เรื่อง ธนาคาร ม. ขอหารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๑๙ มาตรา ๒๐ มาตรา ๒๔ และมาตรา ๒๖

2. ประมวลกฎหมายแพ่งและพาณิชย์
   มาตรา ๒๑ มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๔ และมาตรา ๒๗

ข้อหารือ

ธนาคาร ม. ขอหารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กรณีการขอความยินยอมในการเปิดบัญชี และการทำธุรกรรมโดยใช้ Facial recognition และกรณีการทำการตลาดกับลูกค้าซึ่งเป็นผู้เยาว์ โดยมีประเด็นดังนี้

1. กรณีการเปิดบัญชีหรือทำธุรกรรมผ่าน Application Sumo และมีการเก็บรวบรวมและใช้ Facial recognition ของผู้เยาว์ (อายุ ๗ ถึง ๒๐ ปีบริบูรณ์) เพื่อพิสูจน์และยืนยันตัวตนของผู้เยาว์ ธนาคาร ต้องขอความยินยอมหรือไม่ อย่างไร หากต้องขอความยินยอมผู้เยาว์สามารถให้ความยินยอมด้วยตนเองได้หรือไม่

2. กรณีการเปิดบัญชีหรือทำธุรกรรมผ่านเครื่อง Virtual Teller Machine (VTM) และ Mobile Banking ธนาคารมีการเก็บรวบรวมและใช้ Facial recognition ของลูกค้าเพื่อพิสูจน์และยืนยันตัวตน ธนาคารจะต้องขอความยินยอมหรือไม่ อย่างไร

3. กรณีธนาคารนำเสนอผลิตภัณฑ์ใหม่ เพื่อทำการตลาดกับลูกค้าผู้เยาว์ ธนาคารต้องขอความยินยอมจากผู้เยาว์หรือไม่ อย่างไร หากต้องขอความยินยอม ผู้เยาว์สามารถให้ความยินยอมดังกล่าวด้วยตนเองได้หรือไม่ อย่างไร

4. กรณีธนาคารนำเสนอผลิตภัณฑ์เดิม เช่น นำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้าผู้เยาว์ที่ใช้ผลิตภัณฑ์เงินฝาก หรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมกับลูกค้าผู้เยาว์ เช่น นำเสนอ บัตร ATM หรือ Mobile banking ธนาคารต้องขอความยินยอมจากผู้เยาว์หรือไม่ อย่างไร หากต้องขอความยินยอมผู้เยาว์สามารถให้ความยินยอมดังกล่าวด้วยตนเองได้หรือไม่ อย่างไร

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พิจารณาประเด็นข้อหารือของธนาคาร ม. แล้ว มีความเห็นพร้อมข้อสังเกต ดังนี้

ประเด็นหารือที่ ๑

กรณีการเก็บรวบรวมข้อมูลส่วนบุคคลของผู้เยาว์ในการเปิดบัญชีธนาคารอาจพิจารณาฐานทางกฎหมายในการเปิดบัญชีเงินฝากของผู้เยาว์โดยอาศัยเหตุตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กล่าวคือเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญา ซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญา ซึ่งประเด็นความสามารถของผู้เยาว์ในการทำสัญญาและความสมบูรณ์ของสัญญา ย่อมเป็นไปตามประมวลกฎหมายแพ่งและพาณิชย์ ซึ่งกำหนดว่าผู้เยาว์อาจทำการใด ๆ โดยลำพังได้ตามที่บัญญัติไว้ในมาตรา ๒๒ มาตรา ๒๓ หรือมาตรา ๒๔ แห่งประมวลกฎหมายแพ่งและพาณิชย์ แล้วแต่กรณี แต่หากเป็นกรณี อื่นที่ผู้เยาว์ไม่อาจทำนิติกรรมหรือทำการโดยลำพังได้ การทำนิติกรรมใด ๆ ของผู้เยาว์ ต้องได้รับความยินยอมของผู้แทนโดยชอบธรรมก่อน การใด ๆ ที่ผู้เยาว์ได้ทำลงโดยปราศจากความยินยอมเช่นว่านั้นเป็นโมฆียะ โดยผลของการไม่ได้ขอความยินยอมจากผู้แทนโดยชอบธรรมจะเป็นโมฆียะกรรมที่อาจถูกบอกล้างหรือให้สัตยาบันได้ต่อไป ตามมาตรา ๒๑ แห่งประมวลกฎหมายแพ่งและพาณิชย์ ทั้งนี้ เนื่องจากกรณีการเปิดบัญชีเงินฝากของผู้เยาว์ที่หารือดังกล่าวไม่ได้ใช้ “ความยินยอม” เป็นฐานทางกฎหมายตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จึงไม่ต้องปฏิบัติตามมาตรา ๒๐ แห่งพระราชบัญญัติดังกล่าว

สำหรับกิจกรรมที่มีวัตถุประสงค์เพื่อพิสูจน์และยืนยันตัวตนของผู้เยาว์ โดยวิธีนำเทคโนโลยีจดจำใบหน้า (Facial recognition) มาใช้พิสูจน์ยืนยันตัวตนของผู้ทำธุรกรรม ในการดำเนินการดังกล่าวอาจพิจารณาได้ว่าเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่มีลักษณะตามนัยมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งเทคโนโลยีจดจำใบหน้ามีการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการนำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้นที่ไม่เหมือนกับบุคคลอื่นได้ จึงเป็นการเก็บรวบรวมข้อมูลชีวภาพ ตามมาตรา ๒๖ วรรคสอง แห่งพระราชบัญญัติดังกล่าว

ดังนั้น ธนาคารจึงต้องพิจารณาฐานทางกฎหมายตามมาตรา ๒๖ วรรคหนึ่ง (๑) ถึง (๕) ในการเก็บรวบรวมข้อมูลส่วนบุคคลสำหรับกิจกรรมที่มีวัตถุประสงค์เพื่อยืนยันตัวตน เมื่อไม่มีเหตุดังกล่าว ก็จะต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมของผู้เยาว์จะต้องเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ประเด็นหารือที่ ๒

เนื่องจากการเก็บรวบรวมข้อมูลส่วนบุคคลโดยวิธีนำเทคโนโลยีระบบจดจำใบหน้า (Facial recognition) เป็นการเก็บรวบรวมข้อมูลชีวภาพ ตามนัยมาตรา ๒๖ วรรคสอง แห่ง

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ธนาคารจึงต้องพิจารณาฐานทางกฎหมายตามมาตรา ๒๖ วรรคหนึ่ง (๑) ถึง (๕) ในการเก็บรวบรวมข้อมูลส่วนบุคคลสำหรับกิจกรรมที่มีวัตถุประสงค์เพื่อยืนยันตัวตน เมื่อไม่มีเหตุดังกล่าวก็จะต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมจะต้องเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ประเด็นหารือที่ ๓ สำหรับกิจกรรมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาด ธนาคารจะต้องพิจารณาฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล สำหรับการเปิดบัญชีธนาคาร ม. สามารถเก็บรวบรวมข้อมูลส่วนบุคคลโดยอาศัยเหตุตามนัยมาตรา ๒๔ (๓) เป็นการจำเป็นเพื่อปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้นได้ แต่หากการใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดเป็นกิจกรรมที่ไม่เกี่ยวข้องและจำเป็นเพื่อปฏิบัติตามสัญญาเกี่ยวกับการเปิดบัญชีธนาคาร ม. จะไม่สามารถอ้างฐานทางกฎหมายตามมาตรา ๒๔ (๓) ได้ ดังนั้น ธนาคาร ม. จึงต้องพิจารณาฐานทางกฎหมายอื่น ๆ ที่เหมาะสมกรณีใดกรณีหนึ่งตามมาตรา ๒๔ เมื่อพิจารณาวัตถุประสงค์ที่เป็นการนำเสนอผลิตภัณฑ์ใหม่เพื่อทำการตลาด ซึ่งไม่สอดคล้องกับฐานทางกฎหมายอื่นตามมาตรา ๒๔ (๑) ถึง (๖) จึงควรขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลจะต้องเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ส่วนประเด็นเรื่องการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรสหรือไม่มีฐานะเสมือนดังบุคคลซึ่งบรรลุนิติภาวะแล้วตามมาตรา ๒๗ แห่งประมวลกฎหมายแพ่งและพาณิชย์นั้น เมื่อคำนึงถึงความเหมาะสมด้านวุฒิภาวะของผู้เยาว์ในการตัดสินใจเพื่อทำการตลาด ประกอบกับผลกระทบจากการตัดสินใจดังกล่าว จึงเห็นว่า การขอความยินยอมในการทำการตลาดกับลูกค้าที่เป็นผู้เยาว์ดังกล่าว ควรได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย

ประเด็นหารือที่ ๔ สำหรับกรณีนำเสนอผลิตภัณฑ์เดิมหรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมกับลูกค้าผู้เยาว์ ธนาคารจะต้องพิจารณาฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๔ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งการนำเสนอผลิตภัณฑ์เดิมหรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิม หากไม่ได้เกี่ยวข้องและจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้นตามนัยมาตรา ๒๔ (๓) และไม่สอดคล้องกับฐานทางกฎหมายอื่นตามมาตรา ๒๔ (๑) (๒) (๔) (๕) และ (๖) จะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลจะต้องเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ส่วนประเด็นเรื่องการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรสหรือไม่มีฐานะเสมือนดังบุคคลซึ่งบรรลุนิติภาวะแล้วตามมาตรา ๒๗ แห่งประมวลกฎหมายแพ่งและพาณิชย์ จะต้องพิจารณาว่าเป็นกรณีที่ผู้เยาว์อาจให้ความ

ยินยอมโดยลำพังได้ตามที่บัญญัติไว้ในมาตรา ๒๒ มาตรา ๒๓ หรือมาตรา ๒๔ แห่งประมวลกฎหมายแพ่งและพาณิชย์หรือไม่ เมื่อคำนึงถึงความเหมาะสมด้านวุฒิภาวะของผู้เยาว์ในการตัดสินใจเกี่ยวกับผลิตภัณฑ์ดังกล่าว ประกอบกับผลกระทบจากการตัดสินใจดังกล่าว จึงเห็นว่า การขอความยินยอมในการนำเสนอผลิตภัณฑ์เดิมหรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมกับลูกค้าที่เป็นผู้เยาว์ดังกล่าว ควรได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย