คู่มือ PDPA ฉบับข้าราชการ: เทคนิคจัดการข้อมูลประชาชน ไม่ให้เสี่ยงผิดกฎหมาย

ทำไมข้าราชการยุคใหม่ ถึงหลีกเลี่ยงเรื่อง PDPA ไม่ได้อีกต่อไป

สวัสดีครับพี่น้องข้าราชการ เพื่อนร่วมงานในภาครัฐ และน้องๆ ที่กำลังเตรียมตัวสอบเข้ารับราชการทุกท่าน ในยุคที่เรากำลังขับเคลื่อนประเทศไปสู่การเป็นรัฐบาลดิจิทัล (Digital Government) สิ่งหนึ่งที่วิ่งควบคู่มากับความสะดวกสบายในการให้บริการประชาชนก็คือ ความเสี่ยงด้านการหลุดรอดของข้อมูลส่วนบุคคล ครับ ช่วงปีที่ผ่านมา เรามักจะเห็นข่าวการรั่วไหลของฐานข้อมูลภาครัฐ หรือกรณีประชาชนถูกละเมิดสิทธิข้อมูลส่วนบุคคลจากการปฏิบัติงานของเจ้าหน้าที่อยู่บ่อยครั้ง ซึ่งหลายกรณีไม่ได้เกิดจากเจตนาร้าย แต่เกิดจาก "ความไม่รู้" หรือความคุ้นชินกับการทำงานแบบเดิมๆ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA (Personal Data Protection Act) ไม่ใช่เรื่องของบริษัทเอกชนหรือฝ่ายไอทีเท่านั้นครับ แต่มันคือระเบียบปฏิบัติสำคัญที่ข้าราชการทุกตำแหน่ง ตั้งแต่นักจัดการงานทั่วไป นิติกร เจ้าพนักงานธุรการ ไปจนถึงผู้บริหารระดับสูง ต้องถือปฏิบัติอย่างเคร่งครัด เพราะหากเกิดความผิดพลาดขึ้นมา นอกจากหน่วยงานจะเสียหายแล้ว ตัวเจ้าหน้าที่ผู้ปฏิบัติเองก็อาจต้องรับผิดชอบทั้งทางวินัย ทางแพ่ง และทางอาญาอีกด้วย บทความนี้ผมจึงตั้งใจสรุปหลักการสำคัญและเทคนิคการทำงานจริง เพื่อให้พวกเราทำงานได้อย่างสบายใจ ชัวร์ ถูกต้องตามกฎหมาย และไม่เสี่ยงโดนฟ้องร้องครับ

แกะกล่อง PDPA: ฐานกฎหมายที่ข้าราชการต้องทำความเข้าใจ

ก่อนจะไปถึงเทคนิคการทำงาน เราต้องปรับความเข้าใจพื้นฐานกันก่อนครับ หลายคนมักเข้าใจผิดว่า "ถ้าจะขอข้อมูลประชาชน ต้องให้เขายินยอม (Consent) เสมอ" ซึ่งในงานราชการ นั่นเป็นความเข้าใจที่ไม่ถูกต้องทั้งหมดครับ

ในบริบทของการทำงานภาครัฐ การเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล สามารถทำได้ภายใต้ "ฐานกฎหมาย" (Legal Basis) ที่แตกต่างจากเอกชน โดยฐานที่ข้าราชการใช้อ้างอิงมากที่สุดมีดังนี้ครับ

• ฐานการใช้อำนาจรัฐ (Public Task / Official Authority): เป็นฐานหลักที่หน่วยงานราชการใช้ทำงาน เช่น การลงทะเบียนรับสวัสดิการ การจัดทำบัตรประจำตัวประชาชน การจัดเก็บภาษี หรือการปฏิบัติหน้าที่ตามที่กฎหมายเฉพาะของหน่วยงานนั้นๆ กำหนดไว้ ในกรณีนี้เราทำตามหน้าที่ที่กฎหมายสั่ง ไม่จำเป็นต้องขอความยินยอม (Consent) จากประชาชนครับ
• ฐานหน้าที่ตามกฎหมาย (Legal Obligation): การปฏิบัติงานเพื่อให้บรรลุวัตถุประสงค์ตามที่กฎหมายอื่นบังคับไว้ เช่น การส่งข้อมูลบัญชีเงินเดือนข้าราชการให้กรมบัญชีกลาง หรือการส่งข้อมูลตามคำสั่งศาล
• ฐานสัญญา (Contract): ใช้ในกรณีการจัดซื้อจัดจ้างภาครัฐ การทำสัญญาจ้างพนักงานราชการหรือลูกจ้าง ซึ่งต้องใช้ข้อมูลเพื่อการบริหารสัญญา
• ฐานความยินยอม (Consent): จะใช้ก็ต่อเมื่อกิจกรรมนั้น อยู่นอกเหนืออำนาจหน้าที่ตามกฎหมาย เช่น การประเมินความพึงพอใจเพื่อนำข้อมูลไปวิจัยการตลาด การส่งข่าวสารประชาสัมพันธ์ที่ไม่เกี่ยวข้องกับบริการหลัก หรือการขอถ่ายภาพประชาชนไปใช้ในสื่อประชาสัมพันธ์เชิงภาพลักษณ์

ดังนั้น หัวใจสำคัญคือ ก่อนจะเรียกขอเอกสาร หรือขอข้อมูลจากประชาชน ให้ตอบตัวเองให้ได้ก่อนว่า "เราขอตามอำนาจกฎหมายข้อไหน" ถ้ามีกฎหมายรองรับ เราทำได้เลยโดยไม่ต้องให้เขาเซ็นใบยินยอม แต่ต้อง "แจ้ง" (Notice) ให้ประชาชนทราบถึงวัตถุประสงค์เสมอครับ

5 จุดเสี่ยงในงานราชการประจำวัน และเทคนิคป้องกันไม่ให้ผิด PDPA

จากประสบการณ์และการสังเกตกระบวนการทำงานในระบบราชการ ผมสรุป 5 จุดเสี่ยงที่ข้าราชการมักพลาดโดยไม่ตั้งใจ พร้อมแนวทางแก้ไขที่นำไปปรับใช้ได้ทันทีดังนี้ครับ

1. การใช้แอปพลิเคชัน Line ในการส่งงานและเอกสารราชการ

นี่คือจุดสุ่มเสี่ยงที่สุดในยุคปัจจุบันครับ การถ่ายรูปบัตรประชาชน ทะเบียนบ้าน หรือทะเบียนผู้มีสิทธิได้รับเงินช่วยเหลือ แล้วส่งเข้าไปในกลุ่ม Line เพื่อแจ้งประสานงาน ถือเป็นความเสี่ยงขั้นรุนแรง เพราะ Line เป็นแพลตฟอร์มที่ข้อมูลอาจถูกเซฟลงเครื่องส่วนตัวของใครก็ได้ หรือถ้าระบบหลุด ข้อมูลประชาชนหลายร้อยคนจะรั่วไหลทันที

• เทคนิคแก้ไข: หลีกเลี่ยงการส่งรูปถ่ายบัตรประชาชนหน้าตรงที่ไม่ปกปิดลง Line กลุ่ม หากจำเป็นต้องประสานงาน ให้ใช้ระบบสารบรรณอิเล็กทรอนิกส์ของหน่วยงาน หรือส่งผ่านไดรฟ์ส่วนกลางของหน่วยงานที่ตั้งค่าสิทธิ์เข้าถึง (Access Control) เฉพาะเจ้าหน้าที่ที่เกี่ยวข้องเท่านั้น

2. เอกสารกระดาษบนโต๊ะทำงานและหน้าเคาน์เตอร์บริการ

สำหรับข้าราชการด่านหน้า (Frontline) ที่ต้องรับเรื่องร้องเรียนหรือให้บริการประชาชน บ่อยครั้งที่เอกสารสำเนาบัตรประชาชน แบบคำขอ หรือเอกสารส่วนตัวของประชาชนถูกวางซ้อนกันไว้บนโต๊ะ หรือใส่ไว้ในตะกร้าหน้าเคาน์เตอร์ที่ประชาชนคนอื่นสามารถมองเห็น หรือหยิบอ่านได้ง่าย

• เทคนิคแก้ไข: ใช้หลักการ Clear Desk Policy จัดหาแฟ้มปกปิดมิดชิดสำหรับใส่เอกสารที่รับมาแล้ว เมื่อรับเอกสารจากประชาชนคนแรกเสร็จ ให้นำใส่แฟ้มทันที ก่อนจะให้บริการประชาชนคนถัดไป และเมื่อจบวัน ต้องจัดเก็บเอกสารเข้าตู้ล็อกกุญแจให้เรียบร้อย

3. การประกาศรายชื่อผู้มีสิทธิ์ ผลการคัดเลือก หรือเงินอุดหนุนบนเว็บไซต์และป้ายประชาสัมพันธ์

การประกาศข้อมูลข่าวสารตาม พ.ร.บ. ข้อมูลข่าวสารทางราชการ พ.ศ. 2540 ถือเป็นหน้าที่เพื่อความโปร่งใส แต่บ่อยครั้งหน่วยงานนำไฟล์ PDF ที่มีเลขประจำตัวประชาชน 13 หลัก วันเดือนปีเกิด หรือเบอร์โทรศัพท์บ้าน ขึ้นประกาศบนเว็บไซต์โดยไม่มีการปกปิด

• เทคนิคแก้ไข: แยกแยะระหว่าง "ข้อมูลที่ต้องเปิดเผยเพื่อความโปร่งใส" กับ "ข้อมูลส่วนบุคคลที่เกินความจำเป็น" การประกาศรายชื่อ ให้แสดงเฉพาะ ชื่อ-นามสกุล และเลขรหัสประจำตัว หรือหากจำเป็นต้องใส่เลขบัตรประชาชน ให้ทำ Masking (ปกปิด) เช่น 1-10XX-XXXXX-12-3 เพื่อป้องกันการนำข้อมูลไปแอบอ้าง

4. การเก็บข้อมูลส่วนบุคคลความละเอียดอ่อน (Sensitive Data) โดยไม่จำเป็น

ข้อมูลความละเอียดอ่อน ตามมาตรา 26 แห่ง พ.ร.บ. PDPA ได้แก่ เชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนา หรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลพันธุกรรม และข้อมูลชีวภาพ (Biometric) ซึ่งกฎหมายคุ้มครองเข้มงวดมาก