแค่ไหน แต่เป็นเรื่องว่าองค์กรต้องรู้จริง ๆ ว่าแต่ละข้อมูลเอาไปทำอะไร และกฎหมายให้อำนาจเราใช้เพราะอะไร ถ้าตอบสองคำถามนี้ไม่ได้ ต่อให้เอกสาร PDPA เต็มบริษัท ก็ยังมีปัญหาได้”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
The Reporter Asia — รายงานความคืบหน้าร่างแก้ไข PDPA และสาระเกี่ยวกับมาตรา 4 มาตรา 6 และมาตรา 24 The Reporter Asia — รื้อเกณฑ์ PDPA ปลดล็อกข้อมูลรัฐ ปราบโกง สอดรับมาตรฐานสากล
รัฐสภาไทย — พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รัฐสภาไทย — พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
สำนักงานพัฒนารัฐบาลดิจิทัล (DGA) — ข้อมูลเกี่ยวกับฐานการประมวลผลตาม PDPA
มหาวิทยาลัยมหิดล — สื่ออธิบาย 7 ฐานการประมวลผลภายใต้ PDPA
Kooru.com — ศูนย์รวมบทความและข้อมูลด้าน PDPA / Tech Law Kooru.com
YMYL Disclaimer
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย
หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
