ตัวเลขที่ต้องรู้: PDPA ไม่ใช่แค่กฎบนกระดาษอีกต่อไป
ณ เดือนมกราคม 2569 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. หรือ PDPC) รายงานว่ามีเรื่องร้องเรียนเข้ามาแล้วทั้งสิ้น 2,672 เรื่อง — ตัวเลขนี้สะท้อนว่าประชาชนไทยตระหนักถึงสิทธิของตนมากขึ้น และ สคส. กำลังทำหน้าที่บังคับใช้กฎหมายอย่างจริงจัง
ในด้านการลงโทษ สคส. ได้ออกคำสั่งปรับทางปกครองไปแล้ว 8 คำสั่ง ใน 5 คดี รวมมูลค่าค่าปรับมากกว่า 21.5 ล้านบาท โดยเฉพาะในเดือนสิงหาคม 2568 เพียงเดือนเดียวมีค่าปรับรวมถึง 14.5 ล้านบาท ทำให้ยอดรวมทะลุ 21 ล้านบาท
ตัวเลขเหล่านี้บอกเราว่า — ยุคของ "เตือนก่อน" จบลงแล้ว PDPA enforcement กำลังเข้าสู่โหมดเต็มรูปแบบ
กรณี Worldcoin — บทเรียนราคาแพงที่สุด
หนึ่งในคดีที่สร้างแรงสั่นสะเทือนมากที่สุดในวงการ Data Protection ของไทย คือคำสั่งของ สคส. ต่อบริษัท Worldcoin (ปัจจุบันใช้ชื่อ World) ที่ให้บริการสแกนม่านตา (Iris Scan) แลกกับสกุลเงินดิจิทัล
สคส. สั่งให้ Worldcoin หยุดให้บริการสแกนม่านตาในประเทศไทย และลบข้อมูลชีวภาพ (Biometric Data) ของผู้ใช้ชาวไทยกว่า 1.2 ล้านคน โดย สคส. ชี้ว่าการเก็บข้อมูลชีวภาพเพื่อแลกกับ Cryptocurrency ถือเป็นการละเมิด PDPA เนื่องจาก:
- ข้อมูลชีวภาพเป็นข้อมูลอ่อนไหว (Sensitive Data) ที่ต้องได้รับความยินยอมโดยชัดแจ้ง
- การแลกข้อมูลกับผลประโยชน์ทางการเงิน ทำให้ความยินยอมไม่เป็นอิสระ เพราะผู้ให้ข้อมูลถูกจูงใจด้วยผลตอบแทน
- ไม่มีมาตรการคุ้มครองที่เพียงพอ สำหรับข้อมูลที่มีความอ่อนไหวสูงระดับนี้
กรณีนี้ส่งสัญญาณชัดเจนว่า สคส. พร้อมดำเนินการกับบริษัทเทคโนโลยีระดับโลก ไม่ใช่แค่องค์กรไทยขนาดเล็ก และข้อมูลชีวภาพเป็นเส้นแดงที่ไม่ควรข้าม
8 คำสั่งปรับ 5 คดี — ประเภทการละเมิดที่พบบ่อย
จากคำสั่งปรับทั้ง 8 รายการที่ สคส. ออกมาจนถึงปัจจุบัน เราสามารถจำแนกประเภทการละเมิดที่พบบ่อยได้ดังนี้:
1. ข้อมูลลูกค้ารั่วไหลสู่แก๊งคอลเซ็นเตอร์
คดีที่มีค่าปรับสูงที่สุดรายเดียวคือ 7 ล้านบาท เกิดจากกรณีข้อมูลลูกค้ารั่วไหลและถูกนำไปใช้โดยแก๊งคอลเซ็นเตอร์ในการหลอกลวง กรณีนี้แสดงให้เห็นว่า สคส. ให้น้ำหนักกับผลกระทบที่เกิดขึ้นจริงต่อเจ้าของข้อมูล — เมื่อข้อมูลที่รั่วไหลถูกนำไปใช้ก่ออาชญากรรม ค่าปรับจะสูงตามความเสียหาย
2. หน่วยงานรัฐและผู้พัฒนาซอฟต์แวร์ถูกปรับพร้อมกัน
อีกกรณีที่น่าสนใจคือเหตุ Cyberattack ที่ทำให้ข้อมูลส่วนบุคคลของประชาชนกว่า 200,000 ราย ถูกเปิดเผย ทั้งหน่วยงานรัฐ (ในฐานะผู้ควบคุมข้อมูล) และผู้พัฒนาซอฟต์แวร์ (ในฐานะผู้ประมวลผลข้อมูล) ถูกปรับคนละมากกว่า 150,000 บาท
บทเรียนสำคัญคือ — ทั้ง Data Controller และ Data Processor มีความรับผิดชอบร่วมกัน การ Outsource งานไม่ได้หมายความว่า Outsource ความรับผิดชอบไปด้วย
3. รูปแบบการละเมิดที่ควรระวัง
จากทั้ง 5 คดี สรุปรูปแบบการละเมิดที่พบบ่อยได้ดังนี้:
- มาตรการรักษาความปลอดภัยไม่เพียงพอ — ไม่มีการเข้ารหัส ไม่มีการจำกัดสิทธิ์การเข้าถึง
- ไม่แจ้งเหตุละเมิดภายใน 72 ชั่วโมง — PDPA กำหนดให้แจ้ง สคส. โดยไม่ชักช้า
- ไม่มี Data Protection Officer (DPO) หรือผู้รับผิดชอบที่ชัดเจน
- เก็บข้อมูลเกินความจำเป็น — เก็บข้อมูลที่ไม่เกี่ยวข้องกับวัตถุประสงค์ที่แจ้งไว้
ภาคธุรกิจที่ถูกจับตา
เข้าสู่ปี 2569 สคส. ส่งสัญญาณชัดว่าจะเพิ่มความเข้มข้นในการตรวจสอบหลายภาคส่วน:
อีคอมเมิร์ซ (E-Commerce)
แพลตฟอร์มอีคอมเมิร์ซเก็บข้อมูลลูกค้าจำนวนมาก ทั้งชื่อ ที่อยู่ เบอร์โทร ข้อมูลการชำระเงิน และพฤติกรรมการซื้อ ยิ่งมีการใช้ AI ในการวิเคราะห์พฤติกรรมลูกค้า ยิ่งต้องระวังเรื่องความยินยอมและขอบเขตการใช้ข้อมูล
