PDPC_Consult-54

เรื่อง บริษัท Y หารือเกี่ยวกับการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๖ มาตรา ๒๙ มาตรา ๔๑ วรรคหนึ่ง (๒) วรรคสอง วรรคห้า วรรคหก และวรรคเจ็ด และมาตรา ๔๒

2. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ ข้อ ๓ ข้อ ๔ ข้อ ๕ และข้อ ๖

ข้อหารือ

บริษัท Y แจ้งว่า ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ออกประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ ซึ่งประกาศในราชกิจจานุเบกษา เมื่อวันที่ ๑๔ กันยายน ๒๕๖๖ บริษัท Y ขอหารือแนวทางการปฏิบัติตามประกาศดังกล่าว จำนวน ๑๐ ประเด็น ดังนี้

1. ในกรณีที่บริษัท Y เป็นผู้ให้บริการระบบ ATM และระบบ Prompt Pay ให้กับธนาคาร โดยบริษัท Y เป็นผู้รับจ้าง (outsourcing) ให้แก่ธนาคาร ซึ่งบริษัท Y ทำหน้าที่พัฒนาระบบ ATM และระบบ Prompt Pay ให้สามารถใช้งานได้ตามความต้องการของลูกค้า และบริษัท Y มีหน้าที่เฝ้าระวัง (monitor) การใช้งาน ระบบงานให้สามารถใช้งานได้ตลอด ๒๔ ชั่วโมง โดยบริษัท Y มีการจัดเก็บข้อมูลรายการที่มีการทำธุรกรรมเบิกเงินสด หรือรายการโอนเงิน Prompt Pay ของระบบธนาคาร โดยข้อมูลส่วนบุคคลจะถูกจัดเก็บไว้ ตามระยะเวลาที่ได้ตกลงร่วมกันระหว่างบริษัท Y กับธนาคารเท่านั้น ข้อมูลการทำรายการ (log) จะนำมาใช้ เฉพาะกรณีที่ต้องการตรวจสอบข้อมูลการทำรายการของลูกค้า และมีหนึ่งธนาคารที่ให้บริษัท Y ดำเนินการ อายัดบัตร ATM ให้กับลูกค้าแทนธนาคารด้วย โดยการอายัดบัตรดังกล่าว บริษัท Y จะต้องใช้ข้อมูลชื่อ นามสกุล เลขประจำตัวประชาชน และวันเกิด ในการยืนยันตัวตน เพื่อดำเนินการอายัดบัตรต่อไป จึงขอหารือว่า กรณีดังกล่าวข้างต้นเข้าเงื่อนไขตามข้อ ๕ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้ มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ หรือไม่ โดยบริษัท Y จะต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือไม่

2. ในกรณีที่บริษัท Y ให้บริการเป็นผู้รับ-ส่งข้อมูลให้แก่ธนาคารสมาชิกของบริษัท Y เพื่อให้ลูกค้า สามารถทำรายงานฝากเงินข้ามธนาคาร หรือให้ผู้ให้บริการทางการเงินที่ไม่ใช่สถาบันการเงิน (Non-Bank) / ผู้ถือ

๒

บัตร UPI สามารถดูเงินสดผ่านธนาคารได้ โดยบริษัท Y ไม่เห็นข้อมูลที่มีการส่งผ่านระบบของบริษัท Y เนื่องจากมีการเข้ารหัส (encrypt) ข้อมูล แต่มีการจัดเก็บ log เพื่อใช้ในการตรวจสอบรายงานกรณีที่มีข้อพิพาท (dispute) เท่านั้น โดยบริษัท Y มีหน้าที่เฝ้าระวัง (monitor) การใช้งานระบบงานให้สามารถใช้งานได้ตลอด ๒๔ ชั่วโมง จึงขอหารือว่า กรณีดังกล่าวข้างต้นเข้าเงื่อนไขตามข้อ ๕ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ หรือไม่ โดยบริษัท Y จะต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือไม่

๓. ในกรณีที่บริษัท Y เป็นผู้ให้บริการระบบ eTax Solution โดยเป็นบริการออกใบกำกับภาษีอิเล็กทรอนิกส์ให้กับลูกค้าของธนาคาร (ผู้ประกอบการ และผู้ขาย) โดยบริษัท Y ได้มีการเก็บข้อมูลของผู้ซื้อซึ่งเป็นข้อมูลส่วนบุคคลเพื่อใช้เป็นข้อมูลในการออกใบกำกับภาษีอิเล็กทรอนิกส์ให้แก่ผู้ซื้อ โดยบริษัท Y ไม่ได้มีการตรวจสอบข้อมูลส่วนบุคคลดังกล่าวที่ได้รับจากแหล่งอื่นแต่อย่างใด ระบบจะระบุข้อมูลตามที่ได้รับมาจากเจ้าของข้อมูลส่วนบุคคล หรือธนาคาร จึงขอหารือว่า กรณีดังกล่าวข้างต้นเข้าเงื่อนไขตามข้อ ๕ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ หรือไม่ โดยบริษัท Y จะต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือไม่

๔. ในกรณีที่บริษัท Y เป็นผู้ให้บริการระบบ TrustBiz โดยบริษัท Y มีการตรวจสอบข้อมูลส่วนบุคคลของลูกค้าเพื่อใช้ในการลงทะเบียนและพิสูจน์ตัวตนบนระบบ รวมถึงมีการตรวจสอบตัวตนของผู้ใช้งานในแต่ละครั้งที่มีการลงนามเอกสารในรูปแบบอิเล็กทรอนิกส์ จึงขอหารือว่า กรณีดังกล่าวข้างต้นเข้าเงื่อนไขตามข้อ ๕ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ หรือไม่ โดยบริษัท Y จะต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือไม่

๕. ในกรณีที่บริษัท Y ให้บริการระบบ ICAS กับธนาคาร ซึ่งเป็นระบบที่ธนาคารจะสแกนเช็คเข้าระบบและส่งต่อไปยังบุคคลที่สาม (หน่วยงานกลาง) โดยบริษัท Y จะได้รับข้อมูลส่วนบุคคลของลูกค้าที่ระบุอยู่ในเช็คของธนาคารมาเก็บไว้ที่ระบบของบริษัท Y และจะเก็บข้อมูลส่วนบุคคลไว้ตลอดระยะเวลาของสัญญา จึงขอหารือว่า กรณีดังกล่าวข้างต้นเข้าเงื่อนไขตามข้อ ๕ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ หรือไม่ โดยบริษัท Y จะต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือไม่

๓

๖. ในกรณีที่บริษัท Y ให้บริการระบบ e-Contract กับลูกค้า โดยเป็นบริการที่ให้ผู้ใช้งานแต่ละคนสามารถลงลายมือชื่ออิเล็กทรอนิกส์ในเอกสารอิเล็กทรอนิกส์ได้ (เช่น สัญญา ใบเสนอราคา เป็นต้น) โดยก่อนที่ผู้ใช้งานระบบงานแต่ละคนจะสามารถลงนามด้วยลายมือชื่ออิเล็กทรอนิกส์ได้ จะต้องยืนยันตัวตนของผู้ใช้งานคน ๆ นั้นก่อน โดยบริษัท Y จะเก็บข้อมูลส่วนบุคคลดังกล่าวไว้ที่บริษัท Y เป็นระยะเวลา ๑๐ ปี เนื่องจากอายุความที่จะใช้เอกสารอิเล็กทรอนิกส์นั้น มีอายุความ ๑๐ ปี จึงขอหารือว่า กรณีดังกล่าวข้างต้นเข้าเงื่อนไขตามข้อ ๕ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ หรือไม่ โดยบริษัท Y จะต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือไม่

๗. ในกรณีที่บริษัท Z ซึ่งเป็นบริษัทในเครือของบริษัท Y ให้บริการระบบ Signing ในไฟล์อิเล็กทรอนิกส์ โดยบริษัท Z จะได้รับไฟล์ข้อมูลเอกสารอิเล็กทรอนิกส์จากลูกค้า เมื่อได้รับไฟล์อิเล็กทรอนิกส์แล้ว บริษัท Z จะนำไฟล์ดังกล่าวมาลงลายมือชื่ออิเล็กทรอนิกส์ของลูกค้าในไฟล์นั้น แล้วส่งกลับไปให้ลูกค้าซึ่งบริษัท Z ไม่ได้มีอำนาจตัดสินใจเกี่ยวกับข้อมูลส่วนบุคคลที่ได้รับมาแต่อย่างใด บริษัท Z จะต้องทำตามคำสั่งของลูกค้า โดย บริษัท Z ไม่ได้มีการติดตาม (track) เฝ้าสังเกต (monitor) วิเคราะห์ หรือทำนายพฤติกรรมทัศนคติ หรือลักษณะเฉพาะบุคคลใด ๆ กับข้อมูลส่วนบุคคลที่ได้รับมา จึงขอหารือว่า กรณีดังกล่าวข้างต้นเข้าเงื่อนไขตามข้อ ๕ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ หรือไม่ โดยบริษัท Z ในเครือของบริษัท Y จะต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือไม่

๘. ในกรณีที่บริษัทในเครือของบริษัท Y ให้บริการออกใบรับรองอิเล็กทรอนิกส์ เพื่อยืนยันตัวตนให้กับบุคคลธรรมดาหรือนิติบุคคล โดยก่อนที่บริษัทในเครือของบริษัท Y ออกใบรับรองดังกล่าวให้กับลูกค้า บริษัทในเครือของบริษัท Y จะต้องขอเอกสารประกอบ ซึ่งมีสำเนาบัตรประจำตัวประชาชนเพื่อยืนยันตัวบุคคลที่มีอำนาจ และบุคคลที่มาดำเนินการติดต่อขอใบรับรองอิเล็กทรอนิกส์ โดยบริษัทในเครือของบริษัท Y มีอำนาจตัดสินใจว่าจะเก็บข้อมูลส่วนบุคคลนั้นไว้อย่างไร ระยะเวลานานเท่าใด จึงขอหารือว่า กรณีดังกล่าวข้างต้นเข้าเงื่อนไขตามข้อ ๕ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ หรือไม่ โดยบริษัทในเครือของบริษัท Y จะต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือไม่

๙. ในกรณีที่บริษัท Y เป็นผู้ให้บริการยืนยันตัวตนของนิติบุคคลหรือบุคคลธรรมดา เพื่อใช้ในการลงลายมือชื่ออิเล็กทรอนิกส์ ซึ่งบริษัท Y มีความจำเป็นจะต้องใช้ข้อมูลส่วนบุคคลในการยืนยันตัวตนให้กับลูกค้า จึงขอหารือว่า กรณีดังกล่าวข้างต้นเข้าเงื่อนไขตามข้อ ๕ ของประกาศคณะกรรมการคุ้มครองข้อมูล

๔

ส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ หรือไม่ โดยบริษัท Y จะต้องแต่งตั้งเจ้าหน้าที่คุ้มครอง ข้อมูลส่วนบุคคลหรือไม่

๑๐. ตามมาตรา ๔๒ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่กำหนด ให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลสามารถเป็นบุคคลภายในองค์กรได้ แต่จะต้องไม่ขัดหรือแย้งต่อการปฏิบัติ หน้าที่ตามพระราชบัญญัติดังกล่าว ถ้าบริษัท Y แต่งตั้งพนักงานในฝ่ายกฎหมาย แต่พนักงานคนดังกล่าวจะต้อง ใช้สำเนาบัตรของกรรมการ เพื่อประกอบการทําสัญญา หรือได้รับข้อมูลส่วนบุคคล เพื่อปฏิบัติตามสัญญา ในกรณีเช่นนี้ บริษัท Y สามารถแต่งตั้งพนักงานคนดังกล่าวเป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้หรือไม่

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วย การคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าวแล้ว มีความเห็น ดังนี้

ประเด็นข้อหารือที่ ๑ ถึง ๙ เห็นว่า มาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่การดำเนิน กิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) โดยข้อ ๔ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล ที่การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลซึ่งเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลส่วนบุคคล เป็นจำนวนมาก (on a large scale) ตามข้อ ๕ และข้อ ๖ ของประกาศดังกล่าว ต้องจัดให้มีเจ้าหน้าที่คุ้มครอง ข้อมูลส่วนบุคคลของตน โดยข้อ ๕ กำหนดหลักเกณฑ์และเงื่อนไขในการพิจารณาว่าการดำเนินกิจกรรมใด ที่ถือเป็นกรณีที่มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ และข้อ ๖ กำหนดหลักเกณฑ์และเงื่อนไขในการพิจารณาว่าการดำเนินกิจกรรมใดที่ถือว่ามีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale)

๕

ดังนั้น ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่จะต้องจัดให้มีเจ้าหน้าที่
คุ้มครองข้อมูลส่วนบุคคลของตนตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. ๒๕๖๒ ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครอง
ข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖
ดังกล่าว จะต้องมีเงื่อนไขทั้ง ๓ ประการ คือ

(๑) มีการดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุม
ข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนั้น ที่จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือ
ระบบอย่างสม่ำเสมอ (regular and systematic monitoring of data subjects) ตามข้อ ๕ ของประกาศฯ
โดยข้อ ๕ วรรคหนึ่ง กำหนดเป็นหลักการว่า การดำเนินกิจกรรมใดที่มีการติดตาม (track) เฝ้าสังเกต
(monitor) วิเคราะห์ หรือทำนายพฤติกรรม ทัศนคติ หรือลักษณะเฉพาะของบุคคล (profile) ซึ่งโดยทั่วไป
การดำเนินการดังกล่าวจะมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบ (systematic)
และเกิดขึ้นเป็นประจำหรือเป็นปกติธุระ (regular) ให้ถือว่ามีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคล
หรือระบบอย่างสม่ำเสมอ นอกจากนี้ ข้อ ๕ วรรคสอง ได้กำหนดให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลที่มีลักษณะหรือรูปแบบเฉพาะตามตัวอย่างที่กำหนด ถือเป็นกรณีที่มีความจำเป็นต้องตรวจสอบ
ข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอด้วย

(๒) การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม (๑) นั้น
เป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ตามข้อ ๖ ของประกาศฯ โดยข้อ ๖
วรรคหนึ่ง กำหนดเป็นหลักการว่า การพิจารณาว่าการดำเนินกิจกรรมใด เป็นกรณีที่มีข้อมูลส่วนบุคคล
เป็นจำนวนมาก (on a large scale) ให้พิจารณาซึ่งน้ำหนักจากปัจจัย ๔ ข้อ ได้แก่ ๑) จำนวนหรือสัดส่วน
ของเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้อง ๒) ปริมาณ ประเภท หรือลักษณะของข้อมูลส่วนบุคคลที่มี
การเก็บรวบรวม ใช้ หรือเปิดเผย ๓) ระยะเวลา (duration) หรือความคงอยู่ (permanence) ของการเก็บรวบรวม
ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และ ๔) ขอบเขตการใช้ข้อมูลส่วนบุคคลขององค์กร หรือตามขนาดพื้นที่
หรือจำนวนประเทศ นอกจากนี้ ข้อ ๖ วรรคสอง ได้กำหนดให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลที่มีลักษณะหรือรูปแบบเฉพาะตามตัวอย่างที่กำหนด ถือเป็นกรณีที่มีข้อมูลส่วนบุคคลเป็น
จำนวนมาก (on a large scale)

(๓) การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม (๑) และ (๒)
นั้น จะต้องเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) ตามบทนิยามคำว่า “กิจกรรมหลัก
(core activities)” ในข้อ ๓ ของประกาศฯ ซึ่งหมายถึงการดำเนินการที่จำเป็นและมีความสำคัญเพื่อบรรลุ
วัตถุประสงค์หรือเป้าหมายหลักในการดำเนินงานในกิจการหรือภารกิจของผู้ควบคุมข้อมูลส่วนบุคคล

๖

หรือผู้ประมวลผลข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้า แต่ไม่รวมถึงกิจกรรมเสริมที่เป็นเพียงงานสนับสนุนในการดำเนินงานของผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลสำหรับงานสนับสนุน ด้านบุคลากรและเทคโนโลยีสารสนเทศของหน่วยงาน

ตามประเด็นข้อหารือที่ ๑ ถึง ๗ บริษัทฯ Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) ซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ส่วนประเด็นข้อหารือที่ ๘ และ ๙ บริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล (data controller) ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทั้งนี้ ตามบทนิยามในมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยในที่นี้ ข้อมูลส่วนบุคคล หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรง หรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ข้อมูลส่วนบุคคลจึงอาจเป็นข้อมูลที่มีตัวระบุ ทางตรง (direct identifier) ของเจ้าของข้อมูลส่วนบุคคล เช่น ชื่อ เลขประจำตัวประชาชน หมายเลขลูกค้า ชื่อบัญชีผู้ใช้งาน (username) ในระบบสารสนเทศ หมายเลขโทรศัพท์ และที่อยู่ไปรษณีย์อิเล็กทรอนิกส์ (e-mail address) เฉพาะตัวของบุคคล เป็นต้น หรือข้อมูลที่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูล ส่วนบุคคลได้จากข้อมูลที่เป็นตัวระบุทางอ้อม (indirect identifiers) เช่น วันเดือนปีเกิด อายุ ตำแหน่งงาน สังกัด วันเดือนปีที่เข้ารับบริการ ที่อยู่ และ IP address เป็นต้น ก็ได้ ดังนั้น แม้ข้อมูลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผย จะเป็นข้อมูลที่มีการเข้ารหัส (encryption) หรือข้อมูลการทำรายการ (log) ก็อาจถือเป็นข้อมูล ส่วนบุคคลที่สามารถระบุตัวบุคคลได้ทางตรงหรือทางอ้อม ซึ่งบริษัท Y หรือบริษัทในเครือของบริษัท Y ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล แล้วแต่กรณี มีหน้าที่ต้องปฏิบัติให้เป็นไป ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลด้วย

เมื่อพิจารณาจากข้อเท็จจริงตามประเด็นข้อหารือที่ ๑, ๒, ๔, ๘ และ ๙ แล้ว จะเห็นว่า การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบริษัท Y หรือบริษัทในเครือ ของบริษัท Y แล้วแต่กรณี ตามประเด็นที่หารือดังกล่าว เป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) และมีลักษณะที่มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ ตามข้อ ๕ ของประกาศ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ ตามข้อ ๕ วรรคหนึ่ง และ/หรือ ข้อ ๕ วรรคสอง (๑) หรือ (๒) เช่น การให้บริการระบบ ATM และระบบ Prompt Pay ให้กับธนาคาร โดยธรรมชาติจะต้องมีการติดตาม (tracking) หรือเฝ้าสังเกต (monitoring) การใช้บริการของลูกค้าที่เป็น

๗

เจ้าของข้อมูลส่วนบุคคลอย่างเป็นระบบ (systematic) และเกิดขึ้นเป็นประจำหรือเป็นปกติธุระ (regular) และอาจมีการวิเคราะห์ หรือทำนายพฤติกรรม ทัศนคติ หรือลักษณะเฉพาะของบุคคล (profiling) อย่างเป็นระบบ (systematic) และเกิดขึ้นเป็นประจำหรือเป็นปกติธุระ (regular) ด้วย จึงถือว่ามีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ ตามข้อ ๕ ของประกาศดังกล่าว จึงมีประเด็นที่บริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี จะต้องพิจารณาเพียงว่า การดำเนินกิจกรรมในแต่ละกรณีดังกล่าวนั้นเป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) เมื่อพิจารณาซึ่งน้ำหนักจากปัจจัย ๔ ข้อตามข้อ ๖ วรรคหนึ่งของประกาศฯ หรือมีลักษณะตามข้อใดข้อหนึ่งในข้อ ๖ วรรคสอง เช่น มีจำนวนเจ้าของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตั้งแต่ ๑๐๐,๐๐๐ รายขึ้นไป ตามข้อ ๖ วรรคสอง (๑) หรือเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าหรือผู้รับบริการ ตามการดำเนินงานปกติโดยผู้ประกอบธุรกิจสถาบันการเงินตามกฎหมายว่าด้วยธุรกิจสถาบันการเงิน ตามข้อ ๖ วรรคสอง (๒) ของประกาศฯ หรือไม่ หากพิจารณาแล้วเห็นว่า เป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ก็จะถือว่าเข้าเงื่อนไขครบ ๓ ประการ ในการจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ส่วนประเด็นข้อหารือที่ ๓, ๕, ๖ และ ๗ ยังไม่ปรากฏข้อเท็จจริงที่ชัดเจนจากหนังสือ ที่หารือว่ามีลักษณะที่มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ ตามข้อ ๕ ของประกาศฯ หรือไม่ และเป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ตามข้อ ๖ ของประกาศฯ หรือไม่ บริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี จึงควรพิจารณาตามข้อเท็จจริง ให้เป็นไปตามหลักเกณฑ์และเงื่อนไขของประกาศฯ และเจตนารมณ์ของกฎหมายต่อไป

หากบริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี พิจารณาแล้วเห็นว่า มีการดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่เข้าเงื่อนไขที่จะต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลที่บริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี จัดให้มีขึ้นจะถือเป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี โดยไม่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลแยกเป็นรายกิจกรรมแต่อย่างใด โดยการที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน เนื่องจากการดำเนินกิจกรรมใดกิจกรรมหนึ่งของตนเข้าเงื่อนไขครบถ้วนตามที่ประกาศฯ กำหนด ย่อมทำให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลดังกล่าวมีหน้าที่ตามที่กำหนดไว้ในมาตรา ๔๒ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำหรับการดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทุกกิจกรรมของบุคคลหรือนิติบุคคลที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าว

๘

สำหรับประเด็นข้อหารือที่ ๗ และ ๘ ซึ่งเป็นการดำเนินกิจกรรมของบริษัทในเครือของบริษัท Y แต่ไม่ใช่การดำเนินกิจกรรมของบริษัท Y เองนั้น คณะอนุกรรมการตอบข้อหารือฯ มีความเห็นเพิ่มเติมว่า การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ในกรณีที่บริษัทในเครือของบริษัท Y พิจารณาแล้วเห็นว่า เข้าเงื่อนไขตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบข้อ ๔ ข้อ ๕ และข้อ ๖ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ ซึ่งจำเป็นต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ ผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน (ตามความหมายที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา ๒๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖ ซึ่งออกตามความในมาตรา ๒๙ วรรคสอง) อาจจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลร่วมกันได้ ทั้งนี้ สถานที่ทำการแต่ละแห่งของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันดังกล่าว ต้องสามารถติดต่อกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย ตามมาตรา ๔๑ วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บริษัท Y และบริษัทในเครือของบริษัท Y จึงอาจพิจารณาจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลร่วมกัน เพื่อทำหน้าที่ตามมาตรา ๔๒ สำหรับการดำเนินกิจกรรมต่าง ๆ ที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทั้งของบริษัท Y และบริษัทในเครือของบริษัท Y ได้หากเห็นสมควร

ในประเด็นข้อหารือที่ ๑๐ เห็นว่า บริษัท Y ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล สามารถแต่งตั้งบุคคลภายในที่เป็นพนักงานขององค์กร หรือบุคคลภายนอกที่เป็นผู้รับจ้างให้บริการตามสัญญา เป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ ตามมาตรา ๔๑ วรรคเจ็ด แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องรับรองกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าหน้าที่หรือภารกิจดังกล่าวต้องไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัติดังกล่าว ตามมาตรา ๔๒ วรรคสี่ นอกจากนี้ ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องสนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โดยจัดหาเครื่องมือหรืออุปกรณ์อย่างเพียงพอ รวมทั้งอำนวยความสะดวกในการเข้าถึงข้อมูลส่วนบุคคลเพื่อการปฏิบัติหน้าที่ ตามมาตรา ๔๒ วรรคสอง และจะให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลออกจากงานหรือเลิกสัญญาการจ้างด้วยเหตุที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ไม่ได้ ทั้งนี้

๙

ในกรณีที่มีปัญหาในการปฏิบัติหน้าที่ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต้องสามารถรายงานไปยังผู้บริหารสูงสุดของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลโดยตรงได้ ตามมาตรา ๔๒ วรรคสาม

ดังนั้น หากบริษัท Y เห็นว่า เพื่อประโยชน์ในการดำเนินงานของบริษัท Y ให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล เห็นควรแต่งตั้งหรือมอบหมายพนักงานของฝ่ายกฎหมายหรือฝ่ายอื่นใด เป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัท Y ก็ย่อมสามารถทำได้ โดยเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลที่ได้รับแต่งตั้งหรือมอบหมาย จะต้องไม่มีหน้าที่หรือการกิจอื่นที่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยอาจพิจารณาว่าผู้นั้นมีหน้าที่หรือการกิจอื่นที่ต้องตัดสินใจหรือรับผิดชอบเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยตรง อันจะขัดหรือแย้งกับการปฏิบัติหน้าที่ในฐานะเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในการตรวจสอบการดำเนินงาน และให้คำแนะนำเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ของตนเองหรือมีเหตุผลที่อาจทำให้หน้าที่หรือการกิจอื่นส่งผลให้การปฏิบัติหน้าที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ดังกล่าวเสื่อมประสิทธิภาพไปอย่างมีนัยสำคัญหรือไม่ นอกจากนี้ ผู้นั้นจะต้องมีคุณสมบัติตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยคำนึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ตามมาตรา ๔๑ วรรคหก แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (ปัจจุบันยังไม่ได้ประกาศกำหนด) และบริษัท Y จะต้องดำเนินการให้เป็นไปตามมาตรา ๔๑ วรรคห้า และมาตรา ๔๒ วรรคสอง วรรคสาม และวรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย