เรื่อง กองอำนวยการรักษาความมั่นคงภายในราชอาณาจักรขอหารือข้อกฎหมายและการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ และมาตรา ๖ (บทนิยามคำว่า “ผู้ควบคุมข้อมูลส่วนบุคคล”)

2. พระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. ๒๕๕๑
   มาตรา ๕

3. พระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. ๒๕๔๕ และที่แก้ไขเพิ่มเติม
   มาตรา ๕

4. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๓๔
   มาตรา ๗

ข้อหารือ

กองอำนวยการรักษาความมั่นคงภายในราชอาณาจักร (กอ.รมน.) ขอหารือข้อกฎหมาย และการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เกี่ยวกับมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งบัญญัติว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดย กอ.รมน. พิจารณาแล้วเห็นว่า มาตรา ๕ แห่งพระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. ๒๕๕๑ บัญญัติให้จัดตั้ง กอ.รมน. ขึ้นในสำนักนายกรัฐมนตรี มีฐานะเป็นส่วนราชการ รูปแบบเฉพาะอยู่ภายใต้การบังคับบัญชาขึ้นตรงต่อนายกรัฐมนตรี แต่กฎหมายมิได้กำหนดให้ กอ.รมน. มีฐานะเป็นนิติบุคคล เพื่อให้ กอ.รมน. สามารถดำเนินการคุ้มครองข้อมูลส่วนบุคคลได้อย่างถูกต้อง และมีประสิทธิภาพ จึงขอหารือข้อกฎหมายที่เกี่ยวข้องกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในสองประเด็น คือ

1. “ผู้ควบคุมข้อมูลส่วนบุคคล” ของ กอ.รมน. ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้แก่ ส่วนราชการใด

2. ผู้ที่มีอำนาจหน้าที่ที่จะพึงปฏิบัติหรือดำเนินการตามมาตรา ๖ แห่งพระราชบัญญัติดังกล่าว ได้แก่ ผู้ดำรงตำแหน่งใด และผู้ดำรงตำแหน่งดังกล่าวในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของ กอ.รมน. อาจมอบอำนาจการดำเนินการใด ๆ ตามกฎหมาย กฎ ระเบียบ ประกาศ คำสั่ง หรือมติของคณะรัฐมนตรีในเรื่องนั้นให้แก่ผู้ดำรงตำแหน่งอื่นปฏิบัติราชการแทนได้หรือไม่ เพียงใด

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พิจารณาแล้วมีความเห็นต่อประเด็นหารือที่หนึ่งว่า มาตรา ๕ วรรคหนึ่ง แห่งพระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. ๒๕๕๑ บัญญัติให้จัดตั้ง กอ.รมน. ขึ้นในสำนักนายกรัฐมนตรี มีอำนาจหน้าที่และรับผิดชอบเกี่ยวกับการรักษาความมั่นคงภายในราชอาณาจักร โดยมาตรา ๕ วรรคเจ็ด บัญญัติให้ผู้อำนวยการรักษาความมั่นคงภายในราชอาณาจักร (ผอ.รมน.) มีอำนาจทำนิติกรรม ฟ้องคดี ถูกฟ้องคดี และดำเนินการทั้งปวงเกี่ยวกับคดี อันเกี่ยวเนื่องกับอำนาจหน้าที่ของ กอ.รมน. ทั้งนี้ โดยกระทำในนามของสำนักนายกรัฐมนตรี ประกอบกับมาตรา ๕ แห่งพระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. ๒๕๔๕ และที่แก้ไขเพิ่มเติม และมาตรา ๗ วรรคสอง แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๓๔ กำหนดให้สำนักนายกรัฐมนตรีเป็นส่วนราชการที่มีฐานะเป็นกระทรวง และมาตรา ๗ วรรคสาม แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๓๔ บัญญัติให้สำนักนายกรัฐมนตรีมีฐานะเป็นนิติบุคคล ดังนั้น สำนักนายกรัฐมนตรีซึ่งเป็นหน่วยงานต้นสังกัดของ กอ.รมน. ตามพระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. ๒๕๕๑ จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมีอำนาจหน้าที่รวมถึงความรับผิดชอบในการตัดสินใจและกำกับดูแลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลให้เป็นไปตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เท่าที่พระราชบัญญัติดังกล่าวใช้บังคับแก่ กอ.รมน.

สำหรับประเด็นหารือที่สอง เห็นว่า โดยหลักการ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดให้สถานภาพความเป็นผู้ควบคุมข้อมูลส่วนบุคคลเกิดจากองค์ประกอบตามความในมาตรา ๖ แห่งพระราชบัญญัติดังกล่าว ดังนั้น หากพิจารณาจากข้อเท็จจริงและลักษณะการดำเนินการแล้ว ในบริบทของกฎหมายนี้ หากหน่วยงานใดที่เป็นนิติบุคคลมีอำนาจตัดสินใจหรือดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หน่วยงานดังกล่าวจะถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล โดยไม่ต้องมีการแต่งตั้งบุคคลใด เพื่อปฏิบัติหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอีก โดยส่วนงานหรือหน่วยงานภายใน ตลอดจนพนักงานและบุคลากรของหน่วยงานดังกล่าวจะไม่มีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลแยกต่างหากจากหน่วยงานนั้น ดังนั้น สำหรับการดำเนินการของ กอ.รมน. ให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เท่าที่พระราชบัญญัตินี้ใช้บังคับแก่ กอ.รมน. สำนักนายกรัฐมนตรีในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (ซึ่งรวมถึง กอ.รมน. ในฐานะหน่วยงานในสังกัดของสำนักนายกรัฐมนตรี) รวมถึงผู้บริหารและบุคลากรที่เกี่ยวข้องย่อมมีหน้าที่ตามกฎหมายที่จะพึงปฏิบัติหรือดำเนินการตามพระราชบัญญัติดังกล่าว อย่างไรก็ดี นายกรัฐมนตรีในฐานะ ผอ.รมน. ซึ่งเป็นผู้บังคับบัญชาชีรราชการ พนักงาน และลูกจ้างใน กอ.รมน. และรับผิดชอบในการปฏิบัติราชการของ กอ.รมน. ตามมาตรา ๕ วรรคสาม แห่งพระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. ๒๕๕๑ สามารถมอบหมายหน้าที่หรือสั่งการให้ผู้ที่มีความเหมาะสมทำหน้าที่กำกับดูแลและดำเนินการ

เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของ กอ.รมน. ให้เป็นไปตามบทบัญญัติแห่งกฎหมายได้ ทั้งนี้ มาตรา ๕ วรรคห้า แห่งพระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. ๒๕๕๑ บัญญัติ ให้เสนาธิการทหารบกเป็นเลขาธิการ กอ.รมน. มีหน้าที่รับผิดชอบงานอำนวยการและธุรการของ กอ.รมน. ดังนั้น นายกรัฐมนตรีในฐานะ ผอ.รมน. อาจพิจารณามอบหมายหน้าที่หรือสั่งการให้เลขาธิการ กอ.รมน. หรือบุคคลอื่นที่ปฏิบัติหน้าที่ใน กอ.รมน. ดำเนินการในส่วนที่เกี่ยวข้องกับการปฏิบัติตามกฎหมายดังกล่าวก็ได้

อนึ่ง คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ มีความเห็นเพิ่มเติมว่า แม้ว่าการดำเนินการ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อันเนื่องจากการปฏิบัติตามหน้าที่และอำนาจโดยชอบ ด้วยกฎหมายเพื่อรักษาความมั่นคงภายในราชอาณาจักรของ กอ.รมน. ตามที่กำหนดไว้ในบทบัญญัติ แห่งพระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. ๒๕๕๑ หรือกฎหมายอื่นที่เกี่ยวข้อง จะเข้าข่ายเป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงการรักษา ความปลอดภัยของประชาชน จึงไม่ต้องอยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามนัยมาตรา ๔ (๒) แต่สำนักนายกรัฐมนตรีในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของ กอ.รมน. ซึ่งได้รับการยกเว้น ไม่ให้นำบทบัญญัติแห่งพระราชบัญญัตินี้มาใช้บังคับสำหรับภารกิจดังกล่าว และ กอ.รมน. ในฐานะหน่วยงาน ในสังกัด ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย ทั้งนี้ ตามนัย มาตรา ๔ วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒