ปัญหากฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในเครือข่ายสังคมออนไลน์: ศึกษากรณีผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

Abstract

การพัฒนาทางเทคโนโลยีและสังคมของเครือข่ายสังคมออนไลน์ ทำให้การนำแนวคิดผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลเมื่อนำมาใช้ในทางปฏิบัติมีความยากมากยิ่งขึ้น ประกอบกับความซับซ้อนของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นส่งผลให้ไม่อาจทราบจุดตัดที่แยกระหว่างผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลได้อย่างชัดเจน โดยเฉพาะกรณีที่มีบุคคลจำนวนมากเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลซึ่งแต่ละฝ่ายมีบทบาทที่แตกต่างกันในการบรรลุเป้าหมายของการประมวลผลข้อมูลส่วนบุคคล จากการศึกษาพบปัญหาสำคัญ 3 ประการ ได้แก่ (1) ปัญหาเรื่องความสับสนในการกำหนดฐานะของบุคคลที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงมีความจำเป็นต้องกำหนดแนวทางปฏิบัติในการตีความนิยามความหมายของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งมีแนวโน้มว่าการตีความโดยขยายความส่งผลให้ผู้ควบคุมข้อมูลส่วนบุคคลขยายความรวมถึงผู้ซึ่งมีอิทธิพลต่อการตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลดังเช่นตามแนวคิดของสหภาพยุโรป (2) ปัญหาเรื่องความไม่ครอบคลุมของบทบัญญัติกรณีที่มีบุคคลหลายรายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงมีความจำเป็นต้องแก้ไขเพิ่มเติมบทบัญญัติกรณีที่มีบุคคลหลายรายโดยอาศัยหลักความชอบด้วยกฎหมาย เป็นธรรม และโปร่งใสและหลักความซื่อสัตย์สุจริตและการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลผ่านข้อตกลงที่เป็นลายลักษณ์อักษร และ (3) ปัญหาเกี่ยวกับการจัดสรรหน้าที่และความรับผิดชอบระหว่างผู้ให้บริการและผู้ใช้งานเครือข่ายสังคมออนไลน์ ซึ่งทุกฝ่ายควรปฏิบัติตามหลักความรับผิดชอบแบบครบทุกฝ่าย

The advanced in technology development, especially on the social network platforms, has caused the obstacles on applying the data protection law. According to the research, three major problems were found: (1) the problem in determining the status of persons related to the collection, use or disclosure of personal data; (2) the absence on the provision determining responsibility and duty of muti controllers and processors; and (3) the issues regarding the allocation of duties and responsibilities between social network service providers and users. Therefore, the necessity of establishing guidelines for interpreting the definitions of data controller and data processor, the addition to provisions on responsibility of multi actors based on the data protection principles, and the data handling practices according to the end-to-end accountability principle through the life cycle of personal data are essential keys to ensure the effective and complete protection.