โทษทางอาญาภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562: วิพากษ์มาตรา 79 และมาตรา 80 ในฐานะกลไกคุ้มครองสิทธิขั้นพื้นฐานและนัยต่อการบังคับใช้กฎหมายในประเทศไทย

นรา บรรลิขิตกุล; ลักขณา   ดวงตาทิพย์

ผู้แต่ง

นรา บรรลิขิตกุล คณะสังคมศาสตร์ มหาวิทยาลัยมหาจุฬาลงกรณ ราชวิทยาลัย วิทยาเขตจันทบุรี
ลักขณา ดวงตาทิพย์ ศาลปกครองกลาง

คำสำคัญ:

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล, โทษทางอาญา, มาตรา 79; มาตรา 80, ผู้ควบคุมข้อมูล, สิทธิในข้อมูลส่วนบุคคล

บทคัดย่อ

บทความวิชาการนี้มีวัตถุประสงค์เพื่อวิพากษ์โครงสร้างความรับผิดทางอาญาภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) โดยเฉพาะมาตรา 79 และมาตรา 80 ซึ่งเป็นบทบัญญัติหลักที่กำหนดโทษทางอาญาสำหรับผู้ควบคุมข้อมูลและเจ้าหน้าที่ผู้ปฏิบัติงานตามลำดับ บทความนี้เสนอว่าแม้ PDPA จะมีเจตนารมณ์สำคัญในการคุ้มครองสิทธิในข้อมูลส่วนบุคคลอันเป็นสิทธิขั้นพื้นฐานของประชาชนตามรัฐธรรมนูญแห่งราชอาณาจักรไทย พ.ศ. 2560 มาตรา 32 แต่โครงสร้างโทษทางอาญาภายใต้มาตรา 79 และมาตรา 80 ยังมีปัญหาเชิงนิติศาสตร์หลายประการที่ส่งผลต่อประสิทธิภาพของการบังคับใช้กฎหมาย บทความนี้วิเคราะห์ใน 4 มิติหลัก ได้แก่ (1) การวิเคราะห์องค์ประกอบความผิดของมาตรา 79 และมาตรา 80 เปรียบเทียบกับหลักทั่วไปของกฎหมายอาญา โดยเฉพาะประเด็น strict liability และภาระการพิสูจน์ (2) การวิเคราะห์เปรียบเทียบโครงสร้างความรับผิดของผู้ควบคุมข้อมูลและเจ้าหน้าที่ผู้ปฏิบัติงาน (3) การศึกษากรณีศึกษาและแนวปฏิบัติของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ในช่วง พ.ศ. 2565–2568 และ (4) การวิพากษ์นัยของ PDPA ในบริบทของเทคโนโลยีดิจิทัลสมัยใหม่ รวมถึงกรณีที่มีการอ้างถึง PDPA ในคดีที่เกี่ยวกับข้อมูลส่วนบุคคลที่มีลักษณะสาธารณะ

ผลการวิเคราะห์ชี้ว่า มาตรา 79 และมาตรา 80 มีจุดแข็งในการกำหนดความรับผิดชอบที่ชัดเจนตามลำดับชั้นองค์กร แต่มีจุดอ่อนสำคัญในสองด้าน ด้านแรกคือเกณฑ์การพิสูจน์ "ความเสียหาย" ที่ยังขาดความชัดเจนในทางปฏิบัติ และด้านที่สองคือโทษที่กำหนดไว้อาจไม่เพียงพอต่อการยับยั้งการละเมิดในองค์กรขนาดใหญ่ บทความนี้เสนอกรอบแนวทางการปฏิรูปที่เรียกว่า "แบบจำลองความรับผิดชอบเชิงองค์กรแบบหลายชั้น" (Multi-tiered Organizational Accountability Model — MOAM) เพื่อเสริมสร้างประสิทธิภาพการบังคับใช้ PDPA ในประเทศไทย

เอกสารอ้างอิง

Act Promulgating the Criminal Code, B.E. 2499 (1956). Royal Thai Government Gazette, Vol. 73, Part 95 Special Issue, pp. 1–171 (November 15, 1956). (In Thai)

Beccaria, C. (1872). An essay on crimes and punishments: By the Marquis Beccaria of Milan, with a commentary by M. de Voltaire: A new edition corrected. (Original work published 1764). W. C. Little & Co.

Becker, G. S. (1968). Crime and punishment: An economic approach. Journal of Political Economy, 76(2), 169–217. https://doi.org/10.1086/259394.

Bentham, J. (1789). An introduction to the principles of morals and legislation. T. Payne and Son.

Chantaranee, C. (2023). Issues concerning interplay between consent and necessity for the performance of a contract under the Personal Data Protection Act B.E. 2562. Thammasat Law Journal, 52(1), 92–122. (In Thai)

Chitranukroh, N., Lalitkomon, N., & Mahakunkitchareon, G. (2024, November 14). First fine imposed under Thailand’s Personal Data Protection Act. IAPP. https://iapp.org/news/a/first-fine-imposed-under-thailand-s-personal-data-protection-act (In Thai)

Constitution of the Kingdom of Thailand, B.E. 2560 (2017). Royal Thai Government Gazette, Vol. 134, Part 40 A (April 6, 2017). (In Thai)

European Union. (2016). Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data (General Data Protection Regulation). Official Journal of the European Union, L 119, 1–88.

Hart, H. L. A. (1968). Punishment and responsibility: Essays in the philosophy of law. Clarendon Press.

Norrie, A. (2014). Crime, reason and history: A critical introduction to criminal law (3rd ed.). Cambridge University Press.

Panyasereeporn, P., & Marsh, M. (2025, October 24). Thailand: Legal update: PDPA enforcement intensifies: Key cases, risks, and compliance insights. One Asia Lawyers. https://oneasia.legal/en/6627 (In Thai)

Personal Data Protection Act, B.E. 2562 (2019). Royal Thai Government Gazette, Vol. 136, Part 69 A (May 27, 2019). (In Thai)

Somwaiya, K., Ua-areetham, P., & Aroonpakmongkol, W. (2024, September 30). Thailand first administrative fine for data breach: An analysis of law and practice. LawPlus Ltd. https://www.lawplusltd.com/2024/09/thailand-first-administrative-fine-for-data-breach-an-analysis-of-law-and-practice/

Suwanmatajarn, P. (2024, December 18). Data privacy: Criminal penalties imposed by the court raise concerns of practice. Lexology. https://www.lexology.com/library/detail.aspx?g=e0a16940-c04e-4314-a2cc-321dfc8ca1f3 (In Thai)

Tilleke & Gibbins. (2024, June 24). Thailand: Ruling clarifies “lawful basis” for processing certain personal data. https://www.tilleke.com/insights/thailand-ruling-clarifies-lawful-basis-for-processing-certain-personal-data/

Ubon, W., & Niyomrungrueangchai, N. (2023). The necessity for have a Personal Data Protection Act, B.E. 2562. Rangsit Journal of Law and Society, 5(1), 41–56. (In Thai)

Voigt, P., & Von dem Bussche, A. (2017). The EU General Data Protection Regulation (GDPR): A practical guide. Springer. https://doi.org/10.1007/978-3-319-57959-7

Von, Hirsch, A. (1993). Censure and sanctions. Clarendon Press.

Warren, S. D., & Brandeis, L. D. (1890). The right to privacy. Harvard Law Review, 4(5), 193–220. https://doi.org/10.2307/1321160

Wells, C. (2001). Corporations and criminal responsibility (2nd ed.). Oxford University Press.

Westin, A. F. (1967). Privacy and freedom. Atheneum.