สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ PDPC จัดงาน “สคส. เคลียร์ใจสื่อ ตอบทุกข้อคำถามเรื่อง PDPA” เปิดพื้นที่พูดคุยกับสื่อมวลชนอย่างใกล้ชิด พร้อมเปิดสถิติเรื่องร้องเรียนและข้อปรึกษา 4,210 เรื่อง และสถิติการรับแจ้งเหตุละเมิดข้อมูลส่วนบุคคล 1,650 เรื่อง สะท้อนสถานการณ์การคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย ตลอดจนเคลียร์ประเด็นที่สังคมและสื่อยังเข้าใจคลาดเคลื่อน ทั้งข้อจำกัดและกระบวนการตรวจสอบของ สคส. ก่อนวินิจฉัยว่า “ผิดหรือไม่ผิด PDPA” ดราม่าบนหน้าสื่อจากการตีความกฎหมาย แนวทางนำเสนอข่าวเมื่อเกิดเหตุข้อมูลรั่วไหลโดยไม่ซ้ำเติมผู้เสียหาย รวมถึงบทบาทของสื่อมวลชนในการแนะนำประชาชนเมื่อถูกละเมิดข้อมูล เพื่อให้การสื่อสารเรื่อง PDPA ถูกต้อง เข้าใจง่าย และนำไปใช้ได้จริง
พ.ต.อ. สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กล่าวว่า ปัจจุบันสื่อมวลชนมีบทบาทสำคัญอย่างยิ่งในการทำให้ประชาชนเข้าใจสิทธิด้านข้อมูลส่วนบุคคล เนื่องจากหลายเหตุการณ์ที่เกี่ยวข้องกับ PDPA มักเริ่มต้นจากเรื่องใกล้ตัว ก่อนถูกนำเสนอและขยายผลผ่านสื่อมวลชน สื่อออนไลน์ และสังคมออนไลน์อย่างรวดเร็ว ความถูกต้องของข้อมูลตั้งแต่ต้นจึงมีผลโดยตรงต่อความเข้าใจของประชาชน
“สคส. มองว่าสื่อมวลชนไม่ใช่เพียงผู้รายงานข่าว แต่เป็นพันธมิตรสำคัญในการทำให้เรื่อง PDPA ซึ่งอาจดูเป็นกฎหมายที่ซับซ้อน กลายเป็นเรื่องที่ประชาชนเข้าใจง่าย รู้ว่าตัวเองมีสิทธิอะไร และองค์กรมีหน้าที่อย่างไร เราจึงต้องการเปิดพื้นที่ให้สื่อสามารถสอบถามได้อย่างตรงไปตรงมา โดยเฉพาะเรื่องที่ยังมีความเข้าใจคลาดเคลื่อนหรือกำลังเป็นประเด็นในสังคม”
นอกจากนี้ สคส. ยังได้สรุปผลการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลทั้งในมิติเชิงรุกและเชิงรับ พร้อมเปิดเผย สถิติเรื่องร้องเรียนและข้อปรึกษา 4,210 เรื่อง ซึ่งเป็นข้อมูลสำคัญที่สะท้อนการตื่นตัวของประชาชนต่อสิทธิในข้อมูลส่วนบุคคล
จากข้อมูลดังกล่าว พบว่าผู้ถูกร้องเรียนเป็น ภาคเอกชน 3,889 เรื่อง และภาครัฐ 321 เรื่อง โดย 3 ประเด็นที่มีการร้องเรียนสูง ได้แก่ มาตรา 27 การเปิดเผยข้อมูลโดยไม่ได้รับความยินยอม 1,025 เรื่อง, มาตรา 4 ประเด็นข้อยกเว้นเรื่องประโยชน์ส่วนตน 724 เรื่อง และมาตรา 24/26 เรื่องการเก็บรวบรวมข้อมูลส่วนบุคคล 586 เรื่อง
นอกเหนือจากสถิติเรื่องร้องเรียนและข้อปรึกษาแล้ว อีกข้อมูลสำคัญที่สะท้อนภาพความเสี่ยงด้านข้อมูลส่วนบุคคล คือ สถิติการรับแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ซึ่งตั้งแต่ปี พ.ศ. 2566 ถึงวันที่ 31 พฤษภาคม 2569 สคส. ได้รับแจ้งเหตุรวม 1,650 เรื่อง โดยจำแนกเป็น Non-cyber 849 เรื่อง คิดเป็น 51.45% Cyber 747 เรื่อง คิดเป็น 45.27% และสาเหตุอื่น ๆ 54 เรื่อง คิดเป็น 3.28% ทั้งนี้ ในกลุ่ม Cyber พบเหตุจาก Cyber Threat 567 เรื่อง และ Social Media 180 เรื่อง ขณะที่กลุ่ม Non-cyber ส่วนใหญ่เกี่ยวข้องกับ Human Error
ในด้านประเภทหน่วยงานที่มีการแจ้งเหตุสูงสุด พบว่า กลุ่มการเงิน การลงทุน และการประกัน 723 เรื่อง รองลงมา ได้แก่ หน่วยงานของรัฐและรัฐวิสาหกิจ 206 เรื่อง ธุรกิจการค้าปลีก-ส่งและการค้าออนไลน์ 204 เรื่อง กลุ่มพลังงาน สาธารณูปโภคและอุตสาหกรรมการผลิต 105 เรื่อง และด้านสาธารณสุข 87 เรื่อง ขณะที่สถานะการดำเนินการจากเหตุทั้งหมด 1,650 เรื่อง แบ่งเป็น อยู่ระหว่างดำเนินการ 569 เรื่อง เฝ้าระวังและติดตาม 1,071 เรื่อง เสนอคณะกรรมการผู้เชี่ยวชาญ 9 เรื่อง และส่งเรื่องให้ศูนย์ให้คำปรึกษาและรับเรื่องร้องเรียน 1 เรื่อง
“ตัวเลข 1,650 เหตุ ทำให้เราเห็นชัดว่าเรื่องข้อมูลรั่วไหลไม่ได้มีคำตอบเพียงว่า ‘ถูกแฮกหรือไม่’ เพราะมากกว่าครึ่งอยู่ในกลุ่ม Non-cyber และ Human Error การป้องกันจึงต้องมองทั้งระบบ ตั้งแต่เทคโนโลยี บุคลากร กระบวนการทำงาน ไปจนถึงวัฒนธรรมการคุ้มครองข้อมูลภายในองค์กร” พ.ต.อ. สุรพงศ์ เปล่งขำ กล่าว
ด้าน นางสาววีรินทร์ อรวัฒนพันธุ์ ผู้อำนวยการฝ่ายสื่อสารองค์กร สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) กล่าวว่า หนึ่งในประเด็นที่ สคส. ต้องการ “เคลียร์” ให้ประชาชนและสื่อมวลชนเข้าใจตรงกันมากที่สุด คือความเข้าใจที่คลาดเคลื่อนเกี่ยวกับ PDPA ซึ่งพบได้ทั้งในฝั่งประชาชนและฝั่งองค์กร โดยประชาชนจำนวนไม่น้อยยังเข้าใจว่า PDPA เป็นกฎหมายที่เข้มงวดจนกระทบการใช้ชีวิตประจำวัน เช่น การถ่ายภาพติดบุคคลอื่นในพื้นที่สาธารณะหรือการโพสต์ภาพลงสื่อสังคมออนไลน์ ทั้งที่หากเป็นการใช้ชีวิตตามปกติ ไม่ได้มีเจตนาแสวงหาประโยชน์ทางการค้า หรือก่อให้เกิดความเสียหายแก่ผู้อื่น ก็อาจอยู่ในขอบเขตที่สามารถดำเนินการได้ตามหลักกฎหมาย
ขณะที่ในฝั่งองค์กรและหน่วยงาน ยังพบความเข้าใจผิดว่า “การเก็บหรือใช้ข้อมูลส่วนบุคคลทุกกรณีต้องขอ Consent” จนเกิดภาวะ Over-compliance และสร้างภาระแก่ประชาชน ทั้งที่ PDPA กำหนดฐานทางกฎหมายสำหรับการประมวลผลข้อมูลไว้หลายรูปแบบ เช่น ฐานสัญญา ฐานการปฏิบัติตามกฎหมาย หรือฐานประโยชน์อันชอบธรรม ดังนั้น หากเป็นการใช้ข้อมูลที่จำเป็นต่อการให้บริการหรือการปฏิบัติตามสัญญาอยู่แล้ว องค์กรไม่จำเป็นต้องขอ Consent ซ้ำซ้อนให้เป็นภาระแก่ประชาชน
“PDPA ไม่ได้หมายความว่าทุกเรื่องต้องขอความยินยอม และไม่ได้หมายความว่าประชาชนจะใช้ชีวิตตามปกติไม่ได้ สิ่งสำคัญคือ ต้องดูว่าการเก็บ ใช้ หรือเปิดเผยข้อมูลนั้นมีฐานทางกฎหมายรองรับหรือไม่ และดำเนินการอยู่ในขอบเขตที่เหมาะสมหรือไม่” นางสาววีรินทร์ กล่าว
สำหรับ มาตรา 4 ซึ่งเป็นอีกหนึ่งประเด็นที่ประชาชนสอบถามเข้ามาจำนวนมาก นางสาววีรินทร์ อธิบายว่า กฎหมายกำหนดข้อยกเว้นสำหรับการดำเนินการเพื่อประโยชน์ส่วนตนหรือกิจกรรมในครอบครัว เพื่อให้ประชาชนสามารถดำเนินชีวิตประจำวันได้ตามปกติ เช่น การบันทึกภาพครอบครัว หรือการติดตั้งกล้องวงจรปิดเพื่อดูแลความปลอดภัยภายในรั้วบ้านของตนเอง อย่างไรก็ตาม “จุดตัดสำคัญ” อยู่ที่ขอบเขตการใช้งาน หากกล้องถูกหันไปบันทึกพื้นที่ส่วนตัวภายในบ้านของผู้อื่น หรือมีการนำภาพของบุคคลอื่นไปเผยแพร่ประจานในสื่อสังคมออนไลน์ กรณีดังกล่าวอาจพ้นจากขอบเขตของการใช้เพื่อประโยชน์ส่วนตนและเข้าสู่ประเด็นการละเมิดสิทธิได้
“ประเด็นเหล่านี้เป็นเหตุผลที่ สคส. ต้องการทำงานร่วมกับสื่อมวลชนอย่างใกล้ชิด เพราะการตีความ PDPA แบบสั้นหรือสุดโต่ง เช่น “ถ่ายรูปติดคนอื่นก็ผิด” “ทุกอย่างต้อง Consent” หรือ “อ้าง PDPA แล้วเปิดเผยข้อมูลไม่ได้ทุกกรณี” อาจทำให้สังคมเข้าใจกฎหมายคลาดเคลื่อน สื่อจึงมีบทบาทสำคัญในการช่วยแยกแยะข้อเท็จจริง อธิบายบริบท และทำให้ประชาชนเข้าใจว่า PDPA มีเป้าหมายเพื่อสร้างสมดุลระหว่างการใช้ข้อมูลกับการคุ้มครองสิทธิ ไม่ใช่เพื่อสร้างภาระหรือปิดกั้นการดำเนินชีวิตตามปกติ” นางสาววีรินทร์ กล่าวสรุปในตอนท้าย
