พ.ร.บ. คอมพิวเตอร์ และ PDPA กับข้อกำหนดที่ผู้ให้บริการ WiFi สาธารณะต้องรู้
ธุรกิจที่เปิดให้บริการ WiFi แก่ลูกค้าหรือบุคคลทั่วไป มีสถานะเป็น "ผู้ให้บริการ" ตามกฎหมายไทย และมีหน้าที่ต้องปฏิบัติตามกฎหมายสองฉบับหลัก ได้แก่ พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ และพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล หรือ PDPA บทความนี้สรุปสาระสำคัญที่ผู้ประกอบการควรทราบ เพื่อให้การให้บริการ WiFi เป็นไปอย่างถูกต้องและลดความเสี่ยงทางกฎหมาย
ข้อกำหนดภายใต้พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์
กฎหมายฉบับนี้กำหนดให้ผู้ให้บริการอินเทอร์เน็ต ซึ่งครอบคลุมถึงร้านค้า โรงแรม และสถานประกอบการที่เปิดให้บริการ WiFi แก่บุคคลภายนอก มีหน้าที่จัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ที่สามารถระบุตัวผู้ใช้งานได้ สาระสำคัญที่เกี่ยวข้องโดยตรงกับการให้บริการ WiFi มีดังนี้
- ต้องสามารถระบุตัวตนของผู้ใช้งานที่เชื่อมต่อกับระบบได้ ซึ่งเป็นเหตุผลที่ระบบ WiFi Marketing ที่มีการยืนยันตัวตนก่อนใช้งานมีความได้เปรียบกว่าการแจกรหัสผ่านร่วมกัน
- ต้องเก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ไว้ในระยะเวลาที่กฎหมายกำหนด และพร้อมส่งมอบให้พนักงานเจ้าหน้าที่เมื่อมีการขอตรวจสอบตามกระบวนการที่ถูกต้อง
- ข้อมูลที่จัดเก็บต้องมีความถูกต้องและสามารถสืบค้นย้อนหลังได้ในกรณีที่เกิดเหตุการณ์ที่ต้องตรวจสอบ
ผู้ประกอบการที่ปล่อยให้ลูกค้าเชื่อมต่อ WiFi โดยไม่มีการระบุตัวตนใด ๆ จึงมีความเสี่ยงที่จะไม่สามารถปฏิบัติตามข้อกำหนดนี้ได้ หากเกิดการใช้งานเครือข่ายในทางที่ผิดกฎหมายโดยบุคคลที่ไม่สามารถระบุตัวได้
ข้อกำหนดภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA)
เมื่อระบบ WiFi Marketing เก็บข้อมูลส่วนบุคคลของลูกค้า เช่น ชื่อ หมายเลขโทรศัพท์ หรือข้อมูลบัญชีโซเชียลมีเดีย ธุรกิจจะมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม PDPA และต้องปฏิบัติตามหลักการสำคัญดังนี้
- การขอความยินยอม ต้องแจ้งวัตถุประสงค์ในการเก็บข้อมูลอย่างชัดเจนก่อนหรือในขณะที่เก็บข้อมูล และต้องได้รับความยินยอมจากลูกค้าในกรณีที่กฎหมายกำหนดให้ต้องขอความยินยอม
- ความโปร่งใส หน้าล็อกอิน WiFi ควรแสดงประกาศความเป็นส่วนตัว (privacy notice) ที่อธิบายว่าจะเก็บข้อมูลอะไร นำไปใช้อย่างไร และเก็บไว้นานเท่าใด
- การจำกัดวัตถุประสงค์และปริมาณข้อมูล ควรเก็บข้อมูลเท่าที่จำเป็นต่อการให้บริการและการตลาดที่แจ้งไว้เท่านั้น ไม่ควรเก็บข้อมูลที่เกินความจำเป็น
- สิทธิของเจ้าของข้อมูล ลูกค้ามีสิทธิขอเข้าถึง ขอแก้ไข ขอลบ หรือขอถอนความยินยอมในการใช้ข้อมูลของตนเองได้
- การรักษาความปลอดภัยของข้อมูล ต้องมีมาตรการป้องกันการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต และมีกระบวนการแจ้งเหตุในกรณีข้อมูลรั่วไหล
แนวทางปฏิบัติที่แนะนำสำหรับผู้ประกอบการ
เพื่อให้การให้บริการ WiFi สอดคล้องกับกฎหมายทั้งสองฉบับ ผู้ประกอบการควรพิจารณาแนวทางดังนี้
- เลือกใช้ระบบ WiFi Marketing ที่มีฟังก์ชันจัดเก็บบันทึกข้อมูลจราจรตามระยะเวลาที่กฎหมายกำหนดโดยอัตโนมัติ
- แสดงประกาศความเป็นส่วนตัวและช่องทำเครื่องหมายยินยอมไว้บนหน้าล็อกอินอย่างชัดเจน ก่อนให้ลูกค้าเข้าใช้งานอินเทอร์เน็ต
- จำกัดสิทธิการเข้าถึงข้อมูลลูกค้าให้เฉพาะบุคคลที่เกี่ยวข้องกับการดำเนินงานเท่านั้น
- กำหนดระยะเวลาการจัดเก็บและทำลายข้อมูลที่ไม่จำเป็นต้องใช้งานต่อแล้วอย่างเหมาะสม
- มอบหมายผู้รับผิดชอบหรือช่องทางติดต่อสำหรับกรณีที่ลูกค้าต้องการใช้สิทธิตาม PDPA
ความเสี่ยงจากการไม่ปฏิบัติตามข้อกำหนด
การไม่ปฏิบัติตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์หรือ PDPA อาจทำให้ธุรกิจต้องเผชิญกับความรับผิดทางกฎหมาย ทั้งในด้านมาตรการทางปกครอง การชดใช้ค่าเสียหายทางแพ่ง และในบางกรณีอาจมีความรับผิดทางอาญา นอกจากนี้ยังส่งผลกระทบต่อความน่าเชื่อถือของแบรนด์ในสายตาลูกค้าอีกด้วย การลงทุนในระบบที่ออกแบบมาเพื่อรองรับข้อกำหนดเหล่านี้ตั้งแต่ต้น จึงเป็นแนวทางที่คุ้มค่ากว่าการแก้ไขปัญหาภายหลัง
สรุป
การให้บริการ WiFi สาธารณะมีข้อกำหนดทางกฎหมายที่ผู้ประกอบการต้องให้ความสำคัญ ทั้งในด้านการจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ และการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าตาม PDPA การเลือกระบบ WiFi Marketing ที่ออกแบบให้รองรับข้อกำหนดเหล่านี้ตั้งแต่ต้น จะช่วยให้ธุรกิจดำเนินกิจการได้อย่างมั่นใจ ทั้งนี้ เนื้อหาในบทความนี้เป็นข้อมูลสรุปเพื่อความเข้าใจเบื้องต้นเท่านั้น ผู้ประกอบการควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายเพื่อความถูกต้องและเหมาะสมตามลักษณะการดำเนินธุรกิจของตนเอง