คู่มือข้าราชการยุค PDPA: เทคนิคจัดการข้อมูลประชาชน ถูกกฎหมาย ไร้โดนร้องเรียน

ก้าวสู่ยุคดิจิทัลด้วยความมั่นใจ: ทำไมข้าราชการไทยต้องแม่นเรื่อง PDPA

สวัสดีครับทุกท่าน ในยุคที่หน่วยงานภาครัฐกำลังเดินหน้าขับเคลื่อนสู่ระบบ รัฐบาลดิจิทัล (Digital Government) อย่างเต็มรูปแบบ สิ่งหนึ่งที่วิ่งควบคู่มากับความสะดวกสบายของประชาชนก็คือ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA (Personal Data Protection Act) ซึ่งมีผลบังคับใช้อย่างสมบูรณ์แล้ว และกลายเป็นหนึ่งในข้อกฎหมายสำคัญที่ข้าราชการ เจ้าหน้าที่รัฐ รวมถึงคนที่กำลังเตรียมตัวสอบเข้ารับราชการจำเป็นต้องทำความเข้าใจอย่างลึกซึ้งครับ

หลายคนมักมีความเข้าใจผิดว่า "หน่วยงานราชการมีกฎหมายเฉพาะรองรับ ทำอะไรกับข้อมูลประชาชนก็ได้ ไม่ต้องสน PDPA" ซึ่งถือเป็นความคิดที่เสี่ยงมากครับ เพราะในความเป็นจริง แม้หน่วยงานรัฐจะมีอำนาจหน้าที่ตามกฎหมาย แต่วิธีการ จัดเก็บ ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลของประชาชน หากกระทำโดยประมาทเลินเล่อ หรือขาดมาตรการความปลอดภัยที่เหมาะสม ข้าราชการผู้ปฏิบัติงานก็มีสิทธิ์ถูกร้องเรียน ทั้งในทางวินัย ทางแพ่ง ทางปกครอง และทางอาญาได้เช่นเดียวกัน บทความนี้ผมจึงตั้งใจสรุปแนวทางปฏิบัติงานจริงแบบเจาะลึก เพื่อให้ทุกคนทำงานได้อย่างถูกต้อง ปลอดภัย และไร้ข้อร้องเรียนตามมาครับ

ถอดรหัสความต่าง: ข้อมูลส่วนบุคคล กับ อำนาจหน้าที่ภาครัฐ

สิ่งแรกที่เราต้องแยกแยะให้ชัดเจนก่อนเริ่มปฏิบัติงาน คือประเภทของข้อมูลและฐานอำนาจทางกฎหมายในการใช้นำข้อมูลไปปฏิบัติราชการครับ

1. ข้อมูลส่วนบุคคล (Personal Data) vs ข้อมูลอ่อนไหว (Sensitive Personal Data)

ในงานราชการประจำวัน เราสัมผัสกับข้อมูลประชาชนตลอดเวลา โดยแบ่งออกเป็น 2 ระดับหลักๆ ดังนี้ครับ

• ข้อมูลส่วนบุคคลทั่วไป: เช่น ชื่อ-นามสกุล, เลขประจำตัวประชาชน, สัญชาติ, ที่อยู่, เบอร์โทรศัพท์, อีเมล, รูปถ่ายหน้าตรง หรือตำแหน่งงาน ข้อมูลเหล่านี้สามารถระบุตัวตนของบุคคลนั้นได้ทั้งทางตรงและทางอ้อม
• ข้อมูลส่วนบุคคลอ่อนไหว (Sensitive Data): เช่น เชื้อชาติ, ความคิดเห็นทางการเมือง, ความเชื่อในลัทธิ/ศาสนา, พฤติกรรมทางเพศ, ประวัติอาชญากรรม, ข้อมูลสุขภาพ/ความพิการ, ข้อมูลสหภาพแรงงาน, ข้อมูลพันธุกรรม และข้อมูลชีวภาพ (Biometric) เช่น ลายนิ้วมือ ภาพสแกนใบหน้า ซึ่งข้อมูลกลุ่มนี้มีความเสี่ยงสูง หากรั่วไหลอาจก่อให้เกิดการเลือกปฏิบัติหรือกระทบต่อสิทธิเสรีภาพอย่างร้ายแรง

2. ฐานทางกฎหมาย (Legal Basis) ที่ข้าราชการใช้รองรับการทำงาน

ความแตกต่างสำคัญระหว่างภาคเอกชนกับภาครัฐ คือ ภาคเอกชนส่วนใหญ่ต้องขอ "ความยินยอม" (Consent) จากเจ้าของข้อมูล แต่ภาคเอกชนหรือภาครัฐในการปฏิบัติราชการ สามารถอ้างอิงฐานกฎหมายอื่นได้โดยไม่จำเป็นต้องขอความยินยอมเสมอไป ได้แก่

• ฐานภารกิจของรัฐ (Public Task): การประมวลผลข้อมูลเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ หรือการใช้อำนาจรัฐที่ได้รับมอบหมายตามกฎหมาย
• ฐานหน้าที่ตามกฎหมาย (Legal Obligation): การจัดเก็บหรือเปิดเผยข้อมูลเพื่อปฏิบัติตามกฎหมายที่หน่วยงานนั้นรับผิดชอบอยู่ เช่น กฎหมายภาษี กฎหมายการทะเบียนราษฎร หรือกฎหมายการจัดซื้อจัดจ้าง
• ฐานสัญญา (Contract): การให้บริการประชาชนตามคำขอหรือสัญญาที่ประชาชนทำไว้กับหน่วยงาน

ข้อควรระวังคือ หากหน่วยงานดำเนินการนอกเหนือจากขอบเขตที่กฎหมายกำหนดไว้ ข้าราชการจะอ้างฐานภารกิจของรัฐไม่ได้ และต้องกลับไปขอความยินยอมจากประชาชนอย่างถูกต้องตามหลักเกณฑ์ทันทีครับ

4 จุดเสี่ยงในงานราชการประจำวัน และเทคนิคแก้ไขให้ถูกต้อง

จากกรณีศึกษาและข้อร้องเรียนที่เกิดขึ้นจริงในหน่วยงานภาครัฐหลายแห่ง ผมได้รวบรวม 4 จุดเสี่ยงสำคัญที่ข้าราชการมักมองข้าม พร้อมเทคนิคการรับมือมาให้ดังนี้ครับ

จุดเสี่ยงที่ 1: การถ่ายสำเนาบัตรประชาชน และการตั้งโต๊ะรับบริการด่านหน้า

งานบริการประชาชนมักมีการขอบัตรประจำตัวประชาชน ซึ่งบนบัตรประชาชนไทยมีข้อมูลอ่อนไหวอย่าง "ศาสนา" และ "กรุ๊ปเลือด" รวมอยู่ด้วย

• แนวทางปฏิบัติที่ถูกต้อง: หากหน่วยงานไม่มีความจำเป็นต้องใช้ข้อมูลศาสนาและกรุ๊ปเลือดในการพิจารณาอนุญาตหรืออนุมัติ ให้ขีดฆ่าหรือขีดดำ (Masking) ข้อมูลดังกล่าวบนสำเนาเอกสาร ก่อนให้ประชาชนลงนามรับรองสำเนาถูกต้อง หรือหากเปลี่ยนไปใช้ระบบเสียบบัตร Smart Card ผ่านเครื่องอ่านบัตรดึงเฉพาะข้อมูลที่จำเป็นได้ จะช่วยลดความเสี่ยงได้ดีที่สุดครับ
• การจัดเก็บสมุดลงทะเบียนผู้มาติดต่อ: ห้ามวางสมุดเซ็นชื่อผู้มาติดต่อไว้บนเคาน์เตอร์ในลักษณะที่คนที่มาต่อคิวสามารถมองเห็นชื่อ เบอร์โทรศัพท์ หรือเลขบัตรประชาชนของคนก่อนหน้าได้ ควรใช้แผ่นบดบัง หรือใช้วิธีแจกใบบันทึกรายบุคคลแทน

จุดเสี่ยงที่ 2: การประชาสัมพันธ์ ถ่ายภาพกิจกรรม และถ่ายทอดสด (Live)