แม้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (“พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ”) จะเริ่มบังคับใช้ทั้งฉบับอย่างเป็นทางการตั้งแต่ มิถุนายน 2565 ซึ่งถือเป็นการเปลี่ยนแปลงสำคัญด้านการบริหารจัดการข้อมูลส่วนบุคคลของไทย แต่ในทางปฏิบัติยังปรากฏความเข้าใจผิดหลายประการทั้งในระดับองค์กรและระดับประชาชน ยกตัวอย่างประโยคที่ว่า “เธอถ่ายรูปติดหน้าฉัน เดี๋ยวฉันจะฟ้อง PDPA เธอ” แม้จะเป็นเพียงคำพูดหยอกล้อ แต่ก็สะท้อนให้เห็นว่ากฎหมายดังกล่าวยังไม่เป็นที่เข้าใจอย่างถูกต้อง ซึ่งอาจนำไปสู่การตีความหรือการใช้กฎหมายที่ไม่สอดคล้องกับเจตนารมณ์ ดังเช่นประเด็นการถ่ายรูปในที่สาธารณะแล้วส่งผลกระทบต่อบุคคลในภาพ ทั้งเหตุการณ์ Kiss-cam ในคอนเสิร์ตที่เผยแพร่ภาพคู่รักโดยไม่ได้รับอนุญาต หรือพลเมืองดีถ่ายวิดีโอคนทะเลาะวิวาทแล้วแชร์ในโซเชียลมีเดียสาธารณะ แม้จะดูเป็นเรื่องขบขันหรือประเด็นสังคมชั่วคราว แต่สำหรับผู้ที่ได้รับผลกระทบ เหตุการณ์เหล่านี้อาจก่อให้เกิดความเสียหายจริง
ด้วยเหตุนี้ แทนที่จะตั้งคำถามในประเด็นเรื่องส่วนตัวของบุคคลนั้น บทความนี้จะถอดบทเรียนจากกรณีศึกษาทั้งสองกรณี และตั้งคำถามว่า “ใครควรรับผิดตามกฎหมาย ในกรณีการถ่ายรูปในที่สาธารณะและส่งผลกระทบสร้างความเสียหายแก่คนในภาพ?”
แม้กฎหมายจะคุ้มครองครอบคลุมการกระทำใด ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลในความหมายกว้าง ตามมาตรา 5 วรรคหนึ่ง อันระบุไว้ว่า พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ นี้บังคับใช้กับ “การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล” หรือที่เรียกกันว่า “การประมวลผลข้อมูลส่วนบุคคล” แต่ก็มีการบัญญัติข้อยกเว้นไว้ตามมาตรา 4 (1) ซึ่งอ้างอิงมาจาก GDPR Art. 2 (c) โดยได้วางหลักการไว้คล้ายคลึงกัน คือ บุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้น (personal or household activity) ไม่อยู่ในบังคับของ GDPR ของ EU และ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ ของไทย
ทั้งนี้ แม้มาตรา 4 (1) จะบัญญัติข้อยกเว้นกรณีดังกล่าวไว้ แต่การตีความเกี่ยวกับการประมวลผลเพื่อประโยชน์ส่วนตัวหรือกิจกรรมในครอบครัวนั้น ปัจจุบันอาจต้องใช้การตีความที่กว้างมากขึ้น เนื่องจากพัฒนาการของโซเชียลมีเดียที่ทำให้ “พลเมืองทั่วไป” สามารถเผยแพร่ข้อมูลส่วนบุคคลของตนเองหรือของผู้อื่นไปยังสาธารณะได้อย่างรวดเร็ว ทำให้เกิดประเด็นปัญหาว่า หากบุคคลธรรมดาเผยแพร่ข้อมูลส่วนบุคคลสู่สาธารณะได้โดยไม่มีการจำกัดการเข้าถึงแค่เฉพาะคนรู้จักใกล้ตัว จะยังสามารถถือว่าเป็นการประมวลผลเพื่อวัตถุประสงค์ส่วนบุคคลหรือครัวเรือนได้อยู่หรือไม่ เช่นเดียวกับประเด็นของเหตุการณ์นี้ ในทางปฏิบัติจึงเป็นเรื่องยากในการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลกับกรณีการกระทำของบุคคลธรรมดา
ด้วยเหตุนี้ จึงต้องวิเคราะห์ให้แน่ชัดว่า กรณีใดเป็นการประมวลผลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นอย่างแท้จริง ซึ่งมีปัจจัยที่ใช้พิจารณาได้ ดังนี้
เกณฑ์ดังกล่าวอ้างอิงจาก Bodil Lindqvist, Case C-101/01, CJEU, 6 November 2003 ศาลยุติธรรมแห่งสหภาพยุโรป (Court of Justice) วางบรรทัดฐานเกี่ยวกับข้อยกเว้น household exception กล่าวคือ ต้องตีความอย่างแคบ โดยข้อยกเว้นจะใช้ได้เฉพาะกับกิจกรรมที่กระทำขึ้นในขอบเขตของชีวิตส่วนตัวหรือชีวิตครอบครัวของบุคคลนั้นเท่านั้น เช่น การถ่ายภาพเก็บไว้เป็นที่ระลึก หรือการส่งรูปให้คนรู้จักภายในวงจำกัด ซึ่งเห็นได้ชัดว่าไม่ใช่กรณีของการเผยแพร่ข้อมูลส่วนบุคคลบนอินเทอร์เน็ตในเชิงพาณิชย์ หรือจนทำให้บุคคลทั่วไปสามารถเข้าถึงได้โดยไม่จำกัด
เช่นเดียวกันกับที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้เคยตอบข้อหารือในประเด็นการโพสต์ภาพหรือข้อความลงใน Facebook ส่วนตัวไว้ว่า ต้องพิจารณาว่าการกระทำดังกล่าวเป็นไปอย่างเป็นระบบหรือประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งหรือไม่ หากไม่มีลักษณะที่เป็นระบบหรือเป็นประจำสม่ำเสมอ ย่อมไม่อยู่ภายใต้บังคับของ PDPA แต่ผู้โพสต์อาจมีความผิดตามกฎหมายอื่นได้ เช่น พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม หรือความผิดฐานหมิ่นประมาทตามประมวลกฎหมายอาญา หรือการละเมิดตามประมวลกฎหมายแพ่งและพาณิชย์
กล่าวโดยสรุป กฎหมายคุ้มครองข้อมูลส่วนบุคคลไม่ได้พิจารณาว่าข้อมูลนั้นเป็นสาธารณะหรือมีที่มาอย่างไร หากข้อมูลสามารถระบุตัวบุคคลได้ ไม่ว่าจะโดยทางตรงหรือทางอ้อม ย่อมถือเป็นข้อมูลส่วนบุคคลและอยู่ภายใต้การคุ้มครองของกฎหมาย แม้จะอยู่ในพื้นที่หรือสื่อสาธารณะก็ตาม เว้นแต่เป็นการใช้เพื่อวัตถุประสงค์ส่วนตนหรือกิจกรรมภายในครอบครัวโดยแท้จริงเท่านั้น ซึ่งไม่ครอบคลุมถึงกรณีที่มีการเผยแพร่ข้อมูลต่อสาธารณะ หรือบนอินเทอร์เน็ตให้บุคคลทั่วไปเข้าถึงได้โดยไม่จำกัดอย่างเป็นระบบหรือประจำสม่ำเสมอ
ในกรณีพลเมืองดีบันทึกและเผยแพร่คลิปเหตุการณ์ทะเลาะวิวาทนั้น การกระทำดังกล่าวจะได้รับข้อยกเว้นตามมาตรา 4 (1) ได้ก็ต่อเมื่อเป็นการประมวลผลข้อมูล “เพื่อประโยชน์ส่วนตนหรือกิจกรรมในครอบครัว” เท่านั้น หากมีการเผยแพร่ต่อสาธารณะโดยไม่มีการจำกัดการเข้าถึงอย่างเป็นประจำหรือสม่ำเสมอ เช่น การสร้างเพจบนแพลตฟอร์มออนไลน์สำหรับโพสต์คลิปที่บุคคลทั่วไปเข้าถึงได้ โดยมีการโพสต์ลักษณะนี้อยู่เป็นประจำ ย่อมอยู่นอกขอบเขตข้อยกเว้นดังกล่าว ซึ่งศาลยุติธรรมแห่งสหภาพยุโรปได้ตีความไว้ชัดเจนว่า การเผยแพร่ข้อมูลส่วนบุคคลบนสื่อสาธารณะลักษณะดังกล่าวย่อมไม่ถือเป็นกิจกรรมส่วนตัว และอยู่ในบังคับของกฎหมายคุ้มครองข้อมูลส่วนบุคคล รวมถึงอาจมีความผิดตามกฎหมายอื่นได้อีกเช่นเดียวกัน
แต่ในทางกลับกัน หากพลเมืองดีบันทึกวิดีโอหรือภาพเหตุการณ์ไว้เพื่อส่งมอบให้เจ้าหน้าที่รัฐใช้เป็นหลักฐานทางคดี โดยไม่ได้เผยแพร่ต่อสาธารณะ การกระทำเช่นนี้ถือเป็นการประมวลผลที่มีวัตถุประสงค์ชอบด้วยกฎหมายและไม่ขัดต่อ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลฯ
กรณีนี้แตกต่างจากกรณีที่ 1 เนื่องจากมีการใช้ข้อมูลในเชิงพาณิชย์โดยตรง จึงไม่อาจอ้างข้อยกเว้นตามมาตรา 4 (1) ได้ โดยผู้จัดงานคอนเสิร์ตในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) มีวัตถุประสงค์ในการนำภาพของผู้เข้าร่วมงานไปเผยแพร่บนจอ Kiss-cam เพื่อสร้างบรรยากาศภายในงานและใช้ประโยชน์ทางธุรกิจ
ทั้งนี้ การดำเนินการดังกล่าวจะทำได้ก็ต่อเมื่อมี “ฐานทางกฎหมาย” รองรับตามที่บัญญัติไว้ในมาตรา 24 ซึ่งในกรณีนี้อาจอ้างได้สองฐานหลัก คือ การได้รับความยินยอมจากเจ้าของข้อมูล (Consent) หรือฐานประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) อย่างไรก็ดี การอ้างฐานประโยชน์โดยชอบด้วยกฎหมายต้องอยู่ภายใต้การพิจารณาอย่างรอบคอบ โดยต้องมีการชั่งน้ำหนักระหว่าง “ประโยชน์ที่จะได้รับ” กับ “สิทธิเสรีภาพของเจ้าของข้อมูลที่ถูกกระทบ” ทั้งยังต้องพิจารณาให้ครอบคลุมถึงความคาดหมายได้ของเจ้าของข้อมูลส่วนบุคคลด้วย เพื่อให้สอดคล้องกับหลักความจำเป็นและความได้สัดส่วน
ดังนั้น หากผู้จัดคอนเสิร์ตไม่ได้จัดให้มีประกาศความเป็นส่วนตัว (Privacy Notice) หรือไม่มีฐานทางกฎหมายรองรับ การนำภาพของบุคคลไปฉายบนจอ Kiss-cam ถือเป็นการประมวลผลข้อมูลส่วนบุคคลที่ไม่ชอบด้วยกฎหมาย หรือขาดฐานทางกฎหมายตามมาตรา 24 และผู้จัดคอนเสิร์ตในฐานะผู้ควบคุมข้อมูลส่วนบุคคลย่อมมีความรับผิดตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
จะเห็นได้ว่า แม้การโพสต์ภาพหรือวิดีโอบนแพลตฟอร์มออนไลน์ต่าง ๆ ยังมีประเด็นด้านความเป็นส่วนตัวที่ผู้โพสต์ต้องคำนึงถึงด้วย โดยอาจพิจารณาได้จากปัจจัยทั้ง 5 ข้างต้น และแม้จะได้รับยกเว้นจาก พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ เนื่องจากเป็นการดำเนินการไปเพื่อประโยชน์ส่วนตนหรือกิจกรรมในครอบครัว ก็อาจเข้าข่ายเป็นความผิดตามกฎหมายอื่นได้เช่นกัน
แหล่งอ้างอิง
