DOI: 10.14457/tu.the.2015.862
title: ปัญหาการคุ้มครองข้อมูลส่วนบุคคลในการโอนข้อมูลระหว่างประเทศกับสหภาพยุโรป: ศึกษาผลกระทบของคดีคำพิพากษาศาลยุติธรรมแห่งสหภาพยุโรปในคดี C-362/14 ต่อโครงการเซฟฮาร์เบอร์ (Safe Harbour)

description: สหภาพยุโรปได้บัญญัติ Directive 95/46/EC เพื่อเป็นหลักเกณฑ์ในการคุ้มครองข้อมูลส่วนบุคคลในสหภาพยุโรปและได้วางหลักให้การโอนข้อมูลส่วนบุคคลไปยังประเทศนอกกลุ่มสมาชิกสหภาพยุโรปจะทำได้เมื่อประเทศที่รับโอนข้อมูลมีการรับรองระดับการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ประเทศสหรัฐอเมริกาจึงมีความจำเป็นต้องจัดทำข้อตกลงโครงการเซฟฮาร์เบอร์ (Safe Harbour) กับสหภาพยุโรปเพื่อที่จะรับโอนข้อมูลส่วนบุคคลจากสหภาพยุโรปได้ แต่ต่อมาศาลยุติธรรมแห่งสหภาพยุโรปได้มีคำพิพากษาให้คำวินิจฉัยของคณะกรรมาธิการยุโรปที่ 2000/520 ซึ่งเป็นฐานรองรับโครงการเซฟฮาร์เบอร์สิ้นผลไป อันทำให้การโอนข้อมูลส่วนบุคคลระหว่างสหภาพยุโรปและประเทศสหรัฐอเมริกาภายใต้โครงการเซฟฮาร์เบอร์มิอาจกระทำได้อีกต่อไป  วิทยานิพนธ์เล่มนี้มีวัตถุประสงค์เพื่อศึกษาเหตุผลที่ศาลยุติธรรมแห่งสหภาพยุโรปใช้ในการวินิจฉัยว่าการคุ้มครองข้อมูลส่วนบุคคลตามโครงการเซฟฮาร์เบอร์ไม่สามารถรับรองระดับการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพออีกต่อไป พร้อมทั้งนำมาเปรียบเทียบกับการคุ้มครองข้อมูลส่วนบุคคลในประเทศไทย จากการศึกษาพบว่าเหตุผลหลักที่ศาลใช้ในการตัดสินว่าโครงการเซฟฮาร์เบอร์มีระดับการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอ เนื่องจากโครงการเซฟฮาร์เบอร์ได้มีการกำหนดข้อยกเว้นให้องค์กรและหน่วยงานที่เข้าร่วมกับโครงการฯไม่ต้องปฏิบัติตามหลักเกณฑ์คุ้มครองข้อมูลส่วนบุคคลได้ ในกรณีที่มีเหตุผลด้านการคุ้มครองความมั่นคงในประเทศหรือมีข้อยกเว้นโดยกฎหมายภายในของประเทศสหรัฐอเมริกาบัญญัติหลักเกณฑ์ที่ขัดหรือแย้งกับการคุ้มครองข้อมูลส่วนบุคคลของโครงการดังกล่าว และมีกฎหมายภายในของประเทศสหรัฐอเมริกาเปิดช่องให้อำนาจหน่วยงานด้านความมั่นคงสามารถเข้าถึงและประมวลผลข้อมูลส่วนบุคคลได้ในปริมาณมาก โดยไม่เฉพาะเจาะจงเป้าหมาย ส่งผลให้ข้อมูลส่วนบุคคลของประชาชนในสหภาพยุโรปเมื่อถูกโอนมายังประเทศสหรัฐอเมริกาไม่ได้รับการคุ้มครองที่เพียงพอตามมาตรฐานของสหภาพยุโรปอีกต่อไป ส่วนในประเทศไทยได้มีการจัดทำร่างพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล ซึ่งกฎหมายดังกล่าวได้มีข้อยกเว้นเปิดช่องให้นำกฎหมายอื่นมาบังคับใช้โดยมิต้องปฏิบัติตามมาตรการคุ้มครองข้อมูลส่วนบุคคลได้เช่นกัน ในขณะเดียวกันได้มีร่างกฎหมายอื่นบางฉบับที่ให้อำนาจพนักงานเจ้าหน้าที่ในการตรวจสอบการสื่อสารของประชาชนได้ทุกช่องทาง โดยไม่ต้องมีหมายศาล หรือให้อำนาจเจ้าหน้าที่รัฐไว้อย่างกว้างขวางอันจะก่อให้เกิดการใช้อำนาจเข้าถึงข้อมูลของประชาชนอย่างเกินขอบเขตได้ ดังนั้นกฎหมายคุ้มครองข้อมูลส่วนบุคคลในประเทศไทยจึงเข้ากรณีที่เป็นสาเหตุให้ศาลยุติธรรมแห่งสหภาพยุโรปตัดสินว่ามีระดับการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอทุกประการ จึงส่งผลให้ในอนาคตประเทศไทยอาจไม่สามารถรับโอนข้อมูลส่วนบุคคลที่มาจากสหภาพยุโรปได้ ข้อเสนอแนะในการพัฒนามาตรการคุ้มครองข้อมูลส่วนบุคคลในประเทศไทยนั้น ผู้เขียนเห็นว่าควรมีการปรับปรุงแก้ไขร่างพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลก่อนการบังคับใช้ รวมทั้งแก้ไขกฎหมายที่เกี่ยวข้องด้วย ดังนี้1. ในแง่เนื้อหาของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลควรระบุเพิ่มเติมไว้ในบททั่วไปว่าการบังคับใช้ตามกฎหมายอื่นจะสามารถกระทำได้เท่าที่จำเป็นโดยไม่กระทบกระเทือนต่อสาระสำคัญแห่งสิทธิในความเป็นส่วนตัวเกี่ยวกับข้อมูลส่วนบุคคล อีกทั้งควรเพิ่มเติมความชัดเจนของบทบัญญัติที่ให้ผู้ควบคุมข้อมูลแจ้งแก่เจ้าของข้อมูลส่วนบุคคลในกรณีที่ข้อมูลนั้นถูกละเมิด และเพิ่มเติมสิทธิของเจ้าของข้อมูลส่วนบุคคลในการจัดการและเยียวยาความเสียหายที่เกิดขึ้นด้วย 2. ในแง่องค์กรที่ทำหน้าที่บังคับการให้เป็นไปตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลควรมีความเป็นอิสระอย่างแท้จริง เพื่อที่จะคุ้มครองข้อมูลส่วนบุคคลได้อย่างมีประสิทธิภาพ3. ในแง่ของกฎหมายอื่นที่เป็นการแทรกแซงสิทธิในข้อมูลส่วนบุคคล ควรปรับปรุงบทบัญญัติที่ให้อำนาจรัฐในการเข้าสอดแนมข้อมูลส่วนบุคคลต้องกระทำได้อย่างจำกัด เฉพาะเจาะจงบุคคล และการเข้าถึงข้อมูลนั้นจะต้องขออนุญาตจากศาลด้วย