จาก “ขอ Consent” สู่คำถามที่ยากกว่าเดิม
ลองนึกภาพบริษัทแห่งหนึ่งที่มีทีม Marketing คอยขอ Consent ลูกค้าทุกครั้งที่ต้องการนำข้อมูลไปใช้ ฝ่าย HR ก็มีแบบฟอร์ม Consent ของพนักงาน ฝ่าย IT ก็เก็บหลักฐานการยอมรับเงื่อนไขไว้
ทุกคนรู้สึกว่า “เราทำ PDPA แล้ว”
แต่ถ้าร่างแก้ไข พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลที่กำลังถูกเสนอเดินหน้าต่อ สิ่งที่องค์กรต้องตอบอาจไม่ใช่แค่ “ขอความยินยอมแล้วหรือยัง” อีกต่อไป
ร่างแก้ไขมาตรา 24 เสนอให้ฐานทางกฎหมายสำหรับการประมวลผลข้อมูลส่วนบุคคลมีสถานะเท่าเทียมกัน 7 ฐาน โดย Consent เป็นเพียงหนึ่งในนั้น ขณะที่การรับฟังความคิดเห็นของร่างฉบับนี้เปิดตั้งแต่วันที่ 16 กรกฎาคมถึง 15 สิงหาคม 2569 และ ณ วันที่ 22 สิงหาคม 2569 ยังไม่มีการยืนยันว่าร่างดังกล่าวจะประกาศใช้เมื่อใด
ข่าวนี้จึงไม่ได้มีความหมายแค่ว่า “ธุรกิจจะขอ Consent น้อยลง” แต่กำลังบอกว่าองค์กรอาจต้องยกระดับวิธีคิดเรื่อง เหตุผล หลักฐาน และการอนุมัติการใช้ข้อมูล ขึ้นมาอีกขั้น
ข้อเท็จจริง: ร่างแก้ไขกำลังเปลี่ยนวิธีคิดของมาตรา 24
ภายใต้ PDPA ปัจจุบัน มาตรา 24 กำหนดหลักทั่วไปเรื่องการเก็บรวบรวมข้อมูลโดยต้องมีความยินยอม เว้นแต่ เข้าข้อยกเว้นตามฐานที่กฎหมายกำหนด ซึ่งในทางปฏิบัติทำให้หลายองค์กรคุ้นกับการคิดแบบง่าย ๆ ว่า “กรณีนี้ต้องขอ Consent ไหม”
แต่ร่างแก้ไขเสนอให้โครงสร้างใหม่เป็นระบบ หลายฐานทางกฎหมายที่ใช้เป็นเหตุในการประมวลผลได้โดยตรง ได้แก่
- การเก็บเพื่อประโยชน์สาธารณะด้านเอกสารประวัติศาสตร์ งานวิจัย หรือสถิติ
- ภารกิจเพื่อประโยชน์สาธารณะหรือการใช้อำนาจรัฐ
- การป้องกันอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ
- ความจำเป็นเพื่อทำสัญญาหรือดำเนินการก่อนทำสัญญา
- ประโยชน์โดยชอบด้วยกฎหมาย หรือ Legitimate Interest
- การปฏิบัติตามหน้าที่ตามกฎหมาย
- ความยินยอมของเจ้าของข้อมูลส่วนบุคคล
จุดเปลี่ยนสำคัญจึงอยู่ที่การทำให้ Consent ไม่ได้ถูกวางเป็น “ช่องทางหลัก” เพียงทางเดียว แต่เป็นหนึ่งในฐานทางกฎหมายที่องค์กรสามารถเลือกใช้ตามลักษณะของกิจกรรมการประมวลผล
ร่างฉบับเดียวกันยังเสนอให้กำหนดความหมายของ “หน่วยงานของรัฐ” ให้ชัดขึ้น และเพิ่มขอบเขตข้อยกเว้นสำหรับการดำเนินงานด้านการป้องกันและปราบปรามการทุจริตของหน่วยงานภาครัฐด้วย
อย่างไรก็ตาม สิ่งสำคัญมากคือ นี่คือร่างกฎหมาย ไม่ใช่กฎหมายที่มีผลใช้บังคับแล้ว และแหล่งข่าวต้นทางระบุว่าหากร่างผ่าน กระบวนการจะมีผลตามที่กำหนดหลังจากประกาศในราชกิจจานุเบกษา ดังนั้นองค์กรไม่ควรเปลี่ยนนโยบายครั้งใหญ่โดยถือว่ากฎหมายใหม่มีผลแล้ว
ผลกระทบต่อธุรกิจในประเทศไทย: งานอาจไม่ได้หาย แต่ “เปลี่ยนรูป”
นี่คือส่วนที่ธุรกิจควรจับตาที่สุด
สิ่งที่หลายองค์กรอาจดีใจเมื่อเห็นข่าวนี้คือ “ถ้าไม่ต้องขอ Consent ทุกเรื่องก็ดีสิ” และในบางสถานการณ์มันอาจลดภาระจริง โดยเฉพาะกิจกรรมที่มีฐานกฎหมายอื่นรองรับอยู่แล้ว เช่น การทำสัญญากับลูกค้า การปฏิบัติตามกฎหมาย หรือการใช้ข้อมูลเพื่อประโยชน์โดยชอบด้วยกฎหมาย
แต่ในทางบริหารความเสี่ยง การลดการพึ่ง Consent ไม่ได้แปลว่าองค์กรมีเอกสารน้อยลงเสมอไป
ตรงกันข้าม ภาระบางส่วนอาจเคลื่อนจาก “การเก็บหลักฐานว่าคนยอม” ไปเป็น “การเก็บหลักฐานว่าองค์กรมีเหตุผลพอที่จะใช้ข้อมูล”
ตัวอย่างที่เห็นภาพคือ Marketing อาจต้องการนำข้อมูลลูกค้าเก่ามาวิเคราะห์เพื่อแบ่งกลุ่มลูกค้า หากองค์กรเลือกใช้ Legitimate Interest แทน Consent คำถามสำคัญจะเปลี่ยนจาก “ลูกค้าเคยติ๊กยอมรับหรือยัง” มาเป็น “องค์กรมีประโยชน์อะไร การใช้ข้อมูลจำเป็นจริงหรือไม่ และสิทธิของลูกค้าถูกกระทบมากเกินไปหรือไม่”
ตรงนี้เองที่ LIA หรือ Legitimate Interest Assessment จะมีความสำคัญในทางปฏิบัติ เพราะองค์กรต้องสามารถอธิบายเหตุผลของการเลือกฐานดังกล่าวได้อย่างเป็นระบบ ไม่ใช่เพียงระบุชื่อฐานกฎหมายไว้ในเอกสาร
ผลกระทบจะลามไปถึง ROPA, Privacy Notice, ขั้นตอนอนุมัติโครงการ, การประเมินความเสี่ยง, การทำงานของ DPO และการตรวจสอบจากฝ่ายกฎหมายหรือ Audit ด้วย
สำหรับ SME นี่อาจหมายถึง การต้องจัดระบบเอกสารให้ดีขึ้น แต่สำหรับองค์กรขนาดใหญ่ เรื่องนี้อาจกลายเป็นการเปลี่ยน workflow ทั้งระบบ เพราะแต่ละทีมอาจต้องหยุดถามว่า “จะทำ Consent form ยังไง?” แล้วหันมาถามว่า “กิจกรรมนี้ใช้ฐานกฎหมายอะไร และใครเป็นคนอนุมัติ?”
ดังนั้น มูลค่าที่แท้จริงของการเปลี่ยนแปลงไม่ได้อยู่ที่การลดจำนวน Checkbox แต่คือ การทำให้ การตัดสินใจเรื่องข้อมูลมีเหตุผลและตรวจสอบย้อนหลังได้
และนี่อาจเป็นจุดที่ตลาดบริการ PDPA จะเปลี่ยนตามไปด้วย เพราะองค์กรอาจไม่ได้ต้องการเพียงแบบฟอร์ม Consent อีกต่อไป แต่ต้องการระบบและเอกสารที่ช่วยตอบว่า “เราใช้ข้อมูลนี้ได้เพราะอะไร”
สิ่งที่ควรทำต่อ
- อย่าเพิ่งยกเลิก Consent เดิม เพียงเพราะมีข่าวร่างแก้ไข เพราะกฎหมายใหม่ยังไม่ได้มีผลใช้บังคับ
- นำกิจกรรมประมวลผลข้อมูลสำคัญมาทบทวนว่า ปัจจุบันใช้ฐานกฎหมายอะไร และเหตุผลนั้นสอดคล้องกับการใช้งานจริงหรือไม่
- เตรียมรายการกิจกรรมที่มีโอกาสใช้ Legitimate Interest และระบุว่าต้องมีการประเมินเหตุผลและผลกระทบอย่างไร
- ตรวจ ROPA และ Privacy Notice ว่าระบุเหตุผลของการประมวลผลข้อมูลได้ชัดเจนหรือยัง
- ตั้งผู้รับผิดชอบติดตามความคืบหน้าของร่างกฎหมายและตรวจสอบ ราชกิจจานุเบกษา ก่อนปรับนโยบายหรือระบบจริง
มุมมองผู้เชี่ยวชาญ
“ผมมองว่าข่าวนี้ไม่ใช่ข่าวว่า PDPA จะง่ายขึ้น แต่เป็นข่าวว่าเกมกำลังเปลี่ยน จากเมื่อก่อนเราชอบถามว่า ‘มี Consent หรือยัง’ ต่อไปคำถามที่สำคัญกว่า คือ ‘ข้อมูลชุดนี้ใช้ได้เพราะอะไร แล้วเราพิสูจน์เหตุผลนั้นได้ไหม’ ถ้าองค์กรเริ่มจัดระบบตรงนี้ตั้งแต่วันนี้ วันที่กฎหมายเปลี่ยนจริงจะไม่ต้องมาไล่แก้เอกสารกันทั้งบริษัทครับ” สำหรับท่านที่ถูกสอนโดยภาพรวม ที่ผู้สอนมักจับฐานกฎหมายมารวมกับ Consent คงคิดว่านี่คงเหมือนเดิม แต่หากเป็นนักกฎหมายแล้ว การที่ Consent เปลี่ยนมาอยู่ในมาตราอื่น จึงเป็นเรื่องที่สำคัญมาก ย่อมไม่ใช่เรื่องเดิมอย่างแน่นอน
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
Tilleke & Gibbins / Mondaq — Thailand Proposes Significant Amendments To The Personal Data Protection Act, เผยแพร่ 4 สิงหาคม 2569 โดยบทความอธิบายสาระของร่างแก้ไขมาตรา 24 และกรอบการรับฟังความคิดเห็น
อ่านต้นฉบับจาก Tilleke & Gibbins
