5 Checkpoints สำคัญ เพื่อการทบทวนการใช้ PDPA กับบุคลากรภายในองค์กร

จบปี พ.ศ. 2568 ไปด้วยประเด็นร้อนสุดท้ายส่งท้ายปีกับประเด็นการตีความการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ที่แม้จะมีผลบังคับสมบูรณ์มาตั้งแต่ปี พ.ศ. 2565 แล้ว แต่ก็ยังมีประเด็นที่สร้างความน่าสนใจในวงกว้างในสังคม ทั้งในฐานะเจ้าของข้อมูลส่วนบุคคลต่าง ๆ และผู้ควบคุมข้อมูลส่วนบุคคลอย่างหลากหลาย กับประเด็นจากกระแสข่าวการใช้ข้อมูลส่วนบุคคลของคุณแม่รัฐมนตรีที่ใช้ Social Media ส่วนตัวในการโพสต์ทะเบียนราษฎรของผู้ที่วิพากษ์วิจารณ์ครอบครัว สำหรับกรณีของประเด็นที่เป็นข่าวดังกล่าว ในท้ายที่สุดได้รับการชี้แจงอย่างชัดเจนจากทั้งรัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม และทางสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมาแล้วว่า เป็นกรณีที่ไม่ผิด PDPA เนื่องจากเหตุผลโดยสรุปว่า การประมวลผลข้อมูลส่วนบุคคลดังกล่าวเป็นกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคล (คือ คุณแม่ผู้ตัดสินใจดำเนินการเผยแพร่ข้อมูลส่วนบุคคลของบุคคลอื่นดังกล่าว) ดำเนินการประมวลผลข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตัว กล่าวคือ ไม่ได้เป็นการดำเนินการเพื่อจุดประสงค์เชิงพาณิชย์ใด ๆ แม้จะยังเป็นประเด็นถกเถียงกันในส่วนของจำนวนผู้ติดตามของผู้โพสต์ ซึ่งอาจนำไปสู่โจทย์หลักที่ต้องตีความว่าขอบเขตแค่ไหนที่จะยังถือว่าการใช้แพลตฟอร์มออนไลน์ส่วนตัวยังอยู่ภายใต้ขอบเขตข้อยกเว้นการบังคับใช้ PDPA ด้วยเหตุผลส่วนตัวอยู่ ซึ่งก็คงต้องมีการตีความกันต่อไป

แม้ประเด็นการประมวลผลข้อมูลส่วนบุคคลกรณีดังกล่าวจะยังเป็นที่โต้แย้งกันอยู่ แต่ประเด็นที่มีความชัดเจนแล้วว่า PDPA มีผลบังคับแน่นอนย่อมหนีไม่พ้น การประมวลผลข้อมูลส่วนบุคคลของบุคลากรภายในของทุกองค์กร ไม่ว่าผู้ประกอบการนั้นจะเป็นนายจ้างบุคคลธรรมดาหรือนายจ้างนิติบุคคลก็ตาม ซึ่งเมื่อองค์กรใดก็ตามว่าจ้างบุคลากรภายในองค์กร ไม่ว่าจะเป็นพนักงานภายใต้สัญญาจ้างแรงงาน องค์กรดังกล่าวก็มีหน้าที่ต้องปฏิบัติตาม PDPA สำหรับการเก็บ รวบรวม ประมวลผล และใช้ข้อมูลของบุคคลธรรมดาที่ว่าจ้างดังกล่าวในทันที

ก่อนจะเริ่มต้นปี พ.ศ. 2569 นี้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลจะมีผลบังคับใช้เป็นปีที่ 4 บทความฉบับนี้จะสรุป 5 Checkhpoints เพื่อให้องค์กรนายจ้างใช้ในการทบทวนการบริหารจัดการทรัพยากรบุคคลของตนภายใต้กรอบ PDPA

Checkhpoint 1 : เอกสารที่ต้องจัดทำ Privacy Notice VS Privacy Policy VS สัญญาจ้างแรงงาน VS ความยินยอม

หน้าที่หลักหนึ่งที่องค์กรนายจ้างในฐานะผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการภายใต้ PDPA คือ หน้าที่การแจ้งการประมวลผลข้อมูลส่วนบุคคล ผ่านการจัดทำ “เอกสารแจ้งการประมวลผลข้อมูลส่วนบุคคล” ซึ่งอาจมีคำถามสำหรับนายจ้างต่าง ๆ ว่า เอกสารดังกล่าวคือ Privacy Notice/Privacy Policy หรือแจ้งรวมในสัญญาจ้างแรงงานก็จบแล้ว 

PDPA ไม่ได้ระบุชื่อของเอกสารดังกล่าวที่ชัดเจนไว้ เพียงแต่ระบุ “หัวข้อ” ที่ต้องได้รับการระบุเพื่อแจ้งการประมวลผลข้อมูลส่วนบุคคลไว้เท่านั้น ซึ่งหัวข้อดังกล่าวรวมการแจ้งข้อมูลดังนี้ (1) ข้อมูลส่วนบุคคลที่จะมีการประมวลผล (2) วัตถุประสงค์การประมวลผลข้อมูลส่วนบุคคลดังกล่าว และกรณีที่การประมวลผลข้อมูลส่วนบุคคลนั้นจำเป็นสำหรับการปฏิบัติตามกฎหมายหรือสัญญาของผู้ควบคุมข้อมูลส่วนบุคคล ต้องแจ้งถึงผลกระทบที่เป็นไปได้จากการที่เจ้าของข้อมูลส่วนบุคคลนั้นไม่ให้ข้อมูล (3) ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลนั้นจะถูกเปิดเผยไป (4) ข้อมูลเกี่ยวกับตัวผู้ควบคุมข้อมูลส่วนบุคคล โดยเฉพาะข้อมูลการติดต่อ (5) ระยะเวลาการจัดเก็บข้อมูลส่วนบุคคลดังกล่าว (6) สิทธิเจ้าของข้อมูลส่วนบุคคล

ดังนั้นเป็นทางเลือกขององค์กรนายจ้างเองว่าจะจัดทำเอกสารดังกล่าวขึ้นมาโดยเรียกเอกสารดังกล่าวว่า Privacy Policy/Privacy Notice/นโยบายความเป็นส่วนตัว หรือแม้กระทั่งจะแจ้งการประมวลผลข้อมูลส่วนบุคคลนั้นไว้ในสัญญาจ้างแรงงานก็สามารถทำได้ ตราบเท่าที่การแจ้งดังกล่าวมีข้อมูลครบถ้วนตามที่กำหนดไว้เท่านั้น และเมื่อจัดทำเอกสารดังกล่าวแล้ว องค์กรนายจ้างดังกล่าวต้องดำเนินการแจ้งเอกสารนั้น “ก่อนหรือขณะ” ที่จะมีการจัดเก็บข้อมูลส่วนบุคคล 

นอกเหนือจากการจัดทำเอกสารแจ้งการประมวลผลข้อมูลส่วนบุคคลเพียงฝ่ายเดียวแล้ว ในกรณีที่องค์กรนายจ้างใดจำเป็นต้องประมวลผลข้อมูลส่วนบุคคลด้วยฐานความยินยอม องค์กรนายจ้างดังกล่าวต้องดำเนินการจัดให้มีกลไกการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลแต่ละรายให้ชัดเจนด้วย ซึ่งการขอความยินยอมดังกล่าวมีโจทย์หลักภายใต้ PDPA ว่า ต้องเป็นการขอรายคน โดยเจ้าของข้อมูลส่วนบุคคลย่อมมีอิสระที่จะให้หรือไม่ให้ความยินยอมนั้น ๆ ก็ได้ และการขอความยินยอมนั้นต้องแยกต่างหากจากการแจ้งเอกสารการประมวลผลข้อมูลส่วนบุคคล และต้องแยกจากสัญญาจ้างแรงงาน ดังนั้นกรณีที่ต้องขอความยินยอม องค์กรนายจ้างต้องจัดทำเอกสารการขอความยินยอมแยกต่างหากมาอีกฉบับหนึ่ง แต่การขอความยินยอมนั้นอาจอยู่ในรูปแบบกระดาษหรือไฟล์อิเล็กทรอนิกส์ก็ได้ แต่ต้องเก็บโดยระบุได้ว่า ผู้ให้ความยินยอมแต่ละรายคือใคร เพื่อการตรวจสอบการใช้สิทธิเจ้าของข้อมูลส่วนบุคคล

Checkhpoint 2 : โครงสร้างองค์กรที่ต้องปรับตัว - ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลขององค์กร

ปัจจุบันหลาย ๆ องค์กรนายจ้างน่าจะมีความเข้าใจเกี่ยวกับบทบาทการเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” และ “ผู้ประมวลผลข้อมูลส่วนบุคคล” กันมากขึ้นแล้วว่าจะมีเพียงองค์กรบริษัทเท่านั้นที่จะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล พนักงานภายในองค์กรจะไม่มีฐานะแยกเป็นผู้ควบคุมข้อมูลส่วนบุคคลย่อยหรือผู้ประมวลผลข้อมูลส่วนบุคคลใด ๆ เพิ่มเติมอีก แต่พนักงานดังกล่าวจะอยู่ในฐานะ “ตัวแทน” ขององค์กรนายจ้าง ดังนั้นพนักงานแต่ละคนจะไม่ได้มีหน้าที่โดยตรงภายใต้ PDPA และไม่ต้องรับโทษภายใต้ PDPA โดยตรง แต่การกระทำของพนักงานหนึ่งคนเท่ากับการกระทำขององค์กรทั้งหมด และเมื่อพนักงานดังกล่าวทำผิด ย่อมเท่ากับเป็นความเสี่ยงเพียงลำพังในส่วนขององค์กรนายจ้างที่ต้องรับโทษ ซึ่งในกรณีดังกล่าว กลไกภายใต้สัญญาจ้างแรงงานเป็นเพียงช่องทางเดียวที่องค์กรนายจ้างจะเรียกให้พนักงานภายใต้สังกัดของตนที่เป็นผู้ดำเนินการผิดมารับผิดชดใช้ความเสียหายที่อาจเกิดขึ้นกับองค์กรของตนได้

เพื่อเตรียมรับมือกับสถานการณ์อันไม่พึงประสงค์ขององค์กรนายจ้างอันเกิดจากการกระทำของพนักงานในองค์กร สิ่งที่องค์กรควรต้องดำเนินการในแง่โครงสร้างการบริหารจัดการองค์กร อาจสรุปได้เป็น 3 ข้อหลัก ได้แก่ (1) ต้องจัดทำหรือปรับปรุงสัญญาจ้างแรงงานให้มีการระบุชัดเจนเกี่ยวกับหน้าที่ ความรับผิดชอบของพนักงานในองค์กร กรณีที่ต้องมีส่วนในการประมวลผลข้อมูลส่วนบุคคลของบุคคลอื่นในระหว่างการทำงาน ซึ่งต้องระบุให้ชัดเจนเพื่อให้พนักงานรับทราบ พร้อมกับการกำหนดกรอบความรับผิดชดเชยความเสียหายที่พนักงานที่กระทำการผิดหน้าที่ตามสัญญาดังกล่าวต้องรับผิดชอบ โดยควรกำหนดครอบคลุมการเรียกให้รับผิดชอบชดเชยค่าเสียหาย การเลิกจ้าง โดยการเลิกจ้างกรณีดังกล่าวควรถือเป็นเหตุชัดเจนของการยกเลิกสัญญาจ้างได้โดยไม่ต้องจ่ายค่าชดเชย (2) การฝึกอบรมพนักงานให้ตระหนักรู้ถึงความสำคัญของข้อมูลส่วนบุคคล ภายใต้แนวคิดหลัก ‘ใจเขาใจเรา’ เพราะพนักงานเหล่านี้คือคนหน้างานที่ต้องติดต่อประสานใช้ข้อมูลส่วนบุคคลดังกล่าวโดยตรง ดังนั้นพวกเขาควรต้องได้รับทราบถึง Dos and Don’ts เพื่อให้สามารถทำหน้าที่ของตัวเองได้อย่างครบถ้วนและสบายใจ (3) การจัดโครงสร้างองค์กร หลาย ๆ องค์กรนายจ้างน่าจะเคยได้ยินตำแหน่งงานใหม่ที่เป็นที่ต้องกรในตลาดแรงงานมาก ๆ คือ ตำแหน่ง “เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” (Data Protection Officer : DPO) ในความเป็นจริงแล้ว มีองค์กรนายจ้างแค่เพียงบางประเภทองค์กรเท่านั้นที่มีหน้าที่ตามกฎหมายต้องแต่งตั้งเจ้าหน้าที่ตำแหน่งนี้ขึ้นมา แต่อย่างไรก็ตาม แม้จะเป็นองค์กรที่ไม่ได้มีหน้าที่ตามกฎหมายโดยตรงในการแต่งตั้งเจ้าหน้าที่ดังกล่าว แต่องค์กรนายจ้างทั้งหมดก็ควรแต่งตั้งพนักงานหรือทีมงานหนึ่งขึ้นมาเพื่อรับผิดชอบควบคุมการประมวลผลข้อมูลส่วนบุคคลที่จะเกิดขึ้นภายในองค์กร โดยอาจเป็นการมอบหมายให้มีทีมงานเฉพาะกิจ (Ad Hoc Committee) ที่แต่งตั้งไว้เฉพาะเพื่อรับผิดชอบกรณีมีประเด็นเรื่อง PDPA โดยไม่จำเป็นต้องแต่งตั้งคณะกรรมการถาวรก็ได้ แต่เนื่องจากการปฏิบัติตาม PDPA เป็นงานที่ต้องดำเนินการอย่างปกติ จึงควรต้องมีคนรับผิดชอบ (Accountable Person) เพื่อจะได้ดำเนินการที่จำเป็นได้ในทันทีที่เกิดขึ้นเกี่ยวเนื่องกับข้อมูลส่วนบุคคลนั้น ๆ