PDPC_Consult-43

เรื่อง การทางพิเศษแห่งประเทศไทยของหารือกรณีการจัดเก็บข้อมูลส่วนบุคคลเพื่อเป็นข้อมูล
พื้นฐานสำหรับการบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๖ มาตรา ๑๙ มาตรา ๒๐ มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๖ วรรคหนึ่ง (๕) (ค) และ (จ) และ
   วรรคสอง มาตรา ๓๗ (๑) มาตรา ๓๙ มาตรา ๗๓ และมาตรา ๙๕

2. พระราชบัญญัติการทางพิเศษแห่งประเทศไทย พ.ศ. ๒๕๕๐
   มาตรา ๘

3. พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. ๒๕๔๑

4. พระราชบัญญัติแรงงานรัฐวิสาหกิจสัมพันธ์ พ.ศ. ๒๕๔๓

5. ประกาศคณะกรรมการแรงงานรัฐวิสาหกิจสัมพันธ์ เรื่อง มาตรฐานขั้นต่ำของสภาพการจ้างใน
   รัฐวิสาหกิจ ลงวันที่ ๓๑ พฤษภาคม พ.ศ. ๒๕๔๙ และที่แก้ไขเพิ่มเติม

6. ระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ พ.ศ. ๒๕๖๔
   ข้อ ๔ และข้อ ๑๒

7. ระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การ
   พิจารณา และระยะเวลาในการพิจารณาค่ำร้องเรียน พ.ศ. ๒๕๖๕

8. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของ
   ผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕

ข้อหารือ

การทางพิเศษแห่งประเทศไทย (กทพ.) ของหารือกรณีการจัดเก็บข้อมูลส่วนบุคคลเพื่อเป็นข้อมูล
พื้นฐานสำหรับการบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ที่นำมาใช้แทนการลงเวลาในบัญชีลงเวลา
โดยมีวัตถุประสงค์เพื่อให้การบริหารบุคคลเป็นไปด้วยความเรียบร้อย มีข้อมูลที่ถูกต้อง ครบถ้วน ตรวจสอบได้
และน่าเชื่อถือ ซึ่งได้เริ่มดำเนินการจัดเก็บข้อมูลลายนี้เมื่อพนักงานและลูกจ้างทุกตำแหน่งที่เป็นผู้ปฏิบัติงาน
ของ กทพ. (ยกเว้นพนักงานตำแหน่งหัวหน้าพนักงานเก็บค่าผ่านทางพิเศษ พนักงานควบคุมเก็บค่าผ่านทางพิเศษ
และพนักงานเก็บค่าผ่านทางพิเศษ ซึ่งเป็นตำแหน่งที่ปฏิบัติงานเป็นกะ) ตั้งแต่ปี พ.ศ. ๒๕๖๐ เป็นต้นมา
ตามบันทึกข้อความ กทพ. ที่ ฝบท/ว ๒๔๔๘ ลงวันที่ ๒๑ พฤศจิกายน ๒๕๖๐ เรื่อง การจัดเก็บข้อมูลลายนี้เมื่อ
พนักงานและลูกจ้างที่ปฏิบัติงานอาคารสำนักงานและศูนย์ควบคุมทางพิเศษ และได้มีการจัดเก็บข้อมูลใบหน้า
และลายนี้เมื่อของพนักงานและลูกจ้างแทนข้อมูลลายนี้เมื่อที่เคยจัดเก็บไปแล้วซึ่งไม่สามารถใช้งานกับ
เครื่องบันทึกเวลาทำงานระบบใหม่ได้ ตามบันทึกข้อความ กทพ. ด่วนที่สุด ที่ ฝบท/ว ๒๘๒๔ ลงวันที่ ๒๗ ตุลาคม ๒๕๖๓
เรื่อง การจัดเก็บข้อมูลใบหน้าและลายนี้เมื่อของพนักงานและลูกจ้างเพื่อใช้สำหรับลงเวลาปฏิบัติงานด้วย
เครื่องบันทึกเวลา โดย กทพ. ได้แจ้งให้พนักงานและลูกจ้างที่ยังไม่เข้าใบการจัดเก็บข้อมูลมาจัดเก็บข้อมูลเป็นระยะ ๆ
ต่อมา กทพ. ได้ออกระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบ
อิเล็กทรอนิกส์ พ.ศ. ๒๕๖๔ ประกาศใช้ตั้งแต่วันที่ ๙ มิถุนายน พ.ศ. ๒๕๖๔ เป็นต้นไป ซึ่งข้อ ๔ ของระเบียบฯ ได้
กำหนดให้ผู้ปฏิบัติงานของ กทพ. แจ้งข้อมูลพื้นฐานสำหรับการบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์

เช่น ลายพิมพ์นี้วมีอ ข้อมูลใบหน้า เป็นต้น เพื่อให้ฝ่ายบริหารทั่วไปจัดเก็บเป็นฐานข้อมูลของบุคคล โดยมีวัตถุประสงค์เพื่อใช้เป็นข้อมูลในการตรวจสอบเวลาเข้าออกงาน การลา การขาดงาน หรือการละทิ้งหน้าที่ สำหรับดำเนินการจ่ายเงินเดือนหรือค่าตอบแทนอื่น รวมทั้งการประเมินการเลื่อนขั้นเงินเดือนประจำปี และได้ออก ประกาศ กทพ. เรื่อง การใช้ระบบบันทึกเวลาทำงานแทนการใช้บัญชีลงเวลาทำงาน ลงวันที่ ๒๕ พฤศจิกายน พ.ศ. ๒๕๖๕ กำหนดให้พนักงานระดับ ๑ - ๖ หัวหน้าแผนก พนักงานระดับ ๗ - ๘ ที่ประจำกองขึ้นไปและลูกจ้าง ที่ทำงานในสำนักงาน (Back Office) เริ่มบันทึกเวลาทำงานในระบบบันทึกเวลาทำงานแทนการบันทึกเวลาทำงาน ในบัญชีลงเวลาทำงานตั้งแต่วันที่ ๑ กุมภาพันธ์ ๒๕๖๖ เป็นต้นไป รวมทั้งได้มีบันทึกแจ้งให้ผู้ที่ยังไม่ได้เข้ารับ การจัดเก็บข้อมูลใบหน้าและลายนี้วมีอเข้ารับการจัดเก็บข้อมูลให้ครบถ้วน เพื่อให้สามารถบันทึกเวลาทำงานด้วย ระบบอิเล็กทรอนิกส์ได้ตามระเบียบฯ ซึ่งตั้งแต่ปี พ.ศ. ๒๕๖๐ ถึงปัจจุบัน ปรากฏว่ามีผู้ปฏิบัติงานของ กทพ. ที่เข้ารับการจัดเก็บข้อมูลใบหน้าและลายพิมพ์นี้วมีอแล้ว จำนวน ๓,๓๑๔ คน แต่ยังมีพนักงานจำนวน ๑ คน ที่ไม่ยินยอมให้จัดเก็บข้อมูลดังกล่าว เนื่องจากมีความกังวลว่าข้อมูลที่ถูกจัดเก็บอาจรั่วไหลและทำให้เกิด ความเสียหายแก่พนักงานรายนั้น รวมทั้งได้อ้างถึงพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๖ ซึ่งห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลในส่วนที่เป็นข้อมูลชีวภาพ เช่น ข้อมูลภาพใบหน้า และข้อมูลลายพิมพ์นี้วมีอ โดยไม่ได้รับความยินยอมโดยขัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ซึ่งตามข้อบังคับ กทพ. ว่าด้วย พนักงาน พ.ศ. ๒๕๖๐ และที่แก้ไขเพิ่มเติม ข้อ ๖๙ กำหนดให้พนักงานต้องรักษาวินัยตามที่บัญญัติ ไว้โดยเคร่งครัด ผู้ใดฝ่าฝืนหรือไม่ปฏิบัติตามถือว่าผู้นั้นกระทำผิดวินัย จะต้องได้รับโทษตามที่กำหนดไว้ ในข้อบังคับนี้ และข้อ ๗๑ (๒) และ (๔) กำหนดวินัยของพนักงานไว้ว่า ต้องไม่ขัดขืนหรือหลีกเลี่ยงและปฏิบัติ ตามคำสั่งของผู้บังคับบัญชา ซึ่งสั่งในหน้าที่โดยชอบด้วยระเบียบและข้อบังคับของ กทพ. และต้องสนับสนุน นโยบายของรัฐบาล ปฏิบัติตามนโยบาย ระเบียบและข้อบังคับของ กทพ. ไว้ด้วย โดยปัจจุบัน กทพ. ได้จัดซื้อ และติดตั้งเครื่องบันทึกเวลาทำงานซึ่งใช้ข้อมูลชีวภาพ (ข้อมูลใบหน้าและลายพิมพ์นี้วมีอ) เพื่อบันทึกเวลาทำงาน ประจำอาคารต่าง ๆ จำนวน ๘๔ เครื่อง รวมเป็นจำนวนเงินทั้งสิ้น ๓,๑๔๙,๐๑๐ บาท โดยจัดให้มีมาตรการ คุ้มครองข้อมูลส่วนบุคคล ด้วยการกำหนดสิทธิผู้เข้าถึงข้อมูลชีวภาพดังกล่าวเฉพาะพนักงานแผนกข้อมูลระบบ งานบุคคล กองบริหารทรัพยากรบุคคล ฝ่ายบริหารทั่วไป และมีการรักษาความมั่นคงปลอดภัยระบบสารสนเทศ ที่ได้รับการรับรองมาตรฐาน ISO/IEC 27001:2013 แล้ว รวมทั้งได้จัดทำประกาศ กทพ. เรื่อง นโยบายคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๔

เมื่อ กทพ. ได้พิจารณาอำนาจหน้าที่ของผู้ว่าการตามมาตรา ๒๖ (๒) แห่งพระราชบัญญัติ การทางพิเศษแห่งประเทศไทย พ.ศ. ๒๕๕๐ รวมถึงข้อ ๔ ของระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึก เวลาทำงานด้วยระบบอิเล็กทรอนิกส์ พ.ศ. ๒๕๖๔ และข้อ ๖๙ ข้อ ๗๑ (๒) (๔) ของข้อบังคับ กทพ. ว่าด้วย พนักงาน พ.ศ. ๒๕๖๐ และที่แก้ไขเพิ่มเติม ประกอบกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๖ จึงขอหารือเกี่ยวกับการจัดเก็บข้อมูลส่วนบุคคล (ข้อมูลชีวภาพ) เพื่อเป็นข้อมูลพื้นฐานสำหรับ การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ดังกล่าวข้างต้นดังต่อไปนี้

๑. กทพ. สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพดังกล่าวโดยอาศัยข้อยกเว้น ตามที่กฎหมายอื่นบัญญัติให้กระทำได้ตามความในมาตรา ๑๙ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่จำเป็นต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้หรือไม่

๒. กรณีที่ต้องขอความยินยอม หากเจ้าของข้อมูลส่วนบุคคลไม่ให้ความยินยอม กทพ. สามารถดำเนินการอย่างไรเพื่อให้พนักงานและลูกจ้างบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์เป็นมาตรฐานเดียวกันทั้งองค์กร

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น ดังนี้

ประเด็นตามที่หารือข้อ ๑ เห็นว่า กทพ. เป็นหน่วยงานที่จัดตั้งขึ้นตามพระราชบัญญัติการทางพิเศษแห่งประเทศไทย พ.ศ. ๒๕๕๐ และมีฐานะเป็นนิติบุคคลตามมาตรา ๘ แห่งพระราชบัญญัติดังกล่าวจึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดย กทพ. ได้กำหนดให้มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยเฉพาะข้อมูลภาพจำลองใบหน้า และข้อมูลจำลองลายนิ้วมือของผู้ปฏิบัติงานของ กทพ. ด้วยระบบอิเล็กทรอนิกส์ ในการบันทึกเวลาทำงานตามที่กล่าวข้างต้น รวมทั้งการบริหารจัดการภายในองค์กรที่เกี่ยวข้อง โดยมีการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการนำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของผู้ปฏิบัติงานของ กทพ. มาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้น ที่ไม่เหมือนกับบุคคลอื่นได้ สำหรับการบันทึกเวลาทำงาน โดยกำหนดให้ผู้ปฏิบัติงานของ กทพ. แจ้งข้อมูลพื้นฐานซึ่งรวมถึงข้อมูลภาพจำลองใบหน้า และข้อมูลจำลองลายนิ้วมือของตนให้ฝ่ายบริหารทั่วไปของ กทพ. จัดเก็บเป็นฐานข้อมูลของบุคคล และนำมาใช้เพื่อให้สามารถยืนยันตัวตนของบุคคล ตามนัยข้อ ๔ ของระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ พ.ศ. ๒๕๖๔ การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวจึงเป็นการเก็บรวบรวมข้อมูลชีวภาพ (biometric data) ตามนัยมาตรา ๒๖ วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (หรือที่สำนักงานราชบัณฑิตยสภาบัญญัติว่า “ข้อมูลชีวมาตร” หรือ “ข้อมูลชีวมิติ”) ดังนั้น การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลชีวภาพดังกล่าวต้องเป็นไปตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งหากไม่เข้าย้อยกเว้นตามมาตรา ๒๖ (๑) ถึง (๕) จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล

เมื่อพิจารณาวัตถุประสงค์ในการเก็บรวบรวมข้อมูลชีวภาพของ กทพ. ตามระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ พ.ศ. ๒๕๖๔ ซึ่งเป็นไปเพื่อวัตถุประสงค์ในการบันทึกเวลาทำงาน และใช้เป็นข้อมูลในการตรวจสอบเวลาเข้าออกงาน การลา การขาดงาน หรือการละทิ้งหน้าที่ สำหรับดำเนินการจ่ายเงินเดือนหรือค่าตอบแทนอื่น รวมทั้งการประเมินการเลื่อนขั้นเงินเดือนประจำปี และการบริหารจัดการภายในองค์กรที่เกี่ยวข้อง คณะอนุกรรมการตอบข้อหารือฯ เห็นว่า การพิจารณาว่า การเก็บรวบรวมข้อมูลชีวภาพดังกล่าว เป็นกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ฯลฯ ซึ่งได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตามมาตรา ๒๖ (๕) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ จะต้องพิจารณาจากองค์ประกอบดังนี้ (๑) ผู้ควบคุมข้อมูลส่วนบุคคลมีความจำเป็นต้องเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวเพื่อการปฏิบัติตามกฎหมายฉบับใดฉบับหนึ่งหรือหลายฉบับ (๒) การเก็บรวบรวมข้อมูลส่วนบุคคลจะต้องเป็นไปเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน (๓) การเก็บรวบรวมข้อมูลส่วนบุคคลนั้นเป็นสิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าของข้อมูลส่วนบุคคล และ (๔) เมื่อพิจารณาแล้วว่าเข้าองค์ประกอบข้างต้น ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล

ส่วนบุคคลดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิชั้นพื้นฐาน และประโยชน์ของเจ้าของข้อมูลส่วนบุคคลด้วย

ในการดำเนินงานของนายจ้าง นายจ้างย่อมมีหน้าที่ต้องปฏิบัติตามกฎหมายแรงงานที่เกี่ยวข้อง เช่น กฎหมายว่าด้วยการคุ้มครองแรงงานและกฎหมายว่าด้วยแรงงานสัมพันธ์ หรือกฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์ในกรณีของรัฐวิสาหกิจ โดยพระราชบัญญัติแรงงานรัฐวิสาหกิจสัมพันธ์ พ.ศ. ๒๕๔๓ และประกาศคณะกรรมการแรงงานรัฐวิสาหกิจสัมพันธ์ เรื่อง มาตรฐานขั้นต่ำของสภาพการจ้างในรัฐวิสาหกิจ ลงวันที่ ๓๑ พฤษภาคม พ.ศ. ๒๕๔๙ และที่แก้ไขเพิ่มเติม ได้กำหนดมาตรการทางกฎหมายในการคุ้มครองสิทธิ และประโยชน์ต่าง ๆ ของลูกจ้างหรือพนักงานรัฐวิสาหกิจไว้ในท่านองเดียวกับพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. ๒๕๔๑ และที่แก้ไขเพิ่มเติม ดังนั้น นายจ้างที่เป็นเอกชนหรือรัฐวิสาหกิจจึงมีหน้าที่ในการดูแล และคุ้มครองสิทธิของลูกจ้างในการได้รับเงินเดือน ค่าจ้าง และเงินผลประโยชน์อื่นเนื่องในการจ้าง ที่ลูกจ้างพึง ได้รับตามกฎหมาย รวมทั้งกำกับดูแลเวลาทำงานและชั่วโมงทำงานให้เป็นไปตามกฎหมายที่เกี่ยวข้อง การเก็บรวบรวม ข้อมูลส่วนบุคคลของ กทพ. ในฐานะนายจ้าง ตามวัตถุประสงค์ที่กล่าวมาข้างต้น จึงถือเป็นการเก็บรวบรวมข้อมูล ส่วนบุคคลที่เป็นไปเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ซึ่ง กทพ. จะต้องปฏิบัติให้เป็นไปตาม กฎหมายว่าด้วยการคุ้มครองแรงงาน กฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์ และ/หรือกฎหมายอื่นที่เกี่ยวข้อง แต่มีประเด็นที่ กทพ. จะต้องพิจารณาด้วยว่า การเก็บรวบรวมข้อมูลชีวภาพดังกล่าวเป็นสิ่งจำเป็นในการปฏิบัติ ตามสิทธิหรือหน้าที่ของ กทพ. หรือเจ้าของข้อมูลส่วนบุคคลหรือไม่ เพียงใด ในกรณีที่ กทพ. เห็นว่า การเก็บรวบรวม ข้อมูลชีวภาพสำหรับการบันทึกเวลาทำงานเป็นสิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของ กทพ. หรือผู้ปฏิบัติงานของ กทพ. เกี่ยวกับการคุ้มครองแรงงานตามกฎหมาย เช่น เพื่อป้องกันปัญหาการทุจริตในการ บันทึกเวลาทำงานแทนกัน โดยได้พิจารณาจากข้อเท็จจริงแล้วว่า หากไม่ดำเนินการเช่นนั้น กทพ. จะไม่สามารถ ปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงานได้ กทพ. ก็อาจยกกรณีดังกล่าว เป็นข้อยกเว้นการได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตามมาตรา ๒๖ (๕) (ค) ได้ แต่ กทพ. จะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิชั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลด้วย

ในกรณีที่ กทพ. เห็นว่า การเก็บรวบรวมข้อมูลชีวภาพสำหรับการบันทึกเวลาทำงาน ไม่ใช่สิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของ กทพ. หรือเจ้าของข้อมูลส่วนบุคคล ตามมาตรา ๒๖ (๕) (ค) เช่น ข้อเท็จจริงยังไม่ชัดเจนว่ามีปัญหาการทุจริตในการบันทึกเวลาทำงานของผู้ปฏิบัติงานของ กทพ. หรือยังไม่แน่ชัดว่าการเก็บรวบรวมข้อมูลชีวภาพจะช่วยแก้ไขปัญหาดังกล่าว หรือยังมีมาตรการอื่นที่ไม่ต้องใช้ ข้อมูลชีวภาพที่อาจแก้ปัญหาได้ผล ซึ่ง กทพ. ยังไม่ได้พิจารณาดำเนินการ ทำให้การเก็บรวบรวมข้อมูลชีวภาพ ของผู้ปฏิบัติงานของ กทพ. ดังกล่าว ไม่ได้รับยกเว้นการขอความยินยอมโดยชัดแจ้ง กทพ. ก็อาจพิจารณา ขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตามนัยมาตรา ๑๙ ประกอบมาตรา ๒๖ วรรคหนึ่ง โดยการขอความยินยอมจะต้องเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย

สำหรับประเด็นตามข้อหารือที่ ๒ เห็นว่า ในกรณีที่ กทพ. พิจารณาแล้ว เห็นว่า การเก็บรวบรวม ข้อมูลชีวภาพเพื่อวัตถุประสงค์ในการบันทึกเวลาทำงาน ไม่ได้รับยกเว้นการขอความยินยอมโดยชัดแจ้ง จากผู้ปฏิบัติงานของ กทพ. ตามมาตรา ๒๖ วรรคหนึ่ง แต่ผู้ปฏิบัติงานของ กทพ. ไม่ให้ความยินยอมในการเก็บ รวบรวมข้อมูลชีวภาพดังกล่าว กทพ. อาจต้องพิจารณาต่อไปว่า การเก็บรวบรวมข้อมูลชีวภาพ เป็นกรณีที่มี

ความจำเป็นหรือเกี่ยวข้องสำหรับการบันทึกเวลาทำงานและการดำเนินการที่เกี่ยวข้องหรือไม่ เพียงใด โดยมาตรา ๑๙ วรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติว่า “ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ทั้งนี้ ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ” ซึ่งเป็นการกำหนดหลักความเป็นอิสระในการให้ความยินยอม โดยกำหนดว่า ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ทั้งนี้ เพื่อป้องกันกรณีการบังคับให้เจ้าของข้อมูลส่วนบุคคลต้องให้ความยินยอมเป็นเงื่อนไขในการเข้าทำสัญญาหรือการให้บริการใด ๆ ที่ไม่มีความจำเป็นต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือไม่มีความเกี่ยวข้องกัน อย่างไรก็ตาม ในกรณีที่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เป็นกรณีที่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล และมีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ผู้ควบคุมข้อมูลส่วนบุคคลก็ย่อมสามารถกำหนดเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ในการเข้าทำสัญญาหรือการให้บริการนั้นได้ ซึ่งเป็นไปตามมาตรา ๑๙ วรรคสี่ แต่จะต้องเก็บรวบรวมเท่าที่จำเป็นตามนัยมาตรา ๒๒ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ดังนั้น ในการบันทึกเวลาทำงานของพนักงานและลูกจ้างและการดำเนินการที่เกี่ยวข้องซึ่งเป็นการดำเนินการที่เกี่ยวกับสัญญาจ้างพนักงานและลูกจ้าง หาก กทพ. พิจารณาแล้วเห็นว่าการเก็บรวบรวมข้อมูลชีวภาพมีความจำเป็นหรือเกี่ยวข้องต่อการดำเนินการตามวัตถุประสงค์ดังกล่าวตามสัญญาจ้าง และ กทพ. จะไม่สามารถบรรลุวัตถุประสงค์ดังกล่าวได้หากไม่ทำการเก็บรวบรวมข้อมูลชีวภาพ กทพ. ก็อาจพิจารณากำหนดเงื่อนไขในการปฏิบัติงานและการดำเนินการด้านการบริหารงานบุคคลของพนักงานและลูกจ้าง ตามสัญญาจ้างว่า จะต้องให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพดังกล่าว โดยแจ้งความจำเป็นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว เพื่อวัตถุประสงค์ในการบันทึกเวลาทำงาน การตรวจสอบเวลาเข้าออกงาน การลา การขาดงาน หรือการละทิ้งหน้าที่ รวมทั้งเพื่อการดำเนินการจ่ายเงินเดือนหรือค่าตอบแทนอื่น และการประเมินการเลื่อนขั้นเงินเดือนประจำปีของพนักงานและลูกจ้าง ซึ่งเป็นไปตามมาตรา ๑๙ วรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้ ทั้งนี้ กทพ. จะต้องแจ้งผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล หรือการถอนความยินยอม ให้เจ้าของข้อมูลส่วนบุคคลทราบในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลด้วย ตามนัยมาตรา ๒๓ (๒) และมาตรา ๑๙ วรรคหก แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

แต่หาก กทพ. พิจารณาแล้วเห็นว่า การเก็บรวบรวมข้อมูลชีวภาพนั้นไม่มีความจำเป็นหรือเกี่ยวข้องต่อการดำเนินการตามวัตถุประสงค์ดังกล่าวตามสัญญาจ้างตามมาตรา ๑๙ วรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กทพ. จะต้องจัดให้มีวิธีการอื่นในการบันทึกเวลาทำงานและการดำเนินการที่เกี่ยวข้อง สำหรับพนักงานหรือลูกจ้างที่ไม่ให้ความยินยอมหรือถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพดังกล่าวด้วย โดยอาจกำหนดในลักษณะเดียวกับที่กำหนดไว้ในข้อ ๑๒ ของระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์

พ.ศ. ๒๕๖๔ ที่กำหนดให้ผู้ปฏิบัติงานลงลายมือชื่อมาทำงานและลงลายมือชื่อออกจากการทำงานในบัญชีลงเวลาทำงานในกรณีที่ผู้ปฏิบัติงานมีความผิดปกติทางร่างกายหรือระบบบันทึกเวลาทำงานขัดข้องจนไม่สามารถบันทึกเวลาได้ ทั้งนี้ในการขอความยินยอมจากพนักงานและลูกจ้าง กทพ. ในฐานะนายจ้าง ควรใช้ความระมัดระวังเพื่อไม่ให้ขัดกับหลักความเป็นอิสระในการให้ความยินยอมของพนักงานและลูกจ้างตามมาตรา ๑๙ วรรคสี่ด้วย

อย่างไรก็ตาม คณะอนุกรรมการตอบข้อหารือฯ เห็นว่า ในกรณีที่ผู้ปฏิบัติงานของ กทพ. ซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลไม่เห็นด้วยกับการดำเนินการของ กทพ. ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพตามวัตถุประสงค์ดังกล่าว หรือเกิดกรณีได้แย้งที่เกี่ยวกับการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ผู้นั้นย่อมมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญตามมาตรา ๗๓ โดยยื่นคำร้องเรียนมายังสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ตามระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. ๒๕๖๕ เพื่อให้คณะกรรมการผู้เชี่ยวชาญพิจารณาเรื่องร้องเรียนและมีคำสั่งตามหน้าที่ และอำนาจต่อไป เพื่อให้เป็นไปตามกฎหมายดังกล่าว ดังนั้น กทพ. จึงควรแจ้งให้ผู้ปฏิบัติงานผู้นั้นทราบ และพิจารณาใช้สิทธิร้องเรียนต่อไปตามความเหมาะสม

อนึ่ง เนื่องจากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพ โดยธรรมชาติอาจมีความเสี่ยงที่จะกระทบต่อสิทธิและเสรีภาพของบุคคลได้ค่อนข้างสูง กทพ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยอย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกัน หรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลงแก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ทั้งนี้ เพื่อคุ้มครองสิทธิชั้นพื้นฐาน และประโยชน์ของพนักงานและลูกจ้างในฐานะเจ้าของข้อมูลส่วนบุคคลอย่างเหมาะสมและได้สัดส่วน โดยมาตรการดังกล่าวจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ ซึ่งออกตามความในมาตรา ๓๗ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย

นอกจากนี้ คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมเกี่ยวกับข้อมูลส่วนบุคคลที่ กทพ. ได้เก็บรวบรวมไว้ก่อนวันที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ใช้บังคับ โดยบทเฉพาะกาลตามมาตรา ๙๕ แห่งพระราชบัญญัตินี้กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิม และสำหรับข้อมูลส่วนบุคคลที่มาตรา ๒๔ หรือมาตรา ๒๖ กำหนดให้ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ซึ่งได้เก็บรวบรวมไว้ก่อนวันที่พระราชบัญญัตินี้ใช้บังคับ ผู้ควบคุมข้อมูลส่วนบุคคลต้องกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่ประชาสัมพันธ์ให้เจ้าของข้อมูลส่วนบุคคลที่ไม่ประสงค์ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลดังกล่าวสามารถแจ้งยกเลิกความยินยอมได้โดยง่ายด้วย ดังนั้น การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลของ กทพ. ที่ได้เก็บรวบรวมไว้ก่อนวันที่พระราชบัญญัตินี้ใช้บังคับ เพื่อวัตถุประสงค์ในการบันทึกเวลาทำงานของผู้ปฏิบัติงานของ กทพ. และการดำเนินการที่เกี่ยวข้อง ซึ่งเป็นวัตถุประสงค์เดิมก็สามารถเก็บรวบรวม

และใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ และในกรณีที่ กทพ. ได้ใช้ฐานทางกฎหมายอื่นไปแล้ว เช่น ได้รับความยินยอม โดยขัดแจ้ง หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะ ที่สำคัญตามมาตรา ๒๖ (๕) (จ) แล้วแต่กรณี โดยได้แจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของ ข้อมูลส่วนบุคคลทราบตามมาตรา ๒๓ (privacy notice) และมีการบันทึกรายการตามมาตรา ๓๙ ในกรณีที่ กทพ. เห็นควรเปลี่ยนแปลงฐานทางกฎหมายให้สอดคล้องกับแนวทางการตอบข้อหารือนี้ กทพ. ควรพิจารณา แจ้งรายละเอียดที่มีการเปลี่ยนแปลงดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบอีกครั้ง (re-notice) รวมทั้ง แก้ไขหรือปรับปรุงการบันทึกรายการให้สอดคล้องกับข้อเท็จจริงด้วย เพื่อความเป็นธรรมและโปร่งใสต่อ เจ้าของข้อมูลส่วนบุคคล

อนึ่ง การให้คำแนะนำและคำปรึกษาในการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ นี้ เป็นการให้ความเห็นเกี่ยวกับข้อกฎหมายตามพระราชบัญญัติดังกล่าวโดยทั่วไป แต่ในกรณีที่มี เรื่องร้องเรียนหรือมีการตรวจสอบการกระทำใด ๆ ที่อยู่ในหน้าที่และอำนาจของคณะกรรมการผู้เชี่ยวชาญ หรือหน่วยงานอื่น ผลการพิจารณาจะเป็นอย่างไรย่อมเป็นไปตามข้อกฎหมายและกระบวนการที่เกี่ยวข้อง