PDPA ไม่ใช่แค่เรื่องบริษัทใหญ่ ร้านเล็กๆ ก็โดนปรับได้ถ้าไม่รู้เรื่องนี้

บทความนี้ ConnectBizs จะพาไปทำความเข้าใจเรื่องที่เจ้าของร้านค้าและธุรกิจขนาดเล็กจำนวนมากยังเข้าใจผิดอยู่ นั่นคือกฎหมาย PDPA หลายคนคิดว่ากฎหมายนี้มีไว้จับแต่บริษัทใหญ่ๆ ธนาคาร หรือบริษัทมหาชนเท่านั้น ร้านเล็กๆ อย่างเราคงไม่มีใครมาสนใจหรอก แต่ความจริงแล้วความคิดแบบนี้อาจทำให้ธุรกิจของคุณต้องเจอค่าปรับหลักแสนถึงหลักล้านบาทโดยไม่รู้ตัวเลย

PDPA คืออะไร แบบสรุปสั้นๆ

PDPA ย่อมาจาก Personal Data Protection Act หรือชื่อทางการคือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลบังคับใช้เต็มรูปแบบมาตั้งแต่วันที่ 1 มิถุนายน 2565 ใจความหลักของกฎหมายคือ ข้อมูลส่วนบุคคลเป็นของเจ้าของข้อมูล ไม่ใช่ของธุรกิจที่เก็บมัน ดังนั้นก่อนที่ธุรกิจจะเก็บ ใช้ หรือเปิดเผยข้อมูลของลูกค้า ต้องขอความยินยอมและแจ้งวัตถุประสงค์ให้ชัดเจนก่อนเสมอ ข้อมูลส่วนบุคคลในที่นี้ไม่ได้หมายถึงแค่ชื่อกับเลขบัตรประชาชนเท่านั้น แต่ยังรวมถึงเบอร์โทรศัพท์ ที่อยู่จัดส่ง อีเมล รูปถ่ายใบหน้า พฤติกรรมการคลิกดูสินค้าบนเว็บไซต์ ไปจนถึงพิกัด GPS ก็นับเป็นข้อมูลส่วนบุคคลที่ได้รับความคุ้มครองทั้งสิ้น

ทำไมร้านเล็กถึงคิดว่าตัวเองรอด (ทั้งที่ไม่รอด)

ความเข้าใจผิดที่พบบ่อยที่สุดคือ "กฎหมายนี้บังคับใช้กับบริษัทใหญ่ ร้านเราคงไม่โดน" แต่ในความเป็นจริง กฎหมาย PDPA บังคับใช้กับทุกคนที่เก็บรวบรวมข้อมูลส่วนบุคคล ไม่ว่าจะเป็นบุคคลธรรมดา ร้านค้า ห้างหุ้นส่วน หรือบริษัทขนาดใหญ่ โดยไม่มีข้อยกเว้นเรื่องขนาดของรายได้หรือจำนวนพนักงานแต่อย่างใด

ลองนึกภาพกิจกรรมง่ายๆ ที่ร้านค้าเล็กๆ ทำกันเป็นประจำทุกวัน แล้วอาจเข้าข่ายต้องปฏิบัติตาม PDPA โดยที่เจ้าของร้านไม่รู้ตัว

• แม่ค้าออนไลน์รับออเดอร์ผ่านแชท ต้องขอชื่อ ที่อยู่ เบอร์โทรลูกค้าเพื่อจัดส่งของ

• ร้านกาแฟหรือร้านอาหารที่มีสมาชิกสะสมแต้ม ต้องเก็บเบอร์โทรหรืออีเมลลูกค้า

• ร้านค้าที่ติดกล้องวงจรปิด โดยเฉพาะระบบที่มีการสแกนใบหน้าลูกค้า

• ธุรกิจที่ใช้ LINE Official Account เก็บประวัติการสั่งซื้อ เพื่อทำการตลาดภายหลัง

• ร้านที่ใช้ ChatGPT หรือ AI Tools ช่วยตอบแชท โดยก๊อปปี้ชื่อ เบอร์โทร หรือประวัติการซื้อของลูกค้าไปวางในพรอมต์
  
  

ทุกกรณีข้างต้นล้วนเข้าข่ายต้องปฏิบัติตาม PDPA ทั้งสิ้น และที่น่ากังวลคือกรณีสุดท้ายกำลังเป็นปัญหาที่เพิ่มขึ้นเรื่อยๆ เพราะร้านค้าจำนวนมากเริ่มใช้ AI ช่วยงาน แต่ไม่รู้ว่าการนำข้อมูลลูกค้าไปป้อนให้ระบบภายนอกโดยไม่ระวัง อาจกลายเป็นความเสี่ยงด้านข้อมูลรั่วไหลได้

โดนจริง โทษหนักแค่ไหน

นี่คือส่วนที่ทำให้หลายคนต้องตกใจเมื่อรู้รายละเอียด เพราะ PDPA มีบทลงโทษครอบคลุมทั้งสามด้าน และสามารถโดนพร้อมกันได้ในคราวเดียว

• โทษทางปกครอง ปรับตั้งแต่ 1 ล้านบาท ไปจนถึงสูงสุด 5 ล้านบาทต่อการกระทำผิดหนึ่งครั้ง โดยเฉพาะกรณีที่เกี่ยวข้องกับข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ศาสนา หรือข้อมูลชีวมิติอย่างใบหน้า

• โทษทางอาญา หากนำข้อมูลไปใช้หรือเปิดเผยโดยไม่ได้รับความยินยอมจนก่อให้เกิดความเสียหาย มีโทษจำคุกสูงสุด 1 ปี หรือปรับสูงสุด 1 ล้านบาท หรือทั้งจำทั้งปรับ และที่สำคัญคือถ้าธุรกิจเป็นนิติบุคคล คนที่อาจต้องรับโทษจำคุกจริงๆ คือกรรมการหรือผู้บริหารที่รับผิดชอบ ไม่ใช่บริษัทในฐานะนิติบุคคลลอยๆ

• โทษทางแพ่ง หากลูกค้าได้รับความเสียหายจากการที่ข้อมูลถูกนำไปใช้ผิดวัตถุประสงค์ ธุรกิจอาจต้องจ่ายค่าสินไหมทดแทน และศาลยังสามารถสั่งให้จ่ายค่าเสียหายเชิงลงโทษเพิ่มได้อีกสูงสุดถึง 2 เท่าของความเสียหายจริง
  
  

ลองคิดดูว่าถ้าร้านเล็กๆ ที่มีกำไรต่อเดือนหลักหมื่นบาท ต้องเจอค่าปรับหลักแสนหรือหลักล้าน นั่นอาจหมายถึงการปิดกิจการได้เลยทันที

ร้านเล็กมีข้อยกเว้นอะไรบ้างไหม

ข่าวดีเล็กน้อยคือ ธุรกิจ SME ที่มีรายได้ไม่เกิน 300 ล้านบาทต่อปี อาจได้รับการยกเว้นในเรื่องการจัดทำบันทึกรายการประมวลผลข้อมูล หรือที่เรียกว่า RoPA (Record of Processing Activities) ในบางกรณี ซึ่งเป็นเอกสารที่องค์กรใหญ่ต้องทำเพื่อบันทึกว่าเก็บข้อมูลอะไร เก็บทำไม เก็บไว้นานแค่ไหน แต่ข้อยกเว้นนี้ ไม่ได้แปลว่าร้านเล็กไม่ต้องทำอะไรเลย เพราะหน้าที่พื้นฐานอย่างการขอความยินยอมจากลูกค้า การรักษาความปลอดภัยของข้อมูล และการแจ้งลูกค้าว่าเก็บข้อมูลไปทำอะไร ยังคงเป็นสิ่งที่ทุกธุรกิจต้องทำอยู่ดี ไม่ว่าจะเล็กหรือใหญ่

สิ่งที่ร้านค้าเล็กควรเริ่มทำวันนี้

ไม่ต้องถึงขั้นจ้างทนายความราคาแพงหรือทำระบบซับซ้อน แต่ร้านค้าเล็กควรเริ่มจากพื้นฐานเหล่านี้ก่อน

1. ขอความยินยอมให้ชัดเจนก่อนเก็บข้อมูล เช่น เวลาลูกค้าให้เบอร์โทรเพื่อจัดส่งของ ควรมีข้อความแจ้งสั้นๆ ว่าจะใช้ข้อมูลนี้เพื่อจัดส่งสินค้าเท่านั้น ไม่ได้เอาไปขายต่อหรือส่งโฆษณาโดยไม่ได้รับอนุญาต

2. ใช้ข้อมูลให้ตรงตามวัตถุประสงค์ที่แจ้งไว้ ถ้าขอเบอร์โทรไปเพื่อส่งของ ก็ใช้แค่นั้น อย่าเอาไปยิงโฆษณาขายสินค้าอื่นโดยไม่ได้ขออนุญาตเพิ่ม

3. เก็บข้อมูลให้ปลอดภัย ไม่ว่าจะเป็นไฟล์เอกสารในคอมพิวเตอร์ หรือสมุดบันทึกลูกค้าแบบกระดาษ ควรมีการจำกัดว่าใครเข้าถึงได้บ้าง และไม่ปล่อยให้ข้อมูลลูกค้ากระจัดกระจายอยู่ในที่ที่ใครก็เปิดดูได้

4. ระวังการใช้ AI Tools กับข้อมูลลูกค้า ก่อนจะก๊อปปี้ชื่อ เบอร์โทร หรือประวัติการซื้อของลูกค้าไปวางในแชทบอทหรือเครื่องมือ AI ภายนอก ควรตรวจสอบก่อนว่าเครื่องมือนั้นมีนโยบายด้านข้อมูลอย่างไร และพยายามหลีกเลี่ยงการใส่ข้อมูลที่ระบุตัวตนได้โดยไม่จำเป็น

5. ถ้าติดกล้องวงจรปิดหรือระบบสแกนใบหน้า ต้องขอความยินยอมแยกต่างหาก เพราะข้อมูลใบหน้าถือเป็นข้อมูลอ่อนไหวที่กฎหมายคุ้มครองเข้มงวดเป็นพิเศษ

6. เตรียมแผนรับมือหากข้อมูลรั่วไหล แม้จะเป็นร้านเล็ก แต่ถ้าเกิดเหตุข้อมูลลูกค้ารั่วไหลจริง กฎหมายกำหนดให้ต้องแจ้งหน่วยงานที่เกี่ยวข้องภายใน 72 ชั่วโมงหลังทราบเหตุ การมีแผนคร่าวๆ ไว้ล่วงหน้าจะช่วยลดความเสียหายได้มาก
   

สรุป

ความเข้าใจผิดที่ว่า "ร้านเล็กคงไม่มีใครมาจับ" คือความเสี่ยงที่แพงที่สุดที่ธุรกิจขนาดเล็กกำลังแบกรับอยู่โดยไม่รู้ตัว เพราะกฎหมาย PDPA ไม่ได้เว้นให้ใคร ไม่ว่าธุรกิจจะเล็กหรือใหญ่ หากมีการเก็บข้อมูลลูกค้าก็ต้องปฏิบัติตามกฎเดียวกัน ข่าวดีคือการเริ่มต้นทำตาม PDPA ให้ถูกต้องไม่ได้ยากหรือแพงอย่างที่คิด แค่เริ่มจากการขอความยินยอมให้ชัดเจน ใช้ข้อมูลให้ตรงตามที่แจ้งไว้ และระมัดระวังเรื่องความปลอดภัยของข้อมูล ก็ช่วยลดความเสี่ยงไปได้มากแล้ว และในระยะยาว การให้ความสำคัญกับข้อมูลลูกค้ายังช่วยสร้างความน่าเชื่อถือให้ธุรกิจ ซึ่งเป็นสิ่งที่ผู้บริโภคยุคนี้ให้ความสำคัญมากขึ้นเรื่อยๆ อีกด้วย

หมายเหตุ : บทความนี้เป็นการให้ข้อมูลทั่วไปเพื่อความเข้าใจเบื้องต้นเท่านั้น ไม่ถือเป็นคำแนะนำทางกฎหมาย หากธุรกิจของคุณต้องการความชัดเจนในการปฏิบัติตาม PDPA อย่างถูกต้องครบถ้วน ควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคลโดยตรง