Data Privacy
Why is Privacy Important?
- Living in a society, sometimes you need to be alone and do not want anyone to keep an eye on you → Right to be left alone
- Real world: Protect an individual from being invaded the fundamental civil right in doing moving around, going anywhere, listening to anything, or watching any kind of movies without anyone even the government to hear, see, listen to what you are perceiving.
- บางทีทำอะไรก็ไม่อยากให้ใครรู้ แม้กระทั่งรัฐบาลเองก็ตาม!
- Cyber world: Your name, address, telephone number can be searched on the internet. Internet provides advancement in communication but at the same time creates may threats to privacy of people.
- ส่วนบน Internet ก็ไม่อยากให้มีชื่อเรา ที่อยู่เรา ที่สามารถขึ้นไปอยู่บน Internet ได้ เพราะบางครั้งมันอาจจะเกิดภัยคุกคามได้
Definition
- Privacy derives from a Latin word “privatus” which means separated from the rest, deprived of something, especially office, participation in the government.
- Privacy refers to the state or condition of being …
- Alone
- Undisturbed
- Free from public attention
- as a matter of …
- Choice or right
- Seclusion
- Freedom from interference or intrusion
Scope of Privacy
- Privacy does not only mean freedom, but it also includes the right of an individual to …
- manage personal information
- keep information
- share to others such confidential
- determine how data is collected on individuals
- determine how it is to be communicated to others
Privacy is a fundamental human right.
Privacy in the Information Society
- In the information society: mobile phone, internet, computer, video surveillance, are what we are using on a daily basis.
- We cannot deny their benefits to individuals and our society
- At the same time, such technology invades people rights of privacy
ประเด็กถกเถียง: Smart Watch, CCTV
Types of privacy
- Bodily (Physical) Privacy:
- e.g. human experiments for cosmetic or vaccine development
- Information Privacy (เน้น ๆ ๆ ๆ):
- e.g. information about previous purchases, financial transaction information, ability to control what information to be revealed online
- Communication Privacy:
- e.g. no phone tapping, no electronic mail/transaction interception
- Territorial Privacy:
- e.g. using GPS tracking in certain mobile applications
Privacy on the International Level and in Thailand
International Level
- According to International Convention on Civil and Political Rights (1996)
- Article 17 provides that
- No one shall be subjected to arbitrary or unlawful interference with his privacy, family, home or correspondence, nor to unlawful attacks on his honor and reputation
- Everyone has the right to the protection of the law against such interference or attacks.
Thailand Level
Constitution of the Kingdom of Thailand (B.E. 2560) #LawCode
Section 28: A person shall enjoy the right and liberty in his or her life and person.
Arrest and detention of a person shall not be permitted, except by an order or a warrant issued by the Court or on other grounds as provided by law.
- ถ้าตำรวจไปจับมีหมายศาลเรียบร้อย จะไปอ้างไม่ได้นะว่าแบบ ฉันมีสิทธิ555 เพราะเขียนยกเว้นไว้ตรงนี้แล้ว
Search of a person or any act affecting the right or liberty in life or person shall not be permitted except on the grounds as provided by law.
Torture, brutal acts or punishment by cruel or inhumane means shall not be permitted.
มาตรา 28: บุคคลย่อมมีสิทธิและเสรีภาพในชีวิตและร่างกาย
การจับและการคุมขังบุคคลจะกระทำมิได้ เว้นแต่มีคำสั่งหรือหมายของศาลหรือมีเหตุอย่างอื่นตามที่กฎหมายบัญญัติ
การค้นตัวบุคคลหรือการกระทำใดอันกระทบกระเทือนต่อสิทธิหรือเสรีภาพในชีวิตหรือร่างกายจะกระทำมิได้ เว้นแต่มีเหตุตามที่กฎหมายบัญญัติ
การทรมาน ทารุณกรรม หรือการลงโทษด้วยวิธีการโหดร้ายหรือไร้มนุษยธรรมจะกระทำมิได้
Constitution of the Kingdom of Thailand (B.E. 2560) #LawCode
Section 32: A person shall enjoy the rights of privacy, dignity, reputation and family.
An act violating or affecting the right of a person under paragraph one, or an exploitation of personal information in any manner whatsoever shall not be permitted, except by virtue of a provision of law enacted only to the extent of necessity of public interest.
มาตรา 32: บุคคลย่อมมีสิทธิในความเป็นอยู่ส่วนตัว เกียรติยศ ชื่อเสียง และครอบครัว
การกระทำอันเป็นการละเมิดหรือกระทบต่อสิทธิของบุคคลตามวรรคหนึ่ง หรือการนำข้อมูลส่วนบุคคลไปใช้ประโยชน์ไม่ว่าในทางใด ๆ จะกระทำมิได้ เว้นแต่โดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมายที่ตราขึ้นเพียงเท่าที่จำเป็นเพื่อประโยชน์สาธารณะ
Constitution of the Kingdom of Thailand (B.E. 2560) #LawCode
Section 33: A person shall enjoy the liberty of dwelling.
Entry into a dwelling without the consent of its possessor or a search of a dwelling or private place shall not be permitted, except by an order or a warrant issued by the Court or where there are other grounds as provided by law.
มาตรา 33: บุคคลย่อมมีเสรีภาพในเคหสถาน
การเข้าไปในเคหสถานโดยปราศจากความยินยอมของผู้ครอบครอง หรือการค้นเคหสถานหรือที่รโหฐานจะกระทำมิได้ เว้นแต่มีคำสั่งหรือหมายของศาลหรือมีเหตุอย่างอื่นตามที่กฎหมายบัญญัติ
Constitution of the Kingdom of Thailand (B.E. 2560) #LawCode
Section 36: A person shall enjoy the liberty of communication by any means.
Censorship, detention or disclosure of information communicated between persons, including any commission of an act carried out to know or obtain information communicated between persons, shall not be permitted, except by an order or a warrant issued by the Court or where there are other grounds as provided by law.
มาตรา 36: บุคคลย่อมมีเสรีภาพในการติดต่อสื่อสารถึงกันไม่ว่าในทางใด ๆ
การตรวจ การกัก หรือการเปิดเผยข้อมูลที่บุคคลสื่อสารถึงกัน รวมทั้งการกระทำด้วยประการใด ๆ เพื่อให้ล่วงรู้หรือได้มาซึ่งข้อมูลที่บุคคลสื่อสารถึงกันจะกระทำมิได้ เว้นแต่มีคำสั่งหรือหมายของศาล หรือมีเหตุอย่างอื่นตามที่กฎหมายบัญญัติ
Thai Computer-related Crime Act B.E. 2550 and The Act Amending Thai Computer-related Crime Act B.E. 2560 #LawCode
Section 8: Whoever illegally makes, by any electronic means, an interception of computer data of another person that is being transmitted in a computer system and such computer data is not for the benefit of the public or is not available for any other persons to generally utilize, shall be liable to an imprisonment for a term not exceeding three years, or a fine not exceeding Sixty Thousand Baht or both.
มาตรา 8: ผู้ใดกระทำด้วยประการใดโดยมิชอบด้วยวิธีการทางอิเล็กทรอนิกส์เพื่อดักรับไว้ซึ่งข้อมูลคอมพิวเตอร์ของผู้อื่นที่อยู่ระหว่างการส่งในระบบคอมพิวเตอร์และข้อมูลคอมพิวเตอร์นั้นมิได้ไว้เพื่อประโยชน์สาธารณะหรือเพื่อให้บุคคลทั่วไปใช้ประโยชน์ได้ ต้องระวางโทษจำคุกไม่เกินสามปี หรือ ปรับไม่เกินหกหมื่นบาท หรือทั้งจำทั้งปรับ
General Data Protection Regulations (GDPR)
The world first regulation that outline the use of other people personal data— แม่แบบกฎหมาย Data Privacy ของทั้งโลก
- The European Union (EU) takes years to proposed a comprehensive reform of data protection rules.
- On 25 May 2018, the General Data Protection Regulations (GDPR) came into effect.
- GDPR extends beyond the boundaries of the EU to regulate the activities of any individual or organization who processes or controls the personal data of data subject who are in the Union where the processing activities are related to, either
- Offering of goods or services to individuals within the EU
- The monitoring of their behavior as far as their behavior takes place within the EU
Protection of Privacy in Thailand
- Thai Personal Data Protection Act (PDPA) B.E. 2562 (2019)
- Some Sections already come into force since the law is established.
- Full enforcement to implement the key provisions applies on 1 June 2022
- This law supports electronic privacy regulation to the international standard.
- Public and private sectors have to regulate their organizations and educate their people according to the PDPA requirements.
Definition
Thai Personal Data Protection Act (PDPA) B.E. 2562: #LawCode
Section 5 (MODIFIED):
- “Personal Data” means any information relating to a Person, which enables the identification of such Person, whether directly or indirectly, but not including the information of the deceased Persons in particular.
- “Person” means a natural person.
- “Data Controller” means a Person or a juristic person having the power and duties to make decisions regarding the collection, use, or disclosure of the Personal Data;
- “Data Processor” means a Person or a juristic person who operates in relation to the collection, use, or disclosure of the Personal Data pursuant to the orders given by or on behalf of a Data Controller, whereby such Person or juristic person is not the Data Controller;
มาตรา 5:
- “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
- “บุคคล” หมายความว่า บุคคลธรรมดา
- “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจ
เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล - “ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับ
การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
- ต้องมีทั้ง Data Controller, Data Processor คู่กัน
Personal Data Collection
Thai Personal Data Protection Act (PDPA) B.E. 2562: #LawCode
Section 22: The collection of Personal Data shall be limited to the extent necessary in relation to the lawful purpose of the Data Controller.
มาตรา 22: การเก็บรวบรวมข้อมูลส่วนบุคคล ให้เก็บรวบรวมได้เท่าที่จำเป็นภายใต้ วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
Thai Personal Data Protection Act (PDPA) B.E. 2562: #LawCode
Section 24: The Data Controller shall not collect Personal Data without the consent of the data subject, unless:
- it is for the achievement of the purpose relating to the preparation of the historical documents or the archives for public interest, or for the purpose relating to research or statistics, in which the suitable measures to safeguard the data subject's rights and freedoms are put in place and in accordance with the notification as prescribed by the Committee;
- it is for preventing or suppressing a danger to a Person’s life, body or health;
- it is necessary for the performance of a contract to which the data subject is a party, or in order to take steps at the request of the data subject prior to entering into a contract;
- it is necessary for the performance of a task carried out in the public interest by the Data Controller, or it is necessary for the exercising of official authority vested in the Data Controller;
- it is necessary for legitimate interests of the Data Controller or any other Persons or juristic persons other than the Data Controller, except where such interests are overridden by the fundamental rights of the data subject of his or her Personal Data;
- it is necessary for compliance with a law to which the Data Controller is subjected.
มาตรา 24: ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวมข้อมูลส่วนบุคคล โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่
- เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุ เพื่อประโยชน์สาธารณะ หรือที่เกี่ยวกับการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสม เพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ ตามที่คณะกรรมการประกาศกำหนด
- เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
- เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือ เพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
- เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุม ข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล
- เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญ น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
- เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
Sensitive Personal Data
- Sensitive personal data must be particularly carefully collected and processed (with the explicit consent of the data subject).
- These include the examples types of data provided as follows and any data which may affect the data subject in the same manner.
- More strict protection is applied to sensitive personal data compared to general personal data.
Protection of Privacy
- Payment
- Insurance
- Telecommunication
- Government
- Healthcare
Information Privacy Case Study in the U.K.
Regarding E-commerce
- A customer had been browsing the website of a supermarket owned by a department store partnership to check for the price of home delivery.
- The supermarket website requires all potential customers to supply an email address before it allows access to the home delivery finder
- That customer left the website after this stage but without buying anything.
- That customer subsequently began receiving marketing emails form the department store partnership.
- Once the customer raised a small claims action, the department store argued that because he had not opted out of receiving their emails, he had opted in!
- However, the customer argued that an opportunity to opt out (that is not taken) does not convert to automatic consent under the law.
- In 2014, the County Court (ศาลท้องถิ่น) decided that the customer had not consented to the receipt of marketing emails from the department stores in terms permissible by law.
- This was an important case as it was the first time that a soft opt-in (or opt-out) was explicitly rejected by a UK judge. As a result, the customer was paid undisclosed damages.