PDPC_Consult-33

เรื่อง สถานีตำรวจ F ขอหารือกรณีผู้ใช้ Facebook ได้โพสต์รูปภาพและข้อความ
ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ (๑) มาตรา ๕ มาตรา ๖ มาตรา ๑๙ มาตรา ๒๐ มาตรา ๒๓ มาตรา ๒๔
   มาตรา ๒๖ มาตรา ๒๘ มาตรา ๒๙ มาตรา ๓๐ มาตรา ๓๑ มาตรา ๓๒ มาตรา ๓๓
   มาตรา ๓๔ มาตรา ๓๕ มาตรา ๓๖ มาตรา ๓๗ และมาตรา ๔๑

2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม

3. ประมวลกฎหมายอาญา
   มาตรา ๓๒๖ และมาตรา ๓๒๘

4. ประมวลกฎหมายแพ่งและพาณิชย์
   มาตรา ๔๒๐

ข้อหารือ

สถานีตำรวจ F แจ้งว่า มีผู้มาแจ้งความร้องทุกข์ต่อพนักงานสอบสวนว่า ผู้ใช้ Facebook รายหนึ่ง
โพสต์ภาพผู้เสียหาย พร้อมโพสต์ข้อความอันเป็นการทำให้ถูกดูหมิ่น เกลียดชัง ผู้แจ้งจึงมาพบพนักงานสอบสวน
เพื่อประสงค์ให้ดำเนินคดีกับบุคคลนั้น ต่อมา พนักงานสอบสวนได้รับหนังสือจากสำนักงานอัยการ C ให้ตรวจสอบ
ข้อมูล ดังนี้

1. ข้อมูลรูปโปรไฟล์ (profile) จากเว็บไซต์ www.facebook.com ของผู้ต้องหา ที่ผู้ต้องหาได้
   โพสต์ภาพ และข้อความดังกล่าวของผู้ต้องหานั้น ที่มีสัญลักษณ์ได้โพสต์เป็นรูปโลก และรูปคน นั้น
   มีลักษณะเป็นการทำให้สาธารณชนหรือประชาชนทั่วไปพบเห็นภาพและข้อความดังกล่าวได้โดยทั่วไป หรือเฉพาะกลุ่มคน
   หรือไม่ อย่างไร

2. ผู้ต้องหาโพสต์ข้อความและภาพ นั้น ผู้ต้องหาในคดีนี้ เป็นผู้ควบคุมข้อมูลส่วนบุคคล
   ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ อย่างไร โดยให้อธิบายมาโดยละเอียด
   จึงขอหารือมายังสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับ
การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
พิจารณาแล้วเห็นว่า ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ “ข้อมูลส่วนบุคคล”
หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึง
ข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น ภาพหรือข้อความเกี่ยวกับบุคคลที่โพสต์บนเว็บไซต์หรือแอปพลิเคชัน
Facebook ที่สามารถระบุตัวบุคคลที่เกี่ยวกับภาพหรือข้อความนั้นได้ไม่ว่าทางตรงหรือทางอ้อม จึงถือ
เป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ สำหรับการโพสต์ภาพผู้เสียหายบน Facebook จะอยู่ภายใต้บังคับ

ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมีความผิดตามพระราชบัญญัติดังกล่าวหรือไม่นั้น
เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดไว้ในมาตรา ๕ วรรคหนึ่งว่า พระราชบัญญัติ
ดังกล่าวให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคล
ซึ่งอยู่ในราชอาณาจักร โดยมาตรา ๖ กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคล
ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยการเป็นผู้ควบคุมข้อมูล
ส่วนบุคคลดังกล่าว เมื่อพิจารณาจากบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ
เช่น การกำหนดให้การเก็บรวบรวมข้อมูลส่วนบุคคลจะต้องมีฐานทางกฎหมายตามมาตรา ๒๔ หรือมาตรา ๒๖
แล้วแต่กรณี หน้าที่ในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓
ข้อกำหนดและเงื่อนไขเกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามมาตรา ๒๘ และมาตรา ๒๙
หน้าที่ในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล
ตามมาตรา ๓๗ (๑) และมาตรา ๓๗ (๔) หน้าที่ในการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล
ตามมาตรา ๓๐ ถึงมาตรา ๓๖ หน้าที่ในการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ และหน้าที่
ในการจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บ
รักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่
เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม ปรากฏรายละเอียด
ตามมาตรา ๓๗ (๓) เป็นต้น จึงเห็นได้ว่า บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าวมุ่งประสงค์จะใช้บังคับ
แก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบ
หรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น โดยกำหนดหลักการที่
สำคัญประการหนึ่งเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่าต้องมีฐานทางกฎหมาย
ตามที่กำหนดในมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี และหากไม่มีฐานทางกฎหมายอื่นใดเพื่อใช้ในการเก็บ
รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องได้รับความยินยอมจากเจ้าของข้อมูล
ส่วนบุคคลตามหลักเกณฑ์ในมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติดังกล่าว และได้กำหนดหน้าที่
และความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลไว้ตั้งแต่ขั้นตอนการเก็บรวบรวมจนกระทั่งการลบหรือทำลาย
ข้อมูลส่วนบุคคล ประกอบกับมาตรา ๔ (๑) แห่งพระราชบัญญัติดังกล่าวได้กำหนดข้อยกเว้นไม่ให้นำ
พระราชบัญญัตินี้ไปใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวม
ข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น

ดังนั้น จากกรณีดังกล่าว การกระทำของผู้ต้องหาซึ่งมีฐานะเป็นบุคคลธรรมดา จะถือว่าเป็นการกระทำ
ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และจะมีความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่
นั้น สถานีตำรวจ F ต้องพิจารณาว่าการกระทำดังกล่าวของผู้ต้องหาเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลที่ผู้นั้นทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นหรือไม่
หากพิจารณาแล้วเห็นว่า การกระทำของผู้ต้องหาดังกล่าวมีวัตถุประสงค์ในการดำเนินการเพื่อประโยชน์
ส่วนตน โดยไม่มีลักษณะเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำ
สม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมไม่อยู่ในขอบเขต

การบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๔ (๑) แต่อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้นได้ เช่น พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม หรือประมวลกฎหมายอาญาในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาทโดยการโฆษณา หรือการทำละเมิดตามมาตรา ๔๒๐ แห่งประมวลกฎหมายแพ่งและพาณิชย์

ส่วนประเด็นตามข้อหารือที่ ๑ ว่า ข้อมูลรูปโปรไฟล์ (profile) จากเว็บไซต์ www.facebook.com ของผู้ต้องหา ที่ผู้ต้องหาได้โพสต์ภาพ และข้อความของผู้ต้องหา มีลักษณะเป็นการทำให้สาธารณชนหรือประชาชนทั่วไปพบเห็นภาพและข้อความดังกล่าวได้โดยทั่วไป หรือเฉพาะกลุ่มคน หรือไม่ อย่างไร นั้น ไม่ใช่กรณีที่เกี่ยวกับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยตรง พนักงานสอบสวนจึงควรพิจารณาดำเนินการต่อไปตามข้อเท็จจริงที่เกี่ยวข้อง