ข้อหารือที่ 15/2566 — นิติบุคคลอาคารชุด อ. (องค์กรไม่แสวงหากำไร)
สารบัญในมาตรานี้
ข้อกฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 22, มาตรา 23, มาตรา 37 (1) และ มาตรา 39
- พระราชบัญญัติอาคารชุด พ.ศ. 2522 — มาตรา 33
- ประมวลรัษฎากร — มาตรา 39 และมาตรา 77/2
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 ข้อ 3 (5)
ข้อหารือ
นิติบุคคลอาคารชุด อ. ขอหารือกรณีประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การยกเว้นการบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็ก พ.ศ. 2565 ได้มีการระบุข้อความในข้อ 3 (5) ว่า "องค์กรที่ไม่แสวงหากำไร" เป็นลักษณะอย่างหนึ่งของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่ได้รับการยกเว้นไม่ต้องดำเนินการตาม มาตรา 39 วรรคหนึ่ง (1) (2) (3) (4) (5) (6) และ (8)
และได้อ้างถึงหนังสือกรมสรรพากร ที่ กค 0842/สก./1682 ลงวันที่ 17 กุมภาพันธ์ 2540 ซึ่งระบุว่า นิติบุคคลอาคารชุดไม่เข้าลักษณะเป็นบริษัทหรือห้างหุ้นส่วนนิติบุคคลตามมาตรา 39 แห่งประมวลรัษฎากร ซึ่งหมายความว่านิติบุคคลอาคารชุดเป็นนิติบุคคลประเภทไม่แสวงหาผลกำไร
จึงขอสอบถามว่า นิติบุคคลอาคารชุด อ. เข้าข่าย "องค์กรที่ไม่แสวงหากำไร" ตามข้อ 3 (5) ของประกาศ คคส. ดังกล่าวและได้รับการยกเว้นไม่ต้องดำเนินการตาม มาตรา 39 วรรคหนึ่ง (1) (2) (3) (4) (5) (6) (7) และ (8) แห่ง PDPA หรือไม่
ความเห็น
คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อหารือและข้อกฎหมายประกอบกับเอกสารที่เกี่ยวข้องแล้ว เห็นว่า นิติบุคคลอาคารชุดที่ได้จดทะเบียนตามกฎหมายว่าด้วยอาคารชุดมีฐานะเป็นนิติบุคคลตามมาตรา 33 วรรคหนึ่ง แห่งพระราชบัญญัติอาคารชุด พ.ศ. 2522 และมาตรา 33 วรรคสอง บัญญัติว่า นิติบุคคลอาคารชุดมีวัตถุประสงค์เพื่อจัดการ และดูแลรักษาทรัพย์ส่วนกลาง และมีอำนาจกระทำการใด ๆ เพื่อประโยชน์ตามวัตถุประสงค์ดังกล่าว
ประกอบกับหนังสือตอบข้อหารือของกรมสรรพากร และคำวินิจฉัยของคณะกรรมการวินิจฉัยภาษีอากร ที่ 33/2540 (ภาษีมูลค่าเพิ่ม) ก็ได้วินิจฉัยว่า นิติบุคคลอาคารชุดที่จัดตั้งขึ้นตามกฎหมายว่าด้วยอาคารชุด ซึ่งกระทำกิจกรรมเฉพาะเพื่อจัดการและดูแลทรัพย์สินส่วนกลาง และมิได้กระทำกิจการใดนอกเหนือจากวัตถุประสงค์ตามที่กฎหมายว่าด้วยอาคารชุดกำหนดไว้ รวมทั้งไม่ได้ขายสินค้าหรือให้บริการใดกับบุคคลอื่นซึ่งมิใช่เจ้าของห้องชุดนั้น ยังไม่เข้าลักษณะเป็นผู้ประกอบการที่อยู่ในบังคับต้องเสียภาษีมูลค่าเพิ่มตามมาตรา 77/2 แห่งประมวลรัษฎากร จึงไม่ต้องนำเงินกองทุน ค่าใช้จ่ายส่วนกลาง และค่าสาธารณูปโภคมาร่วมคำนวณเสียภาษีมูลค่าเพิ่ม
จากหลักเกณฑ์ดังกล่าวจึงอาจถือได้ว่า นิติบุคคลอาคารชุดโดยทั่วไปเป็นนิติบุคคลที่มีลักษณะเป็นองค์กรที่ไม่แสวงหากำไร ซึ่งได้รับการยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนตามข้อ 3 (5) ของประกาศ คคส. ซึ่งออกตามความใน มาตรา 39 วรรคหนึ่ง แห่ง PDPA
ดังนั้น หากนิติบุคคลอาคารชุด อ. เป็นนิติบุคคลที่มีลักษณะดังกล่าวข้างต้น กล่าวคือ ได้จดทะเบียนเป็นนิติบุคคลอาคารชุดตามกฎหมายว่าด้วยอาคารชุด มีวัตถุประสงค์เพื่อจัดการ และดูแลรักษาทรัพย์ส่วนกลาง และมีอำนาจกระทำการใด ๆ เพื่อประโยชน์ตามวัตถุประสงค์ดังกล่าว ไม่ได้กระทำกิจการใดนอกเหนือจากวัตถุประสงค์ดังกล่าวตามที่กฎหมายว่าด้วยอาคารชุดกำหนดไว้ และไม่ได้ขายสินค้าหรือให้บริการใดกับบุคคลอื่นซึ่งมิใช่เจ้าของห้องชุดหรือผู้พักอาศัย หรือกระทำกิจการใดที่มีลักษณะเพื่อแสวงหากำไร นิติบุคคลอาคารชุดฯ จะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นกิจการขนาดเล็กที่มีลักษณะเป็นองค์กรที่ไม่แสวงหากำไร จึงได้รับการยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลตามข้อ 3 (5) ของประกาศ คคส. ดังกล่าว
ทั้งนี้ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของนิติบุคคลอาคารชุดฯ ที่ได้รับยกเว้นไม่ต้องบันทึกรายการของผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว ครอบคลุมเฉพาะการบันทึกรายการตาม มาตรา 39 (1) ถึง (6) และ (8) เท่านั้น แต่ไม่รวมถึงการบันทึกรายการการปฏิเสธคำขอหรือการคัดค้านตามมาตรา 30 วรรคสาม, มาตรา 31 วรรคสาม, มาตรา 32 วรรคสาม และมาตรา 36 วรรคหนึ่ง ตามนัย มาตรา 39 (7) และไม่รวมกรณีที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่มีความเสี่ยงจะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล หรือมิใช่กิจการที่มีการเก็บรวบรวมเป็นครั้งคราว หรือมีการเก็บรวบรวมข้อมูลส่วนบุคคลตาม มาตรา 26 ตามนัยข้อ 3 วรรคสามของประกาศดังกล่าว ประกอบ มาตรา 39 วรรคสาม แห่ง PDPA
อย่างไรก็ดี นิติบุคคลอาคารชุดฯ ยังคงมีหน้าที่ต้องปฏิบัติให้เป็นไปตาม PDPA ในส่วนอื่น โดยเฉพาะการเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตาม มาตรา 22 · การแจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคล (Privacy Notice) ตาม มาตรา 23 · และการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม มาตรา 37 (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ในประกาศ คคส. เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565