พระราชกฤษฎีกายกเว้น PDPA ธนาคารใช้ได้แค่ไหน

เมื่อพระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บางส่วนมาใช้บังคับ พ.ศ. 2566 ออกมา หลายองค์กรอ่านชื่อแล้วเข้าใจว่าเป็นทางออกจากหน้าที่ตาม PDPA โดยเฉพาะงานที่เกี่ยวกับภาษีและการปราบปรามอาชญากรรมข้ามชาติ

ธนาคาร Y เลือกถามก่อนใช้ โดยส่งคำถามสามข้อไปที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วตอบทุกข้อ คำตอบนี้ใช้ได้กับธุรกิจอื่นที่ส่งข้อมูลให้หน่วยงานรัฐหรือคู่ค้าต่างประเทศด้วย ไม่ใช่เฉพาะธนาคาร

ข้อหารือฉบับนี้เผยแพร่บนหน้ารวมข้อหารือตามกฎหมาย PDPA ของ สคส. อ่านต้นฉบับได้ที่ไฟล์ข้อหารือของธนาคาร Y ส่วนตัวพระราชกฤษฎีกาดูได้ที่หน้าพระราชกฤษฎีกาบนเว็บไซต์ สคส.

พระราชกฤษฎีกายกเว้น PDPA มาจากไหน และยกเว้นอะไร?

พระราชกฤษฎีกาฉบับนี้ออกตามมาตรา 4 วรรคสองของ PDPA ซึ่งเปิดทางให้ยกเว้นบทบัญญัติทั้งหมดหรือบางส่วนแก่ผู้ควบคุมข้อมูลส่วนบุคคลบางลักษณะ บางกิจการ หรือบางหน่วยงาน โดยต้องตราเป็นพระราชกฤษฎีกาเท่านั้น

ในข้อหารือของธนาคาร Y สคส. อธิบายว่าเมื่อเข้าเงื่อนไข ผู้ควบคุมข้อมูลได้รับยกเว้นการปฏิบัติตามหมวด 2 และหมวด 3 ของ PDPA หมวด 2 คือการคุ้มครองข้อมูลส่วนบุคคล ซึ่งรวมการเก็บรวบรวม ใช้ และเปิดเผย ส่วนหมวด 3 คือสิทธิของเจ้าของข้อมูลส่วนบุคคล

ได้รับยกเว้นแล้วก็ไม่ได้หลุดจาก PDPA ทั้งฉบับ มาตรา 4 วรรคสามยังให้หน่วยงานที่ได้รับยกเว้นตามพระราชกฤษฎีกาต้องรักษาความมั่นคงปลอดภัยของข้อมูลตามมาตรฐาน

สคส. ใช้หลักนี้จริงในข้อหารือของกองอำนวยการรักษาความมั่นคงภายในราชอาณาจักร (กอ.รมน.) เรื่องนั้นเป็นการยกเว้นตามมาตรา 4 (2) ไม่ใช่ตามพระราชกฤษฎีกา แต่ใช้มาตรา 4 วรรคสามข้อเดียวกัน คณะอนุกรรมการเห็นว่าแม้ภารกิจรักษาความมั่นคงไม่อยู่ใต้ PDPA

ลูกค้าแก้ข้อมูลที่ธนาคาร ต้องส่งข้อมูลใหม่ให้กรมสรรพากรหรือไม่?

ไม่ต้อง ถ้ากรมไม่ได้ขอ และลูกค้าไม่ได้บอกว่าต้องการแก้ข้อมูลที่ธนาคารเคยส่งให้หน่วยงานรัฐ สคส. เห็นว่ากรณีนี้ไม่ใช่กรณีตามมาตรา 7 ของพระราชกฤษฎีกา

มาตรา 7 ของพระราชกฤษฎีกาทำงานอย่างไร

ตามที่ สคส. อธิบาย มาตรา 7 วรรคหนึ่งมีเงื่อนไขเริ่มต้นข้อเดียวที่ต้องเกิดก่อน คือกรมสรรพากร กรมศุลกากร หรือกรมสรรพสามิต ร้องขอข้อมูลส่วนบุคคลจากธนาคาร โดยอาศัยอำนาจตามกฎหมาย เพื่อภารกิจด้านการจัดเก็บภาษีอากร การบังคับค่าธรรมเนียมหรือค่าอากร รวมทั้งพันธกรณีหรือความร่วมมือระหว่างประเทศในเรื่องเหล่านี้ เมื่อเข้าเงื่อนไขนี้ การเปิดเผยของธนาคารจึงได้รับยกเว้นหมวด 2 และหมวด 3

มาตรา 7 วรรคสองตามมาทีหลัง ถ้าธนาคารส่งข้อมูลให้กรมไปแล้ว ต่อมาเจ้าของข้อมูลขอให้แก้ข้อมูลให้ถูกต้องและเป็นปัจจุบัน และหน่วยงานรัฐได้ข้อมูลนั้นมาจากธนาคาร ธนาคารในฐานะผู้เก็บรวบรวมและเปิดเผยข้อมูลมีหน้าที่แก้ข้อมูล และส่งข้อมูลที่ถูกต้องให้หน่วยงานรัฐเพิ่มเติม

กรณีที่ธนาคาร Y ถามขาดองค์ประกอบทั้งสองฝั่ง กรมไม่ได้ขอให้ส่งข้อมูลที่แก้แล้วอีกครั้ง และลูกค้าก็ไม่ได้แจ้งว่าใช้สิทธิเพื่อแก้ข้อมูลที่ธนาคารเปิดเผยให้หน่วยงานรัฐ จึงไม่มีหน้าที่ตามมาตรา 7 วรรคสอง

หน้าที่ที่ยังเหลืออยู่ตาม PDPA

หลุดจากมาตรา 7 ไม่ได้แปลว่าไม่ต้องทำอะไร สคส. ย้ำว่าธนาคารยังมีหน้าที่ตามมาตรา 35 ของ PDPA ที่ต้องดูแลข้อมูลลูกค้าให้ถูกต้อง ถ้าข้อมูลไม่ถูกต้องหรือไม่เป็นปัจจุบันตามที่ลูกค้าขอ ธนาคารต้องแก้

ถ้าธนาคารพิจารณาแล้วไม่แก้ตามคำขอ มาตรา 36 วรรคหนึ่งให้บันทึกคำขอพร้อมเหตุผลไว้ในรายการตามมาตรา 39 ซึ่ง สคส. เรียกในข้อหารือว่า Records of Processing Activities (ROPA)

ข้อหารือยังเตือนไว้ด้วยว่า เจ้าของข้อมูลมีสิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ เพื่อสั่งให้ผู้ควบคุมข้อมูลดำเนินการได้ ตามมาตรา 36 วรรคสองประกอบมาตรา 73 ลูกค้าที่ไม่พอใจคำตอบยื่นเรื่องผ่านระบบรับเรื่องร้องเรียนของ สคส.ได้

มาตรา 11 ของพระราชกฤษฎีกาใช้กับธนาคารเอกชนหรือไม่?

ใช้ได้ สคส. ตอบว่ามาตรา 3 ของพระราชกฤษฎีกานิยามผู้ควบคุมข้อมูลส่วนบุคคลไว้ครอบคลุมทั้งภาครัฐและภาคเอกชน มาตรา 11 จึงไม่ได้จำกัดเฉพาะหน่วยงานของรัฐ

แต่ใช้ได้ไม่ได้แปลว่าได้รับยกเว้นเสมอ ผู้ควบคุมข้อมูลรายใดจะได้รับยกเว้นหรือไม่ ต้องดูเงื่อนไขในมาตรา 11 ประกอบกฎหมายอื่นในเรื่องนั้น ข้อหารือยกตัวอย่างกฎหมายว่าด้วยการป้องกันและปราบปรามการมีส่วนร่วมในองค์กรอาชญากรรมข้ามชาติ

งานแบบไหนที่มาตรา 11 คุ้มครอง

ตามข้อหารือ มาตรา 11 ว่าด้วยการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลในงานหกกลุ่ม ได้แก่ การเนรเทศ การส่งผู้ร้ายข้ามแดน ความร่วมมือระหว่างประเทศเกี่ยวกับกระบวนการยุติธรรมทางอาญา การป้องกันและปราบปรามการมีส่วนร่วมในองค์กรอาชญากรรมข้ามชาติ ความร่วมมืออื่นทางศาล และกระบวนการยุติธรรมระหว่างประเทศ

สคส. ให้ข้อสังเกตที่เป็นหัวใจของเรื่องนี้ว่า งานตามมาตรา 11 โดยทั่วไปต้องอาศัยอำนาจรัฐหรือกระบวนการตามกฎหมายที่เกี่ยวข้อง ซึ่งรวมถึงกฎหมายระหว่างประเทศและความตกลงระหว่างประเทศ คำว่า “ฉ้อโกง” ในอีเมลจากต่างประเทศจึงยังไม่ทำให้งานนั้นเป็นงานตามมาตรา 11

ตอบธนาคารตัวแทนต่างประเทศเรื่องเงินต้องสงสัย ได้รับยกเว้นหรือไม่?

ไม่ได้รับยกเว้น ถ้าธนาคารทั้งสองฝ่ายไม่ได้ใช้อำนาจรัฐ และไม่ได้ทำหน้าที่ที่กฎหมายกำหนดไว้เป็นการเฉพาะเพื่อวัตถุประสงค์ตามมาตรา 11 สคส. มองว่าธนาคารในประเทศกับธนาคารตัวแทนต่างประเทศ (correspondent bank) ต่างเป็นผู้ควบคุมข้อมูลด้วยกัน การส่งชื่อและเลขบัญชีลูกค้าระหว่างกันจึงต้องทำตามหมวด 2 และหมวด 3 ของ PDPA

คำตอบเดียวกันใช้กับคำถามข้อที่สาม เมื่อลูกค้าโดนแฮ็กอีเมลจนโอนเงินออกไป แล้วธนาคารส่งข้อความขอเงินคืนจากธนาคารตัวแทนต่างประเทศ สคส. เห็นว่าไม่ได้รับยกเว้นในทำนองเดียวกัน เพราะเป็นธุรกรรมระหว่างธนาคารที่ไม่ได้ใช้อำนาจรัฐ

ไม่ได้รับยกเว้น แล้วธนาคารใช้ฐานอะไรแทน

สคส. ไม่ได้ห้ามธนาคารตอบหรือขอเงินคืน แต่ให้ทำภายใต้ PDPA และยกตัวอย่างฐานที่ธนาคารอาจพิจารณา คือกรณีที่การดำเนินการร่วมกับธนาคารตัวแทนต่างประเทศเป็นการจำเป็นเพื่อปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลเป็นคู่สัญญา

การอ่านของเรา: ฐานตามสัญญาเข้ากับเรื่องขอเงินคืนให้ลูกค้าที่โดนแฮ็กอีเมลได้ง่าย เพราะธนาคารทำตามคำสั่งโอนเงินของลูกค้าเอง ส่วนกรณีธนาคารต่างประเทศถามเรื่องเงินโอนเข้า ธนาคารควรบันทึกให้ชัดว่าลูกค้ารายใดเป็นคู่สัญญาในธุรกรรมนั้น และข้อมูลที่ส่งออกไปจำเป็นต่อธุรกรรมเพียงใด ถ้าฐานตามสัญญาไม่พอดี ก็ต้องวิเคราะห์ฐานอื่นในมาตรา 24 เป็นรายกรณี อ่านเพิ่มได้ที่คู่มือฐานทางกฎหมาย

องค์กรควรอ่านข้อยกเว้นในพระราชกฤษฎีกาอย่างไร?

ให้อ่านเป็นคำถามทีละขั้น ลำดับข้างล่างเรียงจากเหตุผลของ สคส. ในข้อหารือของธนาคาร Y เป็นการสรุปของเรา ไม่ใช่แบบฟอร์มที่ สคส. กำหนด

1. ใครเป็นผู้ขอข้อมูล ถ้าเป็นหน่วยงานรัฐ ให้ขอดูว่าอาศัยอำนาจตามกฎหมายฉบับใด ถ้าเป็นธนาคารหรือบริษัทเอกชนด้วยกัน มักไม่เข้าข้อยกเว้น
2. งานนี้ตรงกับวัตถุประสงค์ที่พระราชกฤษฎีกาเขียนไว้หรือไม่ เช่น ภาษีอากรตามมาตรา 7 หรือความร่วมมือทางอาญาระหว่างประเทศตามมาตรา 11
3. มีกฎหมายเฉพาะหรือความตกลงระหว่างประเทศรองรับงานนั้นหรือไม่ มาตรา 11 ต้องอ่านประกอบกฎหมายอื่นในเรื่องนั้นเสมอ
4. ถ้าได้รับยกเว้น ยังต้องรักษาความมั่นคงปลอดภัยของข้อมูลตามมาตรา 4 วรรคสามของ PDPA
5. ถ้าไม่ได้รับยกเว้น ให้หาฐานตามมาตรา 24 แล้วบันทึกกิจกรรมไว้ในรายการตามมาตรา 39

บทเรียนสำหรับธุรกิจที่ไม่ใช่ธนาคาร

บริษัทประกัน บริษัทหลักทรัพย์ ผู้ให้บริการชำระเงิน หรือบริษัทส่งออกนำเข้า มักได้คำขอข้อมูลทั้งจากหน่วยงานรัฐและจากคู่ค้าต่างประเทศ ข้อหารือนี้ช่วยแยกสองกลุ่มออกจากกันได้ชัด คำขอที่มาพร้อมอำนาจตามกฎหมายอาจเข้าข้อยกเว้น ส่วนคำขอจากคู่ค้า แม้จะอ้างเรื่องการทุจริต ยังเป็นงานภายใต้ PDPA ตามปกติ

เมื่อตำรวจหรือหน่วยงานสอบสวนขอข้อมูลลูกค้า หลักการคิดคล้ายกัน คือดูอำนาจตามกฎหมายของผู้ขอก่อน อ่านต่อได้ที่ตำรวจขอข้อมูลลูกค้า ต้องให้หรือไม่

ขอบเขตของบทความนี้

บทความนี้เล่าเนื้อหาพระราชกฤษฎีกาเท่าที่ข้อหารือของธนาคาร Y อธิบายไว้ ตัวบทพระราชกฤษฎีกาฉบับเต็มยังไม่อยู่ในคลังกฎหมายของ AIPDPA ก่อนนำไปใช้กับเรื่องจริงควรเปิดตัวบทจากเว็บไซต์ สคส. ประกอบ และข้อหารือเป็นความเห็นต่อผู้หารือตามข้อเท็จจริงที่แจ้งมา ไม่ใช่คำพิพากษา

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)