Knowledge Link — คลังความรู้กฎหมาย PDPA ไทย
ชุดข้อมูล: ข้อหารือคณะกรรมการ (PDPC) — คำตอบเชิงปฏิบัติ (69 โนด)
สร้างเมื่อ: 2026-08-10 · แหล่งทางการ: https://link.pdpalawbase.com (อัปเดตล่าสุดดูที่เว็บ)

กติกาเมื่อใช้ไฟล์นี้ตอบคำถาม:
- อ้าง "ชื่อโนด + ลิงก์อ้างอิง" (บรรทัด ลิงก์อ้างอิง:) ของทุกประเด็นที่ใช้
- ถ้าไม่พบคำตอบในคลัง ให้บอกว่าไม่พบ อย่าเดา อย่าแต่งเลขมาตรา
- เพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมาย

============================================================
โนด: ข้อหารือ 1/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/1-2566.md

# ข้อหารือที่ 1/2566 เรื่อง กรมโยธาธิการและผังเมือง ขอหารือแนวทางปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 23](https://link.pdpalawbase.com/section/23.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 9 (8), มาตรา 9 วรรคสอง, มาตรา 14 และมาตรา 15
3. พระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 — มาตรา 8 (2)
4. พระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. 2546 — มาตรา 44
5. ประกาศคณะกรรมการข้อมูลข่าวสารของราชการ เรื่อง กำหนดให้ประกาศเชิญชวนทั่วไป ประกาศผลผู้ชนะการจัดซื้อจัดจ้าง และสัญญาที่ได้มีการอนุมัติสั่งซื้อหรือสั่งจ้าง เป็นข้อมูลข่าวสารที่ต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ตามมาตรา 9 วรรคหนึ่ง (8) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540

## ข้อหารือ

กรมโยธาธิการและผังเมือง (ยผ.) ขอหารือแนวทางปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรณีการเปิดเผยข้อมูลสัญญาก่อสร้างที่ ยผ. เป็นผู้ว่าจ้างเอกชนแห่งหนึ่งให้แก่ผู้ร้องขอว่า สามารถเปิดเผยได้หรือไม่ อย่างไร และจำเป็นต้องจัดหาข้อมูลให้ทั้งหมดทุกสัญญา ทุกช่วงเวลา ตามที่ร้องขอหรือไม่ และ ยผ. ได้มีหนังสือหารือกรณีดังกล่าวไปยังคณะกรรมการข้อมูลข่าวสารของราชการ ซึ่งได้รับการแจ้งตอบข้อหารือดังกล่าวแล้ว

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือของ ยผ. และเอกสารที่เกี่ยวข้องแล้ว เห็นว่า กรณีการขอคัดถ่ายสำเนาสัญญาก่อสร้างที่ ยผ. เป็นผู้ว่าจ้างให้เอกชนรายหนึ่งดำเนินการ เป็นการใช้สิทธิขอข้อมูลข่าวสารของราชการตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ โดยคณะอนุกรรมการตอบข้อหารือตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการได้มีหนังสือตอบข้อหารือดังกล่าวแล้วว่า ตามมาตรา 44 แห่งพระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. 2546 กำหนดว่า ส่วนราชการต้องจัดให้มีการเปิดเผยข้อมูลเกี่ยวกับสัญญาใด ๆ ที่ได้มีการอนุมัติให้จัดซื้อหรือจัดจ้างแล้ว ให้ประชาชนสามารถขอดูหรือตรวจสอบได้ และหากเป็นสัญญาที่เกิดขึ้นภายหลังจากพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 มีผลใช้บังคับแล้ว นอกจากหน่วยงานของรัฐจะมีหน้าที่ต้องเปิดเผยตามพระราชกฤษฎีกาดังกล่าวแล้ว สัญญาตามข้อหารือยังเป็นข้อมูลข่าวสารที่ต้องเปิดเผยตามมาตรา 8 (2) แห่งพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 ซึ่งมีหลักการว่า ให้การจัดซื้อจัดจ้างและการบริหารพัสดุของหน่วยงานภาครัฐต้องกระทำโดยโปร่งใสและเปิดเผยข้อมูลในทุกขั้นตอน ประกอบกับยังเป็นข้อมูลข่าวสารที่หน่วยงานของรัฐต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ตามมาตรา 9 (8) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ตามประกาศคณะกรรมการข้อมูลข่าวสารของราชการ เรื่อง กำหนดให้ประกาศเชิญชวนทั่วไป ประกาศผลผู้ชนะการจัดซื้อจัดจ้าง และสัญญาที่ได้มีการอนุมัติสั่งซื้อหรือสั่งจ้าง เป็นข้อมูลข่าวสารที่ต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ตามมาตรา 9 วรรคหนึ่ง (8) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 อีกด้วย ดังนั้น ยผ. จึงมีหน้าที่ดำเนินการให้เป็นไปตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการดังกล่าว

อย่างไรก็ดี แม้กรณีตามที่หารือจะเป็นข้อมูลข่าวสารที่หน่วยงานของรัฐต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ดังกล่าว แต่หากมีข้อมูลข่าวสารส่วนใดที่ต้องห้ามมิให้เปิดเผยตามมาตรา 14 หรือมาตรา 15 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 อยู่ด้วย ก็ให้หน่วยงานของรัฐลบหรือตัดทอน หรือทำโดยประการอื่นใดที่ไม่เป็นการเปิดเผยข้อมูลข่าวสารส่วนนั้น ตามมาตรา 9 วรรคสอง ซึ่งมาตรา 15 วรรคสองกำหนดว่าผู้ขออาจอุทธรณ์คำสั่งมิให้เปิดเผยข้อมูลข่าวสารของราชการได้ โดยการพิจารณาไม่เปิดเผยข้อมูลข่าวสารดังกล่าว ย่อมรวมถึงกรณีที่เป็นข้อมูลข่าวสารส่วนบุคคลด้วย ยผ. จึงสามารถลบหรือตัดทอนหรือไม่เปิดเผยข้อมูลข่าวสารตามที่มีผู้ร้องขอในส่วนที่มีข้อมูลข่าวสารส่วนบุคคลซึ่งการเปิดเผยจะเป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควรได้

นอกจากนี้ ยผ. มีหน้าที่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในส่วนที่เกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลด้วย ซึ่งรวมถึงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) และการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ตลอดจนหน้าที่อื่นตามที่กำหนดในพระราชบัญญัติดังกล่าว

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-1-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-01.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/1-2566.md

============================================================
โนด: ข้อหารือ 1/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/1-2567.md

# ข้อหารือที่ 1/2567 เรื่อง สำนักงาน ป.ป.ช. ขอให้ตีความและวินิจฉัยชี้ขาดปัญหาการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5), [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม, [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 41](https://link.pdpalawbase.com/section/41.md) และ [มาตรา 93](https://link.pdpalawbase.com/section/93.md)
2. พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต พ.ศ. 2561 — มาตรา 28
3. พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับ PDPA พ.ศ. 2563 (สิ้นผลใช้บังคับแล้ว)
4. พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับ PDPA (ฉบับที่ 2) พ.ศ. 2564 (สิ้นผลใช้บังคับแล้ว)

## ข้อหารือ

สำนักงาน ป.ป.ช. ขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตีความและวินิจฉัยชี้ขาดปัญหาการบังคับใช้ PDPA 9 ประเด็น:

1. "การดำเนินงานตามกระบวนการยุติธรรมทางอาญา" รวมถึงการลงโทษทางวินัยด้วยหรือไม่
2. ภารกิจ คกก. ป.ป.ช. ตามมาตรา 28 พ.ร.บ.ประกอบรัฐธรรมนูญ ป.ป.ช. = กระบวนการยุติธรรมทางอาญาตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) หรือไม่
3. ถ้า คกก. ป.ป.ช. ไม่ต้องปฏิบัติ PDPA · สำนักงาน ป.ป.ช. (งานธุรการ) ได้รับยกเว้นด้วยหรือไม่
4. ถ้าสำนักงาน ป.ป.ช. ต้องปฏิบัติตาม PDPA ต้องกำหนดผู้ควบคุม/ผู้ประมวลผล/DPO อย่างไร
5. ต้องกำหนดนโยบายคุ้มครองข้อมูลกับข้อมูลที่ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) หรือไม่
6. ข้อมูลส่วนบุคคลทุกข้อมูลของหน่วยงานรัฐ + ข้อมูลที่ยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) ต้องมีฐาน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือไม่
7. ขอให้สำนักงาน คคส. เผยแพร่นโยบายคุ้มครองข้อมูลเป็นแนวทาง
8. มี พ.ร.ฎ. ยกเว้น PDPA แก่ผู้ควบคุมข้อมูลหรือไม่
9. ขอสำเนารายงานคณะกรรมาธิการวิสามัญร่าง PDPA

## ความเห็น

**ข้อ 1** การดำเนินงานตามกระบวนการยุติธรรมทางอาญา = การดำเนินงานของเจ้าหน้าที่เพื่อกำหนดโทษที่จะลงแก่ผู้กระทำความผิดตาม**ประมวลกฎหมายอาญา** · กรณีเก็บ/ใช้/เปิดเผยข้อมูลเพื่อกระบวนการที่นำไปสู่การลงโทษอาญา = ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) — ไม่ต้องปฏิบัติ PDPA แต่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม · **กรณีโทษทางวินัยที่ไม่เกี่ยวเนื่องกับการกระทำผิดทางอาญา ไม่ถือเป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา จึงไม่ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) — ต้องปฏิบัติตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md)**

**ข้อ 2** หากภารกิจใดของ คกก. ป.ป.ช. ตามมาตรา 28 พ.ร.บ. ประกอบรัฐธรรมนูญ ป.ป.ช. เป็นการใช้อำนาจในการสอบสวนเช่นเดียวกับพนักงานสอบสวนตาม ป.วิ.อ. เพื่อกำหนดโทษอาญา = ดำเนินงานตามกระบวนการยุติธรรมทางอาญา ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) · การดำเนินการอื่นๆ ที่มิใช่กระบวนการยุติธรรมทางอาญา = ต้องปฏิบัติตาม PDPA

**ข้อ 3** กรณีสำนักงาน ป.ป.ช. ใช้หน้าที่และอำนาจเพื่อดำเนินงานตามกระบวนการยุติธรรมทางอาญา = ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) แต่ต้องปฏิบัติตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม · กรณีงานธุรการอื่น = ต้องปฏิบัติตาม PDPA

**ข้อ 4** [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดให้บุคคลหรือนิติบุคคลซึ่งมีอำนาจตัดสินใจ = ผู้ควบคุม · บุคคลที่ดำเนินการตามคำสั่งหรือในนามของผู้ควบคุม = ผู้ประมวลผล · ดังนั้น สำนักงาน ป.ป.ช. (นิติบุคคล) ที่เก็บ/ใช้/เปิดเผยข้อมูลในหน้าที่ของตน = ผู้ควบคุมข้อมูลโดยตัวเอง โดยไม่ต้องกำหนดบุคคลใดอีก

[มาตรา 41](https://link.pdpalawbase.com/section/41.md) กำหนดกรณีต้องมี DPO รวมถึงเมื่อกิจกรรมหลักเป็นการเก็บข้อมูลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (เช่น ประวัติอาชญากรรม) · สำนักงาน ป.ป.ช. ต้องจัดให้มี DPO โดยคำนึงถึงความรู้ความเชี่ยวชาญและไม่ขัดกับการปฏิบัติหน้าที่

**ข้อ 5** กรณีข้อมูลที่ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) = ไม่ต้องแจ้ง privacy notice ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แต่ต้องรักษาความมั่นคงปลอดภัยตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม · ข้อมูลอื่นที่ไม่ยกเว้น = ต้องแจ้ง privacy notice · สำหรับ privacy policy (นโยบายภายในองค์กร) PDPA ไม่กำหนดให้ต้องจัดทำ แต่ถือเป็นมาตรการเชิงองค์กรที่ผู้ควบคุมข้อมูลควรพิจารณาจัดทำ

**ข้อ 6** การเก็บข้อมูลส่วนบุคคลต้องขอความยินยอม หรือมีฐานตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ/หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) เว้นแต่เป็นการดำเนินงานตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) · ดังนั้น สำนักงาน ป.ป.ช. เก็บข้อมูลเพื่อการอื่นที่ไม่ใช่ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) = ต้องปฏิบัติตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) / [มาตรา 26](https://link.pdpalawbase.com/section/26.md) · กรณี [มาตรา 4](https://link.pdpalawbase.com/section/4.md) = มีอำนาจตามกฎหมาย ไม่ต้องขอความยินยอม ไม่ต้องมีฐานทางกฎหมาย แต่ต้องรักษาความมั่นคงปลอดภัย

**ข้อ 7** ปัจจุบัน (กันยายน 2565) สำนักงานปลัดกระทรวงดิจิทัลฯ ทำหน้าที่ สำนักงาน คคส. ชั่วคราวเพื่อจัดตั้งสำนักงาน คคส. ตาม [มาตรา 93](https://link.pdpalawbase.com/section/93.md) · เผยแพร่นโยบายการคุ้มครองข้อมูลทาง https://www.mdes.go.th/mission/82

**ข้อ 8** ปัจจุบัน (กันยายน 2565) ยังไม่มี พ.ร.ฎ. ยกเว้น PDPA ที่ใช้บังคับ · พ.ร.ฎ. กำหนดหน่วยงานและกิจการฯ พ.ศ. 2563 และ (ฉบับที่ 2) พ.ศ. 2564 ได้สิ้นผลใช้บังคับแล้ว · ร่างใหม่อยู่ระหว่างการตรวจพิจารณาของสำนักงานคณะกรรมการกฤษฎีกา

**ข้อ 9** จะจัดส่งทางระบบอิเล็กทรอนิกส์

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-1-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/04/PDPC-consultation-30.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/1-2567.md

============================================================
โนด: ข้อหารือ 1/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/1-2568.md

# ข้อหารือที่ 1/2568 เรื่อง สำนักงานคณะกรรมการการเลือกตั้งขอหารือการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560
มาตรา 36 มาตรา 50 และมาตรา 51
3. พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการเลือกตั้งสมาชิกสภาผู้แทนราษฎร
พ.ศ. 2561
มาตรา 31 และมาตรา 32
4. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534
มาตรา 7 วรรคสาม
5. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562
มาตรา 4 มาตรา 13 มาตรา 14 และมาตรา 16
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง
ปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565
ข้อ 4 (5)

## ข้อหารือ

สำนักงานคณะกรรมการการเลือกตั้ง (สำนักงาน กกต.) ขอหารือกรณีการจัดทำทะเบียน
รายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน ตามบทบัญญัติมาตรา 36 แห่งพระราชบัญญัติประกอบ
รัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560 ที่บัญญัติให้คณะกรรมการการเลือกตั้งจัดให้มี
การทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้านตามกฎหมายว่าด้วยการทะเบียนราษฎร
และเผยแพร่ให้ประชาชนทราบ รวมทั้งให้ผู้มีส่วนได้เสียมีสิทธิตรวจสอบและขอแก้ไขให้ถูกต้องได้ โดยอาจขอ
เชื่อมโยงฐานข้อมูลทะเบียนราษฎรเพื่อนำมาดำเนินการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งหรืออาจ
มอบหมายให้นายทะเบียนตามกฎหมายว่าด้วยการทะเบียนราษฎรหรือบุคคลอื่นที่เห็นสมควรเป็นผู้จัดทำแทน
ได้ ตามหลักเกณฑ์และวิธีการที่คณะกรรมการการเลือกตั้งกำหนด โดยในการออกแบบร่างทะเบียนรายชื่อ
ผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน สำนักงาน กกต. ได้ศึกษาข้อมูลเกี่ยวกับทะเบียนรายชื่อผู้มีสิทธิ
เลือกตั้งของต่างประเทศ รวมทั้งได้ประชุมร่วมกับสำนักบริหารการทะเบียน กรมการปกครอง และได้จัดทำ
โครงสร้างร่างทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน ทั้งนี้ เพื่อให้หลักเกณฑ์และวิธีการ
เกี่ยวกับการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้านมีความสอดคล้องและไม่ขัดกับ
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำนักงานคณะกรรมการการเลือกตั้งจึงขอหารือว่า
การดำเนินการตามสาระสำคัญและโครงสร้างร่างทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน
ดังกล่าวข้างต้น มีส่วนใดไม่เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ตลอดจนระเบียบ
ประกาศ และแนวทางที่เกี่ยวข้องหรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วย
การคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าวแล้ว
เห็นว่า สำนักงาน กกต. มีฐานะเป็นนิติบุคคลตามมาตรา 50 แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วย
คณะกรรมการการเลือกตั้ง พ.ศ. 2560 และกรมการปกครองมีฐานะเป็นนิติบุคคลตามมาตรา 7 วรรคสาม
แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 ซึ่งทั้งสองหน่วยงานมีอำนาจหน้าที่ตัดสินใจ
เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล
ตามบทนิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การที่มาตรา 36
แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560 กำหนดให้
คณะกรรมการการเลือกตั้งจัดให้มีการทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน
ตามกฎหมายว่าด้วยการทะเบียนราษฎรและเผยแพร่ให้ประชาชนทราบ โดยในการดำเนินการดังกล่าว
คณะกรรมการการเลือกตั้งอาจขอเชื่อมโยงฐานข้อมูลทะเบียนราษฎรจากสำนักบริหารการทะเบียน
กรมการปกครอง เพื่อนำมาดำเนินการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้ง สำนักงาน กกต. ซึ่งมีหน้าที่
และอำนาจรับผิดชอบงานธุรการ และดำเนินการเพื่อให้คณะกรรมการบรรลุภารกิจและหน้าที่ตามที่กำหนด
ตามมาตรา 51 แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560
จึงมีหน้าที่ตามกฎหมายในการดำเนินการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์
ในการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้านและเผยแพร่ให้ประชาชนทราบ
ซึ่งถือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ และเป็นการปฏิบัติ
ตามกฎหมายของสำนักงาน กกต. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
นอกจากนี้ พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล
พ.ศ. 2562 มาตรา 4 มาตรา 13 มาตรา 14 และมาตรา 16 กำหนดว่า เพื่อให้การบริหารงานภาครัฐ
และการจัดทำบริการสาธารณะเป็นไปด้วยความสะดวกรวดเร็ว มีประสิทธิภาพ และตอบสนองต่อการให้บริการ
และการอำนวยความสะดวกแก่ประชาชน ให้หน่วยงานของรัฐจัดให้มีการบริหารงานและการจัดทำบริการ
สาธารณะในรูปแบบและช่องทางดิจิทัล โดยมีการบริหารจัดการและการบูรณาการข้อมูลภาครัฐและการทำงาน
ให้มีความสอดคล้องกันและเชื่อมโยงเข้าด้วยกันอย่างมั่นคงปลอดภัยและมีธรรมาภิบาล โดยให้หน่วยงานของรัฐ
จัดให้มีการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่มีการจัดทำและครอบครองตามที่หน่วยงานของรัฐแห่งอื่น
ร้องขอ ที่จะเกิดการบูรณาการร่วมกัน ซึ่งหน่วยงานของรัฐผู้รับข้อมูลดิจิทัลต้องใช้ข้อมูลดังกล่าว
ตามวัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษาข้อมูลให้มีความมั่นคงปลอดภัย
ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล และภายใต้บทบัญญัติแห่งกฎหมายว่าด้วย
การคุ้มครองข้อมูลส่วนบุคคล ในกรณีที่หน่วยงานของรัฐได้มาซึ่งข้อมูลส่วนบุคคลหรือมีข้อมูลส่วนบุคคลอยู่ใน
ความครอบครอง หากหน่วยงานของรัฐประสงค์จะใช้ข้อมูลส่วนบุคคลดังกล่าวในรูปแบบข้อมูลดิจิทัล
เพื่อประโยชน์ในการบริหารราชการแผ่นดิน หน่วยงานของรัฐนั้นสามารถขอเชื่อมโยงและแลกเปลี่ยนข้อมูล
ส่วนบุคคลนั้นจากหน่วยงานของรัฐที่ครอบครองเพื่อนำมาวิเคราะห์หรือประมวลผลได้
ด้วยเหตุนี้ หากการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลระหว่างสำนักงาน กกต. และสำนัก
บริหารการทะเบียน กรมการปกครอง เป็นไปเพื่อการบริหารงานภาครัฐและการจัดทำบริการสาธารณะ
และอยู่ภายใต้วัตถุประสงค์ในหน้าที่และอำนาจของตน และมีการดูแลรักษาข้อมูลให้มีความมั่นคงปลอดภัย
ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล และปฏิบัติให้เป็นไปตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องมีฐานทางกฎหมายในการเก็บ
รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กำหนดไว้ใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำนักงาน กกต. ก็สามารถเก็บรวบรวม ใช้
หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และมาตรา 36 แห่งพระราชบัญญัติประกอบ
รัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560 ในขณะที่กรมการปกครองย่อมสามารถเปิดเผย
ข้อมูลส่วนบุคคลดังกล่าวให้แก่สำนักงาน กกต. ได้ ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ทั้งนี้ ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลดังกล่าว สำนักงาน กกต.
และสำนักบริหารการทะเบียน กรมการปกครองต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
ตามที่กำหนดใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศคณะกรรมการคุ้มครอง
ข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 โดยข้อ
4 (5) กำหนดให้คำนึงถึงหลักการป้องกันเชิงลึก (defense in depth) ที่ควรประกอบด้วยมาตรการป้องกัน
หลายชั้น (multiple layers of security controls) เพื่อลดความเสี่ยงในการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง
แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ในกรณีที่มาตรการบางมาตรการ
มีข้อจำกัดในการป้องกันความมั่นคงปลอดภัยในบางสถานการณ์ ดังนั้น สำนักงาน กกต. จึงควรพิจารณาจัดให้
มีมาตรการรักษาความมั่นคงปลอดภัยสำหรับการเข้าถึงข้อมูลส่วนบุคคลของผู้มีสิทธิเลือกตั้งดังกล่าวโดยมี
รูปแบบการพิสูจน์และยืนยันตัวตน (identity proofing and authentication) ที่เหมาะสมตามระดับความ
เสี่ยง ทั้งนี้ สำนักงาน กกต. อาจพิจารณาดำเนินการตามมาตรฐานธุรกรรมทางอิเล็กทรอนิกส์ การพิสูจน์
และยืนยันตัวตนทางดิจิทัล - เล่ม 3: ข้อกำหนดของการยืนยันตัวตน (มธอ. 11 เล่ม 3-2566) ของสำนักงาน
พัฒนาธุรกรรมทางอิเล็กทรอนิกส์ กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เพื่อการรักษาความมั่นคงปลอดภัย
ของข้อมูลส่วนบุคคลของผู้มีสิทธิเลือกตั้งในฐานะเจ้าของข้อมูลส่วนบุคคล
นอกจากนี้ ในการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้ง สำนักงาน กกต. ควรพิจารณา
เก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยพิจารณาจากคุณสมบัติของผู้มีสิทธิเลือกตั้ง
เช่น คุณสมบัติของผู้มีสิทธิเลือกตั้งสมาชิกสภาผู้แทนราษฎร ตามมาตรา 31 และลักษณะของบุคคล
ต้องห้ามมิให้ใช้สิทธิเลือกตั้ง ตามมาตรา 32 แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการเลือกตั้ง
สมาชิกสภาผู้แทนราษฎร พ.ศ. 2561 เป็นสำคัญ เพื่อให้สามารถตรวจสอบคุณสมบัติและลักษณะต้องห้าม
ในการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งในการเลือกตั้งแต่ละรูปแบบหรือประเภทได้อย่างถูกต้อง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-1-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/07/PDPC-consultation-50.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/1-2568.md

============================================================
โนด: ข้อหารือ 1/2569
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/1-2569.md

# ข้อหารือที่ 1/2569 เรื่อง กรมการขนส่งทางบกขอหารือเกี่ยวกับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคหนึ่งและวรรคสอง (2) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (1) และ (4) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) (5) และ (6) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) และ (5) (จ) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4
3. พระราชบัญญัติการขนส่งทางบก พ.ศ. 2522 และที่แก้ไขเพิ่มเติม
4. พระราชบัญญัติรถยนต์ พ.ศ. 2522 และที่แก้ไขเพิ่มเติม
5. ประมวลกฎหมายวิธีพิจารณาความอาญา
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## ข้อหารือ

กรมการขนส่งทางบก (ขบ.) แจ้งว่า กรมการขนส่งทางบกมีภารกิจเกี่ยวกับการดำเนินการตามพระราชบัญญัติการขนส่งทางบก พ.ศ. 2522 และพระราชบัญญัติรถยนต์ พ.ศ. 2522 และที่แก้ไขเพิ่มเติม ซึ่งรวมถึงหน้าที่ในการควบคุม กำกับ ดูแลรถและการใช้รถ โดยมีอำนาจหน้าที่ในด้านต่าง ๆ เช่น การจดทะเบียนรถ การออกใบอนุญาตขับรถ และการดำเนินงานตามภารกิจดังกล่าวมีการจัดเก็บข้อมูลส่วนบุคคลเกี่ยวกับทะเบียนและภาษีรถ ที่อยู่ในความครอบครองของกรมการขนส่งทางบก เช่น ชื่อเจ้าของกรรมสิทธิ์ ชื่อผู้ครอบครองรถ หมายเลขทะเบียน รายละเอียดเกี่ยวกับเลขตัวรถ หรือเลขเครื่องยนต์ เป็นต้น เพื่อประโยชน์ในการควบคุมและจัดระเบียบการใช้รถ รวมทั้งเพื่อประโยชน์ในการจัดเก็บภาษีรถตามกฎหมายทั้งสองฉบับดังกล่าว

โดยปัจจุบันมีหน่วยงานต่าง ๆ ที่อยู่ในกระบวนการยุติธรรมต้องใช้ข้อมูลดังกล่าวเพื่อประโยชน์ในการสืบสวนสอบสวน รวบรวมพยานหลักฐาน หรือเพื่อประโยชน์ในการฟ้องคดี รวมถึงทนายความต้องการข้อมูลดังกล่าวประกอบการฟ้องดำเนินคดีทั้งทางแพ่งและทางอาญาและสืบทรัพย์เพื่อบังคับคดีตามคำพิพากษาของศาล แต่แนวทางปฏิบัติในการเปิดเผยข้อมูลส่วนบุคคลที่อยู่ในความควบคุมดูแลของกรมการขนส่งทางบกยังไม่เป็นไปในแนวทางเดียวกัน กรมการขนส่งทางบก ในฐานะที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลของประชาชนตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงมีประเด็นที่จะขอหารือตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกำหนดว่า พระราชบัญญัตินี้ไม่ใช้บังคับแก่การพิจารณาคดีของศาล และการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา ดังนี้

1. กรณีทนายความหรือผู้เสียหายขอทราบข้อมูลผู้ถือกรรมสิทธิ์ ผู้ครอบครองรถยนต์ หรือข้อมูลอื่นที่อยู่ในความครอบครองของกรมการขนส่งทางบก เพื่อเตรียมยื่นฟ้องดำเนินคดีแพ่ง คดีอาญา หรือคดีปกครองกับผู้ถือกรรมสิทธิ์ ผู้ครอบครองรถยนต์ หรือบุคคลอื่น เช่น ฟ้องเกี่ยวกับมรดก การแย่งกรรมสิทธิ์ การขอให้ชดใช้ค่าสินไหมทดแทนกรณีละเมิด การฟ้องคดีเกี่ยวกับการฉ้อโกง การทำให้เสียทรัพย์ เป็นต้น โดยไม่มีเอกสารหลักฐานจากศาล พนักงานอัยการ หรือหน่วยงานอื่นที่มีอำนาจ เจ้าหน้าที่กรมการขนส่งทางบกสามารถให้ข้อมูลได้หรือไม่ เพียงใด และต้องเรียกให้ทนายความหรือผู้เสียหายนำส่งเอกสารหลักฐานใดประกอบการขอข้อมูล

2. กรณีทนายความหรือเจ้าหนี้ตามคำพิพากษาขอทราบข้อมูลผู้ถือกรรมสิทธิ์หรือผู้ครอบครองรถยนต์ เพื่อจะดำเนินการบังคับคดีกับผู้ถือกรรมสิทธิ์หรือผู้ครอบครองรถยนต์ตามคำพิพากษาของศาลในคดีแพ่ง คดีอาญา หรือคดีปกครอง เจ้าหน้าที่กรมการขนส่งทางบกสามารถให้ข้อมูลได้หรือไม่ เพียงใด และต้องเรียกให้นำส่งเอกสารหลักฐานใดประกอบการขอข้อมูล

3. การเปิดเผยข้อมูลทะเบียนรถให้แก่เจ้าหน้าที่หรือหน่วยงานของรัฐในกระบวนการยุติธรรม เช่น การเปิดเผยข้อมูลให้แก่พนักงานสอบสวนเพื่อประกอบการสืบสวนสอบสวนคดีอาญาตามประมวลกฎหมายวิธีพิจารณาความอาญา กรมสรรพากรเพื่อสืบหาหลักทรัพย์ประกอบการยึดอายัดทรัพย์สินเพื่อชดใช้ภาษีอากรที่ค้างชำระ ส่วนราชการหรือหน่วยงานของรัฐเพื่อประกอบการบังคับตามคำสั่งทางปกครองให้ชดใช้ค่าสินไหมทดแทนจากผู้กระทำละเมิด หรือเพื่อประโยชน์ในการฟ้องคดี เจ้าหน้าที่กรมการขนส่งทางบกสามารถให้ข้อมูลได้หรือไม่ เพียงใด และเจ้าหน้าที่หรือหน่วยงานของรัฐดังกล่าวจะต้องอ้างฐานอำนาจตามกฎหมายในการขอข้อมูลหรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็นว่า กรมการขนส่งทางบกมีฐานะเป็นหน่วยงานของรัฐตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ข้อมูลข่าวสาร (รวมถึงข้อมูลข่าวสารส่วนบุคคล) ที่อยู่ในความครอบครองหรือควบคุมดูแลของกรมการขนส่งทางบก จึงถือเป็นข้อมูลข่าวสารของราชการตามนัยมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ในขณะเดียวกัน กรมการขนส่งทางบกก็มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่ง [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้บัญญัติหลักการไว้ว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม (2) ฯลฯ ดังนั้น ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล กรมการขนส่งทางบกจะต้องพิจารณาตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ซึ่งเป็นกฎหมายที่ได้บัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลสำหรับหน่วยงานของรัฐไว้โดยเฉพาะก่อน แล้วจึงพิจารณาตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม ทั้งนี้ ตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

สำหรับประเด็นข้อหารือเกี่ยวกับ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นั้น เห็นว่า กรณีที่ได้รับยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) จะต้องเป็นการพิจารณาพิพากษาของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา ทั้งนี้ กระบวนการยุติธรรมทางอาญาครอบคลุมตั้งแต่กระบวนการเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา การพิจารณาความผิดอาญา และการลงโทษผู้กระทำความผิดอาญา แต่จะต้องเป็นการดำเนินงานของเจ้าหน้าที่ที่เกี่ยวข้องในกระบวนการยุติธรรมทางอาญาเท่านั้น แต่การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลโดยทนายความ และ/หรือผู้เสียหาย เพื่อรวบรวมพยานหลักฐาน ซึ่งเป็นกระบวนการก่อนการฟ้องคดีและการพิจารณาพิพากษาคดี และไม่ได้เป็นการดำเนินงานโดยเจ้าหน้าที่ที่เกี่ยวข้องในกระบวนการพิจารณาคดี การบังคับคดี การวางทรัพย์ หรือกระบวนการยุติธรรมทางอาญา ไม่เข้าลักษณะตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) ดังนั้น ในกรณีที่ทนายความหรือผู้เสียหายขอทราบข้อมูลส่วนบุคคลเพื่อเตรียมการยื่นฟ้องดำเนินคดีแพ่ง คดีอาญา หรือคดีปกครอง รวมถึงการบังคับคดี ก็จะไม่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ โดยสามารถเทียบเคียงแนวทางการตอบข้อหารือได้ตามสรุปการตอบข้อหารือที่ 9/2566 เรื่อง บริษัท ญ ขอหารือเรื่อง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 4 (5)

ประเด็นข้อหารือที่ 1 และ 2 สำหรับการพิจารณาเปิดเผยข้อมูลส่วนบุคคลให้ทนายความ ผู้เสียหาย หรือเจ้าหนี้ตามคำพิพากษาให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นั้น กรมการขนส่งทางบกอาจพิจารณาดำเนินการให้สอดคล้องกับ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กล่าวคือ การเปิดเผยดังกล่าวเป็นกรณีที่เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งในกรณีนี้หมายความรวมถึงประโยชน์ของบุคคลที่ข้อมูลส่วนบุคคลอาจถูกเปิดเผยให้ทราบด้วย ดังนั้น [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง จึงอาจใช้เป็นฐานทางกฎหมายสำหรับการเปิดเผยข้อมูลส่วนบุคคลของหน่วยงานของรัฐโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ ในกรณีที่การเปิดเผยดังกล่าวไม่ใช่การดำเนินการที่เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของหน่วยงานนั้น ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และไม่ใช่กรณีที่เป็นการปฏิบัติตามกฎหมายของหน่วยงานของรัฐดังกล่าวในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

อย่างไรก็ตาม บทบัญญัติตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ไม่ได้ก่อให้เกิดหน้าที่โดยตรงต่อกรมการขนส่งทางบกที่จะต้องเปิดเผยข้อมูลส่วนบุคคลให้กับบุคคลหรือหน่วยงานที่ร้องขอเสมอไป แต่เป็นการกำหนดหลักการของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้มีความชอบธรรมตามเงื่อนไขที่กฎหมายกำหนดเท่านั้น โดยการพิจารณาว่าการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ดังกล่าวถือเป็นประโยชน์โดยชอบด้วยกฎหมาย (legitimate interests) ของบุคคลหรือนิติบุคคลใดหรือไม่ จำเป็นต้องได้รับการประเมินอย่างรอบคอบ รวมถึงการพิจารณาว่าเจ้าของข้อมูลส่วนบุคคลสามารถคาดหวังได้อย่างสมเหตุสมผลหรือไม่ ณ เวลาและบริบทของการเก็บรวบรวมข้อมูลส่วนบุคคลว่าอาจมีการใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเพื่อวัตถุประสงค์นั้น ทั้งนี้ มีข้อสังเกตว่า การก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย (legal claims) ของบุคคลหรือนิติบุคคลใด ย่อมถือเป็นประโยชน์โดยชอบด้วยกฎหมายของบุคคลหรือนิติบุคคลนั้นเช่นเดียวกัน ซึ่งสอดคล้องกับหน้าที่ของรัฐในการส่งเสริมและสนับสนุนให้ประชาชนเข้าถึงกระบวนการยุติธรรมได้โดยสะดวกและรวดเร็ว

นอกจากนี้ หากกรมการขนส่งทางบกมีความจำเป็นต้องเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ เพื่อวัตถุประสงค์ข้างต้น การเปิดเผยดังกล่าวก็อาจดำเนินการได้ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล

ทั้งนี้ กรมการขนส่งทางบกจะต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เว้นแต่จะเป็นกรณีที่บทบัญญัติแห่งพระราชบัญญัติดังกล่าวหรือกฎหมายอื่นบัญญัติให้กระทำได้ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง (2) ดังนั้น กรมการขนส่งทางบกอาจพิจารณาว่ากรณีใดบ้างที่เห็นว่าสามารถเปิดเผยข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการเตรียมยื่นฟ้องดำเนินคดีแพ่ง คดีอาญา หรือคดีปกครอง รวมถึงการบังคับคดี โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ได้ ซึ่งถือเป็นกรณีที่พระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้โดยไม่ต้องแจ้งวัตถุประสงค์ใหม่ให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอมก่อนเปิดเผย ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง (2)

อย่างไรก็ดี ในการพิจารณาปรับใช้ฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ดังกล่าว กรมการขนส่งทางบกจะต้องพิสูจน์ให้ได้ว่า ประโยชน์โดยชอบด้วยกฎหมายจากการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ซึ่งกรมการขนส่งทางบกอาจพิจารณาการประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) จากหลักเกณฑ์ 3 ประการ ดังนี้

ประการที่หนึ่ง การทดสอบวัตถุประสงค์ (Purpose Test) เป็นการพิจารณาเหตุผลและประโยชน์ที่จะได้รับจากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ว่ามีความชอบด้วยกฎหมายหรือไม่ อย่างไร

ประการที่สอง การทดสอบความจำเป็น (Necessity Test) เป็นการพิจารณาว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวมีความจำเป็นมากน้อยเพียงใดเพื่อให้บรรลุวัตถุประสงค์อันชอบด้วยกฎหมายนั้น และสามารถดำเนินการด้วยวิธีการอื่นที่จะส่งผลกระทบต่อสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลน้อยกว่าได้หรือไม่ เพียงใด

ประการที่สาม การทดสอบความสมดุลแห่งสิทธิ (Balancing Test) เป็นการพิจารณาชั่งน้ำหนักระหว่างประโยชน์โดยชอบด้วยกฎหมายดังกล่าว กับสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ซึ่งจะต้องไม่กระทบต่อสิทธิและเสรีภาพ โดยเฉพาะสิทธิในความเป็นส่วนตัว (Right to Privacy) ของเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้องเกินสมควร โดยเฉพาะอย่างยิ่ง ในกรณีที่เจ้าของกรรมสิทธิ์หรือผู้ครอบครองรถยนต์ หรือผู้ที่เกี่ยวข้องกับคดีเป็นผู้เยาว์ อาจจำเป็นต้องใช้ความระมัดระวังเป็นพิเศษ และจะต้องเปิดเผยข้อมูลเพียงเท่าที่จำเป็นเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวเท่านั้น

ประเด็นข้อหารือที่ 3 สามารถพิจารณาโดยจำแนกได้เป็นสองกรณี ดังนี้

กรณีที่ 1 การเปิดเผยข้อมูลส่วนบุคคลให้แก่เจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐที่มีหน้าที่และอำนาจตามกฎหมายในการขอข้อมูลดังกล่าวโดยตรง เช่น พนักงานสอบสวนเพื่อประโยชน์ในการสืบสวนสอบสวนและรวบรวมพยานหลักฐานตามบทบัญญัติแห่งประมวลกฎหมายวิธีพิจารณาความอาญาหรือกฎหมายอื่น เห็นว่า หากการขอข้อมูลส่วนบุคคลของเจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐดังกล่าวเป็นกรณีที่มีหน้าที่และอำนาจตามกฎหมาย ซึ่งกรมการขนส่งทางบกมีหน้าที่ตามกฎหมายในการให้ข้อมูล การเปิดเผยข้อมูลดังกล่าวก็จะถือเป็นการปฏิบัติตามกฎหมายของกรมการขนส่งทางบกในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ กรมการขนส่งทางบกอาจพิจารณาร้องขอข้อมูลเพิ่มเติมเกี่ยวกับหน้าที่และอำนาจตามกฎหมายในการขอข้อมูลดังกล่าวได้ ตามความจำเป็นและเหมาะสม เพื่อความชัดเจน

กรณีที่ 2 การเปิดเผยข้อมูลส่วนบุคคลให้แก่เจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐ ที่ไม่ได้เป็นการใช้หน้าที่และอำนาจตามกฎหมายในการขอข้อมูลดังกล่าวโดยตรง แต่เป็นไปเพื่อประโยชน์สาธารณะ เช่น เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการปฏิบัติราชการทางปกครองหรือการบังคับทางปกครอง หรือเพื่อประโยชน์ในการดำเนินการทางกฎหมายหรือฟ้องร้องดำเนินคดีเพื่อรักษาผลประโยชน์ของรัฐ การเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าวอาจถือเป็นกรณีที่เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ที่สามารถกระทำได้โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล หรือในกรณีที่ประสงค์จะเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์อย่างอื่นที่ไม่ได้เป็นไปเพื่อประโยชน์สาธารณะโดยตรง แต่อาจเป็นประโยชน์โดยชอบด้วยกฎหมายของเจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐนั้น ซึ่งมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล การเปิดเผยข้อมูลส่วนบุคคลในกรณีเหล่านี้อาจถือเป็นกรณีที่เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่น ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ที่สามารถกระทำได้โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเช่นกัน ทั้งนี้ ในประเด็นเรื่องการอ้างฐานอำนาจตามกฎหมายในการขอข้อมูล สำหรับกรณีการเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งดังกล่าว ไม่จำเป็นต้องอาศัยฐานอำนาจตามกฎหมายอื่นแต่อย่างใด

ในกรณีที่กรมการขนส่งทางบกได้รับการขอให้เปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรมการขนส่งทางบกจะต้องพิจารณาดำเนินการให้เป็นไปตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ซึ่งในกรณีที่เป็นการเปิดเผยให้แก่เจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐที่มีหน้าที่และอำนาจตามกฎหมาย อาจถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ที่สามารถเปิดเผยได้โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้ง แต่ต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ส่วนในกรณีที่ขอให้เปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) เพื่อประโยชน์อย่างอื่นที่ไม่ได้เป็นไปเพื่อประโยชน์สาธารณะโดยตรง แต่เป็นกรณีที่เป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย ก็ถือเป็นกรณีที่ได้รับยกเว้นไม่ต้องได้รับความยินยอมโดยชัดแจ้ง ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

อย่างไรก็ตาม นอกเหนือจากการดำเนินการดังกล่าวแล้ว กรมการขนส่งทางบกยังมีหน้าที่ในการจัดให้มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบหลักเกณฑ์ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 และต้องบันทึกการใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับการยกเว้นไม่ต้องขอความยินยอมในบันทึกรายการ (Record of Processing Activities: ROPA) ตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ทั้งนี้ ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม แห่งพระราชบัญญัติดังกล่าวด้วย และหากกรมการขนส่งทางบกจะเปิดเผยข้อมูลส่วนบุคคลก็ต้องเปิดเผยข้อมูลส่วนบุคคลเพียงเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย ตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md) โดยหลีกเลี่ยงการใช้หรือเปิดเผยข้อมูลส่วนบุคคลเกินความคาดหวังปกติในบริบทของการดำเนินการที่เกี่ยวข้อง และจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ซึ่งรวมถึงวัตถุประสงค์ตามที่ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ให้อำนาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตาม (1) และประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผยตาม (4) ด้วย ส่วนประเด็นการเรียกหรือขอให้นำส่งเอกสารหรือหลักฐานใด ๆ เพื่อประกอบการขอข้อมูลนั้น กรมการขนส่งทางบกอาจพิจารณาขอข้อมูลรวมทั้งเอกสารหรือหลักฐานที่เกี่ยวข้องต่อการพิสูจน์สิทธิ เหตุผลความจำเป็น และ/หรือประโยชน์โดยชอบด้วยกฎหมายของผู้ร้องขอ เพื่อประกอบการใช้ดุลพินิจในการเปิดเผยข้อมูลส่วนบุคคลได้ตามที่เห็นสมควร

อนึ่ง การให้คำแนะนำและให้คำปรึกษาในการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นี้ เป็นการให้ความเห็นเกี่ยวกับข้อกฎหมายตามพระราชบัญญัติดังกล่าวโดยทั่วไป อย่างไรก็ดี การเปิดเผยข้อมูลข่าวสารของราชการตามคำขอ กรมการขนส่งทางบกต้องพิจารณาให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ด้วย เนื่องจากเป็นการเปิดเผยข้อมูลข่าวสารในความครอบครองหรือควบคุมดูแลของหน่วยงานของรัฐ และในการใช้ดุลพินิจในการเปิดเผยข้อมูลข่าวสารส่วนบุคคลโดยหน่วยงานของรัฐดังกล่าว หากเจ้าของข้อมูลเห็นว่าได้รับความเสียหายก็สามารถใช้สิทธิร้องเรียนตามกฎหมายที่เกี่ยวข้องต่อไปได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-1-2569.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/02/consultation-64.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/1-2569.md

============================================================
โนด: ข้อหารือ 2/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/2-2566.md

# ข้อหารือที่ 2/2566 เรื่อง กองทุนเงินให้กู้ยืมเพื่อการศึกษาขอหารือเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md), [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4

## ข้อหารือ

กองทุนเงินให้กู้ยืมเพื่อการศึกษา (กยศ.) ในฐานะที่เป็นหน่วยงานของรัฐ ซึ่งจัดตั้งขึ้นตามพระราชบัญญัติกองทุนเงินให้กู้ยืมเพื่อการศึกษา พ.ศ. 2560 อยู่ในกำกับดูแลของรัฐมนตรีว่าการกระทรวงการคลัง แจ้งว่า พนักงานกองทุนฯ มีหนังสือขอให้กองทุนฯ เปิดเผยผลคะแนนการสอบคัดเลือกพนักงานกองทุนฯ ระดับชำนาญการ (หัวหน้ากลุ่มงาน) เพื่อเลื่อนตำแหน่งเป็นระดับบริหารระดับต้น (ผู้อำนวยการฝ่าย) และผลคะแนนการสอบคัดเลือกพนักงานกองทุนฯ ระดับบริหารระดับต้น (ผู้อำนวยการฝ่าย) เพื่อเลื่อนตำแหน่งเป็นผู้บริหารระดับกลาง (รองผู้จัดการ) ทั้งของตนเองและของพนักงานผู้ซึ่งได้รับการคัดเลือกให้เลื่อนตำแหน่ง และขอตรวจสอบใบประเมินผลคะแนนการสอบของคณะกรรมการสอบคัดเลือกหรือคณะกรรมการสรรหาทุกท่าน

ซึ่งคณะอนุกรรมการด้านกฎหมายของกองทุนฯ พิจารณาแล้วเห็นว่า การขอทราบข้อมูลคะแนนการคัดเลือกของพนักงานผู้อื่น และขอให้เปิดเผยใบประเมินผลคะแนนการสอบของคณะกรรมการสอบคัดเลือกหรือคณะกรรมการสรรหาทุกท่านนั้น เนื่องจากใบประเมินผลมีข้อมูลการให้คะแนนจากกรรมการแต่ละท่าน ซึ่งเป็นข้อมูลส่วนบุคคลของกรรมการรวมอยู่ด้วย หากกองทุนฯ เปิดเผยอาจเข้าข่ายเป็นการฝ่าฝืน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง แห่ง PDPA ที่กำหนดว่า "ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้ หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอม..." ดังนั้น เมื่อกองทุนฯ ยังไม่ได้รับความยินยอม กองทุนฯ ย่อมไม่สามารถเปิดเผยผลคะแนนของบุคคลอื่นและไม่สามารถเปิดเผยใบประเมินผลให้กับบุคคลอื่นได้

อย่างไรก็ตาม คณะอนุกรรมการฯ มีความเห็นในเบื้องต้นว่า หากกองทุนฯ ประสงค์จะเปิดเผยคะแนน ให้กองทุนฯ นำเฉพาะผลคะแนนของผู้ร้องขอข้อมูลที่ได้รับจากกรรมการคัดเลือกหรือกรรมการสรรหาทุกท่านมาจัดพิมพ์ลงในเอกสารฉบับใหม่ โดยไม่เปิดเผยชื่อและนามสกุลของกรรมการ และไม่ต้องเรียงตามลำดับตำแหน่ง รวมทั้งต้องไม่เปิดเผยความเห็นของกรรมการแต่ละท่าน

กองทุนฯ จึงขอหารือใน 2 ประเด็น:
1. กรณีผู้ร้องขอข้อมูลขอทราบผลคะแนนการสอบคัดเลือกของพนักงานผู้อื่น กองทุนฯ จะสามารถเปิดเผยได้หรือไม่ โดยมีหลักเกณฑ์และเงื่อนไขอย่างไร
2. กรณีผู้ร้องขอข้อมูลขอตรวจสอบใบประเมินผลคะแนนการสอบของคณะกรรมการสอบคัดเลือก/สรรหาทุกท่าน กองทุนฯ จะสามารถเปิดเผยได้หรือไม่

และพนักงานกองทุนฯ มีหนังสือขอให้กองทุนฯ เปิดเผยผลการประเมินการปฏิบัติงานและผลการขึ้นเงินเดือนประจำปีทั้งของตนเองและของผู้อำนวยการฝ่ายทุกฝ่าย — กรณีข้อมูลของผู้ร้องขอเอง กองทุนฯ ย่อมเปิดเผยได้ แต่กรณีข้อมูลที่ร้องขอมีผลกระทบต่อบุคคลอื่น ซึ่งอาจเป็นการฝ่าฝืน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง — กยศ. จึงขอหารือว่า กรณีผลการประเมินและการขึ้นเงินเดือนของผู้อำนวยการฝ่ายอื่น จะสามารถเปิดเผยได้หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า กรณีตามข้อหารือดังกล่าวเป็นการใช้สิทธิตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 กยศ. จึงควรหารือตามกฎหมายดังกล่าวตามนัย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่ง PDPA ซึ่งบัญญัติว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่ง PDPA เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม

ดังนั้น การเปิดเผยข้อมูลข่าวสารที่อยู่ในความครอบครองหรือควบคุมดูแลของ กยศ. ตามข้อหารือนี้ กยศ. จึงควรพิจารณาดำเนินการให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ซึ่งกำหนดเรื่องการเปิดเผยข้อมูลข่าวสารของราชการของหน่วยงานของรัฐ รวมถึงข้อมูลข่าวสารส่วนบุคคลที่อยู่ในความควบคุมดูแลของหน่วยงานของรัฐไว้โดยเฉพาะแล้ว และให้ กยศ. พิจารณาดำเนินการให้เป็นไปตาม PDPA เป็นการเพิ่มเติม ตามนัย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) ดังกล่าว

อนึ่ง มีข้อสังเกตว่า นอกจาก [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่งแล้ว กยศ. อาจพิจารณาเพิ่มเติมว่าการเปิดเผยข้อมูลส่วนบุคคลให้กับผู้ร้องขอข้อมูลตามประเด็นที่หารือทั้งสองกรณีดังกล่าว กยศ. มีฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่ง PDPA ที่จะสามารถเปิดเผยได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมหรือไม่

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-2-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-02.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/2-2566.md

============================================================
โนด: ข้อหารือ 2/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/2-2567.md

# ข้อหารือที่ 2/2567 เรื่อง สำนักงานนโยบายและแผนทรัพยากรธรรมชาติและสิ่งแวดล้อม ขอหารือการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในกระบวนการประเมินผลกระทบสิ่งแวดล้อม

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3), [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม, [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6), [มาตรา 25](https://link.pdpalawbase.com/section/25.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติส่งเสริมและรักษาคุณภาพสิ่งแวดล้อมแห่งชาติ พ.ศ. 2535 และที่แก้ไขเพิ่มเติม — มาตรา 48, 49, 50 และ 51/1
3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 11 และมาตรา 15
4. พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยคณะกรรมการสิทธิมนุษยชนแห่งชาติ พ.ศ. 2560 — มาตรา 35

## ข้อหารือ

สำนักงานนโยบายและแผนทรัพยากรธรรมชาติและสิ่งแวดล้อม (สผ.) ขอหารือการปฏิบัติตาม PDPA เกี่ยวกับการประเมินผลกระทบสิ่งแวดล้อม (EIA) 4 ประเด็น:

1. การเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลในกระบวนการ EIA เป็นการดำเนินการตามกฎหมายเพื่อประโยชน์สาธารณะ ได้รับยกเว้น [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3) หรือไม่
2. ผู้จัดทำรายงาน EIA = ผู้ควบคุมข้อมูลตาม PDPA หรือไม่ · กรณีใช้ข้อมูลทุติยภูมิจากหน่วยงานรัฐ ต้องขอความยินยอม หรือยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)/[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) ได้หรือไม่
3. เมื่อ สผ. ได้รับรายงาน — สผ. เป็นผู้ควบคุมข้อมูลหรือไม่ · นำเสนอ คกก. ผู้ชำนาญการ + คกก. สิ่งแวดล้อมแห่งชาติ ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือไม่
4. สผ. ระบบ Smart EIA Plus เผยแพร่รายงาน — สผ. เป็นผู้ควบคุมหรือไม่ · รายงานที่เผยแพร่ก่อน PDPA (ไม่ปกปิดข้อมูล) ต้องนำออกหรือไม่ · วิธีปกปิดอย่างไร · กรณีผู้ขอเปิดเผย (กสม., คณะกรรมาธิการ, ผู้ร้องเรียนพื้นที่, NGO) มีสิทธิหรือไม่

## ความเห็น

**ข้อ 1** [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3) ยกเว้น PDPA แก่บุคคลที่ใช้/เปิดเผยข้อมูลส่วนบุคคลเพื่อกิจการสื่อมวลชน งานศิลปกรรม หรืองานวรรณกรรมตามจริยธรรมแห่งวิชาชีพ · **การจัดทำรายงาน EIA ไม่ใช่ข้อมูลที่เก็บไว้เฉพาะเพื่อกิจการสื่อมวลชน · จึงไม่ได้รับยกเว้น [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3) — ต้องดำเนินการตาม PDPA**

**ข้อ 2** ผู้ดำเนินการหรือผู้ขออนุญาตที่มีหน้าที่จัดทำรายงาน EIA ตาม พ.ร.บ. ส่งเสริมและรักษาคุณภาพสิ่งแวดล้อมฯ = **ผู้ควบคุมข้อมูลส่วนบุคคล** · หากว่าจ้างนิติบุคคลอื่นทำ = **ผู้ประมวลผลข้อมูล**

การจัดทำรายงาน EIA ตามมาตรา 48-51/1 พ.ร.บ. ส่งเสริมและรักษาคุณภาพสิ่งแวดล้อมฯ = การเก็บข้อมูลส่วนบุคคลที่เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) · กรณีข้อมูลสุขภาพ = [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) (จำเป็นในการปฏิบัติตามกฎหมายเพื่อประโยชน์สาธารณะที่สำคัญ) · กรณีหน่วยงานของรัฐหรือผู้รับจ้างจากหน่วยรัฐ = [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ภารกิจประโยชน์สาธารณะ

ข้อมูลที่ไม่ได้ถูกกำหนดในหลักเกณฑ์ EIA ชัดเจน (ชื่อ-สกุล ที่อยู่ ลายมือชื่อ ภาพถ่ายผู้เข้าร่วมกิจกรรมรับฟังความคิดเห็น) เก็บได้หากจำเป็นและไม่กระทบสิทธิเกินสมควร = [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประโยชน์โดยชอบด้วยกฎหมาย · เก็บได้โดยไม่ต้องขอความยินยอม

ผู้ควบคุมต้องปฏิบัติหน้าที่อื่นตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ครบ · เจ้าของข้อมูลยังมีสิทธิเข้าร่วม/ไม่เข้าร่วมกิจกรรม

**ข้อมูลทุติยภูมิจากหน่วยงานของรัฐ** — หากเป็นการเก็บที่ได้รับยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) = เก็บจากแหล่งอื่นได้ตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) · หน่วยงานต้นทางต้องพิจารณาเปิดเผยตามดุลพินิจตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

**ข้อ 3** เมื่อผู้ดำเนินการเสนอรายงานต่อ สผ. — **สผ. เป็นผู้ควบคุมข้อมูลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md)** สามารถเก็บ/ใช้/เปิดเผยข้อมูลเพื่อวัตถุประสงค์ EIA ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6), [มาตรา 25](https://link.pdpalawbase.com/section/25.md) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง — นำเสนอ คกก. ผู้ชำนาญการ + คกก. สิ่งแวดล้อมแห่งชาติได้

**ข้อ 4** การเผยแพร่ผ่าน Smart EIA Plus = สผ. เปิดเผยในฐานะผู้ควบคุมข้อมูล · รายงานที่เผยแพร่ก่อน PDPA — เดิมตาม พ.ร.บ. ข้อมูลข่าวสารฯ · เมื่อ PDPA มีผล ต้องเป็นไปตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) · วิธีปกปิด = ชั่งน้ำหนักความโปร่งใส vs. รุกล้ำสิทธิ ตามมาตรา 15 พ.ร.บ. ข้อมูลข่าวสารฯ

**คณะกรรมการสิทธิมนุษยชนแห่งชาติ** มีอำนาจขอตามมาตรา 35 พ.ร.บ. ประกอบรัฐธรรมนูญ กสม. — เปิดเผยได้ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) · **คณะกรรมาธิการของรัฐสภา** = ได้รับยกเว้น [มาตรา 4](https://link.pdpalawbase.com/section/4.md) — สผ. ต้องดำเนินการตามกฎหมายที่เกี่ยวข้อง · **ผู้ร้องเรียน/NGO** = ตาม พ.ร.บ. ข้อมูลข่าวสารฯ มาตรา 11 · สผ. ต้องชั่งน้ำหนักตาม [มาตรา 15](https://link.pdpalawbase.com/section/15.md) (พ.ร.บ. ข้อมูลข่าวสารฯ) + PDPA ประกอบกัน

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-2-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/04/PDPC-consultation-31.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/2-2567.md

============================================================
โนด: ข้อหารือ 2/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/2-2568.md

# ข้อหารือที่ 2/2568 เรื่อง นาย ฐ ขอให้ตีความและวินิจฉัยชี้ขาดปัญหาเกี่ยวกับข้อมูลส่วนบุคคลตามมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 24](https://link.pdpalawbase.com/section/24.md) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
2. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครอง
สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้
การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566
ข้อ 3

## ข้อหารือ

นาย ฐ ได้มีหนังสือขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตีความตามมาตรา 16 (10)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สืบเนื่องจากเรื่องร้องเรียนเกี่ยวกับการเปิดเผย
ข้อมูลส่วนบุคคลเกี่ยวกับการสอบสวนโทษทางวินัยโดยอดีตพนักงานของผู้ถูกร้องเรียนที่ทำหน้าที่เป็นกรรมการ
สอบสวนโทษทางวินัยในประวัติการทำงานของผู้นั้นที่เผยแพร่ผ่านอินเทอร์เน็ต และคำสั่งคณะกรรมการ
ผู้เชี่ยวชาญที่เกี่ยวข้องว่า กรณีที่เป็นข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 ซึ่งการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวจะต้องได้รับความยินยอมโดยชัดแจ้งจาก
เจ้าของข้อมูลส่วนบุคคล เว้นแต่จะเข้าข้อยกเว้นตามมาตราดังกล่าวนั้น ต้องเป็นเรื่องในลักษณะใด
มีรายละเอียดอย่างไรเป็นการเพิ่มเติมจากข้อมูลตามเดิมที่เป็นไปตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัตินี้
และขอให้พิจารณาและดำเนินการเพื่อทำการประกาศเพิ่มเติมเกี่ยวกับกรณีที่เป็นข้อมูลอื่นใดซึ่งกระทบ
ต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกัน เพื่อเป็นประโยชน์ในการบังคับใช้และป้องกันมิให้เกิดความ
เสียหายต่อบุคคลอื่น ๆ

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วย
การคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้นำเรื่องดังกล่าวเสนอ
ต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเพื่อพิจารณาแล้ว เห็นว่า ข้อมูลส่วนบุคคลที่เกี่ยวกับการดำเนินการ
ทางวินัย เป็นข้อมูลที่เกี่ยวข้องกับการปฏิบัติงานหรือการกระทำความผิดทางวินัยภายในหน่วยงาน ซึ่งโดยทั่วไป
จะเป็นข้อมูลที่ใช้เฉพาะภายในองค์กร ซึ่งข้อมูลดังกล่าวจะไม่เข้าลักษณะเป็น "ข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรม" ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 3
ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการ
เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มี
อำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566 เนื่องจากข้อมูลดังกล่าวมิใช่ข้อมูลเกี่ยวกับการสืบสวนสอบสวน
การกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา และไม่ได้เป็นข้อมูลที่เป็นทางการ
หรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายที่เกี่ยวข้องกับการดำเนินการทางอาญาดังกล่าว
นอกจากนี้ ข้อมูลดังกล่าวยังไม่เข้าลักษณะของข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทาง
การเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพ
แรงงาน ข้อมูลพันธุกรรม หรือข้อมูลชีวภาพ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แต่อย่างใด ประกอบกับในปัจจุบันคณะกรรมการ
คุ้มครองข้อมูลส่วนบุคคลยังไม่ได้ประกาศกำหนดข้อมูลส่วนบุคคลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคล
ในทำนองเดียวกัน ดังนั้น ข้อมูลส่วนบุคคลที่เกี่ยวกับการดำเนินการทางวินัย จึงไม่เข้าลักษณะเป็นข้อมูล
ส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
สำหรับกรณีที่นาย ฐ ขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาและดำเนินการ
เพื่อออกประกาศกำหนดเพิ่มเติมให้ข้อมูลส่วนบุคคลที่เกี่ยวกับการดำเนินการทางวินัย เป็นข้อมูลอื่นใด
ซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 นั้น คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้ว เห็นว่า เจตนารมณ์
ของบทบัญญัติ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีวัตถุประสงค์เพื่อให้
ความคุ้มครองข้อมูลส่วนบุคคลบางประเภทที่มีความละเอียดอ่อน (sensitive personal data) เป็นพิเศษ
ซึ่งหากมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยไม่เหมาะสมอาจส่งผลกระทบ
ต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลอย่างรุนแรง เช่น การเลือกปฏิบัติโดยไม่เป็นธรรมต่อบุคคล
บนพื้นฐานของเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรม
ทางเพศ ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม หรือข้อมูลชีวภาพ ดังเช่นที่บัญญัติ
ใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) จึงกำหนดให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวจะต้องได้รับความยินยอม
โดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่จะเข้าข้อยกเว้นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) ถึง (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
วรรคหนึ่ง ข้อยกเว้นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ดังกล่าวทำให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว
โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลจะต้องเป็นกรณีที่ถูกจำกัดไว้เป็นพิเศษ
ซึ่งแคบกว่าข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ดังนั้น การที่จะกำหนดให้ข้อมูลอื่นใดเป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
จะต้องพิจารณาว่า ข้อมูลนั้นมีลักษณะที่อาจส่งผลกระทบต่อสิทธิและเสรีภาพของบุคคลในลักษณะร้ายแรง
หรือเกินสมควรหรือไม่ และข้อยกเว้นที่ถูกจำกัดไว้เป็นพิเศษตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) มีความเหมาะสมกับข้อมูลลักษณะ
ดังกล่าวเพียงใด เมื่อพิจารณาจากลักษณะของข้อมูลส่วนบุคคลเกี่ยวกับการดำเนินการทางวินัยภายใน
หน่วยงาน ซึ่งโดยทั่วไปการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลดังกล่าวจะเป็นกระบวนการที่เกิดขึ้นภายใน
องค์กร และข้อมูลดังกล่าวมิใช่ข้อมูลเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนิน
คดีอาญา หรือการรับโทษทางอาญาที่เป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่
ตามกฎหมายเกี่ยวกับการดำเนินการทางอาญาดังกล่าว รวมทั้งมิได้มีลักษณะที่อาจส่งผลกระทบต่อสิทธิ
และเสรีภาพของเจ้าของข้อมูลส่วนบุคคลในระดับที่ร้ายแรงหรือเกินสมควรในทำนองเดียวกับข้อมูลส่วนบุคคล
เกี่ยวกับประวัติอาชญากรรมหรือข้อมูลส่วนบุคคลอื่นตามที่กำหนดใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ตลอดจนองค์กรที่
เป็นผู้ควบคุมข้อมูลส่วนบุคคลยังสามารถกำหนดระดับชั้นความลับและขอบเขตที่เหมาะสมในการเก็บรวบรวม
ใช้ และเปิดเผยข้อมูลดังกล่าวได้ และหากมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลดังกล่าวโดยไม่สมควร
เจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบก็สามารถใช้สิทธิร้องเรียนตามกฎหมายว่าด้วยการคุ้มครองข้อมูล
ส่วนบุคคล หรือใช้สิทธิเรียกร้องความรับผิดตามกฎหมายอื่นได้ จึงยังไม่สมควรที่จะประกาศกำหนดให้ข้อมูล
ส่วนบุคคลเกี่ยวกับการดำเนินการทางวินัย เป็นข้อมูลส่วนบุคคลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคล
ในทำนองเดียวกันกับข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 เป็นการเพิ่มเติม

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-2-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/07/PDPC-consultation-51.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/2-2568.md

============================================================
โนด: ข้อหารือ 2/2569
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/2-2569.md

# ข้อหารือที่ 2/2569 เรื่อง กรมสุขภาพจิตขอหารือเกี่ยวกับการแลกเปลี่ยนข้อมูลผู้ป่วยจิตเวชและยาเสพติดที่มีความเสี่ยงสูงต่อการก่อความรุนแรง เพื่อความปลอดภัยของผู้ป่วย ผู้อื่น และสาธารณชน

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (2) (4) และ (6) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) และ (5) (ก) (ข) และ (จ) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) [มาตรา 35](https://link.pdpalawbase.com/section/35.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (2) และ (3)
2. พระราชบัญญัติสุขภาพจิต พ.ศ. 2551 และที่แก้ไขเพิ่มเติม — มาตรา 3 มาตรา 11/1 (2) และ (4) มาตรา 15 (2) มาตรา 16 มาตรา 22 มาตรา 23 มาตรา 24 และมาตรา 27
3. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 — มาตรา 13 มาตรา 14 และมาตรา 16
4. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540
5. พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม
6. พระราชบัญญัติการแพทย์ฉุกเฉิน พ.ศ. 2551
7. พระราชบัญญัติมาตรการป้องกันการกระทำความผิดซ้ำในความผิดเกี่ยวกับเพศหรือที่ใช้ความรุนแรง พ.ศ. 2565
8. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 4 (2) (6) และ (7)

## ข้อหารือ

กรมสุขภาพจิตแจ้งว่า ในฐานะหน่วยธุรการของคณะกรรมการสุขภาพจิตแห่งชาติ กรมสุขภาพจิตมีอำนาจหน้าที่ตามพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติสุขภาพจิต (ฉบับที่ 2) พ.ศ. 2562 มาตรา 11/1 (2) ในการประสานงานและร่วมมือกับหน่วยงานของรัฐและเอกชนที่เกี่ยวข้องในการดำเนินงานด้านสุขภาพจิต และตามมาตรา 11/1 (4) ในการปฏิบัติการอื่นใดตามที่กฎหมายกำหนดให้เป็นอำนาจหน้าที่ของกรมสุขภาพจิต ร่วมกับปัญหาผู้ป่วยจิตเวชที่ก่อความรุนแรงซึ่งเกิดจากความเจ็บป่วยทางจิต การเสพสารเสพติด รวมทั้งการเผชิญกับสภาวะความเครียดจากสิ่งแวดล้อม สังคม และเศรษฐกิจ นำมาสู่การกระทำความรุนแรงทั้งต่อตนเอง ผู้อื่น และทรัพย์สิน ตลอดจนการกระทำความผิด คณะกรรมการสุขภาพจิตแห่งชาติ ในการประชุมครั้งที่ 1/2566 เมื่อวันที่ 27 เมษายน 2566 จึงมีมติให้คณะอนุกรรมการสุขภาพจิตในระดับจังหวัด ดำเนินการตามระบบ V-care ที่เป็นระบบเฝ้าระวังผู้ป่วยจิตเวชและยาเสพติดที่มีความเสี่ยงสูงต่อการก่อความรุนแรง (Serious Mental Illness with High Risk to Violence: SMI-V)

ทั้งนี้ มีผู้ป่วยจิตเวชจำนวนหนึ่งที่ก่อความรุนแรงถึงขั้นมีคดีความและได้รับโทษแล้ว และยังคงมีความเสี่ยงที่จะก่อความรุนแรงซ้ำหากพ้นโทษหรือได้รับการปล่อยตัว อย่างไรก็ตาม หากผู้ป่วยเหล่านี้ได้รับการปล่อยตัวจากกรมราชทัณฑ์ กรมคุมประพฤติ หรือกรมพินิจและคุ้มครองเด็กและเยาวชนแล้ว ยังสามารถอยู่ร่วมกับคนในสังคมได้ หากแต่ต้องมีมาตรการเฝ้าระวังทางด้านยุติธรรมและด้านสาธารณสุขที่เข้มข้น ดังนั้น การแลกเปลี่ยนข้อมูลผู้ป่วยจิตเวชที่พ้นโทษและปล่อยตัวแล้ว แต่มีความเสี่ยงสูงต่อการก่อความรุนแรงร่วมกันระหว่างหน่วยงานที่เกี่ยวข้องดังกล่าว จึงมีความจำเป็นอย่างยิ่งสำหรับการติดตามเฝ้าระวัง ลดการก่อความรุนแรงซ้ำ และเพื่อความปลอดภัยของผู้ป่วย ผู้อื่น และสาธารณชน

ในการจัดทำฐานข้อมูลดังกล่าว จำเป็นต้องมีการแลกเปลี่ยนข้อมูลผู้ป่วยจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรงจากกรมสุขภาพจิต ข้อมูลผู้ต้องขังที่กำลังจะพ้นโทษจากกรมราชทัณฑ์ ข้อมูลผู้ที่ได้รับคำสั่งศาลในการคุมประพฤติและข้อมูลผู้ที่พ้นโทษที่มีความผิดตามพระราชบัญญัติมาตรการป้องกันการกระทำความผิดซ้ำในความผิดเกี่ยวกับเพศหรือใช้ความรุนแรง พ.ศ. 2565 จากกรมคุมประพฤติ ข้อมูลเด็กและเยาวชนผู้ที่จะได้รับการปล่อยตัวจากกรมพินิจและคุ้มครองเด็กและเยาวชน เพื่อส่งต่อข้อมูลให้สำนักงานตำรวจแห่งชาติและสถาบันการแพทย์ฉุกเฉินแห่งชาติ ในการดำเนินมาตรการเฝ้าระวัง ซึ่งข้อมูลดังกล่าวเป็นข้อมูลที่เป็นความลับของผู้ป่วย โดยกรมสุขภาพจิตเป็นผู้ควบคุมข้อมูลและออกแบบให้มีการบันทึกข้อมูล ได้แก่ ข้อมูลทั่วไป ข้อมูลความเจ็บป่วย ข้อมูลประวัติพฤติกรรมรุนแรง ข้อมูลการใช้สารเสพติด ข้อมูลคดีที่ไม่มีรายละเอียดของพฤติการณ์คดี ข้อมูลการวินิจฉัยโรคทางจิตเวช ข้อมูลการรักษาและยาที่ผู้ป่วยได้รับ ข้อมูลการตรวจวินิจฉัยและประเมินความสามารถในการต่อสู้คดี และข้อมูลสถานะปัจจุบันของผู้ป่วย โดยกำหนดสิทธิการเข้าถึงข้อมูลของแต่ละหน่วยงานตามความรับผิดชอบและความจำเป็น

คณะอนุกรรมการพัฒนาและขับเคลื่อนการดำเนินงานตามกฎหมายว่าด้วยสุขภาพจิต ได้มีการหารือร่วมกันโดยมีความเห็นว่า การเชื่อมโยงข้อมูลดังกล่าวน่าจะสามารถกระทำได้ตามข้อยกเว้นในบทบัญญัติตามมาตรา 16 แห่งพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 ซึ่งบัญญัติห้ามมิให้ผู้ใดเปิดเผยข้อมูลด้านสุขภาพของผู้ป่วยในประการที่น่าจะทำให้เกิดความเสียหายแก่ผู้ป่วย เว้นแต่ (1) ในกรณีที่อาจเกิดอันตรายต่อผู้ป่วยหรือผู้อื่น (2) เพื่อความปลอดภัยของสาธารณชน (3) มีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผย และตามข้อยกเว้นใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (2) และ (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือตามข้อยกเว้นใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) และ (5) (ก) และ (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จากมติการประชุมคณะอนุกรรมการฯ ครั้งที่ 1/2568 เมื่อวันที่ 3 มีนาคม 2568 ให้จัดตั้งคณะทำงาน อันประกอบด้วยตัวแทนของส่วนราชการและหน่วยงานของรัฐที่เกี่ยวข้อง ได้แก่ กรมสุขภาพจิต กรมราชทัณฑ์ กรมคุมประพฤติ กรมพินิจและคุ้มครองเด็กและเยาวชน สำนักงานตำรวจแห่งชาติ และสถาบันการแพทย์ฉุกเฉินแห่งชาติ สำหรับการดำเนินการเชื่อมโยงข้อมูลเพื่อติดตามผู้ป่วยดังกล่าว กรมสุขภาพจิตจึงขอหารือใน 3 ประเด็น ดังนี้

1. กรมสุขภาพจิต กรมการแพทย์ สำนักงานปลัดกระทรวงสาธารณสุข กรมราชทัณฑ์ กรมคุมประพฤติ กรมพินิจและคุ้มครองเด็กและเยาวชน สำนักงานตำรวจแห่งชาติ สถาบันการแพทย์ฉุกเฉินแห่งชาติ และส่วนราชการอื่นที่เกี่ยวข้อง สามารถเชื่อมโยงข้อมูลและแลกเปลี่ยนข้อมูลระหว่างกัน ที่เกี่ยวข้องกับผู้ป่วยทางจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรง เพื่อความปลอดภัยของผู้ป่วยหรือผู้อื่น และเพื่อความปลอดภัยของสาธารณชน ภายใต้บทบัญญัติแห่งพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 และบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้หรือไม่

2. หากสามารถดำเนินการได้ มีเงื่อนไข ขั้นตอน ข้อพึงปฏิบัติ และข้อสังเกตในการดำเนินการอย่างไร เพื่อให้ถูกต้องตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น การจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Data Sharing Agreement: DSA)

3. หากไม่สามารถดำเนินการได้ จะมีข้อแนะนำเช่นไร เพื่อให้หน่วยงานของรัฐที่เกี่ยวข้องดังกล่าวสามารถดำเนินการในส่วนที่เกี่ยวกับข้อมูลส่วนบุคคลได้ เพื่อให้บรรลุวัตถุประสงค์ของการเฝ้าระวังผู้ป่วยจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรง

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าว โดยมีผู้แทนกรมสุขภาพจิตชี้แจงข้อเท็จจริงประกอบการพิจารณาแล้ว มีความเห็น ดังนี้

ประเด็นข้อหารือที่ 1 การแลกเปลี่ยนข้อมูลส่วนบุคคลที่เกี่ยวข้องกับผู้ป่วยจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรง ระหว่างหน่วยงานของรัฐที่เกี่ยวข้อง เพื่อความปลอดภัยของผู้ป่วย ผู้อื่น และสาธารณชน สามารถดำเนินการได้หรือไม่ เห็นว่า [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติไว้เป็นหลักการว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ดังนั้น ในการดำเนินการดังกล่าว กรมสุขภาพจิตและหน่วยงานที่เกี่ยวข้อง จึงควรพิจารณาดำเนินการให้สอดคล้องกับกฎหมายอื่น ๆ ที่บัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลไว้โดยเฉพาะ เช่น พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 และพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 และที่แก้ไขเพิ่มเติม ก่อน แล้วจึงพิจารณาตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติมต่อไป

สำหรับบุคคลที่มีความผิดปกติทางจิตซึ่งควรได้รับการบำบัดรักษา ซึ่งถือเป็นผู้ป่วยตามบทนิยามในมาตรา 3 แห่งพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 รวมทั้งกรณีผู้ป่วยคดี มาตรา 15 (2) แห่งพระราชบัญญัติดังกล่าว บัญญัติว่าผู้ป่วยย่อมมีสิทธิได้รับการปกปิดข้อมูลเกี่ยวกับการเจ็บป่วยและการบำบัดรักษาไว้เป็นความลับ เว้นแต่มีกฎหมายบัญญัติไว้ให้เปิดเผยได้ และมาตรา 16 บัญญัติห้ามมิให้ผู้ใดเปิดเผยข้อมูลด้านสุขภาพของผู้ป่วยในประการที่น่าจะทำให้เกิดความเสียหายแก่ผู้ป่วย เว้นแต่ (1) ในกรณีที่อาจเกิดอันตรายต่อผู้ป่วยหรือผู้อื่น (2) เพื่อความปลอดภัยของสาธารณชน (3) มีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผย นอกจากนี้ มาตรา 22 กำหนดให้บุคคลที่มีความผิดปกติทางจิตในกรณีที่มีภาวะอันตรายหรือมีความจำเป็นต้องได้รับการบำบัดรักษา เป็นบุคคลที่ต้องได้รับการบำบัดรักษา และมาตรา 23 กำหนดว่า ผู้ใดพบบุคคลซึ่งมีพฤติการณ์อันน่าเชื่อว่าบุคคลนั้นมีลักษณะตามมาตรา 22 ให้แจ้งต่อพนักงานเจ้าหน้าที่ พนักงานฝ่ายปกครองหรือตำรวจโดยไม่ชักช้า และมาตรา 24 กำหนดให้พนักงานเจ้าหน้าที่ พนักงานฝ่ายปกครองหรือตำรวจที่ได้รับแจ้งดังกล่าว มีหน้าที่ดำเนินการนำตัวบุคคลนั้นไปยังสถานพยาบาลของรัฐหรือสถานบำบัดรักษาซึ่งอยู่ใกล้โดยไม่ชักช้า เพื่อรับการตรวจวินิจฉัยและประเมินอาการเบื้องต้นตามมาตรา 27 (บทบัญญัติของพระราชบัญญัติสุขภาพจิต พ.ศ. 2551)

ดังนั้น หากกรมสุขภาพจิต ร่วมกับหน่วยงานของรัฐที่เกี่ยวข้อง เห็นว่า การแลกเปลี่ยนข้อมูลส่วนบุคคลซึ่งรวมถึงข้อมูลด้านสุขภาพ ของบุคคลที่มีความผิดปกติทางจิตซึ่งควรได้รับการบำบัดรักษา โดยเฉพาะกรณีผู้ป่วยจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรง ระหว่างหน่วยงานของรัฐที่เกี่ยวข้องด้วยกัน แม้อาจเป็นการเปิดเผยในประการที่น่าจะทำให้เกิดความเสียหายแก่ผู้ป่วย แต่เป็นกรณีที่มีความจำเป็นเนื่องจากอาจเกิดอันตรายต่อผู้ป่วยหรือผู้อื่น หรือเพื่อความปลอดภัยของสาธารณชน ตามมาตรา 16 (1) หรือ (2) แห่งพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 หรือเป็นการจำเป็นเพื่อให้พนักงานเจ้าหน้าที่สามารถดำเนินการตามมาตรา 24 แห่งพระราชบัญญัติสุขภาพจิต พ.ศ. 2551 ได้ หรือเป็นการจำเป็นเพื่อให้สถาบันการแพทย์ฉุกเฉินแห่งชาติสามารถดำเนินการปฏิบัติการฉุกเฉินได้อย่างปลอดภัยและมีประสิทธิภาพ รวมทั้งในกรณีที่มีความจำเป็นต้องดำเนินการตามมาตรการแก้ไขฟื้นฟูผู้กระทำความผิด มาตรการเฝ้าระวังภายหลังพ้นโทษ และมาตรการคุมขังภายหลังพ้นโทษ ตามพระราชบัญญัติมาตรการป้องกันการกระทำความผิดซ้ำในความผิดเกี่ยวกับเพศหรือที่ใช้ความรุนแรง พ.ศ. 2565 ก็อาจถือเป็นการเปิดเผยข้อมูลส่วนบุคคลที่เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้

และสำหรับข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ หรือข้อมูลส่วนบุคคลอื่นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ก็อาจถือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุข ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ข) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว ที่ไม่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลได้ นอกจากนี้ ในกรณีที่มีเหตุอันควรเชื่อว่าอาจมีอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคลใดซึ่งไม่ไกลเกินกว่าเหตุ การเปิดเผยดังกล่าวยังอาจถือเป็นการเปิดเผยข้อมูลส่วนบุคคลเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (2) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และสำหรับข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ที่เจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมได้ ไม่ว่าด้วยเหตุใดก็ตาม ก็อาจถือเป็นกรณีตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ได้เช่นกัน ทั้งนี้ จะต้องจัดให้มีมาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่หรือตามจริยธรรมแห่งวิชาชีพ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ข) และ/หรือ (จ) ด้วย

นอกจากนี้ หากข้อมูลส่วนบุคคลที่ประสงค์จะเชื่อมโยงหรือแลกเปลี่ยนกันเป็นข้อมูลในรูปแบบข้อมูลดิจิทัล ซึ่งหน่วยงานของรัฐที่เกี่ยวข้องได้มาหรือมีอยู่ในความครอบครอง และประสงค์จะใช้เพื่อประโยชน์ในการบริหารราชการแผ่นดินและการให้บริการประชาชน ก็สามารถจัดให้มีการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่จะเกิดการบูรณาการร่วมกันได้ ตามมาตรา 13 แห่งพระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 โดยจะต้องปฏิบัติให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลด้วย ตามนัยมาตรา 16 แห่งพระราชบัญญัติดังกล่าว ทั้งนี้ หน่วยงานของรัฐผู้รับข้อมูลดิจิทัลดังกล่าวต้องใช้ข้อมูลตามวัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษาข้อมูลให้มีความมั่นคงปลอดภัย ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล ตามมาตรา 14 แห่งพระราชบัญญัติเดียวกัน

อย่างไรก็ตาม คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า เมื่อคำนึงถึงความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลในกรณีตามประเด็นที่หารือ การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลดังกล่าวต้องดำเนินการเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของหน่วยงานของรัฐที่เกี่ยวข้องในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เท่านั้น โดยอาจพิจารณาจากการจัดประเภทของผู้ป่วยจิตเวชและยาเสพติดที่มีความเสี่ยงสูงต่อการก่อความรุนแรง (SMI-V) และระดับความเสี่ยงของผู้ป่วยตามหลักเกณฑ์ที่กำหนด ตลอดจนลักษณะหรือประเภทของข้อมูลส่วนบุคคลที่เกี่ยวข้องและจำเป็นต้องเก็บรวบรวม ใช้ หรือเปิดเผยเพื่อให้บรรลุวัตถุประสงค์ดังกล่าว และบุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลจากการเปิดเผยดังกล่าวจะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับหน่วยงานที่เปิดเผยข้อมูลในการขอรับข้อมูลส่วนบุคคลนั้น ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ประเด็นข้อหารือที่ 2 เห็นว่า หน่วยงานของรัฐที่เกี่ยวข้องซึ่งมีการแลกเปลี่ยนข้อมูลส่วนบุคคลระหว่างกันตามที่กล่าวข้างต้น มีหน้าที่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยเฉพาะในเรื่องการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 โดยข้อ 4 ของประกาศนี้กำหนดว่า มาตรการดังกล่าวจะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยง ซึ่งการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Data Sharing Agreement: DSA) ถือเป็นมาตรการเชิงองค์กรอย่างหนึ่งเพื่อกำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อันจะเป็นการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่จะเปิดเผยให้กับหน่วยงานที่เกี่ยวข้อง และยังเป็นมาตรการเพื่อป้องกันมิให้หน่วยงานที่ได้รับข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง หรือเพื่อป้องกันมิให้ใช้หรือเปิดเผยโดยปราศจากอำนาจหรือโดยมิชอบ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) อีกด้วย ดังนั้น หากกรมสุขภาพจิตและหน่วยงานที่เกี่ยวข้องเห็นสมควร ก็ย่อมสามารถหารือและตกลงร่วมกันเพื่อจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกันได้

นอกจากนี้ มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว อย่างน้อยต้องประกอบด้วยการควบคุมการเข้าถึงข้อมูลส่วนบุคคล (access control) ที่มีการพิสูจน์และยืนยันตัวตน (identity proofing and authentication) และการอนุญาตหรือการกำหนดสิทธิในการเข้าถึงและใช้งาน (authorization) ที่เหมาะสม โดยคำนึงถึงหลักการให้สิทธิเท่าที่จำเป็น (need-to-know basis) ตามหลักการให้สิทธิที่น้อยที่สุดเท่าที่จำเป็น (principle of least privilege) การบริหารจัดการการเข้าถึงของผู้ใช้งาน (user access management) รวมถึงการลงทะเบียนและการถอนสิทธิผู้ใช้งาน และการทบทวนสิทธิการเข้าถึงของผู้ใช้งานที่เหมาะสม การกำหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน (user responsibilities) ที่ชัดเจน และการจัดให้มีวิธีการเพื่อให้สามารถตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง แก้ไข หรือลบข้อมูลส่วนบุคคล (audit trails) อย่างเหมาะสมตามระดับความเสี่ยง ทั้งนี้ ตามข้อ 4 (6) (ก) ถึง (ง) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 รวมถึงการสร้างเสริมความตระหนักรู้ด้านความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัย (privacy and security awareness) และการแจ้งนโยบาย แนวปฏิบัติ และมาตรการด้านการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัยอย่างเหมาะสมให้ผู้ใช้งานทราบและถือปฏิบัติ ตามข้อ 4 (7) ของประกาศดังกล่าวด้วย

อนึ่ง เมื่อคำนึงถึงความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลในกรณีดังกล่าว คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า กรมสุขภาพจิตและหน่วยงานที่เกี่ยวข้องจะต้องดำเนินการให้ข้อมูลส่วนบุคคลดังกล่าวถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด ตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งควรจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) เท่าที่จะสามารถกระทำได้ด้วย นอกจากนี้ ควรพิจารณาใช้ความระมัดระวังเป็นพิเศษสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เยาว์ ผู้พิการ ผู้ไร้ความสามารถ ผู้เสมือนไร้ความสามารถ หรือบุคคลเปราะบาง (vulnerable persons) ที่ขาดความสามารถในการปกป้องสิทธิและประโยชน์ของตนเนื่องจากข้อจำกัดต่าง ๆ

ประเด็นข้อหารือที่ 3 เมื่อได้พิจารณาแล้วว่า กรมสุขภาพจิตและหน่วยงานที่เกี่ยวข้องสามารถแลกเปลี่ยนข้อมูลส่วนบุคคลของผู้ป่วยทางจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรงระหว่างกันตามประเด็นข้อหารือที่ 1 ได้ จึงไม่จำเป็นต้องให้ความเห็นในประเด็นนี้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-2-2569.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/02/consultation-65.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/2-2569.md

============================================================
โนด: ข้อหารือ 3/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/3-2566.md

# ข้อหารือที่ 3/2566 เรื่อง คณะกรรมการข้าราชการครูและบุคลากรทางการศึกษา ขอหารือปัญหาและแนวทางการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6), [มาตรา 33](https://link.pdpalawbase.com/section/33.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติระเบียบข้าราชการครูและบุคลากรทางการศึกษา พ.ศ. 2547 และที่แก้ไขเพิ่มเติม

## ข้อหารือ

สำนักงานคณะกรรมการข้าราชการครูและบุคลากรทางการศึกษา (สำนักงาน ก.ค.ศ.) แจ้งว่า สำนักงาน ก.ค.ศ. ได้ปรับหลักเกณฑ์การประเมินวิทยฐานะใหม่ มุ่งเน้นการพัฒนาวิชาชีพมากกว่าการจัดทำผลงานทางวิชาการ มีการบูรณาการการทำงานที่เชื่อมโยงกัน โดยมีการประเมินไม่ยุ่งยากซับซ้อนและเป็นธรรม และนำระบบออนไลน์มาใช้ในการประเมินวิทยฐานะ จึงมีมติกำหนดหลักเกณฑ์และวิธีการประเมินตำแหน่งและวิทยฐานะของข้าราชการครูและบุคลากรทางการศึกษา โดยผู้ขอรับการประเมินตำแหน่งครู ตำแหน่งผู้บริหารสถานศึกษา และตำแหน่งศึกษานิเทศก์ ต้องจัดทำและส่งไฟล์วีดิทัศน์บันทึกการสอนในวิชา/สาขา/กลุ่มสาระการเรียนรู้ ซึ่งผู้ขอได้จัดทำขึ้นและนำไปสอนจริงในช่วงที่ดำรงตำแหน่ง รวมถึงไฟล์วีดิทัศน์การพัฒนาสถานศึกษาและการนิเทศการศึกษา และส่งข้อมูลให้สำนักงาน ก.ค.ศ. ผ่านระบบอิเล็กทรอนิกส์ เพื่อรับการประเมินผลงาน

สำนักงาน ก.ค.ศ. จึงขอหารือ ดังนี้:
1. ในกรณีที่ผู้ขอรับการประเมินจัดทำและส่งไฟล์วีดิทัศน์ อันมีลักษณะเป็นข้อมูลส่วนบุคคล เพื่อรับการประเมินตำแหน่งและวิทยฐานะตามหลักเกณฑ์ที่ ก.ค.ศ. กำหนด การเก็บรวบรวมข้อมูลดังกล่าวถือว่าเป็นข้อมูลที่อยู่ในบังคับตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) แห่ง PDPA ที่ไม่ต้องห้ามเก็บรวบรวมข้อมูลส่วนบุคคลโดยปราศจากความยินยอมหรือไม่ หรือมีกรณียกเว้นตามมาตราอื่นหรือไม่ อย่างไร
2. ในกรณีที่ไฟล์วีดิทัศน์เป็นข้อมูลส่วนบุคคลที่การเก็บรวบรวมต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล การดำเนินการจัดทำไฟล์วีดิทัศน์จะต้องเพิ่มเติมหลักเกณฑ์และวิธีการในเรื่องการให้เจ้าของข้อมูลส่วนบุคคลทราบถึงวัตถุประสงค์และการให้ความยินยอมตามหมวด 2 ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล แห่ง PDPA หรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า การที่สถานศึกษาหรือข้าราชการครูและบุคลากรทางการศึกษาตำแหน่งครู ตำแหน่งผู้บริหารสถานศึกษา และตำแหน่งศึกษานิเทศก์ ได้จัดทำและเก็บรวบรวมข้อมูลไฟล์วีดิทัศน์บันทึกการสอน รวมถึงไฟล์วีดิทัศน์การพัฒนาสถานศึกษาและการนิเทศการศึกษา ซึ่งมีข้อมูลส่วนบุคคลทั้งของผู้ขอรับการประเมินและของนักเรียนหรือบุคคลอื่นรวมอยู่ด้วย เพื่อรับการประเมินผลงานตามหลักเกณฑ์และวิธีการในการประเมินตำแหน่งและวิทยฐานะที่ ก.ค.ศ. กำหนด ซึ่งเป็นไปตามกฎหมายว่าด้วยระเบียบข้าราชการครูและบุคลากรทางการศึกษา นั้น ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลในหน้าที่และอำนาจตามกฎหมายดังกล่าว

ดังนั้น สำนักงาน ก.ค.ศ. และสถานศึกษาหรือหน่วยงานของรัฐที่เกี่ยวข้อง จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล โดยอาศัยฐานทางกฎหมายในการเก็บรวบรวมข้อมูลส่วนบุคคล ซึ่งเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้รับมอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) แห่ง PDPA จึงสามารถเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้ โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) แต่อย่างใด

อย่างไรก็ดี สำนักงาน ก.ค.ศ. ควรกำหนดหลักเกณฑ์และวิธีการในการเก็บรวบรวมไฟล์วีดิทัศน์ที่มีข้อมูลส่วนบุคคลของนักเรียนหรือบุคคลอื่น โดยให้ผู้จัดทำไฟล์วีดิทัศน์และเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว แจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้นักเรียนและ/หรือผู้ปกครองของนักเรียน รวมถึงบุคคลอื่นที่จะมีการเก็บรวบรวมข้อมูลส่วนบุคคล ทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล โดยระบุวัตถุประสงค์ที่ครอบคลุมถึงการใช้เพื่อขอรับการประเมินตำแหน่งและวิทยฐานะของข้าราชการครูและบุคลากรทางการศึกษาผู้ขอรับการประเมิน ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่ง PDPA รวมทั้งจะต้องเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็น และใช้ตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) และ [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่ง PDPA

ทั้งนี้ เมื่อได้ใช้ไฟล์วีดิทัศน์ดังกล่าวเสร็จสิ้นแล้ว สำนักงาน ก.ค.ศ. อาจเก็บไว้อ้างอิงได้เท่าที่จำเป็น แต่เมื่อหมดความจำเป็นในการใช้ไฟล์ข้อมูลดังกล่าวแล้ว จะต้องลบ หรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) แห่ง PDPA

อนึ่ง สำนักงาน ก.ค.ศ. ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามที่กำหนดไว้ใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งอย่างน้อยต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-3-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-03.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/3-2566.md

============================================================
โนด: ข้อหารือ 3/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/3-2567.md

# ข้อหารือที่ 3/2567 เรื่อง แพทยสภาขอหารือการกำหนดข้อมูลส่วนบุคคลของใบรับรองแพทย์

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง, [มาตรา 30](https://link.pdpalawbase.com/section/30.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md)
2. พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 — มาตรา 7
3. พระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 — มาตรา 7

## ข้อหารือ

แพทยสภาขอหารือการกำหนดข้อมูลส่วนบุคคลในใบรับรองแพทย์ · แพทยสภากำหนดแบบฟอร์ม 2 แบบ: (1) ใบรับรองแพทย์สำหรับการตรวจสุขภาพ ฉบับปี พ.ศ. 2561 (2) ใบรับรองแพทย์สำหรับใบอนุญาตขับรถ ฉบับปี พ.ศ. 2564 · ในส่วนที่ 1 ผู้ขอกรอกข้อมูลส่วนบุคคล (ชื่อ-สกุล ที่อยู่ โรคประจำตัว ฯลฯ) · เหตุผล: บางกรณีเข้ารักษาครั้งแรก ไม่มีประวัติในเวชระเบียน · ผู้ป่วยต้องกรอกและยืนยันเอง

แพทยสภาขอหารือ 3 ประเด็น:
1. ในส่วนที่ 1 ของแบบฟอร์มทั้ง 2 แบบ ให้ผู้ป่วยกรอกข้อมูลอ่อนไหว + ลงนามรับรอง ทำได้หรือไม่ · ขัด PDPA หรือไม่
2. เจ้าของข้อมูลเปิดเผยข้อมูลใบรับรองต่อบุคคลที่สาม ทำได้แค่ไหน
3. ข้อเสนอแนะอื่นๆ ของใบรับรองแพทย์

## ความเห็น

**ข้อ 1** สถานพยาบาล (หรือนิติบุคคลที่มีสถานพยาบาลในสังกัด) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถเก็บข้อมูลสุขภาพในการให้บริการสุขภาพแก่ผู้ป่วยได้ ไม่ว่าจะเป็นการบันทึกในเวชระเบียนหรือเอกสารอื่น · ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) แห่ง PDPA (จำเป็นในการปฏิบัติตามกฎหมาย/ระเบียบเกี่ยวกับการรักษาพยาบาล หรือเป็นการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลกับผู้ประกอบวิชาชีพทางการแพทย์)

การออกใบรับรองแพทย์/ใบรับรองสุขภาพดังกล่าวถือเป็นส่วนหนึ่งของการดำเนินการตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) ด้วย · **จึงสามารถเก็บรวบรวมข้อมูลส่วนบุคคลได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md)**

แต่จะเก็บข้อมูลมากน้อยเพียงใด ต้องพิจารณาจากวัตถุประสงค์และเหตุผลความจำเป็นในการขอใช้ใบรับรอง · เช่น ใบรับรองแพทย์สำหรับใบอนุญาตขับรถ จำเป็นต้องระบุประวัติสุขภาพเกี่ยวกับโรคลมชัก (เนื่องจากเป็นโรคที่อาจเป็นอันตรายขณะขับรถตามที่แพทยสภากำหนดตามกฎหมาย + เงื่อนไขกรมการขนส่งทางบก) · ในบางกรณีไม่ปรากฏประวัติในเวชระเบียน จึงจำเป็นต้องอาศัยข้อมูลที่ผู้ขอแจ้ง · ดังนั้น แพทยสภาและสถานพยาบาลที่เกี่ยวข้องควรพิจารณากำหนดข้อมูลที่ผู้ขอต้องกรอกตามความจำเป็นและเหมาะสมแก่วัตถุประสงค์ · ให้ลงนามรับรองได้ตามความเหมาะสม

**ข้อ 2** มาตรา 7 แห่ง พ.ร.บ. สุขภาพแห่งชาติ บัญญัติว่า "ข้อมูลด้านสุขภาพของบุคคล เป็นความลับส่วนบุคคล ผู้ใดจะนำไปเปิดเผยในประการที่น่าจะทำให้บุคคลนั้นเสียหายไม่ได้ เว้นแต่การเปิดเผยนั้นเป็นไปตามความประสงค์ของบุคคลนั้นโดยตรง หรือมีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผย..." — บทบัญญัติดังกล่าวห้ามผู้ที่ไม่ใช่เจ้าของข้อมูลเปิดเผยข้อมูลสุขภาพ

[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่ง PDPA ห้ามผู้ควบคุมข้อมูลส่วนบุคคลเปิดเผยข้อมูลสุขภาพโดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล เว้นแต่จะเป็นกรณีที่ได้รับยกเว้น · **แต่ไม่ได้ห้ามหรือกำหนดหลักเกณฑ์ในกรณีที่เจ้าของข้อมูลมีความประสงค์ที่จะเปิดเผยข้อมูลสุขภาพของตนแก่ผู้อื่น**

ในทางกลับกัน [มาตรา 30](https://link.pdpalawbase.com/section/30.md) บัญญัติให้เจ้าของข้อมูลมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตนซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูล · เจ้าของข้อมูลย่อมสามารถนำข้อมูลส่วนบุคคล (รวมถึงข้อมูลสุขภาพ) ไปดำเนินการอย่างใดต่อไปก็ได้

**ดังนั้น การเปิดเผยข้อมูลในใบรับรองแพทย์ต่อบุคคลอื่นโดยเจ้าของข้อมูลเอง (หรือผู้มีอำนาจกระทำการแทน) จึงสามารถกระทำได้ โดยไม่ขัดต่อ พ.ร.บ. สุขภาพแห่งชาติ + PDPA**

**ข้อ 3** ข้อมูลในใบรับรองแพทย์/ใบรับรองสุขภาพเป็นข้อมูลส่วนบุคคลของผู้ขอ โดยเฉพาะข้อมูลสุขภาพที่อาจเกิดผลกระทบต่อสิทธิและเสรีภาพ · **บุคคล/หน่วยงานที่นำใบรับรองไปใช้ หรือเก็บรวบรวมข้อมูลจากใบรับรอง ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยและการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md)** · แพทยสภาอาจระบุคำแนะนำในแบบฟอร์ม หรือกำหนดแนวปฏิบัติเพื่อให้ผู้นำใบรับรองไปใช้ถือปฏิบัติได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-3-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-32.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/3-2567.md

============================================================
โนด: ข้อหารือ 3/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/3-2568.md

# ข้อหารือที่ 3/2568 เรื่อง สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย หารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1), [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5), [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคหนึ่งและวรรคสอง, [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) (4) (5) (6), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) (5) (จ), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสอง, [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (2) แห่ง PDPA + พ.ร.บ.ข้อมูลข่าวสารของราชการ พ.ศ. 2540 ม.4/25 + พ.ร.บ. คปภ. ม.17/20 (2) + ประกาศนายทะเบียนฯ ฉ้อฉล 2564 + ประกาศมาตรการรักษาความมั่นคงปลอดภัยฯ 2565 ข้อ 4)_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — แต่ในความเห็นได้สรุปประเด็นข้อหารือ 6 ประเด็น: ฐานข้อมูลฉ้อฉลประกันภัย, แลกเปลี่ยนข้อมูลกรมธรรม์ระหว่างบริษัท, ข้อมูล sensitive ตาม ม.26, แนวทางสำหรับธุรกิจประกันชีวิต/วินาศภัยที่แตกต่าง, หน่วยงานรัฐอื่นขอเชื่อมโยง, ทายาท/ผู้รับประโยชน์ขอข้อมูลกรมธรรม์)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการ
คุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าวแล้ว
เห็นว่า การดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลของสำนักงาน คปภ. ต้องพิจารณาหลักเกณฑ์การคุ้มครอง
ข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยในขณะเดียวกัน
สำนักงาน คปภ. มีฐานะเป็นหน่วยงานของรัฐตามมาตรา 17 วรรคหนึ่ง แห่งพระราชบัญญัติคณะกรรมการ
กำกับและส่งเสริมการประกอบธุรกิจประกันภัย พ.ศ. 2550 การบริหารจัดการข้อมูลข่าวสารที่อยู่ใน
ความครอบครองหรือควบคุมดูแลของสำนักงาน คปภ. จะต้องถือปฏิบัติตามพระราชบัญญัติข้อมูลข่าวสาร
ของราชการ พ.ศ. 2540 ด้วย ซึ่งเป็นไปตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 ที่กำหนดว่า "ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
ในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น
เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิ
ของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้
เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม" ดังนั้น ในข้อหารือ
บางประเด็นที่เกี่ยวข้องกับพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 สำนักงาน คปภ.
อาจพิจารณาหารือไปยังคณะกรรมการข้อมูลข่าวสารของราชการ ซึ่งมีอำนาจหน้าที่ตามพระราชบัญญัตินี้
เพื่อตอบข้อหารือในประเด็นดังกล่าวโดยตรงต่อไป
สำหรับประเด็นข้อหารือของสำนักงาน คปภ. ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 คณะอนุกรรมการตอบข้อหารือฯ พิจารณาแล้วมีความเห็นในแต่ละประเด็น ดังนี้

### ประเด็นข้อหารือที่ 1 (ฐานข้อมูลฉ้อฉลประกันภัย)

สำนักงาน คปภ. เป็นหน่วยงานที่มีอำนาจหน้าที่ในการกำกับ ส่งเสริม และพัฒนา
การประกอบธุรกิจประกันภัยตามนโยบายและมติของคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจ
ประกันภัย (คปภ.) ตลอดจนหลักเกณฑ์ วิธีการ เงื่อนไข และแนวปฏิบัติที่ คปภ. กำหนด ซึ่งปรากฏ
ตามมาตรา 20 (2) แห่งพระราชบัญญัติคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย
พ.ศ. 2550 และมีฐานะเป็นนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผย
ข้อมูลส่วนบุคคล เพื่อให้บรรลุวัตถุประสงค์ตามอำนาจหน้าที่ที่กฎหมายกำหนด จึงมีฐานะเป็นผู้ควบคุมข้อมูล
ส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การจะจัดทำ
ระบบฐานข้อมูลเกี่ยวกับการฉ้อฉลประกันภัย และขอให้สำนักงาน คปภ. เปิดเผยข้อมูลในฐานข้อมูลดังกล่าว
ให้แก่บริษัทประกันภัยจะสามารถดำเนินการได้หรือไม่ เพียงใด นั้น สำนักงาน คปภ. ต้องพิจารณาจากกฎหมาย
ที่เกี่ยวข้องกับการประกันวินาศภัยหรือการประกันชีวิต รวมถึงกฎหมายว่าด้วยคณะกรรมการกำกับและส่งเสริม
การประกอบธุรกิจประกันภัยว่า การจัดทำฐานข้อมูลดังกล่าวมีวัตถุประสงค์อย่างไร ข้อมูลที่เก็บรวบรวมใน
ระบบฐานข้อมูลจะเปิดเผยให้ผู้ใดได้บ้าง และเป็นการดำเนินการตามอำนาจหน้าที่ของสำนักงาน คปภ. เพื่อให้
บรรลุวัตถุประสงค์ในการกำกับ ส่งเสริม และพัฒนาการประกอบธุรกิจประกันภัยตามนโยบายและมติของ คปภ.
ตลอดจนหลักเกณฑ์ วิธีการ เงื่อนไข และแนวปฏิบัติที่ คปภ. กำหนดหรือไม่ หากเป็นกรณีดังกล่าว สำนักงาน คปภ.
ก็สามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับการฉ้อฉลประกันภัยโดยได้รับยกเว้นไม่ต้องขอความยินยอมได้
เนื่องจากเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูล
ส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)
หรือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) หรือเป็นการจำเป็น
ในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ โดยได้จัดให้มี
มาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แล้วแต่กรณี ทั้งนี้ เนื่องจากการตรวจสอบ
ป้องกัน และแก้ไขปัญหาการฉ้อฉลประกันภัย เป็นมาตรการหนึ่งในการกำกับดูแลการประกอบธุรกิจประกันภัย
อันมีลักษณะเป็นธุรกรรมทางการเงินประเภทหนึ่งซึ่งมีผลกระทบโดยตรงต่อระบบเศรษฐกิจและการเงิน
ของประเทศและต่อผู้เอาประกันภัยซึ่งเป็นผู้บริโภค การกำกับดูแลการประกอบธุรกิจประกันภัยและ
การคุ้มครองสิทธิของผู้เอาประกันภัยโดยรวมที่เป็นไปอย่างมีประสิทธิภาพ จึงเป็นวัตถุประสงค์เกี่ยวกับ
ประโยชน์สาธารณะที่สำคัญ นอกจากนี้ หากสำนักงาน คปภ. พิจารณาแล้วเห็นว่า มีความจำเป็นต้องใช้
หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวให้แก่บริษัทประกันภัย ในฐานะที่สำนักงาน คปภ. เป็นหน่วยงาน
กำกับดูแลและบริหารจัดการข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ดังกล่าว การเก็บรวบรวม ใช้
และเปิดเผยข้อมูลส่วนบุคคลระหว่างสำนักงาน คปภ. กับบริษัทประกันภัยต่าง ๆ เพื่อประโยชน์
ในการตรวจสอบ ป้องกัน และแก้ไขปัญหาการฉ้อฉลประกันภัย ก็สามารถดำเนินการได้ โดยได้รับยกเว้นไม่ต้อง
ขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

อย่างไรก็ตาม ตามประเด็นที่หารือ หากบริษัทประกันภัยประสงค์จะแลกเปลี่ยนข้อมูล
ส่วนบุคคลของผู้เอาประกันภัยระหว่างกัน โดยการจัดทำและบริหารจัดการศูนย์ข้อมูลกลางด้านการประกันภัย
ร่วมกันเองโดยลำพังโดยสำนักงาน คปภ. ไม่ได้เป็นผู้ดำเนินการ บริษัทประกันภัยไม่อาจอาศัยบทบัญญัติ
ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (6) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) แล้วแต่กรณี ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล
ส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าวได้เองโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ถ้าไม่ได้มี
บทบัญญัติตามกฎหมายที่เกี่ยวข้องกำหนดไว้ซึ่งบริษัทประกันภัยจำเป็นต้องปฏิบัติตาม และไม่ได้เป็น
การปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่บริษัทประกันภัย

อนึ่ง คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า ในการเก็บรวบรวม ใช้
และเปิดเผยข้อมูลส่วนบุคคลในฐานข้อมูลกลางเกี่ยวกับการฉ้อฉลประกันภัยให้แก่บริษัทประกันภัยนั้น
สำนักงาน คปภ. ควรดำเนินการเท่าที่จำเป็น เพื่อให้เป็นไปตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 โดยอาจพิจารณาดำเนินการในลักษณะระบบตรวจสอบ เช่น เมื่อบริษัทประกันภัยได้
สอบถามข้อมูลมายังระบบฐานข้อมูลกลางเกี่ยวกับการฉ้อฉลประกันภัยของสำนักงาน คปภ. ว่า ลูกค้าหรือ
ผู้เอาประกันภัยมีการฉ้อฉลประกันภัยหรือไม่ ระบบดังกล่าวจะทำหน้าที่ในการส่งต่อคำร้องขอดังกล่าว
ไปยังผู้เกี่ยวข้องภายในสำนักงาน คปภ. เพื่อตรวจสอบประวัติการฉ้อฉล แล้วจึงแจ้งผลการตรวจสอบดังกล่าว
ผ่านทางระบบว่า พบประวัติการฉ้อฉลหรือไม่ พร้อมระบุรายละเอียดที่เกี่ยวข้องเท่าที่จำเป็น โดยควรจำกัดสิทธิ
ของบุคคลที่จะเข้าถึงข้อมูลดังกล่าวให้น้อยที่สุด และจัดให้มีมาตรการรักษาความมั่นคงปลอดภัย ซึ่งจะต้อง
ประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical
measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อให้
ข้อมูลดังกล่าวที่อยู่ในความครอบครองหรือควบคุมดูแลของสำนักงาน คปภ. ยังคงธำรงไว้ซึ่งความลับ
(confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของข้อมูล
ส่วนบุคคล ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับ
ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูล
ส่วนบุคคล พ.ศ. 2565

สำหรับประเด็นว่า พฤติกรรมการฉ้อฉลตามประกาศนายทะเบียน 2564 จะเข้าข่ายเป็นข้อมูลประวัติอาชญากรรมตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) หรือไม่ คณะอนุกรรมการตอบข้อหารือฯ เห็นว่า ต้องพิจารณาตามบทนิยามในข้อ 3 ของประกาศ คกก. 2566 — พฤติกรรมที่มีเหตุอันควรสงสัย จะเป็นข้อมูลประวัติอาชญากรรมต่อเมื่อเป็นข้อมูลในเชิงพฤติกรรมที่เชื่อมโยงกับการสืบสวน/ดำเนินคดี/รับโทษทางอาญา และเป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานรัฐที่มีอำนาจ (เช่น กองทะเบียนประวัติอาชญากร สตช. หรือกรมราชทัณฑ์) เท่านั้น · หากยังไม่ได้นำไปดำเนินการอาญา ก็ยังไม่ถือเป็นประวัติอาชญากรรม · ต้องพิจารณาเป็นรายกรณี · ไม่ว่าจะเป็นประวัติอาชญากรรมหรือไม่ก็ตาม การเก็บข้อมูลดังกล่าวยังต้องเก็บเท่าที่จำเป็นตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) + มาตรการ security ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)

### ประเด็นข้อหารือที่ 2 (แลกเปลี่ยนข้อมูลกรมธรรม์ระหว่างบริษัทประกันภัย)

การเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับกรมธรรม์ประกันภัยจากฐานข้อมูลกลางประกันภัย
แก่ภาคธุรกิจประกันภัยเพื่อประโยชน์ต่อการประกอบธุรกิจประกันภัย กรณีที่เป็นข้อมูลส่วนบุคคลที่มิใช่ข้อมูล
ส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หากไม่มีกฎหมายใด
กำหนดไว้เป็นการเฉพาะให้ต้องเปิดเผยข้อมูลส่วนบุคคลอันเป็นการปฏิบัติตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ
[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว และเป็นกรณีที่มีความจำเป็นในการกำกับดูแลหรือส่งเสริม
การประกอบธุรกิจประกันภัยโดยรวม ตามนโยบายและมติของ คปภ. ตลอดจนหลักเกณฑ์ วิธีการ เงื่อนไข
และแนวปฏิบัติที่ คปภ. กำหนด ซึ่งเป็นอำนาจหน้าที่ประการหนึ่งของสำนักงาน คปภ. ก็อาจพิจารณา
เก็บรวบรวมข้อมูลส่วนบุคคลโดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ เนื่องจาก
เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล
หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) แต่ใน
การพิจารณาใช้ฐานทางกฎหมายดังกล่าว สำนักงาน คปภ. จะต้องพิจารณาตามหลักความจำเป็นและ
หลักความได้สัดส่วนว่าการดำเนินการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวจำเป็นต้องมีขึ้นเพื่อให้การปฏิบัติหน้าที่
ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของสำนักงาน คปภ. หรือการปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้
มอบให้แก่สำนักงาน คปภ. สามารถสัมฤทธิ์ผลได้ใช่หรือไม่ นอกจากนี้ หากมีการเปิดเผยข้อมูลส่วนบุคคล
ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) เช่น ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมหรือข้อมูลสุขภาพ สำนักงาน คปภ. ก็อาจ
พิจารณาดำเนินการโดยได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลได้
โดยถือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ
ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) โดยจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์
ของผู้เอาประกันภัยที่เป็นเจ้าของข้อมูลส่วนบุคคล ซึ่งควรประกอบด้วยมาตรการเชิงองค์กร (organizational
measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสมกับระดับความเสี่ยง โดยเฉพาะ
อย่างยิ่ง สำนักงาน คปภ. ในฐานะหน่วยงานกำกับดูแลควรพิจารณากำหนดนโยบายหรือหลักเกณฑ์ให้
บริษัทประกันภัยกำหนดเงื่อนไขในแบบคำขอเอาประกันภัย และระบุข้อมูลในการแจ้งวัตถุประสงค์และ
รายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 ว่าผู้รับประกันภัยจำเป็นจะต้องตรวจสอบข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัย
เพื่อการเข้าทำสัญญากรมธรรม์ประกันภัยหรือการให้บริการตามสัญญากรมธรรม์ประกันภัย เนื่องจาก
ผู้เอาประกันภัยมีหน้าที่ต้องเปิดเผยหรือให้ข้อมูลที่เป็นความจริง ไม่ปกปิด หรือให้ข้อมูลอันเป็นเท็จ
แก่ผู้รับประกันภัย ตามหลักการที่สำคัญประการหนึ่งของการทำสัญญาประกันภัย คือ หลักสุจริตอย่างยิ่ง
(Principle of Utmost Good Faith) จึงถือเป็นกรณีที่ผู้เอาประกันภัยในฐานะเจ้าของข้อมูลส่วนบุคคล
ต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือสัญญาหรือมีความจำเป็นต้องให้ข้อมูลส่วนบุคคล
เพื่อเข้าทำสัญญา ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2) แห่งพระราชบัญญัตินี้ โดยผู้รับประกันภัยมีหน้าที่ต้องแจ้งถึงผลกระทบ
ที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล ตามเงื่อนไขในมาตราดังกล่าวด้วย

อย่างไรก็ตาม หากบริษัทประกันภัยประสงค์จะแลกเปลี่ยนข้อมูลส่วนบุคคลของผู้เอาประกันภัยระหว่างกัน โดยจัดทำศูนย์ข้อมูลกลางร่วมกันเองโดยลำพัง โดยสำนักงาน คปภ. ไม่ได้เป็นผู้ดำเนินการ บริษัทประกันภัยไม่อาจอาศัย [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)/(6) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ได้เอง ถ้าไม่มีกฎหมายเฉพาะกำหนด

### ประเด็นข้อหารือที่ 3 (ข้อมูลอ่อนไหวเพื่อ underwriting + นิยาม "ประโยชน์สาธารณะที่สำคัญ")

สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบริษัทประกันภัย ไม่ว่าเป็น
ข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) หรือไม่ก็ตาม จะต้องเป็นไปตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคล
ไว้ก่อนหรือในขณะที่เก็บรวบรวม ตามที่บัญญัติไว้ใน [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคหนึ่ง · การใช้/เปิดเผยตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
วรรคหนึ่ง ต้องสอดคล้องกับวัตถุประสงค์เดิม เว้นแต่จะแจ้งใหม่+ได้รับความยินยอม หรือมีกฎหมายให้กระทำ
ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง · การพิจารณารับประกันภัย/คำนวณเบี้ย/ชดใช้ค่าสินไหม = ปฏิบัติตามสัญญา
ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) ไม่ใช่การก่อตั้งสิทธิเรียกร้องตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) · ดังนั้นข้อมูล sensitive ที่ใช้สำหรับ
underwriting/contract ต้องขอความยินยอมโดยชัดแจ้งตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
เว้นแต่เข้าข้อยกเว้นอื่น · [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) เหมาะสำหรับสถานพยาบาลเปิดเผยข้อมูลผู้ป่วยเพื่อเรียกเก็บค่ารักษา
ตามกรมธรรม์.

สำหรับ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) "ประโยชน์สาธารณะที่สำคัญ" — PDPA ไม่ได้กำหนดนิยามไว้ชัดแจ้ง
ดังเช่น UK Data Protection Act 2018 · อย่างไรก็ตาม คปภ. หรือสำนักงาน คปภ. มีอำนาจกำหนดหลักเกณฑ์
เกี่ยวกับการประกอบธุรกิจประกันภัยที่บังคับให้บริษัทประกันภัยต้องเก็บ/ใช้/เปิดเผยข้อมูลเพื่อประโยชน์
สาธารณะได้ · เมื่อ คปภ. กำหนดหลักเกณฑ์แล้ว บริษัทประกันภัยที่ปฏิบัติตามย่อมใช้ฐาน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ)
ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งได้

### ประเด็นข้อหารือที่ 4 (แนวทางเฉพาะธุรกิจประกันชีวิต vs วินาศภัย)

การประกอบธุรกิจประกันภัย ไม่ว่าจะเป็นธุรกิจประกันชีวิตหรือธุรกิจประกันวินาศภัย
ล้วนมีลักษณะการดำเนินงานที่จำเพาะและอาจมีบริบทและรายละเอียดในการดำเนินงานที่แตกต่างกัน
การกำหนดแนวปฏิบัติที่จะมีผลกระทบต่อผู้ประกอบธุรกิจหรือบุคคลอื่นที่เกี่ยวข้องโดยตรง จึงควรเป็น
การดำเนินการของหน่วยงานที่เกี่ยวข้องซึ่งทราบบริบทของการดำเนินการในภาคธุรกิจดังกล่าวเป็นอย่างดี
ดังนั้น สำนักงาน คปภ. ในฐานะหน่วยงานของรัฐที่มีอำนาจหน้าที่ในการกำกับ ส่งเสริมและพัฒนาการประกอบ
ธุรกิจประกันภัย จึงสามารถกำหนดหลักเกณฑ์ มาตรฐาน หรือแนวปฏิบัติที่เหมาะสมสำหรับการดำเนินงาน
ทั้งปวงที่เกี่ยวข้องกับภาคธุรกิจประกันภัยได้ ซึ่งอาจรวมถึงแนวปฏิบัติหรือข้อกำหนดสำหรับการเก็บรวบรวม
ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ประกอบธุรกิจประกันภัย เพื่อให้การดำเนินงานในแต่ละประเภท
ของธุรกิจดังกล่าวมีความเหมาะสมและสามารถบรรลุวัตถุประสงค์ของกิจการนั้น ๆ ได้ แต่จะต้องไม่ขัด
กับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือกฎหมายอื่นที่เกี่ยวข้อง · อาจหารือกับ สคส. ก่อนได้

### ประเด็นข้อหารือที่ 5 (หน่วยงานรัฐอื่นขอเชื่อมโยงข้อมูล)

การดำเนินการของหน่วยงานของรัฐที่ประสงค์จะขอเชื่อมโยงข้อมูลส่วนบุคคลเกี่ยวกับข้อมูล
กรมธรรม์ประกันภัยจากระบบฐานข้อมูลของสำนักงาน คปภ. จะต้องดำเนินการโดยเป็นไปตามหลักเกณฑ์
ที่กฎหมายกำหนดหน้าที่และอำนาจไว้สำหรับแต่ละหน่วยงานดังกล่าว ดังนั้น ในการเปิดเผยข้อมูลส่วนบุคคล
ให้กับหน่วยงานของรัฐดังกล่าว สำนักงาน คปภ. จะต้องพิจารณาว่าเป็นกรณีที่จะเปิดเผยให้หน่วยงานดังกล่าว
เพื่อวัตถุประสงค์ใด สำหรับกรณีที่เป็นการเปิดเผยเนื่องจากเป็นหน้าที่ที่ต้องปฏิบัติตามกฎหมาย ย่อมถือได้ว่า
เป็นการปฏิบัติตามกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่ในกรณีที่ไม่ใช่การปฏิบัติ
ตามกฎหมายแต่เป็นเพียงการขอความร่วมมือ ซึ่งไม่มีสภาพบังคับให้สำนักงาน คปภ. ต้องปฏิบัติตาม
หากสำนักงาน คปภ. พิจารณาแล้วเห็นว่าการเปิดเผยข้อมูลส่วนบุคคลให้แก่หน่วยงานของรัฐที่ร้องขอดังกล่าว
มีความจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของหน่วยงานนั้น หรือปฏิบัติ
หน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่หน่วยงานนั้น ซึ่งเป็นไปตามหน้าที่และอำนาจของหน่วยงานดังกล่าว
ก็สามารถอาศัยข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
ได้ โดยหน่วยงานของรัฐผู้ขอข้อมูลต้องเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลนั้นเท่าที่จำเป็นภายใต้
หน้าที่และอำนาจของตนตามกฎหมายที่เกี่ยวข้องเท่านั้น ตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md) และจะต้องไม่ใช้หรือเปิดเผย
ข้อมูลส่วนบุคคลดังกล่าวเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับสำนักงาน คปภ.
ในการขอรับข้อมูลส่วนบุคคลนั้นตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง รวมทั้งมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคง
ปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคลประกาศกำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษา
ความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 นอกจากนี้ ในการเปิดเผยข้อมูลส่วนบุคคล
ดังกล่าวให้กับหน่วยงานอื่น สำนักงาน คปภ. ต้องดำเนินการเพื่อป้องกันมิให้หน่วยงานนั้นใช้หรือเปิดเผยข้อมูล
ส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) ในส่วนที่สามารถกระทำได้ด้วย

ทั้งนี้ ในกรณีที่หน่วยงานของรัฐอื่นร้องขอให้สำนักงาน คปภ. จัดทำระบบเชื่อมโยงข้อมูล
ส่วนบุคคลระหว่างกัน เพื่อเปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัยเป็นจำนวนมาก
จากระบบฐานข้อมูลกลางด้านการประกันภัย โดยกล่าวอ้างวัตถุประสงค์อย่างกว้าง ๆ เพื่อประโยชน์ใน
การป้องกันการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมาย หรือตรวจสอบการปฏิบัติตามกฎหมายที่หน่วยงานดังกล่าว
กำกับดูแล แต่ไม่มีการระบุหรือชี้แจงบทบัญญัติแห่งกฎหมายที่ให้อำนาจในการขอข้อมูลส่วนบุคคลดังกล่าวไว้
อย่างชัดเจน ควรเป็นหนึ่งในปัจจัยที่สำนักงาน คปภ. คำนึงถึงอย่างรอบคอบเพื่อประกอบการพิจารณาใช้
ดุลพินิจในการเปิดเผยข้อมูลกรมธรรม์ประกันภัยของสำนักงาน คปภ. ตามคำขอของหน่วยงานดังกล่าว

อนึ่ง ในกรณีที่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของหน่วยงานของรัฐที่ร้องขอ
ข้อมูลส่วนบุคคลดังกล่าวจากสำนักงาน คปภ. เป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา
ซึ่งครอบคลุมตั้งแต่กระบวนการเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ข้อเท็จจริงและ
รายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา การพิจารณาความผิดอาญา
และการลงโทษผู้กระทำความผิดอาญา หรือเป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษา
ความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน รวมทั้งหน้าที่เกี่ยวกับการป้องกัน
และปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ หรือการรักษาความมั่นคงปลอดภัยไซเบอร์ การดำเนินการ
ของหน่วยงานของรัฐดังกล่าวที่เป็นไปตามหน้าที่และอำนาจตามกฎหมาย ย่อมได้รับยกเว้นไม่ให้นำบทบัญญัติ
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) หรือ (5) แล้วแต่กรณี
แต่การเปิดเผยข้อมูลส่วนบุคคลให้กับหน่วยงานของรัฐดังกล่าวโดยสำนักงาน คปภ. ยังคงต้อง
นำพระราชบัญญัตินี้มาใช้บังคับ สำนักงาน คปภ. จึงยังคงต้องปฏิบัติตามพระราชบัญญัติดังกล่าว
ตามที่ได้ให้ความเห็นไว้ข้างต้น

### ประเด็นข้อหารือที่ 6 (ทายาท/ผู้รับประโยชน์ขอข้อมูลกรมธรรม์)

การที่สำนักงาน คปภ. จะเปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัย
จากระบบฐานข้อมูลกลางด้านการประกันภัยให้แก่ทายาท ผู้รับประโยชน์ หรือผู้มีสิทธิเรียกร้องตามกรมธรรม์
ประกันภัย เพื่อตรวจสอบว่าผู้เอาประกันภัยมีการจัดทำประกันภัยไว้หรือไม่ หรือกับบริษัทใด ก่อนดำเนินการ
ใช้สิทธิเรียกร้องค่าสินไหมทดแทน ทั้งนี้ เพื่อประโยชน์ในการให้บริการแก่ประชาชน คุ้มครองสิทธิประโยชน์
ของประชาชน และสร้างความเป็นธรรมด้านการประกันภัย นั้น จะต้องพิจารณาก่อนว่าข้อมูลเกี่ยวกับ
กรมธรรม์ประกันภัยของผู้เอาประกันภัยดังกล่าวเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 หรือไม่ โดยอาจแยกพิจารณาได้ ดังนี้

**1) กรณีที่ผู้เอาประกันภัยได้ถึงแก่กรรมแล้ว** ข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยดังกล่าว
จะไม่เป็นข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องจาก [มาตรา 6](https://link.pdpalawbase.com/section/6.md)
แห่งพระราชบัญญัติดังกล่าว กำหนดว่า "ข้อมูลส่วนบุคคล" หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถ
ระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น
การเปิดเผยข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้เอาประกันภัยที่ถึงแก่กรรมแล้วให้กับทายาท
ผู้รับประโยชน์ หรือผู้มีสิทธิเรียกร้องตามกรมธรรม์ประกันภัย จึงไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างไรก็ตาม ข้อมูลดังกล่าวยังเป็น "ข้อมูลข่าวสารส่วนบุคคล"
ตามบทนิยามในมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ดังนั้น สำนักงาน คปภ.
จึงต้องพิจารณาดำเนินการให้เป็นไปตามกฎหมายดังกล่าว หรือกฎหมายอื่นที่เกี่ยวข้องต่อไปด้วย นอกจากนี้
มีข้อสังเกตว่า ในกรณีที่ผู้เอาประกันภัยซึ่งเป็นเจ้าของข้อมูลถึงแก่กรรม และมิได้ทำพินัยกรรมกำหนดไว้
เป็นอย่างอื่น ทายาทหรือบุคคลตามที่กำหนดในกฎกระทรวงย่อมมีสิทธิดำเนินการแทนเจ้าของข้อมูลที่
ถึงแก่กรรมแล้วได้ ตามมาตรา 25 วรรคห้า แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540

**2) กรณีที่ผู้เอาประกันภัยยังมีชีวิตอยู่** ข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของผู้นั้น เป็นข้อมูล
ส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำนักงาน คปภ. จึงต้องพิจารณาว่า
การเปิดเผยข้อมูลส่วนบุคคลดังกล่าวมีบทบัญญัติแห่งกฎหมายใดกำหนดให้สำนักงาน คปภ. ต้องเปิดเผยข้อมูล
ส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าวหรือไม่ หากมีกฎหมายเช่นว่านั้น สำนักงาน คปภ. ก็สามารถเปิดเผยข้อมูล
ส่วนบุคคลดังกล่าวโดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ เนื่องจากเป็น
การปฏิบัติตามกฎหมายของสำนักงาน คปภ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6)
หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 อย่างไรก็ตาม ในกรณีที่ไม่มีบทบัญญัติแห่งกฎหมายใดกำหนดหน้าที่ในการเปิดเผยข้อมูล
ตามข้างต้น สำนักงาน คปภ. อาจพิจารณาเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยได้รับยกเว้นไม่ต้อง
ขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ หากพิจารณาแล้วเห็นว่าการเปิดเผยนั้นเป็นการจำเป็นเพื่อ
การกำกับ ส่งเสริม และพัฒนาการประกอบธุรกิจประกันภัยตามนโยบายและมติของ คปภ. ตลอดจน
หลักเกณฑ์ วิธีการ เงื่อนไข และแนวปฏิบัติที่ คปภ. กำหนด ตามมาตรา 20 (2) แห่งพระราชบัญญัติ
คณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย พ.ศ. 2550 หรืออำนาจหน้าที่อื่นใด
ของสำนักงาน คปภ. อันจะถือเป็นการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของ
สำนักงาน คปภ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่
ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

ในกรณีที่ไม่มีบทบัญญัติแห่งกฎหมายใดกำหนดให้สำนักงาน คปภ. เปิดเผยข้อมูลเกี่ยวกับ
กรมธรรม์ประกันภัยของผู้เอาประกันภัยที่ยังมีชีวิตอยู่ และสำนักงาน คปภ. พิจารณาแล้วเห็นว่า การเปิดเผย
ข้อมูลส่วนบุคคลดังกล่าวไม่ได้เป็นการปฏิบัติหน้าที่ของสำนักงาน คปภ. ตามอำนาจหน้าที่ที่กฎหมายกำหนด
แต่สำนักงาน คปภ. พิจารณาเห็นว่า การเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยไม่ได้รับความยินยอม
จากผู้เอาประกันภัยที่เป็นเจ้าของข้อมูลส่วนบุคคล เป็นกรณีที่เป็นการจำเป็นเพื่อคุ้มครองประโยชน์โดยชอบ
ด้วยกฎหมายของทายาท ผู้รับประโยชน์ หรือผู้มีสิทธิเรียกร้องตามกรมธรรม์ประกันภัย และประโยชน์
ของบุคคลดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของผู้เอาประกันภัย
สำนักงาน คปภ. ก็อาจอาศัยข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อเปิดเผยข้อมูลส่วนบุคคลให้แก่บุคคลดังกล่าวได้ แต่จะต้องกระทำเท่าที่
จำเป็น และต้องพิจารณาดำเนินการให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-3-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/09/PDPCconsultation-52.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/3-2568.md

============================================================
โนด: ข้อหารือ 3/2569
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/3-2569.md

# ข้อหารือที่ 3/2569 เรื่อง ศูนย์วิจัยอุบัติเหตุแห่งประเทศไทย สถาบันเทคโนโลยีแห่งเอเชีย ขอหารือเกี่ยวกับฐานการประมวลผลสำหรับโครงการสืบสวนสาเหตุการเกิดอุบัติเหตุของรถจักรยานยนต์ และแนวทางการจัดทำข้อมูลนิรนาม

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่ง [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) [มาตรา 20](https://link.pdpalawbase.com/section/20.md) [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง (2) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) (4) และ (5) [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่งและวรรคสอง [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (3) (4) และ (5) (ง) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสอง [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้า [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) และ[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม
2. พระราชบัญญัติคุ้มครองการดำเนินงานของสถาบันเทคโนโลยีแห่งเอเชีย พ.ศ. 2510 มาตรา 4 (1)
3. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับ การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือ สถิติตามมาตรา 24 (1) และการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตามมาตรา 26 (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 ข้อ 3
4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูล ส่วนบุคคลได้ พ.ศ. 2567 ข้อ 6
5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย ของข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 และข้อ 6
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้ง เหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 8
7. แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูล ส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
8. ประกาศสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ที่ ม 5/2567 เรื่อง มาตรฐาน สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ว่าด้วยแนวทางการจัดทำข้อมูลนิรนาม ลงวันที่ 23 กันยายน 2567 และมาตรฐานสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ว่าด้วยแนวทางการจัดทำข้อมูลนิรนาม เวอร์ชัน 1.0 (เลขที่ มสพร. 14-2567)

## ข้อหารือ

ศูนย์วิจัยอุบัติเหตุแห่งประเทศไทย สถาบันเทคโนโลยีแห่งเอเชีย แจ้งว่า ศูนย์วิจัยอุบัติเหตุ แห่งประเทศไทย (ศูนย์วิจัยฯ) เป็นหน่วยงานภายในสถาบันเทคโนโลยีแห่งเอเชีย (AIT) โดย AIT เป็นองค์การ ระหว่างประเทศ ที่ไม่แสวงหากำไร โดยมีวัตถุประสงค์ในการจัดตั้งเพื่อบริหารจัดการสถาบันการศึกษาชั้นสูง ในด้านวิศวกรรม วิทยาศาสตร์ และรวมถึงการบริหารจัดการและพัฒนาองค์กรด้านการวิจัย ซึ่งได้รับการรับรอง ภายใต้พระราชบัญญัติคุ้มครองการดำเนินงานของสถาบันเทคโนโลยีแห่งเอเชีย พ.ศ. 2510 และกฎบัตรของ สถาบันเทคโนโลยีแห่งเอเชีย โดยศูนย์วิจัยฯ เป็นศูนย์วิจัยอุบัติเหตุบนท้องถนนแห่งแรกในประเทศไทย ซึ่งมีวัตถุประสงค์หลักในการลดอุบัติเหตุบนท้องถนน และเพิ่มความปลอดภัยทางถนนในประเทศไทย โดยมุ่งมั่น ที่จะเป็นศูนย์กลางระดับชาติในการเก็บรวบรวมและวิเคราะห์ข้อมูลทางวิทยาศาสตร์เกี่ยวกับอุบัติเหตุบนถนน และทำการวิจัยทั้งข้อมูลอุบัติเหตุขั้นต้นและข้อมูลทุติยภูมิ ด้วยการให้ข้อมูลเชิงลึกและข้อเสนอแนะ ที่อิงหลักฐาน โดยศูนย์วิจัยฯ สนับสนุนการพัฒนานโยบาย เพิ่มความตระหนักรู้ของสาธารณะ และส่งเสริม การออกแบบถนนและพฤติกรรมการขับขี่ที่ปลอดภัยยิ่งขึ้น ในแต่ละปี ศูนย์วิจัยฯ ได้ดำเนินโครงการสืบสวนสาเหตุการเกิดอุบัติเหตุบนท้องถนนของ รถจักรยานยนต์ เพื่อสืบหาสาเหตุสำคัญที่ทำให้เกิดการชนของรถจักรยานยนต์ ที่จะนำมาสู่การพัฒนา แนวทางการแก้ปัญหาอุบัติเหตุบนท้องถนน หรือลดความรุนแรงของอุบัติเหตุ โดยศูนย์วิจัยฯ ได้รับเงินสนับสนุน จากหน่วยงานภาคเอกชนและองค์กรที่ไม่แสวงหากำไร ในการดำเนินโครงการดังกล่าว โดยศูนย์วิจัยฯ ได้แถลงสรุปข้อมูลผลการศึกษาโครงการให้แก่หน่วยงานภาครัฐ ผู้สนับสนุนโครงการ และประชาชนทั่วไป ผ่านทางเว็บไซต์ของศูนย์วิจัยฯ พร้อมทั้งนำเสนอต่อหน่วยงานภาครัฐที่เกี่ยวข้อง เพื่อประโยชน์ในการพัฒนา มาตรการป้องกันอุบัติเหตุบนท้องถนนในประเทศไทย สำหรับการเก็บรวบรวมข้อมูลโครงการนั้น ศูนย์วิจัยฯ จะมอบหมายให้นักวิจัยในมหาวิทยาลัย เครือข่ายที่อยู่ท้องที่ต่าง ๆ ประสานงานจัดเก็บข้อมูลเกี่ยวกับอุบัติเหตุบนท้องถนน ซึ่งอาจรวมถึงความรุนแรง ของอุบัติเหตุและอาการบาดเจ็บของผู้ขับขี่ที่เกี่ยวข้อง ซึ่งนักวิจัยแต่ละท่านอาจดำเนินการขอความร่วมมือ กับสถานีตำรวจและสถานพยาบาลในการใช้ข้อมูลที่เกี่ยวข้องกับอุบัติเหตุที่สนใจ ตลอดจนสัมภาษณ์ผู้ขับขี่ เกี่ยวกับอุบัติเหตุและอาการบาดเจ็บที่เกิดขึ้น ตามมาตรฐานในการวิจัยที่กำหนดโดยศูนย์วิจัยฯ จากนั้น มหาวิทยาลัยเครือข่ายจึงจัดส่งข้อมูลดังต่อไปนี้ให้แก่ศูนย์วิจัยฯ 1) ข้อมูลบันทึกรายงานทั้งหมด นอกเหนือจากข้อมูลที่เป็นตัวระบุทางตรง (direct identifiers)

ดังนั้น ศูนย์วิจัยฯ จะไม่สามารถทราบว่าข้อมูลที่ได้รับนั้น เป็นของผู้ขับขี่ท่านใด เมื่อได้รับข้อมูล ศูนย์วิจัยฯ จะทำการสรุปผลการวิจัยและจัดส่งรายงานสรุปผลการวิจัยให้แก่หน่วยงานที่เกี่ยวข้องและผู้สนับสนุนโครงการต่อไป ซึ่งรายงานดังกล่าว อาจรวมถึงรายละเอียดความเสียหายของยานยนต์ ความร้ายแรงของอาการบาดเจ็บ พฤติการณ์และสาเหตุของการเกิดอุบัติเหตุ รวมถึงลักษณะทางกายภาพของถนนและสภาพแวดล้อมขณะขับขี่ 2) ข้อมูลรูปภาพและภาพเคลื่อนไหวจากจุดเกิดเหตุ ซึ่งนักวิจัยจะได้รับจากการบันทึกภาพ ส่วนตัวจากบริเวณจุดเกิดเหตุ และกล้องวงจรปิดที่ติดตั้งในบริเวณดังกล่าว โดยศูนย์วิจัยฯ จะดำเนินการปกปิด ข้อมูลส่วนบุคคลที่สามารถระบุตัวตนเจ้าของข้อมูลส่วนบุคคลทางตรงได้ เช่น ทะเบียนรถ หรือภาพใบหน้าของ บุคคลที่ปรากฏทั้งหมด รวมถึงข้อมูลใด ๆ ที่อาจสื่อถึงเจ้าของข้อมูลส่วนบุคคล ก่อนรวบรวมเข้ากับรายงาน สรุปผลการวิจัยที่จัดส่งให้กับหน่วยงานที่เกี่ยวข้องและผู้สนับสนุนโครงการตามข้อ 1) ในการนี้ ศูนย์วิจัยฯ มีประเด็นข้อหารือ ดังต่อไปนี้ 1) ฐานการประมวลผลข้อมูลส่วนบุคคลและการดำเนินการตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล เนื่องจากศูนย์วิจัยฯ มีวัตถุประสงค์ในการศึกษาวิจัยเพื่อลดอุบัติเหตุบนท้องถนนและ เพิ่มความปลอดภัยทางถนนในประเทศไทย ซึ่งถือว่าเป็นการดำเนินการเพื่อประโยชน์สาธารณะต่อสังคมไทย โดยในขั้นตอนการเก็บรวบรวมข้อมูล ศูนย์วิจัยฯ ดำเนินการตามแนวทางที่เหมาะสม ซึ่งจัดเก็บข้อมูลเท่าที่จำเป็น ตามหลักการ need-to-know basis ศูนย์วิจัยฯ จึงขอเรียนหารือว่า 1.1 การดำเนินการดังกล่าวสามารถอ้างอิงฐานการศึกษาวิจัยหรือสถิติ ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยไม่ต้องได้รับ ความยินยอมจากผู้ขับขี่ใช่หรือไม่ 1.2 การที่ศูนย์วิจัยฯ มอบหมายให้นักวิจัยในมหาวิทยาลัยเครือข่ายดำเนินการ เก็บรวบรวมข้อมูลให้ ถือว่ามหาวิทยาลัยเครือข่ายดังกล่าว เป็นผู้ประมวลผลข้อมูลส่วนบุคคลให้แก่ศูนย์วิจัยฯ ซึ่งศูนย์วิจัยฯ มีหน้าที่ต้องจัดทำข้อตกลงร่วมกับมหาวิทยาลัยเครือข่ายเหล่านั้น ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช่หรือไม่ 1.3 การดำเนินการที่มหาวิทยาลัยเครือข่ายได้ดำเนินการไป ถือเป็นการดำเนินการ แทนศูนย์วิจัยฯ

ดังนั้น การจัดส่งข้อมูลระหว่างมหาวิทยาลัยเครือข่ายและศูนย์วิจัยฯ ไม่จำเป็นต้องได้รับ ความยินยอมจากผู้ขับขี่ เพียงแต่ศูนย์วิจัยฯ มีหน้าที่ต้องจัดทำหนังสือแจ้งการประมวลผลข้อมูล เพื่อให้ผู้ขับขี่ สามารถทราบรายละเอียดเกี่ยวกับโครงการนี้ได้ ตามที่กำหนดในมาตรา 23 แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 ใช่หรือไม่ 1.4 ด้วยศูนย์วิจัยฯ ไม่ได้เป็นผู้จัดเก็บข้อมูลจากเจ้าของข้อมูลส่วนบุคคลโดยตรง และอาจไม่มีรายละเอียดติดต่อเจ้าของข้อมูลส่วนบุคคลในบางกรณี ทำให้อาจไม่สามารถจัดส่งหนังสือแจ้ง การประมวลผลต่อเจ้าของข้อมูลส่วนบุคคลได้ ศูนย์วิจัยฯ จึงขอหารือว่า ศูนย์วิจัยฯ สามารถจัดทำหนังสือแจ้ง การประมวลผลโดยประกาศผ่านเว็บไซต์ของศูนย์วิจัยฯ ที่บุคคลทั่วไปสามารถเข้าถึงได้ แทนการจัดส่งหนังสือ แจ้งการประมวลผลที่อาจไม่ครอบคลุมเจ้าของข้อมูลส่วนบุคคลทั้งหมด ได้หรือไม่ 2) แนวทางการจัดทำข้อมูลนิรนาม หน่วยงานที่เกี่ยวข้องและผู้สนับสนุนโครงการอาจนำผลการศึกษาโครงการดังกล่าวไป ต่อยอดเพื่อพัฒนานโยบายและนวัตกรรมที่สามารถช่วยลดอุบัติเหตุทางถนนได้ ซึ่งหากข้อมูลที่หน่วยงานดังกล่าว ได้รับ มีความชัดเจนและเหมาะสม เช่น ภาพสถานที่เกิดเหตุ และรายละเอียดเหตุการณ์แต่ละครั้ง อาจช่วยเพิ่ม ประสิทธิภาพในการใช้ข้อมูลดังกล่าวมากยิ่งขึ้น ซึ่งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้จัดทำประกาศ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคล เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 เพื่อกำหนดแนวทาง ในการจัดทำข้อมูลนิรนามในเบื้องต้น ศูนย์วิจัยฯ จึงขอหารือในรายละเอียด ดังต่อไปนี้ 2.1 การจัดทำข้อมูลนิรนามสำหรับภาพถ่ายและวิดีโอ หากศูนย์วิจัยฯ ดำเนินการลบ ข้อมูลที่มีตัวระบุทางตรง (direct identifiers) เช่น ชื่อ หมายเลขทะเบียนรถ ภาพถ่ายผู้ขับขี่ และดำเนินการพราง ข้อมูลใด ๆ ที่อาจสื่อถึงเจ้าของข้อมูลส่วนบุคคล เช่น อายุ วันที่เกิดเหตุ หรือตำแหน่งที่เกิดเหตุ ที่อาจปรากฏ ในภาพถ่ายหรือวิดีโอดังกล่าว จะสามารถทำให้ข้อมูลดังกล่าวไม่ถือเป็นข้อมูลส่วนบุคคลได้หรือไม่ 2.2 ผลของการจัดทำข้อมูลนิรนาม หากข้อมูลที่ถูกจัดทำเป็นข้อมูลนิรนามแล้ว ศูนย์วิจัยฯ สามารถใช้ข้อมูลดังกล่าวโดยไม่ต้องคำนึงถึงเงื่อนไขตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพราะถือว่าข้อมูลดังกล่าวสิ้นสถานะความเป็นข้อมูลส่วนบุคคลแล้ว ใช่หรือไม่ หากใช่แล้ว จะรวมถึงกรณีที่ ศูนย์วิจัยฯ จัดเก็บข้อมูลดิบที่ได้รับจากมหาวิทยาลัยเครือข่ายเพื่อใช้ประกอบการอ้างอิงภายใน โดยไม่มีข้อมูล ที่มีตัวระบุทางตรง (direct identifiers) ตามแนวทางการศึกษาวิจัยทั่วไปได้หรือไม่ 2.3 หากหน่วยงานภายนอกเป็นผู้ว่าจ้างผู้ให้บริการจัดทำข้อมูลผลการศึกษาของศูนย์วิจัยฯ เป็นข้อมูลนิรนาม ก่อนจัดส่งให้แก่หน่วยงานดังกล่าว เป็นกิจกรรมที่สามารถอ้างอิงฐานประโยชน์โดยชอบด้วย กฎหมายในการดำเนินการดังกล่าว โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้หรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็น ในแต่ละประเด็นข้อหารือ ดังนี้

ประเด็นข้อหารือที่ 1 ฐานการประมวลผลข้อมูลส่วนบุคคลและการดำเนินการตาม กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ประเด็นข้อหารือที่ 1.1 การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ในการวิเคราะห์ และการศึกษาวิจัยเพื่อสนับสนุนการพัฒนานโยบาย เพิ่มความตระหนักรู้ของสาธารณะ และส่งเสริม การออกแบบถนนและพฤติกรรมการขับขี่ที่ปลอดภัยยิ่งขึ้น โดยมีเป้าหมายในการลดอุบัติเหตุบนท้องถนน และเพิ่มความปลอดภัยทางถนนในประเทศไทยนั้น ศูนย์วิจัยฯ จะสามารถอ้างอิงฐานการศึกษาวิจัยหรือสถิติ ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยไม่ต้องได้รับความยินยอมจากผู้ขับขี่ใช่หรือไม่ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่อยู่ภายใต้บังคับของพระราชบัญญัตินี้ตาม[มาตรา 5](https://link.pdpalawbase.com/section/5.md) ซึ่ง[มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่ง กำหนดว่า พระราชบัญญัตินี้ให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูล ส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ไม่ว่าการเก็บรวบรวม ใช้ หรือเปิดเผยนั้น ได้กระทำในหรือนอกราชอาณาจักรก็ตาม โดยศูนย์วิจัยอุบัติเหตุแห่งประเทศไทย (ศูนย์วิจัยฯ) เป็นหน่วยงานภายใน ของสถาบันเทคโนโลยีแห่งเอเชีย (AIT) ซึ่งเป็นองค์การระหว่างประเทศที่ประเทศภาคีสนธิสัญญาการป้องกันร่วมกัน แห่งเอเชียตะวันออกเฉียงใต้ในขณะนั้นได้ให้ความเห็นชอบร่วมกันจัดตั้งขึ้นตามกฎบัตรของสถาบันเทคโนโลยี แห่งเอเชีย โดยสถาบันเทคโนโลยีแห่งเอเชียมีที่ทำการใหญ่ในประเทศไทย มีฐานะเป็นนิติบุคคลและถือว่า มีภูมิลำเนาในประเทศไทย ตามมาตรา 4 (1) แห่งพระราชบัญญัติคุ้มครองการดำเนินงานของสถาบัน เทคโนโลยีแห่งเอเชีย พ.ศ. 2510 มีวัตถุประสงค์เพื่อบริหารจัดการสถาบันการศึกษาชั้นสูงในด้านวิศวกรรม วิทยาศาสตร์ และรวมถึงการบริหารจัดการและพัฒนาองค์กรด้านการวิจัย

ดังนั้น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยสถาบันเทคโนโลยีแห่งเอเชีย (รวมทั้งศูนย์วิจัยฯ ที่เป็นหน่วยงานภายใน ของสถาบันฯ) จึงอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม[มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่ง ในการพิจารณาว่าการดำเนินงานตามประเด็นที่หารือของศูนย์วิจัยฯ จะต้องปฏิบัติตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ เพียงใด นั้น นอกเหนือจากการพิจารณา ขอบเขตการใช้บังคับพระราชบัญญัตินี้ตาม[มาตรา 5](https://link.pdpalawbase.com/section/5.md) แล้ว ศูนย์วิจัยฯ จะต้องพิจารณาด้วยว่า การดำเนินงาน ดังกล่าวมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลหรือไม่ โดยตามบทนิยามใน[มาตรา 6](https://link.pdpalawbase.com/section/6.md) คำว่า “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรง หรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

ดังนั้น ศูนย์วิจัยฯ จะต้องพิจารณาลักษณะ ของข้อมูลที่ศูนย์วิจัยฯ เก็บรวบรวมในแต่ละกรณีก่อนว่าเป็นข้อมูลส่วนบุคคลตามความหมายดังกล่าวหรือไม่ หากข้อมูลดังกล่าวเป็นข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ หรือเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ (ข้อมูลนิรนาม หรือ anonymous data) ก็ย่อมไม่ใช่ข้อมูลส่วนบุคคลและไม่อยู่ภายใต้บังคับของพระราชบัญญัตินี้ แต่หากข้อมูลดังกล่าวเป็นข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม และไม่ใช่ข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ก็ถือเป็นข้อมูลส่วนบุคคลที่อยู่ภายใต้บังคับของพระราชบัญญัตินี้ โดยหากพิจารณาจากข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบ หรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ซึ่งออกตามความใน[มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้า แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จะเห็นได้ว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ทางตรง คือ ข้อมูลที่มีข้อมูลที่เป็น ตัวระบุทางตรง (direct identifiers) ของเจ้าของข้อมูลส่วนบุคคลอยู่ เช่น ชื่อและนามสกุลของบุคคล เลขที่ หมายเลข หรือรหัสประจำตัวของบุคคล หมายเลขโทรศัพท์หรือหมายเลขติดต่อเฉพาะตัวของบุคคล ที่อยู่ไปรษณีย์อิเล็กทรอนิกส์ (e-mail address) เฉพาะตัวของบุคคล หมายเลขทะเบียนรถของบุคคล ภาพใบหน้าของบุคคลที่ทำให้สามารถระบุตัวบุคคลได้ หรือข้อมูลอื่นใดที่เป็นสิ่งเฉพาะตัวของบุคคลที่ทำให้ สามารถระบุตัวบุคคลได้โดยตรง เป็นต้น ส่วนข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ทางอ้อม คือ ข้อมูลที่มีโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้พอสมควร จากการทำให้ข้อมูลนั้น ย้อนกลับมาสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (re-identification) หรือจากข้อมูล ที่เป็นตัวระบุทางอ้อม (indirect identifiers) เช่น วันเดือนปีเกิด อายุ ตำแหน่งงาน สังกัด วันเดือนปีที่เข้ารับบริการ ที่อยู่ เป็นต้น

นอกจากนี้ ศูนย์วิจัยฯ จะต้องพิจารณาด้วยว่าในการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว มีข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วยหรือไม่ โดยเฉพาะข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ เช่น อาการบาดเจ็บและลักษณะการบาดเจ็บ หรือข้อมูล หรือเอกสารเกี่ยวกับการดูแลรักษาผู้บาดเจ็บก่อนนำส่งสถานพยาบาล ความเห็นทางการแพทย์และข้อมูล ในทางคดีที่เกี่ยวข้องกับเหตุการณ์ ประวัติการเจ็บป่วยในอดีตหรือโรคประจำตัวซึ่งอาจเป็นปัจจัยที่เกี่ยวข้องกับ อุบัติเหตุ หรือรายงานผลการตรวจทางห้องปฏิบัติการ ซึ่งรวมถึงระดับแอลกอฮอล์ ยา หรือยาเสพติดในเลือด เป็นต้น โดยในกรณีที่ศูนย์วิจัยฯ มีการเก็บรวบรวมข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ศูนย์วิจัยฯ จะต้องมีฐาน ทางกฎหมายตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) เพิ่มเติมนอกจากฐานทางกฎหมายตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) ด้วย สำหรับกรณีที่ศูนย์วิจัยฯ พิจารณาแล้วว่า ข้อมูลที่เก็บรวบรวม ใช้ หรือเปิดเผยนั้นเป็นข้อมูล ส่วนบุคคลตามบทนิยามใน[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตามที่ ได้กล่าวไปแล้วข้างต้น และเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ ที่เกี่ยวกับการดำเนินการเกี่ยวกับการศึกษาค้นคว้า การวิเคราะห์ การทดลอง การทดสอบ หรือการประเมินผล อย่างเป็นระบบ เพื่อให้ได้มาซึ่งความรู้ใหม่หรือหลักการทางวิชาการในสาขาวิชาที่เกี่ยวข้อง รวมถึงการเผยแพร่ ความรู้หรือหลักการทางวิชาการนั้น ทั้งที่เป็นการดำเนินการในระดับพื้นฐาน (fundamental or basic) และระดับประยุกต์ (applied) และรวมถึงการพัฒนาเทคโนโลยีและนวัตกรรมจากความรู้หรือหลักการ ทางวิชาการดังกล่าวด้วย อันเป็นความหมายของคำว่า “การศึกษาวิจัย” ตามบทนิยามในข้อ 3 ของประกาศ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคล เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และการศึกษาวิจัย ทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 หรือเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการดำเนินการเกี่ยวกับการเก็บรวบรวม การสำรวจ การประมวลผล การวิเคราะห์ และการสรุปผลจากข้อมูล ตลอดจนการแสดงผลหรือเผยแพร่ ผลจากการดำเนินการดังกล่าว

ทั้งนี้ เพื่อการเปรียบเทียบหรืออ้างอิงในภาพรวม โดยไม่ได้มุ่งหมายที่จะนำ ข้อมูลหรือผลจากการดำเนินการดังกล่าวมามีผลต่อการตัดสินใจหรือดำเนินการใดเกี่ยวกับเจ้าของข้อมูล ส่วนบุคคลผู้ใดผู้หนึ่ง (รวมถึงการดำเนินงานทางสถิติและการสำรวจตามกฎหมายว่าด้วยสถิติด้วย) อันเป็นความหมายของคำว่า “สถิติ” ตามบทนิยามในข้อ 3 ของประกาศดังกล่าว ก็ย่อมสามารถพิจารณาใช้ ฐานทางกฎหมายตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่ง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังกล่าว โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ โดยจะต้องจัดให้มีมาตรการ ปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือในกรณีที่เป็นข้อมูล ส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ต้องกระทำเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวเพียงเท่าที่จำเป็นเท่านั้น และได้จัดให้มี มาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล

ทั้งนี้ ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามประกาศฉบับดังกล่าว ซึ่งออกตามความใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) และ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) ด้วย

นอกจากนี้ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ในการวิเคราะห์ และการศึกษาวิจัยเพื่อสนับสนุนการพัฒนานโยบาย เพิ่มความตระหนักรู้ของสาธารณะ และส่งเสริมการออกแบบถนน และพฤติกรรมการขับขี่ที่ปลอดภัยยิ่งขึ้น โดยมีเป้าหมายในการลดอุบัติเหตุบนท้องถนนและเพิ่มความปลอดภัย ทางถนนในประเทศไทยนั้น ยังอาจถือเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของศูนย์วิจัยฯ ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่น ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ศูนย์วิจัยฯ สามารถกระทำได้โดยไม่ต้อง ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลอีกด้วย หากศูนย์วิจัยฯ พิจารณาแล้วเห็นว่า ประโยชน์ดังกล่าว มีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ซึ่งศูนย์วิจัยฯ อาจพิจารณาการประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) จากหลักเกณฑ์ 3 ประการ ดังนี้

ประการที่หนึ่ง การทดสอบวัตถุประสงค์ (Purpose Test) เป็นการพิจารณาเหตุผลและ ประโยชน์ที่จะได้รับจากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ว่ามีความชอบด้วยกฎหมาย หรือไม่ อย่างไร

ประการที่สอง การทดสอบความจำเป็น (Necessity Test) เป็นการพิจารณาว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวมีความจำเป็นมากน้อยเพียงใดเพื่อให้บรรลุวัตถุประสงค์อันชอบด้วย กฎหมายนั้น และสามารถดำเนินการด้วยวิธีการอื่นที่จะส่งผลกระทบต่อสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคล ของเจ้าของข้อมูลส่วนบุคคลน้อยกว่าได้หรือไม่ เพียงใด

ประการที่สาม การทดสอบความสมดุลแห่งสิทธิ (Balancing Test) เป็นการพิจารณาชั่งน้ำหนัก ระหว่างประโยชน์โดยชอบด้วยกฎหมายดังกล่าว กับสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูล ส่วนบุคคล ซึ่งจะต้องไม่กระทบต่อสิทธิและเสรีภาพ โดยเฉพาะสิทธิในความเป็นส่วนตัว (right to privacy) ของเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้องเกินสมควร

ทั้งนี้ มีข้อสังเกตว่า หากข้อมูลส่วนบุคคลดังกล่าวมีการเปิดเผยต่อสาธารณะโดยชอบด้วย กฎหมาย หรืออยู่ในความครอบครองหรือควบคุมดูแลของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความปลอดภัย ของประชาชนหรือการรักษาความสงบเรียบร้อยอยู่แล้ว ข้อเท็จจริงดังกล่าวย่อมช่วยให้เจ้าของข้อมูลส่วนบุคคล สามารถคาดหวังได้อย่างสมเหตุสมผลว่าอาจมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว เพื่อวัตถุประสงค์ในการวิเคราะห์ การศึกษาวิจัยหรือสถิติ หรือการดำเนินการที่เกี่ยวข้องเพื่อหาแนวทาง ลดอุบัติเหตุบนท้องถนนและเพิ่มความปลอดภัยทางถนนได้

นอกจากนี้ หากมีกระบวนการลบหรือทำให้ปราศจาก ข้อมูลใด ๆ ที่เป็นตัวระบุทางตรง (direct identifiers) ของเจ้าของข้อมูลส่วนบุคคลในข้อมูลส่วนบุคคลดังกล่าว (de-identification) และ/หรือการแฝงข้อมูล (pseudonymization) หรือการดำเนินการอย่างหนึ่งอย่างใด ต่อข้อมูลทั้งหมดหรือบางส่วน เพื่อลดโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลจากข้อมูลที่เป็น ตัวระบุทางอ้อม (indirect identifiers) การดำเนินการดังกล่าวย่อมช่วยให้ความเสี่ยงที่จะมีผลกระทบต่อสิทธิ และเสรีภาพ โดยเฉพาะสิทธิในความเป็นส่วนตัว (right to privacy) ของเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้อง ลดลงได้ ซึ่งเหตุผลเหล่านี้อาจทำให้การทดสอบความสมดุลแห่งสิทธิ (Balancing Test) ซึ่งเป็นส่วนหนึ่งของ การประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) นี้ จะช่วยให้ศูนย์วิจัยฯ พิจารณาชั่งน้ำหนักแล้วเห็นว่า ประโยชน์ดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคล ของเจ้าของข้อมูลส่วนบุคคล และทำให้ศูนย์วิจัยฯ สามารถอาศัยฐานทางกฎหมายตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยไม่ต้องได้รับความยินยอม จากเจ้าของข้อมูลส่วนบุคคลได้มากยิ่งขึ้น

อย่างไรก็ตาม สำหรับข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่ง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ศูนย์วิจัยฯ ไม่สามารถเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลได้ เว้นแต่จะเป็นข้อมูลที่เปิดเผยต่อสาธารณะ ด้วยความยินยอมโดยชัดแจ้งของเจ้าของข้อมูลส่วนบุคคล ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (3) หรือเป็นการจำเป็นเพื่อการก่อตั้ง สิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้อง ตามกฎหมาย ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) หรือเป็นไปเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ง) หรือเข้าข้อยกเว้นอื่นตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) เท่านั้น

นอกจากนี้ ในกรณีที่เห็นสมควรและสามารถกระทำได้ ศูนย์วิจัยฯ อาจพิจารณาใช้ฐาน ความยินยอมตามมาตรา 24 หรือความยินยอมโดยชัดแจ้งตามมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 ก็ได้ โดยการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลจะต้องปฏิบัติให้สอดคล้อง กับหลักเกณฑ์ตาม[มาตรา 19](https://link.pdpalawbase.com/section/19.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น เจ้าของข้อมูล ส่วนบุคคลต้องให้ความยินยอมไว้ก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล การขอความยินยอมต้องทำ โดยชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วย วิธีการดังกล่าวได้ โดยในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ศูนย์วิจัยฯ ต้องแจ้งวัตถุประสงค์ของ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไปด้วย และการขอความยินยอมนั้นต้องแยกส่วนออกจาก ข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ รวมทั้งใช้ภาษาที่อ่านง่าย และไม่เป็น การหลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์ดังกล่าว ตลอดจนจะต้อง คำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ประกอบกับเจ้าของ ข้อมูลส่วนบุคคลจะต้องสามารถถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่าย เช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญาที่ให้ ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล

นอกจากนี้ หากเป็นการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ที่เป็นผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ ศูนย์วิจัยฯ จะต้องปฏิบัติให้เป็นไปตาม[มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า แม้สถาบันเทคโนโลยีแห่งเอเชีย จะเป็นองค์การระหว่างประเทศที่มีที่ทำการใหญ่ในประเทศไทย และมีกฎหมายให้ความคุ้มครองการดำเนินงาน ก็ตาม แต่สถาบันเทคโนโลยีแห่งเอเชียไม่ใช่หน่วยงานของรัฐตามกฎหมายของประเทศไทย และไม่มีบทบัญญัติ แห่งพระราชบัญญัติคุ้มครองการดำเนินงานของสถาบันเทคโนโลยีแห่งเอเชีย พ.ศ. 2510 หรือกฎหมายอื่น ที่มอบอำนาจรัฐให้แก่สถาบันเทคโนโลยีแห่งเอเชีย ศูนย์วิจัยฯ จึงไม่สามารถอาศัยกรณีที่เป็นการจำเป็น เพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติ หน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลตามวัตถุประสงค์ที่หารือมาได้ แต่ในการเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าวโดยหน่วยงาน ที่เกี่ยวข้อง เช่น สถานีตำรวจและสถานพยาบาล ให้กับศูนย์วิจัยฯ หรือมหาวิทยาลัยเครือข่าย หน่วยงาน ที่เปิดเผยอาจอาศัยฐานทางกฎหมายตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ในการเปิดเผยข้อมูล ส่วนบุคคลดังกล่าวได้ในกรณีที่เป็นหน่วยงานของรัฐที่ปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่หน่วยงาน แต่ในกรณีที่ไม่ใช่หน่วยงานของรัฐ หรือไม่ได้เป็น การปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบ ให้แก่หน่วยงาน ก็อาจพิจารณาอาศัยฐานทางกฎหมายตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ได้ หากประโยชน์โดยชอบด้วยกฎหมายนั้นมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของ ข้อมูลส่วนบุคคล

ประเด็นข้อหารือที่ 1.2 การที่ศูนย์วิจัยฯ มอบหมายให้นักวิจัยในมหาวิทยาลัยเครือข่าย ดำเนินการเก็บรวบรวมข้อมูลให้ ถือว่ามหาวิทยาลัยเครือข่ายดังกล่าว เป็นผู้ประมวลผลข้อมูลส่วนบุคคลให้แก่ ศูนย์วิจัยฯ ซึ่งศูนย์วิจัยฯ มีหน้าที่ต้องจัดทำข้อตกลงร่วมกับมหาวิทยาลัยเครือข่ายเหล่านั้น ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช่หรือไม่ ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของศูนย์วิจัยฯ เพื่อวัตถุประสงค์ ในการวิเคราะห์และการศึกษาวิจัย โดยมีเป้าหมายในการลดอุบัติเหตุบนท้องถนนและเพิ่มความปลอดภัย ทางถนนในประเทศไทย สถาบันเทคโนโลยีแห่งเอเชีย ในฐานะหน่วยงานต้นสังกัดของศูนย์วิจัยฯ ที่มีฐานะ เป็นนิติบุคคล ย่อมมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล เนื่องจากสถาบันเทคโนโลยีแห่งเอเชีย โดยศูนย์วิจัยฯ มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ตามบทนิยาม ใน[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ส่วนการพิจารณาว่ามหาวิทยาลัย เครือข่ายจะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนั้น จะต้องพิจารณาอำนาจ หน้าที่ในการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของมหาวิทยาลัยเครือข่าย ต่าง ๆ ที่ตกลงดำเนินงานหรือทำการศึกษาวิจัยร่วมกับศูนย์วิจัยฯ ก่อนว่า มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงานหรือการศึกษาวิจัยดังกล่าวหรือไม่ เพียงใด โดยการพิจารณาว่าบุคคลหรือนิติบุคคลใดมี “อำนาจหน้าที่ตัดสินใจ” จะต้องนำข้อเท็จจริงทั้งหมดที่เกี่ยวข้อง กับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล มาพิจารณาร่วมกันว่า บุคคลหรือนิติบุคคลนั้นมีอำนาจ หน้าที่ในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลในกรณีดังกล่าวหรือไม่ เพียงใด หากในความเป็นจริงนิติบุคคลหนึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล นิติบุคคลนั้นย่อมถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล แม้สัญญาจะระบุไว้เป็นอย่างอื่น เช่น ระบุว่านิติบุคคลดังกล่าวเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ก็ตาม ซึ่งจะต้องพิจารณาจากข้อเท็จจริงเป็นรายกรณีหรือรายวัตถุประสงค์หรือกิจกรรมการประมวลผลข้อมูล ส่วนบุคคล โดยนิติบุคคลที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ควรหมายความถึงหน่วยงานที่มีอิทธิพลอย่างมีนัยสำคัญ (decisive influence) ต่อการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น โดยในบริบท ของการศึกษาวิจัยและการให้บริการทางวิชาการให้กับศูนย์วิจัยฯ นั้น หากมหาวิทยาลัยดังกล่าวยังคงมีเสรีภาพ ทางวิชาการ (academic freedom) โดยมีสิทธิตัดสินใจในการนำข้อมูลที่เก็บรวบรวมมาไปทำการศึกษาวิจัย ของตนเองหรือร่วมกับผู้อื่นได้ ย่อมแสดงว่ามหาวิทยาลัยมีอำนาจหน้าที่ตัดสินใจในวัตถุประสงค์ (purposes) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ในทำนองเดียวกัน หากมหาวิทยาลัยนั้นมีหน้าที่ต้อง พิจารณาการดำเนินการให้เป็นไปตามมาตรฐานทางจริยธรรมสำหรับการศึกษาวิจัย (research ethics) ของตนเองด้วย ย่อมแสดงว่ามหาวิทยาลัยมีอำนาจหน้าที่ตัดสินใจในวิธีการ (means) ที่สำคัญในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เช่น การออกแบบการศึกษาวิจัยหรือระเบียบวิธีวิจัย (study design and research methodology) การกำหนดว่าข้อมูลใดจำเป็นต้องเก็บรวบรวมเพิ่มเติมเพื่อตอบโจทย์ของ การศึกษาวิจัย การกำหนดแนวทางและกระบวนการเก็บรวบรวมข้อมูล การเลือกเทคนิคหรือวิธีการวิเคราะห์ ข้อมูลทางสถิติหรือเครื่องมือที่ใช้ในการศึกษาวิจัย การกำหนดแนวทางและมาตรการรักษาความมั่นคงปลอดภัย ที่เหมาะสม หรือการพิจารณาระยะเวลาการเก็บรักษาหรือเงื่อนไขในการลบหรือทำลายข้อมูล ในกรณีเช่นนี้ มหาวิทยาลัยดังกล่าวย่อมมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามความหมายและเจตนารมณ์ใน[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งสถาบันเทคโนโลยีแห่งเอเชีย โดยศูนย์วิจัยฯ และมหาวิทยาลัยเครือข่ายหรือหน่วยงานที่เกี่ยวข้อง อาจพิจารณาจัดให้มีข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement) เพื่อกำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของผู้ควบคุม ข้อมูลส่วนบุคคลแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการส่งและรับ ข้อมูลที่เป็นเอกสารหรือโดยวิธีการทางอิเล็กทรอนิกส์ก็ตาม อันจะเป็นการรักษาความมั่นคงปลอดภัยของข้อมูล ส่วนบุคคลที่จะเปิดเผยระหว่างกัน และควบคุมดูแลให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลระหว่าง กันสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งยังเป็นมาตรการเพื่อป้องกันมิให้ หน่วยงานที่ได้รับข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ ที่ได้แจ้งไว้ในการขอรับข้อมูลส่วนบุคคลนั้นตาม[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง หรือเพื่อป้องกันมิให้หน่วยงานดังกล่าว ใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) อีกด้วย โดยข้อตกลง การแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement) ดังกล่าวถือเป็นมาตรการเชิงองค์กร (organizational measures) อย่างหนึ่ง อันเป็นส่วนหนึ่งของมาตรการรักษาความมั่นคงปลอดภัยตามข้อ 4 (2) ของประกาศ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. 2565 ที่จะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล แต่หากเป็นกรณีที่มหาวิทยาลัยเครือข่ายดังกล่าวดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ตามที่หารือตามคำสั่งหรือในนามของศูนย์วิจัยฯ โดยไม่มีอำนาจ หน้าที่ตัดสินใจในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล นอกเหนือจากที่ศูนย์วิจัยฯ กำหนดหรือมีคำสั่งให้ดำเนินการ ก็ย่อมถือได้ว่า มหาวิทยาลัยเหล่านั้นมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลตามมาตรา 6 แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งในกรณีนี้ สถาบันเทคโนโลยีแห่งเอเชีย โดยศูนย์วิจัยฯ ในฐานะผู้ควบคุมข้อมูล ส่วนบุคคล จะต้องจัดให้มีข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (data processing agreement) กับมหาวิทยาลัยเครือข่ายดังกล่าว ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล เพื่อควบคุมการดำเนินงานตามหน้าที่ ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยจะต้องมีเนื้อหา ที่กำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกัน การสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และมาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องเป็นไปตามมาตรฐานขั้นต่ำตามข้อ 4 ของประกาศ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. 2565 โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผย ข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล รวมทั้งจะต้องระบุให้ ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคล โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลข้อมูลส่วนบุคคลทราบเหตุเท่าที่จะสามารถกระทำได้

ทั้งนี้ ตามข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย ของข้อมูลส่วนบุคคล พ.ศ. 2565 และข้อ 8 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565

ประเด็นข้อหารือที่ 1.3 การดำเนินการที่มหาวิทยาลัยเครือข่ายได้ดำเนินการไป ถือเป็น การดำเนินการแทนศูนย์วิจัยฯ

ดังนั้น การจัดส่งข้อมูลระหว่างมหาวิทยาลัยเครือข่ายและศูนย์วิจัยฯ ไม่จำเป็นต้องได้รับความยินยอมจากผู้ขับขี่ เพียงแต่ศูนย์วิจัยฯ มีหน้าที่ต้องจัดทำหนังสือแจ้งการประมวลผล ข้อมูล เพื่อให้ผู้ขับขี่สามารถทราบรายละเอียดเกี่ยวกับโครงการนี้ได้ ตามที่กำหนดใน[มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช่หรือไม่ สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรง ในกรณีที่ ทั้งศูนย์วิจัยฯ และมหาวิทยาลัยเครือข่ายต่างฝ่ายต่างมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลที่มีอำนาจหน้าที่ ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลฝ่ายที่ เก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรงมีหน้าที่แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่ง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ทั้งนี้ โดยจะต้องระบุประเภทของบุคคลหรือหน่วยงาน ซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย ตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) ให้ครอบคลุมการเปิดเผยให้แก่ ศูนย์วิจัยฯ และ/หรือมหาวิทยาลัยเครือข่ายอื่นด้วย ส่วนในกรณีที่มหาวิทยาลัยเครือข่ายดังกล่าวดำเนินการ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของศูนย์วิจัยฯ โดยอยู่ในฐานะ ผู้ประมวลผลข้อมูลส่วนบุคคลของสถาบันเทคโนโลยีแห่งเอเชีย (โดยศูนย์วิจัยฯ) ในฐานะผู้ควบคุมข้อมูล ส่วนบุคคล หน้าที่ในการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม ข้อมูลส่วนบุคคล (privacy notice) ตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ย่อมเป็นของสถาบันเทคโนโลยีแห่งเอเชีย (โดยศูนย์วิจัยฯ) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ศูนย์วิจัยฯ จะเห็นสมควรให้มหาวิทยาลัยเครือข่ายเหล่านั้นทำหน้าที่แจ้งวัตถุประสงค์และรายละเอียดดังกล่าวให้เจ้าของ ข้อมูลส่วนบุคคลทราบตามคำสั่งหรือในนามของตน เช่น เพื่อความสะดวกและคล่องตัวในทางปฏิบัติเนื่องจาก มหาวิทยาลัยเครือข่ายเป็นผู้ติดต่อเพื่อเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลแทนศูนย์วิจัยฯ ทั้งสองฝ่ายก็อาจตกลงกันได้ตามที่เห็นเหมาะสม โดยถือเป็นการทำหน้าที่ตามคำสั่งหรือในนามของศูนย์วิจัยฯ โดยวัตถุประสงค์และรายละเอียดดังกล่าวจะต้องมีเนื้อหาเกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคล ของศูนย์วิจัยฯ เป็นสำคัญ แต่ในกรณีที่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูล ส่วนบุคคลโดยตรง และเป็นกรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ว่ามหาวิทยาลัยเครือข่ายที่เก็บรวบรวมข้อมูล ส่วนบุคคลให้กับศูนย์วิจัยฯ จะอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลก็ตาม ผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นดังกล่าวไม่มีหน้าที่ในการแจ้ง วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ดังกล่าวให้เจ้าของข้อมูล ส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md)

ทั้งนี้ ตามนัย[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่งและวรรคสอง ประกอบ[มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง (2) แห่งพระราชบัญญัติดังกล่าว

อย่างไรก็ตาม ศูนย์วิจัยฯ และ/หรือมหาวิทยาลัยเครือข่าย ควรประสานงานกับหน่วยงานที่เกี่ยวข้อง เช่น สถานีตำรวจ หรือสถานพยาบาล ซึ่งเป็นแหล่งข้อมูลของข้อมูลส่วนบุคคลที่จะเปิดเผยให้กับมหาวิทยาลัยเครือข่าย และ/หรือ ศูนย์วิจัยฯ ดังกล่าว ให้พิจารณาแจ้งรายละเอียด เช่น วัตถุประสงค์ของการเก็บรวบรวมเพื่อเปิดเผยให้กับ มหาวิทยาลัยหรือหน่วยงานภายนอกเพื่อการศึกษาวิจัยหรือสถิติ ตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (1) และประเภทของบุคคล หรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผยตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) ให้เจ้าของข้อมูล ส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมในการแจ้งรายละเอียดตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (privacy notice) หรือมีการแจ้งวัตถุประสงค์ใหม่ที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้เดิมให้เจ้าของข้อมูลส่วนบุคคลทราบ (re-notice) ด้วย เท่าที่จะสามารถกระทำได้ ตามหลักความเป็นธรรม (fairness) และความโปร่งใส (transparency) ต่อเจ้าของข้อมูลส่วนบุคคล และหลักภาระรับผิดชอบและสามารถตรวจสอบได้ (accountability) ของผู้ควบคุมข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

ประเด็นข้อหารือที่ 1.4 ด้วยศูนย์วิจัยฯ ไม่ได้เป็นผู้จัดเก็บข้อมูลจากเจ้าของข้อมูลส่วนบุคคล โดยตรง และอาจไม่มีรายละเอียดติดต่อเจ้าของข้อมูลส่วนบุคคลในบางกรณี ทำให้อาจไม่สามารถจัดส่งหนังสือ แจ้งการประมวลผลต่อเจ้าของข้อมูลส่วนบุคคลได้ ศูนย์วิจัยฯ จึงขอหารือว่า ศูนย์วิจัยฯ สามารถจัดทำหนังสือ แจ้งการประมวลผลโดยประกาศผ่านเว็บไซต์ของศูนย์วิจัยฯ ที่บุคคลทั่วไปสามารถเข้าถึงได้ แทนการจัดส่ง หนังสือแจ้งการประมวลผลที่อาจไม่ครอบคลุมเจ้าของข้อมูลส่วนบุคคลทั้งหมด ได้หรือไม่ ตามที่คณะอนุกรรมการตอบข้อหารือฯ ได้ให้ความเห็นไว้แล้วในประเด็นข้อหารือที่ 1.3 ว่า ในกรณีที่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง และเป็นกรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ศูนย์วิจัยฯ ไม่มีหน้าที่ในการแจ้งวัตถุประสงค์และรายละเอียด ในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบก่อน หรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) จึงไม่จำเป็นต้องให้ความเห็นในประเด็นนี้

อย่างไรก็ตาม

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า เมื่อคำนึงถึง หลักความเป็นธรรม (fairness) และความโปร่งใส (transparency) ต่อเจ้าของข้อมูลส่วนบุคคล และหลักภาระ รับผิดชอบและสามารถตรวจสอบได้ (accountability) ของผู้ควบคุมข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล แม้ศูนย์วิจัยฯ จะไม่มีหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล โดยตรงในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ให้เจ้าของข้อมูลส่วนบุคคลทราบ แต่หากศูนย์วิจัยฯ เห็นสมควรเพื่อประโยชน์ต่อเจ้าของข้อมูลส่วนบุคคล และสามารถกระทำได้ ศูนย์วิจัยฯ ย่อมสามารถแจ้งวัตถุประสงค์และรายละเอียดดังกล่าวให้เจ้าของข้อมูล ส่วนบุคคลทราบได้ โดยพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้กำหนดหลักเกณฑ์ หรือวิธีการสำหรับการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ไว้เป็นการเฉพาะ แต่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้กำหนดแนวทางการดำเนินการในการแจ้ง วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไว้ โดยแนวทางการดำเนินการดังกล่าวระบุว่า การแจ้ง วัตถุประสงค์และรายละเอียดดังกล่าว ต้องกระทำโดยชัดแจ้ง โดยอาจทำได้หลายวิธี เช่น การแจ้งเป็นหนังสือ การแจ้งทางวาจา การแจ้งทางข้อความในรูปแบบ SMS, อีเมล, MMS หรือทางโทรศัพท์หรือโดยวิธีการทาง อิเล็กทรอนิกส์อื่นใด (เช่น การระบุรายละเอียดใน URL หรือ QR code) เป็นต้น

ดังนั้น ศูนย์วิจัยฯ จึงอาจ พิจารณาแจ้งวัตถุประสงค์และรายละเอียดดังกล่าวผ่านช่องทางที่เห็นว่าเจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึง และรับทราบได้ เช่น เว็บไซต์ของศูนย์วิจัยฯ และ/หรือมหาวิทยาลัยเครือข่ายที่เก็บรวบรวมข้อมูลส่วนบุคคล หรือช่องทางอื่นได้ตามที่เห็นสมควร

ประเด็นข้อหารือที่ 2 แนวทางการจัดทำข้อมูลนิรนาม

ประเด็นข้อหารือที่ 2.1 การจัดทำข้อมูลนิรนามสำหรับภาพถ่ายและวิดีโอ หากศูนย์วิจัยฯ ดำเนินการลบข้อมูลที่มีตัวระบุทางตรง (direct identifiers) เช่น ชื่อ หมายเลขทะเบียนรถ ภาพถ่ายผู้ขับขี่ และการดำเนินการพรางข้อมูลใด ๆ ที่อาจสื่อถึงเจ้าของข้อมูลส่วนบุคคล เช่น อายุ วันที่เกิดเหตุ หรือตำแหน่ง ที่เกิดเหตุ ที่อาจปรากฏในภาพถ่ายหรือวิดีโอดังกล่าว จะสามารถทำให้ข้อมูลดังกล่าวไม่ถือเป็นข้อมูลส่วนบุคคล ได้หรือไม่ ตามที่ได้ให้ความเห็นไว้แล้วในประเด็นข้อหารือที่ 1.1 เมื่อพิจารณาจากบทนิยามของคำว่า “ข้อมูลส่วนบุคคล” ตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 6 (1) และ (2) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 แล้ว จะเห็นว่า การทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือการทำให้เป็นข้อมูลนิรนาม (anonymization) นั้น ประกอบด้วยกระบวนการอย่างน้อย 2 ส่วน คือ 1) กระบวนการ de-identification ซึ่งจะทำให้ข้อมูลดังกล่าวไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล ได้ทางตรง โดยการลบหรือทำให้ปราศจากข้อมูลใด ๆ ที่เป็นตัวระบุทางตรง (direct identifiers) ของเจ้าของ ข้อมูลส่วนบุคคลในข้อมูลส่วนบุคคลดังกล่าว 2) กระบวนการพิจารณาดำเนินการเพิ่มเติมเพื่อให้แน่ใจว่าข้อมูล ดังกล่าวเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ทางอ้อม โดยมีโอกาสในการระบุ ตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ในระดับที่ต่ำเพียงพอ โดยอาจพิจารณาจากข้อมูลอื่น ๆ ที่ยังคงเหลืออยู่ รวมถึงข้อมูลอื่นที่ศูนย์วิจัยฯ สามารถเข้าถึงและอาจนำมาเชื่อมโยงกับข้อมูลดังกล่าวได้ ว่ายังคงมีโอกาสในการระบุ ตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลด้วยวิธีการหนึ่งวิธีการใด หรือยังสามารถทำให้ข้อมูลนั้นย้อนกลับมา สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (re-identification) ได้หรือไม่ เพียงใด โดยอาจพิจารณา ทำการแฝงข้อมูล (pseudonymization) หรือดำเนินการอย่างหนึ่งอย่างใดต่อข้อมูลทั้งหมดหรือบางส่วน เพื่อลดโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลจากข้อมูลที่เป็นตัวระบุทางอ้อม (indirect identifiers) เช่น วันเดือนปีเกิด อายุ ตำแหน่งงาน สังกัด วันเดือนปีที่เกิดเหตุ ที่อยู่ หรือข้อมูลอื่นใด ที่มีลักษณะคล้ายกัน ให้อยู่ในระดับที่ต่ำเพียงพอ มาตรฐานสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ว่าด้วยแนวทางการจัดทำข้อมูล นิรนาม เวอร์ชัน 1.0 (เลขที่ มสพร. 14-2567) ซึ่งกำหนดโดยประกาศสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ที่ ม 5/2567 เรื่อง มาตรฐานสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ว่าด้วย แนวทางการจัดทำข้อมูลนิรนาม ลงวันที่ 23 กันยายน 2567 เพื่อยึดถือเป็นแนวทางปฏิบัติภายในของ สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) และเป็นข้อเสนอแนะสำหรับหน่วยงานของรัฐ ได้ยกตัวอย่าง วิธีการจัดทำข้อมูลนิรนาม ซึ่งสอดคล้องกับการดำเนินการตามข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูล ส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุ ตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ไว้หลายวิธี เช่น
1. การลบข้อมูล (suppression) คือ การลบข้อมูลบางส่วนออกจากชุดข้อมูล เช่น การลบ คุณลักษณะของข้อมูลเป็นรายคอลัมน์ (attribute suppression) หรือการลบข้อมูลเป็นรายแถวหรือรายรายการ (record suppression)
2. การปิดทับลักษณะข้อมูล (character masking) คือ การปกปิด ปิดบัง หรือพรางข้อมูล ด้วยการเปลี่ยนส่วนใดส่วนหนึ่งของข้อมูล เช่น การใช้สัญลักษณ์ (เช่น * หรือ x) แทนที่ตัวอักษรหรือตัวเลข บางหลัก เป็นต้น
3. การแฝงข้อมูล (pseudonymization) คือ การแทนที่ตัวระบุทางตรง (direct identifier) ของเจ้าของข้อมูลส่วนบุคคล ด้วยชื่อหรือรหัสที่สร้างขึ้นมา หรือด้วยวิธีการใดวิธีการหนึ่ง เช่น การเข้ารหัส ข้อมูล (encryption) การแฮชข้อมูล (hashing) หรือการแบ่งแยกข้อมูลเป็นส่วน ๆ (tokenization) เป็นต้น
4. การทำให้ข้อมูลเป็นสามัญ (generalization) คือ การลดความละเอียดของข้อมูลที่อาจ ระบุตัวบุคคลได้ เช่น การแปลงอายุของบุคคลเป็นช่วงอายุหรือกลุ่มอายุ
5. การสลับข้อมูล (swapping, shuffling, or permutation) คือ การสลับสับเปลี่ยนข้อมูล เป็นชุดข้อมูลใหม่เพื่อไม่ให้ตรงกับข้อมูลเริ่มต้น
6. การรบกวนข้อมูล (data perturbation) คือ การเปลี่ยนแปลงข้อมูลให้แตกต่างจากข้อมูล เดิมเล็กน้อย เพื่อทำให้ความแม่นยำของข้อมูลลดลงและลดโอกาสในการระบุตัวบุคคลทางอ้อม เช่น การใส่สัญญาณรบกวนแบบสุ่ม (random noise) เข้าไปในค่าตัวเลข (เช่น อายุ) ของข้อมูลเดิม
7. การรวมข้อมูล (data aggregation) คือ การแปลงข้อมูลให้อยู่ในรูปแบบผลรวม ค่าเฉลี่ย หรือข้อมูลที่สรุปในภาพรวม

ทั้งนี้ การดำเนินการดังกล่าวข้างต้นเป็นเพียงตัวอย่างวิธีการที่อาจนำไปสู่ข้อมูลที่ไม่สามารถ ระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือข้อมูลนิรนาม (anonymous data) ได้ แต่การดำเนินการ ดังกล่าวที่จะทำให้ข้อมูลส่วนบุคคลกลายเป็นข้อมูลนิรนามอย่างแท้จริง จะต้องมีการลบหรือทำให้ปราศจาก ข้อมูลใด ๆ ที่เป็นตัวระบุทางตรง (direct identifiers) ของเจ้าของข้อมูลส่วนบุคคลในข้อมูลส่วนบุคคลดังกล่าว (de-identification) ร่วมกับการพิจารณาดำเนินการเพื่อให้เกิดความมั่นใจว่าข้อมูลดังกล่าวไม่สามารถระบุ ตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ทางอ้อมจากข้อมูลที่เป็นตัวระบุทางอ้อม (indirect identifiers) และไม่สามารถทำให้ย้อนกลับมาสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (re-identification) อีกต่อไป โดยมีโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ในระดับที่ต่ำเพียงพอด้วย ซึ่งวิธีการจัดทำข้อมูลนิรนามดังกล่าวข้างต้นอาจเป็นตัวอย่างแนวทางการดำเนินการที่ผู้ควบคุมข้อมูล ส่วนบุคคลพิจารณานำไปปรับใช้ได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่พิจารณาให้แน่ใจว่าการดำเนินการ ดังกล่าวสอดคล้องกับหลักเกณฑ์ในข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคล ที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ด้วย

ดังนั้น เมื่อศูนย์วิจัยฯ ได้ดำเนินการลบข้อมูลที่เป็นตัวระบุทางตรง (direct identifiers) เช่น ชื่อ หมายเลขทะเบียนรถ ภาพถ่ายผู้ขับขี่ ในขั้นตอน de-identification ตามข้อ 6 (1) ของประกาศข้างต้นแล้ว และได้ดำเนินการพรางข้อมูลใด ๆ ที่อาจสื่อถึงเจ้าของข้อมูลส่วนบุคคล เช่น อายุ วันที่เกิดเหตุ หรือตำแหน่ง ที่เกิดเหตุ ที่อาจปรากฏในภาพถ่ายหรือวิดีโอดังกล่าว อันเป็นส่วนหนึ่งของขั้นตอนตามข้อ 6 (2) ของประกาศ เดียวกันแล้ว ศูนย์วิจัยฯ จึงมีหน้าที่พิจารณาเพิ่มเติมว่า ข้อมูลภายหลังการดำเนินการดังกล่าว เป็นข้อมูล ที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ทางอ้อม โดยมีโอกาสในการระบุตัวบุคคลที่เป็น เจ้าของข้อมูลส่วนบุคคลได้ในระดับที่ต่ำเพียงพอ แล้วหรือไม่ หากยังสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูล ส่วนบุคคลได้ โดยมีโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ในระดับที่ไม่ต่ำเพียงพอ และไม่ใช่ข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ข้อมูลดังกล่าวก็ยังเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่หากไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลดังกล่าว ได้ โดยมีโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ในระดับที่ต่ำเพียงพอ ก็จะไม่ใช่ข้อมูล ส่วนบุคคลตามพระราชบัญญัติดังกล่าว และถือเป็นข้อมูลนิรนาม (anonymous data)

ประเด็นข้อหารือที่ 2.2 ผลของการจัดทำข้อมูลนิรนาม หากข้อมูลที่ถูกจัดทำเป็นข้อมูล นิรนามแล้ว ศูนย์วิจัยฯ สามารถใช้ข้อมูลดังกล่าวโดยไม่ต้องคำนึงถึงเงื่อนไขตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 เพราะถือว่าข้อมูลดังกล่าวสิ้นสถานะความเป็นข้อมูลส่วนบุคคลแล้ว ใช่หรือไม่ หากใช่แล้ว จะรวมถึงกรณีที่ศูนย์วิจัยฯ จัดเก็บข้อมูลดิบที่ได้รับจากมหาวิทยาลัยเครือข่ายเพื่อใช้ประกอบ การอ้างอิงภายใน โดยไม่มีข้อมูลที่มีตัวระบุทางตรง (direct identifiers) ตามแนวทางการศึกษาวิจัยทั่วไปได้หรือไม่ ตามที่ได้ให้ความเห็นไว้แล้วในประเด็นข้อหารือที่ 1.1 หากข้อมูลที่เก็บรวบรวมเป็นข้อมูล ของผู้ถึงแก่กรรมโดยเฉพาะ หรือเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม (ข้อมูลนิรนาม) ก็ย่อมไม่ใช่ข้อมูลส่วนบุคคล การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลดังกล่าวย่อมไม่อยู่ ภายใต้บังคับของพระราชบัญญัตินี้

อย่างไรก็ตาม การเก็บรวบรวมข้อมูลที่จะถือว่าไม่ใช่ข้อมูลส่วนบุคคล จึงไม่อยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นั้น จะต้องเป็นกรณีที่ข้อมูล ดังกล่าวเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม (เป็นข้อมูลนิรนาม) ในขั้นตอน การเก็บรวบรวมข้อมูลดังกล่าวตั้งแต่ต้น หรือเป็นกรณีการเก็บรวบรวมข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะเท่านั้น แต่หากเป็นกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลได้เก็บรวบรวมข้อมูลซึ่งทำให้ สามารถระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม แล้วจึงนำมาดำเนินการใด ๆ เพื่อทำให้ข้อมูลส่วนบุคคล ดังกล่าวกลายเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (ข้อมูลนิรนาม) ในภายหลัง ย่อมจะเห็นได้ว่า มีการเก็บรวบรวมข้อมูลส่วนบุคคลมาก่อน แล้วจึงทำให้ข้อมูลส่วนบุคคลดังกล่าวกลายเป็น ข้อมูลนิรนามที่ไม่ถือเป็นข้อมูลส่วนบุคคลในเวลาต่อมา

ดังนั้น ข้อมูลส่วนบุคคลซึ่งเป็นข้อมูลดิบที่มี การเก็บรวบรวมก่อนที่จะทำให้เป็นข้อมูลนิรนามในภายหลัง จึงอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562

ทั้งนี้ แม้ข้อมูลดังกล่าวจะไม่มีข้อมูลใด ๆ ที่เป็นตัวระบุทางตรง (direct identifiers) แต่ข้อมูลดังกล่าวก็ยังอาจสามารถทำให้ย้อนกลับมาสามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูล ส่วนบุคคลได้ (re-identification) หากยังมีโอกาสในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ในระดับที่ไม่ต่ำเพียงพอ อันจะถือเป็นข้อมูลที่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ทางอ้อม

ดังนั้น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลดังกล่าวจะต้องเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 เช่นเดียวกัน

ประเด็นข้อหารือที่ 2.3 หากหน่วยงานภายนอกเป็นผู้ว่าจ้างผู้ให้ผู้บริการจัดทำข้อมูล ผลการศึกษาของศูนย์วิจัยฯ เป็นข้อมูลนิรนาม ก่อนจัดส่งให้แก่หน่วยงานดังกล่าว เป็นกิจกรรมที่สามารถอ้างอิง ฐานประโยชน์โดยชอบด้วยกฎหมายในการดำเนินการดังกล่าว โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูล ส่วนบุคคลได้หรือไม่ หากศูนย์วิจัยฯ ได้จัดทำผลการศึกษาวิจัย ที่ไม่ปรากฏข้อมูลส่วนบุคคลที่ทำให้สามารถระบุ ตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อมแล้ว ศูนย์วิจัยฯ และหน่วยงานที่เกี่ยวข้อง ก็ไม่ต้องปฏิบัติตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในส่วนที่เกี่ยวกับผลการศึกษาวิจัยดังกล่าว แต่ในกรณีที่ผลการศึกษาวิจัย ดังกล่าว ปรากฏข้อมูลเกี่ยวกับบุคคลที่อาจทำให้สามารถระบุตัวบุคคลได้ทางตรงหรือทางอ้อม เช่น ข้อมูล เกี่ยวกับสถานที่หรือพฤติการณ์ของเหตุการณ์ ซึ่งอาจทำให้สามารถคาดเดาตัวบุคคลที่เกี่ยวข้องได้ทางอ้อม ศูนย์วิจัยฯ ก็สามารถพิจารณาฐานทางกฎหมายในการเปิดเผยข้อมูลดังกล่าวตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ[มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตามที่ได้ให้ความเห็นไว้แล้วในประเด็นข้อหารือที่ 1.1 และในกรณีที่จะพิจารณาว่าเป็นกรณีที่เป็นการจำเป็น เพื่อประโยชน์โดยชอบด้วยกฎหมายของศูนย์วิจัยฯ หรือของบุคคลหรือนิติบุคคลอื่น ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง หรือไม่ ก็สามารถทำการประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) ได้ต่อไป

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-3-2569.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/02/consultation-66.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/3-2569.md

============================================================
โนด: ข้อหารือ 4/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/4-2566.md

# ข้อหารือที่ 4/2566 เรื่อง ธนาคาร ข. ขอหารือวิธีปฏิบัติเกี่ยวกับการเพิกถอนความยินยอมตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคห้า และวรรคหก

## ข้อหารือ

ธนาคาร ข. ขอหารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เกี่ยวกับการถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคลจากลูกค้าผ่านเครื่อง SUMO เครื่อง Virtual Teller Machine (VTM) และผ่านระบบ Mobile Banking ซึ่งลูกค้าสามารถเปลี่ยนแปลงความยินยอมจาก "ยินยอม" เป็น "ไม่ยินยอม" ด้วยตนเอง ถือเป็นการถอนความยินยอมได้หรือไม่ หรือต้องมีช่องทางหรือเมนูให้ลูกค้าเพิกถอนความยินยอมเพิ่มเติมหรือไม่

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือแล้ว เห็นว่า

1. [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคห้าและวรรคหก แห่ง PDPA ได้กำหนดว่าเจ้าของข้อมูลส่วนบุคคลจะถอนความยินยอมเสียเมื่อใดก็ได้ โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล ทั้งนี้ การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมไปแล้วโดยชอบตามที่กำหนดไว้ในหมวดนี้ ในกรณีที่การถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงผลกระทบจากการถอนความยินยอมนั้น

2. กรณีนี้หากธนาคาร ข. ได้แจ้งในประกาศความเป็นส่วนตัว (Privacy Notice) ให้เจ้าของข้อมูลส่วนบุคคลทราบอย่างชัดแจ้งว่าการที่ลูกค้าผู้ใช้บริการได้กดปุ่ม "ไม่ยินยอม" ผ่านระบบ SUMO (เครื่อง Virtual Teller Machine (VTM)) และผ่านระบบ Mobile Banking ซึ่งเป็นการกดปุ่มหลังจากที่ทำการกดปุ่มให้ความยินยอมมาแล้ว ให้ถือว่าเป็นการถอนความยินยอมจากการให้บริการ แม้กระบวนการถอนความยินยอมไม่ได้จัดทำเป็นกรณีเฉพาะก็ถือเป็นการถอนความยินยอมตามกฎหมายแล้ว ทั้งนี้ ธนาคารฯ ควรจัดให้มีระบบตรวจสอบย้อนกลับ (trace back) ของการให้ความยินยอมและการถอนความยินยอม และควรแจ้งผลหรือแสดงสถานะการถอนความยินยอมให้เจ้าของข้อมูลส่วนบุคคลทราบด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-4-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-04.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/4-2566.md

============================================================
โนด: ข้อหารือ 4/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/4-2567.md

# ข้อหารือที่ 4/2567 เรื่อง สถานีตำรวจ F ขอหารือกรณีผู้ใช้ Facebook ได้โพสต์รูปภาพและข้อความ

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1), [มาตรา 5](https://link.pdpalawbase.com/section/5.md), [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 20](https://link.pdpalawbase.com/section/20.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 28](https://link.pdpalawbase.com/section/28.md), [มาตรา 29](https://link.pdpalawbase.com/section/29.md), [มาตรา 30](https://link.pdpalawbase.com/section/30.md), [มาตรา 31](https://link.pdpalawbase.com/section/31.md), [มาตรา 32](https://link.pdpalawbase.com/section/32.md), [มาตรา 33](https://link.pdpalawbase.com/section/33.md), [มาตรา 34](https://link.pdpalawbase.com/section/34.md), [มาตรา 35](https://link.pdpalawbase.com/section/35.md), [มาตรา 36](https://link.pdpalawbase.com/section/36.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)
2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม
3. ประมวลกฎหมายอาญา — มาตรา 326 และมาตรา 328
4. ประมวลกฎหมายแพ่งและพาณิชย์ — มาตรา 420

## ข้อหารือ

สถานีตำรวจ F แจ้งว่า มีผู้แจ้งความว่าผู้ใช้ Facebook โพสต์ภาพผู้เสียหาย + ข้อความดูหมิ่น เกลียดชัง · พนักงานสอบสวนได้รับหนังสือจากสำนักงานอัยการ C ให้ตรวจสอบ:
1. รูปโปรไฟล์ของผู้ต้องหาที่ได้โพสต์ภาพและข้อความ มีสัญลักษณ์ใต้โพสต์เป็นรูปโลก+คน — เป็นการทำให้สาธารณชนพบเห็นได้ทั่วไป หรือเฉพาะกลุ่ม
2. ผู้ต้องหาเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) หรือไม่ อธิบายโดยละเอียด

## ความเห็น

ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) "ข้อมูลส่วนบุคคล" หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม · **ภาพหรือข้อความเกี่ยวกับบุคคลที่โพสต์บน Facebook ที่สามารถระบุตัวบุคคลได้ ถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้**

สำหรับการโพสต์ภาพผู้เสียหายบน Facebook จะอยู่ภายใต้บังคับ PDPA และมีความผิดหรือไม่ — [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่งกำหนดว่า PDPA ใช้บังคับแก่การเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูล · [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" = บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บ/ใช้/เปิดเผยข้อมูล

เมื่อพิจารณาบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ (ฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md)/[มาตรา 26](https://link.pdpalawbase.com/section/26.md), privacy notice ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md), ส่งข้อมูลข้ามชาติตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md)/[มาตรา 29](https://link.pdpalawbase.com/section/29.md), มาตรการความมั่นคงตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md), คำขอใช้สิทธิเจ้าของข้อมูลตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md)–[มาตรา 36](https://link.pdpalawbase.com/section/36.md), DPO ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md)) — **เห็นได้ว่าบทบัญญัติและเจตนารมณ์แห่งกฎหมายมุ่งประสงค์จะใช้บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น**

ประกอบกับ **[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) ได้กำหนดข้อยกเว้นไม่ให้นำ PDPA ไปใช้บังคับแก่การเก็บ/ใช้/เปิดเผยข้อมูลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น** (household exception)

ดังนั้น สถานีตำรวจ F ต้องพิจารณาว่าการกระทำของผู้ต้องหา (บุคคลธรรมดา) เป็นการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคล**เพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว**หรือไม่ · หากพิจารณาแล้วเห็นว่า การกระทำมีวัตถุประสงค์เพื่อประโยชน์ส่วนตน โดย**ไม่มีลักษณะเป็นการเก็บ/ใช้/เปิดเผยข้อมูลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอ**เพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุมข้อมูล — **ย่อมไม่อยู่ในขอบเขตการบังคับใช้ PDPA ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1)**

อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้น เช่น **พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550** หรือ**ประมวลกฎหมายอาญา ในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาทโดยการโฆษณา** หรือ**การทำละเมิดตามมาตรา 420 ป.พ.พ.**

**ประเด็นข้อ 1** เกี่ยวกับสัญลักษณ์ public/private ของโพสต์ Facebook — **ไม่ใช่กรณีที่เกี่ยวกับการบังคับใช้ PDPA โดยตรง** · พนักงานสอบสวนควรพิจารณาตามข้อเท็จจริงที่เกี่ยวข้อง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-4-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-33.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/4-2567.md

============================================================
โนด: ข้อหารือ 4/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/4-2568.md

# ข้อหารือที่ 4/2568 เรื่อง บริษัท Z หารือการขอถอนความยินยอมของลูกค้าในระบบแอปพลิเคชัน ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (3), [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสาม/วรรคสี่/วรรคห้า, [มาตรา 20](https://link.pdpalawbase.com/section/20.md) วรรคหนึ่ง/วรรคสี่, [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 30](https://link.pdpalawbase.com/section/30.md) และ [มาตรา 33](https://link.pdpalawbase.com/section/33.md) แห่ง PDPA + ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 22/23/24/27 (เกณฑ์ความสามารถของผู้เยาว์))_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — ประเด็นที่หารือคือ แนวทางการดำเนินการเมื่อลูกค้าซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลขอถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลผ่านระบบแอปพลิเคชันของบริษัท Z รวมถึงกรอบระยะเวลาในการดำเนินการ และกรณีที่ผู้ใช้บริการเป็นผู้เยาว์)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า บริษัท Z ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล มีหน้าที่ดำเนินการให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่ง [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดว่า ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม และ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคห้า กำหนดให้เจ้าของข้อมูลส่วนบุคคลต้องสามารถถอนความยินยอมเสียเมื่อใดก็ได้โดยจะต้องถอนความยินยอมได้ง่ายเช่นเดียวกับการให้ความยินยอม เว้นแต่มีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคล นอกจากนี้ แนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดตาม [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (3) กำหนดว่า ผู้ควบคุมข้อมูลส่วนบุคคลต้องแสดงรายละเอียดวิธีการ เงื่อนไข หรือแบบฟอร์มในการถอนความยินยอมให้เด่นชัด (prominent) ในบริเวณที่เห็นได้ชัดเจนในการขอความยินยอมไม่ว่าในรูปแบบหนังสือหรืออิเล็กทรอนิกส์ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลและเจ้าของข้อมูลส่วนบุคคลแสดงเจตนาโดยให้ความยินยอมด้วยวิธีการทางอิเล็กทรอนิกส์ เช่น การใช้เมาส์คลิกกดให้ความยินยอม การสไลด์หน้าจอ หรือการวาด key stroke เพื่อให้ความยินยอม การถอนความยินยอมก็ต้องใช้วิธีการแบบเดียวกันหรือระดับเดียวกันได้โดยง่าย หรือเป็นวิธีการอื่นใดที่เจ้าของข้อมูลส่วนบุคคลสามารถเข้าถึงได้โดยง่ายเช่นเดียวกับการขอความยินยอม ทั้งนี้ การถอนความยินยอมจะต้องไม่เป็นการสร้างภาระ ค่าใช้จ่าย หรือขั้นตอนให้กับเจ้าของข้อมูลส่วนบุคคลมากกว่าการให้ความยินยอม และไม่มีผลทำให้การให้บริการด้อยประสิทธิภาพลง หลักการที่กำหนดให้การถอนความยินยอมจะต้องสามารถทำได้ง่ายเช่นเดียวกับการให้ความยินยอม มีขึ้นเพื่อป้องกันมิให้ผู้ควบคุมข้อมูลส่วนบุคคลสร้างอุปสรรค (barrier) ที่ทำให้การถอนความยินยอมมีความยากลำบากหรือต้องใช้ความพยายามมากขึ้นเมื่อเทียบกับการให้ความยินยอม ซึ่งจะเป็นการสร้างภาระแก่เจ้าของข้อมูลส่วนบุคคลอย่างไม่เหมาะสม และอาจสะท้อนเจตนาของผู้ควบคุมข้อมูลส่วนบุคคลที่ไม่ประสงค์จะให้เจ้าของข้อมูลส่วนบุคคลถอนความยินยอม อันจะขัดกับหลักการที่ต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม (“Consent must be freely given.”) ซึ่งรวมถึงสิทธิในการถอนความยินยอมด้วย

ดังนั้น เมื่อเจ้าของข้อมูลส่วนบุคคลขอถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลของตนผ่านทางแอปพลิเคชัน โดยวิธีการที่ง่ายเช่นเดียวกับการให้ความยินยอมแล้ว บริษัท Z ต้องหยุดการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นโดยไม่ชักช้า (without undue delay) หรือโดยเร็วที่สุดเท่าที่จะเป็นไปได้ในทางเทคนิคและทางปฏิบัติ โดยคณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า ระยะเวลาในการดำเนินการตามการถอนความยินยอมของเจ้าของข้อมูลส่วนบุคคลนั้น แตกต่างจากระยะเวลาในการตอบสนองต่อคำขอใช้สิทธิอื่น ๆ ของเจ้าของข้อมูลส่วนบุคคล เช่น สิทธิในการขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตน (Right of Access) ตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือสิทธิในการขอให้ดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ (Right to Erasure) ตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) ซึ่งมีกรอบระยะเวลาในการดำเนินการตอบสนองต่อคำขอใช้สิทธิดังกล่าว 30 วัน หรือมากกว่า แต่สำหรับการถอนความยินยอม การหยุดหรือระงับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจะถูกคาดหวังให้เกิดขึ้นเร็วกว่าค่อนข้างมาก เนื่องจากผู้ควบคุมข้อมูลส่วนบุคคลจะไม่มีฐานทางกฎหมาย (lawful basis) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวอีกต่อไป และมีหน้าที่ในการลบหรือทำลายข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม (เว้นแต่เป็นกรณีที่ได้รับยกเว้นตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด) โดยเฉพาะอย่างยิ่งเมื่อการถอนความยินยอมนั้นกระทำผ่านช่องทางดิจิทัล เช่น ผ่านแอปพลิเคชัน ซึ่งระบบควรถูกออกแบบมาให้รองรับการเปลี่ยนแปลงเงื่อนไขการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามสถานะความยินยอมของผู้ใช้งานได้โดยอัตโนมัติในทันที บริษัท Z จึงควรออกแบบระบบให้รองรับการถอนความยินยอมที่มีผลโดยอัตโนมัติเมื่อผู้ใช้งานกดปุ่มหรือแสดงเจตนาถอนความยินยอมในแอปพลิเคชัน ประกอบกับระบบดังกล่าวควรสามารถปรับปรุงสถานะและหยุดการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้องได้ทันทีหากทำได้ พร้อมทั้งแจ้งยืนยันการถอนความยินยอมเพื่อให้เจ้าของข้อมูลส่วนบุคคลมั่นใจว่าการดำเนินการเสร็จสมบูรณ์แล้ว

อย่างไรก็ตาม ในกรณีที่ระบบไม่สามารถดำเนินการให้การถอนความยินยอมมีผลได้โดยอัตโนมัติในทันทีด้วยเหตุผลทางเทคนิคหรือทางปฏิบัติที่มิอาจหลีกเลี่ยงได้ บริษัท Z ควรแจ้งเงื่อนไขและระยะเวลาที่เหมาะสมในการดำเนินการจนกว่าการถอนความยินยอมจะมีผลให้เจ้าของข้อมูลส่วนบุคคลทราบโดยชัดแจ้งในขั้นตอนการถอนความยินยอม ซึ่งการกำหนดระยะเวลาดังกล่าวจะต้องคำนึงถึงหลักความเป็นธรรมและความโปร่งใส และไม่ควรใช้ระยะเวลานานกว่าขั้นตอนที่บริษัทใช้เพื่อทำให้การให้ความยินยอมมีผลใช้บังคับ นอกจากนี้ บริษัท Z ควรระบุระยะเวลาโดยสังเขปในการดำเนินการตามการถอนความยินยอมให้ผู้ใช้บริการซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลทราบ เป็นข้อมูลประกอบในการแจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล (privacy notice) ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และในการแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในขั้นตอนการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสามด้วย เพื่อความเป็นธรรมและความโปร่งใสแก่เจ้าของข้อมูลส่วนบุคคล เนื่องจากข้อมูลดังกล่าวอาจมีความสำคัญกับการตัดสินใจให้ความยินยอมหรือการใช้สิทธิอื่นของเจ้าของข้อมูลส่วนบุคคล บริษัท Z จึงควรพิจารณากำหนดระยะเวลาที่เหมาะสมจากกระบวนการดำเนินการตามระบบที่เกี่ยวข้องโดยระบุระยะเวลาที่คาดหมายว่าจะดำเนินการให้การถอนความยินยอมมีผลเสร็จสมบูรณ์ตามกระบวนการได้ และอาจพิจารณาระบุระยะเวลาที่เร็วที่สุดและล่าช้าที่สุดที่อาจเป็นไปได้ในการดำเนินการดังกล่าวด้วยก็ได้ โดยระยะเวลาดังกล่าวจะต้องสะท้อนการดำเนินการที่ไม่ชักช้า (without undue delay) และมีความรวดเร็วตามสมควรด้วย

ในกรณีที่ผู้ใช้บริการเป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรสหรือไม่มีฐานะเสมือนดังบุคคลซึ่งบรรลุนิติภาวะแล้วตามมาตรา 27 แห่งประมวลกฎหมายแพ่งและพาณิชย์ บริษัท Z จะต้องพิจารณาว่า กรณีดังกล่าวเป็นกรณีที่ผู้เยาว์อาจให้ความยินยอมโดยลำพังได้ตามที่บัญญัติไว้ในมาตรา 22 มาตรา 23 หรือมาตรา 24 แห่งประมวลกฎหมายแพ่งและพาณิชย์หรือไม่ หรือเป็นกรณีที่ผู้เยาว์ไม่อาจให้ความยินยอมโดยลำพังได้และจะต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย หรือเป็นกรณีที่ผู้เยาว์มีอายุไม่เกิน 10 ปี ซึ่งจะต้องขอความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์แทน ตามนัย [มาตรา 20](https://link.pdpalawbase.com/section/20.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องจาก [มาตรา 20](https://link.pdpalawbase.com/section/20.md) วรรคสี่ กำหนดให้นำเงื่อนไขการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรสหรือไม่มีฐานะเสมือนดังบุคคลซึ่งบรรลุนิติภาวะแล้ว มาใช้บังคับกับการถอนความยินยอมของเจ้าของข้อมูลส่วนบุคคล ในกรณีที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์โดยอนุโลม ดังนั้น ในการขอความยินยอมและการถอนความยินยอมของผู้ใช้บริการซึ่งเป็นผู้เยาว์ ผู้ควบคุมข้อมูลส่วนบุคคลควรคำนึงถึงความเหมาะสมด้านวุฒิภาวะของผู้เยาว์ในการตัดสินใจเกี่ยวกับผลิตภัณฑ์หรือบริการดังกล่าว ประกอบกับผลกระทบจากการตัดสินใจนั้น โดยพิจารณาดำเนินการเกี่ยวกับการขอความยินยอม หรือการถอนความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ให้เหมาะสมและเป็นไปตาม [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-4-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/09/PDPCconsultation-53.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/4-2568.md

============================================================
โนด: ข้อหารือ 4/2569
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/4-2569.md

# ข้อหารือที่ 4/2569 เรื่อง สำนักงานปลัดกระทรวงสาธารณสุขขอหารือข้อกฎหมายเกี่ยวกับการจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (Data Sharing Agreement)

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่งและวรรคสอง [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสอง [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (2) (3) และ (4) [มาตรา 39](https://link.pdpalawbase.com/section/39.md) [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (1) และวรรคสาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสอง [มาตรา 79](https://link.pdpalawbase.com/section/79.md) [มาตรา 80](https://link.pdpalawbase.com/section/80.md) และ[มาตรา 81](https://link.pdpalawbase.com/section/81.md)
2. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 และที่แก้ไขเพิ่มเติม มาตรา 7 วรรคหนึ่ง (4) และวรรคสาม และมาตรา 18 วรรคสอง
3. พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 มาตรา 24 วรรคหนึ่ง มาตรา 26 มาตรา 45 และมาตรา 46
4. พระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 และที่แก้ไขเพิ่มเติม มาตรา 43 (2)
5. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 มาตรา 13 มาตรา 14 และมาตรา 16
6. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 มาตรา 4
7. พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม มาตรา 7
8. พระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. 2546 และที่แก้ไขเพิ่มเติม มาตรา 27
9. ประมวลกฎหมายอาญา มาตรา 157
10. กฎกระทรวงแบ่งส่วนราชการสำนักงานปลัดกระทรวง กระทรวงสาธารณสุข พ.ศ. 2567
11. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง ปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4
12. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้ง เหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 3 และข้อ 4
13. ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูลเพื่อการเรียกเก็บ ค่าใช้จ่ายเพื่อบริการสาธารณสุข (e-Claim) พ.ศ. 2564

## ข้อหารือ

สำนักงานปลัดกระทรวงสาธารณสุขแจ้งว่า สำนักงานปลัดกระทรวงสาธารณสุขและ สำนักงานหลักประกันสุขภาพแห่งชาติ ได้ลงนามในบันทึกความเข้าใจว่าด้วยความร่วมมือการดำเนินการพัฒนา ระบบข้อมูลการเบิกค่าบริการสาธารณสุข ระหว่างกระทรวงสาธารณสุข และสำนักงานหลักประกันสุขภาพ แห่งชาติ เมื่อวันที่ 8 มีนาคม 2567

ทั้งนี้ กระทรวงสาธารณสุขได้พัฒนาระบบศูนย์กลางข้อมูลด้านการเงิน (Financial Data Hub) ให้มีกระบวนการรับ-ส่งข้อมูลตามหลักกฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) โดยชุดข้อมูลที่มีการรับ-ส่ง ประกอบด้วยข้อมูลบริการสุขภาพของผู้ป่วย เช่น ข้อมูลส่วนบุคคล ประวัติการรักษา รายการยาและเวชภัณฑ์ ผลการวินิจฉัยโรค เพื่อนำข้อมูลข้างต้นไปใช้ในการเบิกจ่ายชดเชยค่าบริการทางการแพทย์ ซึ่งถือเป็นข้อมูลอ่อนไหว โดยกระทรวงสาธารณสุขในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) พึงปฏิบัติตามกฎหมายอย่างเคร่งครัดในการเปิดเผยข้อมูลต่อนิติบุคคลอื่น ซึ่งระบบศูนย์กลางข้อมูลด้านการเงิน (Financial Data Hub) ของกระทรวงสาธารณสุข ได้ออกแบบระบบให้มีมาตรการเชิงเทคนิค (Technical measures) เพื่อลดความเสี่ยงการละเมิดของข้อมูลส่วนบุคคลเป็นสำคัญ โดยหน่วยบริการสังกัดกระทรวงสาธารณสุข ทั้งหมดสามารถส่งข้อมูลผ่านระบบดังกล่าวได้เป็นที่เรียบร้อยและพร้อมที่จะรับ-ส่งข้อมูลไปเบิกจ่ายกับกองทุน สุขภาพต่าง ๆ ได้ และเพื่อให้บรรลุวัตถุประสงค์ตามบันทึกความเข้าใจว่าด้วยความร่วมมือกับสำนักงาน หลักประกันสุขภาพแห่งชาติ (สปสช.) จึงถือปฏิบัติตามข้อกฎหมายที่เกี่ยวข้อง ดังนี้
1. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 และที่แก้ไขเพิ่มเติม มาตรา 7 ให้จัดระเบียบบริหารราชการส่วนกลาง (4) กรม หรือส่วนราชการที่เรียกชื่ออย่างอื่น และมีฐานะเป็นกรม ซึ่งสังกัดหรือไม่สังกัดสำนักนายกรัฐมนตรี กระทรวงหรือทบวง ส่วนราชการตาม (1) (2) (3) และ (4) มีฐานะ เป็นนิติบุคคล
2. พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 มาตรา 45 ให้หน่วยบริการ มีหน้าที่ ดังต่อไปนี้ (5) จัดทำระบบข้อมูลการให้บริการสาธารณสุข เพื่อสะดวกต่อการตรวจสอบคุณภาพ และบริการ รวมทั้งการขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข
3. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 6](https://link.pdpalawbase.com/section/6.md) ผู้ควบคุมข้อมูลส่วนบุคคล หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล [มาตรา 37](https://link.pdpalawbase.com/section/37.md) ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้ (1) จัดให้มีมาตรการรักษา ความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูล ส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็น หรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม

ทั้งนี้ ให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด
4. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 มาตรา 13 เพื่อประโยชน์ในการบริหารราชการแผ่นดินและการให้บริการประชาชน ให้หน่วยงานของรัฐจัดให้มีการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่มีการจัดทำและครอบครองตามที่ หน่วยงานของรัฐแห่งอื่นร้องขอ ที่จะเกิดการบูรณาการร่วมกัน [มาตรา 14](https://link.pdpalawbase.com/section/14.md) หน่วยงานของรัฐผู้รับข้อมูลดิจิทัลตาม[มาตรา 13](https://link.pdpalawbase.com/section/13.md) ต้องใช้ข้อมูลตาม วัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษาข้อมูลให้มีความมั่นคงปลอดภัย ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล [มาตรา 16](https://link.pdpalawbase.com/section/16.md) ภายใต้บทบัญญัติแห่งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลในกรณีที่ หน่วยงานของรัฐได้มาซึ่งข้อมูลส่วนบุคคลหรือมีข้อมูลส่วนบุคคลอยู่ในความครอบครอง หากหน่วยงานของรัฐ ประสงค์จะใช้ข้อมูลส่วนบุคคลดังกล่าวในรูปแบบข้อมูลดิจิทัลเพื่อประโยชน์ในการบริหารราชการแผ่นดิน หน่วยงานของรัฐนั้นสามารถขอเชื่อมโยงและแลกเปลี่ยนข้อมูลส่วนบุคคลนั้นจากหน่วยงานของรัฐที่ครอบครอง เพื่อนำมาวิเคราะห์หรือประมวลผลได้
5. ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูลเพื่อการเรียกเก็บ ค่าใช้จ่ายเพื่อบริการสาธารณสุข (e-Claim) พ.ศ. 2564
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง ปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 โดยสำนักงานปลัดกระทรวงสาธารณสุขได้จัดประชุมหารือร่างข้อตกลงการเปิดเผยข้อมูล ส่วนบุคคลระหว่างกัน ระหว่างสำนักงานปลัดกระทรวงสาธารณสุขและสำนักงานหลักประกันสุขภาพแห่งชาติ เมื่อวันที่ 10 กันยายน 2567 สำนักงานปลัดกระทรวงสาธารณสุข จึงขอหารือในประเด็น ดังนี้
1. สำนักงานปลัดกระทรวงสาธารณสุข มีฐานะเป็นนิติบุคคล ตาม[มาตรา 7](https://link.pdpalawbase.com/section/7.md) (4) แห่ง พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 และที่แก้ไขเพิ่มเติม โดยมีกฎกระทรวง แบ่งส่วนราชการสำนักงานปลัดกระทรวง กระทรวงสาธารณสุข พ.ศ. 2567 มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงานตามกฎหมาย จึงถือเป็นผู้ควบคุมข้อมูล ส่วนบุคคล ตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งหน่วยบริการในสังกัด สำนักงานปลัดกระทรวงสาธารณสุข มีหน้าที่ต้องส่งข้อมูลส่วนบุคคลมายังสำนักงานปลัดกระทรวงสาธารณสุข

ดังนั้น การจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ระหว่างสำนักงาน ปลัดกระทรวงสาธารณสุข ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่ได้รับจากหน่วยบริการในสังกัดสำนักงานปลัดกระทรวงสาธารณสุข และมีการจัดการให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หากสำนักงาน ปลัดกระทรวงสาธารณสุขประสงค์จะจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ร่วมกับ บุคคลหรือนิติบุคคลอื่นใด ควรมีการพิจารณารายละเอียดเงื่อนไขให้เป็นไปตามพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 ใช่หรือไม่

ทั้งนี้ หากบุคคลหรือนิติบุคคลอื่นใด ไม่มีความประสงค์จะจัดทำ ข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ร่วมกับสำนักงานปลัดกระทรวงสาธารณสุข สำนักงาน ปลัดกระทรวงสาธารณสุขจะต้องดำเนินการอย่างไรเพื่อให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม สอดคล้องพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในการดูแลรับผิดชอบต่อหน่วยบริการภายใต้ สังกัดของกระทรวงสาธารณสุข
2. การที่หน่วยบริการในสังกัดสำนักงานปลัดกระทรวงสาธารณสุข ซึ่งไม่มีฐานะเป็นนิติบุคคล และไม่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงไม่ถือเป็นผู้ควบคุม ข้อมูลส่วนบุคคล ตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นั้น หากบุคคล หรือนิติบุคคลอื่นใด มีความประสงค์ขอแบ่งปันข้อมูลส่วนบุคคล จะต้องมีการแจ้งวัตถุประสงค์ในการขอข้อมูล มาที่สำนักงานปลัดกระทรวงสาธารณสุข ซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล เพื่อตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ใช่หรือไม่ เพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
3. ในกรณีที่หน่วยบริการในสังกัดสำนักงานปลัดกระทรวงสาธารณสุข ได้ส่งข้อมูลไปยังบุคคล หรือนิติบุคคลอื่นใด โดยที่สำนักงานปลัดกระทรวงสาธารณสุข ในฐานะหน่วยงานกำกับดูแลหน่วยบริการนั้น มีความประสงค์จะจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ร่วมกับบุคคลหรือนิติบุคคล อื่นใด เพื่อจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม แต่บุคคลหรือนิติบุคคลอื่นใดไม่มี ความประสงค์จะจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ร่วมกับสำนักงานปลัดกระทรวง จากกรณีดังกล่าวหากเกิดการรั่วไหลของข้อมูลส่วนบุคคล หน่วยงานใดบ้างที่ต้องมีความรับผิดทางแพ่ง (การชดใช้ค่าเสียหาย) และความรับผิดทางปกครอง (โทษปรับทางปกครอง) ตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562
4. เพื่อเป็นการส่งเสริมมาตรการเชิงองค์กรให้กับเจ้าหน้าที่ภายใต้การกำกับของหน่วยงาน การดำเนินการของสำนักงานปลัดกระทรวงสาธารณสุขเกี่ยวกับการบริหารจัดการและแลกเปลี่ยนข้อมูล สุขภาพ หากได้มีการปฏิบัติตามกฎหมายที่เกี่ยวข้องอย่างครบถ้วน ทั้งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 และกฎหมายอื่นที่เกี่ยวข้อง จะถือว่าเป็นการดำเนินการที่แสดงถึงความรับผิดชอบ (Accountability) ตามหลักการคุ้มครองข้อมูลส่วนบุคคลและเป็นการปฏิบัติหน้าที่ตามกฎหมายซึ่งไม่เข้าข่าย ความผิดตามมาตรา 157 แห่งประมวลกฎหมายอาญา ว่าด้วยการปฏิบัติหรือละเว้นการปฏิบัติหน้าที่ โดยมิชอบของเจ้าพนักงานหรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็นว่า สำนักงานปลัดกระทรวง กระทรวงสาธารณสุข (สป.สธ.) เป็นส่วนราชการที่สังกัดกระทรวงสาธารณสุข ตามมาตรา 43 (2) แห่งพระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 มีฐานะเป็นกรมตาม มาตรา 18 วรรคสอง แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 และมีฐานะเป็น นิติบุคคลตามมาตรา 7 วรรคสาม แห่งพระราชบัญญัติเดียวกัน สำหรับพระราชบัญญัติหลักประกันสุขภาพ แห่งชาติ พ.ศ. 2545 เป็นกฎหมายที่บัญญัติขึ้นเพื่อจัดระบบการให้บริการสาธารณสุขที่จำเป็นต่อสุขภาพและ การดำรงชีวิตให้มีการรักษาพยาบาลที่มีมาตรฐาน โดยมีองค์กรกำกับดูแลซึ่งจะดำเนินการโดยการมีส่วนร่วมกัน ระหว่างภาครัฐและภาคประชาชนเพื่อจัดการให้มีระบบการรักษาพยาบาลที่มีประสิทธิภาพทั้งประเทศ และให้ประชาชนชาวไทยมีสิทธิได้รับการบริการสาธารณสุขที่มีมาตรฐานด้วยกันทุกคน อันเป็นไปตาม บทบัญญัติแห่งรัฐธรรมนูญที่บัญญัติให้ชนชาวไทยย่อมมีสิทธิเสมอกันในการรับบริการสาธารณสุขที่ได้มาตรฐาน และผู้ยากไร้มีสิทธิได้รับการรักษาพยาบาลจากสถานบริการสาธารณสุขของรัฐโดยไม่เสียค่าใช้จ่ายตามที่ กฎหมายบัญญัติ และการให้บริการสาธารณสุขของรัฐต้องเป็นไปอย่างทั่วถึงและมีประสิทธิภาพ โดยจะต้อง ส่งเสริมให้องค์กรปกครองส่วนท้องถิ่นและเอกชนมีส่วนร่วมเท่าที่จะกระทำได้ และรัฐต้องจัดและส่งเสริม การสาธารณสุขให้ประชาชนได้รับบริการที่ได้มาตรฐานและมีประสิทธิภาพอย่างทั่วถึง โดยสถานบริการ สาธารณสุขของรัฐที่สังกัด สป.สธ. ซึ่งเป็นหน่วยบริการตามพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 มีหน้าที่ตามมาตรา 45 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ในการให้บริการสาธารณสุข รวมทั้งการใช้วัคซีน ยา เวชภัณฑ์ อุปกรณ์ในการรักษาที่ได้มาตรฐานและมีคุณภาพ ให้ข้อมูลการบริการสาธารณสุขของผู้รับบริการตามที่ผู้รับบริการร้องขอและตามประกาศที่มีการกำหนด เกี่ยวกับสิทธิของผู้ป่วยและผู้รับบริการ เพื่อให้ผู้รับบริการตัดสินใจในการเลือกรับบริการหรือถูกส่งต่อ รักษาความลับของผู้รับบริการจากการปฏิบัติหน้าที่ และจัดทำระบบข้อมูลการให้บริการสาธารณสุข เพื่อสะดวกต่อการตรวจสอบคุณภาพและบริการ รวมทั้งการขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข เป็นต้น โดยในการให้บริการสาธารณสุขแก่ผู้รับบริการและการจัดทำระบบข้อมูลการให้บริการสาธารณสุข ให้หน่วยบริการปฏิบัติตามหลักเกณฑ์ที่คณะกรรมการหลักประกันสุขภาพแห่งชาติและคณะกรรมการควบคุม คุณภาพและมาตรฐานบริการสาธารณสุขกำหนด และหน่วยบริการดังกล่าวมีสิทธิได้รับค่าใช้จ่ายเพื่อบริการ สาธารณสุขจากกองทุนหลักประกันสุขภาพแห่งชาติตามหลักเกณฑ์ วิธีการ และเงื่อนไขที่คณะกรรมการ หลักประกันสุขภาพแห่งชาติกำหนด ตามมาตรา 46 วรรคหนึ่ง แห่งพระราชบัญญัติหลักประกันสุขภาพ แห่งชาติ พ.ศ. 2545 ซึ่งในการดำเนินงานของหน่วยบริการที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หน่วยบริการดังกล่าว (และ/หรือหน่วยงานต้นสังกัดที่เป็นนิติบุคคล) ย่อมมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามหน้าที่และอำนาจที่กฎหมายกำหนด รวมถึง การดำเนินการตามภารกิจที่เกี่ยวข้อง

ดังนั้น ในการดำเนินงานของหน่วยบริการที่สังกัด สป.สธ. ดังกล่าว ที่มี การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล สป.สธ. ในฐานะส่วนราชการต้นสังกัดที่มีฐานะเป็นนิติบุคคลของ หน่วยบริการดังกล่าว จะอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 6 แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 และในขณะเดียวกัน สป.สธ. และหน่วยบริการที่สังกัด สป.สธ. ก็ถือเป็นหน่วยงาน ของรัฐตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ข้อมูลข่าวสาร (รวมถึงข้อมูลข่าวสาร ส่วนบุคคล) ที่อยู่ในความครอบครองหรือควบคุมดูแลของ สป.สธ. และหน่วยบริการในสังกัด จึงเป็นข้อมูลข่าวสาร ของราชการ ตามนัยมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ด้วย

ดังนั้น ในการดำเนินการเกี่ยวกับการเปิดเผยข้อมูลข่าวสารของราชการ สป.สธ. จะต้องดำเนินการให้เป็นไปตาม พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ซึ่งเป็นกฎหมายที่วางหลักเกณฑ์เกี่ยวกับการเปิดเผย ข้อมูลข่าวสารของหน่วยงานของรัฐ และในส่วนที่เกี่ยวข้องกับข้อมูลด้านสุขภาพของบุคคล สป.สธ. จะต้อง ปฏิบัติตามมาตรา 7 แห่งพระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 รวมถึงกฎหมายอื่นที่เกี่ยวข้อง ซึ่งเป็น กฎหมายที่บัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลไว้โดยเฉพาะในลักษณะดังกล่าวก่อน แล้วจึงพิจารณา ดำเนินการให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม

ทั้งนี้ ตาม[มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำหรับสำนักงานหลักประกันสุขภาพแห่งชาติ (สปสช.) เป็นหน่วยงานของรัฐมีฐานะเป็น นิติบุคคลตามมาตรา 24 วรรคหนึ่ง แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 สปสช. จึงมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงาน ตามอำนาจหน้าที่

ดังนั้น สปสช. จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 6 แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วยเหตุนี้ การที่หน่วยบริการที่สังกัด สป.สธ. ส่งข้อมูลส่วนบุคคล ของผู้ป่วยหรือผู้รับบริการให้แก่ สปสช. เพื่อขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข ตามมาตรา 45 และมาตรา 46 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 จึงถือเป็นการเปิดเผยข้อมูลส่วนบุคคลที่เป็น การปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามนัยมาตรา 24 (6) ประกอบมาตรา 27 วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือในกรณีที่เป็นข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ก็ถือเป็นการเปิดเผยข้อมูลส่วนบุคคลที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ หลักประกันสุขภาพแห่งชาติ ตามมาตรา 26 (5) (ค) ประกอบมาตรา 27 วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว ซึ่งได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า การที่ สปสช. เก็บรวบรวมข้อมูลส่วนบุคคล ดังกล่าว เพื่อใช้ในการดำเนินงานตามอำนาจหน้าที่ตามมาตรา 26 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ซึ่งรวมถึงอำนาจหน้าที่ในการเก็บ รวบรวม วิเคราะห์ข้อมูลเกี่ยวกับการดำเนินงานการบริการ สาธารณสุข การจัดให้มีทะเบียนผู้รับบริการ หน่วยบริการ และเครือข่ายหน่วยบริการ การบริหารกองทุน หลักประกันสุขภาพแห่งชาติ การจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่าย หน่วยบริการ การตรวจสอบเอกสารหลักฐานการเรียกเก็บค่าใช้จ่ายเพื่อบริการสาธารณสุขของหน่วยบริการ การดำเนินการเพื่อให้ประชาชนมีหน่วยบริการประจำ และการขอเปลี่ยนหน่วยบริการประจำ รวมทั้ง ประชาสัมพันธ์เพื่อให้ประชาชนทราบข้อมูลของหน่วยบริการ การกำกับดูแลหน่วยบริการและเครือข่าย หน่วยบริการในการให้บริการสาธารณสุขให้เป็นไปตามมาตรฐานที่คณะกรรมการหลักประกันสุขภาพแห่งชาติ กำหนด และอำนวยความสะดวกในการเสนอเรื่องร้องเรียน ตลอดจนการปฏิบัติหน้าที่อื่น ๆ ของ สปสช. ยังถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา 24 (6) หรือเป็นการจำเป็น เพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา 24 (4) แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 และในกรณีที่เป็นข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ก็ถือเป็นการจำเป็นในการปฏิบัติ ตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับหลักประกันสุขภาพแห่งชาติ ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่ง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่ง สปสช. สามารถทำการเก็บรวบรวมข้อมูลส่วนบุคคล ดังกล่าวจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรงได้ตาม[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) และไม่ต้องแจ้ง รายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) เนื่องจากไม่ใช่กรณีที่ทำการเก็บรวบรวมข้อมูล ส่วนบุคคลจากแหล่งอื่นที่ต้องได้รับความยินยอมตาม[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (1)

ทั้งนี้ ตามนัย[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

อย่างไรก็ตาม หน่วยบริการที่ให้บริการสาธารณสุข แก่ผู้ป่วยหรือผู้รับบริการ และจะต้องเปิดเผยข้อมูลส่วนบุคคลของผู้นั้นให้แก่ สปสช. ควรระบุประเภทของบุคคล หรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย ซึ่งเป็นส่วนหนึ่งของรายละเอียด ในการเก็บรวบรวมข้อมูลส่วนบุคคลที่หน่วยบริการต้องแจ้งให้ผู้ป่วยหรือผู้รับบริการในฐานะเจ้าของข้อมูล ส่วนบุคคลทราบ (privacy notice) ตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้ครอบคลุมการเปิดเผยข้อมูลส่วนบุคคลให้แก่ สปสช. และ/หรือกองทุนประกันสุขภาพต่าง ๆ ด้วย เนื่องจากกระทรวงสาธารณสุข โดย สป.สธ. ได้พัฒนาระบบศูนย์กลางข้อมูลด้านการเงิน (Financial Data Hub) ซึ่งมีการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับการให้บริการสาธารณสุขแก่ผู้ป่วย ของหน่วยบริการในสังกัดกระทรวงสาธารณสุข เพื่อประโยชน์ในการขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข รวมทั้งเพื่อการวิเคราะห์ วางแผน กำกับดูแล ติดตาม ประเมินผล และบริหารจัดการในภารกิจตามหน้าที่ และอำนาจของตน

ดังนั้น หาก สปสช. หรือหน่วยงานที่เกี่ยวข้อง ประสงค์จะใช้ข้อมูลส่วนบุคคลในรูปแบบ ข้อมูลดิจิทัลจากระบบดังกล่าวที่กระทรวงสาธารณสุข โดย สป.สธ. ได้มาหรือมีอยู่ในความครอบครอง เพื่อประโยชน์ในการบริหารราชการแผ่นดินและการให้บริการประชาชน กระทรวงสาธารณสุข โดย สป.สธ. ก็สามารถจัดให้มีการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่มีการจัดทำและครอบครองตามที่หน่วยงานของรัฐ แห่งอื่นร้องขอ ที่จะเกิดการบูรณาการร่วมกันได้ ตามมาตรา 13 แห่งพระราชบัญญัติการบริหารงานและ การให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 โดยจะต้องปฏิบัติให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคลด้วย ตามนัยมาตรา 16 แห่งพระราชบัญญัติดังกล่าว

ทั้งนี้ สปสช. ในฐานะหน่วยงานของรัฐ ผู้รับข้อมูลดิจิทัลดังกล่าวต้องใช้ข้อมูลตามวัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษา ข้อมูลให้มีความมั่นคงปลอดภัย ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล ตามมาตรา 14 แห่งพระราชบัญญัติเดียวกัน

ประเด็นข้อหารือที่ 1 เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มิได้กำหนดหน้าที่เกี่ยวกับการจัดให้มีข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคล กับผู้ควบคุมข้อมูลส่วนบุคคลไว้อย่างชัดเจน แต่ผู้ควบคุมข้อมูลส่วนบุคคลที่จะเปิดเผยข้อมูลส่วนบุคคล ระหว่างกันมีหน้าที่ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูล ส่วนบุคคล พ.ศ. 2565 โดยข้อ 4 ของประกาศดังกล่าวกำหนดว่า มาตรการดังกล่าวจะต้องประกอบด้วย มาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยง ตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิด และผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ซึ่งการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement: DSA) ถือเป็นมาตรการเชิงองค์กรอย่างหนึ่งเพื่อกำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล ไม่ว่าจะส่งและรับข้อมูลที่เป็นเอกสารหรือโดยวิธีการทางอิเล็กทรอนิกส์ก็ตาม อันจะเป็น การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่จะเปิดเผยให้แก่กัน และควบคุมดูแลให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลระหว่างกันสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งยังเป็นมาตรการเพื่อป้องกันมิให้หน่วยงานที่ได้รับข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูล ส่วนบุคคลนั้น ตาม[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง หรือเพื่อป้องกันมิให้หน่วยงานดังกล่าวใช้หรือเปิดเผยข้อมูล ส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) อีกด้วย

นอกจากนี้ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของ สปสช. ที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ เกี่ยวกับหลักประกันสุขภาพแห่งชาติ ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นั้น สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคล และ สป.สธ. (รวมถึงหน่วยบริการในสังกัด) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เปิดเผยข้อมูลส่วนบุคคลให้ สปสช. มีหน้าที่ต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามความใน[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) อีกด้วย

ดังนั้น สป.สธ. และ สปสช. อาจพิจารณาหารือร่วมกันตามอำนาจหน้าที่ที่เกี่ยวข้องเพื่อให้ได้ ข้อสรุปเกี่ยวกับมาตรการเชิงองค์กรและมาตรการเชิงเทคนิคที่เหมาะสมกับระดับความเสี่ยงตามลักษณะและ วัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจาก เหตุการละเมิดข้อมูลส่วนบุคคลที่อาจเกิดขึ้นจากการเปิดเผยและเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้ ซึ่งหาก สป.สธ. และ สปสช. เห็นสมควร ก็ย่อมสามารถหารือและตกลงร่วมกันเพื่อจัดทำข้อตกลงการแบ่งปัน ข้อมูลส่วนบุคคลระหว่างกันได้ โดยเพื่อให้เป็นไปตามเจตนารมณ์ของกฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคล รายละเอียดของข้อตกลงดังกล่าว ควรมีเนื้อหาที่ครอบคลุมวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ ความรับผิดชอบในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของแต่ละฝ่าย (รวมทั้งอาจมีข้อกำหนด เกี่ยวกับระยะเวลาการเก็บรักษาหรือเงื่อนไขในการลบหรือทำลายข้อมูลส่วนบุคคล) ที่ทำให้แต่ละฝ่ายสามารถ ดำเนินงานของตนในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่มีอำนาจหน้าที่ตัดสินใจในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลแยกจากกันได้ โดยไม่เป็นอุปสรรคต่อการดำเนินงานของกันและกัน โดยเฉพาะในกรณีที่เป็นการปฏิบัติหน้าที่ในการดำเนิน ภารกิจเพื่อประโยชน์สาธารณะหรือเป็นการปฏิบัติตามกฎหมาย และไม่ขัดหรือแย้งกับกฎหมายว่าด้วย การคุ้มครองข้อมูลส่วนบุคคล

ทั้งนี้ ไม่ว่าจะมีการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกันหรือไม่ ก็ตาม สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวย่อมมีหน้าที่ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งรวมถึงการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล ส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตาม[มาตรา 22](https://link.pdpalawbase.com/section/22.md) การจัดให้มีมาตรการรักษา ความมั่นคงปลอดภัยที่เหมาะสมตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) การจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลาย ข้อมูลส่วนบุคคลตามเงื่อนไขใน[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) และการดำเนินการที่เหมาะสมในกรณีที่เจ้าของข้อมูลส่วนบุคคล ขอใช้สิทธิตามหมวด 3 แห่งพระราชบัญญัตินี้ ตลอดจนมีความรับผิดตามกฎหมายที่เกี่ยวข้องอยู่แล้ว การที่หน่วยงานที่เกี่ยวข้องจะพิจารณาว่าควรลงนามในข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกันหรือไม่นั้น จึงเป็นกรณีที่แต่ละฝ่ายสามารถพิจารณาดำเนินการได้ตามที่เห็นสมควร โดยควรคำนึงถึงความจำเป็นในการปฏิบัติ หน้าที่ตามกฎหมายอื่นที่เกี่ยวข้องประกอบด้วย

อนึ่ง [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติว่า บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคลอื่น จะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุม ข้อมูลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น ซึ่ง สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูล ส่วนบุคคลมาจากการเปิดเผยของ สป.สธ. จะต้องดำเนินการให้เป็นไปตามบทบัญญัติดังกล่าวด้วย

ดังนั้น หาก สปสช. มีความจำเป็นต้องใช้ข้อมูลส่วนบุคคลที่ได้รับจาก สป.สธ. เพื่อวัตถุประสงค์อื่นใดนอกเหนือจาก เพื่อการจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่ายหน่วยบริการ สปสช. ก็ควรแจ้ง วัตถุประสงค์เหล่านั้นให้ สป.สธ. หรือหน่วยบริการในสังกัดทราบในการขอรับข้อมูลส่วนบุคคลดังกล่าวไว้ด้วย

อย่างไรก็ดี เนื่องจากพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้บัญญัติให้ ต้องมีการจัดให้มีข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคลด้วยกันตั้งแต่ต้น

ดังนั้น หากฝ่ายใดฝ่ายหนึ่งเห็นว่า การจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลจะทำให้การดำเนินการตามอำนาจหน้าที่ ของฝ่ายตนตามกฎหมายว่าด้วยหลักประกันสุขภาพแห่งชาติหรือกฎหมายอื่นขาดประสิทธิภาพ หรือไม่อาจสำเร็จ ตามวัตถุประสงค์ได้ หรือมีปัญหาอุปสรรคที่ทำให้ไม่สามารถหาข้อสรุปที่เป็นประโยชน์กับทั้งสองฝ่ายและ เป็นที่ยอมรับร่วมกันได้ ก็อาจพิจารณาไม่จัดทำข้อตกลงดังกล่าวได้ แต่ในกรณีเช่นนี้ แต่ละฝ่ายจะต้องจัดให้มี มาตรการอื่นใดที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลได้ในทำนอง เดียวกัน ตามความใน[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย เช่น ผู้ควบคุมข้อมูลส่วนบุคคลที่เปิดเผยข้อมูลส่วนบุคคลให้แก่อีกฝ่ายหนึ่ง อาจแจ้งวัตถุประสงค์ในการใช้หรือ เปิดเผยข้อมูลส่วนบุคคลของฝ่ายที่รับข้อมูลส่วนบุคคลให้ฝ่ายนั้นทราบฝ่ายเดียวแทนการจัดให้มีข้อตกลง ระหว่างกัน ส่วนผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยดังกล่าวก็อาจดำเนินการ ฝ่ายเดียวในการกำหนดมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อจำกัด หรือควบคุมการใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับมาดังกล่าวให้เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์ ที่ฝ่ายที่เปิดเผยข้อมูลส่วนบุคคลได้แจ้งไว้ หรือวัตถุประสงค์อื่นใดอันชอบด้วยกฎหมายของตน รวมทั้งอาจกำหนด มาตรการอื่นใดเพิ่มเติมเพื่อให้มีการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมและสอดคล้องกับพระราชบัญญัตินี้

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า กรณีการเปิดเผยข้อมูลส่วนบุคคล ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว ซึ่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 ไม่ได้บัญญัติให้ต้องมีการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement: DSA) ระหว่างกันนั้น มีความแตกต่างจากการเปิดเผยข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูล ส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลนั้น ซึ่งผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มี ข้อตกลงระหว่างกัน กล่าวคือ ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (data processing agreement: DPA) เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือ บทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (1)

ประเด็นข้อหารือที่ 2 เห็นว่า ตามที่ได้กล่าวมาแล้วข้างต้นว่า ในการดำเนินงานของ หน่วยบริการตามกฎหมายว่าด้วยหลักประกันสุขภาพแห่งชาติที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคล หน่วยบริการดังกล่าว (และ/หรือหน่วยงานต้นสังกัดที่เป็นนิติบุคคล) ย่อมมีอำนาจหน้าที่ตัดสินใจ ในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลตามหน้าที่และอำนาจที่กฎหมายกำหนด รวมถึงการดำเนินการตามภารกิจที่เกี่ยวข้อง

ดังนั้น ในการดำเนินงานของหน่วยบริการที่สังกัด สป.สธ. ที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล สป.สธ. ในฐานะส่วนราชการต้นสังกัดที่มีฐานะเป็นนิติบุคคลของหน่วยบริการดังกล่าว จะอยู่ในฐานะผู้ควบคุมข้อมูล ส่วนบุคคลตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งอำนาจหน้าที่เช่นว่านั้น ของหน่วยบริการหรือหน่วยงานในสังกัด สป.สธ. ลักษณะใด ประเภทใด หรือระดับใด จะมีได้เพียงใดนั้น ย่อมขึ้นอยู่กับกฎหมายว่าด้วยระเบียบบริหารราชการแผ่นดิน กฎหมายว่าด้วยการปรับปรุงกระทรวง ทบวง กรม กฎกระทรวงแบ่งส่วนราชการ กฎหมายและกฎระเบียบเกี่ยวกับการมอบอำนาจหรือการมอบหมายหน้าที่ รวมทั้ง กฎหมายว่าด้วยหลักประกันสุขภาพแห่งชาติและกฎหมายอื่น ตลอดจนกฎ ระเบียบ มติ คำสั่ง และข้อสั่งการอื่น ที่เกี่ยวข้อง

ดังนั้น ในกรณีที่มีบุคคลหรือนิติบุคคลใดมีความประสงค์จะขอให้หน่วยบริการหรือหน่วยงานที่สังกัด สป.สธ. เปิดเผยข้อมูลส่วนบุคคล อำนาจหน้าที่ในการตัดสินใจเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ย่อมเป็นไปตามอำนาจหน้าที่ของหน่วยบริการหรือหน่วยงานในสังกัดแต่ละลักษณะ ประเภท และระดับ ตามกฎหมายและกฎ ระเบียบ มติ คำสั่ง และข้อสั่งการที่เกี่ยวข้อง ซึ่ง สป.สธ. ในฐานะผู้ควบคุมข้อมูล ส่วนบุคคล ย่อมสามารถมอบอำนาจ มอบหมาย สั่งการ และกำกับดูแลให้หน่วยบริการและหน่วยงานในสังกัด ตัดสินใจและดำเนินการตามอำนาจหน้าที่ของตนได้ตามที่เห็นสมควร โดยจะต้องไม่ขัดกับกฎหมายหรือ กฎระเบียบที่เกี่ยวข้อง

ทั้งนี้ สป.สธ. ควรพิจารณากำหนดอำนาจหน้าที่ในการตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของหน่วยบริการและหน่วยงานในสังกัด โดยคำนึงถึงความคล่องตัวและ ประสิทธิภาพในการดำเนินงาน และระดับความเสี่ยงที่อาจเกิดขึ้นประกอบกัน โดยควรพิจารณาดำเนินการ ให้สอดคล้องกับพระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. 2546 และ ที่แก้ไขเพิ่มเติมด้วย โดยเฉพาะการลดขั้นตอนการปฏิบัติงานตามมาตรา 27 ที่กำหนดให้ส่วนราชการจัดให้มี การกระจายอำนาจการตัดสินใจเกี่ยวกับการสั่ง การอนุญาต การอนุมัติ การปฏิบัติราชการ หรือการดำเนินการ อื่นใดของผู้ดำรงตำแหน่งใดให้แก่ผู้ดำรงตำแหน่งที่มีหน้าที่รับผิดชอบในการดำเนินการในเรื่องนั้นโดยตรง เพื่อให้เกิดความรวดเร็วและลดขั้นตอนการปฏิบัติราชการ

ทั้งนี้ ในการกระจายอำนาจการตัดสินใจดังกล่าว ต้องมุ่งผลให้เกิดความสะดวกและรวดเร็วในการบริการประชาชน และเมื่อได้มีการกระจายอำนาจการตัดสินใจแล้ว ให้ส่วนราชการกำหนดหลักเกณฑ์การควบคุม ติดตาม และกำกับดูแลการใช้อำนาจและความรับผิดชอบของ ผู้รับมอบอำนาจและผู้มอบอำนาจไว้ด้วย แต่หลักเกณฑ์ดังกล่าวต้องไม่สร้างขั้นตอนหรือการกลั่นกรองงาน ที่ไม่จำเป็นในการปฏิบัติงานของข้าราชการ

ประเด็นข้อหารือที่ 3 เห็นว่า การละเมิดข้อมูลส่วนบุคคลตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่ง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 นั้น หมายความว่า การละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผย ข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระทำโดยปราศจากอำนาจหรือโดยมิชอบ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด โดยเหตุการละเมิดข้อมูลส่วนบุคคลแต่ละเหตุอาจเกี่ยวข้อง กับการละเมิดประเภทใดประเภทหนึ่ง หรือหลายประเภท ดังต่อไปนี้
1. การละเมิดความลับของข้อมูลส่วนบุคคล (confidentiality breach) ซึ่งมีการเข้าถึง หรือเปิดเผยข้อมูลส่วนบุคคล โดยปราศจากอำนาจหรือโดยมิชอบ หรือเกิดจากข้อผิดพลาดบกพร่อง หรืออุบัติเหตุ
2. การละเมิดความถูกต้องครบถ้วนของข้อมูลส่วนบุคคล (integrity breach) ซึ่งมี การเปลี่ยนแปลง แก้ไขข้อมูลส่วนบุคคลให้ไม่ถูกต้อง ไม่สมบูรณ์ หรือไม่ครบถ้วน โดยปราศจากอำนาจ หรือโดยมิชอบ หรือเกิดจากข้อผิดพลาดบกพร่องหรืออุบัติเหตุ
3. การละเมิดความพร้อมใช้งานของข้อมูลส่วนบุคคล (availability breach) ซึ่งทำให้ ไม่สามารถเข้าถึงข้อมูลส่วนบุคคลได้ หรือมีการทำลายข้อมูลส่วนบุคคล ทำให้ข้อมูลส่วนบุคคลไม่อยู่ในสภาพ ที่พร้อมใช้งานได้ตามปกติ

สำหรับประเด็นที่ว่า ในกรณีที่หน่วยบริการในสังกัด สป.สธ. ได้เปิดเผยข้อมูลส่วนบุคคล ให้แก่บุคคลหรือนิติบุคคลอื่น โดยไม่ได้จัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement: DSA) ระหว่างกัน และต่อมาเกิดการรั่วไหลของข้อมูลส่วนบุคคลหรือเหตุการละเมิดข้อมูลส่วนบุคคลขึ้น หน่วยงานใด จะต้องมีความรับผิดตามกฎหมายนั้น เห็นว่า การพิจารณาหน้าที่ โดยเฉพาะหน้าที่ในการจัดให้มีมาตรการรักษา ความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล และความรับผิดไม่ว่าจะในทางอาญา ทางแพ่ง หรือทางปกครองก็ตาม จะต้องพิจารณาตามข้อเท็จจริงว่าฝ่ายใดได้กระทำการฝ่าฝืนหรือไม่ปฏิบัติตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยไม่ได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัย ที่เหมาะสมตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำตามประกาศคณะกรรมการคุ้มครองข้อมูล ส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 อันเป็นเหตุ ให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือ โดยมิชอบหรือไม่ เช่น หากมีเหตุการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นกับข้อมูลส่วนบุคคลที่อยู่ในความครอบครอง หรือควบคุมดูแลของ สป.สธ. ก่อนที่จะเปิดเผยให้กับอีกฝ่ายหนึ่ง หรือมีเหตุการละเมิดข้อมูลส่วนบุคคล เกิดขึ้นในระหว่างการเปิดเผยหรือแลกเปลี่ยนข้อมูลส่วนบุคคล อันเป็นผลมาจากมาตรการรักษาความมั่นคง ปลอดภัยของ สป.สธ. ที่ไม่เหมาะสมหรือไม่เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ประกาศกำหนด สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เปิดเผยข้อมูลส่วนบุคคลย่อมต้องมีความรับผิด ต่อเหตุการละเมิดข้อมูลส่วนบุคคลนั้น แต่หากเป็นกรณีที่ สป.สธ. ได้เปิดเผยข้อมูลส่วนบุคคลไปยังบุคคลหรือ นิติบุคคลอื่นที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลแล้ว ต่อมามีเหตุการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นกับข้อมูล ส่วนบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลรายดังกล่าวได้รับมาและเก็บรวบรวมไว้ อันเป็นผลมาจากมาตรการรักษา ความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูลส่วนบุคคลนั้นที่ไม่เหมาะสมหรือไม่เป็นไป ตามมาตรฐานขั้นต่ำ หน้าที่และความรับผิดต่าง ๆ ก็ย่อมตกแก่ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูล ส่วนบุคคลนั้น

อย่างไรก็ดี ในบางกรณี เหตุการละเมิดข้อมูลส่วนบุคคลอาจเกิดขึ้นในการเปิดเผยหรือแลกเปลี่ยน ข้อมูลส่วนบุคคลระหว่างกัน อันเป็นผลมาจากมาตรการรักษาความมั่นคงปลอดภัยที่ไม่เหมาะสมหรือไม่เป็นไป ตามมาตรฐานขั้นต่ำของทั้งสองฝ่ายร่วมกัน ซึ่งแต่ละฝ่ายย่อมมีหน้าที่และความรับผิดเฉพาะในส่วนที่เกี่ยวข้อง กับตน การพิจารณาหน้าที่และความรับผิดเกี่ยวกับเหตุการละเมิดข้อมูลส่วนบุคคลจึงต้องพิจารณาข้อเท็จจริง เป็นรายกรณี

ประเด็นข้อหารือที่ 4 ในประเด็นที่ สป.สธ. ขอหารือว่า ในการดำเนินการของ สป.สธ. เกี่ยวกับการบริหารจัดการและแลกเปลี่ยนข้อมูลสุขภาพ หากได้มีการปฏิบัติตามกฎหมายที่เกี่ยวข้องอย่างครบถ้วน ทั้งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลและกฎหมายอื่นที่เกี่ยวข้องแล้ว จะถือว่าเป็นการดำเนินการ ที่แสดงถึงความรับผิดชอบ (accountability) ตามหลักการคุ้มครองข้อมูลส่วนบุคคลและเป็นการปฏิบัติหน้าที่ ตามกฎหมายซึ่งไม่เข้าข่ายความผิดตามมาตรา 157 แห่งประมวลกฎหมายอาญา ว่าด้วยการปฏิบัติหรือละเว้น การปฏิบัติหน้าที่โดยมิชอบของเจ้าพนักงานหรือไม่ นั้น เห็นว่า หลักภาระรับผิดชอบและสามารถตรวจสอบได้ (accountability) ของผู้ควบคุมข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เป็นหลักการพื้นฐานที่มุ่งหวังให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ความรับผิดชอบต่อการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลที่อยู่ในความครอบครองหรือควบคุมดูแลของตน และจะต้องสามารถแสดงถึง การปฏิบัติตามกฎหมายของตนได้ (able to demonstrate compliance) ซึ่งหน้าที่ของผู้ควบคุมข้อมูล ส่วนบุคคลในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) การแจ้งเหตุการละเมิด ข้อมูลส่วนบุคคลตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) การบันทึกรายการ (record of processing activities: ROPA) ตาม[มาตรา 39](https://link.pdpalawbase.com/section/39.md) การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (data protection officer: DPO) ของตนตาม[มาตรา 41](https://link.pdpalawbase.com/section/41.md) และการสนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม[มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นตัวอย่างของหน้าที่ตามพระราชบัญญัตินี้ ที่สอดคล้องกับหลักการดังกล่าว ส่วนในกรณีที่พบว่าผู้ควบคุมข้อมูลส่วนบุคคลมีการกระทำที่เป็นการฝ่าฝืน หรือไม่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หากเป็นความรับผิดทางแพ่งหรือ โทษทางปกครองตามพระราชบัญญัตินี้ ย่อมเป็นความรับผิดของนิติบุคคลที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ที่กระทำการดังกล่าวโดยตรง ไม่ใช่ความรับผิดของกรรมการหรือผู้จัดการ หรือบุคคลใดของนิติบุคคลนั้น แต่อย่างใด สำหรับความผิดอาญาตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม[มาตรา 79](https://link.pdpalawbase.com/section/79.md) และ[มาตรา 80](https://link.pdpalawbase.com/section/80.md) ในกรณีที่ผู้กระทำความผิดเป็นนิติบุคคล ถ้าการกระทำความผิดของนิติบุคคลนั้นเกิดจาก การสั่งการหรือการกระทำของกรรมการหรือผู้จัดการ หรือบุคคลใดซึ่งรับผิดชอบในการดำเนินงานของนิติบุคคลนั้น หรือในกรณีที่บุคคลดังกล่าวมีหน้าที่ต้องสั่งการหรือกระทำการและละเว้นไม่สั่งการหรือไม่กระทำการ จนเป็นเหตุให้นิติบุคคลนั้นกระทำความผิด ผู้นั้นต้องรับโทษตามที่บัญญัติไว้สำหรับความผิดนั้น ๆ ด้วย ตาม[มาตรา 81](https://link.pdpalawbase.com/section/81.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ทั้งนี้ หากกรรมการหรือผู้จัดการ หรือบุคคลดังกล่าว ได้ดำเนินการตามบทบาทหน้าที่ของตนเพื่อจัดให้มีมาตรการเชิงองค์กรและมาตรการ เชิงเทคนิคที่เหมาะสม เช่น การกำหนดนโยบายและระเบียบปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล การบริหารจัดการความเสี่ยง และการควบคุม ติดตาม กำกับดูแล และประเมินผลการดำเนินการเกี่ยวกับ การคุ้มครองข้อมูลส่วนบุคคลแล้ว ก็ย่อมเป็นข้อเท็จจริงที่ควรรับฟังประกอบการพิจารณาร่วมกับข้อกฎหมาย ตามองค์ประกอบความผิดนั้น ๆ ส่วนกรรมการหรือผู้จัดการ หรือผู้บริหารและบุคลากรที่เกี่ยวข้องของ นิติบุคคลที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว จะมีความรับผิดทางอาญา (รวมทั้งความผิดตามมาตรา 157 แห่งประมวลกฎหมายอาญา) หรือมีความรับผิดทางแพ่งหรือทางวินัยต่อนิติบุคคลที่เป็นผู้ควบคุมข้อมูล ส่วนบุคคล หรือมีความรับผิดทางแพ่งต่อบุคคลอื่น จากการกระทำของตนหรือการกระทำของหน่วยงานที่เป็น ผู้ควบคุมข้อมูลส่วนบุคคลที่ตนสังกัดอยู่ที่เป็นการฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 หรือไม่ เพียงใดนั้น ย่อมขึ้นอยู่กับข้อเท็จจริง ข้อกฎหมาย และกระบวนการ ทางกฎหมายในแต่ละกรณี ซึ่งไม่อยู่ในหน้าที่และอำนาจของคณะอนุกรรมการตอบข้อหารือฯ และ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ที่จะพิจารณาให้ความเห็นได้ เนื่องจากมิใช่การขอคำแนะนำหรือ คำปรึกษาเกี่ยวกับการดำเนินการใด ๆ เพื่อให้ความคุ้มครองข้อมูลส่วนบุคคลในการปฏิบัติตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือการขอให้ตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้ พระราชบัญญัติดังกล่าว

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-4-2569.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/02/consultation-67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/4-2569.md

============================================================
โนด: ข้อหารือ 5/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/5-2566.md

# ข้อหารือที่ 5/2566 เรื่อง ธนาคาร จ. ขอหารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อวัตถุประสงค์ทางการตลาดกับลูกค้าธนาคาร

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 20](https://link.pdpalawbase.com/section/20.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 32](https://link.pdpalawbase.com/section/32.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md)

## ข้อหารือ

ธนาคาร จ. ขอหารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อวัตถุประสงค์ทางการตลาดกับลูกค้าธนาคาร โดยมีประเด็นดังนี้

1. กรณีลูกค้ายังไม่เคยกรอกแบบฟอร์มการให้ความยินยอม และยังไม่เคยให้ความยินยอมเพื่อวัตถุประสงค์ทางการตลาด
   - 1.1 กรณีธนาคารนำเสนอผลิตภัณฑ์ใหม่ เพื่อทำการตลาดกับลูกค้าธนาคาร เช่น นำเสนอผลิตภัณฑ์สินเชื่อกับลูกค้าเงินฝาก ต้องขอความยินยอมจากลูกค้าหรือไม่ อย่างไร
   - 1.2 กรณีธนาคารนำเสนอผลิตภัณฑ์เดิม เช่น นำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้าที่ใช้ผลิตภัณฑ์เงินฝาก หรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมให้กับลูกค้า เช่น นำเสนอบัตร ATM หรือ Mobile banking ให้กับลูกค้าเงินฝากธนาคาร ต้องขอความยินยอมจากลูกค้าหรือไม่ อย่างไร

2. กรณีที่ลูกค้ามากรอกแบบฟอร์มการให้ความยินยอม และเลือกไม่ให้ความยินยอมเกี่ยวกับวัตถุประสงค์ในทางการตลาด
   - 2.1 กรณีธนาคารนำเสนอผลิตภัณฑ์ใหม่ เช่น นำเสนอผลิตภัณฑ์สินเชื่อกับลูกค้าเงินฝาก ธนาคารสามารถนำเสนอได้หรือไม่ อย่างไร
   - 2.2 กรณีธนาคารนำเสนอผลิตภัณฑ์เดิม เช่น นำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้าที่ใช้ผลิตภัณฑ์เงินฝาก หรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมให้กับลูกค้า เช่น นำเสนอบัตร ATM หรือ Mobile banking ให้กับลูกค้าเงินฝาก ธนาคารสามารถนำเสนอได้หรือไม่ อย่างไร

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พิจารณาประเด็นข้อหารือของธนาคาร จ. แล้ว เห็นว่า

**ประเด็นหารือที่ 1.1** การนำเสนอผลิตภัณฑ์ใหม่เพื่อวัตถุประสงค์ทางการตลาดเป็นกิจกรรมที่ไม่เกี่ยวข้องกับการปฏิบัติตามสัญญาของผลิตภัณฑ์เดิม จึงไม่สามารถอ้างฐานการปฏิบัติตามสัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่ง PDPA ได้ ดังนั้น จึงจำเป็นต้องพิจารณาฐานทางกฎหมายอื่น เมื่อไม่มีฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) ถึง (6) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อนำเสนอผลิตภัณฑ์ใหม่จึงต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยใช้หลักเกณฑ์การขอความยินยอมตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)

**ประเด็นหารือที่ 1.2** กรณีกิจกรรมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดในการนำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้าที่ใช้ผลิตภัณฑ์เงินฝาก ซึ่งธนาคารมีการเก็บรวบรวมข้อมูลส่วนบุคคลของลูกค้าที่ฝากเงินกับธนาคารโดยอาศัยฐานการปฏิบัติตามสัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่ง PDPA อยู่ก่อนแล้ว แต่การนำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้แก่ลูกค้าที่ฝากเงินเพิ่มเติมในภายหลังเป็นกิจกรรมที่ไม่มีความจำเป็นหรือเกี่ยวข้องกับวัตถุประสงค์หลักตามสัญญาของผลิตภัณฑ์เงินฝาก จึงไม่อาจอ้างฐานการปฏิบัติตามสัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) ได้ ดังนั้น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อนำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้า จึงต้องพิจารณาฐานอื่นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) ถึง (6) กรณีไม่มีฐานทางกฎหมาย ธนาคารต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยใช้หลักเกณฑ์การขอความยินยอมตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)

กรณีการนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมให้กับลูกค้าที่ฝากเงิน เช่น บัตร ATM หรือ Mobile Banking ธนาคารอาจพิจารณาใช้ฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ได้ โดยพิจารณาถึงความคาดหวังของเจ้าของข้อมูลส่วนบุคคล และความได้สัดส่วนของการชั่งน้ำหนักระหว่างประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interests) ของธนาคาร กับสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล รวมทั้งอาจพิจารณาทำการประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interests Assessment: LIA) เพื่อใช้อ้างอิงประกอบในการจัดทำบันทึกรายการขององค์กรตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ด้วย ทั้งนี้ ธนาคารควรแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบว่า หากไม่ประสงค์ให้ธนาคารเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาด เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตนเพื่อวัตถุประสงค์ทางการตลาด (opt-out) ได้ตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md)

**ประเด็นหารือที่ 2** ในกรณีที่ลูกค้าไม่ให้ความยินยอมแก่ธนาคารสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดในการนำเสนอผลิตภัณฑ์ใหม่ เช่น นำเสนอผลิตภัณฑ์สินเชื่อกับลูกค้าเงินฝาก หรือการนำเสนอผลิตภัณฑ์เดิม เช่น นำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้าที่ใช้ผลิตภัณฑ์เงินฝาก ธนาคารจะไม่มีฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังนั้น ธนาคารจึงไม่สามารถทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดสำหรับกิจกรรมดังกล่าวได้

สำหรับกรณีการนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิมให้กับลูกค้าเงินฝาก เช่น บัตร ATM หรือ Mobile Banking ธนาคารอาจพิจารณาเลือกใช้ฐานใดฐานหนึ่งในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เช่น ฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) การจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล โดยไม่ต้องขอความยินยอมจากลูกค้า แต่กรณีธนาคารเลือกใช้ฐานความยินยอมแล้ว ลูกค้าไม่ให้ความยินยอม ธนาคารจะไม่สามารถนำฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) มาใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลกับลูกค้าในกิจกรรมดังกล่าวได้อีก และจะไม่สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดสำหรับกิจกรรมดังกล่าวได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-5-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-05.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/5-2566.md

============================================================
โนด: ข้อหารือ 5/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/5-2567.md

# ข้อหารือที่ 5/2567 เรื่อง สถานีตำรวจ D ขอหารือการโพสต์ภาพใบสำคัญการหย่า

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1), [มาตรา 5](https://link.pdpalawbase.com/section/5.md), [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 20](https://link.pdpalawbase.com/section/20.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 28](https://link.pdpalawbase.com/section/28.md), [มาตรา 29](https://link.pdpalawbase.com/section/29.md), [มาตรา 30](https://link.pdpalawbase.com/section/30.md), [มาตรา 31](https://link.pdpalawbase.com/section/31.md), [มาตรา 32](https://link.pdpalawbase.com/section/32.md), [มาตรา 33](https://link.pdpalawbase.com/section/33.md), [มาตรา 34](https://link.pdpalawbase.com/section/34.md), [มาตรา 35](https://link.pdpalawbase.com/section/35.md), [มาตรา 36](https://link.pdpalawbase.com/section/36.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)
2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม
3. ประมวลกฎหมายอาญา — มาตรา 326 และมาตรา 328
4. ประมวลกฎหมายแพ่งและพาณิชย์ — มาตรา 420

## ข้อหารือ

สถานีตำรวจ D แจ้งว่า มีผู้กล่าวหาผู้ใช้ TikTok ในข้อหาตาม PDPA · ผู้ใช้ TikTok ได้โพสต์ภาพใบสำคัญการหย่าที่มีชื่อและนามสกุลของผู้กล่าวหา ทำให้ได้รับความเสียหาย · ขอหารือว่า:
- ภาพใบสำคัญการหย่าที่มีชื่อ-สกุล = ข้อมูลส่วนบุคคลตาม PDPA หรือไม่
- เป็นความผิดตามกฎหมายหรือไม่ มาตราใด
- คณะกรรมการ คคส. มีมาตรการอย่างไร · ผู้กล่าวหายื่นคำร้องเรียนได้หรือไม่
- การกระทำเป็นการใช้/เปิดเผยข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนโดยมิชอบหรือไม่

## ความเห็น

ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) "ข้อมูลส่วนบุคคล" = ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม · **ภาพใบสำคัญการหย่าที่ปรากฏชื่อและนามสกุลของผู้กล่าวหา จึงถือเป็นข้อมูลส่วนบุคคลตาม PDPA**

สำหรับการนำภาพไปโพสต์ใน TikTok จะอยู่ภายใต้บังคับ PDPA และมีความผิดหรือไม่ — [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่งกำหนดว่า PDPA ใช้บังคับแก่การเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลซึ่งอยู่ในราชอาณาจักร · [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" = บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บ/ใช้/เปิดเผยข้อมูล

เมื่อพิจารณาบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ (ฐานทางกฎหมาย [มาตรา 24](https://link.pdpalawbase.com/section/24.md)/[มาตรา 26](https://link.pdpalawbase.com/section/26.md), privacy notice [มาตรา 23](https://link.pdpalawbase.com/section/23.md), ส่งข้อมูลข้ามชาติ [มาตรา 28](https://link.pdpalawbase.com/section/28.md)/[มาตรา 29](https://link.pdpalawbase.com/section/29.md), มาตรการความมั่นคง [มาตรา 37](https://link.pdpalawbase.com/section/37.md), สิทธิเจ้าของข้อมูล [มาตรา 30](https://link.pdpalawbase.com/section/30.md)–[มาตรา 36](https://link.pdpalawbase.com/section/36.md), DPO [มาตรา 41](https://link.pdpalawbase.com/section/41.md)) — **เห็นได้ว่ากฎหมายมุ่งประสงค์ใช้บังคับแก่บุคคลธรรมดา/นิติบุคคลที่มีการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่ง**

ประกอบกับ **[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) กำหนดข้อยกเว้นไม่ให้นำ PDPA ไปใช้บังคับแก่การเก็บ/ใช้/เปิดเผยข้อมูลของบุคคลที่ทำการเก็บรวบรวมข้อมูลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว** (household exception)

ดังนั้น สถานีตำรวจ D ต้องพิจารณาว่าการกระทำของผู้ต้องหา (บุคคลธรรมดา) เป็นการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคล**เพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว**หรือไม่ · หากพิจารณาแล้วเห็นว่า การกระทำมีวัตถุประสงค์เพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บ/ใช้/เปิดเผยข้อมูลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอ — **ย่อมไม่อยู่ในขอบเขตการบังคับใช้ PDPA ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1)**

อย่างไรก็ดี หากการกระทำมีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้น เช่น **พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์**, **ป.อ. ฐานหมิ่นประมาท (ม.326/328)**, หรือ**การทำละเมิดตาม ป.พ.พ. มาตรา 420**

(หมายเหตุ: ruling pattern เดียวกับ opinion-4/2567 และ opinion-6/2567 ที่ตำรวจคนละสถานี-คนละ social media ได้รับคำตอบเดียวกัน)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-5-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-34.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/5-2567.md

============================================================
โนด: ข้อหารือ 5/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/5-2568.md

# ข้อหารือที่ 5/2568 เรื่อง บริษัท Y หารือเกี่ยวกับการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคสอง, [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2)/วรรคสอง/วรรคห้า/วรรคหก/วรรคเจ็ด และ [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสอง/วรรคสาม/วรรคสี่ แห่ง PDPA + ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) แห่ง พ.ร.บ.ฯ พ.ศ. 2566 (ข้อ 3/4/5/6))_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — ในความเห็นได้สรุปประเด็นข้อหารือ 10 ประเด็น: ประเด็นที่ 1–9 ว่าด้วยเงื่อนไขที่บริษัท Y/บริษัทในเครือต้องจัดให้มี DPO ตามมาตรา 41 (2) สำหรับการดำเนินกิจกรรมในแต่ละกรณี และประเด็นที่ 10 ว่าด้วยการแต่งตั้งบุคคลภายในหรือภายนอกเป็น DPO และเงื่อนไขความเป็นอิสระ)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าวแล้ว มีความเห็น ดังนี้

### ประเด็นข้อหารือที่ 1 ถึง 9 (เงื่อนไขการจัดให้มี DPO ตามมาตรา 41 (2))

ประเด็นข้อหารือที่ 1 ถึง 9 เห็นว่า [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่การดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) โดยข้อ 4 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลซึ่งเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ตามข้อ 5 และข้อ 6 ของประกาศดังกล่าว ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน โดยข้อ 5 กำหนดหลักเกณฑ์และเงื่อนไขในการพิจารณาว่าการดำเนินกิจกรรมใดที่ถือเป็นกรณีที่มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ และข้อ 6 กำหนดหลักเกณฑ์และเงื่อนไขในการพิจารณาว่าการดำเนินกิจกรรมใดที่ถือว่ามีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale)

ดังนั้น ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่จะต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 ดังกล่าว จะต้องมีเงื่อนไขทั้ง 3 ประการ คือ

(1) มีการดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลนั้น ที่จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ (regular and systematic monitoring of data subjects) ตามข้อ 5 ของประกาศฯ โดยข้อ 5 วรรคหนึ่ง กำหนดเป็นหลักการว่า การดำเนินกิจกรรมใดที่มีการติดตาม (track) เฝ้าสังเกต (monitor) วิเคราะห์ หรือทำนายพฤติกรรม ทัศนคติ หรือลักษณะเฉพาะของบุคคล (profile) ซึ่งโดยทั่วไปการดำเนินการดังกล่าวจะมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบ (systematic) และเกิดขึ้นเป็นประจำหรือเป็นปกติธุระ (regular) ให้ถือว่ามีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ นอกจากนี้ ข้อ 5 วรรคสอง ได้กำหนดให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีลักษณะหรือรูปแบบเฉพาะตามตัวอย่างที่กำหนด ถือเป็นกรณีที่มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอด้วย

(2) การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม (1) นั้น เป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ตามข้อ 6 ของประกาศฯ โดยข้อ 6 วรรคหนึ่ง กำหนดเป็นหลักการว่า การพิจารณาว่าการดำเนินกิจกรรมใด เป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ให้พิจารณาชั่งน้ำหนักจากปัจจัย 4 ข้อ ได้แก่ 1) จำนวนหรือสัดส่วนของเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้อง 2) ปริมาณ ประเภท หรือลักษณะของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผย 3) ระยะเวลา (duration) หรือความคงอยู่ (permanence) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และ 4) ขอบเขตการใช้ข้อมูลส่วนบุคคลขององค์กร หรือตามขนาดพื้นที่ หรือจำนวนประเทศ นอกจากนี้ ข้อ 6 วรรคสอง ได้กำหนดให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีลักษณะหรือรูปแบบเฉพาะตามตัวอย่างที่กำหนด ถือเป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale)

(3) การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม (1) และ (2) นั้น จะต้องเป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) ตามบทนิยามคำว่า “กิจกรรมหลัก (core activities)” ในข้อ 3 ของประกาศฯ ซึ่งหมายถึงการดำเนินการที่จำเป็นและมีความสำคัญเพื่อบรรลุวัตถุประสงค์หรือเป้าหมายหลักในการดำเนินงานในกิจการหรือภารกิจของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้า แต่ไม่รวมถึงกิจกรรมเสริมที่เป็นเพียงงานสนับสนุนในการดำเนินงานของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลสำหรับงานสนับสนุนด้านบุคลากรและเทคโนโลยีสารสนเทศของหน่วยงาน

ตามประเด็นข้อหารือที่ 1 ถึง 7 บริษัทฯ Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) ซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ส่วนประเด็นข้อหารือที่ 8 และ 9 บริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล (data controller) ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทั้งนี้ ตามบทนิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยในที่นี้ ข้อมูลส่วนบุคคล หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ข้อมูลส่วนบุคคลจึงอาจเป็นข้อมูลที่มีตัวระบุทางตรง (direct identifier) ของเจ้าของข้อมูลส่วนบุคคล เช่น ชื่อ เลขประจำตัวประชาชน หมายเลขลูกค้า ชื่อบัญชีผู้ใช้งาน (username) ในระบบสารสนเทศ หมายเลขโทรศัพท์ และที่อยู่ไปรษณีย์อิเล็กทรอนิกส์ (e-mail address) เฉพาะตัวของบุคคล เป็นต้น หรือข้อมูลที่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้จากข้อมูลที่เป็นตัวระบุทางอ้อม (indirect identifiers) เช่น วันเดือนปีเกิด อายุ ตำแหน่งงาน สังกัด วันเดือนปีที่เข้ารับบริการ ที่อยู่ และ IP address เป็นต้น ก็ได้ ดังนั้น แม้ข้อมูลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผย จะเป็นข้อมูลที่มีการเข้ารหัส (encryption) หรือข้อมูลการทำรายการ (log) ก็อาจถือเป็นข้อมูลส่วนบุคคลที่สามารถระบุตัวบุคคลได้ทางตรงหรือทางอ้อม ซึ่งบริษัท Y หรือบริษัทในเครือของบริษัท Y ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล แล้วแต่กรณี มีหน้าที่ต้องปฏิบัติให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลด้วย

เมื่อพิจารณาจากข้อเท็จจริงตามประเด็นข้อหารือที่ 1, 2, 4, 8 และ 9 แล้ว จะเห็นว่า การดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี ตามประเด็นที่หารือดังกล่าว เป็นส่วนหนึ่งของกิจกรรมหลัก (core activities) และมีลักษณะที่มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ ตามข้อ 5 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 ตามข้อ 5 วรรคหนึ่ง และ/หรือข้อ 5 วรรคสอง (1) หรือ (2) เช่น การให้บริการระบบ ATM และระบบ Prompt Pay ให้กับธนาคาร โดยธรรมชาติจะต้องมีการติดตาม (tracking) หรือเฝ้าสังเกต (monitoring) การใช้บริการของลูกค้าที่เป็นเจ้าของข้อมูลส่วนบุคคลอย่างเป็นระบบ (systematic) และเกิดขึ้นเป็นประจำหรือเป็นปกติธุระ (regular) และอาจมีการวิเคราะห์ หรือทำนายพฤติกรรม ทัศนคติ หรือลักษณะเฉพาะของบุคคล (profiling) อย่างเป็นระบบ (systematic) และเกิดขึ้นเป็นประจำหรือเป็นปกติธุระ (regular) ด้วย จึงถือว่ามีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ ตามข้อ 5 ของประกาศดังกล่าว จึงมีประเด็นที่บริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี จะต้องพิจารณาเพียงว่า การดำเนินกิจกรรมในแต่ละกรณีดังกล่าวนั้น เป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) เมื่อพิจารณาชั่งน้ำหนักจากปัจจัย 4 ข้อตามข้อ 6 วรรคหนึ่งของประกาศฯ หรือมีลักษณะตามข้อใดข้อหนึ่งในข้อ 6 วรรคสอง เช่น มีจำนวนเจ้าของข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตั้งแต่ 100,000 รายขึ้นไป ตามข้อ 6 วรรคสอง (1) หรือเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าหรือผู้รับบริการตามการดำเนินงานปกติโดยผู้ประกอบธุรกิจสถาบันการเงินตามกฎหมายว่าด้วยธุรกิจสถาบันการเงิน ตามข้อ 6 วรรคสอง (2) ของประกาศฯ หรือไม่ หากพิจารณาแล้วเห็นว่า เป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ก็จะถือว่าเข้าเงื่อนไขครบ 3 ประการ ในการจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ส่วนประเด็นข้อหารือที่ 3, 5, 6 และ 7 ยังไม่ปรากฏข้อเท็จจริงที่ชัดเจนจากหนังสือที่หารือว่ามีลักษณะที่มีความจำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอ ตามข้อ 5 ของประกาศฯ หรือไม่ และเป็นกรณีที่มีข้อมูลส่วนบุคคลเป็นจำนวนมาก (on a large scale) ตามข้อ 6 ของประกาศฯ หรือไม่ บริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี จึงควรพิจารณาตามข้อเท็จจริงให้เป็นไปตามหลักเกณฑ์และเงื่อนไขของประกาศฯ และเจตนารมณ์ของกฎหมายต่อไป

หากบริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี พิจารณาแล้วเห็นว่า มีการดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่เข้าเงื่อนไขที่จะต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลที่บริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี จัดให้มีขึ้นจะถือเป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัท Y หรือบริษัทในเครือของบริษัท Y แล้วแต่กรณี โดยไม่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลแยกเป็นรายกิจกรรมแต่อย่างใด โดยการที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน เนื่องจากการดำเนินกิจกรรมใดกิจกรรมหนึ่งของตนเข้าเงื่อนไขครบถ้วนตามที่ประกาศฯ กำหนด ย่อมทำให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลดังกล่าวมีหน้าที่ตามที่กำหนดไว้ใน [มาตรา 42](https://link.pdpalawbase.com/section/42.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำหรับการดำเนินกิจกรรมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทุกกิจกรรมของบุคคลหรือนิติบุคคลที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าว

สำหรับประเด็นข้อหารือที่ 7 และ 8 ซึ่งเป็นการดำเนินกิจกรรมของบริษัทในเครือของบริษัท Y แต่ไม่ใช่การดำเนินกิจกรรมของบริษัท Y เองนั้น คณะอนุกรรมการตอบข้อหารือฯ มีความเห็นเพิ่มเติมว่า การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ในกรณีที่บริษัทในเครือของบริษัท Y พิจารณาแล้วเห็นว่า เข้าเงื่อนไขตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 4 ข้อ 5 และข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 ซึ่งจำเป็นต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน (ตามความหมายที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 ซึ่งออกตามความใน [มาตรา 29](https://link.pdpalawbase.com/section/29.md) วรรคสอง) อาจจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลร่วมกันได้ ทั้งนี้ สถานที่ทำการแต่ละแห่งของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่อยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันดังกล่าว ต้องสามารถติดต่อกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้โดยง่าย ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บริษัท Y และบริษัทในเครือของบริษัท Y จึงอาจพิจารณาจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลร่วมกัน เพื่อทำหน้าที่ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) สำหรับการดำเนินกิจกรรมต่าง ๆ ที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทั้งของบริษัท Y และบริษัทในเครือของบริษัท Y ได้หากเห็นสมควร

### ประเด็นข้อหารือที่ 10 (การแต่งตั้งบุคคลภายใน/ภายนอกเป็น DPO + เงื่อนไขความเป็นอิสระ)

ในประเด็นข้อหารือที่ 10 เห็นว่า บริษัท Y ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล สามารถแต่งตั้งบุคคลภายในที่เป็นพนักงานขององค์กร หรือบุคคลภายนอกที่เป็นผู้รับจ้างให้บริการตามสัญญา เป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลก็ได้ ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคเจ็ด แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลอาจปฏิบัติหน้าที่หรือภารกิจอื่นได้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องรับรองกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าหน้าที่หรือภารกิจดังกล่าวต้องไม่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัติดังกล่าว ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสี่ นอกจากนี้ ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลต้องสนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โดยจัดหาเครื่องมือหรืออุปกรณ์อย่างเพียงพอ รวมทั้งอำนวยความสะดวกในการเข้าถึงข้อมูลส่วนบุคคลเพื่อการปฏิบัติหน้าที่ ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสอง และจะให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลออกจากงานหรือเลิกสัญญาการจ้างด้วยเหตุที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลปฏิบัติหน้าที่ตามพระราชบัญญัตินี้ไม่ได้ ทั้งนี้ ในกรณีที่มีปัญหาในการปฏิบัติหน้าที่ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลต้องสามารถรายงานไปยังผู้บริหารสูงสุดของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลโดยตรงได้ ตาม [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสาม

ดังนั้น หากบริษัท Y เห็นว่า เพื่อประโยชน์ในการดำเนินงานของบริษัท Y ให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล เห็นควรแต่งตั้งหรือมอบหมายพนักงานของฝ่ายกฎหมาย หรือฝ่ายอื่นใด เป็นเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัท Y ก็ย่อมสามารถทำได้ โดยเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลที่ได้รับแต่งตั้งหรือมอบหมาย จะต้องไม่มีหน้าที่หรือภารกิจอื่นที่ขัดหรือแย้งต่อการปฏิบัติหน้าที่ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยอาจพิจารณาว่าผู้นั้นมีหน้าที่หรือภารกิจอื่นที่ต้องตัดสินใจหรือรับผิดชอบเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยตรง อันจะขัดหรือแย้งกับการปฏิบัติหน้าที่ในฐานะเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในการตรวจสอบการดำเนินงานและให้คำแนะนำเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของตนเอง หรือมีเหตุผลที่อาจทำให้หน้าที่หรือภารกิจอื่นส่งผลให้การปฏิบัติหน้าที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลดังกล่าวเสื่อมประสิทธิภาพไปอย่างมีนัยสำคัญหรือไม่ นอกจากนี้ ผู้นั้นจะต้องมีคุณสมบัติตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยคำนึงถึงความรู้หรือความเชี่ยวชาญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคหก แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (ปัจจุบันยังไม่ได้ประกาศกำหนด) และบริษัท Y จะต้องดำเนินการให้เป็นไปตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคห้า และ [มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสอง วรรคสาม และวรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-5-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/09/PDPCconsultation-54.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/5-2568.md

============================================================
โนด: ข้อหารือ 5/2569
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/5-2569.md

# ข้อหารือที่ 5/2569 เรื่อง สำนักงานหลักประกันสุขภาพแห่งชาติขอหารือปัญหาข้อกฎหมายเกี่ยวกับการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Personal Data Sharing Agreement) ระหว่างสำนักงานปลัดกระทรวงสาธารณสุขกับสำนักงานหลักประกันสุขภาพแห่งชาติ

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่งและ วรรคสอง [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสอง [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) (2) และ (3) และ[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (1) และวรรคสาม
2. พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 มาตรา 24 วรรคหนึ่ง มาตรา 26 มาตรา 45 และมาตรา 46
3. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 มาตรา 13 มาตรา 14 และมาตรา 16
4. พระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 และที่แก้ไขเพิ่มเติม มาตรา 43 (2)
5. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 และที่แก้ไขเพิ่มเติม มาตรา 7 วรรคสาม และมาตรา 18 วรรคสอง
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง ปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4
7. ประกาศคณะกรรมการหลักประกันสุขภาพแห่งชาติและคณะกรรมการควบคุมคุณภาพ และมาตรฐานบริการสาธารณสุข เรื่อง หลักเกณฑ์การให้บริการสาธารณสุขแก่ผู้รับบริการ และการจัดทำระบบข้อมูลการให้บริการสาธารณสุขของหน่วยบริการ พ.ศ. 2565
8. ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง การจัดทำระบบข้อมูลการให้บริการ สาธารณสุข เพื่อขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข กรณีการจ่ายตามรายการบริการ พ.ศ. 2567
9. ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูลเพื่อการเรียกเก็บ ค่าใช้จ่ายเพื่อบริการสาธารณสุข (e-Claim) พ.ศ. 2564
10. ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูลการขอบริการ ยืนยันและพิสูจน์ตัวตน พ.ศ. 2564

## ข้อหารือ

สำนักงานหลักประกันสุขภาพแห่งชาติ (สปสช.) แจ้งว่า สปสช. เป็นหน่วยงานของรัฐ มีฐานะเป็นนิติบุคคล อยู่ภายใต้การกำกับดูแลของรัฐมนตรีว่าการกระทรวงสาธารณสุข มีอำนาจหน้าที่ตาม มาตรา 26 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ซึ่งรวมถึงการเก็บ รวบรวม วิเคราะห์ ข้อมูลเกี่ยวกับการดำเนินงานการบริการสาธารณสุข การจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขตามที่ คณะกรรมการหลักประกันสุขภาพแห่งชาติกำหนดให้แก่หน่วยบริการและเครือข่ายหน่วยบริการ ตรวจสอบเอกสารหลักฐานการเรียกเก็บค่าใช้จ่ายเพื่อบริการสาธารณสุขของหน่วยบริการ และกำกับดูแล หน่วยบริการและเครือข่ายหน่วยบริการในการให้บริการสาธารณสุขให้เป็นไปตามมาตรฐานที่คณะกรรมการ หลักประกันสุขภาพแห่งชาติกำหนด ในการให้บริการสาธารณสุขนั้น พระราชบัญญัติหลักประกันสุขภาพ แห่งชาติ พ.ศ. 2545 กำหนดให้มี “หน่วยบริการ” เพื่อให้มีหน้าที่ให้บริการสาธารณสุข ให้ข้อมูลการบริการ สาธารณสุขของผู้รับบริการ ให้ข้อมูลที่เกี่ยวกับชื่อแพทย์ เจ้าหน้าที่สาธารณสุข หรือผู้รับผิดชอบในการดูแล รักษาความลับของผู้รับบริการ และจัดทำระบบข้อมูลการให้บริการสาธารณสุขเพื่อสะดวกต่อการตรวจสอบ คุณภาพและบริการ รวมทั้งการขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข โดยในการให้บริการสาธารณสุขและ การจัดทำระบบข้อมูลการให้บริการสาธารณสุขดังกล่าว มาตรา 45 วรรคสอง แห่งพระราชบัญญัติหลักประกัน สุขภาพแห่งชาติ พ.ศ. 2545 กำหนดให้หน่วยบริการปฏิบัติตามหลักเกณฑ์ที่คณะกรรมการหลักประกัน สุขภาพแห่งชาติและคณะกรรมการควบคุมคุณภาพและมาตรฐานบริการสาธารณสุขกำหนด

ทั้งนี้ หน่วยบริการ เครือข่ายหน่วยบริการ และหน่วยบริการที่รับการส่งต่อผู้รับบริการมีสิทธิได้รับค่าใช้จ่ายเพื่อบริการสาธารณสุข จากกองทุนตามหลักเกณฑ์ วิธีการ และเงื่อนไขที่คณะกรรมการหลักประกันสุขภาพแห่งชาติกำหนด เพื่อประโยชน์ในการเก็บ รวบรวม วิเคราะห์ข้อมูลเกี่ยวกับการดำเนินงานการบริการสาธารณสุข การจ่ายค่าใช้จ่าย เพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่ายหน่วยบริการ การตรวจสอบเอกสารหลักฐานการเรียกเก็บ ค่าใช้จ่ายเพื่อบริการสาธารณสุขของหน่วยบริการ และเพื่อกำกับดูแลหน่วยบริการและเครือข่ายหน่วยบริการ ในการให้บริการสาธารณสุขให้เป็นไปตามมาตรฐาน สปสช. จึงอาศัยอำนาจตามพระราชบัญญัติหลักประกัน สุขภาพแห่งชาติ พ.ศ. 2545 และประกาศคณะกรรมการหลักประกันสุขภาพแห่งชาติและคณะกรรมการ ควบคุมคุณภาพและมาตรฐานบริการสาธารณสุข เรื่อง หลักเกณฑ์การให้บริการสาธารณสุขแก่ผู้รับบริการ และการจัดทำระบบข้อมูลการให้บริการสาธารณสุขของหน่วยบริการ พ.ศ. 2565 ออกประกาศที่เกี่ยวข้องกับ ระบบข้อมูลการให้บริการสาธารณสุขและการจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุข เพื่อให้หน่วยบริการและ หน่วยงานที่เกี่ยวข้องปฏิบัติให้เป็นไปตามหน้าที่ตามกฎหมาย สำนักงานปลัดกระทรวงสาธารณสุขและ สปสช. ได้มีการประชุมหารือร่างข้อตกลง การเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน เมื่อวันที่ 10 กันยายน 2567 และต่อมาสำนักงานปลัดกระทรวง สาธารณสุขได้มีหนังสือมายัง สปสช. เพื่อขอความร่วมมือให้แจ้งผลความก้าวหน้าในการพิจารณาร่างข้อตกลง การเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน เพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งในประเด็นนี้ สปสช. พิจารณาแล้วเห็นว่า สปสช. เป็นหน่วยงานของรัฐที่มีอำนาจและหน้าที่ ตามมาตรา 26 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 โดยมีอำนาจหน้าที่ตัดสินใจ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงานตามกฎหมาย จึงถือเป็น “ผู้ควบคุม ข้อมูลส่วนบุคคล” ตามมาตรา 6 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำหรับ หน่วยบริการในสังกัดสำนักงานปลัดกระทรวงสาธารณสุขมีหน้าที่ต้องส่งข้อมูลส่วนบุคคลให้แก่ สปสช. เพื่อให้เป็นไปตามมาตรา 45 และมาตรา 46 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545

ทั้งนี้ ตามหลักเกณฑ์ที่คณะกรรมการหลักประกันสุขภาพแห่งชาติและคณะกรรมการควบคุมคุณภาพ และมาตรฐานบริการสาธารณสุขกำหนด ได้แก่ ประกาศคณะกรรมการหลักประกันสุขภาพแห่งชาติ และคณะกรรมการควบคุมคุณภาพและมาตรฐานบริการสาธารณสุข เรื่อง หลักเกณฑ์การให้บริการสาธารณสุข แก่ผู้รับบริการและการจัดทำระบบข้อมูลการให้บริการสาธารณสุขของหน่วยบริการ พ.ศ. 2565 หรือประกาศ ของ สปสช. เช่น ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง การจัดทำระบบข้อมูลการให้บริการ สาธารณสุข เพื่อขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข กรณีการจ่ายตามรายการบริการ พ.ศ. 2567 ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูลเพื่อการเรียกเก็บค่าใช้จ่ายเพื่อบริการ สาธารณสุข (e-Claim) พ.ศ. 2564 หรือประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูล การขอบริการยืนยันและพิสูจน์ตัวตน พ.ศ. 2564 ข้อมูลที่หน่วยบริการส่งมาให้ สปสช. เพื่อใช้ในการเบิกจ่าย ค่าใช้จ่ายเพื่อบริการสาธารณสุขเป็นการจัดส่งข้อมูลตามพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 จึงเป็นข้อมูลที่อยู่ในความควบคุมของ สปสช. ซึ่งสำนักงานปลัดกระทรวงสาธารณสุขมีความเห็นว่า ข้อมูลการให้บริการสาธารณสุขเป็นข้อมูลที่อยู่ในความควบคุมของสำนักงานปลัดกระทรวงสาธารณสุข สำนักงานปลัดกระทรวงสาธารณสุขจึงอยู่ในฐานะ “ผู้ควบคุมข้อมูลส่วนบุคคล” ตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรณีดังกล่าวจึงมีปัญหาข้อกฎหมายเกี่ยวกับผู้ที่มีหน้าที่ในการควบคุม ข้อมูลและมีประเด็นปัญหาเกี่ยวกับการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Personal Data Sharing Agreement) ระหว่างสำนักงานปลัดกระทรวงสาธารณสุขกับ สปสช.

ดังนั้น เพื่อให้การเก็บ รวบรวม วิเคราะห์ข้อมูลเกี่ยวกับการดำเนินงานการบริการสาธารณสุข การจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่ายหน่วยบริการ และการตรวจสอบ เอกสารหลักฐานการเรียกเก็บค่าใช้จ่ายเพื่อบริการสาธารณสุขของหน่วยบริการ ตามอำนาจหน้าที่ของ สปสช. ที่กำหนดในพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 เป็นไปอย่างมีประสิทธิภาพ บรรลุวัตถุประสงค์ของกฎหมาย และสอดคล้องกับหลักเกณฑ์ กลไก หรือมาตรการกำกับดูแลเกี่ยวกับการให้ ความคุ้มครองข้อมูลส่วนบุคคลที่กำหนดในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สปสช. จึงขอหารือในประเด็น ดังต่อไปนี้
1. สปสช. จำเป็นที่จะต้องลงนามในข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Personal Data Sharing Agreement) ตามที่สำนักงานปลัดกระทรวงสาธารณสุขเสนอมาหรือไม่ อย่างไร
2. หาก สปสช. พิจารณาแล้วเห็นว่า การลงนามในข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Personal Data Sharing Agreement) กับสำนักงานปลัดกระทรวงสาธารณสุขจะมีผลทำให้การบังคับใช้ พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 เสื่อมประสิทธิภาพ หรือไม่อาจสำเร็จตาม วัตถุประสงค์ได้ ในกรณีนี้ จะมีมาตรการดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็นว่า สำนักงานหลักประกันสุขภาพแห่งชาติ (สปสช.) เป็นหน่วยงานของรัฐมีฐานะเป็นนิติบุคคลตามมาตรา 24 วรรคหนึ่ง แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ซึ่งเป็นกฎหมายที่บัญญัติขึ้นเพื่อจัดระบบการให้บริการ สาธารณสุขที่จำเป็นต่อสุขภาพและการดำรงชีวิตให้มีการรักษาพยาบาลที่มีมาตรฐาน โดยมีองค์กรกำกับดูแล ซึ่งจะดำเนินการโดยการมีส่วนร่วมกันระหว่างภาครัฐและภาคประชาชนเพื่อจัดการให้มีระบบการรักษาพยาบาล ที่มีประสิทธิภาพทั้งประเทศ และให้ประชาชนชาวไทยมีสิทธิได้รับการบริการสาธารณสุขที่มีมาตรฐานด้วยกันทุกคน อันเป็นไปตามบทบัญญัติแห่งรัฐธรรมนูญที่บัญญัติให้ชนชาวไทยย่อมมีสิทธิเสมอกันในการรับบริการสาธารณสุข ที่ได้มาตรฐาน และผู้ยากไร้มีสิทธิได้รับการรักษาพยาบาลจากสถานบริการสาธารณสุขของรัฐโดยไม่เสียค่าใช้จ่าย ตามที่กฎหมายบัญญัติ และการให้บริการสาธารณสุขของรัฐต้องเป็นไปอย่างทั่วถึงและมีประสิทธิภาพ โดยจะต้อง ส่งเสริมให้องค์กรปกครองส่วนท้องถิ่นและเอกชนมีส่วนร่วมเท่าที่จะกระทำได้ และรัฐต้องจัดและส่งเสริม การสาธารณสุขให้ประชาชนได้รับบริการที่ได้มาตรฐานและมีประสิทธิภาพอย่างทั่วถึง สปสช. จึงมีอำนาจหน้าที่ ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงานตามอำนาจหน้าที่

ดังนั้น สปสช. จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในขณะที่สำนักงานปลัดกระทรวง กระทรวงสาธารณสุข (สป.สธ.) เป็นส่วนราชการที่สังกัด กระทรวงสาธารณสุขตามมาตรา 43 (2) แห่งพระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 มีฐานะ เป็นกรมตามมาตรา 18 วรรคสอง แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 และมีฐานะ เป็นนิติบุคคลตามมาตรา 7 วรรคสาม แห่งพระราชบัญญัติเดียวกัน สถานบริการสาธารณสุขของรัฐที่สังกัด สป.สธ. ซึ่งเป็นหน่วยบริการตามพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 มีหน้าที่ตามมาตรา 45 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ในการให้บริการสาธารณสุข รวมทั้งการใช้วัคซีน ยา เวชภัณฑ์ อุปกรณ์ในการรักษาที่ได้มาตรฐานและมีคุณภาพ ให้ข้อมูลการบริการสาธารณสุขของผู้รับบริการ ตามที่ผู้รับบริการร้องขอและตามประกาศที่มีการกำหนดเกี่ยวกับสิทธิของผู้ป่วยและผู้รับบริการ เพื่อให้ผู้รับบริการ ตัดสินใจในการเลือกรับบริการหรือถูกส่งต่อ รักษาความลับของผู้รับบริการจากการปฏิบัติหน้าที่ และจัดทำระบบ ข้อมูลการให้บริการสาธารณสุข เพื่อสะดวกต่อการตรวจสอบคุณภาพและบริการ รวมทั้งการขอรับค่าใช้จ่ายเพื่อบริการ สาธารณสุข เป็นต้น โดยในการให้บริการสาธารณสุขแก่ผู้รับบริการและการจัดทำระบบข้อมูลการให้บริการสาธารณสุข ให้หน่วยบริการปฏิบัติตามหลักเกณฑ์ที่คณะกรรมการหลักประกันสุขภาพแห่งชาติและคณะกรรมการควบคุมคุณภาพ และมาตรฐานบริการสาธารณสุขกำหนด และหน่วยบริการดังกล่าวมีสิทธิได้รับค่าใช้จ่ายเพื่อบริการสาธารณสุข จากกองทุนหลักประกันสุขภาพแห่งชาติตามหลักเกณฑ์ วิธีการ และเงื่อนไขที่คณะกรรมการหลักประกันสุขภาพ แห่งชาติกำหนด ตามมาตรา 46 วรรคหนึ่ง แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ซึ่งในการดำเนินงานของหน่วยบริการที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หน่วยบริการ ดังกล่าว (และ/หรือหน่วยงานต้นสังกัดที่เป็นนิติบุคคล) ย่อมมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามหน้าที่และอำนาจที่กฎหมายกำหนด รวมถึงการดำเนินการตามภารกิจ ที่เกี่ยวข้อง

ดังนั้น ในการดำเนินงานของหน่วยบริการที่สังกัด สป.สธ. ดังกล่าว ที่มีการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล สป.สธ. ในฐานะส่วนราชการต้นสังกัดที่มีฐานะเป็นนิติบุคคลของหน่วยบริการดังกล่าว จะอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตาม[มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วยเหตุนี้ การที่หน่วยบริการที่สังกัด สป.สธ. ส่งข้อมูลส่วนบุคคลของผู้ป่วยหรือผู้รับบริการ ให้แก่ สปสช. เพื่อขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข ตามมาตรา 45 และมาตรา 46 แห่งพระราชบัญญัติ หลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 จึงถือเป็นการเปิดเผยข้อมูลส่วนบุคคลที่เป็นการปฏิบัติตามกฎหมาย ของผู้ควบคุมข้อมูลส่วนบุคคล ตามนัย[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือในกรณีที่เป็นข้อมูลส่วนบุคคลตามมาตรา 26 ก็ถือเป็นการเปิดเผย ข้อมูลส่วนบุคคลที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับหลักประกันสุขภาพ แห่งชาติ ตามมาตรา 26 (5) (ค) ประกอบมาตรา 27 วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว ซึ่งได้รับยกเว้น ไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า การที่ สปสช. เก็บรวบรวมข้อมูลส่วนบุคคล ดังกล่าว เพื่อใช้ในการดำเนินงานตามอำนาจหน้าที่ตามมาตรา 26 แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 ซึ่งรวมถึงอำนาจหน้าที่ในการเก็บ รวบรวม วิเคราะห์ข้อมูลเกี่ยวกับการดำเนินงานการบริการ สาธารณสุข การจัดให้มีทะเบียนผู้รับบริการ หน่วยบริการ และเครือข่ายหน่วยบริการ การบริหารกองทุน หลักประกันสุขภาพแห่งชาติ การจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่าย หน่วยบริการ การตรวจสอบเอกสารหลักฐานการเรียกเก็บค่าใช้จ่ายเพื่อบริการสาธารณสุขของหน่วยบริการ การดำเนินการเพื่อให้ประชาชนมีหน่วยบริการประจำ และการขอเปลี่ยนหน่วยบริการประจำ รวมทั้ง ประชาสัมพันธ์เพื่อให้ประชาชนทราบข้อมูลของหน่วยบริการ การกำกับดูแลหน่วยบริการและเครือข่าย หน่วยบริการในการให้บริการสาธารณสุขให้เป็นไปตามมาตรฐานที่คณะกรรมการหลักประกันสุขภาพแห่งชาติ กำหนด และอำนวยความสะดวกในการเสนอเรื่องร้องเรียน ตลอดจนการปฏิบัติหน้าที่อื่น ๆ ของ สปสช. ยังถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา 24 (6) หรือเป็นการจำเป็นเพื่อ การปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา 24 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 และในกรณีที่เป็นข้อมูลส่วนบุคคลตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ก็ถือเป็นการจำเป็นในการปฏิบัติตาม กฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับหลักประกันสุขภาพแห่งชาติ ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่ง สปสช. สามารถทำการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวจาก แหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรงได้ตาม[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) และไม่ต้องแจ้งรายละเอียด ในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) เนื่องจากไม่ใช่กรณีที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคล จากแหล่งอื่นที่ต้องได้รับความยินยอมตาม[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (1)

ทั้งนี้ ตามนัย[มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

อย่างไรก็ตาม หน่วยบริการที่ให้บริการสาธารณสุข แก่ผู้ป่วยหรือผู้รับบริการ และจะต้องเปิดเผยข้อมูลส่วนบุคคลของผู้นั้นให้แก่ สปสช. ควรระบุประเภทของบุคคล หรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย ซึ่งเป็นส่วนหนึ่งของรายละเอียดใน การเก็บรวบรวมข้อมูลส่วนบุคคลที่หน่วยบริการต้องแจ้งให้ผู้ป่วยหรือผู้รับบริการในฐานะเจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) ตาม[มาตรา 23](https://link.pdpalawbase.com/section/23.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้ครอบคลุม การเปิดเผยข้อมูลส่วนบุคคลให้แก่ สปสช. และ/หรือกองทุนประกันสุขภาพต่าง ๆ ด้วย เนื่องจากกระทรวงสาธารณสุข โดย สป.สธ. ได้พัฒนาระบบศูนย์กลางข้อมูลด้านการเงิน (Financial Data Hub) ซึ่งมีการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับการให้บริการสาธารณสุขแก่ผู้ป่วยของ หน่วยบริการในสังกัดกระทรวงสาธารณสุข เพื่อประโยชน์ในการขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข รวมทั้ง เพื่อการวิเคราะห์ วางแผน กำกับดูแล ติดตาม ประเมินผล และบริหารจัดการในภารกิจตามหน้าที่และอำนาจ ของตน

ดังนั้น หาก สปสช. หรือหน่วยงานที่เกี่ยวข้อง ประสงค์จะใช้ข้อมูลส่วนบุคคลในรูปแบบข้อมูลดิจิทัล จากระบบดังกล่าวที่กระทรวงสาธารณสุข โดย สป.สธ. ได้มาหรือมีอยู่ในความครอบครอง เพื่อประโยชน์ ในการบริหารราชการแผ่นดินและการให้บริการประชาชน กระทรวงสาธารณสุข โดย สป.สธ. ก็สามารถจัดให้มี การเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่มีการจัดทำและครอบครองตามที่หน่วยงานของรัฐแห่งอื่นร้องขอ ที่จะเกิดการบูรณาการร่วมกันได้ ตามมาตรา 13 แห่งพระราชบัญญัติการบริหารงานและการให้บริการภาครัฐ ผ่านระบบดิจิทัล พ.ศ. 2562 โดยจะต้องปฏิบัติให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ด้วย ตามนัยมาตรา 16 แห่งพระราชบัญญัติดังกล่าว

ทั้งนี้ สปสช. ในฐานะหน่วยงานของรัฐผู้รับข้อมูลดิจิทัล ดังกล่าวต้องใช้ข้อมูลตามวัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษาข้อมูลให้มี ความมั่นคงปลอดภัย ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล ตามมาตรา 14 แห่งพระราชบัญญัติเดียวกัน

ประเด็นข้อหารือที่ 1 เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มิได้กำหนดหน้าที่เกี่ยวกับการจัดให้มีข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคล กับผู้ควบคุมข้อมูลส่วนบุคคลไว้อย่างชัดเจน แต่ผู้ควบคุมข้อมูลส่วนบุคคลที่จะเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน มีหน้าที่ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูล ส่วนบุคคล พ.ศ. 2565 โดยข้อ 4 ของประกาศดังกล่าวกำหนดว่า มาตรการดังกล่าวจะต้องประกอบด้วย มาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับ ความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาส เกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ซึ่งการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement: DSA) ถือเป็นมาตรการเชิงองค์กรอย่างหนึ่งเพื่อกำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล ไม่ว่าจะส่งและรับข้อมูลที่เป็นเอกสารหรือโดยวิธีการทางอิเล็กทรอนิกส์ก็ตาม อันจะเป็น การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่จะเปิดเผยให้แก่กัน และควบคุมดูแลให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลระหว่างกันสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งยังเป็นมาตรการเพื่อป้องกันมิให้หน่วยงานที่ได้รับข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูล ส่วนบุคคลนั้น ตาม[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง หรือเพื่อป้องกันมิให้หน่วยงานดังกล่าวใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยปราศจากอำนาจหรือโดยมิชอบ ตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) อีกด้วย

นอกจากนี้ ในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลของ สปสช. ที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ หลักประกันสุขภาพแห่งชาติ ตาม[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นั้น สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคล และ สป.สธ. (รวมถึงหน่วยบริการ ในสังกัด) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เปิดเผยข้อมูลส่วนบุคคลให้ สปสช. มีหน้าที่ต้องจัดให้มีมาตรการ ที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามความใน[มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) อีกด้วย

ดังนั้น สปสช. และ สป.สธ. อาจพิจารณาหารือร่วมกันตามอำนาจหน้าที่ที่เกี่ยวข้องเพื่อให้ ได้ข้อสรุปเกี่ยวกับมาตรการเชิงองค์กรและมาตรการเชิงเทคนิคที่เหมาะสมกับระดับความเสี่ยงตามลักษณะ และวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบ จากเหตุการละเมิดข้อมูลส่วนบุคคลที่อาจเกิดขึ้นจากการเปิดเผยและเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้ ซึ่งหาก สปสช. และ สป.สธ. เห็นสมควร ก็ย่อมสามารถหารือและตกลงร่วมกันเพื่อจัดทำข้อตกลงการแบ่งปัน ข้อมูลส่วนบุคคลระหว่างกันได้

ทั้งนี้ ไม่ว่าจะมีการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกัน หรือไม่ก็ตาม สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวย่อมมีหน้าที่ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งรวมถึงการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล ส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตาม[มาตรา 22](https://link.pdpalawbase.com/section/22.md) การจัดให้มีมาตรการรักษา ความมั่นคงปลอดภัยที่เหมาะสมตาม[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) การจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือ ทำลายข้อมูลส่วนบุคคลตามเงื่อนไขใน[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) และการดำเนินการที่เหมาะสมในกรณีที่เจ้าของข้อมูล ส่วนบุคคลขอใช้สิทธิตามหมวด 3 แห่งพระราชบัญญัตินี้ ตลอดจนมีความรับผิดตามกฎหมายที่เกี่ยวข้องอยู่แล้ว การที่ สปสช. จะพิจารณาว่าควรลงนามในข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล ของ สป.สธ. หรือไม่นั้น จึงเป็นกรณีที่ สปสช. สามารถพิจารณาดำเนินการได้ตามที่เห็นสมควร โดยควรคำนึงถึงความจำเป็นในการปฏิบัติหน้าที่ ตามกฎหมายอื่นที่เกี่ยวข้องประกอบด้วย

อนึ่ง [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติว่า บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคลอื่น จะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับ ผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น ซึ่ง สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของ สป.สธ. จะต้องดำเนินการให้เป็นไปตามบทบัญญัติดังกล่าวด้วย

ดังนั้น หาก สปสช. มีความจำเป็นต้องใช้ข้อมูลส่วนบุคคลที่ได้รับจาก สป.สธ. เพื่อวัตถุประสงค์อื่นใดนอกเหนือจาก เพื่อการจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่ายหน่วยบริการ สปสช. ก็ควรแจ้ง วัตถุประสงค์เหล่านั้นให้ สป.สธ. หรือหน่วยบริการในสังกัดทราบในการขอรับข้อมูลส่วนบุคคลดังกล่าวไว้ด้วย

ประเด็นข้อหารือที่ 2 เห็นว่า ดังที่ได้กล่าวข้างต้นแล้วว่า การจัดทำข้อตกลงการแบ่งปันข้อมูล ส่วนบุคคล (data sharing agreement: DSA) นั้น ถือเป็นมาตรการเชิงองค์กร (organizational measure) อย่างหนึ่งเพื่อกำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล แต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อันจะเป็นการรักษาความมั่นคงปลอดภัยของ ข้อมูลส่วนบุคคลที่จะเปิดเผยให้แก่กัน และควบคุมดูแลให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ระหว่างกันสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งหาก สปสช. และ สป.สธ. เห็นสมควร ก็ย่อมสามารถหารือและตกลงร่วมกันเพื่อจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกันได้ โดยเพื่อให้เป็นไปตามเจตนารมณ์ของกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล รายละเอียดของข้อตกลง ดังกล่าว ควรมีเนื้อหาที่ครอบคลุมวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของแต่ละฝ่าย (รวมทั้งอาจมีข้อกำหนดเกี่ยวกับระยะเวลาการเก็บรักษา หรือเงื่อนไขในการลบหรือทำลายข้อมูลส่วนบุคคล) ที่ทำให้แต่ละฝ่ายสามารถดำเนินงานของตนในฐานะ ผู้ควบคุมข้อมูลส่วนบุคคลที่มีอำนาจหน้าที่ตัดสินใจในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลแยกจากกันได้ โดยไม่เป็นอุปสรรคต่อ การดำเนินงานของกันและกัน โดยเฉพาะในกรณีที่เป็นการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์ สาธารณะหรือเป็นการปฏิบัติตามกฎหมาย และไม่ขัดหรือแย้งกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

อย่างไรก็ดี เนื่องจากพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้บัญญัติ ให้ต้องมีการจัดให้มีข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคลด้วยกันตั้งแต่ต้น

ดังนั้น หาก สปสช. เห็นว่า การจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลจะทำให้การดำเนินการตามอำนาจ หน้าที่ของ สปสช. ตามกฎหมายว่าด้วยหลักประกันสุขภาพแห่งชาติหรือกฎหมายอื่นขาดประสิทธิภาพ หรือไม่อาจสำเร็จตามวัตถุประสงค์ได้ หรือมีปัญหาอุปสรรคที่ทำให้ไม่สามารถหาข้อสรุปที่เป็นประโยชน์กับ ทั้งสองฝ่ายและเป็นที่ยอมรับร่วมกันได้ ก็อาจพิจารณาไม่จัดทำข้อตกลงดังกล่าวได้ แต่ในกรณีเช่นนี้ แต่ละฝ่ายจะต้องจัดให้มีมาตรการอื่นใดที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของ เจ้าของข้อมูลส่วนบุคคลได้ในทำนองเดียวกัน ตามความในมาตรา 26 (5) (ค) แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย เช่น ผู้ควบคุมข้อมูลส่วนบุคคลที่เปิดเผยข้อมูลส่วนบุคคลให้แก่อีกฝ่ายหนึ่ง อาจแจ้งวัตถุประสงค์ในการใช้หรือเปิดเผยข้อมูลส่วนบุคคลของฝ่ายที่รับข้อมูลส่วนบุคคลให้ฝ่ายนั้นทราบฝ่ายเดียว แทนการจัดให้มีข้อตกลงระหว่างกัน ส่วนผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผย ดังกล่าวก็อาจดำเนินการฝ่ายเดียวในการกำหนดมาตรการเชิงองค์กร (organizational measures) และ มาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อจำกัดหรือควบคุมการใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับมาดังกล่าวให้ เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์ที่ฝ่ายที่เปิดเผยข้อมูลส่วนบุคคลได้แจ้งไว้ หรือวัตถุประสงค์อื่นใดอันชอบ ด้วยกฎหมายของตน รวมทั้งอาจกำหนดมาตรการอื่นใดเพิ่มเติมเพื่อให้มีการคุ้มครองข้อมูลส่วนบุคคล ที่เหมาะสมและสอดคล้องกับพระราชบัญญัตินี้

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า กรณีการเปิดเผยข้อมูลส่วนบุคคล ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว ซึ่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 ไม่ได้บัญญัติให้ต้องมีการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement: DSA) ระหว่างกันนั้น มีความแตกต่างจากการเปิดเผยข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูล ส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลนั้น ซึ่งผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มี ข้อตกลงระหว่างกัน กล่าวคือ ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (data processing agreement: DPA) เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมาย หรือบทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ ตาม[มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคหนึ่ง (1)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-5-2569.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/02/consultation-68.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/5-2569.md

============================================================
โนด: ข้อหารือ 6/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/6-2566.md

# ข้อหารือที่ 6/2566 เรื่อง ธนาคาร ม. ขอหารือเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 20](https://link.pdpalawbase.com/section/20.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
2. ประมวลกฎหมายแพ่งและพาณิชย์ — มาตรา 21, 22, 23, 24 และ 27

## ข้อหารือ

ธนาคาร ม. ขอหารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรณีการขอความยินยอมในการเปิดบัญชีและการทำธุรกรรมโดยใช้ Facial recognition และกรณีการทำการตลาดกับลูกค้าซึ่งเป็นผู้เยาว์ โดยมีประเด็นดังนี้

1. กรณีการเปิดบัญชีหรือทำธุรกรรมผ่าน Application Sumo และมีการเก็บรวบรวมและใช้ Facial recognition ของผู้เยาว์ (อายุ 7 ถึง 20 ปีบริบูรณ์) เพื่อพิสูจน์และยืนยันตัวตนของผู้เยาว์ ธนาคารต้องขอความยินยอมหรือไม่ อย่างไร หากต้องขอความยินยอมผู้เยาว์สามารถให้ความยินยอมด้วยตนเองได้หรือไม่
2. กรณีการเปิดบัญชีหรือทำธุรกรรมผ่านเครื่อง Virtual Teller Machine (VTM) และ Mobile Banking ธนาคารมีการเก็บรวบรวมและใช้ Facial recognition ของลูกค้าเพื่อพิสูจน์และยืนยันตัวตน ธนาคารจะต้องขอความยินยอมหรือไม่ อย่างไร
3. กรณีธนาคารนำเสนอผลิตภัณฑ์ใหม่ เพื่อทำการตลาดกับลูกค้าผู้เยาว์ ธนาคารต้องขอความยินยอมจากผู้เยาว์หรือไม่ อย่างไร หากต้องขอความยินยอม ผู้เยาว์สามารถให้ความยินยอมดังกล่าวด้วยตนเองได้หรือไม่
4. กรณีธนาคารนำเสนอผลิตภัณฑ์เดิม เช่น นำเสนอผลิตภัณฑ์เงินฝากประเภทอื่นให้กับลูกค้าผู้เยาว์ที่ใช้ผลิตภัณฑ์เงินฝาก หรือนำเสนอผลิตภัณฑ์ที่เกี่ยวเนื่องกับผลิตภัณฑ์เดิม (บัตร ATM/Mobile Banking) ธนาคารต้องขอความยินยอมจากผู้เยาว์หรือไม่

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พิจารณาประเด็นข้อหารือของธนาคาร ม. แล้ว มีความเห็นพร้อมข้อสังเกต ดังนี้

**ประเด็นหารือที่ 1** กรณีการเก็บรวบรวมข้อมูลส่วนบุคคลของผู้เยาว์ในการเปิดบัญชีธนาคาร อาจพิจารณาฐานทางกฎหมายในการเปิดบัญชีเงินฝากของผู้เยาว์โดยอาศัยเหตุตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่ง PDPA กล่าวคือเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญา ซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญา ซึ่งประเด็นความสามารถของผู้เยาว์ในการทำสัญญาและความสมบูรณ์ของสัญญา ย่อมเป็นไปตามประมวลกฎหมายแพ่งและพาณิชย์ ซึ่งกำหนดว่าผู้เยาว์อาจทำการใด ๆ โดยลำพังได้ตามที่บัญญัติไว้ในมาตรา 22, มาตรา 23 หรือมาตรา 24 แห่งประมวลกฎหมายแพ่งและพาณิชย์ แต่หากเป็นกรณีอื่นที่ผู้เยาว์ไม่อาจทำนิติกรรมโดยลำพังได้ การทำนิติกรรมของผู้เยาว์ต้องได้รับความยินยอมของผู้แทนโดยชอบธรรมก่อน

เนื่องจากกรณีการเปิดบัญชีเงินฝากของผู้เยาว์ที่หารือดังกล่าวไม่ได้ใช้ "ความยินยอม" เป็นฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่ง PDPA จึงไม่ต้องปฏิบัติตาม [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่ง PDPA

สำหรับกิจกรรมที่มีวัตถุประสงค์เพื่อพิสูจน์และยืนยันตัวตนของผู้เยาว์ โดยวิธีนำเทคโนโลยีจดจำใบหน้า (Facial recognition) มาใช้พิสูจน์ยืนยันตัวตนของผู้ทำธุรกรรม ในการดำเนินการดังกล่าวอาจพิจารณาได้ว่าเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่มีลักษณะตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่ง PDPA ซึ่งเทคโนโลยีจดจำใบหน้ามีการใช้เทคนิคที่เกี่ยวข้องกับการนำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้น ที่ไม่เหมือนกับบุคคลอื่นได้ จึงเป็นการเก็บรวบรวมข้อมูลชีวภาพ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสอง

ดังนั้น ธนาคารจึงต้องพิจารณาฐานทางกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง (1) ถึง (5) ในการเก็บรวบรวมข้อมูลส่วนบุคคลสำหรับกิจกรรมที่มีวัตถุประสงค์เพื่อยืนยันตัวตน เมื่อไม่มีเหตุดังกล่าว ก็จะต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมของผู้เยาว์จะต้องเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่ง PDPA

**ประเด็นหารือที่ 2** เนื่องจากการเก็บรวบรวมข้อมูลส่วนบุคคลโดยวิธีนำเทคโนโลยีระบบจดจำใบหน้า (Facial recognition) เป็นการเก็บรวบรวมข้อมูลชีวภาพตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสอง แห่ง PDPA ธนาคารจึงต้องพิจารณาฐานทางกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง (1) ถึง (5) เมื่อไม่มีเหตุดังกล่าวก็จะต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมจะต้องเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)

**ประเด็นหารือที่ 3** สำหรับกิจกรรมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาด ธนาคารจะต้องพิจารณาฐานทางกฎหมาย สำหรับการเปิดบัญชี ธนาคาร ม. สามารถเก็บรวบรวมข้อมูลส่วนบุคคลโดยอาศัยเหตุตามนัย [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) ได้ แต่หากการใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาดเป็นกิจกรรมที่ไม่เกี่ยวข้องและจำเป็นเพื่อปฏิบัติตามสัญญาเกี่ยวกับการเปิดบัญชี ธนาคารจะไม่สามารถอ้างฐาน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) ได้ ดังนั้น ธนาคารจึงต้องพิจารณาฐานทางกฎหมายอื่น เมื่อพิจารณาวัตถุประสงค์ที่เป็นการนำเสนอผลิตภัณฑ์ใหม่เพื่อทำการตลาด ซึ่งไม่สอดคล้องกับฐานทางกฎหมายอื่นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) ถึง (6) จึงควรขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมต้องเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)

ส่วนประเด็นเรื่องการขอความยินยอมจากผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะ ตามมาตรา 27 แห่งประมวลกฎหมายแพ่งและพาณิชย์ เมื่อคำนึงถึงความเหมาะสมด้านวุฒิภาวะของผู้เยาว์ในการตัดสินใจเพื่อทำการตลาด ประกอบกับผลกระทบจากการตัดสินใจ จึงเห็นว่า การขอความยินยอมในการทำการตลาดกับลูกค้าที่เป็นผู้เยาว์ดังกล่าว ควรได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย

**ประเด็นหารือที่ 4** สำหรับกรณีนำเสนอผลิตภัณฑ์เดิมหรือผลิตภัณฑ์ที่เกี่ยวเนื่อง ธนาคารต้องพิจารณาฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หากไม่ได้เกี่ยวข้องและจำเป็นเพื่อการปฏิบัติตามสัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) และไม่สอดคล้องกับฐานอื่นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) (2) (4) (5) และ (6) จะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล โดยหลักเกณฑ์การขอความยินยอมต้องเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) · กรณีผู้เยาว์ — เช่นเดียวกับประเด็นที่ 3 ควรได้รับความยินยอมจากผู้ใช้อำนาจปกครองด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-6-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-06.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/6-2566.md

============================================================
โนด: ข้อหารือ 6/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/6-2567.md

# ข้อหารือที่ 6/2567 เรื่อง สถานีตำรวจ E ขอหารือข้อกฎหมายเกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1), [มาตรา 5](https://link.pdpalawbase.com/section/5.md), [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 20](https://link.pdpalawbase.com/section/20.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 28](https://link.pdpalawbase.com/section/28.md), [มาตรา 29](https://link.pdpalawbase.com/section/29.md), [มาตรา 30](https://link.pdpalawbase.com/section/30.md), [มาตรา 31](https://link.pdpalawbase.com/section/31.md), [มาตรา 32](https://link.pdpalawbase.com/section/32.md), [มาตรา 33](https://link.pdpalawbase.com/section/33.md), [มาตรา 34](https://link.pdpalawbase.com/section/34.md), [มาตรา 35](https://link.pdpalawbase.com/section/35.md), [มาตรา 36](https://link.pdpalawbase.com/section/36.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)
2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม
3. ประมวลกฎหมายอาญา — มาตรา 326 และมาตรา 328
4. ประมวลกฎหมายแพ่งและพาณิชย์ — มาตรา 420

## ข้อหารือ

สถานีตำรวจ E แจ้งว่า มีผู้เสียหายมาร้องทุกข์ให้ดำเนินคดีกับผู้ต้องหาในความผิดฐานเปิดเผยข้อมูลส่วนบุคคลตาม PDPA · พนักงานสอบสวนได้สอบสวนรวบรวมพยานหลักฐานเสนออัยการ B พิจารณา · อัยการ B ให้พนักงานสอบสวนสอบถามมายังสำนักงาน คคส. ว่า กรณีที่**บุคคลธรรมดาได้รับข้อมูลส่วนบุคคลของบุคคลอื่น (เช่น ภาพถ่าย) มาจากผู้ควบคุมข้อมูลโดยไม่มีอำนาจตามกฎหมาย** แล้วนำภาพถ่ายไปเผยแพร่ในแอปพลิเคชันเฟซบุ๊กพร้อมข้อความหมิ่นประมาทเจ้าของข้อมูล โดยไม่ได้รับอนุญาตจากเจ้าของข้อมูล กรณีดังกล่าวอยู่ภายใต้บังคับ PDPA หรือไม่

## ความเห็น

ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) "ข้อมูลส่วนบุคคล" = ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม · **ภาพถ่ายบุคคลหรือข้อมูลอื่นเกี่ยวกับบุคคลที่สามารถระบุตัวได้ จึงถือเป็นข้อมูลส่วนบุคคลตาม PDPA**

สำหรับการนำภาพถ่าย/ข้อมูลส่วนบุคคลไปโพสต์ในแอปพลิเคชันเฟซบุ๊ก จะอยู่ภายใต้บังคับ PDPA และมีความผิดหรือไม่ — [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่งกำหนดว่า PDPA ใช้บังคับแก่การเก็บ/ใช้/เปิดเผยข้อมูลโดยผู้ควบคุมข้อมูลซึ่งอยู่ในราชอาณาจักร · [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" = บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บ/ใช้/เปิดเผยข้อมูล

เมื่อพิจารณาบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ — เห็นได้ว่ากฎหมายมุ่งประสงค์ใช้บังคับแก่บุคคลธรรมดา/นิติบุคคลที่มีการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่ง

ประกอบกับ **[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) กำหนดข้อยกเว้นไม่ให้นำ PDPA ไปใช้บังคับแก่การเก็บ/ใช้/เปิดเผยข้อมูลของบุคคลที่ทำการเก็บรวบรวมข้อมูลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว** (household exception)

ดังนั้น สถานีตำรวจ E ต้องพิจารณาว่าการกระทำของผู้ต้องหา (บุคคลธรรมดา) เป็นการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคล**เพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว**หรือไม่ · หากพิจารณาแล้วเห็นว่า การกระทำมีวัตถุประสงค์เพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บ/ใช้/เปิดเผยข้อมูลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอ — **ย่อมไม่อยู่ในขอบเขตการบังคับใช้ PDPA ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1)**

อย่างไรก็ดี หากการกระทำมีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้น เช่น **พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์**, **ป.อ. ฐานหมิ่นประมาท (ม.326/328)**, หรือ**การทำละเมิดตาม ป.พ.พ. มาตรา 420**

(หมายเหตุ: ruling pattern เดียวกับ opinion-4/2567 และ opinion-5/2567 — 3 ฉบับนี้ทำหน้าที่เป็น **template ruling** ของ คคส. สำหรับกรณี "ตำรวจสอบสวนเอกชนโพสต์ social media โดยอ้าง PDPA")

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-6-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-35.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/6-2567.md

============================================================
โนด: ข้อหารือ 6/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/6-2568.md

# ข้อหารือที่ 6/2568 เรื่อง สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติและสำนักงานปลัดกระทรวงสาธารณสุข หารือเกี่ยวกับจัดทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคล ภายใต้โครงการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่ง, [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ (4) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสอง/วรรคสาม/(1)/(2)/(3) แห่ง PDPA + ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยฯ พ.ศ. 2565 + ประกาศ เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดฯ พ.ศ. 2565)_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — ประเด็นที่หารือมี 3 ประเด็นของทั้ง สดช. และ สป.สธ.: (1) การพิจารณาฐานะผู้ควบคุมข้อมูล/ผู้ประมวลผลข้อมูลในโครงการคลาวด์กลางสาธารณสุข; (2) หน้าที่จัดทำข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) และผู้ลงนาม; (3) นิติสัมพันธ์ของกิจการค้าร่วม A ในฐานะคู่สัญญาของ สดช. กับหน้าที่ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาเรื่องหารือดังกล่าวประกอบคำชี้แจงจากผู้แทน สดช. และผู้แทน สป.สธ. แล้ว มีความเห็นดังนี้

### ประเด็นข้อหารือที่ 1 (ฐานะผู้ควบคุมข้อมูล/ผู้ประมวลผลข้อมูล)

ประเด็นข้อหารือที่ 1 ของ สดช. และประเด็นข้อหารือที่ 1 ของ สป.สธ. เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ไม่ว่าการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ได้กระทำในหรือนอกราชอาณาจักรก็ตาม ตาม [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยการจะพิจารณาว่าบุคคลหรือนิติบุคคลใดมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล หรือมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลนั้น จะต้องพิจารณาจากอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามบทนิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ว่าจะเป็นกรณีที่เป็นบุคคลธรรมดาหรือนิติบุคคลก็ตาม ทั้งนี้ สำหรับกรณีของนิติบุคคล บทนิยามดังกล่าวมิได้แบ่งแยกระหว่างนิติบุคคลที่เป็นเอกชนกับหน่วยงานของรัฐ ดังนั้น หน่วยงานของรัฐจึงอาจทำหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือทำหน้าที่เป็นผู้ประมวลผลข้อมูลส่วนบุคคลให้แก่บุคคลหรือนิติบุคคลอื่น (ไม่ว่าจะเป็นหน่วยงานของรัฐหน่วยงานอื่นหรือเอกชน) ก็ได้ ตราบเท่าที่ความสัมพันธ์ดังกล่าวเป็นไปตามหลักการของความสัมพันธ์ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคล โดยจะต้องพิจารณาวัตถุประสงค์และการดำเนินงานที่เกิดขึ้นจริงเป็นสำคัญ ซึ่งสำหรับเรื่องที่หารือนั้น บันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข ระหว่างกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม และกระทรวงสาธารณสุข กำหนดไว้ว่า กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมยินดีที่จะพัฒนาและให้บริการระบบคลาวด์ข้อมูลสุขภาพแก่กระทรวงสาธารณสุข โดยจัดให้มีการเข้าถึงข้อมูลสุขภาพ ดูแลระบบรักษาความปลอดภัย และความพร้อมใช้งาน ตามแนวทางที่กระทรวงสาธารณสุขกำหนด ประกอบกับคณะรัฐมนตรีได้มีมติเมื่อวันที่ 24 มกราคม 2566 เห็นชอบและอนุมัติให้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดย สดช. ดำเนินโครงการดังกล่าว ซึ่ง สดช. ได้ทำหน้าที่เป็นผู้ว่าจ้างและบริหารสัญญาในการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย การจะพิจารณาว่า สดช. มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล (data controller) หรือผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) นั้น จึงต้องพิจารณาจากวัตถุประสงค์และการดำเนินงานที่เกิดขึ้นจริง กล่าวคือ สดช. มีบทบาทร่วมกับ สป.สธ. ในการกำหนดวัตถุประสงค์และร่วมพิจารณาในขั้นตอนสำคัญของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในระบบคลาวด์ข้อมูลสุขภาพหรือไม่ เพียงใด ประกอบด้วย

เมื่อพิจารณาข้อเท็จจริงของเรื่องที่หารือและข้อกฎหมายที่เกี่ยวข้องประกอบกันแล้ว คณะอนุกรรมการตอบข้อหารือฯ มีความเห็นว่า หลักการที่สำคัญในการพิจารณาฐานะความเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลของบุคคลหรือนิติบุคคลหนึ่ง ๆ คือ การมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยการพิจารณาว่าบุคคลหรือนิติบุคคลใดมี “อำนาจหน้าที่ตัดสินใจ” จะต้องนำข้อเท็จจริงทั้งหมดที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล มาพิจารณาร่วมกันว่า บุคคลหรือนิติบุคคลนั้นมีอำนาจหน้าที่ในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าวหรือไม่ เพียงใด หากในความเป็นจริงนิติบุคคลหนึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล นิติบุคคลนั้นย่อมถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล แม้สัญญาจะระบุไว้เป็นอย่างอื่น เช่น ระบุว่านิติบุคคลดังกล่าวเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ก็ตาม ดังนั้น ในบางกรณี เนื้อหาของสัญญาหรือข้อตกลงต่าง ๆ จึงไม่ถือเป็นข้อชี้ขาดเสมอไป และผู้เกี่ยวข้องไม่สามารถกำหนดหรือหลีกเลี่ยงหน้าที่และความรับผิดในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้โดยอาศัยเพียงการกำหนดเงื่อนไขไว้ในสัญญาหรือข้อตกลง หากไม่สอดคล้องกับข้อเท็จจริงตามบทนิยามในกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ในการดำเนินโครงการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทยของ สดช. ดังกล่าว บันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข ระหว่างกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข ลงวันที่ 27 มิถุนายน 2565 ได้กำหนดขอบเขตของความร่วมมือและหน้าที่ความรับผิดชอบไว้ ดังนี้ (1) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมดำเนินการจัดหา และพัฒนาระบบคลาวด์สำหรับข้อมูลสุขภาพ เพื่อให้บริการระบบคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข (2) กระทรวงสาธารณสุข ดำเนินการระบุชุดข้อมูลและมาตรฐานข้อมูลที่จะจัดเก็บ/แลกเปลี่ยน รวมทั้งควบคุมกำกับการเข้าใช้งานระบบร่วมกับนิติบุคคลต่าง ๆ ที่เกี่ยวข้อง นอกจากนี้ บันทึกข้อตกลงความร่วมมือดังกล่าวกำหนดแนวทางการดำเนินงานและกิจกรรมความร่วมมือไว้ ดังนี้ (1) กระทรวงสาธารณสุข ยินดีที่จะให้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมดำเนินการจัดหา พัฒนา และให้บริการระบบคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข (2) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ยินดีที่จะพัฒนาและให้บริการระบบคลาวด์ข้อมูลสุขภาพแก่กระทรวงสาธารณสุข โดยจัดให้มีการเข้าถึงข้อมูลสุขภาพ ดูแลระบบรักษาความปลอดภัย และความพร้อมใช้งาน ตามแนวทางที่กระทรวงสาธารณสุขกำหนด (3) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข ยินดีที่จะสนับสนุนการดำเนินการเพื่อศึกษา วิเคราะห์ และประเมินความต้องการเพื่อระบุปริมาณระบบคลาวด์ที่แม่นยำ และร่วมออกแบบ ระบบเชื่อมโยงข้อมูลที่เหมาะสม คุ้มค่า (4) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข ยินดีที่จะสนับสนุนการดำเนินการเพื่อโอนย้ายข้อมูลและระบบซอฟต์แวร์ที่จำเป็นเข้าสู่ระบบคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข ฯลฯ

ดังนั้น เมื่อพิจารณาจากขอบเขตของความร่วมมือ หน้าที่ความรับผิดชอบ และแนวทางการดำเนินงานและกิจกรรมความร่วมมือ ตามบันทึกข้อตกลงความร่วมมือดังกล่าว กระทรวงสาธารณสุข โดย สป.สธ. จึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่จะเกิดขึ้นบนระบบคลาวด์ข้อมูลสุขภาพดังกล่าว เนื่องจากมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังนี้ (1) ระบุชุดข้อมูลและมาตรฐานข้อมูลที่จะจัดเก็บหรือแลกเปลี่ยน รวมทั้งมีอำนาจควบคุมกำกับการเข้าถึงข้อมูลและการเข้าใช้งานระบบร่วมกับนิติบุคคลต่าง ๆ ที่เกี่ยวข้อง (2) เป็นผู้กำหนดแนวทางการเข้าถึงข้อมูลสุขภาพ และการรักษาความมั่นคงปลอดภัยของระบบคลาวด์ข้อมูลสุขภาพ ซึ่งกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดย สดช. ต้องปฏิบัติตาม (3) มีบทบาทสำคัญในคณะกรรมการกำหนดขอบเขตของงาน และเป็นประธานกรรมการและเลขานุการในคณะกรรมการตรวจรับพัสดุ ในกระบวนการจัดซื้อจัดจ้าง

ในขณะที่ สดช. มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล เนื่องจากต้องปฏิบัติตามคำสั่งของกระทรวงสาธารณสุข โดย สป.สธ. ในส่วนที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับระบบคลาวด์ข้อมูลสุขภาพ ด้วยเหตุผลดังนี้ (1) สดช. จัดหา พัฒนา และให้บริการระบบโครงสร้างพื้นฐานสำหรับระบบคลาวด์ข้อมูลสุขภาพดังกล่าว ตามคำสั่งของกระทรวงสาธารณสุข (2) สดช. ไม่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลโดยอิสระ และไม่สามารถกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเองได้ (3) สดช. ต้องปฏิบัติตามข้อกำหนดเกี่ยวกับการเข้าถึงข้อมูลสุขภาพ และการรักษาความมั่นคงปลอดภัยของระบบคลาวด์ข้อมูลสุขภาพ ตามที่กระทรวงสาธารณสุขเป็นผู้กำหนด

โดยหาก สดช. ได้จัดหาหรือว่าจ้างบุคคลหรือนิติบุคคลอื่นเป็นผู้พัฒนาและ/หรือให้บริการระบบโครงสร้างพื้นฐานสำหรับระบบคลาวด์ข้อมูลสุขภาพดังกล่าว ตามคำสั่งหรือในนามของ สดช. ซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของ สป.สธ. ไม่ว่าจะเป็นการกระทำแทน สดช. หรือร่วมกับ สดช. ก็ตาม บุคคลหรือนิติบุคคลอื่นดังกล่าวจะมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลช่วง (sub-processor) ของ สดช. โดย สดช. มีหน้าที่รับผิดชอบต่อ สป.สธ. ซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล ในการกระทำของผู้ประมวลผลข้อมูลส่วนบุคคลช่วงดังกล่าวด้วย

ทั้งนี้ ในการพิจารณาจากข้อเท็จจริง นิติบุคคลที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ควรหมายความถึงหน่วยงานที่มีอิทธิพลอย่างเด็ดขาด (decisive influence) ต่อวัตถุประสงค์และวิธีการในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ซึ่งแม้ว่าผู้ประมวลผลข้อมูลส่วนบุคคลอาจเป็นผู้นำเสนอบริการที่ได้มีการกำหนดรายละเอียดเบื้องต้นไว้แล้วก็ตาม แต่ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องได้รับทราบรายละเอียดเกี่ยวกับบริการนั้น และเป็นผู้ตัดสินใจขั้นสุดท้ายในการอนุมัติวิธีการในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว และสามารถร้องขอหรือเจรจาให้มีการเปลี่ยนแปลงวิธีการดังกล่าวได้หากจำเป็น นอกจากนี้ ผู้ประมวลผลข้อมูลส่วนบุคคลจะไม่สามารถเปลี่ยนแปลงองค์ประกอบที่สำคัญ (essential elements) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวในภายหลังได้ หากไม่ได้รับความเห็นชอบจากผู้ควบคุมข้อมูลส่วนบุคคล ด้วยเหตุนี้ ผู้ให้บริการจัดเก็บข้อมูลบนคลาวด์แบบมาตรฐาน (standard cloud storage service provider) ที่ผู้ให้บริการไม่ได้เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ของตนเอง แต่จัดเก็บข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ใช้บริการเท่านั้น ย่อมถือเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ดังนั้น การจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลในระบบคลาวด์ข้อมูลสุขภาพ โดยกำหนดสิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคลเพื่อป้องกันการเข้าถึงของ สดช. หรือหน่วยงานอื่น ๆ จึงไม่มีผลเป็นการเปลี่ยนแปลงฐานะของ สดช. ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล ความสัมพันธ์ระหว่างกระทรวงสาธารณสุข โดย สป.สธ. และกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดย สดช. ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในระบบคลาวด์ข้อมูลสุขภาพ จึงเป็นความสัมพันธ์ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคล

อย่างไรก็ตาม หากข้อเท็จจริงปรากฏว่า สดช. ไม่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามบันทึกข้อตกลงความร่วมมือดังกล่าวโดยตรงเลย แต่ได้จัดหาหรือว่าจ้างบุคคลหรือนิติบุคคลอื่นเป็นผู้ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของกระทรวงสาธารณสุขเพื่อให้บรรลุข้อตกลงตามบันทึกข้อตกลงความร่วมมือดังกล่าว ในกรณีเช่นนี้ กระทรวงสาธารณสุข โดย สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล กับ สดช. และบุคคลหรือนิติบุคคลอื่นดังกล่าว อาจพิจารณาหารือร่วมกัน เพื่อตกลงความสัมพันธ์ให้ชัดเจนว่า บุคคลหรือนิติบุคคลอื่นนั้นมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของกระทรวงสาธารณสุข โดย สป.สธ. โดยตรง และ สดช. ไม่มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของกระทรวงสาธารณสุขก็ได้ โดยหากหน่วยงานที่เกี่ยวข้องมีข้อสรุปร่วมกัน และข้อสรุปดังกล่าวไม่สอดคล้องกับบันทึกข้อตกลงความร่วมมือที่จัดทำขึ้นก่อนหน้านั้น ก็อาจพิจารณาปรับปรุง แก้ไข หรือเพิ่มเติมบันทึกข้อตกลงความร่วมมือดังกล่าวให้เหมาะสมต่อไป

อนึ่ง กระทรวงสาธารณสุข โดย สป.สธ. และกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดย สดช. ต่างเป็นหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายที่เกี่ยวข้อง โดยหน่วยงานของรัฐอาจมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลได้เมื่อเป็นการปฏิบัติหน้าที่ตามกฎหมาย ดังนั้น หากมีกรณีใดที่ สดช. จำเป็นต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในระบบคลาวด์ข้อมูลสุขภาพ เพื่อบรรลุหน้าที่ตามกฎหมายของตน โดยไม่ใช่การปฏิบัติตามคำสั่งหรือในนามของกระทรวงสาธารณสุข โดย สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สดช. จะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ในกรณีดังกล่าว ตามนัย [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

### ประเด็นข้อหารือที่ 2 (หน้าที่จัดทำข้อตกลงการประมวลผลข้อมูล DPA + ผู้ลงนาม)

ประเด็นข้อหารือที่ 2 ของ สดช. และประเด็นข้อหารือที่ 2 ของ สป.สธ. เห็นว่า [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคล ให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งข้อตกลงดังกล่าวจะเรียกว่าข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement: DPA) และผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (1) ในการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น (เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้) นอกจากนี้ยังมีหน้าที่ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (2) ที่จะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (3) ในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้

ดังนั้น เมื่อคณะอนุกรรมการตอบข้อหารือฯ ได้พิจารณาแล้วว่า สดช. มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของ สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สป.สธ. จึงมีหน้าที่ต้องจัดให้มีข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) กับ สดช. และ สดช. สามารถลงนามในข้อตกลงดังกล่าวได้ แม้ว่า สดช. จะมีฐานะเป็นผู้กำกับโครงการและบริหารสัญญาก็ตาม เนื่องจากในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล สดช. มีหน้าที่ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เพราะ สดช. ไม่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งเป็นคนละประเด็นกันกับอำนาจหน้าที่ตัดสินใจในการกำกับโครงการและบริหารสัญญา ส่วนรายละเอียดและเงื่อนไขของข้อตกลงดังกล่าว สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และ สดช. ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล อาจพิจารณาหารือเพื่อให้ได้ข้อสรุปร่วมกันได้

อย่างไรก็ตาม หากข้อเท็จจริงปรากฏว่า สดช. ไม่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามบันทึกข้อตกลงความร่วมมือดังกล่าวโดยตรงเลย แต่ได้จัดหาหรือว่าจ้างบุคคลหรือนิติบุคคลอื่นเป็นผู้ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของกระทรวงสาธารณสุขเพื่อให้บรรลุข้อตกลงตามบันทึกข้อตกลงความร่วมมือดังกล่าว และได้มีข้อสรุปร่วมกันระหว่างกระทรวงสาธารณสุข โดย สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล กับ สดช. และบุคคลหรือนิติบุคคลอื่นดังกล่าว ที่ยอมรับร่วมกันว่า สดช. ไม่มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของกระทรวงสาธารณสุข และบุคคลหรือนิติบุคคลอื่นนั้นมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของกระทรวงสาธารณสุข โดย สป.สธ. โดยตรง แล้ว สป.สธ. ย่อมสามารถจัดให้มีข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) กับบุคคลหรือนิติบุคคลอื่นนั้นโดยตรงได้ และในกรณีดังกล่าว สป.สธ. จึงไม่มีหน้าที่ต้องจัดให้มีข้อตกลงร่วมกับ สดช. ซึ่งไม่มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลแต่อย่างใด แต่หากเห็นสมควร สป.สธ. อาจหารือกับ สดช. และ สดช. จะพิจารณาลงนามในข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) ดังกล่าวร่วมกับ สป.สธ. และผู้ประมวลผลข้อมูลส่วนบุคคลอื่นด้วยก็ได้ โดยคำนึงถึงประโยชน์ของแต่ละฝ่ายและประโยชน์ในการดำเนินงานร่วมกันประกอบกัน และหาก สดช. พิจารณาแล้วประสงค์จะลงนาม ก็จะต้องพิจารณาข้อกำหนดในข้อตกลงดังกล่าวว่ามีความสอดคล้องกับบทบาทหน้าที่และความรับผิดชอบของ สดช. และเป็นไปตามบันทึกข้อตกลงความร่วมมือและมติคณะรัฐมนตรีที่เกี่ยวข้องหรือไม่ เพียงใด

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า ในการจัดให้มีข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องกำหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น โดยมาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ทั้งนี้ เพื่อให้เป็นไปตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 6 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ด้วย นอกจากนี้ ข้อตกลงดังกล่าวจะต้องระบุให้ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ผู้ประมวลผลข้อมูลส่วนบุคคลทราบเหตุเท่าที่จะสามารถกระทำได้ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 8 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565

### ประเด็นข้อหารือที่ 3 (นิติสัมพันธ์กับกิจการค้าร่วม A)

ประเด็นข้อหารือที่ 3 ของ สดช. และประเด็นข้อหารือที่ 3 ของ สป.สธ. เห็นว่า การดำเนินการเกี่ยวกับนิติสัมพันธ์ของกิจการค้าร่วม A ในฐานะคู่สัญญาในสัญญาจ้างของ สดช. ซึ่งเป็นหน่วยงานของรัฐ ย่อมเป็นไปตามกฎหมายว่าด้วยการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ ส่วนการดำเนินการที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น แม้ สป.สธ. กับกิจการค้าร่วม A จะไม่มีนิติสัมพันธ์กันในฐานะคู่สัญญาในสัญญาจ้าง แต่หากข้อเท็จจริงปรากฏว่า สป.สธ. มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และกิจการค้าร่วม A ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของ สป.สธ. ในส่วนที่เกี่ยวข้องกับระบบคลาวด์ข้อมูลสุขภาพ ก็ย่อมถือได้ว่า สป.สธ. มีความสัมพันธ์ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล กับกิจการค้าร่วม A ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลแล้ว ดังนั้น สป.สธ. จึงมีหน้าที่ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่จะต้องจัดให้มีข้อตกลงระหว่างกันกับกิจการค้าร่วม A เพื่อควบคุมการดำเนินงานตามหน้าที่ของกิจการค้าร่วม A ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้ เพื่อให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของกิจการค้าร่วม A ตามสัญญาจ้างกับ สดช. เพื่อให้เป็นไปตามบันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข ระหว่างกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข บรรลุผล โดย สป.สธ. อาจพิจารณาจัดทำข้อตกลงดังกล่าวกับกิจการค้าร่วม A โดยตรง หรือจัดทำผ่าน สดช. ในกรณีที่ สดช. มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลที่มีหน้าที่จัดหา พัฒนา และให้บริการระบบโครงสร้างพื้นฐานสำหรับระบบคลาวด์ข้อมูลสุขภาพ โดยกำหนดให้ สดช. จัดทำข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) กับกิจการค้าร่วม A ซึ่งมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลช่วง (sub-processor) ของ สดช. ตามเงื่อนไขที่ สป.สธ. กำหนด ก็ได้ ตามความเหมาะสมและการหารือร่วมกันของผู้เกี่ยวข้อง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-6-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/09/consultation-55.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/6-2568.md

============================================================
โนด: ข้อหารือ 6/2569
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/6-2569.md

# ข้อหารือที่ 6/2569 เรื่อง ข้อหารือกรณีเจ้าหนี้ตามคำพิพากษาขอให้ผู้ควบคุมข้อมูลส่วนบุคคลเปิดเผยข้อมูลของลูกหนี้ตามคำพิพากษาถึงที่สุด

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (10) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) และ (6) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และวรรคสาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) (ก) และ (ข) และ[มาตรา 39](https://link.pdpalawbase.com/section/39.md)
2. ประมวลกฎหมายวิธีพิจารณาความแพ่ง มาตรา 277 และมาตรา 283
3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 มาตรา 4
4. พระราชบัญญัติธุรกิจสถาบันการเงิน พ.ศ. 2551

## ข้อหารือ

นาย B แจ้งว่า นาย B เป็นเจ้าหนี้ตามคำพิพากษาศาลจังหวัด B โดยที่ศาลมีคำพิพากษาคดี ถึงที่สุดให้จำเลยใช้หนี้ แต่ด้วยการสืบทรัพย์บังคับคดี เป็นภาระอย่างยิ่งแก่โจทก์ที่เป็นผู้ชนะคดี เจ้าหนี้ตาม คำพิพากษาต้องไปสืบทรัพย์เอง โดยจะต้องสืบข้อมูลจาก 1) บัญชีเงินฝากทุกธนาคารของลูกหนี้ ซึ่งธนาคาร จะยังคงปฏิเสธ โดยอ้างว่าเป็นข้อมูลส่วนบุคคล และยังไม่มีมติที่ชัดเจนบังคับออกมาจากคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคล 2) โฉนดที่ดิน/อสังหาริมทรัพย์ และ 3) รถ ยานพาหนะทางบกและทางน้ำ ซึ่งสร้างปัญหา ในกระบวนการยุติธรรมที่ต้องบังคับตามคำพิพากษา ด้วยเหตุดังกล่าว อาศัยบทบัญญัติตามรัฐธรรมนูญ มาตรา 3 มาตรา 25 มาตรา 41 มาตรา 43 มาตรา 51 มาตรา 53 มาตรา 59 มาตรา 63 และมาตรา 188 และคำพิพากษาถึงที่สุดให้จำเลยชำระหนี้ จึงขอให้คณะกรรมการพิจารณาดำเนินการตามมาตรา 16 (6) และ (10) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังนี้
1. ตีความว่า เมื่อโจทก์ซึ่งเป็นเจ้าหนี้ถือคำพิพากษาถึงที่สุดให้จำเลยต้องชำระหนี้ ให้ผู้ควบคุม ข้อมูลส่วนบุคคลทุกธนาคาร และหน่วยงานของรัฐที่เกี่ยวข้อง ส่งข้อมูลทั้งหมดให้เจ้าหนี้ตามคำพิพากษา
2. กำหนดแนวปฏิบัติ โดยให้มีบันทึกความเข้าใจแนวปฏิบัติกับหน่วยงานของรัฐที่เกี่ยวข้อง กรณีเจ้าหนี้ยื่นหนังสือขอข้อมูลโดยมีหลักฐานคำพิพากษาต่อหน่วยงานของรัฐที่เกี่ยวข้อง ได้แก่ 1) ธนาคาร แห่งประเทศไทย และให้ธนาคารแห่งประเทศไทยเป็นส่วนกลางในการรวบรวมข้อมูลจากทุกธนาคาร 2) กรมที่ดิน/สำนักทะเบียน ที่กำกับสิ่งปลูกสร้าง อสังหาริมทรัพย์ และ 3) กรมการขนส่งทางบกและกรมเจ้าท่า โดยเมื่อหน่วยงานของรัฐได้ตรวจหลักฐานครบแล้ว ก็ให้มอบข้อมูลทั้งหมดให้แก่ผู้ยื่นขอข้อมูลซึ่งเป็นเจ้าหนี้ ตามคำพิพากษาโดยพลัน

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าว โดยได้รับฟังคำชี้แจง จากผู้แทนสำนักงานศาลยุติธรรม ผู้แทนสมาคมธนาคารไทย ผู้แทนธนาคารแห่งประเทศไทย ผู้แทน สภาทนายความ ในพระบรมราชูปถัมภ์ และผู้แทนกรมบังคับคดีแล้ว รวมทั้งได้เสนอข้อเท็จจริงในประเด็น ข้อหารือดังกล่าวให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจาก การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม[มาตรา 16](https://link.pdpalawbase.com/section/16.md) (10) ซึ่งคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคลได้พิจารณาตีความและวินิจฉัยชี้ขาดในประเด็นดังกล่าวแล้ว และได้มอบหมายให้

คณะอนุกรรมการตอบข้อหารือฯ ดำเนินการตอบข้อหารือดังกล่าวต่อไป โดยคณะอนุกรรมการตอบข้อหารือฯ มีความเห็นในประเด็นข้อหารือดังกล่าวว่า ประมวลกฎหมายวิธีพิจารณาความแพ่งไม่ได้มีบทบัญญัติที่ให้อำนาจ เจ้าหนี้ตามคำพิพากษาในการเข้าถึงข้อมูลของลูกหนี้ที่อยู่ในความครอบครองหรือควบคุมดูแลของบุคคลอื่น ภายนอกคดี เช่น ธนาคารหรือสถาบันการเงินของลูกหนี้ตามคำพิพากษา ซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล ของลูกหนี้ตามคำพิพากษา โดยการสืบหาหลักทรัพย์หรือทรัพย์สินของลูกหนี้เพื่อการบังคับคดีตามคำพิพากษา ในคดีแพ่งที่มีคำพิพากษาถึงที่สุดเป็นหน้าที่ของเจ้าหนี้ตามคำพิพากษาซึ่งต้องดำเนินการสืบทรัพย์เบื้องต้น เมื่อพบข้อมูลทรัพย์สินของลูกหนี้ตามคำพิพากษาแล้วจะแจ้งต่อเจ้าพนักงานบังคับคดีทราบเพื่อดำเนินการยึด อายัด หรือขายทอดตลาดทรัพย์สินดังกล่าว เพื่อนำมาชำระหนี้ตามคำพิพากษาต่อไป

ทั้งนี้ แม้ประมวลกฎหมาย วิธีพิจารณาความแพ่งจะไม่มีบทบัญญัติที่ให้อำนาจเจ้าหนี้ตามคำพิพากษาในการเข้าถึงข้อมูลของลูกหนี้ ที่อยู่ในความครอบครองหรือควบคุมดูแลของบุคคลอื่นภายนอกคดีที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลของลูกหนี้ ตามคำพิพากษาไว้ แต่ในมาตรา 277 แห่งประมวลกฎหมายวิธีพิจารณาความแพ่ง ซึ่งแก้ไขเพิ่มเติมโดย พระราชบัญญัติแก้ไขเพิ่มเติมประมวลกฎหมายวิธีพิจารณาความแพ่ง (ฉบับที่ 30) พ.ศ. 2560 ได้กำหนด กระบวนการดำเนินการในกรณีที่เจ้าหนี้ตามคำพิพากษามีเหตุอันสมควรเชื่อได้ว่าลูกหนี้ตามคำพิพากษา มีทรัพย์สินที่จะต้องถูกบังคับคดีมากกว่าที่ตนทราบ หรือมีทรัพย์สินที่จะต้องถูกบังคับคดีแต่ไม่ทราบว่าทรัพย์สินนั้น ตั้งอยู่หรือเก็บรักษาไว้ที่ใด หรือมีเหตุอันควรสงสัยว่าทรัพย์สินใดเป็นของลูกหนี้ตามคำพิพากษาหรือไม่ โดยเจ้าหนี้ตามคำพิพากษาอาจยื่นคำขอฝ่ายเดียวโดยทำเป็นคำร้องเพื่อให้ศาลทำการไต่สวนได้ และเมื่อมีคำขอ ดังกล่าว หรือเมื่อศาลเห็นสมควรเพื่อประโยชน์แก่การบังคับคดีในคดีมโนสาเร่ ศาลมีอำนาจออกหมายเรียก ลูกหนี้ตามคำพิพากษาหรือบุคคลอื่นที่เชื่อว่าอยู่ในฐานะที่จะให้ถ้อยคำอันจะเป็นประโยชน์มาศาลด้วยตนเอง เพื่อการไต่สวนเช่นว่านั้นได้ และมีอำนาจสั่งให้บุคคลนั้น ๆ ส่งเอกสาร หรือวัตถุพยานซึ่งอยู่ในความยึดถือ หรืออำนาจของผู้นั้นอันเกี่ยวกับทรัพย์สินของลูกหนี้ตามคำพิพากษา

ทั้งนี้ ตามกำหนดและเงื่อนไขใด ๆ ที่เห็นสมควร โดยบทบัญญัติดังกล่าวมีขึ้นเพื่อให้ศาลสามารถใช้อำนาจในการไต่สวนให้ได้มาซึ่งข้อมูลเกี่ยวกับ ทรัพย์สินของลูกหนี้ที่จะสามารถบังคับคดีตามคำพิพากษาได้

นอกจากนี้ มาตรา 283 แห่งประมวลกฎหมาย วิธีพิจารณาความแพ่ง ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติแก้ไขเพิ่มเติมประมวลกฎหมายวิธีพิจารณาความแพ่ง (ฉบับที่ 30) พ.ศ. 2560 กำหนดว่า ในกรณีที่มีเหตุอันควรเชื่อว่ามีทรัพย์สินของลูกหนี้ตามคำพิพากษา หรือมีบัญชี เอกสาร จดหมาย หรือวัตถุอื่นใดอันเกี่ยวกับทรัพย์สินหรือกิจการของลูกหนี้ตามคำพิพากษา อยู่ในสถานที่ที่บุคคลอื่นครอบครองอยู่ เจ้าหนี้ตามคำพิพากษาอาจยื่นคำขอฝ่ายเดียวโดยทำเป็นคำร้องต่อศาล เพื่อขอให้ศาลออกหมายค้นสถานที่นั้น และเมื่อได้รับคำร้องเช่นว่านี้ ให้ศาลไต่สวนโดยไม่ชักช้า ถ้าเป็นที่พอใจ จากพยานหลักฐานที่เจ้าหนี้ตามคำพิพากษาได้นำมาสืบหรือที่ศาลได้เรียกมาสืบเองว่ามีเหตุอันควรเชื่อตามที่ร้องขอ ให้ศาลมีอำนาจออกหมายค้นสถานที่นั้นเพื่อให้เจ้าพนักงานบังคับคดีตรวจสอบและยึดทรัพย์สินหรือสิ่งต่าง ๆ ดังกล่าวภายในขอบเขตและเงื่อนไขตามที่ศาลเห็นว่าจำเป็น

ดังนั้น จึงเห็นได้ว่า ประมวลกฎหมายวิธีพิจารณา ความแพ่งได้กำหนดขั้นตอนและหลักเกณฑ์เกี่ยวกับการเข้าถึงข้อมูลเกี่ยวกับทรัพย์สินของลูกหนี้ตามคำพิพากษา ไว้แล้ว ในการดำเนินการสืบทรัพย์บังคับคดีของเจ้าหนี้ตามคำพิพากษา นาย B ในฐานะเจ้าหนี้ตามคำพิพากษา จึงสามารถดำเนินการตามขั้นตอนที่ประมวลกฎหมายวิธีพิจารณาความแพ่งได้กำหนดไว้ดังกล่าวต่อไปได้ สำหรับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่กำหนด หลักเกณฑ์ กลไก หรือมาตรการกำกับดูแลเกี่ยวกับการให้ความคุ้มครองข้อมูลส่วนบุคคลที่เป็นหลักการทั่วไป ซึ่งไม่ได้กำหนดหลักเกณฑ์เกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลในกรณีนี้ไว้เป็นการเฉพาะ โดยการเปิดเผยข้อมูล ส่วนบุคคลของธนาคารหรือสถาบันการเงิน กรมที่ดิน กรมการขนส่งทางบก กรมเจ้าท่า หรือหน่วยงานอื่นใด ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับทรัพย์สินของลูกหนี้ตามคำพิพากษา ไม่ถือเป็นส่วนหนึ่งของการพิจารณาพิพากษาคดีของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการ พิจารณาคดี การบังคับคดี และการวางทรัพย์ จึงไม่ใช่กรณีที่จะได้รับยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว จึงมีหน้าที่ต้องพิจารณาว่าการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวจะต้องได้รับความยินยอมจากเจ้าของข้อมูล ส่วนบุคคลตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ ซึ่งในกรณีที่ธนาคารหรือสถาบันการเงิน กรมที่ดิน กรมการขนส่งทางบก กรมเจ้าท่า หรือหน่วยงานอื่นใด ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับทรัพย์สิน ของลูกหนี้ตามคำพิพากษา ได้รับหมายเรียกหรือคำสั่งจากศาลให้มาให้ถ้อยคำต่อศาลเพื่อการไต่สวน หรือส่งเอกสารหรือวัตถุพยาน ตามบทบัญญัติแห่งประมวลกฎหมายวิธีพิจารณาความแพ่งหรือกฎหมายอื่น หรือได้รับคำสั่งจากหน่วยงานหรือเจ้าหน้าที่ของรัฐอื่นที่มีหน้าที่และอำนาจตามกฎหมาย ผู้ควบคุมข้อมูล ส่วนบุคคลดังกล่าวย่อมมีหน้าที่เปิดเผยข้อมูลส่วนบุคคลตามหมายเรียกหรือคำสั่งดังกล่าวได้โดยไม่ต้องขอความ ยินยอมจากเจ้าของข้อมูลส่วนบุคคล เนื่องจากเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

อย่างไรก็ตาม หากธนาคารหรือสถาบันการเงิน กรมที่ดิน กรมการขนส่งทางบก กรมเจ้าท่า หรือหน่วยงานอื่นใด ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับทรัพย์สินของลูกหนี้ตามคำพิพากษา ได้รับคำร้องขอจากเจ้าหนี้ตามคำพิพากษาให้เปิดเผยข้อมูลทรัพย์สินของลูกหนี้ตามคำพิพากษา ผู้ควบคุมข้อมูล ส่วนบุคคลดังกล่าวมีหน้าที่พิจารณาการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวให้เป็นไปตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยหากพิจารณาแล้วเห็นว่า การเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของเจ้าหนี้ ตามคำพิพากษา ซึ่งเป็นบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล และประโยชน์ของเจ้าหนี้ ตามคำพิพากษาดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ก็สามารถเปิดเผยข้อมูลส่วนบุคคลดังกล่าวให้เจ้าหนี้ตามคำพิพากษาได้โดยได้รับยกเว้นไม่ต้องขอความยินยอม ตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่หากพิจารณาแล้วเห็นว่าการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวไม่ใช่กรณีที่เป็นการจำเป็นเพื่อประโยชน์ โดยชอบด้วยกฎหมายของเจ้าหนี้ตามคำพิพากษา หรือประโยชน์ของเจ้าหนี้ตามคำพิพากษาดังกล่าว มีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล การเปิดเผยข้อมูล ส่วนบุคคลดังกล่าวก็จะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ในการพิจารณาการเปิดเผยข้อมูลส่วนบุคคลตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องพิจารณาชั่งน้ำหนักว่าประโยชน์โดยชอบด้วยกฎหมาย ของเจ้าหนี้ตามคำพิพากษาดังกล่าวมีความสำคัญไม่ยิ่งหย่อนไปกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคล โดยเฉพาะสิทธิในความเป็นส่วนตัว (right to privacy) ที่ลูกหนี้ตามคำพิพากษาจะสูญเสียไปจากการเปิดเผย ข้อมูลส่วนบุคคลดังกล่าวหรือไม่

นอกจากนี้ ในกรณีที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิคัดค้านการเปิดเผยข้อมูล ส่วนบุคคลที่เกี่ยวกับตนดังกล่าวตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่พิสูจน์ว่า การเปิดเผยข้อมูลส่วนบุคคลนั้น ผู้ควบคุมข้อมูลส่วนบุคคลได้แสดง ให้เห็นถึงเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า ตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) (ก) หรือเป็นไปเพื่อก่อตั้งสิทธิเรียกร้อง ตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้อง ตามกฎหมาย ตาม[มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) (ข) หรือไม่ โดยในการพิจารณาชั่งน้ำหนักตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาการประเมินประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) จากหลักเกณฑ์ 3 ประการ ดังนี้

ประการที่หนึ่ง การทดสอบวัตถุประสงค์ (Purpose Test) เป็นการพิจารณาเหตุผลและ ประโยชน์ที่จะได้รับจากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวว่า มีความชอบด้วยกฎหมาย หรือไม่ อย่างไร

ประการที่สอง การทดสอบความจำเป็น (Necessity Test) เป็นการพิจารณาว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวมีความจำเป็นมากน้อยเพียงใดเพื่อให้บรรลุวัตถุประสงค์อันชอบด้วย กฎหมายนั้น และสามารถดำเนินการด้วยวิธีการอื่นที่จะส่งผลกระทบต่อสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคล ของเจ้าของข้อมูลส่วนบุคคลน้อยกว่าได้หรือไม่ เพียงใด

ประการที่สาม การทดสอบความสมดุลแห่งสิทธิ (Balancing Test) เป็นการพิจารณาชั่งน้ำหนัก ระหว่างประโยชน์โดยชอบด้วยกฎหมายดังกล่าว กับสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูล ส่วนบุคคล ซึ่งจะต้องไม่กระทบต่อสิทธิและเสรีภาพ โดยเฉพาะสิทธิในความเป็นส่วนตัว (right to privacy) ของเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้องเกินสมควร

ทั้งนี้ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยเห็นว่าเป็นกรณีที่ ได้รับยกเว้นไม่ต้องขอความยินยอมตาม[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึกการเปิดเผยนั้นไว้ในรายการ ตามมาตรา 39 ด้วย ตามนัยมาตรา 27 วรรคสาม โดยควรพิจารณาบันทึกเหตุผลในการใช้ดุลพินิจชั่งน้ำหนัก ระหว่างประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ ผู้ควบคุมข้อมูลส่วนบุคคล กับสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ในการประเมิน ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Assessment: LIA) ตามหลักเกณฑ์ 3 ประการดังกล่าว ไว้ในรายการตามมาตรา 39 ด้วย

อนึ่ง การให้คำแนะนำและให้คำปรึกษาในการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 นี้ เป็นการให้ความเห็นเกี่ยวกับข้อกฎหมายตามพระราชบัญญัติดังกล่าวโดยทั่วไป

อย่างไรก็ดี ในกรณีของธนาคารหรือสถาบันการเงินของรัฐ กรมที่ดิน กรมการขนส่งทางบก กรมเจ้าท่า และหน่วยงานของรัฐอื่น ซึ่งเป็นหน่วยงานของรัฐตามมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 การเปิดเผยข้อมูลส่วนบุคคลตามคำร้องขอจากเจ้าหนี้ตามคำพิพากษาให้เปิดเผยข้อมูลทรัพย์สิน ของลูกหนี้ตามคำพิพากษาดังกล่าว จะต้องพิจารณาให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ด้วย เนื่องจากเป็นการเปิดเผยข้อมูลข่าวสารของราชการที่อยู่ในความครอบครองหรือควบคุมดูแล ของหน่วยงานของรัฐ และในการใช้ดุลพินิจในการเปิดเผยข้อมูลข่าวสารส่วนบุคคลโดยหน่วยงานของรัฐดังกล่าว หากเจ้าของข้อมูลเห็นว่าได้รับความเสียหายก็สามารถใช้สิทธิร้องเรียนตามกฎหมายที่เกี่ยวข้องต่อไปได้

นอกจากนี้ ในการเปิดเผยข้อมูลส่วนบุคคลของลูกหนี้ตามคำพิพากษาโดยธนาคารหรือสถาบันการเงิน ธนาคารหรือสถาบันการเงินดังกล่าวมีหน้าที่ปฏิบัติตามกฎหมายว่าด้วยธุรกิจสถาบันการเงินและกฎหมายอื่น ที่เกี่ยวข้องด้วย ซึ่งเป็นไปตาม[มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติ หลักการไว้ว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของ ข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม โดยในกรณีที่เห็นสมควร หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับคำร้องขอให้เปิดเผยข้อมูลส่วนบุคคล อาจพิจารณาหารือกับธนาคารแห่งประเทศไทย สำนักงานคณะกรรมการข้อมูลข่าวสารของราชการ และหน่วยงาน ที่มีหน้าที่และอำนาจตามกฎหมายอื่นที่เกี่ยวข้องเพิ่มเติมต่อไปได้

สำหรับประเด็นที่ขอให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแจ้งความเห็น ในการดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไปยังธนาคารแห่งประเทศไทย กรมที่ดิน กรมการขนส่งทางบก และกรมเจ้าท่า ด้วยนั้น การตอบข้อหารือนี้เป็นการให้คำแนะนำและคำปรึกษา ทางกฎหมายของคณะอนุกรรมการตอบข้อหารือฯ ตามที่ได้รับมอบหมายจากคณะกรรมการคุ้มครองข้อมูล ส่วนบุคคล ซึ่งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจะได้แจ้งความเห็นตามข้อหารือนี้ไปยัง หน่วยงานที่เกี่ยวข้องเพื่อประกอบการพิจารณาดำเนินการตามหน้าที่และอำนาจต่อไป

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-6-2569.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/03/consultation-69.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/6-2569.md

============================================================
โนด: ข้อหารือ 7/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/7-2566.md

# ข้อหารือที่ 7/2566 เรื่อง นาย A ขอความเห็นกรณีการดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคหนึ่ง, [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
2. พระราชบัญญัติสหกรณ์ พ.ศ. 2542 และที่แก้ไขเพิ่มเติม

## ข้อหารือ

นาย A ซึ่งเป็นสมาชิกสหกรณ์ออมทรัพย์ B ได้ขอความเห็นกรณีการจัดทำรายงานการประชุมของคณะกรรมการดำเนินการสหกรณ์ออมทรัพย์ B (คณะกรรมการฯ) ที่ไม่มีการใส่ชื่อผู้เข้าร่วมประชุมในรายงานการประชุม โดยระบุว่า รายชื่อของผู้เข้าร่วมประชุมเป็นไปตามเอกสารแนบ ต่อมาเมื่อได้รับการทักท้วงและสอบถามจากสมาชิก คณะกรรมการฯ ชี้แจงว่า คณะกรรมการฯ มีสิทธิที่จะทำรายงานการประชุมในลักษณะนี้ได้ เพราะผู้เข้าร่วมประชุมไม่ต้องการให้มีการเปิดเผยชื่อของตนในรายงานการประชุม โดยอ้างถึงพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

นาย A จึงขอหารือว่า คณะกรรมการฯ สามารถจัดทำรายงานการประชุมในลักษณะดังกล่าวได้หรือไม่ หากกระทำไม่ได้ การประชุมที่ผ่านมาในลักษณะเช่นนี้ จะถือว่าเป็นการประชุมที่ถูกต้องหรือไม่ และจะมีผลอย่างไรและต้องดำเนินการอย่างไร

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น 2 ประเด็น ดังนี้

**ประเด็นหารือที่หนึ่ง** การจัดทำรายงานการประชุมโดยไม่เปิดเผยรายชื่อผู้เข้าร่วมประชุม สามารถจัดทำได้หรือไม่ คณะอนุกรรมการเฉพาะกิจฯ เห็นว่า สหกรณ์ออมทรัพย์ B (สหกรณ์ฯ) เป็นนิติบุคคลตามพระราชบัญญัติสหกรณ์ พ.ศ. 2542 และที่แก้ไขเพิ่มเติม โดยมีอำนาจหน้าที่ตัดสินใจและกำหนดวัตถุประสงค์และวิธีการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (กล่าวคือ เป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md))

ซึ่งกรณีที่ขอหารือนี้ เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้เข้าร่วมประชุม เพื่อให้บรรลุวัตถุประสงค์ของการประชุมของคณะกรรมการฯ ซึ่งสหกรณ์ฯ จะต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล ทั้งนี้ ตามนัย [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคหนึ่ง ประกอบ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่ง PDPA นอกจากนี้ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้

ดังนั้น กรณีสหกรณ์ฯ ได้เก็บรวบรวมข้อมูลส่วนบุคคลของผู้เข้าร่วมประชุมให้เป็นไปตามวัตถุประสงค์ที่ได้แจ้งผู้เข้าร่วมประชุมไว้ ซึ่งรวมถึงวัตถุประสงค์ตามที่ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (1) ถึง (6) ให้อำนาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล สหกรณ์ฯ ย่อมพิจารณากระทำการเกี่ยวกับข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่ได้แจ้งไว้โดยไม่ต้องขอความยินยอมจากผู้เข้าร่วมประชุม แต่หากสหกรณ์ฯ ได้แจ้งวัตถุประสงค์ในการเก็บรวบรวมพร้อมขอความยินยอม การเปิดเผยข้อมูลส่วนบุคคลของผู้เข้าร่วมประชุมจะเข้าข่ายต้องได้รับความยินยอมในการเปิดเผยด้วย ทั้งนี้ ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

อนึ่ง คณะอนุกรรมการฯ มีข้อสังเกตว่า การที่สหกรณ์ฯ จะเปิดเผยรายชื่อผู้เข้าร่วมประชุมดังกล่าวหรือไม่นั้น เป็นดุลพินิจของสหกรณ์ฯ แต่การใช้ดุลพินิจดังกล่าวควรเป็นไปตามวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวม และต้องไม่ขัดต่อกฎหมาย กฎ หรือระเบียบที่เกี่ยวข้อง รวมถึงต้องไม่ขัดต่อเจตนารมณ์ของการจัดทำรายงานการประชุม

**ประเด็นหารือที่สอง** การไม่ใส่ชื่อผู้เข้าร่วมประชุมในรายงานการประชุมของคณะกรรมการฯ ที่ผ่านมาจะทำให้การประชุมนั้นถูกต้องหรือไม่ และจะมีผลอย่างไรและต้องดำเนินการอย่างไร คณะอนุกรรมการฯ เห็นว่า ประเด็นนี้เป็นข้อหารือเกี่ยวกับความชอบด้วยกฎหมายและความสมบูรณ์ของการประชุม ซึ่งต้องพิจารณาตามกฎหมาย กฎ หรือระเบียบที่เกี่ยวข้องกับการประชุมของสหกรณ์ฯ มิใช่การขอคำแนะนำหรือคำปรึกษาเกี่ยวกับ PDPA จึงไม่อยู่ในหน้าที่และอำนาจของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่จะพิจารณาให้ความเห็นได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-7-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-07.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/7-2566.md

============================================================
โนด: ข้อหารือ 7/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/7-2567.md

# ข้อหารือที่ 7/2567 เรื่อง สถานีตำรวจ G ขอหารือข้อกฎหมายเกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562  
[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) [มาตรา 5](https://link.pdpalawbase.com/section/5.md) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) [มาตรา 20](https://link.pdpalawbase.com/section/20.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md)  
[มาตรา 26](https://link.pdpalawbase.com/section/26.md) [มาตรา 28](https://link.pdpalawbase.com/section/28.md) [มาตรา 29](https://link.pdpalawbase.com/section/29.md) [มาตรา 30](https://link.pdpalawbase.com/section/30.md) [มาตรา 31](https://link.pdpalawbase.com/section/31.md) [มาตรา 32](https://link.pdpalawbase.com/section/32.md) [มาตรา 33](https://link.pdpalawbase.com/section/33.md) 
[มาตรา 34](https://link.pdpalawbase.com/section/34.md) [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)  
2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไข
เพิ่มเติม 
3. ประมวลกฎหมายอาญา 
มาตรา 326 และมาตรา 328 
4. ประมวลกฎหมายแพ่งและพาณิชย์ 
มาตรา 420

## ข้อหารือ

สถานีตำรวจ G แจ้งว่า มีผู้มาแจ้งความร้องทุกข์ต่อพนักงานสอบสวนสถานีตำรวจ G เพื่อให้
ดำเนินคดีกับผู้ต้องหาในความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยกล่าวหาว่า ผู้ต้องหาได้
คัดลอกภาพถ่ายใบหน้าผู้เสียหายกับครอบครัว ซึ่งเป็นภาพโปรไฟล์บน Facebook ของผู้เสียหาย ไปโพสต์ใน 
Facebook ของผู้ต้องหาในลักษณะนำไปโพสต์ประจานเรื่องไม่ชำระหนี้แก่ผู้ต้องหา โดยผู้เสียหายไม่ได้อนุญาต 
จึงหารือว่า การที่ผู้ต้องหานำภาพถ่ายของผู้เสียหายพร้อมครอบครัว ที่ปรากฏภาพใบหน้าของผู้เสียหาย 
และครอบครัวไปใช้โพสต์ทาง Facebook ซึ่งตั้งค่าสาธารณะ บุคคลทั่วไปสามารถพบเห็นภาพใบหน้าผู้เสียหาย 
และพบเห็นข้อความที่โพสต์ประจานได้โดยไม่ได้รับความยินยอมจากผู้เสียหาย การกระทำของผู้ต้องหา 
ตามข้อเท็จจริงดังกล่าวจะเป็นความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 27](https://link.pdpalawbase.com/section/27.md) 
หรือไม่ อย่างไร และในส่วนของผู้ต้องหาซึ่งเป็นบุคคลธรรมดา การที่นำภาพของผู้อื่นไปใช้โพสต์ จะเข้าคำนิยามคำ
ว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับ 
การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล 
พิจารณาแล้วเห็นว่า ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 “ข้อมูลส่วนบุคคล” 
หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึง
ข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น ภาพถ่ายบุคคลหรือข้อมูลอื่นเกี่ยวกับบุคคลที่สามารถระบุตัวบุคคลนั้นได้
ไม่ว่าทางตรงหรือทางอ้อม จึงถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ สำหรับการนำภาพถ่ายบุคคล 
หรือข้อมูลส่วนบุคคลอื่นไปโพสต์ในแอปพลิเคชัน Facebook จะอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 และมีความผิดตามพระราชบัญญัติดังกล่าวหรือไม่นั้น เห็นว่า พระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดไว้ใน [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่งว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับ
แก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร  
โดย [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่

ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยการเป็นผู้ควบคุมข้อมูลส่วนบุคคล
ดังกล่าว เมื่อพิจารณาจากบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ  
เช่น การกำหนดให้การเก็บรวบรวมข้อมูลส่วนบุคคลจะต้องมีฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) 
แล้วแต่กรณี หน้าที่ในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) 
ข้อกำหนดและเงื่อนไขเกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) และ [มาตรา 29](https://link.pdpalawbase.com/section/29.md) 
หน้าที่ในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และการแจ้งเหตุการละเมิดข้อมูล 
ส่วนบุคคล ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) หน้าที่ในการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูล
ส่วนบุคคลตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) ถึง [มาตรา 36](https://link.pdpalawbase.com/section/36.md) หน้าที่ในการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md)  
และหน้าที่ในการจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนด
ระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูล 
ส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม 
ปรากฏรายละเอียดตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) เป็นต้น จึงเห็นได้ว่า บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าว
มุ่งประสงค์จะใช้บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
อย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น  
โดยกำหนดหลักการที่สำคัญประการหนึ่งเกี่ยวกับการเก็บรวมรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่าต้องมี
ฐานทางกฎหมายตามที่กำหนดใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี และหากไม่มีฐานทางกฎหมายอื่น
ใดเพื่อใช้ในการเก็บรวมรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องได้รับความยินยอม
จากเจ้าของข้อมูลส่วนบุคคลตามหลักเกณฑ์ใน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติดังกล่าว  
และได้กำหนดหน้าที่และความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลไว้ตั้งแต่ขั้นตอนการเก็บรวบรวม
จนกระทั่งการลบหรือทำลายข้อมูลส่วนบุคคล ประกอบกับ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แห่งพระราชบัญญัติดังกล่าวได้กำหนด
ข้อยกเว้นไม่ให้นำพระราชบัญญัตินี้ไปใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคล 
ที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น 
ดังนั้น จากกรณีดังกล่าว การกระทำของผู้ต้องหาซึ่งมีฐานะเป็นบุคคลธรรมดา จะถือว่า 
เป็นการกระทำในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และจะมีความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 หรือไม่ นั้น สถานีตำรวจ G ต้องพิจารณาว่าการกระทำดังกล่าวของผู้ต้องหาเป็นการเก็บรวบรวม 
ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ผู้นั้นทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรม 
ในครอบครัวของบุคคลนั้นหรือไม่ หากพิจารณาแล้วเห็นว่า การกระทำของผู้ต้องหาดังกล่าวมีวัตถุประสงค์ 
ในการดำเนินการเพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
อย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุม 
ข้อมูลส่วนบุคคล ย่อมไม่อยู่ในขอบเขตการบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แต่อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัว
ของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิด 
ตามกฎหมายเหล่านั้นได้ เช่น พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 
และที่แก้ไขเพิ่มเติม หรือประมวลกฎหมายอาญาในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาท 
โดยการโฆษณา หรือการทำละเมิดตามมาตรา 420 แห่งประมวลกฎหมายแพ่งและพาณิชย์

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-7-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-36.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/7-2567.md

============================================================
โนด: ข้อหารือ 7/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/7-2568.md

# ข้อหารือที่ 7/2568 เรื่อง ข้อหารือของมหาวิทยาลัยนวมินทราธิราชเกี่ยวกับการส่งข้อมูลผลการตรวจสุขภาพตามนโยบายตรวจสุขภาพ 1 ล้านคน

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (1) และ (4) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) และ (ข) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ (2) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md)
2. พระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. 2553 — มาตรา 4 มาตรา 6 และมาตรา 7 (3) (4) และ (8)
3. พระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 และที่แก้ไขเพิ่มเติม — มาตรา 6 และมาตรา 89 (16)
4. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4
5. ประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ 31 ตุลาคม พ.ศ. 2528 และที่แก้ไขเพิ่มเติม — ข้อ 10 และข้อ 11 (2)
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## ข้อหารือ

มหาวิทยาลัยนวมินทราธิราช แจ้งว่า กรุงเทพมหานคร (กทม.) ขอให้มหาวิทยาลัยนวมินทราธิราชดำเนินการตรวจสุขภาพข้าราชการ บุคลากร กทม. และประชาชนทั่วไป ตามนโยบายตรวจสุขภาพ 1 ล้านคน และให้ส่งข้อมูลผลการตรวจสุขภาพที่ได้ดำเนินการ ในรูปแบบที่ปิดบังตัวตนของผู้รับการตรวจ ภายใต้มาตรฐานการคุ้มครองข้อมูลส่วนบุคคล และส่งต่อภายใต้ช่องทางที่ปลอดภัย ต่อมาทาง กทม. โดยสำนักการแพทย์ได้มีการเปลี่ยนแปลงการส่งข้อมูล ในการประชุมชี้แจงขั้นตอนการบันทึกผลการตรวจสุขภาพเมื่อวันที่ 28 มิถุนายน 2567 โดยให้มหาวิทยาลัยนวมินทราธิราชส่งข้อมูลผลการตรวจสุขภาพจากระบบ Hospital Information System ของโรงพยาบาลวชิรพยาบาล ไปยังระบบ BMA Portal โดยระบุชื่อ เลขประจำตัวประชาชน ที่อยู่ ข้อมูลด้านความเสี่ยงสุขภาพ เช่น การสูบบุหรี่/ดื่มสุรา ผลการวัดสัญญาณชีพ (vital signs) ผลการคัดกรองสุขภาพ ผลการตรวจทางห้องปฏิบัติการต่าง ๆ ฯลฯ ของผู้มารับบริการ

เนื่องจากมหาวิทยาลัยนวมินทราธิราชเป็นสถาบันอุดมศึกษาที่เป็นหน่วยงานของรัฐอยู่ในกำกับของกรุงเทพมหานคร มีฐานะเป็นนิติบุคคล มีวัตถุประสงค์เพื่อให้การศึกษา ส่งเสริมวิชาการ การวิจัย สร้างและพัฒนาวิชาการและวิชาชีพชั้นสูง รวมตลอดทั้งเผยแพร่ความรู้และส่งเสริมการแพทย์ การสาธารณสุข การบริหารจัดการเขตเมือง การปกครองส่วนท้องถิ่น การพัฒนามหานคร การทะนุบำรุงศาสนา ศิลปะ วัฒนธรรม จารีตประเพณี ภูมิปัญญาท้องถิ่น สิ่งแวดล้อม และกีฬา โดยคำนึงถึงประสบการณ์และความพร้อมในด้านต่าง ๆ ที่เป็นเอกลักษณ์ของ กทม. เพื่อตอบสนองความต้องการของประชาชนและเพื่อประโยชน์ของประเทศชาติ ตามมาตรา 4 และมาตรา 6 แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. 2553 ซึ่งมีการให้บริการด้านการแพทย์และสาธารณสุข โดยโรงพยาบาลวชิรพยาบาลซึ่งเป็นหน่วยงานในสังกัดของคณะแพทยศาสตร์วชิรพยาบาล มหาวิทยาลัยนวมินทราธิราช และมีการจัดเก็บข้อมูลของผู้มารับบริการในโรงพยาบาล ซึ่งมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงขอหารือในประเด็นดังนี้

1. การขอให้ส่งข้อมูลผลการตรวจสุขภาพจากระบบ Hospital Information System ของโรงพยาบาลวชิรพยาบาล ไปยังระบบ BMA Portal โดยระบุชื่อ เลขประจำตัวประชาชน ที่อยู่ ข้อมูลด้านความเสี่ยงสุขภาพ เช่น การสูบบุหรี่/ดื่มสุรา ผลการวัดสัญญาณชีพ (vital signs) ผลการคัดกรองสุขภาพ ผลการตรวจทางห้องปฏิบัติการต่าง ๆ ฯลฯ ของผู้มารับบริการ กทม. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลสามารถทำการเก็บรวบรวมข้อมูลส่วนบุคคลจากมหาวิทยาลัยนวมินทราธิราชที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง โดยอาศัยอำนาจตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) (2) ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ได้หรือไม่

2. มหาวิทยาลัยนวมินทราธิราชสามารถส่งข้อมูลส่วนบุคคล ตามข้อ 1 ซึ่งรวมถึงข้อมูลสุขภาพของผู้ป่วยที่มารับบริการในสถานพยาบาลในสังกัดของมหาวิทยาลัยฯ ตามที่ กทม. ร้องขอ เพื่อการนำไปใช้ในวัตถุประสงค์ตามคำประกาศเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) ของระบบเก็บข้อมูลโครงการตรวจสุขภาพล้านคนของ กทม. ข้อ 2.1 ถึง 2.4 โดยเป็นความจำเป็นในการปฏิบัติตามกฎหมายภายใต้พระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 มาตรา 89 และตามบันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาเพิ่มคุณภาพการบริการด้านการแพทย์และสาธารณสุขผ่านเทคโนโลยีดิจิทัล ข้อ 1.2 ซึ่งถือเป็นข้อยกเว้นที่ไม่จำเป็นต้องขอคำยินยอม (Consent) สำหรับข้อมูลส่วนบุคคลที่อ่อนไหว (Sensitive Personal Data) โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้หรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือ โดยมีผู้แทนมหาวิทยาลัยนวมินทราธิราชเป็นผู้ชี้แจงข้อเท็จจริงแล้วมีความเห็น ดังนี้

มหาวิทยาลัยนวมินทราธิราชต้องดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลโดยพิจารณาหลักเกณฑ์การคุ้มครองข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยในขณะเดียวกันมหาวิทยาลัยนวมินทราธิราช มีฐานะเป็นหน่วยงานของรัฐตามบทนิยามในมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 การบริหารจัดการข้อมูลข่าวสารที่อยู่ในความครอบครองหรือควบคุมดูแลของมหาวิทยาลัยนวมินทราธิราช จึงต้องถือปฏิบัติตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการด้วย ซึ่งเป็นไปตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติว่า “ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ” มหาวิทยาลัยนวมินทราธิราชจึงควรดำเนินการให้เป็นไปตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการที่ได้กำหนดเรื่องการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลข่าวสารของราชการของหน่วยงานของรัฐ รวมถึงข้อมูลข่าวสารส่วนบุคคลที่อยู่ในความครอบครองหรือควบคุมดูแลของหน่วยงานของรัฐไว้โดยเฉพาะแล้วก่อน และให้พิจารณาบทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม ในการดำเนินการต่อไป โดยในแต่ละประเด็นที่หารือมานั้น คณะอนุกรรมการตอบข้อหารือฯ มีความเห็นดังนี้

### ประเด็นข้อหารือที่ 1 (กทม. เก็บรวบรวมข้อมูลจากแหล่งอื่นโดยอาศัยฐานภารกิจรัฐ)

ประเด็นข้อหารือที่ 1 เห็นว่า กทม. เป็นราชการบริหารส่วนท้องถิ่น มีฐานะเป็นนิติบุคคล ตามมาตรา 6 แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 และมีอำนาจหน้าที่ดำเนินกิจการในเขตกรุงเทพมหานครในเรื่องต่าง ๆ ที่กฎหมายกำหนด ซึ่งรวมถึงการดำเนินกิจการในเรื่องการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาลตามมาตรา 89 (16) แห่งพระราชบัญญัติดังกล่าว โดยมีสำนักการแพทย์เป็นส่วนราชการในสังกัดที่มีอำนาจหน้าที่จัดให้มีบริการโรงพยาบาลในการตรวจรักษาพยาบาล ส่งเสริมสุขภาพ ป้องกันโรค ฟื้นฟูสุขภาพและสมรรถภาพ บริหารและจัดบริการการแพทย์ฉุกเฉินและส่งต่อผู้ป่วย เพื่อลดการบาดเจ็บและการตายจากการเจ็บป่วยของผู้ป่วย จัดการศึกษา ฝึกอบรม พัฒนาทางวิชาการด้านการแพทย์และสาธารณสุข และปฏิบัติหน้าที่อื่นที่เกี่ยวข้องหรือได้รับมอบหมาย ตามข้อ 10 ของประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ 31 ตุลาคม พ.ศ. 2528 ซึ่งแก้ไขเพิ่มเติมโดยประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ 94) ลงวันที่ 11 เมษายน พ.ศ. 2560 นอกจากนี้ สำนักการแพทย์ ยังมีสำนักงานพัฒนาระบบบริการทางการแพทย์เป็นส่วนราชการในสังกัด มีอำนาจหน้าที่วางแผน กำกับ ติดตาม วิเคราะห์และประเมินผลแผนยุทธศาสตร์ ด้านการแพทย์และสาธารณสุข พัฒนาระบบบริการสุขภาพ คุณภาพบริการ และสร้างเครือข่ายทางการแพทย์และสาธารณสุข รวมทั้งเป็นศูนย์ข้อมูลสารสนเทศทางการแพทย์ ตามข้อ 11 (2) ของประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ 31 ตุลาคม พ.ศ. 2528 ซึ่งแก้ไขเพิ่มเติมโดยประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ 97) ลงวันที่ 6 กันยายน พ.ศ. 2560 ดังนั้น กทม. จึงมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ในการดำเนินงานตามอำนาจหน้าที่ของตน ตามประเด็นที่หารือมานี้ จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามนัย [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การเก็บรวบรวมข้อมูลส่วนบุคคลจากมหาวิทยาลัยนวมินทราธิราชซึ่งเป็นอีกนิติบุคคลหนึ่งดังกล่าว ย่อมถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรงตามนัย [มาตรา 25](https://link.pdpalawbase.com/section/25.md) ซึ่งตามบทบัญญัติ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ กรณีนี้จึงมีประเด็นต้องพิจารณาก่อนว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่หารือดังกล่าวเป็นกรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี หรือไม่

เนื่องจาก กทม. โดยสำนักการแพทย์ มีความจำเป็นในการวิเคราะห์ข้อมูลในเขตพื้นที่ กทม. ซึ่งรวมถึงการประเมินสถานการณ์ อุบัติการณ์ หรือความชุกของการเกิดโรค เพื่อการวางแผนในการดำเนินการโครงการส่งเสริมสุขภาพและป้องกันโรคอย่างตรงเป้าหมายที่เหมาะสมตามพื้นที่ รวมทั้งเพื่อการจัดบริการทางการแพทย์และสาธารณสุขให้สอดคล้องกับความชุกและข้อมูลสุขภาพที่ปรากฏ (ตามที่ระบุในคำประกาศเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) ของระบบเก็บข้อมูล โครงการตรวจสุขภาพล้านคนของกรุงเทพมหานคร สุขภาพดี ปี 2) อันเป็นส่วนหนึ่งของอำนาจหน้าที่ของ กทม. รวมถึงสำนักการแพทย์ และส่วนราชการในสังกัด ในการดำเนินกิจการในเขต กทม. ในเรื่องการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาลตามมาตรา 89 (16) แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 ดังนั้น หาก กทม. เห็นว่า การเก็บรวบรวมข้อมูลจากระบบ Hospital Information System ของโรงพยาบาลวชิรพยาบาล ซึ่งเป็นสถานพยาบาลในสังกัดมหาวิทยาลัยนวมินทราธิราช ไปยังระบบ BMA Portal โดยระบุชื่อ เลขประจำตัวประชาชน ที่อยู่ ข้อมูลด้านความเสี่ยงสุขภาพ ผลการวัดสัญญาณชีพ (vital signs) ผลการคัดกรองสุขภาพ และผลการตรวจทางห้องปฏิบัติการต่าง ๆ เป็นต้น เป็นการจำเป็นเพื่อการดำเนินภารกิจตามอำนาจหน้าที่ตามกฎหมายของ กทม. ดังกล่าว กทม. ก็สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เนื่องจากเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของ กทม. หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ กทม. ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การให้บริการด้านสุขภาพหรือสังคม หรือการจัดการด้านสุขภาพ หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุข ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) และ/หรือ (ข) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว แล้วแต่กรณี รวมทั้งสามารถทำการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง เช่น จากมหาวิทยาลัยนวมินทราธิราช ได้ ตามนัย [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) แต่ กทม. จะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 รวมทั้งจะต้องจัดให้มีมาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่หรือตามจริยธรรมแห่งวิชาชีพ สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ข) ด้วย นอกจากนี้ จะต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างจำกัดเพียงเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของ กทม. ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) รวมถึงจะต้องไม่ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับมหาวิทยาลัยนวมินทราธิราชในการขอรับข้อมูลส่วนบุคคลนั้นเท่านั้น ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง เว้นแต่จะเป็นกรณีที่กฎหมายบัญญัติให้กระทำได้

### ประเด็นข้อหารือที่ 2 (มหาวิทยาลัยฯ เปิดเผยข้อมูลสุขภาพให้ กทม.)

ประเด็นข้อหารือที่ 2 เห็นว่า มหาวิทยาลัยนวมินทราธิราชเป็นสถาบันอุดมศึกษาที่เป็นหน่วยงานของรัฐอยู่ในกำกับของกรุงเทพมหานคร มีฐานะเป็นนิติบุคคล ตามมาตรา 4 แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. 2553 ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล มหาวิทยาลัยนวมินทราธิราชจึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยมหาวิทยาลัยนวมินทราธิราชมีวัตถุประสงค์ส่วนหนึ่งตามมาตรา 6 แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. 2553 ในการให้การศึกษา ส่งเสริมวิชาการ การวิจัย สร้างและพัฒนาวิชาการและวิชาชีพชั้นสูง รวมตลอดทั้งเผยแพร่ความรู้และส่งเสริมการแพทย์ การสาธารณสุข การบริหารจัดการเขตเมือง การปกครองส่วนท้องถิ่น และการพัฒนามหานคร โดยคำนึงถึงประสบการณ์และความพร้อมในด้านต่าง ๆ ที่เป็นเอกลักษณ์ของ กทม. เพื่อตอบสนองความต้องการของประชาชนและเพื่อประโยชน์ของประเทศชาติ และมหาวิทยาลัยนวมินทราธิราชมีภาระหน้าที่ในการพัฒนาองค์ความรู้ด้านการแพทย์และการสาธารณสุขทุกสาขา โดยเน้นทางด้านเวชศาสตร์เขตเมือง การพัฒนาองค์ความรู้ด้านการบริหารจัดการเขตเมือง ด้านการปกครองส่วนท้องถิ่นและพัฒนามหานคร และการให้บริการทางการแพทย์ การพยาบาล การสาธารณสุข และการบริการทางวิชาการและวิชาชีพให้เป็นที่ยอมรับในระดับประเทศและนานาชาติ ตามมาตรา 7 (3) (4) และ (8) แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. 2553 ซึ่งเป็นอำนาจหน้าที่ตามที่กฎหมายกำหนดและเป็นภารกิจที่เกี่ยวข้องกับภารกิจเพื่อประโยชน์สาธารณะ เมื่อมหาวิทยาลัยนวมินทราธิราชได้รับการขอข้อมูลจาก กทม. ให้ส่งข้อมูลส่วนบุคคลซึ่งรวมถึงข้อมูลสุขภาพของผู้ที่มารับบริการตรวจสุขภาพ ให้แก่ กทม. เนื่องจาก กทม. มีความจำเป็นในการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ ตามประเด็นข้อหารือที่ 1 ที่ได้กล่าวมาแล้วข้างต้น มหาวิทยาลัยนวมินทราธิราชจึงอาจเปิดเผยข้อมูลส่วนบุคคลดังกล่าวให้แก่ กทม. เพื่อให้บรรลุวัตถุประสงค์ดังกล่าวได้ โดยอาจพิจารณาได้ว่าการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของมหาวิทยาลัยนวมินทราธิราช หรือการปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่มหาวิทยาลัย รวมถึงเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การให้บริการด้านสุขภาพหรือด้านสังคม หรือการจัดการด้านสุขภาพ หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุข ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) และ/หรือ (ข) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ทั้งนี้ มหาวิทยาลัยนวมินทราธิราชจะต้องบันทึกการใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวไว้ในรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ถึงรายละเอียดตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ซึ่งรวมถึงวัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผยตาม (1) และประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย เช่น กทม. ตาม (4) ด้วย โดย กทม. จะต้องใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับจากมหาวิทยาลัยนวมินทราธิราช ตามวัตถุประสงค์อันชอบด้วยกฎหมายที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบตามที่ระบุไว้ในข้อ 2.1 ถึง 2.4 ของคำประกาศเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) ของระบบเก็บข้อมูล โครงการตรวจสุขภาพล้านคนของกรุงเทพมหานคร สุขภาพดี ปี 2 เท่านั้น นอกจากนี้ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว จะต้องดำเนินการเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า มหาวิทยาลัยนวมินทราธิราช และ กทม. ในฐานะที่ต่างฝ่ายต่างเป็นผู้ควบคุมข้อมูลส่วนบุคคล จะต้องปฏิบัติหน้าที่ตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายอื่นกำหนด ในส่วนที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลให้ครบถ้วนด้วย โดยเฉพาะในเรื่องการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. 2565 นอกจากนี้ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) ได้กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการเพื่อป้องกันมิให้บุคคลหรือนิติบุคคลอื่นซึ่งได้รับข้อมูลส่วนบุคคลจากผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยมหาวิทยาลัยนวมินทราธิราช และ กทม. อาจพิจารณาจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Data Sharing Agreement) ซึ่งเป็นมาตรการเชิงองค์กร (organizational measures) อย่างหนึ่งที่กำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน ไม่ว่าจะเป็นการรับและส่งข้อมูลที่เป็นเอกสารหรือเป็นการแลกเปลี่ยนข้อมูลโดยวิธีการทางอิเล็กทรอนิกส์ก็ตาม อันจะเป็นส่วนหนึ่งของมาตรการรักษาความมั่นคงปลอดภัยและคุ้มครองข้อมูลส่วนบุคคลที่เปิดเผยให้กับหน่วยงานอื่น ซึ่งทั้งสองฝ่ายย่อมสามารถหารือและตกลงร่วมกันเพื่อพิจารณาจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกันได้ตามความเหมาะสม

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-7-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/01/consultation-59.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/7-2568.md

============================================================
โนด: ข้อหารือ 8/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/8-2566.md

# ข้อหารือที่ 8/2566 เรื่อง บริษัท ฆ. ขอปรึกษาเกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (1) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม

## ข้อหารือ

บริษัท ฆ. มีวัตถุประสงค์ในกิจการบริการงานบริหารอาคาร และรับจ้างอื่น ๆ ซึ่งต้องมีการเก็บรวบรวม ใช้และเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวข้อง จึงหารือเกี่ยวกับกิจกรรมของบริษัทฯ ที่เกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยมีประเด็นดังนี้

1. กรณีบริษัทฯ มีการซื้อขายสินค้าและบริการกันระหว่างคู่สัญญาที่มีทั้งที่เป็นบุคคลธรรมดาและนิติบุคคล แต่บริษัทฯ ต้องติดต่อประสานงานกับบุคคลธรรมดา ที่เป็นลูกจ้างหรือตัวแทนของคู่สัญญา บริษัทฯ จึงมีชื่อ หมายเลขโทรศัพท์ และข้อมูลอื่น ๆ ที่เป็นข้อมูลส่วนบุคคลของบุคคลดังกล่าว บริษัทฯ ต้องขอความยินยอมจากตัวแทนของคู่สัญญาหรือไม่ เนื่องจากข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) เจ้าของข้อมูลส่วนบุคคลต้องเป็นคู่สัญญากับผู้ควบคุมข้อมูลส่วนบุคคล
2. กรณีที่บริษัทฯ รับจ้างเป็นผู้จัดการนิติบุคคลอาคารชุด/หมู่บ้านจัดสรร หรือกรณีบริษัทฯ ไม่ได้เป็นผู้จัดการนิติบุคคลฯ แต่รับจ้างบริหารอาคาร/หมู่บ้าน บริษัทฯ มีความจำเป็นต้องเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของลูกบ้าน/ผู้พักอาศัย เพื่อการออกใบแจ้งหนี้ การรักษาความปลอดภัย การระบุข้อมูลส่วนบุคคลในสติ๊กเกอร์จอดรถ การทำทะเบียนผู้พักอาศัย และการให้บริการอื่น ๆ บริษัทฯ ต้องขอความยินยอมจากลูกบ้าน/ผู้พักอาศัยทั้งหมดหรือไม่ หรือเข้าข้อยกเว้นตามอนุมาตราใด

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือแล้ว เห็นว่า

**ประเด็นหารือที่ 1** การพิจารณาฐานทางกฎหมายในการเก็บรวบรวมข้อมูลส่วนบุคคลในกรณีที่หารือ แยกได้เป็น 2 กรณี กล่าวคือ

*กรณีที่ 1* ในกรณีที่คู่ค้าหรือคู่สัญญาเป็นบุคคลธรรมดาที่เป็นเจ้าของข้อมูลส่วนบุคคล บริษัทฯ อาจใช้ฐาน "การปฏิบัติตามสัญญา" ในกรณีที่เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่ง PDPA ซึ่งรวมถึงการเก็บรวบรวมข้อมูลส่วนบุคคลก่อนที่จะมีการทำสัญญาซื้อขายสินค้าและบริการระหว่างกันเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลดังกล่าวได้ โดยไม่จำต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

*กรณีที่ 2* การที่บริษัทฯ เก็บรายชื่อ หมายเลขโทรศัพท์ และข้อมูลส่วนบุคคลอื่นที่เกี่ยวข้องของลูกจ้างหรือตัวแทนของนิติบุคคลที่เป็นคู่สัญญาเพื่อการติดต่อประสานงาน จัดส่งใบเสนอราคาและเอกสารต่าง ๆ ตามคำขอของลูกจ้างหรือตัวแทนของนิติบุคคลนั้น — ในกรณีดังกล่าว บุคคลดังกล่าวข้างต้นไม่ใช่คู่สัญญาของบริษัทฯ บริษัทฯ จึงไม่สามารถอ้างฐาน "การปฏิบัติตามสัญญา" ในการเก็บรวบรวมข้อมูลส่วนบุคคลได้ ในกรณีนี้บริษัทฯ อาจพิจารณาใช้ฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ในกรณีที่เป็นการจำเป็น "เพื่อประโยชน์โดยชอบด้วยกฎหมาย" ของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งประโยชน์ดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลพึงตระหนักว่าการดำเนินการดังกล่าวควรใช้ความระมัดระวัง เพื่อคุ้มครองประโยชน์และป้องกันผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลโดยตรง และหลีกเลี่ยงการใช้ข้อมูลเกินความคาดหวังปกติในบริบทของการติดต่อทางธุรกิจ

อนึ่ง ในกรณีที่บริษัทฯ เก็บรวมรวบข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) อันได้แก่ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกัน บริษัทฯ ต้องพิจารณาว่ามีฐานทางกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) เพิ่มเติมด้วย

**ประเด็นหารือที่ 2** กรณีที่บริษัทฯ รับจ้างเป็นผู้จัดการนิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรร หรือได้รับจ้างบริหารอาคารชุด/หมู่บ้านจัดสรร มีการเก็บรวบรวมข้อมูลส่วนบุคคลของผู้พักอาศัย เพื่อการออกใบแจ้งหนี้ การรักษาความปลอดภัย การระบุข้อมูลในสติ๊กเกอร์จอดรถ การทำทะเบียนผู้พักอาศัย และการให้บริการอื่น ๆ ซึ่งการดำเนินการดังกล่าวของบริษัทฯ เป็นการดำเนินการในฐานะผู้รับจ้างซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล (นิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรร) ในกรณีนี้ บริษัทฯ ไม่ใช่บุคคลธรรมดาหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล บริษัทฯ จึงไม่มีฐานะเป็น "ผู้ควบคุมข้อมูลส่วนบุคคล" แต่มีฐานะเป็น "ผู้ประมวลผลข้อมูลส่วนบุคคล" ตาม PDPA

ตาม PDPA ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องมีฐานทางกฎหมายตามที่กำหนดไว้ใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี หน้าที่ในการเก็บรวบรวมข้อมูลส่วนบุคคลที่มีฐานทางกฎหมายดังกล่าวเป็นหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล ไม่ใช่หน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคล บริษัทฯ จึงไม่จำเป็นต้องได้รับความยินยอมหรือมีฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แต่หน้าที่ดังกล่าวเป็นของนิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรรที่ต้องเก็บรวบรวมข้อมูลส่วนบุคคลมาโดยชอบด้วยกฎหมาย

สำหรับกรณีที่บริษัทฯ ได้มีนิติสัมพันธ์เป็นผู้รับจ้าง (outsource) บริษัทฯ จึงมีฐานะเป็นเพียงผู้ประมวลผลข้อมูลส่วนบุคคล และมีหน้าที่ต้องดำเนินการตามคำสั่งที่ได้รับจากนิติบุคคลอาคารชุด/นิติบุคคลหมู่บ้านจัดสรรในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (1) ตลอดจนมีหน้าที่อื่นตามที่ PDPA กำหนดให้เป็นหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคล นอกจากนี้ ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลระหว่างกันเพื่อควบคุมการดำเนินงานตามสัญญาที่เป็นหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามที่กำหนดไว้ใน PDPA ตามนัย [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสามด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-8-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-08.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/8-2566.md

============================================================
โนด: ข้อหารือ 8/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/8-2567.md

# ข้อหารือที่ 8/2567 เรื่อง สถานีตำรวจ H ขอหารือข้อกฎหมายเกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562  
[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) [มาตรา 5](https://link.pdpalawbase.com/section/5.md) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) [มาตรา 20](https://link.pdpalawbase.com/section/20.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md)  
[มาตรา 26](https://link.pdpalawbase.com/section/26.md) [มาตรา 28](https://link.pdpalawbase.com/section/28.md) [มาตรา 29](https://link.pdpalawbase.com/section/29.md) [มาตรา 30](https://link.pdpalawbase.com/section/30.md) [มาตรา 31](https://link.pdpalawbase.com/section/31.md) [มาตรา 32](https://link.pdpalawbase.com/section/32.md) [มาตรา 33](https://link.pdpalawbase.com/section/33.md) 
[มาตรา 34](https://link.pdpalawbase.com/section/34.md) [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)  
2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไข
เพิ่มเติม 
3. ประมวลกฎหมายอาญา 
มาตรา 326 และมาตรา 328 
4. ประมวลกฎหมายแพ่งและพาณิชย์ 
มาตรา 420

## ข้อหารือ

สถานีตำรวจ H แจ้งว่า พนักงานสอบสวน สถานีตำรวจ H ได้มีความเห็นสั่งฟ้องสำนวนการ
สอบสวนคดีในข้อหา “เปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม โดยประการที่น่าจะทำให้ผู้อื่นเกิด
ความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย” และได้ส่งสำนวนการสอบสวนไป
ยังพนักงานอัยการ A ต่อมา เมื่อวันที่ 1 มิถุนายน 2566 พนักงานอัยการ A ได้มีหนังสือสอบสวนเพิ่มเติมครั้งที่ 2 
มายังพนักงานสอบสวนสถานีตำรวจ H เพื่อให้ส่งหนังสือสอบถามคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล  
ให้มีความเห็นว่า “ตามข้อเท็จจริงในคดีนี้ เมื่อผู้ต้องหาว่าจ้างผู้เสียหายซึ่งเป็นผู้รับเหมาต่อเติมบ้าน แต่ผู้ต้องหา
เห็นว่าผู้รับเหมาทำงานไม่ดี จึงโพสต์ภาพผลงาน ความเห็น และภาพสำเนาบัตรประจำตัวประชาชน 
ของผู้รับเหมาลงใน Facebook ของผู้ต้องหาออกสู่สาธารณะ โดยสำเนาบัตรของผู้รับเหมางานได้มาเมื่อมีการทำ
สัญญาจ้างเหมากันนั้น จะถือว่าผู้ต้องหาเป็นผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งได้กระทำความผิดภายใต้การบังคับใช้
กฎหมายนี้หรือไม่ อย่างไร หากไม่อยู่ภายใต้กฎหมายนี้ ด้วยเหตุผลใด อย่างไร ให้ละเอียดชัดเจนไปตามรูปคดี 
จึงขอให้วินิจฉัยปัญหาที่เกิดจากการใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตามข้อเท็จจริง
ดังกล่าวข้างต้น เพื่อความสะดวกในการสอบสวน และพนักงานสอบสวนจะได้ดำเนินการในส่วนที่เกี่ยวข้อง
ต่อไป

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับ 
การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล 
พิจารณาแล้วเห็นว่า ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 “ข้อมูลส่วนบุคคล” 
หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึง
ข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น ภาพสำเนาบัตรประจำตัวประชาชนหรือข้อมูลอื่นเกี่ยวกับบุคคล 
ที่สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม จึงถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ 
สำหรับการนำภาพสำเนาบัตรประจำตัวประชาชนหรือข้อมูลส่วนบุคคลอื่นไปโพสต์ในแอปพลิเคชัน Facebook 

จะอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และมีความผิด 
ตามพระราชบัญญัติดังกล่าวหรือไม่นั้น เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด
ไว้ใน [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่งว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล 
ส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร โดย [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดว่า “ผู้ควบคุมข้อมูล 
ส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้  
หรือเปิดเผยข้อมูลส่วนบุคคล โดยการเป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว เมื่อพิจารณาจากบทบัญญัติ 
แห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ เช่น การกำหนดให้การเก็บรวบรวมข้อมูล
ส่วนบุคคลจะต้องมีฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี หน้าที่ในการแจ้ง
วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ข้อกำหนดและเงื่อนไข
เกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) และ [มาตรา 29](https://link.pdpalawbase.com/section/29.md) หน้าที่ในการจัดให้มี
มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) 
(1) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) หน้าที่ในการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) 
ถึง [มาตรา 36](https://link.pdpalawbase.com/section/36.md) หน้าที่ในการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) และหน้าที่ในการจัดให้มี
ระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา  
หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่
เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม ปรากฏรายละเอียด 
ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) เป็นต้น จึงเห็นได้ว่า บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าวมุ่งประสงค์จะใช้
บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบ 
หรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งขององค์กรหรือของบุคคลนั้น โดยกำหนดหลักการ
ที่สำคัญประการหนึ่งเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่าต้องมีฐานทางกฎหมาย 
ตามที่กำหนดใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี และหากไม่มีฐานทางกฎหมายอื่นใดเพื่อใช้ในการเก็บ
รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องได้รับความยินยอมจากเจ้าของข้อมูล
ส่วนบุคคลตามหลักเกณฑ์ใน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติดังกล่าว และได้กำหนดหน้าที่และ
ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลไว้ตั้งแต่ขั้นตอนการเก็บรวบรวมจนกระทั่งการลบ 
หรือทำลายข้อมูลส่วนบุคคล ประกอบกับ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แห่งพระราชบัญญัติดังกล่าวได้กำหนดข้อยกเว้นไม่ให้
นำพระราชบัญญัตินี้ไปใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บ
รวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น 
ดังนั้น จากกรณีดังกล่าว การกระทำของผู้ต้องหาซึ่งมีฐานะเป็นบุคคลธรรมดา จะถือว่า 
เป็นการกระทำในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และจะมีความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 หรือไม่ นั้น สถานีตำรวจ H ต้องพิจารณาว่าการกระทำดังกล่าวของผู้ต้องหาเป็นการเก็บรวบรวม 
ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ผู้นั้นทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรม 
ในครอบครัวของบุคคลนั้นหรือไม่ หากพิจารณาแล้วเห็นว่า การกระทำของผู้ต้องหาดังกล่าวมีวัตถุประสงค์ 
ในการดำเนินการเพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล 
อย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุม
ข้อมูลส่วนบุคคล ย่อมไม่อยู่ในขอบเขตการบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัว
ของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิด 
ตามกฎหมายเหล่านั้นได้ เช่น พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 

และที่แก้ไขเพิ่มเติม หรือประมวลกฎหมายอาญาในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาท 
โดยการโฆษณา หรือการทำละเมิดตามมาตรา 420 แห่งประมวลกฎหมายแพ่งและพาณิชย์

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-8-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-37.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/8-2567.md

============================================================
โนด: ข้อหารือ 8/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/8-2568.md

# ข้อหารือที่ 8/2568 เรื่อง ข้อหารือของสำนักการแพทย์ กรุงเทพมหานคร ในการรวบรวมและการประมวลผลข้อมูลสุขภาพของสถานพยาบาลในพื้นที่กรุงเทพมหานคร

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 21](https://link.pdpalawbase.com/section/21.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) และ (ข) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 และที่แก้ไขเพิ่มเติม — มาตรา 6 และมาตรา 89 (3) และ (16)
3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4
4. ประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ 31 ตุลาคม พ.ศ. 2528 และที่แก้ไขเพิ่มเติม — ข้อ 10 และข้อ 11 (2)
5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## ข้อหารือ

สำนักการแพทย์ กรุงเทพมหานคร แจ้งว่า กรุงเทพมหานคร (กทม.) มีอำนาจหน้าที่ด้านการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาล ตามพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 มาตรา 89 (16) โดยมีสำนักการแพทย์เป็นหน่วยงานในสังกัดที่ได้รับมอบหมายในการจัดให้มีบริการโรงพยาบาลในการตรวจรักษาพยาบาล ส่งเสริมสุขภาพ ป้องกันโรค ฟื้นฟูสุขภาพและสมรรถภาพ รวมถึงการพัฒนาระบบบริการสุขภาพ คุณภาพบริการ และสร้างเครือข่ายทางการแพทย์และสาธารณสุข ตามประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ 94) ลงวันที่ 11 เมษายน พ.ศ. 2560 และ (ฉบับที่ 97) ลงวันที่ 6 กันยายน พ.ศ. 2560 ปัจจุบัน สำนักการแพทย์มีความจำเป็นที่จะต้องใช้ประโยชน์จากข้อมูลส่วนบุคคลและข้อมูลอ่อนไหวของประชาชนผู้มารักษาพยาบาล จากสถานพยาบาลในเขต กทม. ทั้งภาครัฐและภาคเอกชน ให้เป็นไปตามอำนาจหน้าที่ของคณะกรรมการพัฒนาระบบข้อมูลสุขภาพดิจิทัลกรุงเทพมหานคร (Health Data Center) สำหรับประเมินสถานการณ์หรืออุบัติการณ์ของการเกิดโรค การสร้างเสริมสุขภาพ การจัดบริการทางการแพทย์รวมถึงทรัพยากรที่จำเป็นในสถานการณ์ที่แตกต่างกัน เพื่อนำมาวิเคราะห์และวางแผนการบริหารจัดการระบบบริการทางการแพทย์ในพื้นที่ กทม. ทั้งทางด้านบุคลากร สถานที่ อุปกรณ์ และครุภัณฑ์ทางการแพทย์ที่จำเป็นให้เพียงพอต่อการให้บริการประชาชน ทั้งในสถานการณ์ปกติและภาวะฉุกเฉิน โดยคำนึงถึงความคุ้มค่าและเกิดประโยชน์สูงสุด ซึ่งจากการดำเนินงานในช่วงที่ผ่านมาพบว่าสถานพยาบาลต่าง ๆ ไม่สามารถเปิดเผยข้อมูลส่วนบุคคลแก่สำนักการแพทย์ได้ เนื่องจากมีข้อกังวลเรื่องอำนาจหน้าที่และความรับผิดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ในการนี้ เพื่อให้บรรลุวัตถุประสงค์ สำนักการแพทย์จึงขอหารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในประเด็นต่าง ๆ ดังนี้

1. กทม. สามารถใช้ฐานภารกิจของรัฐ (Public Task) เป็นฐานทางกฎหมายในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลและข้อมูลอ่อนไหวของประชาชน จากสถานพยาบาลของรัฐและเอกชนในพื้นที่ กทม. เพื่อมาใช้ในการวางแผนการบริหารจัดการระบบบริการทางการแพทย์และสาธารณสุข ภายใต้อำนาจหน้าที่ของ กทม. ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ข) ได้หรือไม่

2. หากไม่สามารถกระทำการตามข้อ 1 ได้ จะสามารถใช้ฐานทางกฎหมายใดหรือมีข้อเสนอแนะอื่นใดเพื่อให้สำนักการแพทย์สามารถดำเนินการให้บรรลุวัตถุประสงค์ได้อย่างสะดวก รวดเร็ว และชอบด้วยกฎหมาย

ต่อมา สำนักการแพทย์ กรุงเทพมหานคร ได้มีหนังสือขอชี้แจงเพิ่มเติม สรุปความในส่วนที่เกี่ยวข้องได้ว่า กทม. มีนโยบายในการรวบรวมข้อมูลสุขภาพจากสถานพยาบาลอื่นในพื้นที่ กทม. เพื่อนำมาใช้ประโยชน์ในการกำหนดนโยบายสุขภาพ และวางแผนการบริหารจัดการระบบบริการทางการแพทย์และสาธารณสุขในพื้นที่ กทม. ซึ่งปัจจุบันยังมิได้มีการดำเนินการรวบรวมข้อมูลดังกล่าว โดยได้ขอหารือการรวบรวมและการประมวลผลข้อมูลสุขภาพของสถานพยาบาลในพื้นที่ กทม. จากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลก่อนการดำเนินการ ทั้งนี้ กทม. ไม่มีนโยบายเปิดเผยข้อมูลดังกล่าวให้แก่บุคคลใด ยกเว้นการส่งข้อมูลให้กระทรวงสาธารณสุขเพื่อนำไปใช้ในการกำหนดนโยบายระดับประเทศเท่านั้น

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือ โดยได้รับทราบข้อเท็จจริงเพิ่มเติมจากผู้แทนสำนักการแพทย์ กรุงเทพมหานคร แล้ว มีความเห็นว่า กทม. เป็นราชการบริหารส่วนท้องถิ่น มีฐานะเป็นนิติบุคคล ตามมาตรา 6 แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 และเป็นหน่วยงานของรัฐตามบทนิยามในมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 การบริหารจัดการข้อมูลข่าวสารที่อยู่ในความครอบครองหรือควบคุมดูแลของ กทม. จึงต้องถือปฏิบัติตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการด้วย ซึ่งเป็นไปตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติว่า “ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ” กทม. จึงควรดำเนินการให้เป็นไปตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ และให้พิจารณาบทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม ในการดำเนินการดังกล่าวต่อไป อย่างไรก็ตาม ในส่วนที่เกี่ยวข้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องจากพิจารณาตามข้อเท็จจริงได้ว่า ในการดำเนินการตามวัตถุประสงค์ที่หารือมานั้น กทม. มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ในการดำเนินงานตามอำนาจหน้าที่ กทม. จึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยคณะอนุกรรมการตอบข้อหารือฯ มีความเห็นในแต่ละประเด็น ดังนี้

### ประเด็นข้อหารือที่ 1 (ฐานภารกิจของรัฐในการเก็บรวบรวมข้อมูลสุขภาพ)

ประเด็นข้อหารือที่ 1 เห็นว่า กทม. มีอำนาจหน้าที่ดำเนินกิจการในเขต กทม. ในเรื่องต่าง ๆ ตามที่กฎหมายกำหนด ซึ่งรวมถึงการดำเนินกิจการในเรื่องการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาลตามมาตรา 89 (16) แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 โดยมีสำนักการแพทย์เป็นส่วนราชการในสังกัดที่มีอำนาจหน้าที่จัดให้มีบริการโรงพยาบาลในการตรวจรักษาพยาบาล ส่งเสริมสุขภาพ ป้องกันโรค ฟื้นฟูสุขภาพและสมรรถภาพ บริหารและจัดบริการการแพทย์ฉุกเฉินและส่งต่อผู้ป่วย เพื่อลดการบาดเจ็บและการตายจากการเจ็บป่วยของผู้ป่วย จัดการศึกษา ฝึกอบรม พัฒนาทางวิชาการด้านการแพทย์และสาธารณสุข และปฏิบัติหน้าที่อื่นที่เกี่ยวข้องหรือได้รับมอบหมาย ตามข้อ 10 ของประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ 31 ตุลาคม พ.ศ. 2528 ซึ่งแก้ไขเพิ่มเติมโดยประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ 94) ลงวันที่ 11 เมษายน พ.ศ. 2560 นอกจากนี้ สำนักการแพทย์ ยังมีสำนักงานพัฒนาระบบบริการทางการแพทย์เป็นส่วนราชการในสังกัด มีอำนาจหน้าที่วางแผน กำกับ ติดตาม วิเคราะห์และประเมินผลแผนยุทธศาสตร์ ด้านการแพทย์และสาธารณสุข พัฒนาระบบบริการสุขภาพ คุณภาพบริการ และสร้างเครือข่ายทางการแพทย์และสาธารณสุข รวมทั้งเป็นศูนย์ข้อมูลสารสนเทศทางการแพทย์ ตามข้อ 11 (2) ของประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ 31 ตุลาคม พ.ศ. 2528 ซึ่งแก้ไขเพิ่มเติมโดยประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ 97) ลงวันที่ 6 กันยายน พ.ศ. 2560

การที่ กทม. โดยสำนักการแพทย์ มีความจำเป็นต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของประชาชนที่มารักษาพยาบาลหรือรับบริการด้านสุขภาพจากสถานพยาบาลต่าง ๆ ในพื้นที่ กทม. ทั้งสถานพยาบาลของรัฐในสังกัดต่าง ๆ และสถานพยาบาลเอกชน เพื่อวัตถุประสงค์ในการประเมินสถานการณ์หรืออุบัติการณ์ของการเกิดโรค การสร้างเสริมสุขภาพ การจัดบริการทางการแพทย์ การวิเคราะห์และวางแผนการบริหารจัดการระบบบริการทางการแพทย์และสาธารณสุข รวมถึงทรัพยากรที่จำเป็น ทั้งทางด้านบุคลากร สถานที่ อุปกรณ์ และครุภัณฑ์ทางการแพทย์ให้เพียงพอต่อการให้บริการประชาชน ทั้งในสถานการณ์ปกติและภาวะฉุกเฉิน นั้น ถือเป็นอำนาจหน้าที่ของ กทม. และส่วนราชการในสังกัด ในการดำเนินกิจการในเรื่องการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาลตามมาตรา 89 (16) แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. 2528 รวมทั้งอาจเกี่ยวข้องกับการดำเนินกิจการในเรื่องการป้องกันและบรรเทาสาธารณภัยตามมาตรา 89 (3) ด้วย จึงถือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของ กทม. หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ กทม. การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าวของ กทม. จึงได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพและความพิการ จากสถานพยาบาลต่าง ๆ ในเขต กทม. นั้น เมื่อ กทม. ดำเนินการตามวัตถุประสงค์ข้างต้น จึงเป็นไปตามอำนาจหน้าที่ที่กฎหมายกำหนด จึงถือว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การให้บริการด้านสุขภาพหรือสังคม หรือการจัดการด้านสุขภาพ หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุข กทม. จึงสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) และ/หรือ (ข) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างไรก็ตาม ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว กทม. จะต้องจัดให้มีมาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่หรือตามจริยธรรมแห่งวิชาชีพด้วย

นอกจากนี้ เมื่อได้พิจารณาแล้วว่า การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าวของ กทม. เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวของ กทม. ซึ่งถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง จึงสามารถกระทำได้ตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) ด้วย

### ประเด็นข้อหารือที่ 2 (ฐานทางกฎหมายทางเลือก)

ประเด็นข้อหารือที่ 2 เมื่อคณะอนุกรรมการตอบข้อหารือฯ ได้ให้ความเห็นในประเด็นหารือที่ 1 แล้วว่า กทม. โดยสำนักการแพทย์ สามารถเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของประชาชนที่มารักษาพยาบาลในสถานพยาบาลในเขต กทม. เพื่อใช้ในการวางแผนบริหารจัดการระบบบริการทางการแพทย์และสาธารณสุขตามที่ขอหารือได้ โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) และ/หรือ (ข) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงไม่มีความจำเป็นต้องพิจารณาให้ความเห็นในประเด็นข้อหารือที่ 2 อีก

อย่างไรก็ตาม คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า กทม. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล จะต้องพิจารณาเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของ กทม. ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และควรประสานงานกับสถานพยาบาลในเขต กทม. ที่จะเปิดเผยข้อมูลส่วนบุคคลมายัง กทม. ให้มีการแจ้งรายละเอียดซึ่งรวมถึงวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อเปิดเผยให้กับ กทม. ดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) หรือมีการแจ้งวัตถุประสงค์ใหม่ที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้เดิมให้เจ้าของข้อมูลส่วนบุคคลทราบแล้วตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) รวมทั้งจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 นอกจากนี้ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ตามที่หารือดังกล่าว กทม. ควรพิจารณาดำเนินการตามอำนาจหน้าที่ที่กฎหมายกำหนด โดยคำนึงถึงความเชื่อมโยงกับการดำเนินงานตามอำนาจหน้าที่ของกระทรวงสาธารณสุขด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-8-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/12/consultation-60.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/8-2568.md

============================================================
โนด: ข้อหารือ 9/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/9-2566.md

# ข้อหารือที่ 9/2566 เรื่อง บริษัท ญ. ขอหารือเรื่อง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 4 (5)

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
2. พระราชบัญญัติว่าด้วยความผิดอันเกิดจากการใช้เช็ค พ.ศ. 2534

## ข้อหารือ

ผู้หารือในฐานะที่ปรึกษากฎหมายของบริษัท ญ. และเป็นทนายความในการดำเนินคดีต่าง ๆ ให้กับบริษัทฯ ด้วย โดยปกติลูกค้าที่ซื้อสินค้าจากบริษัทฯ ได้ชำระเงินค่าสินค้าโดยสั่งจ่ายเป็นเช็คให้แก่บริษัทฯ หากเช็คของลูกค้าถูกธนาคารปฏิเสธการจ่ายเงิน บริษัทฯ ในฐานะผู้เสียหายตามกฎหมาย ก็จะดำเนินคดีกับลูกค้าในความผิดอาญาตามพระราชบัญญัติว่าด้วยความผิดอันเกิดจากการใช้เช็ค พ.ศ. 2534 โดยใช้ทนายความประจำบริษัทฯ เป็นผู้ฟ้องคดีต่อศาล มิได้นำเช็คไปแจ้งความร้องทุกข์ต่อพนักงานสอบสวนแต่ประการใด และโดยปกติหากทนายที่รับเรื่องไม่สามารถทราบได้ชัดเจนว่าผู้สั่งจ่ายเช็คชื่ออะไร ก็จะสอบถามไปทางธนาคาร ซึ่งที่ผ่านมาบริษัทฯ ได้รับความร่วมมือเป็นอย่างดี

แต่ปัจจุบันนับแต่มี PDPA ธนาคารจะไม่ยอมบอกชื่อผู้ลงลายมือชื่อสั่งจ่ายในเช็คให้แก่ทนายความของบริษัทฯ ทราบ แม้ทางบริษัทฯ จะอ้างว่า หากไม่บอก บริษัทฯ จะไม่สามารถฟ้องตัวผู้กระทำความผิดได้ ทำให้เกิดความเสียหายก็ตาม ก็ไม่ได้รับการแจ้งข้อมูลเพื่อประกอบการดำเนินคดี

ทั้งนี้ จากการตรวจสอบข้อกฎหมายทราบว่า [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) แห่ง PDPA ได้บัญญัติยกเว้นไม่ให้พระราชบัญญัตินี้ใช้บังคับแก่ "การพิจารณาพิพากษาคดีของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา" ซึ่งผู้หารือมีความเห็นว่า ผู้เสียหายที่แต่งตั้งทนายความยื่นฟ้องคดีอาญาเอง น่าจะอยู่ในขอบข่ายข้อยกเว้นดังกล่าว เช่น ก่อนจะฟ้องคดี ทนายของผู้เสียหายจะต้องไปคัดทะเบียนราษฎรที่สำนักงานเขตหรืออำเภอ เพื่อทราบชื่อ ที่อยู่ของจำเลยที่จะถูกฟ้อง ซึ่งสำนักงานเขตหรืออำเภอจะให้คัดสำเนาข้อมูลของบุคคลได้

จึงขอหารือว่า การดำเนินการดังกล่าวข้างต้นของบริษัทฯ จะสามารถปรับเข้ากับข้อยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) ในส่วนที่บัญญัติว่า "รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา" ได้หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า บทบัญญัติตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) แห่ง PDPA ซึ่งกำหนดไม่ใช้บังคับแก่การพิจารณาพิพากษาคดีของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา ทั้งนี้ กระบวนการยุติธรรมทางอาญาครอบคลุมตั้งแต่กระบวนการเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา การพิจารณาความผิดอาญา และการลงโทษผู้กระทำความผิดอาญา **แต่จะต้องเป็นการดำเนินงานของเจ้าหน้าที่ที่เกี่ยวข้องในกระบวนการยุติธรรมทางอาญาเท่านั้น**

สำหรับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของทนายความ และ/หรือผู้เสียหาย ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล:
- ในบางกิจกรรมที่เป็นส่วนหนึ่งของกระบวนการพิจารณาพิพากษาคดีของศาล เช่น การแถลงต่อศาลซึ่งอยู่ในระหว่างกระบวนการพิจารณาพิพากษาคดี — ย่อมเข้าข้อยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5)
- แต่การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลโดยทนายความ และ/หรือผู้เสียหาย เพื่อรวบรวมพยานหลักฐาน เพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ตลอดจนข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา ซึ่งเป็นกระบวนการก่อนการฟ้องคดีและการพิจารณาพิพากษาคดี และไม่ได้เป็นการดำเนินการโดยเจ้าหน้าที่ที่เกี่ยวข้องในกระบวนการยุติธรรมทางอาญา **ไม่เข้าลักษณะตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5)** กรณีจึงไม่ได้รับยกเว้นไม่ให้นำ PDPA มาใช้บังคับ

อย่างไรก็ดี คณะอนุกรรมการฯ มีข้อสังเกตว่า ธนาคารในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับชื่อของผู้ลงลายมือชื่อสั่งจ่ายเช็ค โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่ง PDPA เนื่องจากเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญา

ดังนั้น กรณีตามข้อหารือนี้ เมื่อธนาคารได้รับคำขอข้อมูลดังกล่าวจากทนายความ และ/หรือผู้เสียหาย จึงควรพิจารณาว่า การขอข้อมูลส่วนบุคคลเกี่ยวกับเจ้าของบัญชีหรือผู้ลงลายมือชื่อสั่งจ่ายเช็คโดยทนายความ และ/หรือผู้เสียหาย เพื่อรวบรวมพยานหลักฐานในการฟ้องคดี อาจเป็นกรณีที่ธนาคารสามารถเปิดเผยได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลหรือไม่ เช่น พิจารณาว่าเป็นกรณีที่เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ธนาคารพิจารณาแล้วเห็นว่า ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง จึงไม่เปิดเผยข้อมูลส่วนบุคคลนั้น หรือมีกฎหมายอื่นกำหนดให้ธนาคารต้องเปิดเผยข้อมูลส่วนบุคคลดังกล่าวตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ธนาคารก็ปฏิบัติตามกฎหมายที่เกี่ยวข้องดังกล่าวต่อไป

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-9-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-09.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/9-2566.md

============================================================
โนด: ข้อหารือ 9/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/9-2567.md

# ข้อหารือที่ 9/2567 เรื่อง สถานีตำรวจ J ขอหารือการละเมิดข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562  
[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) [มาตรา 5](https://link.pdpalawbase.com/section/5.md) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) [มาตรา 20](https://link.pdpalawbase.com/section/20.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md)  
[มาตรา 26](https://link.pdpalawbase.com/section/26.md) [มาตรา 28](https://link.pdpalawbase.com/section/28.md) [มาตรา 29](https://link.pdpalawbase.com/section/29.md) [มาตรา 30](https://link.pdpalawbase.com/section/30.md) [มาตรา 31](https://link.pdpalawbase.com/section/31.md) [มาตรา 32](https://link.pdpalawbase.com/section/32.md) [มาตรา 33](https://link.pdpalawbase.com/section/33.md)  
[มาตรา 34](https://link.pdpalawbase.com/section/34.md) [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) [มาตรา 37](https://link.pdpalawbase.com/section/37.md) และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md)  
2. พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม 
3. ประมวลกฎหมายอาญา 
มาตรา 326 และมาตรา 328 
4. ประมวลกฎหมายแพ่งและพาณิชย์ 
มาตรา 420

## ข้อหารือ

สถานีตำรวจ J แจ้งว่า มีผู้เสียหายได้ร้องทุกข์กับพนักงานสอบสวนขอให้ดำเนินคดีกับผู้ต้องหา 
กรณีนำข้อมูลที่ทำให้สามารถระบุตัวบุคคลได้อันเป็นข้อมูลส่วนบุคคลตามกฎหมายและยังเป็นข้อมูลเกี่ยวกับ
ประวัติอาชญากรรมของผู้เสียหายที่ผู้เสียหายถูกกล่าวหาว่าได้กระทำความผิดต่อกฎหมายไปโพสต์ลงบน 
Facebook ของผู้ต้องหา ซึ่งเปิดการมองเห็นเป็นสาธารณะ โดยผู้เสียหายไม่ได้ยินยอมให้ผู้ต้องหาเป็นผู้เก็บ
รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทำให้บุคคลทั่วไปที่ได้พบเห็นโพสต์ดังกล่าวเข้าใจผู้เสียหายผิด  
ทำให้เสื่อมเสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง เพราะเหตุที่ได้พบและอ่านข้อความเอกสารตามโพสต์ดังกล่าว 
เนื่องจากผู้อ่านไม่อาจเข้าใจถึงสาเหตุที่แท้จริง ผู้เสียหายจึงร้องทุกข์ให้พนักงานสอบสวนดำเนินคดีกับผู้ต้องหาเพื่อให้
ได้รับโทษตามกฎหมาย ซึ่งพนักงานสอบสวนได้รับคำร้องทุกข์ไว้สอบสวนตามกฎหมายแล้ว แต่เนื่องจาก
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายใหม่ ซึ่งคำนิยาม “ผู้ควบคุมข้อมูลส่วนบุคคล” 
ตามพระราชบัญญัติดังกล่าว นักกฎหมายรวมทั้งพนักงานสอบสวนต่างก็ตีความและมีความเห็นต่างกัน จึงขอหารือ
และขอทราบความเห็นว่า การกระทำของผู้ต้องหาดังกล่าวข้างต้นเป็นความผิดตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับ 
การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล 
พิจารณาแล้วเห็นว่า ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 “ข้อมูลส่วนบุคคล” 
หมายความว่า ข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึง
ข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ดังนั้น ภาพสำเนาเอกสารหรือข้อมูลอื่นเกี่ยวกับบุคคลที่สามารถระบุตัวบุคคลนั้นได้
ไม่ว่าทางตรงหรือทางอ้อม จึงถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ สำหรับการนำภาพสำเนาเอกสารหรือ
ข้อมูลส่วนบุคคลอื่นไปโพสต์ในแอปพลิเคชัน Facebook จะอยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 และมีความผิดตามพระราชบัญญัติดังกล่าวหรือไม่นั้น เห็นว่า พระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดไว้ใน [มาตรา 5](https://link.pdpalawbase.com/section/5.md) วรรคหนึ่งว่า พระราชบัญญัติดังกล่าวให้ใช้บังคับแก่การเก็บ
รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร โดย [มาตรา 6](https://link.pdpalawbase.com/section/6.md) 
กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการ
เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยการเป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว เมื่อพิจารณา 
จากบทบัญญัติแห่งกฎหมายที่กำหนดหน้าที่และความรับผิดชอบไว้หลายประการ เช่น การกำหนดให้การเก็บ
รวบรวมข้อมูลส่วนบุคคลจะต้องมีฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี หน้าที่ในการแจ้ง
วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ข้อกำหนดและเงื่อนไขเกี่ยวกับการส่ง
หรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) และ [มาตรา 29](https://link.pdpalawbase.com/section/29.md) หน้าที่ในการจัดให้มีมาตรการรักษา
ความมั่นคงปลอดภัยที่เหมาะสม และการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) 
(4) หน้าที่ในการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 30](https://link.pdpalawbase.com/section/30.md) ถึง [มาตรา 36](https://link.pdpalawbase.com/section/36.md) หน้าที่ใน
การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) และหน้าที่ในการจัดให้มีระบบการตรวจสอบ 
เพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกิน
ความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ 
หรือที่เจ้าของข้อมูลส่วนบุคคลได้ถอนความยินยอม ปรากฏรายละเอียดตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) เป็นต้น จึงเห็นได้ว่า 
บทบัญญัติและเจตนารมณ์แห่งกฎหมายดังกล่าวมุ่งประสงค์จะใช้บังคับแก่บุคคลธรรมดาหรือนิติบุคคลที่มีการเก็บ
รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือเป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่าง
หนึ่งขององค์กรหรือของบุคคลนั้น โดยกำหนดหลักการที่สำคัญประการหนึ่งเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลว่าต้องมีฐานทางกฎหมายตามที่กำหนดใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี  
และหากไม่มีฐานทางกฎหมายอื่นใดเพื่อใช้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูล
ส่วนบุคคลต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามหลักเกณฑ์ใน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)  
แห่งพระราชบัญญัติดังกล่าว และได้กำหนดหน้าที่และความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลไว้ตั้งแต่
ขั้นตอนการเก็บรวบรวมจนกระทั่งการลบหรือทำลายข้อมูลส่วนบุคคล ประกอบกับ [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แห่งพระราชบัญญัติ
ดังกล่าวได้กำหนดข้อยกเว้นไม่ให้นำพระราชบัญญัตินี้ไปใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล 
ส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว 
ของบุคคลนั้นเท่านั้น  
ดังนั้น จากกรณีดังกล่าว การกระทำของผู้ต้องหาซึ่งมีฐานะเป็นบุคคลธรรมดา จะถือว่า 
เป็นการกระทำในฐานะผู้ควบคุมข้อมูลส่วนบุคคล และจะมีความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 หรือไม่ นั้น สถานีตำรวจ J ต้องพิจารณาว่าการกระทำดังกล่าวของผู้ต้องหาเป็นการเก็บรวบรวม ใช้ 
หรือเปิดเผยข้อมูลส่วนบุคคลที่ผู้นั้นทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัว 
ของบุคคลนั้นหรือไม่ หากพิจารณาแล้วเห็นว่า การกระทำของผู้ต้องหาดังกล่าวมีวัตถุประสงค์ในการดำเนินการ
เพื่อประโยชน์ส่วนตน โดยไม่มีลักษณะเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างเป็นระบบหรือ
เป็นประจำสม่ำเสมอเพื่อวัตถุประสงค์อย่างใดอย่างหนึ่งของบุคคลนั้นในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมไม่อยู่
ในขอบเขตการบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (1) แต่อย่างไรก็ดี 
หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้า
องค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้นได้ เช่น พระราชบัญญัติ
ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม หรือประมวลกฎหมายอาญา 
ในความผิดฐานหมิ่นประมาทหรือหมิ่นประมาทโดยการโฆษณา หรือการทำละเมิดตามมาตรา 420 แห่งประมวล
กฎหมายแพ่งและพาณิชย์

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-9-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/06/PDPC-consultation-38.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/9-2567.md

============================================================
โนด: ข้อหารือ 9/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/9-2568.md

# ข้อหารือที่ 9/2568 เรื่อง สำนักงานคณะกรรมการข้าราชการพลเรือนหารือเกี่ยวกับข้อกฎหมายตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4 และมาตรา 15 (5)
3. พระราชบัญญัติระเบียบข้าราชการพลเรือน พ.ศ. 2551 และที่แก้ไขเพิ่มเติม — มาตรา 63 วรรคหนึ่ง
4. กฎ ก.พ. ว่าด้วยการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญไปแต่งตั้งให้ดำรงตำแหน่งข้าราชการพลเรือนสามัญตำแหน่งประเภทวิชาการในหรือต่างกระทรวงหรือกรม พ.ศ. 2564
5. หนังสือสำนักงาน ก.พ. ที่ นร 1006/ว 14 ลงวันที่ 11 สิงหาคม 2564 เรื่อง หลักเกณฑ์ วิธีการ และเงื่อนไขการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญเพื่อแต่งตั้งให้ดำรงตำแหน่งประเภทวิชาการ (ปัจจุบันถูกยกเลิกแล้ว)
6. หนังสือสำนักงาน ก.พ. ที่ นร 1006/ว 5 ลงวันที่ 22 มีนาคม 2567 เรื่อง หลักเกณฑ์ วิธีการ และเงื่อนไขการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญเพื่อแต่งตั้งให้ดำรงตำแหน่งประเภทวิชาการ

## ข้อหารือ

สำนักงานคณะกรรมการข้าราชการพลเรือน (สำนักงาน ก.พ.) แจ้งว่า พระราชบัญญัติระเบียบข้าราชการพลเรือน พ.ศ. 2551 มาตรา 63 วรรคหนึ่ง บัญญัติว่า การย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญไปแต่งตั้งให้ดำรงตำแหน่งข้าราชการพลเรือนสามัญในหรือต่างกระทรวงหรือกรม แล้วแต่กรณี ให้เป็นไปตามที่กำหนดในกฎ ก.พ. โดยกฎ ก.พ. ว่าด้วยการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญไปแต่งตั้งให้ดำรงตำแหน่งข้าราชการพลเรือนสามัญตำแหน่งประเภทวิชาการในหรือต่างกระทรวงหรือกรม พ.ศ. 2564 ประกอบหนังสือสำนักงาน ก.พ. ที่ นร 1006/ว 14 ลงวันที่ 11 สิงหาคม 2564 ได้กำหนดหลักเกณฑ์ วิธีการ และเงื่อนไขการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญไปแต่งตั้งให้ดำรงตำแหน่งข้าราชการพลเรือนสามัญตำแหน่งประเภทวิชาการในหรือต่างกระทรวงหรือกรม ไว้ในส่วนของการประเมินบุคคลเพื่อเลื่อนข้าราชการขึ้นแต่งตั้งให้ดำรงตำแหน่งในระดับที่สูงขึ้น โดยให้ อ.ก.พ. กรม หรือ อ.ก.พ. กระทรวง มีหน้าที่และอำนาจประการหนึ่งคือ การจัดให้มีการประกาศรายชื่อผู้ได้รับการคัดเลือกตำแหน่งละหนึ่งคน โดยในประกาศให้ระบุชื่อและเค้าโครงผลงานรวมทั้งข้อเสนอแนวคิดที่จะเสนอขอประเมิน สัดส่วนของผลงานในส่วนที่ตนเองปฏิบัติ และรายชื่อผู้ร่วมจัดทำผลงาน (ถ้ามี)

ซึ่งได้มีส่วนราชการหารือมายังสำนักงาน ก.พ. ว่าผลงานของข้าราชการที่เสนอเข้ารับการประเมินอาจจะมีชื่อเรื่องหรือเนื้อหาเกี่ยวพันกับบุคคลภายนอก เช่น การจัดเก็บภาษีห้างหุ้นส่วนจำกัด การสอบสวนวินัยข้าราชการที่อาจปรากฏชื่อผู้ถูกกล่าวหา ซึ่งเป็นข้อมูลส่วนบุคคลที่มิใช่ข้อมูลส่วนบุคคลของตัวข้าราชการผู้ขอรับการประเมิน หากต้องดำเนินการตามหลักเกณฑ์ วิธีการ และเงื่อนไขที่ ก.พ. กำหนดดังกล่าวจะถือว่าเป็นการดำเนินการที่ขัดแย้งหรือไม่เป็นไปตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ อย่างไร ทั้งนี้ สำนักงาน ก.พ. พิจารณาแล้วเห็นว่า เจตนารมณ์ที่ ก.พ. กำหนดให้มีการประกาศเค้าโครงผลงานของผู้ที่ผ่านการประเมินบุคคลเป็นไปเพื่อป้องกันมิให้เกิดการลอกเลียนผลงานหรือนำผลงานของผู้อื่นมาเป็นของตนแต่เพียงผู้เดียว ซึ่งเป็นกลไกหนึ่งที่ช่วยในเรื่องความโปร่งใสและตรวจสอบได้ในการดำเนินการคัดเลือกบุคคลเพื่อเลื่อนขึ้นแต่งตั้งให้ดำรงตำแหน่งในระดับที่สูงขึ้น

ดังนั้น จึงขอหารือว่า การดำเนินการในส่วนของการประกาศเค้าโครงผลงานของส่วนราชการตามหลักเกณฑ์ วิธีการ และเงื่อนไขการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญไปแต่งตั้งให้ดำรงตำแหน่งข้าราชการพลเรือนสามัญตำแหน่งประเภทวิชาการในหรือต่างกระทรวงหรือกรม ตามหนังสือสำนักงาน ก.พ. ที่ นร 1006/ว 14 ลงวันที่ 11 สิงหาคม 2564 ซึ่งเป็นการดำเนินการตามมาตรา 63 แห่งพระราชบัญญัติระเบียบข้าราชการพลเรือน พ.ศ. 2551 จะถือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้รับมอบแก่ผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งเป็นข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาประเด็นข้อหารือแล้ว เห็นว่า สำนักงาน ก.พ. เป็นหน่วยงานของรัฐตามบทนิยามในมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 การบริหารจัดการข้อมูลข่าวสารที่อยู่ในความครอบครองหรือควบคุมดูแลของสำนักงาน ก.พ. จะต้องถือปฏิบัติตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการด้วย ซึ่งเป็นไปตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่กำหนดว่า “ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ” ดังนั้น สำนักงาน ก.พ. ควรดำเนินการให้เป็นไปตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการที่ได้กำหนดเรื่องการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลข่าวสารของราชการของหน่วยงานของรัฐ รวมถึงข้อมูลข่าวสารส่วนบุคคลที่อยู่ในความครอบครองหรือควบคุมดูแลของหน่วยงานของรัฐไว้โดยเฉพาะแล้วก่อน และให้พิจารณาบทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติมในการดำเนินการดังกล่าวต่อไป

สำหรับการพิจารณาตามประเด็นข้อหารือของสำนักงาน ก.พ. พบว่า ขณะที่ตอบข้อหารือนี้ ได้มีการยกเลิกหลักเกณฑ์ วิธีการ และเงื่อนไขการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญเพื่อแต่งตั้งให้ดำรงตำแหน่งประเภทวิชาการ ตามหนังสือสำนักงาน ก.พ. ที่ นร 1006/ว 14 ลงวันที่ 11 สิงหาคม 2564 แล้ว โดยสำนักงาน ก.พ. ได้กำหนดให้ใช้หลักเกณฑ์ วิธีการ และเงื่อนไขตามหนังสือสำนักงาน ก.พ. ที่ นร 1006/ว 5 ลงวันที่ 22 มีนาคม 2567 แทน ซึ่งได้มีการกำหนดให้ อ.ก.พ. กรม หรือ อ.ก.พ. กระทรวง จัดให้มีการประกาศรายชื่อผู้ได้รับการคัดเลือกตำแหน่งละ 1 คน โดยในประกาศให้ระบุชื่อและเค้าโครงผลงาน รวมทั้งข้อเสนอแนวคิดที่จะเสนอขอประเมิน สัดส่วนของผลงานในส่วนที่ตนเองปฏิบัติและรายชื่อผู้ร่วมจัดทำผลงาน (ถ้ามี) ซึ่งถือเป็นการปฏิบัติตามพระราชบัญญัติระเบียบข้าราชการพลเรือน พ.ศ. 2551 มาตรา 63 วรรคหนึ่ง ประกอบกฎ ก.พ. ว่าด้วยการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญไปแต่งตั้งให้ดำรงตำแหน่งข้าราชการพลเรือนสามัญตำแหน่งประเภทวิชาการในหรือต่างกระทรวงหรือกรม พ.ศ. 2564 อันเป็นการที่สำนักงาน ก.พ. ตลอดจนส่วนราชการที่เกี่ยวข้อง ปฏิบัติหน้าที่ตามที่กฎหมายกำหนดเพื่อป้องกันมิให้เกิดการลอกเลียนผลงานหรือนำผลงานของผู้อื่นมาเป็นของตนแต่เพียงผู้เดียว ซึ่งเป็นกลไกหนึ่งที่ช่วยในเรื่องความโปร่งใสและตรวจสอบได้

ดังนั้น ส่วนราชการที่เกี่ยวข้อง ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล จึงอาจเปิดเผยชื่อและเค้าโครงผลงาน รวมทั้งข้อเสนอแนวคิดที่จะเสนอขอประเมิน สัดส่วนของผลงานในส่วนที่ตนเองปฏิบัติและรายชื่อผู้ร่วมจัดทำผลงาน (ถ้ามี) ในประกาศรายชื่อผู้ได้รับการคัดเลือกได้ แม้อาจจะมีข้อมูลส่วนบุคคลของบุคคลอื่นก็ตาม ซึ่งถือเป็นการดำเนินการเพื่อการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ซึ่งเป็นฐานทางกฎหมายที่ทำให้ผู้ควบคุมข้อมูลส่วนบุคคลได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ในการใช้หรือเปิดเผยข้อมูลส่วนบุคคล ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว อย่างไรก็ตาม สำนักงาน ก.พ. และส่วนราชการที่เกี่ยวข้อง จะต้องเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย ตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งควรพิจารณาเปิดเผยข้อมูลข่าวสารของราชการให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ด้วย โดยคำนึงถึงการปฏิบัติหน้าที่ตามกฎหมายของส่วนราชการ ประโยชน์สาธารณะ และประโยชน์ของเอกชนที่เกี่ยวข้องประกอบกัน โดยเฉพาะในกรณีที่เป็นข้อมูลข่าวสารส่วนบุคคลซึ่งการเปิดเผยจะเป็นการรุกล้ำสิทธิส่วนบุคคลของบุคคลอื่นโดยไม่สมควร ตามมาตรา 15 (5) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540

นอกจากนี้ คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) บุคคลภายนอกที่ถูกระบุชื่อในเค้าโครงผลงาน หรือมีข้อมูลส่วนบุคคลปรากฏอยู่ในประกาศรายชื่อผู้ได้รับการคัดเลือกดังกล่าว ในฐานะที่เป็นเจ้าของข้อมูลส่วนบุคคล มีสิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตนเมื่อใดก็ได้ เว้นแต่ผู้ควบคุมข้อมูลส่วนบุคคลได้แสดงให้เห็นถึงเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น หรือเป็นไปเพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย ทั้งนี้ ตาม [มาตรา 32](https://link.pdpalawbase.com/section/32.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำนักงาน ก.พ. และส่วนราชการที่เกี่ยวข้อง จึงควรพิจารณาการเปิดเผยข้อมูลส่วนบุคคลตามหลักเกณฑ์ วิธีการ และเงื่อนไขการย้าย การโอน หรือการเลื่อนข้าราชการพลเรือนสามัญเพื่อแต่งตั้งให้ดำรงตำแหน่งประเภทวิชาการดังกล่าว ให้มีความเหมาะสม โดยคำนึงถึงสิทธิในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-9-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/12/consultation-61.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/9-2568.md

============================================================
โนด: ข้อหารือ 10/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/10-2566.md

# ข้อหารือที่ 10/2566 เรื่อง บริษัท ย. ขอความอนุเคราะห์ข้อมูลและแนวทาง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (6)
2. พระราชบัญญัติการปฏิบัติราชการทางอิเล็กทรอนิกส์ พ.ศ. 2565
3. พระราชบัญญัติธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 และที่แก้ไขเพิ่มเติม
4. ระเบียบสำนักนายกรัฐมนตรี ว่าด้วยงานสารบรรณ พ.ศ. 2526 และที่แก้ไขเพิ่มเติม

## ข้อหารือ

บริษัท ย. แจ้งว่า บริษัทฯ เป็นผู้ประกอบธุรกิจพาณิชย์อิเล็กทรอนิกส์ให้บริการบนแพลตฟอร์มออนไลน์ ได้มีความร่วมมือและการประสานงานต่าง ๆ กับภาครัฐ เพื่อสนับสนุนผู้ประกอบการในการกระตุ้นเศรษฐกิจไทยมาอย่างสม่ำเสมอ รวมทั้งบริษัทฯ ได้ปฏิบัติตามแนวทางกำกับดูแลของหน่วยงานรัฐต่าง ๆ โดยเฉพาะพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตามหลักธรรมาภิบาลโดยเคร่งครัด

ที่ผ่านมา เมื่อบริษัทฯ ได้รับการประสานงานจากภาครัฐด้วยการส่งหนังสือราชการ (จดหมายตราครุฑ) เพื่อขอข้อมูลรายละเอียดร้านค้า และ/หรือข้อมูลผู้ประกอบการบนแพลตฟอร์ม รายละเอียดผู้สั่งสินค้า รายละเอียดผู้รับสินค้า รายละเอียดคำสั่งซื้อ อาทิ ชื่อ นามสกุล ผู้ประกอบการร้านค้า รวมถึงสำเนาบัตรประชาชน ที่อยู่ร้านค้า เลขที่บัญชี และสำเนาสมุดบัญชี บริษัทฯ จะดำเนินการจัดส่งข้อมูลกลับให้หน่วยงานราชการโดยเร็วที่สุด

อย่างไรก็ดี ปัจจุบันเพื่อให้การให้ความร่วมมือและประสานงานกับภาครัฐเป็นไปอย่างมีประสิทธิภาพและสะดวกรวดเร็วยิ่งขึ้น บริษัทฯ จึงมีแนวทางเพื่อเปิดช่องทางการติดต่อประสานงานในระบบอิเล็กทรอนิกส์ โดยให้เจ้าหน้าที่ภาครัฐในส่วนงานกำกับดูแลที่ได้รับการแต่งตั้งหรืออนุมัติจากต้นสังกัด สามารถขอข้อมูลผ่านหนังสืออิเล็กทรอนิกส์ตามที่อยู่ที่แจ้งบริษัทฯ ไว้โดยไม่ต้องแนบหนังสือราชการ (จดหมายตราครุฑ)

บริษัทฯ จึงขอหารือว่า การแจ้งกลับข้อมูลตามที่ได้รับการร้องขอในรูปแบบนี้ จะขัดต่อ PDPA หรือไม่ หากขัดต่อข้อกฎหมาย บริษัทฯ ขอทราบแนวทางปฏิบัติภายใต้พระราชบัญญัติดังกล่าว

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า บริษัทฯ เป็นนิติบุคคลตามประมวลกฎหมายแพ่งและพาณิชย์ มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่ง PDPA

กรณีที่ขอหารือเกี่ยวกับการใช้แบบหนังสือภายนอกที่มีกระดาษตราครุฑ ตามระเบียบสำนักนายกรัฐมนตรี ว่าด้วยงานสารบรรณ พ.ศ. 2526 และที่แก้ไขเพิ่มเติม ในการติดต่อระหว่างส่วนราชการหรือหน่วยงานของรัฐกับบริษัทฯ เพื่อเป็นการพิสูจน์ความน่าเชื่อถือและเป็นการยืนยันตัวตน รวมถึงเพื่อให้ไม่สามารถปฏิเสธความรับผิด อันถือเป็นส่วนหนึ่งของรูปแบบพิธีของทางราชการสำหรับการติดต่อระหว่างส่วนราชการหรือหน่วยงานของรัฐที่มีไปถึงหน่วยงานอื่น **แต่ไม่ได้หมายความว่าการดำเนินการด้วยวิธีการทางอิเล็กทรอนิกส์จะไม่สามารถกระทำได้** โดยจะต้องพิจารณาหลักเกณฑ์การปฏิบัติในเรื่องดังกล่าวภายใต้พระราชบัญญัติการปฏิบัติราชการทางอิเล็กทรอนิกส์ พ.ศ. 2565 และพระราชบัญญัติธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 และที่แก้ไขเพิ่มเติม ซึ่งได้เพิ่มเติมรูปแบบพิธีสำหรับวิธีการติดต่อของส่วนราชการหรือหน่วยงานของรัฐ เพื่อติดต่อราชการกับบุคคลภายนอก

ดังนั้น บริษัทฯ จึงอาจถือหนังสือราชการดังกล่าวเป็นเอกสารหลักฐานของทางราชการ ตามระเบียบสำนักนายกรัฐมนตรี ว่าด้วยงานสารบรรณ พ.ศ. 2526 และที่แก้ไขเพิ่มเติม และ/หรืออาจติดต่อหรือส่งเรื่องถึงกันโดยวิธีการทางอิเล็กทรอนิกส์ตามกฎหมายว่าด้วยการปฏิบัติราชการทางอิเล็กทรอนิกส์ก็ได้

ทั้งนี้ บริษัทฯ ควรตรวจสอบให้ชัดเจนว่า การขอข้อมูลด้วยการติดต่อหรือส่งเรื่องถึงกันโดยวิธีการทางอิเล็กทรอนิกส์ดังกล่าวเป็นการติดต่อจากเจ้าหน้าที่ของรัฐของส่วนราชการหรือหน่วยงานของรัฐที่มีหน้าที่และอำนาจตามกฎหมายหรือมีอำนาจกระทำการแทนส่วนราชการหรือหน่วยงานของรัฐจริงหรือไม่ เพราะการเปิดเผยข้อมูลส่วนบุคคลให้กับเจ้าหน้าที่ของรัฐหรือส่วนราชการหรือหน่วยงานของรัฐที่มีหน้าที่และอำนาจตามกฎหมาย ถือเป็นการดำเนินการที่ได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (6) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) ถึง (จ) แล้วแต่กรณี ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่ง PDPA

นอกจากนี้ บริษัทฯ มีหน้าที่ต้องบันทึกรายการให้ครอบคลุมการใช้หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อให้เป็นไปตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม ประกอบ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (6) แห่ง PDPA ด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-10-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-10.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/10-2566.md

============================================================
โนด: ข้อหารือ 10/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/10-2567.md

# ข้อหารือที่ 10/2567 เรื่อง สมาคมธนาคารไทย ขอหารือการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
      [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคหนึ่งและวรรคสอง [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง วรรคสาม และวรรคสี่ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)  
      [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) และ (5) (ก) และ (จ) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม  
      [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้า [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) [มาตรา 73](https://link.pdpalawbase.com/section/73.md) และ [มาตรา 95](https://link.pdpalawbase.com/section/95.md) 
2. พระราชบัญญัติบริษัทมหาชนจำกัด พ.ศ. 2535  
      มาตรา 68 (3) 
3. พระราชบัญญัติธุรกิจสถาบันการเงิน พ.ศ. 2551 
มาตรา 24 (2) และ (10) และมาตรา 58 
4. พระราชบัญญัติป้องกันและปราบปรามการสนับสนุนทางการเงินแก่การก่อการร้ายและการแพร่ขยาย
อาวุธที่มีอานุภาพทำลายล้างสูง พ.ศ. 2559 
5. พระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 
6. ประกาศธนาคารแห่งประเทศไทย ที่ สนส. 3/2564 เรื่อง หลักเกณฑ์การพิจารณาให้ความเห็นชอบ
การแต่งตั้งกรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน บริษัทแม่
ของสถาบันการเงิน และบริษัทลูกที่ประกอบธุรกิจทางการเงิน 
ข้อ 5.3.1 (1) (2) และ (3) 
7. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับ
การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของ
หน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566 
     ข้อ 3 ข้อ 5 และข้อ 9

## ข้อหารือ

สมาคมธนาคารไทยแจ้งว่า ธุรกิจสถาบันการเงินสมาชิกจัดเป็นธุรกิจอันเป็นที่ไว้วางใจ 
ของประชาชน ซึ่งการจัดตั้ง การขอใบอนุญาต และการประกอบธุรกิจของสถาบันการเงินสมาชิกจะอยู่ภายใต้ 
การกำกับดูแลโดยธนาคารแห่งประเทศไทยตามที่พระราชบัญญัติธุรกิจสถาบันการเงิน พ.ศ. 2551 กำหนด  
ผู้ที่จะเป็นพนักงานของสถาบันการเงินสมาชิกจึงมีความจำเป็นที่จะต้องเกี่ยวข้องกับการบริหารจัดการทรัพย์สิน
และการดูแลทรัพย์สินของผู้ฝากเงินหรือเจ้าของบัญชีอย่างไม่อาจหลีกเลี่ยงได้ ดังนั้น การเข้าเป็นพนักงาน 
ของสถาบันการเงินสมาชิกที่มีหน้าที่เกี่ยวข้องกับการบริหารสินทรัพย์ของประชาชนจึงต้องมีความซื่อสัตย์สุจริต
อย่างยิ่งและต้องมีความรับผิดชอบต่อระบบเศรษฐกิจ ในการรับผู้สมัครงานเข้าเป็นพนักงานของสถาบันการเงิน
สมาชิก สถาบันการเงินสมาชิกจึงจำเป็นต้องกำหนดให้ผู้สมัครคัดสำเนาประวัติอาชญากรรมของตนเองมายื่นต่อ
สถาบันการเงินสมาชิกอย่างช้าที่สุดในวันเริ่มทำงานวันแรก หรือลงนามในหนังสือยินยอมให้สถาบันการเงินสมาชิก
ตรวจสอบประวัติอาชญากรรมของผู้สมัครกับกองทะเบียนประวัติอาชญากร สำนักงานตำรวจแห่งชาติ เพื่อใช้ใน
การพิจารณารับบุคคลเข้าทำงาน หรือการตรวจสอบคุณสมบัติ ลักษณะต้องห้าม หรือพิจารณาความเหมาะสม 
ของบุคคลที่จะให้ดำรงตำแหน่ง แต่เนื่องด้วยประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์
เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำ
ภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566 (“ประกาศฯ”) ได้กำหนดหลักเกณฑ์
เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำ
ภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมายซึ่งอาจมีผลกระทบต่อแนวทางการดำเนินงาน 
ของสถาบันการเงินสมาชิก ดังนั้น เพื่อให้การดำเนินงานของสถาบันการเงินสมาชิกต่าง ๆ ในการเก็บรวบรวมข้อมูล
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมสอดคล้องกับเงื่อนไขที่กำหนดในประกาศฯ และหน้าที่ในฐานะองค์กร 
อันเป็นที่ไว้วางใจของประชาชน สมาคมธนาคารไทยในนามของสถาบันการเงินสมาชิก จึงขอหารือ 
มายังคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เพื่อขอให้ตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้
ประกาศฯ ฉบับดังกล่าวเพื่อประโยชน์ของสมาชิกในการปฏิบัติให้สอดคล้องกับกฎหมายที่เกี่ยวข้องใน 5 ประเด็น

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็นในแต่ละประเด็น ดังนี้ 
ประเด็นที่ 1 ความหมายของ “ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม” 
1.1 การจัดเก็บเอกสารต้นฉบับหรือสำเนาเอกสารจากกองทะเบียนประวัติอาชญากร สำนักงาน
ตำรวจแห่งชาติ หรือหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย ในกรณีดังต่อไปนี้ 
 (ก) หากเอกสารดังกล่าวมีการบันทึกว่า “ไม่พบประวัติอาชญากรรม” หรือข้อความอื่นในทำนอง
เดียวกัน เอกสารดังกล่าวถือว่าเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศฯ หรือไม่ 
บทนิยามตามข้อ 3 ของประกาศฯ ซึ่งออกตามความใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม หมายความถึง 
ข้อมูลส่วนบุคคลเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทาง
อาญาที่เป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการ
ดำเนินการดังกล่าว ทั้งนี้ ไม่ว่าการดำเนินการนั้นจะถึงที่สุดแล้วหรือไม่ก็ตาม ดังนั้น การจัดเก็บเอกสารต้นฉบับ 
หรือสำเนาเอกสารจากกองทะเบียนประวัติอาชญากร สำนักงานตำรวจแห่งชาติ หรือหน่วยงานที่มีอำนาจหน้าที่
ตามกฎหมาย ที่ระบุว่า “ไม่พบประวัติอาชญากรรม” หรือข้อความอื่นในทำนองเดียวกัน โดยไม่มีการเชื่อมโยง 
หรืออาจเชื่อมโยงไปยังข้อมูลส่วนบุคคลอื่นใดที่เกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนิน
คดีอาญา หรือการรับโทษทางอาญา จึงไม่ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม 
ตามประกาศนี้ และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
(ข) หากเอกสารดังกล่าวมีการบันทึกว่า “โจทก์ถอนฟ้อง” / “อัยการสั่งไม่ฟ้อง” / “พิพากษา 
ให้รอลงอาญา” / “อยู่ระหว่างการอุทธรณ์” หรือข้อความอื่นในทำนองเดียวกัน เอกสารดังกล่าวถือว่าเป็นข้อมูล
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศฯ หรือไม่ 
เนื่องจากข้อเท็จจริงดังกล่าวปรากฏข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการถอนฟ้อง การสั่งไม่ฟ้อง 
การดำเนินการที่อยู่ในกระบวนพิจารณาคดี หรือการรับโทษ หากเป็นกรณีที่เกี่ยวกับการกระทำความผิดอาญา 
คดีอาญา หรือโทษทางอาญา ย่อมถือเป็นส่วนหนึ่งของการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนิน
คดีอาญา หรือการรับโทษทางอาญา ตามบทนิยามของคำว่า “ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม”  
ในข้อ 3 ของประกาศฯ ดังนั้น การจัดเก็บเอกสารต้นฉบับหรือสำเนาเอกสารจากกองทะเบียนประวัติอาชญากร 
สำนักงานตำรวจแห่งชาติ หรือหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมายในกรณีดังกล่าว จึงถือเป็นการเก็บรวบรวม
ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศนี้ 
1.2 ในกรณีที่หน่วยงานมีการนำข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมมาบันทึกในระบบ
ของสถาบันการเงินสมาชิกว่าพนักงานรายนั้น ๆ “พบประวัติอาชญากรรม” หรือ “ไม่พบประวัติอาชญากรรม” 
หรือ “ผ่านกระบวนการตรวจประวัติอาชญากรรมเรียบร้อยแล้ว” หรือ “ผ่านการตรวจคุณสมบัติเรียบร้อยแล้ว” 
โดยไม่ได้ให้รายละเอียดใด ๆ เพิ่มเติมเกี่ยวกับพฤติกรรมการกระทำความผิดหรือบทกำหนดโทษ การบันทึก 
ลงระบบในลักษณะดังกล่าวข้างต้น ถือว่าเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศฯ หรือไม่ 
การที่หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลนำข้อมูลส่วนบุคคลที่เป็นข้อมูลที่เป็นทางการ
หรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมาย มาบันทึกในระบบของสถาบันการเงินสมาชิกว่า
พนักงานรายใดพบประวัติอาชญากรรมหรือไม่ หรือผ่านกระบวนการตรวจสอบประวัติอาชญากรรมแล้วหรือไม่ 
โดยไม่ได้ให้รายละเอียดใด ๆ เพิ่มเติมเกี่ยวกับข้อเท็จจริงและพฤติการณ์ในการกระทำความผิดหรือการรับโทษ 
อาจพิจารณาได้เป็น 2 กรณี ดังนี้ 
(1) สำหรับการบันทึกว่าพบประวัติอาชญากรรม หรือข้อความอื่นในทำนองเดียวกัน แม้ไม่ได้
ปรากฏข้อเท็จจริงและพฤติการณ์ในการกระทำความผิดอาญาหรือการรับโทษทางอาญา ก็ถือได้ว่าเป็นการเก็บ
รวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศนี้แล้ว เนื่องจากเป็นข้อมูลส่วนบุคคล 
ตามบทนิยามตามข้อ 3 ของประกาศฯ 
(2) สำหรับการบันทึกว่าไม่พบประวัติอาชญากรรม หรือผ่านกระบวนการตรวจประวัติ
อาชญากรรมเรียบร้อยแล้ว หรือผ่านการตรวจคุณสมบัติเรียบร้อยแล้ว หรือข้อความอื่นในทำนองเดียวกัน  
โดยไม่มีการเชื่อมโยงหรืออาจเชื่อมโยงไปยังข้อมูลส่วนบุคคลอื่นใดที่เกี่ยวกับการสืบสวนสอบสวนการกระทำ
ความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา ข้อมูลส่วนบุคคลดังกล่าวไม่ถือเป็นข้อมูล 
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศนี้ ตามที่ได้ให้ความเห็นไว้ในประเด็นที่ 1.1 (ก) 
 ประเด็นที่ 2 ขอบเขตการใช้บังคับของประกาศฯ ในเชิงเงื่อนเวลา 
 2.1 ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่เก็บรวบรวมมาก่อนวันที่ประกาศฯ  
จะมีผลใช้บังคับ สถาบันการเงินสมาชิกมีหน้าที่ต้องดำเนินการตามเงื่อนไขต่าง ๆ ที่กำหนดในประกาศฯ หรือไม่ 
อาทิ ระยะเวลาการจัดเก็บไม่เกิน 6 เดือน (ในกรณีที่สถาบันการเงินสมาชิกไม่มีบทบัญญัติแห่งกฎหมายใดบัญญัติ
ไว้เป็นการเฉพาะ และไม่มีความจำเป็นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในการเก็บรวบรวมข้อมูล
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามที่กำหนดไว้ในข้อ 9 ของประกาศฯ)   
 กรณีที่สถาบันการเงินสมาชิกได้เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม 
ก่อนวันที่ประกาศฯ จะมีผลใช้บังคับ ซึ่งข้อมูลเหล่านี้ถูกจัดเก็บอยู่ในคลังเอกสารและไม่ได้ถูกนำออกมาใช้อีกเลย 
และเมื่อประกาศฯ มีผลใช้บังคับแล้ว ขอหารือว่าสถาบันการเงินสมาชิกมีความจำเป็นต้องดำเนินการลบ 
หรือทำลายข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเหล่านี้ที่ครบหรือเกินกว่าระยะเวลา 6 เดือนทันทีหรือไม่ 
2.2 ในกรณีที่สถาบันการเงินสมาชิกมีหน้าที่ต้องปฏิบัติตามข้อ 9 ของประกาศฯ ระยะเวลา 6 
เดือน ให้นับแต่วันที่ประกาศฯ มีผลใช้บังคับ (ข้อมูลส่วนบุคคลเก็บรวบรวมมาก่อนวันที่ประกาศฯ จะมีผลใช้บังคับ) 
หรือให้นับจากวันที่ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมดังกล่าวไม่มีความจำเป็นตามกฎหมายว่าด้วยการ
คุ้มครองข้อมูลส่วนบุคคลในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเพื่อการดำเนินการ 
ตามข้อ 5 วรรคหนึ่ง 
สำหรับประเด็นข้อหารือที่ 2.1 และที่ 2.2 เกี่ยวกับข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม
ที่ได้เก็บรวบรวมมาก่อนวันที่ประกาศฯ ใช้บังคับ อาจแยกพิจารณาได้เป็น 2 กรณี ดังนี้ 
 (1) กรณีข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่ได้เก็บรวบรวมไว้ก่อนวันที่
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้บังคับ ซึ่งผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวบรวม
และใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิมตาม [มาตรา 95](https://link.pdpalawbase.com/section/95.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 แต่การเปิดเผยและการดำเนินการอื่นที่มิใช่การเก็บรวบรวมและการใช้ข้อมูล 
ส่วนบุคคล ต้องเป็นไปตามบทบัญญัติแห่งพระราชบัญญัตินี้ ตาม [มาตรา 95](https://link.pdpalawbase.com/section/95.md) วรรคสอง ดังนั้น ผู้ควบคุมข้อมูล 
ส่วนบุคคลจึงมีหน้าที่ในการจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลดังกล่าวเมื่อ
พ้นกำหนดระยะเวลาการเก็บรักษาตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) ด้วย โดยระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรมย่อมเป็นไปตามข้อ 9 ของประกาศฯ ซึ่งกำหนดว่า สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคล
นั้นเพื่อการดำเนินการตามวัตถุประสงค์ในข้อ 5 วรรคหนึ่งของประกาศฯ หากไม่มีบทบัญญัติแห่งกฎหมาย 
ใดบัญญัติไว้เป็นการเฉพาะ และไม่มีความจำเป็นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ตลอดจน 
ไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลเป็นอย่างอื่น ให้เก็บรวบรวมไว้ได้อีกไม่เกิน 6 เดือน 
นับแต่วันที่การดำเนินการดังกล่าวเสร็จสิ้นสำหรับเจ้าของข้อมูลส่วนบุคคลแต่ละรายตามวัตถุประสงค์ 
และความจำเป็นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อย่างไรก็ตาม เนื่องจากการเก็บรวบรวม
ข้อมูลส่วนบุคคลดังกล่าวเกิดขึ้นก่อนวันที่ประกาศดังกล่าวมีผลใช้บังคับ (วันที่ 7 เมษายน 2567) ข้อกำหนด 
ในเรื่องระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศดังกล่าวจะต้องไม่มีผล
ย้อนหลังเป็นโทษแก่ผู้ควบคุมข้อมูลส่วนบุคคล ดังนั้น ระยะเวลา 6 เดือนดังกล่าว จึงเริ่มนับแต่วันที่ประกาศฯ  
มีผลใช้บังคับเป็นต้นไป 
(2) กรณีข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่เก็บรวบรวมมาเมื่อพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้บังคับแล้ว แต่ก่อนที่ประกาศฯ จะมีผลใช้บังคับ การดำเนินการเกี่ยวกับ
ข้อมูลส่วนบุคคล รวมถึงระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลจะอยู่ภายใต้บังคับแห่งพระราชบัญญัติดังกล่าว 
โดยข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมดังกล่าวที่เก็บรวบรวมมาเพื่อดำเนินการตามวัตถุประสงค์ 
ตามข้อ 5 วรรคหนึ่งของประกาศฯ หากไม่มีบทบัญญัติแห่งกฎหมายใดบัญญัติไว้เป็นการเฉพาะ และไม่มี 
ความจำเป็นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ตลอดจนไม่ได้รับความยินยอมโดยชัดแจ้งจาก
เจ้าของข้อมูลส่วนบุคคลเป็นอย่างอื่น จะอยู่ภายใต้เงื่อนไขระยะเวลาตามข้อ 9 ด้วย กล่าวคือ ให้เก็บรวบรวมไว้ได้
อีกไม่เกิน 6 เดือน นับแต่วันที่การดำเนินการดังกล่าวเสร็จสิ้นสำหรับเจ้าของข้อมูลส่วนบุคคลแต่ละราย 
ตามวัตถุประสงค์และความจำเป็นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อย่างไรก็ตาม เนื่องจากการ
เก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวเกิดขึ้นก่อนวันที่ประกาศดังกล่าวมีผลใช้บังคับ (วันที่ 7 เมษายน 2567) 
ระยะเวลา 6 เดือนดังกล่าว จึงเริ่มนับแต่วันที่ประกาศฯ มีผลใช้บังคับเป็นต้นไปเช่นเดียวกับกรณีตาม (1) 
ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบ 
หรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็น 
ตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของ
ข้อมูลส่วนบุคคลได้ถอนความยินยอม เว้นแต่เก็บรักษาไว้เพื่อวัตถุประสงค์ที่กำหนดไว้ใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3)  
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยในการดำเนินการลบหรือทำลาย หรือทำให้ข้อมูล
ส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ให้ปฏิบัติตามประกาศ
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่ออกตามความใน [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคห้าโดยอนุโลม 
ประเด็นที่ 3 ขอบเขตการใช้บังคับในเชิงวัตถุประสงค์ 
 3.1 ตามประกาศฯ ข้อ 5 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจะเก็บรวบรวมข้อมูล 
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมได้เฉพาะกรณีที่เป็นไปเพื่อวัตถุประสงค์ตามข้อ 5 (1) (2) (3)  
แต่หากการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมไม่ได้เป็นไปเพื่อวัตถุประสงค์ดังกล่าวข้างต้น 
สถาบันการเงินสมาชิกจะสามารถดำเนินการได้หรือไม่ และการดำเนินการเพื่อวัตถุประสงค์นั้นอยู่ในบังคับ 
ของหน้าที่ต่าง ๆ ตามประกาศฯ หรือไม่ อาทิ สถาบันการเงินสมาชิกทำการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรมเพื่อการก่อตั้งสิทธิเรียกร้องหรือการฟ้องร้องดำเนินคดีทุจริตของพนักงาน เป็นต้น 
ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)  
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวจึงต้อง
พิจารณาฐานทางกฎหมายให้สอดคล้องกับ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง โดยหากไม่ใช่กรณีที่เป็นข้อยกเว้นตาม (1)  
ถึง (5) (ก) (ข) (ค) (ง) หรือ (จ) จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล  
ซึ่งวัตถุประสงค์ตามที่กำหนดไว้ในข้อ 5 วรรคหนึ่ง (1) (2) และ (3) ของประกาศฯ เป็นเพียงวัตถุประสงค์ 
ที่ถูกกำหนดขึ้นอย่างเฉพาะเจาะจงเพื่อให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ปฏิบัติตามมาตรการคุ้มครอง  
เฉพาะสำหรับกรณีที่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเพื่อวัตถุประสงค์ดังกล่าว
เท่านั้น ทั้งนี้ ตามความในข้อ 5 วรรคหนึ่งของประกาศนี้ 
ดังนั้น การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่เป็นไปตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงไม่ได้จำกัดวัตถุประสงค์แต่เพียงตามที่ระบุในข้อ 5 วรรคหนึ่ง 
ของประกาศดังกล่าวเท่านั้น แต่ต้องเป็นไปตามหลักการของการเก็บรวบรวมข้อมูลส่วนบุคคลภายใต้วัตถุประสงค์
อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตามที่พระราชบัญญัตินี้กำหนด การเก็บรวบรวมข้อมูล 
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมจึงสามารถกระทำได้แม้ไม่ได้เป็นไปตามวัตถุประสงค์ที่ระบุไว้ในข้อ 5  
วรรคหนึ่ง (1) (2) และ (3) ของประกาศฯ และหากวัตถุประสงค์ดังกล่าวไม่ได้เป็นวัตถุประสงค์ตามที่ระบุไว้ 
ในข้อ 5 ดังกล่าว ก็จะไม่ต้องปฏิบัติตามหลักเกณฑ์เรื่องระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรมตามข้อ 9 ของประกาศแต่อย่างใด แต่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีระบบ 
การตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลตามที่กำหนดไว้ใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3)  
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และมีหน้าที่ปฏิบัติให้สอดคล้องกับบทบัญญัติอื่น ๆ 
ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย 
3.2 หากในขณะที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม  
สถาบันการเงินสมาชิกดำเนินการเพื่อบรรลุวัตถุประสงค์ตามข้อ 5 (1) (2) (3) ของประกาศฯ แล้วแต่กรณี  
แต่ต่อมาต้องการเปลี่ยนแปลงวัตถุประสงค์การใช้หรือการเปิดเผยซึ่งไม่สอดคล้องกับวัตถุประสงค์ตามข้อ 5 (1) 
(2) (3) ของประกาศฯ กรณีนี้สถาบันการเงินสมาชิกจะต้องดำเนินการอย่างไรให้สอดคล้องกับหน้าที่ 
ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562  และประกาศฯ ฉบับดังกล่าว 
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลประสงค์จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
เกี่ยวกับประวัติอาชญากรรมในวัตถุประสงค์ที่แตกต่างไปจากวัตถุประสงค์เดิมที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้
ก่อนหรือในขณะที่เก็บรวบรวม ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องพิจารณาฐานทางกฎหมายในการเก็บรวบรวม
ข้อมูลส่วนบุคคลให้เป็นไปตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และจะต้อง
แจ้งวัตถุประสงค์ใหม่นั้นและรายละเอียดตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ให้เจ้าของข้อมูลส่วนบุคคลทราบและได้รับความยินยอม
ก่อนตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง (1) เว้นแต่กรณีที่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้
สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับประวัติอาชญากรรมได้ ผู้ควบคุมข้อมูลส่วนบุคคล
ก็สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมนั้นได้ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md)  
วรรคสอง (2) อย่างไรก็ตาม ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ปฏิบัติให้สอดคล้องกับบทบัญญัติต่าง ๆ  
ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย 
นอกจากนี้ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ดำเนินการให้เป็นไปตามประกาศฯ ด้วย  
และหากวัตถุประสงค์ใหม่เป็นไปตามวัตถุประสงค์ที่ระบุไว้ในข้อ 5 วรรคหนึ่ง (1) (2) หรือ (3) ของประกาศฯ 
จะต้องปฏิบัติตามข้อ 5 และข้อ 9 ของประกาศนี้ด้วย โดยในกรณีดังกล่าว ระยะเวลาการเก็บรวบรวมข้อมูล 
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามข้อ 9 ของประกาศฯ ย่อมเริ่มนับใหม่เมื่อการดำเนินการ 
ตามวัตถุประสงค์ใหม่นั้นเสร็จสิ้นสำหรับเจ้าของข้อมูลส่วนบุคคลแต่ละราย 
ประเด็นที่ 4 ฐานทางกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรม 
 4.1 เพื่อบรรลุวัตถุประสงค์ตามข้อ 5 (1), (2), (3) ของประกาศฯ สถาบันการเงินสมาชิก
สามารถใช้ฐานทางกฎหมายอื่น ๆ ตามที่กำหนดไว้ใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) โดยไม่ต้องขอความยินยอมได้หรือไม่ ดังนี้ 
(ก) ฐานประโยชน์สาธารณะที่สำคัญตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) เนื่องจากธุรกิจสถาบันการเงิน
สมาชิกเป็นธุรกิจที่ถูกกำกับดูแลและมีความสำคัญต่อความมั่นคงทางการเงินและระบบเศรษฐกิจของประเทศ 
ความเชื่อมั่นของผู้ฝากเงินในระบบสถาบันการเงินสมาชิกจึงมีความสำคัญอย่างยิ่ง พนักงานหรือบุคลากร 
ของสถาบันการเงินสมาชิกทุกแห่งจึงจำเป็นต้องถูกตรวจสอบประวัติอาชญากรรมเพื่อสร้างและธำรงไว้ 
ซึ่งความเชื่อมั่นของผู้ใช้บริการในระบบสถาบันการเงินสมาชิก 
(ข) ฐานประโยชน์สาธารณะที่สำคัญตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ในกรณีที่ธนาคารแห่งประเทศไทย 
หรือหน่วยงานบังคับใช้กฎหมาย หน่วยงานกำกับดูแล หรือมีกฎหมายกำหนดคุณสมบัติหรือลักษณะต้องห้าม
เฉพาะตำแหน่ง อาทิ พระราชบัญญัติบริษัทมหาชนจำกัด พ.ศ. 2535 มาตรา 68 (3) ซึ่งกำหนดให้กรรมการ 
ต้องไม่เคยรับโทษจำคุกโดยคำพิพากษาถึงที่สุดให้จำคุกในความผิดเกี่ยวกับทรัพย์ที่ได้กระทำโดยทุจริต  
หรือตามประกาศธนาคารแห่งประเทศไทย ที่ สนส. 3/2564 เรื่อง หลักเกณฑ์การพิจารณาให้ความเห็นชอบการ
แต่งตั้งกรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงินสมาชิก บริษัทแม่ของสถาบัน
การเงินสมาชิก และบริษัทลูกที่ประกอบธุรกิจทางการเงิน ข้อ 5.3.1 (1) (2) (3) ซึ่งกำหนดให้กรรมการ ผู้จัดการ 
ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงินสมาชิก บริษัทแม่ของสถาบันการเงินสมาชิก และบริษัท
ลูกที่ประกอบธุรกิจทางการเงิน จะต้องไม่เคยได้รับโทษจำคุกโดยคำพิพากษาถึงที่สุดให้จำคุกในความผิดตามที่
ประกาศธนาคารแห่งประเทศไทยกำหนด เป็นต้น 
(ค) ฐานการประเมินความสามารถในการทำงานของลูกจ้างตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก)  
หากมีการกำหนดคุณสมบัติเฉพาะตำแหน่งนั้น ๆ โดยสถาบันการเงินสมาชิกว่าพนักงานหรือบุคลากร 
ต้องไม่เป็นผู้เคยได้รับโทษจำคุกโดยคำพิพากษาถึงที่สุดให้จำคุกสำหรับความผิดเกี่ยวกับทรัพย์ หรือความผิด 
ตามกฎหมายว่าด้วยการพนัน หรือความผิดตามกฎหมายเกี่ยวกับยาเสพติด เว้นแต่เป็นโทษสำหรับความผิดที่ได้
กระทำโดยประมาทหรือความผิดลหุโทษ หรือพ้นโทษมาแล้วไม่น้อยกว่าสามปีก่อนวันสมัครงาน เป็นต้น 
กรณีที่หารือตามประเด็นที่ 4.1 (ก) ที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุ
วัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูล 
ส่วนบุคคล พ.ศ. 2562 จะต้องเป็นกรณีที่มีกฎหมายกำหนดหน้าที่หรือเงื่อนไขในการปฏิบัติไว้ ซึ่งเป็นไปเพื่อให้
บรรลุวัตถุประสงค์ที่เกี่ยวกับประโยชน์สาธารณะที่สำคัญ และการปฏิบัติตามกฎหมายดังกล่าวของผู้ควบคุมข้อมูล
ส่วนบุคคลจำเป็นจะต้องมีการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว ไม่เช่นนั้นจะไม่สามารถปฏิบัติให้เป็นไป 
ตามกฎหมายนั้นได้ ดังนั้น หากผู้ควบคุมข้อมูลส่วนบุคคลจะใช้ฐานทางกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ในการ
เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมโดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล
ส่วนบุคคล เนื่องจากเห็นว่าธุรกิจสถาบันการเงินสมาชิกเป็นธุรกิจที่มีความสำคัญต่อความมั่นคงทางการเงิน 
และระบบเศรษฐกิจของประเทศ ความเชื่อมั่นของผู้ฝากเงินในระบบสถาบันการเงินสมาชิกมีความสำคัญอย่างยิ่ง 
อันเป็นประโยชน์สาธารณะที่สำคัญ จึงจำเป็นต้องตรวจสอบประวัติอาชญากรรมของพนักงานหรือบุคลากร 
ของสถาบันการเงินสมาชิกเพื่อสร้างและธำรงไว้ซึ่งความเชื่อมั่นของผู้ใช้บริการในระบบสถาบันการเงินสมาชิก 
จะต้องมีกฎหมายกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการตรวจสอบประวัติอาชญากรรมของพนักงาน
หรือบุคลากรของสถาบันการเงินสมาชิก เพื่อให้บรรลุวัตถุประสงค์ในการสร้างและธำรงไว้ซึ่งความเชื่อมั่น 
ของผู้ใช้บริการในระบบสถาบันการเงินสมาชิก จึงจะถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมาย 
เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) 
สำหรับประเด็นที่หารือตาม 4.1 (ข) นั้น หากเป็นกรณีที่สถาบันการเงินสมาชิกมีความจำเป็นต้อง
ปฏิบัติตามบทบัญญัติแห่งกฎหมาย เช่น มาตรา 68 (3) แห่งพระราชบัญญัติบริษัทมหาชนจำกัด พ.ศ. 2535  
ซึ่งกำหนดให้กรรมการของบริษัทมหาชนจำกัดต้องไม่เคยรับโทษจำคุกโดยคำพิพากษาถึงที่สุดให้จำคุกในความผิด
เกี่ยวกับทรัพย์ที่ได้กระทำโดยทุจริต หรือมาตรา 24 (2) และ (10) และมาตรา 58 แห่งพระราชบัญญัติธุรกิจ
สถาบันการเงิน พ.ศ. 2551 ประกอบประกาศธนาคารแห่งประเทศไทย ที่ สนส. 3/2564 เรื่อง หลักเกณฑ์ 
การพิจารณาให้ความเห็นชอบการแต่งตั้งกรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบัน
การเงิน บริษัทแม่ของสถาบันการเงิน และบริษัทลูกที่ประกอบธุรกิจทางการเงิน ข้อ 5.3.1 (1) (2) และ (3)  
ซึ่งกำหนดให้กรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน บริษัทแม่ของสถาบัน
การเงิน และบริษัทลูกที่ประกอบธุรกิจทางการเงิน จะต้องไม่เคยได้รับโทษจำคุกโดยคำพิพากษาถึงที่สุดให้จำคุก 
ในความผิดตามที่กำหนด อันเป็นมาตรการในการกำกับดูแลสถาบันการเงินให้มีประสิทธิภาพและส่งเสริม 
ความเชื่อมั่นของประชาชนและผู้ฝากเงินที่มีต่อระบบสถาบันการเงินโดยรวม การเก็บรวบรวมข้อมูลส่วนบุคคล
เกี่ยวกับประวัติอาชญากรรมเพื่อวัตถุประสงค์ในการตรวจสอบคุณสมบัติ ลักษณะต้องห้าม หรือพิจารณา 
ความเหมาะสมของบุคคลที่จะให้ดำรงตำแหน่งที่มีเงื่อนไขดังกล่าว ก็ย่อมถือได้ว่าเป็นการจำเป็นในการปฏิบัติ 
ตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) จึงไม่ต้องได้รับ
ความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล 
กรณีตามประเด็นที่ 4.1 (ค) กรณีที่จะถือว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมาย 
เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการประเมินความสามารถในการทำงานของลูกจ้างตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) 
จะต้องเป็นกรณีที่มีกฎหมายกำหนดหน้าที่หรือเงื่อนไขในการปฏิบัติไว้ ซึ่งเป็นไปเพื่อให้บรรลุวัตถุประสงค์ 
ที่เกี่ยวกับการประเมินความสามารถในการทำงานของลูกจ้าง และการปฏิบัติตามกฎหมายดังกล่าว 
ของผู้ควบคุมข้อมูลส่วนบุคคลจำเป็นจะต้องมีการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว ไม่เช่นนั้นจะไม่สามารถ
ปฏิบัติให้เป็นไปตามกฎหมายนั้นได้ ดังนั้น หากสถาบันการเงินมีการกำหนดคุณสมบัติเฉพาะตำแหน่ง 
ของพนักงานหรือบุคลากรในตำแหน่งใดไว้ โดยกำหนดว่าต้องไม่เป็นผู้เคยได้รับโทษจำคุกโดยคำพิพากษา 
ถึงที่สุดให้จำคุกสำหรับความผิดเกี่ยวกับทรัพย์ หรือความผิดตามกฎหมายว่าด้วยการพนัน หรือความผิด 
ตามกฎหมายเกี่ยวกับยาเสพติด แต่ไม่ใช่การประเมินความสามารถในการทำงานของลูกจ้างที่มีบทบัญญัติ 
แห่งกฎหมายกำหนดไว้ ย่อมไม่ใช่กรณีตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) ที่จะสามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรมได้โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล 
4.2 การขอความยินยอมให้สอดคล้องกับประกาศฯ 
(ก) ในขั้นตอนการประกาศหรือประชาสัมพันธ์การรับสมัคร การสรรหา การเสนอชื่อหรือรับเรื่อง
สำหรับการดำเนินการเช่นว่านั้น กรณีที่สถาบันการเงินสมาชิกมีการกำหนดคุณสมบัติของบุคคลเกี่ยวกับการพบ/
ไม่พบประวัติอาชญากรรมที่อาจมีความเสี่ยงต่อการปฏิบัติหน้าที่ความรับผิดชอบ ดังนั้น สถาบันการเงินสมาชิก 
จึงต้องแจ้งความจำเป็นในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมดังกล่าวให้ผู้สมัครในฐานะ
เจ้าของข้อมูลส่วนบุคคลทราบตั้งแต่ขั้นตอนการประกาศหรือประชาสัมพันธ์การรับสมัคร การสรรหา การเสนอชื่อ 
หรือการรับเรื่องสำหรับการดำเนินการเช่นว่านั้นแล้ว ซึ่งกรณีดังกล่าวสถาบันการเงินสมาชิกต้องขอความยินยอม
โดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลก่อนการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม 
ตามข้อ 5 และข้อ 9 ของประกาศฯ การขอความยินยอมดังกล่าวของสถาบันการเงินสมาชิก ถือได้ว่าจำเป็นในการ
เข้าทำสัญญาจ้างแรงงานกับผู้ที่ผ่านการคัดเลือกให้เข้ามาทำงานซึ่งเป็นเจ้าของข้อมูลส่วนบุคคล ซึ่งผู้ได้รับ 
การคัดเลือกไม่ให้ความยินยอม สถาบันการเงินสมาชิกอาจไม่สามารถดำเนินการพิจารณารับผู้สมัครเข้ามา 
เป็นพนักงานได้ ดังนี้แล้วการดำเนินการขอความยินยอมดังกล่าวของสถาบันการเงินสมาชิกจะถือว่าเป็นการขัดต่อ
เจตนารมณ์ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ว่าต้องไม่มีเงื่อนไขในการให้
ความยินยอมหรือไม่ อย่างไร 
ในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่ต้องได้รับความยินยอม 
โดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 และ/หรือข้อ 5 ของประกาศฯ เช่น กรณีที่สถาบันการเงินสมาชิกมีความจำเป็นต้องตรวจสอบประวัติ
อาชญากรรมในการพิจารณารับบุคคลเข้าทำงาน หรือการตรวจสอบคุณสมบัติ ลักษณะต้องห้าม หรือพิจารณา
ความเหมาะสมของบุคคลที่จะให้ดำรงตำแหน่งใด แต่ไม่ใช่กรณีที่มีกฎหมายกำหนดให้ต้องดำเนินการเช่นนั้น 
ซึ่งจะได้รับยกเว้นไม่ต้องขอความยินยอม ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องดำเนินการให้เป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) 
และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) โดย [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ บัญญัติว่า ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุม
ข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม  
ทั้งนี้ ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ 
หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องกับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ 
ดังนั้น ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลเห็นว่า การให้ความยินยอมเพื่อเก็บรวบรวม ใช้  
หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมนั้น มีความจำเป็นหรือเกี่ยวข้องกับการเข้าทำสัญญา 
หรือการให้บริการ เช่น การพิจารณารับบุคคลเข้าทำงาน หรือการให้ดำรงตำแหน่งใด ผู้ควบคุมข้อมูลส่วนบุคคล 
ก็อาจกำหนดเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น เป็นส่วนหนึ่ง 
ของข้อกำหนดในการเข้าทำสัญญาหรือการให้บริการที่เกี่ยวข้องได้ หากเห็นว่าเป็นกรณีที่มีเหตุผลเกี่ยวกับ 
ความจำเป็นหรือเกี่ยวข้องกับการเข้าทำสัญญาหรือการให้บริการนั้นเพียงพอ ซึ่งเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ 
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อย่างไรก็ตาม เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียน
ในกรณีที่เห็นว่าผู้ควบคุมข้อมูลส่วนบุคคลฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัตินี้ ตามนัย [มาตรา 73](https://link.pdpalawbase.com/section/73.md) 
 (ข) ภายหลังกระบวนการสรรหาเสร็จสิ้น และรับพนักงานเข้าทำงานแล้ว สถาบันการเงินสมาชิก
สามารถขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลเพื่อเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมไว้เกินกว่า 6 เดือนได้หรือไม่ตามเงื่อนไขที่กำหนดไว้ในประกาศฯ ข้อ 9 ตอนท้าย แม้จะไม่ปรากฏว่า
มีความจำเป็นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรมเพื่อการดำเนินการตามข้อ 5 วรรคหนึ่ง อาทิ ประสงค์จะเก็บไว้จนกว่าจะพ้นสภาพการ 
เป็นพนักงานและอีก 10 ปี ตามเงื่อนไขอายุความการฟ้องร้องดำเนินคดีต่าง ๆ ที่อาจมีหลังสิ้นสุดสภาพการจ้าง เป็นต้น   
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลประสงค์จะเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมซึ่งได้เก็บรวบรวมเพื่อการดำเนินการตามวัตถุประสงค์ในข้อ 5 วรรคหนึ่งไว้เกิน 6 เดือนนับแต่วันที่
การดำเนินการดังกล่าวเสร็จสิ้นสำหรับเจ้าของข้อมูลส่วนบุคคลแต่ละราย ตามที่กำหนดในข้อ 9 ของประกาศฯ 
โดยไม่มีบทบัญญัติแห่งกฎหมายใดบัญญัติไว้เป็นการเฉพาะ และไม่มีความจำเป็นตามพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล
ส่วนบุคคล ดังนั้น สถาบันการเงินสมาชิกสามารถขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเพื่อเก็บรวบรวม
ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมไว้เกินระยะเวลา 6 เดือนตามข้อ 9 ของประกาศฯ ได้ โดยการ 
ขอความยินยอมจะต้องปฏิบัติให้เป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล 
ส่วนบุคคล พ.ศ. 2562 ทั้งนี้ ต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ 
ความยินยอม และในการเข้าทำสัญญาหรือการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการให้ความยินยอม 
เพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญา 
หรือการให้บริการนั้น ๆ ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ด้วย 
อนึ่ง คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคล 
มีความจำเป็นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมไว้ 
เพื่อเป็นหลักฐานทางกฎหมายตามระยะเวลาในอายุความการฟ้องร้องดำเนินคดีต่าง ๆ ที่อาจมีขึ้นในระหว่าง 
ที่เจ้าของข้อมูลส่วนบุคคลเป็นพนักงานหรือลูกจ้าง หรือภายหลังสิ้นสุดสภาพการจ้าง ซึ่งเกินระยะเวลา 
ที่กำหนดในข้อ 9 ของประกาศฯ อาจถือเป็นกรณีที่เป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย  
การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย  
ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งถือเป็นกรณีที่มีความจำเป็น 
ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ที่จะสามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมไว้เป็นระยะเวลาเกินกว่าที่กำหนดในข้อ 9 ได้ โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของ
ข้อมูลส่วนบุคคล 
(ค) ความยินยอมโดยชัดแจ้งตามข้อ (ข) สามารถขอพร้อมกันกับการขอความยินยอม 
โดยชัดแจ้งตามข้อ (ก) ได้หรือไม่ 
ในกรณีที่ต้องได้รับความยินยอมโดยชัดแจ้งในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมไว้เกินระยะเวลาตามข้อ 9 ของประกาศฯ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 และประกาศดังกล่าว ไม่ได้กำหนดว่าจะต้องดำเนินการเมื่อใด ผู้ควบคุมข้อมูลส่วนบุคคล 
จึงพิจารณาตามหลักเกณฑ์ในการขอความยินยอมตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง ที่กำหนดว่าผู้ควบคุมข้อมูล 
ส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคล 
ไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น หากผู้ควบคุมข้อมูลส่วนบุคคลเห็นสมควร จึงอาจขอความยินยอม 
โดยชัดแจ้งในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมไว้เกินระยะเวลาตามข้อ 9  
ของประกาศฯ พร้อมกับการขอความยินยอมโดยชัดแจ้งในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมเพื่อดำเนินการตามวัตถุประสงค์ในข้อ 5 วรรคหนึ่ง (1) (2) หรือ (3) ของประกาศฯ ตามประเด็น 
4.2 (ก) ที่หารือได้ แต่เนื่องจากเป็นการขอความยินยอมคนละกรณีกัน การขอความยินยอมทั้งสอง 
กรณีดังกล่าวจึงต้องแยกส่วนออกจากกันและแยกส่วนออกจากข้อความอื่นอย่างชัดเจน ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md)  
วรรคสาม นอกจากนี้ ในการขอความยินยอมดังกล่าว จะต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของ
ข้อมูลส่วนบุคคลในการให้ความยินยอม โดยในการเข้าทำสัญญาหรือการให้บริการใด ๆ ต้องไม่มีเงื่อนไขในการ 
ให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับ 
การเข้าทำสัญญาหรือการให้บริการนั้น ๆ ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ด้วย เว้นแต่กรณีที่ผู้ควบคุมข้อมูลส่วนบุคคล 
เห็นว่า การให้ความยินยอมนั้น มีความจำเป็นหรือเกี่ยวข้องกับการเข้าทำสัญญาหรือการให้บริการเพียงพอ  
จึงอาจกำหนดเงื่อนไขในการให้ความยินยอมเป็นส่วนหนึ่งของข้อกำหนดในการเข้าทำสัญญาหรือการให้บริการ 
ที่เกี่ยวข้องได้ 
ประเด็นที่ 5 ประเด็นอื่น ๆ ที่เกี่ยวเนื่องกับประกาศแต่ไม่ใช่เรื่องการตรวจประวัติอาชญากรรม
ของผู้สมัคร 
5.1 นอกเหนือจากการจัดเก็บข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมจากหน่วยงาน 
ตามข้อ 1.1 แล้ว ยังมีการจัดเก็บข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมจากหน่วยงานอื่นใดบ้างที่เข้าข่าย
ตามนิยามในประกาศฉบับนี้ เช่น การจัดเก็บรายชื่อบุคคลที่ถูกกำหนดตามพระราชบัญญัติป้องกัน 
และปราบปรามการสนับสนุนทางการเงินแก่การก่อการร้ายและการแพร่ขยายอาวุธที่มีอานุภาพทำลายล้างสูง  
พ.ศ. 2559 การได้รับหมายหรือหนังสือจากตำรวจ ศาล สำนักงานป้องกันและปราบปรามการทุจริตแห่งชาติ 
ฐานข้อมูลระบบ Central Fraud Registry (CFR) ตามพระราชกำหนดมาตรการป้องกันและปราบปราม
อาชญากรรมทางเทคโนโลยี พ.ศ. 2566 รวมถึงการได้รับและจัดเก็บประวัติอาชญากรรมจากหน่วยงาน
ต่างประเทศเพื่อนำมาเก็บรวบรวมในฐานข้อมูลของสถาบันการเงินสมาชิกสำหรับการตรวจสอบ KYC/CDD  
และ Sanction List จะถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมหรือไม่ และหากถือเป็นข้อมูล 
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมจะเข้าข้อยกเว้นว่าต้องปฏิบัติตามกฎหมายอื่นที่ไม่ต้องขอความยินยอมได้
หรือไม่ 
การพิจารณาว่าข้อมูลส่วนบุคคลเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา  
การดำเนินคดีอาญา หรือการรับโทษทางอาญาในแต่ละกรณีที่หารือ จะเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมตามประกาศฯ หรือไม่ ต้องพิจารณาจากความหมายในบทนิยามคำว่า “ข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรม” ตามข้อ 3 ของประกาศดังกล่าว ว่าข้อมูลส่วนบุคคลนั้นเป็นข้อมูลที่เป็นทางการ 
หรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการดำเนินการดังกล่าวหรือไม่  
หากข้อมูลส่วนบุคคลเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษ
ทางอาญาในกรณีใด เป็นข้อมูลที่ได้รับและเก็บรวบรวมจากหน่วยงานต่างประเทศ จะต้องพิจารณา 
ถึงกฎหมายอื่นที่เกี่ยวข้อง ตลอดจนสถานการณ์เป็นข้อมูลที่เป็นทางการหรือการรับรองโดยหน่วยงานของรัฐ 
ของไทยที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการดำเนินการดังกล่าวด้วยเป็นรายกรณีไป เช่น สำนักงานตำรวจ
แห่งชาติ สำนักงานอัยการสูงสุด กรมราชทัณฑ์ และศาล เป็นต้น โดยหากข้อเท็จจริงปรากฏว่าข้อมูลส่วนบุคคล
ดังกล่าวมีลักษณะที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐของไทยที่มีอำนาจหน้าที่ตามกฎหมายในเรื่องนั้น 
ก็จะถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามนัยข้อ 3 ของประกาศฯ  
สำหรับประเด็นที่หารือว่า หากเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม  
จะเข้าข้อยกเว้นว่าต้องปฏิบัติตามกฎหมายอื่นที่ไม่ต้องขอความยินยอมได้หรือไม่ นั้น เห็นว่า หากเป็นกรณีที่ได้รับ
ยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) เช่น กรณีที่เป็น
การดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) หรือเป็นผู้ควบคุม
ข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัตินี้ทั้งหมดหรือแต่บางส่วนมาใช้บังคับ 
ตามพระราชกฤษฎีกาที่ออกตามความใน [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสอง ก็จะไม่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 ในส่วนที่ได้รับยกเว้น อย่างไรก็ตาม หากไม่ใช่กรณีที่ได้รับยกเว้นไม่ให้นำพระราชบัญญัตินี้
มาใช้บังคับ แต่การดำเนินการนั้นมีกฎหมายกำหนดไว้ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมข้อมูลส่วนบุคคล
เกี่ยวกับประวัติอาชญากรรม โดยมีเจตนารมณ์เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ  
ก็ย่อมถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์
สาธารณะที่สำคัญ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ซึ่งได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล 
ส่วนบุคคล และหากเป็นการดำเนินการตามวัตถุประสงค์ในข้อ 5 วรรคหนึ่ง (1) (2) หรือ (3) ของประกาศฯ  
ซึ่งมีบทบัญญัติแห่งกฎหมายบัญญัติให้ต้องตรวจสอบประวัติอาชญากรรมหรือตรวจสอบคุณสมบัติหรือลักษณะ
ต้องห้ามเกี่ยวกับการกระทำความผิดทางอาญาหรือการรับโทษทางอาญา ตามข้อ 5 ของประกาศฉบับนี้ ผู้ควบคุม
ข้อมูลส่วนบุคคลก็ย่อมเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้งจาก
เจ้าของข้อมูลส่วนบุคคล 
5.2 กรณีที่สถาบันการเงินสมาชิกจะต้องดำเนินการตรวจสอบประวัติอาชญากรรมของบุคคล 
ที่จะดำรงตำแหน่งกรรมการของสถาบันการเงินสมาชิกตามประกาศของธนาคารแห่งประเทศไทย สถาบันการเงิน
สมาชิกสามารถเก็บรวบรวมข้อมูลดังกล่าวได้โดยที่ไม่ต้องขอความยินยอมตามที่กำหนดไว้ในประกาศฯ ข้อ 5 
วรรคหนึ่ง หรือไม่ 
ตามที่ได้ให้ความเห็นไว้แล้วในประเด็นที่หารือตาม 4.1 (ข) หากเป็นกรณีที่สถาบันการเงิน
สมาชิกมีความจำเป็นต้องตรวจสอบประวัติอาชญากรรม เพื่อปฏิบัติตามบทบัญญัติแห่งกฎหมาย 
ซึ่งมีเจตนารมณ์เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ การเก็บรวบรวมข้อมูล 
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเพื่อวัตถุประสงค์ดังกล่าว ย่อมถือเป็นกรณีตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ)  
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจาก
เจ้าของข้อมูลส่วนบุคคล และถือเป็นกรณีที่มีบทบัญญัติแห่งกฎหมายบัญญัติให้ต้องตรวจสอบประวัติอาชญากรรม
หรือตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามเกี่ยวกับการกระทำความผิดอาญาหรือการรับโทษทางอาญา  
ที่ไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตามนัยข้อ 5 ของประกาศฯ แล้ว 
อย่างไรก็ดี หากสถาบันการเงินสมาชิกประสงค์จะเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมเพื่อตรวจสอบประวัติอาชญากรรมหรือตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามเกี่ยวกับการกระทำ
ความผิดอาญาหรือการรับโทษทางอาญาในตำแหน่งอื่น ๆ ซึ่งไม่มีบทบัญญัติแห่งกฎหมายบัญญัติ 
ให้ต้องกระทำ ก็จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตามข้อ 5 ของประกาศฯ

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-10-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/09/PDPC-consultation-39.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/10-2567.md

============================================================
โนด: ข้อหารือ 10/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/10-2568.md

# ข้อหารือที่ 10/2568 เรื่อง ธนาคาร X ขอหารือเกี่ยวกับฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลของพนักงานและครอบครัวของพนักงานสำหรับการใช้สิทธิสวัสดิการ

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 19](https://link.pdpalawbase.com/section/19.md) [มาตรา 20](https://link.pdpalawbase.com/section/20.md) [มาตรา 21](https://link.pdpalawbase.com/section/21.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 และที่แก้ไขเพิ่มเติม — มาตรา 10 วรรคหนึ่งและวรรคสาม มาตรา 19 และมาตรา 20
3. พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 และที่แก้ไขเพิ่มเติม — มาตรา 32 มาตรา 33 มาตรา 41 มาตรา 41/1 มาตรา 42 มาตรา 108 และมาตรา 146
4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 4 (2)

## ข้อหารือ

ธนาคาร X (“ธนาคารฯ”) แจ้งว่า ตามที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้เผยแพร่เอกสารข้อหารือที่ 16/2567 เรื่อง บริษัท W ขอหารือเกี่ยวกับการเก็บรวบรวมข้อมูลการรักษาพยาบาลเพื่อเบิกจ่ายเงินสวัสดิการ ธนาคาร X มีความประสงค์ขอหารือเพิ่มเติมเกี่ยวกับฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลของพนักงานและครอบครัวพนักงาน เกี่ยวกับกิจกรรมต่าง ๆ ดังนี้

1. กิจกรรมการใช้สิทธิสวัสดิการของพนักงานตามวัตถุประสงค์ต่อไปนี้ ซึ่งเป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างและมีผลผูกพันธนาคารฯ ตามกฎหมายว่าด้วยแรงงานสัมพันธ์ ธนาคารฯ สามารถอาศัยข้อยกเว้นไม่ต้องขอความยินยอม ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ได้หรือไม่ อย่างไร พร้อมข้อเสนอแนะเพิ่มเติม (ถ้ามี)
   (1) การใช้สิทธิสวัสดิการของพนักงาน เพื่อเบิกจ่ายค่ารักษาพยาบาลหรือเบิกจ่ายค่าตรวจสุขภาพ โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของพนักงาน เช่น ใบรับรองชื่อโรค ประวัติการเจ็บป่วยหรือการเกิดอุบัติเหตุ ประวัติการรักษาพยาบาล และประวัติการตรวจสุขภาพ
   (2) การใช้สิทธิสวัสดิการของพนักงาน เพื่อลาป่วยติดต่อกัน 3 วันขึ้นไป ลาคลอดบุตร หรือลาทำหมัน โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของพนักงาน
   (3) การใช้สิทธิสวัสดิการของพนักงาน เพื่อลาอุปสมบท ลาประกอบศาสนกิจ หรือลาไปวิปัสสนากรรมฐาน เช่น การลาอุปสมบทเต็มพรรษาในเทศกาลเข้าพรรษา หรือการลาไปประกอบพิธีฮัจย์ ณ เมืองเมกกะ ประเทศซาอุดิอาระเบีย โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลศาสนาของพนักงาน
   (4) การใช้สิทธิสวัสดิการของพนักงาน เพื่อเงินยืมสวัสดิการสงเคราะห์ค่ารักษาพยาบาลของตนเอง (ไม่เสียดอกเบี้ย) โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของพนักงาน

2. กิจกรรมการใช้สิทธิสวัสดิการของครอบครัวพนักงานตามวัตถุประสงค์ต่อไปนี้ ซึ่งเป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างที่เกิดจากข้อเสนอของธนาคารฯ (ฝ่ายนายจ้าง) ธนาคารฯ สามารถอาศัยข้อยกเว้นไม่ต้องขอความยินยอม ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ได้หรือไม่ อย่างไร พร้อมข้อเสนอแนะเพิ่มเติม (ถ้ามี)
   (1) การใช้สิทธิสวัสดิการ เพื่อเบิกจ่ายค่ารักษาพยาบาลแก่คู่สมรสหรือบุตรของพนักงาน โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของคู่สมรสหรือบุตร ทั้งนี้ บางกรณีธนาคารฯ จะทราบสถานะจดทะเบียนสมรสเพศเดียวกัน ระหว่างพนักงานกับคู่สมรส จากคำนำหน้าชื่อหรือเอกสารที่เกี่ยวข้อง
   (2) การใช้สิทธิสวัสดิการ เพื่อเงินยืมสวัสดิการสงเคราะห์ค่ารักษาพยาบาลแก่คู่สมรสหรือบุตรของพนักงาน (ไม่เสียดอกเบี้ย) โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของคู่สมรสหรือบุตร ทั้งนี้ บางกรณีธนาคารฯ จะทราบสถานะจดทะเบียนสมรสเพศเดียวกัน
   (3) การใช้สิทธิสวัสดิการ เพื่อเงินยืมสวัสดิการสงเคราะห์ค่ารักษาพยาบาลแก่บิดามารดาของพนักงานหรือบิดามารดาของคู่สมรส (ไม่เสียดอกเบี้ย) โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของบิดามารดาของพนักงานหรือบิดามารดาของคู่สมรส
   (4) การใช้สิทธิสวัสดิการ เพื่อเงินยืมสวัสดิการสงเคราะห์การสมรส (ไม่เสียดอกเบี้ย) ทั้งนี้ บางกรณีธนาคารฯ จะเก็บข้อมูลสถานะจดทะเบียนสมรสเพศเดียวกัน ระหว่างพนักงานกับคู่สมรส
   (5) การใช้สิทธิสวัสดิการ เพื่อลาไปช่วยเหลือภริยาของพนักงานที่คลอดบุตร โดยเอกสารหลักฐานประกอบการใช้สิทธิ ประกอบด้วยข้อมูลสุขภาพของภริยา เช่น ใบรับรองแพทย์ และประวัติการรักษาพยาบาล

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) กำหนดข้อยกเว้นในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ในกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน การประกันสังคม หลักประกันสุขภาพแห่งชาติ สวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย การคุ้มครองผู้ประสบภัยจากรถ หรือการคุ้มครองทางสังคม

ในการดำเนินงานของนายจ้าง นายจ้างย่อมมีหน้าที่ต้องปฏิบัติตามกฎหมายที่เกี่ยวข้อง เช่น กฎหมายว่าด้วยการคุ้มครองแรงงาน กฎหมายว่าด้วยแรงงานสัมพันธ์ หรือกฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์ (ในกรณีของรัฐวิสาหกิจ) โดยมาตรา 10 วรรคหนึ่ง แห่งพระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 กำหนดให้สถานประกอบกิจการที่มีลูกจ้างตั้งแต่ยี่สิบคนขึ้นไปจัดให้มีข้อตกลงเกี่ยวกับสภาพการจ้าง และข้อตกลงเกี่ยวกับสภาพการจ้าง (ไม่ว่าจะเกิดจากข้อเสนอของฝ่ายลูกจ้างหรือฝ่ายนายจ้าง หรือเป็นสวัสดิการที่ให้แก่พนักงาน คู่สมรสหรือบุตรของพนักงาน บิดามารดาของพนักงาน หรือบิดามารดาของคู่สมรสของพนักงานก็ตาม) จะมีผลผูกพันนายจ้างและลูกจ้างที่เกี่ยวข้อง ตามมาตรา 19 แห่งพระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 โดยเมื่อข้อตกลงเกี่ยวกับสภาพการจ้างมีผลใช้บังคับแล้ว ห้ามมิให้นายจ้างทำสัญญาจ้างแรงงานกับลูกจ้างขัดหรือแย้งกับข้อตกลงดังกล่าว เว้นแต่สัญญาจ้างแรงงานนั้นจะเป็นคุณแก่ลูกจ้างยิ่งกว่า ตามมาตรา 20 แห่งพระราชบัญญัติเดียวกัน ประกอบกับมาตรา 108 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 ซึ่งกำหนดให้นายจ้างซึ่งมีลูกจ้างรวมกันตั้งแต่สิบคนขึ้นไป จัดให้มีข้อบังคับเกี่ยวกับการทำงานเป็นภาษาไทย โดยอย่างน้อยต้องมีรายละเอียดเกี่ยวกับวันลาและหลักเกณฑ์การลา วินัยและโทษทางวินัย เป็นต้น หากนายจ้างผู้ใดไม่ปฏิบัติตามมาตรา 108 ดังกล่าว ต้องระวางโทษปรับตามที่กำหนดไว้ในมาตรา 146 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 อีกทั้งมาตรา 10 วรรคสาม แห่งพระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 กำหนดว่า ในกรณีเป็นที่สงสัยว่าในสถานประกอบกิจการนั้นมีข้อตกลงเกี่ยวกับสภาพการจ้างหรือไม่ ให้ถือว่าข้อบังคับเกี่ยวกับการทำงานที่นายจ้างต้องจัดให้มีตามกฎหมายว่าด้วยการคุ้มครองแรงงาน เป็นข้อตกลงเกี่ยวกับสภาพการจ้างตามพระราชบัญญัติดังกล่าว

นอกจากนี้ นายจ้างย่อมมีหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองแรงงาน ซึ่งรวมถึงข้อกำหนดให้ลูกจ้างมีสิทธิต่าง ๆ เช่น สิทธิลาป่วยได้เท่าที่ป่วยจริง โดยในการลาป่วยตั้งแต่สามวันทำงานขึ้นไป นายจ้างอาจให้ลูกจ้างแสดงใบรับรองแพทย์ประกอบการลาป่วยได้ ตามมาตรา 32 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 สิทธิลาเพื่อทำหมันและสิทธิลาเนื่องจากการทำหมัน ตามมาตรา 33 สิทธิของลูกจ้างซึ่งเป็นหญิงมีครรภ์ในการลาเพื่อคลอดบุตรและลาต่อเนื่องเพื่อเลี้ยงดูบุตร โดยให้ลูกจ้างแสดงใบรับรองแพทย์ประกอบการลาด้วย ตามมาตรา 41 วรรคหนึ่งและวรรคสี่ สิทธิลาเพื่อช่วยเหลือคู่สมรสซึ่งคลอดบุตร ตามมาตรา 41/1 และสิทธิของลูกจ้างซึ่งเป็นหญิงมีครรภ์ที่มีใบรับรองแพทย์มาแสดงในการขอให้นายจ้างเปลี่ยนงานในหน้าที่เดิมเป็นการชั่วคราวก่อนหรือหลังคลอด ตามมาตรา 42 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 ด้วย

ดังนั้น หากธนาคารฯ ในฐานะนายจ้างเห็นว่า การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับความเชื่อในลัทธิ ศาสนาหรือปรัชญา ข้อมูลสุขภาพ ความพิการ หรือข้อมูลส่วนบุคคลอื่นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกรณีที่มีความจำเป็นเพื่อให้บรรลุวัตถุประสงค์ในการขอใช้สิทธิหรือสวัสดิการตามที่กฎหมายกำหนด และการพิจารณาสิทธิหรือสวัสดิการดังกล่าวของพนักงานในฐานะลูกจ้างและบุคคลในครอบครัวของพนักงาน ที่เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างซึ่งมีผลผูกพันธนาคารฯ ตามกฎหมายว่าด้วยแรงงานสัมพันธ์หรือกฎหมายอื่น ก็จะถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ซึ่งการเก็บรวบรวมข้อมูลส่วนบุคคลเป็นสิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ธนาคารฯ จึงสามารถเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าวได้โดยไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล แต่ธนาคารฯ จะต้องเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ด้วย

ทั้งนี้ หากการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับความเชื่อในลัทธิ ศาสนาหรือปรัชญา ข้อมูลสุขภาพ ความพิการ หรือข้อมูลส่วนบุคคลอื่นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ดังกล่าว ไม่ได้เป็นไปเพื่อการขอใช้สิทธิหรือสวัสดิการหรือการพิจารณาสิทธิหรือสวัสดิการของพนักงานและบุคคลในครอบครัวของพนักงานตามที่กฎหมายกำหนด และไม่ใช่การขอใช้สิทธิหรือสวัสดิการที่เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างตามกฎหมายว่าด้วยแรงงานสัมพันธ์ กฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์ หรือกฎหมายอื่น รวมทั้งไม่ได้เป็นกรณีอื่นที่มีความจำเป็นในการปฏิบัติตามบทบัญญัติแห่งกฎหมายใดเพื่อการคุ้มครองแรงงาน ก็ไม่สามารถใช้ข้อยกเว้นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นฐานทางกฎหมายได้ และหากไม่เข้าข้อยกเว้นอื่นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติดังกล่าว ก็จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง โดยการขอความยินยอมจะต้องเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และสามารถเทียบเคียงแนวทางการตอบข้อหารือได้ตามสรุปการตอบข้อหารือที่ 16/2567 เรื่อง บริษัท W ขอหารือเกี่ยวกับการเก็บรวบรวมข้อมูลการรักษาพยาบาลเพื่อเบิกจ่ายเงินสวัสดิการ และสรุปการตอบข้อหารือที่ 29/2566 เรื่อง สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ขอคำปรึกษาเกี่ยวกับการเก็บรวบรวม ใช้ ข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพ ในการเบิกค่ารักษาพยาบาลของเจ้าหน้าที่องค์การมหาชน

สำหรับประเด็นข้อหารือที่ว่า ธนาคารฯ สามารถเก็บรวบรวมข้อมูลสถานะการจดทะเบียนสมรสเพื่อการขอใช้สิทธิหรือสวัสดิการของพนักงานและบุคคลในครอบครัว ซึ่งในบางกรณีธนาคารฯ อาจทราบได้จากคำนำหน้าชื่อหรือข้อมูลในเอกสารที่เกี่ยวข้องว่าเป็นการจดทะเบียนสมรสเพศเดียวกัน โดยถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ได้หรือไม่ นั้น เห็นว่า หากธนาคารฯ ไม่มีวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเพื่อใช้ในการบ่งชี้พฤติกรรมทางเพศ (ซึ่งรวมถึงเพศสภาพและพฤติกรรมทางเพศอื่น ไม่ว่าจะเป็นระหว่างเพศเดียวกันหรือต่างเพศก็ตาม) ข้อมูลส่วนบุคคลดังกล่าวก็ไม่ถือว่าเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับพฤติกรรมทางเพศตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ในทำนองเดียวกับการเก็บรวบรวมภาพถ่ายที่ปรากฏใบหน้าของหญิงที่สวมผ้าคลุมศีรษะ (ฮิญาบ) ที่ไม่มีวัตถุประสงค์เพื่อใช้ในการบ่งชี้ความเชื่อในลัทธิ ศาสนาหรือปรัชญา หรือการเก็บรวบรวมข้อมูลน้ำหนักของบุคคลที่ไม่มีวัตถุประสงค์เพื่อใช้ในการบ่งชี้สถานะหรือความเสี่ยงเกี่ยวกับสุขภาพ ด้วยเหตุนี้ การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวไม่จำต้องพิจารณาฐานทางกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แต่อย่างใด แต่ธนาคารฯ จะต้องพิจารณาฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่สอดคล้องกับวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลต่อไปด้วย

อย่างไรก็ตาม ธนาคารฯ พึงระมัดระวังว่า เมื่อข้อมูลส่วนบุคคลเกี่ยวกับสถานะการจดทะเบียนสมรส (ซึ่งรวมถึงการจดทะเบียนสมรสเพศเดียวกัน) ถูกเก็บรวบรวมมาเพื่อการขอใช้สิทธิหรือสวัสดิการเป็นการทั่วไป โดยไม่มีความจำเป็นต้องใช้ข้อมูลส่วนบุคคลเกี่ยวกับพฤติกรรมทางเพศมาประกอบการพิจารณา ธนาคารฯ ต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม ตามหลักการจำกัดวัตถุประสงค์ (purpose limitation) ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) และหลักการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็น (data minimization) ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย นอกจากนี้ ธนาคารฯ มีหน้าที่ต้องปฏิบัติตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายอื่นกำหนดให้ครบถ้วน ซึ่งรวมถึงการแจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) และการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 โดยเฉพาะอย่างยิ่งจะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ตามข้อ 4 (2) ของประกาศดังกล่าว

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-10-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/01/consultation-62.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/10-2568.md

============================================================
โนด: ข้อหารือ 11/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/11-2566.md

# ข้อหารือที่ 11/2566 เรื่อง บริษัท ศ. ขอหารือแนวทางปฏิบัติการยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 39](https://link.pdpalawbase.com/section/39.md) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (3)
2. พระราชบัญญัติอาคารชุด พ.ศ. 2522 และที่แก้ไขเพิ่มเติม
3. ประมวลกฎหมายแพ่งและพาณิชย์ — มาตรา 1012
4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 ข้อ 3
5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565

## ข้อหารือ

บริษัท ศ. ซึ่งเป็นผู้ประกอบธุรกิจด้านบริหารอาคารชุดและหมู่บ้านหลายโครงการขอหารือว่า องค์กรที่ไม่แสวงหากำไรที่ได้รับการยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กตามประกาศ คคส. เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 จะหมายถึงนิติบุคคลอาคารชุดที่จัดตั้งตามพระราชบัญญัติอาคารชุด พ.ศ. 2522 ต่อกรมที่ดิน โดยมีวัตถุประสงค์เพื่อจัดการดูแลรักษาทรัพย์สินส่วนกลาง ตามที่กำหนดไว้ในมาตรา 33 แห่ง พ.ร.บ. อาคารชุดฯ ด้วยหรือไม่

ผู้หารือให้ข้อมูลเพิ่มเติมว่า กรมสรรพากรเคยวินิจฉัยว่านิติบุคคลอาคารชุดไม่อยู่ในบังคับต้องเสียภาษีเงินได้นิติบุคคล เนื่องจากนิติบุคคลอาคารชุดไม่เข้าลักษณะเป็นบริษัทหรือห้างหุ้นส่วนนิติบุคคล ตามมาตรา 39 แห่งประมวลรัษฎากร

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือแล้ว เห็นว่า ข้อ 3 ของประกาศ คคส. เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับยกเว้นไม่ต้องดำเนินการบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8) แห่ง PDPA จะต้องมีลักษณะอย่างใดอย่างหนึ่ง ดังต่อไปนี้:

1. เป็นวิสาหกิจขนาดย่อมหรือวิสาหกิจขนาดกลาง
2. เป็นวิสาหกิจชุมชนหรือเครือข่ายวิสาหกิจชุมชน
3. เป็นวิสาหกิจเพื่อสังคมหรือกลุ่มกิจการเพื่อสังคม
4. เป็นสหกรณ์ ชุมนุมสหกรณ์ หรือกลุ่มเกษตรกร
5. เป็นมูลนิธิ สมาคม องค์กรศาสนา หรือองค์กรที่ไม่แสวงหากำไร
6. เป็นกิจการในครัวเรือนหรือกิจการอื่นในลักษณะเดียวกัน

**กรณีนิติบุคคลอาคารชุด** ที่จดทะเบียนตามกฎหมายว่าด้วยอาคารชุดย่อมมีฐานะเป็นนิติบุคคลโดยมีวัตถุประสงค์เพื่อจัดการ และดูแลรักษาทรัพย์ส่วนกลาง หากไม่ได้ขายสินค้าหรือให้บริการใดกับบุคคลอื่นซึ่งมิใช่เจ้าของห้องชุดหรือผู้พักอาศัย หรือกระทำกิจการใดที่มีลักษณะเพื่อแสวงหากำไร จะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นองค์กรที่ไม่แสวงหากำไร ซึ่งได้รับยกเว้นไม่ต้องบันทึกรายการตามข้อ 3 (5) ของประกาศ คคส.

ทั้งนี้ การยกเว้นดังกล่าวไม่รวมถึงกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่เก็บรวบรวมเป็นครั้งคราว หรือมีการเก็บรวบรวมตามมาตรา 26 ตามนัยข้อ 3 วรรคสาม ประกอบ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคสาม การดำเนินงานในส่วนอื่นยังคงมีหน้าที่ต้องปฏิบัติให้เป็นไปตาม PDPA

**สำหรับการดำเนินงานของบริษัท ศ. นั้น** เนื่องจากบริษัทฯ มีฐานะเป็นนิติบุคคลที่จดทะเบียนตามประมวลกฎหมายแพ่งและพาณิชย์ (มาตรา 1012 บัญญัติว่าการจัดตั้งบริษัทฯ เป็นไปเพื่อแบ่งปันกำไร) บริษัทฯ จึงไม่ถือเป็นองค์กรที่ไม่แสวงหากำไร ประกอบกับเมื่อพิจารณาจากข้อเท็จจริง บริษัทฯ ทำหน้าที่เป็น**ผู้ประมวลผลข้อมูลส่วนบุคคล**ของนิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร (ผู้ว่าจ้าง) เนื่องจากบริษัทฯ เป็นนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล

บริษัทฯ จึงไม่ต้องดำเนินการบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ในส่วนของการบริหารอาคารชุดและหมู่บ้านจัดสรร เพราะไม่มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล แต่บริษัทฯ มีหน้าที่จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (3) ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล ตามหลักเกณฑ์และวิธีการในประกาศ คคส. เรื่อง หลักเกณฑ์และวิธีการในการจัดทำและเก็บรักษาบันทึกรายการสำหรับผู้ประมวลผลข้อมูลส่วนบุคคล พ.ศ. 2565 (มีผลใช้บังคับ 17 ธันวาคม 2565)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-11-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-11.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/11-2566.md

============================================================
โนด: ข้อหารือ 11/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/11-2567.md

# ข้อหารือที่ 11/2567 เรื่อง สำนักงาน ป.ป.ช. ขอให้ตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) 
2. พระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 
มาตรา 64 มาตรา 66 วรรคหนึ่ง และมาตรา 98 
3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 
มาตรา 9 (8) 
4. ประกาศคณะกรรมการข้อมูลข่าวสารของราชการ เรื่อง กำหนดให้ประกาศเชิญชวนทั่วไป ประกาศ
ผลผู้ชนะการจัดซื้อจัดจ้าง และสัญญาที่ได้มีการอนุมัติสั่งซื้อหรือสั่งจ้าง เป็นข้อมูลข่าวสารที่ต้องจัดไว้
ให้ประชาชนเข้าตรวจดูได้ตามมาตรา 9 วรรคหนึ่ง (8) แห่งพระราชบัญญัติข้อมูลข่าวสารของ
ราชการ พ.ศ. 2540

## ข้อหารือ

สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ (สำนักงาน ป.ป.ช.)  
ขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยสรุปความได้ว่า สำนักงาน ป.ป.ช. ได้รับการประสาน
จากหน่วยงานของรัฐที่เข้าร่วมการประเมินคุณธรรมและความโปร่งใสในการดำเนินงานของหน่วยงานภาครัฐ 
(Integrity and Transparency Assessment: ITA) ประจำปีงบประมาณ พ.ศ. 2567 ว่า สำนักงาน
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้เคยมีหนังสือแจ้งการตรวจสอบเหตุการละเมิดข้อมูลส่วนบุคคล 
ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่หน่วยงานได้เปิดเผยเลขประจำตัวผู้เสียภาษีอากร 
หรือเลขประจำตัวประชาชนของผู้ประกอบการที่ได้รับการคัดเลือก อันอาจก่อให้เกิดความเสียหายต่อเจ้าของข้อมูล
ส่วนบุคคลและมีความไม่สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งข้อมูลดังกล่าว 
เป็นส่วนหนึ่งของข้อมูลที่การประเมิน ITA กำหนดให้หน่วยงานของรัฐที่เข้าร่วมการประเมินเปิดเผยไว้ทางหน้า
เว็บไซต์หลักของหน่วยงานตามแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) โดยหลักเกณฑ์การเปิดเผยข้อมูล
ดังกล่าวของการประเมิน ITA เป็นไปตามที่พระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ  
พ.ศ. 2560 กำหนดไว้ กล่าวคือ มาตรา 66 วรรคหนึ่ง กำหนดให้หน่วยงานของรัฐประกาศผลผู้ชนะการจัดซื้อจัด
จ้างหรือผู้ได้รับการคัดเลือกและเหตุผลสนับสนุนในระบบเครือข่ายสารสนเทศของกรมบัญชีกลาง 
และของหน่วยงานของรัฐตามวิธีการที่กรมบัญชีกลางกำหนด และให้ปิดประกาศโดยเปิดเผย ณ สถานที่ 
ปิดประกาศของหน่วยงานของรัฐนั้น และมาตรา 98 กำหนดให้หน่วยงานของรัฐประกาศเผยแพร่สาระสำคัญ 
ของสัญญาหรือข้อตกลงที่ได้ลงนามแล้ว รวมทั้งการแก้ไขเปลี่ยนแปลงสัญญาหรือข้อตกลงในระบบเครือข่าย
สารสนเทศของกรมบัญชีกลางและของหน่วยงานของรัฐตามหลักเกณฑ์และวิธีการที่กรมบัญชีกลางกำหนด 
โดยกรมบัญชีกลางได้มีหนังสือเวียนแจ้งหลักเกณฑ์และวิธีการเผยแพร่สาระสำคัญของสัญญาที่ได้
กำหนดให้หน่วยงานเปิดเผยเลขประจำตัวผู้เสียภาษีอากร/เลขประจำตัวประชาชนของผู้ที่ได้รับการคัดเลือก ดังนี้ 
1) หนังสือกรมบัญชีกลาง ที่ กค 0433.4/ว 568 ลงวันที่ 30 พฤศจิกายน 2563  
เรื่อง แนวทางปฏิบัติในการเปิดเผยสรุปผลการดำเนินการจัดซื้อจัดจ้างของหน่วยงานของรัฐไว้ในศูนย์ข้อมูล
ข่าวสารของราชการในระบบการจัดซื้อจัดจ้างภาครัฐด้วยอิเล็กทรอนิกส์ (Electronic Government 
Procurement : e-GP) ซึ่งในข้อมูลสาระสำคัญในสัญญา ได้กำหนดให้หน่วยงานเปิดเผยเลขประจำตัวผู้เสียภาษี
อากรของผู้เสนอราคาและผู้ที่ได้รับการคัดเลือก 
2) หนังสือกรมบัญชีกลาง ด่วนที่สุด ที่ กค 0405.2/ว 62 ลงวันที่ 5 กุมภาพันธ์ 2562  
เรื่อง แนวทางการประกาศผลผู้ชนะการจัดซื้อจัดจ้างหรือผู้ได้รับการคัดเลือก และสาระสำคัญของสัญญา  
หรือข้อตกลงเป็นหนังสือ กรณีที่ไม่ได้ดำเนินการในระบบ e-GP ซึ่งในรายละเอียดแนบท้ายประกาศผลผู้ชนะ 
การจัดซื้อจัดจ้างหรือผู้ได้รับการคัดเลือก และสาระสำคัญของสัญญาหรือข้อตกลงเป็นหนังสือ ได้กำหนดให้
หน่วยงานเปิดเผยเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชนของผู้ที่ได้รับการคัดเลือก 
ดังนั้น เพื่อให้เกิดความชัดเจน สำนักงาน ป.ป.ช. จึงขอให้คณะกรรมการคุ้มครองข้อมูล 
ส่วนบุคคลตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 ว่าการเปิดเผยข้อมูลเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชนของผู้ที่ได้รับการ
คัดเลือกในการจัดซื้อจัดจ้างไว้บนหน้าเว็บไซต์หลักของหน่วยงานเป็นการละเมิดข้อมูลส่วนบุคคล 
ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ อย่างไร

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อหารือของสำนักงาน ป.ป.ช. โดยมีผู้แทน
สำนักงาน ป.ป.ช. และผู้แทนกรมบัญชีกลาง เป็นผู้ชี้แจงข้อเท็จจริงแล้ว ปรากฏข้อเท็จจริงเพิ่มเติมว่า  
การกำหนดให้มีการเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าว ปรากฏในหนังสือของกรมบัญชีกลางจำนวน 2 ฉบับ คือ 
1) หนังสือกรมบัญชีกลาง ด่วนที่สุด ที่ กค 0405.2/ว 62 ลงวันที่ 5 กุมภาพันธ์ 2562  
มีวัตถุประสงค์ในการประกาศผลในการจัดซื้อจัดจ้างโดยเก็บรวบรวมข้อมูลการจัดซื้อจัดจ้างของหน่วยงานของรัฐ
เป็นรายไตรมาส โดยรายละเอียดของข้อมูลที่เก็บรวบรวมจะมีเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัว
ประชาชนของผู้ชนะการคัดเลือกอยู่ด้วย ซึ่งในปัจจุบันกรมบัญชีกลางอยู่ระหว่างพิจารณาทบทวนแนวทาง 
การดำเนินการที่เหมาะสมเกี่ยวกับข้อมูลส่วนบุคคลดังกล่าว 
2) หนังสือกรมบัญชีกลาง ที่ กค 0433.4/ว 568 ลงวันที่ 30 พฤศจิกายน 2563  
มีวัตถุประสงค์เพื่อการเปิดเผยข้อมูลข่าวสารตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540  
ซึ่งกำหนดให้หน่วยงานของรัฐเปิดเผยข้อมูลสาระสำคัญของสัญญาในเว็บไซต์ของหน่วยงานของรัฐนั้น  
โดยกรมบัญชีกลางเห็นว่าการเปิดเผยข้อมูลดังกล่าวเป็นหน้าที่ของหน่วยงานของรัฐต่าง ๆ ที่ต้องถือปฏิบัติอยู่แล้ว 
กรมบัญชีกลางจึงนำข้อมูลที่เก็บรวบรวมไว้ในระบบการจัดซื้อจัดจ้างภาครัฐด้วยอิเล็กทรอนิกส์ (Electronic 
Government Procurement: e-GP) มาเปิดเผยบนเว็บไซต์ www.gprocurement.go.th เพื่อให้ผู้เกี่ยวข้อง
สามารถสืบค้นและเข้าถึงได้สะดวกขึ้น ซึ่งในปัจจุบันกรมบัญชีกลางอยู่ระหว่างพิจารณาทบทวนแนวทาง 
การดำเนินการที่เหมาะสมเกี่ยวกับข้อมูลส่วนบุคคลดังกล่าว 
นอกจากนี้ กรมบัญชีกลางอยู่ระหว่างการรวบรวมข้อมูลว่าแนวทางที่กำหนดตามพระราชบัญญัติ
การจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 มีส่วนใดที่ไม่สอดคล้องกับพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ เพื่อพิจารณาปรับปรุงแก้ไขให้มีความเหมาะสม และจะแจ้งเวียนหน่วยงาน
ของรัฐที่เกี่ยวข้องต่อไป อย่างไรก็ตาม สำหรับรายชื่อและเลขประจำตัวผู้เสียภาษีอากร/เลขประจำตัวประชาชน
ของผู้ทิ้งงานนั้น กรมบัญชีกลางเห็นว่ายังมีความจำเป็นต้องเปิดเผยแก่หน่วยงานที่เกี่ยวข้องเพื่อประโยชน์ 
ในการรักษาความมั่นคงทางการคลังของรัฐ ซึ่งได้รับยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล  
พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 
ส่วนการดำเนินงานของสำนักงาน ป.ป.ช. ในฐานะหน่วยงานที่เป็นผู้ประเมินคุณธรรม 
และความโปร่งใสในการดำเนินงานของหน่วยงานภาครัฐ (Integrity and Transparency Assessment: ITA) นั้น 
สำนักงาน ป.ป.ช. จะกำหนดให้หน่วยงานของรัฐที่เข้าร่วมการประเมินปฏิบัติตามกฎหมายที่ใช้บังคับกับหน่วยงาน
นั้น โดยพิจารณาจากข้อกำหนดในกฎหมายและแนวทางปฏิบัติที่เกี่ยวข้อง โดยสำนักงาน ป.ป.ช. ไม่ได้กำหนด
เงื่อนไขในการเปิดเผยข้อมูลส่วนบุคคลเป็นการเฉพาะ ซึ่งหากแนวทางปฏิบัติตามกฎหมายฉบับใดมีการปรับปรุง
แก้ไขให้เหมาะสม สำนักงาน ป.ป.ช. ก็จะพิจารณาดำเนินการให้สอดคล้องกันต่อไป 
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาแล้วเห็นว่า การเปิดเผยข้อมูลส่วนบุคคล 
ของผู้ประกอบการที่ได้รับการคัดเลือกในการจัดซื้อจัดจ้างของหน่วยงานของรัฐ ซึ่งปรากฏเลขประจำตัวผู้เสียภาษี
อากรหรือเลขประจำตัวประชาชนรวมอยู่ด้วยนั้น เป็นการดำเนินการตามพระราชบัญญัติการจัดซื้อจัดจ้าง 
และการบริหารพัสดุภาครัฐ พ.ศ. 2560 และแนวทางที่กรมบัญชีกลางกำหนดตามมาตรา 66 วรรคหนึ่ง  
และมาตรา 98 แห่งพระราชบัญญัติดังกล่าว อีกทั้งยังเป็นข้อมูลข่าวสารที่หน่วยงานของรัฐต้องจัดไว้ให้ประชาชน
เข้าตรวจดูได้ตามมาตรา 9 (8) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ประกอบประกาศ
คณะกรรมการข้อมูลข่าวสารของราชการ เรื่อง กำหนดให้ประกาศเชิญชวนทั่วไป ประกาศผลผู้ชนะการจัดซื้อจัด
จ้าง และสัญญาที่ได้มีการอนุมัติสั่งซื้อหรือสั่งจ้าง เป็นข้อมูลข่าวสารที่ต้องจัดไว้ให้ประชาชนเข้าตรวจดูได้ 
ตามมาตรา 9 วรรคหนึ่ง (8) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 อีกด้วย จึงถือเป็นกรณีที่
หน่วยงานของรัฐในฐานะผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่ต้องปฏิบัติตามกฎหมาย และสามารถเก็บรวบรวม ใช้ 
หรือเปิดเผยข้อมูลส่วนบุคคลได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล  
ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562  
การที่สำนักงาน ป.ป.ช. กำหนดตามแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) ในการประเมิน ITA ให้หน่วยงาน
ของรัฐที่เข้าร่วมการประเมินเปิดเผยข้อมูลของผู้ประกอบการที่ได้รับการคัดเลือกในการจัดซื้อจัดจ้างของหน่วยงาน
ของรัฐไว้บนหน้าเว็บไซต์หลักของหน่วยงาน ตามแนวทางที่กรมบัญชีกลางกำหนดตามพระราชบัญญัติการจัดซื้อจัดจ้าง
และการบริหารพัสดุภาครัฐ พ.ศ. 2560 จึงเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562  
และไม่ถือเป็นเหตุการละเมิดข้อมูลส่วนบุคคลตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่ออก 
ตามความใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แต่อย่างใด 
อย่างไรก็ตาม คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล มีข้อสังเกตเพิ่มเติม กรมบัญชีกลางควรพิจารณา
ทบทวนแนวทางที่กำหนดตามพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 ว่า  
มีความสอดคล้องและเหมาะสมตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ เพียงใด  
เช่น การเปิดเผยเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชนของผู้ประกอบการมีความจำเป็น 
ต้องเปิดเผยข้อมูลทั้งหมดหรือไม่ หรือสามารถปกปิดหรือพรางข้อมูลบางส่วนได้ เพื่อลดความเสี่ยงในการนำข้อมูล
ส่วนบุคคลไปใช้โดยไม่เหมาะสมหรืออาจเป็นผลร้ายต่อเจ้าของข้อมูลส่วนบุคคลในอนาคต อันจะเป็นการปรับปรุง
พัฒนาแนวทางการดำเนินงานของหน่วยงานของรัฐให้มีความเหมาะสมและเป็นการคุ้มครองประโยชน์ของประชาชน
มากยิ่งขึ้น ซึ่งหากกรมบัญชีกลางได้มีการปรับปรุงแก้ไขแนวทางดังกล่าวแล้ว สำนักงาน ป.ป.ช. อาจพิจารณากำหนด
หลักเกณฑ์การประเมิน ITA ให้สอดคล้องกับแนวทางของกรมบัญชีกลางดังกล่าวได้ต่อไป 
ทั้งนี้ สำหรับการแจ้งเวียนหรือเปิดเผยเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชน
ของผู้ประกอบการที่เป็นผู้ทิ้งงานตามพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 นั้น 
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเห็นว่า ถือเป็นกรณีที่มีความจำเป็นเพื่อประโยชน์ในกระบวนการจัดซื้อจัดจ้าง
ของหน่วยงานของรัฐที่ต้องมีการตรวจสอบคุณสมบัติและลักษณะต้องห้ามของผู้ที่จะเข้ายื่นข้อเสนอ 
ตามมาตรา 64 แห่งพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 กรมบัญชีกลาง 
และหน่วยงานของรัฐที่เกี่ยวข้องจึงสามารถดำเนินการต่อไปได้ โดยเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูล 
ส่วนบุคคล พ.ศ. 2562 [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แต่คณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคลมีข้อสังเกตเพิ่มเติมว่า การแจ้งเวียนรายชื่อผู้ทิ้งงานดังกล่าวยังมิอาจรับฟังได้ว่าถือเป็นการดำเนินการ
ของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงทางการคลังของรัฐโดยตรง จึงไม่ใช่กรณีที่ได้รับยกเว้น 
ไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) 
อนึ่ง คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมีข้อสังเกตเพิ่มเติมเกี่ยวกับกระบวนการตามแบบ
วัดการรับรู้ของผู้มีส่วนได้ส่วนเสียภายนอก (External Integrity and Transparency Assessment: EIT) ว่า
สำนักงาน ป.ป.ช. ควรพิจารณากำหนดมาตรการในการประเมินที่คำนึงถึงการรักษาความลับของเจ้าของข้อมูล 
ส่วนบุคคลที่เป็นผู้รับบริการของหน่วยงานของรัฐที่เข้าร่วมการประเมิน โดยเฉพาะในกรณีที่เป็นผู้รับบริการ 
ที่หน่วยงานของรัฐมีการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วน
บุคคล พ.ศ. 2562 ซึ่งเป็นข้อมูลส่วนบุคคลอ่อนไหวที่ต้องใช้ความระมัดระวังเป็นพิเศษ เช่น รายชื่อผู้รับบริการ
สุขภาพของโรงพยาบาลของรัฐ

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-11-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-40-v2.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/11-2567.md

============================================================
โนด: ข้อหารือ 11/2568
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/11-2568.md

# ข้อหารือที่ 11/2568 เรื่อง แพทยสภาหารือแนวทางปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เกี่ยวกับการเปิดเผยข้อมูลการลงโทษผู้ประกอบวิชาชีพเวชกรรม

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md)
2. พระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 — มาตรา 6 มาตรา 7 (1) และ (4) มาตรา 8 (1) และ (2) มาตรา 21 (3) (ช) มาตรา 25 วรรคหนึ่ง (1) มาตรา 32 มาตรา 33 มาตรา 39 มาตรา 40 และมาตรา 41 วรรคหนึ่ง
3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4 มาตรา 9 มาตรา 14 และมาตรา 15
4. ข้อบังคับแพทยสภาว่าด้วยวิธีพิจารณาจริยธรรมผู้ประกอบวิชาชีพเวชกรรม พ.ศ. 2563 — ข้อ 47 วรรคสอง และข้อ 48

## ข้อหารือ

แพทยสภาแจ้งว่า เนื่องจากพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 มาตรา 7 (1) มีวัตถุประสงค์ให้แพทยสภาทำหน้าที่ควบคุมการประกอบวิชาชีพเวชกรรมให้ถูกต้องตามจริยธรรมแห่งวิชาชีพเวชกรรม และ (4) ช่วยเหลือ แนะนำ เผยแพร่ และให้ความรู้แก่ประชาชนในเรื่องที่เกี่ยวกับการแพทย์และการสาธารณสุข เจตนารมณ์ของกฎหมายจึงกำหนดให้แพทยสภามีหน้าที่ในการรับขึ้นทะเบียนออกใบอนุญาตแก่ผู้ประกอบวิชาชีพเวชกรรม เพื่อให้ประชาชนสามารถตรวจสอบข้อมูล และยืนยันความถูกต้องของผู้ประกอบวิชาชีพเวชกรรมบนเว็บไซต์ได้ อันเป็นการคุ้มครองประชาชนก่อนที่จะตัดสินใจเข้ารับการรักษาพยาบาล โดยแพทยสภากำหนดให้ประชาชนทั่วไปที่จะเข้ารับการรักษากับผู้ประกอบวิชาชีพเวชกรรมสามารถตรวจสอบสถานะความเป็นผู้ประกอบวิชาชีพเวชกรรมผ่านเว็บไซต์ของแพทยสภา โดยกำหนดเงื่อนไขให้ประชาชนผู้ประสงค์ตรวจสอบกรอกข้อมูลให้ถูกต้องครบถ้วน (ชื่อ-นามสกุล) แต่ในกรณีที่ชื่อ นามสกุล หรือเลขที่ใบอนุญาตของผู้ประกอบวิชาชีพเวชกรรมไม่ถูกต้อง หรือถูกต้องแต่ผู้ประกอบวิชาชีพเวชกรรมรายดังกล่าวถูกพักใช้ใบอนุญาตหรือถูกเพิกถอนใบอนุญาต จะปรากฏข้อความว่า “ไม่พบข้อมูล”

ทั้งนี้ แพทยสภาเห็นว่า หากมีกรณีที่ผู้ประกอบวิชาชีพเวชกรรมถูกลงโทษทางด้านจริยธรรม ควรเปิดเผยถึงสถานภาพและระยะเวลาการถูกพักใช้ใบอนุญาตหรือเพิกถอนใบอนุญาตแทนข้อความว่า “ไม่พบข้อมูล” รวมถึงเปิดเผยข้อมูลในคำสั่งลงโทษจริยธรรมดังกล่าวบนเว็บไซต์ของแพทยสภา ซึ่งเป็นหลักการตรวจสอบในลักษณะเดียวกันกับสภาเภสัชกรรม เพื่อให้ประชาชนและหรือหน่วยงานที่เกี่ยวข้องได้ทราบ และได้ใช้ความระมัดระวังบุคคลดังกล่าว อันเป็นการคุ้มครองประชาชนและสาธารณะ ซึ่งปัจจุบันพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 ยังไม่ได้กำหนดให้แพทยสภามีการเปิดเผยข้อมูลในคำสั่งลงโทษจริยธรรมของผู้ประกอบวิชาชีพเวชกรรมไว้อย่างชัดเจนว่า สามารถกระทำได้หรือไม่เพียงใดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เพื่อให้มีการปฏิบัติตามกฎหมายดังกล่าวได้อย่างถูกต้องและเป็นไปด้วยดี แพทยสภาจึงขอหารือว่า สามารถเปิดเผยข้อมูลดังต่อไปนี้ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้หรือไม่ ดังนี้

1. ปัจจุบัน แพทยสภาอนุญาตให้ประชาชนสามารถตรวจสอบ ชื่อ - สกุล เลขที่ใบอนุญาตของผู้ประกอบวิชาชีพเวชกรรมได้ แต่มีประเด็นขอหารือว่า ประชาชนทั่วไปหรือผู้ที่เกี่ยวข้องสามารถเข้าตรวจสอบสถานะเพิกถอนหรือพักใช้ใบอนุญาตประกอบวิชาชีพเวชกรรม รวมถึงระยะเวลาในการพักใช้ใบอนุญาตฯ ได้หรือไม่ หรือหากสามารถเปิดเผยระยะเวลาในการพักใช้ใบอนุญาตฯ และเมื่อพ้นระยะเวลาพักใช้ใบอนุญาตดังกล่าวแล้วสามารถคงไว้ซึ่งสถานะที่เคยถูกลงโทษได้หรือไม่ อย่างไร

2. กรณีที่แพทยสภาได้รับแจ้งคำสั่งลงโทษการประพฤติผิดจริยธรรมของผู้ประกอบวิชาชีพเวชกรรมตามพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 แพทยสภาจะสามารถเปิดเผยข้อมูลในคำสั่งลงโทษจริยธรรมดังกล่าวบนเว็บไซต์ของแพทยสภาได้ทั้งหมด หรือบางส่วน เพื่อให้ประชาชนและหรือหน่วยงานที่เกี่ยวข้องได้พึงทราบและได้ใช้ความระมัดระวังจากการประกอบวิชาชีพเวชกรรมของแพทย์ อันเป็นสิทธิที่ประชาชนควรทราบ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้หรือไม่ เพียงใด

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว เห็นว่า แพทยสภามีฐานะเป็นนิติบุคคลตามมาตรา 6 วรรคสอง แห่งพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 ซึ่งมีวัตถุประสงค์ประการหนึ่งในการควบคุมการประพฤติของผู้ประกอบวิชาชีพเวชกรรมให้ถูกต้องตามจริยธรรมแห่งวิชาชีพเวชกรรม ตามมาตรา 6 วรรคหนึ่ง ประกอบมาตรา 7 (1) แห่งพระราชบัญญัติดังกล่าว แพทยสภาจึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และในขณะเดียวกัน แพทยสภาก็เป็นองค์กรควบคุมการประกอบวิชาชีพ จึงถือเป็นหน่วยงานของรัฐตามบทนิยามในมาตรา 4 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ดังนั้น ข้อมูลข่าวสาร (ซึ่งรวมถึงข้อมูลข่าวสารส่วนบุคคล) ที่อยู่ในความครอบครองหรือควบคุมดูแลของแพทยสภา จึงเป็นข้อมูลข่าวสารของราชการ ตามนัยมาตรา 4 แห่งพระราชบัญญัติเดียวกัน

เนื่องจากแพทยสภาอยู่ภายใต้บังคับแห่งพระราชบัญญัติทั้ง 2 ฉบับดังกล่าว และ [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ ดังนั้น เพื่อให้การเปิดเผยข้อมูลส่วนบุคคลของแพทยสภาในประเด็นที่หารือเป็นไปตามกฎหมายทั้ง 2 ฉบับ แพทยสภาจึงควรพิจารณาเปิดเผยข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 ซึ่งเป็นกฎหมายที่ได้บัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลสำหรับหน่วยงานของรัฐไว้โดยเฉพาะแล้วเป็นหลักก่อน และให้พิจารณาบทบัญญัติเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติมในการดำเนินการดังกล่าว โดยคณะอนุกรรมการตอบข้อหารือฯ มีความเห็นในแต่ละประเด็นที่หารือ ดังนี้

ประเด็นข้อหารือที่ 1 ในประเด็นที่ว่า แพทยสภาจะอนุญาตให้ประชาชนทั่วไปหรือผู้ที่เกี่ยวข้องสามารถเข้าตรวจสอบสถานะเพิกถอนหรือพักใช้ใบอนุญาตประกอบวิชาชีพเวชกรรม รวมถึงระยะเวลาในการพักใช้ใบอนุญาตฯ ได้หรือไม่ นั้น เห็นว่า แพทยสภามีวัตถุประสงค์ประการหนึ่งในการควบคุมการประพฤติของผู้ประกอบวิชาชีพเวชกรรมให้ถูกต้องตามจริยธรรมแห่งวิชาชีพเวชกรรม ตามมาตรา 6 ประกอบมาตรา 7 (1) แห่งพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 และมีอำนาจหน้าที่ในการรับขึ้นทะเบียนและออกใบอนุญาตให้แก่ผู้ขอเป็นผู้ประกอบวิชาชีพเวชกรรม และพักใช้ใบอนุญาตหรือเพิกถอนใบอนุญาตเป็นผู้ประกอบวิชาชีพเวชกรรม ตามมาตรา 6 ประกอบมาตรา 8 (1) และ (2) นอกจากนี้ แพทยสภายังมีหน้าที่ตามมาตรา 33 แห่งพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 ในการดำเนินการเกี่ยวกับการพิจารณาจริยธรรมผู้ประกอบวิชาชีพเวชกรรมเมื่อได้รับเรื่องการกล่าวหาหรือการกล่าวโทษผู้ประกอบวิชาชีพเวชกรรมตามมาตรา 32 โดยเป็นไปตามข้อบังคับแพทยสภาว่าด้วยวิธีพิจารณาจริยธรรมผู้ประกอบวิชาชีพเวชกรรม พ.ศ. 2563 ซึ่งเมื่อคณะกรรมการแพทยสภาได้รับสำนวนการสอบสวนและความเห็นของคณะอนุกรรมการสอบสวนแล้ว มาตรา 39 แห่งพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 กำหนดให้คณะกรรมการแพทยสภาพิจารณาและมีอำนาจวินิจฉัยชี้ขาด โดยคำวินิจฉัยชี้ขาดให้ทำเป็นคำสั่งแพทยสภา และมาตรา 40 กำหนดให้เลขาธิการแพทยสภาบันทึกคำสั่งแพทยสภาไว้ในทะเบียนผู้ประกอบวิชาชีพเวชกรรมด้วย โดยผู้ประกอบวิชาชีพเวชกรรมซึ่งถูกสั่งพักใช้ใบอนุญาต ให้ถือว่ามิได้เป็นผู้ประกอบวิชาชีพเวชกรรมนับแต่วันที่คณะกรรมการแพทยสภาสั่งพักใช้ใบอนุญาตนั้น ตามมาตรา 41 วรรคหนึ่ง

การที่แพทยสภาเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ประกอบวิชาชีพเวชกรรม เพื่อดำเนินการให้เป็นไปตามวัตถุประสงค์และอำนาจหน้าที่ตามพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 จึงถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และ/หรือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง ซึ่งเป็นกรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ดังนั้น แพทยสภาจึงสามารถเปิดเผยข้อมูลชื่อ-สกุล เลขที่ใบอนุญาตของผู้ประกอบวิชาชีพเวชกรรม รวมถึงข้อมูลเกี่ยวกับสถานะใบอนุญาต รวมถึงการเพิกถอนหรือพักใช้ใบอนุญาต และระยะเวลาในการถูกพักใช้ใบอนุญาตของผู้ประกอบวิชาชีพเวชกรรมบนเว็บไซต์ของแพทยสภาได้ โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในฐานะที่แพทยสภาเป็นสภาวิชาชีพหรือองค์กรควบคุมการประกอบวิชาชีพที่มีวัตถุประสงค์ในการควบคุมการประพฤติของผู้ประกอบวิชาชีพเวชกรรมให้ถูกต้องตามจริยธรรมแห่งวิชาชีพเวชกรรม อันเป็นประโยชน์สาธารณะ

อย่างไรก็ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้แพทยสภาต้องบันทึกการใช้หรือเปิดเผยข้อมูลส่วนบุคคลนั้นไว้ในบันทึกรายการ (Record of Processing Activities: ROPA) ตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ด้วย นอกจากนี้ [มาตรา 35](https://link.pdpalawbase.com/section/35.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดให้แพทยสภามีหน้าที่ต้องดำเนินการให้ข้อมูลส่วนบุคคลนั้น (เช่น สถานะใบอนุญาตของผู้ประกอบวิชาชีพเวชกรรม) ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

สำหรับประเด็นที่ว่า เมื่อพ้นระยะเวลาพักใช้ใบอนุญาตของผู้ประกอบวิชาชีพเวชกรรมแล้ว แพทยสภาจะสามารถคงไว้ซึ่งสถานะที่เคยถูกลงโทษได้หรือไม่ อย่างไร นั้น เห็นว่า แพทยสภามีหน้าที่พิจารณาว่าจะสามารถเปิดเผยข้อมูลส่วนบุคคลตามที่หารือได้หรือไม่ เพียงใด โดยพิจารณาชั่งน้ำหนักว่า การเปิดเผยข้อมูลเกี่ยวกับสถานะและระยะเวลาการพักใช้ใบอนุญาตที่พ้นระยะเวลามาแล้วดังกล่าว ซึ่งเป็นส่วนหนึ่งของข้อมูลทางทะเบียนของผู้ประกอบวิชาชีพเวชกรรมตามมาตรา 40 แห่งพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 อยู่แล้วนั้น จะมีประโยชน์และความจำเป็นเพียงใดเพื่อให้บรรลุวัตถุประสงค์ในการตรวจสอบสถานะของผู้ประกอบวิชาชีพเวชกรรม ในทางกลับกัน การเปิดเผยดังกล่าวจะเป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควรของผู้ประกอบวิชาชีพเวชกรรมหรือไม่ เพียงใด แล้วพิจารณาความเหมาะสมของการเปิดเผยข้อมูลตามวัตถุประสงค์ดังกล่าว โดยคำนึงถึงการปฏิบัติหน้าที่ตามกฎหมายของแพทยสภา ประโยชน์สาธารณะ และประโยชน์ของเอกชนที่เกี่ยวข้องประกอบกัน ตามนัยมาตรา 15 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 รวมทั้งหลักการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ต้องกระทำเท่าที่จำเป็น (data minimization principle) ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ประเด็นข้อหารือที่ 2 แพทยสภาจะสามารถเปิดเผยข้อมูลในคำสั่งลงโทษจริยธรรมทั้งหมดหรือบางส่วนบนเว็บไซต์ของแพทยสภาเพื่อให้ประชาชนและ/หรือหน่วยงานที่เกี่ยวข้องได้ทราบ จะสามารถทำได้หรือไม่ เพียงใด นั้น เห็นว่า มาตรา 9 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 บัญญัติว่า หน่วยงานของรัฐต้องจัดให้มีข้อมูลข่าวสารของราชการอย่างน้อยดังต่อไปนี้ไว้ให้ประชาชนเข้าตรวจดูได้ (1) ผลการพิจารณาหรือคำวินิจฉัยที่มีผลโดยตรงต่อเอกชน รวมทั้งความเห็นแย้งและคำสั่งที่เกี่ยวข้องในการพิจารณาวินิจฉัยดังกล่าว ฯลฯ โดยบุคคลไม่ว่าจะมีส่วนได้เสียเกี่ยวข้องหรือไม่ก็ตาม ย่อมมีสิทธิเข้าตรวจดู ขอสำเนาหรือขอสำเนาที่มีคำรับรองถูกต้องของข้อมูลข่าวสารดังกล่าวได้ และถ้ามีส่วนที่ต้องห้ามมิให้เปิดเผยตามมาตรา 14 หรือมาตรา 15 อยู่ด้วย ให้หน่วยงานของรัฐลบหรือตัดทอนหรือทำโดยประการอื่นใดที่ไม่เป็นการเปิดเผยข้อมูลข่าวสารส่วนนั้น โดยมาตรา 15 (5) แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 กำหนดให้หน่วยงานของรัฐอาจมีคำสั่งมิให้เปิดเผยข้อมูลข่าวสารของราชการก็ได้ หากเป็นข้อมูลข่าวสารส่วนบุคคลซึ่งการเปิดเผยจะเป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร โดยให้คำนึงถึงการปฏิบัติหน้าที่ตามกฎหมายของหน่วยงานของรัฐ ประโยชน์สาธารณะ และประโยชน์ของเอกชนที่เกี่ยวข้องประกอบกัน

สำหรับการเปิดเผยข้อมูลในคำสั่งลงโทษจริยธรรมทั้งหมดหรือบางส่วนบนเว็บไซต์ของแพทยสภา ข้อบังคับแพทยสภาว่าด้วยวิธีพิจารณาจริยธรรมผู้ประกอบวิชาชีพเวชกรรม พ.ศ. 2563 ที่ออกโดยคณะกรรมการแพทยสภาตามมาตรา 21 (3) (ช) โดยความเห็นชอบของสภานายกพิเศษตามมาตรา 25 วรรคหนึ่ง (1) แห่งพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525 ข้อ 47 วรรคสอง กำหนดว่า คำสั่งพักใช้หรือเพิกถอนใบอนุญาตประกอบวิชาชีพเวชกรรมของผู้ใด ให้คณะกรรมการแพทยสภามีอำนาจในการเผยแพร่สื่ออิเล็กทรอนิกส์ของแพทยสภาก็ได้ นอกจากนี้ ข้อ 48 ของข้อบังคับดังกล่าว กำหนดว่า เพื่อประโยชน์สาธารณะ และเพื่อประโยชน์การศึกษา การวิจัย การประกอบวิชาชีพในทางการแพทย์ และการควบคุมการประพฤติของผู้ประกอบวิชาชีพเวชกรรม การเผยแพร่คำสั่งแพทยสภา เฉพาะมติคณะกรรมการแพทยสภาแก่สื่อมวลชนและสื่ออิเล็กทรอนิกส์ ให้อยู่ในดุลพินิจของคณะกรรมการแพทยสภา ดังนั้น แพทยสภา โดยความเห็นชอบของคณะกรรมการแพทยสภา จะต้องพิจารณาชั่งน้ำหนักความจำเป็นเพื่อให้บรรลุวัตถุประสงค์ในการเปิดเผยข้อมูลในคำสั่งลงโทษจริยธรรม โดยคำนึงถึงการปฏิบัติหน้าที่ตามกฎหมายของแพทยสภา ประโยชน์สาธารณะ และประโยชน์ของเอกชนที่เกี่ยวข้องประกอบกัน ตามนัยมาตรา 15 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 และจะต้องพิจารณาเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็น ตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย เพื่อไม่ให้เป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร โดยเฉพาะการเปิดเผยสำเนาคำสั่งลงโทษจริยธรรมทั้งฉบับบนเว็บไซต์ของแพทยสภา ที่มีข้อความหรือเนื้อหาสาระที่อาจมีผลกระทบต่อเกียรติยศและชื่อเสียงของบุคคลที่เกี่ยวข้อง หากปรากฏชื่อหรือสิ่งที่ทำให้สามารถระบุตัวบุคคลได้ทางตรงหรือทางอ้อมว่าเป็นบุคคลใด โดยไม่มีการลบหรือตัดทอนหรือทำโดยประการอื่นใดที่ไม่เป็นการเปิดเผยข้อมูลข่าวสารส่วนนั้นตามมาตรา 9 แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 โดยเฉพาะในกรณีที่กระบวนการทางกฎหมายที่เกี่ยวข้องยังไม่ถึงที่สุด

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-11-2568.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2026/02/consultation-63.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/11-2568.md

============================================================
โนด: ข้อหารือ 12/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/12-2566.md

# ข้อหารือที่ 12/2566 เรื่อง บริษัท อ. ขอความอนุเคราะห์แนวทางปฏิบัติในการดำเนินการกับทรัพย์สินที่เก็บได้ประเภทอุปกรณ์อิเล็กทรอนิกส์ที่มีข้อมูลส่วนบุคคลเพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — กรณีไม่ถือเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล · [มาตรา 6](https://link.pdpalawbase.com/section/6.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)

## ข้อหารือ

บริษัท อ. ได้จัดทำร่างหลักเกณฑ์เกี่ยวกับการรับฝากทรัพย์สินและการจัดเก็บทรัพย์สินที่เก็บได้ ณ สนามบินที่อยู่ในความรับผิดชอบ จึงขอหารือแนวปฏิบัติในการดำเนินการกับอุปกรณ์อิเล็กทรอนิกส์ที่มีข้อมูลส่วนบุคคลบันทึกอยู่ และการลบหรือทำลายข้อมูลส่วนบุคคลที่อยู่ในอุปกรณ์อิเล็กทรอนิกส์ก่อนนำไปจำหน่ายหรือขายทอดตลาดจะต้องทำอย่างใด

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือแล้ว ขอเรียนว่า การดำเนินกิจกรรมของแผนกบริการทรัพย์สินสูญหาย (Lost & Found) เป็นเพียงการจัดการทรัพย์สินที่ไม่ทราบว่าเป็นของผู้ใดเท่านั้น **ไม่ใช่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคล**ที่จะทำให้บริษัทฯ เป็นผู้ควบคุมข้อมูลส่วนบุคคลแต่อย่างใด

อย่างไรก็ตาม เพื่อให้การดำเนินการของบริษัทฯ เป็นไปตามแนวทางปฏิบัติที่ดี (Best Practice) การที่บริษัทฯ จะนำทรัพย์สินดังกล่าวไปบริจาค/จำหน่าย/ขายทอดตลาด ในกรณีที่ไม่สามารถส่งคืนทรัพย์สินแก่ผู้เป็นเจ้าของได้ และบริษัทฯ สามารถดำเนินการกับทรัพย์สินดังกล่าวได้โดยชอบด้วยกฎหมาย บริษัทฯ ควรทำการลบหรือทำลายข้อมูลส่วนบุคคลที่อยู่ภายในอุปกรณ์อิเล็กทรอนิกส์ด้วย กล่าวคือ:

1. หากอุปกรณ์อิเล็กทรอนิกส์มีชิ้นส่วนที่ใช้จัดเก็บข้อมูลส่วนบุคคล ควรลบหรือทำลายข้อมูลที่อยู่ภายในชิ้นส่วนดังกล่าวให้เรียบร้อย ก่อนที่จะนำไปดำเนินการในขั้นตอนต่อไป เท่าที่จะสามารถกระทำได้
2. หากอุปกรณ์อิเล็กทรอนิกส์ไม่มีชิ้นส่วนที่ใช้จัดเก็บข้อมูลส่วนบุคคล แต่ข้อมูลดังกล่าวถูกจัดเก็บภายในอุปกรณ์อิเล็กทรอนิกส์ ควรตั้งค่าอุปกรณ์ให้กลับไปเป็นค่าโรงงาน (Factory Reset) ก่อนที่จะนำไปดำเนินการในขั้นตอนต่อไป
3. หากไม่สามารถเข้าถึงข้อมูลส่วนบุคคลภายในอุปกรณ์อิเล็กทรอนิกส์ได้ ไม่ว่าจะด้วยวิธีการใดก็ตาม ควรพิจารณาทำลายอุปกรณ์หรือทำลายชิ้นส่วนที่ใช้จัดเก็บข้อมูลส่วนบุคคลก่อน

ซึ่งอาจถือได้ว่าบริษัทฯ ได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสมและเป็นไปตามที่กฎหมายกำหนดไว้แล้ว (ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่ง PDPA)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-12-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-12.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/12-2566.md

============================================================
โนด: ข้อหารือ 12/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/12-2567.md

# ข้อหารือที่ 12/2567 เรื่อง สมาคมธนาคารไทยขอหารือฐานทางกฎหมายในการเก็บรวบรวมและใช้เอกสารบัตรประจำตัวคนพิการ เพื่อการยืนยันตัวตนสำหรับการใช้บริการทางการเงินของผู้พิการ

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
    [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 และที่แก้ไขเพิ่มเติม
    มาตรา 20 มาตรา 20/1 วรรคหนึ่งและวรรคสอง มาตรา 22 วรรคหนึ่ง มาตรา 40 (3/1)
3. กฎกระทรวงกำหนดธุรกรรมที่สถาบันการเงินและผู้ประกอบอาชีพตามมาตรา 16 ต้องจัดให้ลูกค้าแสดงตน
    พ.ศ. 2562
    ข้อ 6
4. กฎกระทรวงการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า พ.ศ. 2563
    ข้อ 17
5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุม
    ข้อมูลส่วนบุคคล พ.ศ. 2565

## ข้อหารือ

สมาคมธนาคารไทยขอหารือกรณีการจัดทำแนวปฏิบัติของสมาคมธนาคารไทยและธนาคารสมาชิก
เพื่อสนับสนุนให้เกิดการให้บริการทางการเงินแก่ลูกค้าผู้พิการอย่างเป็นธรรม เพื่อเป็นมาตรฐานแนวปฏิบัติขั้นต่ำ
สำหรับธนาคารในการให้บริการทางการเงินแก่ผู้พิการ ซึ่งจากการประชุมหารือของคณะทำงาน รวมถึงผู้ที่เกี่ยวข้อง
ได้มีข้อซักถามเกี่ยวกับแนวปฏิบัติในการเก็บรวบรวมและใช้เอกสารแสดงตนสำหรับการใช้บริการทางการเงิน
ของผู้พิการว่า การเก็บรวบรวมและใช้บัตรประจำตัวคนพิการหรือสมุดประจำตัวคนพิการ เป็นเอกสารแสดงตน
ของผู้พิการ ถือได้ว่าธนาคารมีการประมวลผลข้อมูลส่วนบุคคลที่อ่อนไหว (sensitive data) ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ 2562 ธนาคารต้องได้รับความยินยอมในการประมวลผลข้อมูล
ส่วนบุคคลดังกล่าวโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล แต่ในขณะเดียวกันธนาคารมีหน้าที่ต้องปฏิบัติตามกฎหมาย
ว่าด้วยการป้องกันและปราบปรามการฟอกเงิน ในการจัดเก็บข้อมูลและเอกสารของลูกค้าเกี่ยวกับการแสดงตน
การทำธุรกรรม และการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า รวมถึงรายงานการทำธุรกรรม ซึ่งมีข้อกำหนดให้
ธนาคารต้องมีการจัดเก็บรักษาเอกสารตามหลักเกณฑ์และระยะเวลาที่กฎหมายกำหนด ตามมาตรา 22
แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 และที่แก้ไขเพิ่มเติม หากการเก็บรวบรวม
และการใช้เอกสารแสดงตนของผู้พิการดังกล่าวต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล อาจเป็น
เหตุให้ธนาคารไม่สามารถปฏิบัติตามข้อกำหนดตามกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงินได้ สมาคมธนาคาร
ไทยจึงขอหารือเกี่ยวกับการเก็บรวบรวมและใช้เอกสารบัตรประจำตัวคนพิการ/สมุดประจำตัวคนพิการ ในการยืนยันตัวตน
สำหรับการใช้บริการทางการเงินของผู้พิการ ดังนี้
 1. ธนาคารสามารถอาศัยฐานทางกฎหมายที่เป็นข้อยกเว้นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล
ส่วนบุคคลได้หรือไม่ และขอความเห็นเพิ่มเติม
   2. ขอข้อเสนอแนะเพิ่มเติมเกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลดังกล่าว (ถ้ามี)
ความละเอียดแจ้งแล้ว นั้น

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อกฎหมายที่เกี่ยวข้องแล้ว เห็นว่า
มาตรา 20 แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 และที่แก้ไขเพิ่มเติม
โดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ 3) พ.ศ. 2552 ได้บัญญัติให้สถาบันการเงิน
และผู้ประกอบอาชีพตามมาตรา 16 จัดให้ลูกค้าแสดงตนทุกครั้งก่อนการทำธุรกรรมตามที่กำหนดในกฎกระทรวง
ซึ่งต้องกำหนดมาตรการเพื่อขจัดอุปสรรคในการแสดงตนของคนพิการหรือทุพพลภาพด้วย เว้นแต่ลูกค้าได้แสดง
ตนไว้ก่อนแล้ว โดยการแสดงตนดังกล่าวให้เป็นไปตามวิธีการที่รัฐมนตรีประกาศกำหนด ซึ่งข้อ 6 ของกฎกระทรวง
กำหนดธุรกรรมที่สถาบันการเงินและผู้ประกอบอาชีพตามมาตรา 16 ต้องจัดให้ลูกค้าแสดงตน พ.ศ. 2562 ได้
กำหนดให้สถาบันการเงินและผู้ประกอบอาชีพตามมาตรา 16 ต้องกำหนดมาตรการและควบคุมดูแล
การทำธุรกรรมอย่างเคร่งครัด เพื่อมิให้มีการปฏิบัติอันเป็นอุปสรรคต่อการแสดงตนของลูกค้าที่เป็นคนพิการ
หรือคนทุพพลภาพ นอกจากนี้ มาตรา 20/1 วรรคหนึ่งและวรรคสอง แห่งพระราชบัญญัติป้องกันและปราบปราม
การฟอกเงิน พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ 3)
พ.ศ. 2552 กำหนดให้สถาบันการเงินต้องดำเนินการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าเมื่อเริ่มทำ
ธุรกรรมครั้งแรกโดยต้องตรวจสอบเป็นระยะจนสิ้นสุดดำเนินการเมื่อมีการปิดบัญชีหรือยุติความสัมพันธ์กับลูกค้า
โดยขอบเขตการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าดังกล่าว ให้เป็นไปตามหลักเกณฑ์และวิธีการ
ที่กำหนดในกฎกระทรวง โดยข้อ 17 ของกฎกระทรวงการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า
พ.ศ. 2563 กำหนดให้สถาบันการเงินตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าโดยให้ดำเนินการระบุตัวตน
และพิสูจน์ทราบตัวตนของลูกค้า แล้วจึงตรวจสอบข้อมูลของลูกค้ากับข้อมูลรายชื่อบุคคลที่ถูกกำหนด
ตามกฎหมายที่เกี่ยวข้องก่อนดำเนินการต่อไป ประกอบกับสำนักงานป้องกันและปราบปรามการฟอกเงิน (สำนักงาน
ปปง.) ซึ่งมีอำนาจหน้าที่ในการกำหนดแนวทางปฏิบัติ กำกับ ตรวจสอบ และประเมินผลการปฏิบัติตามพระราชบัญญัติ
ดังกล่าวของผู้มีหน้าที่รายงานการทำธุรกรรมต่อสำนักงาน ปปง. ตามหลักเกณฑ์ วิธีการ และแนวปฏิบัติตามระเบียบที่
คณะกรรมการป้องกันและปราบปรามการฟอกเงินกำหนด ตามมาตรา 40 (3/1) แห่งพระราชบัญญัติป้องกัน
และปราบปรามการฟอกเงิน พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน
(ฉบับที่ 4) พ.ศ. 2556 ได้กำหนดแนวทางปฏิบัติ เรื่อง การตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า สำหรับสถาบัน
การเงิน ประเภทธนาคาร โดยกำหนดว่า ในการแสดงตนและการพิสูจน์ตัวตนลูกค้าบุคคลธรรมดา กรณีผู้พิการ
หรือผู้ทุพพลภาพที่ไม่มีบัตรประจำตัวประชาชน ให้ดำเนินการขอบัตรประจำตัวคนพิการ และเอกสารที่ออกจาก
หน่วยงานของรัฐอย่างน้อย 1 รายการ นอกจากนี้ มาตรา 22 วรรคหนึ่ง (1) แห่งพระราชบัญญัติป้องกันและปราบปราม
การฟอกเงิน พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ 2)
พ.ศ. 2551 กำหนดให้สถาบันการเงินเก็บรักษารายละเอียดเกี่ยวกับการแสดงตนตามมาตรา 20 เป็นเวลาห้าปี
นับแต่วันที่มีการปิดบัญชีหรือยุติความสัมพันธ์กับลูกค้า ซึ่งบัตรประจำตัวคนพิการหรือสมุดประจำตัวคนพิการ
เป็นเอกสารที่มีข้อมูลส่วนบุคคลเกี่ยวกับความพิการรวมอยู่ด้วย จึงเป็นข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หากลูกค้าที่ทำธุรกรรมเป็นคนพิการหรือทุพพลภาพ และเข้าเงื่อนไขที่ต้องแสดงตน
ก่อนการทำธุรกรรมที่กำหนด แต่ไม่มีบัตรประจำตัวประชาชน ย่อมเป็นเหตุให้ธนาคารหรือสถาบันการเงิน
มีความจำเป็นต้องขอบัตรประจำตัวคนพิการหรือสมุดประจำตัวคนพิการ และเอกสารที่ออกจากหน่วยงานของรัฐ
อย่างน้อย 1 รายการ เพื่อวัตถุประสงค์ในการแสดงตนและการพิสูจน์ตัวตนของลูกค้าสำหรับการทำธุรกรรม
ตามมาตรา 20 แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติม
โดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ 3) พ.ศ. 2552 ทั้งยังเป็นขั้นตอนแรก
ของการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า ตามมาตรา 20/1 แห่งพระราชบัญญัติป้องกัน
และปราบปรามการฟอกเงิน พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน
(ฉบับที่ 3) พ.ศ. 2552 ประกอบกฎกระทรวงและแนวทางปฏิบัติของสำนักงาน ปปง. ที่เกี่ยวข้อง นอกจากนี้
ธนาคารหรือสถาบันการเงิน ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล จะต้องเก็บรักษารายละเอียดเกี่ยวกับการแสดงตนดังกล่าวไว้
ตามระยะเวลาที่กฎหมายกำหนด ตามมาตรา 22 วรรคหนึ่ง (1) แห่งพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน
พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน (ฉบับที่ 2) พ.ศ. 2551
อีกด้วย การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับความพิการของธนาคารหรือสถาบันการเงิน
เพื่อวัตถุประสงค์ดังกล่าว สำหรับลูกค้าซึ่งเป็นคนพิการหรือทุพพลภาพ ที่ใช้บัตรประจำตัวคนพิการหรือสมุดประจำตัวคน
พิการเพื่อการแสดงตนและการพิสูจน์ตัวตน หากธนาคารพิจารณาแล้วเห็นว่าเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติ
ตามกฎหมายของธนาคารหรือสถาบันการเงิน และบทบัญญัติแห่งกฎหมายดังกล่าวมีขึ้นเพื่อให้การตัดวงจรการประกอบ
อาชญากรรมเกี่ยวกับการกระทำความผิดมูลฐานตามกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงินเป็นไปอย่าง
มีประสิทธิภาพ จึงอาจถือได้ว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์
สาธารณะที่สำคัญ ก็จะได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5)
(จ) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่ธนาคารหรือสถาบัน
การเงินจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
อย่างไรก็ดี ธนาคารจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าได้เพียงเท่าที่จำเป็นภายใต้
วัตถุประสงค์อันชอบด้วยกฎหมายเท่านั้น ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
และจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียด
ในการเก็บรวบรวมข้อมูลส่วนบุคคล ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ซึ่งรวมถึง (1) วัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำ
ข้อมูลส่วนบุคคลไปใช้หรือเปิดเผย และ (4) ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวม
อาจจะถูกเปิดเผย โดยควรแจ้งรายละเอียดดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบด้วยวิธีการและรูปแบบ
ที่เป็นธรรม โปร่งใส และเหมาะสมสำหรับเจ้าของข้อมูลส่วนบุคคลที่เป็นคนพิการหรือทุพพลภาพดังกล่าว
และจะต้องปฏิบัติให้เป็นไปตามบทบัญญัติอื่น ๆ ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
และกฎหมายอื่นที่เกี่ยวข้องอย่างครบถ้วนด้วย โดยเฉพาะการคุ้มครองสิทธิและเสรีภาพของคนพิการที่อาจขาด
ความสามารถในการปกป้องสิทธิและประโยชน์ของตนเนื่องจากข้อจำกัดต่าง ๆ โดยธนาคารหรือสถาบันการเงินในฐานะ
ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง
ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยคำนึงถึงระดับความเสี่ยง
ตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบ
จากเหตุการละเมิดข้อมูลส่วนบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ประกาศกำหนดตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย
ของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ซึ่งออกตามความใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 รวมถึงอาจพิจารณาทำการแฝงข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคล
ที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือทำการเข้ารหัสข้อมูล (encryption) หรือใช้มาตรการอื่นในลักษณะเดียวกัน
อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับ
สำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บ
รวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน หากการ
ดำเนินการดังกล่าว ยังคงสามารถทำให้บรรลุวัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-12-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/09/PDPC-consultation-41.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/12-2567.md

============================================================
โนด: ข้อหารือ 13/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/13-2566.md

# ข้อหารือที่ 13/2566 เรื่อง กรมส่งเสริมสหกรณ์หารือแนวทางปฏิบัติการรายงานข้อมูลส่วนบุคคลตามประกาศนายทะเบียนสหกรณ์ฯ

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (3), [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติสหกรณ์ พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติสหกรณ์ (ฉบับที่ 3) พ.ศ. 2562 — มาตรา 89/2 (12)
3. แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตาม PDPA

## ข้อหารือ

กรมส่งเสริมสหกรณ์ได้ออกประกาศนายทะเบียนสหกรณ์ เรื่อง การจัดเก็บและรายงานข้อมูลทางการเงินของสหกรณ์ออมทรัพย์และสหกรณ์เครดิตยูเนี่ยน พ.ศ. 2564 ลงวันที่ 22 กันยายน 2564 ตามข้อ 25 ของกฎกระทรวงการดำเนินงานและการกำกับดูแลสหกรณ์ออมทรัพย์และสหกรณ์เครดิตยูเนี่ยน พ.ศ. 2564 ซึ่งออกตามความในมาตรา 89/2 แห่งพระราชบัญญัติสหกรณ์ พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติสหกรณ์ (ฉบับที่ 3) พ.ศ. 2562

จึงขอหารือว่าการจัดเก็บและการรายงานข้อมูลทางการเงินของสหกรณ์ตามประกาศนายทะเบียนสหกรณ์ฯ ตามแบบรายงานที่ 5.3 ลูกหนี้เงินให้กู้ยืมรายใหญ่ (รายบุคคล) และแบบรายงานที่ 6.3 เจ้าหนี้เงินกู้และผู้ฝากเงินรายใหญ่ (รายบุคคล) รวมทั้งแบบรายงานอื่นที่มีข้อมูลส่วนบุคคล ซึ่งสหกรณ์จะต้องจัดส่งข้อมูลเกี่ยวกับชื่อ-นามสกุล เลขประจำตัวประชาชน และธุรกรรมทางการเงินของสมาชิกสหกรณ์ให้แก่นายทะเบียนสหกรณ์เป็นรายเดือน สามารถดำเนินการได้โดยไม่ต้องได้รับความยินยอมจากสมาชิกก่อนได้หรือไม่ และเข้าลักษณะตามข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) หรือ (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่ง PDPA หรือไม่ อย่างไร

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือแล้ว ขอเรียนว่า แม้สหกรณ์ฯ ได้เก็บรวบรวมข้อมูลส่วนบุคคลจากสมาชิกของสหกรณ์ เช่น ชื่อ-นามสกุล เลขประจำตัวประชาชน ธุรกรรมทางการเงิน สถานะทางการเงินและข้อมูลเกี่ยวกับการเป็นลูกหนี้หรือเจ้าหนี้ เนื่องมาจากการทำสัญญาทางการเงินก็ตาม แต่เมื่อกฎกระทรวงฯ และประกาศนายทะเบียนสหกรณ์ฯ ดังกล่าว ซึ่งออกตามความในมาตรา 89/2 (12) แห่งพระราชบัญญัติสหกรณ์ฯ กำหนดให้ต้องจัดเก็บและรายงานข้อมูลต่ออธิบดีกรมส่งเสริมสหกรณ์ในฐานะนายทะเบียนสหกรณ์ ซึ่งเป็นผู้มีหน้าที่และอำนาจตาม พ.ร.บ. สหกรณ์ฯ

ดังนั้น สหกรณ์ฯ ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของสมาชิกมีหน้าที่ดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสมาชิกต่อนายทะเบียนสหกรณ์และกรมส่งเสริมสหกรณ์ได้ ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) แห่ง PDPA โดยไม่ต้องได้รับความยินยอมจากสมาชิกในฐานะเจ้าของข้อมูลส่วนบุคคลแต่อย่างใด

อย่างไรก็ตาม นายทะเบียนสหกรณ์และกรมส่งเสริมสหกรณ์มีหน้าที่อื่นๆ ที่จะต้องปฏิบัติตาม PDPA ด้วย กล่าวคือ

1. การเก็บรวบรวมข้อมูลส่วนบุคคล ให้เก็บรวบรวมได้เท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) · นายทะเบียนสหกรณ์และกรมส่งเสริมสหกรณ์มีหน้าที่ต้องพิจารณาด้วยว่า ข้อมูลดังกล่าวมีความจำเป็นที่ต้องเก็บรวบรวมเพื่อให้บรรลุวัตถุประสงค์ในการปฏิบัติหน้าที่ตามกฎหมายหรือไม่
2. ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวมตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md)
3. ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล (สหกรณ์ฯ) จะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคล (สมาชิก) ทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียดตามที่กำหนดใน [มาตรา 23](https://link.pdpalawbase.com/section/23.md) โดยพึงดำเนินการให้สอดคล้องกับแนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลที่ คคส. กำหนดตาม [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (3)
4. ผู้ควบคุมข้อมูลส่วนบุคคล (สหกรณ์และกรมส่งเสริมสหกรณ์) มีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และมีหน้าที่อื่นๆ ตามที่ PDPA กำหนด

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-13-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-13.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/13-2566.md

============================================================
โนด: ข้อหารือ 13/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/13-2567.md

# ข้อหารือที่ 13/2567 เรื่อง สมาคมธนาคารไทยขอหารือว่าข้อมูลที่สถาบันการเงินดำเนินการตามมาตรการป้องกันอาชญากรรมทางเทคโนโลยีที่กำหนดไว้ในพระราชกำหนดป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 หรือรายชื่อที่หน่วยงานทางการ เช่น ตำรวจแจ้งมาที่สถาบันการเงิน เข้าข่ายเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมหรือไม่

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
      [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
2. พระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566
มาตรา 4 และมาตรา 12
3. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับ
การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของ
หน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566
ข้อ 3 ข้อ 4 ข้อ 5 ข้อ 6 ข้อ 7 ข้อ 8 และข้อ 9
4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของ
ข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566

## ข้อหารือ

สมาคมธนาคารไทย ("สมาคมฯ")  แจ้งว่า สถาบันการเงินได้มีการเก็บรวบรวม ใช้ และเปิดเผย
ข้อมูลเกี่ยวกับบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้อง กรณีที่มีเหตุอันควรสงสัยว่ามีหรืออาจมีการกระทำความผิด
อาชญากรรมทางเทคโนโลยี ผ่านระบบ Central Fraud Registry (CFR) และข้อมูลที่มีอยู่กับสถาบันการเงิน เช่น ข้อมูล
เกี่ยวกับบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้อง รวมถึงข้อมูลเส้นทางการเงินตามพระราชกำหนดมาตรการป้องกัน
และปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 ("พระราชกำหนดฯ") และ/หรือข้อมูลที่ได้รับจาก
หนังสือของกองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเศรษฐกิจ หรือคณะอนุกรรมการ
ขับเคลื่อนการบูรณาการศูนย์ปฏิบัติการแก้ไขปัญหาอาชญากรรมออนไลน์ (Anti Online Scam Operation
Center : AOC) เพื่อให้พิจารณาดำเนินการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า และ/หรือข้อมูลที่ปรากฏ
ในหมายคำสั่งให้อายัดบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้อง และหมายคำสั่งให้ตรวจสอบข้อมูลที่ได้รับจากตำรวจ
หรือหน่วยงานทางการที่มีอำนาจหน้าที่ตามกฎหมาย เพื่อกำหนดเป็นมาตรการเชิงรุกภายในของแต่ละสถาบัน
การเงินที่เพิ่มเติมขึ้นกว่าการระงับธุรกรรมตามระยะเวลาที่พระราชกำหนดฯ บัญญัติไว้ เช่น การกำหนดให้ลูกค้า
ตามรายชื่อที่เข้าข่ายและไม่ผ่านการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า (Customer Due Diligence:
CDD) จะต้องดำเนินการให้มีการยุติความสัมพันธ์ในผลิตภัณฑ์/บริการที่มีอยู่กับสถาบันการเงิน และ/หรือเพื่อไม่ให้
มีการสร้างความสัมพันธ์ใหม่โดยไม่สามารถเปิดบัญชีใหม่ได้ หรือให้เปิดบัญชีใหม่ได้ แต่จำกัดช่องทางไม่ให้สามารถ
ใช้บริการผ่านช่องทางอิเล็กทรอนิกส์ได้ เป็นต้น สมาคมธนาคารไทยจึงขอหารือการตีความเนื้อหาของประกาศ
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูล
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่
ตามกฎหมาย พ.ศ. 2566 ("ประกาศฯ") ต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในประเด็นดังต่อไปนี้
(1) ข้อมูลดังต่อไปนี้ ถือเป็น "ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม" ตามคำนิยาม
ในข้อ 3 ของประกาศฯ หรือไม่
(1.1) ข้อมูลเกี่ยวกับบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้อง รวมถึงข้อมูลเส้นทางการเงิน
ที่สถาบันการเงินแลกเปลี่ยนกันผ่านระบบ Central Fraud Registry (CFR) ตามข้อกำหนดของพระราชกำหนดฯ
 (1.2) ข้อมูลที่สถาบันการเงินได้รับจากกองบังคับการปราบปรามการกระทำความผิด
เกี่ยวกับอาชญากรรมทางเศรษฐกิจ หรือคณะอนุกรรมการขับเคลื่อนการบูรณาการศูนย์ปฏิบัติการแก้ไขปัญหา
อาชญากรรมออนไลน์ (Anti Online Scam Operation Center : AOC) ตามตัวอย่างหนังสือของกองบังคับการ
ปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเศรษฐกิจที่ส่งมายังสถาบันการเงิน เพื่อขอทราบข้อมูล
บัญชีธนาคาร และขอให้ตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า
 (1.3) ข้อมูลที่ปรากฏในหมายคำสั่งให้อายัดบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้อง
และหมายคำสั่งให้ตรวจสอบข้อมูลที่ได้รับจากตำรวจ หรือหน่วยงานทางการที่มีอำนาจหน้าที่ตามกฎหมาย
(2) หากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า ข้อมูลตามข้อหารือ
ในข้อ (1) ข้างต้น ถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม สมาคมฯ ขอหารือเพิ่มเติม ในกรณีดังนี้
 (2.1) กรณีที่สถาบันการเงินนำข้อมูลดังกล่าวไปกำหนดเป็นมาตรการภายในของธนาคาร
เพื่อประโยชน์โดยชอบด้วยกฎหมายในการบริหารความเสี่ยงจากภัยทุจริตที่อาจเกิดกับลูกค้าทั่วไปในการป้องกัน
อาชญากรรมทางเทคโนโลยี และเพื่อดำเนินการตามนโยบายภายในของแต่ละสถาบันการเงินภายใต้ประกาศ
ธนาคารแห่งประเทศไทย ที่ ธปท.ฝนช. (02) ว.224/2566 เรื่อง นำส่งแนวนโยบายการบริหารจัดการภัยทุจริต
จากการทำธุรกรรมทางการเงิน ลงวันที่ 29 มีนาคม 2566 จะเข้าข้อยกเว้นตามกรณีดังต่อไปนี้หรือไม่
(ก) การปฏิบัติงานดังกล่าวของสถาบันการเงินถือว่าเป็นการเก็บรวบรวม
และใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่ได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่
ตามกฎหมาย ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งจะมีผลให้
การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมของสถาบันการเงินในกรณีนี้ไม่อยู่ภายใต้
การบังคับของประกาศฯ หรือไม่
 (ข) การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม
ของสถาบันการเงินในกรณีนี้ สามารถตีความว่าเป็นการดำเนินการที่จำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุ
วัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ โดยได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิ
ขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 ซึ่งจะมีผลให้สถาบันการเงินสามารถเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรมในกรณีนี้ โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล หรือไม่
 (2.2) กรณีที่สถาบันการเงินเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรม โดยปฏิบัติตามพระราชกำหนดฯ และ/หรือปฏิบัติตามหมายคำสั่งให้อายัดบัญชีและธุรกรรมของลูกค้า
ที่เกี่ยวข้อง และหมายคำสั่งให้ตรวจสอบข้อมูลที่ได้รับจากตำรวจ หรือหน่วยงานทางการที่มีอำนาจหน้าที่ตามกฎหมาย
ถือเป็นกรณีที่เข้าข้อยกเว้นตามเหตุผลดังต่อไปนี้หรือไม่
 (ก) การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่ได้กระทำ
ภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งจะมีผลให้การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม
ของสถาบันการเงินในกรณีนี้ไม่อยู่ภายใต้การบังคับของประกาศฯ หรือไม่
   (ข) กรณีการปฏิบัติตามพระราชกำหนดฯ เป็นการดำเนินการที่จำเป็นในการปฏิบัติ
ตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ โดยได้จัดให้มีมาตรการ
ที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่อยู่ภายใต้การบังคับตามประกาศฯ
และพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องด้วยมาตรา 12 แห่งพระราชกำหนดฯ
บัญญัติให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตามพระราชกำหนดฯ ไม่อยู่ภายใต้บังคับ
ของกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ซึ่งจะมีผลให้สถาบันการเงินสามารถเก็บรวบรวม
และใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมในกรณีนี้ โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้ง
จากเจ้าของข้อมูลส่วนบุคคล หรือไม่
 (2.3) หากการที่สถาบันการเงินเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติ
อาชญากรรม โดยกำหนดเป็นมาตรการภายในของธนาคารเพื่อประโยชน์โดยชอบด้วยกฎหมาย และ/หรือปฏิบัติ
ตามพระราชกำหนดฯ และ/หรือปฏิบัติตามหมายคำสั่ง ถือเป็นกรณีที่เข้าข้อยกเว้นตามข้อหารือในข้อ
(2.1) และ/หรือข้อ (2.2) ข้างต้น ระยะเวลาในการจัดเก็บข้อมูลที่สถาบันการเงินแลกเปลี่ยนกันผ่านระบบ
Central Fraud Registry (CFR) และ/หรือที่สถาบันการเงินจะเก็บรักษาข้อมูลการปฏิบัติตามมาตรการภายใน
ของธนาคาร หรือการปฏิบัติตามหมายคำสั่ง สามารถอ้างอิงอายุความตามกฎหมายอื่นใดที่เกี่ยวข้อง รวมถึงแต่ไม่
จำกัดเพียงระยะเวลาตามกฎหมายว่าด้วยการป้องกันและปราบปรามการฟอกเงิน หรือระยะเวลาอายุความ
คดีอาญาตามมาตรา 95 แห่งประมวลกฎหมายอาญาได้หรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อหารือดังกล่าวแล้วเห็นว่า ตามข้อ 3
ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวม
ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่
ตามกฎหมาย พ.ศ. 2566 ซึ่งออกตามความใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 คำว่า "ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม" หมายความว่า ข้อมูลส่วนบุคคล
เกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา
ที่เป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการดำเนินการ
ดังกล่าว ทั้งนี้ ไม่ว่าการดำเนินการนั้นจะถึงที่สุดแล้วหรือไม่ก็ตาม ดังนั้น ข้อมูลส่วนบุคคลเกี่ยวกับการกระทำ
ความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา ที่สถาบันการเงินได้รับจากกองบังคับการปราบปราม
การกระทำความผิดเกี่ยวกับอาชญากรรมทางเศรษฐกิจ หรือคณะอนุกรรมการขับเคลื่อนการบูรณาการศูนย์ปฏิบัติการ
แก้ไขปัญหาอาชญากรรมออนไลน์ (Anti Online Scam Operation Center : AOC) ตามประเด็นที่หารือ (1.2)
และข้อมูลที่ปรากฏในหมายคำสั่งให้อายัดบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้องและหมายคำสั่งให้ตรวจสอบ
ข้อมูลที่ได้รับจากตำรวจหรือหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมาย ตามประเด็นที่หารือ (1.3) จึงถือเป็น
ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามบทนิยามในข้อ 3 ของประกาศฯ
ส่วนกรณีข้อมูลเกี่ยวกับบัญชีและธุรกรรมของลูกค้าที่เกี่ยวข้อง รวมถึงข้อมูลเส้นทางการเงิน
ที่สถาบันการเงินแลกเปลี่ยนกันผ่านระบบ Central Fraud Registry (CFR) ตามข้อกำหนดในมาตรา 4
แห่งพระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 ที่กำหนดให้สถาบัน
การเงินและผู้ประกอบธุรกิจมีหน้าที่เปิดเผยหรือแลกเปลี่ยนข้อมูลดังกล่าวในระหว่างสถาบันการเงินและผู้ประกอบ
ธุรกิจนั้นผ่านระบบหรือกระบวนการเปิดเผยหรือแลกเปลี่ยนข้อมูลที่กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
สำนักงานตำรวจแห่งชาติ กรมสอบสวนคดีพิเศษ สำนักงานป้องกันและปราบปรามการฟอกเงิน และธนาคาร
แห่งประเทศไทย เห็นชอบร่วมกัน ในกรณีที่มีเหตุอันควรสงสัยว่ามีหรืออาจมีการกระทำความผิดอาชญากรรม
ทางเทคโนโลยี ตามประเด็นที่หารือ (1.1) นั้น เห็นว่า หากข้อมูลส่วนบุคคลที่เปิดเผยหรือแลกเปลี่ยนผ่านระบบ
หรือกระบวนการดังกล่าว ถูกนำไปใช้ในการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา
หรือการรับโทษทางอาญา และเป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่
ตามกฎหมายเกี่ยวกับการดำเนินการนั้น จะถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามนิยามในข้อ 3
ของประกาศฯ แต่หากเป็นเพียงข้อมูลที่สถาบันการเงินและผู้ประกอบธุรกิจเปิดเผยหรือแลกเปลี่ยนระหว่างกัน
เนื่องจากมีเหตุอันควรสงสัยว่ามีหรืออาจมีการกระทำความผิดอาชญากรรมทางเทคโนโลยี แต่ไม่ได้ถูกนำไปใช้ใน
การสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา หรือไม่ใช่ข้อมูล
ที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายในเรื่องนั้น ก็อาจยังไม่ถือเป็นข้อมูล
ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศดังกล่าว การจะพิจารณาว่าข้อมูลส่วนบุคคลที่เปิดเผย
หรือแลกเปลี่ยนกันผ่านระบบหรือกระบวนการดังกล่าวเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมหรือไม่
จึงต้องพิจารณาข้อเท็จจริงเป็นรายกรณี
สำหรับประเด็นที่หารือ (2.1) (ก) และ (ข) นั้น เห็นว่า ในกรณีที่สถาบันการเงินประสงค์
จะนำข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่สถาบันการเงินได้ล่วงรู้หรือทราบมาจากการดำเนินการ
ตามพระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 หรือแหล่งอื่นใด
ไปเก็บรวบรวมและใช้โดยกำหนดเป็นมาตรการภายในของธนาคารเพื่อวัตถุประสงค์ในการบริหารความเสี่ยงจาก
ภัยทุจริตที่อาจเกิดกับลูกค้าทั่วไป และเพื่อดำเนินการตามนโยบายภายในของแต่ละสถาบันการเงินเอง หากไม่ใช่
การดำเนินการตามที่บทบัญญัติแห่งพระราชกำหนดดังกล่าวหรือกฎหมายอื่นกำหนดภายใต้การควบคุม
ของหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายโดยตรง ก็ไม่ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติอาชญากรรมที่กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่จะได้รับยกเว้นไม่ต้องปฏิบัติตามประกาศฯ
ตามข้อ 4 ของประกาศดังกล่าว จึงต้องปฏิบัติตามประกาศฯ โดยเฉพาะข้อ 6 ข้อ 7 และข้อ 8 ที่ครอบคลุม
การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มี
อำนาจหน้าที่ตามกฎหมายทุกกรณี ส่วนการพิจารณาว่าจะต้องปฏิบัติตามข้อ 5 และข้อ 9 ของประกาศฯ ด้วย
หรือไม่นั้น ขึ้นอยู่กับวัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม
ว่าเข้าข่ายวัตถุประสงค์ตามที่ระบุในข้อ 5 วรรคหนึ่ง (1) (2) หรือ (3) หรือไม่ หากเข้าข่ายวัตถุประสงค์ในข้อ 5
วรรคหนึ่ง (1) (2) หรือ (3) ก็จะต้องปฏิบัติตามข้อ 5 และข้อ 9 ของประกาศนี้ด้วย นอกจากนี้ การพิจารณาว่า
การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมเพื่อวัตถุประสงค์ดังกล่าว จะเป็นกรณีที่ได้รับ
ยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลหรือไม่ สถาบันการเงินที่เป็นผู้ควบคุมข้อมูล
ส่วนบุคคลจะต้องพิจารณาตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น พิจารณาตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งว่า
การดำเนินการดังกล่าวมีกฎหมายกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการ โดยมีเจตนารมณ์
หรือวัตถุประสงค์ที่เกี่ยวกับประโยชน์สาธารณะที่สำคัญหรือไม่ และผู้ควบคุมข้อมูลส่วนบุคคลมีความจำเป็นต้อง
เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมในการปฏิบัติตามกฎหมายเพื่อให้บรรลุ
วัตถุประสงค์ดังกล่าวหรือไม่ หากเข้าเงื่อนไขดังกล่าว ก็ย่อมถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติ
ตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ซึ่งได้รับ
ยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล โดยจะต้องจัดให้มีมาตรการที่เหมาะสม
เพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลด้วย แต่หากไม่เข้าเงื่อนไขดังกล่าว
และไม่ใช่กรณีอื่นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) ถึง (5) ก็จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล
ในประเด็นที่หารือ (2.2) (ก) และ (ข) หากการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล
เกี่ยวกับประวัติอาชญากรรมตามที่หารือ เป็นการปฏิบัติตามพระราชกำหนดมาตรการป้องกันและปราบปราม
อาชญากรรมทางเทคโนโลยี พ.ศ. 2566 ย่อมถือเป็นกรณีที่ไม่อยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 ทั้งนี้ ตามมาตรา 12 ของพระราชกำหนดดังกล่าว นอกจากนี้ การดำเนินการ
ของหน่วยงานของรัฐตามพระราชกำหนดดังกล่าว อาจถือเป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการ
รักษาความมั่นคงทางการคลังของรัฐ รวมทั้งหน้าที่เกี่ยวกับการป้องกันและปรามปรามการฟอกเงิน
ซึ่งเป็นกรณีที่ได้รับยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และหากเป็นการสืบสวนสอบสวนเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำ
ความผิดอาญา ข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา ตลอดจน
การพิจารณาความผิดอาญา หรือการลงโทษผู้กระทำความผิดอาญา ก็ถือเป็นการดำเนินงานตามกระบวนการ
ยุติธรรมทางอาญา ที่ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) ด้วย ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ให้นำ
บทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) ยังคงมีหน้าที่
ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามประกาศคณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคล
ซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566 ด้วย
ส่วนการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม
ของสถาบันการเงิน เพื่อดำเนินการตามกฎหมายอื่นนอกเหนือจากพระราชกำหนดดังกล่าว หรือเป็นการปฏิบัติ
ตามหมายหรือคำสั่งของตำรวจ ศาล หรือหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมาย ที่ไม่ได้รับยกเว้น
การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ย่อมถือเป็นกรณีที่เป็นการจำเป็นในการปฏิบัติ
ตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ ซึ่งได้รับยกเว้นไม่ต้องขอความยินยอม
โดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องจากเป็นมาตรการบังคับใช้กฎหมาย
ที่มีความสำคัญเพื่อความสงบเรียบร้อยและศีลธรรมอันดีของประชาชน รวมทั้งอาจถือเป็นการกระทำภายใต้การ
ควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสามด้วย หากเป็นการดำเนินการ
ที่หน่วยงานที่มีอำนาจหน้าที่ดังกล่าวเป็นผู้สั่งการหรือควบคุมโดยตรง เว้นแต่จะมีการเก็บรวบรวมข้อมูลส่วนบุคคล
เกี่ยวกับประวัติอาชญากรรมดังกล่าวเพื่อใช้หรือเปิดเผยในวัตถุประสงค์อื่น

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-13-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/09/PDPC-consultation-42.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/13-2567.md

============================================================
โนด: ข้อหารือ 14/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/14-2566.md

# ข้อหารือที่ 14/2566 เรื่อง โรงพยาบาล B ขอหารือกรณีพนักงานสอบสวนขอข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md), [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5), [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม, [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชบัญญัติสถานพยาบาล พ.ศ. 2541 — มาตรา 35
3. พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 — มาตรา 7
4. ประมวลกฎหมายวิธีพิจารณาความอาญา

## ข้อหารือ

โรงพยาบาล B โดยฝ่ายกฎหมายของโรงพยาบาล ขอหารือกรณีพนักงานสอบสวนมักมีหนังสือ และ/หรือหมายเรียกพยานเอกสาร ขอให้โรงพยาบาล B ส่งประวัติการรักษาพยาบาลของผู้ป่วย ซึ่งถือเป็นข้อมูลส่วนบุคคลตาม PDPA เพื่อนำไปประกอบสำนวนการสอบสวนดำเนินคดีอาญา

โรงพยาบาล B จึงขอหารือถึงการใช้หรือเปิดเผยประวัติการรักษาพยาบาลของผู้ป่วย กรณีได้รับหนังสือ และ/หรือหมายเรียกพยานเอกสาร ออกโดยพนักงานสอบสวน เพื่อเป็นแนวทางในการปฏิบัติงานที่ถูกต้องต่อไป ดังนี้:

1. พนักงานสอบสวน สังกัดสำนักงานตำรวจแห่งชาติ ซึ่งมีอำนาจและหน้าที่ทำการสอบสวน เป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความปลอดภัยของประชาชน ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) แห่ง PDPA หรือไม่ และสำนักงานตำรวจแห่งชาติไม่อยู่ภายใต้บังคับของ PDPA ใช่หรือไม่ และการกระทำตามอำนาจหน้าที่ของพนักงานสอบสวน ตามประมวลกฎหมายวิธีพิจารณาความอาญา เป็นการดำเนินการของเจ้าหน้าที่ที่ได้ดำเนินงานตามกระบวนการยุติธรรมทางอาญาตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) ซึ่งไม่อยู่ภายใต้บังคับของ PDPA ใช่หรือไม่
2. โรงพยาบาล B ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถเปิดเผยข้อมูลส่วนบุคคล ตามที่พนักงานสอบสวนมีหนังสือ และ/หรือหมายเรียกพยานเอกสาร ให้กับพนักงานสอบสวนตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) (2) แห่ง PDPA ได้หรือไม่
3. กรณีตามข้อ 1 ข้างต้น โรงพยาบาล B สามารถเปิดเผยประวัติการรักษาพยาบาล โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนให้กับพนักงานสอบสวนได้หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น ดังนี้

**ประเด็นหารือที่ 1** เห็นว่า การขอข้อมูลส่วนบุคคลของพนักงานสอบสวน เพื่อการสอบสวนซึ่งเป็นการรวบรวมพยานหลักฐานและการดำเนินการทั้งหลายอื่นตามบทบัญญัติแห่งประมวลกฎหมายวิธีพิจารณาความอาญา ซึ่งพนักงานสอบสวนได้ทำไปเกี่ยวกับความผิดที่กล่าวหา เพื่อที่จะทราบข้อเท็จจริงหรือพิสูจน์ความผิดและเพื่อจะเอาตัวผู้กระทำผิดมาฟ้องลงโทษ ตามประเด็นที่หารือนี้ ถือเป็นส่วนหนึ่งของการดำเนินงานของเจ้าหน้าที่ตามกระบวนการยุติธรรมทางอาญาตามนัย [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (5) แห่ง PDPA

โดยกระบวนการยุติธรรมทางอาญาครอบคลุมตั้งแต่กระบวนการเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา การพิจารณาความผิดอาญา และการลงโทษผู้กระทำความผิดอาญา และในกรณีที่เจ้าหน้าที่ดังกล่าวเป็นบุคลากรของสำนักงานตำรวจแห่งชาติที่ปฏิบัติงานตามหน้าที่และอำนาจที่กฎหมายกำหนดไว้เพื่อการรักษาความปลอดภัยของประชาชน จะเข้าข่ายเป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน ตามความใน [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) แห่ง PDPA ด้วย

ดังนั้น กรณีตามประเด็นหารือดังกล่าว ถือเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสำนักงานตำรวจแห่งชาติ ในการปฏิบัติหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน เพื่อการดำเนินงานตามกระบวนการยุติธรรมทางอาญา **จึงไม่อยู่ภายใต้บังคับแห่ง PDPA ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) และ (5)** อย่างไรก็ดี สำนักงานตำรวจแห่งชาติจะต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย ตามความใน [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม

**ประเด็นหารือที่ 2 และ 3** โรงพยาบาล B ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติการรักษาพยาบาลของผู้ป่วย โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี เช่น:
- เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3)
- เป็นการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ในกรณีที่ข้อมูลส่วนบุคคลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือผู้มีหน้าที่รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก)
- เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) (เช่น หน้าที่ตามมาตรา 35 แห่งพระราชบัญญัติสถานพยาบาล พ.ศ. 2541)

ดังนั้น โรงพยาบาล B จึงสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ซึ่งรวมถึงประวัติการรักษาพยาบาลของผู้ป่วยที่ถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่ง PDPA ตามที่พนักงานสอบสวนมีหนังสือ และ/หรือหมายเรียกพยานเอกสารได้ โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เนื่องจากเป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง

สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ดังกล่าว ในกรณีที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล สามารถดำเนินการได้ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคหนึ่ง · ส่วนกรณีที่เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ หากเป็นการปฏิบัติตามบทบัญญัติแห่งกฎหมายอื่นที่บัญญัติให้กระทำได้ เช่น ประมวลกฎหมายวิธีพิจารณาความอาญา ก็สามารถดำเนินการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้ ตามนัย [มาตรา 21](https://link.pdpalawbase.com/section/21.md) วรรคสอง (2)

อนึ่ง การเปิดเผยข้อมูลส่วนบุคคลให้กับพนักงานสอบสวนดังกล่าว ยังถือเป็นกรณีที่มีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผยข้อมูลด้านสุขภาพของบุคคล ซึ่งสามารถกระทำได้ตามมาตรา 7 แห่งพระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 โดย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่ง PDPA ได้บัญญัติให้ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น

ทั้งนี้ คณะอนุกรรมการฯ มีความเห็นเพิ่มเติมว่า โรงพยาบาล B ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามที่บัญญัติใน PDPA และกฎหมายอื่นที่เกี่ยวข้องให้ครบถ้วน โดยเฉพาะการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศ คคส. เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-14-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/04/PDPC-consultation-14-new.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/14-2566.md

============================================================
โนด: ข้อหารือ 14/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/14-2567.md

# ข้อหารือที่ 14/2567 เรื่อง การทางพิเศษแห่งประเทศไทยขอหารือกรณีการจัดเก็บข้อมูลส่วนบุคคลเพื่อเป็นข้อมูลพื้นฐานสำหรับการบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 19](https://link.pdpalawbase.com/section/19.md) [มาตรา 20](https://link.pdpalawbase.com/section/20.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง (5) (ค) และ (จ) และ
วรรคสอง [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) [มาตรา 39](https://link.pdpalawbase.com/section/39.md) [มาตรา 73](https://link.pdpalawbase.com/section/73.md) และ [มาตรา 95](https://link.pdpalawbase.com/section/95.md)
2. พระราชบัญญัติการทางพิเศษแห่งประเทศไทย พ.ศ. 2550
มาตรา 8
3. พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541
4. พระราชบัญญัติแรงงานรัฐวิสาหกิจสัมพันธ์ พ.ศ. 2543
5. ประกาศคณะกรรมการแรงงานรัฐวิสาหกิจสัมพันธ์ เรื่อง มาตรฐานขั้นต่ำของสภาพการจ้างใน
รัฐวิสาหกิจ ลงวันที่ 31 พฤษภาคม พ.ศ. 2549 และที่แก้ไขเพิ่มเติม
6. ระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ พ.ศ. 2564
ข้อ 4 และข้อ 12
7. ระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การ
พิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565
8. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของ
ผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## ข้อหารือ

การทางพิเศษแห่งประเทศไทย (กทพ.) ขอหารือกรณีการจัดเก็บข้อมูลส่วนบุคคลเพื่อเป็นข้อมูล
พื้นฐานสำหรับการบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ที่นำมาใช้แทนการลงเวลาในบัญชีลงเวลา
โดยมีวัตถุประสงค์เพื่อให้การบริหารบุคคลเป็นไปด้วยความเรียบร้อย มีข้อมูลที่ถูกต้อง ครบถ้วน ตรวจสอบได้
และน่าเชื่อถือ ซึ่งได้เริ่มดำเนินการจัดเก็บข้อมูลลายนิ้วมือพนักงานและลูกจ้างทุกตำแหน่งที่เป็นผู้ปฏิบัติงาน
ของ กทพ. (ยกเว้นพนักงานตำแหน่งหัวหน้าพนักงานเก็บค่าผ่านทางพิเศษ พนักงานควบคุมเก็บค่าผ่านทางพิเศษ
และพนักงานเก็บค่าผ่านทางพิเศษ ซึ่งเป็นตำแหน่งที่ปฏิบัติงานเป็นกะ) ตั้งแต่ปี พ.ศ. 2560 เป็นต้นมา
ตามบันทึกข้อความ กทพ. ที่ ฝบท/ว 2448 ลงวันที่ 21 พฤศจิกายน 2560 เรื่อง การจัดเก็บข้อมูลลายนิ้วมือ
พนักงานและลูกจ้างที่ปฏิบัติงานอาคารสำนักงานและศูนย์ควบคุมทางพิเศษ และได้มีการจัดเก็บข้อมูลใบหน้า
และลายนิ้วมือของพนักงานและลูกจ้างแทนข้อมูลลายนิ้วมือที่เคยจัดเก็บไปแล้วซึ่งไม่สามารถใช้งานกับ
เครื่องบันทึกเวลาทำงานระบบใหม่ได้ ตามบันทึกข้อความ กทพ. ด่วนที่สุด ที่ ฝบท/ว 2824 ลงวันที่ 27 ตุลาคม 2563
เรื่อง การจัดเก็บข้อมูลใบหน้าและลายนิ้วมือของพนักงานและลูกจ้างเพื่อใช้สำหรับลงเวลาปฏิบัติงานด้วย
เครื่องบันทึกเวลา โดย กทพ. ได้แจ้งให้พนักงานและลูกจ้างที่ยังไม่เข้ารับการจัดเก็บข้อมูลมาจัดเก็บข้อมูลเป็นระยะ ๆ
ต่อมา กทพ. ได้ออกระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบ
อิเล็กทรอนิกส์ พ.ศ. 2564 ประกาศใช้ตั้งแต่วันที่ 9 มิถุนายน พ.ศ. 2564 เป็นต้นไป ซึ่งข้อ 4 ของระเบียบฯ ได้
กำหนดให้ผู้ปฏิบัติงานของ กทพ. แจ้งข้อมูลพื้นฐานสำหรับการบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์
เช่น ลายพิมพ์นิ้วมือ ข้อมูลใบหน้า เป็นต้น เพื่อให้ฝ่ายบริหารทั่วไปจัดเก็บเป็นฐานข้อมูลของบุคคล
โดยมีวัตถุประสงค์เพื่อใช้เป็นข้อมูลในการตรวจสอบเวลาเข้าออกงาน การลา การขาดงาน หรือการละทิ้งหน้าที่
สำหรับดำเนินการจ่ายเงินเดือนหรือค่าตอบแทนอื่น รวมทั้งการประเมินการเลื่อนขั้นเงินเดือนประจำปี และได้ออก
ประกาศ กทพ. เรื่อง การใช้ระบบบันทึกเวลาทำงานแทนการใช้บัญชีลงเวลาทำงาน ลงวันที่ 25 พฤศจิกายน
พ.ศ. 2565 กำหนดให้พนักงานระดับ 1 - 6  หัวหน้าแผนก พนักงานระดับ 7 - 8 ที่ประจำกองขึ้นไปและลูกจ้าง
ที่ทำงานในสำนักงาน (Back Office) เริ่มบันทึกเวลาทำงานในระบบบันทึกเวลาทำงานแทนการบันทึกเวลาทำงาน
ในบัญชีลงเวลาทำงานตั้งแต่วันที่ 1 กุมภาพันธ์ 2566 เป็นต้นไป รวมทั้งได้มีบันทึกแจ้งให้ผู้ที่ยังไม่ได้เข้ารับ
การจัดเก็บข้อมูลใบหน้าและลายนิ้วมือเข้ารับการจัดเก็บข้อมูลให้ครบถ้วน เพื่อให้สามารถบันทึกเวลาทำงานด้วย
ระบบอิเล็กทรอนิกส์ได้ตามระเบียบฯ ซึ่งตั้งแต่ปี พ.ศ. 2560 ถึงปัจจุบัน ปรากฏว่ามีผู้ปฏิบัติงานของ กทพ.
ที่เข้ารับการจัดเก็บข้อมูลใบหน้าและลายพิมพ์นิ้วมือแล้ว จำนวน 3,314 คน แต่ยังมีพนักงานจำนวน 1 คน
ที่ไม่ยินยอมให้จัดเก็บข้อมูลดังกล่าว เนื่องจากมีความกังวลว่าข้อมูลที่ถูกจัดเก็บอาจรั่วไหลและทำให้เกิด
ความเสียหายแก่พนักงานรายนั้น รวมทั้งได้อ้างถึงพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 26](https://link.pdpalawbase.com/section/26.md) ซึ่งห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลในส่วนที่เป็นข้อมูลชีวภาพ เช่น ข้อมูลภาพใบหน้า
และข้อมูลลายพิมพ์นิ้วมือ โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ซึ่งตามข้อบังคับ
กทพ. ว่าด้วย พนักงาน พ.ศ. 2560 และที่แก้ไขเพิ่มเติม ข้อ 69 กำหนดให้พนักงานต้องรักษาวินัยตามที่บัญญัติ
ไว้โดยเคร่งครัด ผู้ใดฝ่าฝืนหรือไม่ปฏิบัติตามถือว่าผู้นั้นกระทำผิดวินัย จะต้องได้รับโทษตามที่กำหนดไว้
ในข้อบังคับนี้ และข้อ 71 (2) และ (4) กำหนดวินัยของพนักงานไว้ว่า ต้องไม่ขัดขืนหรือหลีกเลี่ยงและปฏิบัติ
ตามคำสั่งของผู้บังคับบัญชา ซึ่งสั่งในหน้าที่โดยชอบด้วยระเบียบและข้อบังคับของ กทพ. และต้องสนับสนุน
นโยบายของรัฐบาล ปฏิบัติตามนโยบาย ระเบียบและข้อบังคับของ กทพ. ไว้ด้วย โดยปัจจุบัน กทพ. ได้จัดซื้อ
และติดตั้งเครื่องบันทึกเวลาทำงานซึ่งใช้ข้อมูลชีวภาพ (ข้อมูลใบหน้าและลายพิมพ์นิ้วมือ) เพื่อบันทึกเวลาทำงาน
ประจำอาคารต่าง ๆ จำนวน 84 เครื่อง รวมเป็นจำนวนเงินทั้งสิ้น 3,149,010 บาท โดยจัดให้มีมาตรการ
คุ้มครองข้อมูลส่วนบุคคล ด้วยการกำหนดสิทธิผู้เข้าถึงข้อมูลชีวภาพดังกล่าวเฉพาะพนักงานแผนกข้อมูลระบบ
งานบุคคล กองบริหารทรัพยากรบุคคล ฝ่ายบริหารทั่วไป และมีการรักษาความมั่นคงปลอดภัยระบบสารสนเทศ
ที่ได้รับการรับรองมาตรฐาน ISO/IEC 27001:2013 แล้ว รวมทั้งได้จัดทำประกาศ กทพ. เรื่อง นโยบายคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2564
เมื่อ กทพ. ได้พิจารณาอำนาจหน้าที่ของผู้ว่าการตามมาตรา 26 (2) แห่งพระราชบัญญัติ
การทางพิเศษแห่งประเทศไทย พ.ศ. 2550 รวมถึงข้อ 4 ของระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึก
เวลาทำงานด้วยระบบอิเล็กทรอนิกส์ พ.ศ. 2564 และข้อ 69 ข้อ 71 (2) (4) ของข้อบังคับ กทพ. ว่าด้วย
พนักงาน พ.ศ. 2560 และที่แก้ไขเพิ่มเติม ประกอบกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 26](https://link.pdpalawbase.com/section/26.md) จึงขอหารือเกี่ยวกับการจัดเก็บข้อมูลส่วนบุคคล (ข้อมูลชีวภาพ) เพื่อเป็นข้อมูลพื้นฐานสำหรับ
การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ดังกล่าวข้างต้นดังต่อไปนี้
1. กทพ. สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพดังกล่าวโดยอาศัยข้อยกเว้น
ตามที่กฎหมายอื่นบัญญัติให้กระทำได้ตามความใน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 โดยไม่จำเป็นต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้หรือไม่
2. กรณีที่ต้องขอความยินยอม หากเจ้าของข้อมูลส่วนบุคคลไม่ให้ความยินยอม กทพ. สามารถ
ดำเนินการอย่างไรเพื่อให้พนักงานและลูกจ้างบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์เป็นมาตรฐานเดียวกันทั้งองค์กร

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วย
การคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น ดังนี้
ประเด็นตามที่หารือข้อ 1 เห็นว่า กทพ. เป็นหน่วยงานที่จัดตั้งขึ้นตามพระราชบัญญัติการทาง
พิเศษแห่งประเทศไทย พ.ศ. 2550 และมีฐานะเป็นนิติบุคคลตามมาตรา 8 แห่งพระราชบัญญัติดังกล่าว
จึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดย กทพ. ได้กำหนดให้มี
การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยเฉพาะข้อมูลภาพจำลองใบหน้า และข้อมูลจำลองลายนิ้วมือ
ของผู้ปฏิบัติงานของ กทพ. ด้วยระบบอิเล็กทรอนิกส์ ในการบันทึกเวลาทำงานตามที่กล่าวข้างต้น รวมทั้ง
การบริหารจัดการภายในองค์กรที่เกี่ยวข้อง โดยมีการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการนำลักษณะเด่น
ทางกายภาพหรือทางพฤติกรรมของผู้ปฏิบัติงานของ กทพ. มาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้น
ที่ไม่เหมือนกับบุคคลอื่นได้ สำหรับการบันทึกเวลาทำงาน โดยกำหนดให้ผู้ปฏิบัติงานของ กทพ. แจ้งข้อมูลพื้นฐาน
ซึ่งรวมถึงข้อมูลภาพจำลองใบหน้า และข้อมูลจำลองลายนิ้วมือของตนให้ฝ่ายบริหารทั่วไปของ กทพ. จัดเก็บ
เป็นฐานข้อมูลของบุคคล และนำมาใช้เพื่อให้สามารถยืนยันตัวตนของบุคคล ตามนัยข้อ 4 ของระเบียบ
วิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ พ.ศ. 2564 การเก็บรวบรวม
ข้อมูลส่วนบุคคลดังกล่าวจึงเป็นการเก็บรวบรวมข้อมูลชีวภาพ (biometric data) ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคสอง
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (หรือที่สำนักงานราชบัณฑิตยสภาบัญญัติว่า
"ข้อมูลชีวมาตร" หรือ "ข้อมูลชีวมิติ") ดังนั้น การเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลชีวภาพ
ดังกล่าวต้องเป็นไปตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งหาก
ไม่เข้าข้อยกเว้นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) ถึง (5) จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล
เมื่อพิจารณาวัตถุประสงค์ในการเก็บรวบรวมข้อมูลชีวภาพของ กทพ. ตามระเบียบวิธีปฏิบัติงาน
ของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์ พ.ศ. 2564 ซึ่งเป็นไปเพื่อวัตถุประสงค์
ในการบันทึกเวลาทำงาน และใช้เป็นข้อมูลในการตรวจสอบเวลาเข้าออกงาน การลา การขาดงาน หรือการละทิ้ง
หน้าที่ สำหรับดำเนินการจ่ายเงินเดือนหรือค่าตอบแทนอื่น รวมทั้งการประเมินการเลื่อนขั้นเงินเดือนประจำปี
และการบริหารจัดการภายในองค์กรที่เกี่ยวข้อง คณะอนุกรรมการตอบข้อหารือฯ เห็นว่า การพิจารณาว่า
การเก็บรวบรวมข้อมูลชีวภาพดังกล่าว เป็นกรณีที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้
บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ฯลฯ ซึ่งได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้ง
จากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
หรือไม่ จะต้องพิจารณาจากองค์ประกอบดังนี้ (1) ผู้ควบคุมข้อมูลส่วนบุคคลมีความจำเป็นต้องเก็บรวบรวมข้อมูล
ส่วนบุคคลดังกล่าวเพื่อการปฏิบัติตามกฎหมายฉบับใดฉบับหนึ่งหรือหลายฉบับ (2) การเก็บรวบรวมข้อมูล
ส่วนบุคคลจะต้องเป็นไปเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน (3) การเก็บรวบรวมข้อมูล
ส่วนบุคคลนั้นเป็นสิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลหรือเจ้าของ
ข้อมูลส่วนบุคคล และ (4) เมื่อพิจารณาแล้วว่าเข้าองค์ประกอบข้างต้น ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐาน
และประโยชน์ของเจ้าของข้อมูลส่วนบุคคลด้วย
ในการดำเนินงานของนายจ้าง นายจ้างย่อมมีหน้าที่ต้องปฏิบัติตามกฎหมายแรงงานที่เกี่ยวข้อง
เช่น กฎหมายว่าด้วยการคุ้มครองแรงงานและกฎหมายว่าด้วยแรงงานสัมพันธ์ หรือกฎหมายว่าด้วยแรงงาน
รัฐวิสาหกิจสัมพันธ์ในกรณีของรัฐวิสาหกิจ โดยพระราชบัญญัติแรงงานรัฐวิสาหกิจสัมพันธ์ พ.ศ. 2543
และประกาศคณะกรรมการแรงงานรัฐวิสาหกิจสัมพันธ์ เรื่อง มาตรฐานขั้นต่ำของสภาพการจ้างในรัฐวิสาหกิจ
ลงวันที่ 31 พฤษภาคม พ.ศ. 2549 และที่แก้ไขเพิ่มเติม ได้กำหนดมาตรการทางกฎหมายในการคุ้มครองสิทธิ
และประโยชน์ต่าง ๆ ของลูกจ้างหรือพนักงานรัฐวิสาหกิจไว้ในทำนองเดียวกับพระราชบัญญัติคุ้มครองแรงงาน
พ.ศ. 2541 และที่แก้ไขเพิ่มเติม ดังนั้น นายจ้างที่เป็นเอกชนหรือรัฐวิสาหกิจจึงมีหน้าที่ในการดูแล
และคุ้มครองสิทธิของลูกจ้างในการได้รับเงินเดือน ค่าจ้าง และเงินผลประโยชน์อื่นเนื่องในการจ้าง ที่ลูกจ้างพึง
ได้รับตามกฎหมาย รวมทั้งกำกับดูแลเวลาทำงานและชั่วโมงทำงานให้เป็นไปตามกฎหมายที่เกี่ยวข้อง การเก็บรวบรวม
ข้อมูลส่วนบุคคลของ กทพ. ในฐานะนายจ้าง ตามวัตถุประสงค์ที่กล่าวมาข้างต้น จึงถือเป็นการเก็บรวบรวมข้อมูล
ส่วนบุคคลที่เป็นไปเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ซึ่ง กทพ. จะต้องปฏิบัติให้เป็นไปตาม
กฎหมายว่าด้วยการคุ้มครองแรงงาน กฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์ และ/หรือกฎหมายอื่นที่เกี่ยวข้อง
แต่มีประเด็นที่ กทพ. จะต้องพิจารณาด้วยว่า การเก็บรวบรวมข้อมูลชีวภาพดังกล่าวเป็นสิ่งจำเป็นในการปฏิบัติ
ตามสิทธิหรือหน้าที่ของ กทพ. หรือเจ้าของข้อมูลส่วนบุคคลหรือไม่ เพียงใด ในกรณีที่ กทพ. เห็นว่า การเก็บรวบรวม
ข้อมูลชีวภาพสำหรับการบันทึกเวลาทำงานเป็นสิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของ กทพ.
หรือผู้ปฏิบัติงานของ กทพ. เกี่ยวกับการคุ้มครองแรงงานตามกฎหมาย เช่น เพื่อป้องกันปัญหาการทุจริตในการ
บันทึกเวลาทำงานแทนกัน โดยได้พิจารณาจากข้อเท็จจริงแล้วว่า หากไม่ดำเนินการเช่นนั้น กทพ. จะไม่สามารถ
ปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงานได้ กทพ. ก็อาจยกกรณีดังกล่าว
เป็นข้อยกเว้นการได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ได้ แต่ กทพ.
จะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลด้วย
ในกรณีที่ กทพ. เห็นว่า การเก็บรวบรวมข้อมูลชีวภาพสำหรับการบันทึกเวลาทำงาน
ไม่ใช่สิ่งจำเป็นในการปฏิบัติตามสิทธิหรือหน้าที่ของ กทพ. หรือเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค)
เช่น ข้อเท็จจริงยังไม่ชัดเจนว่ามีปัญหาการทุจริตในการบันทึกเวลาทำงานของผู้ปฏิบัติงานของ กทพ.
หรือยังไม่แน่ชัดว่าการเก็บรวบรวมข้อมูลชีวภาพจะช่วยแก้ไขปัญหาดังกล่าว หรือยังมีมาตรการอื่นที่ไม่ต้องใช้
ข้อมูลชีวภาพที่อาจแก้ปัญหาได้ผล ซึ่ง กทพ. ยังไม่ได้พิจารณาดำเนินการ ทำให้การเก็บรวบรวมข้อมูลชีวภาพ
ของผู้ปฏิบัติงานของ กทพ. ดังกล่าว ไม่ได้รับยกเว้นการขอความยินยอมโดยชัดแจ้ง กทพ. ก็อาจพิจารณา
ขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตามนัย [มาตรา 19](https://link.pdpalawbase.com/section/19.md) ประกอบ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง
โดยการขอความยินยอมจะต้องเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย
สำหรับประเด็นตามข้อหารือที่ 2 เห็นว่า ในกรณีที่ กทพ. พิจารณาแล้ว เห็นว่า การเก็บรวบรวม
ข้อมูลชีวภาพเพื่อวัตถุประสงค์ในการบันทึกเวลาทำงาน ไม่ได้รับยกเว้นการขอความยินยอมโดยชัดแจ้ง
จากผู้ปฏิบัติงานของ กทพ. ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) วรรคหนึ่ง แต่ผู้ปฏิบัติงานของ กทพ. ไม่ให้ความยินยอมในการเก็บ
รวบรวมข้อมูลชีวภาพดังกล่าว กทพ. อาจต้องพิจารณาต่อไปว่า การเก็บรวบรวมข้อมูลชีวภาพ เป็นกรณีที่มี
ความจำเป็นหรือเกี่ยวข้องสำหรับการบันทึกเวลาทำงานและการดำเนินการที่เกี่ยวข้องหรือไม่ เพียงใด
โดย [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติว่า "ในการขอความ
ยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระ
ของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม ทั้งนี้ ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ
ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็น
หรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ" ซึ่งเป็นการกำหนดหลักความเป็นอิสระ
ในการให้ความยินยอม โดยกำหนดว่า ต้องไม่มีเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผย
ข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ
ทั้งนี้ เพื่อป้องกันกรณีการบังคับให้เจ้าของข้อมูลส่วนบุคคลต้องให้ความยินยอมเป็นเงื่อนไขในการเข้าทำสัญญา
หรือการให้บริการใด ๆ ที่ไม่มีความจำเป็นต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือไม่มี
ความเกี่ยวข้องกัน อย่างไรก็ตาม ในกรณีที่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นกรณีที่ต้อง
ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล และมีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญา
ซึ่งรวมถึงการให้บริการใด ผู้ควบคุมข้อมูลส่วนบุคคลก็ย่อมสามารถกำหนดเงื่อนไขในการให้ความยินยอม
เพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ในการเข้าทำสัญญาหรือการให้บริการนั้นได้
ซึ่งเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ แต่จะต้องเก็บรวบรวมเท่าที่จำเป็นตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ดังนั้น ในการบันทึกเวลาทำงานของพนักงานและลูกจ้างและการดำเนินการที่เกี่ยวข้อง
ซึ่งเป็นการดำเนินการที่เกี่ยวกับสัญญาจ้างพนักงานและลูกจ้าง หาก กทพ. พิจารณาแล้วเห็นว่าการเก็บรวบรวม
ข้อมูลชีวภาพมีความจำเป็นหรือเกี่ยวข้องต่อการดำเนินการตามวัตถุประสงค์ดังกล่าวตามสัญญาจ้าง
และ กทพ. จะไม่สามารถบรรลุวัตถุประสงค์ดังกล่าวได้หากไม่ทำการเก็บรวบรวมข้อมูลชีวภาพ กทพ. ก็อาจ
พิจารณากำหนดเงื่อนไขในการปฏิบัติงานและการดำเนินการด้านการบริหารงานบุคคลของพนักงานและลูกจ้าง
ตามสัญญาจ้างว่า จะต้องให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพดังกล่าว โดยแจ้งความจำเป็น
ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว เพื่อวัตถุประสงค์ในการบันทึกเวลาทำงาน
การตรวจสอบเวลาเข้าออกงาน การลา การขาดงาน หรือการละทิ้งหน้าที่ รวมทั้งเพื่อการดำเนินการจ่ายเงินเดือน
หรือค่าตอบแทนอื่น และการประเมินการเลื่อนขั้นเงินเดือนประจำปีของพนักงานและลูกจ้าง ซึ่งเป็นไป
ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้ ทั้งนี้ กทพ. จะต้องแจ้ง
ผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล หรือการถอนความยินยอม ให้เจ้าของข้อมูลส่วนบุคคลทราบ
ในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลด้วย ตามนัย [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2) และ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหก
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
แต่หาก กทพ. พิจารณาแล้วเห็นว่า การเก็บรวบรวมข้อมูลชีวภาพนั้นไม่มีความจำเป็น
หรือเกี่ยวข้องต่อการดำเนินการตามวัตถุประสงค์ดังกล่าวตามสัญญาจ้างตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กทพ. จะต้องจัดให้มีวิธีการอื่นในการบันทึกเวลา
ทำงานและการดำเนินการที่เกี่ยวข้อง สำหรับพนักงานหรือลูกจ้างที่ไม่ให้ความยินยอมหรือถอนความยินยอม
ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพดังกล่าวด้วย โดยอาจกำหนดในลักษณะเดียวกับที่กำหนดไว้
ในข้อ 12 ของระเบียบวิธีปฏิบัติงานของ กทพ. ว่าด้วย การบันทึกเวลาทำงานด้วยระบบอิเล็กทรอนิกส์
พ.ศ. 2564 ที่กำหนดให้ผู้ปฏิบัติงานลงลายมือชื่อมาทำงานและลงลายมือชื่อออกจากการทำงานในบัญชีลงเวลาทำงาน
ในกรณีที่ผู้ปฏิบัติงานมีความผิดปกติทางร่างกายหรือระบบบันทึกเวลาทำงานขัดข้องจนไม่สามารถบันทึกเวลาได้ ทั้งนี้
ในการขอความยินยอมจากพนักงานและลูกจ้าง กทพ. ในฐานะนายจ้าง ควรใช้ความระมัดระวังเพื่อไม่ให้ขัด
กับหลักความเป็นอิสระในการให้ความยินยอมของพนักงานและลูกจ้างตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ด้วย
อย่างไรก็ตาม คณะอนุกรรมการตอบข้อหารือฯ เห็นว่า ในกรณีที่ผู้ปฏิบัติงานของ กทพ.
ซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลไม่เห็นด้วยกับการดำเนินการของ กทพ. ในการเก็บรวบรวม ใช้ หรือเปิดเผย
ข้อมูลชีวภาพตามวัตถุประสงค์ดังกล่าว หรือเกิดกรณีโต้แย้งที่เกี่ยวกับการปฏิบัติตามกฎหมายว่าด้วย
การคุ้มครองข้อมูลส่วนบุคคล ผู้นั้นย่อมมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญตาม [มาตรา 73](https://link.pdpalawbase.com/section/73.md)
โดยยื่นคำร้องเรียนมายังสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ตามระเบียบคณะกรรมการคุ้มครอง
ข้อมูลส่วนบุคคล ว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณา
คำร้องเรียน พ.ศ. 2565 เพื่อให้คณะกรรมการผู้เชี่ยวชาญพิจารณาเรื่องร้องเรียนและมีคำสั่งตามหน้าที่
และอำนาจต่อไป เพื่อให้เป็นไปตามกฎหมายดังกล่าว ดังนั้น กทพ. จึงควรแจ้งให้ผู้ปฏิบัติงานผู้นั้นทราบ
และพิจารณาใช้สิทธิร้องเรียนต่อไปตามความเหมาะสม
อนึ่ง เนื่องจากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลชีวภาพ โดยธรรมชาติอาจมีความเสี่ยง
ที่จะกระทบต่อสิทธิและเสรีภาพของบุคคลได้ค่อนข้างสูง กทพ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มี
มาตรการรักษาความมั่นคงปลอดภัยอย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี
บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกัน
หรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากร
ที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง
แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ทั้งนี้ เพื่อคุ้มครองสิทธิขั้นพื้นฐาน
และประโยชน์ของพนักงานและลูกจ้างในฐานะเจ้าของข้อมูลส่วนบุคคลอย่างเหมาะสมและได้สัดส่วน
โดยมาตรการดังกล่าวจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศ
กำหนดตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัย
ของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ซึ่งออกตามความใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย
นอกจากนี้ คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมเกี่ยวกับข้อมูลส่วนบุคคล
ที่ กทพ. ได้เก็บรวบรวมไว้ก่อนวันที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ใช้บังคับ
โดยบทเฉพาะกาลตาม [มาตรา 95](https://link.pdpalawbase.com/section/95.md) แห่งพระราชบัญญัตินี้กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถ
เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิม และสำหรับข้อมูลส่วนบุคคลที่มาตรา 24
หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) กำหนดให้ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ซึ่งได้เก็บรวบรวมไว้ก่อนวันที่
พระราชบัญญัตินี้ใช้บังคับ ผู้ควบคุมข้อมูลส่วนบุคคลต้องกำหนดวิธีการยกเลิกความยินยอมและเผยแพร่
ประชาสัมพันธ์ให้เจ้าของข้อมูลส่วนบุคคลที่ไม่ประสงค์ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมและใช้
ข้อมูลส่วนบุคคลดังกล่าวสามารถแจ้งยกเลิกความยินยอมได้โดยง่ายด้วย ดังนั้น การเก็บรวบรวมและใช้ข้อมูล
ส่วนบุคคลของ กทพ. ที่ได้เก็บรวบรวมไว้ก่อนวันที่พระราชบัญญัตินี้ใช้บังคับ เพื่อวัตถุประสงค์ในการบันทึกเวลา
ทำงานของผู้ปฏิบัติงานของ กทพ. และการดำเนินการที่เกี่ยวข้อง ซึ่งเป็นวัตถุประสงค์เดิมก็สามารถเก็บรวบรวม
และใช้ข้อมูลส่วนบุคคลนั้นต่อไปได้ และในกรณีที่ กทพ. ได้ใช้ฐานทางกฎหมายอื่นไปแล้ว เช่น ได้รับความยินยอม
โดยชัดแจ้ง หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะ
ที่สำคัญตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (จ) แล้วแต่กรณี โดยได้แจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของ
ข้อมูลส่วนบุคคลทราบตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (privacy notice) และมีการบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ในกรณีที่ กทพ.
เห็นควรเปลี่ยนแปลงฐานทางกฎหมายให้สอดคล้องกับแนวทางการตอบข้อหารือนี้ กทพ. ควรพิจารณา
แจ้งรายละเอียดที่มีการเปลี่ยนแปลงดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบอีกครั้ง (re-notice) รวมทั้ง
แก้ไขหรือปรับปรุงการบันทึกรายการให้สอดคล้องกับข้อเท็จจริงด้วย เพื่อความเป็นธรรมและโปร่งใสต่อ
เจ้าของข้อมูลส่วนบุคคล
อนึ่ง การให้คำแนะนำและคำปรึกษาในการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 นี้ เป็นการให้ความเห็นเกี่ยวกับข้อกฎหมายตามพระราชบัญญัติดังกล่าวโดยทั่วไป แต่ในกรณีที่มี
เรื่องร้องเรียนหรือมีการตรวจสอบการกระทำใด ๆ ที่อยู่ในหน้าที่และอำนาจของคณะกรรมการผู้เชี่ยวชาญ
หรือหน่วยงานอื่น ผลการพิจารณาจะเป็นอย่างไรย่อมเป็นไปตามข้อกฎหมายและกระบวนการที่เกี่ยวข้อง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-14-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-43.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/14-2567.md

============================================================
โนด: ข้อหารือ 15/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/15-2566.md

# ข้อหารือที่ 15/2566 เรื่อง นิติบุคคลอาคารชุด อ. หารือกรณีขอบเขตความหมายของคำว่า “องค์กรไม่แสวงหาผลกำไร”

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md)
2. พระราชบัญญัติอาคารชุด พ.ศ. 2522 — มาตรา 33
3. ประมวลรัษฎากร — มาตรา 39 และมาตรา 77/2
4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 ข้อ 3 (5)

## ข้อหารือ

นิติบุคคลอาคารชุด อ. ขอหารือกรณีประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 ได้มีการระบุข้อความในข้อ 3 (5) ว่า "องค์กรที่ไม่แสวงหากำไร" เป็นลักษณะอย่างหนึ่งของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับการยกเว้นไม่ต้องดำเนินการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8)

และได้อ้างถึงหนังสือกรมสรรพากร ที่ กค 0842/สก./1682 ลงวันที่ 17 กุมภาพันธ์ 2540 ซึ่งระบุว่า นิติบุคคลอาคารชุดไม่เข้าลักษณะเป็นบริษัทหรือห้างหุ้นส่วนนิติบุคคลตามมาตรา 39 แห่งประมวลรัษฎากร ซึ่งหมายความว่านิติบุคคลอาคารชุดเป็นนิติบุคคลประเภทไม่แสวงหาผลกำไร

จึงขอสอบถามว่า นิติบุคคลอาคารชุด อ. เข้าข่าย "องค์กรที่ไม่แสวงหากำไร" ตามข้อ 3 (5) ของประกาศ คคส. ดังกล่าวและได้รับการยกเว้นไม่ต้องดำเนินการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง (1) (2) (3) (4) (5) (6) (7) และ (8) แห่ง PDPA หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อหารือและข้อกฎหมายประกอบกับเอกสารที่เกี่ยวข้องแล้ว เห็นว่า นิติบุคคลอาคารชุดที่ได้จดทะเบียนตามกฎหมายว่าด้วยอาคารชุดมีฐานะเป็นนิติบุคคลตามมาตรา 33 วรรคหนึ่ง แห่งพระราชบัญญัติอาคารชุด พ.ศ. 2522 และมาตรา 33 วรรคสอง บัญญัติว่า นิติบุคคลอาคารชุดมีวัตถุประสงค์เพื่อจัดการ และดูแลรักษาทรัพย์ส่วนกลาง และมีอำนาจกระทำการใด ๆ เพื่อประโยชน์ตามวัตถุประสงค์ดังกล่าว

ประกอบกับหนังสือตอบข้อหารือของกรมสรรพากร และคำวินิจฉัยของคณะกรรมการวินิจฉัยภาษีอากร ที่ 33/2540 (ภาษีมูลค่าเพิ่ม) ก็ได้วินิจฉัยว่า นิติบุคคลอาคารชุดที่จัดตั้งขึ้นตามกฎหมายว่าด้วยอาคารชุด ซึ่งกระทำกิจกรรมเฉพาะเพื่อจัดการและดูแลทรัพย์สินส่วนกลาง และมิได้กระทำกิจการใดนอกเหนือจากวัตถุประสงค์ตามที่กฎหมายว่าด้วยอาคารชุดกำหนดไว้ รวมทั้งไม่ได้ขายสินค้าหรือให้บริการใดกับบุคคลอื่นซึ่งมิใช่เจ้าของห้องชุดนั้น ยังไม่เข้าลักษณะเป็นผู้ประกอบการที่อยู่ในบังคับต้องเสียภาษีมูลค่าเพิ่มตามมาตรา 77/2 แห่งประมวลรัษฎากร จึงไม่ต้องนำเงินกองทุน ค่าใช้จ่ายส่วนกลาง และค่าสาธารณูปโภคมาร่วมคำนวณเสียภาษีมูลค่าเพิ่ม

จากหลักเกณฑ์ดังกล่าวจึงอาจถือได้ว่า **นิติบุคคลอาคารชุดโดยทั่วไปเป็นนิติบุคคลที่มีลักษณะเป็นองค์กรที่ไม่แสวงหากำไร** ซึ่งได้รับการยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนตามข้อ 3 (5) ของประกาศ คคส. ซึ่งออกตามความใน [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคหนึ่ง แห่ง PDPA

ดังนั้น หากนิติบุคคลอาคารชุด อ. เป็นนิติบุคคลที่มีลักษณะดังกล่าวข้างต้น กล่าวคือ ได้จดทะเบียนเป็นนิติบุคคลอาคารชุดตามกฎหมายว่าด้วยอาคารชุด มีวัตถุประสงค์เพื่อจัดการ และดูแลรักษาทรัพย์ส่วนกลาง และมีอำนาจกระทำการใด ๆ เพื่อประโยชน์ตามวัตถุประสงค์ดังกล่าว ไม่ได้กระทำกิจการใดนอกเหนือจากวัตถุประสงค์ดังกล่าวตามที่กฎหมายว่าด้วยอาคารชุดกำหนดไว้ และไม่ได้ขายสินค้าหรือให้บริการใดกับบุคคลอื่นซึ่งมิใช่เจ้าของห้องชุดหรือผู้พักอาศัย หรือกระทำกิจการใดที่มีลักษณะเพื่อแสวงหากำไร นิติบุคคลอาคารชุดฯ จะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่มีลักษณะเป็นองค์กรที่ไม่แสวงหากำไร จึงได้รับการยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลตามข้อ 3 (5) ของประกาศ คคส. ดังกล่าว

ทั้งนี้ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของนิติบุคคลอาคารชุดฯ ที่ได้รับยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว **ครอบคลุมเฉพาะการบันทึกรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (1) ถึง (6) และ (8) เท่านั้น** แต่ไม่รวมถึงการบันทึกรายการการปฏิเสธคำขอหรือการคัดค้านตามมาตรา 30 วรรคสาม, มาตรา 31 วรรคสาม, มาตรา 32 วรรคสาม และมาตรา 36 วรรคหนึ่ง ตามนัย [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (7) และไม่รวมกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงจะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่มีการเก็บรวบรวมเป็นครั้งคราว หรือมีการเก็บรวบรวมข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ตามนัยข้อ 3 วรรคสามของประกาศดังกล่าว ประกอบ [มาตรา 39](https://link.pdpalawbase.com/section/39.md) วรรคสาม แห่ง PDPA

อย่างไรก็ดี นิติบุคคลอาคารชุดฯ ยังคงมีหน้าที่ต้องปฏิบัติให้เป็นไปตาม PDPA ในส่วนอื่น โดยเฉพาะการเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) · การแจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล (Privacy Notice) ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) · และการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ในประกาศ คคส. เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-15-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-15.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/15-2566.md

============================================================
โนด: ข้อหารือ 15/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/15-2567.md

# ข้อหารือที่ 15/2567 เรื่อง ธนาคาร Y ขอหารือในประเด็นที่เกี่ยวข้องกับพระราชกฤษฎีกากำหนดลักษณะ กิจการหรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) [มาตรา 35](https://link.pdpalawbase.com/section/35.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) [มาตรา 39](https://link.pdpalawbase.com/section/39.md) และ [มาตรา 73](https://link.pdpalawbase.com/section/73.md)
2. พระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566
     มาตรา 3 มาตรา 7 และมาตรา 11

## ข้อหารือ

ธนาคาร Y ขอหารือในประเด็นที่เกี่ยวข้องกับพระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือ
หน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ
พ.ศ. 2566 ดังนี้
ประเด็นข้อหารือที่ 1 กรณีตามมาตรา 7 วรรคสอง แห่งพระราชกฤษฎีกาดังกล่าว ในกรณีที่
ลูกค้ามาขอแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง เป็นปัจจุบัน (update) โดยตรงกับธนาคาร ธนาคารจำเป็นต้อง
แก้ไขข้อมูลส่วนบุคคลของลูกค้าที่ถูกต้องและเป็นปัจจุบัน (update) ให้แก่กรมสรรพากรหรือไม่ หากไม่ได้
มีคำขอเพิ่มเติมจากกรมสรรพากร
ประเด็นข้อหารือที่ 2 หารือประเด็นตามมาตรา 11 แห่งพระราชกฤษฎีกาดังกล่าว ดังนี้
1. มาตรา 11 จะใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลทุกประเภท ไม่จำกัดเฉพาะผู้ควบคุม
ข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐใช่หรือไม่
2. หากธนาคารได้รับการร้องขอจากธนาคารตัวแทนต่างประเทศ (correspondent bank) ที่อยู่
ในต่างประเทศ โดยเป็นกรณีที่ธนาคารตัวแทนต่างประเทศแจ้งว่า เงินที่โอนเข้ามาสงสัยว่าเข้าข่ายการฉ้อโกง
(fraud) ซึ่งธนาคารต้องดำเนินการตอบกลับไปยังธนาคารตัวแทนต่างประเทศ โดยจะมีข้อมูล เช่น ชื่อและเลขที่
บัญชีของลูกค้า ส่งให้แก่ธนาคารตัวแทนต่างประเทศ จะถือว่าธนาคารได้รับยกเว้นตามมาตรานี้หรือไม่
3. การที่ธนาคารส่งเงินไปยังธนาคารตัวแทนต่างประเทศ (correspondent bank) แล้วภายหลัง
ลูกค้ามาแจ้งว่า กรณีที่ส่งเงินดังกล่าวไป สงสัยว่าจะเข้าข่ายฉ้อโกง (fraud) เนื่องจากลูกค้าโดน hack e-mail
ธนาคารจึงได้ดำเนินการส่งข้อความ (message) แจ้งไปยังธนาคารตัวแทนต่างประเทศเพื่อขอเงินคืน จะถือว่า
ธนาคารได้รับยกเว้นตามมาตรานี้หรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็น ดังนี้
ประเด็นข้อหารือที่ 1 เห็นว่า เมื่อพิจารณาจากบทบัญญัติตามมาตรา 7 แห่งพระราชกฤษฎีกา
กำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566 แล้ว การเปิดเผยข้อมูลส่วนบุคคลที่ธนาคาร Y ในฐานะผู้ควบคุม
ข้อมูลส่วนบุคคลจะได้รับการยกเว้นการปฏิบัติตามบทบัญญัติหมวด 2 และหมวด 3 แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ดังกล่าว จะต้องเป็นกรณีที่กรมสรรพากร กรมศุลกากร หรือกรมสรรพสามิต
ร้องขอข้อมูลส่วนบุคคลไปยังธนาคาร Y โดยอาศัยอำนาจตามกฎหมายในการขอข้อมูลส่วนบุคคลเพื่อดำเนินการ
ตามวัตถุประสงค์หรือภารกิจตามกฎหมายที่อยู่ในความรับผิดชอบเกี่ยวกับการจัดเก็บภาษีอากร การดำเนินการใด ๆ
อันเกี่ยวกับการบังคับแก่บรรดาค่าธรรมเนียมทางภาษีอากร ค่าฤชาธรรมเนียม หรือค่าอากรใด ๆ รวมทั้ง
การดำเนินการตามพันธกรณีหรือความร่วมมือระหว่างประเทศในเรื่องดังกล่าว ตามมาตรา 7 วรรคหนึ่ง
แห่งพระราชกฤษฎีกาฯ ก่อน และเมื่อธนาคาร Y ได้มีการเปิดเผยข้อมูลส่วนบุคคลแก่กรมสรรพากร กรมศุลกากร
หรือกรมสรรพสามิตตามที่ได้รับการร้องขอแล้ว ต่อมาเจ้าของข้อมูลส่วนบุคคลขอใช้สิทธิขอให้แก้ไขข้อมูล
ให้ถูกต้องและเป็นปัจจุบัน และเป็นกรณีที่หน่วยงานของรัฐนั้นได้รับข้อมูลมาจากธนาคาร Y ธนาคาร Y ในฐานะ
ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นผู้เก็บรวบรวมและเปิดเผยข้อมูลนั้น จึงมีหน้าที่แก้ไขข้อมูลให้ถูกต้องและ
เป็นปัจจุบัน และส่งข้อมูลที่ถูกต้องและเป็นปัจจุบันให้กับหน่วยงานของรัฐเพิ่มเติม ตามมาตรา 7 วรรคสอง
เมื่อเจ้าของข้อมูลส่วนบุคคลขอใช้สิทธิดังกล่าว แต่จากประเด็นตามข้อหารือกรณีที่ลูกค้าใช้สิทธิขอแก้ไขข้อมูล
ส่วนบุคคลให้ถูกต้องและเป็นปัจจุบันโดยตรงกับธนาคาร Y โดยกรมสรรพากร กรมศุลกากร หรือกรมสรรพสามิต
ไม่ได้ร้องขอให้ธนาคาร Y แก้ไขข้อมูลส่วนบุคคลให้ถูกต้องและเป็นปัจจุบันแล้วส่งข้อมูลที่ถูกต้องและเป็นปัจจุบัน
ให้กับตนอีกครั้ง และเจ้าของข้อมูลส่วนบุคคลไม่ได้แจ้งในการขอใช้สิทธิดังกล่าวกับธนาคาร Y โดยตรงว่าเป็นกรณี
ที่ต้องการใช้สิทธิเพื่อให้ข้อมูลที่ธนาคาร Y เปิดเผยให้กับหน่วยงานของรัฐอื่นใดที่ร้องขอได้รับการแก้ไขให้ถูกต้อง
และเป็นปัจจุบัน ก็จะไม่ใช่กรณีตามมาตรา 7 แห่งพระราชกฤษฎีกาดังกล่าว
อย่างไรก็ตาม ธนาคาร Y ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่ตาม [มาตรา 35](https://link.pdpalawbase.com/section/35.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในการดำเนินการให้ข้อมูลส่วนบุคคลถูกต้อง
เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด ดังนั้น ธนาคาร Y จึงต้องแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง
เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิดตามที่ลูกค้าในฐานะเจ้าของข้อมูลส่วนบุคคลร้องขอ
หากข้อมูลส่วนบุคคลดังกล่าวไม่ถูกต้อง ไม่เป็นปัจจุบัน ไม่สมบูรณ์ หรืออาจก่อให้เกิดความเข้าใจผิด และหาก
ธนาคาร Y ไม่ดำเนินการตามคำร้องขอ ธนาคาร Y ต้องบันทึกคำร้องขอของเจ้าของข้อมูลส่วนบุคคลพร้อมด้วย
เหตุผลที่ปฏิเสธการขอแก้ไขข้อมูลนั้นไว้ในรายการที่ต้องบันทึกตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) (Records of Processing
Activities: ROPA) ตามนัย [มาตรา 36](https://link.pdpalawbase.com/section/36.md) วรรคหนึ่งด้วย อย่างไรก็ดี เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนต่อ
คณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการได้ ตาม [มาตรา 36](https://link.pdpalawbase.com/section/36.md) วรรคสอง ประกอบ
[มาตรา 73](https://link.pdpalawbase.com/section/73.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ประเด็นข้อหารือที่ 2 สำหรับประเด็นตามมาตรา 11 แห่งพระราชกฤษฎีกากำหนดลักษณะ
กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วน
มาใช้บังคับ พ.ศ. 2566 นั้น เห็นว่า
1. ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคล
ในการดำเนินการเกี่ยวกับวัตถุประสงค์ตามมาตรา 11 แห่งพระราชกฤษฎีกาฯ นั้น มาตรา 3 แห่งพระราชกฤษฎีกาฯ
บัญญัติบทนิยามของคำว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" ในความหมายว่า ผู้ควบคุมข้อมูลส่วนบุคคลทั้งในภาครัฐ
และภาคเอกชน ดังนั้น ผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 11 ดังกล่าว จึงไม่จำกัดเฉพาะกับหน่วยงานของรัฐ
เท่านั้น แต่ยังรวมถึงผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นภาคเอกชนด้วย แต่ผู้ควบคุมข้อมูลส่วนบุคคลใดจะได้รับการ
ยกเว้นตามมาตรา 11 แห่งพระราชกฤษฎีกาฯ หรือไม่ จะต้องพิจารณาเงื่อนไขตามมาตรา 11 แห่งพระราชกฤษฎีกานี้
ประกอบกับกฎหมายอื่นที่เกี่ยวข้องในเรื่องนั้น ๆ เช่น กฎหมายว่าด้วยการป้องกันและปราบปรามการมีส่วนร่วม
ในองค์กรอาชญากรรมข้ามชาติ ประกอบด้วย
2. สำหรับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในการดำเนินการเกี่ยวกับ
การเนรเทศ การส่งผู้ร้ายข้ามแดน ความร่วมมือระหว่างประเทศเกี่ยวกับกระบวนการยุติธรรมทางอาญา
การป้องกันและปราบปรามการมีส่วนร่วมในองค์กรอาชญากรรมข้ามชาติ ความร่วมมืออื่นทางศาล หรือ
กระบวนการยุติธรรมระหว่างประเทศ ที่ได้รับการยกเว้นการปฏิบัติตามบทบัญญัติหมวด 2 และหมวด 3
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตามมาตรา 11 แห่งพระราชกฤษฎีกาดังกล่าวนั้น
จะต้องพิจารณากฎหมายอื่นที่เกี่ยวข้องในเรื่องนั้นประกอบด้วย ซึ่งการดำเนินการของผู้ควบคุมข้อมูลส่วนบุคคล
ตามวัตถุประสงค์ในมาตรา 11 โดยทั่วไปจะต้องอาศัยอำนาจรัฐหรือกระบวนการตามกฎหมายที่เกี่ยวข้อง
ซึ่งรวมถึงกฎหมายระหว่างประเทศและความตกลงระหว่างประเทศ ดังนั้น การดำเนินการเกี่ยวกับการเก็บรวบรวม
ใช้ และเปิดเผยข้อมูลส่วนบุคคลระหว่างธนาคารตัวแทนต่างประเทศ (correspondent bank) ที่อยู่
นอกราชอาณาจักรและธนาคารในราชอาณาจักร ซึ่งต่างมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลด้วยกัน
หากการดำเนินการของธนาคารทั้งสองฝ่ายไม่ได้ใช้อำนาจรัฐและไม่ได้เป็นการปฏิบัติหน้าที่ตามที่กฎหมายได้
กำหนดไว้เป็นการเฉพาะเพื่อวัตถุประสงค์ตามมาตรา 11 ของพระราชกฤษฎีกาดังกล่าว ย่อมไม่ได้รับการยกเว้น
การปฏิบัติตามบทบัญญัติหมวด 2 และหมวด 3 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
แต่อย่างไรก็ตาม แม้จะไม่ได้รับการยกเว้นการบังคับใช้พระราชบัญญัตินี้ ธนาคาร Y ก็อาจพิจารณาดำเนินการ
เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าวให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 ได้ เช่น กรณีที่ธนาคาร Y เห็นว่า การดำเนินการร่วมกันระหว่างธนาคาร Y กับธนาคาร
ตัวแทนต่างประเทศ เกี่ยวกับธุรกรรมทางการเงินในกรณีใดเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของ
ข้อมูลส่วนบุคคลเป็นคู่สัญญา เป็นต้น
3. สำหรับการดำเนินการที่เกี่ยวข้องกับธุรกรรมทางการเงินระหว่างธนาคาร Y กับธนาคาร
ตัวแทนต่างประเทศ (correspondent bank) เช่น การขอเงินคืนเมื่อสงสัยว่าเงินที่โอนไปยังธนาคารตัวแทน
ต่างประเทศจะเข้าข่ายฉ้อโกง (fraud) นั้น เห็นว่า กรณีที่การดำเนินการของธนาคารทั้งสองฝ่ายไม่ได้ใช้อำนาจรัฐ
และไม่ได้เป็นการปฏิบัติหน้าที่ตามที่กฎหมายกำหนดไว้เป็นการเฉพาะเพื่อวัตถุประสงค์ตามมาตรา 11
แห่งพระราชกฤษฎีกาดังกล่าว การดำเนินการนั้นย่อมไม่ได้รับการยกเว้นการปฏิบัติตามบทบัญญัติหมวด 2
และหมวด 3 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในทำนองเดียวกันกับข้อ 2

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-15-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-44.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/15-2567.md

============================================================
โนด: ข้อหารือ 16/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/16-2566.md

# ข้อหารือที่ 16/2566 เรื่อง กรมเจ้าท่า ขอหารือกรณีการจัดทำคำประกาศความเป็นส่วนตัว (privacy notice)

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 21](https://link.pdpalawbase.com/section/21.md) และ [มาตรา 23](https://link.pdpalawbase.com/section/23.md)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 7 (4) และมาตรา 28 (2)

## ข้อหารือ

กรมเจ้าท่าได้มีการตั้งคณะทำงานดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และอยู่ในขั้นตอนการจัดทำ (ร่าง) คำประกาศความเป็นส่วนตัว (Privacy Notice) ของกรมเจ้าท่า เพื่อให้เป็นไปตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่ง PDPA

จึงขอหารือในประเด็น ดังนี้:
1. เนื่องจากร่างประกาศความเป็นส่วนตัว (Privacy Notice) มีหลักการคือ การแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบรายละเอียดของข้อมูลส่วนบุคคลที่กรมเจ้าท่าได้เก็บรวบรวม ดังนั้น ร่างประกาศดังกล่าวมีสภาพอย่างกฎ มีผลใช้บังคับกระทบสิทธิประชาชนเป็นการทั่วไปหรือไม่
2. หากร่างประกาศ Privacy Notice มีสภาพอย่างกฎ และนำไปใช้ในการปฏิบัติหน้าที่ของกรมเจ้าท่า ซึ่งจะกระทบสิทธิของประชาชน จำเป็นจะต้องให้หัวหน้าหน่วย หรืออธิบดีกรมเจ้าท่าเป็นผู้ลงนามในประกาศหรือไม่
3. ตามมาตรา 7 (4) แห่ง พ.ร.บ. ข้อมูลข่าวสารของราชการ บัญญัติให้หน่วยงานของรัฐต้องส่ง "กฎ มติคณะรัฐมนตรี ข้อบังคับ คำสั่ง หนังสือเวียน ระเบียบ แบบแผน นโยบาย หรือการตีความ" ที่มีสภาพอย่างกฎลงพิมพ์ในราชกิจจานุเบกษา ดังนั้น หากร่าง Privacy Notice มีลักษณะเป็นกฎหรือนโยบาย จะต้องส่งลงพิมพ์ในราชกิจจานุเบกษาหรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น ดังนี้

**ประเด็นหารือที่ 1 และประเด็นหารือที่ 3** เห็นว่า [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่ง PDPA ได้บัญญัติว่า ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงวัตถุประสงค์และรายละเอียดเกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคล และ [มาตรา 21](https://link.pdpalawbase.com/section/21.md) บัญญัติให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ หากไม่ปฏิบัติตาม จะมีโทษทางปกครอง (มาตรา 82 หรือมาตรา 83)

การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) จึงเป็นการดำเนินการเพื่อให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลมีความโปร่งใส เป็นธรรม และกระทำได้เท่าที่จำเป็นภายใต้วัตถุประสงค์โดยชอบด้วยกฎหมาย โดย [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ไม่ได้กำหนดรูปแบบหรือวิธีการของการแจ้ง · ในทางปฏิบัติ ผู้ควบคุมข้อมูลส่วนบุคคลอาจใช้วิธีการแจ้งโดยวาจา แจ้งเป็นหนังสือ แจ้งโดยวิธีการทางอิเล็กทรอนิกส์ หรือแจ้งโดยวิธีการอื่นใด และอาจแจ้งเป็นรายบุคคล หรือแจ้งเป็นการทั่วไป เช่น ในรูปแบบประกาศความเป็นส่วนตัว ก็ได้

ดังนั้น ในกรณีที่หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลจัดทำเป็นประกาศความเป็นส่วนตัว (privacy notice) ไม่ว่าจะเรียกชื่ออย่างไร โดยมีวัตถุประสงค์และรายละเอียดตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) **ประกาศดังกล่าวจึงมีลักษณะเป็นเพียงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ โดยไม่ได้มุ่งหมายให้มีผลทางกฎหมายเป็นการบังคับต่อเจ้าของข้อมูลส่วนบุคคล** ซึ่งจะแตกต่างจากกฎ ระเบียบ ข้อบังคับ หรือประกาศอื่นที่มีผลบังคับเป็นการทั่วไป

อย่างไรก็ตาม ประเด็นที่กรมเจ้าท่าหารือมาว่า มาตรา 7 (4) แห่ง พ.ร.บ. ข้อมูลข่าวสารของราชการ ครอบคลุมถึง privacy notice ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) หรือไม่ และต้องส่งลงพิมพ์ในราชกิจจานุเบกษาหรือไม่ — **เป็นหน้าที่และอำนาจของคณะกรรมการข้อมูลข่าวสารของราชการ** (ตามมาตรา 28 (2) แห่ง พ.ร.บ. ข้อมูลข่าวสารฯ) กรมเจ้าท่าจึงควรหารือไปยังคณะกรรมการข้อมูลข่าวสารของราชการเพื่อพิจารณาตีความต่อไป

**สำหรับประเด็นหารือที่ 2** เห็นว่า [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ไม่ได้กำหนดรูปแบบหรือวิธีการของการแจ้ง · หากพิจารณาเฉพาะตาม PDPA การแจ้ง privacy notice หากจัดทำในรูปแบบประกาศความเป็นส่วนตัว ไม่ว่าจะเรียกชื่ออย่างไร จึงอาจมีการลงนามหรือไม่ก็ได้ · หากประสงค์จะให้มีการลงนาม หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณากำหนดหรือมอบหมายบุคคลที่เหมาะสมเป็นผู้ลงนามก็ได้ · การพิจารณาว่าจะต้องลงนามหรือไม่ และลงนามโดยผู้ใด จำเป็นจะต้องพิจารณาตามกฎหมายหรือระเบียบที่เกี่ยวข้องกับการปฏิบัติราชการของกรมเจ้าท่า ซึ่งไม่อยู่ในหน้าที่และอำนาจของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยตรง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-16-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-16.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/16-2566.md

============================================================
โนด: ข้อหารือ 16/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/16-2567.md

# ข้อหารือที่ 16/2567 เรื่อง บริษัท W ขอหารือเกี่ยวกับการเก็บรวบรวมข้อมูลการรักษาพยาบาลเพื่อเบิกจ่ายเงินสวัสดิการ

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่และวรรคหก [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค)
2. พระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 และที่แก้ไขเพิ่มเติม
มาตรา 19
3. พระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 และที่แก้ไขเพิ่มเติม
มาตรา 32 มาตรา 33 มาตรา 41 และมาตรา 42
4. พระราชกฤษฎีกาเงินสวัสดิการเกี่ยวกับการรักษาพยาบาล พ.ศ. 2553 และที่แก้ไขเพิ่มเติม

## ข้อหารือ

บริษัท W ในฐานะนายจ้างที่ต้องเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับสุขภาพของพนักงานเพื่อ
การเบิกจ่ายสวัสดิการค่ารักษาพยาบาล อันเนื่องมาจากข้อตกลงเกี่ยวกับสภาพการจ้างที่เกิดจากข้อเรียกร้องของพนักงาน
โดยพนักงานส่วนใหญ่ของบริษัทเข้าเป็นสมาชิกสหภาพแรงงานแห่งหนึ่งตามสิทธิที่กำหนดไว้ในพระราชบัญญัติแรงงาน
สัมพันธ์ พ.ศ. 2518 เพื่อให้สหภาพแรงงานนั้นเป็นตัวแทนของพนักงานในการยื่นข้อเรียกร้องเกี่ยวกับสภาพการจ้างใน
ด้านต่าง ๆ ต่อบริษัท W เช่น เงินเดือน โบนัส และสวัสดิการ ซึ่งรวมถึงสวัสดิการช่วยเหลือค่ารักษาพยาบาลด้วย โดยใน
ปัจจุบัน พนักงานมีสิทธิได้รับเงินช่วยเหลือค่ารักษาพยาบาลตามสวัสดิการค่ารักษาพยาบาลที่เกิดจากข้อเรียกร้องเกี่ยวกับ
สภาพการจ้างทั้งสิ้น 2 ประเภท คือ 1. โรคทั่วไป 2. โรคร้ายแรง เช่น โรคมะเร็ง โรคเบาหวาน โรคเกี่ยวกับเส้นเลือดใน
สมอง ฯลฯ ตามจำนวนค่ารักษาพยาบาลที่เกิดขึ้นจริง แต่ไม่เกินวงเงินที่กำหนดต่อคนต่อปี ซึ่งพนักงานที่ประสงค์จะใช้
สิทธิสวัสดิการช่วยเหลือค่ารักษาพยาบาล ต้องยื่นเอกสารหลักฐานเพื่อแสดงว่า ค่าใช้จ่ายที่นำมาเบิกเป็นค่ารักษาพยาบาล
จริง 2 รายการ ให้กับเจ้าหน้าที่ฝ่ายทรัพยากรบุคคลของบริษัท W คือ 1. ใบรับรองแพทย์ที่ระบุชื่อโรคหรืออาการเจ็บป่วย
และ 2. ใบเสร็จรับเงินค่ารักษาพยาบาล จากนั้น เจ้าหน้าที่ฝ่ายทรัพยากรบุคคลจะตรวจสอบข้อมูลจากเอกสารที่ยื่นว่า
ถูกต้อง แล้วบันทึกข้อมูลลงในโปรแกรมจัดการทรัพยากรบุคคลของบริษัท W หลังจากนั้น บริษัท W จะจ่ายเงิน
โดยโอนเข้าบัญชีของพนักงานพร้อมกับเงินเดือนในแต่ละงวด และลงบันทึกเป็นค่าใช้จ่ายซึ่งถือเป็นต้นทุนที่ต้องนำไป
คำนวณเพื่อเสียภาษี ส่วนเอกสารที่พนักงานยื่นเพื่อขอเบิก บริษัท W ต้องเก็บรักษาไว้เพื่อให้เจ้าหน้าที่กรมสรรพากร
ตรวจสอบ ทั้งนี้ การลงบันทึกค่าใช้จ่ายและการเก็บหลักฐานไว้ให้ตรวจสอบ เป็นไปตามที่กำหนดไว้ในประมวลรัษฎากร
โดยบริษัท W จะเก็บเอกสารไว้เป็นเวลา 10 ปี นับจากจ่ายเงินช่วยเหลือค่ารักษาพยาบาล ตามอายุความที่กรมสรรพากร
มีอำนาจประเมิน หลังจากนั้น จะลบทำลายเอกสารที่เกี่ยวข้อง รวมถึงลบข้อมูลออกจากโปรแกรมจัดการทรัพยากรบุคคล
โดยบริษัท W ได้พิจารณาว่า การจ่ายเงินช่วยเหลือค่ารักษาพยาบาลต้องมีการเก็บรวบรวมข้อมูลเกี่ยวกับสุขภาพของ
พนักงานซึ่งต้องขอความยินยอมจากพนักงานด้วย บริษัท W จึงได้แจ้งรายละเอียดตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พร้อมทั้งจัดทำแบบฟอร์มขอความยินยอมจากพนักงาน โดยแสดงเหตุผล
ความจำเป็นที่ต้องขอความยินยอม และระบุไว้ด้วยว่าหากพนักงานไม่ให้ความยินยอม บริษัท W จะไม่สามารถจ่ายเงิน
ช่วยเหลือค่ารักษาพยาบาลให้ได้ แต่มีพนักงานไม่ให้ความยินยอม พร้อมโต้แย้งว่า การเก็บรวบรวมข้อมูลในกรณีนี้
เป็นกรณีเข้าข้อยกเว้นตามที่กำหนดไว้ใน [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
เพราะบริษัท W มีหน้าที่ต้องปฏิบัติตามข้อตกลงเกี่ยวกับสภาพการจ้าง ดังนั้น บริษัท W จึงต้องจ่ายเงินช่วยเหลือให้
พนักงานโดยไม่ต้องขอความยินยอม และหากบริษัท W ไม่ยอมจ่ายเงินช่วยเหลือค่ารักษาพยาบาล ก็จะถือว่ามีความผิด
ตามพระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 บริษัท W จึงขอหารือในประเด็น ดังนี้
1. การเก็บรวบรวมข้อมูลส่วนบุคคลตามข้อเท็จจริงดังกล่าว ถือเป็นกรณีเข้าข้อยกเว้นที่ไม่ต้อง
ขอความยินยอม หรือไม่
2. หากไม่เข้าข้อยกเว้น แต่พนักงานไม่ให้ความยินยอมในการเก็บรวบรวมข้อมูล และยืนยันว่า
บริษัท W ต้องจ่ายเงินช่วยเหลือค่ารักษาพยาบาลตามข้อตกลงเกี่ยวกับสภาพการจ้าง บริษัท W จะต้องดำเนินการอย่างไร

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้วมีความเห็น ดังนี้
ประเด็นตามข้อหารือที่ 1 เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
บัญญัติเกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคลว่า ต้องมีฐานทางกฎหมายตามที่บัญญัติไว้ใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md)
หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี ซึ่งความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเป็นฐานทางกฎหมายหนึ่งที่ผู้ควบคุม
ข้อมูลส่วนบุคคลสามารถใช้เพื่อการเก็บรวบรวมข้อมูลส่วนบุคคลได้ หากไม่เข้าข้อยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md)
หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แล้วแต่กรณี บริษัท W จะต้องขอความยินยอมโดยชอบด้วยกฎหมายจากเจ้าของข้อมูลส่วนบุคคล
ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังนั้น เมื่อบริษัท W มีการเก็บรวบรวม
ข้อมูลจากใบรับรองแพทย์ที่ระบุชื่อโรคหรืออาการเจ็บป่วย ซึ่งเป็นข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ
โดยมีวัตถุประสงค์เพื่อใช้ประกอบการพิจารณาเบิกจ่ายค่ารักษาพยาบาลตามสิทธิสวัสดิการของพนักงาน
ซึ่งเป็นการปฏิบัติเพื่อให้เป็นไปตามข้อตกลงเกี่ยวกับสภาพการจ้างตามพระราชบัญญัติแรงงานสัมพันธ์
พ.ศ. 2518 และที่แก้ไขเพิ่มเติม บริษัท W จะต้องพิจารณาว่า การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับ
ข้อมูลสุขภาพดังกล่าว เป็นกรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ โดย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) กำหนดข้อยกเว้น
ในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพที่ไม่ต้องขอความยินยอมโดยชัดแจ้ง ในกรณีที่เป็น
การจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ฯลฯ ซึ่งในการดำเนินงาน
ของนายจ้าง นายจ้างย่อมมีหน้าที่ต้องปฏิบัติตามกฎหมายแรงงานที่เกี่ยวข้อง เช่น กฎหมายว่าด้วยการคุ้มครองแรงงาน
กฎหมายว่าด้วยแรงงานสัมพันธ์ หรือกฎหมายว่าด้วยแรงงานรัฐวิสาหกิจสัมพันธ์ในกรณีของรัฐวิสาหกิจ
และข้อตกลงเกี่ยวกับสภาพการจ้างจะมีผลผูกพันนายจ้างและลูกจ้างที่เกี่ยวข้องตามมาตรา 19
แห่งพระราชบัญญัติแรงงานสัมพันธ์ พ.ศ. 2518 ด้วยเหตุนี้ หากบริษัท W ในฐานะนายจ้างเห็นว่า การเก็บรวบรวม
ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ เพื่อใช้ประกอบการพิจารณาเบิกจ่ายค่ารักษาพยาบาลตามสิทธิสวัสดิการ
ของพนักงานดังกล่าว เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับสภาพการจ้างและมีผลผูกพันบริษัท W ในฐานะนายจ้าง
และลูกจ้างตามกฎหมายว่าด้วยแรงงานสัมพันธ์ จึงเป็นการดำเนินการที่จำเป็นเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ
การคุ้มครองแรงงาน บริษัท W ก็สามารถเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้โดยไม่ต้อง
ขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562
ตัวอย่างอื่นของการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ ที่จะได้รับยกเว้นไม่ต้อง
ขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เนื่องจากถือเป็นการจำเป็นในการปฏิบัติตามกฎหมาย
เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ย่อมรวมถึงกรณีที่นายจ้างเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ
เพื่อพิจารณาให้ลูกจ้างลาป่วยตามสิทธิหรือการให้ลูกจ้างแสดงใบรับรองแพทย์ประกอบการลาป่วยตามสิทธิ
ตามมาตรา 32 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541 หรือเพื่อพิจารณาให้ลูกจ้างลาเพื่อทำหมัน
และลาเนื่องจากการทำหมันตามสิทธิ ตามมาตรา 33 แห่งพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541
หรือเพื่อพิจารณาให้ลูกจ้างซึ่งเป็นหญิงมีครรภ์ลาเพื่อคลอดบุตรตามสิทธิ ตามมาตรา 41 แห่งพระราชบัญญัติ
คุ้มครองแรงงาน พ.ศ. 2541 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติคุ้มครองแรงงาน (ฉบับที่ 7) พ.ศ. 2562
หรือเพื่อพิจารณาให้ลูกจ้างซึ่งเป็นหญิงมีครรภ์ที่มีใบรับรองแพทย์มาแสดงว่าไม่อาจทำงานในหน้าที่เดิมต่อไปได้
เปลี่ยนงานในหน้าที่เดิมเป็นการชั่วคราวก่อนหรือหลังคลอดได้ ตามมาตรา 42 แห่งพระราชบัญญัติคุ้มครอง
แรงงาน พ.ศ. 2541
อนึ่ง คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า คำว่า "สวัสดิการเกี่ยวกับ
การรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย" ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 ครอบคลุมเฉพาะสวัสดิการเกี่ยวกับการรักษาพยาบาลของข้าราชการ ลูกจ้างประจำ และบุคคลอื่น
ที่เป็น "ผู้มีสิทธิ" ตามกฎหมาย ซึ่งรวมถึงผู้มีสิทธิได้รับเงินสวัสดิการเกี่ยวกับการรักษาพยาบาลสำหรับตนเอง
และบุคคลในครอบครัวของตนตามพระราชกฤษฎีกาเงินสวัสดิการเกี่ยวกับการรักษาพยาบาล พ.ศ. 2553
และที่แก้ไขเพิ่มเติม ซึ่งออกโดยอาศัยอำนาจตามความในกฎหมายว่าด้วยการกำหนดหลักเกณฑ์เกี่ยวกับ
การจ่ายเงินบางประเภทตามงบประมาณรายจ่าย ตลอดจนสวัสดิการเกี่ยวกับการรักษาพยาบาลหรือสวัสดิการ
สุขภาพของข้าราชการ เจ้าหน้าที่ พนักงาน ลูกจ้าง และผู้ปฏิบัติงานประเภทต่าง ๆ ของส่วนราชการ องค์การมหาชน
และหน่วยงานของรัฐทุกประเภทที่มีหน้าที่และอำนาจตามกฎหมายอื่นในการจัดสวัสดิการเกี่ยวกับ
การรักษาพยาบาลหรือสวัสดิการสุขภาพแก่บุคลากรของตน ตลอดจนบุคคลในครอบครัวของผู้นั้นด้วย
แต่ไม่ครอบคลุมการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพของพนักงานของหน่วยงานเอกชนที่ไม่ได้
เป็นผู้มีสิทธิตามกฎหมาย เช่น กรณีที่บริษัท W หารือมา
ประเด็นตามข้อหารือที่ 2 เห็นว่า เมื่อได้พิจารณาในประเด็นตามข้อหารือที่ 1 แล้วว่า
การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพของบริษัท W ในฐานะนายจ้าง เพื่อใช้ประกอบการ
พิจารณาเบิกจ่ายค่ารักษาพยาบาลตามสิทธิสวัสดิการของพนักงานดังกล่าว เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับ
สภาพการจ้างและมีผลผูกพันบริษัท W ตามกฎหมายว่าด้วยแรงงานสัมพันธ์ จึงถือเป็นการดำเนินการที่จำเป็น
เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน และสามารถเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้
โดยไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงไม่ต้องตอบข้อหารือในประเด็นนี้อีก
อย่างไรก็ตาม คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า ในกรณีที่นายจ้างจัด
ให้มีสวัสดิการเกี่ยวกับการรักษาพยาบาลหรือสวัสดิการสุขภาพที่ไม่ได้เป็นส่วนหนึ่งของข้อตกลงเกี่ยวกับ
สภาพการจ้างที่มีผลผูกพันนายจ้างและลูกจ้างตามกฎหมายว่าด้วยแรงงานสัมพันธ์ จึงไม่ใช่กรณีที่เป็นการจำเป็น
เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการคุ้มครองแรงงาน ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพเพื่อวัตถุประสงค์เกี่ยวกับ
การพิจารณาเบิกจ่ายค่ารักษาพยาบาลตามสวัสดิการดังกล่าว จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของ
ข้อมูลส่วนบุคคล แต่นายจ้างอาจพิจารณาว่า ข้อมูลส่วนบุคคลที่จะเก็บรวบรวมดังกล่าว เช่น ข้อมูลตามใบรับรองแพทย์
ที่ระบุชื่อโรคหรืออาการเจ็บป่วย มีความจำเป็นสำหรับการดำเนินการเพื่อพิจารณาเบิกจ่ายค่ารักษาพยาบาลตาม
สวัสดิการของพนักงานหรือไม่ เพียงใด หากเห็นว่ามีความจำเป็นและสมควร ก็สามารถพิจารณากำหนดเงื่อนไขว่า
ในการยื่นเบิกค่ารักษาพยาบาลตามสวัสดิการ พนักงานของบริษัท W จะต้องให้ความยินยอมในการเก็บรวบรวม
ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าว มิฉะนั้น บริษัท W จะไม่สามารถพิจารณาเบิกจ่ายค่ารักษาพยาบาล
ตามสวัสดิการนั้นได้ เนื่องจากการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวของบริษัท W มีความจำเป็นและเกี่ยวข้อง
สำหรับการพิจารณาเบิกจ่ายค่ารักษาพยาบาลตามสวัสดิการ ซึ่งเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติว่า ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มี
เงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นหรือเกี่ยวข้อง
สำหรับการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ ดังนั้น ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลพิจารณาแล้ว
เห็นว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในเรื่องใด มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำ
สัญญาซึ่งรวมถึงการให้บริการ ก็อาจกำหนดเงื่อนไขในการให้ความยินยอมเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลดังกล่าว ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการนั้น ๆ ได้ ทั้งนี้ เนื่องจากในบางกรณี
การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 ที่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล มีความจำเป็นสำหรับการเข้าทำ
สัญญาหรือการให้บริการบางอย่าง เช่น กรณีการสมัครทำสัญญาประกันสุขภาพ ในกรณีที่เงื่อนไขของสัญญา
จะต้องมีการตรวจสุขภาพก่อน หรือกรณีการสมัครใช้บริการแอปพลิเคชันเก็บรวบรวมข้อมูลสุขภาพของตนเอง
ซึ่งในกรณีเหล่านี้ เจ้าของข้อมูลส่วนบุคคลจะต้องให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ เป็นส่วนหนึ่งของเงื่อนไขในการเข้าทำสัญญาหรือการให้บริการ มิฉะนั้นก็จะไม่
สามารถเข้าทำสัญญาหรือการให้บริการนั้นได้ และการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าว
ก็เป็นกรณีที่มีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาหรือการให้บริการนั้น แต่ผู้ควบคุมข้อมูลส่วนบุคคล
จะต้องแจ้งถึงผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล หรือการถอนความยินยอม ให้เจ้าของข้อมูลส่วนบุคคล
ทราบในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลหรือการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม
ข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบด้วย ตามนัย [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (2) และ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหก
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมทั้งควรแจ้งเหตุผลความจำเป็นที่ต้องขอความยินยอม
โดยกำหนดเป็นเงื่อนไขของการใช้สิทธิสวัสดิการในการเบิกค่ารักษาพยาบาล เพื่อให้พนักงานมีความเข้าใจ
ในการดำเนินการเรื่องนี้ให้ชัดเจนก่อนหรือขณะเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-16-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-45.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/16-2567.md

============================================================
โนด: ข้อหารือ 17/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/17-2566.md

# ข้อหารือที่ 17/2566 เรื่อง กองอำนวยการรักษาความมั่นคงภายในราชอาณาจักรขอหารือข้อกฎหมายและการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) และ [มาตรา 6](https://link.pdpalawbase.com/section/6.md) (บทนิยามคำว่า "ผู้ควบคุมข้อมูลส่วนบุคคล")
2. พระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. 2551 — มาตรา 5
3. พระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 และที่แก้ไขเพิ่มเติม — มาตรา 5
4. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 — มาตรา 7

## ข้อหารือ

กองอำนวยการรักษาความมั่นคงภายในราชอาณาจักร (กอ.รมน.) ขอหารือข้อกฎหมายและการปฏิบัติตาม PDPA เกี่ยวกับ [มาตรา 6](https://link.pdpalawbase.com/section/6.md) ซึ่งบัญญัติว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

โดย กอ.รมน. พิจารณาแล้วเห็นว่า มาตรา 5 แห่ง พ.ร.บ. การรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. 2551 บัญญัติให้จัดตั้ง กอ.รมน. ขึ้นในสำนักนายกรัฐมนตรี มีฐานะเป็นส่วนราชการรูปแบบเฉพาะอยู่ภายใต้การบังคับบัญชาขึ้นตรงต่อนายกรัฐมนตรี แต่กฎหมายมิได้กำหนดให้ กอ.รมน. มีฐานะเป็นนิติบุคคล จึงขอหารือ 2 ประเด็น:

1. "ผู้ควบคุมข้อมูลส่วนบุคคล" ของ กอ.รมน. ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่ง PDPA ได้แก่ส่วนราชการใด
2. ผู้ที่มีอำนาจหน้าที่ที่จะพึงปฏิบัติหรือดำเนินการตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) ได้แก่ผู้ดำรงตำแหน่งใด และผู้ดำรงตำแหน่งดังกล่าวในฐานะผู้ควบคุมข้อมูลของ กอ.รมน. อาจมอบอำนาจการดำเนินการให้แก่ผู้ดำรงตำแหน่งอื่นปฏิบัติราชการแทนได้หรือไม่ เพียงใด

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พิจารณาแล้วมีความเห็น ดังนี้

**ประเด็นหารือที่หนึ่ง** มาตรา 5 วรรคหนึ่ง แห่ง พ.ร.บ. การรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. 2551 บัญญัติให้จัดตั้ง กอ.รมน. ขึ้นในสำนักนายกรัฐมนตรี โดยมาตรา 5 วรรคเจ็ด บัญญัติให้ ผอ.รมน. มีอำนาจทำนิติกรรม ฟ้องคดี ถูกฟ้องคดี และดำเนินการทั้งปวงเกี่ยวกับคดีอันเกี่ยวเนื่องกับอำนาจหน้าที่ของ กอ.รมน. **โดยกระทำในนามของสำนักนายกรัฐมนตรี** ประกอบกับมาตรา 5 แห่ง พ.ร.บ. ปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 และมาตรา 7 วรรคสาม แห่ง พ.ร.บ. ระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 บัญญัติให้สำนักนายกรัฐมนตรีมีฐานะเป็นนิติบุคคล

ดังนั้น **สำนักนายกรัฐมนตรีซึ่งเป็นหน่วยงานต้นสังกัดของ กอ.รมน. จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md)** และมีอำนาจหน้าที่รวมถึงความรับผิดชอบในการตัดสินใจและกำกับดูแลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลให้เป็นไปตาม PDPA เท่าที่ PDPA ใช้บังคับแก่ กอ.รมน.

**ประเด็นหารือที่สอง** โดยหลักการ PDPA กำหนดให้สถานภาพความเป็นผู้ควบคุมข้อมูลส่วนบุคคลเกิดจากองค์ประกอบตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) · หากหน่วยงานใดที่เป็นนิติบุคคลมีอำนาจตัดสินใจหรือดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หน่วยงานดังกล่าวจะถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล โดยไม่ต้องมีการแต่งตั้งบุคคลใดเพื่อปฏิบัติหน้าที่เป็นผู้ควบคุมข้อมูลอีก · ส่วนงานหรือหน่วยงานภายใน ตลอดจนพนักงานและบุคลากร จะไม่มีสถานะเป็นผู้ควบคุม/ผู้ประมวลผลแยกต่างหากจากหน่วยงานนั้น

ดังนั้น สำนักนายกรัฐมนตรีในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (ซึ่งรวมถึง กอ.รมน. ในฐานะหน่วยงานในสังกัด) รวมถึงผู้บริหารและบุคลากรที่เกี่ยวข้อง ย่อมมีหน้าที่ตามกฎหมายที่จะพึงปฏิบัติตาม PDPA

อย่างไรก็ดี **นายกรัฐมนตรีในฐานะ ผอ.รมน.** ซึ่งเป็นผู้บังคับบัญชาข้าราชการ พนักงาน และลูกจ้างใน กอ.รมน. และรับผิดชอบในการปฏิบัติราชการของ กอ.รมน. ตามมาตรา 5 วรรคสาม แห่ง พ.ร.บ. การรักษาความมั่นคงภายในฯ สามารถมอบหมายหน้าที่หรือสั่งการให้ผู้ที่มีความเหมาะสมทำหน้าที่กำกับดูแลและดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของ กอ.รมน. ให้เป็นไปตาม PDPA ได้ · เช่น มอบหมายให้เลขาธิการ กอ.รมน. (ซึ่งเป็นเสนาธิการทหารบก ตามมาตรา 5 วรรคห้า) หรือบุคคลอื่นที่ปฏิบัติหน้าที่ใน กอ.รมน. ดำเนินการแทน

**อนึ่ง** คณะอนุกรรมการฯ มีความเห็นเพิ่มเติมว่า แม้ว่าการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อันเนื่องจากการปฏิบัติตามหน้าที่และอำนาจโดยชอบด้วยกฎหมายเพื่อรักษาความมั่นคงภายในราชอาณาจักรของ กอ.รมน. จะเข้าข่ายเป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน **จึงไม่ต้องอยู่ภายใต้บังคับ PDPA ตามนัย [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2)** แต่สำนักนายกรัฐมนตรีในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของ กอ.รมน. และ กอ.รมน. ในฐานะหน่วยงานในสังกัด ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย ตามนัย [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-17-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-17.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/17-2566.md

============================================================
โนด: ข้อหารือ 17/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/17-2567.md

# ข้อหารือที่ 17/2567 เรื่อง บริษัท X ขอหารือแนวทางการตีความกฎหมายเกี่ยวกับการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
      [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4)
2. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุ
การละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565
ข้อ 5 ข้อ 6 ข้อ 7 ข้อ 9 และข้อ 12

## ข้อหารือ

บริษัท X แจ้งว่า ตามที่ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุ
การละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 กำหนดหน้าที่เกี่ยวกับการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล
ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ("สคส.") ไว้ บริษัท X จึงขอสอบถามความชัดเจนของ
กฎหมายเพิ่มเติม ดังนี้
1. การละเมิดข้อมูลส่วนบุคคลในกรณีไม่มีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของประชาชน
1.1 ผู้ควบคุมข้อมูลส่วนบุคคลไม่มีหน้าที่ต้องแจ้งการละเมิดข้อมูลส่วนบุคคลต่อ สคส.
ใช่หรือไม่
1.2 การให้รายละเอียดหรือเอกสารเพิ่มเติมตามข้อ 9 วรรคสอง ของประกาศดังกล่าว
จะเกิดขึ้นเมื่อมีการร้องขอโดย สคส. เท่านั้นใช่หรือไม่
1.3 หากปรากฏว่าผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งการละเมิดข้อมูลส่วนบุคคลตามข้อ 1.1
ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งเมื่อใด และหากไม่แจ้งหรือแจ้งเกินกำหนดเวลา จะมีโทษอย่างไรบ้าง
2. การนับระยะเวลาการแจ้งการละเมิดข้อมูลส่วนบุคคล 72 ชั่วโมง เริ่มขึ้นเมื่อนับแต่ยืนยันได้ว่า
มีเหตุอันควรเชื่อที่เป็นไปตามความหมายของ "การละเมิดข้อมูลส่วนบุคคล" แต่ไม่รวมถึงขั้นตอนการตรวจสอบ
เพิ่มเติมโดยละเอียดและจัดให้มีการระงับผลกระทบของเหตุการละเมิดข้อมูลส่วนบุคคล ใช่หรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็น ดังนี้
ประเด็นตามข้อหารือที่ 1.1 เห็นว่า [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 และข้อ 5 (3) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการ
ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ("ประกาศฯ") กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคล
มีหน้าที่ต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะ
สามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ดังนั้น
เมื่อผู้ควบคุมข้อมูลส่วนบุคคลประเมินความเสี่ยงตามหลักเกณฑ์ที่กำหนดไว้ในข้อ 12 ของประกาศดังกล่าวแล้ว
หากเห็นว่าไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะไม่มีหน้าที่
แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าวต่อ สคส.
ประเด็นตามข้อหารือที่ 1.2 เห็นว่า เมื่อผู้ควบคุมข้อมูลส่วนบุคคลได้รับแจ้งข้อมูลในเบื้องต้น
จากผู้ใด หรือทราบเองว่ามีหรือน่าจะมีเหตุการละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการ
ประเมินความน่าเชื่อถือของข้อมูลดังกล่าว และตรวจสอบข้อเท็จจริงเกี่ยวกับการละเมิดข้อมูลส่วนบุคคล
ในเบื้องต้นโดยไม่ชักช้าเท่าที่จะสามารถกระทำได้ ว่ามีเหตุอันควรเชื่อได้ว่ามีการละเมิดข้อมูลส่วนบุคคลหรือไม่
จากนั้นจึงดำเนินการตามขั้นตอนที่กำหนดไว้ในข้อ 5 ของประกาศฯ โดยหากเห็นว่าเป็นกรณีที่ไม่มีความเสี่ยงที่จะมี
ผลกระทบต่อสิทธิและเสรีภาพของบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลย่อมไม่มีหน้าที่แจ้งเหตุการละเมิดข้อมูล
ส่วนบุคคลแก่ สคส. หรือให้ข้อมูลหรือส่งเอกสารที่เกี่ยวข้องให้กับ สคส. โดยตรง แต่ผู้ควบคุมข้อมูลส่วนบุคคล
ควรเก็บรักษาข้อมูลและเอกสารต่าง ๆ ที่เกี่ยวข้องกับการประเมินความน่าเชื่อถือและการตรวจสอบข้อเท็จจริง
และการประเมินความเสี่ยงเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลนั้นไว้เป็นหลักฐานอ้างอิงไว้ เพราะหากมีกรณี
ร้องเรียนที่เกี่ยวข้อง หรือกรณีได้รับแจ้งจากคณะกรรมการผู้เชี่ยวชาญหรือพนักงานเจ้าหน้าที่ให้มาให้ข้อมูลหรือ
ส่งเอกสารหรือหลักฐาน หรือขอตรวจสอบและรวบรวมข้อเท็จจริง เนื่องจากในการอ้างยกข้อยกเว้นการแจ้ง
เหตุการละเมิดข้อมูลส่วนบุคคล เนื่องจากไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคลตาม
ข้อ 9 วรรคหนึ่ง ของประกาศฯ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ให้ข้อมูลหรือส่งเอกสารหรือหลักฐานเกี่ยวกับ
เหตุที่ควรได้รับการยกเว้นดังกล่าว ซึ่งรวมถึงรายละเอียดเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยของข้อมูล
ส่วนบุคคลหรือข้อมูลอื่นใด ให้ สคส. พิจารณาตรวจสอบตามข้อ 9 วรรคสอง ของประกาศฯ ทั้งนี้ เนื่องจากภาระ
ในการพิสูจน์ว่าผู้ควบคุมข้อมูลส่วนบุคคลปฏิบัติถูกต้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
หรือไม่ (demonstration of compliance) เป็นของผู้ควบคุมข้อมูลส่วนบุคคล
ประเด็นตามข้อหารือที่ 1.3 เห็นว่า เมื่อได้ให้ความเห็นในข้อ 1.1 แล้วว่า กรณีที่เหตุการละเมิด
ข้อมูลส่วนบุคคลนั้น ไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล
ไม่มีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าวต่อ สคส. จึงไม่ต้องให้ความเห็นในประเด็นตามข้อหารือนี้
แต่หากจะแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลก็ให้เป็นไปตามกฎหมายและประกาศที่เกี่ยวข้อง
ประเด็นตามข้อหารือข้อที่ 2 เห็นว่า การนับระยะเวลาในการแจ้งการละเมิดข้อมูลส่วนบุคคล
ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ต้องพิจารณาตามหลักเกณฑ์และ
วิธีการที่กำหนดในข้อ 5 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้ง
เหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 ประกอบด้วย โดยข้อ 5 ของประกาศดังกล่าวกำหนดขั้นตอนการ
ดำเนินการไว้ ดังนี้
(1) ผู้ควบคุมข้อมูลส่วนบุคคลต้องประเมินความน่าเชื่อถือของข้อมูลที่ได้รับ และตรวจสอบ
ข้อเท็จจริงเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลในเบื้องต้นก่อน ไม่ว่าจะเป็นกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลทราบ
เองหรือได้รับแจ้งข้อมูลในเบื้องต้นจากผู้ใด ว่ามีเหตุอันควรเชื่อได้ว่ามีการละเมิดข้อมูลส่วนบุคคล (personal data
breach) หรือไม่ ซึ่งต้องกระทำโดยไม่ชักช้าเท่าที่จะสามารถกระทำได้ ตามข้อ 5 (1) นอกจากนี้ ในกรณีที่พบว่า
เหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าว มีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล
ให้ดำเนินการป้องกัน ระงับ หรือแก้ไขเพื่อให้การละเมิดข้อมูลส่วนบุคคลสิ้นสุดหรือไม่ให้การละเมิดข้อมูล
ส่วนบุคคลส่งผลกระทบเพิ่มเติมโดยทันทีเท่าที่จะสามารถกระทำได้ ตามข้อ 5 (2)
(2) เมื่อพิจารณาจากข้อเท็จจริงดังกล่าวแล้ว เห็นว่า มีเหตุอันควรเชื่อว่ามีการละเมิด
ข้อมูลส่วนบุคคลจริง และเป็นกรณีที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ให้ผู้ควบคุมข้อมูล
ส่วนบุคคลแจ้งเหตุการละเมิดดังกล่าวแก่สำนักงานฯ โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ
เท่าที่จะสามารถกระทำได้ ตามข้อ 5 (3) และดำเนินการตามข้อ 5 (4) และ (5) ของประกาศฯ ในลำดับต่อไป
ดังนั้น การพิจารณาว่าผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จะต้องแจ้งเหตุการละเมิดข้อมูล
ส่วนบุคคลแก่ สคส. หรือไม่ และการเริ่มนับระยะเวลาการแจ้งเหตุที่จะต้องกระทำโดยไม่ชักช้าภายใน 72 ชั่วโมง
นับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ จะเกิดขึ้นได้ก็ต่อเมื่อผู้ควบคุมข้อมูลส่วนบุคคลได้ทราบในเบื้องต้นว่ามี
หรือน่าจะมีเหตุการละเมิดข้อมูลส่วนบุคคล แล้วได้ประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริง
เกี่ยวกับการละเมิดข้อมูลส่วนบุคคลตามข้อ 5 (1) ของประกาศฯ และพิจารณาข้อเท็จจริงดังกล่าวแล้วเห็นว่า
มีเหตุอันควรเชื่อว่ามีการละเมิดข้อมูลส่วนบุคคลจริง ตามข้อ 5 (3) ดังนั้น การนับระยะเวลาการแจ้งเหตุ
การละเมิดข้อมูลส่วนบุคคลตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ประกอบข้อ 5 (3) ของประกาศฯ ที่กำหนดให้เริ่มนับระยะเวลา "นับแต่ทราบเหตุ" จึงเริ่มต้นเมื่อผู้ควบคุมข้อมูล
ส่วนบุคคลได้ประเมินความน่าเชื่อถือของข้อมูลและตรวจสอบข้อเท็จจริงแล้ว เห็นว่ามีเหตุอันควรเชื่อว่า
มีการละเมิดข้อมูลส่วนบุคคลจริง กล่าวคือ เมื่อเห็นว่า "มีเหตุอันควรเชื่อได้ว่ามีการละเมิดข้อมูลส่วนบุคคลจริง"
(confirmed breach or a likely breach with a reasonable degree of certainty) โดยจุดเริ่มต้นในการนับ
ระยะเวลาการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลจะเกิดขึ้นเมื่อใดนั้น จะต้องพิจารณาเป็นรายกรณี บางกรณี
อาจสามารถพิจารณายืนยันได้ตั้งแต่แรกว่ามีเหตุการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นจริง เช่น การส่งข้อมูล
ส่วนบุคคลทางไปรษณีย์อิเล็กทรอนิกส์ (e-mail) ไปยังผู้รับที่ผิดพลาด แต่บางกรณีอาจจำเป็นต้องใช้เวลาเพื่อ
ตรวจสอบข้อเท็จจริงว่าเป็นเหตุการละเมิดข้อมูลส่วนบุคคลจริงหรือไม่ เช่น กรณีที่มีข่าวอ้างว่ามีการเปิดเผยข้อมูล
ส่วนบุคคลในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลโดยมิชอบจากภัยคุกคามทางไซเบอร์หรือการรั่วไหล
ของข้อมูลส่วนบุคคล ด้วยเหตุนี้ การนับระยะเวลาการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูล
ส่วนบุคคลจะต้องใช้ดุลพินิจพิจารณาเป็นกรณี ๆ ไปว่า มีเหตุอันควรเชื่อว่ามีการละเมิดข้อมูลส่วนบุคคลเกิดขึ้น
เมื่อใด ส่วนขั้นตอนการดำเนินการป้องกัน ระงับ หรือแก้ไขเพื่อให้การละเมิดข้อมูลส่วนบุคคลสิ้นสุดหรือไม่ให้
การละเมิดข้อมูลส่วนบุคคลส่งผลกระทบเพิ่มเติม ในกรณีที่พบว่าเหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าว
มีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ตามข้อ 5 (2) ของประกาศฯ เป็นขั้นตอนที่
กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องเร่งรัดดำเนินการป้องกัน ระงับ หรือแก้ไขเหตุดังกล่าวให้การละเมิดข้อมูล
ส่วนบุคคลสิ้นสุดลงหรือไม่ส่งผลกระทบเพิ่มเติมโดยทันทีเท่าที่จะสามารถกระทำได้ เพื่อคุ้มครองสิทธิและเสรีภาพ
ของบุคคล จึงเป็นกรณีที่ต้องดำเนินการควบคู่ไปกับหน้าที่ในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล เช่นเดียวกับ
การดำเนินการตามมาตรการที่จำเป็นและเหมาะสมเพื่อระงับ ตอบสนอง แก้ไข หรือฟื้นฟูสภาพจากเหตุการละเมิด
ข้อมูลส่วนบุคคลดังกล่าว รวมทั้งป้องกันและลดผลกระทบจากการเกิดเหตุการละเมิดข้อมูลส่วนบุคคลในลักษณะ
เดียวกันในอนาคตตามข้อ 5 (5)
อนึ่ง สำหรับเหตุการละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิ
และเสรีภาพของบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล
แก่ สคส. เป็นระยะ ๆ (notification in phases) โดยแจ้งเหตุเบื้องต้นโดยเร็วเท่าที่จะสามารถกระทำได้แล้ว
แจ้งข้อมูลเพิ่มเติมในลำดับต่อมาเมื่อได้ตรวจสอบและทราบรายละเอียดเพิ่มเติม จนกระทั่งการแจ้งเหตุดังกล่าว
มีสาระสำคัญครบถ้วนตามข้อ 6 ของประกาศฯ ก็ได้ และหากมีเหตุอันจำเป็นที่ทำให้ผู้ควบคุมข้อมูลส่วนบุคคล
ไม่สามารถแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานฯ ได้ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่
จะสามารถกระทำได้ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลนั้นแก่ สคส. โดยเร็ว
ทั้งนี้ ต้องไม่เกิน 15 วันนับแต่ทราบเหตุ โดยให้ผู้ควบคุมข้อมูลส่วนบุคคลชี้แจงเหตุผลความจำเป็น
และรายละเอียดที่เกี่ยวข้องแก่ สคส. เพื่อแสดงให้เห็นว่ามีเหตุจำเป็นที่ไม่อาจหลีกเลี่ยงได้ที่ทำให้แจ้งเหตุการละเมิด
ข้อมูลส่วนบุคคลล่าช้า เพื่อให้ สคส. พิจารณาต่อไป

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-17-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-46.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/17-2567.md

============================================================
โนด: ข้อหารือ 18/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/18-2566.md

# ข้อหารือที่ 18/2566 เรื่อง ธนาคาร Z ขอหารือเกี่ยวกับแนวทางการนำส่งข้อมูลส่วนบุคคลของกรรมการตามกฎข้อบังคับของ ACRA ประเทศสิงคโปร์ และ/หรือกฎข้อบังคับและกฎหมายของประเทศอื่น

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5), [มาตรา 28](https://link.pdpalawbase.com/section/28.md) และ [มาตรา 29](https://link.pdpalawbase.com/section/29.md)

## ข้อหารือ

ธนาคาร Z ขอหารือเกี่ยวกับแนวทางการนำส่งข้อมูลส่วนบุคคลของกรรมการตามกฎข้อบังคับของ Accounting and Corporate Regulatory Authority (ACRA) ประเทศสิงคโปร์ และ/หรือกฎข้อบังคับและกฎหมายของประเทศอื่น ดังนี้:

1. คำว่า "ฐานการปฏิบัติตามกฎหมาย" ตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) แห่ง PDPA ให้หมายความรวมถึงการปฏิบัติตามกฎหมายต่างประเทศด้วยหรือไม่
2. กรณีหาก [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) หมายความถึงกฎหมายไทยเท่านั้น และประกอบกับประเทศไทยยังไม่มีประกาศกำหนดเกี่ยวกับประเทศปลายทางหรือองค์การระหว่างประเทศที่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ธนาคาร Z จะต้องดำเนินการตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (2) โดยขอความยินยอมจากกรรมการธนาคาร Z และแจ้งให้กรรมการทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือไม่ อย่างไร

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาประเด็นข้อหารือของธนาคาร Z แล้ว มีความเห็นพร้อมข้อสังเกต ดังนี้

**ประเด็นหารือที่ 1** เห็นว่า ผู้ควบคุมข้อมูลส่วนบุคคลจะส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้เมื่อประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ทั้งนี้ ต้องเป็นไปตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5) ตามนัย [มาตรา 28](https://link.pdpalawbase.com/section/28.md) แห่ง PDPA เว้นแต่เข้าข้อยกเว้นตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) ถึง (6) หรือเป็นไปตาม [มาตรา 29](https://link.pdpalawbase.com/section/29.md)

โดยสำหรับข้อยกเว้นตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) ที่เป็นการปฏิบัติตามกฎหมาย จะต้องเป็นกรณีที่มีกฎหมายกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้ โดยจะต้องเป็นกฎหมายที่มีสภาพบังคับต่อผู้ควบคุมข้อมูลส่วนบุคคล **ดังนั้น กรณีที่จะสามารถใช้ข้อยกเว้นตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) ได้ จึงต้องเป็นกรณีการปฏิบัติตามกฎหมายของประเทศไทย** (ไม่รวมกฎหมายต่างประเทศ)

**ประเด็นหารือที่ 2** เห็นว่า ปัจจุบันยังไม่มีหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตาม [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (5) ประกอบ [มาตรา 28](https://link.pdpalawbase.com/section/28.md) วรรคหนึ่ง แห่ง PDPA และยังไม่มีคำวินิจฉัยของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าประเทศปลายทางหรือองค์การระหว่างประเทศใดมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ (Adequacy Decisions)

กรณีการนำส่งข้อมูลส่วนบุคคลของกรรมการตามกฎข้อบังคับของ ACRA สิงคโปร์ และ/หรือกฎข้อบังคับและกฎหมายของประเทศอื่น ธนาคาร Z จึงต้องพิจารณาว่าการดำเนินการดังกล่าวเข้าข้อยกเว้นตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) ถึง (6) หรือไม่ เช่น การนำส่งข้อมูลส่วนบุคคลของกรรมการของธนาคาร Z ถือเป็นการปฏิบัติหน้าที่ตามสัญญาของกรรมการต่อธนาคารฯ อันจะถือว่าเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งกรรมการในฐานะเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น ตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (3) หรือไม่

หากไม่มีกรณียกเว้นตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (1) (3) (4) (5) หรือ (6) ที่จะใช้เป็นเครื่องมือในการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศที่สามารถนำมาปรับใช้ได้แก่กรณี ธนาคาร Z จะต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลโดยได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่อาจไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้วตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) (2)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-18-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-18.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/18-2566.md

============================================================
โนด: ข้อหารือ 18/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/18-2567.md

# ข้อหารือที่ 18/2567 เรื่อง คณะแพทยศาสตร์ มหาวิทยาลัยสงขลานครินทร์ ขอหารือการขอลบประวัติการรักษาในโรงพยาบาล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (2) (3) (5) และ (6) [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) (4) และ (5) (ก) และ (ข) [มาตรา 30](https://link.pdpalawbase.com/section/30.md)
[มาตรา 31](https://link.pdpalawbase.com/section/31.md) [มาตรา 32](https://link.pdpalawbase.com/section/32.md) [มาตรา 33](https://link.pdpalawbase.com/section/33.md) [มาตรา 34](https://link.pdpalawbase.com/section/34.md) [มาตรา 36](https://link.pdpalawbase.com/section/36.md) [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3) และ [มาตรา 73](https://link.pdpalawbase.com/section/73.md)
2. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้
ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567
ข้อ 3 วรรคหนึ่ง และข้อ 8 วรรคสาม
3. พระราชบัญญัติมหาวิทยาลัยสงขลานครินทร์ พ.ศ. 2559
มาตรา 5
4. พระราชบัญญัติสถานพยาบาล พ.ศ. 2541 และที่แก้ไขเพิ่มเติม
มาตรา 5 วรรคหนึ่งและวรรคสอง และมาตรา 35 (3)
5. ประกาศกระทรวงสาธารณสุข เรื่อง การกำหนดลักษณะของสถานพยาบาลและมาตรฐานซึ่งได้รับ
การยกเว้นไม่ต้องอยู่ในบังคับตามกฎหมายว่าด้วยสถานพยาบาล ลงวันที่ 20 มีนาคม พ.ศ. 2561
และที่แก้ไขเพิ่มเติม
ข้อ 6 (3)
6. ประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง รายละเอียดเกี่ยวกับมาตรฐานระบบบริการสุขภาพของ
สถานพยาบาลประเภทที่รับผู้ป่วยไว้ค้างคืน ลงวันที่ 8 มกราคม พ.ศ. 2564
ข้อ 3
7. ประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง หน่วยงานที่รับรองคุณภาพสถานพยาบาลซึ่งดำเนินการ
โดยกระทรวง ทบวง กรม องค์กรปกครองส่วนท้องถิ่น รัฐวิสาหกิจ สถาบันการศึกษาของรัฐ
หน่วยงานอื่นของรัฐ สภากาชาดไทย พ.ศ. 2567
ข้อ 3

## ข้อหารือ

โรงพยาบาลสงขลานครินทร์ คณะแพทยศาสตร์ มหาวิทยาลัยสงขลานครินทร์ แจ้งว่า ได้รับคำขอ
จากผู้รับบริการของโรงพยาบาลสงขลานครินทร์ แจ้งความประสงค์ขอลบประวัติการรักษาของผู้ร้องจากฐานข้อมูล
โรงพยาบาลสงขลานครินทร์ โดยอ้างว่าเป็นสิทธิตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงขอ
หารือข้อกฎหมายในประเด็นดังกล่าวว่า โรงพยาบาลสงขลานครินทร์ จะอ้างการเก็บรวบรวมข้อมูลส่วนบุคคลของ
เจ้าของข้อมูลส่วนบุคคลที่มีต่อโรงพยาบาลอันเป็นระบบการประกันสุขภาพ ซึ่งเป็นสวัสดิการพื้นฐานของรัฐ
หากเกิดกรณีมีผู้ร้องขอใช้สิทธิลบประวัติการรักษา ทางโรงพยาบาลฯ จะสามารถอ้างข้อกฎหมายหรือฐานทางกฎหมาย
ประการใด ทั้งนี้ เพื่อเป็นแนวทางให้กับโรงพยาบาลสงขลานครินทร์ และโรงพยาบาลอื่น ๆ ที่อาจได้รับคำขอ
ดังกล่าว

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าว โดยมีผู้แทน
โรงพยาบาลสงขลานครินทร์ชี้แจงข้อเท็จจริงประกอบการพิจารณาแล้ว มีความเห็นว่า โรงพยาบาลสงขลานครินทร์
เป็นหน่วยงานภายใต้สังกัดคณะแพทยศาสตร์ มหาวิทยาลัยสงขลานครินทร์ โดยมหาวิทยาลัยสงขลานครินทร์
มีฐานะเป็นนิติบุคคลตามมาตรา 5 แห่งพระราชบัญญัติมหาวิทยาลัยสงขลานครินทร์ พ.ศ. 2559 จึงถือได้ว่า
มหาวิทยาลัยสงขลานครินทร์เป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 การที่โรงพยาบาลสงขลานครินทร์ทำการเก็บรวบรวมข้อมูลประวัติการรักษาของ
ผู้รับบริการ มีวัตถุประสงค์หลักเพื่อการให้บริการสุขภาพแก่ผู้รับบริการซึ่งตัดสินใจเข้ารับบริการกับทาง
โรงพยาบาล จึงอาจถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของ
ข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และสำหรับข้อมูลส่วนบุคคล
ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (เช่น ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ) ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการจำเป็น
ในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมิน
ความสามารถในการทำงานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม
การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ หรือในกรณี
ที่ไม่ใช่การปฏิบัติตามกฎหมายและข้อมูลส่วนบุคคลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือ
ผู้มีหน้าที่รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมาย ก็อาจถือเป็นการปฏิบัติตามสัญญาระหว่าง
เจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 เว้นแต่ในกรณีจำเป็นที่ต้องเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อป้องกันหรือระงับ
อันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ซึ่งจะเป็นไปตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (2) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (1) แล้วแต่กรณี
นอกจากนี้ พระราชบัญญัติสถานพยาบาล พ.ศ. 2541 มาตรา 35 (3) กำหนดหน้าที่
และความรับผิดชอบของผู้รับอนุญาตและผู้ดำเนินการของสถานพยาบาลในการจัดให้มีและรายงานหลักฐาน
เกี่ยวกับผู้ประกอบวิชาชีพในสถานพยาบาลและผู้ป่วย และเอกสารอื่นที่เกี่ยวกับการรักษาพยาบาล โดยต้อง
เก็บรักษาไว้ให้อยู่ในสภาพที่ตรวจสอบได้ไม่น้อยกว่า 5 ปีนับแต่วันจัดทำ และโรงพยาบาลสงขลานครินทร์
ในฐานะสถานพยาบาลซึ่งดำเนินการโดยสถาบันการศึกษาของรัฐ ต้องมีลักษณะของสถานพยาบาล
และมาตรฐานตามมาตรา 5 วรรคหนึ่งและวรรคสอง แห่งพระราชบัญญัติสถานพยาบาล พ.ศ. 2541 ซึ่งแก้ไข
เพิ่มเติมโดยพระราชบัญญัติสถานพยาบาล (ฉบับที่ 4) พ.ศ. 2559 ประกอบข้อ 6 (3) ของประกาศกระทรวง
สาธารณสุข เรื่อง การกำหนดลักษณะของสถานพยาบาลและมาตรฐานซึ่งได้รับการยกเว้นไม่ต้องอยู่ในบังคับ
ตามกฎหมายว่าด้วยสถานพยาบาล ลงวันที่ 20 มีนาคม พ.ศ. 2561 ซึ่งแก้ไขเพิ่มเติมโดยประกาศกระทรวง
สาธารณสุข เรื่อง การกำหนดลักษณะของสถานพยาบาลและมาตรฐานซึ่งได้รับการยกเว้นไม่ต้องอยู่ในบังคับ
ตามกฎหมายว่าด้วยสถานพยาบาล (ฉบับที่ 2) ลงวันที่ 28 มิถุนายน พ.ศ. 2562 โดยต้องจัดให้มีระบบ
การจัดการเวชระเบียนที่เป็นมาตรฐาน จัดให้มีระบบข้อมูลสำรองเพื่อป้องกันข้อมูลสูญหาย และมีพื้นที่เพียงพอ
ที่จะเก็บเวชระเบียนได้อย่างน้อย 5 ปี ตามข้อ 3 ของประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง รายละเอียด
เกี่ยวกับมาตรฐานระบบบริการสุขภาพของสถานพยาบาลประเภทที่รับผู้ป่วยไว้ค้างคืน ลงวันที่ 8 มกราคม
พ.ศ. 2564 ประกอบข้อ 3 ของประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง หน่วยงานที่รับรองคุณภาพ
สถานพยาบาลซึ่งดำเนินการโดยกระทรวง ทบวง กรม องค์กรปกครองส่วนท้องถิ่น รัฐวิสาหกิจ สถาบันการศึกษา
ของรัฐ หน่วยงานอื่นของรัฐ สภากาชาดไทย พ.ศ. 2567 การที่โรงพยาบาลสงขลานครินทร์เก็บรวบรวม
ข้อมูลประวัติการรักษาของผู้รับบริการตามข้อกฎหมายดังกล่าว จึงถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุม
ข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์
เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุขตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ข) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 แล้วแต่กรณี อีกด้วย
วัตถุประสงค์อีกประการหนึ่งที่สถานพยาบาลต่าง ๆ เก็บรวบรวมข้อมูลประวัติการรักษา
ของผู้รับบริการ คือ เพื่อเป็นหลักฐานอ้างอิงทางกฎหมายในกรณีที่มีการดำเนินคดีต่อสถานพยาบาล
หรือบุคลากรที่เกี่ยวข้อง ไม่ว่าจะเป็นคดีอาญา คดีแพ่ง คดีปกครอง หรือการดำเนินการด้านจริยธรรม
หรือจรรยาบรรณของผู้ประกอบวิชาชีพหรือผู้ประกอบโรคศิลปะ ซึ่งอาจถือเป็นกรณีที่เป็นการจำเป็น
เพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งประโยชน์ดังกล่าวมีความสำคัญ
ไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5)
หรือเป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้อง
ตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมายตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (4) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 อีกด้วย
ในกรณีที่เจ้าของข้อมูลส่วนบุคคลขอใช้สิทธิของตนเองตามที่กำหนดไว้ในพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 30](https://link.pdpalawbase.com/section/30.md) ถึง [มาตรา 34](https://link.pdpalawbase.com/section/34.md) และ [มาตรา 36](https://link.pdpalawbase.com/section/36.md) นั้น ผู้ควบคุมข้อมูลส่วนบุคคล
มีหน้าที่ต้องพิจารณาคำขอใช้สิทธิว่าสอดคล้องกับเงื่อนไขที่กฎหมายกำหนดในการขอใช้สิทธิแต่ละกรณี
หรือไม่ โดยในส่วนของสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคล
เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) โรงพยาบาลสงขลานครินทร์
อาจพิจารณาปฏิเสธคำขอใช้สิทธิของผู้รับบริการได้ หากเห็นว่าเป็นกรณีดังต่อไปนี้
(1) ข้อมูลส่วนบุคคลนั้นยังมีความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บ
รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยโรงพยาบาลสงขลานครินทร์จะต้องพิจารณาความจำเป็น
ในการเก็บรักษาข้อมูลส่วนบุคคลดังกล่าวตามวัตถุประสงค์ที่เก็บรวบรวมไว้ เช่น ยังมีความจำเป็นในการ
เก็บรักษาข้อมูลส่วนบุคคลดังกล่าวไว้เพื่อการให้บริการสุขภาพตามมาตรฐานของสถานพยาบาล เพื่อการปฏิบัติ
ตามกฎหมายว่าด้วยสถานพยาบาล หรือเพื่อเป็นหลักฐานอ้างอิงทางกฎหมายสำหรับคดีที่อาจเกิดขึ้นและ
ยังไม่หมดอายุความ เป็นต้น ทั้งนี้ ตามนัย [มาตรา 33](https://link.pdpalawbase.com/section/33.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
และไม่ใช่กรณีที่เข้าเงื่อนไขตาม (2) (3) หรือ (4)
(2) การเก็บรักษาไว้เพื่อวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์
การประเมินความสามารถในการทำงานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพ
หรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์
หรือการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก)
หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้าน
การสาธารณสุขตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ข) หรือการใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือ
การใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย
ซึ่ง [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคสอง กำหนดยกเว้นมิให้นำสิทธิขอให้ดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคล
เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคหนึ่ง มาใช้บังคับกับ
การเก็บรักษาข้อมูลส่วนบุคคลไว้เพื่อวัตถุประสงค์ดังกล่าว
ดังนั้น โรงพยาบาลสงขลานครินทร์สามารถปฏิเสธคำขอใช้สิทธิลบหรือทำลาย หรือทำให้
ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ของผู้ร้องขอ
รายดังกล่าวได้ หากมีความจำเป็นต้องเก็บรักษาข้อมูลประวัติการรักษาของผู้นั้นไว้ตามกฎหมายว่าด้วย
สถานพยาบาล หรือเพื่อวัตถุประสงค์อื่น ๆ ที่ชอบด้วยกฎหมาย หรือเป็นข้อมูลส่วนบุคคลที่เก็บรักษาไว้
เพื่อวัตถุประสงค์ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) หรือ (ข) หรือเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตาม
หรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติ
ตามกฎหมาย ซึ่งเป็นกรณีเฉพาะที่ได้รับยกเว้นไม่ให้นำสิทธิดังกล่าวมาใช้บังคับ โรงพยาบาลสงขลานครินทร์
จึงควรพิจารณาแจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบว่า ไม่อาจดำเนินการตามคำขอใช้สิทธิของเจ้าของ
ข้อมูลส่วนบุคคลได้ พร้อมชี้แจงเหตุผล ตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคหนึ่งและวรรคสอง และวรรคห้า แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 3 วรรคหนึ่ง และข้อ 8 วรรคสาม ของประกาศคณะกรรมการ
คุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถ
ระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567
อย่างไรก็ตาม ผู้ควบคุมข้อมูลส่วนบุคคลยังมีหน้าที่จัดให้มีระบบการตรวจสอบเพื่อดำเนินการ
ลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็น
ตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของ
ข้อมูลส่วนบุคคลได้ถอนความยินยอม เว้นแต่จะเป็นกรณีที่ได้รับยกเว้น ตามที่กำหนดไว้ใน [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อีกด้วย ดังนั้น สำหรับข้อมูลส่วนบุคคลเกี่ยวกับ
ประวัติการรักษาของผู้รับบริการที่โรงพยาบาลได้เก็บรวบรวมไว้เกินกว่า 5 ปีนับแต่วันจัดทำตามที่กฎหมายว่าด้วย
สถานพยาบาลกำหนด มหาวิทยาลัยสงขลานครินทร์ โดยโรงพยาบาลสงขลานครินทร์ ในฐานะผู้ควบคุม
ข้อมูลส่วนบุคคล จะต้องพิจารณาว่าข้อมูลส่วนบุคคลดังกล่าวหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์
ต่าง ๆ ที่กำหนดไว้โดยชอบด้วยกฎหมายแล้วหรือไม่ หรือยังมีความจำเป็นต้องเก็บรักษาไว้เพื่อวัตถุประสงค์
ตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ก) หรือ (ข) หรือการใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือ
การใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย
หากเห็นว่าการเก็บรักษาข้อมูลส่วนบุคคลไว้เพื่อวัตถุประสงค์ต่าง ๆ หมดความจำเป็นแล้วตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (3)
หรือเป็นกรณีที่เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) ได้ โรงพยาบาลสงขลานครินทร์
ต้องดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูล
ส่วนบุคคลได้ ตามหลักเกณฑ์ที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์
ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูล
ส่วนบุคคลได้ พ.ศ. 2567
ทั้งนี้ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคล
เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียน
ต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการได้ ตาม [มาตรา 33](https://link.pdpalawbase.com/section/33.md) วรรคสี่
ประกอบ [มาตรา 73](https://link.pdpalawbase.com/section/73.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-18-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-47.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/18-2567.md

============================================================
โนด: ข้อหารือ 19/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/19-2566.md

# ข้อหารือที่ 19/2566 เรื่อง บริษัท ก. ขอหารือกรณีบริษัทประกันภัยร้องขอให้ลงนามในหนังสือคำรับรองการได้รับความยินยอมจากพนักงานในฐานะเจ้าของข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 20](https://link.pdpalawbase.com/section/20.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) และ [มาตรา 95](https://link.pdpalawbase.com/section/95.md)
2. ประมวลกฎหมายแพ่งและพาณิชย์ — ลักษณะ 4 นิติกรรม และมาตรา 149
3. แนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตาม PDPA

## ข้อหารือ

บริษัท ก. โดยเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ แจ้งว่า บริษัทประกันภัย ฮ. ("ฮ.") ได้ดำเนินการร้องขอบริษัท ก. โดยแนวทางของสมาคมประกันภัย ให้บริษัท ก. ลงนามในคำรับรองการได้รับความยินยอมจากสมาชิกผู้เอาประกันภัย/ผู้อยู่ในอุปการะ ("หนังสือคำรับรอง") โดยเนื้อหาหลักโดยรวม เป็นกรณีให้บริษัท ก. รับรองว่าพนักงานผู้เอาประกันกลุ่มยินยอมและรับรองความถูกต้องให้ประมวลผล (processing) ข้อมูลส่วนบุคคลของพนักงานแก่ ฮ. · หากบริษัท ก. ไม่ลงนาม จะเสียสิทธิการต่อประกันหรือการเพิ่มสมาชิกเอาประกันกับ ฮ.

บริษัท ก. เห็นว่า:
1. โดยหลักการของ PDPA การยินยอมเปิดเผยข้อมูลต้องมาจากตัวเจ้าของข้อมูลโดยแท้ มิใช่ใครจะให้ความยินยอมแทนได้
2. บริษัท ก. กับ ฮ. มีการจำกัดความรับผิดค่ารักษาพยาบาลโดยตัวกรมธรรม์
3. การที่ ฮ. ปฏิเสธการให้บริการโดยอ้างการไม่ให้ความยินยอม ผิดหลัก [มาตรา 19](https://link.pdpalawbase.com/section/19.md)
4. ฮ. สามารถใช้วัตถุประสงค์เดิมจากการทำกรมธรรม์กลุ่มที่มีอยู่โดยไม่ต้องมีเอกสารความยินยอมเพิ่มเติมตาม [มาตรา 95](https://link.pdpalawbase.com/section/95.md)

จึงขอหารือ 4 ประเด็น:
1. หนังสือคำรับรองของ ฮ. เป็นเอกสารที่ผิดวัตถุประสงค์ของ PDPA หรือไม่ (ยินยอมแทนพนักงานเพื่อ Processing Sensitive Data)
2. การที่ ฮ. บังคับให้ลงนามหนังสือคำรับรอง โดยหากไม่ลงนามจะไม่ให้บริการ ผิด [มาตรา 19](https://link.pdpalawbase.com/section/19.md) หรือไม่
3. ลักษณะการผลักภาระความรับผิดชอบในการขอความยินยอมมาที่บริษัท ก. เป็นลักษณะที่มีวัตถุประสงค์ที่ไม่ชอบด้วยกฎหมายหรือไม่
4. หนังสือคำรับรองสามารถแก้ไขได้หรือไม่ มีข้อกฎหมายใดบังคับให้บริษัท ก. ต้องลงนาม

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า

**ประเด็นหารือที่ 1 ถึง 3** ในการขอความยินยอม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง วรรคสอง และวรรคสาม แห่ง PDPA บัญญัติให้ผู้ควบคุมข้อมูลส่วนบุคคลที่จะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ และการขอความยินยอมต้องทำโดยชัดแจ้ง

อย่างไรก็ดี ผู้ควบคุมข้อมูลส่วนบุคคลอาจมอบหมายให้ตัวแทนหรือผู้อื่นกระทำการแทนในเรื่องการขอความยินยอมดังกล่าวได้ เนื่องจากในบางกรณีอาจมีข้อจำกัดในทางปฏิบัติ ตามประมวลกฎหมายแพ่งและพาณิชย์ การให้ความยินยอมเป็นนิติกรรมฝ่ายเดียวที่บุคคลหนึ่งทำลงโดยชอบด้วยกฎหมายและด้วยใจสมัคร

**การขอความยินยอมและการให้ความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงไม่จำเป็นต้องกระทำโดยผู้ควบคุมข้อมูลส่วนบุคคลต่อเจ้าของข้อมูลส่วนบุคคลโดยตรง** แต่จะต้องมีเนื้อหาที่ครอบคลุมถึงการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคล (หรือบุคคลอื่น) ในวัตถุประสงค์ที่เกี่ยวข้อง และจะต้องเป็นการขอความยินยอมโดยชอบด้วยกฎหมาย โดยเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md) แห่ง PDPA · การมอบหมายให้ตัวแทนหรือผู้อื่นทำการขอความยินยอมแทนผู้ควบคุมข้อมูล อาจมีการกำหนดหน้าที่ความรับผิดชอบและสิทธิในรูปแบบนิติกรรมหรือสัญญา (ตราบเท่าที่ไม่ได้เป็นการมอบหมายให้ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของตน ที่จะทำให้ฝ่ายที่ได้รับมอบหมายมีฐานะเปลี่ยนไปเป็นผู้ประมวลผลข้อมูลส่วนบุคคล)

**สำหรับประเด็นที่บริษัท ก. หารือมา** เมื่อพิจารณาข้อความในหนังสือคำรับรองของบริษัทประกันภัยที่ได้กำหนดให้บริษัท ก. ในฐานะผู้ถือกรมธรรม์ ต้องลงนามในคำรับรองสำหรับผู้ถือกรมธรรม์ พบว่า เป็นเพียงการรับรองต่อบริษัทประกันภัยที่เป็นผู้รับประกันภัย ในลักษณะที่เป็นการยืนยันว่า บริษัท ก. ได้ทำหน้าที่ในการแจ้งนโยบายคุ้มครองข้อมูลส่วนบุคคลของผู้รับประกันภัยให้กับสมาชิกผู้เอาประกันภัยรับทราบแล้ว (เพื่อให้เป็นไปตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ในเรื่อง privacy notice) และได้รับรองว่าข้อมูลของสมาชิกผู้เอาประกันภัยที่ส่งให้ผู้รับประกันภัยและ/หรือนายหน้าประกันชีวิตเป็นข้อมูลที่ถูกต้อง และได้นำ "หนังสือให้ความยินยอม" ไปขอความยินยอมจากพนักงานของบริษัท ก. แทนบริษัทประกันชีวิตที่เป็นผู้รับประกันภัย และได้รับความยินยอมจากพนักงานแล้ว

**การที่บริษัท ก. ทำหน้าที่ประสานงานเพื่อขอความยินยอมจากพนักงานของบริษัท ก. แทนผู้รับประกันภัย จึงไม่ใช่การที่บริษัท ก. ให้ความยินยอมแทนพนักงาน** · คำรับรองและหนังสือรับรองดังกล่าว จึงไม่ใช่การขอความยินยอมและการให้ความยินยอมตามนัย [มาตรา 19](https://link.pdpalawbase.com/section/19.md) · เนื้อหาในคำรับรองที่มีลักษณะเป็นการมอบหมายหน้าที่หรือ "ผลักภาระ" ความรับผิดชอบในการขอความยินยอมมายังบริษัท ก. สามารถกระทำได้โดยชอบด้วยกฎหมาย หากผู้ที่ได้รับมอบหมายได้ดำเนินการขอความยินยอมจากเจ้าของข้อมูลและเจ้าของข้อมูลได้ให้ความยินยอมโดยชอบด้วยกฎหมายและเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 20](https://link.pdpalawbase.com/section/20.md)

**บริษัท ก. สามารถลงนามให้คำรับรองดังกล่าวได้** หากพิจารณาแล้วเห็นว่าสามารถปฏิบัติตามเงื่อนไข หน้าที่ และยอมรับความรับผิดได้ หรือหากไม่สามารถยอมรับเงื่อนไข ก็อาจพิจารณาเจรจากับผู้รับประกันภัยที่เป็นคู่สัญญา หรือพิจารณาเงื่อนไขการให้บริการของบริษัทประกันชีวิตรายอื่น

**ข้อสังเกต** การที่บริษัทประกันชีวิตกำหนดเงื่อนไขในลักษณะบังคับให้บริษัทฯ ลงนาม โดยหากไม่ลงนามจะไม่ให้บริการ — อาจเป็นความพยายามในการดำเนินการของบริษัทประกันชีวิตเพื่อให้มีการขอความยินยอมและการให้ความยินยอมโดยชอบด้วยกฎหมายภายใต้ข้อจำกัดในทางปฏิบัติ · เป็นการพิจารณาทำนิติกรรมหรือสัญญาระหว่างเอกชนด้วยกัน หากคู่สัญญาฝ่ายใดไม่ยอมรับเงื่อนไข ก็สามารถปฏิเสธการทำสัญญาร่วมกันได้

**ประเด็นหารือที่ 4** คำรับรองตามที่กำหนดในหนังสือรับรองเป็นนิติกรรมตามประมวลกฎหมายแพ่งและพาณิชย์ และไม่ใช่การขอความยินยอมหรือการให้ความยินยอมตาม PDPA · ผู้เกี่ยวข้องจึงสามารถพิจารณาแก้ไขได้โดยเป็นไปตาม ป.พ.พ. และไม่มีบทบัญญัติใดใน PDPA บัญญัติห้ามหรือบังคับว่าบริษัท ก. จะต้องลงนามหรือไม่ · แต่ [มาตรา 19](https://link.pdpalawbase.com/section/19.md) ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง บัญญัติให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลที่เกี่ยวข้องตามกรณีที่หารือนี้ ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะเก็บรวบรวม ใช้ หรือเปิดเผย · ผู้เกี่ยวข้องจึงควรพิจารณาหารือร่วมกันเพื่อให้การดำเนินการเป็นไปตามพระราชบัญญัตินี้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-19-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-19.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/19-2566.md

============================================================
โนด: ข้อหารือ 19/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/19-2567.md

# ข้อหารือที่ 19/2567 เรื่อง สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายหารือเกี่ยวกับการดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 22](https://link.pdpalawbase.com/section/22.md) [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสอง [มาตรา 28](https://link.pdpalawbase.com/section/28.md) [มาตรา 29](https://link.pdpalawbase.com/section/29.md)
[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) และ (4) และ [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม
2. พระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. 2527 และที่แก้ไขเพิ่มเติม
มาตรา 17 (10) และ (12) และมาตรา 61
3. ระเบียบคณะกรรมการอ้อยและน้ำตาลทราย ว่าด้วยการตัดและส่งอ้อยให้แก่โรงงาน การตรวจสอบ
คุณภาพอ้อย และการรับอ้อยจากชาวไร่อ้อยหรือหัวหน้ากลุ่มชาวไร่อ้อย พ.ศ. 2553 และที่แก้ไข
เพิ่มเติม
ข้อ 7 วรรคสอง
4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุม
ข้อมูลส่วนบุคคล พ.ศ. 2565
ข้อ 4

## ข้อหารือ

สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายขอหารือกรณีที่ได้รับหนังสือจากกลุ่มบริษัท Z
แจ้งว่า ตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลใช้บังคับและได้กำหนดสิทธิหน้าที่และ
ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล รวมถึงผู้ที่มีส่วนเกี่ยวข้องต่อเจ้าของข้อมูลส่วนบุคคลในการ
เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อป้องกันการล่วงละเมิดสิทธิความเป็นส่วนตัวหรือสร้างความ
เดือดร้อนเสียหายแก่เจ้าของข้อมูลส่วนบุคคล กลุ่มบริษัทในฐานะผู้ควบคุมข้อมูลส่วนบุคคลซึ่งมีการส่งข้อมูลส่วน
บุคคลที่เก็บรวบรวมให้แก่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายเพื่อให้เป็นไปตามพระราชบัญญัติอ้อย
และน้ำตาลทราย พ.ศ. 2527 และระเบียบที่ออกตามพระราชบัญญัติดังกล่าวและข้อมูลส่วนบุคคลที่มีการส่ง
ให้แก่สำนักงานคณะกรรมการอ้อยและน้ำตาลทราย มีความจำเป็นต้องได้รับความคุ้มครองตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กลุ่มบริษัท Z จึงขอนำส่งเอกสารข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล เพื่อ
เป็นข้อตกลงในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายได้รับ
จากกลุ่มบริษัท Z เพื่อให้เป็นไปตามกฎหมาย รวมถึงเพื่อให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมและ
เพียงพอตามที่กฎหมายกำหนดต่อไป จึงแจ้งมายังสำนักงานคณะกรรมการอ้อยและน้ำตาลทราย ขอให้โปรดทราบ
และลงนามในใบตอบรับ ส่งกลับมาที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) บริษัท Z โดยสำนักงาน
คณะกรรมการอ้อยและน้ำตาลทรายให้ข้อมูลเพิ่มเติมว่า
1. กลุ่มบริษัท Z ถือเป็นบริษัทโรงงานน้ำตาลที่อยู่ในบังคับของพระราชบัญญัติอ้อยและน้ำตาล
ทราย พ.ศ. 2527 ซึ่งมีหน้าที่ในการจัดส่งข้อมูลต่าง ๆ ในระบบอุตสาหกรรมอ้อยและน้ำตาลทรายตามระเบียบ
ประกาศ ที่กำหนด โดยอาศัยอำนาจตามพระราชบัญญัติฉบับดังกล่าว เช่น หน้าที่ส่งมอบรายชื่อชาวไร่อ้อยและ
หัวหน้ากลุ่มชาวไร่อ้อยคู่สัญญา รวมทั้งประมาณการผลผลิต และรายละเอียดที่เกี่ยวข้องตามแบบที่คณะกรรมการ
อ้อยและน้ำตาลทรายกำหนดให้กับคณะทำงานควบคุมการผลิตประจำโรงงานและสำนักงาน ก่อนการเปิดหีบอ้อย
ไม่น้อยกว่าสิบห้าวัน ตามข้อ 7 วรรคสอง ของระเบียบคณะกรรมการอ้อยและน้ำตาลทราย ว่าด้วยการตัดและส่งอ้อย
ให้แก่โรงงาน การตรวจสอบคุณภาพอ้อยและการรับอ้อยจากชาวไร่อ้อยหรือหัวหน้ากลุ่มชาวไร่อ้อย พ.ศ. 2553
เป็นต้น จึงถือว่า กลุ่มบริษัท Z เป็นผู้ที่มีหน้าที่ในการจัดส่งข้อมูลให้กับสำนักงานคณะกรรมการอ้อยและน้ำตาล
ทรายตามที่มีกฎหมายกำหนดไว้เป็นการเฉพาะอยู่แล้วตามระเบียบและประกาศที่ออกโดยอาศัยอำนาจตาม
พระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. 2527 ซึ่งเมื่อมีการส่งข้อมูลที่ถือว่าเป็นข้อมูลส่วนบุคคลเข้ามา สำนักงาน
คณะกรรมการอ้อยและน้ำตาลทรายในฐานะหน่วยงานของรัฐที่ต้องปฏิบัติหน้าที่ตามกฎหมายว่าด้วยอ้อยและ
น้ำตาลทรายดังกล่าว รวมทั้งมีฐานะเป็นผู้ครอบครองและควบคุมดูแลข้อมูลส่วนบุคคลนั้น ย่อมมีภาระหน้าที่ที่ต้อง
ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อยู่แล้วเช่นเดียวกัน
2. ด้วยเหตุนี้ สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายจึงขอหารือว่า
2.1 สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายจำเป็นที่จะต้องลงนามใน "ข้อตกลง
การแบ่งปันข้อมูลส่วนบุคคล" ตามที่กลุ่มบริษัท Z แจ้งมาก่อนหรือไม่ จึงจะสามารถปฏิบัติหน้าที่
ให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
2.2 หากตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้บังคับให้สำนักงาน
คณะกรรมการอ้อยและน้ำตาลทรายหรือหน่วยงานของรัฐจะต้องลงนามในข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล
กับเอกชนที่ครอบครองข้อมูลอยู่ก่อนจึงจะสามารถแบ่งปันข้อมูลกันได้ แต่ให้หน่วยงานของรัฐเลือกที่จะลงนาม
ในข้อตกลงหรือไม่ก็ได้นั้น สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายขอความอนุเคราะห์โปรดช่วยพิจารณาว่า
"ข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล" ดังกล่าวมีรายละเอียดเป็นการเพิ่มภาระความรับผิดชอบของสำนักงาน
คณะกรรมการอ้อยและน้ำตาลทราย ซึ่งเป็นหน่วยงานของรัฐมากเกินกว่าที่กำหนดไว้ในพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 และมีความเหมาะสมแล้วหรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น ดังนี้
ประเด็นข้อหารือที่ 1 เห็นว่า สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายเป็นหน่วยงาน
ของรัฐที่มีอำนาจและหน้าที่ตามมาตรา 61 แห่งพระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. 2527 ซึ่งแก้ไข
เพิ่มเติมโดยพระราชบัญญัติอ้อยและน้ำตาลทราย (ฉบับที่ 2) พ.ศ. 2565 มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ
การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงานตามกฎหมาย จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล
ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกลุ่มบริษัท Z เป็นบริษัทโรงงาน
น้ำตาลซึ่งมีหน้าที่ต้องส่งข้อมูลส่วนบุคคลให้แก่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายเพื่อให้เป็นไปตาม
มาตรา 17 (10) และ (12) แห่งพระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. 2527 ประกอบข้อ 7 วรรคสองของ
ระเบียบคณะกรรมการอ้อยและน้ำตาลทราย ว่าด้วยการตัดและส่งอ้อยให้แก่โรงงาน การตรวจสอบคุณภาพอ้อย
และการรับอ้อยจากชาวไร่อ้อยหรือหัวหน้ากลุ่มชาวไร่อ้อย พ.ศ. 2553 ที่ออกตามความในพระราชบัญญัติ
ดังกล่าว กลุ่มบริษัท Z จึงอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 เช่นกัน ดังนั้น กรณีที่กลุ่มบริษัท Z ต้องเปิดเผยข้อมูลส่วนบุคคลให้กับสำนักงาน
คณะกรรมการอ้อยและน้ำตาลทรายตามพระราชบัญญัติอ้อยและน้ำตาลทราย พ.ศ. 2527 และระเบียบที่
เกี่ยวข้อง ถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามนัย [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 มิได้กำหนดหน้าที่ในเรื่องการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูล
ส่วนบุคคลหนึ่งกับผู้ควบคุมข้อมูลส่วนบุคคลอื่นไว้ (ซึ่งแตกต่างจากกรณีการดำเนินงานตามหน้าที่ของผู้ประมวลผล
ข้อมูลส่วนบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของ
ผู้ควบคุมข้อมูลส่วนบุคคล ที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงาน
ตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้ ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) วรรคสาม ซึ่งอาจ
เรียกว่าข้อตกลงการประมวลผลข้อมูล หรือ data processing agreement) อย่างไรก็ตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง
แห่งพระราชบัญญัติดังกล่าว ได้กำหนดว่า บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของ
ผู้ควบคุมข้อมูลส่วนบุคคลอื่น จะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์
ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น สำนักงานคณะกรรมการอ้อยและน้ำตาลทราย
จึงมีหน้าที่ในการดำเนินการให้เป็นไปตามเงื่อนไขดังกล่าว สำหรับข้อมูลส่วนบุคคลที่ได้รับจากการเปิดเผยของโรงงาน
น้ำตาล ซึ่งรวมถึงกลุ่มบริษัท Z ด้วย
กลุ่มบริษัท Z ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่จัดให้มีมาตรการรักษาความมั่นคง
ปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดย
ปราศจากอำนาจหรือโดยมิชอบ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 โดยข้อ 4 ของประกาศดังกล่าว
กำหนดว่า มาตรการดังกล่าว จะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และ
มาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical
measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้
และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ดังนั้น
หากกลุ่มบริษัท Z เห็นว่า การจัดทำข้อตกลงการแบ่งปันข้อมูล (data sharing agreement) ระหว่างผู้ควบคุม
ข้อมูลส่วนบุคคล จะเป็นมาตรการเชิงองค์กร (organizational measure) อย่างหนึ่งเพื่อกำหนดวัตถุประสงค์
วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลแต่ละฝ่ายในการเก็บรวบรวม
ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการส่งและรับข้อมูลที่เป็นเอกสารหรือเป็นการแลกเปลี่ยนข้อมูลโดย
วิธีการทางอิเล็กทรอนิกส์ก็ตาม อันจะเป็นการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่จะเปิดเผยให้กับ
สำนักงานคณะกรรมการอ้อยและน้ำตาลทราย และควบคุมดูแลให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูล
ส่วนบุคคลระหว่างกันสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ก็ย่อมสามารถหารือ
และตกลงร่วมกันได้
อย่างไรก็ดี ไม่ว่าจะมีการจัดทำข้อตกลงการแบ่งปันข้อมูลระหว่างกันหรือไม่ก็ตาม สำนักงาน
คณะกรรมการอ้อยและน้ำตาลทรายในฐานะผู้ควบคุมข้อมูลส่วนบุคคลย่อมมีหน้าที่ตามพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งรวมถึงการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้
วัตถุประสงค์อันชอบด้วยกฎหมายตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) การจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม
[มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง
ปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 และการดำเนินการที่เหมาะสมในกรณีที่เจ้าของข้อมูล
ส่วนบุคคลขอใช้สิทธิตามหมวด 3 แห่งพระราชบัญญัตินี้ ตลอดจนความรับผิดตามกฎหมายที่เกี่ยวข้องอยู่แล้ว
การที่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายจะพิจารณาว่าควรลงนามใน "ข้อตกลงการแบ่งปันข้อมูล
ส่วนบุคคล" ของกลุ่มบริษัท Z ดังกล่าวหรือไม่นั้น จึงเป็นกรณีที่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายสามารถ
พิจารณาดำเนินการได้ตามที่เห็นสมควร
ประเด็นข้อหารือที่ 2 กรณีที่สำนักงานคณะกรรมการอ้อยและน้ำตาลทรายขอให้พิจารณาว่า
ร่างข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล ที่จัดทำโดยกลุ่มบริษัท Z เป็นการเพิ่มภาระความรับผิดชอบของสำนักงาน
คณะกรรมการอ้อยและน้ำตาลทรายมากเกินกว่าที่กำหนดไว้ในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
และมีความเหมาะสมแล้วหรือไม่ นั้น เห็นว่า กรณีนี้ไม่อยู่ในหน้าที่และอำนาจของคณะอนุกรรมการตอบข้อหารือฯ
ที่จะพิจารณาให้ความเห็นได้ แต่คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า สำนักงานคณะกรรมการอ้อยและ
น้ำตาลทรายในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือ
เปิดเผยข้อมูลส่วนบุคคล ที่ได้รับจากกลุ่มบริษัท Z ให้เหมาะสมและเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วน
บุคคล พ.ศ. 2562 ด้วยตัวเองอยู่แล้ว ซึ่งรวมถึงการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม
การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและเจ้าของข้อมูล
ส่วนบุคคล การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ การควบคุมการดำเนินงานของผู้ประมวลผลข้อมูล
ส่วนบุคคล และการดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล หากสำนักงานคณะกรรมการอ้อยและ
น้ำตาลทรายประสงค์จะจัดทำข้อตกลงการแบ่งปันข้อมูลร่วมกับบุคคลหรือนิติบุคคลใด สำนักงานฯ ควรพิจารณา
รายละเอียดเงื่อนไขให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และมีความเหมาะสม
ตามที่เห็นสมควร

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-19-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-48.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/19-2567.md

============================================================
โนด: ข้อหารือ 20/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/20-2566.md

# ข้อหารือที่ 20/2566 เรื่อง สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติขอหารือเกี่ยวกับการจัดทำประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md) และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล ตาม PDPA
3. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (2)

## ข้อหารือ

สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ (สำนักงาน ป.ป.ช.) ขอหารือกรณีสำนักงาน ป.ป.ช. ได้ดำเนินการประเมินคุณธรรมและความโปร่งใสในการดำเนินงานของหน่วยงานของรัฐ (Integrity & Transparency Assessment : ITA) ประจำปีงบประมาณ พ.ศ. 2566 โดยในแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) ตัวชี้วัดที่ 9 การเปิดเผยข้อมูล ตัวชี้วัดย่อยที่ 9.1 ข้อมูลพื้นฐาน ข้อ o10 นโยบายคุ้มครองข้อมูลส่วนบุคคล ได้มีการกำหนดให้หน่วยงานภาครัฐที่เข้าร่วมการประเมินต้องดำเนินการเปิดเผยข้อมูลนโยบายคุ้มครองข้อมูลส่วนบุคคลตาม PDPA

ในการนี้ จึงหารือว่า หน่วยงานที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวง เช่น กรม องค์การมหาชน รัฐวิสาหกิจ จะต้องดำเนินการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลเป็นการเฉพาะของหน่วยงานหรือไม่ หรือสามารถจัดทำประกาศนโยบายคุ้มครองข้อมูลส่วนบุคคลในลักษณะภาพรวมของกระทรวงที่มีความครอบคลุมทุกหน่วยงานในสังกัดได้หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วเห็นว่า PDPA ได้กำหนดให้หน่วยงานของรัฐที่เป็นนิติบุคคลและมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล และมีหน้าที่ต้องแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) รวมทั้งต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งไว้ตามนัย [มาตรา 21](https://link.pdpalawbase.com/section/21.md)

การแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) นั้น ในภาษาอังกฤษจะเรียกว่า **privacy notice** แต่อาจเรียกเป็นภาษาไทยแตกต่างกัน เช่น ประกาศความเป็นส่วนตัว ประกาศเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล นโยบายความเป็นส่วนตัว (privacy policy) หรือนโยบายการคุ้มครองข้อมูลส่วนบุคคล หรืออื่น ๆ ก็ได้ เนื่องจาก PDPA มิได้กำหนดชื่อเรียกไว้เป็นการเฉพาะ และอาจมีการแจ้งเป็นหนังสือ การแจ้งทางวาจา การแจ้งทางข้อความทาง SMS อีเมล โทรศัพท์ หรือโดยวิธีการทางอิเล็กทรอนิกส์อื่นใด แต่จะต้องมีสาระสำคัญที่สอดคล้องและเป็นไปตามบทบัญญัติใน [มาตรา 23](https://link.pdpalawbase.com/section/23.md)

อย่างไรก็ดี คำว่า **"นโยบายการคุ้มครองข้อมูลส่วนบุคคล" (privacy policy หรือ personal data protection policy)** ยังมีที่ใช้ในอีกความหมายหนึ่ง คือ **นโยบายภายในองค์กรที่หน่วยงานกำหนดขึ้นเพื่อวางหลักการหรือวิธีปฏิบัติเพื่อเป็นแนวทางการดำเนินการภายในหน่วยงานเอง** (เช่นเดียวกับนโยบายในเรื่องอื่น ๆ เช่น นโยบายการอนุรักษ์พลังงาน) · PDPA ไม่ได้กำหนดให้หน่วยงานที่เป็นผู้ควบคุมข้อมูล/ผู้ประมวลผลข้อมูลกำหนดนโยบายการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงานขึ้นอย่างชัดเจน แต่ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยข้อ 4 (2) ของประกาศ คคส. เรื่อง มาตรการรักษาความมั่นคงปลอดภัยฯ พ.ศ. 2565 กำหนดให้มาตรการรักษาความมั่นคงปลอดภัยอย่างน้อยต้องประกอบด้วยมาตรการเชิงองค์กร มาตรการเชิงเทคนิค (และอาจรวมมาตรการทางกายภาพ) ซึ่งนโยบายการคุ้มครองข้อมูลส่วนบุคคลภายในองค์กรอาจถือเป็นมาตรการเชิงองค์กรมาตรการหนึ่ง

นโยบายการคุ้มครองข้อมูลส่วนบุคคลที่เป็นมาตรการเชิงองค์กรดังกล่าวมีวัตถุประสงค์ในการสื่อสารแตกต่างจากการแจ้ง privacy notice ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กล่าวคือ นโยบายฯ ที่เป็นมาตรการเชิงองค์กรเป็นการสื่อสารและส่งสัญญาณเชิงนโยบายภายในองค์กรระหว่างผู้บริหารและบุคลากรขององค์กร

ดังนั้น เพื่อให้การประเมิน ITA ประจำปีงบประมาณ พ.ศ. 2566 บรรลุวัตถุประสงค์ตามที่สำนักงาน ป.ป.ช. กำหนด และสอดคล้องกับหลักการในการแจ้ง privacy notice ตาม PDPA สำนักงาน ป.ป.ช. **ควรกำหนดให้หน่วยงานภาครัฐที่มีฐานะเป็นนิติบุคคล** เช่น กรม องค์การมหาชน รัฐวิสาหกิจ ซึ่งถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม PDPA **ต้องจัดทำเอกสารหรือประกาศแจ้ง privacy notice ของหน่วยงานนั้นเป็นการเฉพาะ** ตามที่ [มาตรา 23](https://link.pdpalawbase.com/section/23.md) กำหนดไว้

อย่างไรก็ดี ในกรณีที่เห็นสมควร **กระทรวงต้นสังกัดอาจจัดทำ privacy notice ในลักษณะภาพรวมของกระทรวงที่มีความครอบคลุมทุกหน่วยงานในสังกัดด้วยก็ได้** แต่หน่วยงานภาครัฐในสังกัดกระทรวงที่มีฐานะเป็นนิติบุคคลจะต้องมีการดำเนินการแจ้ง privacy notice ในบริบทของหน่วยงานนั้นด้วย ไม่ว่าจะใช้เอกสารของหน่วยงานเองหรือเอกสารในภาพรวมของกระทรวงก็ตาม · ในกรณีนี้ ควรพิจารณาหลีกเลี่ยงการใช้คำว่า "นโยบาย" สำหรับ privacy notice เนื่องจากอาจทำให้หน่วยงานเข้าใจคลาดเคลื่อนได้

นอกจากนี้ หากสำนักงาน ป.ป.ช. เห็นว่าควรกำหนดให้หน่วยงานภาครัฐที่เข้าร่วมการประเมินต้องดำเนินการเปิดเผยข้อมูลนโยบายของหน่วยงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล (มาตรการเชิงองค์กร) ก็สามารถทำได้ แม้จะไม่ได้เป็นข้อกำหนดที่เป็นมาตรฐานขั้นต่ำตาม PDPA อย่างชัดเจนก็ตาม · ในกรณีนี้ อาจพิจารณาให้หน่วยงานที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกำหนดนโยบายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลเป็นการเฉพาะของหน่วยงาน หรือจัดทำเป็นนโยบายในลักษณะภาพรวมของกระทรวงก็ได้

เพื่อให้เกิดความชัดเจนในทางปฏิบัติ สำนักงาน ป.ป.ช. ควรจัดทำคำชี้แจงไว้เป็นหลักเกณฑ์ในแบบวัดการเปิดเผยข้อมูลสาธารณะ (OIT) และเอกสารที่เกี่ยวข้อง โดยเฉพาะในการทำความเข้าใจว่าตัวชี้วัดข้อ o10 หมายถึง privacy notice ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) หรือนโยบายภายในองค์กรที่เป็นมาตรการเชิงองค์กรของหน่วยงาน เพื่อจะได้ไม่เป็นปัญหาในการดำเนินการ

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-20-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-20.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/20-2566.md

============================================================
โนด: ข้อหารือ 20/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/20-2567.md

# ข้อหารือที่ 20/2567 เรื่อง สำนักงานปลัดกระทรวงกลาโหมขอหารือแนวทางปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
[มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคหนึ่ง (2) วรรคสอง และวรรคสาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) [มาตรา 21](https://link.pdpalawbase.com/section/21.md) [มาตรา 23](https://link.pdpalawbase.com/section/23.md) [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (1)
      และ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) (2) และ (3)
2. พระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม พ.ศ. 2551 และที่แก้ไขเพิ่มเติม
มาตรา 10 และมาตรา 22
3. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534
มาตรา 7 วรรคสาม
4. พระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566
มาตรา 6 มาตรา 7 มาตรา 8 มาตรา 9 มาตรา 10 มาตรา 11 และมาตรา 12
5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของ
ข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566
6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผล
ข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2566
คำปรารภ และข้อ 3
7. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
ตามมาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566
8. แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคล
จากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อหารือ

สำนักงานปลัดกระทรวงกลาโหม แจ้งว่า ในฐานะหน่วยรับผิดชอบดำเนินการให้การปฏิบัติ
เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของกระทรวงกลาโหมมีแนวปฏิบัติที่ชัดเจน ถูกต้องตามหลักการและ
เจตนารมณ์แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ขอหารือต่อคณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคล ดังนี้
1. กระทรวงกลาโหมเป็นหน่วยงานด้านความมั่นคง ซึ่งได้รับการยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) หรือ
[มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสอง โดยไม่นำบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ทั้งหมด
หรือบางส่วนมาใช้บังคับ หรือไม่ อย่างไร และกระทรวงกลาโหมจะต้องดำเนินการประการใด เพื่อปฏิบัติตาม
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังกล่าว รวมทั้งแนวทางการพิจารณากิจกรรม หรืองานใด
หากไม่เข้าข่ายได้รับการยกเว้น
2. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 6](https://link.pdpalawbase.com/section/6.md) บัญญัติว่า "ผู้ควบคุมข้อมูล
ส่วนบุคคล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผย
ข้อมูลส่วนบุคคล มีหน้าที่ต้องแจ้งวัตถุประสงค์และรายละเอียดต่าง ๆ ในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของ
ข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ดังกล่าวนั้น ส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหมสามารถ
ดำเนินการในภาพรวมของส่วนราชการ ที่มีความครอบคลุมทุกหน่วยงานในสังกัด หรือสามารถจัดทำเป็นการเฉพาะของ
หน่วยงานภายใต้ส่วนราชการที่เป็นนิติบุคคลนั้น ได้หรือไม่ และผู้ใดมีอำนาจลงนามของหน่วยงาน
3. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผล
ข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566 มิได้กำหนด
ให้กระทรวงกลาโหมหรือหน่วยงานในสังกัด ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตน ดังนั้น
กระทรวงกลาโหมได้รับการยกเว้นไม่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของตนหรือไม่ อย่างไร หรือจะต้อง
จัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในภาพรวมของส่วนราชการที่มีฐานะเป็นนิติบุคคล หรือสามารถดำเนินการ
เป็นการเฉพาะของหน่วยงานภายใต้ส่วนราชการที่เป็นนิติบุคคลนั้น
4. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 [มาตรา 6](https://link.pdpalawbase.com/section/6.md) บัญญัติว่า "ผู้ประมวลผล
ข้อมูลส่วนบุคคล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็น
ผู้ควบคุมข้อมูลส่วนบุคคล ดังนั้น "ผู้ประมวลผลข้อมูลส่วนบุคคล" ของส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัด
กระทรวงกลาโหม ได้แก่หน่วยงานใด หรือผู้ดำรงตำแหน่งใด
 5. พระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม พ.ศ. 2551 และที่แก้ไขเพิ่มเติม
มิได้กำหนดให้สำนักงานรัฐมนตรี มีฐานะเป็นนิติบุคคล ดังนั้น "ผู้ควบคุมข้อมูลส่วนบุคคล" ของสำนักงานรัฐมนตรี
ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้แก่ส่วนราชการใด และผู้ที่มีอำนาจ
หน้าที่ในการปฏิบัติหรือดำเนินการตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติดังกล่าว ได้แก่ผู้ดำรงตำแหน่งใด และผู้ดำรง
ตำแหน่งดังกล่าว ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของสำนักงานรัฐมนตรี สามารถมอบอำนาจการดำเนินการใด ๆ
ตามกฎหมาย ให้แก่ผู้ดำรงตำแหน่งอื่นปฏิบัติราชการแทนได้หรือไม่

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็น ดังนี้
ประเด็นตามข้อหารือที่ 1 เห็นว่า บทบัญญัติตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกำหนดกรณีที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้มาใช้บังคับสำหรับ
การดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐนั้น หมายความถึงเฉพาะ
การดำเนินการในกิจกรรมหรือภารกิจใดที่มีหน้าที่หรือวัตถุประสงค์เกี่ยวข้องกับการรักษาความมั่นคงของรัฐเท่านั้น
ดังนั้น การดำเนินการของส่วนราชการในสังกัดของกระทรวงกลาโหมที่ไม่ได้มีหน้าที่หลักในการรักษาความมั่นคง
ของรัฐโดยตรง หรือกิจกรรมใดของกระทรวงกลาโหมที่ไม่เกี่ยวข้องกับการรักษาความมั่นคงของรัฐโดยตรง เช่น
การให้บริการสุขภาพของสถานพยาบาลในสังกัดกระทรวงกลาโหม หรือการดำเนินงานด้านการประชาสัมพันธ์
ย่อมไม่เข้าลักษณะตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2) กรณีจึงไม่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้มาใช้บังคับ
ส่วนการดำเนินการในกิจกรรมหรือภารกิจใดของกระทรวงกลาโหมที่จะมีหน้าที่หรือวัตถุประสงค์เกี่ยวข้องกับ
การรักษาความมั่นคงของรัฐ อันจะได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้มาใช้บังคับ กระทรวงกลาโหมย่อม
ต้องพิจารณาตามข้อเท็จจริงเป็นรายกรณี นอกจากนี้ การดำเนินการที่จะได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้
มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสอง จะต้องเป็นกรณีที่กำหนดในพระราชกฤษฎีกา ซึ่งปัจจุบันพระราชกฤษฎีกา
กำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566 ได้กำหนดกรณีที่จะได้รับการยกเว้นไว้เป็นการเฉพาะในมาตรา 6
ถึงมาตรา 12 ดังนั้น หากการดำเนินการในกิจกรรมหรือภารกิจใดของกระทรวงกลาโหมไม่เข้าเงื่อนไขในกรณีใด
ตามพระราชกฤษฎีกาดังกล่าว ย่อมไม่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัตินี้มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสอง
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ทั้งนี้ สำหรับการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกิจกรรม
หรือภารกิจใดของกระทรวงกลาโหมที่มีหน้าที่หรือวัตถุประสงค์เกี่ยวข้องกับการรักษาความมั่นคงของรัฐ ซึ่งได้รับ
การยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2)
กระทรวงกลาโหมยังต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย
ทั้งนี้ ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบ
ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูล
ส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566
ประเด็นตามข้อหารือที่ 2 เห็นว่า ส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหม
ที่ไม่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้
หรือเปิดเผยข้อมูลส่วนบุคคล ย่อมมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตาม
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งรวมถึงหน้าที่ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวม ตาม [มาตรา 21](https://link.pdpalawbase.com/section/21.md)
และการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ
ก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ด้วย โดยส่วนราชการที่มีฐานะเป็นนิติบุคคล
ในสังกัดกระทรวงกลาโหมจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูล
ส่วนบุคคลถึงวัตถุประสงค์และรายละเอียดเกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคล (privacy information) โดย
อาจพิจารณาแจ้งในรูปแบบประกาศการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) ก็ได้ โดยทั้งนี้ พระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ได้กำหนดรูปแบบหรือวิธีการแจ้งวัตถุประสงค์และรายละเอียดดังกล่าว
ไว้เป็นการเฉพาะ แต่กำหนดรายละเอียดที่ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ
ตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) โดยผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาดำเนินการตามแนวทางการดำเนินการในการแจ้ง
วัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดได้
สำหรับประกาศการคุ้มครองข้อมูลส่วนบุคคล (privacy notice) นั้น อาจมีการลงนามหรือไม่ก็ได้
หากประสงค์จะให้มีการลงนาม หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณากำหนดหรือมอบหมาย
บุคคลที่เหมาะสมเป็นผู้ลงนามก็ได้ โดยกระทรวงกลาโหมและส่วนราชการในสังกัดที่มีฐานะเป็นผู้ควบคุมข้อมูล
ส่วนบุคคลควรพิจารณาว่า การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว
กระทรวงกลาโหมสามารถดำเนินการให้ครอบคลุมทุกกิจกรรมหรือภารกิจของแต่ละหน่วยงานภายใต้สังกัดได้
หรือไม่ หากสามารถดำเนินการได้ กระทรวงกลาโหมจะเป็นผู้จัดทำแล้วให้หน่วยงานในสังกัดนำไปเผยแพร่หรือ
แจ้งเจ้าของข้อมูลส่วนบุคคลก็ได้ หรือกระทรวงกลาโหมอาจให้หน่วยงานในสังกัดที่มีฐานะเป็นผู้ควบคุมข้อมูล
ส่วนบุคคลเป็นผู้จัดทำเป็นการเฉพาะของหน่วยงานเองก็ได้ โดยการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวม
ข้อมูลส่วนบุคคลดังกล่าวควรมีความชัดเจนและเจ้าของข้อมูลส่วนบุคคลสามารถเข้าใจได้โดยง่าย
ประเด็นตามข้อหารือที่ 3 เห็นว่า [มาตรา 41](https://link.pdpalawbase.com/section/41.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 กำหนดว่า "ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูล
ส่วนบุคคลของตน ในกรณีดังต่อไปนี้ (1) ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นหน่วยงาน
ของรัฐตามที่คณะกรรมการประกาศกำหนด ฯลฯ" เมื่อพิจารณาตามบัญชีท้ายประกาศคณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็นหน่วยงานของรัฐ ซึ่งต้องจัดให้มี
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566 แล้ว จะเห็นว่า คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
มิได้กำหนดให้กระทรวงกลาโหมหรือหน่วยงานในสังกัดต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ดังนั้น
กระทรวงกลาโหมหรือหน่วยงานในสังกัดยังไม่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามประกาศดังกล่าว
จึงอาจไม่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามบทบัญญัติใน [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) เว้นแต่กรณีสถาบันอุดมศึกษา
ของรัฐที่มีสถานพยาบาลในสังกัด ภายใต้กระทรวงกลาโหม (หรือส่วนราชการต้นสังกัดที่มีฐานะเป็นนิติบุคคล
ในสังกัดกระทรวงกลาโหมของสถาบันอุดมศึกษานั้น) ที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามข้อ 3
ของประกาศดังกล่าว ประกอบข้อ 14.23 ของบัญชีท้ายประกาศนั้น แต่เมื่อพิจารณาจากคำปรารภของประกาศ
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่เป็น
หน่วยงานของรัฐ ซึ่งต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2566 ที่กำหนดว่า "…โดยในระยะแรก
เห็นควรกำหนดให้หน่วยงานของรัฐที่มีความพร้อมและมีลักษณะที่จำเป็นต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูล
ส่วนบุคคล ซึ่งจะได้กำหนดหน่วยงานของรัฐแห่งอื่นเพิ่มเติมตามความเหมาะสมต่อไป" จะเห็นได้ว่า คณะกรรมการ
คุ้มครองข้อมูลส่วนบุคคลอาจมีการประกาศกำหนดหน่วยงานของรัฐที่ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
เพิ่มเติมในอนาคตตามความเหมาะสมได้
อย่างไรก็ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด
กรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลไว้
3 กรณี แม้กระทรวงกลาโหมหรือส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดอาจไม่เข้ากรณีตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1)
แต่หากกระทรวงกลาโหมและส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดพิจารณาแล้วเห็นว่า การดำเนินกิจกรรม
ของตนในการเก็บรวบรวม ใช้ หรือเปิดเผย จำเป็นต้องตรวจสอบข้อมูลส่วนบุคคลหรือระบบอย่างสม่ำเสมอโดยเหตุ
ที่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2)
ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม
มาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 หรือเป็นกรณีที่กิจกรรม
หลักของตนเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา 26 ตามนัย [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (3)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ก็ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลด้วย
กระทรวงกลาโหมและส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดจึงต้องพิจารณาว่าตนเข้าเงื่อนไขที่ต้องจัด
ให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (2) และ/หรือ [มาตรา 41](https://link.pdpalawbase.com/section/41.md) (3) หรือไม่ ในการดำเนินการ
ที่ไม่ได้รับการยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ
ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (2)
อนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลที่ไม่เข้าเงื่อนไขตาม
[มาตรา 41](https://link.pdpalawbase.com/section/41.md) (1) ถึง (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และไม่มีหน้าที่ต้องจัดให้มี
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตาม [มาตรา 41](https://link.pdpalawbase.com/section/41.md) อาจพิจารณาจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลได้
เพื่อทำหน้าที่ให้คำแนะนํา ตรวจสอบการดำเนินงาน และประสานงานและให้ความร่วมมือกับสำนักงาน
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในการปฏิบัติตามพระราชบัญญัตินี้ ทั้งนี้ เพื่อส่งเสริมการคุ้มครอง
ข้อมูลส่วนบุคคล และลดความเสี่ยงที่จะมีการฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติดังกล่าวในหน่วยงานของตน
ประเด็นตามข้อหารือที่ 4 เห็นว่า สำหรับการดำเนินการของกระทรวงกลาโหมหรือส่วนราชการ
ที่มีฐานะเป็นนิติบุคคลในสังกัดที่อยู่ในบังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
กระทรวงกลาโหมและส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหมดังกล่าว จะมีฐานะเป็นผู้ควบคุม
ข้อมูลส่วนบุคคล ส่วนหน่วยงานในสังกัดที่ไม่มีฐานะเป็นนิติบุคคล ตลอดจนข้าราชการ พนักงาน และบุคลากร
ของหน่วยงานดังกล่าวจะไม่มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล
แยกต่างหากจากกระทรวงกลาโหมหรือส่วนราชการที่มีฐานะเป็นนิติบุคคลนั้น แต่กระทรวงกลาโหม
และส่วนราชการที่มีฐานะเป็นนิติบุคคลในสังกัดอาจพิจารณามอบหมายหน้าที่หรือสั่งการให้หน่วยงานใด
หรือผู้ดำรงตำแหน่งใดในสังกัดรับผิดชอบการดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
ก็ได้ ทั้งนี้ หน่วยงานหรือบุคคลที่ได้รับมอบหมายหน้าที่หรือข้อสั่งการดังกล่าวไม่ถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือ
ผู้ประมวลผลข้อมูลส่วนบุคคลแยกต่างหากจากกระทรวงกลาโหมหรือส่วนราชการที่มีฐานะเป็นนิติบุคคลใน
สังกัดกระทรวงกลาโหม
ส่วนกรณีที่จะถือเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ของกระทรวงกลาโหมหรือส่วนราชการ
ที่มีฐานะเป็นนิติบุคคลในสังกัดกระทรวงกลาโหม ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล นั้น เมื่อพิจารณาจากบทนิยาม
ของคำว่า "ผู้ประมวลผลข้อมูลส่วนบุคคล" ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
จะต้องเป็นกรณีที่บุคคลธรรมดาหรือนิติบุคคลภายนอกสังกัด (ที่ไม่ใช่ส่วนหนึ่งของกระทรวงกลาโหมหรือส่วนราชการ
ในสังกัด) มีการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนาม
ของกระทรวงกลาโหมหรือส่วนราชการในสังกัด และมีหน้าที่ดำเนินการตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคล
ตาม [มาตรา 40](https://link.pdpalawbase.com/section/40.md) (1) เท่านั้น เช่น กรณีที่กระทรวงกลาโหมหรือส่วนราชการในสังกัดว่าจ้างหรือมอบหมายให้บุคคล
หรือหน่วยงานใดภายนอกดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่เป็นภารกิจหรือหน้าที่
ในความรับผิดชอบของตน โดยเป็นการดำเนินการตามคำสั่งหรือในนามของตน
ประเด็นตามข้อหารือที่ 5 ในประเด็นว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของสำนักงานรัฐมนตรี กระทรวงกลาโหม
คือส่วนราชการใด นั้น เห็นว่า มาตรา 10 แห่งพระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม พ.ศ. 2551
ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม (ฉบับที่ 2) พ.ศ. 2556 กำหนดให้
สำนักงานรัฐมนตรีเป็นส่วนราชการในกระทรวงกลาโหม แต่มาตรา 22 แห่งพระราชบัญญัติจัดระเบียบราชการ
กระทรวงกลาโหม พ.ศ. 2551 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติจัดระเบียบราชการกระทรวงกลาโหม (ฉบับที่ 2)
พ.ศ. 2556 ไม่ได้กำหนดให้สำนักงานรัฐมนตรี กระทรวงกลาโหม เป็นนิติบุคคล ประกอบกับมาตรา 7 วรรคสาม
แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 กำหนดให้กระทรวงมีฐานะเป็นนิติบุคคล ดังนั้น
กระทรวงกลาโหมซึ่งเป็นหน่วยงานต้นสังกัดของสำนักงานรัฐมนตรีจึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และมีหน้าที่ตามพระราชบัญญัติดังกล่าวเกี่ยวกับ
การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของสำนักงานรัฐมนตรี กระทรวงกลาโหม เท่าที่พระราชบัญญัติดังกล่าว
ใช้บังคับแก่สำนักงานรัฐมนตรี
สำหรับประเด็นที่ว่า ผู้ที่มีอำนาจหน้าที่ในการปฏิบัติหรือดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผย
ข้อมูลส่วนบุคคลในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ของสำนักงานรัฐมนตรี กระทรวงกลาโหม ได้แก่ผู้ดำรง
ตำแหน่งใด และสามารถมอบอำนาจการดำเนินการใด ๆ ตามกฎหมาย ให้แก่ผู้ดำรงตำแหน่งอื่นปฏิบัติราชการแทน
ได้หรือไม่ นั้น เห็นว่า เมื่อพิจารณาถึงเจตนารมณ์ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ประกอบบทนิยามคำว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" ใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) ที่หมายความว่า บุคคลธรรมดาหรือนิติบุคคล
ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จะเห็นว่า สถานภาพความเป็น
ผู้ควบคุมข้อมูลส่วนบุคคลเกิดขึ้นจากองค์ประกอบตามบทนิยามดังกล่าวตามข้อเท็จจริง มิได้เกิดจากการได้รับ
แต่งตั้งหรือมอบหมายโดยผู้ใด ดังนั้น หากหน่วยงานใดที่มีฐานะเป็นนิติบุคคลมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ
การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หน่วยงานนั้นย่อมถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลแล้ว
โดยไม่ต้องมีการแต่งตั้งหรือมอบหมายบุคคลใดเพื่อปฏิบัติหน้าที่นั้นอีก และผู้บริหาร ข้าราชการ พนักงาน
หรือบุคลากรของหน่วยงานดังกล่าวจะไม่มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล
แยกต่างหากจากหน่วยงานนั้น จึงไม่มีกรณีที่จะสามารถมอบอำนาจการดำเนินการของหน่วยงานในฐานะผู้ควบคุม
ข้อมูลส่วนบุคคลให้บุคคลใดปฏิบัติหน้าที่และรับผิดชอบในฐานะผู้ควบคุมข้อมูลส่วนบุคคลแทนหน่วยงานนั้นได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-20-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-49.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/20-2567.md

============================================================
โนด: ข้อหารือ 21/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/21-2566.md

# ข้อหารือที่ 21/2566 เรื่อง สถานีตำรวจภูธร ก. ขอทราบความเห็นเพื่อนำมาประกอบสำนวนการสอบสวน

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3)
2. พระราชบัญญัติองค์กรจัดสรรคลื่นความถี่และกำกับดูแลการประกอบกิจการวิทยุกระจายเสียง วิทยุโทรทัศน์ และกิจการโทรคมนาคม พ.ศ. 2553 และที่แก้ไขเพิ่มเติม — มาตรา 27 (18)
3. พระราชบัญญัติการประกอบกิจการกระจายเสียงและกิจการโทรทัศน์ พ.ศ. 2551 — หมวด 3 (มาตรา 39 และมาตรา 40)

## ข้อหารือ

สถานีตำรวจภูธร ก. แจ้งว่า ได้รับแจ้งความร้องทุกข์กรณีผู้เสียหายถูกสำนักข่าว Z โดยผู้ประกาศข่าวในรายการข่าว B อ่านข่าวใส่ความว่าโกงค่าอาหาร ทั้งที่ยังไม่มีคำพิพากษาของศาล และในระหว่างประกาศข่าว สำนักข่าว Z ยังเผยแพร่ภาพให้ผู้ชมเห็นใบหน้าพร้อมข้อความชี้ที่ตัวบุคคลว่า "ผู้ก่อเหตุ" โดยมิได้ปิดบัง

โดยเนื่องจากคดีนี้ผู้ถูกกล่าวหาเป็นสื่อสารมวลชน ซึ่งได้รับความคุ้มครองตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) แห่ง PDPA หากการเปิดเผยข้อมูลเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพ หรือเป็นประโยชน์สาธารณะ จึงอาศัยอำนาจตามประมวลกฎหมายวิธีพิจารณาความอาญา มาตรา 132 (3) ขอทราบความเห็นว่า การกระทำของผู้ถูกกล่าวหาได้รับการคุ้มครองตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) หรือไม่

สถานีตำรวจภูธร ก. ได้แจ้งข้อมูลเพิ่มเติมจาก สำนักงาน กสทช. ว่า ตามมาตรา 27 (18) แห่ง พ.ร.บ. องค์กรจัดสรรคลื่นความถี่ฯ และหมวด 3 แห่ง พ.ร.บ. การประกอบกิจการกระจายเสียงและกิจการโทรทัศน์ พ.ศ. 2551 กำหนดให้องค์กรรวมกลุ่มของผู้ประกอบวิชาชีพสื่อสารมวลชนเป็นผู้กำกับดูแลกันเองภายใต้มาตรฐานทางจริยธรรม · กสทช. จึงไม่อาจมีอำนาจในการพิจารณาว่าการนำเสนอข่าวของรายการข่าว B เป็นการดำเนินการตามจรรยาบรรณหรือจริยธรรมของสื่อสารมวลชนหรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วเห็นว่า PDPA ใช้บังคับกับผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล ที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งครอบคลุมทั้งภาครัฐและภาคเอกชน รวมถึงผู้ประกอบธุรกิจทุกภาคส่วน

อย่างไรก็ดี **[มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3) บัญญัติให้ยกเว้นการใช้บังคับ PDPA กับบุคคลหรือนิติบุคคลซึ่งใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน งานศิลปกรรม หรืองานวรรณกรรมอันเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะเท่านั้น** ซึ่งการเปิดเผยข้อมูลส่วนบุคคลตามที่ขอความเห็นดังกล่าวเป็นกรณีการใช้หรือเปิดเผยข้อมูลส่วนบุคคลของนิติบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน จึงอาจมีลักษณะที่ได้รับยกเว้นตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (3)

แต่สถานีตำรวจภูธร ก. จะต้องพิจารณาเพิ่มเติมด้วยว่า การนำเสนอหรือเผยแพร่ข่าวสารดังกล่าวเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะหรือไม่ ซึ่งสถานีตำรวจภูธร ก. ควรขอความเห็นจากองค์กรที่เกิดจากการรวมกลุ่มของผู้รับใบอนุญาต ผู้ผลิตรายการ และผู้ประกอบวิชาชีพสื่อสารมวลชนตามกฎหมายว่าด้วยการประกอบกิจการกระจายเสียงและกิจการโทรทัศน์ที่มีบริษัท Y เป็นสมาชิก ว่าการกระทำดังกล่าวเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพของกิจการสื่อมวลชนหรือไม่ เพื่อดำเนินการตามกฎหมายต่อไป

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-21-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-21.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/21-2566.md

============================================================
โนด: ข้อหารือ 21/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/21-2567.md

# ข้อหารือที่ 21/2567 เรื่อง การยางแห่งประเทศไทย ขอความอนุเคราะห์หารือกรณีการเปิดเผยข้อมูลส่วนบุคคล

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ (5), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง วรรคสอง และวรรคสาม, [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2), [มาตรา 39](https://link.pdpalawbase.com/section/39.md), [มาตรา 73](https://link.pdpalawbase.com/section/73.md) แห่ง PDPA + พ.ร.บ.ข้อมูลข่าวสารของราชการ พ.ศ. 2540)_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — สรุปจากความเห็นว่า กยท. ขอหารือ 2 ประเด็น: (1) เปิดเผยข้อมูลในแบบ คบ.ก 1 แบบคำขอขึ้นทะเบียนเกษตรกรชาวสวนยาง และเอกสารประกอบให้เจ้าหนี้ตามคำพิพากษา; (2) ฐานทางกฎหมายในการเปิดเผย)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาเรื่องหารือดังกล่าวแล้ว มีความเห็นว่า กยท.
เป็นรัฐวิสาหกิจในสังกัดกระทรวงเกษตรและสหกรณ์ จึงมีฐานะเป็นหน่วยงานของรัฐตามพระราชบัญญัติ
ข้อมูลข่าวสารของราชการ พ.ศ. 2540 ในการเปิดเผยข้อมูลส่วนบุคคลในแบบ คบ.ก 1 แบบคำขอขึ้นทะเบียน
เกษตรกรชาวสวนยาง และเอกสารประกอบ เมื่อพิจารณาตามความใน [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติว่า "ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครอง
ข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติ
แห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตาม
บทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่
ก็ตาม ฯลฯ" กยท. ควรดำเนินการให้เป็นไปตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540
ที่ได้กำหนดเรื่องการเปิดเผยข้อมูลข่าวสารของราชการของหน่วยงานของรัฐ รวมถึงข้อมูลข่าวสารส่วนบุคคล
ที่อยู่ในความครอบครองหรือควบคุมดูแลของหน่วยงานของรัฐไว้โดยเฉพาะแล้วก่อน และให้ กยท. พิจารณา
บทบัญญัติเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
เป็นการเพิ่มเติม
สำหรับการพิจารณาบทบัญญัติเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติมนั้น เห็นว่า กยท. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล
ตามพระราชบัญญัติดังกล่าวสามารถเก็บรวบรวมข้อมูลส่วนบุคคลที่ปรากฏในแบบ คบ.ก 1 แบบคำขอ
ขึ้นทะเบียนเกษตรกรชาวสวนยาง และเอกสารประกอบได้ โดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เนื่องจากเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่
ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐ
ที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล และในการเปิดเผยข้อมูลส่วนบุคคลของเกษตรกรชาวสวนยาง
แก่เจ้าหนี้ตามคำพิพากษาถึงที่สุดนั้น [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. 2562 บัญญัติห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ได้รับ
ความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับยกเว้น
ไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ดังนั้น กยท. จะต้องพิจารณาเพิ่มเติมว่า การเปิดเผย
ข้อมูลส่วนบุคคลดังกล่าวให้กับทนายความผู้รับมอบอำนาจของเจ้าหนี้ตามคำพิพากษาของศาล ที่ประสงค์
จะนำข้อมูลของเกษตรกรชาวสวนยางซึ่งเป็นลูกหนี้ตามคำพิพากษาไปเพื่อประกอบคำร้องขอยึดทรัพย์
สามารถอ้างอิงฐานทางกฎหมายตามที่กำหนดไว้ใน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้หรือไม่ โดยคณะอนุกรรมการตอบข้อหารือฯ เห็นว่า การเปิดเผย
ข้อมูลส่วนบุคคลเกี่ยวกับทรัพย์สินของเกษตรกรชาวสวนยางที่เป็นลูกหนี้ ที่อยู่ในความครอบครอง
หรือควบคุมดูแลของ กยท. ให้แก่เจ้าหนี้ตามคำพิพากษาที่มีหลักฐานยืนยันความเป็นเจ้าหนี้ อาจถือเป็นกรณีที่
เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล
และประโยชน์ดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
ตามนัย [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
อย่างไรก็ตาม ในการใช้ฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) แห่งพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ดังกล่าว กยท. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลควรใช้ความระมัดระวัง
เป็นพิเศษเพื่อคุ้มครองสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลไม่ให้ได้รับผลกระทบ
เกินสมควร โดยควรพิจารณาเปิดเผยข้อมูลส่วนบุคคลเพียงเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วย
กฎหมายตามนัย [มาตรา 22](https://link.pdpalawbase.com/section/22.md) และหลีกเลี่ยงการใช้หรือเปิดเผยข้อมูลส่วนบุคคลเกินความคาดหวังปกติในบริบท
ของการดำเนินการที่เกี่ยวข้อง เช่น การเปิดเผยข้อมูลส่วนบุคคลอื่นที่ไม่เกี่ยวข้องกับทรัพย์สินของลูกหนี้
โดยตรง นอกจากนี้ กยท. มีหน้าที่บันทึกการใช้หรือเปิดเผยนั้นไว้ในรายการตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md) ตามนัย
[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม และมีหน้าที่ดำเนินการเพื่อป้องกันมิให้บุคคลหรือนิติบุคคลอื่นที่ได้รับข้อมูลส่วนบุคคล
ใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตาม [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (2) ประกอบ
[มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง แห่งพระราชบัญญัติดังกล่าวด้วย
อนึ่ง คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า หาก กยท. พิจารณาแล้วได้ดำเนินการ
เปิดเผยข้อมูลส่วนบุคคลตามข้อหารือนี้ และลูกหนี้ซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลไม่เห็นด้วยกับการดำเนินการ
ดังกล่าว เจ้าของข้อมูลส่วนบุคคลย่อมมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญตาม [มาตรา 73](https://link.pdpalawbase.com/section/73.md)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-21-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/10/consultation-56.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/21-2567.md

============================================================
โนด: ข้อหารือ 22/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/22-2566.md

# ข้อหารือที่ 22/2566 เรื่อง สถานีตำรวจภูธร ข. หารือเกี่ยวกับการกระทำความผิดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 27](https://link.pdpalawbase.com/section/27.md), [มาตรา 73](https://link.pdpalawbase.com/section/73.md), [มาตรา 79](https://link.pdpalawbase.com/section/79.md), [มาตรา 80](https://link.pdpalawbase.com/section/80.md) และ [มาตรา 81](https://link.pdpalawbase.com/section/81.md)
2. พระราชบัญญัติบำเหน็จบำนาญข้าราชการส่วนท้องถิ่น พ.ศ. 2500 — มาตรา 12
3. ระเบียบคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยการยื่น การไม่รับเรื่อง การยุติเรื่อง การพิจารณา และระยะเวลาในการพิจารณาคำร้องเรียน พ.ศ. 2565

## ข้อหารือ

สถานีตำรวจภูธร ข. ขอหารือกรณีผู้เสียหายได้ร้องทุกข์กล่าวโทษต่อพนักงานสอบสวนให้ดำเนินคดีกับนายก อบจ. ก. ปลัด อบจ. ก. และเจ้าหน้าที่อื่นที่เกี่ยวข้อง โดยมีพฤติการณ์สืบเนื่องจากการออกประกาศ อบจ. ก. เรื่อง การพ้นจากราชการของข้าราชการ อบจ. ก. ซึ่งมีอายุครบ 60 ปี · อบจ. ก. ได้มีคำสั่งลงโทษไล่ผู้เสียหายออกจากราชการไว้เป็นการชั่วคราว แต่ศาลปกครอง ค. ได้มีคำสั่งทุเลาการบังคับ

ผู้เสียหายอ้างว่าการกระทำดังกล่าวเป็นการละเมิดผู้เสียหายตาม PDPA ทำให้ได้รับความเสียหาย เป็นการประจานหรือประกาศโฆษณาให้ได้รับความอับอาย เสื่อมเสียชื่อเสียง · สถานีตำรวจภูธร ข. จึงขอหารือว่า การกระทำของผู้ต้องหาดังกล่าวเป็นการกระทำผิดตาม PDPA หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วเห็นว่า PDPA ได้บัญญัติให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่หลายประการ ซึ่งหากผู้ควบคุมข้อมูลส่วนบุคคลมีการฝ่าฝืนหรือไม่ปฏิบัติตาม จะมีความผิดอาญาเฉพาะเรื่องที่มีลักษณะตามความในหมวด 7 ส่วนที่ 1 แห่ง PDPA โดยจะต้องมีองค์ประกอบความผิดตาม [มาตรา 79](https://link.pdpalawbase.com/section/79.md), [มาตรา 80](https://link.pdpalawbase.com/section/80.md) และ [มาตรา 81](https://link.pdpalawbase.com/section/81.md) แล้วแต่กรณี

เช่น การใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่จะเป็นความผิดอาญาตาม [มาตรา 79](https://link.pdpalawbase.com/section/79.md) วรรคหนึ่ง ต้องเกิดขึ้นจาก:
- ผู้ควบคุมข้อมูลส่วนบุคคลได้ใช้หรือเปิดเผยข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (ได้แก่ ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ ความคิดเห็นทางการเมือง ความเชื่อในศาสนา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ข้อมูลพันธุกรรม ข้อมูลชีวภาพ ฯลฯ)
- โดยฝ่าฝืนไม่ได้รับความยินยอม และไม่เข้าข้อยกเว้นอื่นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง
- หรือเป็นกรณีบุคคลที่ได้รับข้อมูลส่วนบุคคลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) มาจากการเปิดเผยของผู้ควบคุมข้อมูล แต่ใช้/เปิดเผยเพื่อวัตถุประสงค์อื่นนอกเหนือจากที่แจ้งไว้ ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง
- โดยประการที่น่าจะทำให้ผู้อื่นเกิดความเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย

หรือกรณีที่ข้อเท็จจริงปรากฏในคดีว่าผู้กระทำความผิดเป็นนิติบุคคล และการกระทำความผิดเกิดจากการสั่งการของกรรมการ/ผู้จัดการ/บุคคลใดซึ่งรับผิดชอบในการดำเนินงานของนิติบุคคลนั้น (หรือละเว้นไม่สั่งการจนเป็นเหตุให้นิติบุคคลกระทำความผิด) ผู้นั้นต้องรับโทษด้วย ตาม [มาตรา 81](https://link.pdpalawbase.com/section/81.md)

ดังนั้น ในกรณีนี้ พนักงานสอบสวนและพนักงานอัยการจึงสามารถพิจารณาข้อเท็จจริงและข้อกฎหมาย องค์ประกอบความผิด และพิจารณาดำเนินการต่อไปตามที่เห็นสมควร

อย่างไรก็ดี **นอกจากกรณีโทษอาญา** PDPA ยังมีกรณีความผิดอันเกิดจากการฝ่าฝืนที่มีโทษทางปกครอง ซึ่งผู้เสียหายสามารถใช้สิทธิร้องเรียนตามบทบัญญัติในหมวด 5 — หากผู้เสียหายได้ยื่นคำร้องเรียนต่อสำนักงาน คคส. ตาม [มาตรา 73](https://link.pdpalawbase.com/section/73.md) ประกอบระเบียบ คคส. ว่าด้วยการยื่น/พิจารณาคำร้องเรียน พ.ศ. 2565 และคณะกรรมการผู้เชี่ยวชาญได้พิจารณาเรื่องร้องเรียนจนได้ข้อสรุปแล้ว พนักงานสอบสวนและพนักงานอัยการสามารถนำข้อสรุปและความเห็นไปพิจารณาประกอบการดำเนินการในคดีอาญาได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-22-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-22.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/22-2566.md

============================================================
โนด: ข้อหารือ 22/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/22-2567.md

# ข้อหารือที่ 22/2567 เรื่อง สำนักงานคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ ขอหารือกรณีการจัดเก็บรักษาข้อมูลส่วนบุคคลของผู้ให้บริการโทรศัพท์เคลื่อนที่

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) และ [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่ง PDPA + ประกาศ กสทช. ลงวันที่ 17 ส.ค. 2566 (มาตรการคุ้มครองข้อมูลโทรคมนาคม) + กฎหมายว่าด้วยองค์กรจัดสรรคลื่นความถี่ + กฎหมายว่าด้วยการประกอบกิจการโทรคมนาคม)_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — สรุปจากความเห็น: สำนักงาน กสทช. ขอหารือเกี่ยวกับการจัดเก็บรักษาข้อมูล Call Detail Recording (CDR) ของผู้ให้บริการโทรศัพท์เคลื่อนที่ ว่าเข้าข่ายเป็นข้อมูลส่วนบุคคลตาม PDPA หรือไม่ ระยะเวลาในการเก็บรักษา และความสัมพันธ์ระหว่างประกาศ กสทช. กับ PDPA)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว เห็นว่า
ข้อมูลรายละเอียดข้อมูลการใช้งาน (Call Detail Recording: CDR) เป็นข้อมูลการใช้บริการของผู้ใช้บริการ
โทรคมนาคม ซึ่งทำให้สามารถระบุตัวผู้ใช้บริการนั้นได้ไม่ว่าทางตรงหรือทางอ้อมจากข้อมูลดังกล่าวเอง
หรือจากข้อมูลดังกล่าวประกอบกับข้อมูลอื่นที่ผู้รับใบอนุญาตประกอบกิจการโทรคมนาคมมีหรือสามารถเข้าถึงได้
จึงถือเป็นข้อมูลส่วนบุคคลตามบทนิยามในข้อ 1 ของประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติ
เรื่อง มาตรการคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว
และเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคม ลงวันที่ 18 พฤษภาคม พ.ศ. 2549 (ปัจจุบันถูกยกเลิก
แล้ว) และถือเป็นข้อมูลส่วนบุคคลของผู้ใช้บริการตามบทนิยามในข้อ 5 ของประกาศคณะกรรมการกิจการ
กระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิของผู้ใช้บริการ
โทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกัน
โดยทางโทรคมนาคม ลงวันที่ 17 สิงหาคม พ.ศ. 2566 (ที่ใช้บังคับอยู่ในปัจจุบัน ณ ขณะที่ตอบข้อหารือ)
และเป็นข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม ข้อมูล CDR
จึงเป็นข้อมูลส่วนบุคคลตามบทนิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย
โดยในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวนั้น [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 กำหนดว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
ในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น
เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิ
ของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้
เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ
เมื่อพิจารณาตามประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิ
ของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกัน
โดยทางโทรคมนาคม ลงวันที่ 18 พฤษภาคม พ.ศ. 2549 (ปัจจุบันถูกยกเลิกแล้ว) และประกาศคณะกรรมการ
กิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิ
ของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกัน
โดยทางโทรคมนาคม ลงวันที่ 17 สิงหาคม พ.ศ. 2566 (ที่ใช้บังคับอยู่ในปัจจุบัน ณ ขณะที่ตอบข้อหารือ)
ซึ่งออกโดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมายว่าด้วยองค์กรจัดสรรคลื่นความถี่และกำกับการประกอบกิจการ
วิทยุกระจายเสียง วิทยุโทรทัศน์ และกิจการโทรคมนาคม และกฎหมายว่าด้วยการประกอบกิจการโทรคมนาคม
ได้กำหนดรายละเอียดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในกิจการโทรคมนาคมไว้โดยเฉพาะแล้ว ซึ่งรวมถึงการ
เก็บรวบรวมและการเก็บรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการโทรคมนาคม โดยมีกำหนดระยะเวลาที่ผู้รับใบอนุญาต
ประกอบกิจการโทรคมนาคมต้องเก็บรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการโทรคมนาคม ดังนั้น การเก็บรวบรวม
การเก็บรักษา และระยะเวลาในการเก็บรักษาข้อมูล CDR ตามข้อหารือนี้ จึงต้องเป็นไปตามประกาศดังกล่าว
เป็นหลักก่อน แล้วจึงพิจารณาข้อกำหนดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
เป็นการเพิ่มเติม สำนักงาน กสทช. จึงควรพิจารณากำกับดูแลการดำเนินการของผู้รับใบอนุญาตประกอบ
กิจการโทรคมนาคมในส่วนที่เกี่ยวกับข้อมูล CDR ของผู้ใช้บริการโทรคมนาคมให้เป็นไปตามประกาศดังกล่าว
และอาจพิจารณาทบทวนความเหมาะสมของประกาศดังกล่าวได้ตามความจำเป็นเพื่อให้เป็นไปตามมาตรฐาน
ของสัญญาให้บริการโทรคมนาคมที่เกี่ยวข้องและเป็นการคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคม

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-22-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/11/consultation-57--22-67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/22-2567.md

============================================================
โนด: ข้อหารือ 23/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/23-2566.md

# ข้อหารือที่ 23/2566 เรื่อง องค์การขนส่งมวลชนกรุงเทพขอหารือเกี่ยวกับการให้ข้อมูลส่วนบุคคลกับประชาชน

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md), [มาตรา 6](https://link.pdpalawbase.com/section/6.md) (บทนิยามคำว่า "ข้อมูลส่วนบุคคล" และ "บุคคล"), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 9, มาตรา 14 และมาตรา 15

## ข้อหารือ

องค์การขนส่งมวลชนกรุงเทพ (ขสมก.) แจ้งว่า เครือข่ายความปลอดภัยทางถนนและคุ้มครองสิทธิประโยชน์ของผู้โดยสารสาธารณะ (เครือข่ายฯ) มีหนังสือถึง ขสมก. ขอใช้สิทธิตรวจสอบข้อมูลและคัดสำเนาเอกสารตาม พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ. 2540 จำนวน 55 เส้นทาง ได้แก่:
1. สำเนาหนังสือยืนยันการเป็นคู่สัญญาเดินรถร่วมกับ ขสมก.
2. สำเนาบันทึกข้อตกลงว่าด้วยความร่วมมือการถ่ายโอนการกำกับดูแลรถโดยสารประจำทาง
3. สำเนาหนังสือถึงนายทะเบียนกลางหรือกรมการขนส่งทางบก เรื่อง ขอยกเลิกใบอนุญาตประกอบการขนส่งประจำทาง

เนื่องจากเอกสารที่เกี่ยวข้องมีทั้งข้อมูลที่เกี่ยวกับบุคคลธรรมดาและนิติบุคคลจำนวนมาก (ชื่อ ฐานะ สถานภาพ อาชีพ การเงิน) จึงขอหารือว่า การที่เครือข่ายฯ จะขอตรวจสอบและคัดสำเนาเอกสารดังกล่าว จะเป็นการขัดต่อ PDPA หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้ว เห็นว่า ขสมก. เป็นหน่วยงานของรัฐตามมาตรา 4 แห่ง พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ. 2540 · ข้อมูลข่าวสารที่อยู่ในความครอบครองของ ขสมก. ในฐานะหน่วยงานของรัฐ จึงเป็นข้อมูลข่าวสารของราชการตาม พ.ร.บ. ข้อมูลข่าวสารฯ ที่ ขสมก. มีหน้าที่ปฏิบัติให้เป็นไปตามพระราชบัญญัติดังกล่าว

โดยในกรณีที่ข้อมูลข่าวสารดังกล่าวเป็นข้อมูลส่วนบุคคลของบุคคลธรรมดาตาม PDPA ด้วยนั้น [มาตรา 3](https://link.pdpalawbase.com/section/3.md) ได้บัญญัติว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลและบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่ง PDPA เป็นการเพิ่มเติม

ดังนั้น **ขสมก. ในฐานะหน่วยงานของรัฐตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ จึงควรพิจารณาดำเนินการให้เป็นไปตาม พ.ร.บ. ข้อมูลข่าวสารฯ และให้ ขสมก. พิจารณาดำเนินการให้เป็นไปตาม PDPA เป็นการเพิ่มเติม** ตามความใน [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1)

**ข้อสังเกต** มาตรา 9 แห่ง พ.ร.บ. ข้อมูลข่าวสารฯ บัญญัติว่า หน่วยงานของรัฐต้องจัดให้มีข้อมูลข่าวสารของราชการอย่างน้อย ... (6) สัญญาสัมปทาน สัญญาที่มีลักษณะเป็นการผูกขาดตัดตอนหรือสัญญาร่วมทุนกับเอกชนในการจัดทำบริการสาธารณะ ... ไว้ให้ประชาชนเข้าตรวจดูได้ · หากข้อมูลปรากฏข้อมูลส่วนบุคคล ขสมก. ควรพิจารณาชั่งน้ำหนักถึงความโปร่งใส สามารถตรวจสอบได้ และการไม่รุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร

นอกจากนี้ ขสมก. ควรพิจารณาเพิ่มเติมว่า การเปิดเผยข้อมูลส่วนบุคคลให้กับเครือข่ายฯ เป็นการดำเนินการที่ได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่ง PDPA หรือไม่ เช่น เป็นการปฏิบัติตามกฎหมายของ ขสมก. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6) หรือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของ ขสมก. ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)

ส่วน **กรณีการเปิดเผยข้อมูลของนิติบุคคลอื่นตามที่ ขสมก. หารือมา ไม่อยู่ในบังคับของ PDPA** เนื่องจากข้อมูลส่วนบุคคลตามพระราชบัญญัติดังกล่าวครอบคลุมเฉพาะข้อมูลเกี่ยวกับบุคคลธรรมดาซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) · การเปิดเผยข้อมูลของนิติบุคคลอื่นจึงอยู่นอกหน้าที่และอำนาจของคณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ · ขสมก. จึงต้องพิจารณาดำเนินการให้เป็นไปตาม พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ. 2540

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-23-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-23.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/23-2566.md

============================================================
โนด: ข้อหารือ 23/2567
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/23-2567.md

# ข้อหารือที่ 23/2567 เรื่อง สำนักงานเลขาธิการสภาผู้แทนราษฎรขอความอนุเคราะห์ข้อมูล

## ข้อกฎหมาย

_(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1), [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (4), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่งและวรรคสอง แห่ง PDPA + กฎหมายว่าด้วยการจดทะเบียนนิติบุคคล + กฎหมายว่าด้วยข้อมูลข่าวสารของราชการ + ประกาศมาตรฐานการรักษาความมั่นคงปลอดภัยฯ 2566)_

## ข้อหารือ

_(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — สรุปจากความเห็น: สำนักงานเลขาธิการสภาผู้แทนราษฎรขอหารือกรณีการเปิดเผยข้อมูลการถือหุ้นของบุคคลและรายชื่อผู้ถือหุ้นของนิติบุคคลแก่บุคคลทั่วไป ตาม PDPA)_

## ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยคุ้มครอง
ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อหารือของสำนักงานเลขาธิการสภา
ผู้แทนราษฎร โดยมีผู้แทนสำนักงานเลขาธิการสภาผู้แทนราษฎรเป็นผู้ชี้แจงข้อเท็จจริงแล้ว เห็นว่า
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่กำหนดหลักเกณฑ์ กลไก หรือมาตรการ
กำกับดูแลเกี่ยวกับการให้ความคุ้มครองข้อมูลส่วนบุคคลที่เป็นหลักการทั่วไป อันเป็นการส่งเสริมให้
การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลมีความเหมาะสม และปัญหาการล่วงละเมิดสิทธิความเป็นส่วนตัว
ของข้อมูลส่วนบุคคลได้รับการแก้ไข ดังนั้น การเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือหุ้น
ของนิติบุคคลแก่บุคคลทั่วไปสามารถดำเนินการได้หรือไม่ เพียงใด จะต้องพิจารณาจากพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับกฎหมายอื่นที่เกี่ยวข้องตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับ
การคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตาม
บทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง
ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม ไม่ว่าจะซ้ำ
กับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ
สำหรับการเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือหุ้นของนิติบุคคล
แก่บุคคลทั่วไปนั้น หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลและมีข้อมูลส่วนบุคคลดังกล่าวอยู่ใน
ความครอบครองหรือควบคุมดูแล จะต้องพิจารณาดำเนินการให้เป็นไปตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md)
ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายอื่น
ที่เกี่ยวข้อง โดยในกรณีที่มีกฎหมายเฉพาะกำหนดให้เปิดเผยรายละเอียดการจดทะเบียนห้างหุ้นส่วน
บริษัทจำกัด บริษัทมหาชนจำกัด หรือนิติบุคคลใด ซึ่งรวมถึงข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อ
ผู้ถือหุ้นของนิติบุคคลด้วยนั้น ก็ถือเป็นกรณีการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (6)
ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งสามารถเปิดเผย
ข้อมูลส่วนบุคคลได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล นอกจากนี้ หากเป็น
หน่วยงานของรัฐตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ ก็จะต้องปฏิบัติให้เป็นไปตามกฎหมายดังกล่าวด้วย
แต่หากไม่มีกฎหมายใดกำหนดให้ต้องเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือหุ้นของนิติบุคคล
ดังกล่าว หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลจะต้องพิจารณาว่า การเปิดเผยข้อมูลส่วนบุคคลนั้นเป็นการจำเป็น
เพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติ
หน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)
วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือเป็นการจำเป็นเพื่อประโยชน์
โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูล
ส่วนบุคคล ซึ่งประโยชน์ดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของ
ข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (5) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าวหรือไม่
แล้วพิจารณาดำเนินการให้เป็นไปตามนั้น
นอกจากนี้ สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลที่อยู่ในบังคับของพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 บุคคลหรือนิติบุคคลที่จะดำเนินการเก็บรวมรวมข้อมูลส่วนบุคคลดังกล่าว
โดยได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคลข้างต้น ก็จะต้องเก็บรวบรวมข้อมูล
ส่วนบุคคลโดยพิจารณาฐานทางกฎหมายตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือ [มาตรา 26](https://link.pdpalawbase.com/section/26.md) แห่งพระราชบัญญัตินี้ รวมทั้งจะต้อง
ไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูล
ส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสอง แห่งพระราชบัญญัติเดียวกันด้วย
อนึ่ง หากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือ
หุ้นของนิติบุคคลดังกล่าว เป็นการดำเนินการในการพิจารณาตามหน้าที่และอำนาจของสภาผู้แทนราษฎร
วุฒิสภา รัฐสภา รวมถึงคณะกรรมาธิการที่แต่งตั้งโดยสภาดังกล่าว ก็ย่อมสามารถกระทำได้โดยได้รับยกเว้น
ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรณีจึงไม่ต้องปฏิบัติตาม
บทบัญญัติแห่งพระราชบัญญัตินี้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับยกเว้นการบังคับใช้ตาม [มาตรา 4](https://link.pdpalawbase.com/section/4.md) (4)
ดังกล่าว ยังคงมีหน้าที่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐาน
ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของ
ข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566 ด้วย นอกจากนี้ หน่วยงานที่จะเปิดเผยข้อมูล
ส่วนบุคคลนั้นให้แก่สภาผู้แทนราษฎร วุฒิสภา รัฐสภา รวมถึงคณะกรรมาธิการที่แต่งตั้งโดยสภาดังกล่าว
จะต้องพิจารณาฐานทางกฎหมายในการเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ด้วย

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-23-2567.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2025/11/consultation-58--23-67.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/23-2567.md

============================================================
โนด: ข้อหารือ 24/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/24-2566.md

# ข้อหารือที่ 24/2566 เรื่อง สภาวิชาชีพบัญชีขอหารือการเปิดเผยข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md), [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 21](https://link.pdpalawbase.com/section/21.md), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) และ [มาตรา 39](https://link.pdpalawbase.com/section/39.md)
2. พระราชบัญญัติวิชาชีพบัญชี พ.ศ. 2547 — มาตรา 6 และมาตรา 7
3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4 และมาตรา 15 (5)

## ข้อหารือ

สภาวิชาชีพบัญชี ซึ่งเป็นหน่วยงานที่จัดตั้งตาม พ.ร.บ. วิชาชีพบัญชี พ.ศ. 2547 ขอหารือเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลของผู้สอบบัญชีรับอนุญาตตาม PDPA ใน 3 ประเด็น:

1. สามารถเปิดเผยข้อมูลชื่อ-สกุล เลขทะเบียนใบอนุญาต และสถานะใบอนุญาตของผู้สอบบัญชีรับอนุญาตทุกรายบนเว็บไซต์ของสภาฯ + ให้ข้อมูลสถานะทางโทรศัพท์ โดยไม่ต้องขอความยินยอม ได้หรือไม่
2. กรณีที่ไม่สามารถปฏิบัติตามความเห็นเดิมของคณะอนุกรรมการตอบข้อหารือตามกฎหมายข้อมูลข่าวสารของราชการได้อีก สภาฯ จะต้องดำเนินการอย่างไรเพื่อให้เป็นไปตาม PDPA
3. เปิดเผยข้อมูลในคำสั่งลงโทษการประพฤติผิดจรรยาบรรณของผู้ประกอบวิชาชีพบัญชีบนเว็บไซต์ของสภาฯ เพื่อให้ประชาชนใช้ความระมัดระวังในการว่าจ้าง ทำได้หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาประเด็นข้อหารือดังกล่าวแล้วมีความเห็น ดังนี้

**ประเด็นหารือที่ 1** สภาวิชาชีพบัญชีเป็นนิติบุคคลซึ่งมีวัตถุประสงค์เพื่อส่งเสริมและพัฒนาวิชาชีพบัญชี ตามมาตรา 6 แห่ง พ.ร.บ. วิชาชีพบัญชี พ.ศ. 2547 และมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามอำนาจหน้าที่ในมาตรา 7 · สภาวิชาชีพบัญชีจึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่ง PDPA และในขณะเดียวกัน เป็นหน่วยงานของรัฐตาม พ.ร.บ. ข้อมูลข่าวสารฯ — อยู่ภายใต้บังคับ 2 ฉบับ

ตาม [มาตรา 3](https://link.pdpalawbase.com/section/3.md) (1) แห่ง PDPA สภาฯ ต้องบังคับตาม พ.ร.บ. ข้อมูลข่าวสารฯ และ PDPA เป็นการเพิ่มเติม · การที่สภาฯ เก็บรวบรวมข้อมูลส่วนบุคคลของผู้สอบบัญชีรับอนุญาต เพื่อดำเนินการตามวัตถุประสงค์และอำนาจหน้าที่ตาม พ.ร.บ. วิชาชีพบัญชี ถือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้ — **เก็บรวบรวมโดยได้รับยกเว้นไม่ต้องขอความยินยอมตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) แห่ง PDPA**

สภาฯ จึงสามารถใช้หรือเปิดเผยข้อมูลชื่อ-สกุล เลขทะเบียนใบอนุญาต และสถานะใบอนุญาตของผู้สอบบัญชีรับอนุญาตทุกรายบนเว็บไซต์ + ให้ข้อมูลสถานะทางโทรศัพท์ โดยได้รับยกเว้นไม่ต้องขอความยินยอมตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง · **แต่สภาฯ ต้องบันทึกการใช้/เปิดเผยไว้ในรายการ (Record of Processing Activities) ตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md)** ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม

ทั้งนี้ การเปิดเผยต้องกระทำเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย ที่ได้แจ้งเจ้าของข้อมูลไว้ก่อน/ในขณะที่เก็บรวบรวม ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md) ประกอบ [มาตรา 21](https://link.pdpalawbase.com/section/21.md) · นอกจากนี้ สภาฯ อาจพิจารณาเปิดเผยข้อมูลส่วนบุคคลต่อผู้ร้องขอเป็นการเฉพาะราย โดยให้บริการตรวจสอบผ่านระบบสารสนเทศที่ให้สืบค้นตามเงื่อนไข จะเป็นการเหมาะสมกว่าการเปิดเผยทั้งหมดในภาพรวมผ่านเว็บไซต์เป็นการทั่วไป

สำหรับการเปิดเผย**หมายเลขโทรศัพท์และที่อยู่**ของผู้สอบบัญชีรับอนุญาตทุกรายบนเว็บไซต์ของสภาฯ — แม้จะเก็บรวบรวมโดยฐาน [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และสามารถใช้/เปิดเผยได้โดยได้รับยกเว้นตาม [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง · **แต่สภาฯ ต้องดำเนินการเท่าที่จำเป็นตามอำนาจหน้าที่เพื่อการตรวจสอบสถานะของผู้สอบบัญชี** เพื่อไม่ให้เป็นการละเมิดสิทธิของเจ้าของข้อมูลโดยไม่สมควร — หากจะเปิดเผยส่วนที่ไม่จำเป็น **ก็ต้องได้รับความยินยอมจากเจ้าของข้อมูลก่อน** (พ้องกับความเห็นของคณะอนุกรรมการตอบข้อหารือฯ ตามกฎหมายข้อมูลข่าวสารของราชการ)

**ประเด็นหารือที่ 2** เมื่อความเห็นในประเด็นที่ 1 ไปในทางเดียวกับคณะอนุกรรมการตอบข้อหารือฯ ตามกฎหมายข้อมูลข่าวสารฯ คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ จึงไม่ต้องให้ความเห็นในประเด็นนี้

**ประเด็นหารือที่ 3** สภาวิชาชีพบัญชีต้องพิจารณาดำเนินการอย่างเหมาะสม โดยคำนึงถึงการปฏิบัติหน้าที่ตามกฎหมายของสภาฯ เพื่อประโยชน์สาธารณะและประโยชน์ของเอกชนที่เกี่ยวข้องประกอบกัน รวมถึงต้องดำเนินการเท่าที่จำเป็น เพื่อมิให้เป็นการละเมิดหรือรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร

ดังนั้น **การเปิดเผยข้อมูลรายละเอียดในคำสั่งลงโทษจรรยาบรรณของผู้ประกอบวิชาชีพบัญชีไว้บนเว็บไซต์ของสภาฯ เป็นการทั่วไป จึงอาจเป็นการละเมิดหรือรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร** · อย่างไรก็ตาม ประชาชนหรือผู้เกี่ยวข้องยังอาจขอใช้สิทธิเข้าตรวจดูข้อมูลข่าวสารดังกล่าวเป็นรายกรณีกับสภาวิชาชีพบัญชีตาม พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ. 2540 ได้

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-24-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-24.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/24-2566.md

============================================================
โนด: ข้อหารือ 25/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/25-2566.md

# ข้อหารือที่ 25/2566 เรื่อง สหกรณ์ออมทรัพย์ ผ. ขอหารือเกี่ยวกับการให้ข้อมูลของสมาชิก

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)

## ข้อหารือ

สหกรณ์ออมทรัพย์ ผ. (สหกรณ์ฯ) ขอหารือว่า สหกรณ์ฯ สามารถให้ข้อมูลรายชื่อสมาชิกทั้งหมด พร้อมทั้งที่อยู่และหมายเลขโทรศัพท์ของสมาชิกแก่สมาชิกของสหกรณ์ฯ ที่ประสงค์จะสมัครเข้ารับการสรรหาเป็นประธานกรรมการ เพื่อใช้เป็นข้อมูลในการวางแผนพบปะสมาชิกในการสมัครเข้ารับการสรรหาเพื่อรับการเลือกตั้งเป็นประธานกรรมการของสหกรณ์ฯ ได้หรือไม่ อย่างไร

## ความเห็น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้พิจารณาข้อหารือแล้วเห็นว่า เมื่อสหกรณ์ฯ ซึ่งมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลได้เก็บรวบรวมข้อมูลส่วนบุคคล (ชื่อ ที่อยู่ และหมายเลขโทรศัพท์ของสมาชิก) โดยมีวัตถุประสงค์เพื่อใช้ในการรับสมัครสมาชิก การให้บริการและดำเนินการต่าง ๆ ให้กับสมาชิก การให้กู้ยืมเงินและการรับฝากเงิน และการดำเนินงานที่เกี่ยวข้องกับวัตถุประสงค์และอำนาจของสหกรณ์ ตามข้อบังคับของสหกรณ์ฯ — **การใช้และเปิดเผยข้อมูลส่วนบุคคลดังกล่าวจะต้องเป็นไปตามวัตถุประสงค์ของการเก็บรวบรวมนั้น**

การที่สมาชิกที่ประสงค์จะสมัครเข้ารับการสรรหาเป็นประธานกรรมการของสหกรณ์ฯ จะขอให้เปิดเผยข้อมูลส่วนบุคคลดังกล่าว เพื่อใช้เป็นข้อมูลในการวางแผนพบปะสมาชิกในการสมัครเข้ารับการสรรหา **ย่อมเป็นการนำไปใช้นอกเหนือวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่แรก** ดังนั้น **สหกรณ์ฯ จึงไม่สามารถเปิดเผยข้อมูลส่วนบุคคลของสมาชิกแก่ผู้ที่ประสงค์จะสมัครเข้ารับการสรรหาเป็นประธานกรรมการของสหกรณ์ฯ ได้ โดยไม่ได้รับความยินยอมจากสมาชิกในฐานะเจ้าของข้อมูลส่วนบุคคล ตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md)**

อย่างไรก็ดี หากสหกรณ์ฯ เห็นว่าการใช้ข้อมูลส่วนบุคคลของสมาชิกในการติดต่อสื่อสารกับสมาชิกหรือประชาสัมพันธ์เรื่องที่เกี่ยวข้องกับการดำเนินงานของสหกรณ์ให้สมาชิกทราบ อยู่ในขอบเขตวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลของสหกรณ์ฯ · สหกรณ์ฯ อาจพิจารณา**ติดต่อสื่อสารกับสมาชิกหรือประชาสัมพันธ์ให้สมาชิกทราบข่าวสารเกี่ยวกับการสรรหาหรือผู้สมัครเข้ารับการสรรหาเป็นประธานกรรมการหรือกรรมการของสหกรณ์ฯ โดยตรงได้ โดยไม่มีการเปิดเผยข้อมูลส่วนบุคคลให้กับผู้สมัครรายใด** โดยไม่ได้รับความยินยอมจากสมาชิก

นอกจากนี้ เพื่อให้เป็นไปตาม PDPA ในการเก็บรวบรวมข้อมูลส่วนบุคคล สหกรณ์ฯ จะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบวัตถุประสงค์และรายละเอียดตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) ก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล (เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว) และสหกรณ์ฯ จะเก็บรวบรวมข้อมูลส่วนบุคคลได้เท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของสหกรณ์ฯ ตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-25-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-25.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/25-2566.md

============================================================
โนด: ข้อหารือ 26/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/26-2566.md

# ข้อหารือที่ 26/2566 เรื่อง สำนักงานส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อมขอหารือในประเด็นเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 5](https://link.pdpalawbase.com/section/5.md), [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 28](https://link.pdpalawbase.com/section/28.md), [มาตรา 29](https://link.pdpalawbase.com/section/29.md), [มาตรา 41](https://link.pdpalawbase.com/section/41.md) และ [มาตรา 42](https://link.pdpalawbase.com/section/42.md)
2. พระราชบัญญัติส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม พ.ศ. 2543 ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม (ฉบับที่ 2) พ.ศ. 2561 — มาตรา 16

## ข้อหารือ

สำนักงานส่งเสริมวิสาหกิจขนาดกลางและขนาดย่อม (สสว.) ขอหารือเกี่ยวกับข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคล และการร่วมลงนามในข้อตกลงการเป็นผู้ควบคุมข้อมูลส่วนบุคคลร่วมของเว็บไซต์ ASEAN Access เพื่อปฏิบัติตามกฎหมาย GDPR ของสหภาพยุโรป ดังนี้:

1. ข้อมูลผู้ประกอบการที่เป็นบุคคลธรรมดา ถือเป็นข้อมูลส่วนบุคคลภายใต้ PDPA หรือไม่
2. DPO ต้องมีคุณสมบัติอย่างไร · บุคคลภายนอกหรือภายในองค์กร ข้อดี/ข้อเสียอย่างไร · จำเป็นต้องตั้งส่วนงานเฉพาะหรือไม่
3. ผู้ควบคุมข้อมูล หมายถึงตัวนิติบุคคล/องค์กรใช่หรือไม่ · จำเป็นต้องแต่งตั้งบุคคลธรรมดาเพื่อกระทำการแทนหรือไม่ คุณสมบัติอย่างไร
4. คำแนะนำในการลงนามในข้อตกลง GDPR Joint Controller Agreement of ASEAN Access

## ความเห็น

**ประเด็นหารือที่ 1** [มาตรา 6](https://link.pdpalawbase.com/section/6.md) กำหนดว่า "ข้อมูลส่วนบุคคล" = ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ และ "บุคคล" = บุคคลธรรมดา · **ดังนั้น ข้อมูลผู้ประกอบการบุคคลธรรมดา (ไม่ใช่นิติบุคคล) ที่ทำให้ระบุตัวบุคคลได้ ถือเป็นข้อมูลส่วนบุคคลภายใต้ PDPA**

**ประเด็นหารือที่ 2** [มาตรา 41](https://link.pdpalawbase.com/section/41.md) กำหนดกรณีที่ต้องจัดให้มี DPO: (1) เป็นหน่วยงานของรัฐตามที่ คคส. ประกาศ (2) กิจกรรมที่ต้องตรวจสอบข้อมูลส่วนบุคคลสม่ำเสมอเพราะมีข้อมูลจำนวนมาก (3) กิจกรรมหลักเป็นการเก็บรวบรวมข้อมูลตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) · DPO ควรมีความรู้ความเชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคล มาตรการความมั่นคงปลอดภัย และเข้าใจบริบทการเก็บ/ใช้/เปิดเผยขององค์กร · [มาตรา 41](https://link.pdpalawbase.com/section/41.md) วรรคเจ็ดอนุญาตให้ DPO เป็นพนักงานภายในหรือผู้รับจ้าง (Outsourced DPO) ก็ได้

[มาตรา 42](https://link.pdpalawbase.com/section/42.md) วรรคสองกำหนดให้ผู้ควบคุมข้อมูล/ผู้ประมวลผลต้องสนับสนุนการปฏิบัติหน้าที่ของ DPO โดยจัดเครื่องมือ อำนวยความสะดวกในการเข้าถึงข้อมูล และจะให้ DPO ออกจากงาน/เลิกสัญญาด้วยเหตุที่ DPO ปฏิบัติหน้าที่ตาม PDPA ไม่ได้ · ในกรณีมีปัญหา DPO ต้องสามารถรายงานต่อผู้บริหารสูงสุดได้โดยตรง · การจัดตั้งส่วนงานเฉพาะ DPO หรือมอบหมายให้ส่วนงานที่มีอยู่ — เป็นเรื่องภายในองค์กร

**ประเด็นหารือที่ 3** ตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) หากองค์กรนิติบุคคลมีอำนาจตัดสินใจเกี่ยวกับการเก็บ/ใช้/เปิดเผยข้อมูล องค์กรดังกล่าวจะถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล โดย**ไม่ต้องมีการแต่งตั้งบุคคลใดเพื่อปฏิบัติหน้าที่เป็นผู้ควบคุมข้อมูลอีก** · ส่วนงาน/พนักงาน/บุคลากรจะไม่มีสถานะเป็นผู้ควบคุม/ผู้ประมวลผลแยกต่างหากจากองค์กร · ดังนั้น สสว. (นิติบุคคลตาม พ.ร.บ. ส่งเสริมวิสาหกิจฯ) จึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม PDPA

**ประเด็นหารือที่ 4** [มาตรา 5](https://link.pdpalawbase.com/section/5.md) ใช้บังคับกับผู้ควบคุม/ผู้ประมวลผลซึ่งอยู่ในราชอาณาจักร ไม่ว่าการเก็บ/ใช้/เปิดเผยจะกระทำในหรือนอกราชอาณาจักร · สสว. ในฐานะนิติบุคคลในราชอาณาจักร ดำเนินการเก็บข้อมูลผู้ประกอบการจากประเทศสมาชิกอาเซียน จึงเป็นผู้ควบคุมข้อมูลที่อยู่ในประเทศไทย ต้องปฏิบัติตาม PDPA

PDPA นำหลักเกณฑ์จาก GDPR มาใช้แต่มิได้บัญญัติทั้งหมด เช่น **กรณี Joint Controller ไม่มีบัญญัติใน PDPA** · การที่ สสว. ลงนามใน GDPR Joint Controller Agreement of ASEAN Access จำเป็นต้องศึกษาบริบทกฎหมาย EU หรือกฎหมายของประเทศที่ต้องการให้ข้อตกลงมีผล · ในกรณีที่เข้า [มาตรา 5](https://link.pdpalawbase.com/section/5.md) ต้องเก็บ/ใช้/เปิดเผยตาม PDPA โดยเฉพาะกรณีส่ง/โอนข้อมูลไปต่างประเทศต้องตาม [มาตรา 28](https://link.pdpalawbase.com/section/28.md) หรือ [มาตรา 29](https://link.pdpalawbase.com/section/29.md)

ภายใต้บริบท PDPA Joint Controller Agreement อาจมีสภาพบังคับระหว่างคู่สัญญาในฐานะตัวการร่วมตามประมวลกฎหมายแพ่งและพาณิชย์ · สสว. อาจพิจารณานำแนวทาง ICO Data Sharing: a Code of Practice ของ UK ICO (https://ico.org.uk/) มาเป็นแนวทาง

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-26-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-26.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/26-2566.md

============================================================
โนด: ข้อหารือ 27/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/27-2566.md

# ข้อหารือที่ 27/2566 เรื่อง สำนักการระบายน้ำ กรุงเทพมหานคร หารือการขอข้อมูลผู้ใช้น้ำของการประปานครหลวง เพื่อจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 6](https://link.pdpalawbase.com/section/6.md), [มาตรา 19](https://link.pdpalawbase.com/section/19.md), [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 24](https://link.pdpalawbase.com/section/24.md), [มาตรา 25](https://link.pdpalawbase.com/section/25.md), [มาตรา 26](https://link.pdpalawbase.com/section/26.md), [มาตรา 27](https://link.pdpalawbase.com/section/27.md), [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1), [มาตรา 39](https://link.pdpalawbase.com/section/39.md) และ [มาตรา 95](https://link.pdpalawbase.com/section/95.md)
2. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 — มาตรา 16
3. พระราชบัญญัติการประปานครหลวง พ.ศ. 2510 และที่แก้ไขเพิ่มเติม — มาตรา 6
4. ประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการฯ (ฉบับที่ 101) ลงวันที่ 15 พฤษภาคม 2561 ข้อ 18 (7)
5. ข้อบัญญัติกรุงเทพมหานคร เรื่อง การจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย พ.ศ. 2547 และ (ฉบับที่ 2) พ.ศ. 2562 — ข้อ 5 และข้อ 6/1

## ข้อหารือ

สำนักการระบายน้ำ กรุงเทพมหานคร ขอหารือว่า กทม. จำเป็นต้องขอข้อมูลปริมาณการใช้น้ำรายเดือน และข้อมูลผู้ใช้น้ำรายใหม่ จาก กปน. เพื่อใช้ในการจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย หาก กทม. ยังไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล อาจจะเป็นการฝ่าฝืน [มาตรา 19](https://link.pdpalawbase.com/section/19.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) หรือไม่ และเข้าข้อยกเว้น [มาตรา 24](https://link.pdpalawbase.com/section/24.md) หรือมาตราใดหรือไม่ · ทั้งนี้อ้างถึง พ.ร.บ. การบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 มาตรา 13 และมาตรา 16 ที่ให้หน่วยงานของรัฐเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลได้

## ความเห็น

มาตรา 16 แห่ง พ.ร.บ. การบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล ระบุชัดเจนว่าการเชื่อมโยงและแลกเปลี่ยนข้อมูลส่วนบุคคลระหว่างหน่วยงานของรัฐต้อง**ภายใต้บทบัญญัติแห่งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล** · ดังนั้น กทม. ต้องพิจารณาให้การดำเนินการเป็นไปตาม PDPA ด้วย

กทม. ในฐานะนิติบุคคลซึ่งมีอำนาจตัดสินใจเกี่ยวกับการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคล จึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามนัย [มาตรา 6](https://link.pdpalawbase.com/section/6.md) · การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวถือเป็นการเก็บรวบรวมจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลโดยตรงตามนัย [มาตรา 25](https://link.pdpalawbase.com/section/25.md) · ตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บ/ใช้/เปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลไม่ได้ให้ความยินยอม เว้นแต่ PDPA หรือกฎหมายอื่นบัญญัติให้กระทำได้

**กทม. (สำนักการระบายน้ำฯ)** ในฐานะหน่วยงานของรัฐ มีหน้าที่ในการบริหารจัดการคุณภาพน้ำในพื้นที่ กทม. รวมทั้งรวบรวมน้ำเสียจากแหล่งกำเนิดมาบำบัด ตามประกาศ กทม. + ข้อบัญญัติ กทม. ว่าด้วยการจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย · ซึ่งเป็นภารกิจเพื่อประโยชน์สาธารณะ · หาก กทม. เห็นว่าการเก็บรวบรวมข้อมูลปริมาณการใช้น้ำเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ตามอำนาจหน้าที่ที่กำหนดในกฎหมาย เพื่อบรรลุวัตถุประสงค์เกี่ยวกับการบำบัดน้ำเสียและจัดเก็บค่าธรรมเนียม **กทม. สามารถดำเนินการได้โดยไม่ต้องขอความยินยอม ตามนัย [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง** · รวมทั้งสามารถเก็บรวบรวมจากแหล่งอื่น (เช่น จาก กปน.) ได้โดยไม่ต้องได้รับความยินยอม ตามนัย [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2) · แต่ต้องเก็บอย่างจำกัด เท่าที่จำเป็นตาม [มาตรา 22](https://link.pdpalawbase.com/section/22.md)

**กปน.** ในฐานะนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับข้อมูลส่วนบุคคล (ผู้ใช้น้ำ) เป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม [มาตรา 6](https://link.pdpalawbase.com/section/6.md) · หาก กปน. พิจารณาเห็นว่าข้อมูลที่ กทม. ร้องขอเข้าข้อยกเว้นไม่ต้องขอความยินยอมตามนัย [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคหนึ่ง ประกอบ [มาตรา 24](https://link.pdpalawbase.com/section/24.md) และ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง กปน. ก็เปิดเผยข้อมูลได้ · ต้อง**บันทึกการใช้/เปิดเผยตาม [มาตรา 39](https://link.pdpalawbase.com/section/39.md)** ตามนัย [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคสาม · และต้องแจ้งเจ้าของข้อมูลตาม [มาตรา 23](https://link.pdpalawbase.com/section/23.md) (รวมประเภทของหน่วยงานที่ข้อมูลอาจถูกเปิดเผยให้ เช่น กทม.)

สำหรับข้อมูลที่ กปน. เก็บไว้ก่อน PDPA ใช้บังคับ — บทเฉพาะกาล [มาตรา 95](https://link.pdpalawbase.com/section/95.md) ครอบเฉพาะกรณีต้องขอความยินยอม · ไม่ครอบกรณีที่ได้รับยกเว้นตาม [มาตรา 24](https://link.pdpalawbase.com/section/24.md) (4)

กทม. และ กปน. ต้องปฏิบัติหน้าที่ตาม PDPA + กฎหมายอื่นให้ครบ โดยเฉพาะ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1) มาตรการความมั่นคงปลอดภัย · ควร**จัดทำ Data Sharing Agreement** ระหว่างผู้ควบคุมข้อมูล 2 หน่วยงาน อย่างชัดเจน (วัตถุประสงค์ วิธีการ เงื่อนไข หน้าที่ความรับผิดชอบของแต่ละฝ่าย)

**ข้อสังเกตเพิ่มเติม**: กทม. อาจพิจารณาให้ กปน. เป็นผู้ส่งบัญชีรายการค่าบำบัดน้ำเสียโดยมีข้อมูลผู้ใช้น้ำ + ปริมาณการใช้น้ำ เพื่อใช้คำนวณและเรียกเก็บค่าธรรมเนียมโดย กปน. ทดแทนการขอข้อมูลของผู้ใช้น้ำมาที่ กทม. โดยตรง — หากอยู่ในวัตถุประสงค์และอำนาจหน้าที่ของแต่ละหน่วยงานที่กฎหมายอนุญาต จะลดปัญหาในการจัดการข้อมูลส่วนบุคคล

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-27-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-27.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/27-2566.md

============================================================
โนด: ข้อหารือ 28/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/28-2566.md

# ข้อหารือที่ 28/2566 เรื่อง สำนักงานตรวจคนเข้าเมืองขอหารือการเปิดเผยข้อมูลส่วนบุคคลกรณีรายงานการประชุม

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 3](https://link.pdpalawbase.com/section/3.md) และ [มาตรา 6](https://link.pdpalawbase.com/section/6.md)
2. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 4, มาตรา 9, มาตรา 11 และมาตรา 15

## ข้อหารือ

สำนักงานตรวจคนเข้าเมือง ขอให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาให้คำแนะนำในการปฏิบัติตาม PDPA เกี่ยวกับการเปิดเผยข้อมูลข่าวสารกรณีรายงานการประชุมคณะกรรมการจัดทำร่างคุณลักษณะเฉพาะ ที่ปรากฏข้อมูลเกี่ยวกับบุคคล ได้แก่ ยศ ชื่อ และนามสกุลของคณะกรรมการที่เข้าร่วมประชุม รวมถึงรายละเอียดการแสดงความคิดเห็น ตามมาตรา 9 ประกอบมาตรา 11 วรรคสาม แห่ง พ.ร.บ. ข้อมูลข่าวสารฯ ให้กับข้าราชการบำนาญที่เคยรับราชการเป็นประธานคณะกรรมการดังกล่าว เพื่อชี้แจงข้อเท็จจริงกรณีสำนักงาน ป.ป.ช. กล่าวหาการดำเนินงานโครงการหนึ่ง จะขัดต่อการใช้/เปิดเผยข้อมูลส่วนบุคคลตาม PDPA หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ พิจารณาประเด็นข้อหารือของสำนักงาน ตม. แล้ว มีความเห็นพร้อมข้อสังเกตว่า รายงานการประชุมคณะกรรมการจัดทำร่างคุณลักษณะเฉพาะ ที่ปรากฏข้อมูล (ยศ ชื่อ-สกุล) ของคณะกรรมการที่เข้าร่วมประชุมและการแสดงความคิดเห็น เป็นข้อมูลข่าวสารที่อยู่ในความครอบครองของสำนักงาน ตม. ซึ่งเป็นหน่วยงานของรัฐ · จึงเป็นข้อมูลข่าวสารของราชการตามนัยมาตรา 4 แห่ง พ.ร.บ. ข้อมูลข่าวสารฯ และในขณะเดียวกันก็ถือเป็นข้อมูลส่วนบุคคลตามบทนิยามใน [มาตรา 6](https://link.pdpalawbase.com/section/6.md) แห่ง PDPA

**การปกปิดหรือเปิดเผยข้อมูลข่าวสารของราชการย่อมเป็นไปตาม พ.ร.บ. ข้อมูลข่าวสารฯ อันเป็นกฎหมายเฉพาะที่บังคับใช้กับหน่วยงานของรัฐ จึงเป็นกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น ตามนัย [มาตรา 3](https://link.pdpalawbase.com/section/3.md) แห่ง PDPA**

ในกรณีรายงานการประชุมดังกล่าว — ข้อมูลข่าวสารเป็นข้อมูลในการปฏิบัติหน้าที่ราชการตามปกติของเจ้าหน้าที่ของรัฐ · การเปิดเผยรายชื่อและข้อมูลเกี่ยวกับบุคคล และการแสดงความคิดเห็นในเรื่องดังกล่าว **ไม่ได้ส่งผลกระทบหรือจะเป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร** · ในทางตรงกันข้าม การเปิดเผยจะแสดงถึงความโปร่งใสและตรวจสอบได้ ทำให้เกิดความเชื่อมั่นต่อการปฏิบัติหน้าที่ของสำนักงาน ตม. · ตาม พ.ร.บ. ข้อมูลข่าวสารฯ · จึงเห็นว่า **สำนักงาน ตม. สามารถเปิดเผยรายงานการประชุมที่ปรากฏข้อมูลเกี่ยวกับบุคคลดังกล่าวให้กับผู้ขอได้**

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-28-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-28.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/28-2566.md

============================================================
โนด: ข้อหารือ 29/2566
ลิงก์อ้างอิง: https://link.pdpalawbase.com/opinion/29-2566.md

# ข้อหารือที่ 29/2566 เรื่อง สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ขอคำปรึกษาเกี่ยวกับการเก็บรวบรวมใช้ ข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพ ในการเบิกค่ารักษาพยาบาลของเจ้าหน้าที่องค์การมหาชน

## ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (10), [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่, [มาตรา 22](https://link.pdpalawbase.com/section/22.md), [มาตรา 23](https://link.pdpalawbase.com/section/23.md), [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2), [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค), [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง และ [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)
2. พระราชกฤษฎีกาจัดตั้งสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) พ.ศ. 2561 — มาตรา 19 (3) (ช)
3. พระราชบัญญัติองค์การมหาชน พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดย พ.ร.บ. องค์การมหาชน (ฉบับที่ 2) พ.ศ. 2559 — มาตรา 19/1
4. พระราชกฤษฎีกาเงินสวัสดิการเกี่ยวกับการรักษาพยาบาล พ.ศ. 2553 — มาตรา 4 และมาตรา 5
5. พระราชบัญญัติกำหนดหลักเกณฑ์เกี่ยวกับการจ่ายเงินบางประเภทตามงบประมาณรายจ่าย พ.ศ. 2518
6. พระราชบัญญัติประกันสังคม พ.ศ. 2533 และที่แก้ไขเพิ่มเติม
7. พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545
8. พระราชบัญญัติคุ้มครองผู้ประสบภัยจากรถ พ.ศ. 2535 และที่แก้ไขเพิ่มเติม

## ข้อหารือ

สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) หรือ สพร. ขอหารือเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพ ในการเบิกค่ารักษาพยาบาลของเจ้าหน้าที่ สพร. โดย สพร. จัดเป็นองค์การมหาชนภายใต้ พ.ร.บ. องค์การมหาชน · การเบิกสวัสดิการเกี่ยวกับการรักษาพยาบาลของเจ้าหน้าที่ สพร. และบุคคลในครอบครัว เป็นไปตามระเบียบคณะกรรมการ สพร. ว่าด้วยการรักษาพยาบาลและการตรวจสุขภาพ พ.ศ. 2561

เจ้าหน้าที่ที่ประสงค์จะใช้สิทธิเบิกสวัสดิการต้องกรอกแบบฟอร์มใบเบิกเงินสวัสดิการ พร้อมแนบใบเสร็จรับเงินและใบรับรองแพทย์ ระบุข้อมูล: (1) ชื่อ-นามสกุล (2) โรคที่เข้ารับการรักษา (3) ชื่อสถานพยาบาล (4) จำนวนเงิน

สพร. จึงขอหารือว่า การเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพของเจ้าหน้าที่ สพร. และครอบครัว เพื่อประกอบการพิจารณาอนุมัติการใช้สิทธิเบิกสวัสดิการ จำเป็นต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าหน้าที่ สพร. และครอบครัว หรือไม่

## ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ ได้พิจารณาเรื่องหารือดังกล่าว ประกอบกับได้หารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในการประชุมครั้งที่ 6/2566 เมื่อวันที่ 26 มิถุนายน 2566 เพื่อตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้ PDPA ตาม [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (10) แล้ว เห็นว่า ข้อมูลส่วนบุคคลเกี่ยวกับโรคที่เข้ารับการรักษาและรายละเอียดเกี่ยวกับการรักษาพยาบาล ในใบเบิกเงินสวัสดิการและเอกสารประกอบ (ใบรับรองแพทย์ ใบเสร็จ) เป็นข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md)

การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวของเจ้าหน้าที่ สพร. และบุคคลในครอบครัวโดย สพร. เพื่อใช้ประกอบการเบิกจ่ายค่าใช้จ่ายสวัสดิการเกี่ยวกับการรักษาพยาบาลให้กับบุคลากรของหน่วยงาน — เป็นไปตามระเบียบคณะกรรมการ สพร. ซึ่งออกโดยอาศัยอำนาจตามมาตรา 19 (3) (ช) แห่ง พ.ร.ฎ. จัดตั้ง สพร. และมาตรา 19/1 แห่ง พ.ร.บ. องค์การมหาชน — **ถือว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับสวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง แห่ง PDPA — จึงได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าหน้าที่ สพร. หรือบุคคลในครอบครัว**

สำหรับข้อมูลสุขภาพของบุคคลในครอบครัวของเจ้าหน้าที่ สพร. แม้จะเป็นการเก็บรวบรวมจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลโดยตรง สพร. สามารถเก็บรวบรวม/ใช้/เปิดเผยได้ตามนัย [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ประกอบ [มาตรา 27](https://link.pdpalawbase.com/section/27.md) วรรคหนึ่ง · การเก็บรวบรวมจากแหล่งอื่นเพื่อเบิกสวัสดิการของบุคคลในครอบครัวจึงสามารถดำเนินการได้โดยไม่ต้องแจ้งให้เจ้าของข้อมูลทราบและได้รับความยินยอม ตาม [มาตรา 25](https://link.pdpalawbase.com/section/25.md) วรรคหนึ่ง (2)

**คคส. มติครั้งที่ 6/2566 ตีความ [มาตรา 16](https://link.pdpalawbase.com/section/16.md) (10)** เพิ่มเติมว่า [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค) ครอบคลุมการเก็บข้อมูลสุขภาพที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อสวัสดิการเกี่ยวกับการรักษาพยาบาล/สวัสดิการสุขภาพ/สิทธิได้รับบริการทางการแพทย์ขั้นพื้นฐาน — ทั้งสำหรับลูกจ้างภาคเอกชนตาม พ.ร.บ. ประกันสังคม, บุคคลที่มีสิทธิรับบริการสาธารณสุขตาม พ.ร.บ. หลักประกันสุขภาพแห่งชาติ, ข้าราชการ/ลูกจ้างประจำ/ผู้มีสิทธิตาม พ.ร.ฎ. เงินสวัสดิการเกี่ยวกับการรักษาพยาบาล, ผู้ประสบภัยตาม พ.ร.บ. คุ้มครองผู้ประสบภัยจากรถ · **"สวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย" ครอบสวัสดิการของข้าราชการ เจ้าหน้าที่ พนักงาน ลูกจ้าง ของส่วนราชการ องค์การมหาชน และหน่วยงานของรัฐทุกประเภทที่มีหน้าที่และอำนาจในการจัดสวัสดิการ ตลอดจนบุคคลในครอบครัว**

**ข้อยกเว้นสำคัญ**: กรณีหน่วยงานของรัฐจัดสวัสดิการโดยใช้**ประกันภัยแบบกลุ่ม (group insurance)** และต้องเปิดเผยข้อมูลสุขภาพให้บริษัทประกันภัย — การเปิดเผยและการเก็บรวบรวมของบริษัทประกันภัย **จะไม่ได้รับยกเว้นตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) (5) (ค)** · ต้องได้รับความยินยอมโดยชัดแจ้งตาม [มาตรา 26](https://link.pdpalawbase.com/section/26.md) · แต่อาจกำหนดเงื่อนไขในการเข้าทำสัญญา/ขอเบิกเงินสวัสดิการว่าต้องให้ความยินยอมเพื่อใช้/เปิดเผยข้อมูลให้บริษัทประกัน ซึ่งเป็นไปตาม [มาตรา 19](https://link.pdpalawbase.com/section/19.md) วรรคสี่ได้

สพร. ต้องปฏิบัติหน้าที่ตาม PDPA ครบ โดยเฉพาะการเก็บเท่าที่จำเป็น [มาตรา 22](https://link.pdpalawbase.com/section/22.md) · แจ้ง privacy notice [มาตรา 23](https://link.pdpalawbase.com/section/23.md) · มาตรการความมั่นคงปลอดภัย [มาตรา 37](https://link.pdpalawbase.com/section/37.md) (1)

## เอกสารต้นฉบับ

- [PDF ต้นฉบับ (local)](../../raw/opinions/opinion-29-2566.pdf)
- [ที่มา: pdpc.or.th](https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-29.pdf)

ลิงก์อ้างอิงของโนดนี้: https://link.pdpalawbase.com/opinion/29-2566.md