สคส. เปิดสถิติ PDPA ร้องเรียน–ขอคำปรึกษา 4,210 เรื่อง พบเหตุข้อมูลส่วนบุคคลรั่วไหล 1,650 เรื่อง ย้ำไม่ใช่ทุกกรณีต้องขอ Consent

“สคส. เคลียร์ใจสื่อ” ชวนสื่อร่วมสร้างความเข้าใจ PDPA เปิด 4,210 เรื่องร้องเรียน พร้อมเจาะ 1,650 เหตุข้อมูลรั่ว

     กรุงเทพฯ – สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือ Personal Data Protection Committee (PDPC) เปิดเผยสถิติเรื่องร้องเรียนและข้อปรึกษาเกี่ยวกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) รวม 4,210 เรื่อง พร้อมรายงานการรับแจ้งเหตุละเมิดข้อมูลส่วนบุคคล 1,650 เรื่อง ในช่วงปี พ.ศ. 2566 ถึงวันที่ 31 พฤษภาคม 2569 โดยพบเหตุในกลุ่ม Non-cyber จำนวน 849 เรื่อง หรือ 51.45% มากกว่ากลุ่ม Cyber ที่มี 747 เรื่อง หรือ 45.27% สะท้อนว่าความเสี่ยงไม่ได้เกิดจากการโจมตีทางไซเบอร์เท่านั้น แต่ยังเกี่ยวข้องกับความผิดพลาดของบุคลากรและกระบวนการทำงานด้วย พร้อมย้ำว่าการเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่จำเป็นต้องขอความยินยอม (Consent) ในทุกกรณี หากมีฐานทางกฎหมายรองรับ

สคส. เปิดพื้นที่สื่อมวลชน ทำความเข้าใจกฎหมาย PDPA

     สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) จัดงาน “สคส. เคลียร์ใจสื่อ ตอบทุกข้อคำถามเรื่อง PDPA” เพื่อเปิดพื้นที่ให้สื่อมวลชนสอบถามข้อสงสัยและแลกเปลี่ยนข้อมูลเกี่ยวกับการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคล พร้อมเปิดเผยสถิติเรื่องร้องเรียนและข้อปรึกษา รวมถึงสถิติการรับแจ้งเหตุละเมิดข้อมูลส่วนบุคคล เพื่อสะท้อนสถานการณ์การคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย

     ประเด็นสำคัญของงานครอบคลุมทั้งกระบวนการตรวจสอบข้อร้องเรียน การพิจารณาว่าการกระทำใดเข้าข่ายฝ่าฝืนกฎหมาย PDPA ความเข้าใจที่คลาดเคลื่อนเกี่ยวกับการถ่ายภาพและเผยแพร่ข้อมูลบนสื่อสังคมออนไลน์ ตลอดจนแนวทางรายงานข่าวเมื่อเกิดเหตุข้อมูลรั่วไหล โดยคำนึงถึงสิทธิและความเป็นส่วนตัวของผู้เสียหาย

     สคส. ยังให้ความสำคัญกับบทบาทของสื่อมวลชนในการสื่อสารข้อเท็จจริงและให้ข้อมูลแก่ประชาชน เพื่อให้เข้าใจสิทธิของตนเองและหน้าที่ขององค์กรที่เกี่ยวข้องกับการเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลอย่างถูกต้อง

พ.ต.อ. สุรพงศ์ เปล่งขำ ชี้สื่อมีบทบาทสำคัญในการสื่อสารสิทธิข้อมูลส่วนบุคคล

     พ.ต.อ. สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กล่าวว่า สื่อมวลชนมีบทบาทสำคัญในการทำให้ประชาชนเข้าใจสิทธิด้านข้อมูลส่วนบุคคล เนื่องจากหลายเหตุการณ์ที่เกี่ยวข้องกับ PDPA เป็นเรื่องใกล้ตัวและสามารถแพร่กระจายผ่านสื่อมวลชน สื่อออนไลน์ และสังคมออนไลน์ได้อย่างรวดเร็ว ความถูกต้องของข้อมูลตั้งแต่ต้นจึงส่งผลต่อความเข้าใจของประชาชนโดยตรง

     พ.ต.อ. สุรพงศ์ กล่าวว่า สคส. ต้องการให้สื่อมวลชนเป็นพันธมิตรในการอธิบายกฎหมายที่มีรายละเอียดซับซ้อนให้ประชาชนเข้าใจง่าย ทั้งเรื่องสิทธิของเจ้าของข้อมูลส่วนบุคคลและหน้าที่ขององค์กร พร้อมเปิดพื้นที่ให้สื่อสอบถามประเด็นที่ยังมีข้อสงสัยหรือกำลังเป็นที่ถกเถียงในสังคมอย่างตรงไปตรงมา

     นอกจากการสื่อสารความรู้แล้ว สคส. ยังสรุปผลการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคลทั้งในเชิงรุกและเชิงรับ โดยเปิดเผยสถิติเรื่องร้องเรียนและข้อปรึกษารวม 4,210 เรื่อง ซึ่งเป็นข้อมูลที่สะท้อนความตื่นตัวของประชาชนต่อสิทธิในข้อมูลส่วนบุคคล

เปิด 4,210 เรื่องร้องเรียนและข้อปรึกษา ภาคเอกชนถูกร้องเรียนมากที่สุด

     จากสถิติเรื่องร้องเรียนและข้อปรึกษาเกี่ยวกับ PDPA จำนวน 4,210 เรื่อง พบว่ากรณีที่เกี่ยวข้องกับภาคเอกชนมีจำนวน 3,889 เรื่อง ขณะที่ภาครัฐมีจำนวน 321 เรื่อง

     เมื่อพิจารณาตามประเด็นที่มีการร้องเรียนสูงสุด 3 อันดับแรก พบว่า

1. มาตรา 27 การเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม จำนวน 1,025 เรื่อง

2. มาตรา 4 ประเด็นข้อยกเว้นสำหรับการดำเนินการเพื่อประโยชน์ส่วนตนหรือกิจกรรมในครอบครัว จำนวน 724 เรื่อง

3. มาตรา 24 และมาตรา 26 ประเด็นการเก็บรวบรวมข้อมูลส่วนบุคคล จำนวน 586 เรื่อง

     สถิติดังกล่าวแสดงให้เห็นว่าประเด็นเกี่ยวกับการเปิดเผย การเก็บรวบรวม และข้อยกเว้นในการใช้ข้อมูลส่วนบุคคลยังเป็นเรื่องที่ประชาชนให้ความสนใจ อย่างไรก็ตาม จำนวนเรื่องร้องเรียนไม่ได้หมายความว่าทุกกรณีเป็นการกระทำผิดกฎหมายแล้ว เพราะการพิจารณาว่ามีการฝ่าฝืน PDPA หรือไม่ต้องตรวจสอบข้อเท็จจริง ขอบเขตการใช้ข้อมูล และฐานทางกฎหมายของแต่ละกรณี

พบเหตุละเมิดข้อมูลส่วนบุคคล 1,650 เรื่อง มากกว่าครึ่งเป็น Non-cyber

     สำหรับสถิติการรับแจ้งเหตุละเมิดข้อมูลส่วนบุคคล ตั้งแต่ปี พ.ศ. 2566 ถึงวันที่ 31 พฤษภาคม 2569 สคส. ได้รับแจ้งเหตุรวม 1,650 เรื่อง แบ่งเป็นเหตุในกลุ่ม Non-cyber จำนวน 849 เรื่อง คิดเป็น 51.45% เหตุในกลุ่ม Cyber จำนวน 747 เรื่อง คิดเป็น 45.27% และสาเหตุอื่น ๆ จำนวน 54 เรื่อง คิดเป็น 3.28%

     ในกลุ่ม Cyber แบ่งเป็นเหตุจาก Cyber Threat จำนวน 567 เรื่อง และ Social Media จำนวน 180 เรื่อง ส่วนเหตุในกลุ่ม Non-cyber ส่วนใหญ่เกี่ยวข้องกับ Human Error หรือความผิดพลาดของบุคลากร

     พ.ต.อ. สุรพงศ์ เปล่งขำ เลขาธิการคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กล่าวว่า ตัวเลขดังกล่าวสะท้อนว่าปัญหาข้อมูลรั่วไหลไม่สามารถพิจารณาได้จากคำถามเพียงว่า “ถูกแฮกหรือไม่” เพราะเหตุที่ไม่ใช่การโจมตีทางไซเบอร์มีสัดส่วนมากกว่าครึ่งของเหตุที่ได้รับแจ้ง การป้องกันจึงต้องครอบคลุมทั้งเทคโนโลยี บุคลากร กระบวนการทำงาน และวัฒนธรรมการคุ้มครองข้อมูลภายในองค์กร

ธุรกิจการเงินมีการแจ้งเหตุสูงสุด 723 เรื่อง

     เมื่อจำแนกเหตุละเมิดข้อมูลส่วนบุคคลตามประเภทหน่วยงาน พบว่ากลุ่มการเงิน การลงทุน และการประกันมีจำนวนการแจ้งเหตุสูงสุด 723 เรื่อง รองลงมา ได้แก่

• หน่วยงานของรัฐและรัฐวิสาหกิจ 206 เรื่อง

• ธุรกิจค้าปลีก ค้าส่ง และการค้าออนไลน์ 204 เรื่อง

• กลุ่มพลังงาน สาธารณูปโภค และอุตสาหกรรมการผลิต 105 เรื่อง

• ด้านสาธารณสุข 87 เรื่อง

    สำหรับสถานะการดำเนินการจากเหตุที่ได้รับแจ้งทั้งหมด 1,650 เรื่อง แบ่งเป็นอยู่ระหว่างดำเนินการ 569 เรื่อง อยู่ในสถานะเฝ้าระวังและติดตาม 1,071 เรื่อง เสนอคณะกรรมการผู้เชี่ยวชาญ 9 เรื่อง และส่งเรื่องให้ศูนย์ให้คำปรึกษาและรับเรื่องร้องเรียน 1 เรื่อง

     ตัวเลขสถานะดังกล่าวเป็นข้อมูลความคืบหน้าตามการจำแนกของ สคส. ไม่ควรตีความว่าเหตุที่อยู่ในสถานะเฝ้าระวังและติดตามเป็นคดีที่ยุติแล้ว หรือเป็นข้อสรุปว่ามีหรือไม่มีการกระทำผิด หากยังไม่มีข้อมูลยืนยันผลการพิจารณาของแต่ละกรณี

วีรินทร์ อรวัฒนพันธุ์ ย้ำ PDPA ไม่ได้กำหนดให้ทุกกรณีต้องขอ Consent

     นางสาววีรินทร์ อรวัฒนพันธุ์ ผู้อำนวยการฝ่ายสื่อสารองค์กร สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) กล่าวว่า หนึ่งในประเด็นที่ต้องการสร้างความเข้าใจให้ตรงกัน คือความเข้าใจคลาดเคลื่อนเกี่ยวกับ PDPA ทั้งในฝั่งประชาชนและองค์กร

      ในส่วนของประชาชน ยังมีความกังวลว่ากฎหมายอาจทำให้การใช้ชีวิตประจำวันยุ่งยากขึ้น เช่น การถ่ายภาพที่มีบุคคลอื่นติดอยู่ในภาพ หรือการโพสต์ภาพลงสื่อสังคมออนไลน์ ทั้งนี้ การดำเนินการดังกล่าวต้องพิจารณาตามข้อเท็จจริง วัตถุประสงค์ ขอบเขตการใช้ข้อมูล และผลกระทบที่อาจเกิดขึ้น ไม่สามารถสรุปได้ว่าการถ่ายภาพติดบุคคลอื่นทุกกรณีเป็นการฝ่าฝืน PDPA

     ขณะเดียวกัน องค์กรบางแห่งยังเข้าใจว่าการเก็บหรือใช้ข้อมูลส่วนบุคคลทุกกรณีต้องได้รับความยินยอมจากเจ้าของข้อมูลก่อน จนอาจเกิดการขอ Consent เกินความจำเป็น หรือที่เรียกว่า Over-compliance และสร้างภาระแก่ประชาชน

     นางสาววีรินทร์อธิบายว่า PDPA กำหนดฐานทางกฎหมายสำหรับการประมวลผลข้อมูลส่วนบุคคลไว้หลายรูปแบบ เช่น ฐานสัญญา ฐานการปฏิบัติตามกฎหมาย และฐานประโยชน์อันชอบธรรม ดังนั้น หากการเก็บหรือใช้ข้อมูลมีฐานทางกฎหมายอื่นรองรับและดำเนินการอยู่ภายในขอบเขตที่กฎหมายกำหนด ก็ไม่จำเป็นต้องขอความยินยอมซ้ำซ้อนในทุกกรณี

     นางสาววีรินทร์กล่าวว่า การพิจารณาว่าการใช้ข้อมูลส่วนบุคคลทำได้หรือไม่ ต้องดูว่ามีฐานทางกฎหมายรองรับหรือไม่ และการดำเนินการนั้นเหมาะสมกับวัตถุประสงค์เพียงใด โดย PDPA ไม่ได้หมายความว่าทุกกิจกรรมต้องขอ Consent และไม่ได้ห้ามประชาชนใช้ชีวิตประจำวันตามปกติ

มาตรา 4 ยกเว้นการใช้ข้อมูลเพื่อประโยชน์ส่วนตน แต่ต้องดูขอบเขต

     นางสาววีรินทร์ อรวัฒนพันธุ์ ผู้อำนวยการฝ่ายสื่อสารองค์กร สคส. กล่าวเพิ่มเติมว่า มาตรา 4 เป็นอีกประเด็นที่ประชาชนสอบถามเข้ามาจำนวนมาก โดยกฎหมายกำหนดข้อยกเว้นสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือกิจกรรมในครอบครัวของบุคคลนั้น ซึ่งไม่ได้นำไปใช้ในเชิงธุรกิจตามขอบเขตที่กฎหมายกำหนด

     ตัวอย่างเช่น การบันทึกภาพครอบครัว หรือการติดตั้งกล้องวงจรปิดเพื่อดูแลความปลอดภัยภายในบริเวณบ้านของตนเอง อย่างไรก็ตาม ต้องพิจารณาขอบเขตการใช้งานและข้อเท็จจริงของแต่ละกรณีด้วย

     หากกล้องวงจรปิดบันทึกพื้นที่ส่วนตัวภายในบ้านของผู้อื่น หรือมีการนำภาพบุคคลอื่นไปเผยแพร่เพื่อประจานบนสื่อสังคมออนไลน์ กรณีดังกล่าวอาจมีประเด็นด้านสิทธิส่วนบุคคลและกฎหมายที่เกี่ยวข้อง โดยไม่ควรเหมารวมว่าการใช้กล้องวงจรปิดหรือการเผยแพร่ภาพทุกกรณีเข้าข่ายข้อยกเว้นตามมาตรา 4

สคส. ชวนสื่ออธิบาย PDPA อย่างรอบด้าน ไม่ซ้ำเติมผู้เสียหายจากข้อมูลรั่วไหล

     นางสาววีรินทร์กล่าวว่า การสื่อสารเกี่ยวกับ PDPA ควรหลีกเลี่ยงการสรุปแบบเหมารวม เช่น “ถ่ายรูปติดคนอื่นก็ผิด” “ทุกอย่างต้องขอ Consent” หรือ “อ้าง PDPA แล้วเปิดเผยข้อมูลไม่ได้ทุกกรณี” เพราะอาจทำให้ประชาชนเข้าใจกฎหมายคลาดเคลื่อน

     สื่อมวลชนจึงมีบทบาทในการตรวจสอบข้อเท็จจริง อธิบายบริบท และนำเสนอข้อมูลอย่างสมดุล โดยเฉพาะเมื่อเกิดเหตุข้อมูลรั่วไหล ควรระมัดระวังไม่เผยแพร่ข้อมูลส่วนบุคคลที่อาจทำให้ผู้เสียหายได้รับผลกระทบซ้ำเติม และควรให้ข้อมูลที่ประชาชนสามารถนำไปใช้ปกป้องสิทธิของตนเองได้

     การทำงานร่วมกันระหว่าง สคส. และสื่อมวลชนมีเป้าหมายเพื่อให้ประชาชนเข้าใจว่า PDPA มุ่งสร้างสมดุลระหว่างการใช้ข้อมูลส่วนบุคคลกับการคุ้มครองสิทธิ ไม่ใช่การสร้างภาระที่ไม่จำเป็นหรือปิดกั้นการดำเนินชีวิตตามปกติ

ทำความเข้าใจสิทธิและหน้าที่ตาม PDPA ก่อนสรุปว่าผิดกฎหมาย

     จากสถิติเรื่องร้องเรียนและข้อปรึกษา 4,210 เรื่อง รวมถึงเหตุละเมิดข้อมูลส่วนบุคคล 1,650 เรื่อง สะท้อนให้เห็นถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลทั้งในระดับประชาชนและองค์กร การป้องกันเหตุจำเป็นต้องอาศัยมาตรการด้านเทคโนโลยี การอบรมบุคลากร การกำหนดขั้นตอนการทำงาน และการสร้างวัฒนธรรมที่ให้ความสำคัญกับข้อมูลส่วนบุคคล

     ขณะเดียวกัน การสื่อสารเรื่อง PDPA ควรอ้างอิงข้อเท็จจริงและพิจารณาบริบทของแต่ละกรณี โดยไม่สรุปว่าการกระทำใดผิดกฎหมายจากตัวเลขร้องเรียนเพียงอย่างเดียว และไม่ควรเข้าใจว่าการใช้ข้อมูลทุกกรณีต้องขอความยินยอมเสมอไป

     สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) จึงมุ่งทำงานร่วมกับสื่อมวลชนเพื่อให้ข้อมูลเกี่ยวกับสิทธิ หน้าที่ และการคุ้มครองข้อมูลส่วนบุคคลมีความถูกต้อง เข้าใจง่าย และนำไปใช้ได้จริง ทั้งสำหรับประชาชน องค์กรภาคเอกชน และหน่วยงานภาครัฐ