ทุกครั้งที่บริษัทประสบเหตุข้อมูลรั่วไหลหรือถูกจับได้ว่าจัดการข้อมูลส่วนบุคคลอย่างไม่เหมาะสม คำถามเดียวกันนี้มักจะตามมาเสมอ: ผู้ที่ได้รับผลกระทบสามารถทำอะไรได้จริง ๆ? คำตอบอยู่ในชุดการคุ้มครองทางกฎหมายที่เรียกว่าสิทธิภายใต้ GDPR ซึ่งใช้กับทุกคนที่มีข้อมูลส่วนบุคคลถูกเก็บรวบรวม เก็บไว้ หรือประมวลผลโดยองค์กรที่ดำเนินงานในสหราชอาณาจักรหรือสหภาพยุโรป

คำอธิบายล่าสุดจาก Prospect360 ได้แจกแจงการคุ้มครองเหล่านี้ภายใต้ UK GDPR ครอบคลุมตั้งแต่สิทธิในการเข้าถึงข้อมูลของคุณเองไปจนถึงสิทธิในการให้ข้อมูลถูกลบ การทำความเข้าใจสิทธิเหล่านี้ไม่ใช่เพียงแบบฝึกหัดทางกฎหมายเท่านั้น แต่ยังเป็นเครื่องมือเชิงปฏิบัติสำหรับใครก็ตามที่ต้องการควบคุมมากขึ้นว่าข้อมูลส่วนบุคคลของตนถูกใช้อย่างไร โดยเฉพาะอย่างยิ่งเมื่อเหตุข้อมูลรั่วไหลและค่าปรับจากหน่วยงานกำกับดูแลยังคงเป็นข่าวหัวข้อใหญ่

สิทธิใดบ้างที่บุคคลมีภายใต้ GDPR

UK GDPR ให้สิทธิแก่บุคคล ซึ่งมักเรียกว่าผู้มีข้อมูลส่วนบุคคล (data subjects) ในหลากหลายประการเหนือข้อมูลส่วนบุคคลของตน สิทธิเหล่านี้รวมถึงสิทธิในการรู้ว่าองค์กรถือครองข้อมูลใดเกี่ยวกับพวกเขา สิทธิในการขอสำเนาข้อมูลนั้น และสิทธิในการให้ข้อมูลที่ไม่ถูกต้องได้รับการแก้ไข สิทธิที่อาจเป็นที่รู้จักมากที่สุดคือสิทธิในการลบข้อมูล ซึ่งบางครั้งเรียกว่าสิทธิที่จะถูกลืม ซึ่งอนุญาตให้ผู้คนขอให้องค์กรลบข้อมูลส่วนบุคคลของตนภายใต้สถานการณ์บางประการ

สิทธิอื่น ๆ ครอบคลุมถึงวิธีที่ข้อมูลถูกใช้มากกว่าแค่สิ่งที่ถูกถือครอง บุคคลสามารถคัดค้านการประมวลผลบางประเภท ขอให้ข้อมูลของตนถูกจำกัดจากการใช้เพิ่มเติมในระหว่างที่ข้อพิพาทกำลังได้รับการแก้ไข และในบางกรณีขอให้ข้อมูลของตนถูกโอนไปยังผู้ให้บริการรายอื่น สิทธิเหล่านี้มีอยู่โดยเฉพาะเพราะข้อมูลส่วนบุคคล เมื่อถูกเก็บรวบรวมแล้ว สามารถถูกใช้ในวิธีที่ส่งผลกระทบต่อผู้คนเป็นเวลานานหลังจากที่พวกเขามอบให้ ไม่ว่าจะเป็นการโฆษณาที่กำหนดเป้าหมาย การตัดสินใจแบบอัตโนมัติ หรือเพียงแค่ถูกขายให้กับบุคคลที่สามโดยไม่ได้รับความยินยอมที่ชัดเจน

ทำไมสิทธิเหล่านี้จึงสำคัญ: บทเรียนจากเหตุการณ์ล่าสุด

สิทธิภายใต้ GDPR ไม่ใช่แนวคิดทางกฎหมายที่เป็นนามธรรม สิทธิเหล่านี้กลายเป็นเรื่องเร่งด่วนที่มีความเกี่ยวข้องเมื่อใดก็ตามที่บริษัทสูญเสียการควบคุมข้อมูลลูกค้าหรือถูกพบว่าจัดการข้อมูลอย่างไม่เหมาะสม หน่วยงานกำกับดูแลทั่วยุโรปแสดงให้เห็นว่าพวกเขาพร้อมที่จะกำหนดบทลงโทษที่สำคัญเมื่อองค์กรไม่เคารพการคุ้มครองเหล่านี้ การตัดสินใจของหน่วยงานคุ้มครองข้อมูลดัตช์ในการปรับเงิน Uber เป็นจำนวน 825 ล้านยูโรจากการละเมิด GDPR เกี่ยวกับผู้ขับขี่ เป็นหนึ่งในตัวอย่างล่าสุดที่ชัดเจนที่สุดว่าหน่วยงานบังคับใช้ปฏิบัติต่อการละเมิดสิทธิของผู้มีข้อมูลส่วนบุคคลอย่างจริงจังเพียงใด

เหตุข้อมูลรั่วไหลที่เกี่ยวข้องกับผู้ให้บริการโทรคมนาคมและสาธารณสุขแสดงให้เห็นว่าสิทธิเหล่านี้มีความสำคัญต่อคนธรรมดาอย่างไร ไม่ใช่แค่บรรษัท เหตุข้อมูลรั่วไหลของ Odido ที่เปิดเผยบันทึก 6.2 ล้านรายการ ทำให้รายละเอียดบัญชีธนาคารที่ถูกขโมยของลูกค้าตกอยู่ในมือของผู้โจมตี ในขณะที่เหตุข้อมูลรั่วไหลด้านการเรียกเก็บเงินของ Unimed ที่ส่งผลกระทบต่อผู้ป่วยในโรงพยาบาลมหาวิทยาลัยเยอรมัน เปิดเผยข้อมูลทางการแพทย์ที่ละเอียดอ่อนผ่านผู้ขายบุคคลที่สาม ในทั้งสองกรณี ผู้ที่ได้รับผลกระทบมีสิทธิที่จะรู้ว่าข้อมูลใดบ้างที่เกี่ยวข้อง และเรียกร้องคำตอบว่าข้อมูลนั้นถูกใช้และได้รับการปกป้องอย่างไร

แม้แต่ระบบที่ดำเนินการโดยรัฐบาลก็ไม่ได้รับการยกเว้น เหตุข้อมูลรั่วไหลของพอร์ทัลหนังสือเดินทาง ANTS ของฝรั่งเศส แสดงให้เห็นว่าโครงสร้างพื้นฐานด้านเอกสารประจำตัวสามารถถูกกำหนดเป้าหมายได้ง่ายพอ ๆ กับฐานข้อมูลของบริษัทเอกชน ซึ่งตอกย้ำว่าทำไมสิทธิภายใต้ GDPR จึงใช้ในวงกว้างข้ามภาคส่วน ไม่ใช่เฉพาะบริษัทเทคโนโลยีเท่านั้น

วิธีใช้สิทธิของคุณภายใต้ GDPR

การใช้สิทธิเหล่านี้โดยทั่วไปเริ่มต้นด้วยการร้องขอโดยตรงไปยังองค์กรที่ถือครองข้อมูลของคุณ ซึ่งมักเรียกว่าคำขอเข้าถึงข้อมูลของเจ้าของข้อมูล (Subject Access Request) เมื่อขอดูว่ามีข้อมูลใดถูกถือครองอยู่ องค์กรมีหน้าที่ตามกฎหมายในการตอบกลับภายในกรอบเวลาที่กำหนด และไม่สามารถเพิกเฉยหรือเลื่อนการตอบสนองคำขอเหล่านี้อย่างไม่มีกำหนด หากบริษัทไม่ปฏิบัติตาม บุคคลในสหราชอาณาจักรสามารถยกระดับเรื่องไปยังสำนักงานคณะกรรมการข้อมูลข่าวสาร (Information Commissioner's Office) ซึ่งเป็นหน่วยงานกำกับดูแลที่รับผิดชอบการบังคับใช้ UK GDPR

การระบุรายละเอียดให้ชัดเจนเมื่อทำคำขอจะช่วยได้ ไม่ว่าจะหมายถึงการขอสำเนาข้อมูลทั้งหมดที่ถูกถือครอง การแก้ไขบันทึกที่ไม่ถูกต้อง หรือการลบบัญชีทั้งหมด การเก็บบันทึกเป็นลายลักษณ์อักษรของคำขอและการตอบกลับใด ๆ ที่ได้รับยังเสริมจุดยืนของคุณหากจำเป็นต้องร้องเรียนในภายหลัง

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากคุณใช้บริการออนไลน์ใด ๆ ตั้งแต่อุปกรณ์เรียกรถไปจนถึงพอร์ทัลการเรียกเก็บเงินของผู้ให้บริการด้านสาธารณสุข คุณมีสิทธิเหนือข้อมูลที่บริษัทเหล่านั้นถือครองเกี่ยวกับคุณอยู่แล้ว คุณไม่จำเป็นต้องรอให้เกิดเหตุข้อมูลรั่วไหลเพื่อใช้สิทธิเหล่านี้ การขอสำเนาข้อมูลของคุณ การตรวจสอบความถูกต้อง หรือการขอให้บริษัทลบข้อมูลที่คุณไม่ต้องการให้พวกเขาถือครองอีกต่อไป ล้วนเป็นการกระทำที่คุณสามารถทำได้ทันที ไม่ว่าองค์กรนั้นจะเคยเป็นข่าวหรือไม่ก็ตาม

เมื่อเหตุข้อมูลรั่วไหลเกิดขึ้นจริง ดังที่เห็นจากการโจรกรรมข้อมูลยาเสพติดที่ส่งผลกระทบต่อข้อมูลการทดลองทางคลินิกของ Novo Nordisk การรู้สิทธิภายใต้ GDPR ของคุณหมายความว่าคุณพร้อมมากขึ้นในการเรียกร้องความโปร่งใสเกี่ยวกับสิ่งที่ถูกเปิดเผยและสิ่งที่บริษัทกำลังทำเพื่อตอบสนอง

ประเด็นสำคัญ

การทำความเข้าใจสิทธิภายใต้ GDPR ของคุณทำให้อำนาจที่แท้จริงกลับมาอยู่ในมือของคุณในฐานะปัจเจกบุคคล แทนที่จะปล่อยให้การปกป้องข้อมูลขึ้นอยู่กับบริษัทและหน่วยงานกำกับดูแลเพียงฝ่ายเดียว ทบทวนนโยบายความเป็นส่วนตัวก่อนสมัครใช้บริการใหม่ ส่งคำขอเข้าถึงข้อมูลของเจ้าของข้อมูลหากคุณไม่แน่ใจว่าบริษัทถือครองข้อมูลใดเกี่ยวกับคุณ และอย่าลังเลที่จะยกระดับข้อกังวลที่ไม่ได้รับการแก้ไขไปยังสำนักงานคณะกรรมการข้อมูลข่าวสาร การติดตามข้อมูลเกี่ยวกับสิทธิภายใต้ GDPR อย่างสม่ำเสมอเป็นหนึ่งในวิธีที่ง่ายที่สุดในการปกป้องข้อมูลส่วนบุคคลของคุณในภูมิทัศน์ที่เหตุข้อมูลรั่วไหลและค่าปรับจากหน่วยงานกำกับดูแลกำลังเกิดขึ้นบ่อยครั้งมากขึ้น