บทความโดย นายก้องทภพ แก้วศรี
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 (Personal Data Protection Act: PDPA) กำหนดความรับผิดและโทษแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล หรือบุคคลและนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลจากผู้ควบคุมข้อมูลส่วนบุคคลไว้ ดังนี้
ความรับผิดทางแพ่ง
ผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งดำเนินการใดๆ เกี่ยวกับข้อมูลส่วนบุคคลอันเป็นการฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ทำให้เกิดความเสียหายต่อเจ้าของข้อมูลส่วนบุคคล ต้องชดใช้ค่าสินไหมทดแทนเพื่อการนั้นแก่เจ้าของข้อมูลส่วนบุคคล ไม่ว่าการดำเนินการนั้นจะเกิดจากการกระทำโดยจงใจหรือประมาทเลินเล่อหรือไม่ก็ตาม
เว้นแต่ ความเสียหายนั้นเกิดจากเหตุสุดวิสัย หรือเกิดจากการกระทำหรือละเว้นการกระทำของเจ้าของข้อมูลส่วนบุคคลนั้นเอง หรือ เป็นการปฏิบัติตามคำสั่งของเจ้าหน้าที่ซึ่งปฏิบัติตามหน้าที่และอำนาจตามกฎหมาย
สิทธิเรียกร้องค่าเสียหายอันเกิดจากการละเมิดข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้อันเป็นขาดอายุความ เมื่อพ้น 3 ปีนับแต่วันที่ผู้เสียหายรู้ถึงความเสียหายและรู้ตัวผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่ต้องรับผิด หรือเมื่อพ้น 10 ปีนับแต่วันที่มีการกระเมิดข้อมูลส่วนบุคคล
การละเมิดข้อมูลส่วนบุคคล หมายความว่า การละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ทำให้เกิดความสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา จงใจ ความประมาทเลินเล่อ การกระทำดดยปราศจากอำนาจหรือโดยมิชอบ การกระทำเกี่ยวกับความผิดคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด
โทษทางอาญา
ผู้ควบคุมข้อมูลส่วนบุคคล ฝ่าฝืนใช้หรือเปิดเผยข้อมุลส่วนบุคคลโดยไม่่ได้รับความยินยอม หรือบุคคลหรือนิติบุคคล ที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคล ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อืนนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคล โดยประการที่น่าจะทำให้ผู้อื่น เกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความเสียหาย ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ
หรือผู้ควบคุมข้อมูลส่วนบุคคล ไม่ปฏิบัติตามมาตรา 28 อันเกี่ยวกับข้อมูลที่มีความอ่อนไหวตามมาตรา 26 โดยการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ที่ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคล ไม่มีมาตรฐานการคุ้มครองข้อมูลสวนบุคคลที่เพียงพอตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด ไม่ใช่เป็นการปฏิบัติตามกฎหมาย หรือไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลฯ โดยประการที่น่าจะทำให้ผู้อื่น เกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความเสียหาย ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ
โทษทางปกครอง
คณะกรรมการผู้เชี่ยวชาญ ตามพระราชบัญญัตินี้ มีอำนาจปรับทางปกครอง กับผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลบุคคลข้อมูลส่วนบุคคล บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากผู้ควบคุมข้อมูลส่วนบุคคล ตัวแทนผู้ควบคุมข้อมูลส่วนบุคคล หรือตัวแทนผู้ประมวลผลข้อมูลส่วนบุคคล ระวางโทษปรับไม่เกิน ห้าแสนบาท สูงสุดไม่เกิน ห้าล้านบาท
กรณีผู้ถูกลงโทษปรับทางปกครองไม่ยอมชำระค่าปรับทางปกครอง ให้นำบทบัญญัติเกี่ยวกับการบังคับทางปกครองตามกฎหมายว่าด้วยวิธีปฏิบัติราชการทางปกครองมาใช้บังคับโดยอนุโลม กรณีไม่สามารถบังคับทางปกรองได้ คณะกรรมการผู้เชี่ยวชาญ ฟ้องคดีต่อศาลปกครองเพื่อบังคับชำระค่าปรับได้ เช่น
1.ระหว่างโทษปรับทางปกครองไม่เกินหนึ่งล้านบาท เมื่อ
(1) ไม่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมุลถึงวัตถุประสงค์ของการเก็บรวบรวมข้อมูล ไปใช้หรือเปิดเผย(มาตรา23) รวมถึงอำนาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมุูลส่วนบุคคล ตามมาตรา 24
(2) เจ้าของข้อมูลส่วนบุคคลขอเข้าถึงและข้อรับสำเนาข้อมูลส่วนบุคคล หรือขอให้เปิดเผยการได้มาซึ่งข้อมูลส่วนบุคคล แล้วผู้ควบคุมไม่อาจปฏิเสธคำขอได้ ไม่ดำเนินการตามคำมีระยะเวลาเกินกว่า 30 วันนับแต่วันที่ได้รับคำขอ (มาตรา30วรรคสี่)
(3) ผู้ควบคุมข้อมูลส่วนบุคคล ไม่ได้บันทึกรายการ ตามมาตรา 39 วรรคหนึ่ง เพื่อการตรวจสอบของเจ้าของข้อมูลส่วนบุคคลและสำนักงาน
(4) ผู้ควบคุมข้อมูลส่วนบุคคล ไม่ได้จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
(5) ไม่สนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลสวนบุคคล หรือให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลออกจากราชการหรือเลิกสัญญาการจ้างด้วยเหตุปฏิบัติตามพระราชบัญญัตินี้ไม่ได้
(6) ไม่ขอความยินยอมตามแบบหรือข้อความตามที่คณะกรรมการกำหนด
(7) ไม่แจ้งผลกระทบจากการถอนความยินยอม
(8) ผู้ควบคุมข้อมูลส่วนบุคคล เก็บรวมรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบคคลโดยตรง โดยไม่แจ้งวัตถุประสงค์ใหม่ และไม่แจ้งรายละเอียดตามมาตรา 23 สำหรับการรวบรวมข้อมูลส่วนบุคคลที่ต้องได้รับความยินยอม
2. ระหว่างโทษปรับทางปกครองไม่เกินสามล้านบาท เมื่อมีการฝ่าฝืน ดังนี้
(1) การเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล ไม่เป็นไปตามวัตถุประสงค์ที่ได้แจ้ง
(2) เก็บรวบรวมข้อมูลส่วนบุคคล เกินกว่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย
(3) เก็บรวบรมข้อมูลส่วนบุคคล โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ซึ่งไม่เข้าเงื่อนไขตามมาตรา 24
(4) เก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น ไม่เป็นตามมาตรา 25วรรคหนึ่ง
(5) ใช้หรือเปิดเผยข้อมูลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
(6) บุคคลหรือนิติบุคคล ที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคล ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกจากที่ได้แจ้งแก่ผู้ควบคุม
(7) ผู้ควบคุมข้อมูลส่วนบุคคล ส่งข้อมูลส่วนบุคคลไป ประเทศปลายทางไม่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ
(8) เจ้าของข้อมูลส่วนบุคคลคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล แต่ยังเก็บรวบรวม ใช้ เปิดเผยข้อมูลส่วนบุคคลนั้นต่อไป ไม่ได้แยกส่วนจากข้อมูลอย่างอื่นอย่างชัดเจน
(9) ผู้ควบคุมข้อมูลส่วนบุคคล ไม่ปฏิบัติหน้าที่ของตนตามมาตรา 37
(10) ขอความยินยอมโดยการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์
ไม่มีความคิดเห็น:
แสดงความคิดเห็น