แนวปฏิบัติสำหรับผู้ควบคุมข้อมูลส่วนบุคคล และผู้ประมวลผลข้อมูลส่วนบุคคล

จากข้อหารือเกี่ยวกับการบังคับใช้พระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

คำนำ

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกาศในราชกิจจานุเบกษา เมื่อวันที่ ๒๗ พฤษภาคม ๒๕๖๒ และบังคับใช้ทั้งฉบับเมื่อวันที่ ๑ มิถุนายน ๒๕๖๕ เป็นกฎหมาย ซึ่งกำหนด หลักเกณฑ์ กลไก หรือมาตรการกำกับดูแลเกี่ยวกับการให้ความคุ้มครองข้อมูลส่วนบุคคลเป็นหลักการทั่วไปเพื่อให้การคุ้มครองข้อมูลส่วนบุคคลมีประสิทธิภาพและเพื่อให้มีมาตรการเยียวยาเจ้าของข้อมูลส่วนบุคคลจากการถูกละเมิดสิทธิเกี่ยวกับข้อมูลส่วนบุคคลอย่างมีประสิทธิภาพ

ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลตามกฎหมายฉบับนี้ ครอบคลุมหน่วยงานของรัฐ ภาคเอกชนทั้งนิติบุคคลและบุคคลธรรมดา ทุกประเภทกิจการ และทุกขนาดกิจการหากมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ต้องปฏิบัติให้เป็นไปตามหลักเกณฑ์และวิธีการที่กฎหมายกำหนด อย่างไรก็ตาม การปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มีรายละเอียดค่อนข้างเยอะ และมีหลายประเด็นที่เป็นเรื่องใหม่สำหรับการขับเคลื่อนเศรษฐกิจและยกระดับการคุ้มครองสิทธิของสังคมไทย หน่วยงานหลายแห่งจึงได้มีข้อซักถามและประเด็นหารือเพื่อให้เกิดความชัดเจนในการปฏิบัติให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ดังนั้น คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอาศัยอำนาจตามมาตรา ๑๘ ประกอบมาตรา ๔๔ (๖) มอบหมายให้คณะอนุกรรมการเฉพาะกิจตอบข้อหารือ และให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พิจารณาเสนอความเห็นและข้อเสนอแนะในการตอบข้อหารือเพื่อประกอบการพิจารณาของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลซึ่งมีบทบาทหน้าที่เป็นศูนย์กลางในการให้บริการทางวิชาการและเผยแพร่ความรู้ความเข้าใจเกี่ยวกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล จึงรวบรวมและสรุปผลการตอบข้อหารือของคณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ จัดทำเป็น แนวปฏิบัติสำหรับผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล จากกรณีศึกษาจากข้อหารือเกี่ยวกับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เพื่ออำนวยความสะดวกในการสืบค้นและเป็นประโยชน์ให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลได้ศึกษาและปฏิบัติให้สอดคล้องกับกฎหมาย โดยจะต้องพิจารณาข้อเท็จจริง ประกอบข้อกฎหมายเป็นรายกรณี ๆ ไป

สารบัญ

สารบัญ

สารบัญ

สารบัญ

แนวทางปฏิบัติเพื่อการดำเนินการให้สอดคล้องกับพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๒

เรื่องหรือที่เกี่ยวข้อง

เรื่องที่ ๑ สำนักงานส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อมขอหรือในประเด็นเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๕ มาตรา ๖ มาตรา ๒๘ มาตรา ๒๙ มาตรา ๔๑ และมาตรา ๔๒

2. พระราชบัญญัติส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม พ.ศ. ๒๕๔๓ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม (ฉบับที่ ๒)
   พ.ศ. ๒๕๖๑
   มาตรา ๑๖

ข้อหรือ

สำนักงานส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม (สสว.) ขอหรือเกี่ยวกับข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล การคุ้มครองข้อมูลส่วนบุคคล และการร่วมลงนามในข้อตกลงการเป็นผู้ควบคุมข้อมูลส่วนบุคคลร่วมของเว็บไซต์ ASEAN Access เพื่อปฏิบัติตามกฎหมาย General Data Protection Regulation (GDPR) ของสหภาพยุโรป ดังนี้

1. ข้อมูลผู้ประกอบการที่เป็นบุคคลธรรมดา (ไม่ใช่นิติบุคคล) ถือเป็นข้อมูลส่วนบุคคลภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ อย่างไร

2. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) ต้องมีคุณสมบัติอย่างไร กรณีเป็นบุคคลภายนอกหรือภายในองค์กร มีข้อดีและข้อเสียแตกต่างกันอย่างไร และองค์กรมีความจำเป็นต้องตั้งส่วนงานที่มีหน้าที่ความรับผิดชอบเป็นการเฉพาะ เพื่อปฏิบัติงานดังกล่าวหรือไม่ อย่างไร

3. ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) หมายถึงตัวนิติบุคคล หรือตัวองค์กรใช่หรือไม่ และจำเป็นต้องมีการแต่งตั้งบุคคลธรรมดาเพื่อกระทำการแทนนิติบุคคลหรือองค์กรในการปฏิบัติหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล หรือไม่ หากต้องมีการแต่งตั้งบุคคลธรรมดาเพื่อปฏิบัติหน้าที่ดังกล่าว บุคคลดังกล่าวควรมีคุณสมบัติอย่างไร และจำเป็นต้องเป็นผู้ครอบครองข้อมูลส่วนบุคคลหรือเจ้าของข้อมูล (Data Owner) หรือไม่อย่างไร และควรเป็นบุคคลภายนอกหรือภายในองค์กร

4. ขอความคิดเห็นและข้อเสนอแนะในส่วนของ สสว. ในภาพรวม ในการลงนามในข้อตกลงการเป็นผู้ควบคุมข้อมูลส่วนบุคคลร่วม (General Data Protection Regulation (GDPR) Joint Controller Agreement of ASEAN Access) ในการปฏิบัติ

ตามกฎหมาย GDPR ของสหภาพยุโรป ซึ่งระบุหน้าที่และความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลร่วม

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พิจารณาประเด็นข้อหารือของสำนักงานส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อมแล้ว เห็นว่า

ประเด็นหารือที่ ๑ มาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดว่า “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรม โดยเฉพาะ และ “บุคคล” หมายความว่า บุคคลธรรมดา ดังนั้น กรณีข้อมูลเกี่ยวกับผู้ประกอบการที่เป็นบุคคลธรรมดา ซึ่งมิใช่ข้อมูลของผู้ถึงแก่กรรมหรือข้อมูลของนิติบุคคล หากข้อมูลดังกล่าวทำให้สามารถระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม ข้อมูลดังกล่าวถือเป็นข้อมูลส่วนบุคคลภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ประเด็นหารือที่ ๒ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้กำหนดกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลไว้ในมาตรา ๔๑ คือ

(๑) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงานของรัฐ ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

(๒) การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

(๓) กิจกรรมหลักของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖

นอกจากนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอาจประกาศกำหนดคุณสมบัติของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้ โดยคำนึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องรับรองกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าหน้าที่หรือภารกิจ

๓

๔

ตังกล่าวต้องไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัติดังกล่าว ทั้งนี้ ตามนัย มาตรา ๔๒

ดังนั้น โดยหลักการ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจึงควรมีความรู้ หรือความเชี่ยวชาญด้านกฎหมายต่าง ๆ ที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล มีความเข้าใจในเรื่องมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล และเข้าใจ บริบทการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลภายในองค์กร โดยมาตรา ๔๑ วรรคเจ็ดแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดว่า เจ้าหน้าที่ คุ้มครองข้อมูลส่วนบุคคลอาจเป็นพนักงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผล ข้อมูลส่วนบุคคลหรือเป็นผู้รับจ้างให้บริการตามสัญญากับผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคลก็ได้ ดังนั้น ในการพิจารณาคัดเลือกเจ้าหน้าที่คุ้มครอง ข้อมูลส่วนบุคคลจากบุคคลภายในองค์กรหรือบุคคลภายนอกที่เป็นผู้รับจ้างตามสัญญา (Outsourced DPO) สสว. จึงควรพิจารณาตามความเหมาะสม และความจำเป็น ขององค์กรว่าสามารถจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้โดยวิธีใด เพื่อให้การ ปฏิบัติหน้าที่ตามมาตรา ๔๒ แห่งพระราชบัญญัติดังกล่าวเป็นไปอย่างมีประสิทธิภาพ

สำหรับประเด็นที่หารือเกี่ยวกับความจำเป็นในการจัดตั้งส่วนงานที่มีหน้าที่ ความรับผิดชอบเป็นการเฉพาะ เพื่อปฏิบัติงานดังกล่าว เห็นว่า มาตรา ๔๒ วรรคสอง กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องสนับสนุน การปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โดยจัดหาเครื่องมือหรืออุปกรณ์ อย่างเพียงพอ รวมทั้งอำนวยความสะดวกในการเข้าถึงข้อมูลส่วนบุคคล เพื่อการปฏิบัติ หน้าที่ และจะให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลออกจากงานหรือเลิกสัญญาการจ้าง ด้วยเหตุที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ตามพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้ ทั้งนี้ ในกรณีที่มีปัญหาในการปฏิบัติหน้าที่ เจ้าหน้าที่ คุ้มครองข้อมูลส่วนบุคคลต้องสามารถรายงานไปยัง ผู้บริหารสูงสุดของผู้ควบคุมข้อมูล ส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลโดยตรงได้ โดยพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้กำหนดวิธีการหรือแนวทางที่ผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องดำเนินการเพื่อให้การทําหน้าที่ของเจ้าหน้าที่ คุ้มครองข้อมูลส่วนบุคคลเป็นไปตามกฎหมาย การพิจารณาความจำเป็นในการจัดตั้ง ส่วนงานที่มีหน้าที่ความรับผิดชอบเป็นการเฉพาะ เพื่อปฏิบัติงานในหน้าที่ของเจ้าหน้าที่ คุ้มครองข้อมูลส่วนบุคคล หรือการกำหนดและมอบหมายหน้าที่ของส่วนงานต่าง ๆ ที่มีอยู่ แล้วภายในองค์กร จึงเป็นเรื่องภายในองค์กรที่ผู้เกี่ยวข้องสามารถพิจารณาดำเนินการ ให้เป็นไปตามพระราชบัญญัติดังกล่าวได้ตามความเหมาะสม

๕

ประเด็นหารือที่ ๓ มาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคล ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังนั้น หากพิจารณาจากข้อเท็จจริงและลักษณะการดำเนินการแล้ว ในบริบทของกฎหมาย นี้ หากองค์กรที่เป็นนิติบุคคลมีอำนาจตัดสินใจหรือดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล องค์กรดังกล่าวจะถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๖ แห่งพระราชบัญญัติดังกล่าว โดยไม่ต้องมีการแต่งตั้งบุคคลใดเพื่อปฏิบัติ หน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอีก โดยส่วนงาน หน่วยงาน ตลอดจนพนักงาน และบุคลากรขององค์กรจะไม่มีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผล ข้อมูลส่วนบุคคลแยกต่างหากจากองค์กร ดังนั้น เมื่อมาตรา ๑๖ แห่งพระราชบัญญัติ ส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม พ.ศ. ๒๕๔๓ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติ ส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม (ฉบับที่ ๒) พ.ศ. ๒๕๖๑ กำหนดให้ สสว. เป็นนิติบุคคล และมีวัตถุประสงค์ในการดำเนินงานตามที่กำหนด สสว. จึงเป็น “ผู้ควบคุม ข้อมูลส่วนบุคคล” ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ประเด็นหารือที่ ๔ มาตรา ๕ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูล ส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ไม่ว่าการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล นั้น ได้กระทำในหรือนอกราชอาณาจักรก็ตาม และใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่นอกราชอาณาจักรที่เก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ในการดำเนินกิจกรรม การเสนอสินค้าหรือบริการให้แก่เจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร และการเฝ้าติดตามพฤติกรรมของเจ้าของข้อมูลส่วนบุคคลที่เกิดขึ้นในราชอาณาจักร

การที่ สสว. ในฐานะนิติบุคคลซึ่งอยู่ในราชอาณาจักร ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลของผู้ประกอบการจากประเทศสมาชิกอาเซียน สสว. จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งอยู่ในประเทศไทย ดังนั้น สสว. จึงมีหน้าที่ต้อง ปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัติดังกล่าว

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้นำหลักเกณฑ์และวิธีการ ที่กำหนดใน GDPR มาใช้เป็นแนวทางในการบัญญัติกฎหมายดังกล่าว แต่มิได้นำมาบัญญัติ เป็นข้อกำหนดทั้งหมด เช่น กรณีการเป็นผู้ควบคุมข้อมูลส่วนบุคคลร่วม (Joint Controller) ไม่มีบัญญัติในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การที่ สสว. มีการลงนามในข้อตกลงการเป็นผู้ควบคุมข้อมูลส่วนบุคคลร่วม (General

Data Protection Regulation (GDPR) Joint Controller Agreement of ASEAN Access) จึงจำเป็นต้องศึกษาบริบทกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรปหรือกฎหมายของประเทศที่ต้องการให้ข้อตกลงนี้มีผลใช้บังคับว่าข้อตกลงดังกล่าวก่อให้เกิดสิทธิและหน้าที่ตามกฎหมาย เพียงใด ทั้งนี้ เนื่องจากมีประเทศสมาชิกอาเซียนบางประเทศยังไม่มีการบังคับใช้กฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและในกรณีที่ต้องด้วยเงื่อนไขตามมาตรา ๕ ข้างต้น ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กำหนดไว้ในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วยโดยเฉพาะในกรณีที่เงื่อนไขภายใต้ข้อตกลงข้างต้นมีการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ซึ่ง สสว. มีหน้าที่ต้องปฏิบัติให้สอดคล้องกับกฎหมายในเรื่องการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามที่กำหนดไว้ในมาตรา ๒๘ หรือมาตรา ๒๙ แห่งพระราชบัญญัติดังกล่าวอีกด้วย

ภายใต้บริบทของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ Joint Controller Agreement อาจมีสภาพบังคับระหว่างคู่สัญญาในฐานะตัวการร่วมตามประมวลกฎหมายแพ่งและพาณิชย์ (ขึ้นอยู่กับรายละเอียดของข้อตกลง) โดย สสว. อาจพิจารณา นำแนวทางในการจัดทำข้อตกลงการแบ่งปันข้อมูล (Data Sharing Agreement) ตาม ICO Data Sharing: a Code of Practice ของ Information Commissioner’s Office (ICO) ของสหราชอาณาจักร (United Kingdom) ที่เผยแพร่ในเว็บไซต์ https://ico.org.uk/for-organisations/guide-to-data-protection/ico-codes-of-practice/data-sharing-code/ มาเป็นแนวทาง เพื่อกำหนดเงื่อนไขของ Joint Controller Agreement ให้สอดคล้องกับ GDPR ได้ และต้องกำหนดให้สอดคล้องกับหน้าที่ของ สสว. ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย

เรื่องที่ ๒ แพทยสภาพอหารือการกำหนดข้อมูลส่วนบุคคลของใบรับรองแพทย์

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๒๔ มาตรา ๒๖ (๕) (ก) มาตรา ๒๗ วรรคหนึ่ง มาตรา ๓๐ และมาตรา ๓๗

2. พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. ๒๕๕๐
   มาตรา ๗

3. พระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. ๒๕๒๕
   มาตรา ๗

5

ข้อหาคือ

แพทยสภา ขอหารือการกำหนดข้อมูลส่วนบุคคลของใบรับรองแพทย์ โดยแจ้งว่า แพทยสภา ในฐานะองค์กรสภาวิชาชีพที่มีวัตถุประสงค์ตามมาตรา ๗ แห่งพระราชบัญญัติ วิชาชีพเวชกรรม พ.ศ. ๒๕๒๕ ทำหน้าที่ในการกำหนดและควบคุมมาตรฐานทางวิชาการ ในการประกอบวิชาชีพเวชกรรม ซึ่งแพทยสภาได้มีการกำหนดแบบฟอร์มใบรับรองแพทย์ ที่ได้รับการรับรองจากมติคณะกรรมการแพทยสภา ประกอบกับพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มีผลบังคับใช้ตั้งแต่วันที่ ๑ มิถุนายน ๒๕๖๕ เป็นต้นมา โดยแบบฟอร์มใบรับรองแพทย์ที่แพทยสภากำหนดดังกล่าว มี ๒ แบบ คือ (๑) ใบรับรอง แพทย์สำหรับการตรวจสุขภาพ (๒) ใบรับรองแพทย์สำหรับใบอนุญาตขับรถ โดยใบรับรอง แพทย์ดังกล่าวจะแบ่งเป็น ๒ ส่วน คือ ส่วนที่ ๑ ของผู้ขอรับใบรับรองสุขภาพ และส่วนที่ ๒ ของแพทย์ ซึ่งในส่วนที่ ๑ จะปรากฏข้อมูลส่วนบุคคล เช่น ชื่อ-นามสกุล ที่อยู่ที่สามารถ ติดต่อได้ รวมทั้งโรคประจำตัว เป็นต้น โดยเหตุผลของการมีส่วนที่ ๑ เนื่องจากผู้ป่วย ในบางกรณีเข้ารับการตรวจหรือสถานพยาบาลที่ออกใบรับรองแพทย์เป็นครั้งแรก จึงไม่มีประวัติโรคประจำตัวเดิมในเวชระเบียน และต้องให้ผู้ป่วยกรอกและเป็นผู้ยืนยัน ประวัติดังกล่าวด้วยตนเอง แพทยสภาจึงขอหารือในประเด็น ดังนี้

๑. ในส่วนที่ ๑ ของแบบฟอร์มใบรับรองแพทย์สำหรับการตรวจสุขภาพ ฉบับปี พ.ศ. ๒๕๖๑ และแบบฟอร์มใบรับรองแพทย์สำหรับใบอนุญาตขับรถ ฉบับปี พ.ศ. ๒๕๖๔ มีรูปแบบให้ผู้ป่วยกรอกข้อมูลของตนเองที่เป็นข้อมูลส่วนบุคคลอ่อนไหว และลงนามรับรอง ได้หรือไม่ การดำเนินการดังกล่าวเป็นการขัดต่อพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ อย่างไร

๒. การเปิดเผยข้อมูลดังกล่าวต่อบุคคลที่สามารถโดยเจ้าของข้อมูลส่วนบุคคล สามารถกระทำได้มากน้อยเพียงใด

๓. ข้อเสนอแนะอื่น ๆ ของใบรับรองแพทย์ที่แพทยสภากำหนด

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับ การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครอง ข้อมูลส่วนบุคคลได้พิจารณาข้อหารือของแพทยสภา โดยมีผู้แทนแพทยสภาเป็นผู้ชี้แจง ข้อเท็จจริงแล้ว ดังนี้

ตามข้อหารือประเด็นที่ ๑ โดยทั่วไป สถานพยาบาล (หรือนิติบุคคล ที่มีสถานพยาบาลในสังกัด) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถเก็บรวบรวมข้อมูล สุขภาพในการให้บริการสุขภาพแก่ผู้ป่วยได้ ไม่ว่าจะเป็นการบันทึกในเวชระเบียน

๗

๘

หรือเอกสารอื่นที่เกี่ยวข้อง หรือบันทึกในรูปแบบอิเล็กทรอนิกส์ในระบบสารสนเทศของสถานพยาบาล เนื่องจากเป็นการจำเป็นในการปฏิบัติตามกฎหมายหรือระเบียบที่เกี่ยวข้องกับการรักษาพยาบาลเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมินความสามารถในการทำงานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ หรือเป็นการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ในกรณีที่ไม่ใช่การปฏิบัติตามกฎหมายและข้อมูลส่วนบุคคลอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือผู้มีหน้าที่รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมาย ตามนัยมาตรา ๒๖ (๕) (ก) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำหรับการกำหนดในแบบฟอร์มใบรับรองแพทย์สำหรับการตรวจสุขภาพฉบับปี พ.ศ. ๒๕๖๑ และแบบฟอร์มใบรับรองแพทย์สำหรับใบอนุญาตขับรถ ฉบับปี พ.ศ. ๒๕๖๔ ของแพทยสภา ให้ผู้ขอใบรับรองแพทย์/ใบรับรองสุขภาพ ต้องกรอกและยืนยันประวัติสุขภาพ เช่น โรคประจำตัว อุบัติเหตุและการผ่าตัด ประวัติที่เคยเข้ารับการรักษาในโรงพยาบาล และประวัติอื่นที่สำคัญ จะสามารถดำเนินการได้หรือไม่ อย่างไร นั้น คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ เห็นว่า การออกใบรับรองแพทย์/ใบรับรองสุขภาพดังกล่าว ถือเป็นส่วนหนึ่งของการดำเนินการตามมาตรา ๒๖ (๕) (ก) ด้วยจึงสามารถเก็บรวบรวมข้อมูลส่วนบุคคลนั้นได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ หรือมาตรา ๒๖ แต่จะเก็บรวบรวมข้อมูลส่วนบุคคลมากน้อยเพียงใด จะต้องพิจารณาจากวัตถุประสงค์และเหตุผลความจำเป็นในการขอใช้ใบรับรองแพทย์/ใบรับรองสุขภาพของเจ้าของข้อมูลส่วนบุคคล ประกอบกับวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลในใบรับรองแพทย์/ใบรับรองสุขภาพของผู้ควบคุมข้อมูลส่วนบุคคลที่เกี่ยวข้องเป็นกรณี ๆ ไปว่าการออกใบรับรองแพทย์/ใบรับรองสุขภาพโดยแพทย์ตามวัตถุประสงค์ของการใช้ใบรับรองแพทย์/ใบรับรองสุขภาพดังกล่าวนั้น จะต้องใช้ข้อมูลใดในการพิจารณาบ้าง และจะอาศัยข้อมูลจากผู้ขอในฐานะเจ้าของข้อมูลส่วนบุคคลโดยตรงหรือจากแหล่งใด เช่น ใบรับรองแพทย์สำหรับใบอนุญาตขับรถ มีความจำเป็นต้องระบุประวัติสุขภาพเกี่ยวกับโรคลมชัก เนื่องจากเป็นโรคประจำตัวหรือสภาวะของโรคที่อาจเป็นอันตรายขณะขับรถตามที่แพทยสภากำหนดตามกฎหมาย จึงเป็นกรณีที่มีความจำเป็นในการพิจารณาออกใบรับรองแพทย์/ใบรับรองสุขภาพในกรณีดังกล่าว และเป็นไปตามเงื่อนไขที่กรมการขนส่งทางบกกำหนดนอกจากนี้ ในบางกรณี อาจไม่ปรากฏประวัติสุขภาพเกี่ยวกับโรคลมชักหรือข้อมูลสุขภาพอื่นที่จำเป็นต้องใช้ในการออกใบรับรองแพทย์/ใบรับรองสุขภาพ ในเวชระเบียนหรือระบบสารสนเทศที่สถานพยาบาลเก็บรวบรวมไว้ จึงจำเป็นต้องอาศัยข้อมูลที่ผู้ขอใบรับรองแพทย์/

๕

ใบรับรองสุขภาพแจ้ง และต้องให้ผู้ขอนั้นกรอกข้อมูลในแบบฟอร์มด้วย ไม่เช่นนั้นอาจทำให้แพทย์ออกใบรับรองแพทย์/ใบรับรองสุขภาพที่มีข้อมูลไม่สอดคล้องกับข้อเท็จจริงของผู้ขอและอาจเกิดปัญหาในการนำใบรับรองแพทย์/ใบรับรองสุขภาพไปใช้ได้ ดังนั้น สถานพยาบาลที่เกี่ยวข้องและแพทยสภาจึงควรพิจารณากำหนดข้อมูลส่วนบุคคลที่ผู้ขอใบรับรองแพทย์/ใบรับรองสุขภาพต้องกรอกในแบบฟอร์มตามความจำเป็นและเหมาะสมแก่วัตถุประสงค์ในการขอใช้ใบรับรองแพทย์/ใบรับรองสุขภาพ โดยเป็นไปตามมาตรฐานวิชาชีพที่เกี่ยวข้องและหากเห็นสมควรกำหนดให้ผู้ขอใบรับรองแพทย์/ใบรับรองสุขภาพยินยันข้อมูลโดยลงนามรับรองในแบบฟอร์ม ก็สามารถพิจารณาดำเนินการให้เป็นไปตามกฎหมายที่เกี่ยวข้องได้ตามความเหมาะสม

ตามข้อหารือประเด็นที่ ๒ คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ เห็นว่ามาตรา ๗ แห่งพระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. ๒๕๕๐ บัญญัติว่า “ข้อมูลด้านสุขภาพของบุคคล เป็นความลับส่วนบุคคล ผู้ใดจะนำไปเปิดเผยในประการที่น่าจะทำให้บุคคลนั้นเสียหายไม่ได้ เว้นแต่การเปิดเผยนั้นเป็นไปตามความประสงค์ของบุคคลนั้นโดยตรงหรือมีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผย...” ซึ่งบทบัญญัติดังกล่าวมีวัตถุประสงค์เพื่อไม่ให้ผู้ที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคล ซึ่งได้ล่วงรู้ข้อมูลด้านสุขภาพของบุคคลนำข้อมูลนั้นไปเปิดเผยต่อผู้อื่น นอกจากนี้ มาตรา ๒๖ ประกอบมาตรา ๒๗ วรรคหนึ่งแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ห้ามผู้ควบคุมข้อมูลส่วนบุคคลเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพโดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่จะเป็นกรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอม แต่ไม่ได้ห้ามหรือกำหนดหลักเกณฑ์หรือเงื่อนไขในกรณีที่เจ้าของข้อมูลส่วนบุคคลมีความประสงค์ที่จะเปิดเผยข้อมูลสุขภาพของตนเองผู้อื่น ในทางกลับกัน มาตรา ๓๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติให้เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตนซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลจึงย่อมสามารถนำข้อมูลส่วนบุคคลที่เกี่ยวกับตนรวมถึงข้อมูลสุขภาพ ไปดำเนินการอย่างใดต่อไปก็ได้ ดังนั้น การเปิดเผยข้อมูลส่วนบุคคลรวมถึงข้อมูลสุขภาพ ในใบรับรองแพทย์/ใบรับรองสุขภาพต่อบุคคลอื่นโดยเจ้าของข้อมูลส่วนบุคคลนั้นเอง (หรือผู้มีอำนาจกระทำการแทน) จึงสามารถกระทำได้โดยไม่ขัดต่อพระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. ๒๕๕๐ และพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ตามข้อหารือประเด็นที่ ๓ คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ มีข้อสังเกตว่า เนื่องจากข้อมูลในใบรับรองแพทย์/ใบรับรองสุขภาพเป็นข้อมูลส่วนบุคคลของผู้ขอโดยเฉพาะข้อมูลสุขภาพที่อาจเกิดผลกระทบต่อสิทธิและเสรีภาพของผู้ขอนั้นได้ บุคคล

หรือหน่วยงานที่นำใบรับรองแพทย์/ใบรับรองสุขภาพดังกล่าวไปใช้ หรือมีการเก็บรวบรวม ข้อมูลส่วนบุคคลจากใบรับรองแพทย์/ใบรับรองสุขภาพดังกล่าวจึงต้องจัดให้มีมาตรการ รักษาความมั่นคงปลอดภัยและการคุ้มครองข้อมูลส่วนบุคคลดังกล่าวให้มีความเหมาะสม และเป็นไปตามวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นด้วย ตามมาตรา ๓๗ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในการดำเนินการ ดังกล่าวแพทยสภาอาจพิจารณาระบุคำแนะนำในแบบฟอร์มใบรับรองแพทย์/ใบรับรอง สุขภาพ หรือกำหนดแนวปฏิบัติหรือคำแนะนำในการใช้ใบรับรองแพทย์/ใบรับรองสุขภาพ เพื่อให้บุคคลหรือหน่วยงานที่นำใบรับรองแพทย์/ใบรับรองสุขภาพที่ได้รับจากผู้ขอ ใบรับรองแพทย์/ใบรับรองสุขภาพไปใช้ถือปฏิบัติได้ตามที่เห็นสมควร

เรื่องที่ ๓ สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ขอคำปรึกษาเกี่ยวกับการ เก็บรวบรวม ใช้ข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพ ในการเบิกค่า รักษาพยาบาลของเจ้าหน้าที่องค์การมหาชน

ข้อกฎหมาย

๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๑๖ (๑๐) มาตรา ๑๙ วรรคสี่ มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๕ วรรคหนึ่ง (๒)
มาตรา ๒๖ (๕) (ค) มาตรา ๒๗ วรรคหนึ่ง และมาตรา ๓๗ (๑)

๒. พระราชกฤษฎีกาจัดตั้งสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) พ.ศ. ๒๕๖๑
มาตรา ๑๙ (๓) (ข)

๓. พระราชบัญญัติองค์การมหาชน พ.ศ. ๒๕๔๒ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติ องค์การมหาชน (ฉบับที่ ๒) พ.ศ. ๒๕๕๙
มาตรา ๑๙/๑

๔. พระราชกฤษฎีกาเงินสวัสดิการเกี่ยวกับการรักษาพยาบาล พ.ศ. ๒๕๕๓
มาตรา ๔ และมาตรา ๕

๕. พระราชบัญญัติกำหนดหลักเกณฑ์เกี่ยวกับการจ่ายเงินบางประเภทตามงบประมาณ รายจ่าย พ.ศ. ๒๕๑๘

๖. พระราชบัญญัติประกันสังคม พ.ศ. ๒๕๓๓ และที่แก้ไขเพิ่มเติม

๗. พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. ๒๕๔๕

๘. พระราชบัญญัติคุ้มครองผู้ประสบภัยจากรถ พ.ศ. ๒๕๓๕ และที่แก้ไขเพิ่มเติม

ข้อหารือ

สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) หรือ สพร. ขอหารือเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพ ในการเบิกค่า

๑๐

รักษาพยาบาลของเจ้าหน้าที่ สพร. โดย สพร. จัดตั้งขึ้นตามพระราชกฤษฎีกาจัดตั้ง สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) พ.ศ. ๒๕๖๑ จัดเป็นองค์การมหาชน ภายใต้พระราชบัญญัติองค์การมหาชน พ.ศ. ๒๕๔๒ และ (ฉบับที่ ๒) พ.ศ. ๒๕๕๙ มีฐานะ เป็นหน่วยงานของรัฐ โดยการเบิกสวัสดิการเกี่ยวกับการรักษาพยาบาลของเจ้าหน้าที่ สพร. และบุคคลในครอบครัว เป็นไปตามระเบียบคณะกรรมการสำนักงานพัฒนารัฐบาลดิจิทัล ว่าด้วยการรักษาพยาบาลและการตรวจสอบสุขภาพ พ.ศ. ๒๕๖๑ ซึ่งเจ้าหน้าที่ที่ประสงค์จะใช้ สิทธิเบิกสวัสดิการเกี่ยวกับการรักษาพยาบาล สำหรับตนเองและครอบครัว (บิดา - มารดา , สามี - ภรรยา และบุตร) ตามกฎหมายของเจ้าหน้าที่ สพร. จะต้องกรอกแบบฟอร์ม ใบเบิกเงินสวัสดิการเกี่ยวกับการรักษาพยาบาลสำหรับเจ้าหน้าที่และครอบครัว โดยระบุ ข้อมูลดังต่อไปนี้ พร้อมแนบใบเสร็จรับเงินและใบรับรองแพทย์ของตนเองหรือครอบครัว เพื่อประกอบการเบิกด้วย

1. ชื่อและนามสกุล ของเจ้าหน้าที่หรือครอบครัว
2. โรคที่เข้ารับการรักษา
3. ชื่อสถานพยาบาล
4. จำนวนเงิน

ทั้งนี้ ในการเบิกสวัสดิการเกี่ยวกับการรักษาพยาบาลของเจ้าหน้าที่และครอบครัว ดังกล่าว สพร. จำเป็นต้องเก็บรวบรวม ใช้ ข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพ ของเจ้าหน้าที่และครอบครัวเพื่อประกอบการพิจารณาอนุมัติการใช้สิทธิเบิกสวัสดิการ เกี่ยวกับการรักษาพยาบาลสำหรับเจ้าหน้าที่และครอบครัวตามระเบียบคณะกรรมการ สำนักงานพัฒนารัฐบาลดิจิทัล ว่าด้วยการรักษาพยาบาลและตรวจสอบสุขภาพ พ.ศ. ๒๕๖๑ สพร. จึงขอหารือว่า การเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลที่เป็นข้อมูล สุขภาพของเจ้าหน้าที่ สพร. และครอบครัว เพื่อประกอบการพิจารณาอนุมัติการใช้สิทธิเบิก สวัสดิการเกี่ยวกับการรักษาพยาบาลสำหรับเจ้าหน้าที่ สพร. และครอบครัวนั้น สพร. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล จำเป็นต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าหน้าที่ สพร. และครอบครัว หรือไม่ อย่างไร

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐ เพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าว ประกอบกับได้ หารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในการประชุมครั้งที่ ๖/๒๕๖๖ เมื่อวันที่ ๒๖ มิถุนายน ๒๕๖๖ เพื่อตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๑๖ (๑๐) แล้ว

๑๑

๑๒

เห็นว่า ข้อมูลส่วนบุคคลเกี่ยวกับโรคที่เข้ารับการรักษาและรายละเอียดเกี่ยวกับการรักษาพยาบาล ในใบเบิกเงินสวัสดิการเกี่ยวกับการรักษาพยาบาลและเอกสารที่ใช้ประกอบการเบิกเงินสวัสดิการ เช่น ใบรับรองแพทย์และใบเสร็จรับเงิน เป็นข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพตามนัยมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวของเจ้าหน้าที่ สพร. และบุคคลในครอบครัวโดย สพร. เพื่อใช้ประกอบการเบิกจ่ายค่าใช้จ่ายที่เป็นสวัสดิการเกี่ยวกับการรักษาพยาบาลให้กับบุคลากรของหน่วยงานของตนและบุคคลในครอบครัว ซึ่งเป็นผู้มีสิทธิตามระเบียบคณะกรรมการสำนักงานพัฒนารัฐบาลดิจิทัล ว่าด้วยการรักษาพยาบาลและตรวจสอบสุขภาพ พ.ศ. ๒๕๖๑ ซึ่งออกโดยอาศัยอำนาจตามความในมาตรา ๑๙ (๓) (ข) แห่งพระราชกฤษฎีกาจัดตั้งสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) พ.ศ. ๒๕๖๑ และมาตรา ๑๙/๑ แห่งพระราชบัญญัติองค์การมหาชน พ.ศ. ๒๕๔๒ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติองค์การมหาชน (ฉบับที่ ๒) พ.ศ. ๒๕๕๙ ถือว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับสวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย ตามนัยมาตรา ๒๖ (๕) (ค) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จึงได้รับยกเว้นไม่ต้องขอความยินยอมโดยขัดแจ้งจากเจ้าหน้าที่ สพร. ผู้ขอเบิกเงินสวัสดิการหรือบุคคลในครอบครัวก่อนแต่อย่างใด

สำหรับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพของบุคคลในครอบครัวของเจ้าหน้าที่ สพร. แม้จะเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง แต่ สพร. สามารถเก็บรวบรวม ใช้และเปิดเผยข้อมูลดังกล่าวได้ตามนัยมาตรา ๒๖ (๕) (ค) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง เพื่อเบิกเงินสวัสดิการของบุคคลในครอบครัวของเจ้าหน้าที่ สพร. ดังกล่าวจึงสามารถดำเนินการได้โดยไม่ต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอมจากบุคคลในครอบครัวของเจ้าหน้าที่ สพร. ตามมาตรา ๒๕ วรรคหนึ่ง (๒) แต่อย่างใด

อนึ่ง คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในการประชุมครั้งที่ ๖/๒๕๖๖ เมื่อวันที่ ๒๖ มิถุนายน ๒๕๖๖ ได้ตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๑๖ (๑๐) และมีความเห็นเพิ่มเติมว่า มาตรา ๒๖ (๕) (ค) ครอบคลุมการเก็บรวบรวมข้อมูลสุขภาพที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับสวัสดิการ

๑๓

เกี่ยวกับการรักษาพยาบาล สวัสดิการสุขภาพ หรือสิทธิได้รับบริการทางการแพทย์ และสาธารณสุขขั้นพื้นฐาน ทั้งสำหรับลูกจ้างในภาคเอกชนตามกฎหมายว่าด้วย การประกันสังคม บุคคลที่มีสิทธิได้รับบริการสาธารณสุขตามกฎหมายว่าด้วยหลักประกัน สุขภาพแห่งชาติ และข้าราชการ ลูกจ้างประจำ และบุคคลอื่นที่เป็น “ผู้มีสิทธิ” ซึ่งมีสิทธิได้รับ เงินสวัสดิการเกี่ยวกับการรักษาพยาบาลสำหรับตนเองและบุคคลในครอบครัวของตน ตามพระราชกฤษฎีกาเงินสวัสดิการเกี่ยวกับการรักษาพยาบาล พ.ศ. ๒๕๕๓ และที่แก้ไข เพิ่มเติม ซึ่งออกโดยอาศัยอำนาจตามความในกฎหมายว่าด้วยการกำหนดหลักเกณฑ์ เกี่ยวกับการจ่ายเงินบางประเภทตามงบประมาณรายจ่าย นอกจากนี้ ยังครอบคลุม ถึงผู้ประสบภัยตามกฎหมายว่าด้วยการคุ้มครองผู้ประสบภัยจากรถ ซึ่งเป็นการประกันภัย ภาคบังคับเพื่อคุ้มครองผู้ประสบภัยจากรถด้วย ดังนั้น คำว่า “สวัสดิการเกี่ยวกับ การรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย” ตามมาตรา ๒๖ (๕) (ค) จึงย่อมรวมถึง สวัสดิการเกี่ยวกับการรักษาพยาบาลหรือสวัสดิการสุขภาพของข้าราชการ เจ้าหน้าที่ พนักงาน ลูกจ้าง และผู้ปฏิบัติงานประเภทต่าง ๆ ของส่วนราชการ องค์การมหาชน และหน่วยงานของรัฐทุกประเภทที่มีหน้าที่และอำนาจตามกฎหมายอื่นในการจัดสวัสดิการ เกี่ยวกับการรักษาพยาบาลหรือสวัสดิการสุขภาพแก่บุคลากรของตน ตลอดจนบุคคล ในครอบครัวของผู้นั้นด้วย

อย่างไรก็ตาม ในกรณีที่หน่วยงานของรัฐดังกล่าวจัดสวัสดิการเกี่ยวกับ การรักษาพยาบาลหรือสวัสดิการสุขภาพโดยใช้การประกันภัยแบบกลุ่ม (group insurance) และจะต้องเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพให้กับบริษัท ตามกฎหมายว่าด้วยการประกันชีวิตหรือกฎหมายว่าด้วยการประกันวินาศภัย (“บริษัท ประกันภัย”) ในฐานะที่บริษัทประกันภัยดังกล่าวเป็นผู้ควบคุมข้อมูลส่วนบุคคล เพื่อการเบิกจ่ายค่าใช้จ่ายที่เป็นสวัสดิการเกี่ยวกับการรักษาพยาบาลหรือสวัสดิการสุขภาพ ดังกล่าว การเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพดังกล่าวให้กับบริษัทประกันภัย และการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับสุขภาพของบริษัทประกันภัยนั้น จะไม่ได้รับ ยกเว้นการขอความยินยอมโดยขัดแจ้งตามมาตรา ๒๖ (๕) (ค) แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และจะต้องได้รับความยินยอมโดยขัดแจ้งจากเจ้าของข้อมูล ส่วนบุคคลตามมาตรา ๒๖ เนื่องจากเป็นการเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ ให้กับบุคคลอื่น (บริษัทประกันภัย) ที่มิใช่เป็นการจำเป็นในการปฏิบัติตามกฎหมาย โดยตรง แต่การขอความยินยอมในกรณีการจัดสวัสดิการเกี่ยวกับการรักษาพยาบาล หรือสวัสดิการสุขภาพ โดยใช้การประกันภัยแบบกลุ่ม (group insurance) ดังกล่าว อาจถือเป็นส่วนหนึ่งของการจัดสวัสดิการที่จำเป็นของหน่วยงานของรัฐที่เป็นผู้ควบคุม ข้อมูลส่วนบุคคลได้ ดังนั้น หากหน่วยงานนั้นเห็นว่ามีความจำเป็นและสมควร อาจกำหนด

๑๔

เงื่อนไขว่าในการเข้าทำสัญญาเป็นบุคลากรของหน่วยงาน หรือในการขอเบิกเงินสวัสดิการเกี่ยวกับการรักษาพยาบาลหรือสวัสดิการสุขภาพแต่ละครั้ง บุคลากรผู้มีสิทธิตามสวัสดิการดังกล่าว หรือบุคคลในครอบครัว จะต้องให้ความยินยอมเพื่อการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลให้กับ/โดยบริษัทประกันภัย เนื่องจากมีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาหรือการเบิกจ่ายเงินสวัสดิการนั้น ซึ่งเป็นไปตามมาตรา ๑๙ วรรคสี่ได้

คณะอนุกรรมการเฉพาะกิจฯ มีข้อสังเกตเพิ่มเติมว่า สพร. จะต้องปฏิบัติหน้าที่ตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายอื่นกำหนดในส่วนที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลให้ครบถ้วนด้วย โดยเฉพาะการเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตามมาตรา ๒๒ การแจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) ตามมาตรา ๒๓ และการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามที่กำหนดในมาตรา ๓๗ (๑) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕

เรื่องที่ ๔ สำนักงาน ป.ป.ช. ขอให้ตีความและวินิจฉัยชี้ขาดปัญหาการบังคับใช้

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ (๕) มาตรา ๔ วรรคสาม มาตรา ๖ มาตรา ๒๓ มาตรา ๒๔ มาตรา ๒๖
   มาตรา ๔๑ และมาตรา ๙๓

2. พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต
   พ.ศ. ๒๕๖๑
   มาตรา ๒๘

3. พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   พ.ศ. ๒๕๖๓ (สิ้นผลใช้บังคับแล้ว)

4. พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (ฉบับที่ ๒)
   พ.ศ. ๒๕๖๔ (สิ้นผลใช้บังคับแล้ว)

๑๕

ข้อหารือ

สำนักงาน ป.ป.ช. ขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตีความและวินิจฉัยชี้ขาดปัญหาการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยมีประเด็นดังนี้

1. การดำเนินงานตามกระบวนการยุติธรรมทางอาญา หมายความรวมถึง การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลเพื่อนำไปใช้ในกระบวนการที่นำไปสู่การลงโทษ ผู้กระทำความผิดซึ่งมีโทษทางอาญาหรือทางวินัยด้วยหรือไม่ อย่างไร

2. ภารกิจของคณะกรรมการ ป.ป.ช. ตามมาตรา ๒๘ แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. ๒๕๖๑ เป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญาตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๔ (๕) หรือไม่ อย่างไร

3. กรณีหากคณะกรรมการ ป.ป.ช. ไม่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำนักงาน ป.ป.ช. ซึ่งมีหน้าที่และอำนาจรับผิดชอบงานธุรการ และดำเนินการเพื่อให้คณะกรรมการ ป.ป.ช. บรรลุภารกิจและหน้าที่ตามที่กฎหมายกำหนดไว้ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสำนักงาน ป.ป.ช. ได้รับการยกเว้นไม่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วยหรือไม่ อย่างไร

4. กรณีหากสำนักงาน ป.ป.ช. ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำนักงาน ป.ป.ช. ต้องดำเนินการกำหนด “ผู้ควบคุมข้อมูลส่วนบุคคล” “ผู้ประมวลผลข้อมูลส่วนบุคคล” และ “เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” หรือไม่ และในลักษณะใด

5. สำนักงาน ป.ป.ช. ต้องกำหนดนโยบายคุ้มครองข้อมูลส่วนบุคคลกับข้อมูลที่ได้รับยกเว้นตามมาตรา ๔ หรือไม่ อย่างไร

6. ข้อมูลส่วนบุคคลทุกข้อมูลที่หน่วยงานรัฐจัดเก็บ และข้อมูลที่ได้รับการยกเว้นตามมาตรา ๔ ต้องมีฐานการประมวลตามมาตรา ๒๔ หรือไม่

7. ขอให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเผยแพร่นโยบายในการคุ้มครองข้อมูลส่วนบุคคลเพื่อเป็นแนวทางแก่หน่วยงานอื่น

8. ปัจจุบันมีพระราชกฤษฎีกายกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลหรือไม่ อย่างไร

๙. ขอความอนุเคราะห์จัดส่งรายงานการประชุมของคณะกรรมาธิการวิสามัญ พิจารณาร่างพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ... เพื่อใช้ประกอบการ ดำเนินการของสำนักงาน ป.ป.ช.

ความเห็น

คณะกรรมาธิการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อ หารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้พิจารณาประเด็นข้อหารือของสำนักงาน ป.ป.ช. แล้ว มีความเห็นพร้อมข้อสังเกต ดังนี้

กรณีตามข้อหารือข้อ ๑ เห็นว่า การดำเนินงานตามกระบวนการยุติธรรมทางอาญา เป็นการดำเนินงานของเจ้าหน้าที่เพื่อกำหนดโทษที่จะลงแก่ผู้กระทำความผิดตามประมวล กฎหมายอาญา กรณีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อนำไปใช้ ในกระบวนการที่นำไปสู่การลงโทษผู้กระทำความผิดซึ่งมีโทษทางอาญา ถือเป็น การดำเนินงานตามกระบวนการยุติธรรมทางอาญา ซึ่งได้รับการยกเว้นตามมาตรา ๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้องปฏิบัติตามบทบัญญัติ แห่งพระราชบัญญัติดังกล่าว แต่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูล ส่วนบุคคลให้เป็นไปตามมาตรฐานตามมาตรา ๔ วรรคสาม แห่งพระราชบัญญัติดังกล่าว ส่วนกรณีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลเพื่อนำไปใช้ในกระบวนการที่นำไปสู่ การลงโทษผู้กระทำความผิดซึ่งมีโทษทางวินัยที่ไม่เกี่ยวเนื่องกับการกระทำผิดทางอาญา ไม่ถือเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา จึงไม่ได้รับการยกเว้น ตามมาตรา ๔ (๕) แห่งพระราชบัญญัติดังกล่าว โดยการเก็บรวบรวมข้อมูลส่วนบุคคล ต้องปฏิบัติตามมาตรา ๒๔ และมาตรา ๒๖ แห่งพระราชบัญญัติดังกล่าว

กรณีตามข้อหารือข้อ ๒ เห็นว่า หากภารกิจใดของคณะกรรมาธิการ ป.ป.ช. ตามมาตรา ๒๘ แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกัน และปราบปรามการทุจริต พ.ศ. ๒๕๖๑ เป็นการใช้อำนาจและหน้าที่ในการสอบสวน เช่นเดียวกับพนักงานสอบสวนตามประมวลกฎหมายวิธีพิจารณาความอาญาเพื่อกำหนด โทษที่จะลงแก่ผู้กระทำความผิดตามประมวลกฎหมายอาญา การดำเนินงานดังกล่าวถือ เป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา ซึ่งได้รับการยกเว้นตามมาตรา ๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จึงไม่ต้องปฏิบัติตามบทบัญญัติ แห่งพระราชบัญญัติดังกล่าว แต่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูล ส่วนบุคคลให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมาธิการคุ้มครองข้อมูลส่วนบุคคลประกาศ กำหนด สำหรับการดำเนินการอื่น ๆ ของคณะกรรมาธิการ ป.ป.ช. ที่มิใช่กระบวนการยุติธรรม

๑๖

๑๗

ทางอาญา คณะกรรมการฯ มีหน้าที่ต้องปฏิบัติตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดไว้

กรณีตามข้อหารือข้อ ๓ เห็นว่า กรณีหากการดำเนินกิจกรรมของสำนักงาน ป.ป.ช. เป็นการใช้หน้าที่และอำนาจเพื่อดำเนินงานตามกระบวนการยุติธรรมทางอาญา การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสำนักงาน ป.ป.ช. จะได้รับการยกเว้นตามมาตรา ๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่ไม่ต้องปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัติดังกล่าว แต่ต้องปฏิบัติตามมาตรา ๔ วรรคสาม โดยจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด อย่างไรก็ตาม สำหรับการดำเนินกิจกรรมของสำนักงาน ป.ป.ช. ที่เป็นการใช้หน้าที่และอำนาจเพื่อดำเนินงานธุรกิจอื่นซึ่งไม่เกี่ยวกับการดำเนินงานตามกระบวนการยุติธรรมทางอาญา จะไม่ได้รับการยกเว้นตามมาตรา ๔ (๕) แห่งพระราชบัญญัติดังกล่าว ดังนั้น การดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสำนักงาน ป.ป.ช. ในส่วนอื่นนั้นต้องปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัติดังกล่าว

กรณีตามข้อหารือข้อ ๔ เห็นว่า มาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดให้บุคคลหรือนิติบุคคลซึ่งมีอำนาจตัดสินใจหรือดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลและกำหนดให้บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ดังนั้น หากสำนักงาน ป.ป.ช. ซึ่งเป็นนิติบุคคล มีการดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในหน้าที่และอำนาจของตน สำนักงานฯ จะถือเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” แล้ว โดยไม่ต้องกำหนดบุคคลใดของสำนักงานฯ เป็นผู้ควบคุมข้อมูลส่วนบุคคลอีก สำหรับบุคคลหรือนิติบุคคลภายนอกซึ่งสำนักงานฯ กำหนดให้ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของสำนักงานฯ ในฐานะที่สำนักงานฯ เป็นผู้ควบคุมข้อมูลส่วนบุคคล ถือว่าเป็น “ผู้ประมวลผลข้อมูลส่วนบุคคล” ให้แก่สำนักงานฯ ตามพระราชบัญญัตินี้

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้กำหนดกิจกรรมที่ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลไว้ในมาตรา ๔๑ โดยรวมถึงกรณีที่กิจกรรมหลักของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ ด้วย ดังนั้น การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของสำนักงาน ป.ป.ช. จึงต้องพิจารณาให้เป็นไปตามมาตรา ๒๖ ประกอบกับมาตรา ๔๑

๑๘

แห่งพระราชบัญญัติดังกล่าว กรณีหากภารกิจของสำนักงาน ป.ป.ช. เป็นการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ (เช่น ประวัติอาชญากรรม) เป็นกิจกรรมหลัก สำนักงาน ป.ป.ช. ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลโดยคำนึงถึงความรู้ หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และไม่ปฏิบัติหน้าที่อื่นใดที่เป็นการขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัติดังกล่าว

กรณีตามข้อหารือข้อ ๕ เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งประกาศความเป็นส่วนตัว (privacy notice) เพื่อให้เจ้าของข้อมูลส่วนบุคคลทราบเงื่อนไขเกี่ยวกับการเก็บรวบรวมเพื่อใช้หรือเปิดเผยข้อมูลส่วนบุคคลไว้ในมาตรา ๒๓ ดังนั้น กรณีหากการเก็บรวบรวมข้อมูลส่วนบุคคลของสำนักงาน ป.ป.ช. เป็นการดำเนินงานที่ได้รับยกเว้นตามมาตรา ๔ แห่งพระราชบัญญัติดังกล่าว สำนักงาน ป.ป.ช. ไม่ต้องแจ้งประกาศความเป็นส่วนตัว (privacy notice) และนโยบายต่าง ๆ ให้กับเจ้าของข้อมูลส่วนบุคคล แต่สำนักงาน ป.ป.ช. มีหน้าที่ตามมาตรา ๔ วรรคสาม โดยต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ทั้งนี้ การเก็บรวบรวมข้อมูลส่วนบุคคลอื่น ๆ ของสำนักงาน ป.ป.ช. ที่ไม่ได้รับการยกเว้นตามมาตรา ๔ แห่งพระราชบัญญัติดังกล่าว สำนักงาน ป.ป.ช. มีหน้าที่ต้องแจ้งประกาศความเป็นส่วนตัว (privacy notice) ให้เจ้าของข้อมูลส่วนบุคคลทราบตามมาตรา ๒๓ อย่างไรก็ดี สำหรับนโยบายการคุ้มครองข้อมูลส่วนบุคคล (privacy policy หรือ personal data protection policy) ซึ่งเป็นนโยบายและแนวปฏิบัติภายในองค์กรในการคุ้มครองข้อมูลส่วนบุคคลนั้น ที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้กำหนดให้ต้องจัดทำ แต่นโยบายดังกล่าวถือเป็นมาตรการเชิงองค์กรอย่างหนึ่งที่ผู้ควบคุมข้อมูลส่วนบุคคลควรพิจารณาจัดทำและประกาศใช้ภายในองค์กรเพื่อประโยชน์ในการบริหารจัดการข้อมูลส่วนบุคคลขององค์กรเอง

กรณีตามข้อหารือข้อ ๖ เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดว่า การเก็บรวบรวมข้อมูลส่วนบุคคลต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล หรือต้องมีฐานการประมวลตามมาตรา ๒๔ และ/หรือมาตรา ๒๖ แล้วแต่กรณี เว้นแต่เป็นการดำเนินงานตามมาตรา ๔ ดังนั้น หากสำนักงาน ป.ป.ช. ดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อการอื่นที่มิใช่การดำเนินการตามมาตรา ๔ สำนักงาน ป.ป.ช. ต้องปฏิบัติตามมาตรา ๒๔ และ/หรือมาตรา ๒๖ และมีหน้าที่อื่นตามที่กฎหมายกำหนด แต่หากการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นการดำเนินงานตามมาตรา ๔ สำนักงาน ป.ป.ช. มีอำนาจหน้าที่ตามกฎหมายในการดำเนินการได้โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล และไม่ต้องมีฐานทางกฎหมายตามมาตรา ๒๔

๑๕

และ/หรือ มาตรา ๒๖ แต่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

กรณีตามข้อหารือข้อ ๗ ปัจจุบัน (กันยายน ๒๕๖๕) สำนักงานปลัดกระทรวง ดิจิทัลเพื่อเศรษฐกิจและสังคมอยู่ระหว่างการทําหน้าที่สำนักงานคณะกรรมการคุ้มครอง ข้อมูลส่วนบุคคลชั่วคราวเพื่อจัดตั้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ตามมาตรา ๙๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ดังนั้น การดําเนินการต่าง ๆ รวมถึงการประกาศนโยบายการคุ้มครองข้อมูลส่วนบุคคล ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในขณะที่ยังจัดตั้งไม่แล้วเสร็จ จึงเป็นการดําเนินการภายใต้สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม

ทั้งนี้ สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมได้มีการเผยแพร่นโยบายการคุ้มครองข้อมูลส่วนบุคคลดังกล่าวทาง https://www.mdes.go.th/mission/82

กรณีตามข้อหารือข้อ ๘ เห็นว่า ปัจจุบัน (กันยายน ๒๕๖๕) พระราชกฤษฎีกา ที่เกี่ยวกับการยกเว้นไม่ให้นําบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคล ยังไม่มีการบัญญัติและประกาศใช้ มีเพียงแต่พระราชกฤษฎีกากําหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคล ไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มีจํานวน ๒ ฉบับ ดังนี้

๑. พระราชกฤษฎีกากําหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคล ไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๓ กําหนดมิให้นําบทบัญญัติในหมวด ๒ หมวด ๓ หมวด ๕ หมวด ๖ และหมวด ๗ และมาตรา ๓๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับแก่ ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นหน่วยงานหรือกิจการตามบัญชีท้ายพระราชกฤษฎีกา โดยให้มีผลใช้บังคับตั้งแต่วันที่ ๒๗ พฤษภาคม พ.ศ. ๒๕๖๑ จนถึงวันที่ ๓๑ พฤษภาคม พ.ศ. ๒๕๖๔

๒. พระราชกฤษฎีกากําหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคล ไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (ฉบับที่ ๒) พ.ศ. ๒๕๖๔ กําหนดขยายระยะเวลาการใช้บังคับพระราชกฤษฎีกากําหนดหน่วยงาน และกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ออกไปอีก โดยให้มีผลใช้บังคับตั้งแต่วันที่ ๒๗ พฤษภาคม พ.ศ. ๒๕๖๕ จนถึงวันที่ ๓๑ พฤษภาคม ๒๕๖๕

ปัจจุบัน (กันยายน ๒๕๖๕) พระราชกฤษฎีกาตาม ๑. และ ๒. ได้สิ้นผลใช้บังคับไป แล้ว และได้มีการจัดทําร่างพระราชกฤษฎีกากําหนดลักษณะ กิจการ หรือหน่วยงาน

๒๐

ที่ยกเว้นมีให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับ พ.ศ. ... โดยคณะรัฐมนตรีได้มีมติเห็นชอบเมื่อวันที่ ๕ กรกฎาคม ๒๕๖๕ ซึ่งขณะนี้ (กันยายน ๒๕๖๕) อยู่ระหว่างการตรวจพิจารณาของสำนักงานคณะกรรมการกฤษฎีกา ทั้งนี้ ถ้าหาก ร่างพระราชกฤษฎีกาดังกล่าวผ่านความเห็นชอบของสำนักงานคณะกรรมการกฤษฎีกา และมีการลงประกาศในราชกิจจานุเบกษาแล้วสำนักงานคณะกรรมการคุ้มครองข้อมูล ส่วนบุคคลจะดำเนินการเผยแพร่ต่อไป

กรณีตามข้อหารือข้อ ๙ เนื่องจากรายงานการประชุมของคณะกรรมการวิสามัญ พิจารณาร่างพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ... มีเอกสารจำนวนมาก ในการนี้ ฝ่ายเลขานุการของคณะอนุกรรมการเฉพาะกิจฯ จะประสานงานในการจัดส่งทาง ระบบอิเล็กทรอนิกส์ต่อไป

เรื่องที่ ๕ สำนักงานนโยบายและแผนทรัพยากรธรรมชาติและสิ่งแวดล้อม ขอหารือการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในกระบวนการประเมินผลกระทบสิ่งแวดล้อม

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ (๓) มาตรา ๔ วรรคสาม มาตรา ๖ มาตรา ๒๑ มาตรา ๒๒ มาตรา ๒๓
   มาตรา ๒๔ (๔) มาตรา ๒๔ (๕) มาตรา ๒๔ (๖) มาตรา ๒๕ มาตรา ๒๖ (๕) (จ)
   มาตรา ๒๗ วรรคหนึ่ง และมาตรา ๓๗ (๑)

2. พระราชบัญญัติส่งเสริมและรักษาคุณภาพสิ่งแวดล้อมแห่งชาติ พ.ศ. ๒๕๓๕ และที่แก้ไขเพิ่มเติม
   มาตรา ๔๘ มาตรา ๔๙ มาตรา ๕๐ และมาตรา ๕๑/๑

3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
   มาตรา ๑๑ และมาตรา ๑๕

4. พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยคณะกรรมการสิทธิมนุษยชนแห่งชาติ พ.ศ. ๒๕๖๐
   มาตรา ๓๕

ข้อหารือ

สำนักงานนโยบายและแผนทรัพยากรธรรมชาติและสิ่งแวดล้อม (สผ.) ขอหารือการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เกี่ยวกับ การประเมินผลกระทบสิ่งแวดล้อม ดังนี้

1. การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในกระบวนการจัดทำรายงาน การประเมินผลกระทบสิ่งแวดล้อมซึ่งเป็นการดำเนินการตามกฎหมายว่าด้วยการส่งเสริม

๒๑

และรักษาคุณภาพสิ่งแวดล้อม ถือเป็นการดำเนินการตามที่กฎหมายกำหนดเพื่อประโยชน์ต่อสาธารณะ ซึ่งได้รับการยกเว้นไม่อยู่ในการใช้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๔ (๓) หรือไม่

๒. ผู้จัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อมซึ่งเป็นผู้รับผิดชอบในการศึกษาและเก็บรวบรวมข้อมูลเพื่อประกอบการประเมินผลกระทบสิ่งแวดล้อมถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ และในการดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นข้อมูลส่วนบุคคลเพื่อใช้ในการศึกษาและประเมินผลกระทบสิ่งแวดล้อม รวมทั้งกรณีที่ผู้จัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อม ใช้ข้อมูลทุติยภูมิที่จำเป็นต่อการศึกษาและประเมินผลกระทบสิ่งแวดล้อมจากหน่วยงานรัฐ จะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล หรือสามารถได้รับการยกเว้นไม่ต้องขอรับความยินยอม ตามมาตรา ๒๔ (๔) หรือมาตรา ๒๖ (๕) ได้หรือไม่

๓. เมื่อผู้ดำเนินการหรือผู้ขออนุญาตได้จัดทำรายการการประเมินผลกระทบสิ่งแวดล้อมแล้วเสร็จ และได้เสนอรายงานดังกล่าวต่อ สผ. แล้ว จะถือว่า สผ. เป็นผู้ควบคุมข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ และการที่ สผ. นำรายงานการประเมินผลกระทบสิ่งแวดล้อม ซึ่งมีข้อมูลส่วนบุคคลไปเสนอต่อคณะกรรมการผู้ชำนาญการ หรือคณะกรรมการสิ่งแวดล้อมแห่งชาติ เพื่อพิจารณา จะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลมาตรา ๒๔ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่

๔. การที่ สผ. ได้พัฒนาระบบอิเล็กทรอนิกส์ (ศูนย์ข้อมูลการประเมินผลกระทบสิ่งแวดล้อม Smart EIA Plus) เพื่อเป็นช่องทางในการเผยแพร่ข้อมูลเกี่ยวกับรายงานการประเมินผลกระทบสิ่งแวดล้อมให้ประชาชนตรวจดูได้ ตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ จะถือว่า สผ. เป็นผู้ควบคุมข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ หากมีข้อมูลส่วนบุคคลปรากฏอยู่ในรายงานที่ได้เผยแพร่ในระบบอิเล็กทรอนิกส์ของ สผ. มาเป็นเวลานานก่อนที่จะมีการประกาศใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (ไม่ได้ปกปิดข้อมูลส่วนบุคคล) สผ. จะต้องนำรายงานดังกล่าวออกจากระบบหรือไม่ ทั้งนี้ วิธีการปกปิดข้อมูลส่วนบุคคลที่เสนอไว้ในรายงานการประเมินผลกระทบสิ่งแวดล้อมควรดำเนินการอย่างไร และหากมีกรณีผู้ร้องขอให้เปิดเผยข้อมูลที่ปกปิดในรายงานฯ เช่น คณะกรรมการสิทธิมนุษยชนแห่งชาติ คณะกรรมการ ผู้ร้องเรียนซึ่งอยู่ในพื้นที่ได้รับผลกระทบหรือองค์กรพัฒนาเอกชน เป็นต้น ซึ่งร้องขอข้อมูลเพื่อตรวจสอบข้อเท็จจริง รวมทั้งข้อมูล

กระบวนการมีส่วนร่วมของประชาชนภายใต้โครงการ ผู้ร้องมีสิทธิโดยชอบธรรมในการขอเอกสารรายงานการประเมินผลกระทบสิ่งแวดล้อมฉบับเปิดเผยข้อมูลส่วนบุคคลได้หรือไม่

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้พิจารณาประเด็นข้อหารือและรับฟังข้อเท็จจริงจากผู้แทน สผ. พร้อมผู้แทนบริษัทที่ปรึกษาสิ่งแวดล้อมประกอบการพิจารณาแล้ว มีความเห็นดังนี้

กรณีตามข้อหารือข้อ ๑ เห็นว่า บทบัญญัติตามมาตรา ๔ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดยกเว้นการบังคับใช้พระราชบัญญัติดังกล่าวกับบุคคลหรือนิติบุคคลซึ่งใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน งานศิลปกรรม หรืองานวรรณกรรมอันเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะเท่านั้น ซึ่งเป็นการกำหนดข้อยกเว้นเพื่อรองรับเสรีภาพในการแสดงความคิดเห็นและเสรีภาพทางวิชาการของบุคคล ตลอดจนเสรีภาพในการเสนอข่าวสารหรือการแสดงความเห็นตามจริยธรรมแห่งวิชาชีพของบุคคลซึ่งประกอบวิชาชีพสื่อมวลชนตามบทบัญญัติแห่งรัฐธรรมนูญ โดยจะต้องเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะเท่านั้น

การจัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อมไม่ใช่ข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน งานศิลปกรรม หรืองานวรรณกรรมจึงไม่ได้รับยกเว้นการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ตามมาตรา ๔ (๓) จึงต้องดำเนินการให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

กรณีตามข้อหารือข้อ ๒ เห็นว่า ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ผู้ควบคุมข้อมูลส่วนบุคคล หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังนั้นบุคคลหรือนิติบุคคลซึ่งเป็นผู้ดำเนินการหรือผู้ขออนุญาตที่มีหน้าที่ในการจัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อมตามกฎหมายว่าด้วยการส่งเสริมและรักษาคุณภาพสิ่งแวดล้อมแห่งชาติ จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล และหากมีการว่าจ้างหรือมอบหมายให้บุคคลหรือนิติบุคคลอื่นดำเนินการจัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อม บุคคลหรือนิติบุคคลที่ได้รับการว่าจ้างหรือมอบหมายนั้นถือเป็นผู้ประมวลผลข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๒๒

๒๓

สำหรับการจัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อม เป็นการดำเนินการตามมาตรา ๔๘ มาตรา ๔๙ มาตรา ๕๐ มาตรา ๕๑/๑ แห่งพระราชบัญญัติส่งเสริมและรักษาคุณภาพสิ่งแวดล้อมแห่งชาติ พ.ศ. ๒๕๓๕ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติส่งเสริมและรักษาคุณภาพสิ่งแวดล้อมแห่งชาติ (ฉบับที่ ๒) พ.ศ. ๒๕๖๑ กรณีดังกล่าวจึงถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๖) ทั้งนี้ ในกรณีที่เป็นข้อมูลสุขภาพ ก็ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญตามมาตรา ๒๖ (๕) (จ) ได้ เนื่องจากการจัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อมถือเป็นเครื่องมือในการคุ้มครองป้องกันผลกระทบต่อทรัพยากรธรรมชาติ คุณภาพสิ่งแวดล้อม สุขภาพ อนามัย คุณภาพชีวิต และส่วนได้เสียอื่นใดของประชาชนและชุมชน จากการดำเนินโครงการ หรือกิจการหรือการดำเนินการใดของรัฐหรือที่รัฐได้อนุญาตให้ดำเนินการ อย่างไรก็ตาม การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว ต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิชั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลไว้ด้วย กรณีที่มีการจัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อมซึ่งเป็นการดำเนินการของหน่วยงานของรัฐ ในโครงการหรือกิจการ หรือการดำเนินการโดยผู้รับจ้างหรือรับมอบหมายจากหน่วยงานของรัฐดังกล่าวก็ถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติหน้าที่ตามอำนาจหน้าที่ของหน่วยงานของรัฐนั้นรวมถึงการใช้อำนาจรัฐที่ได้มอบให้แก่หน่วยงานของรัฐดังกล่าว ตามมาตรา ๒๔ (๔) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย

นอกจากนี้ กรณีการเก็บรวบรวมข้อมูลส่วนบุคคลที่ไม่ได้ถูกกำหนดไว้ตามหลักเกณฑ์ วิธีการ และเงื่อนไขในการจัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อมตามกฎหมายว่าด้วยการส่งเสริมและรักษาคุณภาพสิ่งแวดล้อมแวดล้อมอย่างชัดเจน โดยเป็นการใช้ประกอบการศึกษาและประเมินผลกระทบสิ่งแวดล้อมเช่น ชื่อ-สกุล ที่อยู่ลายมือชื่อ อาชีพ ภาพถ่ายกิจกรรมการมีส่วนร่วมหรือการจัดรับฟังความคิดเห็น ภาพถ่าย ผู้เข้าร่วมกิจกรรม ผู้แสดงความคิดเห็น เป็นต้น ผู้จัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อมยังคงสามารถเก็บรวบรวมข้อมูลส่วนบุคคลที่จำเป็น หากมีความสำคัญไม่น้อยกว่าสิทธิชั้นพื้นฐานของเจ้าของข้อมูลส่วนบุคคล โดยถือเป็นกรณีที่เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วยเหตุนี้ การเก็บรวบรวมข้อมูลส่วนบุคคลในกรณีดังกล่าวจึงได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๔) ๒๔ (๕) ๒๔ (๖) หรือ มาตรา ๒๖ (๕) (จ) แล้วแต่กรณี ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลยังมีหน้าที่อื่นตามที่กฎหมายกำหนด เช่น การแจ้งรายละเอียดให้เจ้าของ

๒๔

ข้อมูลส่วนบุคคลทราบตามมาตรา ๒๓ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๒๑ การเก็บรวบรวมข้อมูลส่วนบุคคลเพียงเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๒๒ โดยเฉพาะในกรณีของข้อมูลตามมาตรา ๒๖ ที่กฎหมายมุ่งให้ความคุ้มครองมากเป็นพิเศษ และการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา ๓๗ (๑) เป็นต้น

อย่างไรก็ตาม คณะอนุกรรมการฯ มีข้อสังเกตว่า เจ้าของข้อมูลส่วนบุคคลยังคงมีสิทธิและเสรีภาพที่จะเข้าร่วมหรือไม่เข้าร่วมกิจกรรม รวมถึงการให้หรือไม่ให้ความร่วมมือในการแสดงความคิดเห็นหรือการเปิดเผยข้อมูลส่วนบุคคลของตนให้กับบุคคลอื่น หากไม่มีกรณีตามกฎหมายใดบัญญัติไว้เป็นอย่างอื่น ดังนั้น กรณีตามที่หารือนี้ สผ. จึงควรสร้างความเข้าใจและความน่าเชื่อถือเพื่อให้ประชาชนเกิดความไว้วางใจและมั่นใจว่าข้อมูลที่ให้ในการประเมินผลกระทบสิ่งแวดล้อมหรือรับฟังความคิดเห็นนั้น จะทำให้เกิดประโยชน์แก่ประชาชนในพื้นที่เพื่อให้เกิดแรงจูงใจในการให้ความร่วมมือ เช่น อาจมีเจ้าหน้าที่ของ สผ. ร่วมลงพื้นที่ที่จะต้องมีการเก็บรวบรวมข้อมูล และ/หรือขอความร่วมมือจากผู้นำชุมชนหรือผู้ที่เป็นที่ยอมรับของประชาชนในพื้นที่ในการมีส่วนร่วมสร้างความเข้าใจเกี่ยวกับความจำเป็นในการเก็บรวบรวมข้อมูลต่าง ๆ ให้มีความครบถ้วนตามเงื่อนไขการจัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อม นอกจากนี้ สผ. อาจพิจารณาทางเลือกอื่นในการเก็บรวบรวมข้อมูล โดยกำหนดหรือส่งเสริมให้ผู้จัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อมสามารถใช้ข้อมูลทุติยภูมิจากหน่วยงานของรัฐที่เก็บรวบรวมข้อมูลในระดับพื้นที่ เช่น สำนักงานสถิติแห่งชาติ สำนักงานหลักประกันสุขภาพแห่งชาติ เป็นต้น แทนการเก็บรวบรวมข้อมูลแบบปฐมภูมิ (primary data collection) เพื่อให้การจัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อมสามารถดำเนินต่อไปได้และสำเร็จตามวัตถุประสงค์

สำหรับกรณีที่ผู้จัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อม ใช้ข้อมูลทุติยภูมิ (secondary data use) จากหน่วยงานของรัฐที่เป็นผู้เก็บรวบรวมข้อมูล ซึ่งมีข้อมูลส่วนบุคคล หรือข้อมูลที่เชื่อมโยงถึงตัวบุคคลได้นั้น หากเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ หรือมาตรา ๒๖ จะเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรงที่สามารถทำได้ตามมาตรา ๒๕ วรรคหนึ่ง (๒) อย่างไรก็ตาม หน่วยงานของรัฐที่เป็นผู้เก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวแต่แรกมีหน้าที่พิจารณาว่าการเปิดเผยข้อมูลส่วนบุคคลนั้น จะสามารถทำได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลหรือไม่ ซึ่งหากเป็นการเปิดเผยข้อมูลส่วนบุคคลเพื่อการจัดทำรายงานการประเมินผลกระทบสิ่งแวดล้อม

๒๕

อันเป็นกรณีที่ได้พิจารณาแล้วว่าได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ หรือมาตรา ๒๖ ก็สามารถเปิดเผยข้อมูลส่วนบุคคลได้โดยไม่ต้องขอความยินยอม ตามมาตรา ๒๗ วรรคหนึ่ง

กรณีตามข้อหารือข้อ ๓ เห็นว่า การเสนอรายงานการประเมินผลกระทบ สิ่งแวดล้อมต่อ สผ. ของผู้ดำเนินการหรือผู้ขออนุญาต เป็นการดำเนินการตามกฎหมายว่า ด้วยการส่งเสริมและรักษาคุณภาพสิ่งแวดล้อมแห่งชาติ และ สผ. มีหน้าที่ตามกฎหมาย ในการเสนอรายงานการประเมินผลกระทบสิ่งแวดล้อมนั้นให้คณะกรรมการผู้ชำนาญการ และคณะกรรมการสิ่งแวดล้อมแห่งชาติพิจารณา รวมทั้ง สผ. เป็นส่วนราชการที่มีภารกิจ เกี่ยวกับการกำหนดนโยบายและแผนการส่งเสริมและรักษาคุณภาพสิ่งแวดล้อม ประสาน การจัดการเพื่อนำไปสู่การปฏิบัติที่เป็นรูปธรรม ตลอดจนติดตาม ตรวจสอบมาตรการ และเงื่อนไขผลกระทบสิ่งแวดล้อมตามรายงานการประเมินผลกระทบสิ่งแวดล้อม เพื่อสร้าง ความเข้มแข็งด้านเศรษฐกิจของประเทศและสนับสนุนการพัฒนาที่ยั่งยืนและคุณภาพชีวิต ที่ดี ตามกฎกระทรวงแบ่งส่วนราชการสำนักงานนโยบายและแผนทรัพยากรธรรมชาติ และสิ่งแวดล้อม กระทรวงทรัพยากรธรรมชาติและสิ่งแวดล้อม พ.ศ. ๒๕๖๐ และที่แก้ไข เพิ่มเติม ดังนั้น เมื่อผู้ดำเนินการหรือผู้ขออนุญาตได้จัดทำรายงานการประเมินผลกระทบ สิ่งแวดล้อมแล้วเสร็จ และได้เสนอรายงานดังกล่าวต่อ สผ. แล้ว สผ. จึงเป็นผู้ควบคุมข้อมูล ส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สามารถเก็บ รวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์เกี่ยวกับการประเมินผลกระทบ สิ่งแวดล้อมได้ โดยถือเป็นการปฏิบัติตามมาตรา ๒๔ (๔) ๒๔ (๖) มาตรา ๒๕ และมาตรา ๒๖ (๕) (จ) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒

กรณีตามข้อหารือข้อ ๔ เห็นว่า เมื่อรายงานการประเมินผลกระทบสิ่งแวดล้อม ที่ผ่านการพิจารณาตามกฎหมายแล้ว ดังนั้น การเผยแพร่ข้อมูลเกี่ยวกับรายงาน การประเมินผลกระทบสิ่งแวดล้อมที่มีข้อมูลส่วนบุคคลรวมอยู่ด้วยผ่านช่องทางต่าง ๆ ของ สผ. จึงถือเป็นการเปิดเผยของ สผ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

รายงานการประเมินผลกระทบสิ่งแวดล้อมต่อสาธารณะ ที่ได้เก็บรวบรวม และเผยแพร่ไว้ก่อนวันที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ใช้บังคับ จะต้องเป็นกรณีการปฏิบัติตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ แต่เมื่อพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มีผลใช้บังคับแล้ว จะต้องเป็นไปตามมาตรา ๒๗ วรรคหนึ่ง ประกอบมาตรา ๒๔ หรือมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แล้วแต่กรณี

๒๖

ประเด็นเกี่ยวกับวิธีการปกปิดข้อมูลส่วนบุคคลที่เสนอไว้ในรายงานการประเมินผลกระทบสิ่งแวดล้อมนั้น สผ. มีหน้าที่พิจารณาว่าจะสามารถเปิดเผยข้อมูลส่วนบุคคลตามที่หารือตามมาตรา ๒๗ วรรคหนึ่ง ประกอบมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณีได้หรือไม่ เพียงใด โดยพิจารณาตามวัตถุประสงค์ในการเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ทั้งนี้ สผ. มีหน้าที่ดำเนินการให้เป็นไปตามบทบัญญัติเกี่ยวกับข้อมูลข่าวสารส่วนบุคคลในกฎหมายว่าด้วยข้อมูลข่าวสารของราชการด้วย หากข้อมูลข่าวสารดังกล่าวปรากฏข้อมูลส่วนบุคคล ก็ควรพิจารณาซึ่งน้ำหนักถึงความโปร่งใส สามารถตรวจสอบได้ และการไม่รุกล้ำสิทธิส่วนบุคคลโดยไม่สมควรว่า การเปิดเผยข้อมูลส่วนบุคคลดังกล่าวมีความจำเป็นเพียงใด เพื่อการปฏิบัติตามเจตนารมณ์ของกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ การปฏิบัติหน้าที่ตามกฎหมายของ สผ. ประโยชน์สาธารณะและประโยชน์ของบุคคลที่เกี่ยวข้องประกอบกัน ตามนัยมาตรา ๑๕ แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐

สำหรับกรณีที่คณะกรรมการสิทธิมนุษยชนแห่งชาติ ขอให้ สผ. มีหนังสือชี้แจงข้อเท็จจริงหรือเปิดเผยข้อมูลในรายงานการประเมินผลกระทบสิ่งแวดล้อมนั้น เห็นว่าคณะกรรมการสิทธิมนุษยชนแห่งชาติมีอำนาจดำเนินการดังกล่าวได้ ตามมาตรา ๓๕ แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยคณะกรรมการสิทธิมนุษยชนแห่งชาติ พ.ศ. ๒๕๖๐ จึงถือเป็นกรณีการเปิดเผยข้อมูลส่วนบุคคลที่เป็นการปฏิบัติตามกฎหมายของ สผ. ตามมาตรา ๒๗ ประกอบมาตรา ๒๔ (๖) หรือมาตรา ๒๖ (๕) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แล้วแต่กรณี และ สผ. มีหน้าที่ตามกฎหมายในการดำเนินการดังกล่าว

การเปิดเผยข้อมูลในรายงานการประเมินผลกระทบสิ่งแวดล้อมให้กับหน่วยงานที่ได้รับการยกเว้นการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เช่น กรณีคณะกรรมการที่แต่งตั้งโดยสภาผู้แทนราษฎร วุฒิสภา หรือรัฐสภา ถือเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการพิจารณาตามหน้าที่และอำนาจของคณะกรรมการสิทธิมนุษยชนแห่งชั่วคราว ทั้งนี้ ผู้ใช้อำนาจขอข้อมูลนั้นต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานตามมาตรา ๔ วรรคสามด้วย

สำหรับการเปิดเผยข้อมูลในรายงานการประเมินผลกระทบสิ่งแวดล้อมให้กับผู้ร้องเรียนซึ่งอยู่ในพื้นที่ที่ได้รับผลกระทบ หรือองค์กรพัฒนาเอกชน หรือบุคคลอื่นหากเป็นการขอข้อมูลข่าวสารของราชการตามมาตรา ๑๑ แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ สผ. มีหน้าที่ดำเนินการให้เป็นไปตามกฎหมายว่าด้วย

ข้อมูลข่าวสารของราชการ ทั้งนี้ สำหรับการพิจารณาเปิดเผยข้อมูลส่วนบุคคลที่ปรากฏในรายงานการประเมินผลกระทบสิ่งแวดล้อมที่มีผู้ร้องขอนั้น สผ. ควรพิจารณาซึ่งน้ำหนักว่า การเปิดเผยข้อมูลส่วนบุคคลดังกล่าวมีความจำเป็นเพียงใดเพื่อการปฏิบัติตามเจตนารมณ์ของกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ และกฎหมายอื่นที่เกี่ยวข้องทั้งนี้ ให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วยประกอบกัน

เรื่องที่ ๖ คณะกรรมการข้าราชการครูและบุคลากรทางการศึกษา ขอหารือปัญหาและแนวทางการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๒๑ มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๔ (๔) และ (๖) มาตรา ๓๓ และมาตรา ๓๗ (๑)

๒. พระราชบัญญัติระเบียบข้าราชการครูและบุคลากรทางการศึกษา พ.ศ. ๒๕๔๗ และที่แก้ไขเพิ่มเติม

ข้อหารือ

สำนักงานคณะกรรมการข้าราชการครูและบุคลากรทางการศึกษา (สำนักงาน ก.ค.ศ.) แจ้งว่า สำนักงาน ก.ค.ศ. ได้ปรับหลักเกณฑ์การประเมินวิทยฐานะใหม่ มุ่งเน้นการพัฒนาวิชาชีพมากกว่าการจัดทำผลงานทางวิชาการ มีการบูรณาการการทำงานที่เชื่อมโยงกัน โดยมีการประเมินไม่ยุ่งยากซับซ้อนและเป็นธรรม และนำระบบออนไลน์มาใช้ในการประเมินวิทยฐานะ จึงมีมติกำหนดหลักเกณฑ์และวิธีการประเมินตำแหน่ง และวิทยฐานะของข้าราชการครูและบุคลากรทางการศึกษา โดยผู้ขอรับการประเมินตำแหน่งครู ตำแหน่งผู้บริหารสถานศึกษา และตำแหน่งศึกษานิเทศก์ ต้องจัดทำ และส่งไฟล์วีดิทัศน์ บันทึกการสอนในวิชา/สาขา/กลุ่มสาระการเรียนรู้ ซึ่งผู้ขอได้จัดทำขึ้น และนำไปสอนจริงในช่วงที่ดำรงตำแหน่ง ไฟล์วีดิทัศน์การพัฒนาสถานศึกษา กลยุทธ์การใช้เครื่องมือหรือนวัตกรรมทางการบริหารตามแผนพัฒนาสถานศึกษา หรือไฟล์วีดิทัศน์ การพัฒนาการนิเทศการศึกษา กลยุทธ์ สื่อ นวัตกรรม หรือเทคโนโลยีในการนิเทศการศึกษา หรือการพัฒนาคุณภาพสถานศึกษาหรือหน่วยงานการศึกษาตามรูปแบบไฟล์วีดิทัศน์ และส่งข้อมูลให้สำนักงาน ก.ค.ศ. ผ่านทางระบบอิเล็กทรอนิกส์ เพื่อรับการประเมินผลงาน ตามหลักเกณฑ์ และวิธีการในการประเมินตำแหน่งและวิทยฐานะ ตามพระราชบัญญัติระเบียบข้าราชการครูและบุคลากรทางการศึกษา พ.ศ. ๒๕๔๗ และที่แก้ไขเพิ่มเติม สำนักงาน ก.ค.ศ. จึงขอหารือ ดังนี้

๒๓

๒๘

๑. ในกรณีที่ผู้ขอรับการประเมินจัดทำและส่งไฟล์วีดิทัศน์ อันมีลักษณะเป็นข้อมูลส่วนบุคคลเพื่อรับการประเมินตำแหน่งและวิทยฐานะ ตามหลักเกณฑ์และวิธีการที่ ก.ค.ศ. กำหนด การเก็บรวบรวมข้อมูล ดังกล่าวถือว่าเป็นข้อมูลที่อยู่ในบังคับตามมาตรา ๒๔ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่ไม่ต้องห้ามเก็บรวบรวมข้อมูลส่วนบุคคลโดยปราศจากความยินยอมจากเจ้าของข้อมูลส่วนบุคคลหรือไม่ หรือมีกรณียกเว้นตามมาตราอื่น หรือไม่ อย่างไร

๒. ในกรณีที่ไฟล์วีดิทัศน์ ตามประเด็นที่ ๑ เป็นข้อมูลส่วนบุคคลที่การเก็บรวบรวมข้อมูลต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล การดำเนินการจัดทำไฟล์วีดิทัศน์ ตามหลักเกณฑ์และวิธีการที่ ก.ค.ศ. กำหนด จะต้องเพิ่มเติมหลักเกณฑ์และวิธีการในเรื่องการให้เจ้าของข้อมูลส่วนบุคคลทราบ ถึงวัตถุประสงค์และการให้ความยินยอมให้ทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามหมวด ๒ ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ อย่างไร

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่าการที่สถานศึกษาหรือข้าราชการครูและบุคลากรทางการศึกษา ตำแหน่งครู ตำแหน่งผู้บริหารสถานศึกษา และตำแหน่งศึกษานิเทศก์ ได้จัดทำและเก็บรวบรวมข้อมูลไฟล์วีดิทัศน์บันทึกการสอนในวิชา/สาขา/กลุ่มสาระการเรียนรู้ ซึ่งผู้ขอได้จัดทำขึ้นและนำไปสอนจริงในช่วงที่ดำรงตำแหน่ง ไฟล์วีดิทัศน์การพัฒนาสถานศึกษา กลยุทธ์การใช้เครื่องมือหรือนวัตกรรมทางการบริหารตามแผนพัฒนาสถานศึกษา หรือไฟล์วีดิทัศน์การพัฒนาการนิเทศการศึกษา กลยุทธ์ สื่อ นวัตกรรม หรือเทคโนโลยีในการนิเทศการศึกษา หรือการพัฒนาคุณภาพสถานศึกษาหรือหน่วยงานการศึกษาตามรูปแบบไฟล์วีดิทัศน์ แล้วแต่กรณี และส่งข้อมูลให้สำนักงาน ก.ค.ศ. ผ่านทางระบบอิเล็กทรอนิกส์ ซึ่งมีข้อมูลส่วนบุคคล ทั้งของผู้ขอรับการประเมิน และของนักเรียนหรือบุคคลอื่นรวมอยู่ด้วย เพื่อรับการประเมิน ผลงานตามหลักเกณฑ์และวิธีการในการประเมินตำแหน่งและวิทยฐานะ ตามหลักเกณฑ์และวิธีการที่ ก.ค.ศ. กำหนด ซึ่งเป็นไปตามกฎหมายว่าด้วยระเบียบข้าราชการครูและบุคลากรทางการศึกษา นั้น ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลในหน้าที่และอำนาจตามกฎหมายดังกล่าว ดังนั้น สำนักงาน ก.ค.ศ. และสถานศึกษา หรือหน่วยงานของรัฐที่เกี่ยวข้อง จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล โดยอาศัยฐานทางกฎหมายในการเก็บรวบรวมข้อมูลส่วนบุคคล ซึ่งเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่

ในการใช้อำนาจรัฐที่ได้รับมอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๔) หรือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๒๔ (๖) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ดังนั้น สำนักงาน ก.ค.ศ. และสถานศึกษาหรือหน่วยงานของรัฐที่เกี่ยวข้อง รวมถึงข้าราชการครูและบุคลากรทางการศึกษา ตำแหน่งครู ตำแหน่งผู้บริหารสถานศึกษา และตำแหน่งศึกษานิเทศก์ที่ปฏิบัติหน้าที่ ในหน่วยงานดังกล่าว จึงสามารถเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้ โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๒๔ (๔) หรือมาตรา ๒๔ (๖) แต่อย่างใด

อย่างไรก็ดี สำนักงาน ก.ค.ศ. ควรกำหนดหลักเกณฑ์และวิธีการในการเก็บรวบรวมไฟล์วีดิทัศน์ที่มีข้อมูลส่วนบุคคลของนักเรียนหรือบุคคลอื่น โดยให้ผู้จัดทำไฟล์วีดิทัศน์และเก็บรวบรวมข้อมูลส่วนบุคคล ดังกล่าว แจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวให้นักเรียนและ/หรือ ผู้ปกครองของนักเรียน รวมถึงบุคคลอื่นที่จะมีการเก็บรวบรวมข้อมูลส่วนบุคคล ทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล โดยระบุวัตถุประสงค์ที่ครอบคลุมถึงการใช้เพื่อขอรับการประเมินตำแหน่งและวิทยฐานะของข้าราชการครูและบุคลากรทางการศึกษาผู้ขอรับการประเมินตามมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ รวมทั้งจะต้องเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็น และใช้ตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวมตามมาตรา ๒๑ และมาตรา ๒๒ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ทั้งนี้ เมื่อได้ใช้ไฟล์วีดิทัศน์ดังกล่าวเสร็จสิ้นแล้ว สำนักงาน ก.ค.ศ. อาจเก็บไว้อ้างอิงได้เท่าที่จำเป็น แต่เมื่อหมดความจำเป็น ในการใช้ไฟล์ข้อมูลดังกล่าวแล้ว จะต้องลบ หรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตามมาตรา ๓๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

อนึ่ง สำนักงาน ก.ค.ศ. ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ตามที่กำหนดไว้ในมาตรา ๓๗ (๑) ซึ่งอย่างน้อยต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ ด้วย

๒๕

แนวทางปฏิบัติของผู้ควบคุมข้อมูลส่วนบุคคล และผู้ประมวลผลข้อมูลส่วนบุคคล

เรื่องหารือที่เกี่ยวข้อง

เรื่องที่ ๑ บริษัท ฆ. ขอปรึกษาเกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย
๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๒๔ มาตรา ๒๖ มาตรา ๔๐ (๑) และมาตรา ๔๐ วรรคสาม

ข้อหารือ
บริษัท ฆ. มีวัตถุประสงค์ในกิจการบริการงานบริหารอาคาร และรับจ้างอื่น ๆ ซึ่งต้องมีการเก็บรวบรวม ใช้และเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้อง จึงหารือเกี่ยวกับกิจกรรมของบริษัทฯ ที่เกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยมีประเด็นดังนี้

๑. กรณีบริษัทฯ มีการซื้อขายสินค้าและบริการกันระหว่างคู่สัญญาที่มีทั้งที่เป็นบุคคลธรรมดาและนิติบุคคล แต่บริษัทฯ ต้องติดต่อประสานงานกับบุคคลธรรมดาที่เป็นลูกจ้างหรือตัวแทนของคู่สัญญา บริษัทฯ จึงมีชื่อ หมายเลขโทรศัพท์ และข้อมูลอื่น ๆ ที่เป็นข้อมูลส่วนบุคคลของบุคคลดังกล่าว บริษัทฯ ต้องขอความยินยอมจากตัวแทนของคู่สัญญาหรือไม่ เนื่องจากข้อยกเว้นตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เจ้าของข้อมูลส่วนบุคคลต้องเป็นคู่สัญญากับผู้ควบคุมข้อมูลส่วนบุคคล

๒. กรณีที่บริษัทฯ รับจ้างเป็นผู้จัดการนิติบุคคลอาคารชุด/หมู่บ้านจัดสรรหรือกรณีบริษัทฯ ไม่ได้เป็นผู้จัดการนิติบุคคลฯ แต่รับจ้างบริหารอาคาร/หมู่บ้าน บริษัทฯ มีความจำเป็นต้องเก็บรวบรวม ใช้และเปิดเผยข้อมูลส่วนบุคคลของลูกบ้าน/ผู้พักอาศัยเพื่อการออกใบแจ้งหนี้ การรักษาความปลอดภัย การระบุข้อมูลส่วนบุคคลในสติกเกอร์จอดรถ การทำทะเบียนผู้พักอาศัย และการให้บริการอื่น ๆ บริษัทฯ ต้องขอความยินยอมจากลูกบ้าน/ผู้พักอาศัยทั้งหมดหรือไม่ หรือเข้าข้อยกเว้นตามอนุมาตราใด

ความเห็น
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้พิจารณาข้อหารือแล้ว เห็นว่า

๓๒

ประเด็นหารือที่ ๑ การพิจารณาฐานทางกฎหมายในการเก็บรวบรวมข้อมูลส่วนบุคคลในกรณีที่หารือ แยกได้เป็น ๒ กรณี กล่าวคือ

กรณีที่ ๑ ในกรณีที่คู่ค้าหรือคู่สัญญาเป็นบุคคลธรรมดาที่เป็นเจ้าของข้อมูลส่วนบุคคล ในกรณีนี้ บริษัทฯ อาจใช้ฐาน “การปฏิบัติตามสัญญา” ในกรณีที่เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้นตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งรวมถึงการเก็บรวบรวมข้อมูลส่วนบุคคลก่อนที่จะมีการทำสัญญาซื้อขายสินค้าและบริการระหว่างกัน เพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลดังกล่าวได้ โดยไม่จำต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

กรณีที่ ๒ การที่บริษัทฯ เก็บรายชื่อ หมายเลขโทรศัพท์ และข้อมูลส่วนบุคคลอื่นที่เกี่ยวข้องของลูกจ้างหรือตัวแทนของนิติบุคคลที่เป็นคู่สัญญาเพื่อการติดต่อประสานงานจัดส่งใบเสนอราคาและเอกสารต่าง ๆ ตามคำขอของลูกจ้างหรือตัวแทนของนิติบุคคลนั้น

ในกรณีดังกล่าว บุคคลดังกล่าวข้างต้นไม่ใช่คู่สัญญาของบริษัทฯ บริษัทฯ จึงไม่สามารถอ้างฐาน “การปฏิบัติตามสัญญา” ในการเก็บรวบรวมข้อมูลส่วนบุคคลได้ในกรณีนี้บริษัทฯ อาจพิจารณาใช้ฐานทางกฎหมายตามมาตรา ๒๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในกรณีที่เป็นการจำเป็น “เพื่อประโยชน์โดยชอบด้วยกฎหมาย” ของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งประโยชน์ดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลที่ตระหนักว่าการดำเนินการดังกล่าวควรใช้ความระมัดระวังเพื่อคุ้มครองประโยชน์และป้องกันผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลโดยตรง และหลีกเลี่ยงการใช้ข้อมูลเกินความคาดหวังปกติในบริบทของการติดต่อทางธุรกิจ

อนึ่ง ในกรณีที่บริษัทฯ เก็บรวมรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๖ อันได้แก่ ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในสิทธิศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในท่านองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด บริษัทฯ ต้องพิจารณาว่ามีฐานทางกฎหมายตามมาตรา ๒๖ เพิ่มเติมด้วย

ประเด็นหารือที่ ๒ กรณีที่บริษัทฯ รับจ้างเป็นผู้จัดการนิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรรซึ่งจดทะเบียนเป็นนิติบุคคลอาคารชุดตามกฎหมายว่าด้วยอาคารชุด

หรือจดทะเบียนเป็นนิติบุคคลหมู่บ้านจัดสรรตามกฎหมายว่าด้วยการจัดสรรที่ดินแล้วแต่กรณี หรือได้รับจ้างบริหารอาคารชุด/หมู่บ้านจัดสรร มีการเก็บรวบรวมข้อมูลส่วนบุคคลของผู้พักอาศัยเพื่อการออกใบแจ้งหนี้ การรักษาความปลอดภัย การระบุข้อมูลส่วนบุคคลในสติกเกอร์จอดรถ การทำทะเบียนผู้พักอาศัย และการให้บริการอื่น ๆ ที่เกี่ยวข้อง ซึ่งการดำเนินการดังกล่าวของบริษัทฯ เป็นการดำเนินการในฐานะผู้รับจ้าง ซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่ง หรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล (นิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรร) ในกรณีนี้ บริษัทฯ ไม่ใช่บุคคลธรรมดาหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล บริษัทฯ จึงไม่มีฐานะเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” แต่มีฐานะเป็น “ผู้ประมวลผลข้อมูลส่วนบุคคล” ตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องมีฐานทางกฎหมายตามที่กำหนดไว้ในมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี หน้าที่ในการเก็บรวบรวมข้อมูลส่วนบุคคลที่มีฐานทางกฎหมายดังกล่าวเป็นหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล ไม่ใช่หน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลแต่อย่างใด บริษัทฯ จึงไม่จำเป็นต้องได้รับความยินยอมหรือมีฐานทางกฎหมายตามมาตรา ๒๔ หรือมาตรา ๒๖ แต่หน้าที่ดังกล่าวเป็นของนิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรรที่ต้องเก็บรวบรวมข้อมูลส่วนบุคคลมาโดยชอบด้วยกฎหมายตามเงื่อนไขที่กฎหมายกำหนด

สำหรับกรณีที่บริษัทฯ ได้มีนิติสัมพันธ์เป็นผู้รับจ้าง (outsource) เป็นผู้จัดการนิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรร หรือเป็นผู้รับจ้างในการบริหารอาคารชุด/หมู่บ้านจัดสรร จากนิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรรซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล บริษัทฯ จึงมีฐานะเป็นเพียงผู้ประมวลผลข้อมูลส่วนบุคคล และมีหน้าที่ต้องดำเนินการตามคำสั่งที่ได้รับจากนิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรรในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๔๐ (๑) ตลอดจนมีหน้าที่อื่นตามที่พระราชบัญญัติดังกล่าวกำหนดให้เป็นหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลนอกจากนี้ ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลระหว่างกันเพื่อควบคุมการดำเนินงานตามสัญญาที่เป็นหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามที่กำหนดไว้ในพระราชบัญญัติดังกล่าวตามนัยมาตรา ๔๐ วรรคสามด้วย

๓๓

เรื่องที่ ๒ กองอำนวยการรักษาความมั่นคงภายในราชอาณาจักรขอหารือข้อกฎหมาย และการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ และมาตรา ๖ (บทนิยามคำว่า “ผู้ควบคุมข้อมูลส่วนบุคคล”)

2. พระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. ๒๕๕๑
   มาตรา ๕

3. พระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. ๒๕๔๕ และที่แก้ไขเพิ่มเติม
   มาตรา ๕

4. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๓๔
   มาตรา ๗

ข้อหารือ

กองอำนวยการรักษาความมั่นคงภายในราชอาณาจักร (กอ.รมน.) ขอหารือ ข้อกฎหมายและการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เกี่ยวกับมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งบัญญัติ ว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดย กอ.รมน. พิจารณาแล้วเห็นว่า มาตรา ๕ แห่งพระราชบัญญัติการรักษาความมั่นคงภายใน ราชอาณาจักร พ.ศ. ๒๕๕๑ บัญญัติให้จัดตั้ง กอ.รมน. ขึ้นในสำนักนายกรัฐมนตรี มีฐานะเป็นส่วนราชการรูปแบบเฉพาะอยู่ภายใต้การบังคับบัญชาชั้นตรง ต่อนายกรัฐมนตรี แต่กฎหมายมิได้กำหนดให้ กอ.รมน. มีฐานะเป็นนิติบุคคล เพื่อให้ กอ. รมน. สามารถดำเนินการคุ้มครองข้อมูลส่วนบุคคลได้อย่างถูกต้อง และมีประสิทธิภาพ จึงขอหารือข้อกฎหมายที่เกี่ยวข้องกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ ในสองประเด็น คือ

1. “ผู้ควบคุมข้อมูลส่วนบุคคล” ของ กอ.รมน. ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้แก่ ส่วนราชการใด

2. ผู้ที่มีอำนาจหน้าที่ที่จะพึงปฏิบัติหรือดำเนินการตามมาตรา ๖ แห่งพระราชบัญญัติดังกล่าว ได้แก่ ผู้ดำรงตำแหน่งใด และผู้ดำรงตำแหน่งดังกล่าว ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของ กอ.รมน. อาจมอบอำนาจการดำเนินการใด ๆ ตามกฎหมาย กฎ ระเบียบ ประกาศ คำสั่ง หรือมติของคณะรัฐมนตรีในเรื่องนั้น ให้แก่ ผู้ดำรงตำแหน่งอื่นปฏิบัติราชการแทนได้หรือไม่ เพียงใด

๓๔

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อ หารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พิจารณาแล้วมีความเห็นต่อประเด็นหารือที่หนึ่งว่า มาตรา ๕ วรรคหนึ่ง แห่งพระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. ๒๕๕๑ บัญญัติให้จัดตั้ง กอ.รมน. ขึ้นในสำนักนายกรัฐมนตรี มีอำนาจหน้าที่และ รับผิดชอบเกี่ยวกับการรักษาความมั่นคงภายในราชอาณาจักร โดยมาตรา ๕ วรรคเจ็ด บัญญัติให้ผู้อำนวยการรักษาความมั่นคงภายในราชอาณาจักร (ผอ.รมน.) มีอำนาจทำนิติ กรรม ฟ้องคดี ถูกฟ้องคดี และดำเนินการทั้งปวงเกี่ยวกับคดีอันเกี่ยวเนื่องกับอำนาจหน้าที่ ของ กอ.รมน. ทั้งนี้ โดยกระทำในนามของสำนักนายกรัฐมนตรี ประกอบกับมาตรา ๕ แห่งพระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. ๒๕๔๕ และที่แก้ไขเพิ่มเติม และมาตรา ๗ วรรคสอง แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๓๔ กำหนดให้สำนักนายกรัฐมนตรีเป็นส่วนราชการที่มีฐานะเป็นกระทรวง และมาตรา ๗ วรรคสาม แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๓๔ บัญญัติ ให้สำนักนายกรัฐมนตรีมีฐานะเป็นนิติบุคคล ดังนั้น สำนักนายกรัฐมนตรีซึ่งเป็นหน่วยงาน ต้นสังกัดของ กอ.รมน. ตามพระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. ๒๕๕๑ จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๖ แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมีอำนาจหน้าที่รวมถึงความรับผิดชอบ ในการตัดสินใจและกำกับดูแลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ให้เป็นไปตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เท่าที่พระราชบัญญัติดังกล่าวใช้บังคับแก่ กอ.รมน.

สำหรับประเด็นหารือที่สอง เห็นว่า โดยหลักการ พระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคลพ.ศ. ๒๕๖๒ กำหนดให้สถานภาพความเป็นผู้ควบคุมข้อมูลส่วนบุคคลเกิดจาก องค์ประกอบตามความในมาตรา ๖ แห่งพระราชบัญญัติดังกล่าว ดังนั้น หากพิจารณา จากข้อเท็จจริงและลักษณะการดำเนินการแล้ว ในบริบทของกฎหมายนี้ หากหน่วยงาน ใดที่เป็นนิติบุคคลมีอำนาจตัดสินใจหรือดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้หรือเปิดเผย ข้อมูลส่วนบุคคล หน่วยงานดังกล่าวจะถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล โดยไม่ต้อง มีการแต่งตั้งบุคคลใดเพื่อปฏิบัติหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอีก โดยส่วนงาน หรือหน่วยงานภายใน ตลอดจนพนักงานและบุคลากรของหน่วยงานดังกล่าวจะไม่มีสถานะ เป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลแยกต่างหากจากหน่วยงาน นั้น ดังนั้น สำหรับการดำเนินการของ กอ.รมน. ให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูล

๓๕

ส่วนบุคคล พ.ศ. ๒๕๖๒ เท่าที่พระราชบัญญัตินี้ใช้บังคับแก่ กอ.รมน. สำนักนายกรัฐมนตรี ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (ซึ่งรวมถึง กอ.รมน. ในฐานะหน่วยงานในสังกัด ของสำนักนายกรัฐมนตรี) รวมถึงผู้บริหารและบุคลากรที่เกี่ยวข้อง ย่อมมีหน้าที่ ตามกฎหมายที่จะพึงปฏิบัติหรือดำเนินการตามพระราชบัญญัติดังกล่าว อย่างไรก็ดี นายกรัฐมนตรีในฐานะ ผอ.รมน. ซึ่งเป็นผู้บังคับบัญชาข้าราชการ พนักงาน และลูกจ้าง ใน กอ.รมน. และรับผิดชอบในการปฏิบัติราชการของ กอ.รมน. ตามมาตรา ๕ วรรคสาม แห่งพระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. ๒๕๕๑ สามารถ มอบหมายหน้าที่หรือสั่งการให้ผู้ที่มีความเหมาะสมทำหน้าที่กำกับดูแลและดำเนินการ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของ กอ.รมน. ให้เป็นไป ตามบทบัญญัติแห่งกฎหมายได้ ทั้งนี้ มาตรา ๕ วรรคที่า แห่งพระราชบัญญัติการรักษา ความมั่นคงภายในราชอาณาจักร พ.ศ. ๒๕๕๑ บัญญัติให้เสนาธิการทหารบกเป็นเลขาธิการ กอ.รมน. มีหน้าที่รับผิดชอบงานอำนวยการและธุรการของ กอ.รมน. ดังนั้น นายกรัฐมนตรี ในฐานะ ผอ.รมน. อาจพิจารณามอบหมายหน้าที่หรือสั่งการให้เลขาธิการ กอ.รมน. หรือบุคคลอื่นที่ปฏิบัติหน้าที่ใน กอ.รมน. ดำเนินการในส่วนที่เกี่ยวข้องกับการปฏิบัติ ตามกฎหมายดังกล่าวก็ได้

อนึ่ง คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ มีความเห็นเพิ่มเติมว่า แม้ว่าการ ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อันเนื่องจากการ ปฏิบัติตามหน้าที่และอำนาจโดยชอบด้วยกฎหมายเพื่อรักษาความมั่นคงภายใน ราชอาณาจักรของ กอ.รมน. ตามที่กำหนดไว้ในบทบัญญัติแห่งพระราชบัญญัติการรักษา ความมั่นคงภายในราชอาณาจักร พ.ศ. ๒๕๕๑ หรือกฎหมายอื่นที่เกี่ยวข้อง จะเข้าข่ายเป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน จึงไม่ต้องอยู่ภายใต้บังคับแห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามนัยมาตรา ๔ (๒) แต่สำนักนายกรัฐมนตรี ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของ กอ.รมน. ซึ่งได้รับการยกเว้นไม่ให้นำบทบัญญัติ แห่งพระราชบัญญัตินี้มาใช้บังคับสำหรับภารกิจดังกล่าว และ กอ.รมน. ในฐานะหน่วยงาน ในสังกัด ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไป ตามมาตรฐานด้วย ทั้งนี้ ตามนัยมาตรา ๔ วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒

๓๖

เรื่องที่ ๓ บริษัท อ. ขอความอนุเคราะห์แนวทางปฏิบัติในการดำเนินการกับทรัพย์สิน
ที่เก็บได้ประเภทอุปกรณ์อิเล็กทรอนิกส์ที่มีข้อมูลส่วนบุคคลเพื่อให้เป็นไป
ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
กรณีไม่ถือเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
มาตรา ๖ และมาตรา ๓๗ (๑)

ข้อหารือ

บริษัท อ. ได้จัดทำร่างหลักเกณฑ์เกี่ยวกับการรับฝากทรัพย์สินและการจัดเก็บ
ทรัพย์สินที่เก็บได้ ณ สนามบินที่อยู่ในความรับผิดชอบ จึงขอหารือแนวปฏิบัติ
ในการดำเนินการกับอุปกรณ์อิเล็กทรอนิกส์ที่มีข้อมูลส่วนบุคคลบันทึกอยู่ และการลบ
หรือทำลายข้อมูลส่วนบุคคลที่อยู่ในอุปกรณ์อิเล็กทรอนิกส์ก่อนนำไปจำหน่าย
หรือขายทอดตลาดจะต้องทำอย่างใด

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจ
ตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้พิจารณาข้อหารือแล้ว ขอเรียนว่า การดำเนิน
กิจกรรมของแผนกบริการทรัพย์สินสูญหาย (Lost & Found) เป็นเพียงการจัดการ
ทรัพย์สินที่ไม่ทราบว่าเป็นของผู้ใดเท่านั้น ไม่ใช่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคล
ที่จะทำให้บริษัทฯ เป็นผู้ควบคุมข้อมูลส่วนบุคคลแต่อย่างใด อย่างไรก็ตาม เพื่อให้
การดำเนินการของบริษัทฯ เป็นไปตามแนวทางปฏิบัติที่ดี (Best Practice) การที่บริษัทฯ
จะนำทรัพย์สินดังกล่าวไปบริจาค/จำหน่าย/ขายทอดตลาด ในกรณีที่ไม่สามารถส่งคืนทรัพย์สิน
แก่ผู้เป็นเจ้าของได้ และบริษัทฯ สามารถดำเนินการกับทรัพย์สินดังกล่าวได้โดยชอบด้วย
กฎหมาย บริษัทฯ ควรทำการลบหรือทำลายข้อมูลส่วนบุคคลที่อยู่ภายในอุปกรณ์
อิเล็กทรอนิกส์ด้วย กล่าวคือ ๑) หากอุปกรณ์อิเล็กทรอนิกส์มีชิ้นส่วนที่ใช้จัดเก็บข้อมูล
ส่วนบุคคล ควรลบหรือทำลายข้อมูลที่อยู่ภายในชิ้นส่วนดังกล่าวให้เรียบร้อย ก่อนที่
จะนำไปดำเนินการในขั้นตอนต่อไป เท่าที่จะสามารถกระทำได้ ๒) หากอุปกรณ์
อิเล็กทรอนิกส์ไม่มีชิ้นส่วนที่ใช้จัดเก็บข้อมูลส่วนบุคคล แต่ข้อมูลดังกล่าวถูกจัดเก็บภายใน
อุปกรณ์อิเล็กทรอนิกส์ ควรตั้งค่าอุปกรณ์ให้กลับไปเป็นค่าโรงงาน (Factory Reset) ก่อนที่
จะนำไปดำเนินการในขั้นตอนต่อไป และ ๓) หากไม่สามารถเข้าถึงข้อมูลส่วนบุคคลภายใน

๓๗

อุปกรณ์อิเล็กทรอนิกส์ได้ ไม่ว่าจะด้วยวิธีการใดก็ตาม ควรพิจารณาทำลายอุปกรณ์ หรือทำลายชิ้นส่วนที่ใช้จัดเก็บข้อมูลส่วนบุคคลก่อน ซึ่งอาจถือได้ว่าบริษัทฯ ได้จัดให้มี มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ที่เหมาะสมและเป็นไปตามที่ กฎหมายกำหนดไว้แล้ว

๓๘

แนวทางปฏิบัติในการจัดทำประกาศความเป็นส่วนตัว

๔๐

เรื่องหรือที่เกี่ยวข้อง

เรื่องที่ ๑ กรมเจ้าท่า ขอหารือกรณีการจัดทำคำประกาศความเป็นส่วนตัว (privacy notice)

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๒๑ และมาตรา ๒๓
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
   มาตรา ๗ (๔) และมาตรา ๒๘ (๒)

ข้อหารือ

กรมเจ้าท่าได้มีการตั้งคณะทำงานดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ ๒๕๖๒ และอยู่ในขั้นตอนการจัดทำ (ร่าง) คำประกาศความเป็นส่วนตัว (Privacy Notice) ของกรมเจ้าท่า เพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ ๒๕๖๒ มาตรา ๒๓ ที่บัญญัติว่า ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียดที่กำหนด จึงขอหารือในประเด็น ดังนี้

1. เนื่องจากร่างประกาศความเป็นส่วนตัว (Privacy Notice) มีหลักการคือ การแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบรายละเอียดของข้อมูลส่วนบุคคลที่กรมเจ้าท่าได้เก็บรวบรวม ดังนั้น ร่างประกาศดังกล่าวมีสภาพอย่างกฎ มีผลใช้บังคับกระทบสิทธิประชาชนเป็นการทั่วไปหรือไม่

2. หากร่างประกาศความเป็นส่วนตัว (Privacy Notice) มีสภาพอย่างกฎ และมีการนำไปใช้ในการปฏิบัติหน้าที่ของกรมเจ้าท่า ซึ่งจะกระทบสิทธิของประชาชนจำเป็นจะต้องให้หัวหน้าหน่วย หรืออธิบดีกรมเจ้าท่าเป็นผู้ลงนามในประกาศ หรือไม่

3. ตามมาตรา ๗ (๔) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ ๒๕๔๐ บัญญัติให้หน่วยงานของรัฐต้องส่งข้อมูลข่าวสารของราชการอย่างน้อยดังต่อไปนี้ลงพิมพ์ในราชกิจจานุเบกษา ได้แก่ กฎ มติคณะรัฐมนตรี ข้อบังคับ คำสั่ง หนังสือเวียน ระเบียบแบบแผน นโยบาย หรือการตีความ ทั้งนี้ เฉพาะที่จะให้มีขึ้นโดยมีสภาพอย่างกฎ เพื่อให้มีผลเป็นการทั่วไปต่อเอกชนที่เกี่ยวข้อง ดังนั้น หากร่างประกาศความเป็นส่วนตัว (Privacy Notice) มีลักษณะเป็นกฎ หรือเป็นนโยบายของกรมเจ้าท่า จะต้องส่งร่างประกาศดังกล่าวลงพิมพ์ประกาศในราชกิจจานุเบกษา หรือไม่

๔๑

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐ เพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วมีความเห็น ดังนี้

กรณีตามประเด็นหารือที่ ๑ และประเด็นหารือที่ ๓ เห็นว่า มาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้บัญญัติว่า ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงวัตถุประสงค์และรายละเอียดเกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคล และมาตรา ๒๑ บัญญัติให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม และจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลแตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้มิได้ เว้นแต่ได้แจ้งวัตถุประสงค์ใหม่นั้นให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอมก่อนเก็บรวบรวม ใช้ หรือเปิดเผยแล้ว หรือบทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ โดยหากผู้ควบคุมข้อมูลส่วนบุคคลไม่ปฏิบัติตามบทบัญญัติดังกล่าว จะมีโทษทางปกครอง (ตามมาตรา ๘๒ หรือมาตรา ๘๓ แล้วแต่กรณี) การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) จึงเป็นการดำเนินการเพื่อให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลมีความโปร่งใสเป็นธรรม และกระทำได้เท่าที่จำเป็นภายใต้วัตถุประสงค์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลและผู้ควบคุมข้อมูลส่วนบุคคลจะดำเนินการกับข้อมูลส่วนบุคคลแตกต่างจากที่ได้แจ้งไว้ไม่ได้หากไม่เข้าข้อยกเว้น โดยมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้กำหนดรูปแบบหรือวิธีการของการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) ซึ่งในทางปฏิบัติ ผู้ควบคุมข้อมูลส่วนบุคคลอาจใช้วิธีการแจ้ง โดยวาจา แจ้งเป็นหนังสือแจ้งโดยวิธีการทางอิเล็กทรอนิกส์ หรือแจ้งโดยวิธีการอื่นใดที่เจ้าของข้อมูลส่วนบุคคลจะทราบได้ และอาจแจ้งเป็นรายบุคคลหรือแจ้งเป็นการทั่วไป เช่น ในรูปแบบประกาศความเป็นส่วนตัว ก็ได้ แล้วแต่บริบทและความเหมาะสม ทั้งนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้กำหนดแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งมีคำอธิบายเพิ่มเติมเกี่ยวกับการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล ตามมาตรา ๒๓ และมาตราอื่นที่เกี่ยวข้อง (ดูรายละเอียดในเว็บไซต์ของสำนักงานคณะกรรมการ

๔๒

คุ้มครองข้อมูลส่วนบุคคลที่ http://www.pdpc.or.th/) ดังนั้น ในกรณีที่หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลจัดทำเป็นประกาศความเป็นส่วนตัว (privacy notice) ไม่ว่าจะเรียกชื่ออย่างไร โดยมีวัตถุประสงค์และรายละเอียดตามมาตรา ๒๓ ประกาศดังกล่าวจึงมีลักษณะเป็นเพียงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ โดยไม่ได้มุ่งหมายให้มีผลทางกฎหมายเป็นการบังคับต่อเจ้าของข้อมูลส่วนบุคคล ซึ่งจะแตกต่างจากกฎ ระเบียบ ข้อบังคับ หรือประกาศอื่นที่มีผลบังคับเป็นการทั่วไป และมุ่งหมายให้บุคคลที่เกี่ยวข้องกับเรื่องนั้น ๆ ต้องปฏิบัติตามที่กำหนด

อย่างไรก็ตาม ประเด็นที่กรมเจ้าท่าหารีอมาว่า มาตรา ๗ แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ซึ่งบัญญัติให้หน่วยงานของรัฐต้องส่งข้อมูลข่าวสารของราชการอย่างน้อยดังต่อไปนี้ลงพิมพ์ในราชกิจจานุเบกษา (๑) ฯลฯ (๔) กฎมติคณะรัฐมนตรี ข้อบังคับ คำสั่ง หนังสือเวียน ระเบียบ แบบแผน นโยบาย หรือการตีความทั้งนี้ เฉพาะที่จัดให้มีขึ้นโดยมีสภาพอย่างกฎ เพื่อให้มีผลเป็นการทั่วไปต่อเอกชนที่เกี่ยวข้องฯลฯ นั้น ครอบคลุมถึงประกาศความเป็นส่วนตัว (privacy notice) ตามมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ และจะต้องส่งประกาศความเป็นส่วนตัว (privacy notice) ดังกล่าวไปลงพิมพ์ในราชกิจจานุเบกษาหรือไม่ คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ มีข้อสังเกตว่า การพิจารณาข้อหารือดังกล่าวจะต้องพิจารณาก่อนว่า คำว่า “โดยมีสภาพอย่างกฎ” ตามที่กรมเจ้าท่าหารีอมนั้น มีลักษณะอย่างไร ซึ่งมาตรา ๕ แห่งพระราชบัญญัติวิธีปฏิบัติราชการทางปกครอง พ.ศ. ๒๕๓๙ บัญญัติว่า “กฎ” หมายความว่า พระราชกฤษฎีกา กฎกระทรวง ประกาศกระทรวง ข้อบัญญัติท้องถิ่น ระเบียบ ข้อบังคับ หรือบทบัญญัติอื่นที่มีผลบังคับเป็นการทั่วไป โดยไม่มุ่งหมายให้ใช้บังคับแก่กรณีใดหรือบุคคลใดเป็นการเฉพาะ แต่เนื่องจากการพิจารณาเกี่ยวกับสถานะความเป็น “กฎ” และการส่งประกาศดังกล่าวไปลงพิมพ์ในราชกิจจานุเบกษา ซึ่งจะต้องพิจารณาตามมาตรา ๗ (๔) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ นั้น เป็นหน้าที่และอำนาจของคณะกรรมการข้อมูลข่าวสารของราชการในการให้คำปรึกษาแก่เจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐเกี่ยวกับการปฏิบัติตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ตามมาตรา ๒๘ (๒) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ กรณีที่หารือนี้ กรมเจ้าท่าจึงควรหารือไปยังคณะกรรมการข้อมูลข่าวสารของราชการ ซึ่งมีหน้าที่และอำนาจในเรื่องนี้เพื่อพิจารณาตีความหรือวินิจฉัยต่อไป

สำหรับประเด็นหารือที่ ๒ เห็นว่า มาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้กำหนดรูปแบบหรือวิธีการของการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ

๔๓

(privacy notice) หากพิจารณาเฉพาะตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล ให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) ดังกล่าว หากจัดทำในรูปแบบประกาศ ความเป็นส่วนตัว ไม่ว่าจะเรียกชื่ออย่างไร จึงอาจมีการลงนามหรือไม่ก็ได้ โดยหากประสงค์ จะให้มีการลงนาม หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณากำหนด หรือมอบหมายบุคคลที่เหมาะสมเป็นผู้ลงนามก็ได้ อย่างไรก็ดี เมื่อกรมเจ้าท่าได้พิจารณาข้อ หารือในประเด็นหารือที่ ๑ และประเด็นหารือที่ ๓ กับหน่วยงานที่เกี่ยวข้องเป็นที่ยุติแล้ว การพิจารณาว่าจะต้องลงนามในประกาศความเป็นส่วนตัวดังกล่าวหรือไม่ และลงนาม โดยผู้ใด จำเป็นจะต้องพิจารณาตามกฎหมายหรือระเบียบที่เกี่ยวข้องกับการปฏิบัติราชการ ของกรมเจ้าท่า ซึ่งไม่อยู่ในหน้าที่และอำนาจของคณะกรรมการคุ้มครองข้อมูล ส่วนบุคคลโดยตรง

เรื่องที่ ๒ สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติขอหารือ เกี่ยวกับการจัดทำประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคล

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๒๑ มาตรา ๒๓ และมาตรา ๓๗ (๑)

2. แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บ รวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล ตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

3. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษา ความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕
   ข้อ ๔ (๒)

ข้อหารือ

สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ (สำนักงาน ป.ป.ช.) ขอหารือกรณีสำนักงาน ป.ป.ช. ได้ดำเนินการประเมินคุณธรรมและความโปร่งใสใน การดำเนินงานของหน่วยงานของรัฐ (Integrity & Transparency Assessment: ITA) ประจำปีงบประมาณ พ.ศ. ๒๕๖๖ เพื่อเป็นส่วนหนึ่งของการขับเคลื่อนมาตรการ ด้านการป้องกันการทุจริต รวมถึงเสริมสร้างและพัฒนาระบบการบริหารจัดการหน่วยงาน ของรัฐด้วยความโปร่งใส โดยในแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) ตัวชี้วัดที่ ๙ การเปิดเผยข้อมูล ตัวชี้วัดย่อยที่ ๙.๑ ข้อมูลพื้นฐาน ข้อ ๑๐ นโยบายคุ้มครองข้อมูล ส่วนบุคคล ได้มีการกำหนดให้หน่วยงานภาครัฐที่เข้าร่วมการประเมินต้องดำเนินการ

เปิดเผยข้อมูลนโยบายคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เพื่อแจ้งรายละเอียดวิธีการคุ้มครองและจัดการข้อมูลส่วนบุคคลของหน่วยงาน ในการนี้ เพื่อให้การเปิดเผยข้อมูลตามแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) ของหน่วยงานที่เข้าร่วมการประเมินเป็นไปด้วยความเรียบร้อยและเป็นมาตรฐานเดียวกัน จึงหารือว่า ในการประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หน่วยงานที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงเช่น กรม องค์การมหาชน รัฐวิสาหกิจ เป็นต้น จะต้องดำเนินการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลเป็นการเฉพาะของหน่วยงานหรือไม่ หรือสามารถจัดทำประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคล ในลักษณะภาพรวมของกระทรวงที่มีความครอบคลุมทุกหน่วยงานในสังกัดได้หรือไม่

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้กำหนดให้หน่วยงานของรัฐที่เป็นนิติบุคคลและมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล และมีหน้าที่ต้องแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ตามมาตรา ๒๓ รวมทั้งต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม และจะทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้ดังกล่าวไม่ได้ เว้นแต่ได้แจ้งวัตถุประสงค์ใหม่นั้นให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอมก่อนเก็บรวบรวม ใช้ หรือเปิดเผยแล้วหรือบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือกฎหมายอื่นบัญญัติให้กระทำได้ ตามนัยมาตรา ๒๑ ซึ่งการแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ตามมาตรา ๒๓ นั้น ในภาษาอังกฤษจะเรียกว่า privacy notice แต่อาจเรียกเป็นภาษาไทยแตกต่างกัน เช่น ประกาศความเป็นส่วนตัว ประกาศเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลนโยบายความเป็นส่วนตัว (privacy policy) หรือนโยบายการคุ้มครองข้อมูลส่วนบุคคลหรืออื่น ๆ ก็ได้ เนื่องจากพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มิได้กำหนดชื่อเรียกไว้เป็นการเฉพาะ และอาจมีการแจ้งเป็นหนังสือ การแจ้งทางวาจาการแจ้งทางข้อความในรูปแบบ SMS, อีเมล, MMS หรือทางโทรศัพท์หรือโดยวิธีการทาง

๔๔

๔๕

อิเล็กทรอนิกส์อื่นใด เช่น การระบุรายละเอียดใน URL หรือ QR code เป็นต้น รวมถึงอาจใช้สื่อประชาสัมพันธ์ในรูปแบบต่าง ๆ ก็ได้ แต่จะต้องมีสาระสำคัญที่สอดคล้องและเป็นไปตามบทบัญญัติในมาตรา ๒๓ ดังนั้น การแจ้งวัตถุประสงค์และรายละเอียดตามมาตรา ๒๓ (privacy notice) จึงเป็นหน้าที่ตามกฎหมายขององค์กรในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่จะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบตามที่กฎหมายกำหนด ทั้งนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้กำหนดแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งมีคำอธิบายเพิ่มเติมเกี่ยวกับการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ และมาตราอื่นที่เกี่ยวข้อง (ดูรายละเอียดได้ในเว็บไซต์ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่ http://www.pdpc.or.th/)

อย่างไรก็ดี คำว่า “นโยบายการคุ้มครองข้อมูลส่วนบุคคล” (privacy policy หรือ personal data protection policy) ยังมีที่ใช้ในอีกความหมายหนึ่ง คือ นโยบายภายในองค์กรที่หน่วยงานกำหนดขึ้นเพื่อวางหลักการหรือวิธีปฏิบัติเพื่อเป็นแนวทางการดำเนินการภายในหน่วยงานเอง (เช่นเดียวกับนโยบายในเรื่องอื่น ๆ เช่น นโยบายการอนุรักษ์พลังงาน) โดยหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอาจกำหนดว่าหน่วยงานมีนโยบายในการคุ้มครองข้อมูลส่วนบุคคลอย่างไร ซึ่งอาจกำหนดเป็นลายลักษณ์อักษรหรือไม่ก็ได้ ทั้งนี้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้กำหนดให้หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลกำหนดนโยบายการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานขึ้นอย่างชัดเจน แต่มาตรา ๓๗ (๑) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหายเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด และคณะกรรมการฯ ได้ออกประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ โดยข้อ ๔ (๒) ของประกาศดังกล่าวกำหนดให้มาตรการรักษาความมั่นคงปลอดภัยดังกล่าวอย่างน้อยจะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาส

เกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล (กล่าวคือ ใช้แนวคิดที่อ้างอิงบนฐานความเสี่ยง หรือ risk-based approach) ซึ่งนโยบายการคุ้มครองข้อมูลส่วนบุคคลภายในองค์กร อาจถือเป็นมาตรการเชิงองค์กรมาตรการหนึ่งที่หน่วยงานสามารถพิจารณากำหนดขึ้นเพื่อใช้เป็นแนวทางการดำเนินการภายในหน่วยงานได้ตามความเหมาะสม และการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลที่เป็นมาตรการเชิงองค์กรดังกล่าว ย่อมมีวัตถุประสงค์ในการสื่อสารแตกต่างจากการแจ้งวัตถุประสงค์และรายละเอียดตามมาตรา ๒๓ (privacy notice) กล่าวคือ นโยบายการคุ้มครองข้อมูลส่วนบุคคลที่เป็นมาตรการเชิงองค์กรเป็นการสื่อสารและส่งสัญญาณเชิงนโยบายภายในองค์กรระหว่างผู้บริหารและบุคลากรขององค์กร เช่น พนักงาน ลูกจ้าง และผู้ปฏิบัติงานในบทบาทต่าง ๆ เพื่อให้ทราบหลักการหรือแนวทางการดำเนินการขององค์กรเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล รวมถึงอาจกำหนดบทบาทหน้าที่ของบุคลากรที่เกี่ยวข้องกับเรื่องดังกล่าว และมาตรการลงโทษหากบุคลากรฝ่าฝืนนโยบายขององค์กร

ดังนั้น เพื่อให้การประเมินคุณธรรมและความโปร่งใสในการดำเนินงานของหน่วยงานภาครัฐ (Integrity and Transparency Assessment: ITA) ประจำปีงบประมาณ พ.ศ. ๒๕๖๖ บรรลุวัตถุประสงค์ตามที่สำนักงาน ป.ป.ช. กำหนด และสามารถดำเนินการได้โดยสอดคล้องกับหลักการในการแจ้งวัตถุประสงค์และรายละเอียดของการเก็บรวบรวมข้อมูลส่วนบุคคล ให้เจ้าของข้อมูลส่วนบุคคลทราบตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สำนักงาน ป.ป.ช. จึงควรกำหนดให้หน่วยงานภาครัฐที่มีฐานะเป็นนิติบุคคล เช่น กรม องค์การมหาชน รัฐวิสาหกิจ เป็นต้น ซึ่งถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่เข้าร่วมการประเมินดังกล่าวต้องจัดทำเอกสารหรือประกาศแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ของหน่วยงานนั้น เป็นการเฉพาะตามที่มาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดไว้ อย่างไรก็ดี ในกรณีที่เห็นสมควร กระทรวงดังกล่าวก็ต่อาจจัดทำเอกสารหรือประกาศแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ในลักษณะภาพรวมของกระทรวงที่มีความครอบคลุมทุกหน่วยงาน ในสังกัดด้วยก็ได้ แต่หน่วยงานภาครัฐในสังกัดกระทรวงดังกล่าวที่มีฐานะเป็นนิติบุคคล จะต้องมีการดำเนินการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ในบริบทของหน่วยงานนั้นให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลด้วย ไม่ว่าจะใช้เอกสารหรือประกาศของหน่วยงานเองหรือเอกสารหรือประกาศในภาพรวมของกระทรวงที่สังกัดก็ตาม

๔๖

๔๗

แต่ในกรณีนี้ ควรพิจารณาหลีกเลี่ยงการใช้คำว่า “นโยบาย” ในกรณีที่หมายถึง privacy notice ตามมาตรา ๒๓ เนื่องจากอาจทำให้หน่วยงานเข้าใจคลาดเคลื่อนได้

นอกจากนี้ หากสำนักงาน ป.ป.ช. เห็นว่า ควรกำหนดให้หน่วยงานภาครัฐที่เข้าร่วมการประเมินต้องดำเนินการเปิดเผยข้อมูลนโยบายของหน่วยงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นมาตรการเชิงองค์กรที่เป็นส่วนหนึ่งของมาตรการรักษาความมั่นคงปลอดภัยของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ก็สามารถทำได้ แม้จะไม่ได้เป็นข้อกำหนดที่เป็นมาตรฐานขั้นต่ำตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ อย่างชัดเจนก็ตาม ซึ่งในกรณีนี้ อาจพิจารณาให้หน่วยงานที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวง เช่น กรม องค์การมหาชน รัฐวิสาหกิจ เป็นต้น กำหนดนโยบายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลเป็นการเฉพาะของหน่วยงาน หรือจัดทำเป็นนโยบายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะภาพรวมของกระทรวงที่มีความครอบคลุมทุกหน่วยงานในสังกัดก็ได้ แล้วแต่จะเห็นสมควร โดยการดำเนินการอาจต้องมีความยืดหยุ่นและคำนึงถึงความแตกต่างกันตามบริบทและลักษณะการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของแต่ละหน่วยงาน แม้จะสังกัดกระทรวงเดียวกันด้วย

เพื่อให้เกิดความชัดเจนในทางปฏิบัติ สำนักงาน ป.ป.ช. ควรจัดทำคำชี้แจงไว้เป็นหลักเกณฑ์ในแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) และเอกสารที่เกี่ยวข้องโดยเฉพาะในการทำความเข้าใจว่าตัวชี้วัดข้อดังกล่าวหมายถึงการแจ้งวัดถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (privacy notice) หรือนโยบายภายในองค์กรที่เป็นมาตรการเชิงองค์กรของหน่วยงานที่มีเจตนาเป็นการวางหลักการหรือวิธีปฏิบัติเพื่อเป็นแนวทางการดำเนินการภายในหน่วยงานเอง เพื่อจะได้ไม่เป็นปัญหาสำหรับการดำเนินการในเรื่องดังกล่าว และทำให้หน่วยงานภาครัฐที่เข้าร่วมการประเมินฯ สามารถดำเนินการได้อย่างถูกต้องตามวัตถุประสงค์ของการจัดให้มีการประเมินคุณธรรมและความโปร่งใสในการดำเนินงานของหน่วยงานภาครัฐต่อไป

แนวทางปฏิบัติในการขอความยินยอม
และการขอถอนความยินยอม

เรื่องหรือที่เกี่ยวข้อง

เรื่องที่ ๑ บริษัท ก. ขอหารือกรณีบริษัทประกันภัยร้องขอให้ลงนามในหนังสือคำรับรอง การได้รับความยินยอมจากพนักงานในฐานะเจ้าของข้อมูลส่วนบุคคล

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๑๙ มาตรา ๒๐ มาตรา ๒๓ มาตรา ๒๔ มาตรา ๒๖ มาตรา ๒๗
   และมาตรา ๙๕

2. ประมวลกฎหมายแพ่งและพาณิชย์
   ลักษณะ ๔ นิติกรรม และมาตรา ๑๔๙

3. แนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อหารือ

บริษัท ก. โดยเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ แจ้งว่า บริษัทประกันภัย อ. (“อ.”) ได้ดำเนินการร้องขอบริษัท ก. โดยแนวทางของสมาคม ประกันภัย ให้บริษัท ก. ลงนามในคำรับรองการได้รับความยินยอมจากสมาชิก ผู้เอาประกันภัย/ผู้อยู่ในอุปการะ (“หนังสือคำรับรอง”) โดยเนื้อหาหลักโดยรวมของหนังสือ คำรับรอง เป็นกรณีให้บริษัท ก. รับรองว่าพนักงานผู้เอาประกันกลุ่มยินยอมและรับรอง ความถูกต้องให้ประมวลผล (processing) ข้อมูลส่วนบุคคลของพนักงานแก่ อ. (กล่าวในอีกนัย คือเสมือนหนึ่งให้บริษัท ก. รับรองแทนพนักงานในการให้ความยินยอมและความถูกต้อง) หรือธุรกิจเกี่ยวเนื่องกับธุรกิจประกันภัยทั้งหมด และผลักภาระการขอความยินยอมทั้งหมด มาที่บริษัท ก. หากบริษัท ก. ไม่ลงนามจะเสียสิทธิการต่อประกัน หรือการเพิ่มสมาชิก เอาประกันกับ อ. โดยทางบริษัท ก. ได้มีกรมธรรม์กลุ่มกับ อ. มากกว่า ๔-๕ ปีแล้ว โดยผ่านบริษัทที่เป็นตัวแทนนายหน้าแห่งหนึ่ง โดยทางบริษัท ก. เห็นว่า (๑) โดยหลักการ ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การยินยอมเปิดเผยข้อมูล ส่วนบุคคลต้องมาจากตัวเจ้าของข้อมูลส่วนบุคคลโดยแท้ มิใช่ใครจะให้ความยินยอมแทนได้ นอกจากนี้เมื่อไปถึงโรงพยาบาล (กรณีพนักงานต้องการใช้สิทธิ) ก็เป็นสิทธิพนักงาน ในการให้ความยินยอมอีกครั้ง (๒) ทางบริษัท ก. กับ อ. มีการจำกัดความรับผิด ค่ารักษาพยาบาลต่าง ๆ โดยตัวกรมธรรม์ (๓) การที่ อ. ปฏิเสธการให้บริการโดยอ้าง การไม่ให้ความยินยอมผิดหลักมาตรา ๑๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ (๔) อ. สามารถใช้วัตถุประสงค์เดิมจากการทำกรมธรรม์กลุ่มที่มีโดยไม่ต้อง มีเอกสารความยินยอมเพิ่มเติมอีกจากบริษัท ก. ตามมาตรา ๙๕ แห่งพระราชบัญญัติ

๔๕

คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แต่ ฮ. ยังต้องการให้บริษัท ก. ลงนามหนังสือ คำรับรองฉบับดังกล่าว

บริษัท ก. จึงขอหารือในประเด็นดังนี้

๑. หนังสือคำรับรองของ ฮ. เป็นเอกสารที่ผิดวัตถุประสงค์ของพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ (ยินยอมแทนพนักงานเพื่อ Processing Sensitive Data)

๒. การที่ ฮ. บังคับให้ลงนามหนังสือคำรับรอง โดยหากไม่ลงนามจะไม่ให้บริการ บริษัท ก. (เช่น ระงับการรับประกันภัยสมาชิกใหม่เพิ่มเติมระหว่างปีกรมธรรม์ และระงับ การนำส่งหนังสือแจ้งเตือนต่ออายุกรมธรรม์ และไม่ต่ออายุกรมธรรม์ประกันภัยเมื่อถึงวัน ครบรอบปีกรมธรรม์) ผิดมาตรา ๑๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่

๓. ลักษณะการผลักภาระความรับผิดชอบในการขอความยินยอมมาที่บริษัท ก. เป็นลักษณะที่มีวัตถุประสงค์ที่ไม่ชอบด้วยกฎหมายหรือไม่

๔. หนังสือคำรับรอง สามารถแก้ไขได้หรือไม่ มีข้อกฎหมายใดตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่บริษัท ก. จะต้องลงนามหรือเป็นลักษณะบังคับ ให้บริษัท ก. ต้องกระทำการ

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐ เพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า

ประเด็นหารือที่ ๑ ถึง ๓ เห็นว่า ในการขอความยินยอม มาตรา ๑๙ วรรคหนึ่ง วรรคสองและวรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติ ให้ผู้ควบคุมข้อมูลส่วนบุคคลที่จะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติ แห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ และการขอความยินยอมต้อง ทำโดยชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจ ขอความยินยอมด้วยวิธีการดังกล่าวได้ รวมถึงต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไปด้วย ซึ่งต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่าย และไม่เป็น การหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว โดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้กำหนดแนวทางการดำเนินการในการขอ

40

ความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เพื่อให้มีคำอธิบายที่เป็นแนวทางการดำเนินการในการขอความยินยอม จากเจ้าของข้อมูลส่วนบุคคลแก่ผู้เกี่ยวข้องที่ชัดเจนมากขึ้น (สามารถดูรายละเอียด ได้ที่เว็บไซต์ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล)

อย่างไรก็ดี ผู้ควบคุมข้อมูลส่วนบุคคลอาจมอบหมายให้ตัวแทนหรือผู้อื่นกระทำ การแทนในเรื่องการขอความยินยอมดังกล่าวได้ เนื่องจากในบางกรณีอาจมีข้อจำกัด ในทางปฏิบัติเนื่องจากผู้ควบคุมข้อมูลส่วนบุคคลที่ต้องขอความยินยอมไม่ได้ เป็นผู้ติดต่อสื่อสารกับเจ้าของข้อมูลส่วนบุคคลโดยตรง แต่มีตัวแทนหรือตัวกลางที่ทำหน้าที่ ประสานงานแทน โดยเฉพาะในกรณีที่เป็นการดำเนินการกับเจ้าของข้อมูลส่วนบุคคล เป็นกลุ่ม และไม่มีช่องทางที่ผู้ควบคุมข้อมูลส่วนบุคคลจะสามารถติดต่อสื่อสารกับเจ้าของ ข้อมูลส่วนบุคคลแต่ละรายได้โดยง่าย จึงอาจมีการมอบหมายให้ตัวแทนหรือผู้อื่นทำการ ขอความยินยอมแทนผู้ควบคุมข้อมูลส่วนบุคคลได้ ทั้งนี้ ตามประมวลกฎหมายแพ่ง และพาณิชย์ การให้ความยินยอมเป็นนิติกรรมฝ่ายเดียวที่บุคคลหนึ่งทำลงโดยชอบด้วย กฎหมายและด้วยใจสมัคร เพื่อเป็นการแสดงเจตนาของตนว่ายินยอมให้ผู้ใดกระทำการใด ต่อสิทธิของตนเพื่อวัตถุประสงค์อย่างหนึ่งอย่างใดได้ โดยในการให้ความยินยอมอาจ มีการกำหนดขอบเขต เงื่อนไข เงื่อนเวลา และวิธีการในการกระทำดังกล่าวได้ และผู้แสดง เจตนาอาจถอนความยินยอมได้ในภายหลัง การขอความยินยอมและการให้ความยินยอม ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจึงไม่จำเป็นต้องกระทำโดยผู้ควบคุม ข้อมูลส่วนบุคคลต่อเจ้าของข้อมูลส่วนบุคคลโดยตรง แต่จะต้องมีเนื้อหาที่ครอบคลุม ถึงการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคล (หรือบุคคลอื่น) ในวัตถุประสงค์ที่เกี่ยวข้อง และจะต้องเป็นการขอความยินยอมโดยชอบ ด้วยกฎหมาย โดยเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ โดยในการมอบหมายให้ตัวแทนหรือผู้อื่นทำการขอความยินยอม แทนผู้ควบคุมข้อมูลส่วนบุคคล อาจมีการกำหนดหน้าที่ความรับผิดชอบและสิทธิ ตลอดจน ความรับผิดของแต่ละฝ่ายไว้ในรูปแบบนิติกรรมหรือสัญญาที่มอบหมายหน้าที่ (หรือ “ผลักภาระ”) ให้อีกฝ่ายหนึ่งเป็นผู้ขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล แทนตนได้ (ตราบเท่าที่ไม่ได้เป็นการมอบหมายหน้าที่ให้ดำเนินการเกี่ยวกับการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของตน ที่จะทำให้ฝ่าย ที่ได้รับมอบหมายมีฐานะเปลี่ยนไปเป็นผู้ประมวลผลข้อมูลส่วนบุคคล) และเป็นกรณี ที่คู่สัญญาทุกฝ่ายจะพิจารณาเจรจาเงื่อนไขในนิติกรรมหรือสัญญาร่วมกันได้ ตามที่เห็นสมควรเพื่อประโยชน์ร่วมกันของคู่สัญญาทุกฝ่ายและเพื่อคุ้มครองประโยชน์ ของฝ่ายตน

๕๑

๕๒

สำหรับประเด็นที่บริษัท ก. หารือมานั้น เมื่อพิจารณาข้อความในหนังสือคำรับรองของบริษัทประกันภัยที่ได้กำหนดให้บริษัท ก. ในฐานะผู้ถือกรมธรรม์ ต้องลงนามในคำรับรองสำหรับผู้ถือกรมธรรม์ ซึ่งเรียกว่า “หนังสือรับรองการได้รับความยินยอมจากสมาชิกผู้เอาประกันภัย/สมาชิกสมทบ” หรือ “หนังสือรับรองการได้รับความยินยอมจากสมาชิกผู้เอาประกันภัย/ผู้อยู่ในอุปการะ” ตามแนวปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ระหว่างบริษัทประกันชีวิตและบริษัทนายหน้าประกันภัยที่สมาคมประกันชีวิตไทยร่วมกับสมาคมนายหน้าประกันภัยไทยจัดทำขึ้นนั้น พบว่าเป็นเพียงการรับรองต่อบริษัทประกันภัยที่เป็นผู้รับประกันภัยในลักษณะที่เป็นการยืนยันว่าบริษัท ก. ได้ทำหน้าที่ในการแจ้งนโยบายคุ้มครองข้อมูลส่วนบุคคลของผู้รับประกันภัยให้กับสมาชิกผู้เอาประกันภัย/สมาชิกสมทบ หรือสมาชิกผู้เอาประกันภัย/ผู้อยู่ในอุปการะแล้วแต่กรณี รับทราบแล้ว (เพื่อให้เป็นไปตามมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในเรื่องการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล หรือ privacy notice) และได้รับรองว่า ข้อมูลของสมาชิกผู้เอาประกันภัยที่ส่งให้ผู้รับประกันภัยและ/หรือนายหน้าประกันชีวิตเป็นข้อมูลที่ถูกต้องและได้นำ “หนังสือให้ความยินยอมเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลและข้อมูลอ่อนไหวเพื่อการทำประกันภัยกลุ่ม” หรือเอกสารในลักษณะเดียวกันไปขอความยินยอมจากพนักงานของบริษัท ก. ที่เป็นสมาชิกผู้เอาประกันภัย/สมาชิกสมทบหรือสมาชิกผู้เอาประกันภัย/ผู้อยู่ในอุปการะ แล้วแต่กรณี แทนบริษัทประกันชีวิตที่เป็นผู้รับประกันภัย และได้รับความยินยอมจากพนักงานแล้ว รวมถึงบริษัท ก. ตกลงว่าจะจัดเก็บหลักฐานความยินยอมของสมาชิกผู้เอาประกันภัยไว้ตลอดเวลา และสามารถให้สำเนาแก่ผู้รับประกันภัยและ/หรือนายหน้าประกันชีวิตได้เมื่อร้องขอ รวมถึงมีหน้าที่ดำเนินการในกรณีที่สมาชิกถอนความยินยอม และมีความรับผิดชอบตามกฎหมายต่อนายหน้าประกันชีวิต และ/หรือผู้รับประกันภัยตามที่กำหนด การที่บริษัท ก. ทำหน้าที่ประสานงานเพื่อขอความยินยอมจากพนักงานของบริษัท ก. แทนผู้รับประกันภัยและ/หรือนายหน้าประกันชีวิต หรือบุคคลอื่นใดตามที่กำหนดในหนังสือดังกล่าว และให้คำรับรองกับผู้รับประกันภัยและ/หรือนายหน้าประกันชีวิตตามที่กำหนดในหนังสือ จึงไม่ใช่การที่บริษัท ก. ให้ความยินยอมแทนพนักงานซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลดังนั้น คำรับรองและหนังสือรับรองการได้รับความยินยอมจากสมาชิกผู้เอาประกันภัย/สมาชิกสมทบ หรือสมาชิกผู้เอาประกันภัย/ผู้อยู่ในอุปการะ แล้วแต่กรณี ดังกล่าวจึงไม่ใช่การขอความยินยอมและการให้ความยินยอมตามนัยมาตรา ๑๙ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เนื้อหาในคำรับรองตามที่กำหนดในหนังสือดังกล่าวที่มีลักษณะเป็นการมอบหมายหน้าที่หรือ “ผลักภาระ” ความรับผิดชอบในการ

ขอความยินยอมมายังบริษัท ก. สามารถกระทำได้โดยชอบด้วยกฎหมาย หากผู้ที่ได้รับ
มอบหมายภาระหน้าที่ความรับผิดชอบดังกล่าวได้ดำเนินการขอความยินยอมจากเจ้าของ
ข้อมูลส่วนบุคคลและเจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมโดยชอบด้วยกฎหมาย
และเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. ๒๕๖๒ แล้ว โดยบริษัท ก. สามารถลงนามให้คำรับรองตามที่กำหนดในหนังสือ
ดังกล่าวได้หากพิจารณาแล้วเห็นว่าสามารถปฏิบัติตามเงื่อนไข หน้าที่ และยอมรับความรับ
ผิดตามที่กำหนดในหนังสือดังกล่าวได้ หรือหากไม่สามารถยอมรับเงื่อนไขดังกล่าวได้
ก็อาจพิจารณาเจรจากับผู้รับประกันภัยที่เป็นคู่สัญญา หรือพิจารณาเงื่อนไขการให้บริการ
ของบริษัทประกันชีวิตรายอื่นว่ามีความแตกต่างหรือไม่ เพียงใด ทั้งนี้ มีข้อสังเกตว่า
การที่บริษัทประกันชีวิตกำหนดเงื่อนไขในลักษณะบังคับให้บริษัทฯ ลงนามในหนังสือ
รับรองดังกล่าว โดยหากไม่ลงนาม จะไม่ให้บริการแก่บริษัท ก. อีกต่อไป อาจเป็น
ความพยายามในการดำเนินการของบริษัทประกันชีวิตเพื่อให้มีการขอความยินยอม
และการให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยชอบด้วย
กฎหมายเพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
ภายใต้ข้อจำกัดในทางปฏิบัติที่บริษัทประกันชีวิตที่ต้องขอความยินยอมไม่ได้เป็นผู้ติดต่อ
สื่อสารกับเจ้าของข้อมูลส่วนบุคคลโดยตรง แต่มีตัวแทนหรือตัวกลางที่ทำหน้าที่
ประสานงานแทน โดยเฉพาะในกรณีที่เป็นการดำเนินการกับเจ้าของข้อมูลส่วนบุคคล
เป็นกลุ่ม และไม่มีช่องทางที่ผู้ควบคุมข้อมูลส่วนบุคคลจะสามารถติดต่อสื่อสารกับเจ้าของ
ข้อมูลส่วนบุคคลแต่ละรายได้โดยง่าย จึงจำเป็นต้องมอบหมายให้ตัวแทนหรือผู้อื่น
ทำการขอความยินยอมแทนผู้ควบคุมข้อมูลส่วนบุคคลได้ ซึ่งกรณีดังกล่าวเป็นการพิจารณา
ท่านิติกรรมหรือสัญญาระหว่างเอกชนด้วยกัน เงื่อนไขการให้บริการตามสัญญาเดิม
ที่ยังมีผลผูกพัน รวมถึงการสิ้นสุดของสัญญานั้น จึงเป็นไปตามเงื่อนไขในสัญญานั้น
และบทบัญญัติแห่งประมวลกฎหมายแพ่งและพาณิชย์ ส่วนการให้บริการตามสัญญา
ที่อาจมีขึ้นในอนาคต ย่อมขึ้นอยู่กับการเจรจาร่วมกันระหว่างผู้เกี่ยวข้อง หากคู่สัญญา
ฝ่ายใดไม่ยอมรับเงื่อนไขในสัญญาที่อีกฝ่ายเสนอ ก็สามารถปฏิเสธการทำสัญญาร่วมกันได้

ประเด็นหารือที่ ๔ เห็นว่า คำรับรองตามที่กำหนดในหนังสือรับรองการได้รับ
ความยินยอมจากสมาชิกผู้เอาประกันภัย/สมาชิกสมทบ หรือสมาชิกผู้เอาประกันภัย/ผู้อยู่
ในอุปการะ แล้วแต่กรณี เป็นนิติกรรมตามประมวลกฎหมายแพ่งและพาณิชย์ และไม่ใช่
การขอความยินยอมหรือการให้ความยินยอมตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. ๒๕๖๒ ผู้เกี่ยวข้องจึงสามารถพิจารณาแก้ไขได้โดยเป็นไปตามประมวลกฎหมายแพ่ง
และพาณิชย์ และไม่มีบทบัญญัติใดในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๕๓

บัญญัติห้ามมิให้มีลักษณะบังคับให้บริษัท ก. ต้องดำเนินการ และไม่มีบทบัญญัติใด ในพระราชบัญญัติดังกล่าวบัญญัติว่าบริษัท ก. จะต้องลงนามหรือไม่ แต่มาตรา ๑๙ ประกอบมาตรา ๒๔ มาตรา ๒๖ และมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลที่เกี่ยวข้องตามกรณีที่หารือนี้ ต้องได้รับความยินยอม จากเจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะเก็บรวบรวม ใช้ หรือเปิดเผย ผู้เกี่ยวข้อง จึงควรพิจารณาหารือร่วมกันเพื่อให้การดำเนินการเป็นไปตามพระราชบัญญัตินี้ เพื่อคุ้มครองข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล และเพื่อให้เกิดประโยชน์ร่วมกัน ของทุกฝ่าย

เรื่องที่ ๒ ธนาคาร ม. ขอหารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๑๙ มาตรา ๒๐ มาตรา ๒๔ และมาตรา ๒๖

2. ประมวลกฎหมายแพ่งและพาณิชย์
   มาตรา ๒๑ มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๔ และมาตรา ๒๗

ข้อหารือ

ธนาคาร ม. ขอหารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการปฏิบัติ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กรณีการขอความยินยอม ในการเปิดบัญชีและการทำธุรกรรมโดยใช้ Facial recognition และกรณีการทำการตลาด กับลูกค้าซึ่งเป็นผู้เยาว์ โดยมีประเด็นดังนี้

1. กรณีการเปิดบัญชีหรือทำธุรกรรมผ่าน Application Sumo และมีการเก็บ รวบรวมและใช้ Facial recognition ของผู้เยาว์ (อายุ ๗ ถึง ๒๐ ปีบริบูรณ์) เพื่อพิสูจน์ และยืนยันตัวตนของผู้เยาว์ ธนาคารต้องขอความยินยอมหรือไม่ อย่างไร หากต้องขอ ความยินยอมผู้เยาว์สามารถให้ความยินยอมด้วยตนเองได้หรือไม่

2. กรณีการเปิดบัญชีหรือทำธุรกรรมผ่านเครื่อง Virtual Teller Machine (VTM) และ Mobile Banking ธนาคารมีการเก็บรวบรวมและใช้ Facial recognition ของลูกค้า เพื่อพิสูจน์และยืนยันตัวตน ธนาคารจะต้องขอความยินยอมหรือไม่ อย่างไร

3. กรณีธนาคารนำเสนอผลิตภัณฑ์ใหม่ เพื่อทำการตลาดกับลูกค้าผู้เยาว์ ธนาคาร ต้องขอความยินยอมจากผู้เยาว์หรือไม่ อย่างไร หากต้องขอความยินยอม ผู้เยาว์สามารถให้ ความยินยอมดังกล่าวด้วยตนเองได้หรือไม่ อย่างไร

๕๔

๔. กรณีธนาคารนำเสนอผลิตภัณฑ์เดิม เช่น นำเสนอผลิตภัณฑ์เงินฝากประเภทอื่น ให้กับลูกค้าผู้เยาว์ที่ใช้ผลิตภัณฑ์เงินฝาก หรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์ เดิมกับลูกค้าผู้เยาว์ เช่น นำเสนอบัตร ATM หรือ Mobile banking ธนาคารต้องขอความ ยินยอมจากผู้เยาว์หรือไม่ อย่างไร หากต้องขอความยินยอมผู้เยาว์สามารถให้ความยินยอม ดังกล่าวด้วยตนเองได้หรือไม่ อย่างไร

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจ ตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พิจารณาประเด็นข้อหารือของธนาคาร ม. แล้ว มีความเห็นพร้อมข้อสังเกต ดังนี้

ประเด็นหารือที่ ๑ กรณีการเก็บรวบรวมข้อมูลส่วนบุคคลของผู้เยาว์ในการเปิด บัญชีธนาคารอาจพิจารณาฐานทางกฎหมายในการเปิดบัญชีเงินฝากของผู้เยาว์โดยอาศัย เหตุตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กล่าวคือเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญา ซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญา หรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญา ซึ่งประเด็นความสามารถของผู้เยาว์ในการทำสัญญาและความสมบูรณ์ของสัญญา ย่อมเป็นไปตามประมวลกฎหมายแพ่งและพาณิชย์ ซึ่งกำหนดว่าผู้เยาว์อาจทำการใด ๆ โดยลำพังได้ตามที่บัญญัติไว้ในมาตรา ๒๒ มาตรา ๒๓ หรือมาตรา ๒๔ แห่งประมวล กฎหมายแพ่งและพาณิชย์ แล้วแต่กรณี แต่หากเป็นกรณีอื่นที่ผู้เยาว์ไม่อาจทำนิติกรรม หรือทำการโดยลำพังได้ การทำนิติกรรมใด ๆ ของผู้เยาว์ ต้องได้รับความยินยอมของผู้แทน โดยชอบธรรมก่อน การใด ๆ ที่ผู้เยาว์ได้ทำลงโดยปราศจากความยินยอมเช่นว่านั้น เป็นโมฆียะ โดยผลของการไม่ได้ขอความยินยอมจากผู้แทนโดยชอบธรรมจะเป็นโมฆียกรรม ที่อาจถูกบอกล้างหรือให้สัตยาบันได้ต่อไป ตามมาตรา ๒๑ แห่งประมวลกฎหมายแพ่ง และพาณิชย์ ทั้งนี้ เนื่องจากกรณีการเปิดบัญชีเงินฝากของผู้เยาว์ที่หารือดังกล่าว ไม่ได้ใช้ “ความยินยอม” เป็นฐานทางกฎหมายตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จึงไม่ต้องปฏิบัติตามมาตรา ๒๐ แห่งพระราชบัญญัติ ดังกล่าว

สำหรับกิจกรรมที่มีวัตถุประสงค์เพื่อพิสูจน์และยืนยันตัวตนของผู้เยาว์ โดยวิธีนำ เทคโนโลยีจดจำใบหน้า (Facial recognition) มาใช้พิสูจน์ยืนยันตัวตนของผู้ทำธุรกรรม ในการดำเนินการดังกล่าวอาจพิจารณาได้ว่าเป็นการเก็บรวบรวมข้อมูลส่วนบุคคล ที่มีลักษณะตามนัยมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๕๕

๕๖

ซึ่งเทคโนโลยีจัดจำใบหน้ามีการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการนำลักษณะเด่น ทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้นที่ ไม่เหมือนกับบุคคลอื่นได้ จึงเป็นการเก็บรวบรวมข้อมูลชีวภาพ ตามมาตรา ๒๖ วรรคสอง แห่งพระราชบัญญัติดังกล่าว

ดังนั้น ธนาคารจึงต้องพิจารณาฐานทางกฎหมายตามมาตรา ๒๖ วรรคหนึ่ง (๑) ถึง (๕) ในการเก็บรวบรวมข้อมูลส่วนบุคคลสำหรับกิจกรรมที่มีวัตถุประสงค์เพื่อยืนยัน ตัวตน เมื่อไม่มีเหตุดังกล่าว ก็จะต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล ส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมของผู้เยาว์จะต้องเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ประเด็นหารือที่ ๒ เนื่องจากการเก็บรวบรวมข้อมูลส่วนบุคคลโดยวิธีนำเทคโนโลยี ระบบจดจำใบหน้า (Facial recognition) เป็นการเก็บรวบรวมข้อมูลชีวภาพ ตามนัยมาตรา ๒๖ วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ธนาคารจึงต้องพิจารณาฐานทางกฎหมายตามมาตรา ๒๖ วรรคหนึ่ง (๑) ถึง (๕) ในการเก็บ รวบรวมข้อมูลส่วนบุคคลสำหรับกิจกรรมที่มีวัตถุประสงค์เพื่อยืนยันตัวตน เมื่อไม่มีเหตุ ดังกล่าวก็จะต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์ การขอความยินยอมจะต้องเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ประเด็นหารือที่ ๓ สำหรับกิจกรรมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาด ธนาคารจะต้องพิจารณาฐานทางกฎหมาย ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล สำหรับการเปิดบัญชีธนาคาร ม. สามารถเก็บรวบรวมข้อมูลส่วนบุคคลโดยอาศัยเหตุตามนัยมาตรา ๒๔ (๓) เป็นการจำเป็น เพื่อปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการ ตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้นได้ แต่หากการใช้ข้อมูล ส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดเป็นกิจกรรมที่ไม่เกี่ยวข้องและจำเป็นเพื่อปฏิบัติ ตามสัญญาเกี่ยวกับการเปิดบัญชี ธนาคาร ม. จะไม่สามารถอ้างฐานทางกฎหมาย ตามมาตรา ๒๔ (๓) ได้ ดังนั้น ธนาคาร ม. จึงต้องพิจารณาฐานทางกฎหมายอื่น ๆ ที่เหมาะสมกรณีใดกรณีหนึ่งตามมาตรา ๒๔ เมื่อพิจารณาวัตถุประสงค์ที่เป็นการนำเสนอ ผลิตภัณฑ์ใหม่เพื่อทำการตลาด ซึ่งไม่สอดคล้องกับฐานทางกฎหมายอื่นตามมาตรา ๒๔ (๑) ถึง (๖) จึงควรขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอ ความยินยอมจากเจ้าของข้อมูลส่วนบุคคลจะต้องเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ส่วนประเด็นเรื่องการขอ

ความยินยอมจากเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรส หรือไม่มีฐานะเสมือนดังบุคคลซึ่งบรรลุนิติภาวะแล้วตามมาตรา ๒๗ แห่งประมวลกฎหมาย แพ่งและพาณิชย์นั้น เมื่อคำนึงถึงความเหมาะสมด้านวุฒิภาวะของผู้เยาว์ในการตัดสินใจ เพื่อทำการตลาดประกอบกับผลกระทบจากการตัดสินใจดังกล่าว จึงเห็นว่า การขอความ ยินยอมในการทำการตลาดกับลูกค้าที่เป็นผู้เยาว์ดังกล่าว ควรได้รับความยินยอม จากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย

ประเด็นหารือที่ ๔ สำหรับกรณีนำเสนอผลิตภัณฑ์เดิมหรือนำเสนอผลิตภัณฑ์ ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมกับลูกค้าผู้เยาว์ ธนาคารจะต้องพิจารณาฐานทางกฎหมาย ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๔ แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งการนำเสนอผลิตภัณฑ์เดิมหรือนำเสนอ ผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิม หากไม่ได้เกี่ยวข้องและจำเป็นเพื่อการปฏิบัติ ตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอ ของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้นตามนัยมาตรา ๒๔ (๓) และไม่สอดคล้องกับ ฐานทางกฎหมายอื่นตามมาตรา ๒๔ (๑) (๒) (๔) (๕) และ (๖) จะต้องได้รับความยินยอม จากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมจากเจ้าของข้อมูล ส่วนบุคคลจะต้องเป็นไปตามมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ส่วนประเด็นเรื่องการขอความยินยอมจากเจ้าของข้อมูล ส่วนบุคคลที่เป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรสหรือไม่มีฐานะเสมือนดังบุคคล ซึ่งบรรลุนิติภาวะแล้วตามมาตรา ๒๗ แห่งประมวลกฎหมายแพ่งและพาณิชย์ จะต้องพิจารณาว่าเป็นกรณีที่ผู้เยาว์อาจให้ความยินยอมโดยลำพังได้ตามที่บัญญัติไว้ ในมาตรา ๒๒ มาตรา ๒๓ หรือมาตรา ๒๔ แห่งประมวลกฎหมายแพ่งและพาณิชย์หรือไม่ เมื่อคำนึงถึงความเหมาะสมด้านวุฒิภาวะของผู้เยาว์ในการตัดสินใจเกี่ยวกับผลิตภัณฑ์ ดังกล่าว ประกอบกับผลกระทบจากการตัดสินใจดังกล่าว จึงเห็นว่า การขอความยินยอม ในการนำเสนอผลิตภัณฑ์เดิมหรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมกับลูกค้า ที่เป็นผู้เยาว์ดังกล่าว ควรได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการ แทนผู้เยาว์ด้วย

๕๓

เรื่องที่ ๓ ธนาคาร จ. ขอหารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ เพื่อวัตถุประสงค์ทางการตลาดกับลูกค้าธนาคาร

ข้อกฎหมาย

๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๑๘ มาตรา ๒๐ มาตรา ๒๔ มาตรา ๓๒ และมาตรา ๓๙

ข้อหารือ

ธนาคาร จ. ขอหารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ เพื่อวัตถุประสงค์ทางการตลาดกับลูกค้าธนาคาร โดยมีประเด็น ดังนี้

๑. กรณีลูกค้ายังไม่เคยกรอกแบบฟอร์มการให้ความยินยอม และยังไม่เคยให้ความยินยอมเพื่อวัตถุประสงค์ทางการตลาด

๑.๑ กรณีธนาคารนำเสนอผลิตภัณฑ์ใหม่ เพื่อทำการตลาดกับลูกค้าธนาคาร เช่น นำเสนอผลิตภัณฑ์สินเชื่อกับลูกค้าเงินฝาก ต้องขอความยินยอมจากลูกค้าหรือไม่ อย่างไร

๑.๒ กรณีธนาคารนำเสนอผลิตภัณฑ์เดิม เช่น นำเสนอผลิตภัณฑ์เงินฝาก ประเภทอื่นให้กับลูกค้าที่ใช้ผลิตภัณฑ์เงินฝาก หรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมให้กับลูกค้า เช่น นำเสนอบัตร ATM หรือ Mobile banking ให้กับลูกค้าเงินฝากธนาคาร ต้องขอความยินยอมจากลูกค้าหรือไม่ อย่างไร

๒. กรณีที่ลูกค้ามากรอกแบบฟอร์มการให้ความยินยอม และเลือกไม่ให้ความยินยอมเกี่ยวกับวัตถุประสงค์ในทางการตลาด

๒.๑ กรณีธนาคารนำเสนอผลิตภัณฑ์ใหม่ เช่น นำเสนอผลิตภัณฑ์สินเชื่อกับลูกค้าเงินฝาก ธนาคารสามารถนำเสนอได้หรือไม่ อย่างไร

๒.๒ กรณีธนาคารนำเสนอผลิตภัณฑ์เดิม เช่น นำเสนอผลิตภัณฑ์เงินฝาก ประเภทอื่นให้กับลูกค้าที่ใช้ผลิตภัณฑ์เงินฝาก หรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมให้กับลูกค้า เช่น นำเสนอบัตร ATM หรือ Mobile banking ให้กับลูกค้าเงินฝาก ธนาคารสามารถนำเสนอได้หรือไม่ อย่างไร

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พิจารณาประเด็นข้อหารือของธนาคาร จ. แล้ว เห็นว่า

๑๘

๕๕

ประเด็นหารือที่ ๑.๑ การนำเสนอผลิตภัณฑ์ใหม่เพื่อวัตถุประสงค์ทางการตลาด เป็นกิจกรรมที่ไม่เกี่ยวข้องกับการปฏิบัติตามสัญญาของผลิตภัณฑ์เดิม จึงไม่สามารถ อ้างฐานการปฏิบัติตามสัญญาตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ ได้ ดังนั้น จึงจำเป็นต้องพิจารณาฐานทางกฎหมายอื่น เมื่อไม่มี ฐานทางกฎหมายตามมาตรา ๒๔ (๑) ถึง (๖) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคล เพื่อนำเสนอผลิตภัณฑ์ใหม่จึงต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โดยใช้หลักเกณฑ์การขอความยินยอมตามมาตรา ๑๙ และมาตรา ๒๐

ประเด็นหารือที่ ๑.๒ กรณีกิจกรรมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดในการนำเสนอผลิตภัณฑ์เงินฝากประเภท อื่นให้กับลูกค้าที่ใช้ผลิตภัณฑ์เงินฝาก ซึ่งธนาคารมีการเก็บรวบรวมข้อมูลส่วนบุคคล ของลูกค้าที่ฝากเงินกับธนาคารโดยอาศัยฐานการปฏิบัติตามสัญญาตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ อยู่ก่อนแล้ว แต่การนำเสนอ ผลิตภัณฑ์เงินฝากประเภทอื่นให้แก่ลูกค้าที่ฝากเงินเพิ่มเติมในภายหลังเป็นกิจกรรม ที่ไม่มีความจำเป็นหรือเกี่ยวข้องกับวัตถุประสงค์หลักตามสัญญาของผลิตภัณฑ์เงินฝาก จึงไม่อาจอ้างฐานการปฏิบัติตามสัญญาตามมาตรา ๒๔ (๓) ได้ ดังนั้น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อนำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้า จึงต้องพิจารณาฐานอื่นตามมาตรา ๒๔ (๑) ถึง (๖) กรณีไม่มีฐานทางกฎหมาย ธนาคาร ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยใช้หลักเกณฑ์การขอความยินยอม ตามมาตรา ๑๙ และมาตรา ๒๐

กรณีการนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมให้กับลูกค้าที่ฝากเงิน เช่น บัตร ATM หรือ Mobile Banking ธนาคารอาจพิจารณาใช้ฐานทางกฎหมายตามมาตรา ๒๔ (๕) ได้ โดยพิจารณาถึงความคาดหวังของเจ้าของข้อมูลส่วนบุคคล และความได้สัดส่วนของการชั่งน้ำหนัก ระหว่างประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interests) ของธนาคาร กับสิทธิ ขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล รวมทั้งอาจพิจารณา ทำการประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interests Assessment: LIA) เพื่อใช้อ้างอิงประกอบในการจัดทำบันทึกรายการขององค์กรตามมาตรา ๓๙ ด้วย ทั้งนี้ ธนาคารควรแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบว่า หากไม่ประสงค์ให้ธนาคาร เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาด เจ้าของข้อมูล ส่วนบุคคลสามารถใช้สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่เกี่ยวกับตนเพื่อวัตถุประสงค์ทางการตลาด (opt-out) ได้ตามมาตรา ๓๒

ประเด็นหารือที่ ๒ ในกรณีที่ลูกค้าไม่ให้ความยินยอมแก่ธนาคารสำหรับการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดในการนำเสนอ

ผลิตภัณฑ์ใหม่ เช่น นำเสนอผลิตภัณฑ์สินเชื่อกับลูกค้าเงินฝาก หรือการนำเสนอผลิตภัณฑ์เดิม เช่น นำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้าที่ใช้ผลิตภัณฑ์เงินฝาก ธนาคารจะไม่มีฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังนั้น ธนาคารจึงไม่สามารถทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อวัตถุประสงค์ทางการตลาดสำหรับกิจกรรมดังกล่าวได้

สำหรับกรณีการนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมให้กับลูกค้าเงินฝาก เช่น บัตร ATM หรือ Mobile Banking ธนาคารอาจพิจารณาเลือกใช้ฐานใดฐานหนึ่งในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เช่น ฐานทางกฎหมายตามมาตรา ๒๔ (๕) การจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล โดยไม่ต้องขอความยินยอมจากลูกค้า แต่กรณีธนาคารเลือกใช้ฐานความยินยอมแล้ว ลูกค้าไม่ให้ความยินยอม ธนาคารจะไม่สามารถนำฐานทางกฎหมายตามมาตรา ๒๔ (๕) มาใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลกับลูกค้าในกิจกรรมดังกล่าวได้อีก และจะไม่สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดสำหรับกิจกรรมดังกล่าวได้

เรื่องที่ ๔ ธนาคาร ข. ขอหารือวิธีปฏิบัติเกี่ยวกับการเพิกถอนความยินยอม ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย
๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๑๙ วรรคห้า และวรรคหก

ข้อหารือ
ธนาคาร ข. ขอหารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เกี่ยวกับการถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคลจากลูกค้าผ่านเครื่อง SUMO เครื่อง Virtual Teller Machine (VTM) และผ่านระบบ Mobile Banking ซึ่งลูกค้าสามารถเปลี่ยนแปลงความยินยอมจาก “ยินยอม” เป็น “ไม่ยินยอม” ด้วยตนเอง ถือเป็นการถอนความยินยอมได้หรือไม่ หรือต้องมีช่องทางหรือเมนูให้ลูกค้าเพิกถอนความยินยอมเพิ่มเติมหรือไม่

ความเห็น
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้พิจารณาข้อหารือแล้ว เห็นว่า

๖๐

๖๑

๑. มาตรา ๑๙ วรรคห้าและวรรคหก แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้กำหนดว่าเจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอม โดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล ทั้งนี้ การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบตามที่กำหนดไว้ในหมวดนี้ ในกรณีที่การถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบจากการถอนความยินยอมนั้น

๒. กรณีนี้หากธนาคาร ข. ได้แจ้งในประกาศความเป็นส่วนตัว (Privacy Notice) ให้เจ้าของข้อมูลส่วนบุคคลทราบอย่างชัดแจ้งว่าการที่ลูกค้าผู้ใช้บริการได้กดปุ่ม “ไม่ยินยอม” ผ่านระบบ SUMO (เครื่อง Virtual Teller Machine (VTM)) และผ่านระบบ Mobile Banking ซึ่งเป็นการกดปุ่มหลังจากที่ทำการกดปุ่มให้ความยินยอมมาแล้ว ให้ถือว่าเป็นการถอนความยินยอมจากการให้บริการ แม้กระบวนการถอนความยินยอมไม่ได้จัดทำเป็นกรณีเฉพาะก็ถือเป็นการถอนความยินยอมตามกฎหมายแล้ว ทั้งนี้ ธนาคารฯ ควรจัดให้มีระบบตรวจสอบย้อนกลับ (trace back) ของการให้ความยินยอมและการถอนความยินยอม และควรแจ้งผลหรือแสดงสถานการณ์ถอนความยินยอมให้เจ้าของข้อมูลส่วนบุคคลทราบด้วย

แนวทางการปฏิบัติในการบันทึกรายการกิจกรรมการประมวลผล ข้อมูลส่วนบุคคลสำหรับ ผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๓๙ และ ผู้ประมวลผลข้อมูลส่วนบุคคลตามมาตรา ๔๐ (๓)และข้อยกเว้น ตามกฎหมาย

เรื่องหารือที่เกี่ยวข้อง

เรื่องที่ ๑ นิติบุคคลอาคารชุด อ. หารือกรณีขอบเขตความหมายของคำว่า “องค์กรไม่แสวงหาผลกำไร”

ข้อกฎหมาย

๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๒๒ มาตรา ๒๓ มาตรา ๓๗ (๑) และมาตรา ๓๙

๒. พระราชบัญญัติอาคารชุด พ.ศ. ๒๕๒๒
มาตรา ๓๓

๓. ประมวลรัษฎากร
มาตรา ๓๙ และมาตรา ๗๗/๒

๔. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. ๒๕๖๕
ข้อ ๓ (๕)

ข้อหารือ

นิติบุคคลอาคารชุด อ. ขอหารือกรณีประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. ๒๕๖๕ ได้มีการระบุข้อความในข้อ ๓ (๕) ว่า “องค์กรที่ไม่แสวงหากำไร” เป็นลักษณะอย่างหนึ่งของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งเป็นกิจการขนาดเล็กที่ได้รับการยกเว้นไม่ต้องดำเนินการตามมาตรา ๓๙ วรรคหนึ่ง (๑) (๒) (๓) (๔) (๕) (๖) และ (๘) และได้อ้างถึงหนังสือกรมสรรพากร ที่ กค ๐๘๔๒/สก./๑๖๘๒ ลงวันที่ ๑๗ กุมภาพันธ์ ๒๕๔๐ เรื่อง ภาษีเงินได้หัก ณ ที่จ่าย กรณีการเสียภาษีเงินได้นิติบุคคลอาคารชุดฯ ซึ่งระบุว่า นิติบุคคลอาคารชุดไม่เข้าลักษณะเป็นบริษัทหรือห้างหุ้นส่วนนิติบุคคลตามมาตรา ๓๙ แห่งประมวลรัษฎากร ซึ่งหมายความว่านิติบุคคลอาคารชุดเป็นนิติบุคคลประเภทไม่แสวงหาผลกำไร จึงขอสอบถามว่า นิติบุคคลอาคารชุด อ. เข้าข่าย “องค์กรที่ไม่แสวงหากำไร” ตามข้อ ๓ (๕) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลดังกล่าวและได้รับการยกเว้นไม่ต้องดำเนินการตามมาตรา ๓๙ วรรคหนึ่ง (๑) (๒) (๓) (๔) (๕) (๖) (๗) และ (๘) แห่งพระราชบัญญัติข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๖๓

ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อหารือและข้อกฎหมายประกอบกับเอกสารที่เกี่ยวข้องแล้ว เห็นว่า นิติบุคคลอาคารชุดที่ได้จดทะเบียนตามกฎหมายว่าด้วยอาคารชุดมีฐานะเป็นนิติบุคคลตามมาตรา ๓๓ วรรคหนึ่ง แห่งพระราชบัญญัติอาคารชุด พ.ศ. ๒๕๒๒ และมาตรา ๓๓ วรรคสอง บัญญัติว่า นิติบุคคลอาคารชุดมีวัตถุประสงค์เพื่อจัดการ และดูแลรักษาทรัพย์ส่วนกลาง และมีอำนาจกระทำการใด ๆ เพื่อประโยชน์ตามวัตถุประสงค์ดังกล่าว ทั้งนี้ ตามมติของเจ้าของร่วมภายใต้บังคับแห่งกฎหมายว่าด้วยอาคารชุด และข้อบังคับของนิติบุคคลอาคารชุด ประกอบกับหนังสือตอบข้อหารือของกรมสรรพากร ที่ กค ๐๘๔๒/สก./๑๖๘๒ ลงวันที่ ๑๗ กุมภาพันธ์ ๒๕๔๐ เรื่อง ภาษีเงินได้หัก ณ ที่จ่ายกรณีการเสียภาษีเงินได้นิติบุคคลอาคารชุดฯ สรุปความได้ว่า กรณีนิติบุคคลอาคารชุดที่จัดตั้งขึ้นตามกฎหมายว่าด้วยอาคารชุด ได้มีการเรียกเก็บเงินกองทุนและค่าใช้จ่ายส่วนกลางจากเจ้าของร่วม เพื่อเป็นค่าใช้จ่ายในการบริหารอาคารชุดและได้นำเงินดังกล่าวบางส่วนไปฝากกับธนาคารหรือบริษัทเงินทุน ดอกเบี้ยที่เกิดจากเงินฝากที่นิติบุคคลอาคารชุดได้รับไม่อยู่ในบังคับต้องเสียภาษีเงินได้นิติบุคคล เนื่องจากนิติบุคคลอาคารชุดไม่เข้าลักษณะเป็นบริษัทหรือห้างหุ้นส่วนนิติบุคคล ตามมาตรา ๓๙ แห่งประมวลรัษฎากร จึงไม่มีหน้าที่ต้องเสียภาษีเงินได้นิติบุคคล นอกจากนี้ คำวินิจฉัยของคณะกรรมการวินิจฉัยภาษีอากร ที่ ๓๓/๒๕๔๐ เรื่อง ภาษีมูลค่าเพิ่มการเสียภาษีมูลค่าเพิ่มของนิติบุคคลอาคารชุด ลงวันที่ ๒๔ กุมภาพันธ์ ๒๕๔๐ ก็ได้วินิจฉัยว่า นิติบุคคลอาคารชุดที่จัดตั้งขึ้นตามกฎหมายว่าด้วยอาคารชุด ซึ่งกระทำกิจกรรมเฉพาะเพื่อจัดการและดูแลทรัพย์สินส่วนกลางและมีได้กระทำกิจการใดนอกเหนือจากวัตถุประสงค์ตามที่กฎหมายว่าด้วยอาคารชุดกำหนดไว้ รวมทั้งไม่ได้ขายสินค้าหรือให้บริการใดกับบุคคลอื่นซึ่งมิใช่เจ้าของห้องชุดนั้นยังไม่เข้าลักษณะเป็นผู้ประกอบการที่อยู่ในบังคับต้องเสียภาษีมูลค่าเพิ่มตามมาตรา ๓๗/๒ แห่งประมวลรัษฎากร จึงไม่ต้องนำเงินกองทุน ค่าใช้จ่ายส่วนกลาง และค่าสาธารณูปโภคที่เป็นค่าไฟฟ้า น้ำประปา โทรศัพท์ หรือค่าใช้จ่ายที่จำเป็นอย่างอื่นที่เรียกเก็บจากเจ้าของห้องชุดมาร่วมคำนวณเสียภาษีมูลค่าเพิ่ม จากหลักเกณฑ์ดังกล่าวจึงอาจถือได้ว่า นิติบุคคลอาคารชุดโดยทั่วไปเป็นนิติบุคคลที่มีลักษณะเป็นองค์กรที่ไม่แสวงหากำไร ซึ่งได้รับการยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนตามข้อ ๓ (๕) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. ๒๕๖๕ ซึ่งออกตามความในมาตรา ๓๙ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ดังนั้น หากนิติบุคคลอาคารชุด อ. เป็นนิติบุคคลที่มีลักษณะดังกล่าวข้างต้นกล่าวคือ ได้จดทะเบียนเป็นนิติบุคคลอาคารชุดตามกฎหมายว่าด้วยอาคารชุด

๖๔

มีวัตถุประสงค์เพื่อจัดการ และดูแลรักษาทรัพย์ส่วนกลาง และมีอำนาจกระทำการใด ๆ เพื่อประโยชน์ตามวัตถุประสงค์ดังกล่าว ทั้งนี้ ตามมติของเจ้าของร่วมภายใต้บังคับ แห่งกฎหมายว่าด้วยอาคารชุด และข้อบังคับของนิติบุคคลอาคารชุด ไม่ได้กระทำกิจการใด นอกเหนือจากวัตถุประสงค์ดังกล่าวตามที่กฎหมายว่าด้วยอาคารชุดกำหนดไว้ และไม่ได้ขายสินค้าหรือให้บริการใดกับบุคคลอื่นซึ่งมิใช่เจ้าของห้องชุดหรือผู้พักอาศัย หรือกระทำกิจการใดที่มีลักษณะเพื่อแสวงหากำไร นิติบุคคลอาคารชุดฯ จะมีฐานะ เป็นผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก ที่มีลักษณะเป็นองค์กรที่ไม่แสวงหา กำไร จึงได้รับการยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลตามข้อ ๓ (๕) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการ ของผู้ควบคุมข้อมูลส่วนบุคคลขนาดเล็ก พ.ศ. ๒๕๖๕ ทั้งนี้ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของนิติบุคคลอาคารชุดฯ ที่ได้รับยกเว้นไม่ต้องบันทึกรายการ ของผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว ครอบคลุมเฉพาะการบันทึกรายการตามมาตรา ๓๙ (๑) ถึง (๖) และ (๘) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เท่านั้น แต่ไม่รวมถึงการบันทึกรายการการปฏิเสธคำขอหรือการคัดค้านตามมาตรา ๓๐ วรรคสาม มาตรา ๓๑ วรรคสาม มาตรา ๓๒ วรรคสาม และมาตรา ๓๖ วรรคหนึ่ง ตามนัยมาตรา ๓๙ (๗) และไม่รวมกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยง จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลหรือมิใช่กิจการที่มีการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ ตามนัยข้อ ๓ วรรคสามของประกาศดังกล่าว ประกอบมาตรา ๓๙ วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

อย่างไรก็ดี นิติบุคคลอาคารชุดฯ ยังคงมีหน้าที่ต้องปฏิบัติให้เป็นไป ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในส่วนอื่น โดยเฉพาะการเก็บ รวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตามมาตรา ๒๒ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การแจ้งรายละเอียดในการเก็บ รวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวม ข้อมูลส่วนบุคคล (Privacy Notice) ตามมาตรา ๒๓ และการจัดให้มีมาตรการรักษาความมั่นคง ปลอดภัยที่เหมาะสมตามมาตรา ๓๗ (๑) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย ของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕

๖๕

เรื่องที่ ๒ บริษัท ศ. ขอหารือแนวทางปฏิบัติการยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก

ข้อกฎหมาย
๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๖ มาตรา ๓๙ และมาตรา ๔๐ (๓)
๒. พระราชบัญญัติอาคารชุด พ.ศ. ๒๕๒๒ และที่แก้ไขเพิ่มเติม
๓. ประมวลกฎหมายแพ่งและพาณิชย์
มาตรา ๑๐๑๒
๔. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. ๒๕๖๕
ข้อ ๓
๕. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕

ข้อหารือ
บริษัท ศ. ซึ่งเป็นผู้ประกอบธุรกิจด้านบริหารอาคารชุดและหมู่บ้านหลายโครงการ ขอหารือว่า องค์กรที่ไม่แสวงหากำไรที่ได้รับการยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. ๒๕๖๕ จะหมายถึงนิติบุคคลอาคารชุดที่จัดตั้งตามพระราชบัญญัติอาคารชุด พ.ศ. ๒๕๒๒ ต่อกรมที่ดิน โดยมีวัตถุประสงค์เพื่อจัดการดูแลรักษาทรัพย์สินส่วนกลาง ตามที่กำหนดไว้ในมาตรา ๓๓ แห่งพระราชบัญญัติอาคารชุดฯ ด้วยหรือไม่ อย่างไร เพื่อบริษัทฯ จะได้ดำเนินการต่อไป โดยได้ให้ข้อมูลเพิ่มเติมว่า กรมสรรพากรได้เคยวินิจฉัย ตามหนังสือสำนักงานสรรพากรภาค ๒ ที่ กค ๐๘๔๒/สก./๑๖๘๒ ลงวันที่ ๑๗ กุมภาพันธ์ ๒๕๔๐ เรื่อง ภาษีเงินได้หัก ณ ที่จ่าย กรณีการเสียภาษีเงินได้ของนิติบุคคลอาคารชุดฯ ว่า กรณีนิติบุคคลอาคารชุดที่จัดตั้งขึ้นตามกฎหมายว่าด้วยอาคารชุดได้มีการเรียกเก็บเงินกองทุนและค่าใช้จ่ายส่วนกลางจากเจ้าของร่วมเพื่อเป็นค่าใช้จ่ายในการบริหารอาคารชุด และได้นำเงินดังกล่าวบางส่วนไปฝากกับธนาคารหรือบริษัทเงินทุน ดอกเบี้ยที่เกิดจากเงินฝากที่นิติบุคคลอาคารชุดได้รับ ไม่อยู่ในบังคับต้องเสียภาษีเงินได้นิติบุคคล เนื่องจากนิติบุคคลอาคารชุดไม่เข้าลักษณะเป็นบริษัทหรือห้างหุ้นส่วนนิติบุคคล ตามมาตรา ๓๙ แห่งประมวลรัษฎากร จึงไม่มีหน้าที่ต้องเสียภาษีเงินได้นิติบุคคล

๒๖

๖๗

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้พิจารณาข้อหารือแล้ว เห็นว่า ข้อ ๓ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. ๒๕๖๕ ลงวันที่ ๑๐ มิถุนายน ๒๕๖๕ กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นไม่ต้องดำเนินการบันทึกรายการตามมาตรา ๓๙ วรรคหนึ่ง (๑) (๒) (๓) (๔) (๕) (๖) และ (๘) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จะต้องมีลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้

(๑) เป็นวิสาหกิจขนาดย่อมหรือวิสาหกิจขนาดกลางตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม

(๒) เป็นวิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชนตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจชุมชน

(๓) เป็นวิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคมตามกฎหมายว่าด้วยการส่งเสริมวิสาหกิจเพื่อสังคม

(๔) เป็นสหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกรตามกฎหมายว่าด้วยสหกรณ์

(๕) เป็นมูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรที่ไม่แสวงหากำไร

(๖) เป็นกิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน

กรณีนิติบุคคลอาคารชุดที่ได้จดทะเบียนตามกฎหมายว่าด้วยอาคารชุดย่อมมีฐานะเป็นนิติบุคคลตามกฎหมายว่าด้วยอาคารชุด โดยมีวัตถุประสงค์เพื่อจัดการ และดูแลรักษาทรัพย์ส่วนกลาง และมีอำนาจกระทำการใด ๆ เพื่อประโยชน์ตามวัตถุประสงค์ดังกล่าว ทั้งนี้ ตามมติของเจ้าของร่วมภายใต้บังคับแห่งกฎหมายว่าด้วยอาคารชุด และข้อบังคับของนิติบุคคลอาคารชุด หากนิติบุคคลอาคารชุดดังกล่าวไม่ได้ขายสินค้าหรือให้บริการใดกับบุคคลอื่นซึ่งมิใช่เจ้าของห้องชุดหรือผู้พักอาศัย หรือกระทำการกิจการใดที่มีลักษณะเพื่อแสวงหากำไร จะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นองค์กรที่ไม่แสวงหากำไร ซึ่งได้รับยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลตามข้อ ๓ (๕) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลดังกล่าว ทั้งนี้ การเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลของนิติบุคคลอาคารชุดฯ ที่ได้รับยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว ไม่รวมถึงกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นครั้งคราว

หรือมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ ตามนัยข้อ ๓ วรรคสามของประกาศดังกล่าว ประกอบมาตรา ๓๙ วรรคสาม แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ อย่างไรก็ดี การดำเนินงานของนิติบุคคลอาคารชุด ในส่วนอื่น ยังคงมีหน้าที่ต้องปฏิบัติให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

สำหรับการดำเนินงานของบริษัทฯ นั้น เนื่องจากบริษัทฯ มีฐานะเป็นนิติบุคคลที่ได้ จดทะเบียนตามประมวลกฎหมายแพ่งและพาณิชย์ ซึ่งมาตรา ๑๐๑๒ แห่งประมวล กฎหมายแพ่งและพาณิชย์ บัญญัติว่า “อันว่าสัญญาจัดตั้งห้างหุ้นส่วนหรือบริษัทนั้น คือ สัญญาซึ่งบุคคลตั้งแต่สองคนขึ้นไปตกลงเข้ากันเพื่อกระทำกิจการร่วมกัน ด้วยประสงค์ จะแบ่งปันกำไรอันจะพึงได้แต่กิจการที่ทำนั้น” ดังนั้น การจดทะเบียนจัดตั้งธุรกิจ ในรูปแบบบริษัทจำกัดจึงเป็นไปเพื่อการแบ่งปันกำไร บริษัทฯ จึงไม่ถือเป็นองค์กร ที่ไม่แสวงหากำไร ประกอบกับเมื่อพิจารณาจากข้อเท็จจริงในการดำเนินกิจการของบริษัทฯ ที่ประกอบธุรกิจด้านการบริหารอาคารชุดและหมู่บ้านโดยการรับจ้างบริหารอาคารชุด และหมู่บ้าน ในการดำเนินกิจการดังกล่าว บริษัทฯ ทำหน้าที่เป็นผู้ประมวลผลข้อมูล ส่วนบุคคลของนิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร (ผู้ว่าจ้าง) เนื่องจากบริษัทฯ เป็นนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล บริษัทฯ จึงไม่ต้องดำเนินการบันทึก รายการตามมาตรา ๓๙ ในส่วนของการบริหารอาคารชุดและหมู่บ้านจัดสรร เพราะไม่มี ฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล แต่บริษัทฯ มีหน้าที่จัดทำและเก็บรักษาบันทึกรายการ ของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามมาตรา ๔๐ (๓) ในฐานะผู้ประมวลผล ข้อมูลส่วนบุคคลของนิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร ตามหลักเกณฑ์ และวิธีการในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการ ในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล สำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ ลงวันที่ ๑๐ มิถุนายน ๒๕๖๕ ซึ่งมีผลใช้ บังคับในวันที่ ๑๗ ธันวาคม ๒๕๖๕ ที่กำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดทำ และเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของแต่ละ ประเภทกิจกรรมไว้ โดยมีรายละเอียดอย่างน้อยตามที่กำหนดในประกาศดังกล่าว

๖๘

แนวทางปฏิบัติเกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคล
ไปยังต่างประเทศ

เรื่องหรือที่เกี่ยวข้อง

เรื่องที่ ๑ ธนาคาร Z ขอหรือเกี่ยวกับแนวทางการนำส่งข้อมูลส่วนบุคคลของกรรมการ ตามกฎข้อบังคับของ ACRA ประเทศสิงคโปร์ และ/หรือกฎข้อบังคับ และกฎหมายของประเทศอื่น

ข้อกฎหมาย
๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๑๖ (๕) มาตรา ๒๘ และมาตรา ๒๙

ข้อหารือ
ธนาคาร Z ขอหรือเกี่ยวกับแนวทางการนำส่งข้อมูลส่วนบุคคลของกรรมการ ตามกฎข้อบังคับของ Accounting and Corporate Regulatory Authority (ACRA) ประเทศสิงคโปร์ และ/หรือกฎข้อบังคับและกฎหมายของประเทศอื่น ดังนี้
๑. คำว่า “ฐานการปฏิบัติตามกฎหมาย” ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๘ (๑) ให้หมายความรวมถึงการปฏิบัติตามกฎหมายต่างประเทศด้วยหรือไม่
๒. กรณีหากมาตรา ๒๘ (๑) หมายความถึงกฎหมายไทยเท่านั้น และประกอบกับประเทศไทยยังไม่มีประกาศกำหนดเกี่ยวกับประเทศปลายทางหรือองค์การระหว่างประเทศ ที่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ธนาคาร Z จะต้องดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๘ (๒) โดยขอความยินยอมจากกรรมการธนาคาร Z และแจ้งให้กรรมการทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้วด้วยหรือไม่ อย่างไร หรือมีข้อแนะนำประการใดหรือไม่

ความเห็น
คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐ เพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาประเด็นข้อหารือของธนาคาร Z แล้ว มีความเห็นพร้อมข้อสังเกต ดังนี้
ประเด็นหรือที่ ๑ เห็นว่า ผู้ควบคุมข้อมูลส่วนบุคคลจะส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้เมื่อประเทศปลายทางหรือองค์การระหว่างประเทศ ที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ทั้งนี้ ต้องเป็นไปตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามมาตรา ๑๖ (๕) ตามนัยมาตรา ๒๘

๗๐

๑๖๑

แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เว้นแต่เข้าข้อยกเว้นตามมาตรา ๒๘ (๑) ถึง (๖) หรือเป็นไปตามมาตรา ๒๙ โดยสำหรับข้อยกเว้นตามมาตรา ๒๘ (๑) ที่เป็นการปฏิบัติตามกฎหมาย จะต้องเป็นกรณีที่มีกฎหมายกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้โดยจะต้องเป็นกฎหมายที่มีสภาพบังคับต่อผู้ควบคุมข้อมูลส่วนบุคคล ดังนั้น กรณีที่จะสามารถใช้ข้อยกเว้นตามมาตรา ๒๘ (๑) ได้ จึงต้องเป็นกรณีการปฏิบัติตามกฎหมายของประเทศไทย

ประเด็นหารือที่ ๒ เห็นว่า ปัจจุบันยังไม่มีหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามมาตรา ๑๖ (๕) ประกอบมาตรา ๒๘ วรรคหนึ่งแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และยังไม่มีคำวินิจฉัยของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าประเทศปลายทางหรือองค์การระหว่างประเทศใดมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ (Adequacy Decisions) สำหรับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามมาตรา ๒๘ กรณีการนำส่งข้อมูลส่วนบุคคลของกรรมการตามกฎข้อบังคับของ Accounting and Corporate Regulatory Authority (ACRA) ประเทศสิงคโปร์ และ/หรือกฎข้อบังคับ และกฎหมายของประเทศอื่น ธนาคาร Z จึงต้องพิจารณาว่าการดำเนินการดังกล่าวเข้าข้อยกเว้นตามมาตรา ๒๘ (๑) ถึง (๖) หรือไม่ เช่น การนำส่งข้อมูลส่วนบุคคลของกรรมการของธนาคาร Z ถือเป็นการปฏิบัติหน้าที่ตามสัญญาของกรรมการต่อธนาคารฯ อันจะถือว่าเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งกรรมการในฐานะเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น ตามมาตรา ๒๘ (๓) หรือไม่ หากไม่มีกรณียกเว้นตามมาตรา ๒๘ (๑) (๓) (๔) (๕) หรือ (๖) ที่จะใช้เป็นเครื่องมือในการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศที่สามารถนำมาปรับใช้ได้แก่กรณี ธนาคาร Z จะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่อาจไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้วตามมาตรา ๒๘ (๒)

แนวปฏิบัติสำหรับการเปิดเผยข้อมูลส่วนบุคคลตามกฎหมาย

๗๓

เรื่องหรือที่เกี่ยวข้อง

เรื่องที่ ๑ กรมโยธาธิการและผังเมือง ขอหารือแนวทางปฏิบัติตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๒๓ และมาตรา ๓๗ (๑)

2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
   มาตรา ๙ (๘) มาตรา ๙ วรรคสอง มาตรา ๑๔ และมาตรา ๑๕

3. พระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. ๒๕๖๐
   มาตรา ๘ (๒)

4. พระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. ๒๕๔๖
   มาตรา ๔๔

5. ประกาศคณะกรรมการข้อมูลข่าวสารของราชการ เรื่อง กำหนดให้ประกาศเชิญชวนทั่วไป ประกาศผลผู้ชนะการจัดซื้อจัดจ้าง และสัญญาที่ได้มีการอนุมัติสั่งซื้อหรือสั่งจ้าง เป็นข้อมูลข่าวสารที่ต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ ตามมาตรา ๙ วรรคหนึ่ง (๘) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐

ข้อหารือ

กรมโยธาธิการและผังเมือง (ยผ.) ขอหารือแนวทางปฏิบัติตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กรณีการเปิดเผยข้อมูลสัญญาก่อสร้างที่ ยผ. เป็นผู้ว่าจ้างเอกชนแห่งหนึ่งให้แก่ผู้ร้องขอว่า สามารถเปิดเผยได้หรือไม่ อย่างไร และจำเป็นต้องจัดหาข้อมูลให้ทั้งหมดทุกสัญญา ทุกช่วงเวลา ตามที่ร้องขอหรือไม่ และ ยผ. ได้มีหนังสือหารือกรณีดังกล่าวไปยังคณะกรรมการข้อมูลข่าวสารของราชการซึ่งได้รับ การแจ้งตอบข้อหารือดังกล่าวแล้ว

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือ และให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ ได้พิจารณาข้อหารือของ ยผ. และเอกสารที่เกี่ยวข้องแล้ว เห็นว่า กรณีการขอคัดถ่ายสำเนาสัญญาก่อสร้างที่ ยผ. เป็นผู้ว่าจ้างให้เอกชนรายหนึ่ง ดำเนินการ เป็นการใช้สิทธิขอข้อมูลข่าวสารของราชการตามกฎหมายว่าด้วยข้อมูลข่าวสาร

ของราชการ โดยคณะอนุกรรมการตอบข้อหารือตามกฎหมายว่าด้วยข้อมูลข่าวสาร
ของราชการได้มีหนังสือตอบข้อหารือดังกล่าวแล้วว่า ตามมาตรา ๔๔ แห่งพระราชกฤษฎีกา
ว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. ๒๕๔๖ กำหนดว่า
ส่วนราชการต้องจัดให้มีการเปิดเผยข้อมูลเกี่ยวกับสัญญาใด ๆ ที่ได้มีการอนุมัติให้จัดซื้อ
หรือจัดจ้างแล้ว ให้ประชาชนสามารถขอคุณหรือตรวจสอบได้ และหากเป็นสัญญาที่เกิดขึ้น
ภายหลังจากพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. ๒๕๖๐
มีผลใช้บังคับแล้ว นอกจากหน่วยงานของรัฐจะมีหน้าที่ต้องเปิดเผยตามพระราชกฤษฎีกา
ดังกล่าวแล้ว สัญญาตามข้อหารือยังเป็นข้อมูลข่าวสารที่ต้องเปิดเผยตามมาตรา ๘ (๒)
แห่งพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. ๒๕๖๐ ซึ่งมีหลักการ
ว่า ให้การจัดซื้อจัดจ้างและการบริหารพัสดุของหน่วยงานภาครัฐต้องกระทำโดยโปร่งใส
และเปิดเผยข้อมูลในทุกขั้นตอน ประกอบกับยังเป็นข้อมูลข่าวสารที่หน่วยงานของรัฐ
ต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ตามมาตรา ๙ (๘) แห่งพระราชบัญญัติข้อมูลข่าวสาร
ของราชการ พ.ศ. ๒๕๔๐ ตามประกาศคณะกรรมการข้อมูลข่าวสารของราชการ
เรื่อง กำหนดให้ประกาศเชิญชวนทั่วไป ประกาศผลผู้ชนะการจัดซื้อจัดจ้าง และสัญญาที่ได้
มีการอนุมัติสั่งซื้อหรือสั่งจ้าง เป็นข้อมูลข่าวสารที่ต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้
ตามมาตรา ๙ วรรคหนึ่ง (๘) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
อีกด้วย ดังนั้น ยผ. จึงมีหน้าที่ดำเนินการให้เป็นไปตามกฎหมายว่าด้วยข้อมูลข่าวสาร
ของราชการดังกล่าว

อย่าใจที่ แม้กรณีตามที่หารือจะเป็นข้อมูลข่าวสารที่หน่วยงานของรัฐต้องจัดไว้
ให้ประชาชนเข้าตรวจดูได้ดังกล่าว แต่หากมีข้อมูลข่าวสารส่วนใดที่ต้องห้ามมิให้เปิดเผย
ตามมาตรา ๑๔ หรือมาตรา ๑๕ แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ
พ.ศ. ๒๕๔๐ อยู่ด้วย ก็ให้หน่วยงานของรัฐลบหรือตัดทอนหรือทำโดยประการอื่นใด
ที่ไม่เป็นการเปิดเผยข้อมูลข่าวสารส่วนนั้น ตามมาตรา ๙ วรรคสอง ซึ่งมาตรา ๑๕
วรรคสองกำหนดว่าผู้ขออาจอุทธรณ์คำสั่งมิให้เปิดเผยข้อมูลข่าวสารของราชการได้
โดยการพิจารณาไม่เปิดเผยข้อมูลข่าวสารดังกล่าว ย่อมรวมถึงกรณีที่เป็นข้อมูลข่าวสาร
ส่วนบุคคลด้วย ยผ. จึงสามารถลบหรือตัดทอนหรือไม่เปิดเผยข้อมูลข่าวสารตามที่มีผู้ร้อง
ขอในส่วนที่มีข้อมูลข่าวสารส่วนบุคคลซึ่งการเปิดเผยจะเป็นการรุกล้ำสิทธิส่วนบุคคล
โดยไม่สมควรได้

นอกจากนี้ ยผ. มีหน้าที่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. ๒๕๖๒ ในส่วนที่เกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลด้วย
ซึ่งรวมถึงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงวัตถุประสงค์และรายละเอียด
ในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ และการจัดให้มีมาตรการรักษา

๗๔

ความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตามมาตรา ๓๗ (๑) ตลอดจนหน้าที่อื่นตามที่กำหนดในพระราชบัญญัติดังกล่าว

เรื่องที่ ๒ กองทุนเงินให้กู้ยืมเพื่อการศึกษาขอหารือเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๓ มาตรา ๑๙ มาตรา ๒๔ และมาตรา ๒๗

๒. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
มาตรา ๔

ข้อหารือ

กองทุนเงินให้กู้ยืมเพื่อการศึกษา (กยศ.) ในฐานะที่เป็นหน่วยงานของรัฐ ซึ่งจัดตั้ง ขึ้นตามพระราชบัญญัติกองทุนเงินให้กู้ยืมเพื่อการศึกษา พ.ศ. ๒๕๖๐ อยู่ในกำกับดูแล ของรัฐมนตรีว่าการกระทรวงการคลัง แจ้งว่า พนักงานกองทุนฯ มีหนังสือขอให้กองทุนฯ เปิดเผยผลคะแนนการสอบคัดเลือกพนักงานกองทุนฯ ระดับชำนาญการ (หัวหน้ากลุ่มงาน) เพื่อเลื่อนตำแหน่งเป็นระดับบริหารระดับต้น (ผู้อำนวยการฝ่าย) และผลคะแนนการสอบ คัดเลือกพนักงานกองทุนฯ ระดับบริหารระดับต้น (ผู้อำนวยการฝ่าย) เพื่อเลื่อนตำแหน่ง เป็นผู้บริหารระดับกลาง (รองผู้จัดการ) ทั้งของตนเองและของพนักงานผู้ซึ่งได้รับการ คัดเลือกให้เลื่อนตำแหน่งเป็นระดับบริหารระดับต้น (ผู้อำนวยการฝ่าย) และพนักงาน ผู้ซึ่งได้รับการคัดเลือกให้เลื่อนตำแหน่งเป็นผู้บริหารระดับกลาง (รองผู้จัดการ) และขอตรวจสอบ ใบประเมินผลคะแนนการสอบของคณะกรรมการสอบคัดเลือกหรือคณะกรรมการสรรหา ทุกท่านทั้งของตนเองและของพนักงานผู้ซึ่งได้รับการคัดเลือกให้เลื่อนตำแหน่งเป็นระดับ บริหารระดับต้น (ผู้อำนวยการฝ่าย) และพนักงานผู้ซึ่งได้รับการคัดเลือกให้เลื่อนตำแหน่ง เป็นผู้บริหารระดับกลาง (รองผู้จัดการ) ซึ่งคณะอนุกรรมการด้านกฎหมายของกองทุนฯ พิจารณาแล้วเห็นว่า การขอทราบข้อมูลคะแนนการคัดเลือกของพนักงานกองทุนฯ ผู้อื่น ซึ่งได้รับการคัดเลือกให้เลื่อนตำแหน่งเป็นระดับบริหารระดับต้น (ผู้อำนวยการฝ่าย) และได้รับการคัดเลือกให้เลื่อนตำแหน่งเป็นผู้บริหารระดับกลาง (รองผู้จัดการ) และขอให้ เปิดเผยใบประเมินผลคะแนนการสอบของคณะกรรมการสอบคัดเลือกหรือคณะกรรมการ สรรหาทุกท่านนั้น เนื่องจากใบประเมินผลของคณะกรรมการสอบคัดเลือกหรือคณะกรรมการ สรรหามีข้อมูลการให้คะแนนจากกรรมการแต่ละท่าน ซึ่งเป็นข้อมูลส่วนบุคคลของกรรมการนั้น รวมอยู่ด้วย หากกองทุนฯ เปิดเผยข้อมูลดังกล่าวอาจเข้าข่ายเป็นการฝ่าฝืนมาตรา ๑๙

๗๕

๗๖

วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้ หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติ แห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้” ดังนั้น เมื่อกองทุนฯ ยังไม่ได้ รับความยินยอมในการเปิดเผยข้อมูลส่วนบุคคลจากผู้เข้ารับการคัดเลือกรายอื่น หรือกรรมการสอบคัดเลือกหรือกรรมการสรรหาที่เป็นเจ้าของข้อมูลส่วนบุคคล กองทุนฯ ย่อมไม่สามารถเปิดเผยผลคะแนนของบุคคลอื่นและไม่สามารถเปิดเผยใบประเมินผล ของคณะกรรมการสอบคัดเลือกหรือคณะกรรมการสรรหาให้กับบุคคลอื่นได้ อย่างไรก็ตาม คณะอนุกรรมการฯ มีความเห็นในเบื้องต้นว่า หากกองทุนฯ ประสงค์จะเปิดเผยคะแนน การประเมินหรือคะแนนสอบดังกล่าว ให้กองทุนฯ นำเฉพาะผลคะแนนของผู้ร้องขอข้อมูล ที่ได้รับจากกรรมการคัดเลือกหรือกรรมการสรรหาทุกท่านมาจัดพิมพ์ลงในเอกสารฉบับใหม่ เพื่อแจ้งผลคะแนน ซึ่งเป็นข้อมูลของผู้ร้องขอเองให้แก่ผู้ร้องขอข้อมูล โดยต้องไม่เปิดเผย ชื่อและนามสกุลของกรรมการสรรหาหรือกรรมการคัดเลือกแต่ละท่าน และไม่ต้องเรียง ตามลำดับตำแหน่ง ทั้งนี้ เพื่อมิให้ผู้ร้องขอข้อมูลทราบว่าผลคะแนนดังกล่าวเป็นคะแนน ของกรรมการคัดเลือกหรือกรรมการสรรหาท่านใด รวมทั้งต้องไม่เปิดเผยความเห็น ของกรรมการแต่ละท่านว่าให้ความเห็นเป็นอย่างไร กองทุนฯ จึงขอหารือในประเด็น ดังต่อไปนี้

1. กรณีผู้ร้องขอข้อมูลขอทราบข้อมูลผลคะแนนการสอบคัดเลือกของพนักงาน ผู้อื่นซึ่งได้รับการคัดเลือกให้เลื่อนตำแหน่งนั้น กองทุนฯ จะสามารถเปิดเผยผลคะแนน การสอบคัดเลือกดังกล่าวให้แก่ผู้ร้องขอข้อมูลทราบได้หรือไม่ โดยมีหลักเกณฑ์และเงื่อนไข อย่างไร

2. กรณีผู้ร้องขอข้อมูลขอตรวจสอบใบประเมินผลคะแนนการสอบคณะกรรมการ คัดเลือกหรือคณะกรรมการสรรหาทุกท่านทั้งของตนเองและของพนักงานผู้ซึ่งได้รับ การคัดเลือกให้เลื่อนตำแหน่ง โดยใบประเมินผลของคณะกรรมการสอบคัดเลือก หรือคณะกรรมการสรรหามีข้อมูลการให้คะแนนของกรรมการสอบคัดเลือกหรือกรรมการ สรรหา ซึ่งเป็นข้อมูลส่วนบุคคลของกรรมการสอบคัดเลือกหรือกรรมการสรรหาแต่ละท่าน รวมอยู่นั้น กองทุนฯ จะสามารถเปิดเผยผลคะแนนการสอบคัดเลือกดังกล่าวให้แก่ผู้ร้อง ขอข้อมูลทราบได้หรือไม่ โดยมีหลักเกณฑ์และเงื่อนไขอย่างไร

และพนักงานกองทุนฯ มีหนังสือขอให้กองทุนฯ เปิดเผยผลการประเมินการ ปฏิบัติงานและผลการขึ้นเงินเดือนประจำปีทั้งของตนเองและของผู้อำนวยการฝ่ายทุกฝ่าย ของกองทุนฯ ซึ่งคณะอนุกรรมการด้านกฎหมายของกองทุนฯ พิจารณาแล้วเห็นว่า การขอให้กองทุนฯ เปิดเผยข้อมูลของผู้ร้องขอเองนั้น เมื่อเป็นข้อมูลของผู้ร้องขอเอง

โดยไม่มีผลกระทบถึงข้อมูลของบุคคลอื่น กองทุนฯ ย่อมสามารถเปิดเผยข้อมูลของผู้ร้องขอได้ แต่กรณีข้อมูลที่ร้องขอมีผลกระทบต่อข้อมูลของบุคคลอื่น ซึ่งการเปิดเผยข้อมูลดังกล่าวอาจเป็นการกระทบสิทธิส่วนบุคคลของบุคคลอื่นโดยไม่สมควร และเป็นการฝ่าฝืนตามมาตรา ๑๙ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กองทุนฯ จึงขอหารือกรณีผู้ร้องขอข้อมูลขอทราบผลการประเมินการปฏิบัติงานและผลการขึ้นเงินเดือนประจำปีของผู้อำนวยการฝ่ายทุกฝ่ายของกองทุนฯ ดังกล่าวนั้น กองทุนฯ จะสามารถเปิดเผยข้อมูลดังกล่าวให้กับผู้ร้องขอข้อมูลทราบได้หรือไม่ โดยมีหลักเกณฑ์และเงื่อนไขอย่างไร

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า กรณีตามข้อหารือดังกล่าวเป็นการใช้สิทธิตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ กยศ. จึงควรหารือตามกฎหมายดังกล่าวตามนัยมาตรา ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งบัญญัติว่า ในกรณีที่มีกฎหมายว่าด้วยการใด บัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้ โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (๑) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม (๒) ฯลฯ

ดังนั้น การเปิดเผยข้อมูลข่าวสารที่อยู่ในความครอบครองหรือควบคุมดูแลของ กยศ. ตามข้อหารือนี้ กยศ. จึงควรพิจารณาดำเนินการให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ซึ่งกำหนดเรื่องการเปิดเผยข้อมูลข่าวสารของราชการของหน่วยงานของรัฐ รวมถึงข้อมูลข่าวสารส่วนบุคคลที่อยู่ในความควบคุมดูแลของหน่วยงานของรัฐไว้โดยเฉพาะแล้ว และให้ กยศ. พิจารณาดำเนินการให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นการเพิ่มเติม ตามนัยมาตรา ๓ (๑) ดังกล่าว อนึ่ง มีข้อสังเกตว่า นอกจากมาตรา ๑๙ วรรคหนึ่งแล้ว กยศ. อาจพิจารณาเพิ่มเติมว่าการเปิดเผยข้อมูลส่วนบุคคลให้กับผู้ร้องขอข้อมูลตามประเด็นที่หารือทั้งสองกรณีดังกล่าว กยศ. มีฐานทางกฎหมายตามมาตรา ๒๔ ประกอบมาตรา ๒๗ วรรคหนึ่ง

393

๗๘

แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่จะสามารถเปิดเผยได้ โดยได้รับยกเว้นไม่ต้องขอความยินยอมหรือไม่

เรื่องที่ ๓ กรมส่งเสริมสหกรณ์หารือแนวทางปฏิบัติการรายงานข้อมูลส่วนบุคคล ตามประกาศนายทะเบียนสหกรณ์ฯ

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๑๖ (๓) มาตรา ๒๑ มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๔ (๖) มาตรา ๒๗ และมาตรา ๓๗ (๑)

2. พระราชบัญญัติสหกรณ์ พ.ศ. ๒๕๔๒ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติสหกรณ์ (ฉบับที่ ๓) พ.ศ. ๒๕๖๒
   มาตรา ๘๙/๒ (๑๒)

3. แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อหารือ

กรมส่งเสริมสหกรณ์ได้ออกประกาศนายทะเบียนสหกรณ์ เรื่อง การจัดเก็บและรายงานข้อมูลทางการเงินของสหกรณ์ออมทรัพย์และสหกรณ์เครดิตยูเนี่ยน พ.ศ. ๒๕๖๔ ลงวันที่ ๒๒ กันยายน ๒๕๖๔ ตามข้อ ๒๕ ของกฎกระทรวงการดำเนินงานและการกำกับดูแลสหกรณ์ออมทรัพย์และสหกรณ์เครดิตยูเนี่ยน พ.ศ. ๒๕๖๔ ซึ่งออกตามความในมาตรา ๘๙/๒ แห่งพระราชบัญญัติสหกรณ์ พ.ศ. ๒๕๔๒ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติสหกรณ์ (ฉบับที่ ๓) พ.ศ. ๒๕๖๒ ที่บัญญัติให้มีการออกกฎกระทรวงเพื่อกำหนดหลักเกณฑ์ วิธีการ และเงื่อนไขในการดำเนินงานและการกำกับดูแลสหกรณ์ออมทรัพย์และสหกรณ์เครดิตยูเนี่ยน (สหกรณ์ฯ) ในเรื่องต่าง ๆ ซึ่งรวมถึงการจัดเก็บและรายงานข้อมูลตาม (๑๒) เพื่อให้สหกรณ์ฯ ทุกแห่งต้องจัดเก็บและรายงานข้อมูลทางการเงินต่อนายทะเบียนสหกรณ์ตามแบบรายงานและวิธีการที่นายทะเบียนสหกรณ์กำหนด จึงขอหารือว่าการจัดเก็บและการรายงานข้อมูลทางการเงินของสหกรณ์ตามประกาศนายทะเบียนสหกรณ์ฯ ตามแบบรายงานที่ ๕.๓ ลูกหนี้เงินให้กู้ยืมรายใหญ่ (รายบุคคล) และแบบรายงานที่ ๖.๓ เจ้าหนี้เงินกู้และผู้ฝากเงินรายใหญ่ (รายบุคคล) รวมทั้งแบบรายงานอื่นที่มีข้อมูลส่วนบุคคล ซึ่งสหกรณ์จะต้องจัดส่งข้อมูลเกี่ยวกับชื่อ - นามสกุล เลขประจำตัวประชาชน และธุรกรรมทางการเงินของสมาชิกสหกรณ์ให้แก่นายทะเบียนสหกรณ์เป็นรายเดือน สามารถดำเนินการได้โดยไม่ต้องได้รับความยินยอม

จากสมาชิกก่อนได้หรือไม่ และเข้าลักษณะตามข้อยกเว้นตามมาตรา ๒๔ (๔) หรือ (๖) ประกอบมาตรา ๒๗ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ อย่างไร

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือ และให้ คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้พิจารณาข้อหารือแล้ว ขอเรียนว่า แม้สหกรณ์ฯ ได้เก็บรวบรวมข้อมูลส่วนบุคคลจากสมาชิกของสหกรณ์ เช่น ชื่อ - นามสกุล เลขประจำตัวประชาชน ธุรกรรมทางการเงิน สถานะทางการเงินและข้อมูลเกี่ยวกับการเป็น ลูกหนี้หรือเจ้าหนี้ เนื่องมาจากการทำสัญญาทางการเงินก็ตาม แต่เมื่อกฎกระทรวงฯ และประกาศนายทะเบียนสหกรณ์ฯ ดังกล่าว ซึ่งออกตามความในมาตรา ๘๙/๒ (๑๒) แห่งพระราชบัญญัติสหกรณ์ พ.ศ. ๒๕๔๒ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติสหกรณ์ (ฉบับที่ ๓) พ.ศ. ๒๕๖๒ กำหนดให้ต้องจัดเก็บและรายงานข้อมูลต่ออธิบดีกรมส่งเสริมสหกรณ์ในฐานะนายทะเบียนสหกรณ์ ซึ่งเป็นผู้มีหน้าที่และอำนาจตามพระราชบัญญัติสหกรณ์ พ.ศ. ๒๕๔๒ และที่แก้ไขเพิ่มเติม ดังนั้น สหกรณ์ฯ ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของสมาชิกมีหน้าที่ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสมาชิกต่อนายทะเบียนสหกรณ์ และกรมส่งเสริมสหกรณ์ได้ตามมาตรา ๒๔ (๖) ประกอบมาตรา ๒๗ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ต้องได้รับความยินยอมจากสมาชิกในฐานะเจ้าของข้อมูลส่วนบุคคลแต่อย่างใด อย่างไรก็ตาม นายทะเบียนสหกรณ์ และกรมส่งเสริมสหกรณ์มีหน้าที่อื่น ๆ ที่จะต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย กล่าวคือ

(๑) การเก็บรวบรวมข้อมูลส่วนบุคคล ให้เก็บรวบรวมได้เท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๒๒ ดังนั้น ในส่วนของข้อมูลส่วนบุคคลตามแบบรายงานที่ ๕.๓ ลูกหนี้เงินให้กู้ยืมรายใหญ่ (รายบุคคล) และแบบรายงานที่ ๖.๓ เจ้าหนี้เงินกู้และผู้ฝากเงินรายใหญ่ (รายบุคคล) รวมทั้งแบบรายงานอื่นที่มีข้อมูลส่วนบุคคล นายทะเบียนสหกรณ์และกรมส่งเสริมสหกรณ์มีหน้าที่ต้องพิจารณาด้วยว่าข้อมูลดังกล่าวมีความจำเป็นที่ต้องเก็บรวบรวมเพื่อให้บรรลุวัตถุประสงค์ในการปฏิบัติหน้าที่ตามกฎหมายหรือไม่

(๒) ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวมตามมาตรา ๒๑

๗๕

(๓) ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล (สหกรณ์ฯ) จะต้องแจ้ง ให้เจ้าของข้อมูลส่วนบุคคล (สมาชิก) ทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียด ตามที่กำหนดในมาตรา ๒๓ โดยพึงดำเนินการให้สอดคล้องกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์ และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดตามมาตรา ๑๖ (๓)

(๔) ผู้ควบคุมข้อมูลส่วนบุคคล (สหกรณ์และกรมส่งเสริมสหกรณ์) มีหน้าที่จัดให้มีมาตรการ รักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา ๓๗ (๑) และมีหน้าที่อื่น ๆ ตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนด

เรื่องที่ ๔ โรงพยาบาล B ขอหารือกรณีพนักงานสอบสวนขอข้อมูลส่วนบุคคล

ข้อกฎหมาย

๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๓ มาตรา ๔ (๒) และ (๕) มาตรา ๔ วรรคสาม มาตรา ๒๑ มาตรา ๒๔
มาตรา ๒๖ มาตรา ๒๗ วรรคหนึ่ง และมาตรา ๓๗ (๑)

๒. พระราชบัญญัติสถานพยาบาล พ.ศ. ๒๕๔๑
มาตรา ๓๕

๓. พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. ๒๕๕๐
มาตรา ๗

๔. ประมวลกฎหมายวิธีพิจารณาความอาญา

ข้อหารือ

โรงพยาบาล B โดยฝ่ายกฎหมายของโรงพยาบาล ขอหารือกรณีพนักงานสอบสวนมักมีหนังสือ และ/หรือหมายเรียกพยานเอกสาร ขอให้โรงพยาบาล B ส่งประวัติการรักษาพยาบาลของผู้ป่วย ซึ่งถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เพื่อนำไปประกอบสำนวนการสอบสวนดำเนินคดีอาญาโรงพยาบาล B จึงขอหารือถึงการใช้หรือเปิดเผยประวัติการรักษาพยาบาลของผู้ป่วยกรณีได้รับหนังสือ และ/หรือหมายเรียกพยานเอกสาร ออกโดยพนักงานสอบสวนเพื่อเป็นแนวทางในการปฏิบัติงานที่ถูกต้องต่อไป ดังนี้

๑. พนักงานสอบสวน สังกัดสำนักงานตำรวจแห่งชาติ ซึ่งมีอำนาจและหน้าที่ทำการสอบสวน รวบรวมพยานหลักฐานและการดำเนินการทั้งหลายอื่นตามบทบัญญัติแห่งประมวลกฎหมายวิธีพิจารณาความอาญา ซึ่งได้ทำไปเกี่ยวกับความผิดที่มีการกล่าวหาเพื่อที่จะทราบข้อเท็จจริงหรือการพิสูจน์ความถูกผิดและเพื่อจะเอาตัวผู้กระทำผิดมาที่ต้อง

๘๐

ลงโทษ มีหนังสือ และ/หรือหมายเรียกพยานเอกสาร นั้น การขอข้อมูลส่วนบุคคลของพนักงานสอบสวนซึ่งสังกัดสำนักงานตำรวจแห่งชาติ เป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความปลอดภัยของประชาชน ตามความหมายของมาตรา ๔ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ และสำนักงานตำรวจแห่งชาติไม่อยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ใช่หรือไม่ และการกระทำตามอำนาจหน้าที่ของพนักงานสอบสวน ตามบทบัญญัติแห่งประมวลกฎหมายวิธีพิจารณาความอาญาเพื่อวัตถุประสงค์ข้างต้นนั้น เป็นการดำเนินการของเจ้าหน้าที่ที่ได้ดำเนินงานตามกระบวนการยุติธรรมทางอาญา ตามมาตรา ๔ (๕) ซึ่งไม่อยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ใช่หรือไม่

๒. ตามข้อเท็จจริงดังกล่าวข้างต้น โรงพยาบาล 8 ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถเปิดเผยข้อมูลส่วนบุคคล ตามที่พนักงานสอบสวนมีหนังสือ และ/หรือหมายเรียกพยานเอกสาร ให้กับพนักงานสอบสวนตามมาตรา ๒๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้หรือไม่

๓. กรณีตามข้อ ๑ ข้างต้น โรงพยาบาล 8 สามารถเปิดเผยประวัติการรักษาพยาบาล โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนให้กับพนักงานสอบสวนได้หรือไม่

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วมีความเห็น ดังนี้

ประเด็นหารือที่ ๑ เห็นว่า การขอข้อมูลส่วนบุคคลของพนักงานสอบสวนเพื่อการสอบสวน ซึ่งเป็นการรวบรวมพยานหลักฐานและการดำเนินการทั้งหลายอื่น ตามบทบัญญัติแห่งประมวลกฎหมายวิธีพิจารณาความอาญา ซึ่งพนักงานสอบสวนได้ทำไปเกี่ยวกับความผิดที่กล่าวหา เพื่อที่จะทราบข้อเท็จจริงหรือพิสูจน์ความผิดและเพื่อจะเอาตัวผู้กระทำผิดมาพ้องลงโทษ ตามประเด็นที่หารือนี้ ถือเป็นส่วนหนึ่งของการดำเนินงานของเจ้าหน้าที่ตามกระบวนการยุติธรรมทางอาญาตามนัยมาตรา ๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยกระบวนการยุติธรรมทางอาญาครอบคลุมตั้งแต่กระบวนการเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา การพิจารณาความผิดอาญา และการลงโทษผู้กระทำความผิดอาญา และในกรณีที่เจ้าหน้าที่ดังกล่าว

๘๑

เป็นบุคลากรของสำนักงานตำรวจแห่งชาติที่ปฏิบัติงานตามหน้าที่และอำนาจที่กฎหมาย กำหนดไว้เพื่อการรักษาความปลอดภัยของประชาชน จะเข้าข่ายเป็นการดำเนินการ ของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงการรักษา ความปลอดภัยของประชาชน ตามความในมาตรา ๔ (๒) แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย ดังนั้น กรณีตามประเด็นหารือดังกล่าว ถือเป็นการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสำนักงานตำรวจแห่งชาติ ในการปฏิบัติหน้าที่ ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน เพื่อการดำเนินงานตามกระบวนการยุติธรรมทางอาญา จึงไม่อยู่ภายใต้บังคับ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๔ (๒) และ (๕) อย่างไรก็ดี สำนักงานตำรวจแห่งชาติจะต้องจัดให้มีการรักษาความมั่นคงปลอดภัย ของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย ตามความในมาตรา ๔ วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ประเด็นหารือที่ ๒ และ ๓ โรงพยาบาล B ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติการรักษาพยาบาลของผู้ป่วย โดยได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ หรือมาตรา ๒๖ แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แล้วแต่กรณี เช่น เป็นการจำเป็นเพื่อการปฏิบัติ ตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอ ของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้นตามมาตรา ๒๔ (๓), เป็นการปฏิบัติ ตามสัญญาระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ ในกรณีที่ ข้อมูลส่วนบุคคลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือผู้มีหน้าที่ รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมายตามมาตรา ๒๖ (๕) (ก) หรือเป็น การปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๒๔ (๖) หรือเป็น การจำเป็นในการปฏิบัติตามกฎหมายตามมาตรา ๒๖ (๕) (ก) (เช่น หน้าที่และความรับผิดชอบ ของผู้รับอนุญาตและผู้ดำเนินการในการจัดให้มีและรายงานหลักฐานเกี่ยวกับผู้ประกอบ วิชาชีพในสถานพยาบาลและผู้ป่วย และเอกสารอื่นที่เกี่ยวกับการรักษาพยาบาล โดยต้องเก็บรักษาไว้ให้อยู่ในสภาพที่ตรวจสอบได้ไม่น้อยกว่าห้าปีนับแต่วันที่จัดทำ ตามมาตรา ๓๕ แห่งพระราชบัญญัติสถานพยาบาล พ.ศ. ๒๕๔๑)

ดังนั้น โรงพยาบาล B จึงสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ซึ่งรวมถึงประวัติการรักษาพยาบาลของผู้ป่วยที่ถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับ ข้อมูลสุขภาพตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามที่พนักงานสอบสวนมีหนังสือ และ/หรือหมายเรียกพยานเอกสารได้ โดยไม่ต้อง ขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เนื่องจากเป็นข้อมูลส่วนบุคคลที่เก็บรวบรวม

๘๒

๘๓

ได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี ตามนัยมาตรา ๒๗ วรรคหนึ่ง

สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ดังกล่าว ในกรณีที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล สามารถดำเนินการได้ตามมาตรา ๒๑ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ ส่วนกรณีที่เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บ รวบรวม โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนการเก็บรวบรวม ใช้ หรือเปิดเผยนั้น หากเป็นการปฏิบัติตามบทบัญญัติแห่งกฎหมายอื่นที่บัญญัติให้กระทำได้ เช่น ประมวลกฎหมายวิธีพิจารณาความอาญา ก็สามารถดำเนินการเปิดเผยข้อมูล ส่วนบุคคลดังกล่าวได้ ตามนัยมาตรา ๒๑ วรรคสอง (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒

อนึ่ง การเปิดเผยข้อมูลส่วนบุคคลให้กับพนักงานสอบสวนดังกล่าว ยังถือเป็น กรณีที่มีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผยข้อมูลด้านสุขภาพของบุคคล ซึ่งสามารถ กระทำได้ตามมาตรา ๗ แห่งพระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. ๒๕๕๐ โดยมาตรา ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้บัญญัติให้ในกรณี ที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วย การนั้น เว้นแต่ (๑) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติ แห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม (๒) ฯลฯ อีกด้วย

ทั้งนี้ คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ มีความเห็นเพิ่มเติมว่า โรงพยาบาล ๑ ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามที่บัญญัติในพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายอื่น ในส่วนที่เกี่ยวข้องกับการคุ้มครอง ข้อมูลส่วนบุคคลให้ครบถ้วนด้วย โดยเฉพาะในเรื่องการจัดให้มีมาตรการรักษาความมั่นคง ปลอดภัยที่เหมาะสมตามที่กำหนดในมาตรา ๓๗ (๑) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำ ที่กำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษา ความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕

เรื่องที่ ๕ องค์การขนส่งมวลชนกรุงเทพขอหารือเกี่ยวกับการให้ข้อมูลส่วนบุคคล กับประชาชน

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๓ มาตรา ๖ (บทนิยามคำว่า “ข้อมูลส่วนบุคคล” และ “บุคคล”) มาตรา ๒๔
   มาตรา ๒๖ และมาตรา ๒๗

2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
   มาตรา ๙ มาตรา ๑๔ และมาตรา ๑๕

ข้อหารือ

องค์การขนส่งมวลชนกรุงเทพ (ขสมก.) แจ้งว่า เครือข่ายความปลอดภัยทางถนน และคุ้มครองสิทธิประโยชน์ของผู้โดยสารสาธารณะ (เครือข่ายฯ) มีหนังสือถึง ขสมก. ขอใช้สิทธิ์ตรวจสอบข้อมูลและคัดสำเนาเอกสาร ตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ โดยเครือข่ายฯ ได้ขอตรวจสอบเอกสารเกี่ยวกับสัญญา จำนวน ๕๕ เส้นทาง ดังนี้

1. สำเนาหนังสือยืนยันการเป็นคู่สัญญาเดินรถร่วมกับ ขสมก.

2. สำเนาบันทึกข้อตกลงว่าด้วยความร่วมมือการถ่ายโอนการกำกับดูแลรถโดยสาร ประจำทางในเขตกรุงเทพมหานครและปริมณฑลและคู่สัญญาประกอบการเดินรถ กับ ขสมก.

3. สำเนาหนังสือถึงนายทะเบียนกลางหรือกรมการขนส่งทางบก เรื่อง ขอยกเลิกใบอนุญาตประกอบการขนส่งประจำทางด้วยรถโดยสารประจำทาง

ทั้งนี้ เนื่องจากเอกสารที่เกี่ยวข้องมีทั้งข้อมูลที่เกี่ยวกับบุคคลธรรมดาและนิติบุคคล จำนวนมากอันเกี่ยวกับชื่อ ฐานะ สถานภาพ อาชีพ การเงิน ที่ไม่สามารถเปิดเผยได้ หากไม่ได้ ความยินยอมของบุคคลนั้น ๆ จึงขอหารือว่า การที่เครือข่ายความปลอดภัยทางถนน และคุ้มครองสิทธิประโยชน์ของผู้โดยสารสาธารณะหรือบุคคลภายนอกที่ไม่มีส่วนเกี่ยวข้อง จะขอตรวจสอบและคัดสำเนาเอกสารดังกล่าว จะเป็นการขัดต่อพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐ เพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้ว เห็นว่า ขสมก. เป็นหน่วยงานของรัฐตามมาตรา ๔ แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ข้อมูลข่าวสารที่อยู่ใน

๘๔

ความครอบครองหรือควบคุมดูแลของ ขสมก. ในฐานะหน่วยงานของรัฐ ไม่ว่าจะเป็นข้อมูลข่าวสารเกี่ยวกับการดำเนินงานของรัฐหรือข้อมูลข่าวสารเกี่ยวกับเอกชน จึงเป็นข้อมูลข่าวสารของราชการตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ที่ ขสมก. มีหน้าที่ปฏิบัติให้เป็นไปตามพระราชบัญญัติดังกล่าว โดยในกรณีที่ข้อมูลข่าวสารดังกล่าวเป็นข้อมูลส่วนบุคคลของบุคคลธรรมดาตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วยนั้น มาตรา ๓ แห่งพระราชบัญญัติดังกล่าวบัญญัติว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้ โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (๑) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม (๒) ฯลฯ

ดังนั้น ขสมก. ในฐานะหน่วยงานของรัฐตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ จึงควรพิจารณาดำเนินการให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ซึ่งได้กำหนดเรื่องการเปิดเผยข้อมูลข่าวสารของราชการของหน่วยงานของรัฐ รวมถึงข้อมูลข่าวสารส่วนบุคคลที่อยู่ในความควบคุมดูแลของหน่วยงานของรัฐไว้ โดยเฉพาะแล้ว และให้ ขสมก. พิจารณาดำเนินการให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นการเพิ่มเติม ตามความในมาตรา ๓ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ดังกล่าว

อนึ่ง คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ มีข้อสังเกตว่า มาตรา ๙ แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ บัญญัติว่า หน่วยงานของรัฐต้องจัดให้มีข้อมูลข่าวสารของราชการอย่างน้อยดังต่อไปนี้ไว้ให้ประชาชนเข้าตรวจดูได้ ทั้งนี้ ตามหลักเกณฑ์และวิธีการที่คณะกรรมการข้อมูลข่าวสารของราชการกำหนด (๑) ฯลฯ (๖) สัญญาสัมปทาน สัญญาที่มีลักษณะเป็นการผูกขาดตัดตอนหรือสัญญาร่วมทุนกับเอกชนในการจัดทำบริการสาธารณะ ฯลฯ โดยบุคคลไม่ว่าจะมีส่วนได้เสียเกี่ยวข้องหรือไม่ก็ตาม ย่อมมีสิทธิเข้าตรวจดู ขอสำเนา หรือขอสำเนาที่มีคำรับรองถูกต้องของข้อมูลข่าวสารดังกล่าวได้ และถ้ามีส่วนที่ต้องห้ามมิให้เปิดเผยตามมาตรา ๑๔ หรือมาตรา ๑๕ อยู่ด้วย ให้ลบหรือตัดทอนหรือทำโดยประการอื่นใดที่ไม่เป็นการเปิดเผยข้อมูลข่าวสารส่วนนั้น หากข้อมูลข่าวสารดังกล่าวปรากฏข้อมูลส่วนบุคคล ขสมก. ควรพิจารณาซึ่งน้ำหนักถึงความโปร่งใส สามารถตรวจสอบได้ และการไม่รุกล้ำสิทธิส่วนบุคคลโดยไม่สมควรว่าการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวมีความจำเป็นเพียงใดเพื่อการปฏิบัติตามเจตนารมณ์ของพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ การปฏิบัติหน้าที่ตามกฎหมาย

๘๕

ของ ขสมก.ประโยชน์สาธารณะ และประโยชน์ของเอกชนที่เกี่ยวข้องประกอบกัน ตามนัยมาตรา ๑๕ แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐

นอกจากนี้ ขสมก. ควรพิจารณาเพิ่มเติมว่า การเปิดเผยข้อมูลส่วนบุคคลให้กับเครือข่ายฯ ตามประเด็นที่หรือดังกล่าวเป็นการดำเนินการที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ หรือมาตรา ๒๖ ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งจะสามารถเปิดเผยได้โดยไม่ต้องได้รับความยินยอมหรือไม่ เช่น ในกรณีที่ เป็นการปฏิบัติตามกฎหมายของ ขสมก. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๖) หรือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะ ของ ขสมก. หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ ขสมก. ในฐานะผู้ควบคุม ข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๔)

ส่วนกรณีการเปิดเผยข้อมูลของนิติบุคคลอื่นตามที่ ขสมก. หารือมา ไม่อยู่ในบังคับ ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เนื่องจากข้อมูลส่วนบุคคล ตามพระราชบัญญัติดังกล่าวครอบคลุมเฉพาะข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถ ระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม ตามมาตรา ๖ การเปิดเผยข้อมูลของนิติ บุคคลอื่นตามที่ ขสมก. หารือมา จึงอยู่นอกหน้าที่และอำนาจของคณะอนุกรรมการเฉพาะ กิจตอบข้อหารือฯ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และสำนักงานคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคล ขสมก. จึงต้องพิจารณาดำเนินการให้เป็นไปตามพระราชบัญญัติ ข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐

เรื่องที่ ๖ สหกรณ์ออมทรัพย์ ผ. ขอหารือเกี่ยวกับการให้ข้อมูลของสมาชิก

ข้อกฎหมาย

๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๔ และมาตรา ๒๗

ข้อหารือ

สหกรณ์ออมทรัพย์ ผ. (สหกรณ์ฯ) ขอหารือว่า สหกรณ์ฯ สามารถให้ข้อมูลรายชื่อ สมาชิกทั้งหมด พร้อมทั้งที่อยู่และหมายเลขโทรศัพท์ของสมาชิกแก่สมาชิกของสหกรณ์ฯ ที่ประสงค์จะสมัครเข้ารับการสรรหาเป็นประธานกรรมการ เพื่อใช้เป็นข้อมูลในการวางแผน พบปะสมาชิกในการสมัครเข้ารับการสรรหาเพื่อรับการเลือกตั้งเป็นประธานกรรมการ ของสหกรณ์ฯ ได้หรือไม่ อย่างไร

๔๖

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือ และให้ คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ ได้พิจารณาข้อหารือแล้วเห็นว่า เมื่อสหกรณ์ฯ ซึ่งมีฐานะ เป็นผู้ควบคุมข้อมูลส่วนบุคคลได้เก็บรวบรวมข้อมูลส่วนบุคคล ซึ่งประกอบด้วยชื่อ ที่อยู่ และหมายเลขโทรศัพท์ของสมาชิก โดยมีวัตถุประสงค์เพื่อใช้ในการรับสมัครสมาชิก การให้บริการและดำเนินการต่าง ๆ ให้กับสมาชิก การให้กู้ยืมเงินและการรับฝากเงิน และการดำเนินงานที่เกี่ยวข้องกับวัตถุประสงค์และอำนาจของสหกรณ์ ตามข้อบังคับ ของสหกรณ์ฯ การใช้และเปิดเผยข้อมูลส่วนบุคคลดังกล่าว จะต้องเป็นไปตามวัตถุประสงค์ ของการเก็บรวบรวมนั้น การที่สมาชิกที่ประสงค์จะสมัครเข้ารับการสรรหาเป็นประธาน กรรมการของสหกรณ์ฯ จะขอให้เปิดเผยข้อมูลส่วนบุคคลดังกล่าว เพื่อใช้เป็นข้อมูล ในการวางแผนพบปะสมาชิกในการสมัครเข้ารับการสรรหาเป็นประธานกรรมการ ของสหกรณ์ฯ ย่อมเป็นการนำไปใช้บอกเหนือวัตถุประสงค์ของการเก็บรวบรวมข้อมูล ส่วนบุคคลแต่แรก ดังนั้น สหกรณ์ฯ จึงไม่สามารถเปิดเผยข้อมูลส่วนบุคคลของสมาชิก แก่ผู้ที่ประสงค์จะสมัครเข้ารับการสรรหาเป็นประธานกรรมการของสหกรณ์ฯ ได้ โดยไม่ได้รับ ความยินยอมจากสมาชิกในฐานะเจ้าของข้อมูลส่วนบุคคล ตามมาตรา ๒๔ ประกอบมาตรา ๒๗ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ อย่างไรก็ดี หากสหกรณ์ฯ เห็นว่า การใช้ข้อมูลส่วนบุคคลของสมาชิกในการติดต่อสื่อสารกับสมาชิกหรือประชาสัมพันธ์เรื่องที่ เกี่ยวข้องกับการดำเนินงานของสหกรณ์ให้สมาชิกทราบอยู่ในขอบเขตวัตถุประสงค์ ของการเก็บรวบรวมข้อมูลส่วนบุคคลของสหกรณ์ฯ ดังกล่าว สหกรณ์ฯ อาจพิจารณา ติดต่อสื่อสารกับสมาชิกหรือประชาสัมพันธ์ให้สมาชิกทราบข่าวสารเกี่ยวกับการสรรหา หรือผู้สมัครเข้ารับการสรรหาเป็นประธานกรรมการหรือกรรมการของสหกรณ์ฯ โดยตรงได้ โดยไม่มีการเปิดเผยข้อมูลส่วนบุคคลให้กับผู้สมัครรายใด โดยไม่ได้รับความยินยอม จากสมาชิก

นอกจากนี้ เพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในการเก็บรวบรวมข้อมูลส่วนบุคคล สหกรณ์ฯ จะต้องแจ้งให้เจ้าของข้อมูล ส่วนบุคคลทราบวัตถุประสงค์และรายละเอียดตามมาตรา ๒๓ ก่อนหรือในขณะเก็บรวบรวม ข้อมูลส่วนบุคคล เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว และสหกรณ์ฯ จะเก็บรวบรวมข้อมูลส่วนบุคคลได้เท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบ ด้วยกฎหมายของสหกรณ์ฯ

๘๗

เรื่องที่ ๗ บริษัท ญ. ขอหารือเรื่อง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๔ (๕)

ข้อกฎหมาย

๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๔ (๕) มาตรา ๒๔ และมาตรา ๒๗ วรรคหนึ่ง

ข้อหารือ

ผู้หารือในฐานะที่ปรึกษากฎหมายของบริษัท ญ. และเป็นทนายความในการดำเนินคดีต่าง ๆ ให้กับบริษัท ด้วย โดยปกติลูกค้าที่ซื้อสินค้าจากบริษัท ได้ชำระเงินค่าสินค้าโดยสั่งจ่ายเป็นเช็คให้แก่บริษัท หากเช็คของลูกค้าถูกรนาคารปฏิเสธการจ่ายเงิน บริษัท ในฐานะผู้เสียหายตามกฎหมาย ก็จะดำเนินคดีกับลูกค้าในความผิดอาญาตามพระราชบัญญัติว่าด้วยความผิดอันเกิดจากการใช้เช็ค พ.ศ. ๒๕๓๔ โดยใช้ทนายความประจำบริษัท เป็นผู้ฟ้องคดีต่อศาล มิได้นำเช็คไปแจ้งความร้องทุกข์ต่อพนักงานสอบสวนแต่ประการใด และโดยปกติหากทนายที่รับเรื่องไม่สามารถทราบได้ชัดเจนว่า ผู้สั่งจ่ายเช็คชื่ออะไร ก็จะสอบถามไปทางธนาคาร ซึ่งที่ผ่านมาบริษัท ได้รับความร่วมมือเป็นอย่างดี แต่ปัจจุบันนับแต่มีพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ธนาคารจะไม่ยอมบอกชื่อผู้ลงลายมือชื่อสั่งจ่ายในเช็คให้แก่ทนายความของบริษัท ทราบ แม้ทางบริษัท จะอ้างว่า หากไม่บอก บริษัท จะไม่สามารถฟ้องตัวผู้กระทำความผิดได้ ทำให้เกิดความเสียหายก็ตาม ก็ไม่ได้รับการแจ้งข้อมูลเพื่อประกอบการดำเนินคดี ทำให้บริษัท ได้รับความเสียหายอยู่หลายครั้ง เนื่องจากฟ้องผิดตัวบ้าง ฟ้องไม่ครบคนที่กระทำความผิดบ้าง ทั้งนี้ จากการตรวจสอบข้อกฎหมายทราบว่า มาตรา ๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งได้บัญญัติยกเว้นไม่ให้พระราชบัญญัตินี้ใช้บังคับแก่ “การพิจารณาพิพากษาคดีของศาล และการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา” ซึ่งผู้หารือมีความเห็นว่า ผู้เสียหายที่แต่งตั้งทนายความยื่นฟ้องคดีอาญาเอง น่าจะอยู่ในขอบข่ายข้อยกเว้นดังกล่าวแล้วด้วย เช่น ก่อนจะฟ้องคดี ทนายของผู้เสียหายจะต้องไปคัดทะเบียนราษฎร ที่สำนักงานเขตหรืออำเภอ เพื่อทราบชื่อ ที่อยู่ของจำเลยที่จะถูกฟ้อง ซึ่งสำนักงานเขตหรืออำเภอจะให้คัดสำเนาข้อมูลของบุคคลได้ ซึ่งทนายความจะใช้ประกอบในคำฟ้องต่อไป จึงขอหารือว่า การดำเนินการดังกล่าวข้างต้นของบริษัท จะสามารถปรับเข้ากับข้อยกเว้นตามมาตรา ๔ (๕) ในส่วนที่บัญญัติว่า “รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา” ได้หรือไม่ และหากเห็นว่าเข้าข้อยกเว้นได้ บริษัท ขอให้มีคำสั่งแจ้งให้ทุกธนาคารรับทราบต่อไปด้วย

๘๘

ความเห็น
คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐ เพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า บทบัญญัติตามมาตรา ๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งกำหนดไม่ใช้บังคับแก่การพิจารณาพิพากษาคดีของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดีและการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา ทั้งนี้ กระบวนการยุติธรรมทางอาญาครอบคลุมตั้งแต่กระบวนการเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา การพิจารณาความผิดอาญา และการลงโทษผู้กระทำความผิดอาญา แต่จะต้องเป็นการดำเนินงานของเจ้าหน้าที่ที่เกี่ยวข้องในกระบวนการยุติธรรมทางอาญาเท่านั้น สำหรับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของทนายความ และ/หรือผู้เสียหาย ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลในบางกิจกรรมที่เป็นส่วนหนึ่งของกระบวนการพิจารณาพิพากษาคดีของศาล เช่น การแถลงต่อศาลซึ่งอยู่ในระหว่างกระบวนการพิจารณาพิพากษาคดี ย่อมเข้าย้อยกเว้นตามมาตรา ๔ (๕) แต่การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลโดยทนายความและ/หรือผู้เสียหาย เพื่อรวบรวมพยานหลักฐาน เพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ตลอดจนข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา ซึ่งเป็นกระบวนการก่อนการฟ้องคดีและการพิจารณาพิพากษาคดี และไม่ได้เป็นการดำเนินการโดยเจ้าหน้าที่ที่เกี่ยวข้องในกระบวนการยุติธรรมทางอาญา ไม่เข้าลักษณะตามมาตรา ๔ (๕) กรณีจึงไม่ได้รับยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับแต่อย่างใด

อย่างไรก็ดี คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ มีข้อสังเกตว่า ธนาคารในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับชื่อของผู้ลงลายมือชื่อสั่งจ่ายเช็ค โดยได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เนื่องจากเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญา ดังนั้น กรณีตามข้อหารือ นี้ เมื่อธนาคารได้รับคำขอข้อมูลดังกล่าวจากทนายความ และ/หรือผู้เสียหาย จึงควรพิจารณาว่า การขอข้อมูลส่วนบุคคลเกี่ยวกับเจ้าของบัญชีหรือผู้ลงลายมือชื่อสั่งจ่ายเช็ค โดยทนายความ และ/หรือผู้เสียหาย เพื่อรวบรวมพยานหลักฐานในการฟ้องคดี อาจเป็นกรณีที่ธนาคารสามารถเปิดเผยได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลหรือไม่ เช่น พิจารณาว่าเป็นกรณีที่เป็นการจำเป็น

๘๘

เพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคล
หรือมีบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ธนาคารพิจารณาแล้วเห็นว่า
ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของ
ข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๕) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จึงไม่เปิดเผยข้อมูลส่วนบุคคลนั้น หรือมีกฎหมาย
อื่นกำหนดให้ธนาคารต้องเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ตามมาตรา ๒๔ (๖) ประกอบ
มาตรา ๒๗ วรรคหนึ่ง ธนาคารก็ปฏิบัติตามกฎหมายที่เกี่ยวข้องดังกล่าวต่อไป

อนึ่ง สำหรับการขอให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแจ้งสรุป
ความเห็นไปยังธนาคารต่าง ๆ โดยตรงนั้น ขอเรียนว่า การตอบข้อหารือขึ้นเป็นความเห็น
และคำแนะนำทางกฎหมายของคณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ ซึ่งท่านอาจใช้
ประกอบดุลพินิจในการดำเนินการที่เกี่ยวข้อง แต่ความเห็นดังกล่าวนี้ไม่ผูกพันการใช้
อำนาจและหน้าที่ของคณะกรรมการผู้เชี่ยวชาญตามกฎหมาย ในกรณีที่อาจมีการร้องเรียน
ตามพระราชบัญญัตินี้ต่อไป

เรื่องที่ ๘ การเปิดเผยข้อมูลส่วนบุคคลในรายงานการประชุม

เรื่องที่ ๘.๑ สำนักงานตรวจคนเข้าเมืองขอหารือการเปิดเผยข้อมูลส่วนบุคคล
กรณีรายงานการประชุม

ข้อกฎหมาย
๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๓ และมาตรา ๖
๒. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
มาตรา ๔ มาตรา ๙ มาตรา ๑๑ และมาตรา ๑๕

ข้อหารือ
สำนักงานตรวจคนเข้าเมือง ขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
พิจารณาให้คำแนะนำและคำปรึกษาในการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. ๒๕๖๒ เกี่ยวกับการเปิดเผยข้อมูลข่าวสารกรณีรายงานการประชุม
คณะกรรมการจัดทำร่างคุณลักษณะเฉพาะ ที่ปรากฏข้อมูลเกี่ยวกับบุคคล ได้แก่ ยศ ชื่อ
และนามสกุลของคณะกรรมการที่เข้าร่วมประชุม ซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่า
ทางตรงหรือทางอ้อมและรายละเอียดเกี่ยวกับการแสดงความคิดเห็นในเรื่องดังกล่าว
ตามความในมาตรา ๙ ประกอบมาตรา ๑๑ วรรคสาม แห่งพระราชบัญญัติข้อมูลข่าวสาร
ของราชการ พ.ศ. ๒๕๔๐ ให้กับข้าราชการบำนาญที่เมื่อครั้งรับราชการได้รับแต่งตั้ง
ให้เป็นประธานคณะกรรมการจัดทำร่างคุณลักษณะเฉพาะของสำนักงานตรวจคนเข้าเมือง

50

เพื่อชี้แจงข้อเท็จจริงกรณีสำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริต แห่งชาติ (สำนักงาน ป.ป.ช.) กล่าวหาการดำเนินงานโครงการหนึ่ง จะขัดต่อการใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ อย่างไร

ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจ ตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พิจารณาประเด็นข้อหารือของสำนักงานตรวจคน เข้าเมืองแล้ว มีความเห็นพร้อมข้อสังเกตว่า รายงานการประชุมคณะกรรมการจัดทำร่างคุณ ลักษณะเฉพาะ ที่ปรากฏข้อมูลเกี่ยวกับบุคคล ได้แก่ ยศ ชื่อ และนามสกุล ของคณะกรรมการที่เข้าร่วมประชุม ซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรง หรือทางอ้อมและรายละเอียดเกี่ยวกับการแสดงความคิดเห็นในเรื่องดังกล่าว เป็นข้อมูล ข่าวสารที่อยู่ในความครอบครองหรือควบคุมดูแลของสำนักงานตรวจคนเข้าเมือง ซึ่งเป็นหน่วยงานของรัฐ จึงเป็นข้อมูลข่าวสารของราชการ ตามนัยมาตรา ๔ แห่งพระราชบัญญัติ ข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ และในขณะเดียวกันก็ถือเป็นข้อมูลส่วนบุคคล ตามบทนิยามในมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พิจารณาแล้วเห็นว่า การปกปิดหรือเปิดเผยข้อมูลข่าวสารของราชการย่อมเป็นไป ตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ อันเป็นกฎหมายเฉพาะที่บังคับ ใช้กับหน่วยงานของรัฐ จึงเป็นกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครอง ข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับ ตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น ตามนัยมาตรา ๓ แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

กรณีรายงานการประชุมดังกล่าวที่ปรากฏข้อมูลเกี่ยวกับบุคคล ได้แก่ ยศ ชื่อ และนามสกุลของคณะกรรมการที่เข้าร่วมประชุม และรายละเอียดเกี่ยวกับการแสดง ความคิดเห็นในเรื่องดังกล่าว ข้อมูลข่าวสารดังกล่าวเป็นข้อมูลข่าวสารในการปฏิบัติหน้าที่ ราชการตามปกติของเจ้าหน้าที่ของรัฐ และการเปิดเผยรายชื่อและข้อมูลเกี่ยวกับบุคคล และรายละเอียดเกี่ยวกับการแสดงความคิดเห็นในเรื่องดังกล่าว ไม่ได้ส่งผลกระทบ หรือจะเป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควรแต่อย่างใด ในทางตรงกันข้าม การเปิดเผยข้อมูลข่าวสารดังกล่าวจะแสดงถึงความโปร่งใสและตรวจสอบได้ ซึ่งจะทำให้ เกิดความเชื่อมั่นต่อการปฏิบัติหน้าที่ของสำนักงานตรวจคนเข้าเมือง เป็นไป ตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ จึงเห็นว่าสำนักงานตรวจ

50

คนเข้าเมืองสามารถเปิดเผยรายงานการประชุมที่ปรากฏข้อมูลเกี่ยวกับบุคคลดังกล่าวให้กับผู้ขอได้

เรื่องที่ ๘.๒ นาย A ขอความเห็นกรณีการดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๖ มาตรา ๑๙ มาตรา ๒๑ วรรคหนึ่ง มาตรา ๒๓ มาตรา ๒๔ และมาตรา ๒๗ วรรคหนึ่ง

๒. พระราชบัญญัติสหกรณ์ พ.ศ. ๒๕๔๒ และที่แก้ไขเพิ่มเติม

ข้อหารือ

นาย A ซึ่งเป็นสมาชิกสหกรณ์ออมทรัพย์ B ได้ขอความเห็นกรณีการจัดทำรายงานการประชุมของคณะกรรมการดำเนินการสหกรณ์ออมทรัพย์ B (คณะกรรมการฯ) ที่ไม่มีการใส่ชื่อผู้เข้าร่วมประชุมในรายงานการประชุม โดยระบุว่ารายชื่อของผู้เข้าร่วมประชุมเป็นไปตามเอกสารแนบ ต่อมาเมื่อได้รับการทักท้วงและสอบถามจากสมาชิก คณะกรรมการฯ ชี้แจงว่า คณะกรรมการฯ มีสิทธิที่จะทำรายงานการประชุมในลักษณะนี้ได้ เพราะผู้เข้าร่วมประชุมไม่ต้องการให้มีการเปิดเผยชื่อของตนในรายงานการประชุม โดยอ้างถึงพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ นาย A จึงขอหารือว่า คณะกรรมการฯ สามารถจัดทำรายงานการประชุมในลักษณะดังกล่าวได้หรือไม่ หากกระทำไม่ได้ การประชุมที่ผ่านมาในลักษณะเช่นนี้ จะถือว่าเป็นการประชุมที่ถูกต้องหรือไม่ และจะมีผลอย่างไรและต้องดำเนินการอย่างไร

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น ๒ ประเด็น ดังนี้

ประเด็นหารือที่หนึ่ง การจัดทำรายงานการประชุมของคณะกรรมการฯ โดยไม่เปิดเผยรายชื่อผู้เข้าร่วมประชุมในรายงานการประชุมโดยจัดทำรายชื่อผู้เข้าร่วมประชุมเป็นเอกสารแนบ สามารถจัดทำได้หรือไม่ คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ เห็นว่า สหกรณ์ออมทรัพย์ B (สหกรณ์ฯ) เป็นนิติบุคคลตามพระราชบัญญัติสหกรณ์ พ.ศ. ๒๕๔๒ และที่แก้ไขเพิ่มเติม โดยมีอำนาจหน้าที่ตัดสินใจและกำหนดวัตถุประสงค์ และวิธีการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งกรณีที่ขอหารือนี้เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้เข้าร่วมประชุม เพื่อให้บรรลุ

5๒

๕๓

วัดอุประสงค์ของการประชุมของคณะกรรมการฯ ซึ่งสหกรณ์ฯ จะต้องทำการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล ทั้งนี้ ตามนัยมาตรา ๒๑ วรรคหนึ่ง ประกอบมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ นอกจากนี้ มาตรา ๑๙ แห่งพระราชบัญญัติดังกล่าว กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ ดังนั้น กรณีสหกรณ์ฯ ได้เก็บรวบรวมข้อมูลส่วนบุคคลของผู้เข้าร่วมประชุมให้เป็นไปตามวัตถุประสงค์ที่ได้แจ้งผู้เข้าร่วมประชุมไว้ ซึ่งรวมถึงวัตถุประสงค์ตามที่มาตรา ๒๔ (๑) ถึง (๖) แห่งพระราชบัญญัตินี้ให้อำนาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล สหกรณ์ฯ ย่อมพิจารณากระทำการเกี่ยวกับข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้โดยไม่ต้องขอความยินยอมจากผู้เข้าร่วมประชุม แต่หากสหกรณ์ฯ ได้แจ้งวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคล พร้อมขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล การเปิดเผยข้อมูลส่วนบุคคลของผู้เข้าร่วมประชุมจะเข้าข่ายต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลในการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวด้วย ทั้งนี้ ตามนัยมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

อนึ่ง คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ มีข้อสังเกตว่าการที่สหกรณ์ฯ จะเปิดเผยรายชื่อผู้เข้าร่วมประชุมดังกล่าวหรือไม่นั้น เป็นดุลพินิจของสหกรณ์ฯ แต่การใช้ดุลพินิจดังกล่าวควรเป็นไปตามวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมและต้องไม่ขัดต่อกฎหมาย กฎ หรือระเบียบที่เกี่ยวข้อง รวมถึงต้องไม่ขัดต่อเจตนารมณ์ของการจัดทำรายงานการประชุม

ประเด็นหารือที่สอง การไม่ใส่ชื่อผู้เข้าร่วมประชุมในรายงานการประชุมของคณะกรรมการฯ ที่ผ่านมาจะทำให้การประชุมนั้นถูกต้องหรือไม่ และจะมีผลอย่างไร และต้องดำเนินการอย่างไร คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ เห็นว่า ประเด็นนี้เป็นข้อหารือเกี่ยวกับความชอบด้วยกฎหมายและความสมบูรณ์ของการประชุม ซึ่งต้องพิจารณาตามกฎหมาย กฎ หรือระเบียบที่เกี่ยวข้องกับการประชุมของสหกรณ์ฯ มิใช่การขอคำแนะนำหรือคำปรึกษาเกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จึงไม่อยู่ในหน้าที่และอำนาจของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่จะพิจารณาให้ความเห็นได้

เรื่องที่ ๙ การเปิดเผยข้อมูลส่วนบุคคลโดยวิธีการทางอิเล็กทรอนิกส์สำหรับใช้เป็นช่องการติดต่อระหว่างหน่วยงานของรัฐและหน่วยงานอื่น เรื่องที่ ๙.๑ บริษัท ย. ขอความอนุเคราะห์ข้อมูลและแนวทาง พ.ร.บ. คุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๖ มาตรา ๒๔ มาตรา ๒๖ มาตรา ๒๗ และมาตรา ๓๙ (๖)

2. พระราชบัญญัติการปฏิบัติราชการทางอิเล็กทรอนิกส์ พ.ศ. ๒๕๖๕

3. พระราชบัญญัติธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. ๒๕๔๔ และที่แก้ไขเพิ่มเติม

4. ระเบียบสำนักนายกรัฐมนตรี ว่าด้วยงานสารบรรณ พ.ศ. ๒๕๒๖ และที่แก้ไขเพิ่มเติม

ข้อหารือ

บริษัท ย. แจ้งว่า บริษัทฯ เป็นผู้ประกอบธุรกิจพาณิชย์อิเล็กทรอนิกส์ให้บริการบนแพลตฟอร์มออนไลน์ ได้มีความร่วมมือและการประสานงานต่าง ๆ กับภาครัฐเพื่อสนับสนุนผู้ประกอบการในการกระตุ้นเศรษฐกิจไทยมาอย่างสม่ำเสมอ รวมทั้งบริษัทฯ ได้ปฏิบัติตามแนวทางกำกับดูแลของหน่วยงานรัฐต่าง ๆ โดยเฉพาะพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามหลักธรรมาภิบาลโดยเคร่งครัด ซึ่งที่ผ่านมา เมื่อบริษัทฯ ได้รับการประสานงานจากภาครัฐด้วยการส่งหนังสือราชการ (จดหมายตราครุฑ) เพื่อขอข้อมูลรายละเอียดร้านค้า และ/หรือข้อมูลผู้ประกอบการบนแพลตฟอร์มรายละเอียดผู้สั่งสินค้า รายละเอียดผู้รับสินค้า รายละเอียดคำสั่งซื้อ อาทิ ชื่อ นามสกุล ผู้ประกอบการร้านค้า รวมถึงสำเนาบัตรประชาชน ที่อยู่ร้านค้า เลขที่บัญชี และสำเนาสมุดบัญชี บริษัทฯ จะดำเนินการจัดส่งข้อมูลกลับให้หน่วยงานราชการโดยเร็วที่สุด อย่างไรก็ดี ปัจจุบันเพื่อให้การให้ความร่วมมือและประสานงานกับภาครัฐเป็นไปอย่างมีประสิทธิภาพ และสะดวกรวดเร็วยิ่งขึ้น บริษัทฯ จึงมีแนวทางเพื่อเปิดช่องทางการติดต่อประสานงานในระบบอิเล็กทรอนิกส์ โดยให้เจ้าหน้าที่ภาครัฐในส่วนงานกำกับดูแลที่ได้รับการแต่งตั้ง หรืออนุมัติจากต้นสังกัด สามารถขอข้อมูลผ่านหนังสืออิเล็กทรอนิกส์ตามที่อยู่ที่แจ้งบริษัทฯ ไว้โดยไม่ต้องแนบหนังสือราชการ (จดหมายตราครุฑ) บริษัทฯ จึงขอหารือว่า การแจ้งกลับข้อมูลตามที่ได้รับการร้องขอในรูปแบบนี้จะขัดต่อพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ หากขัดต่อข้อกฎหมาย บริษัทฯ ขอทราบแนวทางปฏิบัติภายใต้พระราชบัญญัติดังกล่าว เพื่อให้สามารถแจ้งข้อมูลรายละเอียดร้านค้า และ/หรือข้อมูล

54

ผู้ประกอบการบนแพลตฟอร์ม รายละเอียดผู้สั่งสินค้า รายละเอียดผู้รับสินค้า รายละเอียด คำสั่งซื้อ และอื่น ๆ ตามที่ได้รับการร้องขอ เพื่อให้ทางราชการได้ปฏิบัติภารกิจด้วยความสะดวก และรวดเร็วต่อไป

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงาน ของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า บริษัทฯ เป็นนิติบุคคลตามประมวลกฎหมายแพ่งและพาณิชย์มีอำนาจหน้าที่ตัดสินใจ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กรณีที่ขอหารือ เกี่ยวกับการใช้แบบหนังสือภายนอกที่มีกระดาษตราครุฑ ตามระเบียบสำนักนายกรัฐมนตรี ว่าด้วยงานสารบรรณ พ.ศ. ๒๕๒๖ และที่แก้ไขเพิ่มเติม ในการติดต่อระหว่างส่วนราชการ หรือหน่วยงานของรัฐกับบริษัทฯ เพื่อเป็นการพิสูจน์ความน่าเชื่อถือและเป็นการยืนยัน ตัวตน รวมถึงเพื่อให้ไม่สามารถปฏิเสธความรับผิด อันถือเป็นส่วนหนึ่งของรูปแบบพิธี ของทางราชการสำหรับการติดต่อระหว่างส่วนราชการหรือหน่วยงานของรัฐที่มีไปถึง หน่วยงานอื่น แต่ไม่ได้หมายความว่าการดำเนินการด้วยวิธีการทางอิเล็กทรอนิกส์ จะไม่สามารถกระทำได้ โดยจะต้องพิจารณาหลักเกณฑ์การปฏิบัติในเรื่องดังกล่าวภายใต้ พระราชบัญญัติการปฏิบัติราชการทางอิเล็กทรอนิกส์ พ.ศ. ๒๕๖๕ และพระราชบัญญัติ ธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. ๒๕๔๔ และที่แก้ไขเพิ่มเติม ซึ่งได้เพิ่มเติมรูปแบบพิธี สำหรับวิธีการติดต่อของส่วนราชการหรือหน่วยงานของรัฐ เพื่อติดต่อราชการกับบุคคลภายนอก ดังนั้น บริษัทฯ จึงอาจถือหนังสือราชการดังกล่าวเป็นเอกสารหลักฐานของทางราชการ ตามระเบียบสำนักนายกรัฐมนตรี ว่าด้วยงานสารบรรณ พ.ศ. ๒๕๒๖ และที่แก้ไขเพิ่มเติม และ/หรืออาจติดต่อหรือส่งเรื่องถึงกันโดยวิธีการทางอิเล็กทรอนิกส์ตามกฎหมายว่าด้วย การปฏิบัติราชการทางอิเล็กทรอนิกส์ก็ได้

ทั้งนี้ บริษัทฯ ควรตรวจสอบให้ชัดเจนว่า การขอข้อมูลด้วยการติดต่อ หรือส่งเรื่องถึงกันโดยวิธีการทางอิเล็กทรอนิกส์ดังกล่าวเป็นการติดต่อจากเจ้าหน้าที่ของรัฐ ของส่วนราชการหรือหน่วยงานของรัฐที่มีหน้าที่และอำนาจตามกฎหมายหรือมีอำนาจกระทำ การแทนส่วนราชการหรือหน่วยงานของรัฐจริงหรือไม่ เพราะการเปิดเผยข้อมูลส่วนบุคคล ให้กับเจ้าหน้าที่ของรัฐหรือส่วนราชการหรือหน่วยงานของรัฐที่มีหน้าที่และอำนาจ ตามกฎหมาย ถือเป็นการดำเนินการที่ได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูล ส่วนบุคคลตามมาตรา ๒๔ (๔) หรือ (๖) หรือมาตรา ๒๖ (๕) (ก) ถึง (จ) แล้วแต่กรณี ประกอบ

55

มาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ นอกจากนี้ บริษัทฯ มีหน้าที่ต้องบันทึกรายการให้ครอบคลุมการใช้หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อให้เป็นไปตามมาตรา ๒๗ วรรคสาม ประกอบมาตรา ๓๙ (๖) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย

เรื่องที่ ๙.๒ สำนักการระบายน้ำ กรุงเทพมหานคร หารือการขอข้อมูลผู้ใช้น้ำของการประปานครหลวงเพื่อจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๖ มาตรา ๑๙ มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๔ มาตรา ๒๕
   มาตรา ๒๖ มาตรา ๒๗ มาตรา ๓๙ มาตรา ๓๗ (๑) และมาตรา ๙๕

2. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. ๒๕๖๒
   มาตรา ๑๖

3. พระราชบัญญัติการประปานครหลวง พ.ศ. ๒๕๑๐ และที่แก้ไขเพิ่มเติม
   มาตรา ๖

4. ประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ ๑๐๑) ลงวันที่ ๑๕ พฤษภาคม ๒๕๖๑
   ข้อ ๑๘ (๗)

5. ข้อบัญญัติกรุงเทพมหานคร เรื่อง การจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย พ.ศ. ๒๕๔๗ และข้อบัญญัติกรุงเทพมหานคร เรื่อง การจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย (ฉบับที่ ๒) พ.ศ. ๒๕๖๒
   ข้อ ๕ และข้อ ๖/๑

ข้อหารือ

สำนักการระบายน้ำ กรุงเทพมหานคร ขอหารือกรณีกรุงเทพมหานคร (กทม.) จำเป็นต้องขอข้อมูลปริมาณการใช้น้ำรายเดือน และข้อมูลผู้ใช้น้ำรายใหม่ จากการประปานครหลวง (กปน.) เพื่อใช้ในการจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย ตามข้อบัญญัติกรุงเทพมหานคร เรื่อง การจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย พ.ศ. ๒๕๔๗ และที่แก้ไขเพิ่มเติม (ฉบับที่ ๒) พ.ศ. ๒๕๖๒ หาก กทม. ยังไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล อาจจะเป็นการฝ่าฝืนต่อบทบัญญัติมาตรา ๑๙ และมาตรา ๒๗ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ และเพื่อให้ กทม. สามารถดำเนินการ

๕๖

จัดเก็บค่าธรรมเนียมบำบัดน้ำเสียได้ การขอข้อมูลหรือการใช้ข้อมูลดังกล่าวโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ได้รับการยกเว้นตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๔ หรือมาตราใด หรือไม่ โดย กทม. ให้ข้อสังเกตเพิ่มเติมว่า พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. ๒๕๖๒ มาตรา ๑๓ กำหนดว่า เพื่อประโยชน์ในการบริหารราชการแผ่นดินและการให้บริการประชาชน ให้หน่วยงานของรัฐจัดให้มีการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่มีการจัดทำและครอบครองตามที่หน่วยงานของรัฐแห่งอื่นร้องขอ ที่จะเกิดการบูรณาการร่วมกัน ประกอบกับมาตรา ๑๖ กำหนดให้หน่วยงานของรัฐสามารถขอเชื่อมโยงและแลกเปลี่ยนข้อมูลส่วนบุคคลในรูปแบบข้อมูลดิจิทัลที่มีการจัดทำและครอบครองเพื่อนำมาวิเคราะห์หรือประมวลผลได้

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาเรื่องหารือดังกล่าวประกอบคำชี้แจงจากผู้แทนสำนักการระบายน้ำ และ กปน. แล้ว มีความเห็นว่า มาตรา ๑๖ แห่งพระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. ๒๕๖๒ กำหนดว่า “ภายใต้บทบัญญัติแห่งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลในกรณีที่หน่วยงานของรัฐได้มาซึ่งข้อมูลส่วนบุคคลหรือมีข้อมูลส่วนบุคคลอยู่ในความครอบครอง หากหน่วยงานของรัฐประสงค์จะใช้ข้อมูลส่วนบุคคลดังกล่าวในรูปแบบข้อมูลดิจิทัลเพื่อประโยชน์ในการบริหารราชการแผ่นดิน หน่วยงานของรัฐนั้นสามารถขอเชื่อมโยงและแลกเปลี่ยนข้อมูลส่วนบุคคลนั้นจากหน่วยงานของรัฐที่ครอบครองเพื่อนำมาวิเคราะห์หรือประมวลผลได้” ดังนั้น กรณีที่ กทม. ประสงค์จะใช้ข้อมูลปริมาณการใช้น้ำรายเดือนและข้อมูลผู้ใช้น้ำรายใหม่ ซึ่งเป็นข้อมูลส่วนบุคคล ในรูปแบบข้อมูลดิจิทัลเพื่อประโยชน์ในการบริหารราชการแผ่นดิน และขอเชื่อมโยงและแลกเปลี่ยนข้อมูลส่วนบุคคลนั้นจาก กปน. ซึ่งเป็นหน่วยงานของรัฐที่ครอบครองข้อมูลส่วนบุคคลดังกล่าว เพื่อนำมาวิเคราะห์หรือประมวลผล จะต้องพิจารณาให้การดำเนินการดังกล่าวเป็นไปตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย

สำนักการระบายน้ำ กทม. มีหน้าที่ส่วนหนึ่งในการบริหารจัดการคุณภาพน้ำในพื้นที่กรุงเทพมหานคร โดยการติดตาม เฝ้าระวัง ตรวจสอบและควบคุมคุณภาพน้ำในแหล่งน้ำสาธารณะ รวมทั้งรวบรวมน้ำเสียจากแหล่งกำเนิดมาบำบัด โดยใช้เทคโนโลยีที่เหมาะสม เพื่อให้ได้คุณภาพน้ำตามมาตรฐานสากล ตามข้อ ๑๘ (๗) ของประกาศ กทม. เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการ

59

๕๘

กรุงเทพมหานคร (ฉบับที่ ๑๐๑) ลงวันที่ ๑๕ พฤษภาคม ๒๕๖๑ ประกอบข้อ ๕ ของข้อบัญญัติ กทม. เรื่อง การจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย พ.ศ. ๒๕๔๗ และข้อ ๖/๑ ของข้อบัญญัติ กทม. เรื่อง การจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย พ.ศ. ๒๕๔๗ ซึ่งแก้ไขเพิ่มเติม โดยข้อบัญญัติ กทม. เรื่อง การจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย (ฉบับที่ ๒) พ.ศ. ๒๕๖๒ ที่กำหนดว่า เมื่อกรุงเทพมหานครได้จัดทำท่อรวบรวมน้ำเสียและระบบบำบัดน้ำเสียรวม ในเขตพื้นที่ใดแล้ว ให้ผู้ว่าราชการกรุงเทพมหานครประกาศเขตพื้นที่ดังกล่าว เป็นเขตพื้นที่ ที่เจ้าของหรือผู้ครอบครองแหล่งกำหนดน้ำเสียต้องชำระค่าธรรมเนียม โดยในการเก็บอัตรา ค่าธรรมเนียมให้แบ่งตามประเภทแหล่งกำเนิดน้ำเสียที่มีน้ำเสียผ่านลงสู่ท่อรับน้ำเสีย หรือท่อรวบรวมน้ำเสียของกรุงเทพมหานคร โดยคำนวณตามปริมาณน้ำประปา น้ำบาดาล หรือน้ำจากแหล่งอื่นที่ใช้ในแหล่งกำเนิดน้ำเสียนั้น ฯลฯ ดังนั้น กทม. ในฐานะที่เป็น นิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลในกรณีนี้ จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามนัยมาตรา ๖ แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคล โดยตรงตามนัยมาตรา ๒๕ ซึ่งตามบทบัญญัติมาตรา ๑๙ วรรคหนึ่งแห่งพระราชบัญญัตินี้ ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่ บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ กรณีนี้จึงต้อง พิจารณาว่า การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตามที่หารือดังกล่าว เป็นกรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่

เนื่องจาก กทม. โดยสำนักการระบายน้ำฯ ซึ่งเป็นหน่วยงานของรัฐ มีหน้าที่ในการบริหารจัดการคุณภาพน้ำในพื้นที่กรุงเทพมหานคร รวมทั้งรวบรวมน้ำเสีย จากแหล่งกำเนิดมาบำบัด ตามที่กล่าวข้างต้น ซึ่งเป็นภารกิจเพื่อประโยชน์สาธารณะ ของ กทม. หาก กทม. เห็นว่า การเก็บรวบรวมข้อมูลปริมาณการใช้น้ำรายเดือนและข้อมูล ผู้ใช้น้ำรายใหม่จาก กปน. เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ตามอำนาจหน้าที่ที่กำหนด ในกฎหมาย เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการบำบัดน้ำเสียและจัดเก็บค่าธรรมเนียม บำบัดน้ำเสียจากเจ้าของหรือผู้ครอบครองอาคารซึ่งอยู่ในพื้นที่ที่มีการรวบรวมน้ำเสียไป บำบัด ตามข้อบัญญัติดังกล่าว กทม. สามารถดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลดังกล่าวได้โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตามนัย มาตรา ๑๙ วรรคหนึ่ง ประกอบมาตรา ๒๔ (๔) และมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติ

66

คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ รวมทั้งสามารถเก็บรวบรวมข้อมูลส่วนบุคคล ดังกล่าวจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง เช่น จาก กปน. ได้โดย ไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตามนัยมาตรา ๒๕ วรรคหนึ่ง (๒) แต่จะต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างจำกัด เท่าที่จำเป็นภายใต้ วัตถุประสงค์อันชอบด้วยกฎหมายของ กทม. ตามมาตรา ๒๒ รวมถึงจะต้องไม่ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้ กับ กปน. เท่านั้น เว้นแต่จะเป็นกรณีที่กฎหมายบัญญัติให้กระทำได้

สำหรับ กปน. ในฐานะนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินการตามวัตถุประสงค์ และอำนาจหน้าที่ตามที่กำหนดในพระราชบัญญัติการประปานครหลวง พ.ศ. ๒๕๑๐ และที่แก้ไขเพิ่มเติม ในการสำรวจ จัดหาแหล่งน้ำดิบ และจัดให้ได้มาซึ่งน้ำดิบเพื่อใช้ ในการประปา ผลิต จัดส่งและจำหน่ายน้ำประปาในเขตท้องที่กรุงเทพมหานคร จังหวัดนนทบุรี และจังหวัดสมุทรปราการ และควบคุมมาตรฐานเกี่ยวกับระบบประปาเอกชนในเขตท้องที่ ดังกล่าว ฯลฯ และมีการเก็บรวบรวมข้อมูลส่วนบุคคลของผู้ใช้น้ำ เช่น ปริมาณการใช้น้ำราย เดือน และข้อมูลรายชื่อผู้ใช้น้ำประปา ฯลฯ ถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามนัยมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ดังนั้น หาก กปน. พิจารณาเห็นว่า ข้อมูลส่วนบุคคลที่ กทม. ร้องขอเพื่อการจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย เป็นกรณีที่ได้รับ ยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตามนัยมาตรา ๑๙ วรรคหนึ่ง ประกอบมาตรา ๒๔ และมาตรา ๒๓ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ แล้ว กปน. ก็สามารถเปิดเผยข้อมูลส่วนบุคคลดังกล่าวให้แก่ กทม. เพื่อวัตถุประสงค์ตามที่ได้แจ้งไว้ได้ ทั้งนี้ กปน. จะต้องบันทึกการใช้หรือเปิดเผยนั้นไว้ใน รายการตามมาตรา ๓๙ เพื่อเป็นไปตามนัยมาตรา ๒๓ วรรคสาม แห่งพระราชบัญญัติดังกล่าว และจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ถึงรายละเอียดตามมาตรา ๒๓ ซึ่งรวมถึงประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคล ที่เก็บรวบรวมอาจจะถูกเปิดเผย เช่น กทม. ด้วย

ส่วนข้อมูลส่วนบุคคลที่ กปน. ได้เก็บรวบรวมไว้ก่อนวันที่พระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ใช้บังคับ บทเฉพาะกาลตามมาตรา ๙๕ กำหนดให้ ผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ ตามวัตถุประสงค์เดิม และต้องกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่ประชาสัมพันธ์ ให้เจ้าของข้อมูลส่วนบุคคลที่ไม่ประสงค์ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมและใช้ข้อมูล ส่วนบุคคลดังกล่าวสามารถแจ้งยกเลิกความยินยอมได้โดยง่าย หากการเปิดเผยข้อมูลให้กับ

๑๐๐

กทม. เพื่อใช้ในการจัดเก็บค่าธรรมเนียมบำบัดน้ำเสียไม่อยู่ในวัตถุประสงค์ของการเก็บรวบรวม และใช้ข้อมูลส่วนบุคคลของ กทม. เดิม กทม. พึงแจ้งวัตถุประสงค์และรายละเอียดตามมาตรา ๒๓ เฉพาะที่เกี่ยวข้องกับการเปิดเผยข้อมูลที่เกี่ยวข้องให้กับ กทม. ตามวัตถุประสงค์ใหม่ ในการจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย เพิ่มเติมให้เจ้าของข้อมูลส่วนบุคคลทราบด้วย แต่บทบัญญัติตามมาตรา ๙๕ ที่กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องกำหนดวิธีการยกเลิก ความยินยอมและเผยแพร่ประชาสัมพันธ์ให้เจ้าของข้อมูลส่วนบุคคลที่ไม่ประสงค์ให้เก็บรวบรวม และใช้ข้อมูลส่วนบุคคลดังกล่าวสามารถแจ้งยกเลิกความยินยอมได้โดยง่าย ครอบคลุมเฉพาะ กรณีการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลที่ต้องได้รับความยินยอมจากเจ้าของข้อมูล ส่วนบุคคล และไม่เข้าข้อยกเว้นตามมาตรา ๒๔ หรือมาตรา ๒๖ ประกอบมาตรา ๒๗ วรรคหนึ่ง เท่านั้น จึงไม่รวมกรณีการเก็บรวบรวมข้อมูลส่วนบุคคลโดย กทม. จาก กทม. เพื่อการจัดเก็บ ค่าธรรมเนียมบำบัดน้ำเสียที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ (๔) และมาตรา ๒๗ วรรคหนึ่งตามที่หารือนี้

ทั้งนี้ กทม. และ กทม. จะต้องปฏิบัติหน้าที่ตามที่พระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายอื่นกำหนด ในส่วนที่เกี่ยวข้องกับการคุ้มครอง ข้อมูลส่วนบุคคลให้ครบถ้วนด้วย โดยเฉพาะในเรื่องการจัดให้มีมาตรการรักษาความมั่นคง ปลอดภัยที่เหมาะสมตามที่กำหนดในมาตรา ๓๗ (๑) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำ ที่กำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง ปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ และควรมีการจัดทำข้อตกลงการแบ่งปัน ข้อมูล (Data Sharing Agreement) ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลทั้งสองหน่วยงาน ดังกล่าวอย่างชัดเจน โดยอย่างน้อยในข้อตกลงดังกล่าวควรมีสาระสำคัญที่ครอบคลุม ถึงวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของแต่ละฝ่ายในการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการส่งและรับข้อมูลผ่านช่องทาง ปกติหรือเป็นการแลกเปลี่ยนข้อมูลโดยการเข้าถึงผ่านระบบการเชื่อมโยงและแลกเปลี่ยน ข้อมูลทางอิเล็กทรอนิกส์ระหว่างหน่วยงานก็ตาม

นอกจากนี้ คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติม ด้วยว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของ กทม. ดังกล่าว แม้ว่าอาจสามารถ กระทำได้เพื่อประโยชน์สาธารณะในการบำบัดน้ำเสีย แต่การดำเนินการด้วยวิธีดังกล่าวอาจ ต้องพิจารณาด้วยว่า ข้อมูลที่ได้มาจะมีความเป็นปัจจุบันหรือไม่ เพียงใด และต้องระมัดระวัง มิให้มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกินกว่าวัตถุประสงค์ที่ได้แจ้งไว้ ต่อเจ้าของข้อมูลส่วนบุคคลหรือที่ได้แจ้งไว้แก่ กทม. รวมทั้ง กทม. อาจพิจารณาหารือร่วมกับ กทม. เพื่อจัดส่งบัญชีที่มีรายการค่าบำบัดน้ำเสียให้แก่ กทม. โดยมีข้อมูลของผู้ใช้น้ำและข้อมูล

๑๐๑

ปริมาณการใช้น้ำประปาของเจ้าของหรือผู้ครอบครองอาคาร เพื่อใช้ประกอบการคำนวณ และเรียกเก็บค่าธรรมเนียมบำบัดน้ำเสียโดย กปน. ทดแทนการขอข้อมูลของผู้ใช้น้ำจาก กปน. หากพิจารณาร่วมกันแล้วเห็นว่าการดำเนินการดังกล่าวอยู่ในวัตถุประสงค์และอำนาจหน้าที่ของแต่ละหน่วยงานที่สามารถทำได้ภายใต้บทบัญญัติแห่งกฎหมายที่เกี่ยวข้อง และจะเป็นการลดปัญหาและอุปสรรคเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้องในการจัดเก็บค่าธรรมเนียมบำบัดน้ำเสียอย่างมีประสิทธิภาพ

เรื่องที่ ๑๐ การเปิดเผยข้อมูลส่วนบุคคล ที่ส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคล

เรื่องที่ ๑๐.๑ สภาวิชาชีพบัญชีขอหารือการเปิดเผยข้อมูลส่วนบุคคล

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๓ มาตรา ๖ มาตรา ๒๑ มาตรา ๒๒ มาตรา ๒๔ (๔) มาตรา ๒๗
   และมาตรา ๓๙

2. พระราชบัญญัติวิชาชีพบัญชี พ.ศ. ๒๕๔๗
   มาตรา ๖ และมาตรา ๗

3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
   มาตรา ๔ และมาตรา ๑๕ (๕)

ข้อหารือ

สภาวิชาชีพบัญชี ซึ่งเป็นหน่วยงานที่จัดตั้งขึ้นตามพระราชบัญญัติวิชาชีพบัญชี พ.ศ. ๒๕๔๗ ได้ขอหารือเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลของผู้สอบบัญชีรับอนุญาตตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พร้อมได้อ้างถึงหนังสือตอบข้อหารือของคณะอนุกรรมการตอบข้อหารือตามกฎหมายข้อมูลข่าวสารของราชการ ซึ่งสภาวิชาชีพบัญชีได้เคยหารือเกี่ยวกับการเปิดเผยข้อมูลข่าวสารส่วนบุคคลตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ว่าสภาวิชาชีพบัญชีสามารถเปิดเผยข้อมูลชื่อ-สกุล เลขทะเบียนใบอนุญาต หมายเลขโทรศัพท์ และที่อยู่ของผู้สอบบัญชีรับอนุญาตทุกรายที่อยู่ในความครอบครองของสภาวิชาชีพบัญชีบนเว็บไซต์ของสภาวิชาชีพบัญชี โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูล เพื่อให้ประชาชนทั่วไปหรือผู้ที่เกี่ยวข้องสามารถตรวจสอบสถานะของผู้สอบบัญชีรับอนุญาตว่ามีสถานภาพปกติหรือถูกพักใช้ใบอนุญาตหรือเพิกถอนใบอนุญาตได้หรือไม่ หากไม่ได้ สภาวิชาชีพบัญชีจะดำเนินการอย่างไรได้บ้าง เช่น เพิ่มข้อความให้ผู้สอบบัญชีรับอนุญาตยินยอมโดยปริยายให้สภาวิชาชีพบัญชีเปิดเผยข้อมูลส่วนบุคคลในคำขอขึ้นทะเบียนเป็นผู้สอบบัญชีรับอนุญาต หรือใบขอต่ออายุต่าง ๆ หรือเอกสารอื่นใดที่เกี่ยวข้อง สามารถทำได้หรือไม่ และผู้สอบบัญชีรับอนุญาตสามารถปฏิเสธการยินยอม

๑๐๒

ตังกล่าวได้หรือไม่ หากผู้สอบบัญชีรับอนุญาตปฏิเสธการยินยอม สภาวิชาชีพบัญชีสามารถปฏิเสธไม่รับขึ้นทะเบียนเป็นผู้สอบบัญชีรับอนุญาตหรือต่ออายุได้หรือไม่ และหากสภาวิชาชีพบัญชีไม่สามารถดำเนินการดังกล่าวได้ แต่สภาวิชาชีพบัญชีกำหนดให้ประชาชนทั่วไปที่จะว่าจ้างผู้สอบบัญชีรับอนุญาต สามารถตรวจสอบสถานะความเป็นผู้สอบบัญชีรับอนุญาตผ่านเว็บไซต์ของสภาวิชาชีพบัญชี โดยกำหนดเงื่อนไขให้ประชาชนผู้ประสงค์ตรวจสอบกรอกข้อมูลให้ครบถ้วนถูกต้องขาดอย่างใดอย่างหนึ่งไม่ได้ ดังต่อไปนี้ ๑. ชื่อ ๒. สกุล ๓. เลขทะเบียน เมื่อกรอกข้อมูลครบถ้วนตรงกับฐานข้อมูลผู้สอบบัญชีรับอนุญาตในระบบของสภาวิชาชีพบัญชี แล้วจะปรากฏข้อความว่า “ปกติ” แต่กรณีชื่อ หรือสกุล หรือเลขทะเบียนของผู้สอบบัญชีรับอนุญาตไม่ถูกต้องหรือถูกต้องแต่ผู้สอบบัญชีรับอนุญาตรายดังกล่าวถูกพักใช้ใบอนุญาต หรือถูกเพิกถอนใบอนุญาตจะปรากฏข้อความว่า “ไม่พบข้อมูล” สามารถทำได้หรือไม่ และหากประชาชนประสงค์ขอตรวจสอบสถานะผู้สอบบัญชีรับอนุญาตโดยอ้างชื่อ ชื่อสกุลและเลขทะเบียนของผู้สอบบัญชีรับอนุญาตถูกต้องแต่เป็นการสอบถามทางโทรศัพท์ว่าผู้สอบบัญชีรับอนุญาตดังกล่าวมีสถานภาพปกติหรือถูกพักใช้ใบอนุญาตหรือเพิกถอนใบอนุญาตหรือไม่พบข้อมูลได้หรือไม่

โดยคณะอนุกรรมการตอบข้อหารือตามกฎหมายข้อมูลข่าวสารของราชการเห็นว่า หากเป็นการเปิดเผยชื่อ-สกุล เลขทะเบียนใบอนุญาตของผู้สอบบัญชีทุกรายบนเว็บไซต์ของสภาวิชาชีพบัญชี เพื่อให้ประชาชนทั่วไปหรือผู้ที่เกี่ยวข้องสามารถตรวจสอบสถานะของผู้สอบบัญชีที่ได้รับอนุญาตว่า มีสถานภาพปกติหรือถูกพักใช้ใบอนุญาตหรือเพิกถอนใบอนุญาตหรือไม่ สภาวิชาชีพบัญชีสามารถดำเนินการได้ โดยไม่ต้องขอความยินยอมจากผู้สอบบัญชีก่อนแต่อย่างใด แต่สำหรับการเปิดเผยหมายเลขโทรศัพท์และที่อยู่ของผู้สอบบัญชีรับอนุญาตบนเว็บไซต์ของสภาวิชาชีพบัญชีนั้น เห็นว่า ยังไม่มีความจำเป็นต่อการตรวจสอบสถานะของผู้สอบบัญชีที่ได้รับอนุญาต การเปิดเผยข้อมูลข่าวสารดังกล่าวจึงอาจเป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควรตามนัยมาตรา ๑๕ (๕) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ดังนั้น หากสภาวิชาชีพบัญชีจะเปิดเผยข้อมูลข่าวสารในส่วนดังกล่าวจะต้องขอความยินยอมจากผู้สอบบัญชีรับอนุญาตทุกรายก่อน ส่วนกรณีที่การตรวจสอบสถานะผู้สอบบัญชีรับอนุญาตโดยการสอบถามทางโทรศัพท์ว่าผู้สอบบัญชีรับอนุญาตดังกล่าวมีสถานภาพปกติหรือถูกพักใช้ใบอนุญาตหรือเพิกถอนใบอนุญาตหรือไม่พบข้อมูลได้หรือไม่ เห็นว่า สภาวิชาชีพบัญชีสามารถให้ข้อมูลเกี่ยวกับสถานะของผู้สอบบัญชีรับอนุญาตในกรณีที่มีการสอบถามทางโทรศัพท์ได้ โดยไม่เป็นการขัดต่อมาตรา ๒๔ แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ แต่อย่างใด

ทั้งนี้ เนื่องจากในปัจจุบันมีการตราพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมีผลใช้บังคับเต็มรูปแบบแล้วในวันที่ ๑ มิถุนายน ๒๕๖๕ สภาวิชาชีพบัญชี

จึงขอหารือในการเปิดเผยข้อมูลส่วนบุคคล เพื่อให้มีการปฏิบัติตามกฎหมายดังกล่าวได้อย่างถูกต้องและเป็นไปด้วยดี ดังนี้

๑. สภาวิชาชีพบัญชีสามารถเปิดเผยข้อมูลชื่อ-สกุล เลขทะเบียนใบอนุญาตของผู้สอบบัญชีรับอนุญาต รวมถึงข้อมูลเกี่ยวกับสถานะใบอนุญาตของผู้สอบบัญชีรับอนุญาตทุกราย บนเว็บไซต์ของสภาวิชาชีพบัญชี เพื่อให้ประชาชนทั่วไปหรือผู้ที่เกี่ยวข้องสามารถตรวจสอบสถานะของผู้สอบบัญชีรับอนุญาตว่ามีสถานภาพปกติหรือถูกพักใช้ใบอนุญาตหรือเพิกถอนใบอนุญาตหรือไม่ รวมทั้งการให้ข้อมูลสถานะของผู้สอบบัญชีรับอนุญาตกรณีที่มีการสอบถามทางโทรศัพท์ โดยไม่ต้องขอความยินยอมจากผู้สอบบัญชีรับอนุญาตก่อนแต่อย่างใด ตามความเห็นของคณะอนุกรรมการตอบข้อหารือตามกฎหมายข้อมูลข่าวสารของราชการได้หรือไม่

๒. กรณีที่ไม่สามารถปฏิบัติตามความเห็นของคณะอนุกรรมการตอบข้อหารือตามกฎหมายข้อมูลข่าวสารของราชการต่อไปได้อีกแล้วนั้น สภาวิชาชีพบัญชีจะต้องดำเนินการประการใดเพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๓. กรณีที่สภาวิชาชีพบัญชีได้รับแจ้งคำสั่งลงโทษการประพฤติผิดจรรยาบรรณของผู้ประกอบวิชาชีพบัญชีจากคณะกรรมาธิการจรรยาบรรณซึ่งเป็นผู้มีอำนาจในการสอบสวนและมีคำสั่งลงโทษจรรยาบรรณตามพระราชบัญญัติวิชาชีพบัญชี พ.ศ. ๒๕๔๗ สภาวิชาชีพบัญชีจะสามารถเปิดเผยข้อมูลในคำสั่งลงโทษจรรยาบรรณดังกล่าวบนเว็บไซต์ของสภาวิชาชีพบัญชี เพื่อให้ประชาชนและหรือหน่วยงานที่เกี่ยวข้องได้พึ่งทราบและจะได้ใช้ความระมัดระวังในการว่าจ้างบุคคลดังกล่าว อันเป็นการคุ้มครองประชาชนและสาธารณะ ซึ่งปัจจุบันพระราชบัญญัติวิชาชีพบัญชี พ.ศ. ๒๕๔๗ ยังไม่ได้กำหนดให้สภาวิชาชีพบัญชีมีการเปิดเผยข้อมูลในคำสั่งลงโทษจรรยาบรรณผู้ประกอบวิชาชีพบัญชีไว้อย่างชัดเจนว่ากระทำได้หรือไม่เพียงใด ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมาธิการคุ้มครองข้อมูลส่วนบุคคล พิจารณาประเด็นข้อหารือดังกล่าวแล้วมีความเห็น ดังนี้

ประเด็นหารือที่ ๑ สภาวิชาชีพบัญชีสามารถเปิดเผยข้อมูลชื่อ-สกุล เลขทะเบียนใบอนุญาตของผู้สอบบัญชีรับอนุญาต รวมถึงข้อมูลเกี่ยวกับสถานะใบอนุญาต

๑๐๓

ของผู้สอบบัญชีรับอนุญาตทุกราย บนเว็บไซต์ของสภาวิชาชีพบัญชี เพื่อให้ประชาชนทั่วไป หรือผู้ที่เกี่ยวข้องสามารถตรวจสอบสถานะของผู้สอบบัญชีรับอนุญาตว่ามีสถานภาพปกติ หรือถูกพักใช้ในอนุญาตหรือเพิกถอนใบอนุญาตหรือไม่ รวมทั้งการให้ข้อมูลสถานะ ของผู้สอบบัญชีรับอนุญาตกรณีที่มีการสอบถามทางโทรศัพท์ โดยไม่ต้องขอความยินยอม จากผู้สอบบัญชีรับอนุญาตก่อนแต่อย่างใด ตามความเห็นของคณะอนุกรรมการ ตอบข้อหารือตามกฎหมายข้อมูลข่าวสารของราชการได้หรือไม่

ความเห็น คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ เห็นว่า สภาวิชาชีพ บัญชีเป็นนิติบุคคล ซึ่งมีวัตถุประสงค์เพื่อส่งเสริมและพัฒนาวิชาชีพบัญชี ตามมาตรา ๖ แห่งพระราชบัญญัติวิชาชีพบัญชี พ.ศ. ๒๕๔๗ และมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามอำนาจหน้าที่ในมาตรา ๗ แห่งพระราชบัญญัติ ดังกล่าว สภาวิชาชีพบัญชีจึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และในขณะเดียวกัน สภาวิชาชีพบัญชีซึ่งเป็นองค์กรควบคุมการประกอบวิชาชีพ ถือเป็นหน่วยงานของรัฐ ตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ข้อมูลข่าวสาร (รวมถึงข้อมูล ข่าวสารส่วนบุคคล) ที่อยู่ในความครอบครองหรือควบคุมดูแลของสภาวิชาชีพบัญชี จึงถือเป็นข้อมูลข่าวสารของราชการ ตามนัยมาตรา ๔ แห่งพระราชบัญญัติข้อมูลข่าวสาร ราชการ พ.ศ. ๒๕๔๐ ดังนั้น สภาวิชาชีพบัญชีจึงอยู่ภายใต้บังคับแห่งพระราชบัญญัติทั้ง ๒ ฉบับ ดังกล่าว

สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๓ แห่งพระราชบัญญัติ ดังกล่าวได้บัญญัติหลักการไว้ว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับ การคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (๑) บทบัญญัติเกี่ยวกับการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูล ส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้ เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม (๒) ฯลฯ ดังนั้น เพื่อให้การเปิดเผยข้อมูลส่วนบุคคลของสภาวิชาชีพบัญชีในประเด็นที่ได้หารือมานี้ เป็นไปตามที่กฎหมายทั้ง ๒ ฉบับดังกล่าวบัญญัติ สภาวิชาชีพบัญชีอาจพิจารณาเปิดเผย ข้อมูลส่วนบุคคลเพื่อให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ซึ่งเป็นกฎหมายที่ได้บัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลสำหรับหน่วยงานของรัฐ ไว้โดยเฉพาะแล้ว และต้องบังคับตามบทบัญญัติ แห่งพระราชบัญญัติคุ้มครองข้อมูล

๑๐๔

ส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นการเพิ่มเติม ตามมาตรา ๓ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ มีความเห็นเพิ่มเติมว่า การที่ สภาวิชาชีพบัญชีเก็บรวบรวมข้อมูลส่วนบุคคลของผู้สอบบัญชีรับอนุญาต เพื่อดำเนินการให้เป็นไปตามวัตถุประสงค์และอำนาจหน้าที่ตามพระราชบัญญัติวิชาชีพบัญชี พ.ศ. ๒๕๔๗ ถือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจ เพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐ ที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลโดยได้รับ ยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๒๔ (๔) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ สภาวิชาชีพบัญชีจึงสามารถใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ซึ่งรวมถึงการเปิดเผยข้อมูลชื่อ-สกุล เลขทะเบียน ใบอนุญาตของผู้สอบบัญชีรับอนุญาต รวมถึงข้อมูลเกี่ยวกับสถานะใบอนุญาตของผู้สอบ บัญชีรับอนุญาตทุกราย บนเว็บไซต์ของสภาวิชาชีพบัญชี เพื่อให้ประชาชนทั่วไป หรือผู้ที่เกี่ยวข้องสามารถตรวจสอบสถานะของผู้สอบบัญชีรับอนุญาตว่ามีสถานภาพปกติ หรือถูกพักใช้ใบอนุญาตหรือเพิกถอนใบอนุญาตหรือไม่ รวมทั้งการให้ข้อมูลสถานะ ของผู้สอบบัญชีรับอนุญาตกรณีที่มีการสอบถามทางโทรศัพท์ โดยได้รับยกเว้นไม่ต้อง ขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๒๗ วรรคหนึ่ง แต่สภาวิชาชีพ บัญชีต้องบันทึกการใช้หรือเปิดเผยนั้นไว้ในรายการ (Record of Processing Activities) ตามมาตรา ๓๙ ทั้งนี้ ตามนัยมาตรา ๒๗ วรรคสาม แห่งพระราชบัญญัติดังกล่าวด้วย อย่างไรก็ดี การเปิดเผยข้อมูลส่วนบุคคลดังกล่าวต้องกระทำเท่าที่จำเป็นภายใต้ วัตถุประสงค์อันชอบด้วยกฎหมายที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่ เก็บรวบรวม ตามมาตรา ๒๒ ประกอบมาตรา ๒๑ และจะเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้มิได้ เว้นแต่ (๑) ได้แจ้งวัตถุประสงค์ ใหม่นั้นให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอมก่อนเก็บรวบรวม ใช้ หรือเปิดเผย แล้ว หรือ (๒) บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ นอกจากนี้ สภาวิชาชีพบัญชีอาจพิจารณาเปิดเผยข้อมูลส่วนบุคคลดังกล่าวต่อผู้ร้องขอ เป็นการเฉพาะราย โดยให้บริการตรวจสอบผ่านระบบสารสนเทศหรือเว็บไซต์ที่ให้บริการ สืบค้นข้อมูลตามเงื่อนไขที่กำหนด จะเป็นการเหมาะสมกว่าการเปิดเผยข้อมูลส่วนบุคคล ของผู้สอบบัญชีรับอนุญาตทั้งหมดในภาพรวมผ่านเว็บไซต์เป็นการทั่วไป

สำหรับการเปิดเผยหมายเลขโทรศัพท์และที่อยู่ของผู้สอบบัญชีรับอนุญาต ทุกรายที่อยู่ในความครอบครองของสภาวิชาชีพบัญชีบนเว็บไซต์ของสภาวิชาชีพบัญชี ซึ่งสภาวิชาชีพบัญชีได้เคยหารือคณะอนุกรรมการตอบข้อหารือตามกฎหมายข้อมูลข่าวสาร

๑๐๕

ของราชการ และคณะอนุกรรมการฯ ได้ให้ความเห็นไว้ว่า การเปิดเผยหมายเลขโทรศัพท์ และที่อยู่ของผู้สอบบัญชีรับอนุญาตบนเว็บไซต์ของสภาวิชาชีพบัญชี ยังไม่มีความจำเป็น ต่อการตรวจสอบสถานะของผู้สอบบัญชีที่ได้รับอนุญาต การเปิดเผยข้อมูลข่าวสารดังกล่าว จึงอาจเป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควรตามนัยมาตรา ๑๕ (๕) แห่งพระราชบัญญัติ ข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ดังนั้น หากสภาวิชาชีพบัญชีจะเปิดเผยข้อมูล ข่าวสารในส่วนดังกล่าวจะต้องขอความยินยอมจากผู้สอบบัญชีรับอนุญาตทุกรายก่อนนั้น คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับ การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคล เห็นว่า สภาวิชาชีพบัญชีได้เก็บรวบรวมข้อมูลส่วนบุคคล ของผู้ประกอบวิชาชีพบัญชีโดยอาศัยฐานทางกฎหมาย คือ เป็นการจำเป็นเพื่อการปฏิบัติ หน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตามนัยมาตรา ๒๔ (๔) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แม้จะเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอม จากสมาชิกสภาวิชาชีพบัญชีหรือผู้ประกอบวิชาชีพบัญชี และสามารถใช้หรือเปิดเผยข้อมูล ส่วนบุคคลได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตามนัยมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แต่สภาวิชาชีพบัญชีจะต้องดำเนินการเท่าที่จำเป็นตามอำนาจหน้าที่เพื่อการตรวจสอบ สถานะของผู้สอบบัญชีรับอนุญาตและต้องดำเนินการภายใต้วัตถุประสงค์โดยชอบด้วย กฎหมาย เพื่อไม่ให้เป็นการละเมิดสิทธิของเจ้าของข้อมูลส่วนบุคคลโดยไม่สมควร และหาก จะเปิดเผยข้อมูลส่วนบุคคลในส่วนที่ไม่ได้มีความจำเป็นตามหน้าที่และอำนาจ เพื่อการดำเนินการตามวัตถุประสงค์ใด ก็จะต้องได้รับความยินยอมจากเจ้าของข้อมูล ส่วนบุคคลก่อน คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ จึงมีความเห็นพ้องกับความเห็น ของคณะอนุกรรมการตอบข้อหารือตามกฎหมายข้อมูลข่าวสารของราชการ

ประเด็นหารือที่ ๒ กรณีที่ไม่สามารถปฏิบัติตามความเห็น ของคณะอนุกรรมการตอบข้อหารือตามกฎหมายข้อมูลข่าวสารของราชการต่อไปได้อีกแล้ว นั้น สภาวิชาชีพบัญชีจะต้องดำเนินการประการใดเพื่อให้เป็นไปตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ความเห็น เมื่อคณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ ได้ให้ความเห็น ในประเด็นหารือที่ ๑ โดยเห็นว่า ในการพิจารณาดำเนินการเกี่ยวกับการเปิดเผยข้อมูล ส่วนบุคคล สภาวิชาชีพบัญชีจะต้องพิจารณาดำเนินการให้เป็นไปตามพระราชบัญญัติข้อมูล

100

ข่าวสารของราชการ พ.ศ. ๒๕๔๐ และพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ทั้งสองฉบับ และคณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ มีความเห็นไปในทางเดียวกับ คณะอนุกรรมการตอบข้อหารือตามกฎหมายข้อมูลข่าวสารของราชการในประเด็น ที่เกี่ยวข้องแล้ว คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ จึงไม่ต้องให้ความเห็น ในประเด็นหารือนี้

ประเด็นหารือที่ ๑ กรณีที่สภาวิชาชีพบัญชีได้รับแจ้งคำสั่งลงโทษ การประพฤติผิดจรรยาบรรณของผู้ประกอบวิชาชีพบัญชีจากคณะกรรมาธิการจรรยาบรรณ ซึ่งเป็นผู้มีอำนาจในการสอบสวนและมีคำสั่งลงโทษจรรยาบรรณตามพระราชบัญญัติ วิชาชีพบัญชี พ.ศ. ๒๕๔๗ สภาวิชาชีพบัญชีจะสามารถเปิดเผยข้อมูลในคำสั่งลงโทษ จรรยาบรรณดังกล่าวบนเว็บไซต์ของสภาวิชาชีพบัญชี เพื่อให้ประชาชนและหรือหน่วยงาน ที่เกี่ยวข้องได้พึงทราบและจะได้ใช้ความระมัดระวังในการว่าจ้างบุคคลดังกล่าว อันเป็น การคุ้มครองประชาชนและสาธารณะ ซึ่งปัจจุบันพระราชบัญญัติวิชาชีพบัญชี พ.ศ. ๒๕๔๗ ยังไม่ได้กำหนดให้สภาวิชาชีพบัญชีมีการเปิดเผยข้อมูลในคำสั่งลงโทษจรรยาบรรณ ผู้ประกอบวิชาชีพบัญชีไว้อย่างชัดเจนว่ากระทำได้หรือไม่เพียงใด ตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ความเห็น คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ เห็นว่า ตามความเห็นของคณะอนุกรรมการฯ ในประเด็นหารือที่ ๑ สภาวิชาชีพบัญชีต้องพิจารณา ดำเนินการอย่างเหมาะสม โดยคำนึงถึงการปฏิบัติหน้าที่ตามกฎหมายของสภาวิชาชีพบัญชี เพื่อประโยชน์สาธารณะและประโยชน์ของเอกชนที่เกี่ยวข้องประกอบกัน รวมถึง ต้องดำเนินการเท่าที่จำเป็น เพื่อมิให้เป็นการละเมิดหรือรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร ดังนั้น การเปิดเผยข้อมูลรายละเอียดในคำสั่งลงโทษจรรยาบรรณของผู้ประกอบวิชาชีพ บัญชีจากคณะกรรมาธิการจรรยาบรรณไว้บนเว็บไซต์ของสภาวิชาชีพบัญชีเป็นการทั่วไป จึงอาจเป็นการละเมิดหรือรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร อย่างไรก็ตาม ประชาชน หรือผู้เกี่ยวข้องยังอาจขอใช้สิทธิเข้าตรวจดูข้อมูลข่าวสารดังกล่าวเป็นรายกรณี กับสภาวิชาชีพบัญชีตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ได้

๑๐๗

เรื่องที่ ๑๐.๒ สถานีตำรวจภูธร ก. ขอทราบความเห็นเพื่อนำมาประกอบ
สำนวนการสอบสวนกฎหมาย

๑. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๔ (๓)

๒. พระราชบัญญัติองค์กรจัดสรรคลื่นความถี่และกำกับดูแลการประกอบ
กิจการวิทยุกระจายเสียง วิทยุโทรทัศน์ และกิจการโทรคมนาคม พ.ศ.
๒๕๕๓ และที่แก้ไขเพิ่มเติม
มาตรา ๒๗ (๑๘)

๓. พระราชบัญญัติการประกอบกิจการกระจายเสียงและกิจการโทรทัศน์
พ.ศ. ๒๕๕๑
หมวด ๓ (มาตรา ๓๙ และมาตรา ๔๐)

ข้อหารือ

สถานีตำรวจภูธร ก. แจ้งว่า ได้รับแจ้งความร้องทุกข์กรณีผู้เสียหายถูกสำนักข่าว
Z โดยผู้ประกาศข่าวในรายการข่าว B อ่านข่าวใส่ความว่าโกงค่าอาหาร ทั้งที่ยังไม่มี
คำพิพากษาของศาล และในระหว่างที่มีการประกาศข่าวนั้น สำนักข่าว Z ยังได้มีการ
เอาข้อมูลส่วนบุคคลออกมาเผยแพร่ต่อสาธารณชน โดยการออกฉาย เจตนาให้ผู้ชมได้
เห็นใบหน้า (โดยตรง) และมีข้อความชี้ที่ตัวบุคคลว่า “ผู้ก่อเหตุ” โดยมิได้มีการปิดบัง
หรืออัพพราง ทำให้ได้รับความอับอาย เสื่อมเสียชื่อเสียง เกิดความเสียหาย จึงได้รับคำร้อง
ทุกข์ไว้เพื่อดำเนินคดีตามกฎหมายแล้ว เพื่อดำเนินคดีตามกฎหมายต่อไป เหตุเกิดในช่วง
รายการข่าว B ของบริษัท Y โดยเนื่องจากคดีนี้ ผู้ถูกกล่าวหาเป็นสื่อสารมวลชน ซึ่งได้รับ
ความคุ้มครองตามมาตรา ๔ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
หากการเปิดเผยข้อมูลส่วนบุคคลนั้น เป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพ
หรือเป็นประโยชน์สาธารณะเท่านั้น จึงอาศัยอำนาจตามประมวลกฎหมายวิธีพิจารณา
ความอาญา มาตรา ๑๓๒ (๓) เพื่อรวบรวมพยานหลักฐานมาประกอบสำนวนการสอบสวน
และขอทราบความเห็นว่า การกระทำของผู้ถูกกล่าวหาข้างต้นนี้ ได้รับการคุ้มครอง
ตามมาตรา ๔ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่

สถานีตำรวจภูธร ก. ได้แจ้งข้อมูลเพิ่มเติมจากสำนักงานคณะกรรมการ
กิจการกระจายเสียง กิจการโทรทัศน์และกิจการโทรคมนาคมแห่งชาติ (สำนักงาน กสทช.)
ว่า มาตรา ๒๗ (๑๘) แห่งพระราชบัญญัติองค์กรจัดสรรคลื่นความถี่และกำกับดูแล
การประกอบกิจการวิทยุกระจายเสียง วิทยุโทรทัศน์ และกิจการโทรคมนาคม พ.ศ. ๒๕๕๓
และที่แก้ไขเพิ่มเติม กำหนดอำนาจหน้าที่ของ กสทช. ให้ส่งเสริมการรวมกลุ่มของผู้รับ
ใบอนุญาต ผู้ผลิตรายการ และผู้ประกอบวิชาชีพสื่อสารมวลชนเกี่ยวกับกิจการกระจาย

๑๐๘

เสี่ยงและกิจการโทรทัศน์เป็นองค์กรในรูปแบบต่าง ๆ เพื่อทำหน้าที่จัดทำมาตรฐาน ทางจริยธรรมของการประกอบอาชีพหรือวิชาชีพและควบคุมการประกอบอาชีพ หรือวิชาชีพกันเองภายใต้มาตรฐานทางจริยธรรม นอกจากนี้ หมวด ๓ แห่งพระราชบัญญัติ การประกอบกิจการกระจายเสี่ยงและกิจการโทรทัศน์ พ.ศ. ๒๕๕๑ ยังได้กำหนดแนวทางการส่งเสริมและควบคุมจริยธรรมแห่งวิชาชีพและการคุ้มครองผู้เสียหายจาก การประกอบกิจการกระจายเสี่ยงและกิจการโทรทัศน์ ให้เป็นหน้าที่ของ “คณะกรรมการ ควบคุมจริยธรรม” ในการควบคุมการประกอบอาชีพหรือวิชาชีพภายใต้องค์กรที่เกิดจาก การรวมกลุ่มฯ ตามที่สื่อมวลชนสังกัด ด้วยเหตุนี้ ตามเจตนารมณ์แห่งกฎหมายดังกล่าว ทั้งสองฉบับ และรวมถึงเจตนารมณ์ของรัฐธรรมนูญแห่งราชอาณาจักรไทยที่มุ่งคุ้มครอง เสรีภาพในการเสนอข่าวสารหรือการแสดงความคิดเห็นตามจริยธรรมแห่งวิชาชีพ จึงเป็นการมุ่งหมายให้สื่อมวลชนไม่ถูกควบคุมดูแลภายใต้อำนาจของรัฐบาลหรือหน่วยงาน ใด ๆ ของรัฐ อันจะทำให้อาจถูกจำกัดสิทธิเสรีภาพในการเสนอข่าวสารหรือการแสดง ความคิดเห็นตามจริยธรรมแห่งวิชาชีพ อย่างไรก็ดี ในการควบคุมจริยธรรมแห่งวิชาชีพ ในปัจจุบัน กฎหมายได้กำหนดเจตนารมณ์ให้มีกลไกในการกำกับดูแลกันเองภายใต้ มาตรฐานทางจริยธรรม ซึ่งเป็นกระบวนการที่เกิดจากการรวมกลุ่มของผู้รับใบอนุญาต ผู้ผลิตรายการ และผู้ประกอบวิชาชีพสื่อสารมวลชนที่เกี่ยวกับกิจการกระจายเสี่ยง และกิจการโทรทัศน์เป็นองค์กรในรูปแบบต่าง ๆ โดยองค์กรดังกล่าวจะมีอำนาจ ในการควบคุมการประกอบอาชีพหรือวิชาชีพผ่านกลไก กระบวนการ และมาตรฐาน ทางจริยธรรมที่ได้กำหนดร่วมกันเองของสมาชิกภายในองค์กร โดย กสทช. มีอำนาจ ในการส่งเสริมให้เกิดการรวมกลุ่มและมีกลไกอย่างมีประสิทธิภาพ โดยไม่แทรกแซงกลไก หรือกระบวนการดังกล่าว จากหลักการเบื้องต้นดังกล่าว กสทช. จึงไม่อาจมีอำนาจ ในการพิจารณาว่าการนำเสนอข่าวของรายการข่าว B ของบริษัท Y เป็นการดำเนินการ ตามจรรยาบรรณ หรือจริยธรรมของสื่อสารมวลชนหรือไม่ การพิจารณาดังกล่าวควร เป็นอำนาจหน้าที่ขององค์กรที่เกิดจากการรวมกลุ่มที่มีบริษัท Y เป็นสมาชิกในสังกัด

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงาน ของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า พระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผล ข้อมูลส่วนบุคคล ที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งครอบคลุมทั้งภาครัฐ และภาคเอกชน รวมถึงผู้ประกอบธุรกิจทุกภาคส่วนด้วย อย่างไรก็ดี มาตรา ๔ (๓)

๑๐๘

๑๑๐

แห่งพระราชบัญญัติดังกล่าวบัญญัติให้ยกเว้นการใช้บังคับพระราชบัญญัตินี้กับบุคคลหรือนิติบุคคลซึ่งใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน งานศิลปกรรม หรืองานวรรณกรรมอันเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะเท่านั้น ซึ่งการเปิดเผยข้อมูลส่วนบุคคลตามที่ขอความเห็นดังกล่าวเป็นกรณีการใช้หรือเปิดเผยข้อมูลส่วนบุคคลของนิติบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน จึงอาจมีลักษณะที่ได้รับยกเว้นตามมาตรา ๔ (๓) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แต่สถานีตำรวจภูธร ก. จะต้องพิจารณาเพิ่มเติมด้วยว่า การนำเสนอหรือเผยแพร่ข่าวสารดังกล่าวเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะหรือไม่ ซึ่งสถานีตำรวจภูธร ก. ควรขอความเห็นจากองค์กรที่เกิดจากการรวมกลุ่มของผู้รับใบอนุญาต ผู้ผลิตรายการและผู้ประกอบวิชาชีพสื่อสารมวลชนที่เกี่ยวกับกิจการกระจายเสียงและกิจการโทรทัศน์ตามกฎหมายว่าด้วยการประกอบกิจการกระจายเสียงและกิจการโทรทัศน์ และกฎหมายว่าด้วยองค์กรจัดสรรคลื่นความถี่และกำกับดูแลการประกอบกิจการวิทยุกระจายเสียง วิทยุโทรทัศน์ และกิจการโทรคมนาคม ที่มีบริษัท Y เป็นสมาชิก ว่าการกระทำดังกล่าว เป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพของกิจการสื่อมวลชนหรือไม่ เพื่อดำเนินการตามกฎหมายต่อไป

เรื่องที่ ๑๐.๓ สถานีตำรวจภูธร ข. หารือเกี่ยวกับการกระทำความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๒๖ มาตรา ๒๗ มาตรา ๗๓ มาตรา ๗๔ มาตรา ๘๐
   และมาตรา ๘๑

2. พระราชบัญญัติบำเหน็จบำนาญข้าราชการส่วนท้องถิ่น พ.ศ. ๒๕๐๐
   มาตรา ๑๒

3. ระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่นการไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. ๒๕๖๕

ข้อหารือ

สถานีตำรวจภูธร ข. ขอหารือกรณีผู้เสียหายได้ร้องทุกข์กล่าวโทษต่อพนักงานสอบสวนให้ดำเนินคดีกับนายกองค์การบริหารส่วนจังหวัด ก. ปลัดองค์การบริหารส่วนจังหวัด ก. และเจ้าหน้าที่อื่นที่เกี่ยวข้อง โดยมีพฤติการณ์แห่งคดีสืบเนื่องมาจากการออกประกาศองค์การบริหารส่วนจังหวัด ก. เรื่อง การพ้นจากราชการของข้าราชการ

องค์การบริหารส่วนจังหวัด ก. ข้าราชการครูองค์การบริหารส่วนจังหวัด ก. ซึ่งมีอายุครบ หกสิบปีบริบูรณ์เมื่อสิ้นปีงบประมาณ พ.ศ. ๒๕๖๕ โดยได้รับบำนาญตามพระราชบัญญัติ บำเหน็จบำนาญข้าราชการส่วนท้องถิ่น พ.ศ. ๒๕๐๐ มาตรา ๑๒ ประกอบหนังสือ กระทรวงมหาดไทย ที่ มท ๐๘๐๘.๕/ว๓๗๓๙ ลงวันที่ ๓ กรกฎาคม ๒๕๕๘ เรื่อง การขอรับบำเหน็จบำนาญของข้าราชการส่วนท้องถิ่นหรือลูกจ้างประจำ ซึ่งมีกรณี หรือต้องหาว่ากระทำผิดวินัยอย่างร้ายแรง หรือมีกรณีถูกฟ้อง หรือต้องหาว่ากระทำ ความผิดอาญา โดยกรณีหรือคดีอาญายังไม่ถึงที่สุด ซึ่งองค์การบริหารส่วนจังหวัด ก. ได้มี คำสั่งลงโทษไล่ผู้เสียหายออกจากราชการไว้เป็นการชั่วคราวจนกว่าศาลจะมีคำพิพากษา ถึงที่สุดหรือมีคำสั่งเป็นอย่างอื่น แต่ศาลปกครอง ค. ได้มีคำสั่งเกี่ยวกับวิธีการชั่วคราวก่อน การพิพากษา ให้ทุเลาการบังคับตามคำสั่งดังกล่าว และเป็นการโต้แย้งมติคณะกรรมการ ข้าราชการองค์การบริหารส่วนจังหวัด ก. ที่มีมติให้ไล่ออกจากราชการจึงเป็นกรณีต้องหา ว่ากระทำผิดวินัยอย่างร้ายแรงยังไม่สิ้นสุด ส่วนการขอรับบำเหน็จดำรงชีพได้ต่อเมื่อคดี ถึงที่สุดและมีสิทธิได้รับบำนาญ ทั้งนี้สอดคล้องกับหนังสือจังหวัด ก. เรื่อง หารือ สิทธิประโยชน์ของข้าราชการองค์การบริหารส่วนจังหวัดตามผลคดีศาลปกครอง ค. มีคำสั่งทุเลาการบังคับคดีตามคำสั่งทางปกครอง ผู้เสียหายอ้างว่าการกระทำดังกล่าว เป็นการทำละเมิดผู้เสียหาย ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ทำให้ผู้เสียหายได้รับความเสียหาย เป็นการประจานหรือประกาศ โฆษณาให้ผู้เสียหาย ได้รับความอับอาย เสื่อมเสียชื่อเสียงความเชื่อถือ ถูกดูหมิ่นดูแคลน เกลียดชัง ผู้เสียหาย จึงได้มาร้องทุกข์มอบคดีต่อพนักงานสอบสวน ให้ดำเนินคดีกับผู้ต้องหาดังกล่าวข้างต้น ให้รับโทษตามกฎหมาย สถานีตำรวจภูธร ข. จึงขอหารือว่า การกระทำของผู้ต้องหา ดังกล่าวข้างต้นเป็นการกระทำผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ อย่างไร เพื่อใช้ประกอบสำนวนการสอบสวนต่อไป ต่อมาสถานี ตำรวจภูธร ข. ได้มีหนังสือสอบถามผลการหารือมายังสำนักงานคณะกรรมการคุ้มครอง ข้อมูลส่วนบุคคลอีกครั้ง เนื่องจากสำนักงานอัยการพิเศษฝ่ายคดีปราบปรามการทุจริต ๑ ภาค ๖ ได้มีหนังสือให้พนักงานสอบสวนตรวจสอบและติดตามผลการหารือเรื่องดังกล่าวกับ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอีกครั้ง

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงาน ของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า พระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้บัญญัติให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่หลายประการ

๑๑๑

ตามที่กำหนดในบทบัญญัติแห่งพระราชบัญญัตินี้ ซึ่งหากผู้ควบคุมข้อมูลส่วนบุคคลมีการฝ่าฝืนหรือไม่ปฏิบัติตามที่กำหนดในบทบัญญัติดังกล่าว จะมีความผิดอาญาเฉพาะเรื่องที่มีลักษณะตามความในหมวด ๗ ส่วนที่ ๑ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยจะต้องมีองค์ประกอบความผิดตามความในมาตรา ๗๙ มาตรา ๘๐ และมาตรา ๘๑ แล้วแต่กรณี เช่น การใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่จะเป็นความผิดอาญาตามมาตรา ๗๙ วรรคหนึ่งต้องเกิดขึ้นจากการที่ผู้ควบคุมข้อมูลส่วนบุคคลได้ใช้หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ ได้แก่ ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ และข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในท่านองเดียวกัน ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด (ปัจจุบันคณะกรรมการฯ ยังไม่ได้ออกประกาศ) โดยฝ่าฝืนไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล และการกระทำดังกล่าวไม่เข้าข้อยกเว้นอื่นตามมาตรา ๒๖ ประกอบมาตรา ๒๗ วรรคหนึ่ง หรือเป็นกรณีบุคคลที่ได้รับข้อมูลส่วนบุคคลตามมาตรา ๒๖ มาจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคล แต่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่น นอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น ตามนัยมาตรา ๒๗ วรรคสอง โดยประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย หรือกรณีที่ข้อเท็จจริงปรากฏในคดีว่าผู้กระทำความผิดเป็นนิติบุคคล (เช่น ผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นนิติบุคคล) และการกระทำความผิดของนิติบุคคลนั้นเกิดจากการสั่งการ หรือการกระทำของกรรมการ หรือผู้จัดการหรือบุคคลใดซึ่งรับผิดชอบในการดำเนินงานของนิติบุคคลนั้น หรือในกรณีที่บุคคลดังกล่าวมีหน้าที่ต้องสั่งการหรือกระทำการ และละเว้นไม่สั่งการหรือไม่กระทำการ จนเป็นเหตุให้นิติบุคคลนั้นกระทำความผิด ผู้นั้นต้องรับโทษตามที่บัญญัติไว้สำหรับความผิดนั้น ๆ ด้วยตามความในมาตรา ๘๑ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ดังนั้น ในกรณีนี้ พนักงานสอบสวนและพนักงานอัยการจึงสามารถพิจารณาข้อเท็จจริงและข้อกฎหมาย องค์ประกอบความผิด และพิจารณาดำเนินการต่อไปตามที่เห็นสมควร

อย่างไรก็ดี พระราชบัญญัติดังกล่าวยังกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลที่ฝ่าฝืนหรือไม่ปฏิบัติตามบทบัญญัติในพระราชบัญญัตินี้ นอกจากกรณีที่เป็นความผิดที่มีโทษอาญาตามที่กำหนดในหมวด ๗ ส่วนที่ ๑ แห่งพระราชบัญญัติดังกล่าวแล้วยังมีกรณีความผิดอันเกิดจากการฝ่าฝืนหรือไม่ปฏิบัติตามบทบัญญัติแห่งพระราชบัญญัตินี้ ที่มีโทษทางปกครอง ซึ่งผู้เสียหายสามารถใช้สิทธิร้องเรียนตามบทบัญญัติในหมวด ๕ ซึ่งคณะกรรมการผู้เชี่ยวชาญตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๑๑๒

จะมีหน้าที่และอำนาจในการพิจารณาเรื่องร้องเรียนตามพระราชบัญญัตินี้ ซึ่งหากผู้เสียหายได้ยื่นคำร้องเรียนมายังสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๗๓แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณาและระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. ๒๕๖๕ และคณะกรรมการผู้เชี่ยวชาญได้พิจารณาเรื่องร้องเรียนจนได้ข้อสรุปแล้ว พนักงานสอบสวนและพนักงานอัยการสามารถนำข้อสรุปและความเห็นของคณะกรรมการผู้เชี่ยวชาญไปพิจารณาประกอบการดำเนินการในคดีอาญาได้ต่อไป

เรื่องที่ ๑๐.๔ สถานีตำรวจ F ขอหารือกรณีผู้ใช้ Facebook ได้โพสต์รูปภาพและข้อความ

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ (๑) มาตรา ๕ มาตรา ๖ มาตรา ๑๙ มาตรา ๒๐ มาตรา ๒๓
   มาตรา ๒๔ มาตรา ๒๖ มาตรา ๒๘ มาตรา ๒๙ มาตรา ๓๐
   มาตรา ๓๑ มาตรา ๓๒ มาตรา ๓๓ มาตรา ๓๔ มาตรา ๓๕
   มาตรา ๓๖ มาตรา ๓๗ และมาตรา ๔๑

2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์
   พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม

3. ประมวลกฎหมายอาญา
   มาตรา ๓๒๖ และมาตรา ๓๒๘

4. ประมวลกฎหมายแพ่งและพาณิชย์
   มาตรา ๔๒๐

ข้อหารือ

สถานีตำรวจ F แจ้งว่า มีผู้มาแจ้งความร้องทุกข์ต่อพนักงานสอบสวนว่าผู้ใช้ Facebook รายหนึ่งโพสต์ภาพผู้เสียหาย พร้อมโพสต์ข้อความอันเป็นการทำให้ถูกดูหมิ่นเกลียดชัง ผู้แจ้งจึงมาพบพนักงานสอบสวนเพื่อประสงค์ให้ดำเนินคดีกับบุคคลนั้น ต่อมา พนักงานสอบสวนได้รับหนังสือจากสำนักงานอัยการ C ให้ตรวจสอบข้อมูล ดังนี้

1. ข้อมูลรูปโปรไฟล์ (profile) จากเว็บไซต์ www.facebook.com ของผู้ต้องหา ที่ผู้ต้องหาได้โพสต์ภาพ และข้อความดังกล่าวของผู้ต้องหานั้น ที่มีสัญลักษณ์ได้โพสต์เป็นรูปโลก และรูปคน นั้น มีลักษณะเป็นการทำให้สาธารณชนหรือประชาชนทั่วไปพบเห็นภาพและข้อความดังกล่าวได้โดยทั่วไป หรือเฉพาะกลุ่มคน หรือไม่ อย่างไร

๑๑๓

๒. ผู้ต้องหาโพสต์ข้อความและภาพ นั้น ผู้ต้องหาในคดีนี้เป็นผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่อย่างไร โดยให้อธิบายมาโดยละเอียด

จึงขอหารือมายังสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น ภาพหรือข้อความเกี่ยวกับบุคคลที่โพสต์บนเว็บไซต์หรือแอปพลิเคชัน Facebook ที่สามารถระบุตัวบุคคลที่เกี่ยวกับภาพหรือข้อความนั้นได้ไม่ว่าทางตรงหรือทางอ้อม จึงถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ สำหรับการโพสต์ภาพผู้เสียหายบน Facebook จะอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมีความผิดตามพระราชบัญญัติดังกล่าวหรือไม่นั้น เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดไว้ในมาตรา ๕ วรรคหนึ่งว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งอยู่ในราชอาณาจักร โดยมาตรา ๖ กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยการเป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว เมื่อพิจารณาจากบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ เช่น การกำหนดให้การเก็บรวบรวมข้อมูลส่วนบุคคลจะต้องมีฐานทางกฎหมายตามมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี หน้าที่ในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ ข้อกำหนดและเงื่อนไขเกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามมาตรา ๒๘ และมาตรา ๒๙ หน้าที่ในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ตามมาตรา ๓๗ (๑) และมาตรา ๓๗ (๔) หน้าที่ในการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๓๐ ถึงมาตรา ๓๖ หน้าที่ในการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ และหน้าที่ในการจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคล เมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็น

๑๑๔

ตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม ปรากฏรายละเอียดตามมาตรา ๓๗ (๓) เป็นต้น จึงเห็นได้ว่า บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าวมุ่งประสงค์จะใช้บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น โดยกำหนดหลักการที่สำคัญประการหนึ่งเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่าต้องมีฐานทางกฎหมายตามที่กำหนดในมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี และหากไม่มีฐานทางกฎหมายอื่นใดเพื่อใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามหลักเกณฑ์ในมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติดังกล่าว และได้กำหนดหน้าที่และความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลไว้ตั้งแต่ขั้นตอนการเก็บรวบรวมจนกระทั่งการลบหรือทำลายข้อมูลส่วนบุคคลประกอบกับมาตรา ๔ (๑) แห่งพระราชบัญญัติดังกล่าวได้กำหนดข้อยกเว้นไม่ให้นำพระราชบัญญัตินี้ไปใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น

ดังนั้น จากกรณีดังกล่าว การกระทำของผู้ต้องหาซึ่งมีฐานะเป็นบุคคลธรรมดาจะถือว่าเป็นการกระทำในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และจะมีความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ นั้น สถานีตำรวจ F ต้องพิจารณาว่า การกระทำดังกล่าวของผู้ต้องหาเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ผู้นั้นทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นหรือไม่ หากพิจารณาแล้วเห็นว่า การกระทำของผู้ต้องหาดังกล่าวมีวัตถุประสงค์ในการดำเนินการเพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมไม่อยู่ในขอบเขตการบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๔ (๑) แต่อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใดผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้นได้ เช่น พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม หรือประมวลกฎหมาย

๑๑๕

อาญาในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาทโดยการโฆษณา หรือการทำละเมิด ตามมาตรา ๔๒๐ แห่งประมวลกฎหมายแพ่งและพาณิชย์

ส่วนประเด็นตามข้อหารือที่ ๑ ว่า ข้อมูลรูปโปรไฟล์ (profile) จากเว็บไซต์ www.facebook.com ของผู้ต้องหา ที่ผู้ต้องหาได้โพสต์ภาพ และข้อความของผู้ต้องหา มีลักษณะเป็นการทำให้สาธารณชนหรือประชาชนทั่วไปพบเห็นภาพและข้อความดังกล่าว ได้โดยทั่วไป หรือเฉพาะกลุ่มคน หรือไม่ อย่างไร นั้น ไม่ใช่กรณีที่เกี่ยวกับการบังคับใช้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยตรง พนักงานสอบสวน จึงควรพิจารณาดำเนินการต่อไปตามข้อเท็จจริงที่เกี่ยวข้อง

เรื่องที่ ๑๐.๕ สถานีตำรวจ E ขอหารือข้อกฎหมายเกี่ยวกับพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ (๑) มาตรา ๕ มาตรา ๖ มาตรา ๑๙ มาตรา ๒๐ มาตรา ๒๓
   มาตรา ๒๔ มาตรา ๒๖ มาตรา ๒๘ มาตรา ๒๙ มาตรา ๓๐
   มาตรา ๓๑ มาตรา ๓๒ มาตรา ๓๓ มาตรา ๓๔ มาตรา ๓๕
   มาตรา ๓๖ มาตรา ๓๗ และมาตรา ๔๑

2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม

3. ประมวลกฎหมายอาญา
   มาตรา ๓๒๖ และมาตรา ๓๒๘

4. ประมวลกฎหมายแพ่งและพาณิชย์
   มาตรา ๔๒๐

ข้อหารือ

สถานีตำรวจ E แจ้งว่า มีผู้เสียหายมาร้องทุกข์ต่อพนักงานสอบสวน ให้ดำเนินคดีกับผู้ต้องหา ในความผิดฐานเปิดเผยข้อมูลส่วนบุคคล ตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และพนักงานสอบสวนได้ทำการสอบสวนรวบรวม พยานหลักฐานเสนออัยการ B พิจารณาแล้ว ต่อมาอัยการ B ได้มีหนังสือให้พนักงาน สอบสวนสอบถามมายังสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่า กรณีที่บุคคล ธรรมดาได้รับข้อมูลส่วนบุคคลของบุคคลอื่น เช่น ภาพถ่ายบุคคล มาจากผู้ควบคุมข้อมูล ส่วนบุคคลโดยไม่มีอำนาจตามกฎหมาย และนำภาพถ่ายบุคคลดังกล่าวมาเผยแพร่ในแอปพลิเคชัน เฟซบุ๊กพร้อมข้อความอันเป็นการหมิ่นประมาทเจ้าของข้อมูลส่วนบุคคลดังกล่าว โดยไม่ได้

๑๑๖

รับอนุญาตจากเจ้าของข้อมูลส่วนบุคคล กรณีดังกล่าวอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ อย่างไร

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น ภาพถ่ายบุคคลหรือข้อมูลอื่นเกี่ยวกับบุคคลที่สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม จึงถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ สำหรับการนำภาพถ่ายบุคคลหรือข้อมูลส่วนบุคคลอื่นไปโพสต์ในแอปพลิเคชันเฟซบุ๊ก จะอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมีความผิดตามพระราชบัญญัติดังกล่าวหรือไม่นั้น เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดไว้ในมาตรา ๕ วรรคหนึ่งว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร โดยมาตรา ๖ กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคล ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยการเป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว เมื่อพิจารณาจากบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ เช่น การกำหนดให้การเก็บรวบรวมข้อมูลส่วนบุคคลจะต้องมีฐานทางกฎหมายตามมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี หน้าที่ในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ ข้อกำหนดและเงื่อนไขเกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามมาตรา ๒๘ และมาตรา ๒๙ หน้าที่ในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และการแจ้งเหตุการณ์ละเมิดข้อมูลส่วนบุคคล ตามมาตรา ๓๗ (๑) และมาตรา ๓๗ (๔) หน้าที่ในการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๓๐ ถึงมาตรา ๓๖ หน้าที่ในการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ และหน้าที่ในการจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม ปรากฏรายละเอียดตามมาตรา ๓๗ (๓) เป็นต้น จึงเห็นได้

๑๑๘

๑๑๘

ว่า บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าวมุ่งประสงค์จะใช้บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น โดยกำหนดหลักการที่สำคัญประการหนึ่งเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่าต้องมีฐานทางกฎหมายตามที่กำหนดในมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี และหากไม่มีฐานทางกฎหมายอื่นใดเพื่อใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามหลักเกณฑ์ในมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติดังกล่าว และได้กำหนดหน้าที่และความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลไว้ตั้งแต่ขั้นตอนการเก็บรวบรวมจนกระทั่งการลบหรือทำลายข้อมูลส่วนบุคคล ประกอบกับมาตรา ๔ (๑) แห่งพระราชบัญญัติดังกล่าวได้กำหนดข้อยกเว้นไม่ให้นำพระราชบัญญัตินี้ไปใช้บังคับแก่การเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น

ดังนั้น จากกรณีดังกล่าว การกระทำของผู้ต้องหาซึ่งมีฐานะเป็นบุคคลธรรมดา จะถือว่าเป็นการกระทำในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และจะมีความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ นั้น สถานีตำรวจ E ต้องพิจารณาว่าการกระทำดังกล่าวของผู้ต้องหาเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ผู้นั้นทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นหรือไม่ หากพิจารณาแล้วเห็นว่า การกระทำของผู้ต้องหาดังกล่าวมีวัตถุประสงค์ในการดำเนินการเพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมไม่อยู่ในขอบเขตการบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๔ (๑) แต่อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใดผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้นได้ เช่น พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม หรือประมวลกฎหมายอาญาในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาทโดยการโฆษณา หรือการทำลายเมิดตามมาตรา ๔๒๐ แห่งประมวลกฎหมายแพ่งและพาณิชย์

เรื่องที่ ๑๐.๖ สถานีตำรวจ G ขอหารือข้อกฎหมายเกี่ยวกับพระราชบัญญัติ คุ้มครองข้อมูลสรุปบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ (๑) มาตรา ๕ มาตรา ๖ มาตรา ๑๙ มาตรา ๒๐ มาตรา ๒๓
   มาตรา ๒๔ มาตรา ๒๖ มาตรา ๒๘ มาตรา ๒๙ มาตรา ๓๐
   มาตรา ๓๑ มาตรา ๓๒ มาตรา ๓๓ มาตรา ๓๔ มาตรา ๓๕
   มาตรา ๓๖ มาตรา ๓๗ และมาตรา ๔๑

2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม

3. ประมวลกฎหมายอาญา
   มาตรา ๓๒๖ และมาตรา ๓๒๘

4. ประมวลกฎหมายแพ่งและพาณิชย์
   มาตรา ๔๒๐

ข้อหารือ

สถานีตำรวจ G แจ้งว่า มีผู้มาแจ้งความร้องทุกข์ต่อพนักงานสอบสวนสถานี ตำรวจ G เพื่อให้ดำเนินคดีกับผู้ต้องหาในความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยกล่าวหาว่า ผู้ต้องหาได้คัดลอกภาพถ่ายใบหน้าผู้เสียหายกับครอบครัว ซึ่งเป็นภาพโปรไฟล์บน Facebook ของผู้เสียหาย ไปโพสต์ใน Facebook ของผู้ต้องหา ในลักษณะนำไปโพสต์ประจานเรื่องไม่ชำระหนี้แก่ผู้ต้องหา โดยผู้เสียหายไม่ได้อนุญาต จึงหารือว่า การที่ผู้ต้องหานำภาพถ่ายของผู้เสียหายพร้อมครอบครัว ที่ปรากฏภาพใบหน้า ของผู้เสียหายและครอบครัวไปใช้โพสต์ทาง Facebook ซึ่งตั้งค่าสาธารณะ บุคคลทั่วไป สามารถพบเห็นภาพใบหน้าผู้เสียหาย และพบเห็นข้อความที่โพสต์ประจานได้โดยไม่ได้รับ ความยินยอมจากผู้เสียหาย การกระทำของผู้ต้องหาตามข้อเท็จจริงดังกล่าวจะเป็นความผิด ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๗ หรือไม่ อย่างไร และในส่วนของผู้ต้องหาซึ่งเป็นบุคคลธรรมดา การที่นำภาพของผู้อื่นไปใช้โพสต์ จะเข้าคำนิยาม คำว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หรือไม่ อย่างไร

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐ เพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า ตามมาตรา ๖

๑๑๘

๑๒๐

แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น ภาพถ่ายบุคคลหรือข้อมูลอื่นเกี่ยวกับ บุคคลที่สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม จึงถือเป็นข้อมูลส่วนบุคคล ตามพระราชบัญญัตินี้ สำหรับการนำภาพถ่ายบุคคลหรือข้อมูลส่วนบุคคลอื่นไปโพสต์ ในแอปพลิเคชัน Facebook จะอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ และมีความผิดตามพระราชบัญญัติดังกล่าวหรือไม่นั้น เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดไว้ในมาตรา ๕ วรรคหนึ่ง ว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร โดยมาตรา ๖ กำหนดว่า “ผู้ควบคุม ข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยการเป็นผู้ควบคุมข้อมูลส่วนบุคคล ดังกล่าว เมื่อพิจารณาจากบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลาย ประการ เช่น การกำหนดให้การเก็บรวบรวมข้อมูลส่วนบุคคลจะต้องมีฐานทางกฎหมาย ตามมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี หน้าที่ในการแจ้งวัตถุประสงค์ และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ ข้อกำหนดและเงื่อนไข เกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามมาตรา ๒๘ และมาตรา ๒๙ หน้าที่ในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และการแจ้งเหตุการ ละเมิดข้อมูลส่วนบุคคล ตามมาตรา ๓๗ (๑) และมาตรา ๓๗ (๔) หน้าที่ในการตอบสนอง ต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๓๐ ถึงมาตรา ๓๖ หน้าที่ ในการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ และหน้าที่ในการจัด ให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนด ระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม ปรากฏรายละเอียดตามมาตรา ๓๗ (๓) เป็นต้น จึงเห็นได้ว่า บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าวมุ่งประสงค์จะใช้ บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กร หรือของบุคคลนั้น โดยกำหนดหลักการที่สำคัญประการหนึ่งเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่าต้องมีฐานทางกฎหมายตามที่กำหนดในมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี และหากไม่มีฐานทางกฎหมายอื่นใดเพื่อใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องได้รับความยินยอม

๑๒๑

จากเจ้าของข้อมูลส่วนบุคคลตามหลักเกณฑ์ในมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติดังกล่าว และได้กำหนดหน้าที่และความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลไว้ตั้งแต่ขั้นตอนการเก็บรวบรวมจนกระทั่งการลบหรือทำลายข้อมูลส่วนบุคคลประกอบกับมาตรา ๔ (๑) แห่งพระราชบัญญัติดังกล่าวได้กำหนดข้อยกเว้นไม่ให้นำพระราชบัญญัตินี้ไปใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น

ดังนั้น จากกรณีดังกล่าว การกระทำของผู้ต้องหาซึ่งมีฐานะเป็นบุคคลธรรมดา จะถือว่าเป็นการกระทำในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และจะมีความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ นั้น สถานีตำรวจ G ต้องพิจารณาว่าการกระทำดังกล่าวของผู้ต้องหาเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ผู้นั้นทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นหรือไม่ หากพิจารณาแล้วเห็นว่า การกระทำของผู้ต้องหาดังกล่าวมีวัตถุประสงค์ในการดำเนินการเพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมไม่อยู่ในขอบเขตการบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๔ (๑) แต่อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้นได้ เช่น พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม หรือประมวลกฎหมายอาญาในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาทโดยการโฆษณา หรือการทำละเมิดตามมาตรา ๔๒๐ แห่งประมวลกฎหมายแพ่งและพาณิชย์

เรื่องที่ ๑๐.๗ สถานีตำรวจ H ขอหารือข้อกฎหมายเกี่ยวกับพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ (๑) มาตรา ๕ มาตรา ๖ มาตรา ๗๙ มาตรา ๒๐ มาตรา ๒๓
   มาตรา ๒๔ มาตรา ๒๖ มาตรา ๒๘ มาตรา ๒๙ มาตรา ๓๐
   มาตรา ๓๑ มาตรา ๓๒ มาตรา ๓๓ มาตรา ๓๔ มาตรา ๓๕
   มาตรา ๓๖ มาตรา ๓๗ และมาตรา ๔๑

2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ.
   ๒๕๕๐ และที่แก้ไขเพิ่มเติม

3. ประมวลกฎหมายอาญา
   มาตรา ๓๒๖ และมาตรา ๓๒๘

4. ประมวลกฎหมายแพ่งและพาณิชย์
   มาตรา ๔๒๐

ข้อหารือ

สถานีตำรวจ H แจ้งว่า พนักงานสอบสวน สถานีตำรวจ H ได้มีความเห็น
สั่งฟ้องสำนวนการสอบสวนคดีในข้อหา “เปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม
โดยประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง
หรือได้รับความอับอาย” และได้ส่งสำนวนการสอบสวนไปยังพนักงานอัยการ A ต่อมา
เมื่อวันที่ ๑ มิถุนายน ๒๕๖๖ พนักงานอัยการ A ได้มีหนังสือสอบสวนเพิ่มเติมครั้งที่ ๒ มายัง
พนักงานสอบสวนสถานีตำรวจ H เพื่อให้ส่งหนังสือสอบถามคณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคล ให้มีความเห็นว่า “ตามข้อเท็จจริงในคดีนี้ เมื่อผู้ต้องหาว่าจ้างผู้เสียหาย
ซึ่งเป็นผู้รับเหมาต่อเติมบ้าน แต่ผู้ต้องหาเห็นว่าผู้รับเหมาทำงานไม่ดี จึงโพสต์ภาพผลงาน
ความเห็น และภาพสำเนาบัตรประจำตัวประชาชนของผู้รับเหมาลงใน Facebook
ของผู้ต้องหาออกสู่สาธารณะ โดยสำเนาบัตรของผู้รับเหมางานได้มาเมื่อมีการทำสัญญาจ้าง
เหมากันนั้น จะถือว่าผู้ต้องหาเป็นผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งได้กระทำความผิดภายใต้
การบังคับใช้กฎหมายนี้หรือไม่ อย่างไร หากไม่อยู่ภายใต้กฎหมายนี้ ด้วยเหตุผลใด อย่างไร
ให้ละเอียดชัดเจนไปตามรูปคดี จึงขอให้วินิจฉัยปัญหาที่เกิดจากการใช้พระราชบัญญัติ

๑๒๒

คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามข้อเท็จจริงดังกล่าวข้างต้น เพื่อความสะดวกในการสอบสวน และพนักงานสอบสวนจะได้ดำเนินการในส่วนที่เกี่ยวข้องต่อไป

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น ภาพสำเนาบัตรประจำตัวประชาชน หรือข้อมูลอื่นเกี่ยวกับบุคคลที่สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม จึงถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ สำหรับการนำภาพสำเนาบัตรประจำตัวประชาชนหรือข้อมูลส่วนบุคคลอื่นไปโพสต์ในแอปพลิเคชัน Facebook จะอยู่ภายใต้บังคับ ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมีความผิดตามพระราชบัญญัติดังกล่าวหรือไม่นั้น เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดไว้ในมาตรา ๕ วรรคหนึ่งว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับแก่ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งอยู่ในราชอาณาจักร โดยมาตรา ๖ กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล โดยการเป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว เมื่อพิจารณา จากบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ เช่น การกำหนดให้การเก็บรวบรวมข้อมูลส่วนบุคคลจะต้องมีฐานทางกฎหมายตามมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี หน้าที่ในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บ รวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ ข้อกำหนดและเงื่อนไขเกี่ยวกับการส่งหรือโอน ข้อมูลส่วนบุคคลไปยังต่างประเทศตามมาตรา ๒๘ และมาตรา ๒๙ หน้าที่ในการจัดให้มี มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และการแจ้งเหตุการณ์ละเมิดข้อมูล ส่วนบุคคล ตามมาตรา ๓๗ (๑) และมาตรา ๓๗ (๔) หน้าที่ในการตอบสนองต่อคำขอ ใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๓๐ ถึงมาตรา ๓๖ หน้าที่ในการแต่งตั้ง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ และหน้าที่ในการจัดให้มีระบบ การตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลา การเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวม ข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูล ส่วนบุคคลได้ถอนความยินยอม ปรากฏรายละเอียดตามมาตรา ๓๗ (๓) เป็นต้น จึงเห็นได้

๑๒๓

๑๒๔

ว่า บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าวมุ่งประสงค์จะใช้บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น โดยกำหนดหลักการที่สำคัญประการหนึ่งเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่าต้องมีฐานทางกฎหมายตามที่กำหนดในมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี และหากไม่มีฐานทางกฎหมายอื่นใดเพื่อใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามหลักเกณฑ์ในมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติดังกล่าว และได้กำหนดหน้าที่และความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลไว้ตั้งแต่ขั้นตอนการเก็บรวบรวมจนกระทั่งการลบหรือทำลายข้อมูลส่วนบุคคล ประกอบกับมาตรา ๔ (๑) แห่งพระราชบัญญัติดังกล่าวได้กำหนดข้อยกเว้นไม่ให้นำพระราชบัญญัตินี้ไปใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น

ดังนั้น จากกรณีดังกล่าว การกระทำของผู้ต้องหาซึ่งมีฐานะเป็นบุคคลธรรมดา จะถือว่าเป็นการกระทำในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และจะมีความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ นั้น สถานีตำรวจ H ต้องพิจารณาว่าการกระทำดังกล่าวของผู้ต้องหาเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ผู้นั้นทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นหรือไม่ หากพิจารณาแล้วเห็นว่า การกระทำของผู้ต้องหาดังกล่าวมีวัตถุประสงค์ในการดำเนินการเพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมไม่อยู่ในขอบเขตการบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๔ (๑) อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้นได้ เช่น พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม หรือประมวลกฎหมายอาญาในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาทโดยการโฆษณา หรือการทำละเมิดตามมาตรา ๔๒๐ แห่งประมวลกฎหมายแพ่งและพาณิชย์

เรื่องที่ ๑๐.๘ สถานีตำรวจ J ขอหารือการละเมิดข้อมูลส่วนบุคคล

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ (๑) มาตรา ๕ มาตรา ๖ มาตรา ๑๙ มาตรา ๒๐ มาตรา ๒๓
   มาตรา ๒๔ มาตรา ๒๖ มาตรา ๒๘ มาตรา ๒๙ มาตรา ๓๐
   มาตรา ๓๑ มาตรา ๓๒ มาตรา ๓๓ มาตรา ๓๔ มาตรา ๓๕
   มาตรา ๓๖ มาตรา ๓๗ และมาตรา ๔๑

2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์
   พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม

3. ประมวลกฎหมายอาญา
   มาตรา ๓๒๖ และมาตรา ๓๒๘

4. ประมวลกฎหมายแพ่งและพาณิชย์
   มาตรา ๔๒๐

ข้อหารือ

สถานีตำรวจ J แจ้งว่า มีผู้เสียหายได้ร้องทุกข์กับพนักงานสอบสวน
ขอให้ดำเนินคดีกับผู้ต้องหา กรณีนำข้อมูลที่ทำให้สามารถระบุตัวบุคคลได้อันเป็นข้อมูล
ส่วนบุคคลตามกฎหมายและยังเป็นข้อมูลเกี่ยวกับประวัติอาชญากรรมของผู้เสียหาย
ที่ผู้เสียหายถูกกล่าวหาว่าได้กระทำความผิดต่อกฎหมายไปโพสต์ลงบน Facebook
ของผู้ต้องหา ซึ่งเปิดการมองเห็นเป็นสาธารณะ โดยผู้เสียหายไม่ได้ยินยอมให้ผู้ต้องหา
เป็นผู้เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทำให้บุคคลทั่วไปที่ได้พบเห็นโพสต์
ดังกล่าวเข้าใจผู้เสียหายผิด ทำให้เสื่อมเสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง เพราะเหตุที่ได้
พบและอ่านข้อความเอกสารตามโพสต์ดังกล่าว เนื่องจากผู้อ่านไม่อาจเข้าใจถึงสาเหตุที่แท้จริง
ผู้เสียหายจึงร้องทุกข์ให้พนักงานสอบสวนดำเนินคดีกับผู้ต้องหาเพื่อให้ได้รับโทษ
ตามกฎหมาย ซึ่งพนักงานสอบสวนได้รับคำร้องทุกข์ไว้สอบสวนตามกฎหมายแล้ว
แต่เนื่องจากพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นกฎหมายใหม่
ซึ่งคำนิยาม “ผู้ควบคุมข้อมูลส่วนบุคคล” ตามพระราชบัญญัติดังกล่าว นักกฎหมายรวมทั้ง
พนักงานสอบสวนต่างก็ตีความและมีความเห็นต่างกัน จึงขอหารือและขอทราบความเห็นว่า
การกระทำของผู้ต้องหาดังกล่าวข้างต้นเป็นความผิดตามมาตรา ๒๗ แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ อย่างไร

๑๒๕

๑๒๖

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่า ทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น ภาพสำเนา เอกสารหรือข้อมูลอื่นเกี่ยวกับบุคคลที่สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรง หรือทางอ้อม จึงถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ สำหรับการนำภาพสำเนา เอกสารหรือข้อมูลส่วนบุคคลอื่นไปโพสต์ในแอปพลิเคชัน Facebook จะอยู่ภายใต้บังคับ ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมีความผิด ตามพระราชบัญญัติดังกล่าวหรือไม่นั้น เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดไว้ในมาตรา ๕ วรรคหนึ่งว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับ แก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งอยู่ในราชอาณาจักร โดยมาตรา ๖ กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความ ว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล โดยการเป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว เมื่อพิจารณา จากบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ เช่น การกำหนดให้การเก็บรวบรวมข้อมูลส่วนบุคคลจะต้องมีฐานทางกฎหมาย ตามมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี หน้าที่ในการแจ้งวัตถุประสงค์และรายละเอียด ในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ ข้อกำหนดและเงื่อนไขเกี่ยวกับ การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามมาตรา ๒๘ และมาตรา ๒๙ หน้าที่ ในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และการแจ้งเหตุการละเมิด ข้อมูลส่วนบุคคล ตามมาตรา ๓๗ (๑) และมาตรา ๓๗ (๔) หน้าที่ในการตอบสนองต่อคำขอ ใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๓๐ ถึงมาตรา ๓๖ หน้าที่ในการแต่งตั้ง เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ และหน้าที่ในการจัดให้มีระบบ การตรวจสอบ เพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลา การเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวม ข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูล ส่วนบุคคลได้ถอนความยินยอม ปรากฏรายละเอียดตามมาตรา ๓๗ (๓) เป็นต้น จึงเห็นได้ ว่า บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าวมุ่งประสงค์จะใช้บังคับแก่บุคคล ธรรมดาหรือนิติบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบ

หรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น โดยกำหนดหลักการที่สำคัญประการหนึ่งเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลว่าต้องมีฐานทางกฎหมายตามที่กำหนดในมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี และหากไม่มีฐานทางกฎหมายอื่นใดเพื่อใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องได้รับความยินยอมจากเจ้าของข้อมูล ส่วนบุคคลตามหลักเกณฑ์ในมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติดังกล่าว และได้กำหนดหน้าที่และความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลไว้ตั้งแต่ขั้นตอน การเก็บรวบรวมจนกระทั่งการลบหรือทำลายข้อมูลส่วนบุคคล ประกอบกับมาตรา ๔ (๑) แห่งพระราชบัญญัติดังกล่าวได้กำหนดข้อยกเว้นไม่ให้นำพระราชบัญญัตินี้ไปใช้บังคับ แก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูล ส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น

ดังนั้น จากกรณีดังกล่าว การกระทำของผู้ต้องหาซึ่งมีฐานะเป็นบุคคล ธรรมดา จะถือว่าเป็นการกระทำในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และจะมีความผิด ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ นั้น สถานีตำรวจ ๗ ต้องพิจารณาว่าการกระทำดังกล่าวของผู้ต้องหาเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลที่ผู้นั้นทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว ของบุคคลนั้นหรือไม่ หากพิจารณาแล้วเห็นว่า การกระทำของผู้ต้องหาดังกล่าว มีวัตถุประสงค์ในการดำเนินการเพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์ อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมไม่อยู่ในขอบเขต การบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๔ (๑) แต่อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความ เป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้นได้ เช่น พระราชบัญญัติว่าด้วยการกระทำ ความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม หรือประมวลกฎหมาย อาญาในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาทโดยการโฆษณา หรือการทำละเมิด ตามมาตรา ๔๒๐ แห่งประมวลกฎหมายแพ่งและพาณิชย์

๑๒๓

เรื่องที่ ๑๐.๙ สถานีตำรวจ D ขอหารือการโพสต์ภาพใบสำคัญการหย่า ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๔ (๑) มาตรา ๕ มาตรา ๖ มาตรา ๑๙ มาตรา ๒๐ มาตรา ๒๓
   มาตรา ๒๔ มาตรา ๒๖ มาตรา ๒๘ มาตรา ๓๓ มาตรา ๓๔ มาตรา ๓๕
   มาตรา ๓๖ มาตรา ๓๗ และมาตรา ๔๑

2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม

3. ประมวลกฎหมายอาญา
   มาตรา ๓๒๖ และมาตรา ๓๒๘

4. ประมวลกฎหมายแพ่งและพาณิชย์
   มาตรา ๔๒๐

ข้อหารือ

สถานีตำรวจ D แจ้งว่า มีผู้กล่าวหาผู้ใช้แอปพลิเคชัน TikTok เป็นผู้ต้องหา ในข้อหาตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยผู้ใช้ TikTok ดังกล่าว ได้โพสต์ภาพใบสำคัญการหย่าใน TikTok ที่มีชื่อและนามสกุลของผู้กล่าวหา ทำให้ได้รับความเสียหาย ซึ่งพนักงานสอบสวนสถานีตำรวจ D ได้รับคำร้องทุกข์ เป็นคดีอาญา ดังนั้น จึงขอหารือว่า การโพสต์ภาพใบสำคัญการหย่าใน TikTok ที่มีชื่อ และนามสกุลของผู้กล่าวหานั้นถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ และเป็นความผิดตามกฎหมายหรือไม่ มาตราใด ทางคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีมาตรการอย่างไร ผู้กล่าวหาถือเป็นเจ้าของ ข้อมูลส่วนบุคคลสามารถยื่นคำร้องเรียนไปยังคณะกรรมการฯ ได้หรือไม่ การกระทำ ดังกล่าวถือว่าเป็นการใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนโดยมิชอบ หรือไม่ อย่างไร ทั้งนี้ เพื่อนำความเห็นดังกล่าวไปประกอบการสอบสวนต่อไป

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐ เพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดา ซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรม

๑๒๕

โดยเฉพาะ ดังนั้น ภาพใบสำคัญการหย่าที่ปรากฏชื่อและนามสกุลของผู้กล่าวหา จึงถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ สำหรับการนำภาพใบสำคัญการหย่าที่ปรากฏชื่อและนามสกุลของผู้กล่าวหาไปโพสต์ในแอปพลิเคชัน TikTok จะอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมีความผิดตามพระราชบัญญัติดังกล่าวหรือไม่นั้น เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดไว้ในมาตรา ๕ วรรคหนึ่งว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร โดยมาตรา ๖ กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยการเป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว เมื่อพิจารณาจากบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ เช่น การกำหนดให้การเก็บรวบรวมข้อมูลส่วนบุคคลจะต้องมีฐานทางกฎหมายตามมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี หน้าที่ในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ ข้อกำหนดและเงื่อนไขเกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามมาตรา ๒๘ และมาตรา ๒๙ หน้าที่ในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และการแจ้งเหตุการณ์ละเมิดข้อมูลส่วนบุคคล ตามมาตรา ๓๗ (๑) และมาตรา ๓๗ (๔) หน้าที่ในการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๓๐ ถึงมาตรา ๓๖ หน้าที่ในการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ และหน้าที่ในการจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม ปรากฏรายละเอียดตามมาตรา ๓๗ (๓) เป็นต้น จึงเห็นได้ว่า บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าวมุ่งประสงค์จะใช้บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น โดยกำหนดหลักการที่สำคัญประการหนึ่งเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่าต้องมีฐานทางกฎหมายตามที่กำหนดในมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณีและหากไม่มีฐานทางกฎหมายอื่นใดเพื่อใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามหลักเกณฑ์ในมาตรา ๑๙ และมาตรา ๒๐ แห่งพระราชบัญญัติดังกล่าว และได้กำหนดหน้าที่และความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลไว้ตั้งแต่ขั้นตอนการเก็บรวบรวม

๑๓๐

จนกระทั่งการลบหรือทำลายข้อมูลส่วนบุคคล ประกอบกับมาตรา ๔ (๑) แห่งพระราชบัญญัติ ดังกล่าวได้กำหนดข้อยกเว้นไม่ให้นำพระราชบัญญัตินี้ไปใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น

ดังนั้น จากกรณีดังกล่าว การกระทำของผู้ต้องหาซึ่งมีฐานะเป็นบุคคลธรรมดา จะถือว่าเป็นการกระทำในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และจะมีความผิด ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ นั้น สถานีตำรวจ D ต้องพิจารณาว่าการกระทำดังกล่าวของผู้ต้องหาเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลที่ผู้นั้นทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว ของบุคคลนั้นหรือไม่ หากพิจารณาแล้วเห็นว่า การกระทำของผู้ต้องหาดังกล่าวมีวัตถุประสงค์ ในการดำเนินการเพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์ อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมไม่อยู่ในขอบเขต การบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๔ (๑) แต่อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความ เป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้นได้ เช่น พระราชบัญญัติว่าด้วยการกระทำ ความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม หรือประมวลกฎหมาย อาญาในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาทโดยการโฆษณา หรือการทำละเมิด ตามมาตรา ๔๒๐ แห่งประมวลกฎหมายแพ่งและพาณิชย์

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

The Office of the Personal Data Protection Committee

www.pdpc.or.th
saraban@pdpc.or.th