PDPC_Consult-62

เรื่อง ธนาคาร X ขอหารือเกี่ยวกับฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลของพนักงานและครอบครัวของพนักงานสำหรับการใช้สิทธิสวัสดิการ

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๑๙ มาตรา ๒๐ มาตรา ๒๑ มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๔ มาตรา ๒๖
   วรรคหนึ่ง มาตรา ๒๖ (๕) (ค) มาตรา ๒๗ วรรคหนึ่ง และมาตรา ๓๗ (๑)

2. พระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. ๒๕๑๘ และที่แก้ไขเพิ่มเติม
   มาตรา ๑๐ วรรคหนึ่งและวรรคสาม มาตรา ๑๙ และมาตรา ๒๐

3. พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. ๒๕๔๑ และที่แก้ไขเพิ่มเติม
   มาตรา ๓๒ มาตรา ๓๓ มาตรา ๔๑ มาตรา ๔๑/๑ มาตรา ๔๒ มาตรา ๑๐๘ และมาตรา ๑๔๖

4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕
   ข้อ ๔ (๒)

ข้อหารือ

ธนาคาร X (“ธนาคารฯ”) แจ้งว่า ตามที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้เผยแพร่เอกสารข้อหารือที่ ๑๖/๒๕๖๗ เรื่อง บริษัท W ขอหารือเกี่ยวกับการเก็บรวบรวมข้อมูลการรักษาพยาบาลเพื่อเบิกจ่ายเงินสวัสดิการ ธนาคาร X มีความประสงค์ขอหารือเพิ่มเติมเกี่ยวกับฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลของพนักงานและครอบครัวพนักงาน เกี่ยวกับกิจกรรมต่าง ๆ ดังนี้

1. กิจกรรมการใช้สิทธิสวัสดิการของพนักงานตามวัตถุประสงค์ต่อไปนี้ ซึ่งเป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างและมีผลผูกพันธนาคารฯ ตามกฎหมายว่าด้วยแรงงานสัมพันธ์ ธนาคารฯ สามารถอาศัยข้อยกเว้นไม่ต้องขอความยินยอม ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๖ (๕) (ค) เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ได้หรือไม่ อย่างไร พร้อมข้อเสนอแนะเพิ่มเติม (ถ้ามี)

(1) การใช้สิทธิสวัสดิการของพนักงาน เพื่อเบิกจ่ายค่ารักษาพยาบาลหรือเบิกจ่ายค่าตรวจสุขภาพ โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของพนักงาน เช่น ใบรับรองชื่อโรค ประวัติการเจ็บป่วยหรือการเกิดอุบัติเหตุ ประวัติการรักษาพยาบาล และประวัติการตรวจสุขภาพ

(2) การใช้สิทธิสวัสดิการของพนักงาน เพื่อลาป่วยติดต่อกัน ๓ วันขึ้นไป ลาคลอดบุตร หรือลาทำหมัน โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของพนักงาน เช่น ใบรับรองชื่อโรค ประวัติการเจ็บป่วยหรือการเกิดอุบัติเหตุ และประวัติการรักษาพยาบาล

(3) การใช้สิทธิสวัสดิการของพนักงาน เพื่อลาอุปสมบท ลาประกอบศาสนาอื่น หรือลาไปวิปัสสนากรรมฐาน เช่น การลาอุปสมบทเต็มพรรษาในเทศกาลเข้าพรรษา หรือการลาไปประกอบพิธีฮัจย์

๒

ณ เมืองเมกกะ ประเทศชาอุติอาระเบีย โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลศาสนา ของพนักงาน

(๔) การใช้สิทธิสวัสดิการของพนักงาน เพื่อเงินยืมสวัสดิการสงเคราะห์ค่ารักษาพยาบาล ของตนเอง (ไม่เสียดอกเบี้ย) โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของพนักงาน เช่น ใบรับรองชื่อโรค ประวัติการเจ็บป่วย/การเกิดอุบัติเหตุ และประวัติการรักษาพยาบาล

๒. กิจกรรมการใช้สิทธิสวัสดิการของครอบครัวพนักงานตามวัตถุประสงค์ต่อไปนี้ ซึ่งเป็น ส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างที่เกิดจากข้อเสนอของธนาคารฯ (ฝ่ายนายจ้าง) ธนาคารฯ สามารถอาศัยข้อยกเว้นไม่ต้องขอความยินยอม ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๖ (๕) (ค) เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ได้หรือไม่ อย่างไร พร้อม ข้อเสนอแนะเพิ่มเติม (ถ้ามี)

(๑) การใช้สิทธิสวัสดิการ เพื่อเบิกจ่ายค่ารักษาพยาบาลแก่คู่สมรสหรือบุตรของพนักงาน ซึ่งถึงแม้ว่าคู่สมรสหรือบุตรจะไม่ได้เป็นพนักงานของธนาคารฯ แต่ใช้สิทธิสวัสดิการของพนักงาน ย่อมมีสิทธิ เรียกร้องสวัสดิการค่ารักษาพยาบาลจากธนาคารฯ ตามข้อตกลงเกี่ยวกับสภาพการจ้างได้ โดยเอกสารหลักฐาน ประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของคู่สมรสหรือบุตร เช่น ใบรับรองชื่อโรค ประวัติการเจ็บป่วย หรือการเกิดอุบัติเหตุ และประวัติการรักษาพยาบาล ทั้งนี้ บางกรณีธนาคารฯ จะทราบสถานะจดทะเบียน สมรสเพศเดียวกัน ระหว่างพนักงานกับคู่สมรส จากคำนำหน้าชื่อหรือเอกสารที่เกี่ยวข้อง

(๒) การใช้สิทธิสวัสดิการ เพื่อเงินยืมสวัสดิการสงเคราะห์ค่ารักษาพยาบาลแก่คู่สมรสหรือ บุตรของพนักงาน (ไม่เสียดอกเบี้ย) ซึ่งถึงแม้ว่าคู่สมรสหรือบุตรจะไม่ได้เป็นพนักงานของธนาคารฯ แต่ใช้สิทธิสวัสดิการของพนักงาน ย่อมมีสิทธิเรียกร้องสวัสดิการเงินยืมฯ จากธนาคารฯ ตามข้อตกลงเกี่ยวกับ สภาพการจ้างได้ โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของคู่สมรสหรือบุตร เช่น ใบรับรองชื่อโรค ประวัติการเจ็บป่วยหรือการเกิดอุบัติเหตุ และประวัติการรักษาพยาบาล ทั้งนี้ บางกรณี ธนาคารฯ จะทราบสถานะจดทะเบียนสมรสเพศเดียวกัน ระหว่างพนักงานกับคู่สมรส จากคำนำหน้าชื่อ หรือเอกสารที่เกี่ยวข้อง

(๓) การใช้สิทธิสวัสดิการ เพื่อเงินยืมสวัสดิการสงเคราะห์ค่ารักษาพยาบาลแก่บิดามารดา ของพนักงานหรือบิดามารดาของคู่สมรส (ไม่เสียดอกเบี้ย) ซึ่งถึงแม้ว่าบิดามารดาของพนักงานหรือบิดามารดา ของคู่สมรสจะไม่ได้เป็นพนักงานของธนาคารฯ แต่ใช้สิทธิสวัสดิการของพนักงาน ย่อมมีสิทธิเรียกร้องสวัสดิการ เงินยืมฯ จากธนาคารฯ ตามข้อตกลงเกี่ยวกับสภาพการจ้างได้ โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของบิดามารดาของพนักงานหรือบิดามารดาของคู่สมรส เช่น ใบรับรองชื่อโรค ประวัติการเจ็บป่วยหรือการเกิดอุบัติเหตุ และประวัติการรักษาพยาบาล

(๔) การใช้สิทธิสวัสดิการ เพื่อเงินยืมสวัสดิการสงเคราะห์การสมรส (ไม่เสียดอกเบี้ย) ทั้งนี้ บางกรณีธนาคารฯ จะเก็บข้อมูลสถานะจดทะเบียนสมรสเพศเดียวกัน ระหว่างพนักงานกับคู่สมรส

๓

(๕) การใช้สิทธิสวัสดิการ เพื่อลาไปช่วยเหลือภริยาของพนักงานที่คลอดบุตร โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของภริยา เช่น ใบรับรองแพทย์ และประวัติการรักษาพยาบาล

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาซ้อหารือดังกล่าวแล้ว เห็นว่าพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๖ (๕) (ค) กำหนดข้อยกเว้นในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในสิทธิ ศาสนาหรือปรัชญาพฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในท่านองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลในกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน การประกันสังคม หลักประกันสุขภาพแห่งชาติ สวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมายการคุ้มครองผู้ประสบภัยจากรถ หรือการคุ้มครองทางสังคม

ในการดำเนินงานของนายจ้าง นายจ้างย่อมมีหน้าที่ต้องปฏิบัติตามกฎหมายที่เกี่ยวข้อง เช่น กฎหมายว่าด้วยการคุ้มครองแรงงาน กฎหมายว่าด้วยแรงงานสัมพันธ์ หรือกฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์ (ในกรณีของรัฐวิสาหกิจ) โดยมาตรา ๑๐ วรรคหนึ่ง แห่งพระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. ๒๕๑๘ กำหนดให้สถานประกอบกิจการที่มีลูกจ้างตั้งแต่ยี่สิบคนขึ้นไปจัดให้มีข้อตกลงเกี่ยวกับสภาพการจ้าง และข้อตกลงเกี่ยวกับสภาพการจ้าง (ไม่ว่าจะเกิดจากข้อเสนอของฝ่ายลูกจ้างหรือฝ่ายนายจ้าง หรือเป็นสวัสดิการที่ให้แก่พนักงาน คู่สมรสหรือบุตรของพนักงาน บิดามารดาของพนักงาน หรือบิดามารดาของคู่สมรสของพนักงานก็ตาม) จะมีผลผูกพันนายจ้างและลูกจ้างที่เกี่ยวข้อง ตามมาตรา ๑๙ แห่งพระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. ๒๕๑๘ โดยเมื่อข้อตกลงเกี่ยวกับสภาพการจ้างมีผลใช้บังคับแล้ว ห้ามมิให้นายจ้างทำสัญญาจ้างแรงงานกับลูกจ้างขัดหรือแย้งกับข้อตกลงดังกล่าว เว้นแต่สัญญาจ้างแรงงานนั้นจะเป็นคุณแก่ลูกจ้างยิ่งกว่าตามมาตรา ๒๐ แห่งพระราชบัญญัติเดียวกัน ประกอบกับมาตรา ๑๐๘ แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. ๒๕๔๑ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติคุ้มครองแรงงาน (ฉบับที่ ๖) พ.ศ. ๒๕๖๐ กำหนดให้นายจ้างซึ่งมีลูกจ้างรวมกันตั้งแต่สิบคนขึ้นไป จัดให้มีข้อบังคับเกี่ยวกับการทำงานเป็นภาษาไทย และข้อบังคับนั้นอย่างน้อยต้องมีรายละเอียดเกี่ยวกับรายการ ดังต่อไปนี้ (๑) วันทำงาน เวลาทำงานปกติ และเวลาพัก (๒) วันหยุดและหลักเกณฑ์การหยุด (๓) หลักเกณฑ์การทำงานล่วงเวลาและการทำงานในวันหยุด (๔) วันและสถานที่จ่ายค่าจ้าง ค่าล่วงเวลา ค่าทำงานในวันหยุดและค่าล่วงเวลาในวันหยุด (๕) วันลาและหลักเกณฑ์การลา (๖) วันัยและโทษทางวินัย (๗) การร้องทุกข์ และ (๘) การเลิกจ้าง ค่าชดเชย และค่าชดเชยพิเศษ หากนายจ้างผู้ใดไม่ปฏิบัติตามมาตรา ๑๐๘ ดังกล่าว ต้องระวางโทษปรับตามที่กำหนดไว้ในมาตรา ๑๔๖

๔

แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. ๒๕๔๑ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติคุ้มครองแรงงาน (ฉบับที่ ๔) พ.ศ. ๒๕๕๓ ซึ่งการจัดทำข้อบังคับเกี่ยวกับการทำงานดังกล่าวมีขึ้นเพื่อกำหนดสิทธิและหน้าที่ระหว่างนายจ้าง และลูกจ้างที่พึงมีต่อกัน เพื่อคุ้มครองแรงงาน รวมทั้งเพื่อความเป็นระเบียบเรียบร้อยในการทำงานและ เป็นการป้องกันไม่ให้เกิดความขัดแย้งระหว่างกัน อีกทั้งมาตรา ๑๐ วรรคสาม แห่งพระราชบัญญัติแรงงาน สัมพันธ์ พ.ศ. ๒๕๑๘ กำหนดว่า ในกรณีเป็นที่สงสัยว่า ในสถานประกอบกิจการนั้นมีข้อตกลงเกี่ยวกับ สภาพการจ้างหรือไม่ ให้ถือว่าข้อบังคับเกี่ยวกับการทำงานที่นายจ้างต้องจัดให้มีตามกฎหมายว่าด้วย การคุ้มครองแรงงาน เป็นข้อตกลงเกี่ยวกับสภาพการจ้างตามพระราชบัญญัติดังกล่าว

นอกจากนี้ นายจ้างย่อมมีหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองแรงงาน ซึ่งรวมถึง ข้อกำหนดให้ลูกจ้างมีสิทธิต่าง ๆ เช่น สิทธิลาป่วยได้เท่าที่ป่วยจริง โดยในการลาป่วยตั้งแต่สามวันทำงานขึ้นไป นายจ้างอาจให้ลูกจ้างแสดงใบรับรองแพทย์ประกอบการลาป่วยได้ ตามมาตรา ๓๒ แห่งพระราชบัญญัติ คุ้มครองแรงงาน พ.ศ. ๒๕๔๑ สิทธิลาเพื่อทำหมันและสิทธิลาเนื่องจากการทำหมัน ตามมาตรา ๓๓ แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. ๒๕๔๑ สิทธิของลูกจ้างซึ่งเป็นหญิงมีครรภ์ในการลาเพื่อคลอดบุตร และลาต่อเนื่องเพื่อเลี้ยงดูบุตรในกรณีที่บุตรมีภาวะการเจ็บป่วยที่เสี่ยงต่อการเกิดโรคแทรกซ้อน มีความผิดปกติ หรือมีภาวะความพิการ โดยให้ลูกจ้างแสดงใบรับรองแพทย์ประกอบการลาด้วย ตามมาตรา ๔๑ วรรคหนึ่ง และวรรคสี่ แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. ๒๕๔๑ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติคุ้มครอง แรงงาน (ฉบับที่ ๙) พ.ศ. ๒๕๖๘ สิทธิลาเพื่อช่วยเหลือคู่สมรสซึ่งคลอดบุตร ตามมาตรา ๔๑/๑ แห่ง พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. ๒๕๔๑ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติคุ้มครองแรงงาน (ฉบับที่ ๙) พ.ศ. ๒๕๖๘ และสิทธิของลูกจ้างซึ่งเป็นหญิงมีครรภ์ที่มีใบรับรองแพทย์มาแสดงว่าไม่อาจทำงานในหน้าที่ เดิมต่อไปได้ในการขอให้นายจ้างเปลี่ยนงานในหน้าที่เดิมเป็นการชั่วคราวก่อนหรือหลังคลอดได้ โดยให้นายจ้าง พิจารณาเปลี่ยนงานที่เหมาะสมให้แก่ลูกจ้างนั้น ตามมาตรา ๔๒ แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. ๒๕๔๑ ด้วย

ดังนั้น หากธนาคารฯ ในฐานะนายจ้างเห็นว่า การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ ความเชื่อในสิทธิ ศาสนาหรือปรัชญา ข้อมูลสุขภาพ ความพิการ หรือข้อมูลส่วนบุคคลอื่นตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นกรณีที่มีความจำเป็นเพื่อให้บรรลุวัตถุประสงค์ ในการขอใช้สิทธิหรือสวัสดิการตามที่กฎหมายกำหนด และการพิจารณาสิทธิหรือสวัสดิการดังกล่าว ของพนักงานในฐานะลูกจ้างและบุคคลในครอบครัวของพนักงาน หรือเป็นกรณีที่มีความจำเป็นเพื่อให้ การปฏิบัติหน้าที่หรือการใช้สิทธิซึ่งกฎหมายกำหนดหรือมอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าของข้อมูล ส่วนบุคคลในบริบทที่เกี่ยวกับการคุ้มครองแรงงานบรรลุวัตถุประสงค์ ซึ่งรวมถึงการขอใช้สิทธิหรือสวัสดิการ และการพิจารณาสิทธิหรือสวัสดิการของพนักงานและบุคคลในครอบครัว ที่เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับ สภาพการจ้างซึ่งมีผลผูกพันธนาคารฯ ตามกฎหมายว่าด้วยแรงงานสัมพันธ์หรือกฎหมายอื่น ไม่ว่าจะเกิดจาก

๕

ข้อเสนอของฝ่ายลูกจ้างหรือธนาคารฯ (ฝ่ายนายจ้าง) ก็ตาม ก็จะถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ซึ่งการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นสิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๒๖ (๕) (ค) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ธนาคารฯ จึงสามารถเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าวได้โดยไม่ต้องขอความยินยอมโดยขัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล แต่ธนาคารฯ จะต้องเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นตามมาตรา ๒๒ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามมาตรา ๒๖ (๕) (ค) ด้วย

ทั้งนี้ หากการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับความเชื่อในสิทธิ ศาสนาหรือปรัชญาข้อมูลสุขภาพ ความพิการ หรือข้อมูลส่วนบุคคลอื่นตามมาตรา ๒๖ ดังกล่าว ไม่ได้เป็นไปเพื่อการขอใช้สิทธิหรือสวัสดิการหรือการพิจารณาสิทธิหรือสวัสดิการของพนักงานและบุคคลในครอบครัวของพนักงาน ตามที่กฎหมายกำหนด และไม่ใช่การขอใช้สิทธิหรือสวัสดิการหรือการพิจารณาสิทธิหรือสวัสดิการที่เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างตามกฎหมายว่าด้วยแรงงานสัมพันธ์ กฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์หรือกฎหมายอื่น รวมทั้งไม่ได้เป็นกรณีอื่นที่มีความจำเป็นในการปฏิบัติตามบทบัญญัติแห่งกฎหมายใดเพื่อการคุ้มครองแรงงาน (อันอาจถือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงานของธนาคารฯ ได้) ก็ไม่สามารถใช้ข้อยกเว้นตามมาตรา ๒๖ (๕) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นฐานทางกฎหมายได้ และหากไม่เข้าย้อยกเว้นอื่นตามมาตรา ๒๖ แห่งพระราชบัญญัติดังกล่าว ก็จะต้องได้รับความยินยอมโดยขัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๒๖ วรรคหนึ่ง โดยการขอความยินยอมจะต้องเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และสามารถเทียบเคียงแนวทางการตอบข้อหารือของคณะอนุกรรมการตอบข้อหารือฯ ได้ตามสำเนาสรุปการตอบข้อหารือที่ ๑๖/๒๕๖๗ เรื่อง บริษัท W ขอหารือเกี่ยวกับการเก็บรวบรวมข้อมูลการรักษาพยาบาลเพื่อเบิกจ่ายเงินสวัสดิการ และสำเนาสรุปการตอบข้อหารือที่ ๒๙/๒๕๖๖ เรื่อง สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ขอคำปรึกษาเกี่ยวกับการเก็บรวบรวม ใช้ ข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพ ในการเบิกค่ารักษาพยาบาลของเจ้าหน้าที่องค์การมหาชน

สำหรับประเด็นข้อหารือที่ว่า ธนาคารฯ สามารถเก็บรวบรวมข้อมูลสถานะการจดทะเบียนสมรสเพื่อการขอใช้สิทธิหรือสวัสดิการหรือการพิจารณาสิทธิหรือสวัสดิการของพนักงานและบุคคลในครอบครัวของพนักงาน ซึ่งในบางกรณี ธนาคารฯ อาจทราบได้จากคำนำหน้าชื่อหรือข้อมูลในเอกสารที่เกี่ยวข้องว่าเป็นการจดทะเบียนสมรสเพศเดียวกันระหว่างพนักงานกับคู่สมรส โดยถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ซึ่งได้รับยกเว้นไม่ต้องขอความยินยอมโดยขัดแจ้งตามมาตรา ๒๖ (๕) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล

๖

พ.ศ. ๒๕๖๒ ได้หรือไม่ อย่างไร นั้น เห็นว่า หากธนาคารฯ ไม่มีวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลดังกล่าวเพื่อใช้ในการบ่งชี้พฤติกรรมทางเพศ (ซึ่งรวมถึงเพศสภาพและพฤติกรรมทางเพศอื่น ไม่ว่าจะเป็นระหว่างเพศเดียวกันหรือต่างเพศก็ตาม) ข้อมูลส่วนบุคคลดังกล่าวก็ไม่ถือว่าเป็นการเก็บรวบรวม ข้อมูลส่วนบุคคลเกี่ยวกับพฤติกรรมทางเพศตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในทำนองเดียวกับการเก็บรวบรวมภาพถ่ายที่ปรากฏใบหน้าของหญิงที่สวมผ้าคลุมศีรษะ (ฮิญาบ) ที่ไม่มีวัตถุประสงค์เพื่อใช้ในการบ่งชี้ความเชื่อในลัทธิ ศาสนาหรือปรัชญา หรือการเก็บรวบรวมข้อมูลน้ำหนัก ของบุคคล ที่ไม่มีวัตถุประสงค์เพื่อใช้ในการบ่งชี้สถานะหรือความเสี่ยงเกี่ยวกับสุขภาพของผู้นั้น ด้วยเหตุนี้ การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวไม่จำต้องพิจารณาฐานทางกฎหมายตามมาตรา ๒๖ แต่อย่างใด แต่ธนาคารฯ จะต้องพิจารณาฐานทางกฎหมายตามมาตรา ๒๔ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่สอดคล้องกับวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลต่อไปด้วย อย่างไรก็ตาม ธนาคารฯ พึงระมัดระวังว่า เมื่อข้อมูลส่วนบุคคลเกี่ยวกับสถานะการจดทะเบียนสมรส (ซึ่งรวมถึงการจดทะเบียนสมรสเพศเดียวกัน) ถูกเก็บรวบรวมมาเพื่อการขอใช้สิทธิหรือสวัสดิการและ การพิจารณาสิทธิหรือสวัสดิการของพนักงานและบุคคลในครอบครัวของพนักงานเป็นการทั่วไป โดยไม่มี ความจำเป็นต้องใช้ข้อมูลส่วนบุคคลเกี่ยวกับพฤติกรรมทางเพศ (ซึ่งรวมถึงเพศสภาพและพฤติกรรมทางเพศอื่น ไม่ว่าจะเป็นระหว่างเพศเดียวกันหรือต่างเพศก็ตาม) มาประกอบการพิจารณา ธนาคารฯ ต้องทำการ เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อน หรือในขณะที่เก็บรวบรวม ตามหลักการจำกัดวัตถุประสงค์ (purpose limitation) ตามมาตรา ๒๑ และ หลักการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็น (data minimization) ตามมาตรา ๒๒ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย นอกจากนี้ ธนาคารฯ มีหน้าที่ต้องปฏิบัติตามที่ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายอื่นกำหนด ในส่วนที่เกี่ยวข้องกับ การคุ้มครองข้อมูลส่วนบุคคลให้ครบถ้วนด้วย โดยเฉพาะเมื่อพิจารณาจากลักษณะของข้อมูลส่วนบุคคล ดังกล่าวและความเสี่ยงที่ข้อมูลส่วนบุคคลนั้นอาจถูกนำไปใช้เพื่อบ่งชี้หรืออนุมานพฤติกรรมทางเพศหรือข้อมูล ส่วนบุคคลตามมาตรา ๒๖ ซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันได้ ซึ่งรวมถึง การแจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) ตามมาตรา ๒๓ และการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา ๓๗ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ใน ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๕ โดยเฉพาะอย่างยิ่ง จะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของ

๗

การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ตามข้อ ๔ (๒) ของประกาศดังกล่าว