ผศ.ดร.สมชาย รัตนซื่อสกุล คณบดีคณะนิติศาสตร์ปรีดี พนมยงค์ มหาวิทยาลัยธุรกิจบัณฑิตย์ เปิดเผยถึงแนวทางของภาคธุรกิจในการรับมือกับกฎหมาย PDPA (Personal Data Protection Act) หรือ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในยุค Data Marketing ว่า ด้วยเทคโนโลยีในปัจจุบัน อย่าง ปัญญาประดิษฐ์ (AI : Artificial Intelligence) สามารถทำให้จัดการข้อมูลที่มีอยู่จำนวนมหาศาลได้ โดยเฉพาะภาคธุรกิจ ที่หากมีการนำข้อมูลมาใช้จัดทำ Personalized Marketing หรือ การนำเสนอสินค้า บริการ และคอนเทนต์ให้ตรงกับใจของลูกค้าให้ได้มากที่สุด จะช่วยเพิ่มประสิทธิภาพในการเข้าถึงผู้บริโภค

“ข้อมูล” มีความสำคัญอย่างมาก เพราะการจัดทำ Personalized Marketing ได้อย่างชัดเจน ถือเป็นการลงทุนที่คุ้มค่า แม้อาจจะไม่ลดต้นทุนค่าใช้จ่ายด้านการตลาดลง แต่เพิ่มประสิทธิภาพการตลาดในการเข้าถึงผู้บริโภค และเพิ่มการแข่งขันมากกว่าภาคธุรกิจที่ไม่มีข้อมูล และไม่สามารถจัดทำ Personalized Marketing ได้ ยิ่งกลุ่มที่ไม่สามารถใช้ประโยชน์จากข้อมูลได้ ย่อมกระทบต่อการบริหารธุรกิจอย่างแน่นอน

นอกจากนี้ กฎหมาย PDPA เป็นการพูดถึงข้อมูลส่วนบุคคล ซึ่งการที่องค์กรสามารถนำข้อมูลส่วนบุคคลมาใช้นั้น เดิมไม่ได้มีกฎหมายโดยเฉพาะ แต่มีกฎหมายอื่น ๆ เช่น กฎหมายละเมิด มาบังคับใช้องค์กร หรือภาคธุรกิจ ที่นำข้อมูลส่วนบุคคลอื่นมาใช้อย่างไม่ถูกต้อง หรือมีการส่งต่อไปยังผู้อื่น ซึ่งตอนนี้ข้อมูลมีมหาศาล การใช้ข้อมูลมีมากขึ้น และสามารถสร้างเม็ดเงินได้ เมื่อเริ่มเห็นความสำคัญของข้อมูล จึงต้องมีการออกกฎหมายคุ้มครองเพื่อควบคุมการใช้ประโยชน์จากข้อมูลส่วนบุคคล ซึ่งเรื่องนี้ทางยุโรปได้มีการดำเนินการอยู่แล้ว

“หัวใจหลักของกฎหมาย PDPA คือ การควบคุมการใช้ข้อมูลส่วนบุคคลให้มีระบบระเบียบมากขึ้น เพื่อไม่ให้เกิดความเสียหาย หรือรำคาญ ดังนั้น โดยหลักไม่ได้ห้ามเก็บ หรือห้ามใช้ ก่อนหน้านี้ ภาคธุรกิจได้มีการเก็บข้อมูลอย่างไร ก็สามารถกระทำได้อย่างนั้น เพียงแต่กฎหมายใหม่วางกติกาละเอียดมากขึ้น เช่น นักศึกษามาสมัครเรียน มหาวิทยาลัยสามารถเก็บข้อมูลได้ แต่ก่อนจะเก็บข้อมูลส่วนบุคคล ต้องคำนึงว่าจำเป็นต้องเก็บหรือไม่ มีประโยชน์อย่างไร และเมื่อเก็บข้อมูลแล้วก็ต้องรักษาข้อมูลเหล่านั้นให้ดี จะนำไปใช้อะไรก็ต้องแจ้งบุคคลเหล่านั้นซึ่งเป็นการตีกรอบการใช้ แต่ไม่ได้ห้ามเก็บ ถ้าองค์กรคิดว่าจำเป็นต้องรู้ก็เก็บได้ กฎหมายไม่ได้ตีกรอบว่าทำได้ทำไม่ได้ แต่วางกติกาว่าจะเก็บอย่างไร ใช้อย่างไร รักษาอย่างไร และทำลายอย่างไร” ผศ.ดร.สมชาย กล่าว

ทั้งนี้ กฎหมาย PDPA จะเป็นการพูดถึงการเก็บ การใช้ การรักษา และการทำลายข้อมูล อดีตอาจจะใช้ข้อมูลอย่างสะดวก แต่เมื่อมีกฎหมาย PDPA ภาคธุรกิจต้องพึ่งระวังในการนำข้อมูลมาใช้ ส่วนอีกประเด็น คือ การขอความยินยอม ซึ่งจริง ๆ อาจไม่จำเป็น เพราะกฎหมายอนุญาตให้เก็บข้อมูลได้ด้วยหลายสาเหตุ หากเข้าข่ายอื่น ๆ ที่สามารถเก็บข้อมูลได้ ไม่จำเป็นต้องขอความยินยอม เช่น มีการทำสัญญารับจ้าง จำเป็นต้องขอสำเนาบัตรประชาชน หรือข้อมูลอื่น ๆ ไม่ต้องขอความยินยอม เพราะเป็นไปตามฐานสัญญา หรือเด็กมาสมัครเรียน สามารถขอข้อมูลเรื่องกรุ๊ปเลือดได้ เพื่อประโยชน์ด้านสุขภาพ เป็นต้น

“ขอให้คำนึงไว้ว่า การอ้างฐานความยินยอมให้ใช้เป็นหนทางสุดท้าย เนื่องจากหากมีการเก็บได้ด้วยเหตุผลอื่นควรเก็บด้วยฐานอื่น ๆ หรือเป็นประโยชน์อันชอบด้วยกฎหมาย เพราะหากใช้ฐานความยินยอม ผู้ให้ความยินยอมจะสามารถยกเลิกความยินยอมเมื่อใดก็ได้ แต่ถ้าเป็นฐานสัญญาหรือฐานอื่น ๆ เจ้าของข้อมูลไม่สามารถยกเลิกการให้ข้อมูลได้ ส่วนข้อมูลอ่อนไหว เช่น ประวัติการรักษาคนไข้ ต้องใช้ฐานความยินยอมที่มีความชัดแจ้ง มีลายลักษณ์อักษร และเมื่อยินยอมง่าย ตอนถอนความยินยอมก็ต้องง่ายเช่นเดียวกัน” ผศ.ดร.สมชาย กล่าว

โดยหลังจากประกาศใช้กฎหมาย PDPA ต้องยอมรับว่าหลาย ๆ หน่วยงาน ไม่ว่าจะเป็นภาครัฐ ภาคเอกชน ภาคประชาชน ต่างไม่เข้าใจการใช้กฎหมายดังกล่าว ซึ่งปัจจัยหลัก ๆ คือ 1.กฎหมายมีความยุ่งยาก เป็นกฎหมายเชิงเทคนิค ที่ผู้เขียนกฎหมายอาจจะเขียนทุกอย่างไว้หมดแล้ว แต่เป็นเรื่องเทคนิคอย่างมาก ซึ่งเขียนยาวก็กังวล เขียนสั้นมากก็กลัวคนอ่านไม่เข้าใจ อีกทั้งกฎหมายฉบับดังกล่าว มีข้อยกเว้นซ้อนถึง 3-4 ชั้น ทำให้ภาคธุรกิจ และประชาชนอาจจะอ่านไม่เข้าใจ และยังเป็นเรื่องใหม่ด้วย

2.กฎหมายดังกล่าวเป็นเรื่องใหม่ของทุกคน และคณะกรรมการก็พึ่งได้รับการแต่งตั้ง ทำให้ยังไม่มีกฎหมายลูก การตีความจึงหลากหลาย เกิดเป็นข้อจำกัดของตัวกฎหมายที่ซับซ้อนมากเกินไป คาดว่าหลังจากนี้จะมีข้อถกเถียงในเรื่องของการตีความ

“โดยหลักการกฎหมายดีมาก ไม่ให้คนอื่นนำข้อมูลส่วนบุคคลไปใช้ แต่เมื่อถูกตีความว่าแม้แต่ถ่ายรูปติดผู้อื่นยังไม่ได้ หรือมีคนทะเลาะกันแล้ว มีการถ่ายคลิปวิดีโอไว้ ทั้งที่จริง ๆ ภาพถ่าย หรือคนทะเลาะกันในที่สาธารณะ อาจไม่ได้หมายถึงข้อมูลส่วนบุคคล เพราะกฎหมายไม่ได้ห้าม ซึ่งการตีความเหล่านี้ จะส่งผลลบให้กฎหมายดังกล่าวดูเป็นปัญหา การถ่ายภาพและใช้ภาพอย่างที่ทุกคนใช้กันตามปกติ คือ แสดง(ใช้)ภาพนั้นในลักษณะของภาพถ่ายได้ โดยส่วนตัวมองว่าไม่ใช่การใช้ข้อมูลส่วนบุคคล และไม่เกี่ยวข้องกับ PDPA แต่หากทำให้คนในภาพเสียหายจึงจะเป็นเรื่องการละเมิดความเป็นส่วนตัว ซึ่งเป็นคนละเรื่องกับข้อมูลส่วนบุคคล แต่ปัจจุบันคนสับสนนำสองเรื่องนี้มาปนกัน” ผศ.ดร.สมชาย กล่าวในตอนท้าย