PDPC_Consult-52

เรื่อง สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย หารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๓ (๑) มาตรา ๔ (๒) และ (๕) มาตรา ๖ มาตรา ๒๑ มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๔ (๓) (๔) (๕) และ (๖) มาตรา ๒๖ (๔) และ (๕) มาตรา ๒๗ วรรคหนึ่ง และมาตรา ๓๗ (๑) และ (๒)

2. พระราชบัญญัติคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย พ.ศ. ๒๕๕๐
   มาตรา ๑๗ วรรคหนึ่ง และมาตรา ๒๐ (๒)

3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
   มาตรา ๔ และมาตรา ๒๕ วรรคห้า

4. กฎกระทรวง ฉบับที่ ๒ (พ.ศ. ๒๕๔๑) ออกตามความในพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐

5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕
   ข้อ ๔ (๒)

6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. ๒๕๖๖
   ข้อ ๓

7. ประกาศนายทะเบียน เรื่อง กำหนดแบบรายงานพฤติกรรมที่อาจมีลักษณะเป็นการฉ้อฉลประกันภัย และช่องทางการรายงานการฉ้อฉลประกันภัย สำหรับบริษัทประกันชีวิต พ.ศ. ๒๕๖๔

8. ประกาศนายทะเบียน เรื่อง กำหนดแบบรายงานพฤติกรรมที่อาจมีลักษณะเป็นการฉ้อฉลประกันภัย และช่องทางการรายงานการฉ้อฉลประกันภัย สำหรับบริษัทประกันวินาศภัย พ.ศ. ๒๕๖๔

ข้อหารือ

สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (สำนักงาน คปภ.) ในฐานะหน่วยงานกำกับดูแลและส่งเสริมธุรกิจประกันภัย ตามพระราชบัญญัติคณะกรรมการกำกับและส่งเสริม

๒

การประกอบธุรกิจประกันภัย พ.ศ. ๒๕๕๐ ขอหารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยแจ้งว่า ได้พบปัญหาและอุปสรรคจากการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของภาคธุรกิจ ประกันภัยในหลายประเด็น รวมทั้งปัญหาการเปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัย จากระบบฐานข้อมูลกลางด้านการประกันภัยของสำนักงาน คปภ. ให้แก่หน่วยงานภาครัฐและประชาชน ดังนั้น เพื่อให้เกิดแนวทางปฏิบัติที่ชัดเจนและถูกต้องตามเจตนารมณ์ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำนักงาน คปภ. จึงขอความอนุเคราะห์หารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในประเด็น ๖ ประเด็น ตามรายละเอียดที่จะกล่าวต่อไป

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการ คุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า การดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลของสำนักงาน คปภ. ต้องพิจารณาหลักเกณฑ์การคุ้มครอง ข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยในขณะเดียวกัน สำนักงาน คปภ. มีฐานะเป็นหน่วยงานของรัฐตามมาตรา ๑๗ วรรคหนึ่ง แห่งพระราชบัญญัติคณะกรรมการ กำกับและส่งเสริมการประกอบธุรกิจประกันภัย พ.ศ. ๒๕๕๐ การบริหารจัดการข้อมูลข่าวสารที่อยู่ใน ความครอบครองหรือควบคุมดูแลของสำนักงาน คปภ. จะต้องถือปฏิบัติตามพระราชบัญญัติข้อมูลข่าวสาร ของราชการ พ.ศ. ๒๕๔๐ ด้วย ซึ่งเป็นไปตามมาตรา ๓ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่กำหนดว่า “ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (๑) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิ ของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้ เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม” ดังนั้น ในข้อหารือ บางประเด็นที่เกี่ยวข้องกับพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ สำนักงาน คปภ. อาจพิจารณาหารือไปยังคณะกรรมการข้อมูลข่าวสารของราชการ ซึ่งมีอำนาจหน้าที่ตามพระราชบัญญัตินี้ เพื่อตอบข้อหารือในประเด็นดังกล่าวโดยตรงต่อไป

สำหรับประเด็นข้อหารือของสำนักงาน คปภ. ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ คณะอนุกรรมการตอบข้อหารือฯ พิจารณาแล้วมีความเห็นในแต่ละประเด็น ดังนี้

ประเด็นข้อหารือที่ ๑ กรณีบริษัทประกันภัยประสงค์จะแลกเปลี่ยนข้อมูลส่วนบุคคลของ ผู้เอาประกันภัยระหว่างกัน โดยการจัดทำและบริหารจัดการศูนย์ข้อมูลกลางด้านการประกันภัย หรือขอให้

๓

สำนักงาน คปภ. เปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับพฤติกรรมการฉ้อฉลประกันภัยจากระบบฐานข้อมูลเกี่ยวกับ การฉ้อฉลประกันภัย เพื่อใช้ประโยชน์ในการตรวจสอบ ป้องกัน และแก้ไขปัญหาการฉ้อฉลประกันภัย กรณีดังกล่าวจะสามารถดำเนินการได้โดยอาศัยฐานทางกฎหมายที่ใช้ในการประมวลผลข้อมูลส่วนบุคคล ตามมาตราใด ที่กำหนดในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้องขอความยินยอม จากเจ้าของข้อมูลส่วนบุคคล และข้อมูลเกี่ยวกับพฤติกรรมการฉ้อฉลประกันภัยของบุคคลในลักษณะใด ตามประกาศนายทะเบียน เรื่อง กำหนดแบบรายงานพฤติกรรมที่อาจมีลักษณะเป็นการฉ้อฉลประกันภัย และช่องทางการรายงานการฉ้อฉลประกันภัย สำหรับบริษัทประกันชีวิต พ.ศ. ๒๕๖๔ และประกาศ นายทะเบียน เรื่อง กำหนดแบบรายงานพฤติกรรมที่อาจลักษณะเป็นการฉ้อฉลประกันภัย และช่องทาง การรายงานการฉ้อฉลประกันภัย สำหรับบริษัทประกันวินาศภัย พ.ศ. ๒๕๖๔ ที่จะเข้าข่ายเป็นข้อมูลประวัติ อาชญากรรม

ความเห็น

สำนักงาน คปภ. เป็นหน่วยงานที่มีอำนาจหน้าที่ในการกำกับ ส่งเสริม และพัฒนา การประกอบธุรกิจประกันภัยตามนโยบายและมติของคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจ ประกันภัย (คปภ.) ตลอดจนหลักเกณฑ์ วิธีการ เงื่อนไข และแนวปฏิบัติที่ คปภ. กำหนด ซึ่งปรากฏ ตามมาตรา ๒๐ (๒) แห่งพระราชบัญญัติคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย พ.ศ. ๒๕๕๐ และมีฐานะเป็นนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล เพื่อให้บรรลุวัตถุประสงค์ตามอำนาจหน้าที่ที่กฎหมายกำหนด จึงมีฐานะเป็นผู้ควบคุมข้อมูล ส่วนบุคคลตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การจะจัดทำ ระบบฐานข้อมูลเกี่ยวกับการฉ้อฉลประกันภัย และขอให้สำนักงาน คปภ. เปิดเผยข้อมูลในฐานข้อมูลดังกล่าว ให้แก่บริษัทประกันภัยจะสามารถดำเนินการได้หรือไม่ เพียงใด นั้น สำนักงาน คปภ. ต้องพิจารณาจากกฎหมาย ที่เกี่ยวข้องกับการประกันวินาศภัยหรือการประกันชีวิต รวมถึงกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริม การประกอบธุรกิจประกันภัยว่า การจัดทำฐานข้อมูลดังกล่าวมีวัตถุประสงค์อย่างไร ข้อมูลที่เก็บรวบรวมใน ระบบฐานข้อมูลจะเปิดเผยให้ผู้ใดได้บ้าง และเป็นการดำเนินการตามอำนาจหน้าที่ของสำนักงาน คปภ. เพื่อให้ บรรลุวัตถุประสงค์ในการกำกับ ส่งเสริม และพัฒนาการประกอบธุรกิจประกันภัยตามนโยบายและมติของ คปภ. ตลอดจนหลักเกณฑ์ วิธีการ เงื่อนไข และแนวปฏิบัติที่ คปภ. กำหนดหรือไม่ หากเป็นกรณีดังกล่าว สำนักงาน คปภ. ก็สามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับการฉ้อฉลประกันภัยโดยได้รับยกเว้นไม่ต้องขอความยินยอมได้ เนื่องจากเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูล ส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๔) หรือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๖) หรือเป็นการจำเป็น

๔

ในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิชั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามมาตรา ๒๖ (๕) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แล้วแต่กรณี ทั้งนี้ เนื่องจากการตรวจสอบป้องกัน และแก้ไขปัญหาการฉ้อฉลประกันภัย เป็นมาตรการหนึ่งในการกำกับดูแลการประกอบธุรกิจประกันภัย อันมีลักษณะเป็นธุรกรรมทางการเงินประเภทหนึ่งซึ่งมีผลกระทบโดยตรงต่อระบบเศรษฐกิจและการเงินของประเทศและต่อผู้เอาประกันภัยซึ่งเป็นผู้บริโภค การกำกับดูแลการประกอบธุรกิจประกันภัยและการคุ้มครองสิทธิของผู้เอาประกันภัยโดยรวมที่เป็นไปอย่างมีประสิทธิภาพ จึงเป็นวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ นอกจากนี้ หากสำนักงาน คปภ. พิจารณาแล้วเห็นว่า มีความจำเป็นต้องใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวให้แก่บริษัทประกันภัย ในฐานะที่สำนักงาน คปภ. เป็นหน่วยงานกำกับดูแลและบริหารจัดการข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ดังกล่าว การเก็บรวบรวม ใช้และเปิดเผยข้อมูลส่วนบุคคลระหว่างสำนักงาน คปภ. กับบริษัทประกันภัยต่าง ๆ เพื่อประโยชน์ในการตรวจสอบ ป้องกัน และแก้ไขปัญหาการฉ้อฉลประกันภัย ก็สามารถดำเนินการได้ โดยได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี ประกอบมาตรา ๒๗ วรรคหนึ่ง

อย่างไรก็ตาม ตามประเด็นที่หารือ หากบริษัทประกันภัยประสงค์จะแลกเปลี่ยนข้อมูลส่วนบุคคลของผู้เอาประกันภัยระหว่างกัน โดยการจัดทำและบริหารจัดการศูนย์ข้อมูลกลางด้านการประกันภัย ร่วมกันเองโดยลำพังโดยสำนักงาน คปภ. ไม่ได้เป็นผู้ดำเนินการ บริษัทประกันภัยไม่อาจอาศัยบทบัญญัติตามมาตรา ๒๔ (๔) หรือ (๖) หรือมาตรา ๒๖ (๕) (จ) แล้วแต่กรณี ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าวได้เองโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ถ้าไม่ได้มีบทบัญญัติตามกฎหมายที่เกี่ยวข้องกำหนดไว้ซึ่งบริษัทประกันภัยจำเป็นต้องปฏิบัติตาม และไม่ได้เป็นการปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่บริษัทประกันภัย

อนึ่ง คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า ในการเก็บรวบรวม ใช้และเปิดเผยข้อมูลส่วนบุคคลในฐานะข้อมูลกลางเกี่ยวกับการฉ้อฉลประกันภัยให้แก่บริษัทประกันภัยนั้น สำนักงาน คปภ. ควรดำเนินการเท่าที่จำเป็น เพื่อให้เป็นไปตามมาตรา ๒๒ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยอาจพิจารณาดำเนินการในลักษณะระบบตรวจสอบ เช่น เมื่อบริษัทประกันภัยได้สอบถามข้อมูลมายังระบบฐานะข้อมูลกลางเกี่ยวกับการฉ้อฉลประกันภัยของสำนักงาน คปภ. ว่า ลูกค้าหรือผู้เอาประกันภัยมีการฉ้อฉลประกันภัยหรือไม่ ระบบดังกล่าวจะทำหน้าที่ในการส่งต่อคำร้องขอดังกล่าวไปยังผู้เกี่ยวข้องภายในสำนักงาน คปภ. เพื่อตรวจสอบประวัติการฉ้อฉล แล้วจึงแจ้งผลการตรวจสอบดังกล่าวผ่านทางระบบว่า พบประวัติการฉ้อฉลหรือไม่ พร้อมระบุรายละเอียดที่เกี่ยวข้องเท่าที่จำเป็น โดยควรจำกัดสิทธิของบุคคลที่จะเข้าถึงข้อมูลดังกล่าวให้น้อยที่สุด และจัดให้มีมาตรการรักษาความมั่นคงปลอดภัย ซึ่งจะต้อง

๕

ประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อให้ ข้อมูลดังกล่าวที่อยู่ในความครอบครองหรือควบคุมดูแลของสำนักงาน คปภ. ยังคงย้ายไปไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูล ส่วนบุคคล ตามมาตรา ๓๗ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบกับ ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๕

สำหรับประเด็นว่า ข้อมูลเกี่ยวกับพฤติกรรมการฉ้อฉลประกันภัยของบุคคลในลักษณะใด ตามประกาศนายทะเบียน เรื่อง กำหนดแบบรายงานพฤติกรรมที่อาจมีลักษณะเป็นการฉ้อฉลประกันภัย และช่องทางการรายงานการฉ้อฉลประกันภัย สำหรับบริษัทประกันชีวิต พ.ศ. ๒๕๖๔ และประกาศ นายทะเบียน เรื่อง กำหนดแบบรายงานพฤติกรรมที่อาจมีลักษณะเป็นการฉ้อฉลประกันภัย และช่องทาง การรายงานการฉ้อฉลประกันภัย สำหรับบริษัทประกันวินาศภัย พ.ศ. ๒๕๖๔ ที่จะเข้าข่ายเป็นข้อมูล ประวัติอาชญากรรมตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล นั้น คณะอนุกรรมการตอบข้อหารือฯ เห็นว่า ต้องพิจารณาตามบทนิยามในข้อ ๓ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่ มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. ๒๕๖๖ กล่าวคือ การที่ พฤติกรรมที่มีเหตุอันควรสงสัยว่าอาจมีลักษณะเป็นการฉ้อฉลประกันภัยของผู้เอาประกันภัยตามประกาศ นายทะเบียนทั้งสองฉบับดังกล่าว จะเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมได้นั้น จะต้องเป็นข้อมูล ส่วนบุคคลในเชิงพฤติกรรมหรือการกระทำที่เชื่อมโยงหรือเกี่ยวข้องกับการสืบสวนสอบสวนการกระทำความผิด อาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญาของบุคคลนั้น และข้อมูลดังกล่าวเป็นข้อมูลที่เป็นทางการ หรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการดำเนินการดังกล่าวเท่านั้น เช่น ข้อมูลเกี่ยวกับความผิดอาญาของบุคคลจากกองทะเบียนประวัติอาชญากร สำนักงานตำรวจแห่งชาติ หรือกรมราชทัณฑ์ ทั้งนี้ ไม่ว่าการดำเนินการนั้นจะถึงที่สุดแล้วหรือไม่ก็ตาม ดังนั้น จะเห็นได้ว่าพฤติกรรม บางประการที่กำหนดไว้ในประกาศนายทะเบียนทั้งสองฉบับดังกล่าว เป็นเพียงพฤติกรรมของผู้เอาประกันภัย ที่มีเหตุอันควรสงสัยว่าอาจมีลักษณะเป็นการฉ้อฉลประกันภัย ซึ่งบริษัทประกันภัยได้นำส่งรายงานผล การดำเนินการเกี่ยวกับการฉ้อฉลประกันภัยที่บริษัทตรวจพบ และรายงานพฤติกรรมที่มีเหตุอันควรสงสัย ดังกล่าวมายังสำนักงาน คปภ. เท่านั้น ดังนั้น หากสำนักงาน คปภ. หรือหน่วยงานของรัฐที่มีอำนาจหน้าที่ ตามกฎหมายยังไม่ได้นำข้อมูลดังกล่าวมาดำเนินการเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา ก็ยังไม่ถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม

๖

ตามบทนิยามดังกล่าว อย่างไรก็ดี หากได้มีการดำเนินการดังกล่าวโดยสำนักงาน คปภ. หรือหน่วยงานของรัฐ ที่มีอำนาจหน้าที่ตามกฎหมายแล้ว ไม่ว่าการดำเนินการนั้นจะถึงที่สุดแล้วหรือไม่ก็ตาม ก็จะทำให้ข้อมูลดังกล่าว ถือเป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมาย และถือเป็นข้อมูล ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามบทนิยามนี้ได้ การพิจารณาว่าข้อมูลดังกล่าวถือเป็นข้อมูล ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ จึงจำเป็นจะต้องพิจารณาข้อเท็จจริงเกี่ยวกับการดำเนินการดังกล่าวเป็นกรณี ๆ ไป

อนึ่ง คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า ไม่ว่าข้อมูลเกี่ยวกับพฤติกรรม ที่มีเหตุอันควรสงสัยว่าอาจมีลักษณะเป็นการฉ้อฉลประกันภัยดังกล่าว จะเป็นข้อมูลส่วนบุคคลเกี่ยวกับ ประวัติอาชญากรรมหรือไม่ก็ตาม แต่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวก็อาจมี ความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลได้ เช่น โอกาสในการเข้าทำสัญญา จึงควรเก็บรวบรวม ใช้ และเปิดเผยเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย ตามนัยมาตรา ๒๒ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และจัดให้มีมาตรการรักษาความมั่นคงปลอดภัย ที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจาก อำนาจหรือโดยมิชอบ ตามมาตรา ๓๗ (๑) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูล ส่วนบุคคลประกาศกำหนด และจะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ตามข้อ ๔ (๒) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุม ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕

ประเด็นข้อหารือที่ ๒ กรณีบริษัทประกันภัยประสงค์จะแลกเปลี่ยนข้อมูลส่วนบุคคลของ ผู้เอาประกันภัยระหว่างกัน โดยการจัดทำและบริหารจัดการศูนย์ข้อมูลกลางด้านการประกันภัย หรือขอให้ สำนักงาน คปภ. เปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยจากฐานข้อมูลกลางประกันภัยแก่ภาคธุรกิจ ประกันภัยเพื่อประโยชน์ต่อการประกอบธุรกิจประกันภัย เช่น การพิจารณารับประกันภัย การคำนวณ เบี้ยประกันภัย กรณีดังกล่าวจะสามารถดำเนินการได้โดยอาศัยฐานทางกฎหมายที่ใช้ในการประมวลผลข้อมูล ส่วนบุคคลตามมาตราใด ที่กำหนดในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้อง ขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

ความเห็น

๗

การเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับกรมธรรม์ประกันภัยจากฐานข้อมูลกลางประกันภัย แก่ภาคธุรกิจประกันภัยเพื่อประโยชน์ต่อการประกอบธุรกิจประกันภัย กรณีที่เป็นข้อมูลส่วนบุคคลที่มิใช่ข้อมูลส่วนบุคคลตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หากไม่มีกฎหมายใดกำหนดไว้เป็นการเฉพาะให้ต้องเปิดเผยข้อมูลส่วนบุคคลอันเป็นการปฏิบัติตามมาตรา ๒๔ (๖) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว และเป็นกรณีที่มีความจำเป็นในการกำกับดูแลหรือส่งเสริมการประกอบธุรกิจประกันภัยโดยรวม ตามนโยบายและมติของ คปภ. ตลอดจนหลักเกณฑ์ วิธีการ เงื่อนไข และแนวปฏิบัติที่ คปภ. กำหนด ซึ่งเป็นอำนาจหน้าที่ประการหนึ่งของสำนักงาน คปภ. ก็อาจพิจารณาเก็บรวบรวมข้อมูลส่วนบุคคลโดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ เนื่องจากเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคลหรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๔) แต่ในการพิจารณาใช้ฐานทางกฎหมายดังกล่าว สำนักงาน คปภ. จะต้องพิจารณาตามหลักความจำเป็นและหลักความได้สัดส่วนว่าการดำเนินการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวจำเป็นต้องมีขึ้นเพื่อให้การปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของสำนักงาน คปภ. หรือการปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่สำนักงาน คปภ. สามารถสัมฤทธิ์ผลได้ใช่หรือไม่ นอกจากนี้ หากมีการเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ เช่น ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมหรือข้อมูลสุขภาพ สำนักงาน คปภ. ก็อาจพิจารณาดำเนินการโดยได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลได้โดยถือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญตามมาตรา ๒๖ (๕) (จ) โดยจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขึ้นพื้นฐานและประโยชน์ของผู้เอาประกันภัยที่เป็นเจ้าของข้อมูลส่วนบุคคล ซึ่งควรประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสมกับระดับความเสี่ยง โดยเฉพาะอย่างยิ่ง สำนักงาน คปภ. ในฐานะหน่วยงานกำกับดูแลควรพิจารณากำหนดนโยบายหรือหลักเกณฑ์ให้บริษัทประกันภัยกำหนดเงื่อนไขในแบบคำขอเอาประกันภัย และระบุข้อมูลในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลพ.ศ. ๒๕๖๒ ว่าผู้รับประกันภัยจำเป็นจะต้องตรวจสอบข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัยเพื่อการเข้าทำสัญญากรมธรรม์ประกันภัยหรือการให้บริการตามสัญญากรมธรรม์ประกันภัย เนื่องจากผู้เอาประกันภัยมีหน้าที่ต้องเปิดเผยหรือให้ข้อมูลที่เป็นความจริง ไม่ปกปิด หรือให้ข้อมูลอันเป็นเท็จแก่ผู้รับประกันภัย ตามหลักการที่สำคัญประการหนึ่งของการทำสัญญาประกันภัย คือ หลักสุจริตอย่างยิ่ง (Principle of Utmost Good Faith) จึงถือเป็นกรณีที่ผู้เอาประกันภัยในฐานะเจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือสัญญาหรือมีความจำเป็นต้องให้ข้อมูลส่วนบุคคล

๘

เพื่อเข้าทำสัญญา ตามมาตรา ๒๓ (๒) แห่งพระราชบัญญัตินี้ โดยผู้รับประกันภัยมีหน้าที่ต้องแจ้งถึงผลกระทบ ที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล ตามเงื่อนไขในมาตราดังกล่าวด้วย

อย่างไรก็ตาม ตามประเด็นที่หารือ หากบริษัทประกันภัยประสงค์จะแลกเปลี่ยนข้อมูล ส่วนบุคคลของผู้เอาประกันภัยระหว่างกัน โดยการจัดทำและบริหารจัดการศูนย์ข้อมูลกลางด้านการประกันภัย ร่วมกันเองโดยลำพังโดยสำนักงาน คปภ. ไม่ได้เป็นผู้ดำเนินการ บริษัทประกันภัยไม่อาจอาศัยบทบัญญัติ ตามมาตรา ๒๔ (๔) หรือ (๖) หรือมาตรา ๒๖ (๕) (จ) แล้วแต่กรณี ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล ส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าวได้เองโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ถ้าไม่ได้มี บทบัญญัติตามกฎหมายที่เกี่ยวข้องกำหนดไว้ซึ่งบริษัทประกันภัยจำเป็นต้องปฏิบัติตาม และไม่ได้เป็น การปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่บริษัทประกันภัย

ประเด็นข้อหารือที่ ๓ ในกรณีที่บริษัทประกันภัยมีความจำเป็นต้องใช้ข้อมูลส่วนบุคคล ที่อ่อนไหวในการพิจารณารับประกันภัย หรือเพื่อการปฏิบัติตามสัญญา เช่น การพิจารณารับประกันภัย การคำนวณเบี้ยประกันภัย การชดใช้ค่าสินไหมทดแทน บริษัทประกันภัยจะสามารถอ้างอิงใช้ฐานเป็น การจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือฐานการอันจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุ วัตถุประสงค์อันเกี่ยวข้องกับประโยชน์สาธารณะที่สำคัญ ซึ่งได้รับการยกเว้นไม่ต้องขอความยินยอม ตามมาตรา ๒๖ (๔) หรือ (๕) (จ) ในลักษณะเช่นเดียวกับสหราชอาณาจักร ซึ่งได้มีการกำหนดใน Data Protection Act 2018 มาตรา ๑๐ ประกอบกับ Schedule 1 Part 2 ข้อ ๒๐ กำหนดให้การประกันภัย เป็นหนึ่งในวัตถุประสงค์อันเป็นประโยชน์สาธารณะที่สำคัญตาม Article 9 paragraph 2 (ฐ) ของ GDPR ได้หรือไม่ และขอทราบแนวทางการตีความหรือขอบเขตคำว่า “ประโยชน์สาธารณะที่สำคัญ”

ความเห็น

สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบริษัทประกันภัย ไม่ว่าเป็น ข้อมูลส่วนบุคคลตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ก็ตาม จะต้องเป็นไปตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม ตามที่บัญญัติ ไว้ในมาตรา ๒๑ วรรคหนึ่ง กล่าวคือ หากบริษัทประกันภัยเก็บรวบรวมข้อมูลส่วนบุคคลมาในวัตถุประสงค์ ใดที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้และใช้ฐานทางกฎหมายใดตามมาตรา ๒๔ หรือมาตรา ๒๖ การใช้หรือ เปิดเผยข้อมูลส่วนบุคคลดังกล่าวตามมาตรา ๒๗ วรรคหนึ่ง ก็จะต้องเป็นไปโดยสอดคล้องกับวัตถุประสงค์ และฐานทางกฎหมายเดียวกันนั้น เว้นแต่จะได้แจ้งวัตถุประสงค์ใหม่ให้เจ้าของข้อมูลส่วนบุคคลทราบและ ได้รับความยินยอมก่อนเก็บรวบรวม ใช้ หรือเปิดเผยแล้ว หรือมีบทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมาย

๙

อื่นบัญญัติให้กระทำได้ ตามมาตรา ๒๑ วรรคสอง ดังนั้น หากการใช้หรือเปิดเผยข้อมูลส่วนบุคคล ตามมาตรา ๒๖ เพื่อวัตถุประสงค์ในการพิจารณารับประกันภัย เป็นการดำเนินการเกี่ยวกับการพิสูจน์ หรือตรวจสอบเพื่อประกอบการใช้ดุลพินิจของบริษัทประกันภัยก่อนเข้าทำสัญญากรมธรรม์ประกันภัย โดยอยู่บนเงื่อนไขของความพึงพอใจหรือการยอมรับความเสี่ยงที่อาจเกิดขึ้นต่อบริษัทประกันภัยจาก การรับประกันภัยให้แก่ผู้เอาประกันภัย ส่วนการคำนวณเบี้ยประกันภัย การชดใช้ค่าสินไหมทดแทน หรือการดำเนินการอื่นใดตามสัญญากรมธรรม์ประกันภัย ก็เป็นกรณีที่บริษัทประกันภัยมีหน้าที่ในการปฏิบัติ ตามสัญญากับเจ้าของข้อมูลส่วนบุคคล เมื่อการดำเนินการนั้นเป็นไปเพื่อประโยชน์ในการปฏิบัติตามสัญญา ซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อน เข้าทำสัญญากรมธรรม์ประกันภัย ตามมาตรา ๒๔ (๓) กรณีจึงไม่ใช่การดำเนินการเพื่อการก่อตั้งสิทธิเรียกร้อง ตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตาม กฎหมาย ตามนัยมาตรา ๒๖ (๔) แต่อย่างใด หากเป็นข้อมูลส่วนบุคคลตามมาตรา ๒๖ และไม่เข้าย้อยกเว้นอื่น ใดตามมาตรา ๒๖ (๑) ถึง (๕) การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเพื่อการพิจารณารับ ประกันภัยหรือการปฏิบัติตามสัญญาของบริษัทประกันภัย ก็จะต้องได้รับความยินยอมโดยชัดแจ้ง จากเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๒๖ ประกอบมาตรา ๒๗ วรรคหนึ่ง อย่างไรก็ดี มาตรา ๒๖ (๔) อาจเป็นฐานทางกฎหมายที่เหมาะสมสำหรับสถานพยาบาลที่ให้การรักษาพยาบาลผู้ป่วยและจำเป็นต้อง เปิดเผยข้อมูลส่วนบุคคลของผู้เอาประกันภัยไปยังบริษัทประกันภัยเพื่อวัตถุประสงค์ในการเรียกเก็บค่าใช้จ่าย ในการรักษาพยาบาลตามสัญญากรมธรรม์ประกันภัย ซึ่งถือเป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้อง ของสถานพยาบาล ตามสัญญากรมธรรม์ประกันภัยระหว่างผู้เอาประกันภัยและบริษัทประกันภัย ผู้รับประกันภัยได้ เป็นต้น

สำหรับกรณีที่จะถือได้ว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ เกี่ยวกับประโยชน์สาธารณะที่สำคัญตามมาตรา ๒๖ (๕) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ นั้น จะต้องมีบทบัญญัติแห่งกฎหมายให้อำนาจหรือกำหนดให้บริษัทประกันภัยมีหน้าที่ ตามกฎหมายด้วย โดยพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายอื่น ไม่ได้มี บทบัญญัติที่กำหนดความหมายของคำว่า “ประโยชน์สาธารณะที่สำคัญ” ไว้โดยชัดแจ้ง ดังเช่นที่กำหนดไว้ ใน Data Protection Act 2018 ที่เป็นกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของสหราชอาณาจักร อย่างไรก็ตาม คปภ. ในฐานะผู้มีอำนาจหน้าที่กำหนดหลักเกณฑ์ วิธีการ เงื่อนไข และแนวปฏิบัติในการกำกับ ส่งเสริมและพัฒนาการประกอบธุรกิจประกันภัย หรือสำนักงาน คปภ. ในฐานะหน่วยงานของรัฐที่มีอำนาจ หน้าที่ในการกำกับ ส่งเสริม และพัฒนาการประกอบธุรกิจประกันภัยตามนโยบายและมติของ คปภ. ตลอดจน หลักเกณฑ์ วิธีการ เงื่อนไข และแนวปฏิบัติที่ คปภ. กำหนด ย่อมมีอำนาจหน้าที่ตามกฎหมายที่เกี่ยวข้อง

๑๐

ในการกำหนดหลักเกณฑ์ต่าง ๆ ที่เกี่ยวกับการประกอบธุรกิจประกันภัย ที่จะกำหนดให้บริษัทประกันภัย มีหน้าที่ต้องเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเพื่อประโยชน์สาธารณะ ในการกำกับดูแล การประกอบธุรกิจประกันภัยและการคุ้มครองสิทธิของผู้เอาประกันภัยโดยรวมได้ ซึ่งหาก คปภ. หรือสำนักงาน คปภ. ได้กำหนดหลักเกณฑ์ที่กำหนดหน้าที่ให้บริษัทประกันภัยต้องปฏิบัติตามแล้ว บริษัทประกันภัยที่มีหน้าที่ ต้องปฏิบัติตามกฎหมายและหลักเกณฑ์ดังกล่าว ย่อมสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม มาตรา ๒๖ ที่จำเป็นสำหรับการปฏิบัติตามกฎหมายและหลักเกณฑ์ดังกล่าวได้ โดยได้รับยกเว้นไม่ต้อง ขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เนื่องจากเป็นการจำเป็นในการปฏิบัติตามกฎหมาย เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ ตามมาตรา ๒๖ (๕) (จ) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว

ประเด็นข้อหารือที่ ๕ เนื่องจากธุรกิจประกันชีวิต และธุรกิจประกันวินาศภัย มีการประกอบ ธุรกิจที่เหมือนหรือแตกต่างกันในบางประการ การกำหนดแนวทางปฏิบัติขั้นต่ำเช่นเดียวกัน อาจก่อให้เกิด ปัญหาในทางปฏิบัติของการดำเนินธุรกิจได้ จึงอยากทราบแนวโน้มที่ในการออกประกาศข้อกำหนด หรือแนวทางปฏิบัติตามลักษณะของการดำเนินธุรกิจของธุรกิจประกันชีวิตและธุรกิจประกันวินาศภัยเป็น การเฉพาะต่อไป

ความเห็น

การประกอบธุรกิจประกันภัย ไม่ว่าจะเป็นธุรกิจประกันชีวิตหรือธุรกิจประกันวินาศภัย ล้วนมีลักษณะการดำเนินงานที่จำเพาะและอาจมีบริบทและรายละเอียดในการดำเนินงานที่แตกต่างกัน การกำหนดแนวปฏิบัติที่จะมีผลกระทบต่อผู้ประกอบธุรกิจหรือบุคคลอื่นที่เกี่ยวข้องโดยตรง จึงควรเป็น การดำเนินการของหน่วยงานที่เกี่ยวข้องซึ่งทราบบริบทของการดำเนินการในภาคธุรกิจดังกล่าวเป็นอย่างดี ดังนั้น สำนักงาน คปภ. ในฐานะหน่วยงานของรัฐที่มีอำนาจหน้าที่ในการกำกับ ส่งเสริมและพัฒนาการประกอบ ธุรกิจประกันภัย จึงสามารถกำหนดหลักเกณฑ์ มาตรฐาน หรือแนวปฏิบัติที่เหมาะสมสำหรับการดำเนินงาน ทั้งปวงที่เกี่ยวข้องกับภาคธุรกิจประกันภัยได้ ซึ่งอาจรวมถึงแนวปฏิบัติหรือข้อกำหนดสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ประกอบธุรกิจประกันภัย เพื่อให้การดำเนินงานในแต่ละประเภท ของธุรกิจดังกล่าวมีความเหมาะสมและสามารถบรรลุวัตถุประสงค์ของกิจการนั้น ๆ ได้ แต่จะต้องไม่ขัด กับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือกฎหมายอื่นที่เกี่ยวข้อง ทั้งนี้ การกำหนดแนวปฏิบัติ หรือข้อกำหนดใด ๆ จะต้องคำนึงถึงผลกระทบต่อสิทธิ ประโยชน์ และความเป็นธรรมของทั้งผู้เอาประกันภัย ผู้ประกอบธุรกิจประกันภัย รวมถึงการปฏิบัติหน้าที่ของหน่วยงานของรัฐต่าง ๆ ที่เกี่ยวข้องประกอบกันด้วย

๑๑

อย่างไรก็ตาม ในกรณีที่เห็นสมควร สำนักงาน คปภ. อาจพิจารณาหารือกับสำนักงาน คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เพื่อพิจารณาร่วมกันจัดทำแนวปฏิบัติ มาตรการ หรือแนวทาง การดำเนินการ สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ประกอบธุรกิจประกันภัย หรือสำนักงาน คปภ. อาจจัดทำแนวปฏิบัติหรือข้อกำหนดดังกล่าว แล้วขอรับความเห็นหรือขอหารือ ในบางประเด็นกับ สคส. และคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในลำดับต่อไปได้

ประเด็นข้อหารือที่ ๕ กรณีที่หน่วยงานภาครัฐอื่นมีความประสงค์จะให้สำนักงาน คปภ. จัดทำระบบเชื่อมโยงระหว่างกัน เพื่อเปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัยเป็น จำนวนมากจากระบบฐานข้อมูลกลางด้านการประกันภัย เพื่อประโยชน์ในการป้องกันการฝ่าฝืนหรือไม่ปฏิบัติ ตามกฎหมาย หรือตรวจสอบการปฏิบัติตามกฎหมายที่หน่วยงานรัฐนั้นกำกับดูแล แต่ไม่ปรากฏฐานอำนาจ ตามกฎหมายที่ชัดเจนในการขอให้สำนักงาน คปภ. เปิดเผยข้อมูลแก่หน่วยงานรัฐนั้น กรณีดังกล่าวสำนักงาน คปภ. จะสามารถดำเนินการได้โดยอาศัยฐานทางกฎหมายที่ใช้ในการประมวลผลข้อมูลส่วนบุคคลตามมาตราใด ที่กำหนดในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้องขอความยินยอมจากเจ้าของ ข้อมูลส่วนบุคคล

ความเห็น

การดำเนินการของหน่วยงานของรัฐที่ประสงค์จะขอเชื่อมโยงข้อมูลส่วนบุคคลเกี่ยวกับข้อมูล กรมธรรม์ประกันภัยจากระบบฐานข้อมูลของสำนักงาน คปภ. จะต้องดำเนินการโดยเป็นไปตามหลักเกณฑ์ ที่กฎหมายกำหนดหน้าที่และอำนาจไว้สำหรับแต่ละหน่วยงานดังกล่าว ดังนั้น ในการเปิดเผยข้อมูลส่วนบุคคล ให้กับหน่วยงานของรัฐดังกล่าว สำนักงาน คปภ. จะต้องพิจารณาว่าเป็นกรณีที่จะเปิดเผยให้หน่วยงานดังกล่าว เพื่อวัตถุประสงค์ใด สำหรับกรณีที่เป็นการเปิดเผยเนื่องจากเป็นหน้าที่ที่ต้องปฏิบัติตามกฎหมาย ย่อมถือได้ว่า เป็นการปฏิบัติตามกฎหมายตามมาตรา ๒๔ (๖) หรือมาตรา ๒๖ (๕) แล้วแต่กรณี ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แต่ในกรณีที่ไม่ใช่การปฏิบัติ ตามกฎหมายแต่เป็นเพียงการขอความร่วมมือ ซึ่งไม่มีสภาพบังคับให้สำนักงาน คปภ. ต้องปฏิบัติตาม หากสำนักงาน คปภ. พิจารณาแล้วเห็นว่าการเปิดเผยข้อมูลส่วนบุคคลให้แก่หน่วยงานของรัฐที่ร้องขอดังกล่าว มีความจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของหน่วยงานนั้น หรือปฏิบัติ หน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่หน่วยงานนั้น ซึ่งเป็นไปตามหน้าที่และอำนาจของหน่วยงานดังกล่าว ก็สามารถอาศัยข้อยกเว้นตามมาตรา ๒๔ (๔) หรือมาตรา ๒๖ (๕) แล้วแต่กรณี ประกอบมาตรา ๒๗ วรรคหนึ่ง ได้ โดยหน่วยงานของรัฐผู้ขอข้อมูลต้องเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลนั้นเท่าที่จำเป็นภายใต้ หน้าที่และอำนาจของตนตามกฎหมายที่เกี่ยวข้องเท่านั้น ตามนัยมาตรา ๒๒ และจะต้องไม่ใช้หรือเปิดเผย

๑๒

ข้อมูลส่วนบุคคลดังกล่าวเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับสำนักงาน คปภ. ในการขอรับข้อมูลส่วนบุคคลนั้นตามมาตรา ๒๗ วรรคสอง รวมทั้งมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคง ปลอดภัยที่เหมาะสมตามมาตรา ๓๗ (๑) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูล ส่วนบุคคลประกาศกำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษา ความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ นอกจากนี้ ในการเปิดเผยข้อมูลส่วนบุคคล ดังกล่าวให้กับหน่วยงานอื่น สำนักงาน คปภ. ต้องดำเนินการเพื่อป้องกันมิให้หน่วยงานนั้นใช้หรือเปิดเผยข้อมูล ส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตามมาตรา ๓๗ (๒) ในส่วนที่สามารถกระทำได้ด้วย

ทั้งนี้ ในกรณีที่หน่วยงานของรัฐอื่นร้องขอให้สำนักงาน คปภ. จัดทำระบบเชื่อมโยงข้อมูล ส่วนบุคคลระหว่างกัน เพื่อเปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัยเป็นจำนวนมาก จากระบบฐานข้อมูลกลางด้านการประกันภัย โดยกล่าวอ้างวัตถุประสงค์อย่างกว้าง ๆ เพื่อประโยชน์ใน การป้องกันการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมาย หรือตรวจสอบการปฏิบัติตามกฎหมายที่หน่วยงานดังกล่าว กำกับดูแล แต่ไม่มีการระบุหรือชี้แจงบทบัญญัติแห่งกฎหมายที่ให้อำนาจในการขอข้อมูลส่วนบุคคลดังกล่าวไว้ อย่างชัดเจน ควรเป็นหนึ่งในปัจจัยที่สำนักงาน คปภ. คำนึงถึงอย่างรอบคอบเพื่อประกอบการพิจารณาใช้ ดุลพินิจในการเปิดเผยข้อมูลกรมธรรม์ประกันภัยของสำนักงาน คปภ. ตามคำขอของหน่วยงานดังกล่าว

อนึ่ง ในกรณีที่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของหน่วยงานของรัฐที่ร้องขอ ข้อมูลส่วนบุคคลดังกล่าวจากสำนักงาน คปภ. เป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา ซึ่งครอบคลุมตั้งแต่กระบวนการเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ข้อเท็จจริงและ รายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา การพิจารณาความผิดอาญา และการลงโทษผู้กระทำความผิดอาญา หรือเป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษา ความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน รวมทั้งหน้าที่เกี่ยวกับการป้องกัน และปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ หรือการรักษาความมั่นคงปลอดภัยไซเบอร์ การดำเนินการ ของหน่วยงานของรัฐดังกล่าวที่เป็นไปตามหน้าที่และอำนาจตามกฎหมาย ย่อมได้รับยกเว้นไม่ให้นำบทบัญญัติ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับ ตามมาตรา ๔ (๒) หรือ (๕) แล้วแต่กรณี แต่การเปิดเผยข้อมูลส่วนบุคคลให้กับหน่วยงานของรัฐดังกล่าวโดยสำนักงาน คปภ. ยังคงต้อง นำพระราชบัญญัตินี้มาใช้บังคับ สำนักงาน คปภ. จึงยังคงต้องปฏิบัติตามพระราชบัญญัติดังกล่าว ตามที่ได้ให้ความเห็นไว้ข้างต้น

**ประเด็นข้อหารือที่ ๖ หากทายาท ผู้รับประโยชน์ หรือผู้มีสิทธิเรียกร้องตามกรมธรรม์ ประกันภัยประสงค์ขอข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัยจากระบบฐานข้อมูลกลาง ด้านการประกันภัย เพื่อตรวจสอบว่าผู้เอาประกันภัยมีการจัดทำประกันภัยไว้หรือไม่ หรือกับบริษัทใด

๑๓

ก่อนดำเนินการใช้สิทธิเรียกร้องค่าสินไหมทดแทน สำนักงาน คปภ. จะสามารถเปิดเผยข้อมูลให้แก่บุคคลดังกล่าว เพื่อประโยชน์ในการให้บริการแก่ประชาชน คุ้มครองสิทธิประโยชน์ของประชาชนและสร้างความเป็นธรรมด้านการประกันภัยได้อย่างรวดเร็ว อันเป็นวัตถุประสงค์สำคัญในการจัดให้มีระบบฐานข้อมูลกลางประกันภัย โดยอาศัยฐานทางกฎหมายที่ใช้ในการประมวลผลข้อมูลส่วนบุคคลตามมาตราใด ที่กำหนดในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ได้หรือไม่ เนื่องจากบางกรณีเจ้าของข้อมูลส่วนบุคคลอาจเสียชีวิต หรือทายาทหรือผู้รับประโยชน์หรือบุคคลภายนอกผู้มีสิทธิเรียกร้องตามกรมธรรม์ประกันภัยไม่ทราบว่าผู้เอาประกันภัยทำประกันภัยไว้กับบริษัทประกันภัยใด

ความเห็น

การที่สำนักงาน คปภ. จะเปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัยจากระบบฐานข้อมูลกลางด้านการประกันภัยให้แก่ทายาท ผู้รับประโยชน์ หรือผู้มีสิทธิเรียกร้องตามกรมธรรม์ประกันภัย เพื่อตรวจสอบว่าผู้เอาประกันภัยมีการจัดทำประกันภัยไว้หรือไม่ หรือกับบริษัทใด ก่อนดำเนินการใช้สิทธิเรียกร้องค่าสินไหมทดแทน ทั้งนี้ เพื่อประโยชน์ในการให้บริการแก่ประชาชน คุ้มครองสิทธิประโยชน์ของประชาชน และสร้างความเป็นธรรมด้านการประกันภัย นั้น จะต้องพิจารณาก่อนว่าข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัยดังกล่าวเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ โดยอาจแยกพิจารณาได้ ดังนี้

๑) กรณีที่ผู้เอาประกันภัยได้ถึงแก่กรรมแล้ว ข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยดังกล่าวจะไม่เป็นข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เนื่องจากมาตรา ๖ แห่งพระราชบัญญัติดังกล่าว กำหนดว่า “ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้นการเปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัยที่ถึงแก่กรรมแล้วให้กับทายาทผู้รับประโยชน์ หรือผู้มีสิทธิเรียกร้องตามกรมธรรม์ประกันภัย จึงไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ อย่างไรก็ตาม ข้อมูลดังกล่าวยังเป็น “ข้อมูลข่าวสารส่วนบุคคล” ตามบทนิยามในมาตรา ๔ แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ดังนั้น สำนักงาน คปภ. จึงต้องพิจารณาดำเนินการให้เป็นไปตามกฎหมายดังกล่าว หรือกฎหมายอื่นที่เกี่ยวข้องต่อไปด้วย นอกจากนี้ มีข้อสังเกตว่า ในกรณีที่ผู้เอาประกันภัยซึ่งเป็นเจ้าของข้อมูลถึงแก่กรรม และมิได้ทำพินัยกรรมกำหนดไว้เป็นอย่างอื่น ทายาทหรือบุคคลตามที่กำหนดในกฎกระทรวงย่อมมีสิทธิดำเนินการแทนเจ้าของข้อมูลที่ถึงแก่กรรมแล้วได้ ตามมาตรา ๒๕ วรรคห้า แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐

๑๔

๒) กรณีที่ผู้เอาประกันภัยยังมีชีวิตอยู่ ข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้นั้น เป็นข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำนักงาน คปภ. จึงต้องพิจารณาว่า การเปิดเผยข้อมูลส่วนบุคคลดังกล่าวมีบทบัญญัติแห่งกฎหมายใดกำหนดให้สำนักงาน คปภ. ต้องเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าวหรือไม่ หากมีกฎหมายเช่นว่านั้น สำนักงาน คปภ. ก็สามารถเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ เนื่องจากเป็นการปฏิบัติตามกฎหมายของสำนักงาน คปภ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๒๔ (๖) หรือมาตรา ๒๖ (๕) แล้วแต่กรณี ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ อย่างไรก็ตาม ในกรณีที่ไม่มีบทบัญญัติแห่งกฎหมายใดกำหนดหน้าที่ในการเปิดเผยข้อมูลตามข้างต้น สำนักงาน คปภ. อาจพิจารณาเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ หากพิจารณาแล้วเห็นว่าการเปิดเผยนั้นเป็นการจำเป็นเพื่อการกำกับ ส่งเสริม และพัฒนาการประกอบธุรกิจประกันภัยตามนโยบายและมติของ คปภ. ตลอดจนหลักเกณฑ์ วิธีการ เงื่อนไข และแนวปฏิบัติที่ คปภ. กำหนด ตามมาตรา ๒๐ (๒) แห่งพระราชบัญญัติคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย พ.ศ. ๒๕๕๐ หรืออำนาจหน้าที่อื่นใดของสำนักงาน คปภ. อันจะถือเป็นการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของสำนักงาน คปภ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๔) หรือมาตรา ๒๖ (๕) แล้วแต่กรณี ประกอบมาตรา ๒๗ วรรคหนึ่ง

ในกรณีที่ไม่มีบทบัญญัติแห่งกฎหมายใดกำหนดให้สำนักงาน คปภ. เปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัยที่ยังมีชีวิตอยู่ และสำนักงาน คปภ. พิจารณาแล้วเห็นว่า การเปิดเผยข้อมูลส่วนบุคคลดังกล่าวไม่ได้เป็นการปฏิบัติหน้าที่ของสำนักงาน คปภ. ตามอำนาจหน้าที่ที่กฎหมายกำหนดแต่สำนักงาน คปภ. พิจารณาเห็นว่า การเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยไม่ได้รับความยินยอมจากผู้เอาประกันภัยที่เป็นเจ้าของข้อมูลส่วนบุคคล เป็นกรณีที่เป็นการจำเป็นเพื่อคุ้มครองประโยชน์โดยชอบด้วยกฎหมายของทายาท ผู้รับประโยชน์ หรือผู้มีสิทธิเรียกร้องตามกรมธรรม์ประกันภัย และประโยชน์ของบุคคลดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขึ้นพื้นฐานในข้อมูลส่วนบุคคลของผู้เอาประกันภัยสำนักงาน คปภ. ก็อาจอาศัยข้อยกเว้นตามมาตรา ๒๔ (๕) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เพื่อเปิดเผยข้อมูลส่วนบุคคลให้แก่บุคคลดังกล่าวได้ แต่จะต้องกระทำเท่าที่จำเป็น และต้องพิจารณาดำเนินการให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ด้วย