ในยุคที่ข้อมูลดิจิทัลมีบทบาทสำคัญกับชีวิตประจำวัน การจัดการและการเปิดเผยข้อมูลส่วนบุคคลกลายเป็นประเด็นที่มีความสำคัญมากขึ้น กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) ได้ถูกพัฒนาขึ้นเพื่อป้องกันการละเมิดความเป็นส่วนตัว และสร้างมาตรฐานในการจัดการข้อมูลที่ปลอดภัยกับเจ้าของข้อมูล ซึ่งการเปิดเผยข้อมูลส่วนบุคคลที่ไม่เหมาะสมสามารถนำไปสู่ผลกระทบที่รุนแรงต่อบุคคลและองค์กร นอกจากนี้ ยังเป็นการสร้างความท้าทายใหม่ให้กับบริษัทจดทะเบียนไทย โดยเฉพาะในแง่ของการเปิดเผยข้อมูลส่วนบุคคลในเอกสารสำคัญ เช่น รายงานประจำปี และรายงานการประชุมผู้ถือหุ้น ดังนั้น ความเข้าใจเกี่ยวกับหลักเกณฑ์และข้อกำหนดในการเปิดเผยข้อมูลส่วนบุคคลจึงเป็นสิ่งจำเป็นในการดำเนินธุรกิจและการบริหารจัดการองค์กรในปัจจุบัน

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล หรือที่เรียกว่า PDPA (Personal Data Protection Act) ได้เริ่มบังคับใช้อย่างเต็มรูปแบบเมื่อวันที่ 1 มิ.ย. 2565 ซึ่งกฎหมายนี้สร้างขึ้นเพื่อให้ความคุ้มครอง และป้องกันการละเมิดข้อมูลส่วนบุคคล รวมถึงการจัดเก็บข้อมูล รวบรวม ใช้ และเปิดเผยข้อมูล ไม่ว่าข้อมูลส่วนบุคคลนั้นจะอยู่ในรูปแบบเอกสาร กระดาษ หนังสือ หรืออิเล็กทรอนิกส์ก็ตาม โดยข้อมูลส่วนบุคคลประกอบด้วยข้อมูลทั่วไปและข้อมูลอ่อนไหว ได้แก่ ชื่อ ที่อยู่ เบอร์โทรศัพท์ รูปถ่าย อีเมล ไอดีไลน์ บัญชีผู้ใช้ของเว็บไซต์ ลายนิ้วมือ ประวัติสุขภาพ เป็นต้น ซึ่งข้อมูลเหล่านี้สามารถระบุถึงตัวเจ้าของข้อมูลนั้นได้ โดยหลักการสำคัญของการเก็บ รวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ต้องได้รับ “ความยินยอม” และต้องใช้ตามวัตถุประสงค์ที่แจ้งเจ้าของข้อมูลส่วนบุคคล เว้นแต่ ถ้าจะใช้ต่างจากวัตถุประสงค์ที่แจ้ง ต้องเป็นกรณียกเว้น โดยต้องแจ้งวัตถุประสงค์ใหม่และได้รับความยินยอมแล้ว

จากการที่มี PDPA ออกมา ทำให้บริษัทจดทะเบียนส่วนใหญ่มีข้อกังวลเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลในรายงานการประชุมสามัญผู้ถือหุ้นว่าจะขัดต่อกฎหมาย PDPA หรือไม่ ซึ่งในรายงานการประชุมสามัญผู้ถือหุ้น บริษัทก็มีการดำเนินการ เก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคล เช่น รายชื่อผู้เข้าร่วมประชุม การบันทึกชื่อผู้ถาม-ตอบ รวมไปถึงภาพนิ่ง เสียงและภาพเคลื่อนไหวของผู้เข้าร่วมประชุม เพื่อการบันทึกการจัดทำรายงานการประชุม และการบริหารจัดการการประชุม สำหรับเกณฑ์การประเมินของโครงการ CGR ในข้อที่เกี่ยวข้องกับการบันทึก ชื่อ-นามสกุล ของผู้ถามและผู้ตอบในรายงานการประชุมสามัญผู้ถือหุ้น หากผู้ถือหุ้นไม่ประสงค์จะเปิดเผย ชื่อ–นามสกุล บริษัทสามารถระบุข้อความว่า “ผู้ถือหุ้นที่ไม่ประสงค์จะออกนาม” ก็จะได้รับการพิจารณาให้คะแนน โดยก่อนเริ่มการประชุมสามัญผู้ถือหุ้น เจ้าหน้าที่ของบริษัทควรขอความยินยอมจากเจ้าของข้อมูลและแจ้งวัตถุประสงค์ความจำเป็นของการเก็บรวบรวม การนำไปใช้ รวมถึงการเปิดเผยข้อมูลส่วนบุคคลให้กับผู้เข้าร่วมประชุมทราบโดยชัดเจน และหากผู้ถือหุ้นท่านใดไม่ประสงค์ออกนามหรือไม่สะดวกให้ความยินยอม สามารถแจ้งกับเจ้าหน้าที่บริษัทได้

แม้ PDPA จะสร้างความท้าทายใหม่ให้กับบริษัทจดทะเบียนในการจัดการข้อมูลส่วนบุคคล แต่ด้วยความเข้าใจที่ถูกต้องและการปรับปรุงกระบวนการทำงาน บริษัทสามารถปฏิบัติตามกฎหมายได้โดยไม่กระทบต่อการดำเนินธุรกิจ การให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลไม่เพียงช่วยให้บริษัทหลีกเลี่ยงปัญหาทางกฎหมาย แต่ยังสร้างความเชื่อมั่นให้กับผู้ถือหุ้นและผู้มีส่วนได้เสียอีกด้วย

วิชชุตา สุวรรณชัยรบ
Senior Analyst – CG Development
สมาคมส่งเสริมสถาบันกรรมการบริษัทไทย (Thai IOD)