สคส. เคลียร์ใจ ชวนร่วมสร้างความเข้าใจบทบาท PDPA สะท้อนการตื่นตัว ประชาชน ต่อสิทธิในข้อมูลส่วนบุคคล เปิด 4,210 เรื่องร้องเรียน พร้อมเจาะ 1,650 เหตุข้อมูลรั่ว
21 ต.ค. 69 – สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC จัดงาน “สคส. เคลียร์ใจสังคม ตอบทุกข้อคำถามเรื่อง PDPA” เปิดพื้นที่พูดคุยผ่านสื่อมวลชน อย่างใกล้ชิด พร้อมเปิดสถิติเรื่องร้องเรียนและข้อปรึกษา 4,210 เรื่อง และสถิติการรับแจ้งเหตุละเมิดข้อมูลส่วนบุคคล 1,650 เรื่อง
สะท้อนสถานการณ์การคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย ตลอดจนเคลียร์ประเด็นที่สังคม ทั้งข้อจำกัดและกระบวนการตรวจสอบของ สคส. ก่อนวินิจฉัยว่า “ผิดหรือไม่ผิด PDPA”
พ.ต.อ. สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กล่าวว่า ปัจจุบันสื่อมวลชนมีบทบาทสำคัญอย่างยิ่งในการทำให้ประชาชนเข้าใจสิทธิด้านข้อมูลส่วนบุคคล เนื่องจากหลายเหตุการณ์ที่เกี่ยวข้องกับ PDPA มักเริ่มต้นจากเรื่องใกล้ตัว ก่อนถูกนำเสนอและขยายผลผ่านสื่อมวลชน สื่อออนไลน์ และสังคมออนไลน์ อย่างรวดเร็ว ความถูกต้องของข้อมูล ตั้งแต่ต้นจึงมีผลโดยตรงต่อความเข้าใจของประชาชน
“สคส. มองว่าสื่อมวลชนไม่ใช่เพียงผู้รายงานข่าว แต่เป็นพันธมิตรสำคัญในการทำให้เรื่อง PDPA ซึ่งอาจดูเป็นกฎหมายที่ซับซ้อน กลายเป็นเรื่องที่ประชาชนเข้าใจง่าย รู้ว่าตัวเองมีสิทธิอะไร และองค์กรมีหน้าที่อย่างไร เราจึงต้องการเปิดพื้นที่ให้สื่อสามารถสอบถามได้อย่างตรงไปตรงมา โดยเฉพาะเรื่องที่กำลังเป็นประเด็นในสังคม”
นอกจากนี้ สคส. ยังได้สรุปผลการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคล ทั้งในมิติเชิงรุกและเชิงรับ พร้อมเปิดเผย สถิติเรื่องร้องเรียนและข้อปรึกษา 4,210 เรื่อง ซึ่งเป็นข้อมูลสำคัญที่สะท้อนการตื่นตัวของประชาชนต่อสิทธิในข้อมูลส่วนบุคคล
จากข้อมูลดังกล่าว พบว่า ผู้ถูกร้องเรียนเป็น ภาคเอกชน 3,889 เรื่อง และภาครัฐ 321 เรื่อง โดย 3 ประเด็นที่มีการร้องเรียนสูง ได้แก่ มาตรา 27 การเปิดเผยข้อมูลโดยไม่ได้รับความยินยอม 1,025 เรื่อง, มาตรา 4 ประเด็นข้อยกเว้นเรื่องประโยชน์ส่วนตน 724 เรื่อง และมาตรา 24/26 เรื่องการเก็บรวบรวมข้อมูลส่วนบุคคล 586 เรื่อง
นอกเหนือจากสถิติเรื่องร้องเรียนและข้อปรึกษาแล้ว อีกข้อมูลสำคัญที่สะท้อนภาพความเสี่ยงด้านข้อมูลส่วนบุคคล คือ สถิติการรับแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ซึ่งตั้งแต่ปี พ.ศ. 2566 ถึงวันที่ 31 พฤษภาคม 2569 สคส. ได้รับแจ้งเหตุรวม 1,650 เรื่อง
โดยจำแนกเป็น Non-cyber 849 เรื่อง คิดเป็น 51.45% Cyber 747 เรื่อง คิดเป็น 45.27% และสาเหตุอื่น ๆ 54 เรื่อง คิดเป็น 3.28% ทั้งนี้ ในกลุ่ม Cyber พบเหตุจาก Cyber Threat 567 เรื่อง และ Social Media 180 เรื่อง ขณะที่กลุ่ม Non-cyber ส่วนใหญ่เกี่ยวข้องกับ Human Error
ในด้านประเภทหน่วยงานที่มีการแจ้งเหตุสูงสุด พบว่า กลุ่มการเงิน การลงทุน และการประกัน 723 เรื่อง รองลงมา ได้แก่ หน่วยงานของรัฐและรัฐวิสาหกิจ 206 เรื่อง ธุรกิจการค้าปลีก-ส่งและการค้าออนไลน์ 204 เรื่อง กลุ่มพลังงาน สาธารณูปโภคและอุตสาหกรรมการผลิต 105 เรื่อง และด้านสาธารณสุข 87 เรื่อง
ขณะที่สถานะการดำเนินการจากเหตุทั้งหมด 1,650 เรื่อง แบ่งเป็น อยู่ระหว่างดำเนินการ 569 เรื่อง เฝ้าระวังและติดตาม 1,071 เรื่อง เสนอคณะกรรมการผู้เชี่ยวชาญ 9 เรื่อง และส่งเรื่องให้ศูนย์ให้คำปรึกษาและรับเรื่องร้องเรียน 1 เรื่อง
“ตัวเลข 1,650 เหตุ ทำให้เราเห็นชัดว่า เรื่องข้อมูลรั่วไหลไม่ได้มีคำตอบเพียงว่า ‘ถูกแฮกหรือไม่’ เพราะมากกว่าครึ่งอยู่ในกลุ่ม Non-cyber และ Human Error การป้องกันจึงต้องมองทั้งระบบ ตั้งแต่เทคโนโลยี บุคลากร กระบวนการทำงาน ไปจนถึงวัฒนธรรมการคุ้มครองข้อมูลภายในองค์กร” พ.ต.อ. สุรพงศ์ เปล่งขำ กล่าว
ด้าน นางสาววีรินทร์ อรวัฒนพันธุ์ ผู้อำนวยการฝ่ายสื่อสารองค์กร สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) กล่าวว่า หนึ่งในประเด็นที่ สคส. ต้องการ “เคลียร์” ให้ประชาชน เข้าใจตรงกันมากที่สุด
โดยประชาชนจำนวนไม่น้อย ยังเข้าใจว่า PDPA เป็นกฎหมายที่เข้มงวด จนกระทบการใช้ชีวิตประจำวัน เช่น การถ่ายภาพติดบุคคลอื่นในพื้นที่สาธารณะ หรือการโพสต์ภาพลงสื่อสังคมออนไลน์ ทั้งที่หากเป็นการใช้ชีวิตตามปกติ ไม่ได้มีเจตนาแสวงหาประโยชน์ทางการค้า หรือก่อให้เกิดความเสียหายแก่ผู้อื่น ก็อาจอยู่ในขอบเขตที่สามารถดำเนินการได้ตามหลักกฎหมาย
ขณะที่ในฝั่งองค์กรและหน่วยงาน ยังพบความเข้าใจผิดว่า “การเก็บหรือใช้ข้อมูลส่วนบุคคลทุกกรณีต้องขอ Consent” จนเกิดภาวะ Over-compliance และสร้างภาระแก่ประชาชน ทั้งที่ PDPA กำหนดฐานทางกฎหมายสำหรับการประมวลผลข้อมูลไว้หลายรูปแบบ เช่น ฐานสัญญา ฐานการปฏิบัติตามกฎหมาย หรือฐานประโยชน์อันชอบธรรม
ดังนั้น หากเป็นการใช้ข้อมูลที่จำเป็นต่อการให้บริการหรือการปฏิบัติตามสัญญาอยู่แล้ว องค์กรไม่จำเป็นต้องขอ Consent ซ้ำซ้อนให้เป็นภาระแก่ประชาชน
“PDPA ไม่ได้หมายความว่า ทุกเรื่องต้องขอความยินยอม และไม่ได้หมายความว่า ประชาชนจะใช้ชีวิตตามปกติไม่ได้ สิ่งสำคัญคือ ต้องดูว่าการเก็บ ใช้ หรือเปิดเผยข้อมูลนั้นมีฐานทางกฎหมายรองรับหรือไม่ และดำเนินการอยู่ในขอบเขตที่เหมาะสมหรือไม่” นางสาววีรินทร์ กล่าว
นางสาววีรินทร์ อธิบายสำหรับ มาตรา 4 ซึ่งเป็นอีกหนึ่งประเด็นที่ประชาชนสอบถามเข้ามาจำนวนมาก ว่า กฎหมายกำหนดข้อยกเว้นสำหรับการดำเนินการเพื่อประโยชน์ส่วนตนหรือกิจกรรมในครอบครัว เพื่อให้ประชาชนสามารถดำเนินชีวิตประจำวันได้ตามปกติ เช่น การบันทึกภาพครอบครัว หรือการติดตั้งกล้องวงจรปิด เพื่อดูแลความปลอดภัยภายในรั้วบ้านของตนเอง
อย่างไรก็ตาม “จุดตัดสำคัญ” อยู่ที่ขอบเขตการใช้งาน หากกล้องถูกหันไปบันทึกพื้นที่ส่วนตัวภายในบ้านของผู้อื่น หรือมีการนำภาพของบุคคลอื่นไปเผยแพร่ประจานในสื่อสังคมออนไลน์ กรณีดังกล่าวอาจพ้นจากขอบเขตของการใช้เพื่อประโยชน์ส่วนตน และเข้าสู่ประเด็นการละเมิดสิทธิได้
“ประเด็นเหล่านี้เป็นเหตุผลที่ สคส. ต้องการทำงานร่วมกับสื่อมวลชนอย่างใกล้ชิด เช่น “ถ่ายรูปติดคนอื่นก็ผิด” “ทุกอย่างต้อง Consent” หรือ “อ้าง PDPA แล้วเปิดเผยข้อมูลไม่ได้ทุกกรณี” อาจทำให้สังคมเข้าใจกฎหมายคลาดเคลื่อน
สื่อจึงมีบทบาทสำคัญ ในการช่วยอธิบายบริบท และทำให้ประชาชนเข้าใจว่า PDPA มีเป้าหมาย เพื่อสร้างสมดุลระหว่างการใช้ข้อมูลกับการคุ้มครองสิทธิ ไม่ใช่เพื่อสร้างภาระหรือปิดกั้นการดำเนินชีวิตตามปกติ” นางสาววีรินทร์ กล่าวสรุปในตอนท้าย
