บริษัทรับจ้างบริหารคอนโดหรือหมู่บ้านจัดสรร เป็นผู้ประมวลผลข้อมูลส่วนบุคคลตามข้อหารือของ สคส. จึงไม่ต้องขอความยินยอมจากลูกบ้านเอง หน้าที่หาฐานทางกฎหมายเป็นของนิติบุคคล บทความนี้เหมาะกับผู้จัดการอาคารและกรรมการนิติบุคคล อธิบายมาตรา 24 และ 40 ที่ข้อหารือใช้ตอบ
- บริษัทรับจ้างบริหารอาคารชุดหรือหมู่บ้านจัดสรรตามคำสั่งของนิติบุคคล เป็นผู้ประมวลผลข้อมูล ไม่ใช่ผู้ควบคุมข้อมูล
- บริษัทไม่ต้องขอความยินยอมจากลูกบ้าน เพราะการหาฐานตามมาตรา 24 หรือ 26 เป็นหน้าที่ของนิติบุคคล
- บริษัทต้องทำตามคำสั่งของนิติบุคคลตามมาตรา 40 (1) และนิติบุคคลต้องทำข้อตกลงกับบริษัทตามมาตรา 40 วรรคสาม
- ชื่อและเบอร์พนักงานของคู่ค้าที่เป็นนิติบุคคล ใช้ฐานสัญญาไม่ได้ ให้พิจารณาฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5)
- ถ้าคู่ค้าเป็นบุคคลธรรมดา ใช้ฐานสัญญาตามมาตรา 24 (3) ได้ รวมถึงช่วงก่อนทำสัญญาตามคำขอของเขา
บริษัทรับบริหารอาคารเก็บข้อมูลลูกบ้านแทบทุกวัน ชื่อและเลขห้องสำหรับออกใบแจ้งหนี้ ทะเบียนรถสำหรับทำสติกเกอร์จอดรถ รายชื่อผู้พักอาศัยให้พนักงานรักษาความปลอดภัยใช้ตรวจคนเข้าออก คำถามที่ผู้จัดการอาคารได้ยินบ่อยคือ ต้องให้ลูกบ้านทุกห้องเซ็นยินยอมก่อนหรือไม่
บริษัท ฆ. ซึ่งรับงานบริหารอาคารและรับจ้างงานอื่น ส่งคำถามนี้ไปที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) พร้อมอีกเรื่องที่ใกล้ตัวไม่แพ้กัน คือชื่อและเบอร์โทรของพนักงานฝั่งคู่ค้าที่ใช้ติดต่องาน ผู้พิจารณาคือคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้ พ.ร.บ.คุ้มครองข้อมูลฯ ซึ่งตอบไว้ทั้งสองประเด็น
ข้อหารือฉบับนี้อยู่ในหน้ารวมข้อหารือตามกฎหมาย PDPA ของ สคส. อ่านต้นฉบับได้ที่ไฟล์ข้อหารือของบริษัท ฆ. ก่อนหน้านี้เราสรุปเรื่องนี้ไว้สั้น ๆ ในสคส. ตอบอีก 8 ข้อหารือ PDPA บทความนี้ลงรายละเอียดทีละประเด็น
บริษัทรับจ้างบริหารคอนโดเป็นผู้ควบคุมหรือผู้ประมวลผลข้อมูล
ตามข้อหารือของบริษัท ฆ. บริษัทที่รับจ้างบริหารอาคารชุดหรือหมู่บ้านจัดสรรเป็นผู้ประมวลผลข้อมูลส่วนบุคคล เพราะเก็บ ใช้ และเปิดเผยข้อมูลตามคำสั่งหรือในนามของนิติบุคคล ไม่ได้เป็นฝ่ายตัดสินใจเองว่าจะเก็บข้อมูลอะไรและเพื่ออะไร
สคส. ตอบแบบเดียวกันทั้งกรณีที่บริษัทรับจ้างเป็นผู้จัดการนิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร และกรณีที่ไม่ได้เป็นผู้จัดการแต่รับจ้างบริหารอาคารหรือหมู่บ้าน งานที่ข้อหารือระบุไว้คือ การออกใบแจ้งหนี้ การรักษาความปลอดภัย การระบุข้อมูลในสติกเกอร์จอดรถ การทำทะเบียนผู้พักอาศัย และบริการอื่นที่เกี่ยวข้อง
“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
ส่วนผู้ควบคุมข้อมูลส่วนบุคคล มาตรา 6 ของ PDPA ให้ความหมายว่าบุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ข้อหารือใช้นิยามนี้แยกบทบาทของสองฝ่าย นิติบุคคลเป็นผู้ตัดสินใจ บริษัทเป็นผู้ทำตามคำสั่ง
บริษัทฯ จึงไม่มีฐานะเป็น "ผู้ควบคุมข้อมูลส่วนบุคคล" แต่มีฐานะเป็น "ผู้ประมวลผลข้อมูลส่วนบุคคล" ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
| เรื่อง | นิติบุคคลอาคารชุด / หมู่บ้านจัดสรร | บริษัทรับจ้างบริหาร |
|---|---|---|
| ฐานะตาม PDPA | ผู้ควบคุมข้อมูลส่วนบุคคล | ผู้ประมวลผลข้อมูลส่วนบุคคล |
| หาฐานทางกฎหมายตามมาตรา 24 หรือ 26 | เป็นหน้าที่ของนิติบุคคล | ไม่ใช่หน้าที่ของบริษัท |
| ความยินยอมจากลูกบ้าน | นิติบุคคลพิจารณาเองว่างานใดใช้ฐานใด | บริษัทไม่จำเป็นต้องได้รับ |
| คำสั่งเรื่องการใช้ข้อมูล | เป็นผู้ออกคำสั่ง | ทำตามคำสั่งตามมาตรา 40 (1) |
| ข้อตกลงระหว่างกัน | ต้องจัดให้มีตามมาตรา 40 วรรคสาม | เป็นคู่ข้อตกลง ทำงานตามข้อตกลง |
ลูกบ้านต้องเซ็นยินยอมให้บริษัทบริหารอาคารหรือไม่
ฝั่งบริษัทไม่จำเป็น สคส. เห็นว่าบริษัทที่เป็นผู้ประมวลผลข้อมูลไม่ต้องได้รับความยินยอม และไม่ต้องมีฐานทางกฎหมายตามมาตรา 24 หรือมาตรา 26 ของตัวเอง เพราะหน้าที่นี้อยู่กับนิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร
หน้าที่ในการเก็บรวบรวมข้อมูลส่วนบุคคลที่มีฐานทางกฎหมายดังกล่าวเป็นหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล ไม่ใช่หน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลแต่อย่างใด
ฐานทางกฎหมายจึงยังต้องมีอยู่ เพียงแต่เป็นหน้าที่ของนิติบุคคล ข้อหารือเขียนไว้ว่านิติบุคคลต้องเก็บรวบรวมข้อมูลมาโดยชอบด้วยกฎหมายตามเงื่อนไขที่กฎหมายกำหนด บริษัทที่บอกลูกบ้านว่าเรื่องนี้ไม่เกี่ยวกับ PDPA เลย จึงเข้าใจไม่ถูกต้อง
เรื่องที่นิติบุคคลต้องคิดเองมีตัวอย่างอยู่ในบทความอื่นของเรา เช่นสแกนใบหน้าเข้าคอนโด มติที่ประชุมผ่านแล้วพอหรือยัง และติดกล้องวงจรปิดในออฟฟิศ ร้าน คอนโด ส่วนหลักการเลือกฐานโดยรวมดูได้ที่คู่มือฐานทางกฎหมาย
บริษัทบริหารอาคารยังมีหน้าที่อะไรตาม PDPA
ไม่ต้องขอความยินยอมไม่ได้แปลว่าไม่มีหน้าที่ ข้อหารือระบุว่าบริษัทต้องทำตามคำสั่งที่ได้รับจากนิติบุคคลในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลตามมาตรา 40 (1) และยังมีหน้าที่อื่นที่ PDPA กำหนดให้ผู้ประมวลผลข้อมูล
(1) ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้
มาตรา 40 ยังมีอีกสองข้อในวรรคเดียวกัน ข้อ (2) ให้จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และแจ้งผู้ควบคุมข้อมูลเมื่อเกิดเหตุละเมิดข้อมูล ข้อ (3) ให้จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด
สำหรับบริษัทบริหารอาคาร ข้อ (2) ใช้กับแฟ้มทะเบียนผู้พักอาศัย ไฟล์รายชื่อเจ้าของห้อง และสมุดลงชื่อผู้มาติดต่อ ซึ่งต้องกำหนดว่าใครเปิดดูได้ ถ้าข้อมูลรั่วจากฝั่งบริษัท ลำดับการแจ้งดูได้ในผู้รับจ้างทำข้อมูลรั่ว ใครต้องแจ้งใคร
ใช้ข้อมูลลูกบ้านนอกคำสั่ง บริษัทกลายเป็นผู้ควบคุมข้อมูล
ผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ปฏิบัติตาม (1) สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลใด ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น
บริษัทบริหารอาคารควรระวังมาตรา 40 วรรคสองมากที่สุด สมมติว่าบริษัทเอาเบอร์โทรลูกบ้านไปส่งโฆษณาบริการล้างแอร์ของบริษัทเอง การใช้ข้อมูลครั้งนั้นไม่ได้มาจากคำสั่งของนิติบุคคล บริษัทจึงถูกถือเป็นผู้ควบคุมข้อมูลสำหรับการใช้ครั้งนั้น และต้องมีฐานทางกฎหมายของตัวเอง
ตัวอย่างข้างบนเป็นการตีความของทีม AIPDPA จากตัวบทมาตรา 40 ข้อหารือของบริษัท ฆ. ไม่ได้ยกกรณีนี้ไว้ แต่ใช้มาตรา 40 (1) เป็นหลักในการวางบทบาท ซึ่งเป็นข้อเดียวกับที่วรรคสองอ้างถึง
ข้อตกลงระหว่างนิติบุคคลกับบริษัทบริหาร
ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลระหว่างกันเพื่อควบคุมการดำเนินงานตามสัญญาที่เป็นหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามที่กำหนดไว้ในพระราชบัญญัติดังกล่าว ตามนัยมาตรา ๔๐ วรรคสามด้วย
หน้าที่ทำข้อตกลงตามมาตรา 40 วรรคสามเป็นของนิติบุคคลในฐานะผู้ควบคุมข้อมูล แต่บริษัทที่ทำงานโดยไม่มีข้อตกลงก็จะไม่รู้ชัดว่าคำสั่งของนิติบุคคลกว้างแค่ไหน และเสี่ยงถูกถือเป็นผู้ควบคุมข้อมูลตามวรรคสองโดยไม่ตั้งใจ ข้อตกลงที่เขียนชัดจึงเป็นประโยชน์กับบริษัทด้วย
หัวข้อที่ข้อตกลงควรมีอยู่ในสัญญาผู้ประมวลผลข้อมูล ข้อไหนขาดไม่ได้ และคู่มือข้อตกลงผู้ประมวลผลข้อมูล ใน AIPDPA ข้อตกลงการประมวลผลข้อมูลเป็นหนึ่งในเอกสารพร้อมใช้ 40 ฉบับ ทั้งภาษาไทยและอังกฤษ ดูบัญชีตัวอย่าง
ชื่อและเบอร์พนักงานของคู่ค้า ต้องขอความยินยอมหรือไม่
ทั้งสองกรณีที่ สคส. ตอบไม่ต้องขอความยินยอม แต่ใช้ฐานต่างกัน ขึ้นอยู่กับว่าคู่สัญญาของบริษัทเป็นบุคคลธรรมดาหรือนิติบุคคล ประเด็นนี้ใช้ได้กับทุกธุรกิจที่ซื้อขายกับคู่ค้า ไม่ใช่เฉพาะบริษัทบริหารอาคาร
บริษัท ฆ. ตั้งคำถามจากเงื่อนไขของมาตรา 24 (3) ที่เจ้าของข้อมูลต้องเป็นคู่สัญญากับผู้ควบคุมข้อมูลเอง พนักงานที่บริษัทติดต่อด้วยทุกวันส่วนมากเป็นลูกจ้างหรือตัวแทนของคู่สัญญา ไม่ใช่คู่สัญญา บริษัทจึงถามว่าต้องขอความยินยอมจากพวกเขาหรือไม่
คู่ค้าเป็นบุคคลธรรมดา ใช้ฐานสัญญาได้
(3) เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น
ซึ่งรวมถึงการเก็บรวบรวมข้อมูลส่วนบุคคลก่อนที่จะมีการทำสัญญาซื้อขายสินค้าและบริการระหว่างกันเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลดังกล่าวได้ โดยไม่จำต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
ตัวอย่างสมมติ ช่างซ่อมบำรุงอิสระที่บริษัทจ้างเป็นรายงาน หรือเจ้าของห้องที่ขอใบเสนอราคาบริการทำความสะอาด ทั้งสองคนเป็นคู่สัญญาหรือกำลังจะเป็นคู่สัญญาเอง บริษัทเก็บชื่อ เบอร์ และที่อยู่ที่จำเป็นต่องานนั้นได้ด้วยฐานสัญญา
คู่ค้าเป็นบริษัท พนักงานของเขาไม่ใช่คู่สัญญา
ในกรณีดังกล่าว บุคคลดังกล่าวข้างต้นไม่ใช่คู่สัญญาของบริษัทฯ บริษัทฯ จึงไม่สามารถอ้างฐาน "การปฏิบัติตามสัญญา" ในการเก็บรวบรวมข้อมูลส่วนบุคคลได้
ฐานที่ สคส. ชี้ไว้คือฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) สำหรับการเก็บชื่อ เบอร์โทร และข้อมูลที่เกี่ยวข้องของลูกจ้างหรือตัวแทนของนิติบุคคลคู่สัญญา เพื่อติดต่อประสานงานและจัดส่งใบเสนอราคาหรือเอกสารตามคำขอของพวกเขา
(5) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
ฐานนี้มีเงื่อนไขกำกับ ข้อหารือจึงเตือนให้ผู้ควบคุมข้อมูลระวังผลกระทบต่อเจ้าของข้อมูล และไม่ใช้ข้อมูลเกินกว่าที่คนทำงานติดต่อธุรกิจกันคาดหมายได้
โดยผู้ควบคุมข้อมูลส่วนบุคคลพึงตระหนักว่าการดำเนินการดังกล่าวควรใช้ความระมัดระวังเพื่อคุ้มครองประโยชน์และป้องกันผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลโดยตรง และหลีกเลี่ยงการใช้ข้อมูลเกินความคาดหวังปกติในบริบทของการติดต่อทางธุรกิจ
ในทางปฏิบัติ ใช้เบอร์ฝ่ายจัดซื้อของคู่ค้าเพื่อโทรตามงาน ส่งใบเสนอราคา หรือนัดตรวจรับงาน อยู่ในความคาดหมายปกติ แต่การเอาเบอร์เดียวกันไปเพิ่มในรายชื่อส่งโปรโมชันของบริษัทในเครือ หรือส่งต่อให้บริษัทอื่น ต้องพิจารณาฐานทางกฎหมายใหม่ การแบ่งแบบนี้เป็นความเห็นของทีม AIPDPA ไม่ใช่ถ้อยคำในข้อหารือ
ก่อนอ้างมาตรา 24 (5) ควรชั่งน้ำหนักให้เป็นลายลักษณ์อักษร วิธีคิดสามคำถามอยู่ในอ้างประโยชน์โดยชอบด้วยกฎหมาย ต้องตอบ 3 คำถามให้ได้ และคู่มือการประเมินประโยชน์โดยชอบด้วยกฎหมาย
ตัวอย่างงานในอาคาร ใช้ฐานใด ใครรับผิดชอบ
ตัวอย่างข้างล่างเป็นกรณีสมมติ ผลวิเคราะห์เป็นของทีม AIPDPA โดยใช้เหตุผลของข้อหารือบริษัท ฆ. และตัวบทมาตรา 24 กับมาตรา 40 ก่อนใช้กับเรื่องจริงต้องดูข้อเท็จจริงและข้อตกลงของแต่ละอาคาร
เป็นงานที่ข้อหารือระบุชื่อไว้ บริษัททำตามคำสั่งของนิติบุคคล ฐานทางกฎหมายเป็นเรื่องที่นิติบุคคลต้องมี
การระบุข้อมูลในสติกเกอร์จอดรถอยู่ในรายการงานของข้อหารือ บริษัทใช้ข้อมูลเท่าที่คำสั่งกำหนด
ไม่ได้ทำตามคำสั่งของนิติบุคคล มาตรา 40 วรรคสองให้ถือว่าบริษัทเป็นผู้ควบคุมข้อมูลสำหรับการใช้ครั้งนั้น ต้องมีฐานของตัวเอง
พนักงานคนนั้นไม่ใช่คู่สัญญา ฐานสัญญาใช้ไม่ได้ ต้องชั่งประโยชน์และใช้ข้อมูลไม่เกินความคาดหมายของการติดต่อธุรกิจ
ช่างเป็นคู่สัญญากับบริษัทเอง ข้อหารือยืนยันว่าใช้ฐานสัญญาได้โดยไม่ต้องขอความยินยอม
นิติบุคคลกับบริษัทบริหารอาคาร ควรทำอะไรก่อนหลัง
ลำดับข้างล่างเป็นการสรุปของทีม AIPDPA จากข้อหารือและมาตรา 40 ไม่ใช่ขั้นตอนที่ สคส. กำหนด ใช้เป็นรายการตรวจสอบเวลาเริ่มสัญญาบริหารอาคารใหม่ หรือทบทวนสัญญาเดิม
- นิติบุคคลทำรายการงานที่ใช้ข้อมูลลูกบ้าน เช่น ใบแจ้งหนี้ ทะเบียนผู้พักอาศัย สติกเกอร์จอดรถ ระบบเข้าออก กล้องวงจรปิด
- นิติบุคคลกำหนดฐานทางกฎหมายของแต่ละงานตามมาตรา 24 หรือมาตรา 26 เพราะข้อหารือวางหน้าที่นี้ไว้ที่ผู้ควบคุมข้อมูล
- นิติบุคคลทำข้อตกลงกับบริษัทบริหารอาคารตามมาตรา 40 วรรคสาม ระบุว่าบริษัทใช้ข้อมูลอะไร เพื่องานใด และห้ามใช้เพื่อเรื่องอื่น
- บริษัทเขียนคำสั่งงานที่ได้รับไว้เป็นลายลักษณ์อักษร งานที่อยู่นอกคำสั่งให้ถามนิติบุคคลก่อนทำ
- บริษัทจัดทำบันทึกรายการกิจกรรมการประมวลผลตามมาตรา 40 (3) เว้นแต่เข้าข้อยกเว้นกิจการขนาดเล็กตามวรรคสี่ของมาตราเดียวกัน
- คำขอใช้สิทธิของลูกบ้านที่มาถึงสำนักงานบริหารอาคาร ให้ส่งต่อนิติบุคคลตามช่องทางที่ข้อตกลงกำหนด
บริษัทที่บริหารหลายอาคารมักมีรายการกิจกรรมซ้ำกันเกือบทุกที่ ทะเบียน RoPA ของ AIPDPA แยกบันทึกเป็นรายกิจกรรมและพิมพ์รายงานตามมาตรา 39 ได้ ทำให้นิติบุคคลแต่ละแห่งเห็นรายการของตัวเองชัด
ข้อหารือนี้ใช้ได้แค่ไหน
ความเห็นของ สคส. ตอบตามข้อเท็จจริงที่บริษัท ฆ. แจ้งมา คือบริษัทรับจ้างและทำตามคำสั่งของนิติบุคคล ถ้าบริษัทใดเป็นผู้กำหนดเองว่าจะเก็บข้อมูลอะไร เพื่ออะไร เช่น ทำแอปของตัวเองให้ลูกบ้านสมัครโดยตรง ข้อเท็จจริงต่างไป บทบาทก็อาจต่างไปด้วย ข้อหารือเป็นความเห็นต่อผู้หารือ ไม่ใช่คำพิพากษา
คำถามที่พบบ่อย
บริษัทรับจ้างบริหารคอนโดต้องขอความยินยอมจากลูกบ้านหรือไม่
ไม่จำเป็น ตามข้อหารือของบริษัท ฆ. บริษัทที่รับจ้างบริหารอาคารชุดหรือหมู่บ้านจัดสรรตามคำสั่งของนิติบุคคลเป็นผู้ประมวลผลข้อมูล หน้าที่หาฐานทางกฎหมายตามมาตรา 24 หรือ 26 เป็นของนิติบุคคล
ถ้าบริษัทเป็นผู้จัดการนิติบุคคลอาคารชุดเอง ยังเป็นผู้ประมวลผลหรือไม่
ข้อหารือตอบรวมทั้งกรณีที่บริษัทรับจ้างเป็นผู้จัดการนิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร และกรณีรับจ้างบริหารอาคารหรือหมู่บ้าน ว่าบริษัทมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล
บริษัทบริหารอาคารเอาข้อมูลลูกบ้านไปใช้เองได้หรือไม่
มาตรา 40 (1) ให้ผู้ประมวลผลใช้ข้อมูลตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น ถ้าใช้นอกคำสั่ง มาตรา 40 วรรคสองให้ถือว่าบริษัทเป็นผู้ควบคุมข้อมูลสำหรับการใช้ครั้งนั้น
เก็บเบอร์พนักงานของบริษัทคู่ค้าใช้ฐานสัญญาได้หรือไม่
ไม่ได้ ข้อหารือของบริษัท ฆ. ระบุว่าลูกจ้างหรือตัวแทนของนิติบุคคลคู่สัญญาไม่ใช่คู่สัญญา ให้พิจารณาฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24 (5) และไม่ใช้ข้อมูลเกินความคาดหมายของการติดต่อธุรกิจ
ใครต้องทำข้อตกลงการประมวลผลข้อมูลระหว่างนิติบุคคลกับบริษัทบริหาร
ผู้ควบคุมข้อมูล คือนิติบุคคลอาคารชุดหรือนิติบุคคลหมู่บ้านจัดสรร ต้องจัดให้มีข้อตกลงกับบริษัทตามมาตรา 40 วรรคสาม เพื่อควบคุมการทำงานของผู้ประมวลผลให้เป็นไปตาม PDPA
อ่านจบแล้ว ทำต่อให้เสร็จได้เลย
เปิดบัญชีตัวอย่างดูระบบ AIPDPA ของจริงกับข้อมูลบริษัทสมมติ ทั้งทะเบียน RoPA เหตุละเมิด 72 ชั่วโมง คำขอใช้สิทธิ คุกกี้แบนเนอร์ และเอกสารพร้อมใช้ ครบในระบบเดียว
เริ่มต้น 2,900 บาท/ปี (11 โมดูล) · ครบ 24 โมดูลตั้งแต่ ENTERPRISE 19,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
ไม่มีเวลาทำเอง ให้ทีมทนายดูแลให้ →ทีมทนายความ Kooru วางระบบและเป็น DPO ให้
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 6 · 24 (3) (5) · 26 · 40
- สำเนาสรุปการตอบข้อหารือ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — ข้อหารือ เรื่อง บริษัท ฆ. ขอปรึกษาเกี่ยวกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)