กฎหมาย PDPA เริ่มใช้บังคับแบบงงๆ ต้องเร่งสร้างความเข้าใจ

1 มิถุนายน ที่ผ่านมา เป็นวันเริ่มต้นของการใช้บังคับ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล หรือที่เรียกกันว่า PDPA กันอย่างเต็มรูปแบบ หลายองค์กรรีบเร่งกันเพื่อกำหนดแนวทางการทำงาน ออกนโยบาย และแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือเรียกสั้นๆ ว่า DPO (Data Protection Officer) โดยบางองค์กรประชุมกันวันสุดท้าย เพื่อประกาศใช้นโยบาย รับวันแรกที่กฎหมายมีผลใช้บังคับ

ผมเชื่อว่า ถึงวันนี้หลายองค์กรยังไม่พร้อม โดยเฉพาะหน่วยงานเล็กๆ เอสเอ็มอี หน่วยงานราชการบางแห่ง หรือแม้แต่สมาคมภาคเอกชนต่างๆ หลายองค์กรยังไม่มีนโยบาย หรืออาจไม่เข้าใจกฎหมายดังกล่าว และไม่ได้ทำการใดๆ ช่วงที่ผ่านมาจนถึงวันนี้

กฎหมายคุ้มครองข้อมูลส่วนบุคคลเป็นเรื่องที่ดี และเป็นเรื่องจำเป็นที่จะต้องทำ โดยเฉพาะเมื่อสหภาพยุโรปได้ออกกฎหมาย GDPR (General Data Protection Regulation) มาเพื่อคุ้มครองข้อมูลส่วนบุคคลของพลเมืองประเทศในสหภาพยุโรป ซึ่งมีผลครอบคลุมไปถึงหน่วยงานต่างๆ ของประเทศนอกสหภาพยุโรป ที่พลเมืองของยุโรปต้องเข้าไปใช้บริการ หรือทำงาน เช่น สายการบิน โรงแรม ร้านค้า ต่างๆ ก็ยิ่งทำให้เห็นความสำคัญที่บ้านเราจำเป็นต้องมีกฎหมายในลักษณะนี้ แบบเดียวกับประเทศต่างๆ ทั่วโลกที่เริ่มมีกฎหมายของแต่ละประเทศออกมาบังคับใช้

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล เป็นกฎหมายที่ใช้เวลายาวนานมากกว่าจะผ่านการอนุมัติจากรัฐสภา ใช้เวลานานนับสิบปี และเมื่อประกาศ พ.ร.บ.ออกมาในปี พ.ศ.2562 ยังต้องประกาศเลื่อนการใช้บังคับไปอีกถึงสองครั้ง จนครั้งล่าสุดเริ่มใช้จริง 1 มิถุนายน 2565 แม้กระนั้นก็ตามหลายคนก็ยังลุ้นจนนาทีสุดท้ายว่าจะมีการเลื่อนอีกรอบหรือไม่ สุดท้ายก็ไม่มีการเลื่อน หลายองค์กรก็ต้องเริ่มทำตามข้อกำหนดแบบงงๆ

แม้จะมีการประชาสัมพันธ์ถึงกฎหมายดังกล่าวระดับหนึ่ง แต่คนส่วนใหญ่ ยังไม่มีความเข้าใจที่ชัดเจนในตัวบทกฎหมาย การขาดความเข้าใจที่ถูกต้องทำให้ทุกคนสับสน ไม่รู้ว่าจะต้องทำอย่างไรบ้าง ซึ่งสังคมไทยไม่ได้คุ้นเคยกับข้อห้ามต่อการยุ่งกับข้อมูลส่วนบุคคลของคนอื่น กฎหมายก็ดูยิ่งย้อนแย้งกับวัฒนธรรมของคนไทยในบางเรื่อง ทำให้คนวางตัวลำบาก และก็เริ่มไม่แน่ใจว่าเราจะเสี่ยงกับการละเมิดกฎหมาย PDPA มากน้อยแค่ไหน

เราอยู่ในสังคมแบบกันเอง มักจะถามเรื่องส่วนตัวของคนอื่นกันบ่อยๆ เช่น ทานข้าวหรือยัง ทำงานอาชีพอะไร พักอยู่ที่ไหน พ่อแม่เป็นใคร ไปที่ไหนมา นี่คือสังคมแบบไทยๆ รวมทั้งทุกวันนี้ เราก็ยังมีการประกาศรายชื่อคนในเรื่องต่างๆ มากมาย ทั้งการเข้าอบรม การทำงาน ผู้สอบผ่าน หรือแม้แต่รายชื่อผู้โดยสารในการเดินทางต่างๆ

เรามีการแชร์ภาพคนอื่นๆ ออกไปมากมาย เอาเรื่องส่วนตัวของคนอื่นมาเขียนก็มี แต่ก่อนนี้สื่อมวลชนบางแห่ง ลงข่าวอาชญากรรมหรือข่าวบันเทิงก็มีการระบุชื่อที่อยู่ของผู้ต้องสงสัย สิ่งต่างๆ เหล่านี้จะเริ่มทำไม่ได้ภายใต้กฎหมาย PDPA หากไม่ได้รับความยินยอมจากเจ้าของข้อมูล แต่เชื่อว่าหลายคนคงยังไม่ตระหนักในเรื่องนี้

เมื่ออ่านข้อกฎหมายอย่างละเอียด อาจเกิดข้อสงสัยว่าจะทำได้อย่างไร ในเมื่อบ้านเรามีวัฒนธรรมในบางอย่างที่แตกต่างจากการใช้บังคับของกฎหมาย แต่ก็ยังดีที่สื่อมวลชน และภาคเอกชนจำนวนหนึ่งช่วยกันเผยแพร่ให้ความรู้กับผู้คน แต่อย่างไรก็ตามยังมีความสับสนกันอยู่มาก ว่าที่ถูกต้องควรเป็นอย่างไร ดังนั้นจึงเป็นเรื่องจำเป็นยิ่งที่หน่วยงานที่มีหน้าที่รับผิดชอบโดยตรง โดยเฉพาะภาครัฐบาล ต้องเร่งประชาสัมพันธ์มากกว่านี้ เขียนด้วยภาษาที่เข้าใจง่ายๆ ว่าอะไรทำได้ อะไรทำไม่ได้ และประชาชนต้องทำอะไรบ้าง

ความน่าเป็นห่วงคือ หน่วยงานเล็กๆ และชาวบ้านจำนวนมากไม่เข้าใจกฎหมายฉบับนี้ บ้างก็กลัวจนเกินเหตุจนทำให้ไม่กล้าทำอะไร บ้างก็ไม่ได้สนใจอะไรใดๆ จนทำให้เกิดความสุ่มเสี่ยงต่อการถูกฟ้อง และจากความเข้มงวดในกฎหมาย อาจมีโอกาสที่จะเกิดความพลาดพลั้งหรือผิดพลาดขึ้นได้ ไม่ว่าจะเป็นหน่วยงานเล็กๆ ไปจนถึงองค์กรขนาดใหญ่

ถึงแม้หน่วยงานจะประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคลแล้วก็ตาม แต่ก็เชื่อว่าผู้บริหารหรือพนักงานจำนวนมากก็ยังไม่เข้าใจแนวปฏิบัติที่ดีพอ รวมไปถึง DPO ก็อาจจะยังใหม่ในหน้าที่ของตัวเอง

แต่เมื่อกฎหมายมีผลใช้บังคับแล้ว ทุกคนเริ่มปฎิบัติตามแบบงงๆ เราก็คงต้องเดินหน้ากันต่อไป สร้างความเข้าใจกฎเกณฑ์และนโยบายให้ดีขึ้น และที่สำคัญที่สุดคือต้องเร่งให้ความรู้กับผู้คนในทุกระดับ ตั้งแต่ผู้บริหารองค์กร พนักงาน ข้าราขการ เจ้าของธุรกิจเล็กๆ ร้านค้าทั่วไป หรือแม้แต่คนทั่วไป มิฉะนั้นแล้วจะเกิดความวุ่นวาย คดีความจะเกิดขึ้นมากมาย โดยเฉพาะในยุคนี้ที่เรามีทั้งการใช้เทคโนโลยีในโลกโซเชียลอย่างไร้ขอบเขต และก็มีนักร้องที่พร้อมจะฟ้องได้ทุกเรื่อง