PDPC_Consult-30

เรื่อง สำนักงาน ป.ป.ช. ขอให้ตีความและวินิจฉัยชี้ขาดปัญหาการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ (๕) มาตรา ๔ วรรคสาม มาตรา ๖ มาตรา ๒๓ มาตรา ๒๔ มาตรา ๒๖ มาตรา ๔๑ และมาตรา ๙๓

2. พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. ๒๕๖๑
   มาตรา ๒๘

3. พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๓ (สิ้นผลใช้บังคับแล้ว)

4. พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (ฉบับที่ ๒) พ.ศ. ๒๕๖๔ (สิ้นผลใช้บังคับแล้ว)

ข้อหารือ

สำนักงาน ป.ป.ช. ขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตีความและวินิจฉัยชี้ขาดปัญหาการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยมีประเด็นดังนี้

1. การดำเนินงานตามกระบวนการยุติธรรมทางอาญา หมายความรวมถึงการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลเพื่อนำไปใช้ในกระบวนการที่นำไปสู่การลงโทษผู้กระทำความผิดซึ่งมีโทษทางอาญาหรือทางวินัย ด้วยหรือไม่ อย่างไร

2. การกิจของคณะกรรมการ ป.ป.ช. ตามมาตรา ๒๘ แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. ๒๕๖๑ เป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญาตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๔ (๕) หรือไม่ อย่างไร

3. กรณีหากคณะกรรมการ ป.ป.ช. ไม่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำนักงาน ป.ป.ช. ซึ่งมีหน้าที่และอำนาจรับผิดชอบงานธุรการ และดำเนินการเพื่อให้คณะกรรมการ ป.ป.ช. บรรลุภารกิจและหน้าที่ตามที่กฎหมายกำหนดไว้ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ของสำนักงาน ป.ป.ช. ได้รับการยกเว้นไม่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วยหรือไม่ อย่างไร

๔. กรณีหากสำนักงาน ป.ป.ช. ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำนักงาน ป.ป.ช. ต้องดำเนินการกำหนด “ผู้ควบคุมข้อมูลส่วนบุคคล” “ผู้ประมวลผลข้อมูลส่วนบุคคล” และ “เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” หรือไม่ และในลักษณะใด

๕. สำนักงาน ป.ป.ช. ต้องกำหนดนโยบายคุ้มครองข้อมูลส่วนบุคคลกับข้อมูลที่ได้รับยกเว้นตามมาตรา ๔ หรือไม่ อย่างไร

๖. ข้อมูลส่วนบุคคลทุกข้อมูลที่หน่วยงานรัฐจัดเก็บ และข้อมูลที่ได้รับการยกเว้นตามมาตรา ๔ ต้องมีฐานการประมวลตามมาตรา ๒๔ หรือไม่

๗. ขอให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเผยแพร่นโยบายในการคุ้มครองข้อมูลส่วนบุคคลเพื่อเป็นแนวทางแก่หน่วยงานอื่น

๘. ปัจจุบันมีพระราชกฤษฎีกายกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือไม่ อย่างไร

๙. ขอความอนุเคราะห์จัดส่งรายงานการประชุมของคณะกรรมการวิสามัญพิจารณาร่างพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ... เพื่อใช้ประกอบการดำเนินการของสำนักงาน ป.ป.ช.

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือ และให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้พิจารณาประเด็นข้อหารือของสำนักงาน ป.ป.ช. แล้ว มีความเห็นพร้อมข้อสังเกต ดังนี้

กรณีตามข้อหารือข้อ ๑ เห็นว่า การดำเนินงานตามกระบวนการยุติธรรมทางอาญาเป็นการดำเนินงานของเจ้าหน้าที่เพื่อกำหนดโทษที่จะลงแก่ผู้กระทำความผิดตามประมวลกฎหมายอาญา กรณีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อนำไปใช้ในกระบวนการที่นำไปสู่การลงโทษผู้กระทำความผิดซึ่งมีโทษทางอาญา ถือเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา ซึ่งได้รับการยกเว้นตามมาตรา ๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้องปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัติดังกล่าว แต่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานตามมาตรา ๔ วรรคสาม แห่งพระราชบัญญัติดังกล่าว ส่วนกรณีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลเพื่อนำไปใช้ในกระบวนการที่นำไปสู่การลงโทษผู้กระทำความผิดซึ่งมีโทษทางวินัยที่ไม่เกี่ยวเนื่องกับการกระทำผิดทางอาญา ไม่ถือเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา จึงไม่ได้รับการยกเว้นตามมาตรา ๔ (๕) แห่งพระราชบัญญัติดังกล่าว โดยการเก็บรวบรวมข้อมูลส่วนบุคคลต้องปฏิบัติตามมาตรา ๒๔ และมาตรา ๒๖ แห่งพระราชบัญญัติดังกล่าว

กรณีตามข้อหารือข้อ ๒ เห็นว่า หากภารกิจใดของคณะกรรมการ ป.ป.ช. ตามมาตรา ๒๘ แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. ๒๕๖๑ เป็นการใช้

อำนาจและหน้าที่ในการสอบสวนเช่นเดียวกับพนักงานสอบสวนตามประมวลกฎหมายวิธีพิจารณาความอาญา เพื่อกำหนดโทษที่จะลงแก่ผู้กระทำความผิดตามประมวลกฎหมายอาญา การดำเนินงานดังกล่าวถือเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา ซึ่งได้รับการยกเว้นตามมาตรา ๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จึงไม่ต้องปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัติดังกล่าว แต่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด สำหรับการดำเนินการอื่น ๆ ของคณะกรรมการ ป.ป.ช. ที่มิใช่กระบวนการยุติธรรมทางอาญา คณะกรรมการฯ มีหน้าที่ต้องปฏิบัติตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดไว้

กรณีตามข้อหารือข้อ ๓ เห็นว่า กรณีหากการดำเนินกิจกรรมของสำนักงาน ป.ป.ช. เป็นการใช้หน้าที่และอำนาจเพื่อดำเนินงานตามกระบวนการยุติธรรมทางอาญา การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสำนักงาน ป.ป.ช. จะได้รับการยกเว้นตามมาตรา ๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่ไม่ต้องปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัติดังกล่าว แต่ต้องปฏิบัติตามมาตรา ๔ วรรคสาม โดยจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด อย่างไรก็ตาม สำหรับการดำเนินกิจกรรมของสำนักงาน ป.ป.ช. ที่เป็นการใช้หน้าที่และอำนาจเพื่อดำเนินงานธุรกิจอื่นซึ่งไม่เกี่ยวกับการดำเนินงานตามกระบวนการยุติธรรมทางอาญา จะไม่ได้รับการยกเว้นตามมาตรา ๔ (๕) แห่งพระราชบัญญัติดังกล่าว ดังนั้น การดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสำนักงาน ป.ป.ช. ในส่วนอื่นนั้นต้องปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัติดังกล่าว

กรณีตามข้อหารือข้อ ๔ เห็นว่า มาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดให้บุคคลหรือนิติบุคคลซึ่งมีอำนาจตัดสินใจหรือดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคล และกำหนดให้บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ดังนั้น หากสำนักงาน ป.ป.ช. ซึ่งเป็นนิติบุคคล มีการดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในหน้าที่และอำนาจของตน สำนักงานฯ จะถือเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” แล้ว โดยไม่ต้องกำหนดบุคคลใดของสำนักงานฯ เป็นผู้ควบคุมข้อมูลส่วนบุคคลอีก สำหรับบุคคลหรือนิติบุคคลภายนอกซึ่งสำนักงานฯ กำหนดให้ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของสำนักงานฯ ในฐานะที่สำนักงานฯ เป็นผู้ควบคุมข้อมูลส่วนบุคคล ถือว่าเป็น “ผู้ประมวลผลข้อมูลส่วนบุคคล” ให้แก่สำนักงานฯ ตามพระราชบัญญัตินี้

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้กำหนดกิจกรรมที่ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลไว้ในมาตรา ๔๑

โดยรวมถึงกรณีที่กิจกรรมหลักของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ ด้วย ดังนั้น การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของสำนักงาน ป.ป.ช. จึงต้องพิจารณาให้เป็นไปตามมาตรา ๒๖ ประกอบกับมาตรา ๔๑ แห่งพระราชบัญญัติดังกล่าว กรณีหากการกิจของสำนักงาน ป.ป.ช. เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ (เช่น ประวัติอาชญากรรม) เป็นกิจกรรมหลัก สำนักงาน ป.ป.ช. ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โดยคำนึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และไม่ปฏิบัติหน้าที่อื่นใดที่เป็นการขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัติดังกล่าว

กรณีตามข้อหารือข้อ ๕ เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งประกาศความเป็นส่วนตัว (privacy notice) เพื่อให้เจ้าของข้อมูลส่วนบุคคลทราบเงื่อนไขเกี่ยวกับการเก็บรวบรวมเพื่อใช้หรือเปิดเผยข้อมูลส่วนบุคคลไว้ในมาตรา ๒๓ ดังนั้น กรณีหากการเก็บรวบรวมข้อมูลส่วนบุคคลของสำนักงาน ป.ป.ช. เป็นการดำเนินงานที่ได้รับยกเว้นตามมาตรา ๔ แห่งพระราชบัญญัติดังกล่าว สำนักงาน ป.ป.ช. ไม่ต้องแจ้งประกาศความเป็นส่วนตัว (privacy notice) และนโยบายต่าง ๆ ให้กับเจ้าของข้อมูลส่วนบุคคล แต่สำนักงาน ป.ป.ช. มีหน้าที่ตามมาตรา ๔ วรรคสาม โดยต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ทั้งนี้ การเก็บรวบรวมข้อมูลส่วนบุคคลอื่น ๆ ของสำนักงาน ป.ป.ช. ที่ไม่ได้รับการยกเว้นตามมาตรา ๔ แห่งพระราชบัญญัติดังกล่าว สำนักงาน ป.ป.ช. มีหน้าที่ต้องแจ้งประกาศความเป็นส่วนตัว (privacy notice) ให้เจ้าของข้อมูลส่วนบุคคลทราบตามมาตรา ๒๓ อย่างไรก็ดี สำหรับนโยบายการคุ้มครองข้อมูลส่วนบุคคล (privacy policy หรือ personal data protection policy) ซึ่งเป็นนโยบายและแนวปฏิบัติภายในองค์กรในการคุ้มครองข้อมูลส่วนบุคคลนั้น ที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้กำหนดให้ต้องจัดทำ แต่นโยบายดังกล่าวถือเป็นมาตรการเชิงองค์กรอย่างหนึ่งที่ผู้ควบคุมข้อมูลส่วนบุคคลควรพิจารณาจัดทำและประกาศใช้ภายในองค์กรเพื่อประโยชน์ในการบริหารจัดการข้อมูลส่วนบุคคลขององค์กรเอง

กรณีตามข้อหารือข้อ ๖ เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดว่า การเก็บรวบรวมข้อมูลส่วนบุคคลต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล หรือต้องมีฐานการประมวลตามมาตรา ๒๔ และ/หรือมาตรา ๒๖ แล้วแต่กรณี เว้นแต่เป็นการดำเนินงานตามมาตรา ๔ ดังนั้น หากสำนักงานป.ป.ช. ดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อการอื่นที่มิใช่การดำเนินการตามมาตรา ๔ สำนักงาน ป.ป.ช. ต้องปฏิบัติตามมาตรา ๒๔ และ/หรือมาตรา ๒๖ และมีหน้าที่อื่นตามที่กฎหมายกำหนด แต่หากการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นการดำเนินงานตามมาตรา ๔ สำนักงาน ป.ป.ช. มีอำนาจหน้าที่ตามกฎหมายในการดำเนินการได้โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล และไม่ต้องมีฐานทางกฎหมายตามมาตรา ๒๔ และ/หรือ

มาตรา ๒๖ แต่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

กรณีตามข้อหารือข้อ ๗ ปัจจุบัน (กันยายน ๒๕๖๕) สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมอยู่ระหว่างการทําหน้าที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลชั่วคราวเพื่อจัดตั้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๙๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ดังนั้น การดําเนินการต่าง ๆ รวมถึงการประกาศนโยบายการคุ้มครองข้อมูลส่วนบุคคลของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในขณะที่ยังจัดตั้งไม่แล้วเสร็จ จึงเป็นการดําเนินการภายใต้สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม

ทั้งนี้ สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมได้มีการเผยแพร่นโยบายการคุ้มครองข้อมูลส่วนบุคคลดังกล่าวทาง https://www.mdes.go.th/mission/82

กรณีตามข้อหารือข้อ ๘ เห็นว่า ปัจจุบัน (กันยายน ๒๕๖๕) พระราชกฤษฎีกาที่เกี่ยวกับการยกเว้นไม่ให้นําบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคล ยังไม่มีการบัญญัติและประกาศใช้ มีเพียงแต่พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มีจำนวน ๒ ฉบับ ดังนี้

๑. พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๓ กำหนดมิให้นําบทบัญญัติในหมวด ๒ หมวด ๓ หมวด ๕ หมวด ๖ และหมวด ๗ และมาตรา ๓๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นหน่วยงานหรือกิจการตามบัญชีท้ายพระราชกฤษฎีกา โดยให้มีผลใช้บังคับตั้งแต่วันที่ ๒๗ พฤษภาคม พ.ศ. ๒๕๖๑ จนถึงวันที่ ๓๑ พฤษภาคม พ.ศ. ๒๕๖๔

๒. พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (ฉบับที่ ๒) พ.ศ. ๒๕๖๔ กำหนดขยายระยะเวลาการใช้บังคับพระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ออกไปอีก โดยให้มีผลใช้บังคับตั้งแต่วันที่ ๒๗ พฤษภาคม พ.ศ. ๒๕๖๕ จนถึงวันที่ ๓๑ พฤษภาคม ๒๕๖๕

ปัจจุบัน (กันยายน ๒๕๖๕) พระราชกฤษฎีกาตาม ๑. และ ๒. ได้สิ้นผลใช้บังคับไปแล้ว และได้มีการจัดทําร่างพระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือหน่วยงานที่ยกเว้นมิให้นําพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับ พ.ศ. ... โดยคณะรัฐมนตรีได้มีมติเห็นชอบเมื่อวันที่ ๕ กรกฎาคม

๒๕๖๕ ซึ่งขณะนี้ (กันยายน ๒๕๖๕) อยู่ระหว่างการตรวจพิจารณาของสำนักงานคณะกรรมการกฤษฎีกา ทั้งนี้ ถ้าหากถูกจัดทำพัฒนาการคณะกรรมการกฤษฎีกา และมีการลงประกาศในราชกิจจานุเบกษาแล้วสำนักงานคณะกรรมการกฤษฎีกา และมีการลงประกาศในราชกิจจานุเบกษาแล้วสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจะดำเนินการเผยแพร่ต่อไป

กรณีตามข้อหารือข้อ ๙ เนื่องจากรายงานการประชุมของคณะกรรมการวิสามัญพิจารณา ร่างพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ... มีเอกสารจำนวนมาก ในการนี้ ฝ่ายเลขานุการของ คณะอนุกรรมการเฉพาะกิจฯ จะประสานงานในการจัดส่งทางระบบอิเล็กทรอนิกส์ต่อไป