ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)

ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) คือ บุคคลหรือนิติบุคคลที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามนิยามใน พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6 กล่าวง่ายๆ คือ ผู้ควบคุมข้อมูลคือ "เจ้าของเว็บไซต์" หรือ "ผู้ประกอบการ" ที่เป็นผู้กำหนดว่าจะเก็บข้อมูลอะไร เก็บทำไม เก็บนานแค่ไหน และนำไปใช้ทำอะไร

ตัวอย่างของผู้ควบคุมข้อมูล ได้แก่ ร้านค้าออนไลน์ที่เก็บชื่อ ที่อยู่ และเบอร์โทรของลูกค้าเพื่อจัดส่งสินค้า บริษัทที่เก็บข้อมูลพนักงานเพื่อจ่ายเงินเดือน หรือเว็บไซต์ที่มีแบบฟอร์มลงทะเบียนและเก็บอีเมลผู้ใช้งาน ในกรณีของเว็บไซต์ SME ส่วนใหญ่ เจ้าของเว็บไซต์จะถือเป็นทั้งผู้ควบคุมข้อมูลและในบางกรณีอาจเป็นผู้ประมวลผลข้อมูลด้วย

ผู้ควบคุมข้อมูลมีหน้าที่ตามกฎหมายหลายประการ เช่น ต้องแจ้งรายละเอียดการประมวลผลให้เจ้าของข้อมูลทราบ (Privacy Notice ตามมาตรา 23) ต้องมีฐานทางกฎหมายรองรับการเก็บข้อมูล ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และต้องตอบสนองต่อการใช้สิทธิของเจ้าของข้อมูล เช่น สิทธิในการเข้าถึง ลบ หรือแก้ไขข้อมูล หากผู้ควบคุมข้อมูลละเมิดหน้าที่เหล่านี้ อาจต้องรับผิดทั้งทางปกครอง ทางอาญา และทางแพ่ง

สิ่งสำคัญที่ SME ไทยมักเข้าใจผิดคือ การที่ธุรกิจมีขนาดเล็กไม่ได้ทำให้พ้นจากหน้าที่ของผู้ควบคุมข้อมูล ไม่ว่าคุณจะเป็นร้านค้าคนเดียวหรือบริษัทขนาดใหญ่ หากมีการเก็บข้อมูลส่วนบุคคลของลูกค้าหรือพนักงาน คุณคือผู้ควบคุมข้อมูลและต้องปฏิบัติตาม PDPA อย่างครบถ้วน การเริ่มต้นด้วยการทำเช็คลิสต์ PDPA และจัดเตรียมนโยบายความเป็นส่วนตัวเป็นขั้นตอนแรกที่แนะนำ

คำถามที่พบบ่อย

Frequently asked questions

เนื้อหาที่เกี่ยวข้อง

Related content