“สคส. เคลียร์ใจสื่อ” ชวนสื่อร่วมสร้างความเข้าใจ PDPA เปิด 4210 เรื่องร้องเรียน พร้อมเจาะ 1650 เหตุข้อมูลรั่ว
สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC จัดงาน “สคส. เคลียร์ใจสื่อ ตอบทุกข้อคำถามเรื่อง PDPA” เปิดพื้นที่พูดคุยกับสื่อมวลชนอย่างใกล้ชิด พร้อมเปิดสถิติเรื่องร้องเรียนและข้อปรึกษา 4210 เรื่อง และสถิติการรับแจ้งเหตุละเมิดข้อมูลส่วนบุคคล 1650 เรื่อง สะท้อนสถานการณ์การคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย ตลอดจนเคลียร์ประเด็นที่สังคมและสื่อยังเข้าใจคลาดเคลื่อน ทั้งข้อจำกัดและกระบวนการตรวจสอบของ สคส. ก่อนวินิจฉัยว่า “ผิดหรือไม่ผิด PDPA” ดราม่าบนหน้าสื่อจากการตีความกฎหมาย แนวทางนำเสนอข่าวเมื่อเกิดเหตุข้อมูลรั่วไหลโดยไม่ซ้ำเติมผู้เสียหาย รวมถึงบทบาทของสื่อมวลชนในการแนะนำประชาชนเมื่อถูกละเมิดข้อมูล เพื่อให้การสื่อสารเรื่อง PDPA ถูกต้อง เข้าใจง่าย และนำไปใช้ได้จริง
พ.ต.อ. สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กล่าวว่า ปัจจุบันสื่อมวลชนมีบทบาทสำคัญอย่างยิ่งในการทำให้ประชาชนเข้าใจสิทธิด้านข้อมูลส่วนบุคคล เนื่องจากหลายเหตุการณ์ที่เกี่ยวข้องกับ PDPA มักเริ่มต้นจากเรื่องใกล้ตัว ก่อนถูกนำเสนอและขยายผลผ่านสื่อมวลชน สื่อออนไลน์ และสังคมออนไลน์อย่างรวดเร็ว ความถูกต้องของข้อมูลตั้งแต่ต้นจึงมีผลโดยตรงต่อความเข้าใจของประชาชน
“สคส. มองว่าสื่อมวลชนไม่ใช่เพียงผู้รายงานข่าว แต่เป็นพันธมิตรสำคัญในการทำให้เรื่อง PDPA ซึ่งอาจดูเป็นกฎหมายที่ซับซ้อน กลายเป็นเรื่องที่ประชาชนเข้าใจง่าย รู้ว่าตัวเองมีสิทธิอะไร และองค์กรมีหน้าที่อย่างไร เราจึงต้องการเปิดพื้นที่ให้สื่อสามารถสอบถามได้อย่างตรงไปตรงมา โดยเฉพาะเรื่องที่ยังมีความเข้าใจคลาดเคลื่อนหรือกำลังเป็นประเด็นในสังคม”
นอกจากนี้ สคส. ยังได้สรุปผลการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลทั้งในมิติเชิงรุกและเชิงรับ พร้อมเปิดเผย สถิติเรื่องร้องเรียนและข้อปรึกษา 4210 เรื่อง ซึ่งเป็นข้อมูลสำคัญที่สะท้อนการตื่นตัวของประชาชนต่อสิทธิในข้อมูลส่วนบุคคล
จากข้อมูลดังกล่าว พบว่าผู้ถูกร้องเรียนเป็น ภาคเอกชน 3889 เรื่อง และภาครัฐ 321 เรื่อง โดย 3 ประเด็นที่มีการร้องเรียนสูง ได้แก่ มาตรา 27 การเปิดเผยข้อมูลโดยไม่ได้รับความยินยอม 1025 เรื่อง มาตรา 4 ประเด็นข้อยกเว้นเรื่องประโยชน์ส่วนตน 724 เรื่อง และมาตรา 24/26 เรื่องการเก็บรวบรวมข้อมูลส่วนบุคคล 586 เรื่อง
นอกเหนือจากสถิติเรื่องร้องเรียนและข้อปรึกษาแล้ว อีกข้อมูลสำคัญที่สะท้อนภาพความเสี่ยงด้านข้อมูลส่วนบุคคล คือ สถิติการรับแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ซึ่งตั้งแต่ปี พ.ศ. 2566 ถึงวันที่ 31 พ.ค. 2569 สคส. ได้รับแจ้งเหตุรวม 1650 เรื่อง โดยจำแนกเป็น Non-cyber 849 เรื่อง คิดเป็น 51.45% Cyber 747 เรื่อง คิดเป็น 45.27% และสาเหตุอื่น ๆ 54 เรื่อง คิดเป็น 3.28% ทั้งนี้ ในกลุ่ม Cyber พบเหตุจาก Cyber Threat 567 เรื่อง และ Social Media 180 เรื่อง ขณะที่กลุ่ม Non-cyber ส่วนใหญ่เกี่ยวข้องกับ Human Error
ในด้านประเภทหน่วยงานที่มีการแจ้งเหตุสูงสุด พบว่า กลุ่มการเงิน การลงทุน และการประกัน 723 เรื่อง รองลงมา ได้แก่ หน่วยงานของรัฐและรัฐวิสาหกิจ 206 เรื่อง ธุรกิจการค้าปลีก-ส่งและการค้าออนไลน์ 204 เรื่อง กลุ่มพลังงาน สาธารณูปโภคและอุตสาหกรรมการผลิต 105 เรื่อง และด้านสาธารณสุข 87 เรื่อง ขณะที่สถานะการดำเนินการจากเหตุทั้งหมด 1650 เรื่อง แบ่งเป็น อยู่ระหว่างดำเนินการ 569 เรื่อง เฝ้าระวังและติดตาม 1071 เรื่อง เสนอคณะกรรมการผู้เชี่ยวชาญ 9 เรื่อง และส่งเรื่องให้ศูนย์ให้คำปรึกษาและรับเรื่องร้องเรียน 1 เรื่อง
“ตัวเลข 1650 เหตุ ทำให้เราเห็นชัดว่าเรื่องข้อมูลรั่วไหลไม่ได้มีคำตอบเพียงว่า ‘ถูกแฮกหรือไม่’ เพราะมากกว่าครึ่งอยู่ในกลุ่ม Non-cyber และ Human Error การป้องกันจึงต้องมองทั้งระบบ ตั้งแต่เทคโนโลยี บุคลากร กระบวนการทำงาน ไปจนถึงวัฒนธรรมการคุ้มครองข้อมูลภายในองค์กร” พ.ต.อ. สุรพงศ์ กล่าว
ด้าน น.ส.วีรินทร์ อรวัฒนพันธุ์ ผู้อำนวยการฝ่ายสื่อสารองค์กร สคส.กล่าวว่า หนึ่งในประเด็นที่ สคส. ต้องการ “เคลียร์” ให้ประชาชนและสื่อมวลชนเข้าใจตรงกันมากที่สุด คือความเข้าใจที่คลาดเคลื่อนเกี่ยวกับ PDPA ซึ่งพบได้ทั้งในฝั่งประชาชนและฝั่งองค์กร โดยประชาชนจำนวนไม่น้อยยังเข้าใจว่า PDPA เป็นกฎหมายที่เข้มงวดจนกระทบการใช้ชีวิตประจำวัน เช่น การถ่ายภาพติดบุคคลอื่นในพื้นที่สาธารณะหรือการโพสต์ภาพลงสื่อสังคมออนไลน์ ทั้งที่หากเป็นการใช้ชีวิตตามปกติ ไม่ได้มีเจตนาแสวงหาประโยชน์ทางการค้า หรือก่อให้เกิดความเสียหายแก่ผู้อื่น ก็อาจอยู่ในขอบเขตที่สามารถดำเนินการได้ตามหลักกฎหมาย
ขณะที่ในฝั่งองค์กรและหน่วยงาน ยังพบความเข้าใจผิดว่า “การเก็บหรือใช้ข้อมูลส่วนบุคคลทุกกรณีต้องขอ Consent” จนเกิดภาวะ Over-compliance และสร้างภาระแก่ประชาชน ทั้งที่ PDPA กำหนดฐานทางกฎหมายสำหรับการประมวลผลข้อมูลไว้หลายรูปแบบ เช่น ฐานสัญญา ฐานการปฏิบัติตามกฎหมาย หรือฐานประโยชน์อันชอบธรรม ดังนั้น หากเป็นการใช้ข้อมูลที่จำเป็นต่อการให้บริการหรือการปฏิบัติตามสัญญาอยู่แล้ว องค์กรไม่จำเป็นต้องขอ Consent ซ้ำซ้อนให้เป็นภาระแก่ประชาชน
“PDPA ไม่ได้หมายความว่าทุกเรื่องต้องขอความยินยอม และไม่ได้หมายความว่าประชาชนจะใช้ชีวิตตามปกติไม่ได้ สิ่งสำคัญคือ ต้องดูว่าการเก็บ ใช้ หรือเปิดเผยข้อมูลนั้นมีฐานทางกฎหมายรองรับหรือไม่ และดำเนินการอยู่ในขอบเขตที่เหมาะสมหรือไม่” น.ส.วีรินทร์ กล่าว
สำหรับ มาตรา 4 ซึ่งเป็นอีกหนึ่งประเด็นที่ประชาชนสอบถามเข้ามาจำนวนมาก นางสาววีรินทร์ อธิบายว่า กฎหมายกำหนดข้อยกเว้นสำหรับการดำเนินการเพื่อประโยชน์ส่วนตนหรือกิจกรรมในครอบครัว เพื่อให้ประชาชนสามารถดำเนินชีวิตประจำวันได้ตามปกติ เช่น การบันทึกภาพครอบครัว หรือการติดตั้งกล้องวงจรปิดเพื่อดูแลความปลอดภัยภายในรั้วบ้านของตนเอง
อย่างไรก็ตาม “จุดตัดสำคัญ” อยู่ที่ขอบเขตการใช้งาน หากกล้องถูกหันไปบันทึกพื้นที่ส่วนตัวภายในบ้านของผู้อื่น หรือมีการนำภาพของบุคคลอื่นไปเผยแพร่ประจานในสื่อสังคมออนไลน์ กรณีดังกล่าวอาจพ้นจากขอบเขตของการใช้เพื่อประโยชน์ส่วนตนและเข้าสู่ประเด็นการละเมิดสิทธิได้
“ประเด็นเหล่านี้เป็นเหตุผลที่ สคส. ต้องการทำงานร่วมกับสื่อมวลชนอย่างใกล้ชิด เพราะการตีความ PDPA แบบสั้นหรือสุดโต่ง เช่น “ถ่ายรูปติดคนอื่นก็ผิด” “ทุกอย่างต้อง Consent” หรือ “อ้าง PDPA แล้วเปิดเผยข้อมูลไม่ได้ทุกกรณี” อาจทำให้สังคมเข้าใจกฎหมายคลาดเคลื่อน สื่อจึงมีบทบาทสำคัญในการช่วยแยกแยะข้อเท็จจริง อธิบายบริบท และทำให้ประชาชนเข้าใจว่า PDPA มีเป้าหมายเพื่อสร้างสมดุลระหว่างการใช้ข้อมูลกับการคุ้มครองสิทธิ ไม่ใช่เพื่อสร้างภาระหรือปิดกั้นการดำเนินชีวิตตามปกติ” น.ส.วีรินทร์ กล่าวสรุป