ตำรวจขอข้อมูลลูกค้า เป็นกรณีที่บริษัทส่งให้ได้โดยไม่ต้องขอความยินยอม ถ้าข้อมูลเก็บมาด้วยฐานที่ยกเว้นความยินยอมตามมาตรา 24 หรือ 26 และมีกฎหมายอื่นให้อำนาจขอ ตามที่ สคส. ตอบโรงพยาบาล B ฝ่ายกฎหมายและ DPO จะได้ขั้นตอนตรวจหนังสือ ส่งเท่าที่ขอ และจดการเปิดเผยลง RoPA ตามมาตรา 27
- งานสอบสวนคดีอาญาของตำรวจอยู่นอก PDPA ตามมาตรา 4 (2) (5) แต่ข้อยกเว้นนี้เป็นของตำรวจ ไม่ใช่ของบริษัทที่ส่งข้อมูล
- บริษัทส่งข้อมูลให้พนักงานสอบสวนได้โดยไม่ขอความยินยอม ถ้าข้อมูลเก็บมาด้วยฐานตามมาตรา 24 หรือ 26 (มาตรา 27 วรรคหนึ่ง)
- ใช้ข้อมูลนอกวัตถุประสงค์ที่แจ้งลูกค้าไว้ได้ เมื่อกฎหมายอื่นให้ทำได้ เช่น ป.วิ.อาญา (มาตรา 21 วรรคสอง (2))
- ทุกครั้งที่เปิดเผยโดยไม่ขอความยินยอม ต้องจดไว้ในบันทึกรายการตามมาตรา 39 (มาตรา 27 วรรคสาม)
- หน่วยงานรัฐขอข้อมูลกันเป็นประจำ สคส. แนะให้ทำข้อตกลงแบ่งปันข้อมูล (Data Sharing Agreement)
สมมติว่าฝ่ายกฎหมายได้รับหนังสือจากสถานีตำรวจ ขอประวัติการใช้บริการของลูกค้ารายหนึ่ง พร้อมหมายเรียกพยานเอกสาร คนในทีมเสียงแตกเป็นสองฝั่ง ฝั่งหนึ่งว่าเป็นคำสั่งเจ้าพนักงาน ส่งไปเถอะ อีกฝั่งกลัวว่า PDPA ห้ามเปิดเผยข้อมูลโดยไม่ได้รับความยินยอม
เรื่องนี้ไม่ต้องเดา สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ตอบข้อหารือเรื่องนี้ไว้ตรง ๆ ในกรณีของโรงพยาบาล B และตอบอีกเรื่องที่หน่วยงานรัฐขอข้อมูลจากหน่วยงานรัฐด้วยกัน คือกรณี กทม. ขอข้อมูลผู้ใช้น้ำจากการประปานครหลวง (กปน.) บทความนี้วางสองเรื่องนี้คู่กับตัวบท พ.ร.บ.คุ้มครองข้อมูลฯ แล้วสรุปเป็นขั้นตอนที่ใช้ได้กับบริษัททั่วไป
PDPA ใช้กับตำรวจที่มาขอข้อมูลหรือไม่?
ในส่วนของตำรวจ ไม่ใช้ สคส. เห็นว่าการที่พนักงานสอบสวนขอข้อมูลเพื่อรวบรวมพยานหลักฐานตามประมวลกฎหมายวิธีพิจารณาความอาญา เป็นการดำเนินงานตามกระบวนการยุติธรรมทางอาญา ซึ่ง พ.ร.บ.คุ้มครองข้อมูลฯ มาตรา 4 (5) ยกเว้นไว้ และยังเข้ามาตรา 4 (2) ด้วยเพราะเป็นงานรักษาความปลอดภัยของประชาชน
(5) การพิจารณาพิพากษาคดีของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา
สคส. ยังย้ำว่าแม้ PDPA ไม่ใช้กับงานส่วนนี้ สำนักงานตำรวจแห่งชาติก็ยังต้องรักษาความมั่นคงปลอดภัยของข้อมูลให้ได้มาตรฐานตามมาตรา 4 วรรคสาม ข้อมูลที่ส่งไปจึงไม่ได้หลุดออกนอกกฎหมายทั้งหมด
บริษัทส่งข้อมูลให้พนักงานสอบสวนโดยไม่ขอความยินยอมได้จริงไหม?
ได้ โดยมีเงื่อนไข สคส. ไล่เหตุผลเป็นสองชั้น ชั้นแรกดูว่าข้อมูลนั้นเก็บมาด้วยฐานใด ชั้นที่สองดูว่าการส่งให้ตำรวจตรงกับวัตถุประสงค์ที่เคยแจ้งเจ้าของข้อมูลไว้หรือไม่
ชั้นที่ 1 ข้อมูลเก็บมาด้วยฐานที่ไม่ต้องขอความยินยอมหรือเปล่า
มาตรา 27 วางหลักว่าห้ามใช้หรือเปิดเผยข้อมูลโดยไม่ได้รับความยินยอม เว้นแต่ข้อมูลนั้นเก็บมาได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24 หรือมาตรา 26 จุดที่ต้องดูจึงเป็นฐานตอนเก็บข้อมูล ไม่ใช่ตอนส่ง
ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคล โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา 24 หรือมาตรา 26
ในเรื่องโรงพยาบาล B สคส. ชี้ว่าประวัติการรักษาเก็บมาได้หลายฐาน เช่น การปฏิบัติตามสัญญาตามมาตรา 24 (3) สัญญากับผู้ประกอบวิชาชีพทางการแพทย์ตามมาตรา 26 (5) (ก) และการปฏิบัติตามกฎหมายตามมาตรา 24 (6) ซึ่งข้อหารือยกตัวอย่างหน้าที่ของสถานพยาบาลตามมาตรา 35 แห่ง พ.ร.บ.สถานพยาบาล ที่ต้องเก็บเอกสารการรักษาไว้ให้ตรวจสอบได้ไม่น้อยกว่า 5 ปี
สำหรับบริษัทที่ไม่ใช่โรงพยาบาล หลักเดียวกันใช้ได้ ข้อมูลลูกค้าส่วนใหญ่เก็บมาเพื่อทำตามสัญญา หรือเพื่อทำตามกฎหมายบัญชีภาษี ถ้าฐานตอนเก็บเป็นแบบนี้ มาตรา 27 ก็เปิดทางให้เปิดเผยได้โดยไม่ต้องถามลูกค้าอีกรอบ
ชั้นที่ 2 ส่งนอกวัตถุประสงค์ที่แจ้งไว้ได้ไหม
ลูกค้าไม่ได้ให้ข้อมูลมาเพื่อให้ส่งตำรวจ มาตรา 21 จึงเข้ามาเกี่ยว มาตรานี้ห้ามใช้ข้อมูลต่างจากวัตถุประสงค์ที่แจ้งไว้ เว้นแต่ได้แจ้งวัตถุประสงค์ใหม่และได้รับความยินยอม หรือมีกฎหมายให้ทำได้ สคส. ใช้ทางหลังกับกรณีนี้
หากเป็นการปฏิบัติตามบทบัญญัติแห่งกฎหมายอื่นที่บัญญัติให้กระทำได้ เช่น ประมวลกฎหมายวิธีพิจารณาความอาญา ก็สามารถดำเนินการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้ ตามนัยมาตรา ๒๑ วรรคสอง (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
ข้อหารือยังอ้างมาตรา 7 แห่ง พ.ร.บ.สุขภาพแห่งชาติ ซึ่งยอมให้เปิดเผยข้อมูลสุขภาพเมื่อมีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผย ประกอบกับมาตรา 3 ของ PDPA ที่ให้ใช้กฎหมายเฉพาะก่อน แต่ยังต้องทำตามบทเรื่องการเก็บ ใช้ เปิดเผย และสิทธิของเจ้าของข้อมูลใน PDPA เพิ่มเติม ตัวบท พ.ร.บ.สุขภาพแห่งชาติไม่อยู่ในคลังของเรา บทความนี้จึงอ้างตามที่ข้อหารือสรุปไว้เท่านั้น
หน่วยงานรัฐอื่นขอข้อมูลลูกค้า ใช้หลักเดียวกันไหม?
ใช้หลักใกล้กัน แต่ไม่มีข้อยกเว้นมาตรา 4 มาช่วย ในเรื่อง กทม. ขอข้อมูลปริมาณการใช้น้ำรายเดือนและรายชื่อผู้ใช้น้ำรายใหม่จาก กปน. เพื่อเก็บค่าธรรมเนียมบำบัดน้ำเสีย สคส. ถือว่าทั้งสองฝ่ายเป็นผู้ควบคุมข้อมูลส่วนบุคคล และต่างต้องมีฐานของตัวเอง
ฝั่งผู้ขอคือ กทม. เก็บข้อมูลได้โดยไม่ขอความยินยอมตามมาตรา 24 (4) เพราะเป็นภารกิจเพื่อประโยชน์สาธารณะตามอำนาจหน้าที่ และเก็บจากแหล่งอื่นได้ตามมาตรา 25 วรรคหนึ่ง (2) ฝั่งผู้ส่งคือ กปน. เปิดเผยได้ถ้าเข้าข้อยกเว้นตามมาตรา 24 ประกอบมาตรา 27 วรรคหนึ่ง แต่มีเงื่อนไขตามมา
ทั้งนี้ กปน. จะต้องบันทึกการใช้หรือเปิดเผยนั้นไว้ในรายการตามมาตรา ๓๙ เพื่อเป็นไปตามนัยมาตรา ๒๗ วรรคสาม แห่งพระราชบัญญัติดังกล่าว
ข้อหารือเดียวกันบอกอีกสามเรื่องที่บริษัทเอกชนหยิบไปใช้ได้ทันที ข้อแรก ผู้ขอต้องเก็บและใช้ข้อมูลเท่าที่จำเป็นตามมาตรา 22 ข้อสอง ผู้ส่งต้องเขียนไว้ใน privacy notice ว่าข้อมูลอาจถูกเปิดเผยให้หน่วยงานใดบ้างตามมาตรา 23 (4) ข้อสาม ถ้าส่งกันเป็นประจำ ควรทำข้อตกลงเป็นลายลักษณ์อักษร
และควรมีการจัดทำข้อตกลงการแบ่งปันข้อมูล (Data Sharing Agreement) ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลทั้งสองหน่วยงานดังกล่าวอย่างชัดเจน
สคส. ยังตั้งข้อสังเกตที่น่าสนใจว่า ทาง กทม. อาจคุยกับ กปน. ให้ กปน. เป็นผู้เรียกเก็บค่าบำบัดน้ำเสียแทน โดยไม่ต้องส่งรายชื่อผู้ใช้น้ำออกไปเลย ถ้าเทียบกับงานของบริษัท ก็คือ ก่อนส่งข้อมูลทั้งก้อน ให้ถามก่อนว่ามีทางทำงานให้สำเร็จโดยไม่ต้องย้ายข้อมูลหรือไม่
ได้รับหนังสือขอข้อมูลแล้ว ต้องทำอะไรก่อนหลัง?
ลำดับด้านล่างรวมสิ่งที่ข้อหารือสองเรื่องพูดไว้ กับแนวปฏิบัติที่ดีของทีม AIPDPA ข้อที่เป็นแนวปฏิบัติ ไม่ใช่หน้าที่ตามกฎหมาย เขียนกำกับไว้ในวงเล็บ
- ตรวจหนังสือ ใครขอ อยู่หน่วยงานไหน อ้างอำนาจตามกฎหมายใด และขอข้อมูลของใคร ช่วงเวลาใด (แนวปฏิบัติ: ขอให้ส่งเป็นหนังสือ และไม่ให้ข้อมูลทางโทรศัพท์)
- เปิด RoPA ดูว่าข้อมูลที่ขอเก็บมาด้วยฐานใด ถ้าเป็นฐานตามมาตรา 24 หรือ 26 มาตรา 27 วรรคหนึ่งเปิดทางให้เปิดเผยได้
- ส่งเท่าที่ขอ คัดเฉพาะรายการที่หนังสือระบุ อย่าแนบทั้งแฟ้มลูกค้า (แนวปฏิบัติ ต่อยอดจากหลักเท่าที่จำเป็นที่ สคส. ใช้ในเรื่อง กทม.)
- ส่งอย่างปลอดภัย ซองปิดผนึก หรือไฟล์เข้ารหัสผ่านช่องทางที่ตรวจสอบได้ เพราะหน้าที่ตามมาตรา 37 (1) ยังอยู่กับบริษัท ซึ่ง สคส. ย้ำไว้ท้ายข้อหารือโรงพยาบาล B
- จดลงบันทึกรายการ วันที่ ผู้รับ ข้อมูลที่ส่ง และฐานที่ใช้ ตามมาตรา 27 วรรคสาม ประกอบมาตรา 39 (6)
- ตรวจ privacy notice ว่ามีหน่วยงานของรัฐหรือเจ้าพนักงานตามกฎหมายอยู่ในรายการผู้รับข้อมูลตามมาตรา 23 (4) แล้วหรือยัง
- ถ้าเป็นคำขอประจำจากหน่วยงานเดิม ทำข้อตกลงแบ่งปันข้อมูล ระบุวัตถุประสงค์ วิธีส่ง เงื่อนไข และหน้าที่ของแต่ละฝ่าย ตามที่ สคส. แนะ
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึกการใช้หรือเปิดเผยนั้นไว้ในรายการตามมาตรา 39
| สถานการณ์ | สถานะของผู้ขอตาม PDPA | ฐานของบริษัทที่ส่ง | สิ่งที่ต้องทำเพิ่ม |
|---|---|---|---|
| พนักงานสอบสวนมีหนังสือหรือหมายเรียกพยานเอกสารในคดีอาญา | ไม่อยู่ใต้ PDPA สำหรับงานนี้ (ม.4 (2) (5)) แต่ต้องรักษาความปลอดภัยตาม ม.4 วรรคสาม | ฐานตอนเก็บตาม ม.24 หรือ ม.26 + ม.27 วรรคหนึ่ง และ ม.21 วรรคสอง (2) | ส่งเท่าที่ขอ · ส่งอย่างปลอดภัย · จดลง RoPA |
| หน่วยงานรัฐขอข้อมูลเพื่อภารกิจตามอำนาจหน้าที่ เช่น กทม. ขอจาก กปน. | เป็นผู้ควบคุมข้อมูลเต็มตัว ต้องมีฐานเอง เช่น ม.24 (4) และใช้เท่าที่จำเป็น (ม.22) | ม.24 ประกอบ ม.27 วรรคหนึ่ง | จดลง RoPA · ระบุผู้รับใน privacy notice (ม.23 (4)) · ทำ Data Sharing Agreement ถ้าส่งเป็นประจำ |
| ข้อมูลที่ขอเป็นข้อมูลอ่อนไหว เช่น ประวัติการรักษา | เหมือนสองแถวบน แล้วแต่ผู้ขอ | ต้องเป็นฐานตาม ม.26 เช่น ม.26 (5) (ก) | ตรวจกฎหมายเฉพาะของธุรกิจด้วย เช่น พ.ร.บ.สถานพยาบาล ตามที่ข้อหารืออ้าง |
| ข้อมูลที่ขอเก็บมาด้วยความยินยอมอย่างเดียว | แล้วแต่ผู้ขอ | ข้อหารือสองเรื่องนี้ไม่ได้ตอบ | อย่าตัดสินเอง ให้ทนายดูก่อนส่ง |
ส่วนไหนที่ข้อหารือยังไม่ได้ตอบ?
ข้อหารือตอบเฉพาะข้อเท็จจริงที่หน่วยงานถามมา เวลาเอามาใช้กับเรื่องของเรา ต้องรู้ว่าคำตอบครอบคลุมถึงไหน มีอย่างน้อยสี่เรื่องที่คลังเอกสารของเรายังไม่มีคำตอบ บทความนี้จึงไม่ฟันธงให้
- อำนาจของพนักงานสอบสวนในการเรียกเอกสาร มาจากประมวลกฎหมายวิธีพิจารณาความอาญา ซึ่งยังไม่อยู่ในคลัง จึงไม่ได้อธิบายรูปแบบหมายหรือกำหนดส่งไว้ที่นี่
- ข้อมูลที่เก็บมาด้วยความยินยอมอย่างเดียว ข้อหารือโรงพยาบาล B ใช้ตรรกะว่าข้อมูลเก็บมาด้วยฐานที่ยกเว้นความยินยอม จึงไม่ได้ตอบกรณีนี้ตรง ๆ
- ต้องแจ้งลูกค้าหรือไม่ว่าส่งข้อมูลให้ตำรวจแล้ว ข้อหารือไม่ได้พูดถึง และอาจขัดกับความลับของการสอบสวน ควรถามผู้ขอก่อน
- คำขอจากเจ้าหน้าที่ต่างประเทศ ต้องดูเรื่องส่งข้อมูลออกนอกประเทศตามมาตรา 28 ด้วย อยู่นอกขอบเขตบทความนี้
ข้อหารือของ สคส. ผูกพันแค่ไหน?
ความเห็นทั้งสองเรื่องออกโดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เป็นความเห็นต่อหน่วยงานที่ถามมา ไม่ใช่คำสั่งทางปกครองหรือคำวินิจฉัยลงโทษ บันทึกของทีม AIPDPA ที่กำกับไฟล์นี้ในคลังจึงจัดไว้เป็นแนวทาง ไม่ใช่ตัวบท
ถึงอย่างนั้น ในเมื่อยังไม่มีคำพิพากษาเรื่อง PDPA ให้อ้าง ความเห็นของหน่วยงานที่กำกับกฎหมายเองก็หนักแน่นที่สุดเท่าที่มี วิธีใช้ที่ปลอดภัยคืออ้างข้อหารือประกอบเหตุผลของเราเอง แล้วจดไว้ในแฟ้มว่าเราตัดสินใจส่งเพราะอะไร
ถ้าอยากเห็นข้อหารือเรื่องอื่นที่บริษัทเจอบ่อย อ่านต่อที่ สคส. ตอบข้อหารือ PDPA 8 เรื่องที่บริษัทเจอบ่อย และถ้ายังไม่แน่ใจว่าข้อมูลแต่ละชุดเก็บมาด้วยฐานอะไร เริ่มที่ เลือกฐาน PDPA ให้ถูกงาน
คำถามที่พบบ่อย
ตำรวจขอข้อมูลลูกค้า ต้องขอความยินยอมลูกค้าก่อนส่งไหม
ไม่ต้อง ถ้าข้อมูลนั้นเก็บมาด้วยฐานที่ยกเว้นความยินยอมตามมาตรา 24 หรือ 26 และการส่งเป็นไปตามกฎหมายอื่นที่ให้อำนาจขอ เช่น ประมวลกฎหมายวิธีพิจารณาความอาญา ตามแนวข้อหารือโรงพยาบาล B
ตำรวจไม่อยู่ใต้ PDPA แปลว่าบริษัทส่งอะไรไปก็ได้ใช่ไหม
ไม่ใช่ มาตรา 4 (2) (5) ยกเว้นงานของตำรวจ แต่บริษัทยังเป็นผู้ควบคุมข้อมูลส่วนบุคคล ต้องมีฐานในการเปิดเผย ส่งอย่างปลอดภัย และจดการเปิดเผยไว้ตามมาตรา 27 วรรคสาม
ต้องจดอะไรไว้หลังส่งข้อมูลให้ตำรวจหรือหน่วยงานรัฐ
จดการใช้หรือเปิดเผยนั้นในบันทึกรายการตามมาตรา 39 ตามที่มาตรา 27 วรรคสามบังคับ เช่น วันที่ หน่วยงานผู้รับ ข้อมูลที่ส่ง และฐานทางกฎหมายที่ใช้
หน่วยงานรัฐขอข้อมูลเป็นประจำทุกเดือน ควรทำอย่างไร
สคส. แนะในเรื่อง กทม.–กปน. ให้ทำข้อตกลงแบ่งปันข้อมูล (Data Sharing Agreement) อย่างน้อยระบุวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ของแต่ละฝ่าย และระบุหน่วยงานนั้นใน privacy notice ตามมาตรา 23 (4)
ข้อหารือของ สคส. ใช้อ้างได้แค่ไหน
เป็นความเห็นต่อหน่วยงานที่หารือ ไม่ใช่ตัวบทหรือคำวินิจฉัย ใช้อ้างประกอบเหตุผลได้ แต่ควรตรวจว่าข้อเท็จจริงของเราตรงกับเรื่องที่ถามหรือไม่ และจดเหตุผลขององค์กรไว้เอง
ตัวบทและแหล่งอ้างอิง
- สำเนาสรุปการตอบข้อหารือ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — ข้อหารือโรงพยาบาล B · ข้อหารือสำนักการระบายน้ำ กทม. (ข้อมูลผู้ใช้น้ำของ กปน.)
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 4 · 21 · 22 · 23 · 24 · 26 · 27 · 39
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)