รายชื่อบัญชีม้าจากหน่วยงานทางการ เป็นข้อมูลประวัติอาชญากรรมตามประกาศปี 2566 ในบางกรณี สคส. ตอบสมาคมธนาคารไทยว่าหนังสือตำรวจและหมายอายัดเข้านิยามนี้ ส่วนข้อมูล CFR ต้องดูรายกรณี บทความนี้บอกเจ้าของบัญชีว่าขอดูหรือแก้ข้อมูลได้แค่ไหน และธนาคารต้องขอความยินยอมเมื่อไร
- หนังสือจากตำรวจหรือศูนย์ AOC ที่ขอให้ธนาคารตรวจลูกค้า และข้อมูลในหมายอายัดหรือหมายให้ตรวจสอบ เป็นข้อมูลประวัติอาชญากรรมตามข้อ 3 ของประกาศปี 2566
- ข้อมูลที่ธนาคารแลกกันผ่านระบบ CFR นับเมื่อถูกใช้ในคดีอาญาและเป็นข้อมูลที่หน่วยงานรัฐรับรอง ถ้าเป็นแค่ข้อสงสัยระหว่างธนาคาร อาจยังไม่นับ
- ธนาคารที่ทำตามพระราชกำหนดฯ ไม่อยู่ใต้ PDPA แต่ถ้านำรายชื่อไปปิดบัญชีหรือจำกัดบริการเอง ต้องทำตามประกาศฯ ข้อ 6 ถึง 8 และหาฐานตามมาตรา 26
- มาตรการภายในที่ไม่เข้ามาตรา 26 (5) (จ) หรือข้อยกเว้นอื่นในมาตรา 26 ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของบัญชี
- เจ้าของบัญชีขอดูข้อมูลและขอทราบที่มาได้ตามมาตรา 30 ธนาคารต้องตอบภายใน 30 วัน และขอแก้ข้อมูลที่ผิดได้ตามมาตรา 35 และ 36
สมมติว่าเช้าวันหนึ่งคุณเปิดแอปธนาคารแล้วโอนเงินไม่ได้ พอไปถามที่สาขา พนักงานบอกว่าบัญชีอยู่ในรายชื่อที่ได้รับแจ้งจากหน่วยงานทางการ ธนาคารจะปิดบัญชีเดิม และถ้าจะเปิดบัญชีใหม่ก็ใช้ได้เฉพาะที่เคาน์เตอร์ ใช้แอปหรือช่องทางออนไลน์ไม่ได้
มาตรการในตัวอย่างนี้ไม่ได้แต่งขึ้นเอง สมาคมธนาคารไทยเล่าไว้ในหนังสือหารือถึงคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่า สถาบันการเงินใช้มาตรการเชิงรุกภายใน เช่น ยุติความสัมพันธ์กับลูกค้าในรายชื่อที่ไม่ผ่านการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า (Customer Due Diligence หรือ CDD) ไม่ให้เปิดบัญชีใหม่ หรือให้เปิดได้แต่ใช้ช่องทางอิเล็กทรอนิกส์ไม่ได้
คนทั่วไปเรียกบัญชีที่ถูกสงสัยว่าคนร้ายใช้รับหรือส่งต่อเงินว่า “บัญชีม้า” ข้อหารือไม่ได้ใช้คำนี้ แต่ถามถึงรายชื่อที่หน่วยงานทางการ เช่น ตำรวจ แจ้งมาที่สถาบันการเงิน และข้อมูลที่ธนาคารใช้ตามพระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 ในบทความนี้เราเรียกข้อมูลกลุ่มนี้รวมกันว่ารายชื่อบัญชีม้า
ข้อมูลนี้จะนับเป็นประวัติอาชญากรรมหรือไม่ มีผลทั้งต่อธนาคารและเจ้าของบัญชี พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) มาตรา 26 จัดประวัติอาชญากรรมไว้ในกลุ่มข้อมูลอ่อนไหว ห้ามเก็บโดยไม่ได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้น
นอกจากนี้ มาตรา 26 วรรคสามยังบังคับให้เก็บภายใต้การควบคุมของหน่วยงานที่มีอำนาจ หรือต้องมีมาตรการคุ้มครองตามที่คณะกรรมการประกาศกำหนด
รายชื่อบัญชีม้าที่ธนาคารได้รับ นับเป็นข้อมูลประวัติอาชญากรรมหรือไม่?
นับหรือไม่นับขึ้นกับว่าข้อมูลมาจากไหน คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำฯ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล แยกข้อมูลที่สมาคมธนาคารไทยถามมาเป็นสามแหล่ง แล้วใช้นิยามเดียวกันตัดสินทุกแหล่ง คือข้อ 3 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่องมาตรการคุ้มครองสำหรับการเก็บข้อมูลประวัติอาชญากรรม พ.ศ. 2566 (ต่อไปเรียกว่าประกาศฯ)
"ข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม" หมายความว่า ข้อมูลส่วนบุคคลเกี่ยวกับการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา ที่เป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการดำเนินการดังกล่าว ทั้งนี้ ไม่ว่าการดำเนินการนั้นจะถึงที่สุดแล้วหรือไม่ก็ตาม
| แหล่งข้อมูล | ตัวอย่างที่ข้อหารือยก | นับเป็นข้อมูลประวัติอาชญากรรมหรือไม่ |
|---|---|---|
| หนังสือจากกองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเศรษฐกิจ หรือศูนย์ปฏิบัติการแก้ไขปัญหาอาชญากรรมออนไลน์ (AOC) | หนังสือขอทราบข้อมูลบัญชีธนาคาร และขอให้ธนาคารตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า | นับ (ประเด็น 1.2) |
| หมายจากตำรวจหรือหน่วยงานรัฐที่มีอำนาจตามกฎหมาย | หมายคำสั่งให้อายัดบัญชีและธุรกรรม และหมายคำสั่งให้ตรวจสอบข้อมูล | นับ (ประเด็น 1.3) |
| ข้อมูลที่สถาบันการเงินแลกเปลี่ยนกันผ่านระบบ Central Fraud Registry (CFR) | ข้อมูลบัญชี ธุรกรรม และเส้นทางการเงินของลูกค้า ที่เปิดเผยหรือแลกกันตามมาตรา 4 ของพระราชกำหนดฯ | ต้องดูข้อเท็จจริงรายกรณี (ประเด็น 1.1) |
สำหรับหนังสือของหน่วยงานรัฐและหมายทั้งสองแบบ คณะอนุกรรมการฯ สรุปจากนิยามในข้อ 3 โดยตรงว่าเป็นข้อมูลประวัติอาชญากรรม
ส่วนระบบ CFR ต่างออกไป ข้อหารือสรุปมาตรา 4 ของพระราชกำหนดฯ ไว้ว่า CFR เป็นช่องทางที่สถาบันการเงินและผู้ประกอบธุรกิจเปิดเผยหรือแลกข้อมูลกันเองเมื่อมีเหตุอันควรสงสัย ผ่านระบบที่กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม สำนักงานตำรวจแห่งชาติ กรมสอบสวนคดีพิเศษ สำนักงาน ปปง. และธนาคารแห่งประเทศไทยเห็นชอบร่วมกัน
หากข้อมูลส่วนบุคคลที่เปิดเผยหรือแลกเปลี่ยนผ่านระบบหรือกระบวนการดังกล่าว ถูกนำไปใช้ในการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา และเป็นข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายเกี่ยวกับการดำเนินการนั้น จะถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามนิยามในข้อ ๓ ของประกาศฯ แต่หากเป็นเพียงข้อมูลที่สถาบันการเงินและผู้ประกอบธุรกิจเปิดเผยหรือแลกเปลี่ยนระหว่างกันเนื่องจากมีเหตุอันควรสงสัยว่ามีหรืออาจมีการกระทำความผิดอาชญากรรมทางเทคโนโลยี แต่ไม่ได้ถูกนำไปใช้ในการสืบสวนสอบสวนการกระทำความผิดอาญา การดำเนินคดีอาญา หรือการรับโทษทางอาญา หรือไม่ใช่ข้อมูลที่เป็นทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายในเรื่องนั้น ก็อาจยังไม่ถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามประกาศดังกล่าว
การอ่านของเรา: ถ้าธนาคารรู้จาก CFR เพียงว่าบัญชีหนึ่งมีธุรกรรมน่าสงสัย โดยยังไม่มีหน่วยงานรัฐรับรองหรือนำไปใช้ในคดี ข้อมูลนั้นน่าจะยังเป็นข้อมูลส่วนบุคคลทั่วไป แต่ถ้าข้อมูลชุดเดียวกันถูกใช้ในการสอบสวนภายหลัง สถานะของข้อมูลอาจเปลี่ยนไป ธนาคารจึงควรจดที่มาของข้อมูลแต่ละชิ้นไว้ตั้งแต่วันที่ได้รับ
ข้อมูลประวัติอาชญากรรม แปลว่าเจ้าของบัญชีทำผิดแล้วหรือ?
ไม่ได้แปลอย่างนั้น การนับเป็นข้อมูลประวัติอาชญากรรมบอกเพียงว่าข้อมูลที่ธนาคารถืออยู่เป็นข้อมูลประเภทใด และธนาคารต้องดูแลเข้มแค่ไหน ข้อหารือไม่ได้วินิจฉัยเลยว่าเจ้าของบัญชีคนใดกระทำความผิด
นิยามในข้อ 3 เริ่มนับตั้งแต่ชั้นสืบสวนสอบสวน และใช้คำว่า “ไม่ว่าการดำเนินการนั้นจะถึงที่สุดแล้วหรือไม่ก็ตาม” การอ่านของเราคือ ธนาคารอาจถือข้อมูลประวัติอาชญากรรมของคนที่ถูกระบุชื่อในหนังสือขอให้ตรวจสอบอยู่แล้ว แม้ยังไม่ถูกแจ้งข้อหา ยังไม่ถูกฟ้อง หรือในที่สุดไม่ได้กระทำผิด
ข้อหารืออีกเรื่องของสมาคมธนาคารไทย เรื่องการตรวจประวัติผู้สมัครงาน ใช้หลักเดียวกัน คณะอนุกรรมการฯ เห็นว่าเอกสารที่บันทึกว่าโจทก์ถอนฟ้องหรืออัยการสั่งไม่ฟ้อง ยังนับเป็นข้อมูลประวัติอาชญากรรม ส่วนผลตรวจที่ระบุเพียงว่าไม่พบประวัติ โดยไม่โยงถึงข้อมูลคดีใด ไม่นับ เรื่องนี้ในฝั่งงานบุคคลอ่านต่อได้ที่ขอประวัติอาชญากรรมผู้สมัครงานได้แค่ไหน
ธนาคารใช้รายชื่อบัญชีม้าโดยไม่ขอความยินยอมจากเราได้หรือไม่?
ได้ในสองกรณี และต้องระวังในกรณีที่สาม คณะอนุกรรมการฯ แยกคำตอบตามวัตถุประสงค์ที่ธนาคารใช้ข้อมูล และตามว่าใช้ภายใต้อำนาจของใคร ไม่ได้แยกตามตัวข้อมูล
ข้อหารืออ้างมาตรา 12 ของพระราชกำหนดฯ นอกจากนี้ งานของหน่วยงานรัฐตามพระราชกำหนดฯ อาจเข้ามาตรา 4 (2) และการสืบสวนสอบสวนคดีอาญาเข้ามาตรา 4 (5) ด้วย อย่างไรก็ดี ผู้ควบคุมข้อมูลที่ได้รับยกเว้นตามมาตรา 4 ยังต้องรักษาความมั่นคงปลอดภัยตามประกาศของคณะกรรมการสำหรับผู้ได้รับยกเว้น
เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อประโยชน์สาธารณะที่สำคัญตามมาตรา 26 (5) (จ) ประกอบมาตรา 27 วรรคหนึ่ง และถ้าหน่วยงานที่มีอำนาจเป็นผู้สั่งการหรือควบคุมโดยตรง อาจถือว่าทำภายใต้การควบคุมตามมาตรา 26 วรรคสามด้วย เว้นแต่ธนาคารเก็บไว้เพื่อใช้หรือเปิดเผยในวัตถุประสงค์อื่น
ไม่ถือว่าทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจ ต้องทำตามข้อ 6 ข้อ 7 และข้อ 8 ของประกาศฯ เสมอ ส่วนจะไม่ต้องขอความยินยอมโดยชัดแจ้งได้หรือไม่ ขึ้นกับว่าเข้ามาตรา 26 (5) (จ) หรือข้อยกเว้นอื่นในมาตรา 26 (1) ถึง (5)
หากการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมตามที่หารือ เป็นการปฏิบัติตามพระราชกำหนดมาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. ๒๕๖๖ ย่อมถือเป็นกรณีที่ไม่อยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ทั้งนี้ ตามมาตรา ๑๒ ของพระราชกำหนดดังกล่าว
มาตรการภายในของธนาคาร คือส่วนที่ต้องระวังที่สุด
สมาคมธนาคารไทยเสนอทางที่จะให้มาตรการภายในเข้าข้อยกเว้นไว้สองทาง ทางแรกขอให้ถือว่าทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจตามมาตรา 26 วรรคสาม จะได้ไม่ต้องทำตามประกาศฯ ทางที่สองขอให้ถือว่าเข้ามาตรา 26 (5) (จ) จะได้ไม่ต้องขอความยินยอมโดยชัดแจ้ง
สำหรับทางที่สองนี้ สมาคมฯ อ้างประกาศธนาคารแห่งประเทศไทย ที่ ธปท.ฝนข. (02) ว.224/2566 เรื่องนำส่งแนวนโยบายการบริหารจัดการภัยทุจริตจากการทำธุรกรรมทางการเงิน
ทางแรกไม่ผ่าน ถ้ามาตรการนั้นไม่ใช่สิ่งที่พระราชกำหนดฯ หรือกฎหมายอื่นกำหนดให้ทำภายใต้การควบคุมของหน่วยงานรัฐโดยตรง
หากไม่ใช่การดำเนินการตามที่บทบัญญัติแห่งพระราชกำหนดดังกล่าวหรือกฎหมายอื่นกำหนดภายใต้การควบคุมของหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายโดยตรง ก็ไม่ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย ตามนัยมาตรา ๒๖ วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่จะได้รับยกเว้นไม่ต้องปฏิบัติตามประกาศฯ ตามข้อ ๔ ของประกาศดังกล่าว จึงต้องปฏิบัติตามประกาศฯ โดยเฉพาะข้อ ๖ ข้อ ๗ และข้อ ๘
ทางที่สอง คณะอนุกรรมการฯ ไม่ได้ตอบว่าผ่านหรือไม่ผ่าน แต่ให้สถาบันการเงินตอบสองคำถามเอง คำถามแรก มีกฎหมายบังคับให้ผู้ควบคุมข้อมูลต้องทำสิ่งนั้น โดยมีเจตนารมณ์เกี่ยวกับประโยชน์สาธารณะที่สำคัญหรือไม่ คำถามที่สอง การเก็บและใช้ข้อมูลประวัติอาชญากรรมจำเป็นต่อการปฏิบัติตามกฎหมายนั้นหรือไม่
ถ้าผ่านทั้งสองข้อ ธนาคารไม่ต้องขอความยินยอมโดยชัดแจ้ง แต่ต้องจัดมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูล ถ้าไม่ผ่าน และไม่เข้าข้อยกเว้นอื่นในมาตรา 26 ทางเดียวที่เหลือคือความยินยอมโดยชัดแจ้ง
แต่หากไม่เข้าเงื่อนไขดังกล่าวและไม่ใช่กรณีอื่นตามมาตรา ๒๖ (๑) ถึง (๕) ก็จะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล
ถ้าธนาคารใช้มาตรการภายใน ต้องทำตามประกาศประวัติอาชญากรรมข้อไหนบ้าง?
ข้อ 6 ข้อ 7 และข้อ 8 ใช้กับทุกกรณี ส่วนข้อ 5 และข้อ 9 ใช้เพิ่มเมื่อวัตถุประสงค์ของธนาคารเข้าข้อ 5 วรรคหนึ่ง (1) (2) หรือ (3) ตามที่คณะอนุกรรมการฯ ระบุไว้ ตารางนี้เรียงหน้าที่ตามตัวบทของประกาศฯ
| ข้อ | ใช้เมื่อไร | ธนาคารต้องทำอะไร |
|---|---|---|
| ข้อ 6 | เมื่อธนาคารขอความยินยอม | แจ้งผลกระทบของการไม่ให้ความยินยอมหรือการถอนความยินยอม ไปพร้อมกับการขอความยินยอม |
| ข้อ 7 | ทุกกรณี | จัดมาตรการเชิงองค์กรและเชิงเทคนิค รวมถึงมาตรการทางกายภาพถ้าจำเป็น ให้เก็บ ใช้ และเปิดเผยเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย |
| ข้อ 8 | ทุกกรณี | รักษาความมั่นคงปลอดภัยให้เหมาะกับความเสี่ยงต่อสิทธิและเสรีภาพ และไม่ต่ำกว่ามาตรฐานขั้นต่ำตามมาตรา 37 (1) |
| ข้อ 5 | เมื่อวัตถุประสงค์เข้าข้อ 5 วรรคหนึ่ง (1) (2) หรือ (3) | เก็บได้เฉพาะเมื่อมีกฎหมายบังคับให้ตรวจสอบ หรือได้รับความยินยอมโดยชัดแจ้ง ถ้าข้อมูลสำคัญอย่างยิ่งต้องแจ้งความจำเป็นตั้งแต่ขั้นประกาศหรือรับเรื่อง |
| ข้อ 9 | เมื่อเข้าข้อ 5 และไม่มีกฎหมายเฉพาะหรือความจำเป็นตามกฎหมายคุ้มครองข้อมูล | เก็บต่อได้ไม่เกิน 6 เดือนนับแต่การพิจารณาแต่ละรายเสร็จ เว้นแต่ได้รับความยินยอมโดยชัดแจ้งเป็นอย่างอื่น แล้วลบ ทำลาย หรือทำให้ระบุตัวไม่ได้ |
ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อควบคุมให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลตามประกาศนี้ เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
ข้อแนะนำของเรา: ข้อ 7 แปลเป็นงานจริงได้สามเรื่อง จำกัดสิทธิเปิดดูรายชื่อไว้เฉพาะทีมที่ต้องใช้ เก็บบันทึกว่าใครเปิดดูเมื่อไร และแยกช่องที่บอกว่าลูกค้าอยู่ในรายชื่อออกจากหน้าบัญชีที่พนักงานสาขาทุกคนเห็น
ข้อ 5 กับมาตรการปิดบัญชีและจำกัดบริการ
การอ่านของเรา: ข้อ 5 วรรคหนึ่ง (3) พูดถึงการตรวจสอบคุณสมบัติหรือลักษณะต้องห้ามของบุคคลก่อน “ให้บริการอื่นแก่บุคคล” โดยผู้ควบคุมข้อมูลนอกภาครัฐ การตัดสินว่าจะให้ใครเปิดบัญชีหรือใช้ช่องทางออนไลน์ อาจเข้าข้อนี้ได้
ถ้าเข้าข้อนี้ ธนาคารต้องมีกฎหมายบังคับให้ตรวจ หรือต้องได้ความยินยอมโดยชัดแจ้ง และต้องนับระยะเก็บตามข้อ 9 ข้อหารือไม่ได้ชี้ประเด็นนี้ ฝ่ายกฎหมายของธนาคารควรพิจารณาเป็นรายมาตรการ
เก็บรายชื่อไว้ได้นานแค่ไหน
สมาคมธนาคารไทยถามเรื่องนี้ไว้ตรง ๆ ในประเด็น 2.3 ว่าอ้างระยะเวลาตามกฎหมายป้องกันและปราบปรามการฟอกเงิน หรืออายุความคดีอาญาตามมาตรา 95 แห่งประมวลกฎหมายอาญาได้หรือไม่ แต่ความเห็นที่พิมพ์ไว้ในหนังสือรวมข้อหารือตอบเฉพาะประเด็น (1) (2.1) และ (2.2) ไม่มีคำตอบของประเด็น 2.3
หลักที่ใช้ได้จึงมาจากตัวบท มาตรา 37 (3) ของ PDPA ให้ผู้ควบคุมข้อมูลมีระบบตรวจสอบเพื่อลบหรือทำลายข้อมูลเมื่อพ้นระยะเก็บรักษาหรือเกินความจำเป็น เว้นแต่เก็บไว้เพื่อการปฏิบัติตามกฎหมาย หรือเพื่อก่อตั้ง ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย ส่วนข้อ 9 ของประกาศฯ ใช้เมื่อวัตถุประสงค์เข้าข้อ 5
ข้อแนะนำของเราคือกำหนดระยะเก็บแยกตามแหล่งข้อมูลและตามฐาน แล้วจดเหตุผลไว้ในบันทึกรายการตามมาตรา 39 แนวทางวางระยะเก็บดูได้ในคู่มือระยะเก็บและการลบข้อมูล
คนที่ติดรายชื่อ ขอดูหรือขอแก้ข้อมูลที่ธนาคารถือไว้ได้หรือไม่?
ได้ในส่วนที่ PDPA ใช้บังคับ คือเมื่อธนาคารใช้ข้อมูลตามกฎหมายอื่น ตามหมายหรือคำสั่งที่ไม่ได้รับยกเว้น หรือใช้กับมาตรการภายในของตนเอง ส่วนที่ธนาคารทำตามพระราชกำหนดฯ ข้อหารือเห็นว่าไม่อยู่ใต้ PDPA การอ่านของเราคือ สิทธิของเจ้าของข้อมูลตามหมวด 3 ของ PDPA จึงใช้กับส่วนนั้นไม่ได้
เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตนซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลดังกล่าวที่ตนไม่ได้ให้ความยินยอม ผู้ควบคุมข้อมูลส่วนบุคคลต้องปฏิบัติตามคำขอตามวรรคหนึ่ง จะปฏิเสธคำขอได้เฉพาะในกรณีที่เป็นการปฏิเสธตามกฎหมายหรือคำสั่งศาล และการเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลนั้นจะส่งผลกระทบที่อาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น
คนที่ติดรายชื่อมักอยากรู้ที่สุดว่าชื่อของตนมาจากไหน มาตรา 30 วรรคหนึ่งรองรับคำขอแบบนี้โดยตรง เพราะให้สิทธิขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลที่ตนไม่ได้ให้ความยินยอม และตามมาตรา 30 วรรคสี่ ถ้าปฏิเสธไม่ได้ ธนาคารต้องทำตามคำขอโดยไม่ชักช้า แต่ไม่เกิน 30 วันนับแต่ได้รับคำขอ
ธนาคารปฏิเสธได้เฉพาะตามที่มาตรา 30 วรรคสองเปิดไว้ ถ้ามีกฎหมายอื่นห้ามเปิดเผยข้อมูลบางส่วน ธนาคารต้องชี้กฎหมายนั้นได้ และต้องบันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตามมาตรา 39 ตามมาตรา 30 วรรคสาม การอ่านของเราคือ การตอบว่า “บอกไม่ได้” โดยไม่อ้างเหตุใดเลย ไม่เพียงพอตามมาตรา 30
ถ้าชื่อในรายชื่อไม่ใช่เรา หรือข้อมูลไม่ถูกต้อง
ธนาคารมีหน้าที่ดูแลให้ข้อมูลรายชื่อที่ตนบันทึกไว้ถูกต้องตรงกับความจริง โดยไม่ต้องรอให้เจ้าของบัญชีทักท้วงก่อน
ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการให้ข้อมูลส่วนบุคคลนั้นถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด
ถ้าเจ้าของบัญชีขอให้แก้แล้วธนาคารไม่แก้ มาตรา 36 ให้ธนาคารบันทึกคำร้องขอพร้อมเหตุผลไว้ในรายการตามมาตรา 39 และนำมาตรา 34 วรรคสองมาใช้โดยอนุโลม คือเจ้าของข้อมูลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ เพื่อสั่งให้ผู้ควบคุมข้อมูลทำตามได้
การอ่านของเรา: สิทธิขอแก้ใช้กับข้อมูลที่ธนาคารบันทึกเอง เช่น จับคู่เลขบัตรประชาชนผิดคน หรือยังติดสถานะไว้ทั้งที่หน่วยงานรัฐแจ้งเปลี่ยนแปลงแล้ว แต่ใช้สั่งให้ธนาคารลบรายชื่อที่หน่วยงานรัฐส่งมาอย่างถูกต้องไม่ได้ การขอให้หน่วยงานที่แจ้งรายชื่อทบทวน เป็นเรื่องตามกฎหมายที่หน่วยงานนั้นใช้ และอยู่นอกเรื่องของบทความนี้
สิทธิขอลบตามมาตรา 33 ใช้ได้จำกัดในเรื่องนี้ เพราะมาตรา 33 วรรคสองไม่ให้นำสิทธิขอลบมาใช้กับการเก็บรักษาเพื่อการปฏิบัติตามกฎหมาย หรือเพื่อก่อตั้ง ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย ถ้าธนาคารเก็บรายชื่อไว้ด้วยเหตุเหล่านี้ คำขอลบก็อาจไม่สำเร็จ
ข้อแนะนำของเราสำหรับเจ้าของบัญชีที่ติดรายชื่อ เรียงตามลำดับที่ควรทำ ภาพรวมของการยื่นคำขอใช้สิทธิอยู่ในคู่มือคำขอใช้สิทธิ
- ขอให้ธนาคารตอบเป็นหนังสือว่าข้อมูลมาจากแหล่งใด เช่น หนังสือของหน่วยงานรัฐ หมาย หรือระบบ CFR และธนาคารใช้ข้อมูลในฐานะทำตามพระราชกำหนดฯ ทำตามกฎหมายอื่น หรือเป็นมาตรการภายใน
- ยื่นคำขอเข้าถึงและขอสำเนาข้อมูลตามมาตรา 30 พร้อมขอให้เปิดเผยว่าธนาคารได้ข้อมูลมาอย่างไร จดวันที่ยื่นไว้ เพราะกำหนด 30 วันนับจากวันที่ธนาคารได้รับคำขอ
- ถ้าพบว่าข้อมูลผิดคนหรือไม่เป็นปัจจุบัน ยื่นคำขอแก้ตามมาตรา 35 และมาตรา 36 แนบหลักฐาน เช่น หนังสือจากหน่วยงานที่แจ้งรายชื่อ
- ถ้าธนาคารขอความยินยอมเพื่อใช้ข้อมูลกับมาตรการภายใน ถามให้ชัดว่าการไม่ให้หรือถอนความยินยอมมีผลอย่างไร ธนาคารต้องแจ้งเรื่องนี้ตามข้อ 6 ของประกาศฯ
- ถ้าธนาคารไม่ตอบ หรือปฏิเสธโดยไม่อ้างเหตุตามกฎหมาย เก็บหลักฐานการติดต่อทั้งหมดไว้ แล้วใช้สิทธิร้องเรียนตามมาตรา 73 ของ PDPA
ธนาคารและฟินเทคควรวางขั้นตอนรับมือรายชื่อบัญชีม้าอย่างไร?
เริ่มจากแยกให้ออกตั้งแต่วันที่ได้รับรายชื่อว่าข้อมูลมาจากไหนและจะใช้ภายใต้ฐานอะไร เพราะคำตอบของคณะอนุกรรมการฯ ทุกข้อขึ้นกับสองเรื่องนี้ ลำดับด้านล่างเป็นข้อแนะนำของเราที่เรียงจากข้อหารือและตัวบท ไม่ใช่ขั้นตอนที่ สคส. กำหนดไว้
- เมื่อได้รับรายชื่อหรือหนังสือจดว่ามาจากแหล่งใด หนังสือของหน่วยงานรัฐ หมาย หรือระบบ CFR และข้อมูลนั้นมีหน่วยงานรัฐรับรองหรือถูกใช้ในคดีอาญาหรือไม่ประกาศฯ ข้อ 3
- ก่อนนำข้อมูลไปใช้ระบุว่าการใช้ครั้งนี้เป็นการทำตามพระราชกำหนดฯ ตามกฎหมายหรือหมายอื่น หรือเป็นมาตรการภายในของธนาคารเองมาตรา 26 วรรคสาม · 26 (5) (จ)
- ถ้าเป็นมาตรการภายในตอบสองคำถามของมาตรา 26 (5) (จ) เป็นลายลักษณ์อักษร ถ้าไม่ผ่านและไม่เข้าข้อยกเว้นอื่น ต้องขอความยินยอมโดยชัดแจ้ง พร้อมแจ้งผลของการไม่ยินยอมมาตรา 26 · 27 วรรคหนึ่ง · ประกาศฯ ข้อ 6
- ทุกครั้งที่ใช้หรือเปิดเผยโดยไม่ขอความยินยอมบันทึกการใช้หรือเปิดเผยนั้นไว้ในบันทึกรายการมาตรา 27 วรรคสาม · 39
- ตลอดเวลาที่เก็บรายชื่อจำกัดคนเข้าถึง เก็บบันทึกการเปิดดู และรักษาความมั่นคงปลอดภัยไม่ต่ำกว่ามาตรฐานขั้นต่ำประกาศฯ ข้อ 7 · 8
- เมื่อลูกค้ายื่นคำขอตอบภายใน 30 วัน ถ้าปฏิเสธต้องอ้างกฎหมายหรือคำสั่งศาลได้ และบันทึกเหตุผลมาตรา 30 · 36
- เมื่อพ้นระยะเก็บหรือหมดความจำเป็นลบ ทำลาย หรือทำให้ระบุตัวไม่ได้ ตามระยะที่กำหนดไว้ต่อแหล่งข้อมูลมาตรา 37 (3) · ประกาศฯ ข้อ 9
ในส่วนที่ PDPA ใช้บังคับ ความเสี่ยงของธนาคารชัดเจน มาตรา 84 กำหนดโทษปรับทางปกครองไม่เกิน 5 ล้านบาท สำหรับผู้ควบคุมข้อมูลที่ฝ่าฝืนมาตรา 26 วรรคหนึ่งหรือวรรคสาม หรือมาตรา 27 วรรคหนึ่งหรือวรรคสอง และมาตรา 79 มีโทษอาญาเมื่อฝ่าฝืนมาตรา 27 กับข้อมูลตามมาตรา 26 ในลักษณะที่น่าจะทำให้ผู้อื่นเสียหาย เสียชื่อเสียง ถูกดูหมิ่น ถูกเกลียดชัง หรือได้รับความอับอาย
ข้อหารือนี้เป็นความเห็นของคณะอนุกรรมการฯ ที่ตอบสมาคมธนาคารไทย ไม่ใช่ตัวบทกฎหมายและไม่ใช่คำสั่งทางปกครอง แต่บอกให้รู้ว่าฝ่ายที่กำกับดูแล PDPA มองเรื่องนี้อย่างไร ธนาคารที่วางขั้นตอนตามแนวนี้และจดเหตุผลไว้ จะชี้แจงการตัดสินใจของตนได้ง่ายกว่า
กรณีตำรวจขอข้อมูลลูกค้าจากบริษัทโดยตรง อ่านต่อได้ที่ตำรวจขอข้อมูลลูกค้า บริษัทส่งให้ได้แค่ไหน
คำถามที่พบบ่อย
ติดรายชื่อบัญชีม้าแล้ว จะมีชื่อในทะเบียนประวัติอาชญากรของตำรวจหรือไม่?
ข้อหารือนี้ไม่ได้ตอบเรื่องทะเบียนของตำรวจ คณะอนุกรรมการฯ พูดเฉพาะว่าข้อมูลที่ธนาคารถือไว้เป็นข้อมูลประเภทใดตาม PDPA และธนาคารต้องดูแลอย่างไร การที่ธนาคารถือข้อมูลประวัติอาชญากรรมของเรา ไม่ได้บอกอะไรเกี่ยวกับทะเบียนของหน่วยงานอื่น
ธนาคารต้องขอความยินยอมจากเราก่อนปิดบัญชีหรือไม่?
ขึ้นกับว่าธนาคารใช้ข้อมูลในฐานะอะไร ถ้าทำตามพระราชกำหนดฯ PDPA ไม่ใช้บังคับ ถ้าทำตามกฎหมายหรือหมายอื่นที่ไม่ได้รับยกเว้น ไม่ต้องขอความยินยอมโดยชัดแจ้งตามมาตรา 26 (5) (จ) แต่ถ้าเป็นมาตรการภายในที่ไม่เข้าข้อยกเว้นใดในมาตรา 26 ต้องได้รับความยินยอมโดยชัดแจ้ง ข้อหารือพูดถึงการเก็บและใช้ข้อมูลเท่านั้น ไม่ได้ตอบว่าธนาคารมีสิทธิปิดบัญชีตามสัญญาหรือไม่
ขอให้ธนาคารบอกได้หรือไม่ว่าชื่อเรามาจากหน่วยงานไหน?
ขอได้ในส่วนที่ PDPA ใช้บังคับ มาตรา 30 วรรคหนึ่งให้สิทธิขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลที่เราไม่ได้ให้ความยินยอม ธนาคารปฏิเสธได้เฉพาะตามมาตรา 30 วรรคสอง และต้องบันทึกการปฏิเสธพร้อมเหตุผลไว้ในรายการตามมาตรา 39
ธนาคารเก็บรายชื่อของเราไว้ได้นานแค่ไหน?
สมาคมธนาคารไทยถามเรื่องนี้ แต่ความเห็นที่พิมพ์ไว้ไม่มีคำตอบ หลักที่ใช้ได้คือมาตรา 37 (3) ของ PDPA และถ้าวัตถุประสงค์เข้าข้อ 5 ของประกาศฯ ข้อ 9 ให้เก็บต่อได้ไม่เกิน 6 เดือนหลังการพิจารณาแต่ละรายเสร็จ เว้นแต่มีกฎหมายเฉพาะ มีความจำเป็นตามกฎหมายคุ้มครองข้อมูล หรือได้รับความยินยอมโดยชัดแจ้งเป็นอย่างอื่น
ฟินเทคหรือผู้ให้บริการกระเป๋าเงินอิเล็กทรอนิกส์ใช้หลักเดียวกันหรือไม่?
ข้อหารือตอบสมาคมธนาคารไทย แต่ข้อความในความเห็นพูดถึง “สถาบันการเงินและผู้ประกอบธุรกิจ” ที่มีหน้าที่ตามมาตรา 4 ของพระราชกำหนดฯ ด้วย การอ่านของเราคือผู้ประกอบธุรกิจที่อยู่ใต้พระราชกำหนดฯ ใช้หลักเดียวกันได้ แต่ผู้ให้บริการแต่ละรายต้องตรวจก่อนว่าพระราชกำหนดฯ ใช้กับตนหรือไม่ ถ้าไม่ใช้ การนำรายชื่อไปใช้ก็อ้างการยกเว้นตามมาตรา 12 ของพระราชกำหนดฯ ไม่ได้
อ่านจบแล้ว ทำต่อให้เสร็จได้เลย
เปิดบัญชีตัวอย่างดูระบบ AIPDPA ของจริงกับข้อมูลบริษัทสมมติ ทั้งทะเบียน RoPA เหตุละเมิด 72 ชั่วโมง คำขอใช้สิทธิ คุกกี้แบนเนอร์ และเอกสารพร้อมใช้ ครบในระบบเดียว
เริ่มต้น 2,900 บาท/ปี (11 โมดูล) · ครบ 24 โมดูลตั้งแต่ ENTERPRISE 19,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
ไม่มีเวลาทำเอง ให้ทีมทนายดูแลให้ →ทีมทนายความ Kooru วางระบบและเป็น DPO ให้
ตัวบทและแหล่งอ้างอิง
- สำเนาสรุปการตอบข้อหารือ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — ข้อหารือ เรื่อง สมาคมธนาคารไทยขอหารือว่าข้อมูลที่สถาบันการเงินดำเนินการตามมาตรการป้องกันอาชญากรรมทางเทคโนโลยี … หรือรายชื่อที่หน่วยงานทางการ เช่น ตำรวจ แจ้งมาที่สถาบันการเงิน เข้าข่ายเป็นข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมหรือไม่ · ข้อหารือ เรื่อง สมาคมธนาคารไทย ขอหารือการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม (ประเด็นที่ 1)
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์เกี่ยวกับมาตรการคุ้มครองสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติอาชญากรรมที่มิได้กระทำภายใต้การควบคุมของหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย พ.ศ. 2566 — ข้อ 3 · 4 · 5 · 6 · 7 · 8 · 9
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 4 (2) (5) และวรรคสาม · 26 (5) (จ) และวรรคสาม · 27 · 30 · 33 · 34 วรรคสอง · 35 · 36 · 37 (3) · 39 · 73 · 79 · 84
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)