กฎต้นแบบว่าด้วยการจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

บทคัดย่อ

บทความวิจัยนี้มีวัตถุประสงค์ 1) เพื่อศึกษาแนวคิด ทฤษฎีและหลักการเกี่ยวกับการจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล 2) เพื่อศึกษามาตรการทางกฎหมายเกี่ยวกับการจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูล ส่วนบุคคลของระหว่างประเทศ ต่างประเทศและประเทศไทย 3) เพื่อศึกษาวิเคราะห์เกี่ยวกับการจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล และ 4) เพื่อศึกษาการจัดทำกฎต้นแบบ (Model Regulation) ว่าด้วย การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เป็นการวิจัยเชิงคุณภาพจากการสังเคราะห์เอกสารการสัมภาษณ์เชิงลึก และการสนทนากลุ่ม ผลการวิจัยพบว่า 1) กฎหมายไทยยังไม่มีคำนิยาม “เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)” ทำให้เกิดปัญหาในการตีความบทบาทและหน้าที่แม้กฎหมายต่างประเทศส่วนใหญ่ก็ไม่ได้กำหนดนิยามไว้ชัดเจนเช่นกัน ยกเว้นอินเดียที่มีการบัญญัติไว้โดยเฉพาะจึงควรปรับปรุงกฎหมายไทยให้มีนิยามที่ชัดเจน เพื่อเพิ่มประสิทธิภาพในการบังคับใช้และความชัดเจนทางกฎหมาย 2) กฎหมายไทยกำหนดให้ DPO  มีเพียงบทบาทที่ปรึกษาโดยไม่มีอำนาจบังคับหรือกำกับดูแล ทำให้การคุ้มครองข้อมูลขาดประสิทธิภาพและองค์กรอาจเพิกเฉยได้อีกทั้งไม่มีอำนาจตรวจสอบเชิงลึกหรือรายงานต่อหน่วยงานกำกับ 3) กฎหมายไทยยังไม่รับรองความเป็นอิสระของ DPO อย่างชัดเจน ทำให้เสี่ยงต่อการถูกองค์กรกดดันหรือปกปิดการละเมิดข้อมูลส่งผลให้การตรวจสอบและรายงานขาดความโปร่งใส และอาจละเมิดสิทธิของเจ้าของข้อมูล 4) กฎหมายไทยยังไม่กำหนดคุณสมบัติของ DPO อย่างชัดเจน โดยมีเพียงหลักเกณฑ์กว้าง ๆ และบังคับใช้เฉพาะภาครัฐ ทำให้ไม่ครอบคลุมภาคธุรกิจขาดการระบุทักษะสำคัญ และ 5) กฎหมายไทยยังไม่กำหนดชัดเจนว่าองค์กรประเภทใดต้องแต่งตั้ง DPO ทำให้องค์กรบางแห่งหลีกเลี่ยงการปฏิบัติตามส่งผลให้การบังคับใช้กฎหมายขาดประสิทธิภาพและไม่มีมาตรฐานจึงควรกำหนดเกณฑ์ให้ชัดเจนเพื่อให้ครอบคลุมและบังคับใช้ได้จริง