เมื่อวันที่ 17 กุมภาพันธ์ 2558 ได้มีเวทีสัมมนาย่อยหัวข้อ "วิเคราะห์ร่างพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ..." ณ มหาวิทยาลัยเซนต์จอห์น ซึ่งมีผู้ร่วมสัมมนาได้แก่ กฤษฎา แสงเจริญทรัพย์ อาจารย์คณะนิติศาสตร์ มหาวิทยาลัยกรุงเทพธนบุรี, จอมพล พิทักษ์สันตโยธิน อาจารย์คณะนิติศาสตร์ มหาวิทยาลัยหอการค้าไทย, คณาธิป ทองรวีวงศ์ คณบดีคณะนิติศาสตร์ มหาวิทยาลัยเซนต์จอห์น และอรวิภา พึ่งเงิน นักวิชาการอิสระด้านสื่อสารมวลชน

ทั้งนี้ การสัมมนาเวทีย่อยดังกล่าวเป็นส่วนหนึ่งของ "เวทีว่าด้วยการอภิบาลอินเทอร์เน็ตและการเตรียมตัวขององค์กรประชาสังคมในประเทศไทย" ซึ่งจัดโดยมูลนิธิเอเชีย, สภาคนพิการทุกประเภทแห่งประเทศไทย, คณะนิติศาสตร์ มหาวิทยาลัยเซนต์จอห์น, โครงการจัดการความรู้เพื่อขับเคลื่อนสังคมปลอดพนันภายใต้มูลนิธิสดศรี-สฤษดิ์วงศ์, มูลนิธิสาธารณสุขแห่งชาติ, มหาวิทยาลัยกรุงเทพธนบุรี และองค์กรเครือข่าย

คณาธิป ชี้ ร่าง กม.คุ้มครองข้อมูลส่วนบุคคล ไม่ได้มาตรฐาน-ขาดหลักการขอความยินยอม

คณาธิปกล่าวว่า ปัจจุบันเราถูกเก็บข้อมูลจากทั้งรัฐและเอกชน และการเก็บข้อมูลบางอย่าง เช่น รถของกูเกิลที่วิ่งถ่ายภาพท้องถนนและอาคารต่างๆ เพื่อไปทำเป็นบริการกูเกิลแมป (Google Map) นั้น ไม่ได้เก็บแค่ข้อมูลภาพ แต่รถยังสามารถเก็บข้อมูลไวไฟระหว่างที่รถวิ่งผ่านเก็บมาด้วย ทำให้ทุกวันนี้ เราไม่รู้ตัวเลยว่าเรากำลังถูกเก็บข้อมูลอะไรอยู่บ้าง

การละเมิดข้อมูลส่วนบุคคลจะรุนแรงขึ้นอีก เมื่อมาถึงยุคของ Internet of Things (IoT) ที่อุปกรณ์เครื่องใช้ต่างๆ จะสามารถเชื่อมต่อกับอินเทอร์เน็ตได้

ด้วยเหตุผลดังกล่าว จึงจำเป็นอย่างยิ่งที่ประเทศไทยต้องมีกฎหมายคุ้มครองข้อมูลส่วนบุคคล เช่นเดียวกับประเทศในสหภาพยุโรปและประเทศอื่นๆ อีกหลายประเทศ ที่มีกฎหมายนี้มานานแล้ว

ซึ่งหัวใจหลักของการคุ้มครองข้อมูลส่วนบุคคล คือต้องขอความยินยอมจากเจ้าของข้อมูลใน 3 ขั้นตอนด้วยกัน คือ 1.ขั้นตอนการเก็บข้อมูล 2. ขั้นตอนการนำข้อมูลไปประมวลผล 3.ขั้นตอนการเผยแพร่ข้อมูล นอกจากนี้ การขอความยินยอมต้องเป็นชัดแจ้ง ไม่ใช่การขอข้อมูลโดยปริยาย และหน่วยงานที่ดูแลเรื่องการคุ้มครองข้อมูลส่วนบุคคลต้องมีความเป็นอิสระ

ทว่าในร่างกฎหมายคุ้มครองข้อมูลส่วนบุคคลฉบับปัจจุบัน ซึ่งเป็นหนึ่งในกฎหมายว่าด้วยเศรษฐกิจดิจิทัล ที่คณะรัฐมนตรีได้เห็นชอบไปเมื่อเดือนมกราคมที่ผ่านมานั้น  ขาดหลักการขอความยินยอมในขั้นการเก็บข้อมูล ซึ่งเป็นขั้นแรกและเป็นขั้นตอนที่สำคัญที่สุด แม้ว่าจะมีการขอความยินยอมในขั้นการประมวลผลหรือนำข้อมูลไปเผยแพร่ก็ตาม ซึ่งจุดนี้เป็นหนึ่งในปัญหาสำคัญของร่างกฎหมายฉบับดังกล่าว

คณาธิปกล่าวต่อว่า กฎหมายคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย ส่วนหนึ่งเกิดขึ้นจากเหตุผลทางเศรษฐกิจ เพราะประเทศไทยต้องติดต่อค้าขายกับต่างประเทศ ซึ่งย่อมต้องมีเรื่องการไหลเวียนของข้อมูล ประเทศไทยจึงมีความจำเป็นที่จะต้องทำให้กฎหมายที่เกี่ยวกับข้อมูลให้มีความเป็นสากล

"เห็นได้จากแนวปฏิบัติของอียูในมาตรา 25 ที่บอกว่า หากประเทศไหนไม่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือมีแต่ไม่ได้มาตรฐานทัดเทียมอียู ประเทศในอียูก็ไม่สามารถส่งออกข้อมูลไปยังประเทศเหล่านั้นได้"

นี่จึงเป็นอุปสรรคต่อการดำเนินธุรกิจสำหรับประเทศที่ไม่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคลหรือมีแต่ไม่ได้มาตรฐาน

ข้อได้เปรียบอีกอย่างหนึ่งของการที่ประเทศมีกฎหมายคุ้มครองข้อมูลส่วนบุคคลคือ ตามความตกลงทั่วไปว่าด้วยภาษีศุลกากรและการค้า (General Agreement on Tariffs and Trade-GATT) มาตรา 14 ระบุให้ประเทศสามารถกีดกันทางการค้าต่ออีกประเทศได้ หากประเทศที่จะค้าขายด้วยนั้นไม่มีกฎหมายคุ้มครองข้อมูลส่วนบุคคล คณาธิปกล่าวว่า หากประเทศไทยมีกฎหมายนี้ ก็สามารถใช้เป็นเหตุผลในการกีดกันทางการค้าเพื่อปกป้องผู้ผลิตสินค้าบางประเภทในประเทศได้

เหตุผลทางเศรษฐกิจเหล่านี้เป็นข้อดีของการมีกฎหมายคุ้มครองข้อมูลส่วนบุคคล นอกเหนือไปจากเหตุผลเรื่องสิทธิส่วนบุคคล

กฤษฎา อัด ร่าง กม. ไม่ตอบโจทย์หลักขจัดอุปสรรคในการติดต่อค้าขายต่างประเทศ

กฤษฎากล่าวว่า ในหลักการและเหตุผลของร่างกฎหมายคุ้มครองข้อมูลส่วนบุคคล คือต้องการมีกฎมหายคุ้มครองข้อมูลส่วนบุคคลที่เป็นการทั่วไป และเพื่อขจัดอุปสรรคในการติดต่อค้าขายกับต่างประเทศ

ทว่าเมื่อดูจากเนื้อหาในร่างกฎหมายคุ้มครองข้อมูลส่วนบุคคลฉบับปัจจุบัน ซึ่งเป็นหนึ่งในชุดร่างกฎหมายว่าด้วยเศรษฐกิจดิจิทัลนั้น พบว่า ร่างกฎหมายดังกล่าวไม่สอดคล้องหรือ "ไม่ตอบโจทย์" หลักการที่กล่าวมาข้างต้น

กฤษฎาได้ตั้งข้อสังเกตบางประการ ดังนี้

ร่างมาตรา 17 ที่ระบุให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลต้องให้โอกาสผู้ถูกกล่าวหาว่าละเมิดข้อมูลส่วนบุคคลได้มีโอกาสชี้แจงข้อเท็จจริง โต้แย้ง และแสดงพยานหลักฐานของตน "เว้นแต่ในกรณีจำเป็นและเร่งด่วน"

กฤษฎากล่าวว่า ร่างมาตราดังกล่าวมีปัญหาตรงที่วลี "กรณีจำเป็นและเร่งด่วน" ซึ่งเป็นการเขียนกฎหมายที่ไม่ชัดเจน ทั้งๆ ที่กฎหมายฉบับนี้เป็นกฎหมายอาญาซึ่งกระทบกับสิทธิของบุคคล คณะกรรมการฯ จึงต้องให้ผู้ถูกกล่าวหาโต้แย้งได้อย่างเต็มที่ การเขียนกฎหมายเช่นนี้ผิดหลักการพิจารณาความอาญา

เช่นเดียวกันกับวรรคสองในร่างมาตราเดียวกัน ที่ระบุให้ผู้ถูกกล่าวหาไม่มีสิทธิชี้แจงหรือโต้แย้ง เมื่อมีเหตุผลเป็นไปตามกรณีต่างๆ ตามความใน (1) ถึง (5) โดยเฉพาะใน (5) ที่กฎหมายเขียนว่าเป็น "กรณีอื่นตามที่คณะกรรมการประกาศกำหนด"

วลีดังกล่าวเป็นการเขียนกฎหมายที่ไม่มีความชัดเจน "เกิดวันดีคืนดีคณะกรรมการอยากเพิ่มกรณีใหม่อะไรเข้ามาก็ได้อย่างนั้นหรือ?" กฤษฎากล่าว

ต่อมา ในร่างมาตรา 18 ที่ระบุให้เจ้าหน้าที่เป็นเจ้าหน้าที่ตามประมวลกฎหมายอาญา ทว่ากลับไม่ต้องรับโทษทั้งทางแพ่งและทางกฎหมาย "เมื่อทำหน้าที่โดยสุจริต" ซึ่งมีปัญหาสองประการ หนึ่งคือ ประชาชนจะทราบได้อย่างไรว่าเจ้าหน้าที่ได้ทำหน้าที่ "โดยสุจริต" และสอง การที่เจ้าหน้าที่มีสิทธิใช้อำนาจตามกฎหมายอาญา แต่กลับไม่ต้องรับผิดใดๆ เป็นเรื่องที่ไม่ถูกต้อง

ร่างมาตรา 25 และ 26 ที่กำหนดไม่ให้เก็บรวบรวมข้อมูล ใช้ หรือเปิดเผยโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูล เว้นแต่จะเป็น "กรณีอื่นตามที่กำหนดในกฎกระทรวง"

อีกเช่นกัน ที่การเขียนกฎหมายด้วยถ้อยคำเช่นนี้เป็นการเขียนกฎหมายที่เปิดช่องไว้กว้างเกินไป กฤษฎากล่าวว่า กฎกระทรวงเป็นกฎที่รัฐมนตรีประจำกระทรวงเพียงคนเดียวก็สามารถออกได้โดยไม่ต้องผ่านการเห็นชอบจากใคร ทั้งๆ ที่การเขียนกฎหมายเช่นนี้จะเป็นการจำกัดตัดสิทธิของประชาชน ซึ่งต้องเขียนให้ชัดเจนที่สุดเท่าที่จะเป็นไปได้ และไม่ควรมีการกำหนดข้อยกเว้น แต่หากหลีกเลี่ยงไม่ได้ และเห็นว่ายังไงก็ต้องมีควรยกเว้น ตนก็เห็นว่าจะใช้กฎกระทรวงเพียงอย่างเดียวนั้นไม่พอ

"กฎหมายที่จะกระทบสิทธิของประชาชน หากจะให้คนๆ เดียวมาตัดสิน ผมไม่เห็นด้วย"

แต่อาจเขียนโดยการเปิดช่องให้มีการกำหนดเพิ่มได้ในพระราชกฤษฎีกา เพราะอย่างน้อย พระราชกฤษฎีกาก็เป็นกฎหมายที่ออกโดยคณะรัฐมนตรีที่ต้องมาประชุมกัน

สำหรับร่างมาตรา 28(5) ซึ่งสรุปความได้ว่า เจ้าของข้อมูลไม่มีสิทธิเข้าถึงข้อมูลของตนเอง หากเป็นไปเพื่อ "คุ้มครองเจ้าของข้อมูล..." ก็เป็นอีกข้อหนึ่งที่เป็นปัญหา

นอกจากนี้ การออกกฎหมายข้อคุ้มครองข้อมูลส่วนบุคคลที่มีข้อยกเว้นจำนวนมากเช่นนี้ ไม่ตอบสนองต่อวัตถุประสงค์ที่ต้องการให้มีกฎหมายเพื่อคุ้มครองข้อมูลส่วนบุคคลตั้งแต่แรก

ชี้ ยังมีอีกหลายฉบับที่ละเมิดสิทธิส่วนบุคคล กำลังผ่านสภา "อย่างเงียบๆ" และรอประกาศใช้จริง

คณาธิปกล่าวต่อว่า จากการที่ผู้ร่างกฎหมาย (สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์-สพธอ.) ชี้แจงว่า ที่ต้องเขียนกฎหมายเช่นนี้เพราะไม่ต้องการให้การคุ้มครองข้อมูลส่วนบุคคลเป็นภาระเกินไปต่อภาคเอกชนนั้น จากที่ตนได้ไปพูดคุยกับภาคเอกชน พบว่าหลักการขอความยินยอมดังกล่าวไม่ได้เป็นภาระยุ่งยากแต่อย่างใด

คณาธิปกล่าวทิ้งท้ายเวทีว่า นอกจากร่างพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลที่กำลังคุยอยู่นี้แล้ว ยังมีร่างพ.ร.บ.อีกหลายฉบับที่กระทบหรือละเมิดสิทธิส่วนบุคคล อาทิ ร่างพ.ร.บ.ทวงถามหนี้ ซึ่งผ่านสภานิติบัญญัติมาแล้ว "อย่างเงียบๆ" และกำลังรอประกาศใช้จริง ซึ่งมีปัญหาละเมิดสิทธิส่วนบุคคลเช่นกัน แต่กลับไม่มีใครให้ความสนใจ