Dark Patterns PDPA กดยอมรับคุกกี้ ถือเป็นความยินยอมจริงไหม

กดยอมรับแล้ว ถือว่ายินยอมจริงหรือไม่

เมื่อเข้าเว็บไซต์ หลายคนคุ้นเคยกับข้อความขออนุญาตใช้คุกกี้ที่มีปุ่ม “ยอมรับทั้งหมด” ขนาดใหญ่ แต่หากต้องการปฏิเสธกลับต้องเปิดเมนูตั้งค่าและเลือกปิดการใช้ข้อมูลทีละรายการ

บางคนจึงกดยอมรับเพียงเพราะต้องการเข้าเว็บไซต์ให้เร็วที่สุด ไม่ใช่เพราะต้องการให้ธุรกิจใช้ข้อมูลส่วนบุคคลของตนเพื่อการโฆษณา

คำถามคือ หากบริการดิจิทัลออกแบบให้การปฏิเสธยุ่งยากกว่าการยอมรับอย่างมาก ความยินยอมนั้นยังสะท้อนการตัดสินใจอย่างอิสระหรือไม่

ความยินยอมไม่ใช่เพียงการกดปุ่ม

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19 กำหนดหลักเกณฑ์การขอความยินยอม โดยต้องแจ้งวัตถุประสงค์ ใช้ข้อความที่อ่านง่ายและเข้าใจได้ ไม่หลอกลวงหรือทำให้เข้าใจผิด และต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคล

นอกจากนี้ การเข้าทำสัญญาหรือรับบริการต้องไม่มีเงื่อนไขให้ยินยอมต่อการประมวลผลข้อมูลส่วนบุคคลที่ไม่จำเป็นหรือไม่เกี่ยวข้องกับการทำสัญญาหรือบริการนั้น

ตัวอย่างเช่น หากแพลตฟอร์มให้บริการอ่านข่าว แต่กำหนดให้ผู้ใช้ต้องยินยอมรับการโฆษณาเฉพาะบุคคลก่อนจึงจะเข้าใช้บริการได้ องค์กรต้องพิจารณาว่าการผูกเงื่อนไขดังกล่าวสอดคล้องกับมาตรา 19 หรือไม่ โดยตรวจสอบลักษณะบริการ ความจำเป็นของการประมวลผล และข้อเท็จจริงที่เกี่ยวข้อง

อย่างไรก็ตาม ไม่ใช่การใช้คุกกี้ทุกประเภทหรือการประมวลผลข้อมูลส่วนบุคคลทุกกรณีต้องอาศัยความยินยอม ต้องพิจารณาฐานกฎหมายที่ใช้ได้ตามมาตรา 24 หรือบทบัญญัติอื่นที่เกี่ยวข้องด้วย

Privacy Notice ไม่ใช่ Consent

ประกาศแจ้งเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) กับความยินยอม (Consent) มีหน้าที่แตกต่างกัน

Privacy Notice เป็นเครื่องมือแจ้งรายละเอียดการเก็บรวบรวมข้อมูล เช่น วัตถุประสงค์ ข้อมูลที่เก็บ ระยะเวลาการเก็บรักษา ผู้ที่อาจได้รับข้อมูล และสิทธิของเจ้าของข้อมูล ตามหน้าที่ที่กฎหมายกำหนด

มาตรา 23 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลแจ้งรายละเอียดก่อนหรือขณะเก็บรวบรวมข้อมูล เว้นแต่เจ้าของข้อมูลทราบรายละเอียดนั้นอยู่แล้ว ส่วนกรณีเก็บรวบรวมข้อมูลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลโดยตรงต้องพิจารณามาตรา 25 เพิ่มเติม

Consent เป็นการแสดงเจตนายินยอมให้ประมวลผลข้อมูลเพื่อวัตถุประสงค์ที่กำหนด ในกรณีที่องค์กรใช้ความยินยอมเป็นฐานทางกฎหมาย

ดังนั้น การกดรับทราบ Privacy Notice จึงไม่ใช่การให้ความยินยอมต่อทุกวัตถุประสงค์โดยอัตโนมัติ

ให้ความยินยอมง่าย ต้องถอนความยินยอมได้ง่าย

มาตรา 19 กำหนดให้เจ้าของข้อมูลส่วนบุคคลสามารถถอนความยินยอมเมื่อใดก็ได้ และต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิตามกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล

หากการถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูล ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งผลกระทบนั้นให้ทราบ

การถอนความยินยอมยังไม่ทำให้การประมวลผลข้อมูลที่ได้ดำเนินการโดยชอบด้วยกฎหมายก่อนการถอนความยินยอมกลายเป็นการกระทำที่ผิดกฎหมายย้อนหลัง

องค์กรจึงไม่ควรตรวจเพียงว่ามีปุ่มขอความยินยอมหรือไม่ แต่ต้องตรวจว่าผู้ใช้เข้าใจวัตถุประสงค์ สามารถเลือกได้อย่างอิสระ และถอนความยินยอมได้ตามกฎหมายจริงหรือไม่

เพราะความยินยอมที่มีคุณค่าไม่ใช่ความยินยอมที่องค์กรทำให้คนกดได้มากที่สุด แต่เป็นความยินยอมที่เจ้าของข้อมูลเข้าใจและเลือกด้วยตนเอง