เรื่อง สำนักงานส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อมขอหารือในประเด็นเกี่ยวกับ
การคุ้มครองข้อมูลส่วนบุคคล

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๕ มาตรา ๖ มาตรา ๒๘ มาตรา ๒๙ มาตรา ๔๑ และมาตรา ๔๒

2. พระราชบัญญัติส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม พ.ศ. ๒๕๔๓ ซึ่งแก้ไขเพิ่มเติมโดย
   พระราชบัญญัติส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม (ฉบับที่ ๒) พ.ศ. ๒๕๖๑ มาตรา ๑๖

ข้อหารือ

สำนักงานส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม (สสว.) ขอหารือเกี่ยวกับข้อมูลส่วนบุคคล
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล การคุ้มครองข้อมูลส่วนบุคคล และการร่วม
ลงนามในข้อตกลงการเป็นผู้ควบคุมข้อมูลส่วนบุคคลร่วมของเว็บไซต์ ASEAN Access เพื่อปฏิบัติตามกฎหมาย
General Data Protection Regulation (GDPR) ของสหภาพยุโรป ดังนี้

1. ข้อมูลผู้ประกอบการที่เป็นบุคคลธรรมดา (ไม่ใช่นิติบุคคล) ถือเป็นข้อมูลส่วนบุคคลภายใต้
   พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ อย่างไร

2. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer : DPO) ต้องมีคุณสมบัติอย่างไร
   กรณีเป็นบุคคลภายนอกหรือภายในองค์กร มีข้อดีและข้อเสียแตกต่างกันอย่างไร และองค์กรมีความจำเป็น
   ต้องตั้งส่วนงานที่มีหน้าที่ความรับผิดชอบเป็นการเฉพาะ เพื่อปฏิบัติงานดังกล่าวหรือไม่ อย่างไร

3. ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) หมายถึงตัวนิติบุคคลหรือตัวองค์กรใช่หรือไม่
   และจำเป็นต้องมีการแต่งตั้งบุคคลธรรมดาเพื่อกระทำการแทนนิติบุคคลหรือองค์กรในการปฏิบัติหน้าที่
   เป็นผู้ควบคุมข้อมูลส่วนบุคคล หรือไม่ หากต้องมีการแต่งตั้งบุคคลธรรมดาเพื่อปฏิบัติหน้าที่ดังกล่าว
   บุคคลดังกล่าวควรมีคุณสมบัติอย่างไร และจำเป็นต้องเป็นผู้ครอบครองข้อมูลส่วนบุคคลหรือเจ้าของข้อมูล
   (Data Owner) หรือไม่ อย่างไร และควรเป็นบุคคลภายนอกหรือภายในองค์กร

4. ขอความคิดเห็นและข้อเสนอแนะในส่วนของ สสว. ในภาพรวม ในการลงนามในข้อตกลงการเป็น
   ผู้ควบคุมข้อมูลส่วนบุคคลร่วม (General Data Protection Regulation (GDPR) Joint Controller
   Agreement of ASEAN Access) ในการปฏิบัติตามกฎหมาย GDPR ของสหภาพยุโรป ซึ่งระบุหน้าที่
   และความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลร่วม

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือ และให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พิจารณาประเด็นข้อหารือของสำนักงานส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อมแล้ว เห็นว่า

ประเด็นหารือที่ ๑ มาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดว่า “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่า ทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ และ “บุคคล” หมายความว่า บุคคลธรรมดา ดังนั้น กรณีข้อมูลเกี่ยวกับผู้ประกอบการที่เป็นบุคคลธรรมดา ซึ่งมิใช่ข้อมูลของผู้ถึงแก่กรรม หรือข้อมูลของนิติบุคคล หากข้อมูลดังกล่าวทำให้สามารถระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม ข้อมูลดังกล่าวถือเป็นข้อมูลส่วนบุคคลภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ประเด็นหารือที่ ๒ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้กำหนดกรณีที่ผู้ ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูล ส่วนบุคคลไว้ในมาตรา ๔๑ คือ

(๑) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงานของรัฐ ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

(๒) การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ใน การเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุที่มี ข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

(๓) กิจกรรมหลักของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นการ เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖

นอกจากนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอาจประกาศกำหนดคุณสมบัติ ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ โดยคำนึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูล ส่วนบุคคล และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจปฏิบัติหน้าที่หรือการกิจอื่นได้ แต่ผู้ควบคุมข้อมูล ส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องรับรองกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าหน้าที่หรือการกิจดังกล่าวต้องไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัติดังกล่าว ทั้งนี้ ตามนัย มาตรา ๔๒

ดังนั้น โดยหลักการ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจึงควรมีความรู้หรือความเชี่ยวชาญ ด้านกฎหมายต่าง ๆ ที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล มีความเข้าใจในเรื่องมาตรการรักษา

ความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล และเข้าใจบริบทการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลภายในองค์กร โดยมาตรา ๔๑ วรรคเจ็ดแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดว่า เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจเป็นพนักงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลหรือเป็นผู้รับจ้างให้บริการตามสัญญากับผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลก็ได้ ดังนั้น ในการพิจารณาคัดเลือกเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจากบุคคลภายในองค์กรหรือบุคคลภายนอกที่เป็นผู้รับจ้างตามสัญญา (Outsourced DPO) สสว. จึงควรพิจารณาตามความเหมาะสมและความจำเป็นขององค์กรว่าสามารถจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้โดยวิธีใด เพื่อให้การปฏิบัติหน้าที่ตามมาตรา ๔๒ แห่งพระราชบัญญัติดังกล่าวเป็นไปอย่างมีประสิทธิภาพ

สำหรับประเด็นที่หารือเกี่ยวกับความจำเป็นในการจัดตั้งส่วนงานที่มีหน้าที่ความรับผิดชอบเป็นการเฉพาะ เพื่อปฏิบัติงานดังกล่าว เห็นว่า มาตรา ๔๒ วรรคสองกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องสนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โดยจัดหาเครื่องมือหรืออุปกรณ์อย่างเพียงพอ รวมทั้งอำนวยความสะดวกในการเข้าถึงข้อมูลส่วนบุคคลเพื่อการปฏิบัติหน้าที่ และจะให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลออกจากงานหรือเลิกสัญญาการจ้างด้วยเหตุที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้ ทั้งนี้ ในกรณีที่มีปัญหาในการปฏิบัติหน้าที่ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต้องสามารถรายงานไปยังผู้บริหารสูงสุดของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลโดยตรงได้ โดยพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้กำหนดวิธีการหรือแนวทางที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องดำเนินการเพื่อให้การทําหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเป็นไปตามกฎหมาย การพิจารณาความจำเป็นในการจัดตั้งส่วนงานที่มีหน้าที่ความรับผิดชอบเป็นการเฉพาะ เพื่อปฏิบัติงานในหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือการกำหนดและมอบหมายหน้าที่ของส่วนงานต่าง ๆ ที่มีอยู่แล้วภายในองค์กร จึงเป็นเรื่องภายในองค์กรที่ผู้เกี่ยวข้องสามารถพิจารณาดำเนินการให้เป็นไปตามพระราชบัญญัติดังกล่าวได้ตามความเหมาะสม

ประเด็นหารือที่ ๓ มาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังนั้น หากพิจารณาจากข้อเท็จจริงและลักษณะการดำเนินการแล้ว ในบริบทของกฎหมายนี้ หากองค์กรที่เป็นนิติบุคคลมีอำนาจตัดสินใจหรือดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล องค์กรดังกล่าวจะถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๖ แห่งพระราชบัญญัติดังกล่าว โดยไม่ต้องมีการแต่งตั้งบุคคลใดเพื่อปฏิบัติหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอีก โดยส่วนงาน หน่วยงาน ตลอดจนพนักงานและบุคลากรขององค์กรจะไม่มีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลแยกต่างหากจากองค์กร ดังนั้น เมื่อมาตรา ๑๖

แห่งพระราชบัญญัติส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม พ.ศ. ๒๕๔๑ ซึ่งแก้ไขเพิ่มเติมโดย
พระราชบัญญัติส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม (ฉบับที่ ๒) พ.ศ. ๒๕๖๑ กำหนดให้ สสว.
เป็นนิติบุคคล และมีวัตถุประสงค์ในการดำเนินงานตามที่กำหนด สสว. จึงเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล”
ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ประเด็นหารือที่ ๔ มาตรา ๕ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
กำหนดว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
โดยผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ไม่ว่าการเก็บรวบรวม
ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ได้กระทำในหรือนอกราชอาณาจักรก็ตาม และใช้บังคับแก่ผู้ควบคุมข้อมูล
ส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่นอกราชอาณาจักรที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ในการดำเนินกิจกรรมการเสนอสินค้าหรือ
บริการให้แก่เจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร และการเฝ้าติดตามพฤติกรรมของเจ้าของข้อมูล
ส่วนบุคคลที่เกิดขึ้นในราชอาณาจักร

การที่ สสว. ในฐานะนิติบุคคลซึ่งอยู่ในราชอาณาจักร ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผย
ข้อมูลส่วนบุคคลของผู้ประกอบการจากประเทศสมาชิกอาเซียน สสว. จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล
ซึ่งอยู่ในประเทศไทย ดังนั้น สสว. จึงมีหน้าที่ต้องปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัติดังกล่าว

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้นำหลักเกณฑ์และวิธีการที่กำหนด
ใน GDPR มาใช้เป็นแนวทางในการบัญญัติกฎหมายดังกล่าว แต่มิได้นำมาบัญญัติเป็นข้อกำหนดทั้งหมด
เช่น กรณีการเป็นผู้ควบคุมข้อมูลส่วนบุคคลร่วม (Joint Controller) ไม่มีบัญญัติในพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การที่ สสว. มีการลงนามในข้อตกลงการเป็นผู้ควบคุมข้อมูลส่วนบุคคลร่วม
(General Data Protection Regulation (GDPR) Joint Controller Agreement of ASEAN Access)
จึงจำเป็นต้องศึกษาบริบทกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรปหรือกฎหมาย
ของประเทศที่ต้องการให้ข้อตกลงนี้มีผลใช้บังคับว่าข้อตกลงดังกล่าวก่อให้เกิดสิทธิและหน้าที่ตามกฎหมาย
เพียงใด ทั้งนี้ เนื่องจากมีประเทศสมาชิกอาเซียนบางประเทศยังไม่มีการบังคับใช้กฎหมายเกี่ยวกับการคุ้มครอง
ข้อมูลส่วนบุคคล และในกรณีที่ต้องด้วยเงื่อนไขตามมาตรา ๕ ข้างต้น ผู้ควบคุมข้อมูลส่วนบุคคล
หรือผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กำหนดไว้ใน
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย โดยเฉพาะในกรณีที่เงื่อนไขภายใต้ข้อตกลงข้างต้น
มีการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ซึ่ง สสว. มีหน้าที่ต้องปฏิบัติให้สอดคล้องกับกฎหมาย
ในเรื่องการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามที่กำหนดไว้ในมาตรา ๒๘ หรือมาตรา ๒๙
แห่งพระราชบัญญัติดังกล่าวอีกด้วย

ภายใต้บริบทของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ Joint Controller Agreement อาจมีสภาพบังคับระหว่างคู่สัญญาในฐานะตัวการร่วมตามประมวลกฎหมายแพ่งและพาณิชย์ (ขึ้นอยู่กับรายละเอียดของข้อตกลง) โดย สสว. อาจพิจารณานำแนวทางในการจัดทำข้อตกลงการแบ่งปันข้อมูล (Data Sharing Agreement) ตาม ICO Data Sharing: a Code of Practice ของ Information Commissioner's Office (ICO) ของสหราชอาณาจักร (United Kingdom) ที่เผยแพร่ในเว็บไซต์ https://ico.org.uk/for-organisations/guide-to-data-protection/ico-codes-of-practice/data-sharing-code/ มาเป็นแนวทาง เพื่อกำหนดเงื่อนไขของ Joint Controller Agreement ให้สอดคล้องกับ GDPR ได้ และต้องกำหนดให้สอดคล้องกับหน้าที่ของ สสว. ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย