BA, Marriott การซื้อกิจการและการคุ้มครองข้อมูลส่วนบุคคล
จากกรณีศึกษาของ Marriott ต่อไปการซื้อกิจการต่าง  ๆ คงต้องมีการตรวจสอบเรื่อง data breach กันมากขึ้น รวมถึงมาตรการเยียวยาความเสียหายที่อาจเกิดขึ้นภายหลัง
จากกรณีศึกษาของ Marriott ต่อไปการซื้อกิจการต่าง  ๆ คงต้องมีการตรวจสอบเรื่อง data breach กันมากขึ้น รวมถึงมาตรการเยียวยาความเสียหายที่อาจเกิดขึ้นภายหลัง
13 ก.ค. 2562

Cap &amp; Corp Forum
ทั้งสองกรณี ถือเป็นการบังคับใช้ GDPR โดยหน่วยงานบังคับใช้กฎหมายของประเทศในสหภาพยุโรปที่สำคัญและจำนวนเงินที่อาจถูกปรับเป็นจำนวนที่สูงมาก ผู้เขียนใช้คำว่า “อาจจะถูกปรับ” เนื่องจากหนังสือที่ ico. ส่งไปยังทั้งสองบริษัทหรือที่เรียกว่า “notice of intent” (“NOI”) เป็นเพียงขั้นตอนการแจ้งคำสั่งว่าจะปรับแต่ยังไม่ใช่คำสั่งให้ชำระเงินค่าปรับ โดย NOI เป็นหนังสือที่รวบรวมพฤติกรรมและข้อเท็จจริงต่าง ๆ ที่เป็นการฝ่าฝืนกฎหมายและบทกำหนดโทษที่อาจจะได้รับ ทั้งนี้เพื่อเปิดโอกาสให้คู่กรณีได้มีโอกาสชี้แจงข้อเท็จจริงที่เกียวข้อง หรือปฏิเสธความรับผิดหรือชี้แจงเหตุบรรเทาโทษต่าง ๆ ที่เกี่ยวข้อง ทั้งนี้ ตาม  GDPR โทษสำหรับการฝ่าฝืนกฎหมายอาจสูงถึงร้อยละ 2 หรือร้อยละ 4 ของรายได้รวมทั่วโลกของบริษัท ทั้งนี้ขึ้นอยู่กับลักษณะของการกระทำความผิดและลักษณะการฝ่าฝืน ในกรณีของ BA หากพิจารณาจากผลประกอบการทั่วโลกในรอบปีที่ผ่านมา ico. กำหนดอัตราการปรับที่ร้อยละ 1.5 ของรายได้
ตามขั้นตอนกระบวนพิจารณาของ ico. คู่กรณี ได้แก่ BA และ Marriott มีเวลา 21 วันทำการหลังจากได้รับแจ้ง NOI เพื่อชี้แจงข้อเท็จจริงที่เกี่ยวเนื่องกับการกระทำผิดและจำนวนค่าปรับที่กำหนด นอกจากการรับฟังข้อเท็จจริงจากคู่กรณีแล้ว ico. ยังอาจรับฟังข้อมูลจากหน่วยงานบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลของประเทศอื่น ๆ ประกอบด้วย เนื่องจากข้อมูลที่มีการรั่วไหลนั้นมิได้มีแต่ข้อมูลของบุคคลที่อยู่ในอังกฤษเท่านั้น และเมื่อได้ข้อมูลครบถ้วนจากทุกฝ่ายแล้ว ico. จึงจะมีคำสั่งปรับไปยังคู่กรณี (moneytary penalty notice, MPN)
เมื่อคู่กรณีได้รับคำสั่งให้ชำระปรับแล้ว คู่กรณีมีเวลาอีก 28 วันในการที่จะชำระเงินค่าปรับดังกล่าวหรือโต้แย้งคำสั่งนั้นต่อศาลที่มีเขตอำนาจเพื่อให้ศาลตรวจสอบความชอบด้วยกฎหมายของคำสั่งของกรรมการข้อมูลส่วนบุคคล
โดย The Tribunals, Courts and Enforcement Act 2007 กำหนดให้ Tribunals ในระบบกฎหมายอังกฤษซึ่งเป็นองค์กรที่ทําหน้าที่ลักษณะเดียวกับศาล มีอำนาจพิจารณาวินิจฉัยคดีที่ต้องใช้ความรู้ความชำนาญพิเศษ โดยแบ่ง Tribunals เป็นสองระดับกล่าวคือ ระดับต้น (First- tier Tribunals) และระดับสูง (Upper Tribunals) โดยแต่ละ Tribunals แบ่งออกเป็นองค์คณะพิจารณา (Chambers) ซึ่งแต่ละองค์คณะจะพิจารณาคดีด้านใดด้านหนึ่ง โดยคดีที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลเป็นคดีประเภทหนึ่งที่อยู่ภายใต้เขตอำนาจของ First- tier Tribunals ขององค์คณะ Information Rights ซึ่งจัดตั้งขึ้นเมื่อวันที่ 18 มกราคม 2553
ดังนั้น จึงมีความเป็นไปได้สูงว่าคดีทั้งสองน่าจะถูกโต้แย้งต่อไปในชั้นศาล อย่างน้อยก็เพื่อให้ศาลได้มีโอกาสกำหนดหลักเกณฑ์ในการพิจารณาค่าปรับอีกครั้ง
นอกจากนี้ ยังมีข้อน่าสังเกตที่สำคัญอีกบางประการเกี่ยวกับการบังคับใช้ GDPR ต่อกรณีของสองบริษัทดังนี้
จากข้อเท็จจริงของกรณี Marriott หมายความว่าความผิดเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นในสมัยที่เจ้าของกิจการได้แก่ กลุ่มบริษัท Starwood แต่กรณีนี้ ico. มีความเห็นว่าผู้รับซื้อกิจการมีหน้าที่และความรับผิดด้วย โดย Elizabeth Denham ซึ่งเป็นกรรมการข้อมูลส่วนบุคคลของอังกฤษ (UK Information Commissioner) ได้ให้ความเห็นต่อกรณีดังกล่าวไว้อย่างน่าสนใจ ดังนี้
“บริษัทมีหน้าที่และความรับผิดชอบต่อข้อมูลส่วนบุคคลที่ตนเองครอบครองอยู่  และบริษัทที่จะเข้าซื้อกิจการมีหน้าที่ในการใช้ความระมัดระวังในการเข้าตรวจสอบกิจการ (proper due dilegence) โดยไม่เพียงแต่พิจารณาว่าบริษัทที่จะเข้าซื้อกิจการนั้นได้ข้อมูลส่วนบุคคลมาอย่างไรเท่านั้น ผู้เข้าซื้อกิจการต้องพิจารณาด้วยว่าบริษัทที่จะเข้าซื้อกิจการมีมาตรการในการคุ้มครองข้อมูลส่วนบุคคลนั้นอย่างไรด้วย…ข้อมูลส่วนบุคคลมีมูลค่า และบริษัทมีหน้าที่ตามกฎหมายที่จะต้องให้ข้อมูลนั้นมีความปลอดภัยเช่นเดียวกับการรักษาความปลอดภัยให้สินทรัพย์ต่าง ๆ”
จากกรณีศึกษาของ Marriott ต่อไปการซื้อกิจการต่าง  ๆ คงต้องมีการตรวจสอบเรื่อง data breach กันมากขึ้น รวมถึงมาตรการเยียวยาความเสียหายที่อาจเกิดขึ้นภายหลังในกรณีที่องค์กรบังคับใช้กฎหมายมาตรวจพบการกระทำผิดภายหลังจากการขายกิจการไปแล้ว.
ศุภวัชร์ มาลานนท์
คณะนิติศาสตร์ มหาวิทยาลัยสงขลานครินทร์