กฎหมาย PDPA ถ่ายรูปติดคนอื่น หรือร้านค้าเก็บเบอร์ลูกค้า ผิดไหม? เสี่ยงค่าปรับหลักล้านจริงหรือ!

 

กฎหมาย PDPA ถ่ายรูปติดคนอื่น หรือร้านค้าเก็บเบอร์ลูกค้า ผิดไหม? เสี่ยงค่าปรับหลักล้านจริงหรือ!

นับตั้งแต่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล หรือที่เรียกกันติดปากว่า กฎหมาย PDPA (Personal Data Protection Act) เริ่มบังคับใช้อย่างเต็มรูปแบบ ก็สร้างความตื่นตระหนกให้กับคนไทยไม่น้อยเลยค่ะ หลายคนถึงขั้นไม่กล้าหยิบโทรศัพท์มือถือขึ้นมาถ่ายรูปในสถานที่สาธารณะเพราะกลัวจะโดนฟ้องร้องเรียกค่าเสียหาย ส่วนบรรดาพ่อค้าแม่ค้า ผู้ประกอบการ SME ก็กังวลหนักว่า แค่การขอเบอร์โทรศัพท์ลูกค้าเพื่อเอามาทำระบบสะสมแต้ม จะกลายเป็นเรื่องผิดกฎหมายจนโดนปรับหมดเนื้อหมดตัวหรือไม่

วันนี้เราจะมาเคลียร์ข้อสงสัยเรื่องกฎหมาย PDPA แบบเจาะลึกแต่ใช้ภาษาชาวบ้านที่เข้าใจง่ายๆ ค่ะ ว่าเส้นแบ่งระหว่างการใช้ชีวิตตามปกติ กับการทำผิดกฎหมายจนเสี่ยงโดนค่าปรับหลักล้านนั้นอยู่ตรงไหนกันแน่ พร้อมกางข้อกฎหมายให้ดูกันชัดๆ เลยค่ะ

1. สายคาเฟ่ชอบเซลฟี่ "ถ่ายรูปติดคนอื่น" ผิดกฎหมายทันทีไหม?

นี่คือความเข้าใจผิดอันดับต้นๆ ของคนในสังคมเลยค่ะ หลายคนคิดว่าถ้าถ่ายรูปติดคนอื่นแปลกหน้า ต้องคอยเอาสติกเกอร์มาแปะเซนเซอร์หน้าตลอดเวลา ซึ่งในความเป็นจริง กฎหมายไม่ได้ใจร้ายหรือตึงเครียดขนาดนั้นค่ะ เราสามารถแบ่งกรณีได้ดังนี้:

• กรณีที่ "ไม่ผิด" (ทำได้ตามปกติ): หากคุณไปเที่ยวคาเฟ่ ไปเดินห้างสรรพสินค้า หรือไปดูคอนเสิร์ต แล้วถ่ายรูปหรืออัดคลิปวิดีโอเพื่อนำมาโพสต์ลง Facebook, Instagram หรือ TikTok ส่วนตัว โดยมีเจตนาเพียงเพื่อบันทึกความทรงจำหรืออัปเดตชีวิตประจำวัน (ใช้เพื่อประโยชน์ส่วนตน) และภาพนั้นไม่ได้ไปสร้างความเสื่อมเสีย หรือความเดือดร้อนรำคาญให้กับคนในภาพ คุณสามารถทำได้ตามปกติโดยไม่ต้องมานั่งเบลอหน้าคนรอบข้างค่ะ

  • อ้างอิงกฎหมาย: ข้อยกเว้นนี้เป็นไปตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 4 (1) ที่ระบุว่า กฎหมายนี้ไม่ใช้บังคับกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตน หรือเพื่อกิจกรรมในครอบครัวค่ะ

• กรณีที่ "ผิดเต็มๆ" (เสี่ยงโดนฟ้อง): แต่ถ้าคุณเป็น "เพจรีวิวร้านอาหาร" เป็น "บล็อกเกอร์" หรือเป็นพ่อค้าแม่ค้าออนไลน์ ที่ถ่ายคลิปติดหน้าลูกค้าคนอื่นอย่างชัดเจน แล้วนำคลิปนั้นไปยิงแอดโฆษณาเพื่อสร้างรายได้ (ใช้เพื่อการค้าและแสวงหากำไร) หรือหนักกว่านั้นคือ แอบถ่ายรูปคนอื่นไปโพสต์ด่าทอ บูลลี่รูปร่างหน้าตาจนเขาได้รับความอับอายและเสียหาย แบบนี้ถือว่าละเมิดกฎหมาย PDPA และละเมิดสิทธิส่วนบุคคลเต็มๆ ค่ะ ในกรณีเพื่อการค้า คุณต้องขออนุญาตบุคคลในภาพ หรือทำการเบลอหน้าเขาก่อนนำไปเผยแพร่เสมอค่ะ

2. พ่อค้าแม่ค้า "เก็บเบอร์โทร-ชื่อลูกค้า" ทำได้ไหม?

สำหรับผู้ประกอบการ ไม่ว่าจะเป็นร้านกาแฟ คลินิกความงาม ร้านทำผม หรือร้านขายของออนไลน์ ที่มีการเก็บข้อมูลลูกค้า เช่น ชื่อ เบอร์โทรศัพท์ ที่อยู่ หรือประวัติการซื้อของเพื่อทำระบบสมาชิก (CRM) กฎหมายไม่ได้ห้ามเก็บนะคะ ธุรกิจยังดำเนินต่อไปได้ปกติ แต่กฎหมายบังคับเพิ่มขึ้นมาว่า "ต้องทำอย่างโปร่งใสและต้องได้รับความยินยอมจากเจ้าของข้อมูล" ค่ะ

• สิ่งที่ร้านค้าต้องทำ: คุณต้องแจ้งลูกค้าให้ชัดเจนว่า ขอเบอร์โทรไปทำไม? (เช่น ขอเพื่อสะสมแต้ม ขอเพื่อส่งของ หรือขอเพื่อแลกส่วนลด) และจะต้องเก็บรักษาข้อมูลเหล่านี้ให้ปลอดภัยที่สุด ไม่ปล่อยให้กระดาษจดชื่อลูกค้าปลิวว่อน หรือปล่อยให้พนักงานถ่ายรูปข้อมูลลูกค้าไปเล่น

  • อ้างอิงกฎหมาย: การเก็บข้อมูลลูกค้าเพื่อทำระบบสมาชิก ต้องแจ้งวัตถุประสงค์และขอความยินยอมอย่างชัดเจน เป็นไปตามเกณฑ์ของ มาตรา 19 ค่ะ

• ข้อห้ามเด็ดขาด: ห้ามนำเบอร์โทรหรือข้อมูลส่วนตัวของลูกค้า ไปขายต่อให้กับแก๊งคอลเซ็นเตอร์ บริษัทประกันภัย หรือแอบส่งข้อความ SMS โฆษณาขยะไปกวนใจลูกค้าโดยที่เขาไม่ได้อนุญาตเด็ดขาด หากลูกค้าจับได้และนำเรื่องไปร้องเรียน คราวนี้เรื่องใหญ่และเตรียมรับมือกับค่าปรับได้เลยค่ะ

3. บทลงโทษมหาโหด ทำไมถึงเสี่ยงค่าปรับ "หลักล้าน"?

กฎหมาย PDPA ถูกออกแบบมาเพื่อลงโทษผู้ที่นำข้อมูลส่วนบุคคลของผู้อื่นไปใช้ในทางที่ผิด หรือหน่วยงานที่หละหลวมทำข้อมูลลูกค้ารั่วไหล โดยเฉพาะฝั่งองค์กรและธุรกิจค่ะ ซึ่งบทลงโทษแบ่งออกเป็น 3 ส่วนหลักๆ ที่หนักหน่วงเอาการ ได้แก่:

1. โทษทางแพ่ง: ต้องจ่ายค่าสินไหมทดแทนให้กับผู้เสียหายตามมูลค่าความเสียหายที่เกิดขึ้นจริง และศาลยังมีอำนาจสั่งให้จ่ายเพิ่มเป็น "ค่าเสียหายเชิงลงโทษ" ได้อีกสูงสุดถึง 2 เท่าของความเสียหายจริงค่ะ

2. โทษทางอาญา: หากนำข้อมูลไปใช้จนเกิดความเสียหายร้ายแรง หรือแอบนำข้อมูลอ่อนไหว (Sensitive Data เช่น ประวัติสุขภาพ ศาสนา รสนิยมทางเพศ) ไปเปิดเผยโดยไม่ได้รับอนุญาต จะมีโทษจำคุกสูงสุด 1 ปี หรือปรับสูงสุด 1 ล้านบาท หรือทั้งจำทั้งปรับ ตาม มาตรา 79 ค่ะ

3. โทษทางปกครอง (โทษนี้หนักที่สุด!): หากบริษัทหรือร้านค้าฝ่าฝืนข้อปฏิบัติ เช่น ไม่ยอมขอความยินยอมให้ถูกต้อง ไม่ดูแลระบบหลังบ้านให้ดีจนข้อมูลลูกค้าหลุดรอดไปถึงมือมิจฉาชีพ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีอำนาจสั่งปรับทางปกครองได้ตั้งแต่ 1 ล้านบาท และสูงสุดถึง 5 ล้านบาทเลยค่ะ! ตาม มาตรา 82 และ 83

กฎหมาย PDPA ไม่ใช่เรื่องน่ากลัวสำหรับการใช้ชีวิตประจำวันของคนทั่วไปเลยค่ะ แต่เป็นเกราะป้องกันชั้นดีไม่ให้ใครเอาข้อมูลส่วนตัวของเราไปหากินโดยมิชอบ ส่วนฝั่งคนทำธุรกิจ เพียงแค่จัดระเบียบการเก็บข้อมูลให้รัดกุม ทำเอกสารขออนุญาตลูกค้าอย่างตรงไปตรงมา เพียงเท่านี้ก็สามารถทำธุรกิจต่อไปได้อย่างราบรื่น และไม่ต้องหวาดระแวงกับค่าปรับหลักล้านแล้วค่ะ

แหล่งอ้างอิงและข้อมูลทางกฎหมาย:

• พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (มาตรา 4, มาตรา 19, มาตรา 79, มาตรา 82 และ มาตรา 83)

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)