กฎหมายคุ้มครองข้อมูลส่วนบุคคลในสหรัฐเป็นอย่างไร?

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 ของประเทศไทย มีผลใช้บังคับอย่างเต็มรูปแบบในวันที่ 1 มิ.ย.ที่ผ่านมา ซึ่งต้องยอมรับว่าภาคเอกชนหลายๆ บริษัทนั้นมีความตื่นตัวและเตรียมความพร้อมกันอย่างเต็มที่ในการดำเนินการให้เป็นไปตามที่กฎหมายดังกล่าวกำหนด

หลายประเทศเพื่อนบ้าน รวมทั้งเวียดนาม ก็กำลังเตรียมตัวเพื่อออกกฎหมายคุ้มครองข้อมูลส่วนบุคคลด้วยเช่นกัน ในส่วนประเทศญี่ปุ่น มีการบังคับใช้กฎหมายเกินกว่า 15 ปีแล้ว แต่ก็มีการพัฒนาแก้ไขกฎหมายอยู่เป็นระยะเพื่อให้เหมาะสมกับสภาพการณ์ของสังคม

ในส่วนของประเทศสหรัฐอเมริกา ซึ่งเป็นยักษ์ใหญ่ในประชาคมโลก และมีความก้าวล้ำในเรื่องของกฎหมายและเทคโนโลยีเป็นอย่างยิ่ง

หลายๆ ท่านก็คงคาดหมายว่า สหรัฐนั้นก็น่าจะมีความก้าวหน้าในส่วนของกฎหมายคุ้มครองข้อมูลส่วนบุคคลมากกว่าประเทศอื่นๆ โดยที่สหรัฐมีกฎหมายหลายฉบับที่กำกับการใช้ข้อมูลส่วนบุคคลในเฉพาะส่วน เช่น The Privacy Act of 1974 ซึ่งเป็นกฎหมายที่คุ้มครองข้อมูลส่วนบุคคลที่ถูกจัดเก็บโดยหรืออยู่ภายใต้การครอบครองของรัฐบาล

Health Insurance Portability and Accountability Act of 1996 (HIPAA) ซึ่งเป็นกฎหมายที่คุ้มครองข้อมูลส่วนบุคคลประเภทข้อมูลสุขภาพของคนไข้ หรือผู้ใช้บริการสาธารณสุข The Children’s Online Privacy Protection Act (COPPA) ซึ่งเป็นกฎหมายที่คุ้มครองข้อมูลของเด็กอายุต่ำกว่า 13 ปี

โดยห้ามการเก็บข้อมูลของเด็กผ่านทางออนไลน์ หรืออุปกรณ์อื่นๆ และกำหนดให้ต้องมีการขอความยินยอมจากผู้ปกครองของเด็กในกรณีที่มีการเก็บข้อมูลของเด็ก 

The Video Privacy Protection Act (VPPA) ซึ่งเป็นกฎหมายที่คุ้มครองข้อมูลของการเช่าหรือซื้อ สื่อวีดิทัศน์ประเภทต่างๆ แต่อย่างไรก็ดี ปัจจุบัน สหรัฐยังไม่มีกฎหมายระดับประเทศ (Federal law) ที่มากำกับเรื่องการใช้ข้อมูลส่วนบุคคลเป็นการทั่วไป

นอกจากกฎหมายเฉพาะดังกล่าวข้างต้น The Federal Trade Commission Act หรือกฎหมายที่เทียบเคียงได้กับ พระราชบัญญัติการแข่งขันทางการค้า พ.ศ.2560 ของประเทศไทย ก็ได้ให้อำนาจคณะกรรมการการค้าสหรัฐ (The U.S. Federal Trade Commission (FTC)) ไว้อย่างค่อนข้างกว้างขวางในการกำกับการประกอบธุรกิจในลักษณะต่างๆ

คณะกรรมการการค้าสหรัฐก็ได้มีการตีความกฎหมายนี้ ในส่วนของข้อความเรื่อง การกระทำที่เป็นการหลอกลวงให้ครอบคลุมถึงเรื่องที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลอีกด้วย

หากดูเฉพาะแค่กฎหมายระดับประเทศ กฎหมายของสหรัฐก็ถือว่าซับซ้อนมากแล้ว แต่อย่างไรก็ดี นอกจากกฎหมายระดับประเทศ ก็ยังมีกฎหมายระดับมลรัฐ (State law) ที่บังคับใช้ควบคู่กันไปอีกมิติหนึ่ง ซึ่งในแต่ละมลรัฐก็จะมีความแตกต่างกันออกไป

ในส่วนของกฎหมายระดับมลรัฐนั้น มี 5 รัฐที่ออกกฎหมายคุ้มครองข้อมูลส่วนบุคคลเป็นการทั่วไป คือ รัฐแคลิฟอร์เนีย รัฐคอนเนตทิคัต รัฐยูทาห์ รัฐเวอร์จิเนีย รัฐโคโลราโด และมีอีกมากกว่า 10 รัฐที่กำลังพิจารณาร่างกฎหมายคุ้มครองข้อมูลส่วนบุคคลเป็นการทั่วไป

California Consumer Privacy Act of 2018 ของรัฐแคลิฟอร์เนีย หรือที่เรียกว่า CCPA ถือเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคลเป็นการทั่วไปฉบับแรกของสหรัฐ ในส่วนของกฎหมายคุ้มครองข้อมูลส่วนบุคคลเป็นการทั่วไปของรัฐคอนเนตทิคัต รัฐยูทาห์ รัฐเวอร์จิเนีย รัฐโคโลราโด นั้น ล้วนแล้วแต่เพิ่งจะมีผลใช้บังคับหรือกำลังจะมีผลบังคับในปีนี้ทั้งสิ้น

แต่ถึงแม้รัฐส่วนใหญ่จะยังไม่มีการออกกฎหมายคุ้มครองข้อมูลส่วนบุคคลเป็นการทั่วไป รัฐต่างๆ ก็มีการควบคุมกำกับการเรื่องข้อมูลส่วนบุคคลในบางส่วนหรือบางประเด็น ผ่านกฎหมายหลายๆ ฉบับ

เช่น รัฐนิวยอร์กมีกฎหมายบังคับให้นายจ้างแจ้งต่อพนักงานในกรณีที่มีการติดตามข้อมูลในอีเมล หรือการสื่อสารทางอิเล็กทรอนิกส์ รัฐเดลาแวร์มีกฎหมายบังคับให้ผู้ให้บริการเว็บไซต์เปิดเผยนโยบายความเป็นส่วนตัวบนเว็บไซต์หรือบนแอปพลิเคชัน

ปัญหาที่ตามมาจากการที่แต่ละรัฐออกกฎหมายของตน คือ การที่ภาคเอกชนจะต้องปฏิบัติตามกฎหมายของหลายๆ รัฐพร้อมๆ กัน โดยที่กฎหมายของแต่ละรัฐนั้น อาจจะมีความแตกต่างกันเพื่อแก้ปัญหาดังกล่าว

จึงมีแนวคิดว่าควรให้รัฐบาลกลางของสหรัฐออกกฎหมายเพื่อกำกับการคุ้มครองข้อมูลส่วนบุคคลเป็นการทั่วไปนี้ แทนการให้รัฐบาลของแต่ละรัฐเป็นคนออกกฎหมายในส่วนนี้ ทั้งนี้ เพื่อลดภาระของภาคเอกชนในการปฏิบัติตามกฎหมาย

ในขณะนี้ก็มีร่างกฎหมายระดับสหรัฐ (Federal law) ที่กำลังอยู่ในระหว่างการพิจารณา เช่น American Data Privacy and Protection Act ที่เพิ่งจะมีการรับฟังความเห็นไปเมื่อวันที่ 14 มิ.ย.ที่ผ่านมา

คงต้องติดตามกันต่อไปว่า กฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหรัฐจะพัฒนาไปในทิศทางใด และจะมีอะไรที่เป็นประโยชน์หรือควรนำมาปรับใช้กับแนวทางการคุ้มครองข้อมูลส่วนบุคคลในประเทศไทยหรือไม่ อย่างไร