หน้า ๒๘
เล่ม ๑๔๓ ตอนพิเศษ ๑๐๐ ง ราชกิจจานุเบกษา ๒๐ เมษายน ๒๕๖๙

ประกาศสำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย

เรื่อง แนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าสำหรับธุรกิจประกันวินาศภัย (ฉบับที่ ๒)
พ.ศ. ๒๕๖๘

ตามที่สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (สำนักงาน คปภ.) ได้ออกประกาศสำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง แนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าสำหรับธุรกิจประกันวินาศภัย พ.ศ. ๒๕๖๔ ไปแล้ว นั้น

เพื่อให้กลไกในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้ามีความชัดเจน โปร่งใส มีประสิทธิภาพมากยิ่งขึ้น และเป็นไปตามกฎหมายที่เกี่ยวข้อง โดยที่ยังสามารถใช้ข้อมูลส่วนบุคคลของลูกค้าเพื่อประโยชน์ในการให้บริการลูกค้า อาศัยอำนาจตามความในข้อ ๖ แห่งประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง หลักเกณฑ์ วิธีการออก และเสนอขายกรมธรรม์ประกันภัยของบริษัทประกันวินาศภัยและการดำเนินการของตัวแทนประกันวินาศภัย นายหน้าประกันวินาศภัยและธนาคาร พ.ศ. ๒๕๖๓ สำนักงาน คปภ. จึงออกประกาศไว้ ดังต่อไปนี้

ข้อ ๑ ประกาศนี้เรียกว่า “ประกาศสำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง แนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าสำหรับธุรกิจประกันวินาศภัย (ฉบับที่ ๒) พ.ศ. ๒๕๖๘”

ข้อ ๒ ประกาศนี้ให้ใช้บังคับตั้งแต่วันที่ประกาศเป็นต้นไป

ข้อ ๓ ให้แก้ไขคำว่า “นโยบายการคุ้มครองข้อมูลส่วนบุคคล” ในแนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าสำหรับธุรกิจประกันวินาศภัยที่แนบท้ายประกาศสำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง แนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าสำหรับธุรกิจประกันวินาศภัย พ.ศ. ๒๕๖๔ เป็นคำว่า “ประกาศความเป็นส่วนตัว” ทุกแห่ง

ข้อ ๔ ให้ยกเลิกความใน (ก) ของ (๑) ของข้อ ๕ ของแนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าสำหรับธุรกิจประกันวินาศภัยที่แนบท้ายประกาศสำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง แนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าสำหรับธุรกิจประกันวินาศภัย พ.ศ. ๒๕๖๔ และให้ใช้ความต่อไปนี้แทน

“(ก) ฐานความยินยอม

ให้บริษัทขอความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล สำหรับการดำเนินการ ดังต่อไปนี้

หน้า ๒๙

เล่ม ๑๔๓ ตอนพิเศษ ๑๐๐ ง ราชกิจจานุเบกษา ๒๐ เมษายน ๒๕๖๙

๑) การดำเนินกิจกรรมทางการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริมการขาย และสิทธิประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการ ซึ่งอาจเป็นผลิตภัณฑ์และบริการอื่นของบริษัท บริษัทในเครือ หรือพันธมิตรทางธุรกิจของบริษัท โดยมีลักษณะที่เกินความคาดหมายของลูกค้า เช่น การส่งข้อความการสื่อสารด้านการตลาดให้กับลูกค้าที่ไม่เคยมีความสัมพันธ์ทางธุรกิจกับบริษัทมาก่อนและไม่อาจคาดหมายว่าจะได้รับข้อมูลข่าวสารการตลาดจากบริษัท หรือการซื้อข้อมูลลูกค้าจากผู้ประกอบการรายอื่น (ซื้อ lead) เป็นต้น ทั้งนี้ บริษัทต้องเปิดโอกาสให้ลูกค้าใช้สิทธิถอนความยินยอมได้เสมอ

๒) การดำเนินการขอให้สำนักงานเปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของลูกค้าเพื่อประโยชน์ในการพิจารณารับประกันภัย การชดใช้ค่าสินไหมทดแทน หรือการให้บริการที่เกี่ยวข้องกับกรมธรรม์ประกันภัย บริษัทต้องขอความยินยอมจากลูกค้าเป็นรายกรมธรรม์ประกันภัย โดยข้อความการขอความยินยอม และการเปิดเผยต้องเป็นไปตามที่สำนักงานกำหนด

๓) การดำเนินการเพื่อวัตถุประสงค์อื่น บริษัทสามารถทำได้โดยต้องปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และกฎหมายอื่นที่เกี่ยวข้อง รวมทั้งต้องรับผิดในกรณีที่เกิดการละเมิดข้อมูลส่วนบุคคล”

ข้อ ๕ ให้ยกเลิกความใน (๒) ของข้อ ๕ ของแนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าสำหรับธุรกิจประกันวินาศภัยที่แนบท้ายประกาศสำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง แนวปฏิบัติในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าสำหรับธุรกิจประกันวินาศภัย พ.ศ. ๒๕๖๔ และให้ใช้ความต่อไปนี้แทน

“(๒) ข้อมูลส่วนบุคคลที่อ่อนไหว

บริษัทจะต้องพิจารณาฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวสำหรับแต่ละวัตถุประสงค์ซึ่งเข้มงวดยิ่งกว่าการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไป

(ก) ฐานความยินยอมโดยชัดแจ้ง (explicit consent basis)

๑) โดยทั่วไป บริษัทอาจเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวได้ต่อเมื่อได้รับความยินยอมโดยชัดแจ้งจากลูกค้าเท่านั้น โดยต้องขอความยินยอมสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ เช่น เพื่อการระบุและยืนยันตัวตนเองเทนึ่งจากที่กฎหมายกำหนดไว้ หรือเพื่อการดำเนินกิจกรรมทางการตลาดแบบตรง (direct marketing) การสื่อสารด้านการตลาด ข้อมูลข่าวสาร ข้อเสนอพิเศษ ข้อมูลส่งเสริมการขาย และสิทธิประโยชน์เกี่ยวกับผลิตภัณฑ์และบริการจากบริษัท บริษัทในเครือ และพันธมิตรทางธุรกิจทุกกรณี โดยไม่คำนึงว่าเกินความคาดหมายของลูกค้าหรือไม่ ดังนั้น บริษัทจึงต้องพิจารณาว่าข้อมูลส่วนบุคคลที่อ่อนไหวที่เก็บรวบรวมนั้นมีความสัมพันธ์

หน้า ๓๐

เล่ม ๑๔๓ ตอนพิเศษ ๑๐๐ ง ราชกิจจานุเบกษา ๒๐ เมษายน ๒๕๖๙

กับประกันภัยประเภทนั้น ๆ อย่างไร หากไม่จำเป็นต้องใช้พิจารณาเพื่อให้บริการหรือทำสัญญาประกันภัย บริษัทอาจพิจารณาไม่เก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหวตั้งแต่แรก หรือดำเนินการขอความยินยอมให้ถูกต้องตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

๒) การดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวของลูกค้าคู่สมรส บุคคลในครอบครัว หรือบุคคลอื่นที่จำเป็นในการพิจารณารับประกันภัย การเอาประกันภัยต่อการพิจารณารับประกันภัยต่อ การคำนวณเบี้ยประกันภัย การปฏิเสธการรับประกันภัยแต่ละประเภท หรือการชดใช้ค่าสินไหมทดแทนตามสัญญาประกันภัย เช่น ข้อมูลสุขภาพหรือข้อมูลความพิการที่เป็นข้อมูลที่สำคัญที่ผู้เอาประกันภัยมีหน้าที่ต้องแถลงเพื่อให้บริษัทมีข้อมูลเพียงพอเพื่อใช้ในการพิจารณารับประกันภัยประเภทสุขภาพ หรืออุบัติเหตุ แล้วแต่กรณี เว้นแต่บริษัทอาจอาศัยฐานทางกฎหมายอื่นตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ต้องขอความยินยอม

๓) การดำเนินการขอให้สำนักงานเปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัย ซึ่งเป็นข้อมูลส่วนบุคคลที่อ่อนไหวของลูกค้า เพื่อประโยชน์ในการพิจารณารับประกันภัย การชดใช้ค่าสินไหมทดแทน หรือการให้บริการที่เกี่ยวข้องกับกรมธรรม์ประกันภัย บริษัทต้องขอความยินยอมจากลูกค้าเป็นรายกรมธรรม์ประกันภัย โดยข้อความการขอความยินยอมและการเปิดเผยต้องเป็นไปตามที่สำนักงานกำหนด

๔) การดำเนินการเพื่อวัตถุประสงค์อื่น บริษัทสามารถทำได้โดยต้องปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล และต้องรับผิดในกรณีที่เกิดการละเมิดข้อมูลส่วนบุคคล

(ข) ฐานทางกฎหมายอื่นซึ่งไม่ใช่ฐานความยินยอม

บริษัทอาจอาศัยฐานเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์อื่นเกี่ยวข้องกับประโยชน์สาธารณะที่สำคัญตามมาตรา ๒๖ (๕) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ต้องขอความยินยอม โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล สำหรับกรณีหนึ่งกรณีใด ดังต่อไปนี้

๑) การเก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหวที่จำเป็นเพื่อเปิดเผยให้สำนักงานตามประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัยว่าด้วยการให้บริษัทประกันวินาศภัยยื่นรายงานเกี่ยวกับการฉ้อฉลประกันภัย และกฎหมายอื่นที่เกี่ยวข้อง เพื่อใช้ในการจัดทำฐานข้อมูลเกี่ยวกับการฉ้อฉลประกันภัย (watch-list) โดยสำนักงานจะเป็นศูนย์กลางในการบริหารจัดการข้อมูลเกี่ยวกับการฉ้อฉลประกันภัย เพื่อการติดตามการฉ้อฉลประกันภัยและเพิ่มประสิทธิภาพการบริหารจัดการความเสี่ยงด้านการฉ้อฉลของบริษัท

หน้า ๓๑

เล่ม ๑๔๓ ตอนพิเศษ ๑๐๐ ง ราชกิจจานุเบกษา ๒๐ เมษายน ๒๕๖๙

๒) การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อ่อนไหวที่จำเป็นเพื่อเปิดเผยให้สำนักงานเพื่อใช้ประโยชน์ในการกำกับดูแลและส่งเสริมการประกอบธุรกิจประกันภัยตามกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย และกฎหมายว่าด้วยการประกันวินาศภัย”

ข้อ ๖ การเปิดเผยข้อมูลส่วนบุคคลของลูกค้าที่สำนักงานได้กระทำไปโดยถูกต้องตามกฎหมายไปแล้วก่อนวันที่สำนักงานกำหนดข้อความการขอความยินยอมจากลูกค้า ให้เป็นอันใช้ได้จนกว่าสำนักงานจะมีการกำหนดข้อความการขอความยินยอมจากลูกค้าตามประกาศนี้

ประกาศ ณ วันที่ ๓ ธันวาคม พ.ศ. ๒๕๖๘
ชูฉัตร ประมูลผล
เลขาธิการ
คณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย