เรื่อง สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายหารือเกี่ยวกับการดำเนินการ
ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๖ มาตรา ๒๖ มาตรา ๒๔ (๖) มาตรา ๒๗ วรรคหนึ่งและวรรคสอง มาตรา ๒๘ มาตรา ๒๙
   มาตรา ๓๗ (๑) และ (๔) และมาตรา ๔๐ วรรคสาม

2. พระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. ๒๕๖๗ และที่แก้ไขเพิ่มเติม
   มาตรา ๑๗ (๑๐) และ (๑๒) และมาตรา ๖๑

3. ระเบียบคณะกรรมการอ้อยและน้ำตาลทราย ว่าด้วยการตัดและส่งอ้อยให้แก่โรงงาน การตรวจสอบ
   คุณภาพอ้อย และการรับอ้อยจากชาวไร่อ้อยหรือหัวหน้ากลุ่มชาวไร่อ้อย พ.ศ. ๒๕๕๓ และที่แก้ไข
   เพิ่มเติม
   ข้อ ๗ วรรคสอง

4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุม
   ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕
   ข้อ ๔

ข้อหารือ

สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายขอหารือกรณีที่ได้รับหนังสือจากกลุ่มบริษัท Z
แจ้งว่า ตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มีผลใช้บังคับและได้กำหนดสิทธิหน้าที่และ
ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล รวมถึงผู้ที่มีส่วนเกี่ยวข้องต่อเจ้าของข้อมูลส่วนบุคคลในการ
เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อป้องกันการล่วงละเมิดสิทธิความเป็นส่วนตัวหรือสร้างความ
เดือดร้อนเสียหายแก่เจ้าของข้อมูลส่วนบุคคล กลุ่มบริษัทในฐานะผู้ควบคุมข้อมูลส่วนบุคคลซึ่งมีการส่งข้อมูลส่วน
บุคคลที่เก็บรวบรวมให้แก่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายเพื่อให้เป็นไปตามพระราชบัญญัติอ้อย
และน้ำตาลทราย พ.ศ. ๒๕๖๗ และระเบียบที่ออกตามพระราชบัญญัติดังกล่าวและข้อมูลส่วนบุคคลที่มีการส่ง
ให้แก่สำนักงานคณะกรรมการอ้อยและน้ำตาลทราย มีความจำเป็นต้องได้รับความคุ้มครองตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กลุ่มบริษัท Z จึงขออภิปรายการขอการแบ่งปันข้อมูลส่วนบุคคล เพื่อ
เป็นข้อตกลงในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายได้รับ
จากกลุ่มบริษัท Z เพื่อให้เป็นไปตามกฎหมาย รวมถึงเพื่อให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมและ
เพียงพอตามที่กฎหมายกำหนดต่อไป จึงแจ้งมายังสำนักงานคณะกรรมการอ้อยและน้ำตาลทราย ขอให้โปรดทราบ
และลงนามในโบตอบรับ ส่งกลับมาที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) บริษัท Z โดยสำนักงาน
คณะกรรมการอ้อยและน้ำตาลทรายให้ข้อมูลเพิ่มเติมว่า

1. กลุ่มบริษัท Z ถือเป็นบริษัทโรงงานน้ำตาลที่อยู่ในบังคับของพระราชบัญญัติอ้อยและน้ำตาล
   ทราย พ.ศ. ๒๕๖๗ ซึ่งมีหน้าที่ในการจัดส่งข้อมูลต่าง ๆ ในระบบอุตสาหกรรมอ้อยและน้ำตาลทรายตามระเบียบ
   ประกาศ ที่กำหนด โดยอาศัยอำนาจตามพระราชบัญญัติฉบับดังกล่าว เช่น หน้าที่ส่งมอบรายชื่อชาวไร่อ้อยและ

หัวหน้ากลุ่มชาวไร่อ้อยคู่สัญญา รวมทั้งประมาณการผลผลิต และรายละเอียดที่เกี่ยวข้องตามแบบที่คณะกรรมการอ้อยและน้ำตาลทรายกำหนดให้กับคณะทำงานควบคุมการผลิตประจำโรงงานและสำนักงาน ก่อนการเปิดหีบอ้อยไม่น้อยกว่าสิบห้าวัน ตามข้อ ๗ วรรคสอง ของระเบียบคณะกรรมการอ้อยและน้ำตาลทราย ว่าด้วยการตัดและส่งอ้อยให้แก่โรงงาน การตรวจสอบคุณภาพอ้อยและการรับอ้อยจากชาวไร่อ้อยหรือหัวหน้ากลุ่มชาวไร่อ้อย พ.ศ. ๒๕๕๓ เป็นต้น จึงถือว่า กลุ่มบริษัท Z เป็นผู้ที่มีหน้าที่ในการจัดส่งข้อมูลให้กับสำนักงานคณะกรรมการอ้อยและน้ำตาลทรายตามที่มีกฎหมายกำหนดไว้เป็นการเฉพาะอยู่แล้วตามระเบียบและประกาศที่ออกโดยอาศัยอำนาจตามพระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. ๒๕๖๗ ซึ่งเมื่อมีการส่งข้อมูลที่ถือว่าเป็นข้อมูลส่วนบุคคลเข้ามา สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายในฐานะหน่วยงานของรัฐที่ต้องปฏิบัติหน้าที่ตามกฎหมายว่าด้วยอ้อยและน้ำตาลทรายดังกล่าว รวมทั้งมีฐานะเป็นผู้ครอบครองและควบคุมดูแลข้อมูลส่วนบุคคลนั้น ย่อมมีภาระหน้าที่ที่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ อยู่แล้วเช่นเดียวกัน

๒. ด้วยเหตุนี้ สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายจึงขอหารือว่า

๒.๑ สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายจำเป็นที่จะต้องลงนามใน “ข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล” ตามที่กลุ่มบริษัท Z แจ้งมาก่อนหรือไม่ จึงจะสามารถปฏิบัติหน้าที่ให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๒.๒ หากตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้บังคับให้สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายหรือหน่วยงานของรัฐจะต้องลงนามในข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลกับเอกชนที่ครอบครองข้อมูลอยู่ก่อนจึงจะสามารถแบ่งปันข้อมูลกันได้ แต่ให้หน่วยงานของรัฐเลือกที่จะลงนามในข้อตกลงหรือไม่ก็ได้นั้น สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายขอความอนุเคราะห์โปรดช่วยพิจารณาว่า “ข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล” ดังกล่าวมีรายละเอียดเป็นการเพิ่มภาระความรับผิดชอบของสำนักงานคณะกรรมการอ้อยและน้ำตาลทราย ซึ่งเป็นหน่วยงานของรัฐมากเกินกว่าที่กำหนดไว้ในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมีความเหมาะสมแล้วหรือไม่

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น ดังนี้

ประเด็นข้อหารือที่ ๑ เห็นว่า สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายเป็นหน่วยงานของรัฐที่มีอำนาจและหน้าที่ตามมาตรา ๖๑ แห่งพระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. ๒๕๒๗ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติอ้อยและน้ำตาลทราย (ฉบับที่ ๒) พ.ศ. ๒๕๖๕ มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงานตามกฎหมาย จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งกลุ่มบริษัท Z เป็นบริษัทโรงงานน้ำตาลซึ่งมีหน้าที่ต้องส่งข้อมูลส่วนบุคคลให้แก่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายเพื่อให้เป็นไปตามมาตรา ๑๗ (๑๐) และ (๑๒) แห่งพระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. ๒๕๒๗ ประกอบข้อ ๗ วรรคสองของระเบียบคณะกรรมการอ้อยและน้ำตาลทราย ว่าด้วยการตัดและส่งอ้อยให้แก่โรงงาน การตรวจสอบคุณภาพอ้อยและการรับอ้อยจากชาวไร่อ้อยหรือหัวหน้ากลุ่มชาวไร่อ้อย พ.ศ. ๒๕๕๓ ที่ออกตามความในพระราชบัญญัติดังกล่าว กลุ่มบริษัท Z จึงอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เช่นกัน ดังนั้น กรณีที่กลุ่มบริษัท Z ต้องเปิดเผยข้อมูลส่วนบุคคลให้กับสำนักงานคณะกรรมการอ้อยและน้ำตาลทรายตามพระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. ๒๕๒๗ และระเบียบที่เกี่ยวข้อง ถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามนัยมาตรา ๒๔ (๖) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มิได้กำหนดหน้าที่ในเรื่องการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคลหนึ่งกับผู้ควบคุมข้อมูลส่วนบุคคลอื่นไว้ (ซึ่งแตกต่างจากกรณีการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้ ตามมาตรา ๔๐ วรรคสาม ซึ่งอาจเรียกว่าข้อตกลงการประมวลผลข้อมูล หรือ data processing agreement) อย่างไรก็ตาม มาตรา ๒๗ วรรคสอง แห่งพระราชบัญญัติดังกล่าว ได้กำหนดว่า บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคลอื่น จะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น สำนักงานคณะกรรมการอ้อยและน้ำตาลทราย จึงมีหน้าที่ในการดำเนินการให้เป็นไปตามเงื่อนไขดังกล่าว สำหรับข้อมูลส่วนบุคคลที่ได้รับจากการเปิดเผยของโรงงานน้ำตาล ซึ่งรวมถึงกลุ่มบริษัท Z ด้วย

กลุ่มบริษัท Z ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตามมาตรา ๓๗ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ โดยข้อ ๔ ของประกาศดังกล่าวกำหนดว่า มาตรการดังกล่าว จะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical

measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ดังนั้น หากกลุ่มบริษัท Z เห็นว่า การจัดทำข้อตกลงการแบ่งปันข้อมูล (data sharing agreement) ระหว่างผู้ควบคุม ข้อมูลส่วนบุคคล จะเป็นมาตรการเชิงองค์กร (organizational measure) อย่างหนึ่งเพื่อกำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการส่งและรับข้อมูลที่เป็นเอกสารหรือเป็นการแลกเปลี่ยนข้อมูลโดย วิธีการทางอิเล็กทรอนิกส์ที่ตาม อันจะเป็นการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่จะเปิดเผยให้กับ สำนักงานคณะกรรมการอ้อยและน้ำตาลทราย และควบคุมดูแลให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูล ส่วนบุคคลระหว่างกันสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ก็ย่อมสามารถหารือ และตกลงร่วมกันได้

อย่างไรก็ดี ไม่ว่าจะมีการจัดทำข้อตกลงการแบ่งปันข้อมูลระหว่างกันหรือไม่ก็ตาม สำนักงาน คณะกรรมการอ้อยและน้ำตาลทรายในฐานะผู้ควบคุมข้อมูลส่วนบุคคลย่อมมีหน้าที่ตามพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งรวมถึงการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้ วัตถุประสงค์อันชอบด้วยกฎหมายตามมาตรา ๒๒ การจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม มาตรา ๓๗ (๑) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง ปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ และการดำเนินการที่เหมาะสมในกรณีที่เจ้าของข้อมูล ส่วนบุคคลขอใช้สิทธิตามหมวด ๓ แห่งพระราชบัญญัตินี้ ตลอดจนความรับผิดตามกฎหมายที่เกี่ยวข้องอยู่แล้ว การที่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายจะพิจารณาว่าควรลงนามใน “ข้อตกลงการแบ่งปันข้อมูล ส่วนบุคคล” ของกลุ่มบริษัท Z ดังกล่าวหรือไม่นั้น จึงเป็นกรณีที่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายสามารถ พิจารณาดำเนินการได้ตามที่เห็นสมควร

ประเด็นข้อหารือที่ ๒ กรณีที่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายขอให้พิจารณาว่า ร่างข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล ที่จัดทำโดยกลุ่มบริษัท Z เป็นการเพิ่มภาระความรับผิดชอบของสำนักงาน คณะกรรมการอ้อยและน้ำตาลทรายมากเกินกว่าที่กำหนดไว้ในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมีความเหมาะสมแล้วหรือไม่ นั้น เห็นว่า กรณีนี้ไม่อยู่ในหน้าที่และอำนาจของคณะอนุกรรมการตอบข้อหารือฯ ที่จะพิจารณาให้ความเห็นได้ แต่คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า สำนักงานคณะกรรมการอ้อยและ น้ำตาลทรายในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคล ที่ได้รับจากกลุ่มบริษัท Z ให้เหมาะสมและเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วน บุคคล พ.ศ. ๒๕๖๒ ด้วยตัวเองอยู่แล้ว ซึ่งรวมถึงการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและเจ้าของข้อมูล ส่วนบุคคล การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ การควบคุมการดำเนินงานของผู้ประมวลผลข้อมูล ส่วนบุคคล และการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล หากสำนักงานคณะกรรมการอ้อยและ น้ำตาลทรายประสงค์จะจัดทำข้อตกลงการแบ่งปันข้อมูลร่วมกับบุคคลหรือนิติบุคคลใด สำนักงานฯ ควรพิจารณา รายละเอียดเงื่อนไขให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมีความเหมาะสม ตามที่เห็นสมควร