PDPC_Consult-41

เรื่อง สมาคมธนาคารไทยขอหารือฐานทางกฎหมายในการเก็บรวบรวมและใช้เอกสารบัตรประจำตัวคนพิการ เพื่อการยืนยันตัวตนสำหรับการใช้บริการทางการเงินของผู้พิการ

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๖ (๕) (จ) มาตรา ๒๗ วรรคหนึ่ง และมาตรา ๓๗ (๑)

2. พระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. ๒๕๔๒ และที่แก้ไขเพิ่มเติม
   มาตรา ๒๐ มาตรา ๒๐/๑ วรรคหนึ่งและวรรคสอง มาตรา ๒๒ วรรคหนึ่ง มาตรา ๔๐ (๓/๑)

3. กฎกระทรวงกำหนดธุรกรรมที่สถาบันการเงินและผู้ประกอบอาชีพตามมาตรา ๑๖ ต้องจัดให้ลูกค้าแสดงตน
   พ.ศ. ๒๕๖๒
   ข้อ ๖

4. กฎกระทรวงการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า พ.ศ. ๒๕๖๓
   ข้อ ๑๗

5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕

ข้อหารือ

สมาคมธนาคารไทยขอหารือกรณีการจัดทำแนวปฏิบัติของสมาคมธนาคารไทยและธนาคารสมาชิกเพื่อสนับสนุนให้เกิดการให้บริการทางการเงินแก่ลูกค้าผู้พิการอย่างเป็นธรรม เพื่อเป็นมาตรฐานแนวปฏิบัติขั้นต่ำสำหรับธนาคารในการให้บริการทางการเงินแก่ผู้พิการ ซึ่งจากการประชุมหารือของคณะทำงาน รวมถึงผู้ที่เกี่ยวข้องได้มีข้อซักถามเกี่ยวกับแนวปฏิบัติในการเก็บรวบรวมและใช้เอกสารแสดงตนสำหรับการใช้บริการทางการเงินของผู้พิการว่า การเก็บรวบรวมและใช้บัตรประจำตัวคนพิการหรือสมุดประจำตัวคนพิการ เป็นเอกสารแสดงตนของผู้พิการ ถือได้ว่าธนาคารมีการประมวลผลข้อมูลส่วนบุคคลที่อ่อนไหว (sensitive data) ตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ ๒๕๖๒ ธนาคารต้องได้รับความยินยอมในการประมวลผลข้อมูลส่วนบุคคลดังกล่าวโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล แต่ในขณะเดียวกันธนาคารมีหน้าที่ต้องปฏิบัติตามกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงิน ในการจัดเก็บข้อมูลและเอกสารของลูกค้าเกี่ยวกับการแสดงตนการทำธุรกรรม และการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า รวมถึงรายงานการทำธุรกรรม ซึ่งมีข้อกำหนดให้ธนาคารต้องมีการจัดเก็บรักษาเอกสารตามหลักเกณฑ์และระยะเวลาที่กฎหมายกำหนด ตามมาตรา ๒๒ แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. ๒๕๔๒ และที่แก้ไขเพิ่มเติม หากการเก็บรวบรวมและการใช้เอกสารแสดงตนของผู้พิการดังกล่าวต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล อาจเป็นเหตุให้ธนาคารไม่สามารถปฏิบัติตามข้อกำหนดตามกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงินได้ สมาคมธนาคารไทยจึงขอหารือเกี่ยวกับการเก็บรวบรวมและใช้เอกสารบัตรประจำตัวคนพิการ/สมุดประจำตัวคนพิการ ในการยืนยันตัวตนสำหรับการใช้บริการทางการเงินของผู้พิการ ดังนี้

๑. ธนาคารสามารถอาศัยฐานทางกฎหมายที่เป็นข้อยกเว้นตามมาตรา ๒๖ (๔) หรือมาตรา ๒๖ (๕) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลได้หรือไม่ และขอความเห็นเพิ่มเติม

๒. ขอข้อเสนอแนะเพิ่มเติมเกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลดังกล่าว (ถ้ามี) ความละเอียดแจ้งแล้ว นั้น

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อกฎหมายที่เกี่ยวข้องแล้ว เห็นว่า มาตรา ๒๐ แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. ๒๕๔๒ และที่แก้ไขเพิ่มเติม โดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ ๓) พ.ศ. ๒๕๕๒ ได้บัญญัติให้สถาบันการเงิน และผู้ประกอบอาชีพตามมาตรา ๑๖ จัดให้ลูกค้าแสดงตนทุกครั้งก่อนการทำธุรกรรมตามที่กำหนดในกฎกระทรวง ซึ่งต้องกำหนดมาตรการเพื่อขจัดอุปสรรคในการแสดงตนของคนพิการหรือทุพพลภาพด้วย เว้นแต่ลูกค้าได้แสดงตนไว้ก่อนแล้ว โดยการแสดงตนดังกล่าวให้เป็นไปตามวิธีการที่รัฐมนตรีประกาศกำหนด ซึ่งข้อ ๖ ของกฎกระทรวง กำหนดธุรกรรมที่สถาบันการเงินและผู้ประกอบอาชีพตามมาตรา ๑๖ ต้องจัดให้ลูกค้าแสดงตน พ.ศ. ๒๕๖๒ ได้กำหนดให้สถาบันการเงินและผู้ประกอบอาชีพตามมาตรา ๑๖ ต้องกำหนดมาตรการและควบคุมดูแล การทำธุรกรรมอย่างเคร่งครัด เพื่อมิให้มีการปฏิบัติอื่นเป็นอุปสรรคต่อการแสดงตนของลูกค้าที่เป็นคนพิการ หรือคนทุพพลภาพ นอกจากนี้ มาตรา ๒๐/๑ วรรคหนึ่งและวรรคสอง แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. ๒๕๔๒ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ ๓) พ.ศ. ๒๕๕๒ กำหนดให้สถาบันการเงินต้องดำเนินการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าเมื่อเริ่มทำ ธุรกรรมครั้งแรกโดยต้องตรวจสอบเป็นระยะจนสิ้นสุดดำเนินการเมื่อมีการปิดบัญชีหรือยุติความสัมพันธ์กับลูกค้า โดยขอบเขตการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าดังกล่าว ให้เป็นไปตามหลักเกณฑ์และวิธีการ ที่กำหนดในกฎกระทรวง โดยข้อ ๑๗ ของกฎกระทรวงการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า พ.ศ. ๒๕๖๓ กำหนดให้สถาบันการเงินตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าโดยให้ดำเนินการระบุตัวตน และพิสูจน์ทราบตัวตนของลูกค้า แล้วจึงตรวจสอบข้อมูลของลูกค้ากับข้อมูลรายชื่อบุคคลที่ถูกกำหนด ตามกฎหมายที่เกี่ยวข้องก่อนดำเนินการต่อไป ประกอบกับสำนักงานป้องกันและปราบปรามการฟอกเงิน (สำนักงาน ปปง.) ซึ่งมีอำนาจหน้าที่ในการกำหนดแนวทางปฏิบัติ กำกับ ตรวจสอบ และประเมินผลการปฏิบัติตามพระราชบัญญัติ ดังกล่าวของผู้มีหน้าที่รายงานการทำธุรกรรมต่อสำนักงาน ปปง. ตามหลักเกณฑ์ วิธีการ และแนวปฏิบัติตามระเบียบที่ คณะกรรมการป้องกันและปราบปรามการฟอกเงินกำหนด ตามมาตรา ๔๐ (๓/๑) แห่งพระราชบัญญัติป้องกัน และปราบปรามการฟอกเงิน พ.ศ. ๒๕๔๒ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ ๔) พ.ศ. ๒๕๕๖ ได้กำหนดแนวทางปฏิบัติ เรื่อง การตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า สำหรับสถาบัน การเงิน ประเภทธนาคาร โดยกำหนดว่า ในการแสดงตนและการพิสูจน์ตัวตนลูกค้าบุคคลธรรมดา กรณีผู้พิการ หรือผู้ทุพพลภาพที่ไม่มีบัตรประจำตัวประชาชน ให้ดำเนินการขอบัตรประจำตัวคนพิการ และเอกสารที่ออกจาก หน่วยงานของรัฐอย่างน้อย ๑ รายการ นอกจากนี้ มาตรา ๒๒ วรรคหนึ่ง (๑) แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. ๒๕๔๒ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ ๒) พ.ศ. ๒๕๕๑ กำหนดให้สถาบันการเงินเก็บรักษารายละเอียดเกี่ยวกับการแสดงตนตามมาตรา ๒๐ เป็นเวลาที่ปี

นับแต่วันที่มีการปิดบัญชีหรือยุติความสัมพันธ์กับลูกค้า ซึ่งบัตรประจำตัวคนพิการหรือสมุดประจำตัวคนพิการ เป็นเอกสารที่มีข้อมูลส่วนบุคคลเกี่ยวกับความพิการรวมอยู่ด้วย จึงเป็นข้อมูลส่วนบุคคลตามมาตรา ๒๖ แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หากลูกค้าที่ทำธุรกรรมเป็นคนพิการหรือทุพพลภาพ และเข้าเงื่อนไขที่ต้องแสดงตน ก่อนการทำธุรกรรมที่กำหนด แต่ไม่มีบัตรประจำตัวประชาชน ย่อมเป็นเหตุให้ธนาคารหรือสถาบันการเงิน มีความจำเป็นต้องขอบัตรประจำตัวคนพิการหรือสมุดประจำตัวคนพิการ และเอกสารที่ออกจากหน่วยงานของรัฐ อย่างน้อย ๑ รายการ เพื่อวัตถุประสงค์ในการแสดงตนและการพิสูจน์ตัวตนของลูกค้าสำหรับการทำธุรกรรม ตามมาตรา ๒๐ แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. ๒๕๔๒ ซึ่งแก้ไขเพิ่มเติม โดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ ๓) พ.ศ. ๒๕๕๒ ทั้งยังเป็นขั้นตอนแรก ของการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า ตามมาตรา ๒๐/๑ แห่งพระราชบัญญัติป้องกัน และปราบปรามการฟอกเงิน พ.ศ. ๒๕๔๒ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ ๓) พ.ศ. ๒๕๕๒ ประกอบกฎกระทรวงและแนวทางปฏิบัติของสำนักงาน ปปง. ที่เกี่ยวข้อง นอกจากนี้ ธนาคารหรือสถาบันการเงิน ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล จะต้องเก็บรักษารายละเอียดเกี่ยวกับการแสดงตนดังกล่าวไว้ ตามระยะเวลาที่กฎหมายกำหนด ตามมาตรา ๒๒ วรรคหนึ่ง (๑) แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. ๒๕๔๒ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ ๒) พ.ศ. ๒๕๕๑ อีกด้วย การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับความพิการของธนาคารหรือสถาบันการเงิน เพื่อวัตถุประสงค์ดังกล่าว สำหรับลูกค้าซึ่งเป็นคนพิการหรือทุพพลภาพ ที่ใช้บัตรประจำตัวคนพิการหรือสมุดประจำตัวคน พิการเพื่อการแสดงตนและการพิสูจน์ตัวตน หากธนาคารพิจารณาแล้วเห็นว่าเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติ ตามกฎหมายของธนาคารหรือสถาบันการเงิน และบทบัญญัติแห่งกฎหมายดังกล่าวมีขึ้นเพื่อให้การตัดวงจรการประกอบ อาชญากรรมเกี่ยวกับการกระทำความผิดมูลฐานตามกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงินเป็นไปอย่าง มีประสิทธิภาพ จึงอาจถือได้ว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์ สาธารณะที่สำคัญ ก็จะได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตามนัยมาตรา ๒๖ (๕) (๖) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แต่ธนาคารหรือสถาบัน การเงินจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล

อย่างไรก็ดี ธนาคารจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าได้เพียงเท่าที่จำเป็นภายใต้ วัตถุประสงค์อันชอบด้วยกฎหมายเท่านั้น ตามมาตรา ๒๒ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียด ในการเก็บรวบรวมข้อมูลส่วนบุคคล ตามมาตรา ๒๓ ซึ่งรวมถึง (๑) วัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำ ข้อมูลส่วนบุคคลไปใช้หรือเปิดเผย และ (๔) ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวม อาจจะถูกเปิดเผย โดยควรแจ้งรายละเอียดดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบด้วยวิธีการและรูปแบบ ที่เป็นธรรม โปร่งใส และเหมาะสมสำหรับเจ้าของข้อมูลส่วนบุคคลที่เป็นคนพิการหรือทุพพลภาพดังกล่าว และจะต้องปฏิบัติให้เป็นไปตามบทบัญญัติอื่น ๆ ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายอื่นที่เกี่ยวข้องอย่างครบถ้วนด้วย โดยเฉพาะการคุ้มครองสิทธิและเสรีภาพของคนพิการที่อาจขาด ความสามารถในการปกป้องสิทธิและประโยชน์ของตนเองจากข้อจำกัดต่าง ๆ โดยธนาคารหรือสถาบันการเงินในฐานะ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยคำนึงถึงระดับความเสี่ยง

ตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ ซึ่งออกตามความในมาตรา ๑๗ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ รวมถึงอาจพิจารณาทำการแฝงข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือทำการเข้ารหัสข้อมูล (encryption) หรือใช้มาตรการอื่นในลักษณะเดียวกันอย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน หากการดำเนินการดังกล่าว ยังคงสามารถทำให้บรรลุวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นได้