ข้อหารือ PDPA ของ สคส. คือความเห็นของคณะอนุกรรมการที่ตอบหน่วยงานซึ่งถามมา ใช้ประกอบดุลพินิจได้แต่ไม่ผูกพันคณะกรรมการผู้เชี่ยวชาญ บทความนี้สรุปอีก 8 เรื่องที่ไม่ซ้ำกับชุดแรก เหมาะกับ DPO และฝ่ายกฎหมาย ได้คำตอบเรื่องผู้เยาว์ ข้อมูลอ่อนไหว คำขอของรัฐ และการเปิดเผยรายชื่อ
- สแกนหน้ายืนยันตัวตนเป็นข้อมูลชีวภาพตามมาตรา 26 ถ้าไม่มีเหตุยกเว้นต้องขอความยินยอมโดยชัดแจ้ง ส่วนการตลาดกับผู้เยาว์ควรได้ความยินยอมจากผู้ใช้อำนาจปกครองด้วย
- เบอร์ของพนักงานบริษัทคู่ค้าใช้ฐานสัญญาไม่ได้ เพราะเขาไม่ใช่คู่สัญญา สคส. ชี้ไปที่ฐานประโยชน์โดยชอบด้วยกฎหมายมาตรา 24 (5)
- หน่วยงานรัฐขอข้อมูลทางอีเมลได้ แต่บริษัทต้องตรวจว่าผู้ขอมีอำนาจจริง และต้องบันทึกการเปิดเผยตามมาตรา 27 วรรคสาม
- ผู้สมัครประธานสหกรณ์ขอรายชื่อและเบอร์สมาชิกไปหาเสียงไม่ได้ เพราะเกินวัตถุประสงค์ที่เก็บมา
- โพสต์ใบหย่าเพื่อเรื่องส่วนตัวอาจไม่อยู่ใต้ PDPA ตามมาตรา 4 (1) แต่ยังผิดกฎหมายอื่นได้
บทความ สคส. ตอบข้อหารือ PDPA 8 เรื่องที่บริษัทเจอบ่อย หยิบเรื่องความยินยอม การตลาด และ RoPA ของกิจการเล็กมาแล้ว หนังสือเล่มเดียวกันยังมีอีกหลายเรื่องที่ตอบเรื่องที่ฝ่ายกฎหมายเจอทุกวันได้ตรงกว่าตำราเล่มไหน
รอบนี้คัดมาอีก 8 เรื่อง จัดเป็นสามกลุ่ม คือข้อมูลอ่อนไหวและผู้เยาว์ คนนอกขอข้อมูลจะให้ได้แค่ไหน และบทบาทกับขอบเขตของ PDPA ทุกเรื่องยกถ้อยคำความเห็นมาคำต่อคำ แล้วอธิบายว่าบริษัทเอกชนเอาไปใช้อย่างไร
ข้อมูลอ่อนไหวและผู้เยาว์ สคส. ตอบไว้อย่างไร?
1. ธนาคารสแกนหน้าผู้เยาว์เพื่อเปิดบัญชี ต้องขอความยินยอมใคร?
ธนาคาร ม. ถามสองเรื่อง เรื่องแรกคือการใช้ระบบจดจำใบหน้ายืนยันตัวตนลูกค้า รวมถึงผู้เยาว์อายุ 7 ถึง 20 ปี เรื่องที่สองคือการเสนอผลิตภัณฑ์ให้ลูกค้าผู้เยาว์ ความเห็นแยกเป็นสองชั้น การเปิดบัญชีเองใช้ฐานสัญญาตามมาตรา 24 (3) ได้ แต่การสแกนหน้าเป็นการเก็บข้อมูลชีวภาพตามมาตรา 26 วรรคสอง
ดังนั้น ธนาคารจึงต้องพิจารณาฐานทางกฎหมายตามมาตรา ๒๖ วรรคหนึ่ง (๑) ถึง (๕) ในการเก็บรวบรวมข้อมูลส่วนบุคคลสำหรับกิจกรรมที่มีวัตถุประสงค์เพื่อยืนยันตัวตน เมื่อไม่มีเหตุดังกล่าว ก็จะต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล
ส่วนการตลาด ความเห็นบอกว่าเมื่อการเสนอผลิตภัณฑ์ใหม่ไม่เข้าฐานอื่นในมาตรา 24 ก็ควรขอความยินยอม และเมื่อคำนึงถึงวุฒิภาวะของผู้เยาว์แล้ว ความยินยอมของเด็กลำพังยังไม่พอ
จึงเห็นว่า การขอความยินยอมในการทำการตลาดกับลูกค้าที่เป็นผู้เยาว์ดังกล่าว ควรได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ด้วย
ประเด็นที่ 4 เรื่องเสนอผลิตภัณฑ์เดิมหรือผลิตภัณฑ์ต่อเนื่อง เช่นบัตร ATM ก็ได้คำตอบทำนองเดียวกัน บทเรียนสำหรับแอป โรงเรียนกวดวิชา หรือร้านค้าที่มีลูกค้าเป็นเด็ก คือแยกให้ออกว่ากิจกรรมไหนจำเป็นต่อสัญญา และกิจกรรมไหนเป็นการตลาด เพราะสองส่วนนี้ใช้ฐานคนละฐาน
2. ลูกค้าพิการไม่มีบัตรประชาชน ธนาคารเก็บบัตรคนพิการได้ไหม?
สมาคมธนาคารไทยถามว่าบัตรหรือสมุดประจำตัวคนพิการเป็นข้อมูลอ่อนไหวตามมาตรา 26 ใช่หรือไม่ และถ้าต้องขอความยินยอมโดยชัดแจ้งทุกราย ธนาคารจะทำตามหน้าที่แสดงตนลูกค้าตามกฎหมายฟอกเงินได้อย่างไร ความเห็นยอมรับว่าเป็นข้อมูลตามมาตรา 26 แต่ชี้ฐานที่ไม่ต้องขอความยินยอมไว้
จึงอาจถือได้ว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ ก็จะได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตามนัยมาตรา ๒๖ (๕) (จ) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แต่ธนาคารหรือสถาบันการเงินจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล
ความเห็นยังกำชับอีกสามเรื่อง เก็บเท่าที่จำเป็นตามมาตรา 22 แจ้งรายละเอียดตามมาตรา 23 ด้วยวิธีที่เหมาะกับคนพิการ และรักษาความปลอดภัยตามมาตรฐานขั้นต่ำ โดยอาจแฝงข้อมูลหรือเข้ารหัส เรื่องนี้ใช้เป็นแบบคิดได้กับทุกธุรกิจที่มีกฎหมายบังคับให้ตรวจตัวตน ฐานยกเว้นความยินยอมมาพร้อมหน้าที่คุ้มครองที่หนักขึ้น อ่านต่อเรื่อง ข้อมูลอ่อนไหว
คนนอกขอข้อมูล จะให้ได้แค่ไหน?
3. หน่วยงานรัฐขอข้อมูลร้านค้าทางอีเมล ไม่มีหนังสือตราครุฑ ส่งให้ได้ไหม?
บริษัท ย. เป็นแพลตฟอร์มอีคอมเมิร์ซ ได้รับหนังสือราชการขอข้อมูลร้านค้า ผู้สั่งซื้อ ผู้รับสินค้า ไปจนถึงสำเนาบัตรประชาชนและสมุดบัญชีอยู่เป็นประจำ จึงอยากเปิดช่องให้เจ้าหน้าที่ขอทางอีเมลได้เลย ความเห็นบอกว่าหนังสือตราครุฑเป็นแบบพิธีของราชการ ไม่ได้แปลว่าทางอิเล็กทรอนิกส์ทำไม่ได้ แต่วางเงื่อนไขไว้
ทั้งนี้ บริษัทฯ ควรตรวจสอบให้ชัดเจนว่า การขอข้อมูลด้วยการติดต่อหรือส่งเรื่องถึงกันโดยวิธีการทางอิเล็กทรอนิกส์ดังกล่าวเป็นการติดต่อจากเจ้าหน้าที่ของรัฐของส่วนราชการหรือหน่วยงานของรัฐที่มีหน้าที่และอำนาจตามกฎหมายหรือมีอำนาจกระทำการแทนส่วนราชการหรือหน่วยงานของรัฐจริงหรือไม่
ถ้าผู้ขอมีอำนาจจริง การเปิดเผยเข้าข้อยกเว้นความยินยอมตามมาตรา 24 (4) หรือ (6) หรือมาตรา 26 (5) แล้วแต่กรณี และความเห็นปิดท้ายด้วยหน้าที่ที่บริษัทมักลืม คือการบันทึกการเปิดเผยไว้ในรายการตามมาตรา 39
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึกการใช้หรือเปิดเผยนั้นไว้ในรายการตามมาตรา 39
ในทางปฏิบัติ ช่องทางอีเมลควรมีขั้นตอนยืนยันตัวผู้ขอ เช่น ตรวจโดเมนอีเมลของหน่วยงาน โทรกลับเบอร์กลางของหน่วยงาน และขอให้ระบุฐานอำนาจตามกฎหมาย ทุกครั้งที่ส่งข้อมูลออกไปให้ลงบันทึกว่าใครขอ ขออะไร อ้างกฎหมายใด และส่งเมื่อไร
4. ผู้สมัครประธานสหกรณ์ขอรายชื่อและเบอร์สมาชิกไปหาเสียง ให้ได้ไหม?
สหกรณ์ออมทรัพย์ ผ. ถามว่าให้รายชื่อ ที่อยู่ และเบอร์สมาชิกทั้งหมดแก่สมาชิกที่จะลงสมัครเป็นประธานกรรมการได้หรือไม่ คำตอบคือไม่ได้ถ้าไม่มีความยินยอม เพราะข้อมูลถูกเก็บมาเพื่อให้บริการสมาชิก ไม่ใช่เพื่อการหาเสียง
ย่อมเป็นการนำไปใช้นอกเหนือวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่แรก ดังนั้น สหกรณ์ฯ จึงไม่สามารถเปิดเผยข้อมูลส่วนบุคคลของสมาชิกแก่ผู้ที่ประสงค์จะสมัครเข้ารับการสรรหาเป็นประธานกรรมการของสหกรณ์ฯ ได้ โดยไม่ได้รับความยินยอมจากสมาชิกในฐานะเจ้าของข้อมูลส่วนบุคคล
ความเห็นไม่ได้ปิดประตูเสียทีเดียว สหกรณ์อาจส่งข่าวเรื่องการสรรหาและรายชื่อผู้สมัครถึงสมาชิกเองได้ ถ้าการสื่อสารกับสมาชิกอยู่ในวัตถุประสงค์ที่เก็บข้อมูลมา โดยไม่ส่งรายชื่อให้ผู้สมัครคนใด แนวคิดนี้ใช้ได้กับสมาคม นิติบุคคลอาคารชุด หรือสหภาพที่เจอคำขอแบบเดียวกัน คือให้องค์กรเป็นคนส่งสารแทน ไม่ส่งรายชื่อออกไป
5. สภาวิชาชีพประกาศรายชื่อผู้ได้ใบอนุญาตบนเว็บได้แค่ไหน?
สภาวิชาชีพบัญชีถามว่าเปิดเผยชื่อ เลขใบอนุญาต และสถานะใบอนุญาตของผู้สอบบัญชีบนเว็บไซต์ได้หรือไม่ ความเห็นตอบว่าได้ภายใต้มาตรา 24 (4) ประกอบมาตรา 27 วรรคหนึ่ง แต่เบอร์โทรและที่อยู่ไม่จำเป็นต่อการตรวจสถานะ และยังแนะวิธีเปิดเผยที่แคบกว่า
นอกจากนี้ สภาวิชาชีพบัญชีอาจพิจารณาเปิดเผยข้อมูลส่วนบุคคลดังกล่าวต่อผู้ร้องขอเป็นการเฉพาะราย โดยให้บริการตรวจสอบผ่านระบบสารสนเทศหรือเว็บไซต์ที่ให้บริการสืบค้นข้อมูลตามเงื่อนไขที่กำหนด จะเป็นการเหมาะสมกว่าการเปิดเผยข้อมูลส่วนบุคคลของผู้สอบบัญชีรับอนุญาตทั้งหมดในภาพรวมผ่านเว็บไซต์เป็นการทั่วไป
เรื่องนี้ผู้ถามเป็นองค์กรวิชาชีพที่อยู่ใต้ทั้ง PDPA และกฎหมายข้อมูลข่าวสารของราชการ แต่หลักที่ได้ใช้กับบริษัทเอกชนได้ทันที เช่นหน้า “ตรวจสอบตัวแทนจำหน่าย” หรือ “ค้นหาช่างที่ผ่านการรับรอง” ระบบค้นทีละรายดีกว่ารายชื่อทั้งหมดที่ใครก็ดาวน์โหลดได้ และควรเปิดเผยเฉพาะช่องที่จำเป็นต่อการตรวจ
ใครเป็นผู้ควบคุมข้อมูล และ PDPA ไปไม่ถึงตรงไหน?
6. เบอร์ของพนักงานบริษัทคู่ค้า ใช้ฐานสัญญาได้ไหม?
บริษัท ฆ. รับบริหารอาคาร ถามเรื่องที่บริษัทแทบทุกแห่งเจอ คือชื่อและเบอร์ของพนักงานฝั่งคู่ค้าที่ใช้ติดต่องาน ความเห็นแยกสองกรณี ถ้าคู่ค้าเป็นบุคคลธรรมดา ใช้ฐานสัญญาได้ แต่ถ้าคู่ค้าเป็นนิติบุคคล พนักงานของเขาไม่ใช่คู่สัญญา
ในกรณีดังกล่าว บุคคลดังกล่าวข้างต้นไม่ใช่คู่สัญญาของบริษัทฯ บริษัทฯ จึงไม่สามารถอ้างฐาน "การปฏิบัติตามสัญญา" ในการเก็บรวบรวมข้อมูลส่วนบุคคลได้ ในกรณีนี้บริษัทฯ อาจพิจารณาใช้ฐานทางกฎหมายตามมาตรา ๒๔ (๕)
(5) เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
ความเห็นเตือนต่อว่าต้องระวังไม่ใช้ข้อมูลเกินความคาดหวังปกติในบริบทการติดต่อธุรกิจ พูดง่าย ๆ คือ ใช้เบอร์ผู้ประสานงานเพื่อส่งใบเสนอราคาได้ แต่ดึงไปใส่รายชื่อส่งโปรฯ ส่วนตัวไม่ได้ ใน RoPA ควรแยกแถว “ผู้ติดต่อของคู่ค้า” ออกมาและระบุฐานมาตรา 24 (5)
ประเด็นที่สองของบริษัท ฆ. ตอบเรื่องบทบาท บริษัทที่รับจ้างบริหารอาคารชุดหรือหมู่บ้านจัดสรร เก็บข้อมูลลูกบ้านเพื่อออกใบแจ้งหนี้ ทำสติกเกอร์จอดรถ และดูแลความปลอดภัย ตามคำสั่งของนิติบุคคล ความเห็นจึงวางบทบาทไว้ดังนี้
บริษัทฯ จึงไม่มีฐานะเป็น "ผู้ควบคุมข้อมูลส่วนบุคคล" แต่มีฐานะเป็น "ผู้ประมวลผลข้อมูลส่วนบุคคล" ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
ผลคือบริษัทรับจ้างไม่ต้องหาฐานทางกฎหมายเอง หน้าที่นั้นเป็นของนิติบุคคลผู้ว่าจ้าง แต่ต้องทำตามคำสั่งตามมาตรา 40 (1) และผู้ว่าจ้างต้องจัดให้มีข้อตกลงตามมาตรา 40 วรรคสาม ดูแบบข้อตกลงใน คู่มือข้อตกลงกับผู้ประมวลผล
7. ไม่ใส่ชื่อผู้เข้าประชุมในรายงานการประชุม อ้าง PDPA ได้ไหม?
นาย A สมาชิกสหกรณ์ออมทรัพย์ B ร้องว่ากรรมการทำรายงานการประชุมโดยไม่ใส่ชื่อผู้เข้าประชุม อ้างว่าผู้เข้าประชุมไม่อยากเปิดเผยชื่อตาม PDPA ความเห็นบอกว่าสหกรณ์เปิดเผยรายชื่อได้ตามวัตถุประสงค์ที่แจ้งไว้ โดยไม่ต้องขอความยินยอม และเปิดหรือไม่เปิดเป็นดุลพินิจที่มีกรอบ
การที่สหกรณ์ฯ จะเปิดเผยรายชื่อผู้เข้าร่วมประชุมดังกล่าวหรือไม่นั้น เป็นดุลพินิจของสหกรณ์ฯ แต่การใช้ดุลพินิจดังกล่าวควรเป็นไปตามวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวม และต้องไม่ขัดต่อกฎหมาย กฎ หรือระเบียบที่เกี่ยวข้อง รวมถึงต้องไม่ขัดต่อเจตนารมณ์ของการจัดทำรายงานการประชุม
ส่วนคำถามว่าการประชุมที่ผ่านมาสมบูรณ์หรือไม่ ความเห็นตอบว่าเป็นเรื่องตามกฎหมายและระเบียบว่าด้วยการประชุม อยู่นอกอำนาจของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล บทเรียนสำหรับเลขานุการบริษัทคือ PDPA ไม่ได้เป็นเหตุให้ตัดชื่อผู้เข้าประชุมออก ถ้าระเบียบหรือเจตนารมณ์ของรายงานการประชุมต้องการให้มีชื่อ
8. โพสต์ใบหย่าของอีกฝ่ายลง TikTok ผิด PDPA ไหม?
สถานีตำรวจ D ถามเรื่องผู้ใช้ TikTok ที่โพสต์ภาพใบสำคัญการหย่าซึ่งมีชื่อและนามสกุลของผู้กล่าวหา ความเห็นยืนยันว่าชื่อบนใบหย่าเป็นข้อมูลส่วนบุคคล แต่ PDPA มุ่งใช้กับผู้ที่ประมวลผลอย่างเป็นระบบหรือเป็นประจำ ถ้าเป็นการกระทำเพื่อประโยชน์ส่วนตนก็อยู่นอก PDPA ตามมาตรา 4 (1)
ย่อมไม่อยู่ในขอบเขตการบังคับใช้ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๔ (๑) แต่อย่างไรก็ดี หากการกระทำของผู้ต้องหามีลักษณะเป็นการละเมิดสิทธิในความเป็นส่วนตัวของบุคคลอื่นเกินสมควร หรือเข้าองค์ประกอบความผิดตามกฎหมายอื่นใด ผู้กระทำอาจมีความรับผิดตามกฎหมายเหล่านั้นได้
ความเห็นยกตัวอย่างกฎหมายอื่นไว้ ได้แก่ พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ความผิดฐานหมิ่นประมาทตามประมวลกฎหมายอาญา และละเมิดตามมาตรา 420 ประมวลกฎหมายแพ่งและพาณิชย์ เรื่องนี้ต่างจากกรณีโพสต์รูปลง Facebook ในชุดแรกตรงที่เน้นเส้นแบ่งระหว่างเรื่องส่วนตัวกับการประมวลผลขององค์กร ถ้าคนโพสต์เป็นพนักงานที่ใช้บัญชีของบริษัท ผลอาจไม่เหมือนกัน
สรุปแปดคำตอบ ใช้กับงานของเราอย่างไร?
ข้อมูลชีวภาพตามมาตรา 26 วรรคสอง ถ้าไม่มีเหตุตาม (1) ถึง (5) ต้องขอความยินยอมโดยชัดแจ้ง (ธนาคาร ม.)
ความเห็นให้ได้ความยินยอมจากผู้ใช้อำนาจปกครองด้วย (ธนาคาร ม.)
อาจเข้ามาตรา 26 (5) (จ) แต่ต้องมีมาตรการคุ้มครองที่เหมาะสม (สมาคมธนาคารไทย)
ตรวจตัวผู้ขอ แล้วบันทึกการเปิดเผยตามมาตรา 27 วรรคสาม (บริษัท ย.)
เกินวัตถุประสงค์ที่เก็บมา ให้องค์กรส่งข่าวเองแทน (สหกรณ์ออมทรัพย์ ผ.)
ชื่อ เลขใบอนุญาต สถานะ เปิดได้ เบอร์และที่อยู่ไม่จำเป็น ระบบค้นทีละรายเหมาะกว่า (สภาวิชาชีพบัญชี)
ไม่ใช่คู่สัญญา ใช้ฐานสัญญาไม่ได้ และห้ามใช้เกินความคาดหวังปกติ (บริษัท ฆ.)
เปิดเผยได้ตามวัตถุประสงค์ที่แจ้งไว้ ดุลพินิจต้องไม่ขัดเจตนารมณ์ของรายงานการประชุม (นาย A)
ถ้าจะสรุปให้สั้นที่สุด ข้อหารือชุดนี้ย้ำสามเรื่อง ฐานทางกฎหมายต้องเลือกรายกิจกรรม ไม่ใช่รายลูกค้า วัตถุประสงค์ที่แจ้งไว้ตอนเก็บเป็นเส้นแบ่งว่าใครขอข้อมูลแล้วให้ได้แค่ไหน และทุกครั้งที่เปิดเผยโดยไม่ขอความยินยอม ต้องมีบันทึกตามมาตรา 27 วรรคสามรองรับ ใน AIPDPA การเปิดเผยแต่ละครั้งลงไว้ในกิจกรรมของ RoPA ได้พร้อมฐานและผู้ขอ เพื่อให้ตรวจย้อนหลังได้
คำถามที่พบบ่อย
ข้อหารือของ สคส. ผูกพันบริษัทเอกชนไหม?
ไม่ผูกพันโดยตรง ข้อหารือเป็นความเห็นและคำแนะนำของคณะอนุกรรมการที่ตอบผู้ถามแต่ละราย ใช้ประกอบดุลพินิจได้ แต่ไม่ผูกพันการใช้อำนาจของคณะกรรมการผู้เชี่ยวชาญ อย่างไรก็ดีเป็นแนวที่สะท้อนมุมมองของหน่วยงานกำกับได้ดีที่สุดที่มีเผยแพร่
ใช้ระบบสแกนหน้าเข้าออฟฟิศ ต้องขอความยินยอมไหม?
ข้อหารือของธนาคาร ม. ยืนยันว่าการจดจำใบหน้าเพื่อยืนยันตัวตนเป็นข้อมูลชีวภาพตามมาตรา 26 จึงต้องหาฐานตามมาตรา 26 (1) ถึง (5) ก่อน ถ้าไม่มีต้องขอความยินยอมโดยชัดแจ้ง เรื่องเครื่องสแกนลงเวลามีข้อหารืออีกเรื่องที่สรุปไว้ในบทความชุดแรก
ตำรวจโทรมาขอข้อมูลลูกค้า ต้องทำอย่างไร?
ข้อหารือของบริษัท ย. ให้ตรวจว่าผู้ขอเป็นเจ้าหน้าที่ที่มีหน้าที่และอำนาจตามกฎหมายจริง ถ้าใช่ การเปิดเผยอาจเข้ามาตรา 24 (4) หรือ (6) หรือมาตรา 26 (5) แล้วแต่กรณี และต้องบันทึกการเปิดเผยตามมาตรา 27 วรรคสาม ควรขอคำขอเป็นลายลักษณ์อักษรหรืออีเมลจากโดเมนของหน่วยงาน
บริษัทรับบริหารคอนโดต้องมี RoPA ของตัวเองไหม?
ข้อหารือของบริษัท ฆ. วางบทบาทว่าเป็นผู้ประมวลผลข้อมูล ผู้ประมวลผลมีหน้าที่ของตนตามมาตรา 40 ซึ่ง (3) กำหนดให้จัดทำและเก็บบันทึกรายการของกิจกรรมการประมวลผลตามหลักเกณฑ์ที่คณะกรรมการประกาศ ส่วนฐานทางกฎหมายเป็นหน้าที่ของนิติบุคคลผู้ว่าจ้าง
หนังสือข้อหารือฉบับเต็มหาอ่านได้ที่ไหน?
บทความนี้อ้างจากหนังสือรวมคำสั่งทางปกครองของคณะกรรมการผู้เชี่ยวชาญและสำเนาสรุปการตอบข้อหารือที่ สคส. เผยแพร่ ส่วนสำเนาสรุปการตอบข้อหารือในคลังของเรามี 43 เรื่อง ชุดแรกอ่านได้ที่ สคส. ตอบข้อหารือ PDPA 8 เรื่อง
ตัวบทและแหล่งอ้างอิง
- สำเนาสรุปการตอบข้อหารือ ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (ส่วนแรกของหนังสือรวมคำสั่งทางปกครองและสำเนาสรุปการตอบข้อหารือ · สคส.) — ข้อหารือ ธนาคาร ม. · นาย A · บริษัท ฆ. · บริษัท ย. · สภาวิชาชีพบัญชี · สหกรณ์ออมทรัพย์ ผ. · สถานีตำรวจ D · สมาคมธนาคารไทย (บัตรประจำตัวคนพิการ)
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 4 (1) · 24 (5) · 26 · 27 วรรคหนึ่งและวรรคสาม · 40
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)