PDPC_Consult-58

เรื่อง สำนักงานเลขาธิการสภาผู้แทนราษฎรของกวมอนุเคราะห์ข้อมูล

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๓ (๑) มาตรา ๔ วรรคหนึ่ง (๔) และวรรคสาม มาตรา ๒๔ (๔) (๕) และ (๖)
   มาตรา ๒๖ และมาตรา ๒๗ วรรคหนึ่งและวรรคสอง

2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐

3. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคง ปลอดภัยของข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับ พ.ศ. ๒๕๖๖

ข้อหารือ

สำนักงานเลขาธิการสภาผู้แทนราษฎรแจ้งว่า สำนักวิชาการของสำนักงานฯ มีหน้าที่ค้นคว้า วิเคราะห์ รวบรวมข้อมูลทางวิชาการ ให้บริการและจัดทำเอกสารข้อมูล ข้อเสนอแนะ และความเห็น ทางวิชาการ ให้กับสมาชิกสภาผู้แทนราษฎร คณะกรรมการาธิการ และบุคคลที่เกี่ยวข้องในวงงานรัฐสภา เพื่อสนับสนุนการปฏิบัติงานด้านนิติบัญญัติ จึงขอความอนุเคราะห์ข้อมูลตามที่สมาชิกสภาผู้แทนราษฎร ร้องขอว่า การเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือหุ้นของนิติบุคคลแก่บุคคลทั่วไป เข้าข่ายเป็นการกระทำที่ต้องห้ามตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ อย่างไร

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อหารือของสำนักงานเลขาธิการสภาผู้แทนราษฎร โดยมีผู้แทนสำนักงานเลขาธิการสภาผู้แทนราษฎรเป็นผู้ชี้แจงข้อเท็จจริงแล้ว เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นกฎหมายที่กำหนดหลักเกณฑ์ กลไก หรือมาตรการ กำกับดูแลเกี่ยวกับการให้ความคุ้มครองข้อมูลส่วนบุคคลที่เป็นหลักการทั่วไป อันเป็นการส่งเสริมให้ การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลมีความเหมาะสม และปัญหาการล่วงละเมิดสิทธิความเป็นส่วนตัว ของข้อมูลส่วนบุคคลได้รับการแก้ไข ดังนั้น การเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือหุ้น ของนิติบุคคลแก่บุคคลทั่วไปสามารถดำเนินการได้หรือไม่ เพียงใด จะต้องพิจารณาจากพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบกับกฎหมายอื่นที่เกี่ยวข้องตามมาตรา ๓ (๑) แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่บัญญัติว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับ การคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตาม บทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง

๒

ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นการเพิ่มเติม ไม่ว่าจะซ้ำ กับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ

สำหรับการเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือหุ้นของนิติบุคคล แก่บุคคลทั่วไปนั้น หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลและมีข้อมูลส่วนบุคคลดังกล่าวอยู่ใน ความครอบครองหรือควบคุมดูแล จะต้องพิจารณาดำเนินการให้เป็นไปตามมาตรา ๒๔ หรือมาตรา ๒๖ ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายอื่น ที่เกี่ยวข้อง โดยในกรณีที่มีกฎหมายเฉพาะกำหนดให้เปิดเผยรายละเอียดการจดทะเบียนทำงานหุ้นส่วน บริษัทจำกัด บริษัทมหาชนจำกัด หรือนิติบุคคลใด ซึ่งรวมถึงข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อ ผู้ถือหุ้นของนิติบุคคลด้วยนั้น ก็ถือเป็นกรณีการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๒๔ (๖) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งสามารถเปิดเผย ข้อมูลส่วนบุคคลได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล นอกจากนี้ หากเป็น หน่วยงานของรัฐตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ ก็จะต้องปฏิบัติให้เป็นไปตามกฎหมายดังกล่าวด้วย แต่หากไม่มีกฎหมายใดกำหนดให้ต้องเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือหุ้นของนิติบุคคล ดังกล่าว หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลจะต้องพิจารณาว่า การเปิดเผยข้อมูลส่วนบุคคลนั้นเป็นการจำเป็น เพื่อการปฏิบัติหน้าที่ในการดำเนินการก็จะเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติ หน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๔) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือเป็นการจำเป็นเพื่อประโยชน์ โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูล ส่วนบุคคล ซึ่งประโยชน์ดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขึ้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของ ข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๕) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าวหรือไม่ แล้วพิจารณาดำเนินการให้เป็นไปตามนั้น

นอกจากนี้ สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลที่อยู่ในบังคับของพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บุคคลหรือนิติบุคคลที่จะดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว โดยได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคลข้างต้น ก็จะต้องเก็บรวบรวมข้อมูล ส่วนบุคคลโดยพิจารณาฐานทางกฎหมายตามมาตรา ๒๔ หรือมาตรา ๒๖ แห่งพระราชบัญญัตินี้ รวมทั้งจะต้อง ไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูล ส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น ตามนัยมาตรา ๒๗ วรรคสอง แห่งพระราชบัญญัติเดียวกันด้วย

อนึ่ง หากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือ หุ้นของนิติบุคคลดังกล่าว เป็นการดำเนินการในการพิจารณาตามหน้าที่และอำนาจของสภาผู้แทนราษฎร วุฒิสภา รัฐสภา รวมถึงคณะกรรมการที่แต่งตั้งโดยสภาดังกล่าว ก็ย่อมสามารถกระทำได้โดยได้รับยกเว้น ตามมาตรา ๔ (๔) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กรณีจึงไม่ต้องปฏิบัติตาม บทบัญญัติแห่งพระราชบัญญัตินี้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับยกเว้นการบังคับใช้ตามมาตรา ๔ (๔) ดังกล่าว ยังคงมีหน้าที่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐาน

ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับ พ.ศ. ๒๕๖๖ ด้วย นอกจากนี้ หน่วยงานที่จะเปิดเผยข้อมูลส่วนบุคคลนั้นให้แก่สภาผู้แทนราษฎร วุฒิสภา รัฐสภา รวมถึงคณะกรรมการที่แต่งตั้งโดยสภาดังกล่าวจะต้องพิจารณาฐานทางกฎหมายในการเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ด้วย