พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA (Personal Data Protection Act) เป็นกฎหมายใหม่ที่ออกมาเพื่อแก้ไขปัญหาการถูกล่วงละเมิดข้อมูลส่วนบุคคลที่เพิ่มมากขึ้นเรื่อย ๆ ในปัจจุบัน ด้วยเหตุนี้องค์กร หรือ หน่วยงานต่าง ๆ จำเป็นต้องให้ความสำคัญกับเรื่องของการจัดเก็บ เเละประมวลผลข้อมูลส่วนบุคคลขององค์กรให้ถูกต้องตามกฎหมาย PDPA เพื่อสร้างความปลอดภัยและเป็นส่วนตัวให้แก่เจ้าของข้อมูล เพราะหากไม่ดำเนินการตามหลักของ PDPA คุณอาจต้องรับโทษร้ายแรงทั้งทางแพ่ง อาญา และปกครอง
ในยุคที่อินเทอร์เน็ตเริ่มเข้ามามีบทบาทมากขึ้น ‘Data’ หรือ ‘ข้อมูล’ ของลูกค้าจึงเป็นเรื่องที่สำคัญสำหรับธุรกิจในปัจจุบันอย่างมาก เนื่องจากข้อมูลของลูกค้ามีส่วนสำคัญอย่างมากในการขับเคลื่อนธุรกิจให้เติบโต ง่ายต่อการวางเเผนการดำเนินการของธุรกิจ ยิ่งธุรกิจของคุณมีข้อมูลมากเท่าไหร่ ยิ่งจะมีความได้เปรียบคู่เเข่งมากเท่านั้น โดยเฉพาะอย่างยิ่ง ธุรกิจขายตรง (Direct Sales) หรือที่ได้ยินบ่อย ๆ ว่า ธุรกิจเครือข่าย (MLM/Network Marketing) เป็นธุรกิจที่นอกจากขายสินค้าหรือบริการแล้ว ยังมีการชักชวนให้ลูกค้ามีส่วนร่วมในธุรกิจโดยการเป็นตัวแทนจำหน่ายที่ถือว่าได้รับความนิยมอย่างมากในยุคปัจจุบัน เนื่องจากมีระบบการกระจายสินค้าจากผู้ผลิตไปยังผู้บริโภคโดยตรง ซึ่งการตลาดประเภทนี้จะทำให้ทุกคน ไม่ว่าจะเป็นใคร อายุเท่าไหร่ การศึกษาเป็นอย่างไร ก็สามารถมาเข้าร่วมทำธุรกิจได้ อย่างไรก็ดีธุรกิจขายตรง (Direct Sales) หรือ ธุรกิจเครือข่าย (MLM/Network Marketing) มักถูกเข้าใจผิดและมีภาพลักษณ์ที่ไม่ดี เนื่องจากกลุ่มแชร์ลูกโซ่ที่ผิดกฎหมายที่พยายามสร้างภาพลักษณ์ให้เหมือนธุรกิจขายตรงเเละธุรกิจเครือข่าย และมักจะมีการอวดอ้างถึงรายได้จำนวนมากโดยไม่ต้องทำงานประจำ ซึ่งเหมือนกับการขายฝันนั่นเอง
โดยผู้มีส่วนร่วมในการทำ ธุรกิจขายตรง หรือธุรกิจเครือข่าย นั้นจะมีกิจกรรมในการขายสินค้าหรือบริการ แนะนำสินค้าหรือบริการให้ผู้บริโภค รวมถึงชักชวนผู้บริโภคมาเป็นผู้จำหน่ายสินค้าหรือบริการ หรือหาตัวแทนจำหน่าย แล้วจะได้ผลตอบแทนจากกิจกรรมเหล่านั้น ซึ่งเเน่นอนว่าการทำกิจกรรมในลักษณะนี้ต้องมีการรวบรวมข้อมูลส่วนบุคคลจากลูกค้าหรือตัวเเทนจำหน่ายในเครือตัวเอง
ข้อมูลส่วนบุคคลอะไรบ้างที่ ธุรกิจขายตรง (Direct Sales) หรือ ธุรกิจเครือข่าย (MLM/Network Marketing) มักเก็บรวบรวม
- ชื่อ-นามสกุล
- เบอร์โทรศัพท์
- อีเมลส่วนตัว
- ที่อยู่ปัจจุบัน
- เลขบัตรประชาชน (บางธุรกิจมีการขอสำเนาบัตรประชาชน)
- ข้อมูลทางการเงิน
- ข้อมูลสุขภาพ
อย่างที่ทราบทั่วกันว่า หากมีการประมวลผลข้อมูลส่วนบุคคล แล้วเกิดมีการรั่วไหลของข้อมูลนำไปสู่การฟ้องร้อง ถึงแม้จะมีการรั่วไหลที่เกิดจากพนักงานแค่คนเดียว แต่ผู้ที่จะมีส่วนรับผิดชอบก็คือหน่วยงานกำกับดูแลนั่นเอง
แต่เดี๋ยวก่อน ! รู้หรือไม่ว่า สำหรับกรณีธุรกิจขายตรง (Direct Sales) ธุรกิจเครือข่าย (MLM/Network Marketing) หากมีกรณีพนักงานทำข้อมูลรั่วไหลหรือทำผิด PDPA ธุรกิจนั้น หรือ บุคคลที่ทำข้อมูลรั่วไหลจะต้องรับโทษเองโดยตรง (แล้วแต่การทำสัญญา) เเละไม่มีหน่วยงานใดมารับผิดชอบ เนื่องจาก ธุรกิจขายตรง หรือ ธุรกิจเครือข่ายที่กล่าวมาข้างต้น ถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ) และเป็น ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) กันอย่างเบ็ดเสร็จอยู่แล้ว
ค่าปรับ และการกำหนดโทษ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยอาศัยอำนาจของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ในการที่จะพิจารณาบทลงโทษใน 3 ลักษณะ คือ ความรับผิดทางแพ่ง โทษอาญา และโทษทางปกครอง โดยในกฎหมาย PDPA มีการระบุไว้อย่างชัดเจน ดังนี้ :
- โทษทางแพ่ง : ค่าปรับจริง + 2 เท่าของค่าปรับ = เงินค่าสินไหมทดแทนที่ต้องจ่าย
- โทษทางอาญา : กฎหมาย PDPA กำหนดโทษอาญาไว้ 2 ลักษณะ คือ ปรับเงิน กับ จำคุก หรืออาจจะโดนทั้งคู่ โทษจำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 5 แสนบาท หรือทั้งจำทั้งปรับ
- โทษทางปกครอง : ปรับสูงสุดไม่เกิน 5,000,000 บาท
อยากรู้เรื่องโทษปรับเพิ่มเติม คลิก ! >> บทความค่าปรับ และบทลงโทษจากการละเมิดกฎหมาย PDPA ต้องจ่ายเท่าไหร่? ธุรกิจไทยดูไว้เป็นตัวอย่าง!
สามารถพิจารณาจากสิ่งเหล่านี่
- ประเภทของข้อมูล เช่น ข้อมูลสำเนาบัตรประชาชน บัตรเครดิต
- ความอ่อนไหว คือ วิเคราะห์ข้อมูลนั้นมีความเสี่ยงต่อบุคคลมากแค่ไหน โดยใช้หลักการพิจารณาพื้นฐานของความเสี่ยง
- ปริมาณ ข้อมูลที่รั่วไหลจำนวนมากอาจส่งผลต่อความเสียหายในวงกว้าง
- ง่ายต่อการระบุตัวตน ข้อมูลที่สามารถระบุตัวบุคลได้อาจจะส่งผลที่เป็นอันตรายต่อชีวิต สภาพจิตใจ หรือทรัพย์สิน
- ความรุนแรง โดยการวิเคราะห์ผลที่ตามมาในกรณีข้อมูลนั้นรั่วไหลและนำไปสู่การละเมิดในระดับใดบ้าง
หากองค์กรใดมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer) หรือที่เรียกสั้น ๆ ว่า DPO เป็นบุคคลที่ทำหน้าที่ในการดูแลรักษาข้อมูลส่วนบุคคลทั้งหมดภายในองค์กร ก็จะช่วยให้องค์กรจัดเก็บเเละประมวลผลข้อมูลส่วนบุคคลได้อย่างถูกต้องมากขึ้น ดังนั้นหากคุณยังไม่แน่ใจว่าธุรกิจของคุณเก็บข้อมูลส่วนบุคคลถูกต้องตามกฎหมาย PDPA เเล้วหรือยัง ? หรือองค์กรของคุณยังไม่มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือสนใจดำเนินการคุ้มครองข้อมูลส่วนบุคคลในมิติอื่น ๆ ปรึกษาเราได้ที่ pdpa.online.th หรือเฟซบุ๊ก PDPA Thailand ให้เราเป็น Solution ด้าน PDPA ที่ใช่สำหรับคุณ
