โพสต์ข้อมูลส่วนบุคคลของคนอื่น ผิด PDPA เสมอไปหรือไม่?

1. ข้อมูลส่วนบุคคลคืออะไร

มาตรา 6 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้นิยามข้อมูลส่วนบุคคลว่าเป็นข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

ข้อมูลส่วนบุคคลจึงไม่ได้จำกัดอยู่เฉพาะชื่อ นามสกุล หรือหมายเลขประจำตัวประชาชน

ตัวอย่างข้อมูลที่อาจเป็นข้อมูลส่วนบุคคล ได้แก่ ชื่อและนามสกุล หมายเลขโทรศัพท์ ที่อยู่ ภาพถ่าย ภาพจากกล้องวงจรปิด หมายเลขทะเบียนรถ ข้อมูลตำแหน่งที่อยู่ หรือข้อมูลบัญชีผู้ใช้สื่อสังคมออนไลน์ หากข้อมูลดังกล่าวสามารถระบุตัวบุคคลได้โดยตรงหรือโดยอ้อม

อย่างไรก็ตาม การพิจารณาว่าข้อมูลใดเป็นข้อมูลส่วนบุคคลต้องคำนึงถึงบริบทและความสามารถในการระบุตัวบุคคลด้วย

ตัวอย่างเช่น: ภาพถ่ายที่มองเห็นใบหน้าชัดเจนอาจทำให้ระบุตัวบุคคลได้โดยตรง ขณะที่ภาพถ่ายด้านหลังบุคคลอาจไม่สามารถระบุตัวบุคคลได้จากภาพเพียงอย่างเดียว แต่หากมีข้อมูลอื่นประกอบ เช่น สถานที่ วันเวลา หรือข้อความกำกับ ก็อาจทำให้ระบุตัวบุคคลได้

ข้อมูลที่ไม่ได้ระบุชื่อจึงไม่ได้หมายความว่าจะไม่เป็นข้อมูลส่วนบุคคลเสมอไป

2. การโพสต์ข้อมูลส่วนบุคคลถือเป็นการเปิดเผยข้อมูลหรือไม่

การนำข้อมูลส่วนบุคคลของผู้อื่นมาโพสต์บนเว็บไซต์หรือสื่อสังคมออนไลน์อาจถือเป็นการเปิดเผยข้อมูลส่วนบุคคลตามกฎหมาย เช่น การโพสต์ภาพบุคคลพร้อมชื่อ การเผยแพร่หมายเลขโทรศัพท์ การเผยแพร่ข้อมูลสุขภาพ หรือการนำเอกสารที่มีข้อมูลส่วนบุคคลมาเผยแพร่ให้บุคคลอื่นเข้าถึง

แต่การที่กิจกรรมหนึ่งเป็นการเปิดเผยข้อมูลส่วนบุคคล ไม่ได้หมายความว่ากิจกรรมนั้นผิดกฎหมายทันที

ต้องพิจารณาต่อว่า ผู้กระทำอยู่ภายใต้บังคับของ PDPA หรือไม่ และหากอยู่ภายใต้บังคับ การเปิดเผยนั้นเป็นไปตามหลักเกณฑ์ที่กฎหมายกำหนดหรือไม่

นี่คือความแตกต่างสำคัญระหว่างคำว่า “เป็นการเปิดเผยข้อมูลส่วนบุคคล” กับ “เป็นการเปิดเผยข้อมูลส่วนบุคคลโดยไม่ชอบด้วยกฎหมาย”

3. บุคคลธรรมดาที่โพสต์ข้อมูลของผู้อื่นต้องปฏิบัติตาม PDPA ทุกกรณีหรือไม่

มาตรา 4(1) กำหนดข้อยกเว้นสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น ข้อยกเว้นนี้มีความสำคัญต่อการใช้สื่อสังคมออนไลน์ในชีวิตประจำวัน

ตัวอย่างเช่น: บุคคลหนึ่งถ่ายภาพสมาชิกในครอบครัวระหว่างรับประทานอาหารและส่งภาพให้สมาชิกครอบครัวผ่านกลุ่มสนทนาส่วนตัว กิจกรรมดังกล่าวอาจอยู่ภายใต้ข้อยกเว้นตามมาตรา 4(1)

อย่างไรก็ตาม ไม่ควรเข้าใจว่าการโพสต์ข้อมูลโดยบุคคลธรรมดาจะได้รับยกเว้นทุกกรณี หากบุคคลหนึ่งนำข้อมูลส่วนบุคคลของผู้อื่นมาเผยแพร่ต่อสาธารณะเพื่อดำเนินกิจกรรมทางธุรกิจ การตลาด หรือกิจกรรมอื่นที่ไม่อยู่ในขอบเขตของข้อยกเว้น ก็อาจต้องปฏิบัติตาม PDPA

ในทำนองเดียวกัน การเปิดเผยข้อมูลผ่านบัญชีสื่อสังคมออนไลน์ส่วนตัวไม่ได้ทำให้ได้รับข้อยกเว้นโดยอัตโนมัติ ต้องพิจารณาวัตถุประสงค์และลักษณะกิจกรรมจริง

การพิจารณาว่ากิจกรรมใดเป็นการกระทำเพื่อประโยชน์ส่วนตนหรือกิจกรรมในครอบครัว จึงไม่ควรอาศัยเพียงชื่อบัญชีผู้ใช้หรือจำนวนผู้ติดตาม แต่ต้องพิจารณาข้อเท็จจริงโดยรวม

4. การเปิดเผยข้อมูลส่วนบุคคลต้องได้รับความยินยอมเสมอไปหรือไม่

ความเข้าใจที่พบได้บ่อยคือ การเปิดเผยข้อมูลส่วนบุคคลของผู้อื่นต้องได้รับความยินยอมจากเจ้าของข้อมูลก่อนทุกครั้ง ในความเป็นจริง PDPA กำหนดหลักเกณฑ์เกี่ยวกับความยินยอมและข้อยกเว้นไว้หลายกรณี

มาตรา 27 กำหนดหลักเกี่ยวกับการใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยเชื่อมโยงกับความยินยอมและข้อยกเว้นตามมาตรา 24 หรือมาตรา 26 แล้วแต่กรณี

สำหรับข้อมูลส่วนบุคคลทั่วไป มาตรา 24 กำหนดเหตุที่อาจใช้เป็นฐานทางกฎหมายในการเก็บรวบรวมข้อมูลโดยไม่ต้องได้รับความยินยอม เช่น ความจำเป็นเพื่อปฏิบัติตามสัญญา การปฏิบัติตามกฎหมาย การป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ และประโยชน์โดยชอบด้วยกฎหมายภายใต้เงื่อนไขที่กำหนด แต่ไม่ได้หมายความว่าผู้เผยแพร่จะสามารถเลือกอ้างฐานกฎหมายใดก็ได้ตามความสะดวก ต้องพิจารณาว่าฐานกฎหมายนั้นใช้กับวัตถุประสงค์และพฤติการณ์จริงหรือไม่ รวมถึงข้อจำกัดและหน้าที่อื่นตามกฎหมาย

สำหรับข้อมูลส่วนบุคคลตามมาตรา 26 เช่น ข้อมูลสุขภาพ ความคิดเห็นทางการเมือง ความเชื่อทางศาสนา หรือข้อมูลชีวภาพตามเงื่อนไขที่กฎหมายกำหนด การประมวลผลมีหลักเกณฑ์ที่เข้มงวดกว่าข้อมูลทั่วไป

ดังนั้น การกล่าวว่า “ไม่ได้รับความยินยอมจึงผิด PDPA” หรือ “ได้รับความยินยอมแล้วจึงทำอะไรก็ได้” ต่างเป็นการอธิบายกฎหมายที่ไม่ครบถ้วน

5. ภาพถ่ายบุคคลอื่น โพสต์ได้หรือไม่ได้

ลองพิจารณาสถานการณ์ที่แตกต่างกันผ่านตารางวิเคราะห์กรณีศึกษา:

6. ข้อมูลที่เผยแพร่ต่อสาธารณะแล้ว นำมาโพสต์ต่อได้หรือไม่

ข้อมูลส่วนบุคคลจำนวนมากสามารถค้นหาได้จากเว็บไซต์หรือสื่อสังคมออนไลน์ เช่น ชื่อผู้บริหาร หมายเลขโทรศัพท์ติดต่อทางธุรกิจ หรือภาพถ่ายจากบัญชีที่เปิดเป็นสาธารณะ

การที่ข้อมูลดังกล่าวเข้าถึงได้โดยสาธารณะไม่ได้ทำให้ข้อมูลนั้นพ้นจากการเป็นข้อมูลส่วนบุคคลตามมาตรา 6 และไม่ได้หมายความว่าผู้อื่นจะสามารถนำข้อมูลไปใช้หรือเปิดเผยเพื่อวัตถุประสงค์ใดก็ได้

ตัวอย่างเช่น: บุคคลหนึ่งเปิดเผยหมายเลขโทรศัพท์สำหรับติดต่อธุรกิจไว้บนเว็บไซต์ ต่อมามีผู้นำหมายเลขดังกล่าวไปเผยแพร่พร้อมข้อความเชิญชวนให้บุคคลจำนวนมากโทรศัพท์ไปรบกวน แม้หมายเลขโทรศัพท์จะเคยเปิดเผยต่อสาธารณะแล้ว แต่การนำไปใช้ในลักษณะดังกล่าวอาจก่อให้เกิดประเด็นความรับผิดตามกฎหมายที่เกี่ยวข้อง

ต้องพิจารณาทั้งขอบเขตการใช้บังคับของ PDPA ฐานทางกฎหมาย วัตถุประสงค์ในการใช้ข้อมูล และผลกระทบต่อเจ้าของข้อมูล

7. การโพสต์เพื่อเตือนภัยหรือเปิดโปงการกระทำผิด ได้รับยกเว้น PDPA หรือไม่

บางกรณี ประชาชนเผยแพร่ภาพหรือข้อมูลส่วนบุคคลของผู้อื่นเพื่อเตือนภัย เช่น การโพสต์ภาพบุคคลที่สงสัยว่ากระทำการหลอกลวง หรือเผยแพร่ข้อมูลเพื่อขอความช่วยเหลือในการติดตามผู้กระทำผิด

การมีวัตถุประสงค์เพื่อเตือนภัยหรือปกป้องสังคมอาจเป็นข้อเท็จจริงสำคัญในการพิจารณาความชอบด้วยกฎหมาย แต่ไม่ใช่ข้อยกเว้น PDPA โดยอัตโนมัติ ต้องพิจารณาว่ากิจกรรมดังกล่าวอยู่ภายใต้บังคับของกฎหมายหรือไม่ หากอยู่ภายใต้บังคับ มีฐานทางกฎหมายรองรับการเปิดเผยหรือไม่ และการเปิดเผยข้อมูลมีความจำเป็นและได้สัดส่วนกับวัตถุประสงค์เพียงใด

ตัวอย่างเช่น: การแจ้งข้อมูลผู้ต้องสงสัยให้เจ้าหน้าที่ตำรวจผ่านช่องทางที่เหมาะสม อาจมีข้อเท็จจริงและฐานทางกฎหมายแตกต่างจากการเผยแพร่ชื่อ ที่อยู่ หมายเลขโทรศัพท์ และภาพครอบครัวของบุคคลนั้นต่อสาธารณะ

นอกจากนี้ ต้องคำนึงถึงหลักสันนิษฐานไว้ก่อนว่าเป็นผู้บริสุทธิ์ตามรัฐธรรมนูญแห่งราชอาณาจักรไทย มาตรา 29 และความเสี่ยงที่บุคคลซึ่งถูกกล่าวหาอาจไม่ใช่ผู้กระทำผิดจริง การเตือนภัยจึงควรเลือกเปิดเผยเฉพาะข้อมูลที่จำเป็น และหลีกเลี่ยงการเปิดเผยข้อมูลของบุคคลที่ไม่เกี่ยวข้อง

8. การเผยแพร่ข้อมูลส่วนบุคคลโดยสื่อมวลชนต้องปฏิบัติตาม PDPA หรือไม่

มาตรา 4(3) กำหนดข้อยกเว้นเกี่ยวกับการดำเนินการของบุคคลหรือนิติบุคคลซึ่งใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน งานศิลปกรรม หรืองานวรรณกรรม อันเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะเท่านั้น

ข้อยกเว้นนี้มีความสำคัญต่อการรายงานข่าวและการสื่อสารข้อมูลที่ประชาชนมีประโยชน์อันชอบธรรมในการรับรู้ อย่างไรก็ตาม ไม่ได้หมายความว่าการเผยแพร่ข้อมูลทุกประเภทโดยสื่อมวลชนจะได้รับยกเว้นโดยไม่มีเงื่อนไข

ต้องพิจารณาว่ากิจกรรมนั้นเข้าเงื่อนไขตามมาตรา 4(3) หรือไม่ รวมถึงกฎหมายอื่นและหลักจริยธรรมวิชาชีพที่เกี่ยวข้อง การนำข้อมูลส่วนบุคคลมาเผยแพร่เพื่อประโยชน์สาธารณะจึงควรพิจารณาความจำเป็น ความเหมาะสม และผลกระทบต่อบุคคลที่เกี่ยวข้อง โดยเฉพาะเด็ก ผู้เสียหาย และบุคคลที่มีความเปราะบาง

9. การโพสต์ข้อมูลส่วนบุคคลผิด PDPA มีโทษจำคุก 5 ปีหรือไม่

ประเด็นที่ต้องทำความเข้าใจอย่างชัดเจนคือ ความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และความผิดตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ เป็นคนละฐานความผิด

การเปิดเผยข้อมูลส่วนบุคคลโดยไม่ชอบด้วยกฎหมายไม่ได้ทำให้ผู้กระทำมีความผิดตามมาตรา 14 ของพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์โดยอัตโนมัติ

ทั้งนี้ PDPA กำหนดความรับผิดไว้หลายประเภท ดังนี้:

ดังนั้น การอธิบายว่าการโพสต์ข้อมูลส่วนบุคคลของผู้อื่นมีโทษจำคุกไม่เกิน 5 ปี ปรับไม่เกิน 100,000 บาท โดยอ้างมาตรา 14 ของพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ จึงเป็นการนำบทกำหนดโทษของกฎหมายหนึ่งไปใช้กับการกระทำที่อาจอยู่ภายใต้กฎหมายอีกฉบับ โดยไม่ได้ตรวจสอบองค์ประกอบความผิดให้ครบถ้วน

10. หากไม่อยู่ภายใต้บังคับของ PDPA จะเปิดเผยข้อมูลอะไรก็ได้หรือไม่

คำตอบคือ ไม่ได้

แม้กิจกรรมบางประเภทจะได้รับยกเว้นจากการใช้บังคับของ PDPA ตามมาตรา 4 แต่ไม่ได้หมายความว่าการกระทำนั้นจะไม่อยู่ภายใต้กฎหมายอื่น

จึงต้องแยกให้ชัดระหว่างการไม่อยู่ภายใต้บังคับของ PDPA กับการกระทำที่ชอบด้วยกฎหมายทุกฉบับ

11. ก่อนโพสต์ข้อมูลของผู้อื่น ควรถามตนเองอย่างไร

การเผยแพร่ข้อมูลส่วนบุคคลอย่างรับผิดชอบควรเริ่มจากการพิจารณาว่า ข้อมูลนั้นเกี่ยวข้องกับใคร และจำเป็นต้องเปิดเผยเพื่อวัตถุประสงค์ใด

หากเป็นกิจกรรมขององค์กร: ควรตรวจสอบฐานทางกฎหมาย วัตถุประสงค์ในการเก็บรวบรวมและเปิดเผยข้อมูล ตลอดจนหน้าที่ในการแจ้งรายละเอียดแก่เจ้าของข้อมูล

หากเป็นกิจกรรมส่วนบุคคล: ควรพิจารณาว่าการเผยแพร่ข้อมูลอาจกระทบความเป็นส่วนตัว ความปลอดภัย หรือชื่อเสียงของบุคคลอื่นหรือไม่ แม้กิจกรรมนั้นอาจได้รับยกเว้นตาม PDPA

โดยเฉพาะข้อมูลที่มีความอ่อนไหว เช่น ข้อมูลสุขภาพ ข้อมูลเกี่ยวกับเด็ก หรือข้อมูลที่อาจทำให้บุคคลถูกคุกคาม ควรใช้ความระมัดระวังมากกว่าข้อมูลทั่วไป

หากสามารถบรรลุวัตถุประสงค์โดยไม่เปิดเผยชื่อ ใบหน้า ที่อยู่ หรือข้อมูลที่ระบุตัวบุคคลได้ ก็ควรพิจารณาวิธีดังกล่าวเพื่อลดผลกระทบต่อสิทธิของผู้อื่น

การลดปริมาณข้อมูลที่เผยแพร่ให้เหลือเท่าที่จำเป็น เป็นแนวทางที่ช่วยลดความเสี่ยงได้ แม้ไม่ได้หมายความว่าจะเป็นข้อยกเว้นความรับผิดตามกฎหมายโดยอัตโนมัติ

บทสรุป

การโพสต์หรือเผยแพร่ข้อมูลส่วนบุคคลของผู้อื่นไม่ได้เป็นความผิดตาม PDPA ทุกกรณี และไม่ได้หมายความว่าต้องได้รับความยินยอมทุกครั้ง

การพิจารณาต้องเริ่มจากการตรวจสอบว่าข้อมูลนั้นเป็นข้อมูลส่วนบุคคลหรือไม่ กิจกรรมอยู่ภายใต้บังคับของ PDPA หรือได้รับยกเว้น มีฐานทางกฎหมายรองรับการเปิดเผยหรือไม่ และมีการปฏิบัติตามเงื่อนไขอื่นที่เกี่ยวข้องหรือไม่

ขณะเดียวกัน การได้รับยกเว้นจาก PDPA ไม่ได้หมายความว่าจะสามารถละเมิดสิทธิของผู้อื่นได้โดยไม่มีความรับผิดตามกฎหมายอื่น

หลักสำคัญจึงไม่ใช่เพียงการถามว่า “ต้องขอความยินยอมหรือไม่” แต่ต้องถามว่า “มีสิทธิเปิดเผยข้อมูลนี้หรือไม่ เพื่อวัตถุประสงค์ใด และจำเป็นต้องเปิดเผยมากเพียงใด”

การเข้าใจหลักการดังกล่าวจะช่วยให้ประชาชนสามารถใช้สื่อสังคมออนไลน์ได้อย่างมั่นใจ ขณะเดียวกันก็เคารพความเป็นส่วนตัวและสิทธิของบุคคลอื่น

บทความตอนต่อไป: เมื่อกฎหมายคุ้มครองสังคม ต้องไม่ทำให้ประชาชนกลัวการใช้สิทธิ