หากองค์กรละเมิด PDPA (Personal Data Protection Act) อาจต้องเผชิญ โทษปรับ ค่าสินไหมทดแทน และบทลงโทษอื่น ๆ ที่ HR และฝ่ายบริหารต้องระวัง จะมีอะไรบ้างไปดูกันเลย

อ่านบทความที่เกี่ยวข้องเพิ่มเติม

ความสำคัญของกฎหมาย PDPA

PDPA (Personal Data Protection Act) หรือ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่ออกมาเพื่อป้องกันการละเมิดข้อมูลส่วนบุคคล โดยกำหนดให้ การเก็บ ใช้ และเปิดเผยข้อมูลของบุคคล ต้องได้รับความยินยอมจากเจ้าของข้อมูลก่อน องค์กรจึงต้องปรับกระบวนการจัดการข้อมูลของลูกค้าและพนักงานให้สอดคล้องกับกฎหมาย หากละเมิดอาจได้รับผลกระทบรุนแรง ทั้งทางกฎหมายและชื่อเสียง ดังนั้น การปฏิบัติตาม PDPA ไม่ใช่แค่ข้อบังคับ แต่เป็นการสร้างความน่าเชื่อถือและความรับผิดชอบต่อผู้มีส่วนได้เสียในระยะยาวอีกด้วย

กฎหมายนี้ถูกบังคับใช้อย่างเต็มรูปแบบตั้งแต่ 1 มิถุนายน 2565 เพื่อแก้ไขปัญหาการล่วงละเมิดข้อมูล เช่น การซื้อขายข้อมูลส่วนตัวโดยไม่ได้รับอนุญาต ซึ่งมักพบในกรณีโทรศัพท์ขายสินค้า โฆษณา หรือการหลอกลวง

ละเมิด PDPA มีโทษปรับและบทลงโทษอะไรบ้าง?

ความรับผิดทางแพ่ง

หาก ผู้ควบคุมข้อมูล (Data Controller) หรือผู้ประมวลผลข้อมูล (Data Processor) ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมาย PDPA จนทำให้เจ้าของข้อมูลได้รับความเสียหาย ไม่ว่าจะเกิดจากความตั้งใจหรือประมาทเลินเล่อ ต้องชดใช้ค่าสินไหมทดแทนตามความเสียหายที่เกิดขึ้น นอกจากนี้ คณะกรรมการคุ้มครองข้อมูลฯ อาจพิจารณา เพิ่มโทษเป็น 2 เท่าของความเสียหายจริง ซึ่งมีวิธีการคำนวณง่าย ๆ ดังนี้

ค่าปรับจริง + 2 เท่าของค่าปรับ = เงินค่าสินไหมทดแทนที่ต้องจ่าย

ตัวอย่าง: บริษัทนำข้อมูลลูกค้าไปขายให้บุคคลที่สามโดยไม่ได้รับความยินยอม หากลูกค้าได้รับความเสียหาย อาจเรียกร้องค่าเสียหายจากบริษัทนั้นได้

โทษทางอาญา

กฎหมาย PDPA กำหนดโทษอาญาไว้ 2 ลักษณะ คือ ปรับเงิน กับ จำคุก หรืออาจทั้งจำทั้งปรับ

กรณีนำข้อมูลไปใช้ทำให้เกิดความเสียหาย เสียชื่อเสียง โทษสูงสุดจำคุก 6 เดือน หรือปรับไม่เกิน 500,000 บาท หรือทั้งจำทั้งปรับ
กรณีนำข้อมูลไปหาผลประโยชน์แบบผิดกฎหมาย โทษสูงสุดจำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 1,000,000 บาท หรือทั้งจำทั้งปรับ

อย่างไรก็ตาม การกำหนดโทษควรดูจากพฤติการณ์ต่าง ๆ เช่น ความร้ายแรงของความเสียหาย, ผลประโยชน์ที่ผู้ควบคุมข้อมูล หรือผู้ประมวลผลข้อมูลได้รับ ตลอดจนสถานะทางการเงิน การบรรเทาในส่วนที่เกิดความเสียหาย หรือขึ้นอยู่ที่ดุลยพินิจของคณะกรรมการคุ้มครองข้อมูลฯ ซึ่งหากละเมิดอาจมีโทษ ทั้งความรับผิดทางแพ่ง โทษอาญา และโทษทางปกครองร่วมด้วย

โทษทางปกครอง

ไม่ขอความยินยอมให้ถูกต้องไม่แจ้งรายละเอียดให้เจ้าของข้อมูลทราบ ไม่ให้เจ้าของข้อมูลตามสิทธิ ฯลฯ ปรับไม่เกิน 1,000,000บาท
เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากฐานทางกฎหมาย ปรับไม่เกิน 3,000,000 บาท
เก็บรวบรวม ใช้ เปิดเผยหรือโอนข้อมูลส่วนบุคคลที่อ่อนไหว โดยไม่ชอบด้วยกฎหมาย ปรับไม่เกิน 5,000,000 บาท

HR ควรทำอย่างไรให้ถูกต้องตามกฎหมาย PDPA

ขอความยินยอมจากพนักงานก่อนเก็บ ใช้ หรือเปิดเผยข้อมูล
อบรม HR และผู้เกี่ยวข้อง ให้เข้าใจข้อกำหนดของ PDPA
กำหนดนโยบายคุ้มครองข้อมูลส่วนบุคคลและสื่อสารให้พนักงานทราบ
รักษาความปลอดภัยของข้อมูลป้องกันการรั่วไหลแจ้งพนักงานทันที หากเกิดเหตุข้อมูลรั่วไหล

สรุป ละเมิด PDPA เสี่ยงอะไร? โทษปรับและบทลงโทษ HR ควรรู้

การปฏิบัติตามกฎหมาย PDPA ไม่ใช่แค่เรื่องของกฎหมายอย่างเดียวเท่านั้น แต่ยังเป็นเรื่องของความรับผิดชอบที่มีต่อพนักงาน อีกทั้งยังช่วยสร้างความน่าเชื่อถือให้กับองค์กรในระยะยาวได้อีกด้วย