PDPA ละเมิดข้อมูลส่วนบุคคลมีโทษอะไรบ้าง? สรุปความรับผิดทางแพ่ง อาญา และปกครอง

สำหรับนักเรียนกฎหมายและทนายความที่คุ้นชินกับประมวลกฎหมายแพ่งและพาณิชย์ หรือประมวลกฎหมายอาญา การก้าวเข้าสู่โลกของ PDPA อาจทำให้เกิดความสับสนในระยะแรก “ข้อมูล”ในข้อเท็จจริงของคดีเป็นสิทธิเสรีภาพขั้นพื้นฐานที่จับต้องไม่ได้ บทความนี้จึงออกแบบมาเพื่อเสริมการเรียนรู้สำหรับผู้ศึกษาเริ่มต้นให้พร้อมรับมือกับคดี PDPA อย่างเป็นระบบค่ะ

กฎหมายนี้คืออะไร และบทบัญญัติว่ายังไง?

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA คือ กฎหมายที่ตราขึ้นเพื่อวางกรอบการกำกับดูแล และให้สิทธิแก่บุคคลธรรมดาในการควบคุมข้อมูลส่วนตัวที่สามารถระบุตัวตนได้ ทั้งทางตรงและทางอ้อม (ไม่รวมข้อมูลผู้ถึงแก่กรรมและข้อมูลนิติบุคคล)

กฎหมายนี้มีหลักว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจะทำไม่ได้เลย เว้นแต่ผู้ประมวลผลจะสามารถอ้างสิทธิบนฐานกฎหมาย เช่น มาตรา 24 (ข้อมูลทั่วไป) หรือ มาตรา 26 (ข้อมูลอ่อนไหว) เช่น ฐานสัญญา ฐานความยินยอม หรือฐานผลประโยชน์โดยชอบด้วยกฎหมาย หากไม่เข้าฐานใดฐานหนึ่งเลย การกระทำนั้นจะเป็นการประมวลผลที่มิชอบด้วยกฎหมายทันที

ข้อมูลส่วนบุคคล มีอะไรบ้าง?

กฎหมาย PDPA แบ่ง ข้อมูลส่วนบุคคล ออกเป็น 2 ประเภท ตามระดับความเสี่ยงและการคุ้มครอง โดยมีรายละเอียดดังนี้ค่ะ

1. ข้อมูลส่วนบุคคลทั่วไป

คือ ข้อมูลเกี่ยวกับบุคคลที่ทำให้สามารถ ระบุตัวตนของบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม (แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรม)

• ข้อมูลระบุตัวตนทางกายภาพ: ชื่อ-นามสกุล, ชื่อเล่น, อายุ, เพศ, วันเกิด, สัญชาติ, รูปถ่าย, เสียง, ลายนิ้วมือ
• ข้อมูลการติดต่อและที่อยู่: ที่อยู่ตามทะเบียนบ้าน, ที่อยู่จัดส่งเอกสาร, อีเมล, เบอร์โทรศัพท์ส่วนตัว
• ข้อมูลเอกสารราชการ: เลขประจำตัวประชาชน, เลขหนังสือเดินทาง (Passport), เลขใบขับขี่, เลขประจำตัวผู้เสียภาษี
• ข้อมูลการทำงานและการศึกษา: ตำแหน่งงาน, ประวัติการทำงาน, เงินเดือน, วุฒิการศึกษา, เลขทะเบียนนักศึกษา
• ข้อมูลทางการเงิน: เลขบัญชีธนาคาร, ประวัติการทำธุรกรรม, ข้อมูลเครดิตบูโร, เลขบัตรเครดิต
• ข้อมูลทางออนไลน์ (ระบุตัวตนทางอ้อม): IP Address, Cookie ID, ประวัติการท่องเว็บ, ข้อมูลระบุพิกัด (Location Data), บัญชีโซเชียลมีเดีย (เช่น LINE ID, Facebook URL)

2. ข้อมูลส่วนบุคคลที่อ่อนไหว

คือ ข้อมูลส่วนบุคคลที่มีความเฉพาะเจาะจง และ มีความเสี่ยงสูงที่จะถูกนำไปใช้ในทางมิชอบ หรือเกิดการเลือกปฏิบัติอย่างไม่เป็นธรรม (เช่น ทำให้ถูกเกลียดชังหรืออับอาย)

กฎหมายให้การคุ้มครองข้อมูลกลุ่มนี้เข้มงวดมาก หากองค์กรจะเก็บรวบรวม ต้องได้รับ “ความยินยอมโดยชัดแจ้ง” เสมอ (เว้นแต่จะเข้าข้อยกเว้นเฉพาะตามกฎหมาย) และหากฝ่าฝืนโดยประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย จะมีโทษอาญา (คุก) ข้อมูลกลุ่มนี้ได้แก่:

• ข้อมูลสุขภาพและประวัติการรักษาพยาบาล
• ข้อมูลพันธุกรรม และข้อมูลชีวมิติ (Biometric) เช่น ภาพจำลองใบหน้า (Face Scan), ลายนิ้วมือเพื่อสแกนนิ้วเข้างาน (Fingerprint Scan), ม่านตา
• ประวัติอาชญากรรม (ต้องเป็นข้อมูลที่ได้รับการรับรองจากหน่วยงานของรัฐ)
• เชื้อชาติ และเผ่าพันธุ์
• ความคิดเห็นทางการเมือง
• ความเชื่อในลัทธิ ศาสนา หรือปรัชญา
• พฤติกรรมทางเพศ หรือรสนิยมทางเพศ
• ข้อมูลสหภาพแรงงาน

สิ่งที่ไม่ใช่ข้อมูลส่วนบุคคลตาม PDPA

• ข้อมูลเพื่อการค้า/ธุรกิจที่ไม่ระบุชื่อบุคคล: เช่น เลขทะเบียนนิติบุคคล, เบอร์โทรศัพท์และอีเมลกลางของบริษัท (info@company.com), ที่อยู่บริษัท
• ข้อมูลที่ถูกทำเป็นนิรนามแล้ว: ข้อมูลสถิติหรือข้อมูลที่ถูกลบส่วนระบุตัวตนออกไปอย่างถาวร จนไม่สามารถสืบกลับได้เลยว่าเป็นของใคร (เช่น สถิติผู้ป่วยโควิดรวมในจังหวัด โดยไม่มีชื่อหรือข้อมูลชี้เป้า)

วิธีขอและวิธีถอนความยินยอม

วิธีขอความยินยอมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

• การขอความยินยอมต้องทำโดยชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์
• ผู้ควบคุมข้อมูลส่วนบุคคล ต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไปด้วย
• การขอความยินยอมนั้นต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน
• กรณีที่ผู้เยาว์ ให้ขอความยินยอมจากผู้ใช้อำนาจปกครอง (ผู้ปกครอง)

วิธีถอนความยินยอมให้ใช้หรือเก็บข้อมูล

• เจ้าของข้อมูลจะถอนความยินยอมเมื่อใดก็ได้
• ไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้ให้ความยินยอมไปแล้ว

มาตรา ๑๙ ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้

การขอความยินยอมต้องทำโดยชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวได้

ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไปด้วย และการขอความยินยอมนั้นต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่าย และไม่เป็นการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว ทั้งนี้ คณะกรรมการจะให้ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามแบบและข้อความที่คณะกรรมการประกาศกำหนดก็ได้

ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ทั้งนี้ ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ

เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล ทั้งนี้ การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบตามที่กำหนดไว้ในหมวดนี้

ในกรณีที่การถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบจากการถอนความยินยอมนั้น

การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่ไม่เป็นไปตามที่กำหนดไว้ในหมวดนี้ ไม่มีผลผูกพันเจ้าของข้อมูลส่วนบุคคล และไม่ทำให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถทำการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา ๑๙

6 ข้อยกเว้น เก็บรวบรวมข้อมูลส่วนบุคคลได้โดยไม่ต้องขอความยินยอม

• งานวิจัย สถิติ ประวัติศาสตร์: ใช้เพื่อประโยชน์สาธารณะ หรือการศึกษา/วิจัย โดยต้องมีมาตรการคุ้มครองข้อมูลที่เหมาะสม
• ปกป้องชีวิตและร่างกาย: เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล (เช่น กรณีฉุกเฉินทางการแพทย์)
• ปฏิบัติตามสัญญา: จำเป็นต้องใช้เพื่อทำตามสัญญาที่เจ้าของข้อมูลเป็นคู่สัญญา หรือใช้จัดการตามคำขอก่อนเริ่มทำสัญญา
• ภารกิจรัฐหรือประโยชน์สาธารณะ: จำเป็นต้องทำเพื่อประโยชน์สาธารณะ หรือเป็นการใช้อำนาจรัฐตามหน้าที่
• ผลประโยชน์อันชอบธรรม (Legitimate Interest): เพื่อประโยชน์โดยชอบด้วยกฎหมายขององค์กรหรือบุคคลอื่น แต่ต้องไม่ละเมิดสิทธิขั้นพื้นฐานของเจ้าของข้อมูล
• กฎหมายบังคับ: เป็นการปฏิบัติตามกฎหมายอื่นที่ผู้ควบคุมข้อมูลต้องทำตาม

มาตรา ๒๔ ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่

(๑) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสม เพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ ตามที่คณะกรรมการประกาศกำหนด

(๒) เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล

(๓) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น

(๔) เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล

(๕) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล

(๖) เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา ๒๔

ใครคือ “ผู้ละเมิด” และ “ผู้ถูกละเมิด” ในทางคดี?

เวลาตั้งรูปคดีต้องจำแนก “สถานะทางกฎหมาย” ของคู่ความให้ชัดเจน เนื่องจากสิทธิและหน้าที่ในชั้นศาลจะต่างจากคดีแพ่งหรืออาญาทั่วไป แต่ในการบรรยายถึงองค์ประกอบความผิดก็บรรยายในเชิงละเมิดได้ค่ะ:

• ผู้ถูกละเมิด (โจทก์ / ผู้ร้องเรียน): คือ เจ้าของข้อมูลส่วนบุคคล ตามกฎหมาย ซึ่งจะต้องเป็น “บุคคลธรรมดา” เท่านั้น นิติบุคคลไม่ได้รับการคุ้มครองภายใต้กฎหมายฉบับนี้
  • มาตราที่กำหนดสถานะ: บัญญัติไว้ใน มาตรา 6 (ส่วนบทนิยามคำว่า “ข้อมูลส่วนบุคคล”) และได้รับการรับรองสิทธิในหมวด 3 (เช่น มาตรา 19, มาตรา 23 เป็นต้น)
  • มาตราที่ให้สิทธิฟ้อง/ร้องเรียน: มาตรา 73 (สิทธิยื่นคำร้องเรียนเมื่อมีการฝ่าฝืนกฎหมาย) และ มาตรา 77 (สิทธิได้รับค่าสินไหมทดแทนทางแพ่งจากการถูกละเมิด)

ผู้ละเมิด (จำเลย / ผู้ถูกร้องเรียน): แบ่งออกเป็น 2 ประเภทหลัก ซึ่งมีหน้าที่และความรับผิดต่างกัน:

• ผู้ควบคุมข้อมูลส่วนบุคคล: บุคคลหรือนิติบุคคลที่มี “อำนาจหน้าที่ตัดสินใจ” เกี่ยวกับการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (เช่น บริษัทนายจ้าง, ธนาคาร, โรงพยาบาล เป็นต้น) นี่คือตัวการหลักที่ต้องรับผิดชอบในทางแพ่งและปกครองเกือบทั้งหมด
  • มาตราที่กำหนดสถานะ: มาตรา 6 (บทนิยาม) และมีหน้าที่หลักที่ต้องปฏิบัติตาม มาตรา 37
• ผู้ประมวลผลข้อมูลส่วนบุคคล: บุคคลหรือนิติบุคคลที่ทำการประมวลผลข้อมูล “ตามคำสั่งหรือในนาม” ของผู้ควบคุมข้อมูล (เช่น บริษัทรับทำบัญชีเอาท์ซอร์ส, บริษัทส่งพัสดุที่มีการบันทึกข้อมูลของลูกค้า เป็นต้น) จะรับผิดเฉพาะกรณีที่ทำนอกเหนือคำสั่งหรือขัดต่อข้อตกลงเท่านั้น
  • มาตราที่กำหนดสถานะ: มาตรา 6 (บทนิยาม) และมีหน้าที่หลักที่ต้องปฏิบัติตาม มาตรา 40

มาตรา ๖ ในพระราชบัญญัตินี้

“ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล

“บุคคล” หมายความว่า บุคคลธรรมดา

“คณะกรรมการ” หมายความว่า คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

“พนักงานเจ้าหน้าที่” หมายความว่า ผู้ซึ่งรัฐมนตรีแต่งตั้งให้ปฏิบัติการตามพระราชบัญญัตินี้

“สำนักงาน” หมายความว่า สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

“เลขาธิการ” หมายความว่า เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

“รัฐมนตรี” หมายความว่า รัฐมนตรีผู้รักษาการตามพระราชบัญญัตินี้

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา ๖

“ลักษณะการกระทำความผิด” ตามกฎหมาย PDPA

จำแนกรูปแบบการกระทำความผิดออกเป็น 4 ลักษณะ ตามมาตรา 24, 26, 37 หรือ 39 ของ พ.ร.บ.ดังนี้ค่ะ

1. การประมวลผลข้อมูลโดยไม่มีกฎหมายให้อำนาจไว้

นี่คือลักษณะความผิดที่พบบ่อยที่สุด เกิดจากการที่องค์กรหรือบุคคลทำการประมวลผลข้อมูลโดยไม่มีกฎหมายรองรับ

• การเก็บข้อมูลเกินความจำเป็น: เก็บข้อมูลที่ไม่เกี่ยวข้องกับการให้บริการ เช่น แอปพลิเคชันคำนวณเครื่องคิดเลข แต่ขอเข้าถึงตำแหน่งที่อยู่ และรายชื่อผู้ติดต่อในโทรศัพท์มือถือ
• ลักลอบประมวลผลโดยไม่บอกกล่าว: การแอบเก็บข้อมูลพฤติกรรมการเล่นอินเทอร์เน็ตของลูกค้าเพื่อเอาไปทำโฆษณา โดยไม่มีการแจ้ง Privacy Notice (การประกาศความเป็นส่วนตัว หรือ ประกาศการคุ้มครองข้อมูลส่วนบุคคล) และไม่มีกฎหมายรองรับ
• การขโมยสิทธิถอนความยินยอม: เจ้าของข้อมูลขอถอนความยินยอมแล้ว แต่ผู้ควบคุมข้อมูลยังคงส่งอีเมลโฆษณาไปหา หรือปฏิเสธไม่ยอมลบข้อมูลออกจากระบบ

2. การเปลี่ยนวัตถุประสงค์โดยมิชอบ

กฎหมายบัญญัติไว้ชัดเจนว่า “เก็บมาเพื่ออะไร ต้องใช้เพื่อสิ่งนั้น” หากนำไปใช้ผิดวัตถุประสงค์โดยไม่แจ้งหรือไม่ได้มีกฎหมายรองรับจะถือเป็นความผิด

• การขายหรือส่งต่อข้อมูลให้เครือข่ายทางธุรกิจ: โรงพยาบาลเก็บข้อมูลคนไข้เพื่อการรักษาโรค แต่กลับเอาประวัติและเบอร์โทรศัพท์ของคนไข้ไปส่งต่อให้บริษัทประกันชีวิตโทรไปขายโปรแกรมประกัน
• การเปลี่ยนสถานะการใช้งานภายใน: ฝ่ายบุคคลของบริษัท เก็บประวัติและรูปถ่ายของสมัครงานไว้เพื่อคัดเลือกพนักงาน แต่กลับนำรูปถ่ายและประวัติส่วนตัวของผู้สมัครงานไปโพสต์แชร์ในกลุ่ม LINE ส่วนตัวเพื่อการนินทาหรือความบันเทิง

3. ความบกพร่องในการรักษาความปลอดภัยของข้อมูล

ลักษณะความผิดนี้ เกิดขึ้นแม้ผู้ควบคุมข้อมูลจะไม่มีเจตนา หรืออาจตกเป็นผู้เสียหายจากแฮกเกอร์เองด้วยซ้ำ แต่กฎหมายลงโทษเพราะ “ปล่อยปละละเลย” ไม่ทำหน้าที่ตามมาตรฐานการรักษาความปลอดภัย

• ระบบไอทีล้าสมัยจนข้อมูลรั่วไหล: องค์กรปล่อยให้ระบบฐานข้อมูลลูกค้าไม่มีการเข้ารหัสไม่มีระบบยืนยันตัวตนสองชั้น จนถูกแฮกเกอร์ดูดข้อมูลไปเรียกค่าไถ่
• ความหละหลวมของบุคลากร: พนักงานธนาคารปริ้นท์สเตทเมนต์ของลูกค้าทิ้งไว้บนโต๊ะทำงานโดยไม่เก็บเข้าตู้เอกสาร หรือส่งอีเมลรายชื่อลูกค้าพร้อมสำเนาบัตรประชาชนผิดไปให้บุคคลภายนอก
• ปกปิดความผิด: เมื่อเกิดเหตุข้อมูลรั่วไหลแล้ว ไม่ยอมแจ้งเหตุ ให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ทราบภายใน 72 ชั่วโมงตามที่กฎหมายบังคับ

4. การลักลอบแสวงประโยชน์จาก “ข้อมูลอ่อนไหว”

ข้อมูลอ่อนไหวตามมาตรา 26 (เช่น ข้อมูลสุขภาพ, ความคิดเห็นทางการเมือง, ศาสนา, ประวัติอาชญากรรม, ข้อมูลพันธุกรรม) กฎหมายให้การคุ้มครองสูงเป็นพิเศษ ลักษณะการกระทำผิดในส่วนนี้มักพ่วง โทษทางอาญา เข้าไปด้วย

• การกักตุนและคัดกรองบุคคลอย่างไม่เป็นธรรม: บริษัทจัดหางานแอบเก็บข้อมูล “พฤติกรรมทางเพศ” หรือ “ความเห็นทางการเมือง” จากโซเชียลมีเดียของผู้สมัครงาน เพื่อใช้เป็นเกณฑ์ลับในการปฏิเสธไม่รับเข้าทำงาน
• การประจานหรือแบล็กเมล์: การนำประวัติการรักษาพยาบาล (เช่น ผลตรวจเชื้อ HIV) หรือข้อมูลประวัติอาชญากรรมในอดีตของบุคคลหนึ่งไปเปิดเผยในที่ทำงาน เพื่อกลั่นแกล้งให้เขาได้รับความเสียหาย เสียชื่อเสียง หรือถูกดูหมิ่นเกลียดชัง (เข้าข่ายความผิดอาญา มาตรา 79)

โครงสร้างความรับผิดและบทลงโทษตาม PDPA

โจทก์หรือเจ้าของข้อมูลสามารถฟ้องให้ผู้ละเมิดรับผิดทั้งทางแพ่ง หรือทางอาญา หรือทางปกครองได้ โดยมีรายละเอียดแยกตามฐานความผิดและมาตราสำคัญจำเป็นต้องใช้ในการดำเนินคดีดังนี้

ความรับผิดทางแพ่ง (เน้นการเยียวยาเจ้าของข้อมูล)

หลักสำคัญในการฟ้องเพื่อรับผิดทางแพ่ง ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) คือ มาตรา 77 และมาตรา 78 ซึ่งกำหนดหลักเกณฑ์พิเศษแตกต่างจากคดีละเมิดทั่วไปตามประมวลกฎหมายแพ่งและพาณิชย์ (ป.พ.พ. มาตรา 420)

• หลักความรับผิด (มาตรา 77): ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่ฝ่าฝืน PDPA จนทำให้เกิดความเสียหายแก่เจ้าของข้อมูล ต้องชดใช้ค่าสินไหมทดแทน ไม่ว่าจะเกิดจากความ “จงใจ” หรือ “ประมาทเลินเล่อ” ก็ตาม (เว้นแต่จะพิสูจน์ได้ว่าเกิดจากเหตุสุดวิสัย หรือเกิดจากการกระทำของเจ้าของข้อมูลเอง)

มาตรา ๗๗ ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งดำเนินการใด ๆ เกี่ยวกับข้อมูลส่วนบุคคลอันเป็นการฝ่าฝืนหรือไม่ปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัตินี้ทำให้เกิดความเสียหายต่อเจ้าของข้อมูลส่วนบุคคล ต้องชดใช้ค่าสินไหมทดแทนเพื่อการนั้นแก่เจ้าของข้อมูลส่วนบุคคล ไม่ว่าการดำเนินการนั้นจะเกิดจากการกระทำโดยจงใจหรือประมาทเลินเล่อหรือไม่ก็ตาม เว้นแต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนั้นจะพิสูจน์ได้ว่า

(๑) ความเสียหายนั้นเกิดจากเหตุสุดวิสัย หรือเกิดจากการกระทำหรือละเว้นการกระทำของเจ้าของข้อมูลส่วนบุคคลนั้นเอง

(๒) เป็นการปฏิบัติตามคำสั่งของเจ้าหน้าที่ซึ่งปฏิบัติการตามหน้าที่และอำนาจตามกฎหมาย

ค่าสินไหมทดแทนตามวรรคหนึ่ง ให้หมายความรวมถึงค่าใช้จ่ายทั้งหมดที่เจ้าของข้อมูลส่วนบุคคลได้ใช้จ่ายไปตามความจำเป็นในการป้องกันความเสียหายที่กำลังจะเกิดขึ้นหรือระงับความเสียหายที่เกิดขึ้นแล้วด้วย

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา ๗๗

• ค่าเสียหาย (มาตรา 78): นอกจากค่าเสียหายจริงแล้ว ศาลมีอำนาจสั่งให้จ่าย ค่าสินไหมทดแทนเพื่อการลงโทษ (Punitive Damages) เพิ่มเติมได้อีก ไม่เกิน 2 เท่าของความเสียหายจริง หากเห็นว่าพฤติการณ์จงใจหรือประมาทเลินเล่ออย่างร้ายแรง

มาตรา ๗๘ ให้ศาลมีอำนาจสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลจ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มขึ้นจากจำนวนค่าสินไหมทดแทนที่แท้จริงที่ศาลกำหนดได้ตามที่ศาลเห็นสมควร แต่ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริงนั้น ทั้งนี้ โดยคำนึงถึงพฤติการณ์ต่าง ๆ เช่น ความร้ายแรงของความเสียหายที่เจ้าของข้อมูลส่วนบุคคลได้รับ ผลประโยชน์ที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลได้รับ สถานะทางการเงินของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล การที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลได้บรรเทาความเสียหายที่เกิดขึ้น หรือการที่เจ้าของข้อมูลส่วนบุคคลมีส่วนในการก่อให้เกิดความเสียหายด้วย

สิทธิเรียกร้องค่าเสียหายอันเกิดจากการละเมิดข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้เป็นอันขาดอายุความเมื่อพ้นสามปีนับแต่วันที่ผู้เสียหายรู้ถึงความเสียหายและรู้ตัวผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่ต้องรับผิด หรือเมื่อพ้นสิบปีนับแต่วันที่มีการละเมิดข้อมูลส่วนบุคคล

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา ๗๘

• อายุความ: 3 ปี นับแต่วันที่ผู้เสียหายรู้ถึงความเสียหายและรู้ตัวผู้กระทำความผิด หรือไม่เกิน 10 ปี นับแต่วันที่มีการละเมิด

ความรับผิดทางอาญา (เน้นเอาผิดกรณีร้ายแรง)

ความผิดทางอาญาตาม มาตรา 79 และมาตรา 80 เกิดขึ้นในกรณีที่มีเจตนาหรือกระทำต่อข้อมูลอ่อนไหวจนน่าจะทำให้ผู้อื่นเสียหาย เสียชื่อเสียง หรือเพื่อแสวงหาประโยชน์โดยมิชอบ โดยมีบทกำหนดโทษตามมาตรา 79 ว่า ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ และหากเพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมายสำหรับตนเองหรือผู้อื่น ต้องระวางโทษจำคุกไม่เกินหนึ่งปี หรือปรับไม่เกินหนึ่งล้านบาท หรือทั้งจำทั้งปรับ ทั้งนี้ ความผิดตามมาตรา 79 เป็นความผิดอันยอมความได้ และหากนิติบุคคลกระทำความผิด กรรมการหรือผู้บริหารที่มีส่วนเกี่ยวข้องอาจต้องรับโทษอาญาร่วมด้วย

มาตรา ๗๙ ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง หรือไม่ปฏิบัติตามมาตรา ๒๘ อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา ๒๖ โดยประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ

ผู้ควบคุมข้อมูลส่วนบุคคลผู้ใดฝ่าฝืนมาตรา ๒๗ วรรคหนึ่งหรือวรรคสอง หรือไม่ปฏิบัติตามมาตรา ๒๘ อันเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา ๒๖ เพื่อแสวงหาประโยชน์ที่มิควรได้โดยชอบด้วยกฎหมายสำหรับตนเองหรือผู้อื่น ต้องระวางโทษจำคุกไม่เกินหนึ่งปี หรือปรับไม่เกินหนึ่งล้านบาท หรือทั้งจำทั้งปรับ

ความผิดตามมาตรานี้เป็นความผิดอันยอมความได้

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา ๗๙

มาตรา ๘๐ ผู้ใดล่วงรู้ข้อมูลส่วนบุคคลของผู้อื่นเนื่องจากการปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ ถ้าผู้นั้นนำไปเปิดเผยแก่ผู้อื่น ต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินห้าแสนบาท หรือทั้งจำทั้งปรับ

ความในวรรคหนึ่ง มิให้นำมาใช้บังคับแก่การเปิดเผย ในกรณีดังต่อไปนี้

(๑) การเปิดเผยตามหน้าที่

(๒) การเปิดเผยเพื่อประโยชน์แก่การสอบสวน หรือการพิจารณาคดี

(๓) การเปิดเผยแก่หน่วยงานของรัฐในประเทศหรือต่างประเทศที่มีอำนาจหน้าที่ตามกฎหมาย

(๔) การเปิดเผยที่ได้รับความยินยอมเป็นหนังสือเฉพาะครั้งจากเจ้าของข้อมูลส่วนบุคคล

(๕) การเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับการฟ้องร้องคดีต่าง ๆ ที่เปิดเผยต่อสาธารณะ

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา ๘๐

ความรับผิดทางปกครอง

ตามกฎหมาย PDPA คือการที่บุคคลหรือองค์กร (ผู้ควบคุมหรือผู้ประมวลผลข้อมูล) ไม่ปฏิบัติตามกฎเกณฑ์ ขั้นตอน หรือหน้าที่ที่กฎหมายกำหนดไว้ โดยโทษในมิตินี้จะไม่เกี่ยวข้องกับการติดคุก และไม่ได้จ่ายเงินให้ผู้เสียหาย แต่เป็นการที่หน่วยงานรัฐ (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือ สคส.) ออกคำสั่งปรับเงินเข้าคลังหลวงโดยตรง

สิทธิยื่นคำร้องเรียนเมื่อมีการฝ่าฝืนกฎหมาย (มาตรา 73)

มาตรา ๗๓ เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติหรือประกาศที่ออกตามพระราชบัญญัตินี้

การยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียนให้เป็นไปตามระเบียบที่คณะกรรมการประกาศกำหนดโดยคำนึงถึงการกำหนดให้ไม่รับเรื่องร้องเรียนหรือยุติเรื่องในกรณีที่มีผู้มีอำนาจพิจารณาในเรื่องนั้นอยู่แล้วตามกฎหมายอื่นด้วย

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา ๗๓

กระบวนการทางปกครอง

1. จุดเริ่มต้น: เจ้าของข้อมูลยื่น “คำร้องเรียน” ต่อ สคส. (ยื่นออนไลน์ได้) หรือ สคส. ตรวจพบความผิดปกติเอง (เช่น ข้อมูลลูกค้ารั่วไหลเป็นข่าวใหญ่)
2. ตั้งคณะกรรมการผู้เชี่ยวชาญ: สคส. จะส่งเรื่องให้คณะกรรมการผู้เชี่ยวชาญพิจารณา
3. การใช้อำนาจสืบสวน: คณะกรรมการฯ จะออกจดหมายเรียกให้องค์กรจำเลยส่งเอกสาร (เช่น ขอดูบันทึก ROPA, ขอดูหลักฐานการขอความยินยอม)
4. คำสั่งทางปกครอง: หากพิจารณาแล้วว่าผิดจริง คณะกรรมการฯ จะออก “คำสั่งปรับทางปกครอง” (ในกรณีความผิดครั้งแรกและไม่ร้ายแรง คณะกรรมการอาจเลือกใช้ดุลพินิจ “สั่งให้แก้ไข” หรือ “ตักเตือน” ก่อนได้ตามมาตรา 90)
5. การอุทธรณ์และฟ้องศาลปกครอง: หากองค์กรจำเลยเห็นว่าคำสั่งปรับนั้นไม่เป็นธรรมหรือระเบียบขั้นตอนไม่ชอบ ฝั่งจำเลยต้องทำการยื่นอุทธรณ์คำสั่งภายในระยะเวลาที่กฎหมายกำหนดก่อน หากยังไม่เป็นผล จึงจะนำคดีไปฟ้องร้องต่อ “ศาลปกครอง” เพื่อขอให้เพิกถอนคำสั่งปรับนั้น

ระดับโทษปรับทางปกครอง (ม. 82 – ม. 90)

• ปรับไม่เกิน 500,000 บาท (ม. 89): เรื่องการขัดขวางเจ้าพนักงาน เช่น สคส. เรียกผู้ควบคุมข้อมูลมาให้ถ้อยคำหรือส่งเอกสารตรวจสอบ แล้วจงใจหลบเลี่ยงหรือไม่ส่งเอกสารให้
• ปรับไม่เกิน 1,000,000 บาท (ม. 82, 85, 88): เป็นเรื่อง “ความบกพร่องเชิงระบบ/ธุรการ”
  • ไม่แจ้งนโยบายคุ้มครองข้อมูลส่วนบุคคล ให้เจ้าของข้อมูลทราบ
  • องค์กรขนาดใหญ่ไม่ยอมจัดทำบันทึกรายการกิจกรรม (ROPA)
  • องค์กรที่มีข้อมูลจำนวนมากไม่ยอมแต่งตั้งเจ้าหน้าที่ DPO
• ปรับไม่เกิน 3,000,000 บาท (ม. 83, 86): เป็นเรื่อง “การประมวลผลข้อมูลทั่วไปโดยมิชอบ”
  • เก็บ ใช้ หรือเปิดเผยข้อมูลโดยไม่มีฐานทางกฎหมาย (Lawful Basis) รองรับ
  • แอบเอาข้อมูลไปใช้นอกเหนือวัตถุประสงค์ที่เคยแจ้งไว้
  • ขอความยินยอม (Consent) โดยวิธีการหลอกลวงหรือปกปิดข้อเท็จจริง
• ปรับไม่เกิน 5,000,000 บาท (ม. 84, 87): เป็นโทษสูงสุด เกิดขึ้นเมื่อไปแตะต้อง “ข้อมูลอ่อนไหว” โดยมิชอบ
  • เช่น คลินิกแอบเอาข้อมูลโรคประจำตัวของคนไข้ หรือบริษัทแอบเอาข้อมูลประวัติอาชญากรรม, ศาสนา, พันธุกรรม ไปใช้หรือส่งต่อโดยไม่มีความยินยอมอย่างชัดแจ้งและไม่มีข้อยกเว้นกฎหมายรองรับ

สรุปตารางเปรียบเทียบประเภทความรับผิดสำหรับทนายความ

ประเภทความรับผิด	มาตราสำคัญ	ลักษณะการกระทำความผิด	บทลงโทษสูงสุด	อายุความ / อายุคดี
ทางแพ่ง	ม. 77, ม. 78	ฝ่าฝืน PDPA จนเกิดความเสียหาย	ชดใช้ตามจริง + ศาลสั่งเพิ่มไม่เกิน 2 เท่า	3 ปีนับแต่รู้ / ไม่เกิน 10 ปี
ทางอาญา	ม. 79, ม. 80, ม. 81	เปิดเผยข้อมูลอ่อนไหวหรือแสวงหาประโยชน์โดยมิชอบ	จำคุกสูงสุด 1 ปี หรือปรับสูงสุด 1 ล้านบาท	ม. 79 เป็นความผิดอันยอมความได้
ทางปกครอง	ม. 82 – ม. 90	ไม่ปฏิบัติตามขั้นตอนและกฎเกณฑ์ของกฎหมาย	ปรับทางปกครองสูงสุด 5 ล้านบาท	ตามกระบวนการของ สคส.

แนวทางการดำเนินคดี

ภาระการพิสูจน์ฝั่งจำเลย

กลยุทธ์ของฝั่งจำเลยคือการพิสูจน์ว่า การประมวลผลข้อมูลนั้นเข้า “ฐานยกเว้นตามกฎหมายอื่น ๆ” ตามมาตรา 24 (ข้อมูลทั่วไป) หรือมาตรา 26 (ข้อมูลอ่อนไหว) โดยมีเทคนิคการสู้คดีและจัดเตรียมพยานหลักฐานดังนี้:

1. การสู้ด้วย “ฐานสัญญา” (ม. 24 (3))

• หลักการ: การเก็บและใช้ข้อมูลนั้น จำเป็น ต่อการปฏิบัติตามสัญญาที่โจทก์เป็นคู่สัญญา หรือเพื่อใช้ในการดำเนินการตามคำขอของโจทก์ก่อนเข้าทำสัญญานั้น
• เทคนิคการสู้คดี: นำสืบว่าหากจำเลยไม่เก็บข้อมูลนี้ จำเลยจะไม่สามารถส่งมอบบริการหรือสินค้าให้โจทก์ได้เลย
• พยานหลักฐานที่ต้องใช้: ตัวสัญญาหลัก, ข้อตกลงการใช้บริการ, แผนผังกระบวนการทำงาน เพื่อแสดงให้เห็นว่าข้อมูลส่วนนี้เชื่อมโยงกับการทำตามสัญญาอย่างไร

2. การสู้ด้วย “ฐานประโยชน์โดยชอบด้วยกฎหมาย” (ม. 24 (5))

• หลักการ: เป็นการเก็บใช้เพื่อประโยชน์อันชอบธรรมของจำเลย หรือของบุคคลอื่น แต่ต้องไม่ละเมิดสิทธิขั้นพื้นฐานของเจ้าของข้อมูลเกินสมควร
• เทคนิคการสู้คดี: ทนายจำเลยต้องอ้างและนำสืบผลการทำ LIA (Legitimate Interest Assessment) หรือการประเมินความสมดุลของประโยชน์ โดยชี้ให้เห็นว่า
  1. จำเลยมีวัตถุประสงค์ที่ชอบด้วยกฎหมายและชัดเจน (เช่น เพื่อการรักษาความปลอดภัย, การป้องกันการทุจริตภายในองค์กร, การติดกล้อง CCTV)
  2. มีความจำเป็นต้องใช้ข้อมูลนั้นจริง ๆ ไม่มีวิธีอื่นที่ดีกว่า
  3. โจทก์สามารถ “คาดหมายได้อย่างสมเหตุสมผล” อยู่แล้วว่าจะต้องถูกเก็บข้อมูลในสถานการณ์นั้น และไม่ได้กระทบสิทธิโจทก์อย่างร้ายแรง
• พยานหลักฐานที่ต้องใช้: เอกสารประเมิน LIA ขององค์กรที่ทำไว้ล่วงหน้า, ป้ายประกาศเตือน (เช่น ป้ายแจ้งเตือนกล้อง CCTV ก่อนเข้าพื้นที่)

3. การสู้ด้วย “ฐานการปฏิบัติตามกฎหมาย” (ม. 24 (6))

• หลักการ: จำเลยต้องประมวลผลข้อมูลเพราะมีกฎหมายฉบับอื่นสั่งให้ทำ
• เทคนิคการสู้คดี: ค้นหากฎหมายเฉพาะที่ควบคุมธุรกิจของจำเลยมาหักล้าง เช่น กฎหมายสถาบันการเงิน, กฎหมายป้องกันและปราบปรามการฟอกเงิน (ปปง.), กฎหมายแรงงาน หรือกฎหมายภาษีอากร
• ตัวอย่าง: โจทก์ฟ้องว่าโรงแรมเก็บข้อมูลบัตรประชาชนและข้อมูลส่วนตัวโดยไม่ขอความยินยอม ทนายจำเลยต้องยก พระราชบัญญัติโรงแรม พ.ศ. 2547 มาตรา 35 ขึ้นสู้ ว่ากฎหมายบังคับให้โรงแรมต้องบันทึกรายละเอียดของผู้เข้าพักทุกคนลงในใบสมัครแจ้งการส่งข้อมูลทะเบียนผู้พัก (ร.ร.4) ย่อมได้รับยกเว้นทันที

ภาระการพิสูจน์ฝั่งโจทก์

“การร่างคำฟ้องเรียกค่าเสียหายทางแพ่ง และการพิสูจน์มูลค่าความเสียหายจริง” ความท้าทายที่สุดของทนายความฝั่งผู้เสียหายคือ “ข้อมูลรั่วไหลแล้วเสียหายเป็นตัวเงินเท่าไหร่?” เพราะความเสียหายทางข้อมูลมักเป็นความเสียหายที่จับต้องไม่ได้ เช่น ความเครียด ความหวาดระแวง หรือความสูญเสียความเป็นส่วนตัว

1. โครงสร้างการร่างคำฟ้อง (ม. 77, ม. 78)

การบรรยายฟ้องคดีแพ่งเรียกค่าเสียหายจาก PDPA ต้องประกอบด้วย 4 องค์ประกอบหลัก:

1. นิติสัมพันธ์และความเป็นเจ้าของข้อมูล: บรรยายว่าโจทก์เป็นเจ้าของข้อมูล และจำเลยมีฐานะเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” ที่มีหน้าที่ตามกฎหมายอย่างไร
2. การกระทำความผิดหน้าที่: บรรยายให้ชัดว่าจำเลยฝ่าฝืนมาตราใด เช่น ฝ่าฝืนมาตรา 37 ไม่จัดให้มีมาตรการรักษาความปลอดภัยที่เหมาะสม ปล่อยให้ระบบรักษาความปลอดภัยล้าสมัยจนถูกแฮกเกอร์โจมตี หรือพนักงานจำเลยแอบนำข้อมูลไปขาย
3. ความเสียหายและความเกี่ยวพัน: บรรยายผลกระทบที่เกิดขึ้นโดยตรงจากการที่ข้อมูลรั่วไหล
4. คำขอบังคับ: ระบุจำนวนเงินค่าสินไหมทดแทน และ “คำขอให้ศาลสั่งกำหนดค่าเสียหายเชิงลงโทษ เพิ่มขึ้นอีก 2 เท่าของค่าเสียหายแท้จริง” ตามมาตรา 78

2. แนวทางการนำสืบเพื่อพิสูจน์ “มูลค่าความเสียหายจริง”

เนื่องจากศาลไทยคุ้นเคยกับการชดเชยความเสียหายที่เห็นเป็นตัวเงินชัดเจน ทนายโจทก์จึงต้อง “แปลงความเสียหายทางใจหรือทางดิจิทัล ให้เป็นตัวเลขเชิงประจักษ์” ผ่านแนวทางเหล่านี้:

• ความเสียหายทางการเงินโดยตรง: สืบพยานหลักฐานจากการที่มิจฉาชีพนำข้อมูลที่รั่วไหล (เช่น ชื่อ เลขบัตรประชาชน บัญชีธนาคาร) โทรมาหลอกลวงจนโจทก์สูญเสียเงิน
  • เทคนิค: ต้องแสดงวันเวลาให้ศาลเห็นว่าข้อมูลรั่วไหลจากจำเลยเมื่อวันใด และมิจฉาชีพใช้ข้อมูลเชิงลึกที่มีเฉพาะจำเลยเท่านั้นที่รู้ มาหลอกลวงโจทก์ในวันใด เพื่อให้ศาลเห็นความเกี่ยวพันเชื่อมโยง
• ค่าใช้จ่ายในการเยียวยาและป้องกัน: นำสืบค่าใช้จ่ายที่โจทก์ต้องจ่ายไปเพื่อระงับความเสียหาย เช่น ค่าธรรมเนียมในการทำบัตรประชาชนใหม่, ค่าเสียเวลาเดินทาง, ค่าใช้จ่ายในการเปลี่ยนเบอร์โทรศัพท์/ปิดบัญชีธนาคาร, หรือค่าบริการระบบตรวจสอบเครดิตบูโรเพื่อเช็คว่ามีใครแอบเอาชื่อไปเปิดเบอร์หรือกู้เงินหรือไม่
• ความเสียหายต่อชื่อเสียงและโอกาสทางธุรกิจ: หากข้อมูลที่รั่วไหลเป็นข้อมูลประวัติการรักษาพยาบาล หรือข้อมูลทางการเงินที่ทำให้โจทก์เสียชื่อเสียง ถูกเลิกจ้าง หรือสูญเสียโอกาสในการเจรจาธุรกิจ ต้องนำสืบรายได้เฉลี่ยที่โจทก์ควรจะได้แต่ต้องสูญเสียไป
• ความเสียหายต่อจิตใจ: นำสืบใบรับรองแพทย์จากจิตแพทย์ หรือหลักฐานการเข้ารับการรักษาภาวะเครียดรุนแรง นอนไม่หลับ หรือโรคซึมเศร้า อันเนื่องมาจากความหวาดระแวงหลังจากรู้ว่าข้อมูลส่วนตัวที่ละเอียดอ่อนหลุดไปสู่สาธารณะ

คำแนะนำเพิ่มเติมสำหรับการดำเนินคดีในชั้นศาล

• การอ้างอิงอัตราดอกเบี้ย: ป.พ.พ. มาตรา 224 บัญญัติว่า หนี้เงินนั้น ให้คิดดอกเบี้ยในระหว่างเวลาผิดนัดในอัตราที่กำหนดตามมาตรา ๗ บวกด้วยอัตราเพิ่มร้อยละสองต่อปี ทนายความควรอัปเดตตัวเลขให้ตรงตามกฎหมาย ณ วันที่ยื่นฟ้อง
• การสืบพยานเรื่องพฤติการณ์จำเลย: ในชั้นสืบพยาน ทนายโจทก์ต้องพยายามขอหมายเรียกพยานเอกสารที่เป็น “รายงานการตรวจสอบภายในเกี่ยวกับระบบไอทีรั่วไหล” หรือ “จดหมายโต้ตอบของหน่วยงานรัฐ (สคส.)” เพื่อมาแสดงต่อศาลให้เห็นว่าจำเลยรู้ตัวนานแล้วแต่ไม่ยอมแก้ไข ซึ่งเป็นกุญแจสำคัญที่จะทำให้ศาลยอมควักกระเป๋าจำเลยจ่ายค่าปรับ 2 เท่าตามมาตรา 78 ค่ะ