PDPC_Consult-19

เรื่อง บริษัท ก. ขอหารือกรณีบริษัทประกันภัยร้องขอให้ลงนามในหนังสือคำรับรองการได้รับความยินยอมจากพนักงานในฐานะเจ้าของข้อมูลส่วนบุคคล

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๑๘ มาตรา ๒๐ มาตรา ๒๓ มาตรา ๒๔ มาตรา ๒๖ มาตรา ๒๗ และมาตรา ๘๕

2. ประมวลกฎหมายแพ่งและพาณิชย์
   ลักษณะ ๔ นิติกรรม และมาตรา ๑๔๙

3. แนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อหารือ

บริษัท ก. โดยเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ แจ้งว่า บริษัทประกันภัย อ. (“อ.”) ได้ดำเนินการร้องขอบริษัท ก. โดยแนวทางของสมาคมประกันภัย ให้บริษัท ก. ลงนามในคำรับรองการได้รับความยินยอมจากสมาชิกผู้เอาประกันภัย/ผู้อยู่ในอุปการะ (“หนังสือคำรับรอง”) โดยเนื้อหาหลักโดยรวมของหนังสือคำรับรอง เป็นกรณีให้บริษัท ก. รับรองว่าพนักงานผู้เอาประกันกลุ่มยินยอมและรับรองความถูกต้องให้ประมวลผล (processing) ข้อมูลส่วนบุคคลของพนักงานแก่ อ. (กล่าวในอีกนัยคือเสมือนหนึ่งให้บริษัท ก. รับรองแทนพนักงานในการให้ความยินยอมและความถูกต้อง) หรือธุรกิจเกี่ยวเนื่องกับธุรกิจประกันภัยทั้งหมด และผลักภาระการขอความยินยอมทั้งหมดมาที่บริษัท ก. หากบริษัท ก. ไม่ลงนามจะเสียสิทธิการต่อประกัน หรือการเพิ่มสมาชิกเอาประกันภัย อ. โดยทางบริษัท ก. ได้มีกรมธรรม์กลุ่มกับ อ. มากกว่า ๔-๕ ปีแล้ว โดยผ่าน บริษัทที่เป็นตัวแทนนายหน้าแห่งหนึ่ง โดยทางบริษัท ก. เห็นว่า (๑) โดยหลักการของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การยินยอมเปิดเผยข้อมูลส่วนบุคคลต้องมาจากตัวเจ้าของข้อมูลส่วนบุคคลโดยแท้ มิใช่ใครจะให้ความยินยอมแทนได้ นอกจากนี้เมื่อไปถึงโรงพยาบาล (กรณีพนักงานต้องการใช้สิทธิ) ก็เป็นสิทธิ พนักงานในการให้ความยินยอมอีกครั้ง (๒) ทางบริษัท ก. กับ อ. มีการจำกัดความรับผิดค่ารักษาพยาบาลต่าง ๆ โดยตัวกรมธรรม์ (๓) การที่ อ. ปฏิเสธการให้บริการโดยอ้างการไม่ให้ความยินยอมผิดหลักมาตรา ๑๘ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (๔) อ. สามารถใช้วัตถุประสงค์เดิมจากการทำกรมธรรม์ กลุ่มที่มีโดยไม่ต้องมีเอกสารความยินยอมเพิ่มเติมอีกจากบริษัท ก. ตามมาตรา ๘๕ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แต่ อ. ยังต้องการให้บริษัท ก. ลงนามหนังสือคำรับรองฉบับดังกล่าว

บริษัท ก. จึงขอหารือในประเด็นดังนี้

๑. หนังสือคำรับรองของ ฮ. เป็นเอกสารที่ผิดวัตถุประสงค์ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ (ยินยอมแทนพนักงานเพื่อ Processing Sensitive Data)

๒. การที่ ฮ. บังคับให้ลงนามหนังสือคำรับรอง โดยหากไม่ลงนามจะไม่ให้บริการบริษัท ก. (เช่น ระงับการรับประกันภัยสมาชิกใหม่เพิ่มเติมระหว่างปีกรมธรรม์ และระงับการนำส่งหนังสือแจ้งเตือนต่ออายุกรมธรรม์ และไม่ต่ออายุกรมธรรม์ประกันภัยเมื่อถึงวันครบรอบปีกรมธรรม์) ผิดมาตรา ๑๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่

๓. ลักษณะการผลักภาระความรับผิดชอบในการขอความยินยอมมาที่บริษัท ก. เป็นลักษณะที่มีวัตถุประสงค์ที่ไม่ชอบด้วยกฎหมายหรือไม่

๔. หนังสือคำรับรอง สามารถแก้ไขได้หรือไม่ มีข้อกฎหมายใดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่บริษัท ก. จะต้องลงนามหรือเป็นลักษณะบังคับให้บริษัท ก. ต้องกระทำการ

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า

ประเด็นหารือที่ ๑ ถึง ๓ เห็นว่า ในการขอความยินยอม มาตรา ๑๙ วรรคหนึ่ง วรรคสอง และวรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติให้ผู้ควบคุมข้อมูลส่วนบุคคลที่จะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ และการขอความยินยอมต้องทำโดยชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีการดังกล่าวได้ รวมถึงต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไปด้วยซึ่งต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่าย และไม่เป็นการหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว โดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้กำหนดแนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เพื่อให้มีคำอธิบายที่เป็นแนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลแก่ผู้เกี่ยวข้องที่ชัดเจนมากขึ้น (สามารถดูรายละเอียดได้ที่เว็บไซต์ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล)

อย่างไรก็ดี ผู้ควบคุมข้อมูลส่วนบุคคลอาจมอบหมายให้ตัวแทนหรือผู้อื่นกระทำการแทนในเรื่องการขอความยินยอมดังกล่าวได้ เนื่องจากในบางกรณีอาจมีข้อจำกัดในทางปฏิบัติเนื่องจากผู้ควบคุมข้อมูลส่วนบุคคลที่ต้องขอความยินยอมไม่ได้เป็นผู้ติดต่อสื่อสารกับเจ้าของข้อมูลส่วนบุคคลโดยตรง แต่มีตัวแทนหรือตัวกลางที่ทำหน้าที่ประสานงานแทน โดยเฉพาะในกรณีที่เป็นการดำเนินการกับเจ้าของข้อมูลส่วนบุคคลเป็นกลุ่ม และไม่มีช่องทางที่ผู้ควบคุมข้อมูลส่วนบุคคลจะสามารถติดต่อสื่อสารกับเจ้าของข้อมูลส่วนบุคคลแต่ละรายได้โดยง่าย จึงอาจมีการมอบหมายให้ตัวแทนหรือผู้อื่นทำการขอความยินยอมแทนผู้ควบคุมข้อมูลส่วนบุคคลได้ ทั้งนี้ ตามประมวลกฎหมายแพ่งและพาณิชย์ การให้ความยินยอมเป็นนิติกรรมฝ่ายเดียวที่บุคคลหนึ่งทำลงโดยชอบด้วยกฎหมายและด้วยใจสมัคร เพื่อเป็นการแสดงเจตนาของตนว่ายินยอมให้ผู้ใดกระทำการใดต่อสิทธิของตนเพื่อวัตถุประสงค์อย่างหนึ่งอย่างใดได้ โดยในการให้ความยินยอมอาจมีการกำหนดขอบเขตเงื่อนไข เงื่อนเวลา และวิธีการในการกระทำดังกล่าวได้ และผู้แสดงเจตนาอาจถอนความยินยอมได้ในภายหลังการขอความยินยอมและการให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจึงไม่จำเป็นต้องกระทำโดยผู้ควบคุมข้อมูลส่วนบุคคลต่อเจ้าของข้อมูลส่วนบุคคลโดยตรง แต่จะต้องมีเนื้อหาที่ครอบคลุมถึงการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคล (หรือบุคคลอื่น) ในวัตถุประสงค์ที่เกี่ยวข้องและจะต้องเป็นการขอความยินยอมโดยชอบด้วยกฎหมาย โดยเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยในการมอบหมายให้ตัวแทนหรือผู้อื่นทำการขอความยินยอมแทนผู้ควบคุมข้อมูลส่วนบุคคล อาจมีการกำหนดหน้าที่ความรับผิดชอบและสิทธิ ตลอดจนความรับผิดของแต่ละฝ่ายไว้ในรูปแบบนิติกรรมหรือสัญญาที่มอบหมายหน้าที่ (หรือ “ผลักภาระ”) ให้อีกฝ่ายหนึ่งเป็นผู้ขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลแทนตนได้ (ตราบเท่าที่ไม่ได้เป็นการมอบหมายหน้าที่ให้ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของตน ที่จะทำให้ฝ่ายที่ได้รับมอบหมายมีฐานะเปลี่ยนไปเป็นผู้ประมวลผลข้อมูลส่วนบุคคล) และเป็นกรณีที่คู่สัญญาทุกฝ่ายจะพิจารณาเจรจาเงื่อนไขในนิติกรรมหรือสัญญาร่วมกันได้ตามที่เห็นสมควรเพื่อประโยชน์ร่วมกันของคู่สัญญาทุกฝ่ายและเพื่อคุ้มครองประโยชน์ของฝ่ายตน

สำหรับประเด็นที่บริษัท ก. หารีอมานั้น เมื่อพิจารณาข้อความในหนังสือคำรับรองของบริษัทประกันภัยที่ได้กำหนดให้บริษัท ก. ในฐานะผู้ถือกรมธรรม์ ต้องลงนามในคำรับรองสำหรับผู้ถือกรมธรรม์ ซึ่งเรียกว่า “หนังสือรับรองการได้รับความยินยอมจากสมาชิกผู้เอาประกันภัย/สมาชิกสมทบ” หรือ “หนังสือรับรองการได้รับความยินยอมจากสมาชิกผู้เอาประกันภัย/ผู้อยู่ในอุปการะ” ตามแนวปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ระหว่างบริษัทประกันชีวิตและบริษัทนายหน้าประกันภัย ที่สมาคมประกันชีวิตไทยร่วมกับสมาคมนายหน้าประกันภัยไทยจัดทำขึ้นนั้น พบว่า เป็นเพียงการรับรองต่อบริษัทประกันภัยที่เป็นผู้รับประกันภัยในลักษณะที่เป็นการยืนยันว่า บริษัท ก. ได้ทำหน้าที่ในการแจ้งนโยบายคุ้มครองข้อมูลส่วนบุคคลของผู้รับประกันภัยให้กับสมาชิกผู้เอาประกันภัย/สมาชิกสมทบ หรือสมาชิกผู้เอาประกันภัย/ผู้อยู่ในอุปการะ แล้วแต่กรณี

รับทราบแล้ว (เพื่อให้เป็นไปตามมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในเรื่อง
การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล หรือ privacy notice) และได้รับรองว่า
ข้อมูลของสมาชิกผู้เอาประกันภัยที่ส่งให้ผู้รับประกันภัยและ/หรือนายหน้าประกันชีวิตเป็นข้อมูลที่ถูกต้อง
และได้นำ “หนังสือให้ความยินยอมเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลและข้อมูลอ่อนไหว
เพื่อการทำประกันภัยกลุ่ม” หรือเอกสารในลักษณะเดียวกัน ไปขอความยินยอมจากพนักงานของบริษัท ก. ที่เป็น
สมาชิกผู้เอาประกันภัย/สมาชิกสมทบ หรือสมาชิกผู้เอาประกันภัย/ผู้อยู่ในอุปการะ แล้วแต่กรณี แทนบริษัท
ประกันชีวิตที่เป็นผู้รับประกันภัย และได้รับความยินยอมจากพนักงานแล้ว รวมถึงบริษัท ก. ตกลงว่าจะจัดเก็บ
หลักฐานความยินยอมของสมาชิกผู้เอาประกันภัยไว้ตลอดเวลา และสามารถให้สำเนาแก่ผู้รับประกันภัยและ/หรือ
นายหน้าประกันชีวิตได้เมื่อร้องขอ รวมถึงมีหน้าที่ดำเนินการในกรณีที่สมาชิกถอนความยินยอม และมีความ
รับผิดชอบตามกฎหมายต่อนายหน้าประกันชีวิต และ/หรือผู้รับประกันภัยตามที่กำหนด การที่บริษัท ก. ทำหน้าที่
ประสานงานเพื่อขอความยินยอมจากพนักงานของบริษัท ก. แทนผู้รับประกันภัยและ/หรือนายหน้าประกันชีวิต
หรือบุคคลอื่นใดตามที่กำหนดในหนังสือดังกล่าว และให้คำรับรองกับผู้รับประกันภัยและ/หรือนายหน้าประกันชีวิต
ตามที่กำหนดในหนังสือ จึงไม่ใช่การที่บริษัท ก. ให้ความยินยอมแทนพนักงานซึ่งเป็นเจ้าของข้อมูลส่วนบุคคล
ดังนั้น คำรับรองและหนังสือรับรองการได้รับความยินยอมจากสมาชิกผู้เอาประกันภัย/สมาชิกสมทบ หรือสมาชิก
ผู้เอาประกันภัย/ผู้อยู่ในอุปการะ แล้วแต่กรณี ดังกล่าว จึงไม่ใช่การขอความยินยอมและการให้ความยินยอม
ตามนัยมาตรา ๑๘ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เนื้อหาในคำรับรองตามที่กำหนด
ในหนังสือดังกล่าวที่มีลักษณะเป็นการมอบหมายหน้าที่หรือ “ผลักภาระ” ความรับผิดชอบในการขอความยินยอม
มายังบริษัท ก. สามารถกระทำได้โดยชอบด้วยกฎหมาย หากผู้ที่ได้รับมอบหมายภาระหน้าที่ความรับผิดชอบ
ดังกล่าวได้ดำเนินการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลและเจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอม
โดยชอบด้วยกฎหมายและเป็นไปตามมาตรา ๑๘ และมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. ๒๕๖๒ แล้ว โดยบริษัท ก. สามารถลงนามให้คำรับรองตามที่กำหนดในหนังสือดังกล่าวได้หากพิจารณาแล้ว
เห็นว่าสามารถปฏิบัติตามเงื่อนไข หน้าที่ และยอมรับความรับผิดตามที่กำหนดในหนังสือดังกล่าวได้ หรือหากไม่
สามารถยอมรับเงื่อนไขดังกล่าวได้ ก็อาจพิจารณาเจรจากับผู้รับประกันภัยที่เป็นคู่สัญญา หรือพิจารณาเงื่อนไข
การให้บริการของบริษัทประกันชีวิตรายอื่นว่ามีความแตกต่างหรือไม่ เพียงใด ทั้งนี้ มีข้อสังเกตว่า การที่บริษัท
ประกันชีวิตกำหนดเงื่อนไขในลักษณะบังคับให้บริษัทฯ ลงนามในหนังสือรับรองดังกล่าว โดยหากไม่ลงนาม
จะไม่ให้บริการแก่บริษัท ก. อีกต่อไป อาจเป็นความพยายามในการดำเนินการของบริษัทประกันชีวิตเพื่อให้มีการ
ขอความยินยอมและการให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยชอบด้วย
กฎหมายเพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ภายใต้ข้อจำกัดในทางปฏิบัติ
ที่บริษัทประกันชีวิตที่ต้องขอความยินยอมไม่ได้เป็นผู้ติดต่อสื่อสารกับเจ้าของข้อมูลส่วนบุคคลโดยตรง แต่มีตัวแทน
หรือตัวกลางที่ทำหน้าที่ประสานงานแทน โดยเฉพาะในกรณีที่เป็นการดำเนินการกับเจ้าของข้อมูลส่วนบุคคล

เป็นกลุ่ม และไม่มีช่องทางที่ผู้ควบคุมข้อมูลส่วนบุคคลจะสามารถติดต่อสื่อสารกับเจ้าของข้อมูลส่วนบุคคลแต่ละรายได้โดยง่าย จึงจำเป็นต้องมอบหมายให้ตัวแทนหรือผู้อื่นทำการขอความยินยอมแทนผู้ควบคุมข้อมูลส่วนบุคคลได้ ซึ่งกรณีดังกล่าวเป็นการพิจารณาทำนิติกรรมหรือสัญญาระหว่างเอกชนด้วยกัน เงื่อนไขการให้บริการตามสัญญาเดิมที่ยังมีผลผูกพัน รวมถึงการสิ้นสุดของสัญญานั้น จึงย่อมเป็นไปตามเงื่อนไขในสัญญานั้น และบทบัญญัติแห่งประมวลกฎหมายแพ่งและพาณิชย์ ส่วนการให้บริการตามสัญญาที่อาจมีขึ้นในอนาคต ย่อมขึ้นอยู่กับการเจรจาร่วมกันระหว่างผู้เกี่ยวข้อง หากผู้สัญญาฝ่ายใดไม่ยอมรับเงื่อนไขในสัญญาที่อีกฝ่ายเสนอ ก็สามารถปฏิเสธการทำสัญญาร่วมกันได้

ประเด็นหารือที่ ๔ เห็นว่า คำรับรองตามที่กำหนดในหนังสือรับรองการได้รับความยินยอมจากสมาชิกผู้เอาประกันภัย/สมาชิกสมทบ หรือสมาชิกผู้เอาประกันภัย/ผู้อยู่ในอุปการะ แล้วแต่กรณี เป็นนิติกรรมตามประมวลกฎหมายแพ่งและพาณิชย์ และไม่ใช่การขอความยินยอมหรือการให้ความยินยอมตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ผู้เกี่ยวข้องจึงสามารถพิจารณาแก้ไขได้โดยเป็นไปตามประมวลกฎหมายแพ่งและพาณิชย์ และไม่มีบทบัญญัติใดในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติห้ามมิให้มีลักษณะบังคับให้บริษัท ก. ต้องดำเนินการ และไม่มีบทบัญญัติใดในพระราชบัญญัติดังกล่าวบัญญัติว่าบริษัท ก. จะต้องลงนามหรือไม่ แต่มาตรา ๑๙ ประกอบมาตรา ๒๔ มาตรา ๒๖ และมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลที่เกี่ยวข้องตามกรณีที่หารือนี้ ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะเก็บรวบรวม ใช้ หรือเปิดเผย ผู้เกี่ยวข้องจึงควรพิจารณาหารือร่วมกันเพื่อให้การดำเนินการเป็นไปตามพระราชบัญญัตินี้ เพื่อคุ้มครองข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล และเพื่อให้เกิดประโยชน์ร่วมกันของทุกฝ่าย