PDPC_Consult-49

เรื่อง สำนักงานปลัดกระทรวงกลาโหมขอหารือแนวทางปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ วรรคหนึ่ง (๒) วรรคสอง และวรรคสาม มาตรา ๖ มาตรา ๒๑ มาตรา ๒๓ มาตรา ๔๐ (๑)
   และมาตรา ๔๑ (๑) (๒) และ (๓)

2. พระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม พ.ศ. ๒๕๕๑ และที่แก้ไขเพิ่มเติม
   มาตรา ๑๐ และมาตรา ๒๒

3. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๓๔
   มาตรา ๗ วรรคสาม

4. พระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บางส่วนมาใช้บังคับ พ.ศ. ๒๕๖๖
   มาตรา ๖ มาตรา ๗ มาตรา ๘ มาตรา ๙ มาตรา ๑๐ มาตรา ๑๑ และมาตรา ๑๒

5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับ พ.ศ. ๒๕๖๖

6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๖
   คำปรารภ และข้อ ๓

7. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖

8. แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล จากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อหารือ

สำนักงานปลัดกระทรวงกลาโหม แจ้งว่า ในฐานะหน่วยรับผิดชอบดำเนินการให้การปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของกระทรวงกลาโหมมีแนวปฏิบัติที่ชัดเจน ถูกต้องตามหลักการและเจตนารมณ์แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ขอหารือต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ดังนี้

1. กระทรวงกลาโหมเป็นหน่วยงานด้านความมั่นคง ซึ่งได้รับการยกเว้นตามมาตรา ๔ (๒) หรือมาตรา ๔ วรรคสอง โดยไม่นำบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ทั้งหมดหรือบางส่วนมาใช้บังคับ หรือไม่ อย่างไร และกระทรวงกลาโหมจะต้องดำเนินการประการใด เพื่อปฏิบัติตาม

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ดังกล่าว รวมทั้งแนวทางการพิจารณากิจกรรม หรืองานใด หากไม่เข้าข่ายได้รับการยกเว้น

๒. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๖ บัญญัติว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล มีหน้าที่ต้องแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ตามมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ดังกล่าวนั้น ส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหมสามารถดำเนินการในภาพรวมของส่วนราชการ ที่มีความครอบคลุมทุกหน่วยงานในสังกัด หรือสามารถจัดทำเป็นการเฉพาะของหน่วยงานภายใต้ส่วนราชการที่เป็นนิติบุคคลนั้น ได้หรือไม่ และผู้ใดมีอำนาจลงนามของหน่วยงาน

๓. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๖ มิได้กำหนดให้กระทรวงกลาโหมหรือหน่วยงานในสังกัด ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ดังนั้น กระทรวงกลาโหมได้รับการยกเว้นไม่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนหรือไม่ อย่างไร หรือจะต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในภาพรวมของส่วนราชการที่มีฐานะเป็นนิติบุคคล หรือสามารถดำเนินการเป็นการเฉพาะของหน่วยงานภายใต้ส่วนราชการที่เป็นนิติบุคคลนั้น

๔. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๖ บัญญัติว่า “ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ดังนั้น “ผู้ประมวลผลข้อมูลส่วนบุคคล” ของส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหม ได้แก่หน่วยงานใด หรือผู้ดำรงตำแหน่งใด

๕. พระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม พ.ศ. ๒๕๕๑ และที่แก้ไขเพิ่มเติมมิได้กำหนดให้สำนักงานรัฐมนตรี มีฐานะเป็นนิติบุคคล ดังนั้น “ผู้ควบคุมข้อมูลส่วนบุคคล” ของสำนักงานรัฐมนตรี ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้แก่ส่วนราชการใด และผู้ที่มีอำนาจหน้าที่ในการปฏิบัติหรือดำเนินการตามมาตรา ๖ แห่งพระราชบัญญัติดังกล่าว ได้แก่ผู้ดำรงตำแหน่งใด และผู้ดำรงตำแหน่งดังกล่าว ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของสำนักงานรัฐมนตรี สามารถมอบอำนาจการดำเนินการใด ๆ ตามกฎหมาย ให้แก่ผู้ดำรงตำแหน่งอื่นปฏิบัติราชการแทนได้หรือไม่

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็น ดังนี้

ประเด็นตามข้อหารือที่ ๑ เห็นว่า บทบัญญัติตามมาตรา ๔ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งกำหนดกรณีที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้มาใช้บังคับสำหรับการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐนั้น หมายความถึงเฉพาะการดำเนินการในกิจกรรมหรือภารกิจใดที่มีหน้าที่หรือวัตถุประสงค์เกี่ยวข้องกับการรักษาความมั่นคงของรัฐเท่านั้น ดังนั้น การดำเนินการของส่วนราชการในสังกัดของกระทรวงกลาโหมที่ไม่ได้มีหน้าที่หลักในการรักษาความมั่นคง

ของรัฐโดยตรง หรือกิจกรรมใดของกระทรวงกลาโหมที่ไม่เกี่ยวข้องกับการรักษาความมั่นคงของรัฐโดยตรง เช่น การให้บริการสุขภาพของสถานพยาบาลในสังกัดกระทรวงกลาโหม หรือการดำเนินงานด้านการประชาสัมพันธ์ ย่อมไม่เข้าลักษณะตามมาตรา ๔ (๒) กรณีจึงไม่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้มาใช้บังคับ ส่วนการดำเนินการในกิจกรรมหรือภารกิจใดของกระทรวงกลาโหมที่จะมีหน้าที่หรือวัตถุประสงค์เกี่ยวข้องกับ การรักษาความมั่นคงของรัฐ อันจะได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้มาใช้บังคับ กระทรวงกลาโหมย่อม ต้องพิจารณาตามข้อเท็จจริงเป็นรายกรณี นอกจากนี้ การดำเนินการที่จะได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้ มาใช้บังคับตามมาตรา ๔ วรรคสอง จะต้องเป็นกรณีที่กำหนดในพระราชกฤษฎีกา ซึ่งปัจจุบันพระราชกฤษฎีกา กำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บางส่วนมาใช้บังคับ พ.ศ. ๒๕๖๖ ได้กำหนดกรณีที่จะได้รับการยกเว้นไว้เป็นการเฉพาะในมาตรา ๖ ถึงมาตรา ๑๒ ดังนั้น หากการดำเนินการในกิจกรรมหรือภารกิจใดของกระทรวงกลาโหมไม่เข้าเงื่อนไขในกรณีใด ตามพระราชกฤษฎีกาดังกล่าว ย่อมไม่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้มาใช้บังคับตามมาตรา ๔ วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ทั้งนี้ สำหรับการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกิจกรรม หรือภารกิจใดของกระทรวงกลาโหมที่มีหน้าที่หรือวัตถุประสงค์เกี่ยวข้องกับการรักษาความมั่นคงของรัฐ ซึ่งได้รับ การยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับตามมาตรา ๔ (๒) กระทรวงกลาโหมยังต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย ทั้งนี้ ตามมาตรา ๔ วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูล ส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับ พ.ศ. ๒๕๖๖

ประเด็นตามข้อหารือที่ ๒ เห็นว่า ส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหม ที่ไม่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับ ตามมาตรา ๔ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ย่อมมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งรวมถึงหน้าที่ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม ตามมาตรา ๒๑ และการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ ก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ตามมาตรา ๒๓ ด้วย โดยส่วนราชการที่มีฐานะเป็นนิติบุคคล ในสังกัดกระทรวงกลาโหมจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูล ส่วนบุคคลถึงวัตถุประสงค์และรายละเอียดเกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy information) โดย อาจพิจารณาแจ้งในรูปแบบประกาศการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) ก็ได้ โดยทั้งนี้ พระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้กำหนดรูปแบบหรือวิธีการแจ้งวัตถุประสงค์และรายละเอียดดังกล่าว ไว้เป็นการเฉพาะ แต่กำหนดรายละเอียดที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ ตามมาตรา ๒๓ โดยผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาดำเนินการตามแนวทางการดำเนินการในการแจ้ง

วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดได้

สำหรับประกาศการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) นั้น อาจมีการลงนามหรือไม่ก็ได้
หากประสงค์จะให้มีการลงนาม หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณากำหนดหรือมอบหมาย
บุคคลที่เหมาะสมเป็นผู้ลงนามก็ได้ โดยกระทรวงกลาโหมและส่วนราชการในสังกัดที่มีฐานะเป็นผู้ควบคุมข้อมูล
ส่วนบุคคลควรพิจารณาว่า การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว
กระทรวงกลาโหมสามารถดำเนินการให้ครอบคลุมทุกกิจกรรมหรือภารกิจของแต่ละหน่วยงานภายใต้สังกัดได้
หรือไม่ หากสามารถดำเนินการได้ กระทรวงกลาโหมจะเป็นผู้จัดทำแล้วให้หน่วยงานในสังกัดนำไปเผยแพร่หรือ
แจ้งเจ้าของข้อมูลส่วนบุคคลก็ได้ หรือกระทรวงกลาโหมอาจให้หน่วยงานในสังกัดที่มีฐานะเป็นผู้ควบคุมข้อมูล
ส่วนบุคคลเป็นผู้จัดทำเป็นการเฉพาะของหน่วยงานเองก็ได้ โดยการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม
ข้อมูลส่วนบุคคลดังกล่าวควรมีความชัดเจนและเจ้าของข้อมูลส่วนบุคคลสามารถเข้าใจได้โดยง่าย

ประเด็นตามข้อหารือที่ ๓ เห็นว่า มาตรา ๔๑ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. ๒๕๖๒ กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูล
ส่วนบุคคลของตน ในกรณีดังต่อไปนี้ (๑) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงาน
ของรัฐตามที่คณะกรรมการประกาศกำหนด “ล” เมื่อพิจารณาตามบัญชีท้ายประกาศคณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มี
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๖ แล้ว จะเห็นว่า คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
มิได้กำหนดให้กระทรวงกลาโหมหรือหน่วยงานในสังกัดต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ดังนั้น
กระทรวงกลาโหมหรือหน่วยงานในสังกัดยังไม่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามประกาศดังกล่าว
จึงอาจไม่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามบทบัญญัติในมาตรา ๔๑ (๑) เว้นแต่กรณีสถาบันอุดมศึกษา
ของรัฐที่มีสถานพยาบาลในสังกัด ภายใต้กระทรวงกลาโหม (หรือส่วนราชการต้นสังกัดที่มีฐานะเป็นนิติบุคคล
ในสังกัดกระทรวงกลาโหมของสถาบันอุดมศึกษานั้น) ที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามข้อ ๓
ของประกาศดังกล่าว ประกอบข้อ ๑๔.๒๓ ของบัญชีท้ายประกาศนั้น แต่เมื่อพิจารณาจากคำปรารภของประกาศ
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็น
หน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๖ ที่กำหนดว่า “...โดยในระยะแรก
เห็นควรกำหนดให้หน่วยงานของรัฐที่มีความพร้อมและมีลักษณะที่จำเป็นต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูล
ส่วนบุคคล ซึ่งจะได้กำหนดหน่วยงานของรัฐแห่งอื่นเพิ่มเติมตามความเหมาะสมต่อไป” จะเห็นได้ว่า คณะกรรมการ
คุ้มครองข้อมูลส่วนบุคคลอาจมีการประกาศกำหนดหน่วยงานของรัฐที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
เพิ่มเติมในอนาคตตามความเหมาะสมได้

อย่างไรก็ตาม มาตรา ๔๑ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนด
กรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลไว้
๓ กรณี แม้กระทรวงกลาโหมหรือส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดอาจไม่เข้ากรณีตามมาตรา ๔๑ (๑)
แต่หากกระทรวงกลาโหมและส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดพิจารณาแล้วเห็นว่า การดำเนินกิจกรรม
ของตนในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุ
ที่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ตามมาตรา ๔๑ (๒)

ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ หรือเป็นกรณีที่กิจกรรมหลักของตนเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ ตามนัยมาตรา ๔๑ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ก็ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลด้วยกระทรวงกลาโหมและส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดจึงต้องพิจารณาว่าตนเข้าเงื่อนไขที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) และ/หรือมาตรา ๔๑ (๓) หรือไม่ ในการดำเนินการที่ไม่ได้รับการยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับตามมาตรา ๔ (๒)

อนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่ไม่เข้าเงื่อนไขตามมาตรา ๔๑ (๑) ถึง (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และไม่มีหน้าที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ อาจพิจารณาจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้เพื่อทำหน้าที่ให้คำแนะนำ ตรวจสอบการดำเนินงาน และประสานงานและให้ความร่วมมือกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในการปฏิบัติตามพระราชบัญญัตินี้ ทั้งนี้ เพื่อส่งเสริมการคุ้มครองข้อมูลส่วนบุคคล และลดความเสี่ยงที่จะมีการฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติดังกล่าวในหน่วยงานของตน

ประเด็นตามข้อหารือที่ ๔ เห็นว่า สำหรับการดำเนินการของกระทรวงกลาโหมหรือส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดที่อยู่ในบังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กระทรวงกลาโหมและส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหมดังกล่าว จะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล ส่วนหน่วยงานในสังกัดที่ไม่มีฐานะเป็นนิติบุคคล ตลอดจนข้าราชการ พนักงาน และบุคลากรของหน่วยงานดังกล่าวจะไม่มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลแยกต่างหากจากกระทรวงกลาโหมหรือส่วนราชการที่มีฐานะเป็นนิติบุคคลนั้น แต่กระทรวงกลาโหมและส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดอาจพิจารณามอบหมายหน้าที่หรือสั่งการให้หน่วยงานใดหรือผู้ดำรงตำแหน่งใดในสังกัดรับผิดชอบการดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้ ก็ได้ ทั้งนี้ หน่วยงานหรือบุคคลที่ได้รับมอบหมายหน้าที่หรือข้อสั่งการดังกล่าวไม่ถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลแยกต่างหากจากกระทรวงกลาโหมหรือส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหม

ส่วนกรณีที่จะถือเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ของกระทรวงกลาโหมหรือส่วนราชการ ที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหม ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล นั้น เมื่อพิจารณาจากบทนิยาม ของคำว่า “ผู้ประมวลผลข้อมูลส่วนบุคคล” ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จะต้องเป็นกรณีที่บุคคลธรรมดาหรือนิติบุคคลภายนอกสังกัด (ที่ไม่ใช่ส่วนหนึ่งของกระทรวงกลาโหมหรือส่วนราชการ ในสังกัด) มีการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนาม ของกระทรวงกลาโหมหรือส่วนราชการในสังกัด และมีหน้าที่ดำเนินการตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๔๐ (๑) เท่านั้น เช่น กรณีที่กระทรวงกลาโหมหรือส่วนราชการในสังกัดว่าจ้างหรือมอบหมายให้บุคคล หรือหน่วยงานใดภายนอกดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่เป็นภารกิจหรือหน้าที่ ในความรับผิดชอบของตน โดยเป็นการดำเนินการตามคำสั่งหรือในนามของตน

ประเด็นตามข้อหารือที่ ๕ ในประเด็นว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ของสำนักงานรัฐมนตรี กระทรวงกลาโหม คือส่วนราชการใด นั้น เห็นว่า มาตรา ๑๐ แห่งพระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม พ.ศ. ๒๕๕๑ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม (ฉบับที่ ๒) พ.ศ. ๒๕๕๖ กำหนดให้ สำนักงานรัฐมนตรีเป็นส่วนราชการในกระทรวงกลาโหม แต่มาตรา ๒๒ แห่งพระราชบัญญัติจัดระเบียบราชการ กระทรวงกลาโหม พ.ศ. ๒๕๕๑ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม (ฉบับที่ ๒) พ.ศ. ๒๕๕๖ ไม่ได้กำหนดให้สำนักงานรัฐมนตรี กระทรวงกลาโหม เป็นนิติบุคคล ประกอบกับมาตรา ๗ วรรคสาม แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๑๔ กำหนดให้กระทรวงมีฐานะเป็นนิติบุคคล ดังนั้น กระทรวงกลาโหมซึ่งเป็นหน่วยงานต้นสังกัดของสำนักงานรัฐมนตรีจึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมีหน้าที่ตามพระราชบัญญัติดังกล่าวเกี่ยวกับ การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของสำนักงานรัฐมนตรี กระทรวงกลาโหม เท่าที่พระราชบัญญัติดังกล่าว ใช้บังคับแก่สำนักงานรัฐมนตรี

สำหรับประเด็นที่ว่า ผู้ที่มีอำนาจหน้าที่ในการปฏิบัติหรือดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ของสำนักงานรัฐมนตรี กระทรวงกลาโหม ได้แก่ผู้ดำรง ตำแหน่งใด และสามารถมอบอำนาจการดำเนินการใด ๆ ตามกฎหมาย ให้แก่ผู้ดำรงตำแหน่งอื่นปฏิบัติราชการแทน ได้หรือไม่ นั้น เห็นว่า เมื่อพิจารณาถึงเจตนารมณ์ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบบทนิยามคำว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” ในมาตรา ๖ ที่หมายความว่า บุคคลธรรมดาหรือนิติบุคคล ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จะเห็นว่า สถานภาพความเป็น ผู้ควบคุมข้อมูลส่วนบุคคลเกิดขึ้นจากองค์ประกอบตามบทนิยามดังกล่าวตามข้อเท็จจริง มิได้เกิดจากการได้รับ แต่งตั้งหรือมอบหมายโดยผู้ใด ดังนั้น หากหน่วยงานใดที่มีฐานะเป็นนิติบุคคลมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หน่วยงานนั้นย่อมถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลแล้ว โดยไม่ต้องมีการแต่งตั้งหรือมอบหมายบุคคลใดเพื่อปฏิบัติหน้าที่นั้นอีก และผู้บริหาร ข้าราชการ พนักงาน หรือบุคลากรของหน่วยงานดังกล่าวจะไม่มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล แยกต่างหากจากหน่วยงานนั้น จึงไม่มีกรณีที่จะสามารถมอบอำนาจการดำเนินการของหน่วยงานในฐานะผู้ควบคุม ข้อมูลส่วนบุคคลให้บุคคลใดปฏิบัติหน้าที่และรับผิดชอบในฐานะผู้ควบคุมข้อมูลส่วนบุคคลแทนหน่วยงานนั้นได้