ข้อมูลส่วนบุคคลคืออะไร: เจาะลึกประเภทของข้อมูลที่ PDPA คุ้มครอง
จากบทความที่แล้ว เราได้ทำความรู้จักกับ PDPA หรือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไปแล้ว ในบทความนี้ เราจะเจาะลึกลงไปในรายละเอียดว่าอะไรคือ "ข้อมูลส่วนบุคคล" ที่ PDPA ให้ความคุ้มครอง เพื่อให้คุณเข้าใจขอบเขตของกฎหมายนี้อย่างชัดเจนยิ่งขึ้น
ข้อมูลส่วนบุคคล: คำนิยามเบื้องต้น
ตาม PDPA, ข้อมูลส่วนบุคคล หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ที่ถึงแก่กรรมไปแล้ว
คำว่า "สามารถระบุตัวบุคคลได้" นี่แหละคือหัวใจสำคัญ ลองพิจารณาตัวอย่างง่ายๆ:
- ชื่อ-นามสกุล: ชัดเจนที่สุด, สามารถระบุตัวบุคคลได้โดยตรง
- หมายเลขโทรศัพท์: สามารถใช้ค้นหาข้อมูลเจ้าของเบอร์ได้
- ที่อยู่: สามารถระบุสถานที่ที่บุคคลนั้นอาศัยอยู่ได้
ข้อมูลเหล่านี้เมื่อนำมารวมกัน หรือแม้แต่ข้อมูลบางอย่างเพียงอย่างเดียว ก็สามารถนำไปสู่การระบุตัวบุคคลได้แล้ว
ประเภทของข้อมูลส่วนบุคคลที่ PDPA คุ้มครอง
PDPA คุ้มครองข้อมูลส่วนบุคคลหลากหลายประเภท เราจะแบ่งออกเป็นกลุ่มเพื่อให้เข้าใจง่ายขึ้น:
1. ข้อมูลระบุตัวตน (Identity Data)
เป็นข้อมูลที่ใช้ระบุตัวตนของบุคคลได้โดยตรงหรือโดยอ้อม ตัวอย่าง:
- ชื่อ-นามสกุล
- หมายเลขประจำตัวประชาชน
- วันเดือนปีเกิด
- เพศ
- รูปถ่าย
- ลายมือชื่อ
- หมายเลขหนังสือเดินทาง
- หมายเลขใบขับขี่
2. ข้อมูลติดต่อ (Contact Data)
เป็นข้อมูลที่ใช้ติดต่อสื่อสารกับบุคคลนั้นได้ ตัวอย่าง:
- ที่อยู่ (ที่อยู่อาศัย, ที่ทำงาน)
- หมายเลขโทรศัพท์ (มือถือ, บ้าน, ที่ทำงาน)
- อีเมลแอดเดรส (ส่วนตัว, ที่ทำงาน)
- ชื่อผู้ใช้ (Username) ในบริการต่างๆ (เช่น Social Media)
3. ข้อมูลทางการเงิน (Financial Data)
เป็นข้อมูลที่เกี่ยวข้องกับสถานะทางการเงินของบุคคล ตัวอย่าง:
- หมายเลขบัญชีธนาคาร
- หมายเลขบัตรเครดิต/เดบิต
- ข้อมูลการทำธุรกรรมทางการเงิน (รายการซื้อขาย, การโอนเงิน)
- รายได้
- ข้อมูลเครดิตบูโร
4. ข้อมูลสุขภาพ (Health Data)
เป็นข้อมูลที่เกี่ยวข้องกับสุขภาพร่างกายและจิตใจของบุคคล ซึ่งเป็นข้อมูลที่อ่อนไหวเป็นพิเศษ ตัวอย่าง:
- ประวัติการรักษา
- ผลการตรวจสุขภาพ
- ข้อมูลการแพ้ยา
- ข้อมูลการบริจาคโลหิต
- ข้อมูลเกี่ยวกับความพิการ
- ข้อมูลสุขภาพจิต
5. ข้อมูลทางชีวมิติ (Biometric Data)
เป็นข้อมูลทางเทคนิคที่ได้จากการวัดลักษณะทางกายภาพหรือทางพฤติกรรมของบุคคล ซึ่งนำไปใช้ในการระบุตัวตนได้ ตัวอย่าง:
- ลายนิ้วมือ
- ภาพสแกนม่านตา
- ภาพสแกนใบหน้า
- เสียง (ลักษณะเสียงที่เป็นเอกลักษณ์)
- ลักษณะการเดิน
ข้อมูลทางชีวมิติถือเป็นข้อมูลที่อ่อนไหวมาก เนื่องจากมีความเฉพาะเจาะจงและเปลี่ยนแปลงได้ยาก
6. ข้อมูลทางเชื้อชาติ (Racial or Ethnic Origin)
เป็นข้อมูลที่เกี่ยวข้องกับเชื้อชาติ, ชาติพันธุ์ หรือเผ่าพันธุ์ของบุคคล ซึ่งเป็นข้อมูลที่อ่อนไหวและอาจนำไปสู่การเลือกปฏิบัติได้ ตัวอย่าง:
- เชื้อชาติ (ไทย, จีน, ญี่ปุ่น, ฯลฯ)
- ชาติพันธุ์ (ม้ง, กะเหรี่ยง, ฯลฯ)
- ภาษาแม่ (ที่แสดงถึงกลุ่มชาติพันธุ์)
7. ข้อมูลส่วนบุคคลที่อ่อนไหว (Sensitive Personal Data)
นอกจากข้อมูลที่กล่าวมาข้างต้น PDPA ยังให้ความคุ้มครองเป็นพิเศษกับ "ข้อมูลส่วนบุคคลที่อ่อนไหว" ซึ่งรวมถึง:
- ข้อมูลเชื้อชาติ
- ข้อมูลความเชื่อทางศาสนาหรือปรัชญา
- ข้อมูลพฤติกรรมทางเพศ
- ข้อมูลประวัติอาชญากรรม
- ข้อมูลสหภาพแรงงาน
- ข้อมูลสุขภาพ
- ข้อมูลทางพันธุกรรม
- ข้อมูลทางชีวมิติ
- ข้อมูลอื่นใดที่กระทบต่อเจ้าของข้อมูลในลักษณะเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
การประมวลผลข้อมูลส่วนบุคคลที่อ่อนไหวต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล และต้องมีเหตุผลที่ชอบด้วยกฎหมาย
8. ข้อมูลอื่นๆ ที่สามารถระบุตัวบุคคลได้
นอกจากประเภทข้อมูลที่กล่าวมา ยังมีข้อมูลอื่นๆ ที่อาจถือเป็นข้อมูลส่วนบุคคลได้ หากข้อมูลนั้นสามารถนำไปสู่การระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม ตัวอย่าง:
- หมายเลข IP Address (สามารถระบุตำแหน่งที่ตั้งโดยประมาณ)
- Cookie ID (ใช้ติดตามพฤติกรรมการใช้งานเว็บไซต์)
- ข้อมูลตำแหน่งที่ตั้ง (Location Data) (เช่น GPS coordinates)
- ประวัติการเข้าชมเว็บไซต์
- ข้อมูลการใช้งานแอปพลิเคชัน
- ข้อมูลการค้นหา (Search history)
- ความคิดเห็น (Comments) ที่ระบุตัวตน
ตัวอย่างสถานการณ์
เพื่อให้เข้าใจมากยิ่งขึ้น ลองพิจารณาสถานการณ์ต่อไปนี้:
สถานการณ์ที่ 1: โรงพยาบาลเก็บข้อมูลผู้ป่วย
- ข้อมูลส่วนบุคคล: ชื่อ-นามสกุล, ที่อยู่, เบอร์โทรศัพท์, ประวัติการรักษา, ผลการตรวจสุขภาพ, ข้อมูลการแพ้ยา
- ข้อมูลส่วนบุคคลที่อ่อนไหว: ข้อมูลสุขภาพ, ข้อมูลทางพันธุกรรม (ถ้ามีการตรวจ)
สถานการณ์ที่ 2: บริษัทอีคอมเมิร์ซเก็บข้อมูลลูกค้า
- ข้อมูลส่วนบุคคล: ชื่อ-นามสกุล, ที่อยู่จัดส่ง, อีเมลแอดเดรส, หมายเลขโทรศัพท์, ประวัติการสั่งซื้อ, หมายเลขบัตรเครดิต (ถ้ามีการบันทึก), หมายเลข IP Address, Cookie ID
- ข้อมูลส่วนบุคคลที่อ่อนไหว: (อาจมี หากลูกค้าให้ข้อมูลเกี่ยวกับความเชื่อทางศาสนา หรือข้อมูลสุขภาพที่เกี่ยวข้องกับสินค้าที่ซื้อ)
สถานการณ์ที่ 3: แอปพลิเคชันหาคู่
- ข้อมูลส่วนบุคคล: ชื่อเล่น, อายุ, เพศ, รูปภาพ, ข้อมูลส่วนตัว, ข้อมูลตำแหน่งที่ตั้ง, ข้อมูลความสนใจ
- ข้อมูลส่วนบุคคลที่อ่อนไหว: ข้อมูลพฤติกรรมทางเพศ, ข้อมูลเชื้อชาติ (ถ้ามีการระบุ)
สรุป
การทำความเข้าใจว่าอะไรคือ "ข้อมูลส่วนบุคคล" เป็นสิ่งสำคัญอย่างยิ่งในการปฏิบัติตาม PDPA ข้อมูลส่วนบุคคลไม่ได้จำกัดอยู่แค่ชื่อ ที่อยู่ หรือเบอร์โทรศัพท์ แต่รวมถึงข้อมูลใดๆ ที่สามารถนำไปสู่การระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม รวมถึงข้อมูลส่วนบุคคลที่อ่อนไหวที่ต้องการการดูแลเป็นพิเศษ
ในบทความถัดไป เราจะมาดูกันว่า "เจ้าของข้อมูล" คือใคร และมีสิทธิและความรับผิดชอบอะไรบ้างภายใต้ PDPA