ปัญหากฎหมายในการแจ้งเหตุละเมิดข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

Abstract

สารนิพนธ์ฉบับนี้ ได้ศึกษาแนวคิด และทฤษฎีเกี่ยวกับการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายที่เกี่ยวข้อง โดยศึกษากฎหมายของประเทศไทย ได้แก่ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายต่างประเทศ ได้แก่ สหภาพยุโรป สาธารณรัฐสิงคโปร์ ประเทศญี่ปุ่น และประเทศแคนาดา จากการศึกษาพบว่า มีปัญหากฎหมายในการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้แก่ ปัญหาพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) “แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมง นับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยาโดยไม่ชักช้าด้วย ทั้งนี้ การแจ้งดังกล่าวและข้อยกเว้นให้เป็นไปตามหลักเกณฑ์และวิธีการที่คณะกรรมการประกาศกำหนด” ซึ่งบทบัญญัติดังกล่าวยังขาดความชัดเจนอยู่มาก เนื่องจากไม่มีการกำหนดไว้อย่างชัดเจนว่ากรณีใดบ้างที่ต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ต่อมาปัญหากฎหมายในการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลไปยังสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พบว่าการนับระยะเวลา 72 ชั่วโมงนั้น เป็นการบัญญัติกฎหมายที่เคร่งครัดมากเกินไป เนื่องจากหากเป็นกรณีที่เกิดการรั่วไหลของข้อมูลนั้นไม่ร้ายแรง หรือไม่น่าจะเกิดผลกระทบกับเจ้าของข้อมูลส่วนบุคคล ไม่ควรต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เนื่องจากไม่เกิดประโยชน์กับผู้ควบคุมข้อมูลส่วนบุคคลและเจ้าของข้อมูลส่วนบุคคล สุดท้ายปัญหาบทลงโทษทางอาญา เนื่องจากในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคล ฝ่าฝืน หรือไม่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น เกิดเหตุละเมิดอันเกี่ยวเนื่องกับข้อมูลส่วนบุคคลซึ่งเป็นข้อมูลละเอียดอ่อนโดยประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย ซึ่งการกำหนดโทษอาญาตามพระราชบัญญัตินี้ ไม่เหมาะสมกับบริบทของประเทศไทย เนื่องจากลักษณะของพระราชบัญญัตินี้ มีขึ้นเพื่อคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคล จึงจำเป็นต้องเสนอแนวทางในการเพิ่มเติมกฎหมายที่เกี่ยวข้องกับการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) เพื่อให้การบังคับใช้กฎหมายมีประสิทธิภาพมากยิ่งขึ้น ดังนั้น สารนิพนธ์ฉบับนี้ เสนอแนะในประเด็นที่ 1 ว่าให้กำหนดให้ชัดเจนว่ากรณีใดบ้างที่ต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4) และกำหนดกว่ากรณีใดบ้างที่ไม่ต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และเจ้าของข้อมูลส่วนบุคคล ประเด็นที่ 2 เสนอให้แก้ไขจุดเริ่มต้นการนับระยะเวลา 72 ชั่วโมง ในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลมาตรา 37 (4) โดยควรให้เริ่มนับเมื่อผู้ควบคุมข้อมูลส่วนบุคคลได้ประเมินสถานการณ์เบื้องต้นแล้วว่าเป็นกรณีที่ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และเจ้าของข้อมูลส่วนบุคคล ซึ่งจะเหมาะสมกับการบังคับใช้กฎหมายมากกว่า เนื่องจากการกำหนดให้ผู้ประกอบธุรกิจต้องแจ้งเหตุละเมิดดังกล่าวให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง จะทำให้เป็นอุปสรรคต่อการดำเนินงานเป็นอย่างมาก และประเด็นที่ 3 เสนอให้ใช้โทษปรับเป็นพินัยแทนบทลงโทษทางอาญา เนื่องจากปัจจุบันประเทศไทยได้มีการตราพระราชบัญญัติว่าด้วยการปรับเป็นพินัย พ.ศ. 2565 ขึ้นบังคับใช้ โดยมีการกำหนดในเรื่องของค่าสินไหมทดแทนค่าปรับ มากกว่าที่จะให้เป็นโทษจำคุก ด้วยเหตุกรณีนี้เป็นเพียงการฝ่าฝืน ไม่ใช่อาชกรรมร้ายแรง จะเกิดความเหมาะสมในการบังคับใช้กฎหมายมากกว่า และจะช่วยทำให้ประชาชนที่ถูกกล่าวหาว่ากระทำความผิดไม่ต้องเข้าสู่กระบวนการทางอาญา และไม่มีประวัติอาชญากรรมติดตัวอีกต่อไปการเปลี่ยนแปลงเช่นนี้จะเป็นกลไกทางกฎหมายเพื่อสร้างความเป็นธรรมและขจัดความเหลื่อมล้ำทางสังคม และส่งเสริมการบังคับใช้กฎหมายให้มีประสิทธิภาพยิ่งขึ้น