ศึกสองกฎหมาย! เมื่อ"ระเบียบรัฐบาล 2569" ชนกับ "PDPA"ภาครัฐต้องทำอะไรบ้าง

สืบเนื่องจากการออก "ระเบียบสำนักนายกฯ แบ่งปันข้อมูลดิจิทัล 2569" ที่สั่งให้หน่วยงานรัฐนำส่งข้อมูล 118 รายการ เข้าสู่ระบบกลางของ BDI (สถาบันข้อมูลขนาดใหญ่) เพื่อดึงข้อมูลมาสู้กับภัยพิบัติแบบเรียลไทม์ โดยมีเจตนาดีเป็นหลักสำคัญ เช่น เวลาเกิดน้ำท่วมหรือภัยพิบัติ จะได้รู้ทันทีว่าบ้านไหนมี ผู้ป่วยติดเตียง, ประวัติโรคประจำตัว, ยาที่ต้องใช้ หรือมีกลุ่มเปราะบางอยู่ตรงจุดไหนบ้าง เพื่อเข้าช่วยเหลือได้ทันที ไม่ต้องรอลงทะเบียนใหม่ แต่เหรียญมี 2 ด้าน จึงนำไปสู่ประเด็นทางกฎหมาย ที่อาจมองได้ว่า ด้วยศักดิ์ของกฎหมายไม่เท่ากัน ระเบียบสำนักนายกฯ เป็นเพียง "กฎหมายลำดับรอง" 

แต่ PDPA เป็น "พระราชบัญญัติ (กฎหมายแม่)" ตามหลักการ กฎหมายลูกไม่สามารถประกาศข้ามหัวเพื่อยกเว้นการปฏิบัติตามกฎหมายแม่ได้ หากไม่มี พ.ร.บ. เฉพาะเปิดช่องไว้ นอกจากนี้ยังมีความเสี่ยงที่ข้อมูลอ่อนไหวตามมาตรา 26 อาจหลุดได้ อย่างข้อมูลด้านประวัติการรักษา ,โรคประจำตัว ,ผลแล็บ ,ยาประจำตัว ฯลฯ ซึ่งล้วนแต่เป็นข้อมูลอ่อนไหว การส่งต่อโดยอ้างระเบียบฯ นี้โดยไม่ขอความยินยอม (Consent) หรือไม่มีฐานกฎหมายระดับ พ.ร.บ. รองรับที่ชัดเจน จึงอาจเสี่ยงต่อการละเมิด PDPA

ในเรื่องของหมวกที่สวมในการบริหารจัดการ ระเบียบฯ มองว่า BDI เป็นแค่ "ผู้ประมวลผลข้อมูล (Data Processor)" จึงเสนอให้ทำแค่สัญญา DPA แต่ในความเป็นจริง BDI มีอำนาจตรวจ คัดกรอง และอนุมัติการส่งต่อข้อมูล ซึ่งในทางกฎหมายถือเป็น "ผู้ควบคุมข้อมูลร่วม" ความรับผิดชอบจึงต่างกันมหาศาล 

ดังนั้นสิ่งที่ DPO และทีม IT ภาครัฐต้องเร่งทำ โดยเฉพาะหน่วยงานที่มีชื่อในภาคผนวก คือต้องเร่งบริหารความเสี่ยงทันทีภายในกรอบ 15 – 60 วัน โดยการทำ Data Mapping & RoPA เพื่อสำรวจว่า 118 ชุดข้อมูลนั้น มีชุดไหนอยู่ในมือเราบ้าง และเป็นข้อมูลส่วนบุคคลหรือ sensitive data มากน้อยแค่ไหน รวมถึงประเมินความเสี่ยง (DPIA) ทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล ก่อนส่งข้อมูล พร้อมทำการปรับปรุง Privacy Notice แจ้งประชาชนให้ทราบถึงวัตถุประสงค์การแบ่งปันข้อมูลเพื่อการสาธารณภัย และจัดทำ DSA (Data Sharing Agreement) เพื่อวางข้อตกลงการใช้ และแบ่งปันข้อมูลร่วมกับ BDI ให้ชัดเจนทั้งในเรื่องมาตรการรักษาสมบูรณ์และความปลอดภัย

แม้ว่าเจตนาในการช่วยชีวิตประชาชนนั้นถูกต้อง และมีความจำเป็น แต่กระบวนการทางกฎหมายก็ต้องรัดกุมด้วย ไม่เช่นนั้นเจ้าหน้าที่รัฐผู้ปฏิบัติตามคำสั่ง ก็อาจจะกลายเป็นผู้กระทำผิด PDPA เสียเอง ซึ่งจะส่งผลต่อวิกฤตศรัทธาที่ประชาชนมีต่อภาครัฐ ถือเป็นเรื่องสำคัญในการผลักดันนโยบายฯร่วมกันทั้งภาครัฐ และภาคประชาชนต่อไปในอนาคต

บทความโดย

นางสาววีรินทร์ อรวัฒนพันธุ์

ผู้อำนวยการฝ่ายสื่อสารองค์กร สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. หรือ PDPC)

แหล่งที่มา : https://www.facebook.com/aor.arted/posts/pfbid02nrSeyoNsDHNT3kz22miZrBixzhEFQt3gjwdVq9nq3hwoUzxnh5vGYDtgPtaJQxdGl