ฐานประโยชน์อันชอบธรรม Legitimate Interest

มาตรา 24 ของ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้กำหนดหลักการประมวลผลข้อมูลส่วนบุคคล หรือที่เรียกว่า Lawful basis อันเป็นเหตุที่สามารถทำได้โดยชอบด้วยกฎหมาย ดังนี้

ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวมข้อมูลส่วนบุคคล โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่

…

(๕) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญ น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล

…

ข้อยกเว้นในวงเล็บ 5 หรืออนุมาตรา 5 เป็นฐานกฎหมายที่เรียกว่า ฐานประโยชน์อันชอบธรรม (Legitimate Interest) ซึ่ง สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ได้จัดทำ Infographic แนะนำไว้ดังนี้

แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล 3.0 (TDPG 3.0 : TDPG 3.0 – Thailand Data Protection Guidelines 3.0) จัดทำโดยศูนย์วิจัยกฎหมายและการพัฒนา คณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย ได้ให้ตัวอย่างของการใช้ฐานกฎหมาย ไว้ดังนี้

การป้องกันอาชญากรรมและการฉ้อโกง การส่งต่อในเครือบริษัทเพื่อการบริหารจัดการภายในองค์กรที่ไม่รวมการส่งไปต่างประเทศ การรักษาความปลอดภัยของระบบและเครือข่าย การช่วยเหลือเจ้าหน้าที่รัฐในการปฏิบัติภารกิจในลักษณะที่ไม่ขัดกับหน้าที่ในการรักษาความลับ การปฏิบัติตามกฎหมายของต่างประเทศที่จำเป็น รวมทั้งยืนยันตัวตนลูกค้า ข้อมูลการทำงานของลูกจ้าง (ซึ่งอาจจะอ้างถึงฐานสัญญาได้ด้วย) ข้อมูลเพื่อช่วยเหลือผู้ลี้ภัย การแบ่งปันข้อมูลเพื่อยกระดับมาตรฐานการทำงานอุตสาหกรรมของบริษัทในธุรกิจเดียวกัน

ลูกค้าร้องขอไม่ให้ส่งจดหมายข่าวมาอีกนั้น บริษัทอาจอ้างฐานผลประโยชน์อันชอบธรรมในการที่จะเก็บข้อมูลชื่อและช่องทางการติดต่อลูกค้ารายนั้นเพื่อไม่ให้เกิดการส่งจดหมายข่าวแบบไม่เฉพาะเจาะจงไปให้อีกในอนาคตได้

ข้อมูลการเข้าออกห้องโรงแรม โรงแรมเก็บข้อมูลการเข้าออกห้องพักของผู้เข้าพักและพนักงานผ่านการใช้คีย์การ์ด เพื่อบริหารจัดการในกรณีที่เกิดข้อพิพาทหรือต้องสอบสวนพนักงาน การเก็บข้อมูลนี้เป็นการเก็บชั่วคราวและจะถูกลบออกภายในเวลา 30 วัน

การใช้ฐานประโยชน์อันชอบธรรม (legitimate interest) ในการประมวลผลข้อมูลทำให้มีขอบเขตค่อนข้างกว้างและค่อนข้างยืดหยุ่นในการปรับใช้ ดังนั้นผู้ควบคุมข้อมูลจะต้องใช้ดุลยพินิจอย่างมาก เพื่อชั่งน้ำหนักระหว่างประโยชน์อันชอบธรรมนั้นไม่ให้ขัดกับสิทธิและประโยชน์ของเจ้าของข้อมูล โดยผู้ควบคุมข้อมูลจะต้องระบุได้ว่าอะไรคือประโยชน์อันชอบธรรมที่จะได้รับ และอะไรคือความจำเป็นของการประมวลผลข้อมูล อีกทั้งยังต้องมีหน้าที่ในการปกป้องสิทธิเสรีภาพและประโยชน์ของเจ้าของข้อมูลให้สมดุลกับประโยชน์อันชอบธรรมที่จะได้รับด้วย การใช้ดุลยพินิจเช่นนี้ย่อมทำให้เกิดความเสี่ยงมากในการตัดสินใจผิดพลาดซึ่งผู้ควบคุมข้อมูลอาจต้องรับผิดภายหลังได้

จากกรณีต่างๆ ข้างต้น ยังรวมถึงกรณีการใช้กล้องวงจรปิดเพื่อประโยชน์ของหน่วยงาน ร้านค้าหรือองค์กรต่างๆ เช่น การติด CCTV หน้าประตูทางเข้าบริษัทย่อมคาดหมายได้ว่าเป็นไปเพื่อการรักษาความปลอดภัย ผู้ควบคุมข้อมูลสามารถทำให้เจ้าของข้อมูลมีความคาดหมายที่ถูกต้องเพิ่มเติมได้โดยการแปะป้าย “CCTV กำลังทำงาน”

แต่การติดกล้อง CCTV ภายในห้องน้ำ นอกจากเกินกว่าที่บุคคลทั่วไปจะคาดหมายได้แล้ว ยังก้าวล่วงความเป็นส่วนตัวและสร้างความเสี่ยงต่อเจ้าของข้อมูลมากเกินสมควร กรณีนี้ก็จะไม่สามารถอ้างประโยชน์อันชอบธรรมได้

หรือกรณีที่เราไปในที่สาธารณะ และบันทึกภาพสถานที่ต่างๆ ซึ่งติดภาพบุคคล ก็ยังถือเป็น ประโยชน์อันชอบด้วยกฎหมาย (Legitimate Interest) ของเราที่จะทำได้ ด้วยหลักที่ว่า “ไม่มีความเป็นส่วนตัวในที่สาธารณะ” … ในที่สาธารณะ ย่อมไม่มีเหตุที่จะทำให้ใครๆ ก็ตามคาด หรือหวังว่าจะมีความเป็นส่วนตัว นั่นเอง

อย่างไรก็ตาม ในการปกป้องสิทธิเสรีภาพและประโยชน์ของเจ้าของข้อมูล ผู้ควบคุมข้อมูลควรจะมีระบบรักษาความปลอดภัยในการใช้ข้อมูลจากกล้องให้อยู่ในขอบเขตที่เหมาะสม ไม่เปิดเผยให้ผู้อื่นเข้าถึงได้โดยง่าย ก็จะเป็นมาตรการที่ช่วยคุ้มครองเจ้าของข้อมูลได้อีกทางหนึ่ง (Safeguard)