16 กรกฎาคม 2563 : ดร.สุทธิพล ทวีชัยการ เลขาธิการคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (เลขาธิการ คปภ.) เป็นประธานในเปิดการประชุมชี้แจง โครงการเพิ่มประสิทธิภาพการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของไทย โดยกล่าวว่า
จากสภาพปัญหาที่มีการล่วงละเมิดสิทธิ ความเป็นส่วนตัวของข้อมูลส่วนบุคคล จนสร้างความเดือดร้อน ความรำคาญ หรือความเสียหายให้แก่เจ้าของข้อมูลส่วนบุคคล ประกอบกับความก้าวหน้าของเทคโนโลยีทำให้การเก็บรวบรวม การใช้ข้อมูลต่าง ๆ ทำได้โดยง่าย สะดวก รวดเร็ว จึงมีการละเมิดข้อมูลส่วนบุคคลมากขึ้น ก่อให้เกิดความเสียหายต่อเศรษฐกิจโดยรวม

ประกอบกับมีการกำหนดกฎเกณฑ์มาตรฐานการคุ้มครองข้อมูลส่วนบุคคลของประเทศคู่ค้าที่สำคัญของไทย หากปราศจากมาตรการคุ้มครองข้อมูลส่วนบุคคล อาจส่งผลกระทบต่อการค้าระหว่างประเทศและการทำธุรกิจระหว่างประเทศได้ ซึ่งจะทำให้ประเทศไทย เสียโอกาสและความเชื่อมั่นจากประเทศคู่ค้า จึงมีการตราพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีสาระสำคัญคือ กำหนดหลักเกณฑ์ กลไก หรือมาตรการกำกับดูแลเกี่ยวกับการให้ความคุ้มครองข้อมูลส่วนบุคคลที่เป็นหลักการทั่วไป

โดยเป็นกฎหมายกลางที่จะใช้บังคับกับทั้งภาครัฐ เอกชน รวมถึงธุรกิจประกันภัย และในกรณีที่ไม่มีข้อยกเว้นตามกฎหมาย เจ้าของข้อมูลต้องให้ความยินยอม (Consent) ในการเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ผู้เก็บรวบรวม ผู้ใช้ แจ้งไว้ตั้งแต่แรกแล้วเท่านั้น กล่าวคือ ต้องขออนุมัติจากเจ้าของข้อมูลก่อน พร้อมแจ้งวัตถุประสงค์ในการเก็บรวบรวม การใช้ และการเปิดเผย รวมทั้งผู้เก็บรวบรวมข้อมูลต้องรักษาความมั่นคงปลอดภัยของข้อมูลไม่ให้มีการเปลี่ยนแปลง แก้ไข หรือถูกเข้าถึงโดยผู้ที่ไม่เกี่ยวข้องกับข้อมูล

ยกตัวอย่างเช่น สถานพยาบาลจะต้องเก็บข้อมูลของผู้ป่วยให้เป็นความลับและไม่เปิดเผยให้กับผู้อื่น , ธนาคารต้องเก็บรักษาข้อมูลเกี่ยวกับรายการถอนเงิน ตลอดจนเจ้าของข้อมูลมีสิทธิ์ถอนความยินยอม ขอให้ลบหรือทำลายข้อมูลเมื่อใดก็ได้ รวมทั้งสามารถขอให้มีการปรับปรุงข้อมูลส่วนบุคคลให้เป็นปัจจุบันได้ หากเป็นความประสงค์ของเจ้าของข้อมูลนั้น

ทั้งนี้ เพื่อเป็นการป้องกันการล่วงละเมิดความเป็นส่วนตัวของข้อมูลส่วนบุคคล และปกป้องความเสียหาย แก่เจ้าของข้อมูล หรือสร้างความเดือดร้อน ความรำคาญ รวมถึงสร้างกลไก หรือมาตรฐานกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคล และเยียวยาผู้ได้รับความเสียหาย ซึ่งสามารถฟ้องเรียกค่าสินไหมทดแทนจากกรณีถูกละเมิดข้อมูลส่วนบุคคลได้ด้วย

เลขาธิการ คปภ. กล่าวด้วยว่า แม้ว่าพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จะมีการเลื่อนบังคับใช้ออกไปในปี 2564 แต่สำนักงาน คปภ. ในฐานะหน่วยงานของรัฐที่มีหน้าที่กำกับดูแลธุรกิจประกันภัยและคุ้มครองสิทธิประโยชน์ด้านประกันภัยของประชาชน มีภารกิจในการเก็บรักษาข้อมูลส่วนบุคคลเป็นจำนวนมากเพื่อใช้ประโยชน์ในการกำกับดูแลและคุ้มครองสิทธิประโยชน์ของประชาชน อันประกอบด้วยข้อมูลการศึกษา ฐานะการเงิน ประวัติการทำงาน ข้อมูลที่มีความอ่อนไหว เช่น ประวัติสุขภาพ ประวัติอาชญากรรม ลายพิมพ์นิ้วมือ และข้อมูลอื่นๆ ที่สามารถระบุไปถึงตัวเจ้าของข้อมูลส่วนบุคคลได้ เช่น เลขบัตรประชาชน หรือเลขหมายเอกสารส่วนตัวอื่นๆ ที่อยู่ เบอร์โทรศัพท์เพื่อการติดต่อ ประกอบกับบริษัทประกันภัยที่อยู่ภายใต้การกำกับดูแลก็มีการเก็บรักษาข้อมูลส่วนบุคคลดังกล่าวเช่นเดียวกัน

ดังนั้น สำนักงาน คปภ. จึงมีส่วนเกี่ยวข้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลในสองส่วน คือ ส่วนแรก คปภ.มีหน้าที่สำคัญในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมเพื่อป้องกันการสูญหาย การเข้าถึง การใช้ การเปลี่ยนแปลงแก้ไข หรือเปิดเผยข้อมูลส่วนบุคคล โดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคล หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือเจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม

ส่วนที่สอง อาจต้องมีการหารือภาคธุรกิจประกันภัยและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในฐานะผู้กำกับดูแลกฎหมายคุ้มครองข้อมูลส่วนบุคคล เพื่อกำหนดมาตรฐานขั้นต่ำสำหรับนโยบายคุ้มครองข้อมูลส่วนบุคคล เพื่อเป็นแนวทางปฏิบัติที่ชัดเจนสำหรับภาคธุรกิจประกันภัยในการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลเป็นการเฉพาะต่อไป เช่น วิธีการขอความยินยอมข้อมูลส่วนบุคคลทั่วไปและข้อมูลสุขภาพของเจ้าข้อมูลส่วนบุคคล เป็นต้น

ดังนั้นเพื่อเป็นการเตรียมความพร้อมให้กับผู้บริหาร พนักงาน เจ้าหน้าที่ ของสำนักงาน คปภ. ให้มีความรู้ความเข้าใจและตระหนักถึงความสำคัญในการปฏิบัติตามกฎหมายดังกล่าวอย่างเคร่งครัด จึงได้จัดทำโครงการเพิ่มประสิทธิภาพการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของไทย โดยมอบหมายให้บริษัท เบเคอร์ แอนด์ แม็คเค็นซี่ จำกัด ศึกษากฎหมาย และจัดทำข้อมูลเกี่ยวกับการเคลื่อนที่ของข้อมูลส่วนบุคคล (Data Flow) รวมทั้งวิเคราะห์ปัญหา อุปสรรค และช่องว่างในการปฏิบัติตามกฎหมายว่าด้วยคุ้มครองข้อมูลส่วนบุคคลของไทย (Gap Analysis)

ตลอดจนจัดทำนโยบาย แนวทางปฏิบัติ คู่มือการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2562 และแบบฟอร์มที่เกี่ยวข้องกับการปฏิบัติงานแก่พนักงานและเจ้าหน้าที่ของสำนักงาน คปภ. และภาคธุรกิจประกันภัย รวมทั้งให้ความรู้เรื่องกฎหมายคุ้มครองข้อมูลส่วนบุคคลแก่บุคลากรของสำนักงาน คปภ. ทั้งนี้เพื่อเพิ่มประสิทธิภาพการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของสำนักงาน คปภ. และอุตสาหกรรมประกันภัย รวมทั้งช่วยให้ประชาชนได้รับความคุ้มครองด้านประกันภัยอย่างเป็นธรรม

“เนื่องจากภาคธุรกิจประกันภัยเข้าไปเกี่ยวข้องกับข้อมูลส่วนบุคคลในเชิงลึกของผู้ทำประกันภัยในทุกมิติ จึงต้องสร้างเครื่องมือ กลไก กระบวนการและแนวทางปฏิบัติที่รัดกุม ชัดเจน เพื่อสร้างองค์ความรู้ ความเข้าใจและเตรียมความพร้อมในการคุ้มครองข้อมูลส่วนบุคคลให้แก่ผู้บริหาร พนักงาน เจ้าหน้าที่ทุกคน ได้มีภูมิคุ้มกันที่อาจเกิดขึ้นจากการฟ้องร้อง ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีบทลงโทษทั้งทางแพ่งและอาญา และในขณะเดียวกันก็จะทำให้การปฏิบัติตามกฎหมายนี้เกิดประโยชน์ โดยไม่กระทบกระเทือนต่อสิทธิประโยชน์ด้านประกันภัยของประชาชน” เลขาธิการ คปภ. กล่าวในตอนท้าย