PDPC_Consult-18

เรื่อง ธนาคาร Z ขอหารือเกี่ยวกับแนวทางการนำส่งข้อมูลส่วนบุคคลของกรรมการตามกฎ
ข้อบังคับของ ACRA ประเทศสิงคโปร์ และ/หรือกฎข้อบังคับและกฎหมายของประเทศอื่น

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๑๖ (๕) มาตรา ๒๘ และมาตรา ๒๙

ข้อหารือ
ธนาคาร Z ขอหารือเกี่ยวกับแนวทางการนำส่งข้อมูลส่วนบุคคลของกรรมการตามกฎข้อบังคับ
ของ Accounting and Corporate Regulatory Authority (ACRA) ประเทศสิงคโปร์ และ/หรือกฎข้อบังคับ
และกฎหมายของประเทศอื่น ดังนี้

1. คำว่า “ฐานการปฏิบัติตามกฎหมาย” ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.
   ๒๕๖๒ มาตรา ๒๘ (๑) ให้หมายความรวมถึงการปฏิบัติตามกฎหมายต่างประเทศด้วยหรือไม่
2. กรณีหากมาตรา ๒๘ (๑) หมายความถึงกฎหมายไทยเท่านั้น และประกอบกับประเทศไทย
   ยังไม่มีประกาศกำหนดเกี่ยวกับประเทศปลายทางหรือองค์การระหว่างประเทศที่มีมาตรฐานการคุ้มครองข้อมูล
   ส่วนบุคคลที่เพียงพอ ธนาคาร Z จะต้องดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๒๘ (๒) โดยขอความยินยอมจากกรรมการธนาคาร Z และแจ้งให้กรรมการทราบถึงมาตรฐานการคุ้มครอง
   ข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้วด้วย
   หรือไม่ อย่างไร หรือมีข้อแนะนำประการใดหรือไม่

ความเห็น
คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับ
การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
พิจารณาประเด็นข้อหารือของธนาคาร Z แล้ว มีความเห็นพร้อมข้อสังเกต ดังนี้
ประเด็นหารือที่ 1 เห็นว่า ผู้ควบคุมข้อมูลส่วนบุคคลจะส่งหรือโอนข้อมูลส่วนบุคคลไปยัง
ต่างประเทศได้เมื่อประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐาน
การคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ทั้งนี้ ต้องเป็นไปตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคล
ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามมาตรา ๑๖ (๕) ตามนัยมาตรา ๒๘
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เว้นแต่เข้าข้อยกเว้นตามมาตรา ๒๘ (๑) ถึง (๖) หรือ
เป็นไปตามมาตรา ๒๙ โดยสำหรับข้อยกเว้นตามมาตรา ๒๘ (๑) ที่เป็นการปฏิบัติตามกฎหมาย จะต้อง
เป็นกรณีที่มีกฎหมายกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้

โดยจะต้องเป็นกฎหมายที่มีสภาพบังคับต่อผู้ควบคุมข้อมูลส่วนบุคคล ดังนั้น กรณีที่จะสามารถใช้ข้อยกเว้นตามมาตรา ๒๘ (๑) ได้ จึงต้องเป็นกรณีการปฏิบัติตามกฎหมายของประเทศไทย

ประเด็นหารือที่ ๒ เห็นว่า ปัจจุบันยังไม่มีหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามมาตรา ๑๖ (๕) ประกอบมาตรา ๒๘ วรรคหนึ่งแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และยังไม่มีคำวินิจฉัยของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าประเทศปลายทางหรือองค์การระหว่างประเทศใดมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ (Adequacy Decisions) สำหรับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามมาตรา ๒๘ กรณีการนำส่งข้อมูลส่วนบุคคลของกรรมการตามกฎข้อบังคับของ Accounting and Corporate Regulatory Authority (ACRA) ประเทศสิงคโปร์ และ/หรือกฎข้อบังคับ และกฎหมายของประเทศอื่น ธนาคาร Z จึงต้องพิจารณาว่าการดำเนินการดังกล่าวเข้าข้อยกเว้นตามมาตรา ๒๘ (๑) ถึง (๖) หรือไม่ เช่น การนำส่งข้อมูลส่วนบุคคลของกรรมการของธนาคาร Z ถือเป็นการปฏิบัติหน้าที่ตามสัญญาของกรรมการต่อธนาคารฯ อันจะถือว่าเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งกรรมการในฐานะเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น ตามมาตรา ๒๘ (๓) หรือไม่ หากไม่มีกรณียกเว้นตามมาตรา ๒๘ (๑) (๓) (๔) (๕) หรือ (๖) ที่จะใช้เป็นเครื่องมือในการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศที่สามารถนำมาปรับใช้ได้แก่กรณี ธนาคาร Z จะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่อาจไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้วตามมาตรา ๒๘ (๒)