เรื่อง สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติขอหารือเกี่ยวกับการจัดทำ
ประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคล

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๒๑ มาตรา ๒๓ และมาตรา ๓๗ (๑)

2. แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล
   จากเจ้าของข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

3. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของ
   ผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕
   ข้อ ๔ (๒)

ข้อหารือ

สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ (สำนักงาน ป.ป.ช.) ขอหารือ กรณีสำนักงาน ป.ป.ช. ได้ดำเนินการประเมินคุณธรรมและความโปร่งใสในการดำเนินงานของหน่วยงานของรัฐ (Integrity & Transparency Assessment : ITA) ประจำปีงบประมาณ พ.ศ. ๒๕๖๖ เพื่อเป็นส่วนหนึ่งของการ ขับเคลื่อนมาตรการด้านการป้องกันการทุจริต รวมถึงเสริมสร้างและพัฒนาระบบการบริหารจัดการหน่วยงาน ของรัฐด้วยความโปร่งใส โดยในแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) ตัวชี้วัดที่ ๙ การเปิดเผยข้อมูล ตัวชี้วัด ย่อยที่ ๙.๑ ข้อมูลพื้นฐาน ข้อ ๐10 นโยบายคุ้มครองข้อมูลส่วนบุคคล ได้มีการกำหนดให้หน่วยงานภาครัฐ ที่เข้าร่วมการประเมินต้องดำเนินการเปิดเผยข้อมูลนโยบายคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เพื่อแจ้งรายละเอียดวิธีการคุ้มครองและจัดการข้อมูลส่วนบุคคลของหน่วยงาน ในการนี้ เพื่อให้การเปิดเผยข้อมูลตามแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) ของหน่วยงานที่เข้าร่วม การประเมินเป็นไปด้วยความเรียบร้อยและเป็นมาตรฐานเดียวกัน จึงหารือว่า ในการประกาศนโยบายคุ้มครอง ข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หน่วยงานที่มีฐานะเป็นนิติบุคคล ในสังกัดกระทรวง เช่น กรม องค์การมหาชน รัฐวิสาหกิจ เป็นต้น จะต้องดำเนินการจัดทำนโยบายการคุ้มครอง ข้อมูลส่วนบุคคลเป็นการเฉพาะของหน่วยงานหรือไม่ หรือสามารถจัดทำประกาศนโยบายคุ้มครองข้อมูล ส่วนบุคคล ในลักษณะภาพรวมของกระทรวงที่มีความครอบคลุมทุกหน่วยงานในสังกัดได้หรือไม่

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้กำหนดให้หน่วยงานของรัฐที่เป็นนิติบุคคลและมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล และมีหน้าที่ต้องแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ตามมาตรา ๒๓ รวมทั้งต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม และจะทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้ดังกล่าวไม่ได้ เว้นแต่ได้แจ้งวัตถุประสงค์ใหม่นั้นให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอมก่อนเก็บรวบรวม ใช้ หรือเปิดเผยแล้ว หรือบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือกฎหมายอื่นบัญญัติให้กระทำได้ ตามนัยมาตรา ๒๓ ซึ่งการแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ตามมาตรา ๒๓ นั้น ในภาษาอังกฤษจะเรียกว่า privacy notice แต่อาจเรียกเป็นภาษาไทยแตกต่างกันเช่น ประกาศความเป็นส่วนตัว ประกาศเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล นโยบายความเป็นส่วนตัว (privacy policy) หรือนโยบายการคุ้มครองข้อมูลส่วนบุคคล หรืออื่น ๆ ก็ได้ เนื่องจากพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มิได้กำหนดชื่อเรียกไว้เป็นการเฉพาะ และอาจมีการแจ้งเป็นหนังสือ การแจ้งทางวาจา การแจ้งทางข้อความในรูปแบบ SMS, อีเมล, MMS หรือทางโทรศัพท์หรือโดยวิธีการทางอิเล็กทรอนิกส์อื่นใด เช่น การระบุรายละเอียดใน URL หรือ QR code เป็นต้น รวมถึงอาจใช้สื่อประชาสัมพันธ์ในรูปแบบต่าง ๆ ก็ได้ แต่จะต้องมีสาระสำคัญที่สอดคล้องและเป็นไปตามบทบัญญัติในมาตรา ๒๓ ดังนั้น การแจ้งวัตถุประสงค์และรายละเอียดตามมาตรา ๒๓ (privacy notice) จึงเป็นหน้าที่ตามกฎหมายขององค์กรในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่จะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบตามที่กฎหมายกำหนด ทั้งนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้กำหนดแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งมีคำอธิบายเพิ่มเติมเกี่ยวกับการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ และมาตราอื่นที่เกี่ยวข้อง (ดูรายละเอียดได้ในเว็บไซต์ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่ http://www.pdpc.or.th/)

อย่างไรก็ดี คำว่า “นโยบายการคุ้มครองข้อมูลส่วนบุคคล” (privacy policy หรือ personal data protection policy) ยังมีที่ใช้ในอีกความหมายหนึ่ง คือ นโยบายภายในองค์กรที่หน่วยงานกำหนดขึ้น เพื่อวางหลักการหรือวิธีปฏิบัติเพื่อเป็นแนวทางการดำเนินการภายในหน่วยงานเอง (เช่นเดียวกับนโยบายในเรื่องอื่น ๆ เช่น นโยบายการอนุรักษ์พลังงาน) โดยหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอาจกำหนดว่าหน่วยงานมีนโยบายในการคุ้มครองข้อมูลส่วนบุคคลอย่างไร ซึ่งอาจกำหนดเป็นลายลักษณ์อักษรหรือไม่ก็ได้ ทั้งนี้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้กำหนดให้หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลกำหนดนโยบายการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานขึ้นอย่างชัดเจน แต่มาตรา ๓๗ (๑) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด และคณะกรรมการฯ ได้ออกประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ โดยข้อ ๔ (๒) ของประกาศดังกล่าวกำหนดให้มาตรการรักษาความมั่นคงปลอดภัยดังกล่าวอย่างน้อยจะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล (กล่าวคือ ใช้แนวคิดที่อ้างอิงบนฐานความเสี่ยง หรือ risk-based approach) ซึ่งนโยบายการคุ้มครองข้อมูลส่วนบุคคลภายในองค์กร อาจถือเป็นมาตรการเชิงองค์กรมาตรการหนึ่งที่หน่วยงานสามารถพิจารณากำหนดขึ้น เพื่อใช้เป็นแนวทางการดำเนินการภายในหน่วยงานได้ตามความเหมาะสม และการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลที่เป็นมาตรการเชิงองค์กรดังกล่าว ย่อมมีวัตถุประสงค์ในการสื่อสารแตกต่างจากการแจ้งวัตถุประสงค์และรายละเอียดตามมาตรา ๒๓ (privacy notice) กล่าวคือ นโยบายการคุ้มครองข้อมูลส่วนบุคคลที่เป็นมาตรการเชิงองค์กรเป็นการสื่อสารและส่งสัญญาณเชิงนโยบายภายในองค์กรระหว่างผู้บริหารและบุคลากรขององค์กร เช่น พนักงาน ลูกจ้าง และผู้ปฏิบัติงานในบทบาทต่าง ๆ เพื่อให้ทราบหลักการหรือแนวทางการดำเนินการขององค์กรเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล รวมถึงอาจกำหนดบทบาทหน้าที่ของบุคลากรที่เกี่ยวข้องกับเรื่องดังกล่าว และมาตรการลงโทษหากบุคลากรฝ่าฝืนนโยบายขององค์กร

ดังนั้น เพื่อให้การประเมินคุณธรรมและความโปร่งใสในการดำเนินงานของหน่วยงานภาครัฐ (Integrity and Transparency Assessment : ITA) ประจำปีงบประมาณ พ.ศ. ๒๕๖๖ บรรลุวัตถุประสงค์ตามที่สำนักงาน ป.ป.ช. กำหนด และสามารถดำเนินการได้โดยสอดคล้องกับหลักการในการแจ้งวัตถุประสงค์

และรายละเอียดของการเก็บรวบรวมข้อมูลส่วนบุคคล ให้เจ้าของข้อมูลส่วนบุคคลทราบตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำนักงาน ป.ป.ช. จึงควรกำหนดให้หน่วยงานภาครัฐที่มีฐานะ
เป็นนิติบุคคล เช่น กรม องค์การมหาชน รัฐวิสาหกิจ เป็นต้น ซึ่งถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่เข้าร่วมการประเมินดังกล่าวต้องจัดทำเอกสารหรือประกาศแจ้ง
วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ของหน่วยงานนั้นเป็นการ
เฉพาะตามที่มาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดไว้ อย่างไรก็ดี ในกรณี
ที่เห็นสมควร กระทรวงดังกล่าวก็คือจัดทำเอกสารหรือประกาศแจ้งวัตถุประสงค์และรายละเอียดในการเก็บ
รวบรวมข้อมูลส่วนบุคคล (privacy notice) ในลักษณะภาพรวมของกระทรวงที่มีความครอบคลุมทุกหน่วยงาน
ในสังกัดด้วยก็ได้ แต่หน่วยงานภาครัฐในสังกัดกระทรวงดังกล่าวที่มีฐานะเป็นนิติบุคคลจะต้องมีการดำเนินการ
แจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ในบริบทของหน่วยงาน
นั้นให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลด้วย ไม่ว่าจะใช้เอกสาร
หรือประกาศของหน่วยงานเองหรือเอกสารหรือประกาศในภาพรวมของกระทรวงที่สังกัดก็ตาม แต่ในกรณีนี้
ควรพิจารณาหลีกเลี่ยงการใช้คำว่า “นโยบาย” ในกรณีที่หมายถึง privacy notice ตามมาตรา ๒๓ เนื่องจากอาจ
ทำให้หน่วยงานเข้าใจคลาดเคลื่อนได้

นอกจากนี้ หากสำนักงาน ป.ป.ช. เห็นว่า ควรกำหนดให้หน่วยงานภาครัฐที่เข้าร่วมการประเมิน
ต้องดำเนินการเปิดเผยข้อมูลนโยบายของหน่วยงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นมาตรการ
เชิงองค์กรที่เป็นส่วนหนึ่งของมาตรการรักษาความมั่นคงปลอดภัยของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
ก็สามารถทำได้ แม้จะไม่ได้เป็นข้อกำหนดที่เป็นมาตรฐานขั้นต่ำตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. ๒๕๖๒ อย่างชัดเจนก็ตาม ซึ่งในกรณีนี้ อาจพิจารณาให้หน่วยงานที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวง
เช่น กรม องค์การมหาชน รัฐวิสาหกิจ เป็นต้น กำหนดนโยบายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
เป็นการเฉพาะของหน่วยงาน หรือจัดทำเป็นนโยบายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะภาพรวม
ของกระทรวงที่มีความครอบคลุมทุกหน่วยงานในสังกัดก็ได้ แล้วแต่จะเห็นสมควร โดยการดำเนินการอาจต้องมี
ความยืดหยุ่นและคำนึงถึงความแตกต่างกันตามบริบทและลักษณะการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลของแต่ละหน่วยงาน แม้จะสังกัดกระทรวงเดียวกันด้วย

เพื่อให้เกิดความชัดเจนในทางปฏิบัติ สำนักงาน ป.ป.ช. ควรจัดทำคำชี้แจงไว้เป็นหลักเกณฑ์
ในแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) และเอกสารที่เกี่ยวข้อง โดยเฉพาะในการทำความเข้าใจว่าตัวชี้วัด
ข้อดังกล่าวหมายถึงการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (privacy notice) หรือนโยบายภายในองค์กรที่เป็นมาตรการ

เชิงองค์กรของหน่วยงานที่มีเจตนาเป็นการวางหลักการหรือวิธีปฏิบัติเพื่อเป็นแนวทางการดำเนินการภายในหน่วยงาน
เอง เพื่อจะได้ไม่เป็นปัญหาสำหรับการดำเนินการในเรื่องดังกล่าว และทำให้หน่วยงานภาครัฐที่เข้าร่วมการประเมินฯ
สามารถดำเนินการได้อย่างถูกต้องตามวัตถุประสงค์ของการจัดให้มีการประเมินคุณธรรมและความโปร่งใสในการ
ดำเนินงานของหน่วยงานภาครัฐต่อไป