Glossary – Personal Data Protection Act B.E. 2562 (English Alphabetical Version)
รวบรวมคำศัพท์และคำย่อที่เกี่ยวข้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 หรือ Personal Data Protection Act B.E. 2562 (PDPA) พร้อมระบุคำแปลภาษาไทย และความหมายอย่างละเอียด เพื่อให้คุณศึกษาตัวบทกฎหมายและทำความเข้าเรื่องราวที่เกี่ยวข้องกับพระราชบัญญัติฉบับนี้ได้อย่างลึกซึ้ง.
โดยเรียงคำศัพท์และคำย่อตามลำดับตัวอักษรภาษาอังกฤษ (A-Z) ดังรายการต่อไปนี้
A Request for Consent (การขอความยินยอม)
หมายถึง การที่ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ก่อนหรือในขณะการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อาจกระทำผ่านเอกสารหรือผ่านระบบอิเล็กทรอนิกส์อย่างชัดแจ้ง โดยการขอความยินยอมต้องมีลักษณะดังต่อไปนี้
- แจ้งถึงวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
- แยกส่วนออกจากข้อความอื่นอย่างชัดเจน
- รูปแบบหรือข้อความสามารถเข้าถึงได้ง่ายและเข้าใจได้
- ภาษาอ่านง่าย ไม่หลอกลวงหรือทำให้เข้าใจผิด
Anonymization (การทำข้อมูลให้เป็นนิรนาม)
หมายถึง การทำให้ข้อมูลส่วนบุคคลไม่สามารถระบุตัวตนของบุคคลได้ เพื่อวัตถุประสงค์ด้านการคุ้มครองข้อมูลส่วนบุคคล โดยการนำข้อมูลที่ใช้ระบุตัวตนของบุคคลได้ในชุดข้อมูลมาเข้ารหัส ลบ หรือทำลาย ตามกฎหมายได้ระบุไว้ด้วยว่าการทำข้อมูลให้ Anonymized หรือเป็นนิรนามอย่างแท้จริง ข้อมูลดังกล่าวควรจะไม่สามารถกู้กลับคืนมาเป็นลักษณะดั้งเดิมที่สามารถระบุตัวตนของบุคคลได้อีก
Biometric Data (ข้อมูลชีวภาพ)
หมายถึง ข้อมูลส่วนบุคคลที่เกิดขึ้นจากการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการนำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ ทำให้สามารถยืนยันตัวตนของบุคคลนั้นได้ (ที่ไม่เหมือนกับบุคคลอื่น) เช่น ข้อมูลภาพจำลองใบหน้า ข้อมูลจำลองม่านตา หรือข้อมูลจำลองลายนิ้วมือ
Circumstance (พฤติการณ์)
หมายถึง สถานการณ์หรือเหตุการณ์จากการกระทำของคน ที่เกิดขึ้นมาแล้วหรือกำลังจะเกิดขึ้น มักเจาะจงในแง่ของตัวผู้กระทำ เวลา และสถานที่
Compensation (ค่าสินไหมทดแทน)
หมายถึง การชดใช้ความเสียหายที่เกิดขึ้นแก่บุคคลอันเนื่องมาจากละเมิดหรือผิดสัญญาในกรณีที่เกี่ยวข้องกับข้อมูลส่วนบุคคล รวมถึงค่าใช้จ่ายทั้งหมดที่เจ้าของข้อมูลส่วนบุคคลได้ใช้จ่ายไปตามความจำเป็นในการป้องกันความเสียหายที่กำลังจะเกิดขึ้น หรือระงับความเสียหายที่เกิดขึนแล้วด้วย
Consent (ความยินยอม)
หมายถึง การแสดงเจตนาของเจ้าของข้อมูลส่วนบุคคล หรือผู้มีอำนาจกระทำการแทนเจ้าของข้อมูลส่วนบุคคล อนุญาตให้ผู้อื่นเก็บรวบรวม ใช้ หรือเผยแพร่ข้อมูลส่วนบุคคล ผ่านเอกสารหรือผ่านระบบอิเล็กทรอนิกส์ โดยการกระทำข้างต้น (เก็บรวบรวม ใช้ หรือเผยแพร่ข้อมูลส่วนบคคล) จะถือว่าไม่เป็นการละเมิด ไม่ถือว่าเป็นความเสียหาย บุคคลจึงไม่มีสิทธิเรียกค่าเสียหายอันเกิดจากการกระทำที่ตนให้ความยินยอม
Consent Withdrawal (การถอนความยินยอม)
หมายถึง สิทธิของเจ้าของข้อมูลส่วนบุคคลตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในการถอนความยินยอมที่ให้ไว้สำหรับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล โดยจะต้องสามารถถอนความยินยอมเมื่อใดก็ได้และสามารถทำได้โดยง่าย เว้นแต่จะมีข้อจำกัดด้านกฎหมายหรือสัญญาที่เป็นประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบจากการถอนความยินยอม (ถ้ามี)
Cookies (คุกกี้)
หมายถึง ไฟล์ข้อมูลขนาดเล็กซึ่งจะถูกบันทึกลงบนเบราว์เซอร์ของผู้เข้าชมเว็บไซต์ ทำให้ทราบถึงข้อมูลบางประการ เช่น ข้อมูลแบบฟอร์มที่เคยกรอก ข้อมูลการเข้าใช้งานเว็บไซต์ ข้อมูลการตั้งค่าบนเว็บไซต์ เป็นต้น ซึ่งมีประโยชน์ในทั้งสองทางคือความสะดวกสบายของผู้ใช้งานและเจ้าของเว็บไซต์ก็สามารถเก็บข้อมูลการใช้งานของผู้เข้าชมเว็บไซต์เช่นเดียวกัน บางส่วนอาจเป็นข้อมูลที่สามารถใช้ระบุตัวตนของผู้เข้าชมเว็บไซต์ได้ จึงจัดเป็นข้อมูลส่วนบุคคล
PDPA ส่งผลกระทบต่อการเก็บข้อมูลบนหน้าเว็บไซต์ และต้องมีการขอความยินยอมอนุญาตให้บันทึกคุกกี้ โดยต้องปรับปรุงให้ระบุถึงวัตถุประสงค์และนโยบายการใช้งานของคุกกี้อย่างชัดเจน
Curator (ผู้อนุบาล)
หมายถึง บุคคลซึ่งศาลมีคําสั่งแต่งตั้งให้เป็นผู้ปกครองดูแลคนไร้ความความสามารถ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของคนไร้ความสามารถที่อยู่ภายใต้ปกครองของผู้อนุบาล จะต้องได้รับความยินยอมจากผู้อนุบาลก่อน
Custodian (ผู้พิทักษ์)
หมายถึง บุคคลซึ่งศาลมีคําสั่งแต่งตั้งให้เป็นผู้ปกครองดูแลคนเสมือนไร้ความความสามารถ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของคนเสมือนไร้ความสามารถที่อยู่ภายใต้ปกครองของผู้พิทักษ์ จะต้องได้รับความยินยอมจากผู้พิทักษ์ก่อน
Cyber Security (ความมั่นคงปลอดภัยไซเบอร์)
หมายถึง กระบวนการหรือการกระทำทั้งหมดที่จำเป็น เพื่อทำให้องค์กรปราศจากความเสี่ยง และความเสียหายที่มีผลต่อความปลอดภัยของข้อมูลข่าวสาร (Information) ในทุกรูปแบบ รวมถึงการระวังป้องกันต่อการอาชญากรรม การโจมตี การบ่อนทำลาย การจารกรรม และความผิดพลาดต่าง ๆ ซึ่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จะไม่บังคับใช้กับด้านความมั่นคงปลอดภัยทางไซเบอร์ เนื่องจากเป็นส่วนหนึ่งของการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ
Data Controller’s Representative (ตัวแทนของผู้ควบคุมข้อมูลส่วนบุคคล)
หมายถึง ผู้ที่ได้รับมอบหมายให้กระทำการแทนผู้ควบคุมข้อมูลส่วนบุคคล
ในกรณีที่ผู้ควบคุมข้อมูลอยู่นอกราชอาณาจักรไทยจะต้องแต่งตั้งตัวแทนอย่างเป็นหนังสือลายลักษณ์อักษร ซึ่งตัวแทนจะต้องอยู่ในราชอาณาจักรและได้รับมอบอำนาจให้กระทำการแทนผู้ควบคุมข้อมูลโดยไม่มีข้อจำกัดความรับผิดใด ๆ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ของผู้ควบคุมข้อมูล
Data Protection Impact Assessment – DPIA (การประเมินผลกระทบต่อข้อมูลส่วนบุคคล)
หมายถึง เป็นการประเมินความผลกระทบต่อความเป็นส่วนตัว หากมีกระบวนการใดที่มีแนวโน้มที่จะก่อให้เกิดความเสี่ยงสูงต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลจะต้องดำเนินการประเมินความเสี่ยงของแนวทางการประมวลผลก่อนการประมวลผลข้อมูลจริง
Direct Marketing (การตลาดทางตรง)
หมายถึง การทำการตลาดในลักษณะของการเสนอขายสินค้าหรือบริการโดยตรงต่อผู้บริโภคแต่ละคน โดยมุ่งหวังให้ผู้บริโภคมีปฏิกิริยาตอบกลับเพื่อซื้อสินค้าหรือบริการจากผู้ประกอบธุรกิจ
การทำการตลาดแบบตรงมักมีการเก็บรวบรวมฐานข้อมูลของลูกค้าเพื่อใช้สื่อสารไปยังลูกค้า จึงได้รับผลกระทบโดยตรงเมื่อพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ถูกบังคับใช้
Data Protection Officer – DPO (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล)
หมายถึง พนักงานหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล มีหน้าที่ให้คำแนะนำเกี่ยวกับการปฏฺิบัตตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลแก่บุคคลในองค์กร ตรวจสอบการดำเนินงานว่าสอดคล้องกับพระราชบัญญัติฯ หรือไม่ และประสานงานกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในกรณีที่มีปัญหาเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
โดยองค์กร (ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล) ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในกรณีที่
- เป็นหน่วยงานของรัฐ
- มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจำนวนมาก และจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือข้อมูลอย่างสม่ำเสมอ
- ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นกิจกรรมหลัก
Encryption (การเข้ารหัสข้อมูล)
หมายถึง รูปแบบการจัดการข้อมูลอย่างหนึ่ง เพื่อวัตถุประสงค์ด้านการคุ้มครองข้อมูลส่วนบุคคล โดยกระบวนการนำข้อมูลส่วนบุคคลมาเข้ารหัสที่คนทั่วไปไม่สามารถเข้าใจได้ เรียกว่า Ciphertext โดยเฉพาะผู้ที่ได้รับอนุญาตหรือมีกุญแจเท่านั้นที่จะสามารถถอดรหัสกลับคืนมาเป็นข้อมูลธรรมดาที่สามารถอ่านเข้าใจได้อีกครั้งหนึ่ง
Expert Committee (คณะกรรมการผู้เชี่ยวชาญ)
หมายถึง คณะกรรมการที่ได้รับการแต่งตั้งจากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ตามความเชี่ยวชาญในแต่ละเรื่องตามสมควร โดยมีหน้าที่รับผิดชอบและอำนาจดังต่อไปนี้
- พิจารณาเรื่องร้องเรียนตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
- ตรวจสอบการกระทำการใด ๆ ของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมถึงลูกจ้างหรือผู้รับจ้าง ที่ก่อให้เกิดคามเสียหายแก่เจ้าของข้อมูลส่วนบุคคล
- ไกล่เกลี่ยข้อพิพาทเกี่ยวกับข้อมูลส่วนบุคคล
- อื่น ๆ ตามพระราชบัญญติกำหนดหรือตามที่คณะกรรมการฯ มอบหมาย
GDPR
ย่อมาจาก General Data Protection Regulation หรือกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป
ปรับปรุงมาจาก EU Data Protection Directive เมื่อปี 2538 โดยขยายความเรื่องการคุ้มครองข้อมูลและการคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรปให้มีความชัดเจน/รัดกุมมากขึ้น ตามความเหมาะสมของสถานการณ์ในโลกยุคใหม่ที่ขับเคลื่อนด้วยข้อมูล มีวัตถุประสงค์หลักเพื่อคุ้มของประชาชนในกลุ่มประเทศสหภาพยุโรป และบังคับใช้กับหน่วยงานทั้งที่อยู่ภายในและภายนอกสหภาพยุโรปที่มีกิจกรรมที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของประชาชนในกลุ่มประเทศดังกล่าว
GDPR มีผลบังคับใช้ในวันที่ 25 พฤษภาคม 2561 ได้รับการยอมรับว่าเป็นกฎหมายแม่แบบ และมีความคล้ายคลึงกับ PDPA ของไทยในหลายประการ
Genetic Data (ข้อมูลพันธุกรรม)
หมายถึง ข้อมูลส่วนบุคคลที่ได้มาจากการทดสอบพันธุกรรม
การทดสอบพันธุกรรม หมายถึง การวิเคราะห์สารพันธุกรรมดีเอ็นเอา (DNA) อาร์เอ็นเอ (RNA) โครโมโซม (Chromosome) โปรตีน และสารบางอย่างในร่างกาย เพื่อที่จะตรวจหาลักษณะทางพันธุกรรมที่เกี่ยวข้องกับการเกิดโรคและลักษณะที่แสดงออก เพื่อที่จะนำข้อมูลดังกล่าวไปใช้ในการแพทย์และการทดลอง
ข้อมูลพันธุกรรมเป็นข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน โดยนอกจากจะเป็นข้อมูลที่บ่งชี้ไปยังตัวบุคคลได้แล้ว ยังมีลักษณะเฉพาะตัวซึ่งในบางกรณีผู้ที่ข้อมูลนั้นเชื่อมโยงไปถึงอาจไม่ประสงค์ให้เปิดเผยข้อมูลดังกล่าวอีกด้วย กล่าวให้เข้าใจง่ายก็คือ การเปิดเผยข้อมูลพันธุกรรมของบุคคลหนึ่งเสมือนเป็นการเปิดเผยข้อมูลพันธุกรรมของสมาชิกอื่นในครอบครัว
Incompetent Person (คนไร้ความสามารถ)
หมายถึง บุคคลที่ศาลสั่งให้เป็นคนไร้ความสามารถ เนื่องจากเป็นบุคคลวิกลจริต ซึ่งในการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ของคนไร้ความสามารถ ต้องได้รับความยินยอมจากผู้อนุบาล
IP Address (เลขที่อยู่ไอพี)
ย่อมากจาก Internet Protocol Address คือ สิ่งที่ใช้ระบุตัวตนของเครื่องคอมพิวเตอร์และอุปกรณ์อิเล็กทรอนิกส์อื่น ๆ ที่เชื่อมต่อเข้าสู่เครื่องข่ายอินเทอร์เน็ต โดยมักปรากฏให้เห็นในรูปแบบของตัวเลข 4 ชุด เครื่องมืออิเล็กทรอนิกส์แต่ละชิ้นจะมีหมายเลข IP Address ที่ไม่ซ้ำกัน
IP Address โดยลำพังแล้วไม่จัดว่าเป็นข้อมูลส่วนบุคคล แต่เมื่ออยู่รวมกับข้อมูลอื่น ๆ เป็นชุดข้อมูลที่ทำให้สามารถระบุตัวตนของผู้ใช้งานเครื่องคอมพิวเตอร์หรือเครื่องมืออิเล็กทรอนิกส์บนเครือข่ายได้ จะนับว่าเป็นหนึ่งในข้อมูลส่วนบุคคล
Legal Entity (นิติบุคคล)
หมายถึง บุคคลที่กฎหมายสมมติให้มีสภาพบุคคลเช่นเดียวกับบุคคลธรรมดา แต่มีความสามารถ สิทธิ และหน้าที่ตามที่ประมวลกฎหมายแพ่งและพาณิชย์หรือกฎหมายอื่น ๆ ได้ระบุไว้
นิติบุคคลแบ่งออกเป็น 2 ประเภท ได้แก่
- นิติบุคคลตามกฎหมายเอกชน คือ นิติบุคคลที่บัญญัติไว้ในประมวลกฎหมายแพ่งและพาณิชย์ มีด้วยกัน 5 ประเภท ได้แก่ บริษัทจำกัด ห้างหุ้นส่วนจำกัด ห้างหุ้นส่วนสามัญจดทะเบียน สมาคม และมูลนิธิ
- นิติบุคคลตามกฎหมายมหาชน คือ นิติบุคคลที่บัญญัติไว้ในกฎหมายมหาชนอื่น ๆ ซึ่งมีเป็นจำนวนมาก เช่น วัด จังหวัด กระทรวง ทบวง กรม องค์การมหาชน ฯลฯ”
Minor (ผู้เยาว์)
หมายถึง บุคคลที่ยังไม่บรรลุนิติภาวะ โดยมีอายุไม่ครบ 20 ปีบริบูรณ์ หรือไม่ได้สมรสอย่างถูกต้องตามกฎหมาย ซึ่งในการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ของผู้เยาว์นั้น
- ผู้เยาว์อายุไม่เกิน 10 ปี ต้องได้ความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์
- ผู้เยาว์อายุเกินกว่า 10 ปี ต้องได้รับความยินยอมจากผู้เยาว์และผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ร่วมกัน (ยกเว้นว่าเป็นการกระทำใด ๆ ซึ่งผู้เยาว์สามารถให้ความยินยอมโดยลำพังได้)
Office of the Personal Data Protection Commission – PDPC (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล)
หมายถึง หน่วยงานของรัฐที่มีฐานะเป็นนิติบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีวัตถุประสงค์เพื่อกำกับดูแลเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล รวมทั้งส่งเสริมให้เกิดการพัฒนาด้านการคุ้มครองข้อมูลส่วนบุคคลของประเทศ มีอำนาจหน้าที่ดังนี้
- จัดทำร่างแผนแม่บทการดำเนินงานด้านการส่งเสริม แก้ไขปัญหา และการคุ้มครองข้อมูลส่วนบุคคลที่สอดคล้องกับนโยบาย ยุทธศาสตร์ชาติ และแผนระดับชาติที่เกี่ยวข้อง
- ส่งเสริมและสนับสนุุนการวิจัยเพื่อพัฒนาเทคโนโลยีที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
- วิเคราะห์และรับรองมาตรฐาน มาตรการ หรือกลไลในการกำกับดูแลที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
- สำรวจ เก็บรวบรวมข้อมูล ติดตามความเคลื่อนไหวของสถานการณ์ด้านการคุ้มครองข้อมูลส่วนบุคคลของประเทศ
- ประสานงานกับหน่วยงานราชการ รัฐวิสาหกิจ ราชการส่วนท้องถิ่น องค์การมหาชน หรือหน่วยงานอื่นของรัฐ เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
- ให้คำปรึกษาแก่หน่วยงานของรัฐและเอกชนเกี่ยวกับการการปฏิบัติตามพระราชบัญญตินี้
- เป็นศุนย์กลางในการให้บริการทางวิชาการหรือให้บริการเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล แก่หน่วยงานต่าง ๆ และประชาชน
- กำหนดหลักสูตรฝึกอบรมการปฏิบัติหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ลูกจ้าง ผู้รับจ้าง และประชาชนทั่วไป
- ทำความตกลงและความร่วมมือกับองค์การหรือหน่วยงานทั้งในไทยและต่างประเทศ
- ติดตามและประเมินผลการปฏิบัติงานตามพระราชบัญญัตินี้
- ปฎิบัติการอื่น ๆ ตามที่หน่วยงานที่เกี่ยวข้องที่มีอำนาจหน้าที่ หรือกฎหมายกำหนด
Parent (ผู้ใช้อำนาจปกครอง)
หมายถึง บิดามารดาของผู้เยาว์ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้เยาว์อายุไม่เกิน 10 ปี ต้องได้รับความยินยอมจากบิดามารดา ส่วนผู้เยาว์ที่มีอายุเกิน 10 ปี ต้องได้รับความยินยอมจากบิดามารดาร่วมด้วย หากไม่เข้าข่ายการกระทำใด ๆ ซึ่งผู้เยาว์สามารถให้ความยินยอมโดยลำพังได้
PDPA
ย่อมาจาก Personal Data Protection Act B.E. 2562 หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลแห่งราชอาณาจักรไทย ประกาศในราชกิจจานุเบกษาเมื่อวันที่ 27 พ.ค. 2562
Person (บุคคล)
หมายถึง บุคคลธรรมดา หรือ คนหรือมนุษย์ปุถุชนซึ่งสามารถมีสิทธิและหน้าที่ตามกฎหมาย
Personal Data (ข้อมูลส่วนบุคคล)
หมายถึง ข้อมูลเกี่ยวกับบุคลลซึ่งทำให้สามารถระบุตัวตนนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ที่ถึงแก่กรรมไปแล้ว
Personal Data Breach (การละเมิดข้อมูลส่วนบุคคล)
หมายถึง การกระทำการโดยจงใจหรือประมาทต่อบุคคลอื่นโดยผิดกฎหมาย ทำให้บุคคลอื่นเสียหายสืบเนื่องมาจากประเด็นเรื่องข้อมูลส่วนบุคคล โดยผู้ละเมิดจะต้องได้รับโทษตามกฎหมายและชดใช้ค่าสินไหมทดแทนความเสียหายนั้น
Personal Data Controller (ผู้ควบคุมข้อมูลส่วนบุคคล)
หมายถึง บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
Personal Data Objection (การคัดค้านการใช้ข้อมูลส่วนบุคคล)
หมายถึง สิทธิของเจ้าของข้อมูลส่วนบุคคลตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่สามารถคัดค้านการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้องกับตนเองเมื่อใดก็ได้ ในกรณีดังต่อไปนี้
- เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตามพระราชบัญญัติฉบับนี้
- เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยเพื่อวัตถุประสงค์เกี่ยวกับการทำการตลาดแบบตรง
- เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยเพื่อวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ (ยกเว้นเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล)
Personal Data Privacy or Information Privacy (ความเป็นส่วนตัวของข้อมูลส่วนบุคคล)
หมายถึง การให้ความคุ้มครองข้อมูลส่วนบุคคลโดยการวางหลักเกณฑ์เกี่ยวกับการเก็บรวบรวมและบริหารจัดการข้อมูลส่วนบุคคล ที่บุคคลอื่นห้ามเก็บรวบรวม ใช้ หรือเผยแพร่โดยไม่ได้รับอนุญาตจากเจ้าของข้อมูลส่วนบุคคล
Personal Data Processing (การประมวลผลข้อมูลส่วนบุคคล)
หมายถึง การดำเนินการหรือชุดการดำเนินการซึ่งกระทำต่อข้อมูลส่วนบุคคลหรือชุดข้อมูลส่วนบุคคล ด้วยระบบอัตโนมัติหรือไม่ก็ได้ เช่น การเก็บรวบรวม การบันทึก การจัดระเบียบ การจัดโครงสร้าง การจัดเก็บ การปรับปรุง การใช้ การเปิดเผย การทำให้สามารถเข้าถึงได้ การยับยัง หรือการลบหรือทำลายข้อมูลส่วนบุคคล เป็นต้น
Personal Data Processor (ผู้ประมวลผลข้อมูลส่วนบุคคล)
หมายถึง บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล โดยบุคคลหรือนิติบุคคลดังกล่าวต้องไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
Personal Data Protection (การคุ้มครองข้อมูลส่วนบุคคล)
หมายถึง การดูแลปกป้องบุคคลจากการถูกละเมิดเกี่ยวกับข้อมูลส่วนบุคคลโดยกฎหมาย ซึ่งเป็นการจำกัดสิทธิและเสรีภาพบางประการของบุคคลที่เก็บรวบ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้อื่น เพื่อให้เกิดการคุ้มครองข้อมูลส่วนบุคคลและมาตรการเยียวยาเจ้าของข้อมูลที่มีประสิทธิภาพ
GDPR หรือกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป เป็นกฎหมายแม่แบบเพื่อใช้ปรับปรุงเป็น PDPA หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งเป็นกฎหมายที่มีเนื้อหาเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของไทย
Personal Data Protection Committee (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล)
หมายถึง คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่ได้รับการสรรหาและแต่งตั้งตามที่กำหนดในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบไปด้วย ประธานกรรมการ 1 คน รองประธานกรรมการ 1 คน กรรมการโดยตำแหน่ง 5 คน และกรรมการผู้ทรงคุณวุฒิ 9 คน (รวม 16 คน)
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล มีหน้าที่และอำนาจในการ
- จัดทำแผนแม่บทการดำเนินงานด้านการส่งเสริม และการคุ้มครองข้อมูลส่วนบุคคลที่สอดคล้องกับนโยบาย ยุทธศาสตร์ชาติ และแผนระดับชาติที่เกี่ยวข้อง
- ส่งเสริมและสนับสนุนหน่วยงานของรัฐและเอกชน ในการดำเนินงานตามแผนแม่บท และจัดให้มีการประเมินผล
- กำหนดมาตรการและแนวทางการดำเนินการเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
- ออกประกาศหรือระเบียบเพื่อให้การดำเนินการต่าง ๆ เป็นไปตามพระราชบัญญัตินี้
- กำหนดหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ
- กำหนดข้อปฏิบัติสำหรับผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล
- เสนอแนะการตราหรือปรับปรุงกฎหมายที่บังคับใช้เกี่ยวกบการคุ้มครองข้อมูลส่วนบุคคลต่อคณะรัฐมนตรี
- เสนอแนะทบทวนความเหมาะสมของพระราชบัญญัตินี้อย่างน้อยทุกรอบ 5 ปี
- ให้คำแนะนำและคำปรึกษาเกี่ยวกับการดำเนินการเพื่อให้ความคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานภาครัฐและเอกชน
- ตีความและวินิจฉัยชี้ขาดเมื่อเกิดปัญหาที่เกิดขึ้นจากการใช้พระราชบัญญัตินี้
- ส่งเสริมและสนับสนุนให้ประชาชนเกิดทักษะ ความรู้ และความเข้าใจเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
- ส่งเสริมและสนับสนุนการวิจัย เพื่อพัฒนาเทคโนโลยีที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล
- ปฏิบัติการอื่นตามพระราชบัญญัตินี้หรือที่กฎหมายอื่นกำหนดให้เป็นหน้าที่และอำนาจของคณะกรรมการฯ
*พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้คำว่า “คณะกรรมการ”” หมายถึง คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
Personal Data Restriction (การระงับการใช้ข้อมูลส่วนบุคคล)
หมายถึง สิทธิของเจ้าของข้อมูลส่วนบุคคลตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่สามารถขอให้ผู้ควบคุมข้อมูลส่วนบุคคลระงับการใช้ข้อมูลส่วนบุคคลได้ ในระหว่างที่ผู้ควบคุมข้อมูลส่วนบุคคลกำลังดำเนินการตรวจสอบตามที่เจ้าของข้อมูลส่วนบุคคลได้ร้องขอ ให้ผู้ควบคุมข้อมูลส่วนบุคคลได้ดำเนินการแก้ไขข้อมูลส่วนบุคคลให้เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด
Personal Data Subject (เจ้าของข้อมูลส่วนบุคคล)
หมายถึง ตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล แต่ไม่ใช่กรณีที่บุคคลที่ครอบครองข้อมูล หรือเป็นผู้สร้างหรือเก็บรวบรวมข้อมูลนั้นเอง โดยเจ้าของข้อมูลส่วนบุคคลจะหมายถึงบุคคลธรรมดาเท่านั้น และไม่รวมถึงนิติบุคคล
Personalized Marketing (การทำการตลาดส่วนบุคคล)
หมายถึง แนวคิดการทำการตลาดในยุคดิจิทัล ที่พยายามนำเสนอสินค้าหรือบริการให้ตรงตามความต้องการของผู้บริโภคให้มากที่สุด โดยสินค้าและบริการที่นำเสนอให้กับแต่ละบุคคลไม่จำเป็นต้องเหมือนกันและมีความแตกต่างกันออกไป เพื่อสร้างประสบการณ์การใช้งานแพลตฟอร์มที่น่าประทับใจ
การทำการตลาดส่วนบุคคล มีพื้นฐานวิธีการทำการตลาดผ่านการเก็บข้อมูลผู้ใช้งานบนแพลตฟอร์มดิจิทัล แล้วนำมาวิเคราะห์เพื่อให้สามารถตอบโต้ได้ตรงตามความคาดหวังของแต่ละบุคคล โดยใช้เครื่องมืออัตโนมัติเป็นช่วย จึงมีความเกี่ยวข้องกับการเก็บรวบรวมและใช้ข้อมูล่สวนบุคคล นักการตลาดจึงต้องตื่นตัวและปรับตัวเมื่อพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ถูกบังคับใช้
Provision (บทบัญญัติ)
หมายถึง ข้อความที่กำหนดไว้เป็นลายลักษณ์อักษรในกฎหมาย
Pseudonymization (การแฝงข้อมูล)
หมายถึง รููปแบบการจัดการข้อมูลอย่างหนึ่ง เพื่อวัตถุประสงค์ด้านการคุ้มครองข้อมูลส่วนบุคคล โดยการทดแทนข้อมูลบางส่วนที่สามารถระบุตัวตนของบุคคลในชุดข้อมูลด้วยนามแฝงซึ่งประดิษฐ์ขึ้น เรียกว่า Pseudonym การใช้นามแฝงจะช่วยให้สามารถระบุตัวตนของบุคคลได้ยากขึ้นขณะการโอนเคลื่อนย้ายข้อมูลหรือเมื่อถูกจารกรรม แต่ยังเป็นรูปแบบข้อมูลที่สามารถนำมาแปลงกลับมาเพื่อระบุผู้ที่เกี่ยวข้องได้อยู่ เมื่อมีข้อมูลประกอบเพิ่มเติม
Quasi-incompetent Person (คนเสมือนไร้ความสามารถ)
หมายถึง บุคคลที่ศาลสั่งให้เป็นคนเสมือนไร้ความสามารถ เนื่องจากมีความพิการทางกาย มีจิตไม่สมประกอบ มีพฤติกรรมสุรุ่ยสุร่ายเสเพลเป็นปกตินิสัย ติดสุราของมึนเมา หรือมีเหตุอื่น ๆ ทำนองเดียวกัน จนไม่สามารถจัดทำการงานโดยตนเองได้ หรือจัดกิจการในทางที่อาจจะเสื่อมเสียแก่ทรัพย์สินของตนเองหรือครอบครัว ซึ่งในการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ของคนเสมือนไร้ความสามารถ ต้องได้รับความยินยอมจากผู้พิทักษ์
Right and Freedom of Data Subject (สิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล)
หมายถึง “สิทธิ” ประโยชน์หรืออำนาจของบุคคลที่กฎหมายรับรองและคุ้มครองและ “เสรีภาพ” อิสระในการตัดสินใจที่จะเลือกดำเนินพฤติกรรมของตนเอง (ที่ไม่ขัดต่อกฎหมาย) โดยพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้มีการจำกัดสิทธิและเสรีภาพของบุคคล ซึ่งสอดคล้องกับรัฐธรรมนูญแห่งราชอาณาจักรไทย เพื่อให้การคุ้มครองข้อมูลส่วนบุคคลมีประสิทธิภาพ และมีมาตรการเยียวยาเจ้าของข้อมูลส่วนบุคคลจากการถูกละเมิดสิทธิในข้อมูลส่วนบุคคลที่มีประสิทธิภาพ
Sensitive Personal Data (ข้อมูลอ่อนไหว)
หมายถึง ข้อมูลส่วนบุคคลที่เป็นเรื่องส่วนตัวโดยแท้ของบุคคล แต่มีความละเอียดอ่อนและสุ่มเสี่ยงต่อการถูกใช้ในการเลือกปฏิบัติอย่างไม่เป็นธรรม จึงจำเป็นต้องดำเนินการด้วยความระมัดระวังเป็นพิเศษ
PDPA ได้ห้ามมิให้เก็บรวบรวมข้อมูลอ่อนไหว คือ เชื่อชาติ เผ่าพันธ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกัน โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล มีข้อยกเว้นบางประการ คือ
- เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
- เป็นการดำเนินกิจกรรมโดยชอบด้วยกฎหมายที่มีการคุ้มขงที่เหมาะสมของมูลนิธิ สมาคม หรือองค์กรที่ไม่แสวงหาผลกำไร
- เป็นข้อมูลที่เปิดเผยต่อสาธารณะด้วยความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล
- เป็นการจำเป็นเพื่อการก่อตั้ง ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
- เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์
Small Organization (กิจการขนาดเล็ก)
หมายถึง ธุรกิจขนาดเล็ก หรือกิจการที่ความเป็นเจ้าของและการดำเนินงานเป็นไปอย่างอิสระ และในเวลาเดียวกันนั้นต้องไม่มีอิทธิพลครอบงำต่อการดำเนินงานของกิจการอื่นในแขนงเดียวกัน
ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลของกิจการขนาดเล็ก ได้รับการยกเว้นการบังคับใช้ของข้อกฎหมายบางประการ เกี่ยวกับการจัดทำบันทึกรายการเพื่อให้เจ้าของข้อมูลส่วนบุคคลและสำนักงานสามารถตรวจสอบได้ ยกเว้นแต่การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ของกิจการจะมีความเสี่ยงมีผลกระทบต่อเจ้าของข้อมูลส่วนบุคคล ไม่ใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือขัดต่อข้อกฎหมายที่ห้ามการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลอ่อนไหว
Click! อภิธานศัพท์ – พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 (เรียงลำดับตามพยัญชนะภาษาไทย)
