PDPC_Consult-40-v2

เรื่อง สำนักงาน ป.ป.ช. ขอให้ตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ (๒) มาตรา ๒๔ (๔) และ (๖) มาตรา ๒๖ มาตรา ๒๗ วรรคหนึ่ง และมาตรา ๓๗ (๔)

2. พระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. ๒๕๖๐
   มาตรา ๖๔ มาตรา ๖๖ วรรคหนึ่ง และมาตรา ๙๘

3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
   มาตรา ๙ (๘)

4. ประกาศคณะกรรมการข้อมูลข่าวสารของราชการ เรื่อง กำหนดให้ประกาศเชิญชวนทั่วไป ประกาศผลผู้ชนะการจัดซื้อจัดจ้าง และสัญญาที่ได้มีการอนุมัติสั่งซื้อหรือสั่งจ้าง เป็นข้อมูลข่าวสารที่ต้องจัดไว้ ให้ประชาชนเข้าตรวจดูได้ตามมาตรา ๙ วรรคหนึ่ง (๘) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐

ข้อหารือ

สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ (สำนักงาน ป.ป.ช.) ขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยสรุปความได้ว่า สำนักงาน ป.ป.ช. ได้รับการประสาน จากหน่วยงานของรัฐที่เข้าร่วมการประเมินคุณธรรมและความโปร่งใสในการดำเนินงานของหน่วยงานภาครัฐ (Integrity and Transparency Assessment: ITA) ประจำปีงบประมาณ พ.ศ. ๒๕๖๗ ว่า สำนักงาน คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้เคยมีหนังสือแจ้งการตรวจสอบเหตุการละเมิดข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่หน่วยงานได้เปิดเผยเลขประจำตัวผู้เสียภาษีอากร หรือเลขประจำตัวประชาชนของผู้ประกอบการที่ได้รับการคัดเลือก อันอาจก่อให้เกิดความเสียหายต่อเจ้าของข้อมูล ส่วนบุคคลและมีความไม่สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งข้อมูลดังกล่าว เป็นส่วนหนึ่งของข้อมูลที่การประเมิน ITA กำหนดให้หน่วยงานของรัฐที่เข้าร่วมการประเมินเปิดเผยไว้ทางหน้า เว็บไซต์หลักของหน่วยงานตามแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) โดยหลักเกณฑ์การเปิดเผยข้อมูล ดังกล่าวของการประเมิน ITA เป็นไปตามที่พระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. ๒๕๖๐ กำหนดไว้ กล่าวคือ มาตรา ๖๖ วรรคหนึ่ง กำหนดให้หน่วยงานของรัฐประกาศผลผู้ชนะการจัดซื้อจัด จ้างหรือผู้ได้รับการคัดเลือกและเหตุผลสนับสนุนในระบบเครือข่ายสารสนเทศของกรมบัญชีกลาง และของหน่วยงานของรัฐตามวิธีการที่กรมบัญชีกลางกำหนด และให้ปิดประกาศโดยเปิดเผย ณ สถานที่ ปิดประกาศของหน่วยงานของรัฐนั้น และมาตรา ๙๘ กำหนดให้หน่วยงานของรัฐประกาศเผยแพร่สาระสำคัญ ของสัญญาหรือข้อตกลงที่ได้ลงนามแล้ว รวมทั้งการแก้ไขเปลี่ยนแปลงสัญญาหรือข้อตกลงในระบบเครือข่าย สารสนเทศของกรมบัญชีกลางและของหน่วยงานของรัฐตามหลักเกณฑ์และวิธีการที่กรมบัญชีกลางกำหนด

โดยกรมบัญชีกลางได้มีหนังสือเวียนแจ้งหลักเกณฑ์และวิธีการเผยแพร่สาระสำคัญของสัญญาที่ได้กำหนดให้หน่วยงานเปิดเผยเลขประจำตัวผู้เสียภาษีอากร/เลขประจำตัวประชาชนของผู้ที่ได้รับการคัดเลือก ดังนี้

๑) หนังสือกรมบัญชีกลาง ที่ กค ๐๔๓๓.๔/ว ๕๖๘ ลงวันที่ ๓๐ พฤศจิกายน ๒๕๖๓ เรื่อง แนวทางปฏิบัติในการเปิดเผยสรุปผลการดำเนินการจัดซื้อจัดจ้างของหน่วยงานของรัฐไว้ในศูนย์ข้อมูลข่าวสารของราชการในระบบการจัดซื้อจัดจ้างภาครัฐด้วยอิเล็กทรอนิกส์ (Electronic Government Procurement : e-GP) ซึ่งในข้อมูลสาระสำคัญในสัญญา ได้กำหนดให้หน่วยงานเปิดเผยเลขประจำตัวผู้เสียภาษีอากรของผู้เสนอราคาและผู้ที่ได้รับการคัดเลือก

๒) หนังสือกรมบัญชีกลาง ด่วนที่สุด ที่ กค ๐๔๐๕.๒/ว ๖๒ ลงวันที่ ๕ กุมภาพันธ์ ๒๕๖๒ เรื่อง แนวทางการประกาศผลผู้ชนะการจัดซื้อจัดจ้างหรือผู้ได้รับการคัดเลือก และสาระสำคัญของสัญญาหรือข้อตกลงเป็นหนังสือ กรณีที่ไม่ได้ดำเนินการในระบบ e-GP ซึ่งในรายละเอียดแนบท้ายประกาศผลผู้ชนะการจัดซื้อจัดจ้างหรือผู้ได้รับการคัดเลือก และสาระสำคัญของสัญญาหรือข้อตกลงเป็นหนังสือ ได้กำหนดให้หน่วยงานเปิดเผยเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชนของผู้ที่ได้รับการคัดเลือก

ดังนั้น เพื่อให้เกิดความชัดเจน สำนักงาน ป.ป.ช. จึงขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่ความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ว่าการเปิดเผยข้อมูลเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชนของผู้ที่ได้รับการคัดเลือกในการจัดซื้อจัดจ้างไว้บนหน้าเว็บไซต์หลักของหน่วยงานเป็นการละเมิดข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ อย่างไร

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อหารือของสำนักงาน ป.ป.ช. โดยมีผู้แทนสำนักงาน ป.ป.ช. และผู้แทนกรมบัญชีกลาง เป็นผู้ชี้แจงข้อเท็จจริงแล้ว ปรากฏข้อเท็จจริงเพิ่มเติมว่าการกำหนดให้มีการเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าว ปรากฏในหนังสือของกรมบัญชีกลางจำนวน ๒ ฉบับ คือ

๑) หนังสือกรมบัญชีกลาง ด่วนที่สุด ที่ กค ๐๔๐๕.๒/ว ๖๒ ลงวันที่ ๕ กุมภาพันธ์ ๒๕๖๒ มีวัตถุประสงค์ในการประกาศผลในการจัดซื้อจัดจ้างโดยเก็บรวบรวมข้อมูลการจัดซื้อจัดจ้างของหน่วยงานของรัฐเป็นรายไตรมาส โดยรายละเอียดของข้อมูลที่เก็บรวบรวมจะมีเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชนของผู้ชนะการคัดเลือกอยู่ด้วย ซึ่งในปัจจุบันกรมบัญชีกลางอยู่ระหว่างพิจารณาทบทวนแนวทางการดำเนินการที่เหมาะสมเกี่ยวกับข้อมูลส่วนบุคคลดังกล่าว

๒) หนังสือกรมบัญชีกลาง ที่ กค ๐๔๓๓.๔/ว ๕๖๘ ลงวันที่ ๓๐ พฤศจิกายน ๒๕๖๓ มีวัตถุประสงค์เพื่อการเปิดเผยข้อมูลข่าวสารตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ซึ่งกำหนดให้หน่วยงานของรัฐเปิดเผยข้อมูลสาระสำคัญของสัญญาในเว็บไซต์ของหน่วยงานของรัฐนั้น โดยกรมบัญชีกลางเห็นว่าการเปิดเผยข้อมูลดังกล่าวเป็นหน้าที่ของหน่วยงานของรัฐต่าง ๆ ที่ต้องถือปฏิบัติอยู่แล้ว กรมบัญชีกลางจึงนำข้อมูลที่เก็บรวบรวมไว้ในระบบการจัดซื้อจัดจ้างภาครัฐด้วยอิเล็กทรอนิกส์ (Electronic Government Procurement: e-GP) มาเปิดเผยบนเว็บไซต์ www.gprocurement.go.th เพื่อให้ผู้เกี่ยวข้อง

สามารถสืบค้นและเข้าถึงได้สะดวกขึ้น ซึ่งในปัจจุบันกรมบัญชีกลางอยู่ระหว่างพิจารณาทบทวนแนวทางการดำเนินการที่เหมาะสมเกี่ยวกับข้อมูลส่วนบุคคลดังกล่าว

นอกจากนี้ กรมบัญชีกลางอยู่ระหว่างการรวบรวมข้อมูลว่าแนวทางที่กำหนดตามพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. ๒๕๖๐ มีส่วนใดที่ไม่สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ เพื่อพิจารณาปรับปรุงแก้ไขให้มีความเหมาะสม และจะแจ้งเวียนหน่วยงานของรัฐที่เกี่ยวข้องต่อไป อย่างไรก็ตาม สำหรับรายชื่อและเลขประจำตัวผู้เสียภาษีอากร/เลขประจำตัวประชาชนของผู้ทิ้งงานนั้น กรมบัญชีกลางเห็นว่ายังมีความจำเป็นต้องเปิดเผยแก่หน่วยงานที่เกี่ยวข้องเพื่อประโยชน์ในการรักษาความมั่นคงทางการคลังของรัฐ ซึ่งได้รับยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับตามมาตรา ๔ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ส่วนการดำเนินงานของสำนักงาน ป.ป.ช. ในฐานะหน่วยงานที่เป็นผู้ประเมินคุณธรรม และความโปร่งใสในการดำเนินงานของหน่วยงานภาครัฐ (Integrity and Transparency Assessment: ITA) นั้น สำนักงาน ป.ป.ช. จะกำหนดให้หน่วยงานของรัฐที่เข้าร่วมการประเมินปฏิบัติตามกฎหมายที่ใช้บังคับกับหน่วยงานนั้น โดยพิจารณาจากข้อกำหนดในกฎหมายและแนวทางปฏิบัติที่เกี่ยวข้อง โดยสำนักงาน ป.ป.ช. ไม่ได้กำหนดเงื่อนไขในการเปิดเผยข้อมูลส่วนบุคคลเป็นการเฉพาะ ซึ่งหากแนวทางปฏิบัติตามกฎหมายฉบับใดมีการปรับปรุงแก้ไขให้เหมาะสม สำนักงาน ป.ป.ช. ก็จะพิจารณาดำเนินการให้สอดคล้องกันต่อไป

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาแล้วเห็นว่า การเปิดเผยข้อมูลส่วนบุคคลของผู้ประกอบการที่ได้รับการคัดเลือกในการจัดซื้อจัดจ้างของหน่วยงานของรัฐ ซึ่งปรากฏเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชนรวมอยู่ด้วยนั้น เป็นการดำเนินการตามพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. ๒๕๖๐ และแนวทางที่กรมบัญชีกลางกำหนดตามมาตรา ๖๖ วรรคหนึ่ง และมาตรา ๙๘ แห่งพระราชบัญญัติดังกล่าว อีกทั้งยังเป็นข้อมูลข่าวสารที่หน่วยงานของรัฐต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ตามมาตรา ๙ (๘) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ประกอบประกาศคณะกรรมการข้อมูลข่าวสารของราชการ เรื่อง กำหนดให้ประกาศเชิญชวนทั่วไป ประกาศผลผู้ชนะการจัดซื้อจัดจ้าง และสัญญาที่ได้มีการอนุมัติสั่งซื้อหรือสั่งจ้าง เป็นข้อมูลข่าวสารที่ต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ตามมาตรา ๙ วรรคหนึ่ง (๘) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ อีกด้วย จึงถือเป็นกรณีที่หน่วยงานของรัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่ต้องปฏิบัติตามกฎหมาย และสามารถเก็บรวบรวมใช้หรือเปิดเผยข้อมูลส่วนบุคคลได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๒๔ (๖) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การที่สำนักงาน ป.ป.ช. กำหนดตามแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) ในการประเมิน ITA ให้หน่วยงานของรัฐที่เข้าร่วมการประเมินเปิดเผยข้อมูลของผู้ประกอบการที่ได้รับการคัดเลือกในการจัดซื้อจัดจ้างของหน่วยงานของรัฐไว้บนหน้าเว็บไซต์หลักของหน่วยงาน ตามแนวทางที่กรมบัญชีกลางกำหนดตามพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. ๒๕๖๐ จึงเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และไม่ถือเป็นเหตุการละเมิดข้อมูลส่วนบุคคลตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่ออกตามความในมาตรา ๓๗ (๔) แต่อย่างใด

อย่างไรก็ตาม คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล มีข้อสังเกตเพิ่มเติม กรมบัญชีกลางควรพิจารณา ทบทวนแนวทางที่กำหนดตามพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. ๒๕๖๐ ว่า มีความสอดคล้องและเหมาะสมตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ เพียงใด เช่น การเปิดเผยเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชนของผู้ประกอบการมีความจำเป็น ต้องเปิดเผยข้อมูลทั้งหมดหรือไม่ หรือสามารถปกปิดหรือพรางข้อมูลบางส่วนได้ เพื่อลดความเสี่ยงในการนำข้อมูล ส่วนบุคคลไปใช้โดยไม่เหมาะสมหรืออาจเป็นผลร้ายต่อเจ้าของข้อมูลส่วนบุคคลในอนาคต อันจะเป็นการปรับปรุง พัฒนาแนวทางการดำเนินงานของหน่วยงานของรัฐให้มีความเหมาะสมและเป็นการคุ้มครองประโยชน์ของประชาชน มากยิ่งขึ้น ซึ่งหากกรมบัญชีกลางได้มีการปรับปรุงแก้ไขแนวทางดังกล่าวแล้ว สำนักงาน ป.ป.ช. อาจพิจารณากำหนด หลักเกณฑ์การประเมิน ITA ให้สอดคล้องกับแนวทางของกรมบัญชีกลางดังกล่าวได้ต่อไป

ทั้งนี้ สำหรับการแจ้งเวียนหรือเปิดเผยเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชน ของผู้ประกอบการที่เป็นผู้ทิ้งงานตามพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. ๒๕๖๐ นั้น คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเห็นว่า ถือเป็นกรณีที่มีความจำเป็นเพื่อประโยชน์ในกระบวนการจัดซื้อจัดจ้าง ของหน่วยงานของรัฐที่ต้องมีการตรวจสอบคุณสมบัติและลักษณะต้องห้ามของผู้ที่จะเข้ายื่นข้อเสนอ ตามมาตรา ๖๔ แห่งพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. ๒๕๖๐ กรมบัญชีกลาง และหน่วยงานของรัฐที่เกี่ยวข้องจึงสามารถดำเนินการต่อไปได้ โดยเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๔ (๔) หรือ (๖) ประกอบมาตรา ๒๗ วรรคหนึ่ง แต่คณะกรรมการคุ้มครองข้อมูล ส่วนบุคคลมีข้อสังเกตเพิ่มเติมว่า การแจ้งเวียนรายชื่อผู้ทิ้งงานดังกล่าวยังมีอาจรับฟังได้ว่าถือเป็นการดำเนินการ ของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงทางการคลังของรัฐโดยตรง จึงไม่ใช่กรณีที่ได้รับยกเว้น ไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับตามมาตรา ๔ (๒)

อนึ่ง คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีข้อสังเกตเพิ่มเติมเกี่ยวกับกระบวนการตามแบบ วัตการรับรู้ของผู้มีส่วนได้ส่วนเสียภายนอก (External Integrity and Transparency Assessment: EIT) ว่า สำนักงาน ป.ป.ช. ควรพิจารณากำหนดมาตรการในการประเมินที่คำนึงถึงการรักษาความลับของเจ้าของข้อมูล ส่วนบุคคลที่เป็นผู้รับบริการของหน่วยงานของรัฐที่เข้าร่วมการประเมิน โดยเฉพาะในกรณีที่เป็นผู้รับบริการ ที่หน่วยงานของรัฐมีการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วน บุคคล พ.ศ. ๒๕๖๒ ซึ่งเป็นข้อมูลส่วนบุคคลอ่อนไหวที่ต้องใช้ความระมัดระวังเป็นพิเศษ เช่น รายชื่อผู้รับบริการ สุขภาพของโรงพยาบาลของรัฐ