General Data Protection Regulation (GDPR) ที่จะมีผลใช้บังคับในวันที่ 25 พฤษภาคม 2561 GDPR เป็นกฎระเบียบของ EU ที่ออกมาเพื่อป้องกันสิทธิส่วนบุคคลของประชาชนในกลุ่มประเ ทศ EU โดยระบุไว้ว่า หน่วยงานใดที่เก็บข้อมูลขอประชาชน EU ที่ไม่ปฎิบัติตามจะถูกปรับเป็นจำนวนเงินถึง 20 ล้านยูโร หรือ 2-4% ของรายได้ทั่วโลก ขึ้นอยู่กับว่าวงเงินใดมากกว่า กฎระเบียบมีผลใช้บังคับกับหน่วยงานที่อยู่ในสหภาพยุโรป (EU) และรวมไปถึงหน่วยงานนอก EU (ซึ่งก็อาจรวมถึงบริษัทและหน่วยงานต่างๆในประเทศไทย) ที่เก็บข้อมูลประชาชน EU หรือนำข้อมูลจากหน่วยงานอื่นไปประมวลผล
ข้อมูลส่วนบุคคลในความหมายของ GDPR ได้ครอบคลุมข้อมูลต่างๆมากมายอาทิเช่น
- ชื่อ, วันเดือนปีเกิด, สัญชาติ, ศาสนา, เชื้อชาติ, อีเมล
- ข้อมูลออนไลน์อาทิเช่น cookies, IP address, ข้อมูลพิกัด GPS
- ข้อมูล Biometric เช่นรายนิ้วมือ, รูปถ่าย
- ข้อมูลสุขภาพ, ข้อมูลด้านการเงิน
ซึ่งหน่วยงานที่เก็บข้อมูลประชาชน EU เหล่านี้ จะต้องมีระบบที่ทราบว่าได้เก็บข้อมูลอะไรไว้ เพราะอะไร เป็นเวลานานแค่ไหน ข้อมูลเหล่านี้ได้มาจากที่ใด และนำไปแชร์หรือให้ใครประมวลข้อมูล เมื่อไร ที่ไหน
โดย GDPR จะมีหลักสำคัญอยู่ 7 ประการคือ
- Consent: การขอความยินยอมจากเจ้าของข้อมูลต้องเข้าใจง่าย และต้องระบุอย่างชัดเจนว่าจะนำข้อมูลไปใช้ทำอะไร เพื่อวัต ถุประสงค์ใด
- Breach notification: หากพบว่าข้อมูลรั่วไหล จะต้องแจ้งให้ประชาชนและเจ้าของข้อมูลทราบภายใน 72 ชั่วโมงถึงผลกระทบที่อาจเกิดขึ้น
- Right to access: เจ้าของข้อมูลมีสิทธิที่จะร้องขอเข้าถึงข้อมูล และหน่วยงานที่เก็บข้อมูลจะต้องส่งข้อมูลให้ในรูปแบบอิเล็ กทรอนิกส์ที่สามารถนำมาใช้ต่อได้
- Right to be forgotten: เจ้าของข้อมูลสามารถขอให้หน่วยงานที่เก็บข้อมูลลบข้อมูลขอ งตัวเองออกได้
- Data portability: เจ้าของข้อมูลสามารถขอให้หน่วยงานที่เก็บข้อมูลส่งข้อมูล ของตัวเองไปให้หน่วยงานอื่นๆได้ รวมทั้งธุรกิจคู่แข่งของหน่วยงานที่เก็บข้อมูล
- Privacy by design: การออกแบบระบบจะต้องคำนึงถึงการป้องกันเรื่องข้อมูลส่วนบุ คคล
- Data Protection Officers (DPO):ต้องมีเจ้าหน้าที่คุ้มครองข้อมูล ที่มีหน้าที่ติดตามกิจกรรมประมวลผลข้อมูลขนาดใหญ่ และข้อมูลที่สำคัญ
ทั้งนี้ GDPR ได้จัดกลุ่มของหน่วยงานที่เกี่ยวข้องกับข้อมูลเป็นสองกลุ่ มคือ
- หน่วยงานควบคุมข้อมูล (data controller) ที่ได้รับความยินยอมจากเจ้าของข้อมูล (data subject) ในการจัดเก็บข้อมูล
- หน่วยงานที่ประมวลผลข้อมูล (data processer) ที่แม้อยู่นอกประเทศสมาชิก EU ก็ต้องทำตามกฎ GDPR
รูปที่ 1 Data protection model under GDPR (source: Preparing for EU GDPR, IT Governance Ltd)
บริษัทและหน่วยงานในประเทศเราน่าจะมีผลกระทบจากกฎระเบียบ GDPR ของ EU นี้จำนวนมาก คงไม่ใช่แค่สายการบินที่ให้บริการประชาชน EU แต่คงต้องรวมถึงทุกหน่วยงานที่จะทำหน้าที่ Data Controller ในการเก็บข้อมูล หรือเป็น Data Processor อาทิเช่น
- โรงแรมที่จะเก็บข้อมูลนักท่องเที่ยวจากประเทศกลุ่ม EU
- สถาบันการเงินที่อาจมีลูกค้า EU ในการฝากเงิน การทำธุรกรรมการเงินเช่นการแลกเปลี่ยนเงินตรา การใช้บัตรเครดิต หรือการใช้ Mobile Payment
- บริษัทโทรคมนาคมที่นักท่องเที่ยวเข้ามาใช้งานในบ้านเราที่ จะมีข้อมูลการใช้งาน พิกัดของผู้ใช้งาน
- E-commerce website จะเก็บข้อมูลของผู้เข้ามาใช้งาน หรือซื้อสินค้าต่างๆที่อาจมาจากกลุ่มประเทศ EU
การที่จะให้หน่วยงานสามารถตามกฎระเบียบ GDPR ไม่ใช่แค่การหาเครื่องมือใดเครื่องมือหนึ่งมาดูเรื่องความ ปลอดภัยของข้อมูล หรือการป้องกันข้อมูลรั่วไหล จริงๆแล้วมันอาจหมายถึงการปรับระเบียบการเก็บข้อมูลในองค์ กร การมีธรรมาภิบาลในการใช้ข้อมูล มีระบบความปลอดภัยที่ดี มีการขออนุญาตการใช้ข้อมูลอย่างถูกต้อง ทราบว่าข้อมูลต่างๆเก็บไว้ที่ใด รวมถึงการออกแบบระบบที่ต้องคำนึงถึงการป้องกันข้อมูลตั้งแ ต่แรก
คำถามง่ายๆบางครั้งหน่วยงานยังไม่ทราบเลยว่า ข้อมูลลูกค้าอยู่ที่ฐานข้อมูลใดบ้าง เก็บข้อมูลอะไรไว้บ้าง ใครเอาข้อมูลไปประมวลผลบ้าง ถูกใช้งานอย่างเหมาะสมหรือไม่ หรือส่งต่อไปให้ใคร ดังนั้นกรณีแบบนี้ก็จะปฎิบัติตาม GDPR ได้ยากกรณีลูกค้าร้องข้อมูล หรือสั่งให้ลบข้อมูลออก ที่หน่วยงานก็อาจจะไม่ทราบด้วยซ้ำไปว่าข้อมูลอยู่ที่ใด
บางครั้งเราอาจจะเคยได้ยินว่ากฎระเบียบ GDPR อาจไม่สามารถมาใช้บังคับกับหน่วยงานในบ้านเราได้ แต่ประเด็นที่น่าเป็นห่วงคือบริษัทและหน่วยงานต่างๆในประเ ทศไทยจำนวนมากจะต้องทำธุรกรรมกับบริษัทใน EU ที่เราอาจต้องนำข้อมูลมาประมวลผล เช่นการค้าขายที่อาจต้องใช้ข้อมูลจากประชาชนหรือบริษัทใน EU ซึ่งแม้บริษัทในบ้านเราจะไม่ได้เป็น Data Controller แต่บริษัทใน EU ที่เป็น Data controller ส่งข้อมูลมาให้เราประมวลผลและเราก็กำลังเป็น Data processor ซึ่งหากบริษัทของเราไม่สามารถปฎิบัติตาม GDPR บริษัท EU ที่เป็น Data controller นั้นก็อาจจะถูกปรับ และสุดท้ายก็จะไม่สามารถทำธุรกรรมกับบริษัทในบ้านเราได้
ที่มา:
https://th.wikipedia.org/wiki/รัฐสมาชิกสหภาพยุโรป
https://thanachart.org/2018/03/24/กฎระเบียบ-eu-เรื่อง-gdpr-general-data-protection-regulation-ก/
