PDPC_Consult-53

เรื่อง บริษัท Z หารือการขอถอนความยินยอมของลูกค้าในระบบแอปพลิเคชัน ตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๑๖ (๓) มาตรา ๑๙ วรรคสาม วรรคสี่ และวรรคห้า มาตรา ๒๐ วรรคหนึ่งและวรรคสี่
   มาตรา ๒๓ มาตรา ๓๐ และมาตรา ๓๓

2. แนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตาม
   พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

3. ประมวลกฎหมายแพ่งและพาณิชย์
   มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๔ และมาตรา ๒๗

ข้อหารือ

บริษัท Z เป็นผู้ให้บริการเงินอิเล็กทรอนิกส์ (e-Money) ภายใต้การกำกับและมีการให้บริการ
ผ่านระบบแอปพลิเคชัน โดยในการให้บริการ บริษัท Z มีการขอความยินยอมจากลูกค้าผ่านทางแอปพลิเคชัน
ดังกล่าว ทั้งการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อย่างถูกต้องตามเกณฑ์ที่กฎหมายกำหนด
แต่ในส่วนของการขอถอนความยินยอมนั้น ตามมาตรา ๑๙ วรรคสี่ และวรรคห้า แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ วางหลักไว้ว่า

“ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึง
อย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ทั้งนี้ ในการเข้าทำสัญญา
ซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ

เจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอม
ได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญา
ที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล ทั้งนี้ การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม
ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบตามที่กำหนดไว้
ในหมวดนี้”

เพื่อให้สอดคล้องกับบทบัญญัติข้างต้น รวมถึงเอกสารเผยแพร่ประชาสัมพันธ์
แบบ infographic ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับกรณีตัวอย่างการถอน
ความยินยอม บริษัท Z จึงขอหารือถึงแนวทางเกี่ยวกับการขอถอนความยินยอมของลูกค้าผ่านระบบ
แอปพลิเคชัน กรณีที่ไม่สามารถมีผลได้ในทันทีด้วยเหตุผลทางระบบที่ต้องใช้ระยะเวลาในการประมวลผลข้อมูล

๒

ของลูกค้า ว่าบริษัท Z สามารถระบุหมายเหตุระยะเวลาการมีผลของการถอนความยินยอมให้ลูกค้าทราบได้หรือไม่ หากสามารถระบุได้ ในเชิงระบบควรกำหนดระยะเวลาไว้ที่เท่าใดจึงจะถือเป็นการสมควร

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า บริษัท Z ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวมใช้หรือเปิดเผยข้อมูลส่วนบุคคล มีหน้าที่ดำเนินการให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งมาตรา ๑๙ วรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดว่า ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุด ในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม และมาตรา ๑๙ วรรคห้า กำหนดให้เจ้าของข้อมูลส่วนบุคคลต้องสามารถถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่าย เช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญา ที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล นอกจากนี้ แนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดตามมาตรา ๑๖ (๓) กำหนดว่า ผู้ควบคุมข้อมูลส่วนบุคคลต้องแสดงรายละเอียดวิธีการ เงื่อนไข หรือแบบฟอร์มในการถอนความยินยอมให้เด่นชัด (prominent) ในบริเวณที่เห็นได้ชัดเจนในการขอความยินยอมไม่ว่าในรูปแบบหนังสือหรืออิเล็กทรอนิกส์ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลและเจ้าของข้อมูลส่วนบุคคลแสดงเจตนาโดยให้ความยินยอมด้วยวิธีการทางอิเล็กทรอนิกส์ เช่น การใช้เมาส์คลิกกดให้ความยินยอม การสไลด์หน้าจอหรือการวาด key stroke เพื่อให้ความยินยอม การถอนความยินยอมก็ต้องใช้วิธีการแบบเดียวกันหรือระดับเดียวกันได้โดยง่าย หรือเป็นวิธีการอื่นใดที่เจ้าของข้อมูลส่วนบุคคล สามารถเข้าถึงได้โดยง่ายเช่นเดียวกับการขอความยินยอม ทั้งนี้ การถอนความยินยอมจะต้องไม่เป็นการสร้างภาระ ค่าใช้จ่าย หรือขั้นตอนให้กับเจ้าของข้อมูลส่วนบุคคลมากกว่าการให้ความยินยอม และไม่มีผลทำให้การให้บริการด้อยประสิทธิภาพลงหลักการที่กำหนดให้การถอนความยินยอมจะต้องสามารถทำได้ง่ายเช่นเดียวกับการให้ความยินยอมมีขึ้นเพื่อป้องกันมิให้ผู้ควบคุมข้อมูลส่วนบุคคลสร้างอุปสรรค (barrier) ที่ทำให้การถอนความยินยอมมีความยากลำบากหรือต้องใช้ความพยายามมากขึ้นเมื่อเทียบกับการให้ความยินยอม ซึ่งจะเป็นการสร้างภาระแก่เจ้าของข้อมูลส่วนบุคคลอย่างไม่เหมาะสม และอาจสะท้อนเจตนาของผู้ควบคุมข้อมูลส่วนบุคคลที่ไม่ประสงค์จะให้เจ้าของข้อมูลส่วนบุคคลถอนความยินยอม อันจะขัดกับหลักการที่ต้องคำนึงอย่างถึงที่สุด

๓

ในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม (“Consent must be freely given.”) ซึ่งรวมถึงสิทธิในการถอนความยินยอมด้วย

ดังนั้น เมื่อเจ้าของข้อมูลส่วนบุคคลขอถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลของตนผ่านทางแอปพลิเคชัน โดยวิธีการที่ง่ายเช่นเดียวกับการให้ความยินยอมแล้ว บริษัท Z ต้องหยุดการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นโดยไม่ชักช้า (without undue delay) หรือโดยเร็วที่สุดเท่าที่จะเป็นไปได้ในทางเทคนิคและทางปฏิบัติ โดยคณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า ระยะเวลาในการดำเนินการตามการถอนความยินยอมของเจ้าของข้อมูลส่วนบุคคลนั้น แตกต่างจากระยะเวลาในการตอบสนองต่อคำขอใช้สิทธิอื่น ๆ ของเจ้าของข้อมูลส่วนบุคคล เช่น สิทธิในการขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตน (Right of Access) ตามมาตรา ๓๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือสิทธิในการขอให้ดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (Right to Erasure) ตามมาตรา ๓๓ ซึ่งมีกรอบระยะเวลาในการดำเนินการตอบสนองต่อคำขอใช้สิทธิดังกล่าว ๓๐ วัน หรือมากกว่า แต่สำหรับการถอนความยินยอม การหยุดหรือระงับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจะถูกคาดหวังให้เกิดขึ้นเร็วกว่าค่อนข้างมาก เนื่องจากผู้ควบคุมข้อมูลส่วนบุคคลจะไม่มีฐานทางกฎหมาย (lawful basis) ในการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวอีกต่อไป และมีหน้าที่ในการลบหรือทำลายข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม (เว้นแต่เป็นกรณีที่ได้รับยกเว้นตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนด) โดยเฉพาะอย่างยิ่งเมื่อการถอนความยินยอมนั้นกระทำผ่านช่องทางดิจิทัลเช่น ผ่านแอปพลิเคชัน ซึ่งระบบควรถูกออกแบบมาให้รองรับการเปลี่ยนแปลงเงื่อนไขการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล ตามสถานะความยินยอมของผู้ใช้งานได้โดยอัตโนมัติในทันที บริษัท Z จึงควรออกแบบระบบให้รองรับการถอนความยินยอมที่มีผลโดยอัตโนมัติเมื่อผู้ใช้งานกดปุ่มหรือแสดงเจตนาถอนความยินยอมในแอปพลิเคชัน ประกอบกับระบบดังกล่าวควรสามารถปรับปรุงสถานะและหยุดการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้องได้ทันทีหากทำได้ พร้อมทั้งแจ้งยืนยันการถอนความยินยอมเพื่อให้เจ้าของข้อมูลส่วนบุคคลมั่นใจว่าการดำเนินการเสร็จสมบูรณ์แล้ว

อย่างไรก็ตาม ในกรณีที่ระบบไม่สามารถดำเนินการให้การถอนความยินยอมมีผลได้โดยอัตโนมัติในทันทีด้วยเหตุผลทางเทคนิคหรือทางปฏิบัติที่มีอาจหลีกเลี่ยงได้ บริษัท Z ควรแจ้งเงื่อนไขและระยะเวลาที่เหมาะสมในการดำเนินการจนกว่าการถอนความยินยอมจะมีผลให้เจ้าของข้อมูลส่วนบุคคลทราบโดยชัดแจ้งในขั้นตอนการถอนความยินยอม ซึ่งการกำหนดระยะเวลาดังกล่าวจะต้องคำนึงถึงหลักความเป็นธรรมและความโปร่งใส และไม่ควรใช้ระยะเวลานานกว่าขั้นตอนที่บริษัทใช้เพื่อทำให้การให้ความยินยอมมีผลใช้บังคับ นอกจากนี้ บริษัท Z ควรระบุระยะเวลาโดยสังเขปในการดำเนินการตามการถอน

๔

ความยินยอมให้ผู้ใช้บริการซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลทราบ เป็นข้อมูลประกอบในการแจ้งรายละเอียด ในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูล ส่วนบุคคล (privacy notice) ตามมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และในการแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในขั้นตอนการขอความยินยอม จากเจ้าของข้อมูลส่วนบุคคล ตามมาตรา ๑๙ วรรคสามด้วย เพื่อความเป็นธรรมและความโปร่งใสแก่เจ้าของ ข้อมูลส่วนบุคคล เนื่องจากข้อมูลดังกล่าวอาจมีความสำคัญกับการตัดสินใจให้ความยินยอมหรือการใช้สิทธิอื่น ของเจ้าของข้อมูลส่วนบุคคล บริษัท Z จึงควรพิจารณากำหนดระยะเวลาที่เหมาะสมจากกระบวนการ ดำเนินการตามระบบที่เกี่ยวข้องโดยระบุระยะเวลาที่คาดหมายว่าจะดำเนินการให้การถอนความยินยอม มีผลเสร็จสมบูรณ์ตามกระบวนการได้ และอาจพิจารณาระบุระยะเวลาที่เร็วที่สุดและล่าช้าที่สุดที่อาจเป็นไปได้ ในการดำเนินการดังกล่าวด้วยก็ได้ โดยระยะเวลาดังกล่าวจะต้องสะท้อนการดำเนินการที่ไม่ชักช้า (without undue delay) และมีความรวดเร็วตามสมควรด้วย

ในกรณีที่ผู้ใช้บริการเป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรสหรือไม่มีฐานะเสมือน ดังบุคคลซึ่งบรรลุนิติภาวะแล้วตามมาตรา ๒๗ แห่งประมวลกฎหมายแพ่งและพาณิชย์ บริษัท Z จะต้อง พิจารณาว่า กรณีดังกล่าวเป็นกรณีที่ผู้เยาว์อาจให้ความยินยอมโดยลำพังได้ตามที่บัญญัติไว้ในมาตรา ๒๒ มาตรา ๒๓ หรือมาตรา ๒๔ แห่งประมวลกฎหมายแพ่งและพาณิชย์หรือไม่ หรือเป็นกรณีที่ผู้เยาว์ไม่อาจให้ ความยินยอมโดยลำพังได้และจะต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทน ผู้เยาว์ด้วย หรือเป็นกรณีที่ผู้เยาว์มีอายุไม่เกิน ๑๐ ปี ซึ่งจะต้องขอความยินยอมจากผู้ใช้อำนาจปกครอง ที่มีอำนาจกระทำการแทนผู้เยาว์แทน ตามนัยมาตรา ๒๐ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ เนื่องจากมาตรา ๒๐ วรรคสี่ กำหนดให้นำเงื่อนไขการขอความยินยอมจากเจ้าของ ข้อมูลส่วนบุคคล ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรสหรือ ไม่มีฐานะเสมือนดังบุคคลซึ่งบรรลุนิติภาวะแล้ว มาใช้บังคับกับการถอนความยินยอมของเจ้าของข้อมูล ส่วนบุคคล ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์โดยอนุโลม ดังนั้น ในการขอความยินยอมและ การถอนความยินยอมของผู้ใช้บริการซึ่งเป็นผู้เยาว์ ผู้ควบคุมข้อมูลส่วนบุคคลควรคำนึงถึงความเหมาะสม ด้านวุฒิภาวะของผู้เยาว์ในการตัดสินใจเกี่ยวกับผลิตภัณฑ์หรือบริการดังกล่าว ประกอบกับผลกระทบจาก การตัดสินใจนั้น โดยพิจารณาดำเนินการเกี่ยวกับการขอความยินยอม หรือการถอนความยินยอมจาก ผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ให้เหมาะสมและเป็นไปตามมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย