เปลี่ยนวัตถุประสงค์ใช้ข้อมูลลูกค้าเดิม ต้องปรับอะไร

เปลี่ยนวัตถุประสงค์ใช้ข้อมูลลูกค้าเดิมต้องตรวจเหตุที่เก็บข้อมูลและฐานกฎหมายก่อนเริ่มโครงการใหม่ การมีรายชื่ออยู่ในระบบหรือแก้ประกาศความเป็นส่วนตัวแล้ว ไม่ได้ทำให้บริษัทใช้ข้อมูลนั้นได้ทุกเรื่อง เอกสารต้องสอดคล้องกับการทำงานจริงและสิทธิของลูกค้า

เปลี่ยนวัตถุประสงค์ใช้ข้อมูล ต้องขอความยินยอมใหม่เสมอไหม?

ต้องตรวจว่าการใช้ครั้งใหม่อยู่ในวัตถุประสงค์เดิมที่แจ้งไว้หรือไม่ หากแตกต่าง ต้องดำเนินตามเงื่อนไขมาตรา 21 โดยแจ้งวัตถุประสงค์ใหม่และได้รับความยินยอมก่อน หรือมีบทบัญญัติของกฎหมายที่อนุญาต การเปลี่ยนข้อความในเว็บไซต์หรือเลือกชื่อฐานกฎหมายใหม่โดยไม่มีเหตุรองรับยังไม่เพียงพอ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 21 ห้ามเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลแตกต่างจากวัตถุประสงค์ที่แจ้งไว้ เว้นแต่เข้าเงื่อนไขที่กำหนด จึงต้องตรวจทั้งวัตถุประสงค์และฐานกฎหมาย ไม่ใช่ตรวจเพียงว่ามีช่องยินยอมอยู่ในแบบฟอร์มเดิมหรือไม่

มาตรา 19 กำหนดเงื่อนไขความยินยอม ส่วนมาตรา 23 กำหนดรายละเอียดที่ต้องแจ้งเมื่อเก็บข้อมูล และมาตรา 24 กำหนดกรณีเก็บข้อมูลทั่วไปได้โดยไม่ต้องขอความยินยอม ข้อมูลตามมาตรา 26 ต้องตรวจเงื่อนไขเฉพาะเพิ่ม การอ้างสัญญาหรือประโยชน์โดยชอบจึงต้องวิเคราะห์ความจำเป็นและข้อเท็จจริง ไม่ใช้เป็นชื่อฐานสำรองเพื่อหลีกเลี่ยงการขออนุญาต

ตัวอย่างสมมติ: ร้านเก็บที่อยู่ลูกค้าเพื่อส่งสินค้า ต่อมาต้องการส่งข้อมูลการซื้อให้บริษัทอื่นวิเคราะห์กลุ่มเป้าหมายโฆษณา ทีมงานต้องตรวจประกาศเดิม ผู้รับข้อมูล วัตถุประสงค์ใหม่ และฐานที่รองรับการเปิดเผย การเขียนเพิ่มในประกาศว่า “ใช้เพื่อพัฒนาธุรกิจ” แล้วส่งข้อมูลทันทีอาจไม่ตอบเงื่อนไขกฎหมายหรือความคาดหมายของลูกค้า

ผลการตรวจควรออกมาเป็นคำตอบว่าข้อมูลชุดไหนใช้ทำอะไรได้ ภายใต้เงื่อนไขใด และข้อมูลชุดไหนต้องพักไว้ก่อน ไม่ใช้เอกสารหนึ่งฉบับอนุมัติทุกโครงการ อ่าน แนวทางจัดหลักฐาน PDPA ให้พร้อมตรวจ เพื่อเชื่อมข้อสรุปทางกฎหมายกับแบบฟอร์ม ระบบ และผู้รับผิดชอบ

ถ้าเป็นวัตถุประสงค์ใหม่ ต้องปรับเอกสารอะไรบ้าง?

• ถ้าการใช้ยังอยู่ในวัตถุประสงค์เดิม ให้บันทึกเหตุผลและตรวจความจำเป็นของข้อมูล ผู้รับ และระยะเวลาเก็บอีกครั้ง
• ถ้าแตกต่างและใช้ทางความยินยอม ให้จัดคำแจ้งและคำขอที่แยกชัด พร้อมระบบบันทึกและถอนความยินยอมก่อนเริ่มใช้
• ถ้าอ้างบทกฎหมายที่อนุญาต ให้ระบุมาตรา เงื่อนไข และเหตุผลที่ข้อเท็จจริงเข้าเงื่อนไข ไม่เขียนเพียงชื่อฐาน
• ถ้ามีคู่ค้าใหม่ ให้ตรวจบทบาท ขอบเขตคำสั่ง สัญญา และการส่งข้อมูลไปต่างประเทศเมื่อเกี่ยวข้อง
• ถ้าใช้ข้อมูลมากกว่าที่จำเป็น ให้ลดฟิลด์หรือเลือกวิธีที่ไม่ต้องใช้ข้อมูลรายบุคคลก่อนอนุมัติโครงการ

เอกสารที่มักต้องตรวจพร้อมกันคือทะเบียนกิจกรรม แบบแจ้งความเป็นส่วนตัว แบบความยินยอม สัญญาคู่ค้า ตารางสิทธิเข้าถึง และตารางเก็บรักษา ไม่จำเป็นต้องแก้ทุกฉบับทุกครั้ง แต่ต้องระบุว่าเอกสารใดกระทบและใครรับผิดชอบแก้ เพื่อไม่ให้ประกาศใหม่กับการตั้งค่าระบบเดินคนละทาง

สำหรับข้อมูลเดิมที่ได้มาจากหลายช่องทาง ควรแยกตามรุ่นคำแจ้งและหลักฐานที่มี ลูกค้าที่ซื้อผ่านเว็บไซต์เมื่อปีก่อนอาจได้รับข้อความต่างจากผู้ซื้อหน้าร้าน การรวมเป็นกลุ่มเดียวอาจทำให้ใช้ข้อมูลบางส่วนเกินขอบเขตที่พิสูจน์ได้

เลนส์ทนายยอดทิพย์ธรรม: ประกาศใหม่ไม่ใช่ใบอนุญาตย้อนหลัง

คนมักเข้าใจว่า: บริษัทเป็นเจ้าของฐานลูกค้าจึงนำไปใช้ต่อได้ หรือประกาศว่าอาจเปลี่ยนนโยบายเมื่อไรก็ได้แล้วไม่ต้องดำเนินการอื่นอีก

กฎหมายมองว่า: สิทธิในการใช้ข้อมูลต้องมีฐานและตรงวัตถุประสงค์ตามเงื่อนไข การแจ้งรายละเอียดกับการได้รับความยินยอมเป็นคนละขั้น และความยินยอมที่ไม่ชอบไม่ผูกพันเจ้าของข้อมูลตามมาตรา 19

จุดเสี่ยงจริง: โครงการเริ่มส่งข้อมูลไปแล้วก่อนฝ่ายกฎหมายตรวจ หรือเอกสารขอความยินยอมรวมหลายเรื่องจนแยกปฏิเสธไม่ได้ ควรกำหนดจุดอนุมัติก่อนนำข้อมูลจริงเข้าระบบใหม่ และแยกการตัดสินใจของลูกค้าสำหรับเรื่องที่ไม่จำเป็นต่อบริการหลัก

มองสองฝั่ง: บริษัทที่ใช้ข้อมูลกับลูกค้าที่ถูกเปลี่ยนเงื่อนไข

การถอนความยินยอมไม่กระทบการประมวลผลที่ชอบก่อนถอน และข้อมูลบางส่วนอาจมีหน้าที่เก็บตามกฎหมาย ต้องอธิบายแยกจากกิจกรรมใหม่ที่อาศัยความยินยอม

ต้องแจ้งและปรับระบบเมื่อไร ก่อนเริ่มหรือหลังเริ่มโครงการ?

เมื่อใช้ทางมาตรา 21 (1) ต้องแจ้งวัตถุประสงค์ใหม่และได้รับความยินยอมก่อนเก็บ ใช้ หรือเปิดเผยตามวัตถุประสงค์ใหม่นั้น ไม่ควรวางแผนว่าเปิดโครงการก่อนแล้วค่อยตามเก็บหลักฐานภายหลัง เพราะเอกสารที่ทำทีหลังไม่ได้ทำให้การใช้ก่อนหน้านั้นชอบโดยอัตโนมัติ

กำหนดวันตัดระบบตามความพร้อมจริง เช่น วันเริ่มส่งข้อความ วันเปิดระบบวิเคราะห์ และวันส่งข้อมูลให้คู่ค้า ตัวอย่างแผนภายในอาจให้ทดสอบการปฏิเสธและถอนล่วงหน้าเจ็ดวัน แต่เจ็ดวันไม่ใช่กำหนดตายตัวของ PDPA และไม่แทนเงื่อนไขว่าต้องดำเนินการก่อนใช้

เก็บฉบับเอกสารตามวันที่มีผล พร้อมแผนว่าผู้ที่ยังไม่ตอบจะถูกแยกออกจากกิจกรรมใด หากเปลี่ยนวัตถุประสงค์ซ้ำอีกครั้งต้องตรวจใหม่ ไม่ถือว่าความยินยอมหนึ่งครั้งครอบคลุมการเปลี่ยนในอนาคตทั้งหมด

งบเปลี่ยนเอกสารและระบบควรคิดอย่างไร?

ตัวอย่างสมมติ: ตรวจแหล่งข้อมูล 6 ชั่วโมง × 1,000 บาท = 6,000 บาท แก้ระบบแบ่งกลุ่ม 5,000 บาท และทดสอบข้อความกับการถอน 3,000 บาท รวม 14,000 บาท เป็นตัวอย่างงบโครงการ ไม่ใช่อัตราค่าบริการหรือราคาที่ใช้กับทุกบริษัท

ต้นทุนสำคัญอีกส่วนคือข้อมูลที่ต้องพักใช้ หากระบบแยกกลุ่มไม่ได้ บริษัทอาจต้องหยุดกิจกรรมใหม่ทั้งชุดชั่วคราว จึงควรประเมินค่าแก้ระบบก่อนสัญญาว่าจะส่งข้อมูลครบตามยอดที่ฝ่ายขายตกลงกับคู่ค้า

ค่าปรับและเงินชดใช้ไม่ใช่ค่าธรรมเนียมสำหรับซื้อสิทธิใช้ข้อมูล การตัดสินใจไม่ควรตั้งอยู่บนการเปรียบเทียบรายได้กับตัวเลขโทษเพียงอย่างเดียว ต้องทำให้การใช้ข้อมูลชอบด้วยกฎหมายและมีหลักฐานรองรับก่อนเริ่ม

หลักฐานอนุมัติวัตถุประสงค์ใหม่ควรมีอะไร?

• คำอธิบายโครงการใหม่ที่ระบุข้อมูล ผู้ใช้ ผู้รับ และผลที่ต้องการจริง
• คำแจ้งและแบบฟอร์มเดิมทุกฉบับที่เกี่ยวข้อง พร้อมช่วงเวลาที่ใช้
• ตารางเปรียบเทียบวัตถุประสงค์เดิมกับใหม่และความจำเป็นของแต่ละฟิลด์
• บันทึกวิเคราะห์ฐานกฎหมายและเงื่อนไขมาตรา 21 รวมถึงข้อมูลตามมาตรา 26 เมื่อมี
• ฉบับคำแจ้งหรือความยินยอมใหม่ หลักฐานตอบรับ และผลทดสอบการถอน
• รายการแก้สัญญา สิทธิระบบ ระยะเวลาเก็บ และผู้อนุมัติเริ่มใช้งาน

ดู แนวทางทำทะเบียนความยินยอม ประกอบการจัดหลักฐาน โดยไม่ควรเก็บเพียงภาพหน้าจอแบบฟอร์มรุ่นล่าสุด เพราะจะพิสูจน์ไม่ได้ว่าลูกค้ารายเดิมเห็นข้อความใด ให้เชื่อมรุ่นเอกสารกับกิจกรรมและกลุ่มข้อมูล โดยจำกัดข้อมูลในทะเบียนหลักฐานเท่าที่จำเป็นต่อการตรวจสอบ

เรื่องสัญญาและการตลาดต้องตรวจควบคู่กันอย่างไร?

เมื่อโครงการใหม่มีการส่งข้อมูลให้พันธมิตร ต้องตรวจสิทธิและหน้าที่ใน สัญญาธุรกิจ ว่าผู้รับใช้ตามคำสั่งหรือมีวัตถุประสงค์ของตนเอง การเรียกสัญญาว่า DPA ไม่ทำให้การเปิดเผยที่ไม่มีฐานกลายเป็นชอบด้วยกฎหมาย

ถ้ามีข้อพิพาทว่าลูกค้าได้รับข้อมูลไม่ครบหรือเสียประโยชน์จากการใช้ข้อมูล ต้องแยกประเด็นสัญญา ผู้บริโภค และความเสียหายตามข้อเท็จจริง งาน คดีแพ่ง ต้องอาศัยเอกสารรุ่นที่ใช้จริงและหลักฐานผลกระทบ ไม่สรุปความรับผิดจากชื่อแคมเปญเพียงอย่างเดียว

ทางไปต่อ: อนุมัติโครงการจากข้อมูลและหลักฐานที่ใช้ได้จริง

1. เขียนวัตถุประสงค์ใหม่ให้ชัดและระบุข้อมูลที่จำเป็น
2. ตรวจคำแจ้งเดิม ฐานกฎหมาย และเงื่อนไขเปลี่ยนวัตถุประสงค์
3. ปรับเอกสาร ระบบแบ่งกลุ่ม และสัญญาที่เกี่ยวข้อง
4. ทดสอบการปฏิเสธ ถอน และหยุดส่งข้อมูลให้ทำงานตรงกัน
5. อนุมัติเริ่มเฉพาะกลุ่มที่ผ่านเงื่อนไข พร้อมเก็บหลักฐานและกำหนดทบทวน

ควรขอความช่วยเหลือเมื่อหาเอกสารเดิมไม่พบ ใช้ข้อมูลอ่อนไหว ส่งข้อมูลให้คู่ค้ารายใหม่ หรือเริ่มใช้ไปแล้วโดยยังไม่ตรวจ สามารถ ติดต่อทีมงาน เพื่อหารือ บริการด้าน PDPA และ ตรวจเอกสารและการใช้ข้อมูลขององค์กร โดยเตรียมคำอธิบายโครงการกับแบบฟอร์มที่ใช้จริง

แหล่งกฎหมาย: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19, 21–24 และ 26

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ