ข้อหารือที่ 16/2566 — กรมเจ้าท่า (Privacy Notice)
สารบัญในมาตรานี้
ข้อกฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 21 และ มาตรา 23
- พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. 2540 — มาตรา 7 (4) และมาตรา 28 (2)
ข้อหารือ
กรมเจ้าท่าได้มีการตั้งคณะทำงานดำเนินการตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และอยู่ในขั้นตอนการจัดทำ (ร่าง) คำประกาศความเป็นส่วนตัว (Privacy Notice) ของกรมเจ้าท่า เพื่อให้เป็นไปตาม มาตรา 23 แห่ง PDPA
จึงขอหารือในประเด็น ดังนี้:
- เนื่องจากร่างประกาศความเป็นส่วนตัว (Privacy Notice) มีหลักการคือ การแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบรายละเอียดของข้อมูลส่วนบุคคลที่กรมเจ้าท่าได้เก็บรวบรวม ดังนั้น ร่างประกาศดังกล่าวมีสภาพอย่างกฎ มีผลใช้บังคับกระทบสิทธิประชาชนเป็นการทั่วไปหรือไม่
- หากร่างประกาศ Privacy Notice มีสภาพอย่างกฎ และนำไปใช้ในการปฏิบัติหน้าที่ของกรมเจ้าท่า ซึ่งจะกระทบสิทธิของประชาชน จำเป็นจะต้องให้หัวหน้าหน่วย หรืออธิบดีกรมเจ้าท่าเป็นผู้ลงนามในประกาศหรือไม่
- ตามมาตรา 7 (4) แห่ง พ.ร.บ. ข้อมูลข่าวสารของราชการ บัญญัติให้หน่วยงานของรัฐต้องส่ง "กฎ มติคณะรัฐมนตรี ข้อบังคับ คำสั่ง หนังสือเวียน ระเบียบ แบบแผน นโยบาย หรือการตีความ" ที่มีสภาพอย่างกฎลงพิมพ์ในราชกิจจานุเบกษา ดังนั้น หากร่าง Privacy Notice มีลักษณะเป็นกฎหรือนโยบาย จะต้องส่งลงพิมพ์ในราชกิจจานุเบกษาหรือไม่
ความเห็น
คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น ดังนี้
ประเด็นหารือที่ 1 และประเด็นหารือที่ 3 เห็นว่า มาตรา 23 แห่ง PDPA ได้บัญญัติว่า ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงวัตถุประสงค์และรายละเอียดเกี่ยวกับการเก็บรวบรวมข้อมูลส่วนบุคคล และ มาตรา 21 บัญญัติให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ หากไม่ปฏิบัติตาม จะมีโทษทางปกครอง (มาตรา 82 หรือมาตรา 83)
การแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) จึงเป็นการดำเนินการเพื่อให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลมีความโปร่งใส เป็นธรรม และกระทำได้เท่าที่จำเป็นภายใต้วัตถุประสงค์โดยชอบด้วยกฎหมาย โดย มาตรา 23 ไม่ได้กำหนดรูปแบบหรือวิธีการของการแจ้ง · ในทางปฏิบัติ ผู้ควบคุมข้อมูลส่วนบุคคลอาจใช้วิธีการแจ้งโดยวาจา แจ้งเป็นหนังสือ แจ้งโดยวิธีการทางอิเล็กทรอนิกส์ หรือแจ้งโดยวิธีการอื่นใด และอาจแจ้งเป็นรายบุคคล หรือแจ้งเป็นการทั่วไป เช่น ในรูปแบบประกาศความเป็นส่วนตัว ก็ได้
ดังนั้น ในกรณีที่หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลจัดทำเป็นประกาศความเป็นส่วนตัว (privacy notice) ไม่ว่าจะเรียกชื่ออย่างไร โดยมีวัตถุประสงค์และรายละเอียดตาม มาตรา 23 ประกาศดังกล่าวจึงมีลักษณะเป็นเพียงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ โดยไม่ได้มุ่งหมายให้มีผลทางกฎหมายเป็นการบังคับต่อเจ้าของข้อมูลส่วนบุคคล ซึ่งจะแตกต่างจากกฎ ระเบียบ ข้อบังคับ หรือประกาศอื่นที่มีผลบังคับเป็นการทั่วไป
อย่างไรก็ตาม ประเด็นที่กรมเจ้าท่าหารือมาว่า มาตรา 7 (4) แห่ง พ.ร.บ. ข้อมูลข่าวสารของราชการ ครอบคลุมถึง privacy notice ตาม มาตรา 23 หรือไม่ และต้องส่งลงพิมพ์ในราชกิจจานุเบกษาหรือไม่ — เป็นหน้าที่และอำนาจของคณะกรรมการข้อมูลข่าวสารของราชการ (ตามมาตรา 28 (2) แห่ง พ.ร.บ. ข้อมูลข่าวสารฯ) กรมเจ้าท่าจึงควรหารือไปยังคณะกรรมการข้อมูลข่าวสารของราชการเพื่อพิจารณาตีความต่อไป
สำหรับประเด็นหารือที่ 2 เห็นว่า มาตรา 23 ไม่ได้กำหนดรูปแบบหรือวิธีการของการแจ้ง · หากพิจารณาเฉพาะตาม PDPA การแจ้ง privacy notice หากจัดทำในรูปแบบประกาศความเป็นส่วนตัว ไม่ว่าจะเรียกชื่ออย่างไร จึงอาจมีการลงนามหรือไม่ก็ได้ · หากประสงค์จะให้มีการลงนาม หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณากำหนดหรือมอบหมายบุคคลที่เหมาะสมเป็นผู้ลงนามก็ได้ · การพิจารณาว่าจะต้องลงนามหรือไม่ และลงนามโดยผู้ใด จำเป็นจะต้องพิจารณาตามกฎหมายหรือระเบียบที่เกี่ยวข้องกับการปฏิบัติราชการของกรมเจ้าท่า ซึ่งไม่อยู่ในหน้าที่และอำนาจของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยตรง