หากประเทศไทยต้องการผลักดันนโยบายไทยแลนด์ 4.0 จำต้องมีพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล และกฎหมายที่ประกันความเป็นส่วนตัวในการสื่อสาร ตามมาตรฐานสากลใน 12 ประเด็นนี้
1. การรับรองสิทธิในการคุ้มครองข้อมูลส่วนบุคคล โดยยืนยันสิทธิส่วนบุคคลก่อนที่จะบอกว่า รัฐหรือบรรษัทมีอำนาจในการเข้าไปกักเก็บ ดัก หรือประมวลผลข้อมูลส่วนบุคคล เช่น ในมาตราแรกๆ ต้อง รับรองสิทธินี้ของบุคคลว่าเป็นเจ้าของข้อมูล มีสิทธิในการอนุญาตหรือปัดป้องการใช้ของมูลส่วนบุคคลโดยบริษัทหรือรัฐ
2. การกำหนดนิยาม/องค์ประกอบว่าอะไร คือ ข้อมูลส่วนบุคคล ให้รายละเอียดว่าข้อมูลใดบ้างที่ได้รับการคุ้มครอง หรือข้อมูลอ่อนไหวใดๆที่จะได้รับการคุ้มครองเป็นพิเศษ เช่น การกำหนดว่าธนาคารที่มีข้อมูลการใช้จ่ายผ่านระบบ E-Banking จะต้องรักษาข้อมูลอะไร และข้อมูลอ่อนไหวพิเศษ เช่น รหัส หรือธุรกรรมของลูกค้าไว้เป็นความลับห้ามทำให้รั่วไหลออกไปสู่บุคคลอื่น หรือบอกเงื่อนไขการใช้ประโยชน์ของข้อมูลบางประเภท ว่านำข้อมูลไปขายต่อให้บริษัทวิเคราะห์ข้อมูลทางการตลาดได้หรือไม่อย่างไร
3. การกำหนดหน้าที่ของผู้ควบคุมระบบและประมวลผลข้อมูล เนื่องจากผู้ที่จัดการข้อมูลทางเทคนิค คือ ผู้ประกอบการที่ได้ข้อมูลมา และอาจประมวลวิเคราะห์ผลจนได้รายงานต่างๆ แล้วส่งข้อมูลต่อ และขายต่อได้ เช่น กำหนดว่าผู้ให้บริการอินเตอร์เน็ตยี่ห้อต่างๆ ต้องรักษาข้อมูลการเข้าใช้เว็บไซต์ของประชาชน ไม่นำไปขายต่อให้บริษัทที่ปรึกษาทางธุรกิจโดยพลการ
4. การประกันสิทธิในข้อมูลส่วนบุคคลของประชาชน/ผู้บริโภค โดยการลงลึกในสิทธิย่อยๆ เช่น เจ้าของข้อมูลส่วนบุคคลต้อง “ยินยอม” ก่อนที่ผู้ประกอบการจะเอาข้อมูลไปใช้ประโยชน์ หรือผู้ให้บริการต้องแจ้งเจ้าของข้อมูลว่าจะมีการเก็บข้อมูลส่วนบุคคล ดังกรณีที่ก่อนการติดตั้งแอพลิเคชั่น หรือเข้าใช้เว็บไซต์ต่างๆ จะมีการแจ้งเตือนเรื่องสิทธิส่วนบุคคลทั้งหลาย (Privacy Policy)
5. การกำหนดขอบเขตและเงื่อนไขในการจัดเก็บข้อมูลส่วนบุคคลและประมวลผล กำหนดหน้าที่ให้ผู้ควบคุมข้อมูลจัดการโดยเชื่อมโยงกับสิทธิของเจ้าของข้อมูลส่วนบุคคล เช่น การบอกวัตถุประสงค์ในการเก็บข้อมูล ระยะเวลาในการเก็บข้อมูล จะทำลายข้อมูลทิ้งเมื่อไหร่ และจัดเก็บข้อมูลไว้ที่ไหน ประชาชนจะเข้าตรวจสอบความถูกต้องของข้อมูลที่เกี่ยวข้องกับตัวเองได้หรือไม่
6. การกำหนดเงื่อนไขในการส่งข้อมูลไปให้บุคคลที่สามหรือข้ามพรมแดน ครอบคลุมกรณีที่ผู้ที่จัดการข้อมูลรายแรกส่งต่อข้อมูลไปยังบริษัทแม่ของตนที่อยู่ต่างประเทศ หรือการส่งข้อมูลจากผู้ประกอบการรายหนึ่งไปผู้ประกอบการรายอื่น เช่น บริษัทกูเกิลในยุโรปต้องให้หลักประกันว่าการส่งข้อมูลไปยังกูเกิลสหรัฐจะมีการดูแลข้อมูลส่วนบุคคลตามมาตรฐานของอียู
7. มาตรการปกป้องข้อมูลส่วนบุคคลจากภัยพิบัติหรืออาชญากรรม หน่วยงานรัฐ/ผู้ประกอบการเก็บมีหน้าที่ป้องกันภัยจาการโจรกรรมของข้อมูลโดยอาชญากร หรือแม้แต่การจารกรรมข้อมูลโดยผู้ก่อการร้าย หรือหน่วยงานรัฐ รวมไปถึงกรณีเกิดภัยพิบัติธรรมชาติด้วย เช่น ติดตั้งเทคโนโลยีป้องกันที่ได้มาตรฐาน ISO ด้านการป้องกันความเสี่ยงต่อข้อมูล
8. การกำหนดเงื่อนไขในการกักเก็บข้อมูล กำหนดขอบเขตระยะเวลาในการเก็บข้อมูล หากพ้นระยะเวลาที่กำหนดผู้ให้บริการสื่อสาร หรือหน่วยงานที่เก็บกักข้อมูลไว้จะต้องทำลายข้อมูลเหล่านั้นเสีย หรือไม่ส่งข้อมูลการใช้อินเตอร์เน็ตของประชาชนให้หน่วยงานความมั่นคงของรัฐ โดยไม่มีหมายศาลสั่งมา
9. การปราบปรามอาชญากรรมป้องกันการก่อการร้าย โดยขอข้อมูลส่วนบุคคลเป้าหมายที่เป็นภัยยึดโยงกับกระบวนการยุติธรรมและต้องมีหมายศาล โดยข้ออ้างทั้งหลายจะต้องมีลักษณะเฉพาะเจาะจง กล่าวคือ มีความเสี่ยงเกิดอาชญากรรมตามประมวลกฎหมายอาญา หมวดความมั่นคงแห่งรัฐ ความสงบสุข ชีวิต ทรัพย์สิน นั่นเอง มิใช่การใช้อำนาจตามอำเภอใจโดยปราศจากการตรวจสอบจากศาล ไร้กลไกคุ้มครองสิทธิทั้งหลาย
10. การสร้างกลไกหรือองค์กรในการคุ้มครองข้อมูลส่วนบุคคล ต้องตั้งองค์กรขึ้นตรวจตราหน่วยงาน/ผู้ประกอบการต่างๆ ให้ปฏิบัติตามกฎหมาย เช่น การปรับบทบาทของหน่วยงาน/องค์กรอิสระด้านเทคโนโลยีสารสนเทศโทรคมนาคมให้รับเรื่องร้องทุกข์จากประชาชนที่ถูกละเมิดสิทธิ และออกมาตรการต่างๆเพื่อบังคับผู้ประกอบการ/หน่วยงานให้แก้ไขปัญหา หรือเป็นตัวแทนประชาชนในการฟ้องบังคับคดีในศาล
11. การบังคับตามสิทธิโดยกำหนดมาตรการทางกฎหมายมหาชนและโทษทางอาญา ออกแบบกลไกในการเข้าไปตรวจสอบ เพื่อระงับการละเมิดสิทธิ ปรับปรุงแก้ไขปัญหา หรือทำลายข้อมูลทิ้งที่เก็บหรือประมวลผลโดยขัดกับกฎหมายหรือผิดสัญญาที่ตกลงไว้กับผู้ใช้บริการทั้งหลาย เช่น กรณีมีผู้ร้องเรียนว่าสถาบันทางการเงินเอาข้อมูลของลุกค้าไปขายต่อให้บริษัทอื่นๆ จนมีการติดต่อมาขายสินค้าทางโทรศัพท์หรืออีเมลล์ที่ได้มาจากสถาบันการเงินเหล่านั้น โดยที่เจ้าของข้อมูลมิได้ยินยอม ก็ต้องมีการกำหนดบทลงโทษทางอาญาและมีมาตรการบังคับให้ยุติการส่งข้อมูลหรือทำลายข้อมูลทิ้งเสีย เพื่อป้องกันการนำข้อมูลไปใช้โดยไม่ได้รับอนุญาต
12. การสร้างช่องทางรับเรื่องร้องทุกข์และกลไกเยียวยาสิทธิให้ประชาชน เนื่องจากผู้ใช้บริการคนเดียวอาจมีอำนาจต่อรองน้อยกว่าบรรษัทหรือหน่วยงานรัฐที่เก็บข้อมูลของตนไว้ จึงต้องสร้างกลไกที่รับปัญหาของประชาชน เพื่อนำไปสู่การหามาตรการเยียวยาอย่างเป็นรูปธรรม เช่น ถ้าเจ้าของข้อมูลเห็นว่าเว็บไซต์จัดหางานแห่งหนึ่งมีชุดข้อมูลที่เกี่ยวข้องกับตัวเองซึ่งมีประวัติการทำงานผิดไป หรือมีเนื้อหาเท็จเกี่ยวกับชีวิตของตน ก็สามารถร้องขอให้ศาลหรือองค์กรคุ้มครองข้อมูลส่วนบุคคลบังคับให้เว็บไซต์เหล่านั้นลบข้อมูล หรือแก้ไขข้อมูลให้ถูกต้อง
เหล่านี้คือสิ่งที่รัฐพึงสวรก่อนออกกฎหมายที่เกี่ยวข้อง
ผู้เขียน ผู้ช่วยศาสตราจารย์ ดร.ทศพล ทรรศนกุลพันธ์