ประเด็นชวนสงสัย? ข้อมูลส่วนบุคคลที่เก็บรวบรวมไว้ก่อนกฎหมาย PDPA ประกาศใช้ ยังสามารถใช้ได้หรือไม่ ต้องขอ Consent เพิ่มหรือไม่? ควรใช้ข้อมูลเดิมอย่างไรให้ถูกกฎหมาย
ประเด็นที่เป็นข้อถกเถียงในแทบทุกธุรกิจที่ต้องปฏิบัติตามกฎหมาย PDPA คือประเด็นของการนำข้อมูลส่วนบุคคลที่มีการเก็บรวบรวมไว้ในฐานข้อมูลหรือ Data Base ก่อนที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลจะมีผลบังคับใช้ สามารถนำกลับมาใช้ประมวลผลตามเดิมได้หรือไม่?
คำตอบของคำถามนี้ ปรากฎอยู่ในมาตรา 95 ในพ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ซึ่งมีรายละเอียดดังนี้
ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล มาตรา 95 กำหนดให้ข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลได้เก็บรวบรวมไว้ก่อนวันที่ พระราชบัญญัตินี้ใช้บังคับ ให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิม ทั้งนี้ผู้ควบคุมข้อมูลส่วนบุคคลต้องกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่ประชาสัมพันธ์ให้เจ้าของข้อมูลส่วนบุคคลที่ไม่ประสงค์ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลดังกล่าว สามารถแจ้งยกเลิกความยินยอมได้โดยง่าย
ดังนั้น องค์กรที่อยู่ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล ยังสามารถประมวลข้อมูลส่วนบุคคลได้ตามวัตถุประสงค์เดิมที่เคยแจ้งต่อลูกค้าหรือตามความคาดหมายเดิมของลูกค้า แต่จะต้องแจ้งวิธีการยกเลิกความยินยอมให้ลูกค้าทราบ เพื่อให้ลูกค้าสามารถปฏิเสธความยินยอมได้
กรณีตัวอย่าง ธนาคารเคยส่งข้อมูลทางการตลาดให้กับลูกค้า ที่เคยใช้ Consent ไว้กับธนาคารก่อนที่กฎหมาย PDPA บังคับใช้ ปัจจุบันกฎหมายได้บังคับใช้แล้ว ทว่าธนาคารยังสามารถส่งข้อมูลทางการตลาดให้กับลูกค้าได้เช่นเดิม โดยอยู่ในขอบเขตวัตถุประสงค์เดิม แต่จะต้องแจ้งวิธีการยกเลิกความยินยอมให้ลูกค้าทราบอย่างชัดเจน ผ่านช่องทางการสื่อสารต่างๆ ของธนาคาร เพื่อให้ลูกค้าสามารถปฏิเสธความยินยอมได้ และหากลูกค้าต้องการถอนความยินยอม ธนาคารต้องดำเนินการตามคำขอ และไม่นำข้อมูลส่วนบุคคลที่ถอนความยินยอมไปแล้ว มาประมวลผลซ้ำอีก
สรุปอย่างง่าย
ข้อมูลเก่าที่เคยให้ Consent ในวัตถุประสงค์หนึ่ง สามารถใช้ต่อได้ ไม่ต้องขอ Consent ใหม่ องค์กรสามารถใช้ในขอบเขตวัตถุประสงค์เดิม และต้องแจ้ง ประชาสัมพันธ์วิธีการยกเลิกความยินยอมให้ลูกค้าทราบอย่างชัดเจน ผ่านช่องทางการสื่อสารขององค์กร
แหล่งอ้างอิง: กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม. (2562). พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ 2562. สืบค้นเมื่อ 3 มีนาคม 2566 จาก https://www.mdes.go.th/law/detail/3541-พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล-พ-ศ–๒๕๖๒