แนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

เพื่อให้การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และบรรดากฎระเบียบ และประกาศต่าง ๆ ที่ออกตามพระราชบัญญัตินี้ โดยเฉพาะที่เกี่ยวกับการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เป็นไปตามเจตนารมณ์ของกฎหมาย รวมทั้งเพื่อให้มีความชัดเจนอันจะเป็นแนวทางให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ที่เกี่ยวข้องนำไปปรับใช้และปฏิบัติให้ถูกต้อง อันจะเป็นประโยชน์ต่อการคุ้มครองข้อมูลส่วนบุคคลอย่างมีประสิทธิภาพ อาศัยอำนาจตามความในมาตรา ๑๖ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเห็นสมควรที่จะวางแนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลไว้ดังนี้

๑. ความหมาย

เพื่อประโยชน์ในการดำเนินการตามแนวทางนี้

“หน่วยงานควบคุมและกำกับดูแล” หมายความว่า หน่วยงานของรัฐหรือเอกชนที่มีหน้าที่และอำนาจในการควบคุม กำกับดูแล และตรวจสอบการดำเนินงานของหน่วยงาน กิจการ หรือการประกอบธุรกิจ ตามที่มีกฎหมายบัญญัติ

“สภาวิชาชีพ” หมายความว่า สภาวิชาชีพที่จัดตั้งขึ้นตามกฎหมายว่าด้วยวิชาชีพหรือสภาวิชาชีพต่าง ๆ มีฐานะเป็นนิติบุคคล ซึ่งมีหน้าที่และอำนาจในการกำกับดูแลการประกอบวิชาชีพตามที่กำหนดไว้ในกฎหมายว่าด้วยวิชาชีพหรือสภาวิชาชีพนั้น ๆ

๒. ประเภทและลักษณะในการขอความยินยอม

การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลสามารถแบ่งออกได้ ๒ ลักษณะ ได้แก่

๒.๑ กรณีที่มีกฎหมายเฉพาะหรือมีหน่วยงานควบคุมหรือกำกับดูแลกำหนดแบบหรือข้อความในการขอความยินยอมไว้เป็นการเฉพาะ

ในกรณีที่มีหน่วยงานควบคุมและกำกับดูแล สภาวิชาชีพ สมาคมและกลุ่มอุตสาหกรรม หรือหน่วยงานที่มีกฎหมายเฉพาะกำหนดเรื่องการขอความยินยอม หรือแบบหรือข้อความในการขอความยินยอม ที่ไม่ขัดหรือแย้งกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายเฉพาะนั้นให้อำนาจหน่วยงานดังกล่าวในการกำหนดแบบหรือข้อความในการขอความยินยอมที่มีสภาพบังคับ (Compulsory Standard Form) ตามนัยมาตรา ๓ ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ให้หน่วยงานควบคุมและกำกับดูแล สภาวิชาชีพ สมาคมและกลุ่มอุตสาหกรรม หรือหน่วยงานที่มีกฎหมายเฉพาะนั้น สามารถกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลที่อยู่ในความควบคุมและกำกับดูแลใช้แบบหรือข้อความนั้นได้ เช่น การออกหลักเกณฑ์เรื่องการขอความยินยอมของธนาคารแห่งประเทศไทย หรือสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ หรือสำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย เป็นต้น

• ๒ -

๒.๒ กรณีที่ไม่มีกฎหมายเฉพาะหรือมีหน่วยงานควบคุมหรือกำกับดูแลกำหนดแบบหรือข้อความในการขอความยินยอมที่มีสภาพบังคับไว้เป็นการเฉพาะ

ในกรณีที่ไม่มีการกำหนดแบบหรือข้อความในการขอความยินยอมที่มีสภาพบังคับตามกฎหมายอื่นหรือโดยหน่วยงานควบคุมหรือกำกับดูแลกำหนดไว้เป็นการเฉพาะที่ต้องปฏิบัติตาม และคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลไม่ได้ประกาศกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามแบบและข้อความที่ประกาศกำหนด ผู้ควบคุมข้อมูลส่วนบุคคลอาจใช้แบบหรือข้อความที่มีการจัดทำขึ้นเป็นมาตรฐานในเรื่องใดหรือลักษณะใดได้ (Voluntary Standard Form) หรืออาจจัดทำแบบและข้อความการขอความยินยอมขึ้นมาเองได้ แต่ทั้งนี้ ในการขอความยินยอมและแบบหรือข้อความในการขอความยินยอมนั้น ควรดำเนินการตามแนวทางที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดนี้

๓. หลักเกณฑ์การขอความยินยอม

ในการที่ผู้ควบคุมข้อมูลส่วนบุคคลพึงตระหนักว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อาจดำเนินการโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ แต่ต้องเป็นไปตามข้อยกเว้นที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลบัญญัติให้กระทำได้ (“ฐานทางกฎหมาย หรือ Lawful Basis”) ตามมาตรา ๒๔ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้แก่

1. เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ
2. เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
3. เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญา หรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
4. เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล
5. เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล
6. เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

ในกรณีที่เป็นข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด จะเป็นไปตามข้อยกเว้นตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

• ๓ -

ด้วยเหตุนี้ ความยินยอมจากเจ้าของข้อมูลส่วนบุคคลจึงเป็นฐานทางกฎหมายสุดท้าย ที่ผู้ควบคุมข้อมูลส่วนบุคคลสามารถใช้เพื่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้ หากไม่เป็นไปตาม ข้อยกเว้นอื่นตามมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี การขอความยินยอมที่ชอบด้วยกฎหมายตามมาตรา ๑๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในกรณีที่ไม่มีการกำหนดแบบหรือข้อความในการ ขอความยินยอมที่มีสภาพบังคับตามกฎหมายอื่นไว้เป็นการเฉพาะ ผู้ควบคุมข้อมูลส่วนบุคคลพึงดำเนินการ ดังนี้

๓.๑ การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่สมบูรณ์ตามมาตรา ๑๙ เป็นไปตาม หลักเกณฑ์ ดังนี้

(๑) จึงหวะเวลาในการขอความยินยอม ต้องมีการขอความยินยอมก่อนหรือในขณะ กระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

(๒) ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล ต้องแจ้งวัตถุประสงค์และรายละเอียดของการขอความยินยอมให้เจ้าของข้อมูลส่วนบุคคลทราบ (informed) ก่อน จะให้ความยินยอม

(๓) การขอความยินยอมต้องระบุวัตถุประสงค์ในการให้ความยินยอมอย่างเฉพาะเจาะจง (specific) ไม่ใช่ระบุวัตถุประสงค์อย่างกว้าง ๆ เป็นการทั่วไป

(๔) การขอความยินยอมต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน มีแบบหรือ ข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่าย และไม่เป็นการหลอกลวงหรือทำให้เจ้าของข้อมูล ส่วนบุคคลเข้าใจผิดในวัตถุประสงค์

(๕) การขอความยินยอมจะชอบด้วยกฎหมาย ก็ต่อเมื่อเจ้าของข้อมูลส่วนบุคคล ให้ความยินยอมโดยสมัครใจและอิสระ (freely given) จากเจ้าของข้อมูลส่วนบุคคล โดยปราศจากกลุ่มฉลด หลอกลวง ข่มขู่ หรือสำคัญผิด

(๖) การให้ความยินยอมต้องไม่มีลักษณะที่เป็นเงื่อนไขที่บังคับหรือผูกมัด หรือเป็น เงื่อนไขที่บังคับให้เจ้าของข้อมูลส่วนบุคคลต้องให้ความยินยอมก่อนการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ เพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญา ซึ่งรวมถึงการให้บริการนั้น ๆ

คำอธิบาย

ในการขอความยินยอม เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมโดยสมัครใจและอิสระหรือไม่ ให้พิจารณาว่า ก่อนหรือในขณะให้ความยินยอม เจ้าของข้อมูลส่วนบุคคลมีอิสระในการตัดสินใจ โดยไม่มีปัจจัย ภายนอกมากดดัน บังคับ ขู่เข็ญ หลอกลวง หรือทำให้เข้าใจผิดจนถึงขั้นที่ทำให้เจ้าของข้อมูลส่วนบุคคล แสดงเจตนาให้ความยินยอม

• ๔ -

• ๕ -

๓.๓ ในการขอความยินยอม ต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเฉพาะเจาะจง (specific) ให้เจ้าของข้อมูลส่วนบุคคลทราบ และห้ามมิให้ระบุวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลหลายประเภทหรือหลายเรื่องหรือเป็นการทั่วไปมารวมอยู่ในการขอความยินยอมเพียงครั้งเดียว

ตัวอย่างที่ ๔

บริษัท ก ทำแบบฟอร์มการขอความยินยอมให้แก่ลูกค้าเพื่อวัตถุประสงค์ (๑) ในการส่งข้อมูลแก่บุคคลภายนอกเพื่อทำการตลาด และ (๒) เก็บรวบรวมข้อมูลเพื่อใช้วิเคราะห์ข้อมูล สำหรับกิจการของบริษัท ในเครือทุกประเภท การขอความยินยอมในลักษณะเช่นนี้ถือว่าเป็นการขอความยินยอมโดยไม่ได้ระบุวัตถุประสงค์เป็นการเฉพาะ

๓.๔ ในการขอความยินยอม ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบรายละเอียดดังต่อไปนี้ ก่อนหรือในขณะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

(๑) ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล

(๒) วัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผย

(๓) รายละเอียดประเภทของข้อมูลส่วนบุคคลที่จะมีการเก็บรวบรวม

(๔) สิทธิของเจ้าของข้อมูลส่วนบุคคลในการถอนความยินยอม และรายละเอียดว่าจะกระทำได้โดยวิธีใด อย่างไร

๓.๕ การแจ้งวัตถุประสงค์และรายละเอียดของการเก็บรวบรวม ใช้ เปิดเผยข้อมูลส่วนบุคคลสามารถทำได้หลายวิธี เช่น การแจ้งเป็นหนังสือ การแจ้งทางวาจา การแจ้งทางข้อความในรูปแบบ SMS, อีเมล, MMS หรือทางโทรศัพท์ หรือวิธีการทางอิเล็กทรอนิกส์อื่นใด เช่น การระบุรายละเอียดใน URL หรือ QR code เป็นต้น

๓.๖ การขอความยินยอมจะต้องมีการให้เจ้าของข้อมูลส่วนบุคคลแสดงเจตนาโดยชัดแจ้ง (clear affirmative act) โดยเจ้าของข้อมูลส่วนบุคคลจะต้องกระทำการหรือแสดงให้เห็นได้อย่างชัดเจนว่าได้ให้ความยินยอม เช่น การยื่นหนังสือให้ความยินยอมที่เจ้าของข้อมูลส่วนบุคคลจัดทำขึ้นเอง การลงนามให้ความยินยอม ในแบบฟอร์มให้ความยินยอมที่ผู้ควบคุมข้อมูลส่วนบุคคลจัดทำขึ้น การคลิกใน checkbox เพื่อระบุว่า “ยินยอม” โดยเจ้าของข้อมูลส่วนบุคคลเอง การกดปุ่มบนโทรศัพท์มือถือ ๒ ครั้งติดกัน เพื่อแสดงเจตนายินยัน หรือการสไลด์หน้าจอ (swipe) เป็นต้น เพื่อแสดงถึงเจตนาการให้ความยินยอมของเจ้าของข้อมูลส่วนบุคคล เมื่อได้มีการแจ้งอย่างชัดเจนแล้วว่าการกระทำดังกล่าวแสดงถึงการตกลงหรือยินยอมให้เก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคล

• ๖ -

ข้อสังเกต

๑) ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามกฎหมายที่จะต้องดำเนินการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ตามมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย

๒) สำหรับข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลได้เก็บรวบรวมไว้ก่อนวันที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มีผลใช้บังคับ ผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิมตามมาตรา ๙๕ แต่สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลที่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่ประชาสัมพันธ์ให้เจ้าของข้อมูลส่วนบุคคลที่ไม่ประสงค์ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลดังกล่าวสามารถแจ้งยกเลิกความยินยอมได้โดยง่าย

๔. ลักษณะความยินยอมที่กฎหมายกำหนด

การขอความยินยอมต้องทำโดยชัดแจ้ง (explicit) โดยอาจทำเป็นหนังสือ หรือทำโดยผ่านระบบอิเล็กทรอนิกส์ก็ได้เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวได้

คำอธิบาย

การขอความยินยอมและการให้ความยินยอมที่ทำโดยชัดแจ้ง หมายความว่า เจ้าของข้อมูลส่วนบุคคลได้แสดงให้เห็นถึงการให้ความยินยอมอย่างชัดเจน (express statement of consent) ซึ่งอาจทำได้โดยการให้เจ้าของข้อมูลส่วนบุคคลยืนยันให้ความยินยอมเป็นลายลักษณ์อักษร โดยผู้ควบคุมข้อมูลส่วนบุคคลอาจกำหนดให้เจ้าของข้อมูลส่วนบุคคลลงนามก็ได้เพื่อความชัดเจนโดยปราศจากข้อสงสัยและเพื่อเก็บเป็นหลักฐานอ้างอิงในอนาคต อย่างไรก็ตาม การให้ความยินยอมเป็นลายลักษณ์อักษรโดยเจ้าของข้อมูลส่วนบุคคลลงนาม ไม่ใช่วิธีการเดียวในการขอความยินยอมและให้ความยินยอมโดยชัดแจ้ง การให้ความยินยอมสามารถทำในรูปแบบอิเล็กทรอนิกส์โดยวิธีการต่าง ๆ ได้ เช่น การกรอกแบบฟอร์มในระบบอิเล็กทรอนิกส์ การส่งอีเมล การส่งเอกสารอิเล็กทรอนิกส์ที่สแกนจากต้นฉบับ หรือการใช้ลายมือชื่ออิเล็กทรอนิกส์ โดยอาจพิจารณาใช้วิธีการที่สามารถระบุตัวเจ้าของข้อมูลส่วนบุคคลและสามารถแสดงเจตนาของเจ้าของข้อมูลส่วนบุคคล และใช้วิธีการที่เชื่อถือได้โดยเหมาะสมกับวัตถุประสงค์หรือวิธีการอื่นใดที่สามารถยืนยันตัวเจ้าของข้อมูลส่วนบุคคลและสามารถแสดงเจตนาของเจ้าของข้อมูลส่วนบุคคลได้โดยวิธีการนั้นเองหรือประกอบกับพยานหลักฐานอื่นตามกฎหมายว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ ซึ่งรวมถึงการให้ความยินยอมโดยใช้รหัสผ่าน (password) ลายมือชื่อดิจิทัล (digital signature) ลายมือชื่ออิเล็กทรอนิกส์ในรูปแบบ ข้อมูลชีวมาตร (biometrics) (เช่น ม่านตา ลายนี้วีมือ ใบหน้า เสียง หรืออัตลักษณ์อื่นใดที่สามารถยืนยัน ตัวตนได้ว่าเป็นเจ้าของข้อมูลส่วนบุคคลจริง)

• ๗ -

นอกจากนี้ ในบางกรณี การให้ความยินยอมทางวาจาหรือทางโทรศัพท์อาจมีความชัดแจ้ง เพียงพอที่จะถือเป็นความยินยอมที่ชอบด้วยกฎหมาย เช่น กรณีที่โดยสภาพไม่อาจขอความยินยอมเป็นหนังสือ หรือทำโดยผ่านระบบอิเล็กทรอนิกส์ได้ หากได้ให้รายละเอียดเกี่ยวกับการขอความยินยอมอย่างชัดเจน และได้ ขอให้เจ้าของข้อมูลส่วนบุคคลกระทำการหรือแสดงให้เห็นได้อย่างชัดเจนว่าได้ให้ความยินยอม เช่น โดยการ กดปุ่ม หรือการให้คำยินยันทางวาจา เป็นต้น

๕. การถอนความยินยอม

เจ้าของข้อมูลส่วนบุคคลต้องสามารถถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอน ความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดย กฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลต้องแสดง รายละเอียดวิธีการ เงื่อนไข หรือแบบฟอร์มในการถอนความยินยอมให้เด่นชัด (prominent) ในบริเวณที่ เห็นได้ชัดเจนในการขอความยินยอมไม่ว่าในรูปแบบหนังสือหรืออิเล็กทรอนิกส์

คำอธิบาย

ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลและเจ้าของ ข้อมูลส่วนบุคคลแสดงเจตนาโดยให้ความยินยอมด้วยวิธีการทางอิเล็กทรอนิกส์ เช่น การใช้เมาส์คลิกกด ให้ ความยินยอม การสไลด์หน้าจอ หรือการวาด key stroke เพื่อให้ความยินยอม การถอนความยินยอมก็ต้องใช้ วิธีการแบบเดียวกันหรือระดับเดียวกันได้โดยง่าย หรือเป็นวิธีการอื่นใดที่เจ้าของข้อมูลส่วนบุคคล สามารถ เข้าถึงได้โดยง่ายเช่นเดียวกับการขอความยินยอม

ในกรณีที่มีการขอความยินยอมของเจ้าของข้อมูลส่วนบุคคลโดยทางเว็บไซต์หรืออีเมล และ เจ้าของข้อมูลส่วนบุคคลแสดงเจตนาโดยให้ความยินยอมในลักษณะการล็อกอิน (log in) เข้าสู่ระบบเพื่อให้ ความยินยอม หรือการใช้ลายมือชื่ออิเล็กทรอนิกส์กรอกข้อมูลเพื่อให้ความยินยอม หรือการให้ความยินยอมโดย ลายมือชื่ออิเล็กทรอนิกส์ที่เชื่อถือได้ในรูปแบบข้อมูลชีวมาตร (biometrics) เช่น ใบหน้า เสียง หรือการใช้รูปแบบ ของการเชื่อมต่ออุปกรณ์คอมพิวเตอร์เข้าด้วยกันเพื่อขอความยินยอมในระบบ Internet of Things (IoTs) การถอนความยินยอมก็ต้องใช้วิธีการยกเลิกโดยง่ายเช่นเดียวกันหรือระดับเดียวกันกับการขอความยินยอม หรือเป็นวิธีการอื่นใดที่เจ้าของข้อมูลส่วนบุคคลสามารถถอนความยินยอมได้โดยง่ายเช่นเดียวกัน

การถอนความยินยอมจะต้องไม่เป็นการสร้างภาระ ค่าใช้จ่าย หรือขั้นตอนให้กับเจ้าของข้อมูล ส่วนบุคคลมากกว่าการให้ความยินยอม และไม่มีผลทำให้การให้บริการด้อยประสิทธิภาพลง

ตัวอย่างที่ ๕

บริษัท ข ให้บริการจำหน่ายบัตรชมคอนเสิร์ตผ่านทางแอปพลิเคชัน (Application) ผ่าน โทรศัพท์มือถือ และขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล ส่วนบุคคล โดยการให้ความยินยอมของเจ้าของข้อมูลส่วนบุคคลอาศัยเพียงการกดตกลงหรือปฏิเสธผ่านแอป พลิเคชัน หรือใช้ใบหน้าสแกนเพื่อยืนยันหรือปฏิเสธการให้ความยินยอม

• ๘ -

เงื่อนไขในการถอนความยินยอมก็ต้องใช้วิธีการเดียวกัน หรือเป็นวิธีการอื่นใดที่เจ้าของข้อมูลส่วนบุคคลสามารถถอนความยินยอมได้โดยง่ายเช่นเดียวกัน หากบริษัท ข ระบุว่า “การถอนความยินยอมจะใช้วิธีกดปุ่มถอนความยินยอม หรือสแกนใบหน้าถอนความยินยอมไม่ได้ ต้องให้เจ้าของข้อมูลส่วนบุคคลโทรศัพท์ไปที่บริษัท ข ในเวลาทำการเพื่อยกเลิกความยินยอมเท่านั้น” เงื่อนไขในการถอนความยินยอมดังกล่าวถือว่า ขัดต่อกฎหมาย ไม่สามารถใช้บังคับได้เพราะเป็นการสร้างภาระให้เจ้าของข้อมูลส่วนบุคคลและไม่ใช่วิธีการถอนความยินยอมโดยง่ายเช่นเดียวกับการให้ความยินยอม

ข้อสังเกต

1. การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบ แต่จะมีผลต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกิดขึ้นหลังการถอนความยินยอม

2. ในกรณีที่การถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใดผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบจากการถอนความยินยอมนั้น

3. การถอนความยินยอม ไม่มีผลต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อาจดำเนินการได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตามข้อยกเว้นที่มาตรา ๒๔ และมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดให้กระทำได้

๖. การให้ความยินยอมและการถอนความยินยอมในกรณีผู้เยาว์

ในการให้ความยินยอมของผู้เยาว์ที่เป็นเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลพึงทราบว่า ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องใช้ความระมัดระวังและมาตรฐานในการขอความยินยอมจากผู้เยาว์ที่สูงกว่าบุคคลที่บรรลุนิติภาวะแล้ว เพื่อเป็นการปกป้องผู้เยาว์จากการถูกหลอกลวง กลฉ้อฉล ข่มขู่สำคัญผิด หรือการกระทำที่ผิดกฎหมาย

๗.๑ เงื่อนไขเรื่องอายุและลักษณะของการให้ความยินยอม

ก) ในกรณีที่ผู้เยาว์ยังไม่บรรลุนิติภาวะ (อายุมากกว่า ๑๐ ปี แต่ยังไม่บรรลุนิติภาวะตามกฎหมาย)

การขอความยินยอมจะต้องกระทำโดยขัดแจ้ง โดยผู้เยาว์สามารถให้ความยินยอมด้วยตนเอง โดยลำพังได้ หากเป็นการที่ผู้เยาว์ทำนิติกรรมที่ต้องทำเองเฉพาะตัวและเป็นการสมแก่ฐานานุรุปแห่งตนเองและเป็นการอันจำเป็นในการดำรงชีพตามสมควร หรือเป็นเพียงเพื่อจะได้ไปซึ่งสิทธิอันใดอันหนึ่ง หรือเป็นการเพื่อให้หลุดพ้นจากหน้าที่อันใดอันหนึ่ง (มาตรา ๒๒-๒๔ แห่งประมวลกฎหมายแพ่งและพาณิชย์) แต่หากไม่ใช่กรณีเหล่านั้น ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย

• ๙ -

รูปแบบและเงื่อนไขการขอความยินยอมจะต้องเป็นไปตามแนวทางการดำเนินการนี้ นอกจากนี้ข้อความที่ระบุเพื่อขอความยินยอมจากผู้เยาว์ไม่ว่าจะทำในรูปแบบใด ต้องเป็นภาษาหรือวิธีการ ที่ผู้เยาว์สามารถทำความเข้าใจได้โดยง่าย และมีมาตรการตรวจสอบอายุของผู้เยาว์ (age verification) ที่เหมาะสมตามระดับความเสี่ยง เช่น การยืนยันการให้ความยินยอมของผู้เยาว์โดยใช้เลขประจำตัวประชาชน ของผู้เยาว์หรือวิธีการอื่นที่เชื่อถือได้ว่าบุคคลดังกล่าวเป็นผู้เยาว์จริงและมีอายุมากกว่า ๑๐ ปี

ข) ในกรณีที่ผู้เยาว์มีอายุไม่เกิน ๑๐ ปี

ผู้ควบคุมข้อมูลส่วนบุคคลต้องขอความยินยอม จากผู้ใช้อำนาจทางปกครองที่มี อำนาจกระทำการแทนผู้เยาว์เท่านั้น จะขอความยินยอมจากผู้เยาว์โดยไม่ได้รับความยินยอมโดยชัดแจ้งจาก ผู้ใช้อำนาจปกครองไม่ได้โดยการขอความยินยอมควรมีการตรวจสอบ (verification) ที่เหมาะสมตามระดับ ความเสี่ยงว่าผู้ให้ความยินยอมเป็นผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์จริง และต้องใช้ภาษา หรือวิธีการที่ผู้ใช้อำนาจทางปกครองสามารถทำความเข้าใจได้โดยง่าย

ค) มาตรการในการตรวจสอบอายุของผู้เยาว์

ให้ผู้ควบคุมข้อมูลส่วนบุคคลใช้มาตรการยืนยันตัวตนของผู้เยาว์หรือผู้ใช้อำนาจ ปกครองที่เหมาะสมตามระดับความเสี่ยง โดยผู้ควบคุมข้อมูลส่วนบุคคลจะต้องคำนึงถึงผลกระทบของการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้เยาว์เป็นสำคัญ

• ๑๐ -

๔) ในกรณีที่มีข้อร้องเรียนจากเจ้าของข้อมูลส่วนบุคคลหรือสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าการให้ความยินยอมของผู้เยาว์ และ/หรือผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ ดังกล่าวไม่ถูกต้อง บริษัท ค ควรมีมาตรการตรวจสอบและยินยันตัวตนของผู้เยาว์และผู้ใช้อำนาจปกครอง โดยไม่ชักช้า

ในการดำเนินการดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวบรวมข้อมูลส่วนบุคคลของผู้เยาว์ และผู้ใช้อำนาจปกครองได้เท่าที่จำเป็นและไม่เกินสมควร เพื่อการยินยันตัวตนและตรวจสอบความถูกต้อง ในการทำนิติกรรมสัญญาเท่านั้น

๖.๒ การถอนความยินยอมของผู้เยาว์

ให้นำหลักเกณฑ์การถอนความยินยอมของบุคคลทั่วไปตามข้อ ๓ มาปรับใช้กับกรณี ผู้เยาว์หรือผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์เช่นเดียวกัน

๗. กรณีเจ้าของข้อมูลส่วนบุคคลเป็นคนไร้ความสามารถหรือเสมือนไร้ความสามารถ

ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นคนไร้ความสามารถหรือคนเสมือนไร้ความสามารถ ให้ขอความยินยอมจากผู้อนุบาลที่มีอำนาจกระทำการแทนคนไร้ความสามารถ หรือผู้พิทักษ์ที่มีอำนาจ กระทำการแทนคนเสมือนไร้ความสามารถ แล้วแต่กรณี โดยให้นำหลักเกณฑ์การขอความยินยอมตามแนวทาง การดำเนินการนี้มาปรับใช้โดยอนุโลม