ประเภทและลักษณะในการขอความยินยอม

7 กันยายน 2565 สำนักงานคุ้มครองข้อมูลส่วนบุคคล (สคส.) ประกาศแนวทางการดำเนินการเพื่อสนับสนุนการปฏิบัติตามข้อกำหนดของกฎหมาย PDPA พร้อมกัน 2 ฉบับ ซึ่งมีความเกี่ยวข้องกับ Data Controller ที่เก็บรวบรวมข้อมูลส่วนบุคคล สรุปสาระสำคัญของแนวทางฯ แต่ละฉบับได้ดังนี้

ประเภทและลักษณะในการขอความยินยอม

กรณีที่มีกฎหมายเฉพาะหรือมีหน่วยงานควบคุมหรือกำกับดูแลกำหนดแบบหรือข้อความในการขอความยินยอมไว้เป็นการเฉพาะ

ในกรณีที่มี หน่วยงานควบคุมและกำกับดูแลสภาวิชาชีพ สมาคมและ กลุ่มอุตสาหกรรม หรือหน่วยงานที่มีกฎหมายเฉพาะกำหนดเรื่องการขอความยินยอมไว้แล้ว และไม่ขัดแย้งกับ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล สามารถกำหนดให้ ผู้ควบคุมข้อมูลส่วนบุคคลที่อยู่ใต้อำนาจการดูแล ใช้แบบหรือข้อความในการขอความยินยอมตามที่สภาวิชาชีพ สมาคมและ กลุ่มอุตสาหกรรม หรือหน่วยงานกำหนดไว้ได้

กรณีที่ไม่มีกฎหมายเฉพาะหรือมีหน่วยงานควบคุมหรือกำกับดูแลกำหนดแบบหรือข้อความในการขอความยินยอมไว้เป็นการเฉพาะ

ในกรณีที่ไม่มีการกำหนดแบบหรือข้อความในการขอความยินยอมที่มีสภาพบังคับตามกฏหมายอื่นหรือโดยหน่วยงานควบคุมหรือกำกับดูแลกำหนดไว้เป็นการเฉพาะ ผู้ควบคุมข้อมูลส่วนบุคคลอาจใช้แบบหรือข้อความที่มีการจัดทำขึ้นเป็นมาตรฐานในเรื่องใดหรือลักษณะใดได้ (Voluntory Standard Form) หรืออาจจะทำแบบและข้อความการขอความยินยอมขึ้นมาเองได้ โดยควรดำเนินการตามแนวทางที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด ดังนี้

‌หลักเกณฑ์ การขอความยินยอมสมบูรณ์ ตามมาตรา 19

• ‌เวลาที่ขอ ต้องมีการขอความยินยอมก่อนหรือขณะทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลต้องแจ้ง

• วัตถุประสงค์และรายละเอียดของการขอความยินยอม ให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนจะให้ความยินยอมต้องระบุวัตถุประสงค์ในการให้ความยินยอมอย่าง

• เฉพาะเจาะจงต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน เข้าใจได้ง่าย ใช้ภาษาที่อ่านง่าย และไม่เป็นการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิการขอค

• การขอความยินยอมจะชอบด้วยกฎหมาย ก็ต่อเมื่อเจ้าของข้อมูลส่วนบุคคลให้ความยินยอมโดยสมัครใจและอิสระ (freely given) จากเจ้าของข้อมูลส่วนบุคคล โดยปราศจากกลฉ้อฉล หลอกลวง ข่มขู่ หรือสำคัญผิด

• ‌ต้องไม่เป็นส่วนหนึ่งของข้อตกลง นิติกรรมสัญญา หรือเงื่อนไขใน การซื้อสินค้า ให้บริการ หรือทำธุรกรรม โดยการขอความยินยอมนั้นต้องแยกส่วนออกจากข้อความอื่น เช่น ข้อสัญญา อย่างชัดเจน ไม่สามารถนำไปเป็นส่วนใดส่วนหนึ่งของสัญญาได้

• ‌ต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วน บุคคลอย่างเฉพาะเจาะจง (specific) ให้เจ้าของข้อมูลส่วนบุคคลทราบ และห้ามมิให้ระบุวัตถุประสงค์ในการ เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลหลายประเภทหรือหลายเรื่องหรือเป็นการทั่วไปมารวมอยู่ในการขอความยินยอมเพียงครั้งเดียว

‌ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงรายละเอียดดังต่อไปนี้

• ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล

• วัตถุประสงค์

• รายละเอียดประเภทของข้อมูลส่วนบุคคลที่จะมีการเก็บรวบรวม

• สิทธิของเจ้าของข้อมูลส่วนบุคคลในการถอนความยินยอม พร้อมรายละเอียดว่าจะกระทำได้โดยวิธีใด อย่างไร

‌การขอความยินยอม เจ้าของข้อมูลส่วนบุคคลแสดงเจตนาโดยชัดแจ้ง โดยต้องกระทำการหรือแสดงให้เห็นได้อย่างชัดเจนว่าได้ให้ความยินยอม

ดังนี้

• การยื่นหนังสือให้ความยินยอมที่เจ้าของข้อมูลส่วนบุคคลจัดทำขึ้นเอง

• การลงนามให้ความยินยอม ในแบบฟอร์มให้ความยินยอมที่ผู้ควบคุมข้อมูลส่วนบุคคลจัดทำขึ้น

• การคลิกใน checkbox เพื่อระบุว่า “ยินยอม” โดยเจ้าของข้อมูลส่วนบุคคลเอง

• การกดปุ่มบนโทรศัพท์มือถือ 2 ครั้งติดกัน เพื่อแสดงเจตนายืนยัน

• การสไลด์หน้าจอ (swipe) เพื่อแสดงถึงเจตนาการให้ความยินยอม

‌การถอนความยินยอม

ต้องใช้วิธีเดียวกันหรือมีความง่ายระดับเดียวกับขั้นตอนการขอความยินยอมผู้ควบคุมข้อมูลส่วนบุคคลต้อง

ผู้ควบคุมข้อมูลส่วนบุคคลต้องแสดงรายละเอียดวิธีการ เงื่อนไข หรือแบบฟอร์มในการถอนความยินยอมให้เด่นชัด (prominent)

ในบริเวณที่เห็นได้ชัดเจนในการขอความยินยอมไม่ว่าในรูปแบบหนังสือหรืออิเล็กทรอนิกส์

‌การขอ Consent กรณีที่เจ้าของข้อมูลเป็นผู้เยาว์ และมีอายุมากกว่า 10 ปี แต่ยังไม่บรรลุนิติภาวะ

• ‌ต้องทำโดยชัดแจ้ง และต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจทำการแทนผู้เยาว์เว้นแต่ มีข้อยกเว้นตามประมวลกฎหมายแพ่งและพาณิชย์

• ต้องใช้ภาษา หรือวิธีการที่ผู้เยาว์เข้าใจได้โดยง่าย

• ต้องมีมาตรการตรวจสอบอายุของผู้เยาว์ที่เหมาะสม ตามระดับความเสี่ยง ยกตัวอย่างเช่น ใช้เลขประจำตัวประชาชน

‌การขอ Consent กรณีที่เจ้าของข้อมูลเป็นผู้เยาว์ และมีอายุไม่เกิน 10 ปี

• ต้องขอความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจทำการแทนผู้เยาว์เท่านั้น จะขอความยินยอมจากผู้เยาว์ไม่ได้

• ‌มาตรการในการตรวจสอบอายุของผู้เยาว์ ให้พิจารณาใช้วิธีการยืนยันตัวตนที่เหมาะสมตามระดับความเสี่ยง โดยต้องคำนึงถึงผลกระทบต่อผู้เยาว์เป็นสำคัญ

• ‌การถอนความยินยอมของผู้เยาว์ สามารถนำหลักเกณฑ์การถอนความยินยอมของบุคคลทั่วไปมาปรับใช้

• ‌กรณีเจ้าของข้อมูลส่วนบุคคลเป็นคนไร้ความสามารถ หรือเสมือนไร้ความสามารถ ให้ขอความยินยอมจากผู้อนุบาล หรือผู้พิทักษ์ที่มีอำนาจทำการแทนบุคคลดังกล่าว แล้วแต่กรณี

‌ประเภทและลักษณะในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล

‌กรณีที่มี‌กฎหมายเฉพาะหรือหน่วยงานควบคุมและกำกับดูแล กำหนดหลักเกณฑ์ วิธีการ หรือแนวทางการดำเนินการเป็นการเฉพาะ ที่ไม่ขัดแย้งกับ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล .ให้ผู้ควบคุมข้อมูลส่วนบุคคลปฏิบัติตามหลักเกณฑ์ วิธีการ หรือแนวทางดำเนินการดังกล่าว ซึ่งควรมีมาตรฐานไม่ต่ำกว่าแนวทางการดำเนินการฉบับนี้

‌กรณีที่ไม่มี‌กฎหมายเฉพาะหรือหน่วยงานควบคุมหรือหน่วยงานควบคุมกำกับดูแล รวมทั้งกำหนดหลักเกณฑ์ วิธีการ หรือแนวทางการดำเนินการเป็นการเฉพาะ ในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามแนวทางดำเนินการฉบับนี้เพื่อให้เป็นมาตรฐานที่สอดคล้องกัน

‌หลักการในการแจ้งวัตถุประสงค์และรายละเอียดแก่เจ้าของข้อมูลส่วนบุคคล

• ผู้ควบคุม‌ข้อมูลส่วนบุคคลจะต้องแจ้งวัตถุประสงค์ภายใต้หลักการดังต่อไปนี้

• ‌ความเป็นธรรม (Fairness)

• ‌การจำกัดวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล (Purpose Limitation)

• ‌ความยินยอม (Consent)

• ‌การอ้างประโยชน์โดยชอบด้วยกฎหมาย(Legitimate Interest)

‌ประเภทของการเก็บรวบรวมข้อมูลส่วนบุคคล

การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อการนำข้อมูลส่วนบุคคลไปใช้ หรือเปิดเผย สามารถทำได้ 2 วิธี คือ

‌การเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรง ‌ต้องแจ้งรายละเอียดเหล่านี้

• ‌วัตถุประสงค์การเก็บรวบรวม

• แจ้งให้ทราบถึงความจำเป็นทางกฎหมาย

• ข้อมูลส่วนบุคคลที่มีการจัดเก็บ

• ระยะเวลาในการเก็บรวบรวม

• ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลที่เก็บรวบรวมอาจจะถูกเปิดเผย

• รายละเอียดช่องทางการติดต่อ

• สิทธิต่างๆ ตามกฎหมายของเจ้าของข้อมูลส่วนบุคคล

การเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น (other sources) ที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง ไม่สามารถทำได้ ‌เว้นแต่

• ‌ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งถึงการเก็บรวบรวมจากแหล่งอื่นให้แก่เจ้าของข้อมูลส่วนบุคคลทราบโดยไม่ชักช้าแต่ต้องไม่เกิน 30 วันนับแต่วันที่ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมและได้รับความยินยอม

• การเก็บรวบรวมข้อมูลส่วนบุคคลได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24 หรือ 26

‌ข้อยกเว้นของการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง

‌อาจไม่ต้องดำเนินการแจ้งวัตถุประสงค์ใหม่ ที่จะเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ และแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมเมื่อทำการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล หากเกิดกรณีดังนี้

• ‌เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์ใหม่อยู่แล้ว

• ผู้ควบคุมข้อมูลส่วนบุคคลพิสูจน์ได้ว่าการแจ้งวัตถุประสงค์ใหม่หรือรายละเอียดดังกล่าว ไม่สามารถทำได้หรือจะเป็นอุปสรรคต่อการใช้หรือเปิดเผยข้อมูลส่วนบุคคล

• การใช้หรือการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวต้องกระทำโดยเร่งด่วน

• เมื่อผู้ควบคุมข้อมูลส่วนบุคคลเป็นได้ข้อมูลส่วนบุคคลจากหน้าที่หรือจากการประกอบอาชีพหรือวิชาชีพและต้องรักษาวัตถุประสงค์ใหม่หรือรายละเอียดบางประการตามมาตรา 23 ไว้เป็นความลับตามที่กฎหมายกำหนด

‌การแจ้งวัตถุประสงค์และรายละเอียดของการเก็บรวบรวมข้อมูลส่วนบุคคลแก่เจ้าของข้อมูลส่วนบุคคลต้องกระทำโดยชัดแจ้ง

‌โดยอาจทำได้หลายวิธี เช่น การแจ้งเป็นหนังสือ การแจ้งทาง วาจาการแจ้งทางข้อความในรูปแบบ SMS, อีเมล, MMS หรือทางโทรศัพท์หรือโดยวิธีการทาง อิเล็กทรอนิกส์อื่นใด เช่นการระบุรายละเอียดใน URL หรือ QR code เป็นต้น

‌หน่วยงานควบคุมและกำกับดูแลสภาวิชาชีพ หรือสมาคมและกลุ่มอุตสาหกรรม อาจกำหนดรูปแบบวิธีการ แนวทาง หรือตัวอย่างการแจ้ง วัตถุประสงค์และรายละเอียดที่เหมาะสมเพื่อให้มีการปฏิบัติที่เป็นไปในทิศทางเดียวกันได้

โดยประสานงาน กับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อให้ความเห็นหรือให้คำปรึกษาได้

ทำความเข้าใจ แนวทางการดำเนินการฯ ทั้ง 2 ฉบับ ได้ที่

แนวทางการดำเนินการในการยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 https://www.mdes.go.th/uploads/tinymce/source/สคส/แนวทางการดำเนินการในการขอความยินยอมฯ.pdf

แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล https://www.mdes.go.th/uploads/tinymce/source/สคส/แนวทางการดำเนินการในการแจ้งวัตถุประสงค์ฯ.pdf

แหล่งอ้างอิง: กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม. (2562). แนวทางการดำเนินการในการยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562. สืบค้นเมื่อ 13 กันยายน 2565 จาก https://www.mdes.go.th/uploads/tinymce/source/สคส/แนวทางการดำเนินการในการขอความยินยอมฯ.pdf

แหล่งอ้างอิง: กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม. (2562). แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล. สืบค้นเมื่อ 13 กันยายน 2565 จาก https://www.mdes.go.th/uploads/tinymce/source/สคส/แนวทางการดำเนินการในการแจ้งวัตถุประสงค์ฯ.pdf