คำแนะนำทางกฎหมาย

ข้อเท็จจริง

บริษัท น่าอยู่ คอร์ปอเรชั่น จำกัด ("น่าอยู่") กำลังพัฒนาเว็บไซต์น่าอยู่เวอร์ชันใหม่ ซึ่งจะมีฟังก์ชันการใช้งานและการจัดเก็บข้อมูลที่ครอบคลุมมากขึ้น โดยในฐานะแพลตฟอร์มตัวกลางอสังหาริมทรัพย์ เว็บไซต์มีการเก็บข้อมูลผู้ใช้งานและส่งต่อข้อมูลติดต่อให้แก่นายหน้าหรือเจ้าของโครงการ ทั้งนี้ เว็บไซต์อาจมีการใช้ analytics และ marketing tools ต่าง ๆ อีกด้วย น่าอยู่จึงประสงค์ขอคำปรึกษาในด้านการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการวางโครงสร้างของเว็บไซต์ในการแสดงผลนโยบายความเป็นส่วนตัว (Privacy Policy) การขอความยินยอมในการเก็บรวบรวมข้อมูลส่วนบุคคล ข้อกำหนดการใช้งาน (Terms of Use) และการขอความยินยอมและจัดการคุกกี้ (Cookie) เพื่อนำข้อกำหนดตามกฎหมายไปใช้ในการพัฒนาเว็บไซต์ให้ระบบใหม่มีความรัดกุมและสอดคล้องกับกฎหมาย แผนภาพของการไหลเวียนของข้อมูล (Data Flow) เป็นไปตามลิ้งค์ด้านล่าง

คำแนะนำทางกฎหมาย

1. การแสดงผลนโยบายความเป็นส่วนตัว (Privacy Policy)

1.1 การแสดงผลนโยบายความเป็นส่วนตัวสำหรับผู้ใช้งานเว็บไซต์ (User) และนายหน้า

• จากแผนภาพของการไหลเวียนของข้อมูล (Data Flow) เว็บไซต์ของน่าอยู่มีการจัดเก็บข้อมูลส่วนบุคคลของผู้ใช้ (นอกจากข้อมูลที่เกี่ยวข้องกับคุกกี้) ดังต่อไปนี้
  • การสมัครสมาชิกเพื่อเข้าใช้งานเว็บไซต์: เมื่อผู้ใช้งานสมัครสมาชิกเพื่อเข้าใช้งานเว็บไซต์ เว็บไซต์จะจัดเก็บข้อมูลส่วนบุคคลของผู้ใช้งาน ได้แก่ เบอร์โทรศัพท์ อีเมล หรือบัญชีโซเชียลมีเดีย
  • การลงทะเบียนแสดงความสนใจในอสังหาริมทรัพย์จากผู้ใช้งานเว็บไซต์: เมื่อผู้ใช้งานมีความสนใจในอสังหาริมทรัพย์ ไม่ว่าจะจากหน้าโปรไฟล์ ใบประกาศ หรือหน้าบทความ เว็บไซต์ของน่าอยู่จะเปิดให้ผู้ใช้งานสามารถลงทะเบียนแสดงความสนใจ ซึ่งในขั้นตอนดังกล่าว น่าอยู่จะทำการจัดเก็บข้อมูลส่วนบุคคลของผู้ใช้งาน ได้แก่ ชื่อ นามสกุล และเบอร์โทรศัพท์ หรือบัญชีโซเชียลมีเดีย
  • การลงทะเบียนขอรับคำแนะนำด้านสินเชื่อ: เว็บไซต์ของน่าอยู่มีการเปิดช่องทางให้ผู้ใช้งานสามารถลงทะเบียนขอรับคำปรึกษาด้านสินเชื่อได้ ซึ่งในขั้นตอนดังกล่าว น่าอยู่จะทำการจัดเก็บข้อมูลส่วนบุคคลของผู้ใช้งาน ได้แก่ ชื่อ นามสกุล และเบอร์โทรศัพท์
• มาตรา 23 ของ พรบ.คุ้มครองข้อมูลส่วนบุคคล กำหนดไว้ว่า ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งรายละเอียดตามที่กฎหมายกำหนด ให้แก่เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว ดังนั้น โดยหลักกฎหมายดังกล่าว ในการวางโครงสร้างของเว็บไซต์ในการแสดงผลนโยบายความเป็นส่วนตัว (Privacy Policy) ซึ่งมีรายละเอียดตามที่มาตรา 23 กำหนด นโยบายความเป็นส่วนตัวดังกล่าวจะต้องถูกกำหนดให้แสดงให้แก่ผู้ใช้งานได้ทราบและทำความเข้าใจก่อนหรือในขณะที่ผู้ใช้งานกำลังให้ข้อมูลส่วนบุคคล เพื่อปฏิบัติตามมาตรา 23 ข้างต้น ทั้งนี้ สำหรับผู้ใช้งานที่ทำการสมัครเข้าใช้งานเว็บไซต์ (register) และทำการลงทะเบียนเข้าใช้งานเว็บไซต์ (log-in) แล้ว น่าอยู่อาจพิจารณาไม่แสดงนโยบายความเป็นส่วนตัว ในขั้นตอนการเก็บข้อมูลส่วนบุคคลของผู้ใช้งานได้ เช่น ในขั้นตอนการลงทะเบียนแสดงความสนใจในอสังหาริมทรัพย์ หรือการลงทะเบียนขอรับคำแนะนำด้านสินเชื่อ เพื่อลดความซ้ำซ้อนของการแสดงนโยบายความเป็นส่วนตัวโดยเกินกว่าที่กฎหมายกำหนด เนื่องจากผู้ใช้งานในกรณีนี้ได้รับทราบถึงนโยบายความเป็นส่วนตัวซึ่งมีรายละเอียดตามที่มาตรา 23 ของ พรบ.คุ้มครองข้อมูลส่วนบุคคล กำหนดก่อนแล้ว
• ในทำนองเดียวกัน ในขั้นตอนการยืนยันตัวตนของนายหน้า ซึ่งมีการจัดเก็บข้อมูลส่วนบุคคลโดยให้นายหน้าอัพโหลดภาพถ่ายบัตรประชาชนพร้อมลายมือชื่อ รูปถ่ายหน้าตรงพร้อมบัตรประชาชน พร้อมจัดเก็บข้อมูลส่วนบุคคลอื่น เช่น อีเมลและบัญชีโซเชียลมีเดีย น่าอยู่ต้องพิจารณาวางโครงสร้างในการแสดงผลนโยบายการคุ้มครองข้อมูลส่วนบุคคลแก่นายหน้า ก่อนหรือในขณะทำการเก็บรวบรวมข้อมูลส่วนบุคคลของนายหน้า เพื่อแจ้งรายการที่กฎหมายกำหนดตามมาตรา 23 ของ พรบ.คุ้มครองข้อมูลส่วนบุคคล
• ในประเด็นที่ว่า รูปถ่ายหน้าตรงพร้อมบัตรประชาชนเป็นข้อมูลส่วนบุคคลอ่อนไหวตามมาตรา 26 ของ พรบ.คุ้มครองข้อมูลส่วนบุคคลที่จะต้องขอความยินยอมจากนายหน้าโดยชัดแจ้งหรือไม่ ที่ปรึกษาเห็นว่า ตามมาตรา 26 กำหนดไว้ว่า ข้อมูลชีวภาพ หมายถึง ข้อมูลส่วนบุคคลที่เกิดจากการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการนำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้นที่ไม่เหมือนกับบุคคลอื่นได้ เช่น ข้อมูลภาพจำลองใบหน้า ข้อมูลจำลองม่านตา หรือ ข้อมูลจำลองลายนิ้วมือ จากนิยามดังกล่าว ภาพถ่ายใบหน้าที่จะเป็นข้อมูลชีวภาพที่ผ่านกระบวนการทางเทคนิคหรือเทคโนโลยีใดๆ เพื่อให้เกิดเป็นข้อมูลภาพจำลองใบหน้า เช่น ข้อมูลจำลองใบหน้าที่ใช้ในการแสกนใบหน้าเพื่อยืนยันตัวตนของธนาคารพาณิชย์ (Facial Recognition) ลำพังรูปถ่ายหน้าตรงพร้อมบัตรประชาชนที่ไม่ได้ผ่านกระบวนการทางเทคนิคหรือเทคโนโลยีใดๆ เพื่อประโยชน์ในการยืนยันตัวตนจึงเป็นเพียงข้อมูลส่วนบุคคลทั่วไปเท่านั้น
• โปรดดูเอกสารแนบ 1 สำหรับนโยบายความเป็นส่วนตัว (Privacy Policy)

1.2 การขอความยินยอมในการเก็บรวบรวมข้อมูลส่วนบุคคลจากผู้ใช้งาน (User) และนายหน้า

• มาตรา 19 ของ พรบ.คุ้มครองข้อมูลส่วนบุคคล กำหนดว่า ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ ดังนั้น น่าอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลจึงควรพิจารณาขอความยินยอมเก็บรวบรวมข้อมูลส่วนบุคคลจากผู้ใช้งาน (User) และนายหน้า ในขณะเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อจะได้ไม่ต้องอ้างฐานทางกฎหมายอื่นในการเก็บรวบรวมข้อมูลส่วนบุคคล ในทางปฏิบัติการขอความยินยอมในการเก็บรวบรวมข้อมูลส่วนบุคคลมักจะกระทำพร้อมกับการแสดงผลนโยบายความเป็นส่วนตัว (Privacy Policy) ให้กับผู้ใช้ได้รับทราบ โดยในการขอความยินยอม มาตรา 19 ของ พรบ.คุ้มครองข้อมูลส่วนบุคคล กำหนดให้การขอความยินยอมต้องทำโดยชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ ซึ่งผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไปด้วย และการขอความยินยอมนั้นต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่าย และไม่เป็นการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว นอกจากนี้ ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอมอีกด้วย ดังนั้น ข้อความแสดงผลเพื่อขอความยินยอมในการเก็บรวบรวมข้อมูลส่วนบุคคลจะต้องแยกต่างหากออกจากการกดตกลงตามข้อกำหนดการใช้งาน (Terms of Use) เพื่อให้เกิดความชัดเจน เช่น ในลักษณะกล่องเครื่องหมายให้กดยอมรับที่แยกต่างหากจากกัน
• โปรดดูเอกสารแนบ 1 สำหรับข้อความในการขอความยินยอมในการจัดเก็บข้อมูลส่วนบุคคลในแต่ละกรณี

2. การแสดงผลข้อกำหนดการใช้งาน (Terms of Use)

• ข้อกำหนดการใช้งาน (Terms of Use) หรือไม่ว่าจะเรียกชื่ออื่นอย่างไรก็ตาม เป็นข้อตกลงระหว่างน่าอยู่และผู้ใช้บริการเว็บไซต์ เช่น นายหน้า ผู้ใช้งานทั่วไป เพื่อกำหนดสิทธิและหน้าที่ระหว่างผู้ให้บริการเว็บไซต์และผู้ใช้บริการเว็บไซต์ โดยข้อกำหนดการใช้งาน ไม่มีกฎหมายกำหนดให้เว็บไซต์ต้องจัดทำขึ้น แต่ทางปฏิบัติแล้วผู้ให้บริการเว็บไซต์มักจะจัดทำขึ้นเพื่อกำหนดกรอบการใช้บริการเว็บไซต์เพื่อให้ผู้ใช้บริการเว็บไซต์ปฏิบัติตาม และเพื่อจำกัดความรับผิดของผู้ให้บริการเว็บไซต์ เป็นต้น
• เพื่อให้ข้อกำหนดการใช้งานมีผลใช้บังคับอย่างสัญญา จึงต้องกำหนดให้ผู้ใช้บริการเว็บไซต์ เช่น นายหน้า ผู้ใช้งานทั่วไป กดตกลงยอมรับข้อกำหนดการใช้งานดังกล่าวด้วย ดังนั้น เพื่อเป็นการกำหนดให้ผู้ใช้บริการเว็บไซต์ผูกพันตามข้อกำหนดการใช้งาน ในการแสดงผลข้อกำหนดการใช้งานจึงต้องนำแสดงผลให้ผู้ใช้บริการเว็บไซต์กดยอมรับข้อกำหนดการใช้งานก่อนที่ผู้ใช้บริการเว็บไซต์จะเข้าใช้งานเว็บไซต์ โดยในทางปฏิบัติแล้ว ผู้ให้บริการเว็บไซต์มักจะกำหนดให้ผู้ใช้บริการเว็บไซต์ต้องกดยอมรับข้อกำหนดการใช้งานเพื่อผูกพันผู้ใช้บริการเว็บไซต์ก่อนการเข้าใช้งานเว็บไซต์ตั้งแต่ขั้นตอนสมัครสมาชิก (register) ทั้งนี้ เพื่อเป็นหลักฐานหรือใช้สำหรับข้อพิพาทที่อาจเกิดขึ้นในอนาคต ในการกดยอมรับของผู้ใช้บริการเว็บไซต์ ผู้ให้บริการเว็บไซต์ดังเช่นน่าอยู่ควรพิจารณาให้มีการจัดเก็บไฟล์ log เพื่อบันทึกความตกลงของผู้ใช้บริการเว็บไซต์ที่กดตกลงยอมรับข้อกำหนดการใช้งานเอาไว้ด้วยเป็นหลักฐาน โดยควรมีข้อมูลของผู้ใช้บริการเว็บไซต์ เช่น ชื่อ วันเวลาที่กดตกลงยอมรับ เวอร์ชันของข้อกำหนดการใช้งานที่ตกลง เป็นต้น
• โปรดดูเอกสารแนบ 2 สำหรับข้อกำหนดการใช้งาน (Terms of Use)

3. การขอความยินยอมและนโยบายคุกกี้ (Cookie Policy)

• ในการจัดเก็บคุกกี้ของเว็บไซต์ โดยทั่วไปคุกกี้จะมีหลักอยู่ 2 ประเภท ได้แก่ (1) คุกกี้ที่จำเป็นอย่างยิ่งซึ่งเป็นคุกกี้ที่มีความจำเป็นต่อการทำงานของเว็บไซต์ เพื่อให้เว็บไซต์สามารถทำงานได้เป็นปกติและมีความปลอดภัย และ (2) คุกกี้ประเภทอื่นๆ ที่จัดเก็บเพื่อวัตถุประสงค์อื่นๆ เช่น คุกกี้เพื่อการวิเคราะห์และวัดผล คุกกี้เพื่อการกำหนดเป้าหมายและการโฆษณา โดยทั้งสองประเภทอาจมีการจัดเก็บข้อมูลส่วนบุคคลของผู้ใช้งานเว็บไซต์ด้วย
• มาตรา 24 ของ พรบ.คุ้มครองข้อมูลส่วนบุคคล ได้กำหนด ห้ามผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวมข้อมูลส่วนบุคคล โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่ผู้ควบคุมข้อมูลส่วนบุคคลจะมีฐานทางกฎหมายในการจัดเก็บข้อมูลส่วนบุคคล เช่น ฐานทางกฎหมายในการป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ฐานความจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญา หรือฐานความจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล เป็นต้น โดยสำหรับคุกกี้ที่จำเป็นอย่างยิ่ง น่าอยู่ในฐานะผู้ให้บริการเว็บไซต์สามารถอ้างอิงฐานความจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลได้ เนื่องจากการจัดเก็บคุกกี้มีความจำเป็นต่อการให้บริการเว็บไซต์ของน่าอยู่ แต่อย่างไรก็ดี สำหรับคุกกี้ประเภทอื่นๆ ที่จัดเก็บเพื่อวัตถุประสงค์อื่นๆ น่าอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลไม่สามารถกล่าวอ้างฐานทางกฎหมายใดๆที่เข้าข้อยกเว้นของมาตรา 24 ได้ ดังนั้น ในการเก็บรวบรวมข้อมูลส่วนบุคคลน่าอยู่จึงต้องได้รับความยินยอมจากผู้ใช้งานเว็บไซต์ในฐานะเจ้าของข้อมูลส่วนบุคคล กล่าวคือ ต้องออกแบบเว็บไซต์ให้มีช่องทางให้ผู้ใช้งานเว็บไซต์ในฐานะเจ้าของข้อมูลส่วนบุคคลให้ความยินยอมในการจัดเก็บคุกกี้ ซึ่งในทางปฏิบัติแล้วคุกกี้นั้นจะมีการจัดเก็บตั้งแต่ผู้ใช้งานเว็บไซต์เข้าสู่เว็บไซต์ ดังนั้น การออกแบบปุ่มยินยอมให้จัดเก็บคุกกี้ของเว็บไซต์น่าอยู่จึงต้องจัดทำในรูปแบบป้ายประกาศ (banner) ตั้งแต่ผู้ใช้งานเว็บไซต์เข้าสู่เว็บไซต์ โดยต้องแสดงข้อความเพื่อขอความยินยอมพร้อมลิ้งค์สู่ประกาศนโยบายคุกกี้ (cookie policy) เพื่อให้ผู้ใช้งานเว็บไซต์สามารถศึกษาเพิ่มเติมก่อนให้ความยินยอมได้ โดยในการออกแบบปุ่มให้ความยินยอมจัดเก็บคุกกี้ มักจะมีการออกแบบให้มีปุ่มให้ความยินยอมในการจัดเก็บคุกกี้ทั้งหมด "ยอมรับคุกกี้ทั้งหมด" และปุ่ม "ตั้งค่ารายการคุกกี้" เพื่อเปิดโอกาสให้ผู้ใช้งานเว็บไซต์สามารถกำหนดคุกกี้ที่ตนจะให้ความยินยอมเป็นรายคุกกี้ได้ โดยอาจทำในลักษณะแจกแจงประเภทของคุกกี้พร้อมคำอธิบายเกี่ยวกับประเภทคุกกี้และรายละเอียดของคุกกี้แต่ละตัวที่จะทำการจัดเก็บ พร้อมปุ่มเปิดปิดให้ผู้ใช้งานเว็บไซต์ยินยอมให้จัดเก็บคุกกี้เป็นรายตัว ยกเว้น คุกกี้ที่จำเป็นอย่างยิ่งที่ต้องเปิดใช้งานตลอดเวลาเพื่อการจัดทำเว็บไซต์
• โปรดดูเอกสารแนบ 3 สำหรับข้อความแบนเนอร์ในการขอความยินยอมจัดเก็บคุกกี้และนโยบายคุกกี้ (Cookie Policy)

---

เชิงอรรถ

1. แผนภาพการไหลเวียนของข้อมูล (Data Flow): https://www.figma.com/board/ZpJLKVGZerPb0HtuVZxtNS/PDPA
2. มาตรา 6 ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ("พรบ.คุ้มครองข้อมูลส่วนบุคคล") กำหนดไว้ว่า ข้อมูลส่วนบุคคล หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งสามารถทำให้ระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่ความตาย