พีดีพีเอคือกฎหมายคุ้มครองข้อมูลส่วนบุคคล

พีดีพีเอ หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่กำหนดว่าองค์กร บริษัท ร้านค้า หน่วยงาน และเว็บไซต์จะเก็บ ใช้ เปิดเผย หรือส่งต่อข้อมูลที่ระบุตัวบุคคลได้อย่างไร จุดสำคัญจึงไม่ใช่เรื่องคุกกี้โดยตรง แต่เป็นเรื่องสิทธิของเจ้าของข้อมูลและหน้าที่ของฝ่ายที่นำข้อมูลไปใช้

• ข้อมูลส่วนบุคคลคืออะไร

ข้อมูลที่เชื่อมโยงกลับไปหาบุคคลได้ทั้งทางตรงและทางอ้อม เช่น ชื่อ นามสกุล เบอร์โทรศัพท์ อีเมล เลขประจำตัวประชาชน ที่อยู่ ภาพถ่าย เสียง ตำแหน่งที่ตั้ง ประวัติการสั่งซื้อ รวมถึงข้อมูลทางเทคนิคบางชนิด เช่น หมายเลขไอพีหรือรหัสอุปกรณ์ หากข้อมูลเหล่านั้นทำให้ระบุตัวบุคคลได้

กฎหมายจึงไม่ได้คุ้มครองเฉพาะข้อมูลที่กรอกลงแบบฟอร์ม การติดตามพฤติกรรมบนเว็บไซต์ก็อาจเข้าข่ายได้ หากเทคโนโลยีนั้นสร้างข้อมูลที่เชื่อมโยงกับบุคคลหรือบัญชีผู้ใช้

• แล้วคุกกี้เกี่ยวอะไรกับพีดีพีเอ

คุกกี้คือข้อมูลขนาดเล็กที่เว็บไซต์จัดเก็บผ่านเบราว์เซอร์เพื่อให้เว็บไซต์จำบางอย่างได้ เช่น สถานะการเข้าสู่ระบบ สินค้าในตะกร้า ภาษา การตั้งค่า การวัดสถิติ หรือพฤติกรรมการเข้าชม

คุกกี้บางประเภทจำเป็นต่อการทำงานของเว็บไซต์ เช่น คุกกี้สำหรับรักษาสถานะการเข้าสู่ระบบหรือจดจำตะกร้าสินค้า ส่วนคุกกี้วิเคราะห์พฤติกรรม โฆษณา หรือการติดตามข้ามเว็บไซต์อาจนำข้อมูลไปสร้างโปรไฟล์หรือเชื่อมโยงกับบุคคลได้ เว็บไซต์จึงต้องพิจารณาฐานกฎหมายที่เหมาะสมก่อนใช้ข้อมูลเหล่านั้น

นี่คือเหตุผลที่เห็นแถบหรือป๊อปอัปให้เลือกยอมรับ ปฏิเสธ หรือตั้งค่าคุกกี้ เว็บไซต์ใช้หน้าต่างนี้เพื่อแจ้งวัตถุประสงค์และขอความยินยอมในกรณีที่การประมวลผลนั้นอาศัยความยินยอมเป็นฐานกฎหมาย

• ไม่ใช่ทุกเว็บไซต์ต้องบังคับให้กดยอมรับ

พีดีพีเอไม่ได้บัญญัติว่าเว็บไซต์ทุกแห่งต้องมีปุ่มยอมรับคุกกี้ และไม่ได้หมายความว่าคุกกี้ทุกชนิดต้องขอความยินยอมเสมอไป การเก็บหรือใช้ข้อมูลอาจอาศัยฐานกฎหมายอื่นได้ เช่น ความจำเป็นในการทำสัญญา การปฏิบัติตามกฎหมาย ประโยชน์สาธารณะ หรือประโยชน์โดยชอบด้วยกฎหมายภายใต้เงื่อนไขที่เหมาะสม

ถ้าคุกกี้จำเป็นจริงต่อบริการที่เจ้าของข้อมูลร้องขอ เว็บไซต์อาจไม่ต้องอาศัยความยินยอมแบบเดียวกับคุกกี้โฆษณาหรือคุกกี้ติดตามพฤติกรรม แต่ยังต้องบริหารข้อมูลอย่างโปร่งใสและใช้เท่าที่จำเป็นตามวัตถุประสงค์

• การขอความยินยอมต้องมีความหมายจริง

กฎหมายกำหนดให้การขอความยินยอมชัดเจน เข้าใจง่าย แยกออกจากข้อความอื่น และแจ้งวัตถุประสงค์ว่าข้อมูลจะนำไปทำอะไร เจ้าของข้อมูลต้องตัดสินใจได้อย่างอิสระ เว็บไซต์ไม่ควรเอาคุกกี้ที่ไม่จำเป็นมาผูกเป็นเงื่อนไขบังคับในการใช้บริการ หากคุกกี้นั้นไม่เกี่ยวกับบริการหลัก

การออกแบบให้กดยอมรับได้ง่ายมาก แต่ทำให้การปฏิเสธหรือถอนความยินยอมยุ่งยาก อาจทำให้เกิดปัญหาเรื่องความสมัครใจและความสะดวกในการถอนความยินยอม เพราะกฎหมายกำหนดให้เจ้าของข้อมูลถอนความยินยอมได้โดยง่าย

• พีดีพีเอให้สิทธิอะไรกับเจ้าของข้อมูล

สิทธิไม่ได้หยุดอยู่ที่การกดคุกกี้ เจ้าของข้อมูลมีสิทธิขอเข้าถึงข้อมูลของตน ขอสำเนา ขอแก้ไขข้อมูลที่ไม่ถูกต้อง ขอให้ลบในกรณีที่กฎหมายรองรับ ขอจำกัดการใช้ คัดค้านการประมวลผลบางกรณี ขอรับหรือโอนข้อมูลในรูปแบบที่กฎหมายรองรับ และถอนความยินยอมเมื่อการประมวลผลอาศัยความยินยอม

อีกด้านหนึ่ง ผู้ควบคุมข้อมูลต้องบอกว่ากำลังเก็บข้อมูลอะไร เก็บเพื่ออะไร เก็บนานเท่าใด อาจเปิดเผยให้ใคร และเจ้าของข้อมูลติดต่อใช้สิทธิได้ทางใด หลักสำคัญคือเก็บเท่าที่จำเป็น ใช้ตามวัตถุประสงค์ และดูแลความปลอดภัยของข้อมูลให้เหมาะสม

• ตัวอย่างที่เห็นภาพง่าย

ร้านค้าออนไลน์ขอชื่อ ที่อยู่ และเบอร์โทรศัพท์เพื่อจัดส่งสินค้า ข้อมูลเหล่านี้สัมพันธ์โดยตรงกับการทำรายการซื้อขาย จึงไม่ใช่ทุกครั้งที่ต้องพึ่งปุ่มยินยอมแบบคุกกี้

แต่ถ้าร้านนำพฤติกรรมการดูสินค้าไปติดตามข้ามเว็บไซต์เพื่อแสดงโฆษณาเฉพาะบุคคล การประมวลผลแบบนี้มีวัตถุประสงค์ต่างออกไป ต้องมีฐานกฎหมายที่เหมาะสมและต้องแจ้งให้ชัด หากอาศัยความยินยอม เจ้าของข้อมูลต้องมีทางเลือกในการไม่ให้ความยินยอม

ดังนั้น ภาพจำที่ว่าพีดีพีเอคือกฎหมายกดรับคุกกี้จึงแคบเกินไป แก่นของกฎหมายคือการให้เจ้าของข้อมูลรู้ว่าใครกำลังถือข้อมูลอะไร ใช้เพื่ออะไร และเจ้าของข้อมูลมีสิทธิจัดการข้อมูลของตนได้อย่างไร ป๊อปอัปคุกกี้เป็นเพียงหนึ่งในเครื่องมือที่เว็บไซต์ใช้จัดการความยินยอมและสร้างความโปร่งใสตามหลักคุ้มครองข้อมูลส่วนบุคคล