ภายหลัง พ.รบ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA ย่อมาจาก Personal Data Protection Act B.E. 2562 (2019) มีผลบังคับใช้อย่างเป็นทางการ เมื่อวันที่ 1 มิ.ย. 2565 การทำกิจกรรม โพสต์-กิน-เที่ยว บนโลกโซเชียล ทั้งชาวเน็ต อินฟลูเอนเซอร์ ผู้ประกอบการ ค่อนข้างเกิดความสับสนอลหม่าน หวาดหวั่นจะกระทำผิดกฎหมายดังกล่าว จนสื่อมวลชนต้องเกาะติด หน่วยงานภาครัฐต้องออกมาชี้แจง ทว่าดูยังไม่ได้ความกระจ่าง

‘วอยซ์’ สัมภาษณ์กับ คณาธิป ทองรวีวงศ์ ผู้อำนวยการสถาบันกฎหมายสื่อดิจิทัล คณะนิติศาสตร์ ม.เกษมบัณฑิต เปิดมุมมองต่อกฎหมาย PDPA จากภาควิชาการ 

เริ่มจากการทำความเข้าใจหลักการและเหตุผลของกฎหมายฉบับนี้

คณาธิป อธิบายว่า กฎมาย PDPA ของไทย ที่มีต้นแบบจากหลักการพื้นฐานกฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือ General Data Protection Regulation : GDPR  ของสหภาพยุโรป มีเจตนาให้เกิดการคุ้มครองข้อมูลส่วนบุคคล มุ่งเน้นกำกับการเข้าถึง/การนำข้อมูลของบุคคลทั่วไปไปใช้ในการจัดเก็บและประมวลผลโดยหน่วยงานภาครัฐ และภาคเอกชนที่ทำให้เกิดกิจกรรมทางเศรษฐกิจ

ทั้งนี้ เพื่อเป็นการปกป้องสิทธิความเป็นส่วนตัว (Right to Privacy) การจำกัดไม่ให้ผู้เก็บข้อมูลนำข้อมูลของประชาชนไปใช้ได้ตามอำเภอใจ โดยวางอยู่บนหลักสิทธิมนุษยชนสากล (Human Rights) ซึ่งได้รับการคุ้มครองตามที่ถูกบรรจุไว้ในกฎหมายฉบับอื่น ๆ และมีกลไกการตรวจสอบถ่วงดุลจากศาลยุติธรรมสหภาพยุโรป

คณาธิป ชี้ว่า ประเด็นสับสนจากการโพสต์ แชร์ ภาพนิ่ง ภาพเคลื่อนไหว การนำเสนอของสื่อมวลชน ที่ติดบุคคลอื่น หน่วยงานภาครัฐจึงควรชี้แจงให้เกิดความชัดเจนว่า กิจกรรมดังกล่าวสามารถกระทำได้โดยปกติ ไม่ต้องขออนุญาต หรือแจ้งเตือน เพราะบุคคลทั่วไปได้รับการยกเว้นตามมาตรา 4 (1) และไม่ใช่ "ผู้ควบคุมข้อมูลส่วนบุคคล" ตามกฎหมาย ที่กำหนดให้มีหน้าที่ในการแจ้งเตือนการเก็บข้อมูล รวบรวม หรือจัดทำรายงานด้านข้อมูล 

อีกทั้ง ยังไม่ต้องดูเจตนาของการเผยแพร่หากกระทำในนามส่วนตัว เนื่องจากหากมีวัตถุประสงค์แอบแฝง หรือเจตนามุ่งร้าย จะไม่อยู่ภายใต้การดูแลของกฎหมายฉบับนี้ แต่มีกฎหมายฉบับอื่น ๆ เช่น พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ หรือกฎหมายอาญาเกี่ยวกับการหมิ่นประมาทคุ้มครองไว้แล้ว เจตนารมณ์ของฎหมายการคุ้มครองส่วนบุคคลมีไว้ เพื่อเป็นการสร้างมาตรการให้ภาครัฐ/ภาคเอกชน ถือเป็นภาระหน้าที่รับผิดชอบในการคุ้มครองข้อมูลเหล่านี้ไม่ให้รั่วไหล เช่นกรณีเคยมีข้อมูลผู้ป่วยโรงพยาบาลแห่งหนึ่งถูกโจรกรรมข้อมูล 

นักกฎหมายสื่อดิจิทัล ชวนตั้งข้อสังเกตว่า ประเด็นที่ต้องกังวลและจับตาจากกฎหมายฉบับนี้ คือ การนำมาบังคับใช้ที่เนื้อหาสาระเปิดช่องให้ภาครัฐและภาคเอกชน จัดเก็บ/รวบรวมข้อมูลได้อย่างกว้างขวางและชอบธรรม เพราะทั้งตัวกฎหมาย GDPR และ PDPA ต่างเปรียบเสมือนเป็นเพียงพิธีกรรมแจ้งเตือนให้ บุคคลทั่วไปที่เข้ารับบริการทราบถึงการจัดเก็บข้อมูล ซึ่งต้องยอมรับเพื่อแลกกับการรับบริการ ทว่าการจัดเก็บข้อมูลเหล่านี้อาจถูกนำไปใช้ผิดวัตถุประสงค์ หรือเกินกว่าขอบเขตที่วางไว้ควบคู่ตามกฎหมายอื่น ตามที่เปิดกว้างไว้ในมาตรา 3 มาตรา 19 มาตรา 21 ยกเว้นการใช้/เปิดเผยข้อมูลส่วนบุคคลหากกฎหมายอื่นให้กระทำได้ 

เขา ยกตัวอย่างที่เห็นได้ชัด เช่นบรรดาแอปพลิเคชัน ที่ภาครัฐ/ภาคเอกชน พัฒนาขึ้นเพื่อใช้รับสถานการณ์ด้านสาธารณสุขและการฟื้นฟูเยียยาสังคม ช่วงการระบาดของโควิด-19 ที่อยู่ภายใต้การบังคับใช้ พ.ร.ก.การบริหารราชการในสถานการณ์ฉุกเฉิน ก็จะพบได้ว่า มีข้อกำหนดการเก็บข้อมูลเกินความจำเป็น ผู้รับบริการถูกติดตามภาษีย้อนหลัง หรือเพิ่มผลิตภัณฑ์ขายสลากกินแบ่ง หรือกรณีที่ไม่ปกติขึ้นในพื้นที่บังคับใช้ชุดกฎหมายความมั่นคงในพื้นที่ชายแดนใต้ หรือการชุมนุม ที่เจ้าหน้าที่มีอำนาจการเก็บข้อมูลบ่งชี้อัตลักษณ์บุคคล ตลอดจนมีการใช้ข้อมูลติดตามบุคคล 

เมื่อพิจารณารากฐานที่มากฎหมาย GDPR ของสหภาพยุโรป ต้นแบบของ PDPA ในประเทศไทยก็จะพบความแตกต่างที่ต้องเฝ้าระวังการบังคับใช้ในอนาคต เพราะในขณะที่ GDPR ถือกำหนดจากแนวคิดสิทธิมนุษยชน และมีชุดกฎหมายอื่นประกันการละเมิดสิทธิไว้

แต่ PDPA ของไทยเกิดขึ้นในสมัยสภานิติบัญญัติแห่งชาติ (สนช.) ที่มาจาการแต่งตั้งของคณะรัฐประหาร มีเนื้อหายกเว้นบังคับใช้จากกฎหมายฉบับอื่น โดยให้ความเห็นชอบในช่วงปลายเดือน ก.พ. 2562 ก่อนการเลือกตั้งในเดือน มี.ค. 2562 เพียง 1 เดือน ท่ามกลางความแคลงใจ เหตุใดกฎหมายที่จะกระทบต่อสิทธิประชาชน จึงไม่รอให้มีสภาฯที่มาจากการเลือกตั้งของประชาชนเข้ามาเป็นตัวแทนในการพิจารณาให้ความเห็นชอบ" นักกฎหมายดิจิทัลระบุ

นักวิชาการคนดังกล่าวรณรงค์ให้คนในสังคมให้ความสำคัญด้านสิทธิว่า จริงอยู่การเก็บข้อมูลส่วนบุคคล ประชาชนอาจมีความคิดเห็นทั้งเห็นด้วยและไม่เห็นด้วย บางคนอาจมองว่า เป็นการดีที่ข้อมูลเหล่านี้จะถูกจัดเก็บและประมวลผลเพื่อนำไปสู่การเสนอผลิตภัณฑ์ หรือบริการที่ดีขึ้น แต่ประเด็นทางสิทธิมนุษยชนก็เป็นเรื่องที่ควรจะต้องตระหนักถึง โดยเฉพาะการเข้ารับบริการจากรัฐที่เป็นสิทธิขั้นพื้นฐานได้รับการรับรองไว้ในรัฐธรรมนูญ ไม่ใช่หน้าที่ที่ประชาชนต้องให้ข้อมูลเพื่อแลกกับการบริการ

การให้ข้อมูลส่วนบุคคลจึงต้องวางอยู่บนหลักของสิทธิในการกำหนดใจตัวเอง (rights of self determination) ซึ่งกฎหมาย PDPA ยังคงมีช่องโหว่ด้านสิทธิที่จำเป็นจะต้องมีการพิจารณาทบทวนและติดตามการบังคับใช้ต่อไป