พรบ. คอมพิวเตอร์ ฉบับที่ 2/2560
ดังนั้นเรามาดูกันเลยว่าข้อห้ามที่สำคัญที่ผู้ใช้อินเตอร์เน็ต “ไม่ควรทำ” มีอะไรบ้าง
1. แฮคเฟสบุ๊ค!! (มาตรา 5-8)
การปล่อยไวรัส หรือมัลแวร์เข้าคอมพิวเตอร์คนอื่นเพื่อขโมยข้อมูล โดยที่เจ้าของไม่อนุญาต (ละเมิด Privacy) มีโทษฐานผิด พรบ.คอมพิวเตอร์ โดย
- เข้าถึงระบบคอมพิวเตอร์ จำคุกไม่เกิน 6 เดือน ปรับไม่เกิน 1 หมื่นบาท
- เข้าถึงข้อมูลคอมพิวเตอร์ จำคุกไม่เกิน 2 ปี ปรับไม่เกิน 4 หมื่นบาท
- นำมาตรการป้องกันระบบไปเผยแพร่ จำคุกไม่เกิน 1 ปี ปรับไม่เกิน 2 หมื่นบาท
- ดักรับข้อมูลคอมพิวเตอร์ จำคุกไม่เกิน 2 ปี ปรับไม่เกิน 4 หมื่นบาท หรือทั้งจำทั้งปรับ!!
2. หยุด!! แก้ไข ดัดแปลงข้อมูล (มาตรา 9-10)
การเข้าไปขัดขวาง ทำร้ายระบบ รวมทั้งเข้าไปดัดแปลง หรือทำลายข้อมูล ทำให้ข้อมูลของฝ่ายตรงข้ามเสียหายผิด พรบ.คอมพิวเตอร์ มีโทษจำคุก 5 ปี ปรับไม่เกิน 1 แสนบาท หรือทั้งจำทั้งปรับ
3. ห้าม!! ฝากร้านตาม Facebook และ IG เด็ดขาด! (มาตรา 11)
สำหรับพ่อค้าแม่ขายบนโลกออนไลน์เน้นย้ำ!! เรื่องการส่งอีเมลขายของโดยที่ลูกค้าไม่ยินดีที่จะรับนั้นถือเป็นการสแปม หรือแม้แต่การฝากร้านตาม Facebook และ IG ก็ตามมีโทษตาม พรบ.คอมพิวเตอร์โดยปรับไม่เกิน 1 แสนบาท จำคุกไม่เกิน 2 ปี หรือทั้งจำทั้งปรับ
4. อย่า!! แอบเข้าระบบของหน่วยงานภาครัฐ (มาตรา 12)
การเข้าถึงระบบ หรือข้อมูลด้านความมั่นคงรวมถึงการโพสเนื้อหาที่ส่งผลต่อความมั่นคงต่อประเทศบนโลกออนไลน์ที่เข้าข่ายข้อมูลเท็จที่ทำให้ประชาชนเกิดอาการตื่นตระหนก มีโทษแบ่งตาม พรบ. คอมพิวเตอร์เป็นกรณีดังนี้
- กรณีไม่เกิดความเสียหาย จำคุก 1-7 ปี และปรับ 2 หมื่น – 1.4 แสนบาท
- กรณีเกิดความเสียหาย จำคุก 1-10 ปี และปรับ 2 – 2 แสนบาท
- กรณีเป็นเหตุให้ผู้อื่นถึงแก่ความตาย จำคุก 5 – 20 ปี และปรับ 1 แสน – 4 แสนบาท
5. โพสต์ข่าวปลอมก่อให้เกิดความเสียหาย (มาตรา 14)
แล้วโพสต์อะไรบ้างล่ะที่เรียกว่าผิด พรบ.คอมพิวเตอร์ เริ่มจากการโพสต์ ข่าวปลอม ธุรกิจลูกโซ่ ที่ต้องการจะหลอกเอาเงินจากลูกค้า โพสต์เกี่ยวกับความมั่นคงปลอดภัยรวมทั้งการก่อการร้าย โพสต์ข้อมูลลามก โดยถ้าเกิดว่าส่งผลถึงประชาชน จะต้องจำคุกไม่เกิน 5 ปี ปรับไม่เกิน 1 แสนบาท หรือทั้งจำทั้งปรับ ส่วนถ้าส่งผลต่อบุคคลใดบุคคลหนึ่ง จำคุกไม่เกิน 3 ปี ปรีบไม่เกิน 6 แสนบาท หรือทั้งจำทั้งปรับ
6. คอมเม้นในข่าวปล่อม (มาตรา 15)
การเข้าไปคอมเม้นแสดงความคิดเห็นในโพสที่มีเนื้อหาผิดกฎหมายก็จะกระทำ พระราชบัญญัติคอมพิวเตอร์ 2560 ถ้าไม่ยอมลบจะได้รับโทษเดียวกันกับมาตรา 14 เหมือนกันกับผู้โพสต์แต่ถ้าหากว่าลบออกไปแล้ว ถือว่าพ้นผิด
หมายเหตุ ผู้ให้บริการจะต้องเก็บรักษาข้อมูลการใช้งานไม่น้อยกว่า 90 วัน หรือในกรณีที่ศาลสั่งจะต้องเก็บข้อมูลไม่เกิน 2 ปี
7. ตัดต่อรูปภาพ (มาตรา 16)
การตัดต่อ ดัดแปลงภาพที่ทำให้ผู้อื่นเสียชื่อเสียง และเกิดความเสียหาย รวมทั้งโพสต์ภาพผู้เสียชีวิตที่ทำให้พ่อ – แม่ คู่สมรส หรือบุตรของผู้ตายเสียชื่อเสียง ดูหมิ่นเกลียดชัง หรือได้รับความอับอาย จะต้องจำคุกไม่เกิน 3 ปี และปรับไม่เกิน 2 แสนบาท
8. ต้องเก็บข้อมูลจราจรคอมพิวเตอร์ (มาตรา17)
หลายคนคงสงสัยว่าเวลาเราแชร์ข่าวปลอม โพสเรื่องหมิ่นประมาท แล้วเจ้าหน้าที่รัฐเค้าเอาหลักฐานที่ไหนมาจับเรา มาตรา 17 นี้เองที่ระบุว่าหากเราเป็นองค์กรหรือหน่วยงานที่ออกอินเตอร์เน็ตเราจำเป็นต้องติดตั้งระบบเก็บข้อมูลจราจรคอมพิวเตอร์ ลองสำรวจดูว่าบริษัทท่านได้ติดตั้งระบบจัดเก็บหรือยัง หากยังไม่จัดเก็บผู้บริหารและคณะกรรมการบริษัทจะต้องระวางโทษปรับไม่เกินห้าแสนบาท
PDPA คือ อะไร ?
PDPA คือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นกฎหมายที่ถูกสร้างมาเพื่อป้องกันการละเมิดข้อมูลส่วนบุคคลของทุกคน รวมถึงการจัดเก็บข้อมูลและนำไปใช้โดยไม่ได้แจ้งให้ทราบ และไม่ได้รับความยินยอมจากเจ้าของข้อมูลเสียก่อน
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (Personal Data Protection Act: PDPA) คือกฎหมายใหม่ที่ออกมาเพื่อแก้ไขปัญหาการถูกล่วงละเมิดข้อมูลส่วนบุคคลที่เพิ่มมากขึ้นเรื่อย ๆ ในปัจจุบัน เช่น การซื้อขายข้อมูลเบอร์โทรศัพท์และข้อมูลส่วนตัวอื่น ๆ โดยที่เจ้าของข้อมูลไม่ยินยอม ที่มักพบได้มากในรูปแบบการโทรมาโฆษณา หรือล่อลวง
โดยกฎหมายนี้ได้เริ่มบังคับใช้อย่างเต็มรูปแบบเมื่อวันที่ 1 มิ.ย. 2565 เป็นกฎหมายที่ให้ความคุ้มครองข้อมูลส่วนบุคคล เช่น ชื่อ ที่อยู่ เบอร์โทรศัพท์ รูปถ่าย บัญชีธนาคาร อีเมล ไอดีไลน์ บัญชีผู้ใช้ของเว็บไซต์ ลายนิ้วมือ ประวัติสุขภาพ เป็นต้น ซึ่งข้อมูลเหล่านี้สามารถระบุถึงตัวเจ้าของข้อมูลนั้นได้ อาจเป็นได้ทั้งข้อมูลในรูปแบบเอกสาร กระดาษ หนังสือ หรือจัดเก็บในรูปแบบอิเล็กทรอนิกส์ก็ได้
PDPA มีความเป็นมาอย่างไร ?
กฎหมาย PDPA เรียกได้ว่าถอดแบบมาจากกฎหมายต้นแบบอย่างกฎหมาย GDPR (General Data Protection Regulation) ซึ่งเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป วัตถุประสงค์ของการเก็บรักษาข้อมูลส่วนบุคคลของกฎหมายทั้ง 2 ฉบับ ก็เพื่อป้องกันไม่ให้ผู้ไม่ประสงค์ดีทำการแฮ็กข้อมูลหรือละเมิดความเป็นส่วนตัวเพื่อข่มขู่หวังผลประโยชน์จากทั้งจากตัวเจ้าของข้อมูลเองหรือจากบุคคลที่ดูแลข้อมูล
PDPA สำคัญอย่างไร ?
ความสำคัญของ PDPA คือการทำให้เจ้าของข้อมูลมีสิทธิในข้อมูลส่วนตัวที่ถูกจัดเก็บไปแล้ว หรือกำลังจะถูกจัดเก็บมากขึ้น เพื่อสร้างความปลอดภัยและเป็นส่วนตัวให้แก่เจ้าของข้อมูล โดยมีสิทธิที่สำคัญคือ สิทธิการรับทราบและยิมยอมการเก็บข้อมูลส่วนตัว และสิทธิในการขอเข้าถึงข้อมูลส่วนตัว คัดค้านและเพิกถอนการเก็บและนำข้อมูลไปใช้ และสิทธิขอให้ลบหรือทำลายข้อมูลส่วนตัว
สิทธิที่เพิ่มขึ้นของเจ้าของข้อมูล ทำให้ผู้ประกอบการขององค์กรและบริษัทต่าง ๆ ต้องปรับเปลี่ยนกระบวนการเก็บรวบรวมและนำข้อมูลส่วนตัวของเจ้าของข้อมูลไม่ว่าจะเป็นลูกค้า พนักงานในองค์กร หรือบุคคลใด ๆ ที่เกี่ยวข้องให้เป็นไปตามหลักปฏิบัติของ PDPA พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล
โดยหากคุณเป็นผู้ประกอบการ หรือเป็นตัวแทนองค์กรที่ดำเนินการเรื่อง PDPA วันนี้เราจะช่วยคุณเปลี่ยนแนวทางการดำเนินงานเพื่อให้สอดคล้องกับกฎหมาย PDPA กัน
หากคุณต้องการเก็บรวบรวมข้อมูล ประมวลผลข้อมูล นำข้อมูลไปใช้ รวมถึงการเก็บรักษาและดูแลความปลอดภัยของข้อมูลส่วนบุคคคลของลูกค้าและบุคคลที่เกี่ยวข้อง คุณจะต้องดำเนินการตามขั้นตอนต่อไปนี้โดยด่วน เพราะในขณะนี้ประเทศไทยได้เริ่มบังคับใช้ พ.ร.บ. PDPA แล้ว หากคุณไม่ดำเนินการตามหลักของ PDPA คุณอาจต้องรับโทษร้ายแรงทั้งทางแพ่ง อาญา และปกครอง
องค์ประกอบสำคัญของ PDPA
บุคคลที่ต้องปฎิบัติตามกฎหมาย PDPA ประกอบด้วย เจ้าของข้อมูลส่วนบุคคล (Data Subject) และผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) โดยผู้ควบคุมข้อมูลส่วนบุคคลนั้นเปรียบเสมือนผู้ดูแลระบบ เป็นฝ่ายปฏิบัติงาน มีหน้าที่เก็บรวบรวม และนำข้อมูลส่วนบุคคลที่ขอความยินยอม (Consent) จากเจ้าของข้อมูลไปใช้ ยกตัวอย่างเช่น เว็บไซต์ขายของออนไลน์ ตัวผู้จัดทำเว็บไซต์ก็จะต้องขอข้อมูลทั้งชื่อ ที่อยู่ เบอร์โทรศัพท์ ข้อมูลการจ่ายเงิน เพื่อนำไปดำเนินการสั่งซื้อและจัดส่งสินค้าไปยังที่อยู่ของเจ้าของข้อมูล ซึ่ง PDPA เมื่อได้ข้อมูลมาแล้ว ก็ต้องจัดให้มีมาตรการรักษาความปลอดภัยข้อมูลด้วย
ขั้นตอนการทำตาม PDPA ต้องทำอย่างไร ?
STEP 1 การเก็บรวบรวมข้อมูลส่วนบุคคล
1. จัดทำ Privacy Policy แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ
องค์กรหรือเจ้าของเว็บไซต์สามารถแจ้งเจ้าของข้อมูลผ่าน Privacy Policy บนเว็บไซต์หรือแอปพลิเคชัน หรือช่องทางการติดต่ออื่น ๆ เช่น การลงทะเบียนผ่านเว็บไซต์ หรือทางโซเชียลมีเดีย
- แจ้งว่าจะขอเก็บข้อมูลอะไรบ้าง เพื่อวัตถุประสงค์ใด
- แจ้งสิทธิของเจ้าของข้อมูล โดยสามารถถอนความยินยอมได้ทุกเมื่อ
- ข้อความอ่านเข้าใจง่าย ชัดเจน ใช้ภาษาไม่กำกวม ไม่มีเงื่อนไขในการยินยอม คลิก PDPA Pro เพื่อสร้าง Privacy Policy ที่ถูกต้องตาม PDPA
2. การจัดการเว็บไซต์ แอปพลิเคชัน และ Third-party
นอกจากการจัดทำ Privacy Policy ผ่านเว็บไซต์หรือแอปพลิเคชันแล้ว การขอจัดเก็บ Cookie ก็จะต้องแจ้งเพื่อขอความยินยอมให้ใช้ข้อมูลส่วนบุคคลจากผู้ใช้งานด้วย ซึ่งที่เราพบเห็นได้ทั่วไป มักแจ้งขอเก็บ Cookie เป็น Pop up เล็ก ๆ ทางด้านล่างเว็บไซต์ คลิก Cookie Wow เพื่อจัดทำ Cookie Consent Banner เพียงไม่กี่นาที ส่วน Third Party ที่เก็บข้อมูลส่วนบุคคล เช่น เว็บไซต์โฆษณาที่ทำการตลาด ก็ต้องระบุวัตถุประสงค์และขอความยินยอมการเก็บรวบรวมข้อมูลไว้ใน Privacy Policy ด้วย
3. การเก็บข้อมูลพนักงาน
สำหรับการเก็บข้อมูลส่วนบุคคลของพนักงานนั้นก็ต้องจัดทำนโยบายความเป็นส่วนตัวสำหรับพนักงานหรือ HR Privacy Policy เพื่อแจ้งวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลของพนักงานเช่นเดียวกัน แนะนำว่าสำหรับพนักงานเก่า ให้แจ้ง Privacy Policy เป็นเอกสารใหม่ ส่วนพนักงานใหม่ ให้แจ้งในใบสมัคร 1 ครั้ง และแจ้งในสัญญาจ้าง 1 ครั้ง คลิก PDPA Pro เพื่อสร้าง Privacy Policy สร้าง HR Privacy Policy ถูกต้องตาม PDPA
STEP 2 การใช้หรือประมวลผลข้อมูลส่วนบุคคล
แต่ละฝ่ายในองค์กรควรร่วมกำหนดแนวทางหรือนโยบายในการดำเนินการด้านข้อมูลส่วนบุคคล (Standard Operating Procedure) และบันทึกรายการข้อมูลส่วนบุคคลที่มีการเก็บหรือใช้ (Records of Processing Activity: ROPA) ทั้งข้อมูลที่จัดเก็บในฐานข้อมูลอิเล็กทรอนิกส์ ข้อมูลเอกสารที่จับต้องได้ ข้อมูลส่วนบุคคลทั่วไป ข้อมูลส่วนบุคคลที่อ่อนไหว (Sensitive Personal Data) ซึ่งเป็นข้อมูลที่ระบุตัวบุคคลได้เฉพาะเจาะจงมากขึ้น เช่น เชื้อชาติ ความคิดเห็นทางการเมือง ศาสนา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ (face ID, ลายนิ้วมือ) รวมถึงห้ามเปิดเผยข้อมูลส่วนบุคคลให้กับบุคคลที่ไม่มีความรับผิดชอบโดยตรง
สิ่งที่ควรทำ
- แอด Line เจ้าของข้อมูลส่วนบุคคล หลังจากขออนุญาตแล้ว
- ส่ง Direct Marketing ให้ลูกค้าหลังจากที่ลูกค้ายินยอมแล้ว
- ส่งข้อมูลลูกค้าจาก Cookie ไป Target Advertising ต่อ หลังจากที่ลูกค้ายินยอมแล้ว
- ส่งข้อมูลให้ Vendor หลังจากบริษัทได้ทำความตกลงกับ Vendor ที่มีข้อกำหนดเรื่องความคุ้มครองข้อมูลส่วนบุคคลแล้ว
- การให้บริการที่ต้องวิเคราะห์ข้อมูลส่วนบุคคลจำนวนมากหรือใช้ Sensitive Personal Data เช่น การสแกนใบหน้า จะต้องขอความยินยอมก่อน
- รวบรวมสถิติลูกค้าเพื่อพัฒนาบริการ โดยไม่ใช้ข้อมูลส่วนบุคคลของลูกค้า
STEP 3 มาตรการด้านความปลอดภัยของข้อมูลส่วนบุคคล
- กำหนดแนวทางอย่างน้อยตามมาตรฐานขั้นต่ำด้านการรักษาความปลอดภัยข้อมูลส่วนบุคคล (Minimum Security Requirements) ได้แก่ การรักษาความลับ (Confidentiality) ความถูกต้องครบถ้วน (Integrity) และสภาพพร้อมใช้งาน (Availability) ซึ่งควรครอบคลุมถึงมาตรการป้องกันด้านการบริหารจัดการ (Administrative Safeguard) มาตรการป้องกันด้านเทคนิค (Technical Safeguard) และมาตรการป้องกันทางกายภาพ (Physical Safeguard) ในเรื่องการเข้าถึงหรือควบคุมการใช้งานข้อมูลส่วนบุคคล (Access Control) ตามประกาศกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
- กำหนดนโยบายรักษาระยะเวลาการเก็บข้อมูล และการทำลายเอกสารที่มีข้อมูลส่วนบุคคล (Data Retention)
- มีกระบวนการ Breach Notification Protocol ซึ่งเป็นระบบแจ้งเตือนเพื่อปกป้องข้อมูลจากการโจมตีจากผู้ไม่หวังดี
STEP 4 การส่งหรือเปิดเผยข้อมูลส่วนบุคคล
- ทำสัญญาหรือข้อตกลงกับผู้ให้บริการภายนอก หรือทำ Data Processing Agreement เพื่อคุ้มครองข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานกฎหมาย PDPA
- ในกรณีโอนข้อมูลไปต่างประเทศ ให้ทำสัญญากับบริษัทปลายทางเพื่อคุ้มครองข้อมูลตามมาตรฐาน PDPA
- มีกระบวนการรับคำร้องจากเจ้าของข้อมูลส่วนบุคคล ควรเป็นวิธีที่ง่ายไม่ซับซ้อน และไม่กำหนดเงื่อนไข อาจผ่านการยื่นแบบฟอร์ม ส่งคำร้องผ่านช่อง Chat หรือส่งอีเมลก็ได้
STEP 5 การกำกับดูแลข้อมูลส่วนบุคคล
ในประเทศไทย มีสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นหน่วยงานภาครัฐเป็นผู้กำกับดูแลกฎหมาย PDPA ให้แต่ละองค์กรต้องปฏิบัติตาม โดยองค์กรที่ทำการเก็บรวบรวม นำไปใช้ หรือเปิดเผยข้อมูลของเจ้าของข้อมูลส่วนบุคคลในราชอาณาจักรไทยเพื่อการขายสินค้าหรือบริการให้กับเจ้าของข้อมูล ควรมีเจ้าหน้าที่คุ้มครองข้อมูล หรือ DPO (Data Protection Officer) ซึ่งเป็นผู้มีความรู้ด้านกฎหมาย PDPA ด้านเทคโนโลยี เข้ามาดูแลและตรวจสอบนโยบายการเก็บรักษาข้อมูลส่วนบุคคลของลูกค้าให้เกิดความปลอดภัย ทั้งนี้ขึ้นอยู่กับขนาดและประเภทของธุรกิจเป็นเกณฑ์ในการพิจารณาว่าควรแต่งตั้ง DPO หรือไม่ ?
และที่สำคัญหากผู้ควบคุมข้อมูลส่วนบุคคลและบุคลากรในองค์กรมีความรู้ความเข้าใจและปฏิบัติตามมาตรการรักษาความปลอดภัยของข้อมูลตาม PDPA แล้ว ความเสี่ยงกรณีข้อมูลถูกละเมิดก็จะน้อยลง ซึ่งจะสร้างความเชื่อมั่นต่อองค์กรให้กับผู้ใช้งานได้เป็นอย่างดี หากคุณยังมีข้อสงสัยเกี่ยวกับ DPO คือใคร ทำหน้าที่อะไรบ้าง และจำเป็นต่อองค์กรของคุณหรือไม่ ทำหน้าที่อะไรบ้าง สามารถศึกษาเพิ่มเติมได้ที่บทความ: DPO คืออะไร ? ตัวช่วยดูแลข้อมูลส่วนบุคคลที่ไว้ใจได้
ตอนนี้ถึงเวลาแล้วที่องค์กรต่าง ๆ จะต้องปฏิบัติตาม PDPA อย่างเคร่งครัด หากคุณกำลังมองหาตัวช่วยในการเริ่มกระบวนการ PDPA ไม่ว่าจะเป็นการสร้างนโยบายความเป็นส่วนตัว การสร้างแบนเนอร์ขอความยินยอมในการเก็บข้อมูล หรืออยากเรียนรู้เกี่ยวกับ PDPA เพิ่มเติม เราพร้อมช่วยคุณอย่างมืออาชีพ
กรณีศึกษาความผิดพรบ.คอมพิวเตอร์
