PDPC_Consult-16

เรื่อง กรมเจ้าท่า ขอหารือกรณีการจัดทำคำประกาศความเป็นส่วนตัว (privacy notice)

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๒๑ และมาตรา ๒๓

2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
   มาตรา ๗ (๔) และมาตรา ๒๘ (๒)

ข้อหารือ

กรมเจ้าท่าได้มีการตั้งคณะทำงานดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ ๒๕๖๒ และอยู่ในขั้นตอนการจัดทำ (ร่าง) คำประกาศความเป็นส่วนตัว (Privacy Notice) ของกรมเจ้าท่า เพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ ๒๕๖๒ มาตรา ๒๓ ที่บัญญัติว่า ในการเก็บรวบรวม ข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวม ข้อมูลส่วนบุคคลถึงรายละเอียดที่กำหนด จึงขอหารือในประเด็น ดังนี้

1. เนื่องจากกรมประกาศความเป็นส่วนตัว (Privacy Notice) มีหลักการคือ การแจ้งให้เจ้าของข้อมูล ส่วนบุคคลทราบรายละเอียดของข้อมูลส่วนบุคคลที่กรมเจ้าท่าได้เก็บรวบรวม ดังนั้น ร่างประกาศดังกล่าวมีสภาพ อย่างกฎ มีผลใช้บังคับกระทบสิทธิประชาชนเป็นการทั่วไปหรือไม่

2. หากกรมประกาศความเป็นส่วนตัว (Privacy Notice) มีสภาพอย่างกฎ และมีการนำไปใช้ใน การปฏิบัติหน้าที่ของกรมเจ้าท่า ซึ่งจะกระทบสิทธิของประชาชน จำเป็นจะต้องให้หัวหน้าหน่วย หรืออธิบดีกรมเจ้าท่า เป็นผู้ลงนามในประกาศ หรือไม่

3. ตามมาตรา ๗ (๔) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ ๒๕๔๐ บัญญัติให้หน่วยงานของรัฐ ต้องส่งข้อมูลข่าวสารของราชการอย่างน้อยดังต่อไปนี้ลงพิมพ์ในราชกิจจานุเบกษา ได้แก่ กฎ มติคณะรัฐมนตรี ข้อบังคับ คำสั่ง หนังสือเวียน ระเบียบ แบบแผน นโยบาย หรือการตีความ ทั้งนี้ เฉพาะที่จะให้มีขึ้นโดยมีสภาพอย่างกฎ เพื่อให้มีผลเป็นการทั่วไปต่อเอกชนที่เกี่ยวข้อง ดังนั้น หากกรมประกาศความเป็นส่วนตัว (Privacy Notice) มีลักษณะเป็นกฎ หรือเป็นนโยบายของกรมเจ้าท่า จะต้องส่งร่างประกาศดังกล่าวลงพิมพ์ประกาศในราชกิจจานุเบกษา หรือไม่

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับ การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น ดังนี้

กรณีตามประเด็นหารือที่ ๑ และประเด็นหารือที่ ๓ เห็นว่า มาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้บัญญัติว่า ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงวัตถุประสงค์และรายละเอียดเกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคล และมาตรา ๒๓ บัญญัติให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม และจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลแตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้มิได้ เว้นแต่ได้แจ้งวัตถุประสงค์ใหม่นั้นให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอมก่อนเก็บรวบรวม ใช้ หรือเปิดเผยแล้ว หรือบทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ โดยหากผู้ควบคุมข้อมูลส่วนบุคคลไม่ปฏิบัติตามบทบัญญัติดังกล่าว จะมีโทษทางปกครอง (ตามมาตรา ๘๒ หรือมาตรา ๘๓ แล้วแต่กรณี) การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) จึงเป็นการดำเนินการเพื่อให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลมีความโปร่งใสเป็นธรรม และกระทำได้เท่าที่จำเป็นภายใต้วัตถุประสงค์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ควบคุมข้อมูลส่วนบุคคลจะดำเนินการกับข้อมูลส่วนบุคคลแตกต่างจากที่ได้แจ้งไว้ไม่ได้หากไม่เข้าข้อยกเว้น โดยมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้กำหนดรูปแบบหรือวิธีการของการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) ซึ่งในทางปฏิบัติ ผู้ควบคุมข้อมูลส่วนบุคคลอาจใช้วิธีการแจ้งโดยวาจา แจ้งเป็นหนังสือแจ้งโดยวิธีการทางอิเล็กทรอนิกส์ หรือแจ้งโดยวิธีการอื่นใดที่เจ้าของข้อมูลส่วนบุคคลจะทราบได้ และอาจแจ้งเป็นรายบุคคล หรือแจ้งเป็นการทั่วไป เช่น ในรูปแบบประกาศความเป็นส่วนตัว ก็ได้ แล้วแต่บริบทและความเหมาะสม ทั้งนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้กำหนดแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งมีคำอธิบายเพิ่มเติมเกี่ยวกับการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ และมาตราอื่นที่เกี่ยวข้อง (ดูรายละเอียดในเว็บไซต์ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่ http://www.pdpc.or.th/) ดังนั้น ในกรณีที่หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลจัดทำเป็นประกาศความเป็นส่วนตัว (privacy notice) ไม่ว่าจะเรียกชื่ออย่างไร โดยมีวัตถุประสงค์และรายละเอียดตามมาตรา ๒๓ ประกาศดังกล่าวจึงมีลักษณะเป็นเพียงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ โดยไม่ได้มุ่งหมายให้มีผลทางกฎหมายเป็นการบังคับต่อเจ้าของข้อมูลส่วนบุคคล ซึ่งจะแตกต่างจากกฎ ระเบียบ ข้อบังคับ หรือประกาศอื่นที่มีผลบังคับเป็นการทั่วไป และมุ่งหมายให้บุคคลที่เกี่ยวข้องกับเรื่องนั้น ๆ ต้องปฏิบัติตามที่กำหนด

อย่างไรก็ตาม ประเด็นที่กรมเจ้าท่าหารือมาว่า มาตรา ๗ แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ซึ่งบัญญัติให้หน่วยงานของรัฐต้องส่งข้อมูลข่าวสารของราชการอย่างน้อยดังต่อไปนี้ลงพิมพ์ในราชกิจจานุเบกษา (๑) ฯลฯ (๔) กฎ มติคณะรัฐมนตรี ข้อบังคับ คำสั่ง หนังสือเวียน ระเบียบ แบบแผน นโยบาย

หรือการตีความ ทั้งนี้ เฉพาะที่จัดให้มีขึ้นโดยมีสภาพอย่างกฎ เพื่อให้มีผลเป็นการทั่วไปต่อเอกชนที่เกี่ยวข้อง ฯลฯ นั้น ครอบคลุมถึงประกาศความเป็นส่วนตัว (privacy notice) ตามมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ และจะต้องส่งประกาศความเป็นส่วนตัว (privacy notice) ดังกล่าวไปลงพิมพ์ในราชกิจจานุเบกษา หรือไม่ คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ มีข้อสังเกตว่า การพิจารณาข้อหารือดังกล่าว จะต้องพิจารณา ก่อนว่า คำว่า “โดยมีสภาพอย่างกฎ” ตามที่กรมเจ้าท่าหารีอมนั้น มีลักษณะอย่างไร ซึ่งมาตรา ๕ แห่งพระราชบัญญัติ วิธีปฏิบัติราชการทางปกครอง พ.ศ. ๒๕๓๙ บัญญัติว่า “กฎ” หมายความว่า พระราชกฤษฎีกา กฎกระทรวง ประกาศกระทรวง ข้อบัญญัติท้องถิ่น ระเบียบ ข้อบังคับ หรือบทบัญญัติอื่นที่มีผลบังคับเป็นการทั่วไป โดยไม่มุ่งหมายให้ใช้บังคับแก่กรณีใดหรือบุคคลใดเป็นการเฉพาะ แต่เนื่องจากการพิจารณาเกี่ยวกับสถานะความ เป็น “กฎ” และการส่งประกาศดังกล่าวไปลงพิมพ์ในราชกิจจานุเบกษา ซึ่งจะต้องพิจารณาตามมาตรา ๗ (๔) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ นั้น เป็นหน้าที่และอำนาจของคณะกรรมการข้อมูลข่าวสาร ของราชการในการให้คำปรึกษาแก่เจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐเกี่ยวกับการปฏิบัติตามพระราชบัญญัติข้อมูล ข่าวสารของราชการ พ.ศ. ๒๕๔๐ ตามมาตรา ๒๘ (๒) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ กรณีที่หารือนี้ กรมเจ้าท่าจึงควรหารือไปยังคณะกรรมการข้อมูลข่าวสารของราชการ ซึ่งมีหน้าที่และอำนาจในเรื่องนี้ เพื่อพิจารณาตีความหรือวินิจฉัยต่อไป

สำหรับประเด็นหารือที่ ๒ เห็นว่า มาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้กำหนดรูปแบบหรือวิธีการของการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูล ส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) หากพิจารณาเฉพาะตามพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของ ข้อมูลส่วนบุคคลทราบ (privacy notice) ดังกล่าว หากจัดทำในรูปแบบประกาศความเป็นส่วนตัว ไม่ว่าจะเรียกชื่อ อย่างไร จึงอาจมีการลงนามหรือไม่ก็ได้ โดยหากประสงค์จะให้มีการลงนาม หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วน บุคคลอาจพิจารณากำหนดหรือมอบหมายบุคคลที่เหมาะสมเป็นผู้ลงนามก็ได้ อย่างไรก็ดี เมื่อกรมเจ้าท่าได้ พิจารณาข้อหารือในประเด็นหารือที่ ๑ และประเด็นหารือที่ ๓ กับหน่วยงานที่เกี่ยวข้องเป็นที่ยุติแล้ว การพิจารณา ว่าจะต้องลงนามในประกาศความเป็นส่วนตัวดังกล่าวหรือไม่ และลงนามโดยผู้ใด จำเป็นจะต้องพิจารณาตาม กฎหมายหรือระเบียบที่เกี่ยวข้องกับการปฏิบัติราชการของกรมเจ้าท่า ซึ่งไม่อยู่ในหน้าที่และอำนาจของ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยตรง