ข้อหารือที่ 1/2568 — กกต. (ทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากทะเบียนบ้าน)
สารบัญในมาตรานี้
ข้อกฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6 มาตรา 22 มาตรา 24 มาตรา 27 และ มาตรา 37 (1)
- พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560 มาตรา 36 มาตรา 50 และมาตรา 51
- พระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการเลือกตั้งสมาชิกสภาผู้แทนราษฎร พ.ศ. 2561 มาตรา 31 และมาตรา 32
- พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 มาตรา 7 วรรคสาม
- พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 มาตรา 4 มาตรา 13 มาตรา 14 และมาตรา 16
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง ปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ข้อ 4 (5)
ข้อหารือ
สำนักงานคณะกรรมการการเลือกตั้ง (สำนักงาน กกต.) ขอหารือกรณีการจัดทำทะเบียน รายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน ตามบทบัญญัติมาตรา 36 แห่งพระราชบัญญัติประกอบ รัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560 ที่บัญญัติให้คณะกรรมการการเลือกตั้งจัดให้มี การทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้านตามกฎหมายว่าด้วยการทะเบียนราษฎร และเผยแพร่ให้ประชาชนทราบ รวมทั้งให้ผู้มีส่วนได้เสียมีสิทธิตรวจสอบและขอแก้ไขให้ถูกต้องได้ โดยอาจขอ เชื่อมโยงฐานข้อมูลทะเบียนราษฎรเพื่อนำมาดำเนินการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งหรืออาจ มอบหมายให้นายทะเบียนตามกฎหมายว่าด้วยการทะเบียนราษฎรหรือบุคคลอื่นที่เห็นสมควรเป็นผู้จัดทำแทน ได้ ตามหลักเกณฑ์และวิธีการที่คณะกรรมการการเลือกตั้งกำหนด โดยในการออกแบบร่างทะเบียนรายชื่อ ผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน สำนักงาน กกต. ได้ศึกษาข้อมูลเกี่ยวกับทะเบียนรายชื่อผู้มีสิทธิ เลือกตั้งของต่างประเทศ รวมทั้งได้ประชุมร่วมกับสำนักบริหารการทะเบียน กรมการปกครอง และได้จัดทำ โครงสร้างร่างทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน ทั้งนี้ เพื่อให้หลักเกณฑ์และวิธีการ เกี่ยวกับการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้านมีความสอดคล้องและไม่ขัดกับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำนักงานคณะกรรมการการเลือกตั้งจึงขอหารือว่า การดำเนินการตามสาระสำคัญและโครงสร้างร่างทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน ดังกล่าวข้างต้น มีส่วนใดไม่เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ตลอดจนระเบียบ ประกาศ และแนวทางที่เกี่ยวข้องหรือไม่ อย่างไร
ความเห็น
คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วย การคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าวแล้ว เห็นว่า สำนักงาน กกต. มีฐานะเป็นนิติบุคคลตามมาตรา 50 แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วย คณะกรรมการการเลือกตั้ง พ.ศ. 2560 และกรมการปกครองมีฐานะเป็นนิติบุคคลตามมาตรา 7 วรรคสาม แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 ซึ่งทั้งสองหน่วยงานมีอำนาจหน้าที่ตัดสินใจ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตามบทนิยามใน มาตรา 6 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การที่มาตรา 36 แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560 กำหนดให้ คณะกรรมการการเลือกตั้งจัดให้มีการทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้าน ตามกฎหมายว่าด้วยการทะเบียนราษฎรและเผยแพร่ให้ประชาชนทราบ โดยในการดำเนินการดังกล่าว คณะกรรมการการเลือกตั้งอาจขอเชื่อมโยงฐานข้อมูลทะเบียนราษฎรจากสำนักบริหารการทะเบียน กรมการปกครอง เพื่อนำมาดำเนินการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้ง สำนักงาน กกต. ซึ่งมีหน้าที่ และอำนาจรับผิดชอบงานธุรการ และดำเนินการเพื่อให้คณะกรรมการบรรลุภารกิจและหน้าที่ตามที่กำหนด ตามมาตรา 51 แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560 จึงมีหน้าที่ตามกฎหมายในการดำเนินการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ ในการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งจากหลักฐานทะเบียนบ้านและเผยแพร่ให้ประชาชนทราบ ซึ่งถือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ และเป็นการปฏิบัติ ตามกฎหมายของสำนักงาน กกต. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ตาม มาตรา 24 (4) และ (6) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 นอกจากนี้ พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 มาตรา 4 มาตรา 13 มาตรา 14 และมาตรา 16 กำหนดว่า เพื่อให้การบริหารงานภาครัฐ และการจัดทำบริการสาธารณะเป็นไปด้วยความสะดวกรวดเร็ว มีประสิทธิภาพ และตอบสนองต่อการให้บริการ และการอำนวยความสะดวกแก่ประชาชน ให้หน่วยงานของรัฐจัดให้มีการบริหารงานและการจัดทำบริการ สาธารณะในรูปแบบและช่องทางดิจิทัล โดยมีการบริหารจัดการและการบูรณาการข้อมูลภาครัฐและการทำงาน ให้มีความสอดคล้องกันและเชื่อมโยงเข้าด้วยกันอย่างมั่นคงปลอดภัยและมีธรรมาภิบาล โดยให้หน่วยงานของรัฐ จัดให้มีการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่มีการจัดทำและครอบครองตามที่หน่วยงานของรัฐแห่งอื่น ร้องขอ ที่จะเกิดการบูรณาการร่วมกัน ซึ่งหน่วยงานของรัฐผู้รับข้อมูลดิจิทัลต้องใช้ข้อมูลดังกล่าว ตามวัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษาข้อมูลให้มีความมั่นคงปลอดภัย ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล และภายใต้บทบัญญัติแห่งกฎหมายว่าด้วย การคุ้มครองข้อมูลส่วนบุคคล ในกรณีที่หน่วยงานของรัฐได้มาซึ่งข้อมูลส่วนบุคคลหรือมีข้อมูลส่วนบุคคลอยู่ใน ความครอบครอง หากหน่วยงานของรัฐประสงค์จะใช้ข้อมูลส่วนบุคคลดังกล่าวในรูปแบบข้อมูลดิจิทัล เพื่อประโยชน์ในการบริหารราชการแผ่นดิน หน่วยงานของรัฐนั้นสามารถขอเชื่อมโยงและแลกเปลี่ยนข้อมูล ส่วนบุคคลนั้นจากหน่วยงานของรัฐที่ครอบครองเพื่อนำมาวิเคราะห์หรือประมวลผลได้ ด้วยเหตุนี้ หากการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลระหว่างสำนักงาน กกต. และสำนัก บริหารการทะเบียน กรมการปกครอง เป็นไปเพื่อการบริหารงานภาครัฐและการจัดทำบริการสาธารณะ และอยู่ภายใต้วัตถุประสงค์ในหน้าที่และอำนาจของตน และมีการดูแลรักษาข้อมูลให้มีความมั่นคงปลอดภัย ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล และปฏิบัติให้เป็นไปตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องมีฐานทางกฎหมายในการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่กำหนดไว้ใน มาตรา 24 ประกอบ มาตรา 27 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สำนักงาน กกต. ก็สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้ตาม มาตรา 24 (4) และ (6) ประกอบ มาตรา 27 วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และมาตรา 36 แห่งพระราชบัญญัติประกอบ รัฐธรรมนูญว่าด้วยคณะกรรมการการเลือกตั้ง พ.ศ. 2560 ในขณะที่กรมการปกครองย่อมสามารถเปิดเผย ข้อมูลส่วนบุคคลดังกล่าวให้แก่สำนักงาน กกต. ได้ ตาม มาตรา 24 (4) และ (6) ประกอบ มาตรา 27 วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ทั้งนี้ ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลดังกล่าว สำนักงาน กกต. และสำนักบริหารการทะเบียน กรมการปกครองต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ตามที่กำหนดใน มาตรา 37 (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดในประกาศคณะกรรมการคุ้มครอง ข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 โดยข้อ 4 (5) กำหนดให้คำนึงถึงหลักการป้องกันเชิงลึก (defense in depth) ที่ควรประกอบด้วยมาตรการป้องกัน หลายชั้น (multiple layers of security controls) เพื่อลดความเสี่ยงในการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ในกรณีที่มาตรการบางมาตรการ มีข้อจำกัดในการป้องกันความมั่นคงปลอดภัยในบางสถานการณ์ ดังนั้น สำนักงาน กกต. จึงควรพิจารณาจัดให้ มีมาตรการรักษาความมั่นคงปลอดภัยสำหรับการเข้าถึงข้อมูลส่วนบุคคลของผู้มีสิทธิเลือกตั้งดังกล่าวโดยมี รูปแบบการพิสูจน์และยืนยันตัวตน (identity proofing and authentication) ที่เหมาะสมตามระดับความ เสี่ยง ทั้งนี้ สำนักงาน กกต. อาจพิจารณาดำเนินการตามมาตรฐานธุรกรรมทางอิเล็กทรอนิกส์ การพิสูจน์ และยืนยันตัวตนทางดิจิทัล - เล่ม 3: ข้อกำหนดของการยืนยันตัวตน (มธอ. 11 เล่ม 3-2566) ของสำนักงาน พัฒนาธุรกรรมทางอิเล็กทรอนิกส์ กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เพื่อการรักษาความมั่นคงปลอดภัย ของข้อมูลส่วนบุคคลของผู้มีสิทธิเลือกตั้งในฐานะเจ้าของข้อมูลส่วนบุคคล นอกจากนี้ ในการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้ง สำนักงาน กกต. ควรพิจารณา เก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตามนัย มาตรา 22 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยพิจารณาจากคุณสมบัติของผู้มีสิทธิเลือกตั้ง เช่น คุณสมบัติของผู้มีสิทธิเลือกตั้งสมาชิกสภาผู้แทนราษฎร ตามมาตรา 31 และลักษณะของบุคคล ต้องห้ามมิให้ใช้สิทธิเลือกตั้ง ตามมาตรา 32 แห่งพระราชบัญญัติประกอบรัฐธรรมนูญว่าด้วยการเลือกตั้ง สมาชิกสภาผู้แทนราษฎร พ.ศ. 2561 เป็นสำคัญ เพื่อให้สามารถตรวจสอบคุณสมบัติและลักษณะต้องห้าม ในการจัดทำทะเบียนรายชื่อผู้มีสิทธิเลือกตั้งในการเลือกตั้งแต่ละรูปแบบหรือประเภทได้อย่างถูกต้อง