กฎหมายคุ้มครองข้อมูลส่วนบุคคลกับระบบกล้องวงจรปิด

ข้อเท็จจริงในคดีนี้เกิดจากการที่ผู้ร้องสองรายร้องเรียน Belgium DPA เกี่ยวกับการติดตั้ง CCTV และนำภาพที่ได้จากกล้องวงจรปิดไปใช้ของเพื่อนบ้านของเขา

Cap & Corp Forum

เมื่อวันที่ 25 พฤศจิกายน 2563 ที่ผ่านมา สำนักงานคุ้มครองข้อมูลส่วนบุคคลของประเทศเบลเยียม หรือ Belgium Data Protection Authority (“Belgium DPA”) มีคำสั่งปรับประชาชนสองรายซึ่งเป็นเพื่อนบ้านของผู้เสียหายที่ยื่นเรื่องร้องเรียนต่อ Belgium DPA ว่าตนถูกละเมิดข้อมูลส่วนบุคคลบนฐานความผิดการประมวลผลข้อมูลส่วนบุคคลของผู้อื่นโดยขัดต่อกฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือ General Data Protection Regulation (“GDPR”) เป็นจำนวนเงินค่าปรับ 1,500 ยูโร หรือราว ๆ 54,600 บาท โดยการละเมิด GDPR ในครั้งนี้มีที่มาจากการติดตั้งระบบกล้องวงจรปิดภายในบ้านของตัวเอง แต่กล้องดังกล่าวมีมุมกล้องที่ไปบันทึกภาพของบุคคลอื่นบริเวณภายนอกบ้านของตน

ข้อเท็จจริงในคดีนี้เกิดจากการที่ผู้ร้องสองรายร้องเรียนต่อ Belgium DPA เกี่ยวกับการติดตั้งระบบกล้องวงจรปิด (CCTV) และการนำภาพที่ได้จากการเก็บภาพจากกล้องวงจรปิดไปใช้ของเพื่อนบ้านของเขา และมีการร้องขอให้ถอดระบบกล้องวงจรปิดดังกล่าวลงอีกด้วย โดยระบบกล้องวงจรปิดที่เกิดประเด็นพิพาทกันนั้น ประกอบด้วยกล้องวงจรปิดจำนวน 5 ตัว ที่ทำการบันทึกภาพตลอด 24 ชั่วโมง (filming 24/7) ซึ่งตัวกล้องทั้งหมดติดตั้งอยู่ภายในบริเวณบ้านของผู้ถูกร้อง แต่มีกล้องจำนวน 2 ตัวที่แม้จะติดตั้งอยู่ภายในบริเวณบ้านของผู้ถูกร้อง แต่มีมุมกล้องที่ทำการบันทึกภาพบนถนนสาธารณะและบริเวณบ้านของผู้ร้องได้ โดยมุมกล้องดังกล่าวทำให้ภาพขณะเข้า-ออกจากบ้านไปสู่ถนนสาธารณะของเพื่อนบ้านถูกบันทึกโดยระบบกล้องวงจรปิดดังกล่าวตลอดเวลา

เรื่องนี้เกิดขึ้นเป็นประเด็นเนื่องจากในคดีสิ่งแวดล้อมคดีหนึ่งมีการนำภาพที่ได้จากการบันทึกของระบบวงจรปิดของผู้ถูกร้องไปใช้เป็นหลักฐานในกระบวนการพิจารณา และในกระบวนพิจารณาเดียวกันภาพของผู้ร้องก็ถูกนำมาใช้โดยเพื่อนบ้านอีกคนหนึ่งที่เป็นจำเลยในคดีเดียวกัน โดยผู้ร้องอ้างว่าภาพดังกล่าวถูกบันทึกโดยระบบวงจรปิดข้างต้นเช่นกัน แต่หลังจากการสอบสวนปรากฏว่า ภาพนี้ถูกบันทึกโดยสมาร์ตโฟนส่วนตัวของจำเลยคนนี้

จากข้อเท็จจริงข้างต้น Belgium DPA ได้มีคำวินิจฉัยไว้อย่างน่าสนใจดังต่อไปนี้

(1) ภาพที่ได้จากการบันทึกของกล้องวงจรปิด 2 ตัวที่สามารถจับภาพบนถนนสาธารณะและบ้านของเพื่อนบ้านนั้น เป็นการประมวลผลข้อมูลส่วนบุคคลของบุคคลอื่นที่ขัดต่อ GDPR มาตรา 6(1)(f) ว่าด้วยการประมวลผลข้อมูลส่วนบุคคลโดยอาศัยฐานเพื่อประโยชน์โดยชอบด้วยกฎหมาย (legitimate interest) โดยให้เหตุผลว่าการบันทึกภาพบนถนนสาธารณะและทรัพย์สินส่วนบุคคลของเพื่อนบ้านถือเป็นการบันทึกภาพที่เกินความจำเป็นและไม่ได้สัดส่วนกับการบันทึกภาพเพื่อความปลอดภัย และการประมวลผลข้อมูลส่วนบุคคลดังกล่าวถือเป็นการละเมิดต่อสิทธิขั้นพื้นฐานและเสรีภาพส่วนบุคคลของผู้ร้องอีกด้วย

(2) เนื่องจากการประมวลผลข้อมูลส่วนบุคคลของกล้องวงจรปิด 2 ตัวข้างต้นละเมิดต่อ GDPR อันเป็นผลจากการกำหนดทิศทางองศาของการเก็บภาพที่เกิดขณะการติดตั้งระบบกล้องวงจรปิดดังกล่าว จึงถือเป็นการขัดต่อ GDPR มาตรา 25(1) ว่าด้วยเรื่องการคุ้มครองข้อมูลส่วนบุคคลโดยการออกแบบ (data protection by design) อีกด้วย

(3) การส่งต่อภาพที่ได้จากการบันทึกของกล้องวงจรปิด 2 ตัวดังกล่าวเพื่อใช้เป็นหลักฐานประกอบกระบวนการพิจารณาคดีย่อมไม่สามารถใช้รับฟังเป็นหลักฐานได้ เนื่องจากหลักฐานดังกล่าวเกิดขึ้นโดยไม่ชอบด้วยกฎหมายแต่ต้น คือขัดกับ GDPR มาตรา 6(1)(f)

(4) ในทางตรงกันข้าม Belgium DPA ได้วินิจฉัยให้ภาพที่ถูกบันทึกโดยสมาร์ตโฟนของจำเลยอีกคนหนึ่งว่าสามารถใช้รับฟังเป็นพยานหลักฐานในคดีได้ เนื่องจากเป็นการประมวลผลข้อมูลส่วนบุคคลโดยชอบด้วยกฎหมาย ซึ่ง Belgium DPA ได้ให้เหตุผลว่าการบันทึกภาพที่นำมาใช้เพื่อประกอบการพิจารณาของจำเลยคนนี้ ถือเป็นการประมวลผลข้อมูลส่วนบุคคลบนฐานความจำเป็นโดยชอบด้วยกฎหมายตามหลักของ GDPR มาตรา 6(1)(f) และยังไม่ถือเป็นการละเมิดต่อสิทธิขั้นพื้นฐานของบุคคลอื่น

จากคำวินิจฉัยของ Belgium DPA มีประเด็นที่น่าสนใจอยู่สองประเด็นหลัก ๆ คือ 1) การติดตั้งระบบวงจรปิดโดยมีวัตถุประสงค์เพื่อความปลอดภัยภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลควรทำอย่างไร และ 2) การได้หลักฐานมาจากการประมวลผลข้อมูลส่วนบุคคลโดยไม่ชอบจะมีผลต่อการรับฟังพยานหลักฐานอย่างไร และหากทั้งสองประเด็นนี้เกิดขึ้นภายใต้กฎหมายไทยผลจะเป็นอย่างไร

กรณีการติดตั้งระบบกล้องวงจรปิดที่มีตำแหน่งหรือมุมกล้องที่สามารถบันทึกภาพในบริเวณที่เป็นพื้นที่สาธารณะหรือทรัพย์สินส่วนบุคคลของบุคคลอื่น สิ่งแรกที่ผู้ดำเนินการติดตั้งในฐานะผู้ควบคุมข้อมูล (data controller) ควรคำนึงถึง คือการเก็บรวบรวม ใช้ และเปิดเผย (การประมวลผล) ข้อมูลส่วนบุคคลของบุคคลอื่นนั้น กระทำโดยอาศัยฐานความชอบด้วยกฎหมายใด และการติดตั้งมุมกล้องเพื่อบันทึกภาพในพื้นที่ต่าง ๆ นั้นต้องออกแบบให้อยู่บนหลักความจำเป็นและความได้สัดส่วนอยู่เสมอ ดังนั้นจึงเป็นหน้าที่ของผู้ติดตั้งที่ต้องชั่งน้ำหนักให้ดีว่าการบันทึกภาพอย่างไรที่จะเพียงพอและเอื้อให้เกิดความปลอดภัยเพียงเท่าที่จำเป็น ตามวัตถุประสงค์ในการติดตั้งระบบกล้องวงจรปิดเพื่อความปลอดภัย และกระทบต่อสิทธิขั้นพื้นฐานและเสรีภาพของบุคคลอื่นอย่างน้อยที่สุด

นอกจากนี้ ในคดีที่ C-212/13 ศาลยุติธรรมยุโรปยังเคยตัดสินไว้ด้วยว่า ในกรณีที่เอกชนมีการบันทึกภาพออกไปนอกเขตทรัพย์สินของตนเอง ไม่ถือว่าเป็นข้อยกเว้นเรื่องการใช้ส่วนตนหรือเพื่อกิจกรรมในครัวเรือนได้ (private use/household exemptions) ซึ่งกรณีนี้ย่อมนำมาซึ่งข้อสังเกตต่อพฤติกรรมการติดระบบกล้องวงจรปิดในประเทศไทยเช่นกัน ว่าจะถือเป็นข้อยกเว้นตามกฎหมายได้หรือไม่หากมีการบันทึกภาพไปนอกบริเวณบ้านหรือทรัพย์สินของตนเอง

ส่วนในประเด็นการรับฟังพยานหลักฐานที่เกิดขึ้นโดยมิชอบนั้น กฎหมายไทยบัญญัติไว้ในประมวลกฎหมายวิธีพิจารณาความอาญามาตรา 226 โดยได้แบ่งพยานหลักฐานที่เกิดขึ้นโดยไม่ชอบไว้เป็นสองกรณี คือ 1) กรณีพยานหลักฐานที่เกิดขึ้นจากการจูงใจ มีคำมั่นสัญญา ขู่เข็ญ หลอกลวง และ 2) พยานหลักฐานที่เกิดขึ้นโดยมิชอบประการอื่น ซึ่งในทัศนะของผู้เขียนเห็นว่าพยานหลักฐานที่เกิดจากการเก็บรวบรวม ใช้ และเปิดเผย หรือการประมวลผลข้อมูลส่วนบุคคลโดยมิชอบด้วยพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 น่าจะมีผลกระทบต่อการรับฟังพยานหลักฐานในกระบวนการพิจารณาคดีเช่นกัน โดยอาจถูกตีความว่าเป็นพยานหลักฐานที่เกิดขึ้นโดยมิชอบประการอื่นตามนัยของประมวลกฎหมายวิธีพิจารณาความอาญามาตรา 226

ศุภวัชร์ มาลานนท์

คณะนิติศาสตร์ มหาวิทยาลัยสงขลานครินทร์

Max Planck Institute Luxembourg

ชิโนภาส อุดมผล

Optimum Solution Defined (OSDCo., Ltd.)