CCTV กับ PDPA: ช่างติดตั้งควรแนะนำลูกค้าอย่างไร

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล หรือที่เรียกกันว่า PDPA มีผลบังคับใช้เต็มรูปแบบในไทยตั้งแต่มิถุนายน 2565 แต่ช่วงแรกการบังคับใช้ยังค่อนข้างผ่อนปรน สถานการณ์เปลี่ยนไปในปี 2568 เมื่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เริ่มออกคำสั่งปรับจริง รวมถึงคดีหนึ่งที่มีโทษปรับสูงถึงกว่า 7 ล้านบาท และในเดือนมีนาคม–เมษายน 2569 PDPC ได้เปิดรับฟังความคิดเห็นและจัดสัมมนาสาธารณะเกี่ยวกับแนวปฏิบัติการใช้กล้อง CCTV โดยเฉพาะ

สำหรับธุรกิจติดตั้ง CCTV ในไทย นี่คือสัญญาณที่ชัดเจนว่า ระบบกล้องที่คุณติดตั้งให้ลูกค้าคือโครงสร้างพื้นฐานด้านข้อมูลส่วนบุคคลของพวกเขา และการที่ลูกค้าจะปฏิบัติถูกต้องตามกฎหมายหรือไม่ขึ้นอยู่กับสิ่งที่คุณอธิบายก่อนปิดงานด้วย

ช่างติดตั้งไม่ใช่ “ผู้ควบคุมข้อมูล” ตามกฎหมาย แต่ลูกค้าที่ถามแล้วได้รับคำตอบชัดเจนย่อมไว้วางใจคุณมากขึ้น และมีโอกาสเรียกซ่อมหรือต่อสัญญาบำรุงรักษาในระยะยาว

ภาพจากกล้อง CCTV ถือเป็นข้อมูลส่วนบุคคลจริงหรือ?

จริงอย่างแน่นอนในบริบทเชิงพาณิชย์ PDPA นิยาม “ข้อมูลส่วนบุคคล” ว่าคือข้อมูลที่สามารถระบุตัวตนบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม ภาพวิดีโอที่บันทึกใบหน้า รูปร่าง ป้ายทะเบียน และการเคลื่อนไหว จึงเข้าข่ายทั้งสิ้น

ข้อยกเว้นเดียวคือการใช้งาน ส่วนตัวในบ้านเรือน (household exemption) เช่น เจ้าของบ้านติดกล้องดูบ้านตัวเองโดยไม่มีวัตถุประสงค์ทางธุรกิจ ไม่เปิดเผยภาพต่อบุคคลอื่น กรณีนี้อาจไม่ต้องปฏิบัติตาม PDPA อย่างเต็มรูปแบบ แต่ข้อยกเว้นนี้ใช้ไม่ได้กับ:

• ร้านค้า สำนักงาน ร้านอาหาร ที่มีพนักงานหรือลูกค้าผ่านไปมา
• พื้นที่ส่วนกลางของคอนโดหรือหมู่บ้าน เช่น ล็อบบี้ ลิฟต์ ที่จอดรถ
• บ้านที่มีแม่บ้านหรือบุคคลอื่นเข้ามาประจำ

PDPC ระบุใน draft guideline ปี 2569 ว่า นิติบุคคลของคอนโดและหมู่บ้านจัดสรร คือผู้ควบคุมข้อมูลสำหรับกล้องในพื้นที่ส่วนกลาง ซึ่งต้องปฏิบัติตามกฎหมายอย่างเต็มรูปแบบ

ใครเป็นผู้รับผิดชอบ — ช่างติดตั้งหรือลูกค้า?

ตามกฎหมาย ผู้ควบคุมข้อมูล (Data Controller) คือผู้ที่ตัดสินใจว่าจะเก็บข้อมูลอะไรและเพื่อวัตถุประสงค์อะไร ซึ่งหมายถึงเจ้าของธุรกิจหรือผู้จัดการอสังหาริมทรัพย์ที่สั่งให้ติดตั้งกล้อง ไม่ใช่ช่างติดตั้ง

ช่างติดตั้งจะมีสถานะ ผู้ประมวลผลข้อมูล (Data Processor) ก็ต่อเมื่อรับงานโมนิเตอร์กล้องหรือจัดเก็บวิดีโอแทนลูกค้าในระยะยาว หากมีบริการลักษณะนี้ควรทำสัญญาประมวลผลข้อมูลเป็นลายลักษณ์อักษร แต่สำหรับงานติดตั้งธรรมดา ความรับผิดชอบทางกฎหมายอยู่ที่ลูกค้า

การสื่อสารประเด็นนี้อย่างตรงไปตรงมาช่วยได้มาก ลูกค้าส่วนใหญ่ที่ถามเรื่อง PDPA ไม่ได้ต้องการรายละเอียดทางกฎหมาย แต่ต้องการความชัดเจนว่า “คุณทำอะไรเสร็จแล้ว และฉันต้องทำอะไรต่อ”

สิ่งที่ผู้ใช้ CCTV ต้องปฏิบัติตาม PDPA

สำหรับธุรกิจที่ใช้ระบบ CCTV ข้อกำหนดหลักตาม PDPA มี 5 ข้อ:

1. มีฐานทางกฎหมายในการเก็บข้อมูล สำหรับกล้องรักษาความปลอดภัยทั่วไปใช้ ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) ได้โดยไม่ต้องขอความยินยอม แต่ต้องบันทึกว่าวัตถุประสงค์คืออะไรและสมเหตุสมผลกับการละเมิดความเป็นส่วนตัวหรือไม่

2. ติดป้ายแจ้งเตือน บุคคลที่เข้ามาในพื้นที่ที่มีกล้องต้องได้รับการแจ้งล่วงหน้าก่อนถูกบันทึกภาพ ป้ายที่บริเวณทางเข้าระบุว่ามีกล้อง CCTV ใคร (ชื่อองค์กร) เป็นผู้ดูแล และวัตถุประสงค์คือความปลอดภัย ก็เพียงพอสำหรับข้อกำหนดการแจ้งข้อมูล

3. กำหนดระยะเวลาเก็บวิดีโอ ห้ามเก็บภาพนานกว่าที่จำเป็น แนวปฏิบัติที่พบทั่วไปในไทยสำหรับ CCTV เชิงพาณิชย์คือ ลบทับอัตโนมัติทุก 30–90 วัน

4. จำกัดสิทธิ์การเข้าถึงวิดีโอ ไม่ใช่ทุกคนในองค์กรที่ควรดูย้อนหลังได้ กำหนดให้มีผู้รับผิดชอบเฉพาะและบันทึกว่าใครมีสิทธิ์

5. มีช่องทางรับคำร้องขอข้อมูล บุคคลมีสิทธิ์ขอดูภาพที่มีตนเองปรากฏอยู่ ธุรกิจควรกำหนดว่าใครเป็นผู้รับเรื่องและใช้เวลานานเท่าไร

ควรตั้งค่า NVR ให้เก็บวิดีโอนานแค่ไหน?

คำถามนี้เกิดขึ้นเกือบทุกครั้งตอนเดินระบบ คำตอบที่ใช้ได้สำหรับงานติดตั้งทั่วไปคือ ตั้งให้ลบทับอัตโนมัติที่ 30 วัน เป็น default

เหตุผล: เหตุการณ์ที่ต้องตรวจสอบย้อนหลังมักอยู่ภายในไม่กี่วัน ไม่ใช่หลายเดือน 30 วันเพียงพอสำหรับกรณีส่วนใหญ่ สอดคล้องกับหลักการ “เก็บเท่าที่จำเป็น” ของ PDPA และประหยัดพื้นที่จัดเก็บ

หากลูกค้ามีเหตุผลเฉพาะที่ต้องเก็บนานกว่านั้น เช่น เงื่อนไขของบริษัทประกัน ควรพูดคุยตั้งแต่ขั้นตอนการเสนอราคา ไม่ใช่ตอนคอมมิชชั่น และไม่ว่าจะตั้งค่าเท่าไร ให้บันทึกในรายงานงาน: “ตั้ง NVR เก็บวิดีโอ 30 วัน (ปรับตามคำขอลูกค้าเป็น X วัน)” ข้อความบรรทัดเดียวนี้ปกป้องทั้งสองฝ่ายหากเกิดข้อสงสัยในภายหลัง

บ้านที่อยู่อาศัยต้องทำตาม PDPA ด้วยไหม?

สำหรับ บ้านเดี่ยวที่ใช้อยู่อาศัยจริง โดยกล้องดูพื้นที่ของตัวเองล้วนๆ ข้อยกเว้นในครัวเรือนตาม PDPA มักครอบคลุม เจ้าของบ้านไม่ถือเป็นผู้ควบคุมข้อมูลในเชิงทางการ

แต่เส้นแบ่งอยู่ตรงนี้: ถ้ากล้องจับภาพทางเดินสาธารณะ รั้วบ้านข้างเคียง แม่บ้าน หรือพนักงานส่งของเป็นประจำ ข้อยกเว้นนี้อ่อนแอลง สำหรับกรณีเหล่านี้ การแนะนำลูกค้าสั้นๆ ว่า “ถ้ากล้องจับภาพบุคคลอื่นนอกบ้านเป็นประจำ อาจต้องปรับมุมกล้องให้แคบลง” เป็นคำแนะนำที่ทำได้และเป็นประโยชน์

บันทึกการติดตั้งที่ดีช่วยช่างและลูกค้าอย่างไร?

เอกสารประกอบการส่งมอบงานที่ครบถ้วนปกป้องช่างติดตั้งและให้ลูกค้าใช้งานได้จริง งานติดตั้ง CCTV ทุกงานควรมี:

• ผังกล้อง (สเก็ตช์หรือรูปถ่ายพร้อมชื่อกล้องแต่ละตัว)
• รุ่น NVR, IP address, การตั้งค่าเครือข่าย
• ระยะเวลาการเก็บวิดีโอที่ตั้งไว้
• ความจุของ storage และระยะเวลาก่อน disk จะเต็มที่รอบปัจจุบัน
• ข้อมูล credential ส่งมอบให้ใครและเมื่อไร
• ลายเซ็นลูกค้ายืนยันการรับมอบงาน

การเก็บข้อมูลเหล่านี้ไว้ใน ประวัติลูกค้าแบบค้นหาได้ แทนที่จะอยู่ใน LINE ส่วนตัวหรือโฟลเดอร์ในคอมพิวเตอร์เครื่องเดียว ทำให้ช่างที่ไปซ่อมหลังจากนั้นหนึ่งปีเข้าใจระบบได้ทันที ไม่ต้องเริ่มตรวจสอบใหม่ทั้งหมด

ระบบบันทึกลูกค้าและอุปกรณ์ ของ OnSiteQ ออกแบบมาสำหรับงานลักษณะนี้ ทุกระบบ CCTV ที่ติดตั้งจะถูกบันทึกไว้กับลูกค้า พร้อมรูปถ่าย สเปก และประวัติการซ่อมบำรุงครบถ้วน เข้าถึงได้จากมือถือในหน้างาน

FAQ

โทษสูงสุดของการละเมิด PDPA เรื่อง CCTV คือเท่าไร?

โทษทางปกครองตาม PDPA สูงสุดถึง 5 ล้านบาทต่อกรณี นอกจากนี้ยังมีโทษทางแพ่งและอาญาสำหรับกรณีร้ายแรง ปี 2568 ที่ผ่านมาพิสูจน์ให้เห็นแล้วว่าการบังคับใช้จริงเกิดขึ้นได้ คดีหนึ่งมีโทษปรับกว่า 7 ล้านบาท แม้แต่คำสั่งให้แก้ไขและรายงานผลก็ถือเป็นภาระที่หนักพอสมควรสำหรับธุรกิจขนาดเล็ก

ช่างติดตั้งต้องรับผิดต่อการละเมิด PDPA ของลูกค้าด้วยไหม?

โดยทั่วไปไม่ ผู้รับผิดชอบคือลูกค้าในฐานะผู้ควบคุมข้อมูล หากธุรกิจของคุณมีบริการดูแลระบบ โมนิเตอร์ หรือจัดเก็บวิดีโอแทนลูกค้า ให้พิจารณาทำสัญญาประมวลผลข้อมูลเพื่อความชัดเจน สำหรับงานติดตั้งทั่วไป สิ่งที่ทำได้และควรทำคือส่งมอบงานพร้อมเอกสารครบถ้วน

draft guideline ปี 2569 ของ PDPC มีผลบังคับใช้แล้วหรือยัง?

ยังไม่เป็นกฎหมายสมบูรณ์ แต่สะท้อนจุดยืนของหน่วยงานกำกับดูแลในปัจจุบัน ธุรกิจที่ปฏิบัติตามหลักการใน draft เช่น ติดป้ายแจ้งเตือน จำกัดระยะเวลาเก็บข้อมูล ควบคุมการเข้าถึง จะอยู่ในสถานะที่ดีกว่าเมื่อ guideline ฉบับสมบูรณ์ออกมา ซึ่งคาดว่าจะเสร็จภายในปลายปี 2569

---

การแนะนำลูกค้าเรื่อง PDPA สิบนาทีก่อนปิดงาน ช่วยให้พวกเขาเข้าใจว่าต้องทำอะไรต่อเพื่อใช้ระบบอย่างถูกต้อง นั่นคือความแตกต่างระหว่างงานที่จบสมบูรณ์กับงานที่ทิ้งปัญหาค้างคาไว้ให้ลูกค้า และคือเหตุผลที่ลูกค้าจะโทรหาคุณครั้งต่อไปด้วย