PDPC_Consult-51

เรื่อง นาย ฐ ขอให้ตีความและวินิจฉัยชี้ขาดปัญหาเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๒๔ มาตรา ๒๖ และมาตรา ๒๗ วรรคหนึ่ง

2. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครอง สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้ การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. ๒๕๖๖
   ข้อ ๓

ข้อหารือ

นาย ฐ ได้มีหนังสือขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตีความตามมาตรา ๑๖ (๑๐) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สืบเนื่องจากเรื่องร้องเรียนเกี่ยวกับการเปิดเผย ข้อมูลส่วนบุคคลเกี่ยวกับการสอบสวนโทษทางวินัยโดยอดีตพนักงานของผู้ถูกร้องเรียนที่ทำหน้าที่เป็นกรรมการ สอบสวนโทษทางวินัยในประวัติการทำงานของผู้นั้นที่เผยแพร่ผ่านอินเทอร์เน็ต และคำสั่งคณะกรรมการ ผู้เชี่ยวชาญที่เกี่ยวข้องว่า กรณีที่เป็นข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในท่านองเดียวกันตามที่ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวจะต้องได้รับความยินยอมโดยชัดแจ้งจาก เจ้าของข้อมูลส่วนบุคคล เว้นแต่จะเข้าข้อยกเว้นตามมาตราดังกล่าวนั้น ต้องเป็นเรื่องในลักษณะใด มีรายละเอียดอย่างไรเป็นการเพิ่มเติมจากข้อมูลตามเดิมที่เป็นไปตามมาตรา ๒๖ แห่งพระราชบัญญัตินี้ และขอให้พิจารณาและดำเนินการเพื่อทำการประกาศเพิ่มเติมเกี่ยวกับกรณีที่เป็นข้อมูลอื่นใดซึ่งกระทบ ต่อเจ้าของข้อมูลส่วนบุคคลในท่านองเดียวกัน เพื่อเป็นประโยชน์ในการบังคับใช้และป้องกันมิให้เกิดความ เสียหายต่อบุคคลอื่น ๆ

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วย การคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้นำเรื่องดังกล่าวเสนอ ต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อพิจารณาแล้ว เห็นว่า ข้อมูลส่วนบุคคลที่เกี่ยวกับการดำเนินการ ทางวินัย เป็นข้อมูลที่เกี่ยวข้องกับการปฏิบัติงานหรือการกระทำความผิดทางวินัยภายในหน่วยงาน ซึ่งโดยทั่วไป จะเป็นข้อมูลที่ใช้เฉพาะภายในองค์กร ซึ่งข้อมูลดังกล่าวจะไม่เข้าลักษณะเป็น “ข้อมูลส่วนบุคคลเกี่ยวกับประวัติ อาชญากรรม” ตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบข้อ ๓ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการ เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มี อำนาจหน้าที่ตามกฎหมาย พ.ศ. ๒๕๖๖ เนื่องจากข้อมูลดังกล่าวมิใช่ข้อมูลเกี่ยวกับการสืบสวนสอบสวน การกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา และไม่ได้เป็นข้อมูลที่เป็นทางการ หรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายที่เกี่ยวข้องกับการดำเนินการทางอาญาดังกล่าว นอกจากนี้ ข้อมูลดังกล่าวยังไม่เข้าลักษณะของข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทาง การเมือง ความเชื่อในสิทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพ

๒

แรงงาน ข้อมูลพันธุกรรม หรือข้อมูลชีวภาพ ตามมาตรา ๒๖ แต่อย่างใด ประกอบกับในปัจจุบันคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลยังไม่ได้ประกาศกำหนดข้อมูลส่วนบุคคลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในท่านองเดียวกัน ดังนั้น ข้อมูลส่วนบุคคลที่เกี่ยวกับการดำเนินการทางวินัย จึงไม่เข้าลักษณะเป็นข้อมูลส่วนบุคคลตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

สำหรับกรณีที่นาย ฐ ขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาและดำเนินการเพื่อออกประกาศกำหนดเพิ่มเติมให้ข้อมูลส่วนบุคคลที่เกี่ยวกับการดำเนินการทางวินัย เป็นข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในท่านองเดียวกันตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ นั้น คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้ว เห็นว่า เจตนารมณ์ของบทบัญญัติมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มีวัตถุประสงค์เพื่อให้ความคุ้มครองข้อมูลส่วนบุคคลบางประเภทที่มีความละเอียดอ่อน (sensitive personal data) เป็นพิเศษซึ่งหากมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยไม่เหมาะสมอาจส่งผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลอย่างรุนแรง เช่น การเลือกปฏิบัติโดยไม่เป็นธรรมต่อบุคคลบนพื้นฐานของเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในสิทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ข้อมูลสุขภาพ ความพิการ ข้อมูลสุขภาพแรงงาน ข้อมูลพันธุกรรม หรือข้อมูลชีวภาพ ดังเช่นที่บัญญัติในมาตรา ๒๖ จึงกำหนดให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวจะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่จะเข้าข้อยกเว้นตามมาตรา ๒๖ (๑) ถึง (๕) ประกอบมาตรา ๒๗ วรรคหนึ่ง ข้อยกเว้นตามมาตรา ๒๖ ดังกล่าวทำให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลจะต้องเป็นกรณีที่ถูกจำกัดไว้เป็นพิเศษซึ่งแคบกว่าข้อยกเว้นตามมาตรา ๒๔ ดังนั้น การที่จะกำหนดให้ข้อมูลอื่นใดเป็นข้อมูลส่วนบุคคลตามมาตรา ๒๖ จะต้องพิจารณาว่า ข้อมูลนั้นมีลักษณะที่อาจส่งผลกระทบต่อสิทธิและเสรีภาพของบุคคลในลักษณะร้ายแรงหรือเกินสมควรหรือไม่ และข้อยกเว้นที่ถูกจำกัดไว้เป็นพิเศษตามมาตรา ๒๖ มีความเหมาะสมกับข้อมูลลักษณะดังกล่าวเพียงใด เมื่อพิจารณาจากลักษณะของข้อมูลส่วนบุคคลเกี่ยวกับการดำเนินการทางวินัยภายในหน่วยงาน ซึ่งโดยทั่วไปการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลดังกล่าวจะเป็นกระบวนการที่เกิดขึ้นภายในองค์กร และข้อมูลดังกล่าวมิใช่ข้อมูลเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญาที่เป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการดำเนินการทางอาญาดังกล่าว รวมทั้งมิได้มีลักษณะที่อาจส่งผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลในระดับที่ร้ายแรงหรือเกินสมควรในท่านองเดียวกับข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมหรือข้อมูลส่วนบุคคลอื่นตามที่กำหนดในมาตรา ๒๖ ตลอดจนองค์กรที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลยังสามารถกำหนดระดับขั้นความลับและขอบเขตที่เหมาะสมในการเก็บรวบรวมใช้ และเปิดเผยข้อมูลดังกล่าวได้ และหากมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลดังกล่าวโดยไม่สมควรเจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบก็สามารถใช้สิทธิร้องเรียนตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล หรือใช้สิทธิเรียกร้องความรับผิดตามกฎหมายอื่นได้ จึงยังไม่สมควรที่จะประกาศกำหนดให้ข้อมูลส่วนบุคคลเกี่ยวกับการดำเนินการทางวินัย เป็นข้อมูลส่วนบุคคลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในท่านองเดียวกันกับข้อมูลส่วนบุคคลตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นการเพิ่มเติม