GDPR กฏหมายใหม่ EU แต่ผู้ประกอบการไทยต้องรู้จัก !!!

GDPR เป็นกฏหมายใหม่ที่มารองรับความเป็นส่วนตัวของข้อมูล เพราะรู้ว่าเรื่องเหล่านี้เป็นสิ่งที่ใครๆ ก็หวง โดยเฉพาะเมื่อเกิดเหตุการณ์ข้อมูลรั่วไหล และการนำข้อมูลไปใช้โดยมิชอบ ทำให้หลายๆ คนกลัวการให้ข้อมูลกับองค์กรต่างๆ ส่งผลให้ประเทศที่พัฒนาแล้วหลายแห่งเริ่มมีการออกกฎหมายเพื่อคุ้มครองข้อมูลของผู้บริโภค

ทางสหภาพยุโรป (EU) จึงได้ออกกฏหมายใหม่อย่าง GDPR (General Data Protection Regulation) เพื่อให้ความคุ้มครองข้อมูลส่วนบุคคลของผู้บริโภค โดยเริ่มบังคับใช้แล้วเมื่อวันที่ 25 พฤษภาคม 2561 ที่ผ่านมา โดย GDPR ผ่านการอนุมัติจากสภามาตั้งแต่ปี 2016 แต่ต้องใช้ระยะเวลาในการบังคับใช้ถึง 2 ปี เพื่อให้องค์กรได้ปรับตัว

โดยข้อมูลส่วนบุคคล ที่กล่าวถึงใน GPDR คือข้อมูลที่สามารถระบุถึงตัวบุคคลได้ เช่น IP address, ชื่อ, รูปถ่าย, ที่อยู่, e-mail, ข้อมูลทางการแพทย์, รวมถึงข้อความที่บุคคลได้โพสท์บน Social Network และพฤติกรรมผู้ใช้งานออนไลน์ ดังนั้นผู้ใช้อินเทอร์เน็ตรวมถึงผู้ให้บริการต่างๆทั้งเว็บไซต์ อีคอมเมิร์ซ SME ผู้ประกอบการท่องเที่ยว โรงแรม รวมถึงผู้พัฒนาแอปฯ ก็ต้องทราบข้อมูลเกี่ยวกับกฏหมายนี้ด้วย

รายละเอียดของตัวกฏหมาย GDPR นี้คือการปรับปรุงกฎหมายฉบับเดิมที่เกี่ยวข้องกับการคุ้มครองข้อมูลใน EU โดยเพิ่มสิทธิ์ให้พลเมืองใน EU สามารถควบคุมข้อมูลส่วนตัวได้มากขึ้น โดยองค์กร หรือผู้ให้บริการผ่านออนไลน์ จำเป็นต้องเปิดเผยหลักเกณฑ์และความรับผิดชอบต่อข้อมูลให้ชาวยุโรปทราบด้วยว่าข้อมูลที่บริษัทจะจัดเก็บไปมีอะไรบ้าง และพวกเขาจะนำข้อมูลดังกล่าวไปใช้ต่อกับใครหรือไม่ หรือง่ายๆ คือการแจ้งข้อมูลการนำไปใช้และการจัดเก็บข้อมูลให้ผู้ใช้งานได้ทราบทุกครั้งนั่นเอง

พลเมืองชาว EU ได้อะไรจากกฏหมายนี้บ้าง?

การจัดการข้อมูลข้ามพรมแดนง่ายขึ้น : ที่ผ่านมากฏหมายของแต่ละประเทศอาจจะไม่คุ้มครอง หรือมีรายละเอียดต่างกัน แต่พอเริ่มบังคับใช้ องค์กรผู้รับข้อมูลต้องทำตาม GDPR เช่นเดียวกันทั้งหมด
มีบทลงโทษแรงขึ้น : หากพบว่าองค์กรผิดกฎของ GDPR ต้องจ่ายค่าปรับ 4% ของผลประกอบการรายได้ทั่วโลกทั้งหมดขององค์กร
วิธีขอความยินยอมจากเจ้าของข้อมูลต้องเข้าใจง่าย : หมดปัญหาเงื่อนไขการขอความยินยอมที่ยาวเหยียด
แจ้งเตือนเมื่อเกิดเหตุข้อมูลรั่ว : หากเกิดเหตุฉุกเฉินข้อมูลรั่วไหล หน่วยงานควบคุมข้อมูลและผู้ประมวลผลข้อมูลต้องแจ้งให้หน่วยงานกำกับดูแล และประชาชนเจ้าของข้อมูลทราบภายใน 72 ชั่วโมง
สิทธิ์ที่จะถูกลืม (Right to be Forgotten) : เจ้าของข้อมูลสามารถขอให้หน่วยงานควบคุมข้อมูลลบข้อมูลของตัวเองออกได้ หากไม่ต้องการ หรือเห็นว่าไม่เกี่ยวข้อง
ต้องมีเจ้าหน้าที่คุ้มครองข้อมูล : เพื่อทำหน้าที่ติดตามกิจกรรมประมวลผลข้อมูลขนาดใหญ่ และข้อมูลอ่อนไหวโดยเฉพาะ

แล้ว GDPR มีผลอะไรกับประเทศไทยบ้าง?

ผลโดยตรงสำหรับประชาชนอย่างเราอาจจะยังไม่มีมากนัก แต่ส่วนขององค์กรณ์ธุรกิจที่ต้องมีการติดต่อการค้าระหว่างประเทศเรียกได้ว่างานนี้เป็นผลกระทบโดยตรงเลยล่ะครับ ซึ่งธุรกิจหลักๆ คือพวก โทรคมนาคม ธนาคาร การค้าส่งออกและนำเข้า ท่องเที่ยว การบิน ที่จะเป็นเฟสแรกๆ ที่ต้องปรับตัวกับกฏหมายนี้

เพราะว่า GDPR ไม่ยินยอมให้มีการไหลออกของข้อมูลส่วนบุคคลไปยังประเทศที่มีมาตรฐานการคุ้มครองที่ต่ำกว่า หรือไม่ได้มาตรฐาน ทำให้องค์กรไทยต้องยกระดับมาตรฐานของตัวเองให้ทัดเทียมเท่ากับ หรือสูงกว่าระเบียบของ GDPR เพื่อให้การค้าดำเนินการต่อไปได้ แต่ถ้าหากว่าองค์กรไม่ได้มาตรฐานนั้นก็จะส่งผลให้เสียโอกาสทางการค้าไปโดยปริยาย

เรียกได้ว่าเป็นกฏหมายที่ส่งผลดีให้กับประชาชนชาว EU มากเลยทีเดียวครับ เราจะได้รู้ปลายทางของข้อมูลส่วนตัวของเราว่าไปอยู่ที่ไหน แถมยังมีการแจ้งเตือนอีกด้วย สำหรับกฏหมายคุ้มครองแบบนี้ในประเทศไทยก็มีการผลักดันกันมาสักระยะแล้วแต่ยังไม่ได้มีความคืบหน้า หรือยังคับใช้ ยังไงถ้ามีความเคลื่อนไหวใหม่ๆ ทางทีมงานดีไอทีซีก็จะไม่พลาดที่จะนำมาอัพเดตให้ทราบกันอย่างแน่นอนครับ