ข้อหารือที่ 17/2566 — กอ.รมน. (ผู้ควบคุมข้อมูลของหน่วยที่ไม่มีฐานะนิติบุคคล)
สารบัญในมาตรานี้
ข้อกฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 4 และ มาตรา 6 (บทนิยามคำว่า "ผู้ควบคุมข้อมูลส่วนบุคคล")
- พระราชบัญญัติการรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. 2551 — มาตรา 5
- พระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 และที่แก้ไขเพิ่มเติม — มาตรา 5
- พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 — มาตรา 7
ข้อหารือ
กองอำนวยการรักษาความมั่นคงภายในราชอาณาจักร (กอ.รมน.) ขอหารือข้อกฎหมายและการปฏิบัติตาม PDPA เกี่ยวกับ มาตรา 6 ซึ่งบัญญัติว่า "ผู้ควบคุมข้อมูลส่วนบุคคล" หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
โดย กอ.รมน. พิจารณาแล้วเห็นว่า มาตรา 5 แห่ง พ.ร.บ. การรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. 2551 บัญญัติให้จัดตั้ง กอ.รมน. ขึ้นในสำนักนายกรัฐมนตรี มีฐานะเป็นส่วนราชการรูปแบบเฉพาะอยู่ภายใต้การบังคับบัญชาขึ้นตรงต่อนายกรัฐมนตรี แต่กฎหมายมิได้กำหนดให้ กอ.รมน. มีฐานะเป็นนิติบุคคล จึงขอหารือ 2 ประเด็น:
- "ผู้ควบคุมข้อมูลส่วนบุคคล" ของ กอ.รมน. ตาม มาตรา 6 แห่ง PDPA ได้แก่ส่วนราชการใด
- ผู้ที่มีอำนาจหน้าที่ที่จะพึงปฏิบัติหรือดำเนินการตาม มาตรา 6 ได้แก่ผู้ดำรงตำแหน่งใด และผู้ดำรงตำแหน่งดังกล่าวในฐานะผู้ควบคุมข้อมูลของ กอ.รมน. อาจมอบอำนาจการดำเนินการให้แก่ผู้ดำรงตำแหน่งอื่นปฏิบัติราชการแทนได้หรือไม่ เพียงใด
ความเห็น
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โดยคณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พิจารณาแล้วมีความเห็น ดังนี้
ประเด็นหารือที่หนึ่ง มาตรา 5 วรรคหนึ่ง แห่ง พ.ร.บ. การรักษาความมั่นคงภายในราชอาณาจักร พ.ศ. 2551 บัญญัติให้จัดตั้ง กอ.รมน. ขึ้นในสำนักนายกรัฐมนตรี โดยมาตรา 5 วรรคเจ็ด บัญญัติให้ ผอ.รมน. มีอำนาจทำนิติกรรม ฟ้องคดี ถูกฟ้องคดี และดำเนินการทั้งปวงเกี่ยวกับคดีอันเกี่ยวเนื่องกับอำนาจหน้าที่ของ กอ.รมน. โดยกระทำในนามของสำนักนายกรัฐมนตรี ประกอบกับมาตรา 5 แห่ง พ.ร.บ. ปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 และมาตรา 7 วรรคสาม แห่ง พ.ร.บ. ระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 บัญญัติให้สำนักนายกรัฐมนตรีมีฐานะเป็นนิติบุคคล
ดังนั้น สำนักนายกรัฐมนตรีซึ่งเป็นหน่วยงานต้นสังกัดของ กอ.รมน. จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตาม มาตรา 6 และมีอำนาจหน้าที่รวมถึงความรับผิดชอบในการตัดสินใจและกำกับดูแลเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลให้เป็นไปตาม PDPA เท่าที่ PDPA ใช้บังคับแก่ กอ.รมน.
ประเด็นหารือที่สอง โดยหลักการ PDPA กำหนดให้สถานภาพความเป็นผู้ควบคุมข้อมูลส่วนบุคคลเกิดจากองค์ประกอบตาม มาตรา 6 · หากหน่วยงานใดที่เป็นนิติบุคคลมีอำนาจตัดสินใจหรือดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หน่วยงานดังกล่าวจะถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล โดยไม่ต้องมีการแต่งตั้งบุคคลใดเพื่อปฏิบัติหน้าที่เป็นผู้ควบคุมข้อมูลอีก · ส่วนงานหรือหน่วยงานภายใน ตลอดจนพนักงานและบุคลากร จะไม่มีสถานะเป็นผู้ควบคุม/ผู้ประมวลผลแยกต่างหากจากหน่วยงานนั้น
ดังนั้น สำนักนายกรัฐมนตรีในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (ซึ่งรวมถึง กอ.รมน. ในฐานะหน่วยงานในสังกัด) รวมถึงผู้บริหารและบุคลากรที่เกี่ยวข้อง ย่อมมีหน้าที่ตามกฎหมายที่จะพึงปฏิบัติตาม PDPA
อย่างไรก็ดี นายกรัฐมนตรีในฐานะ ผอ.รมน. ซึ่งเป็นผู้บังคับบัญชาข้าราชการ พนักงาน และลูกจ้างใน กอ.รมน. และรับผิดชอบในการปฏิบัติราชการของ กอ.รมน. ตามมาตรา 5 วรรคสาม แห่ง พ.ร.บ. การรักษาความมั่นคงภายในฯ สามารถมอบหมายหน้าที่หรือสั่งการให้ผู้ที่มีความเหมาะสมทำหน้าที่กำกับดูแลและดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของ กอ.รมน. ให้เป็นไปตาม PDPA ได้ · เช่น มอบหมายให้เลขาธิการ กอ.รมน. (ซึ่งเป็นเสนาธิการทหารบก ตามมาตรา 5 วรรคห้า) หรือบุคคลอื่นที่ปฏิบัติหน้าที่ใน กอ.รมน. ดำเนินการแทน
อนึ่ง คณะอนุกรรมการฯ มีความเห็นเพิ่มเติมว่า แม้ว่าการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล อันเนื่องจากการปฏิบัติตามหน้าที่และอำนาจโดยชอบด้วยกฎหมายเพื่อรักษาความมั่นคงภายในราชอาณาจักรของ กอ.รมน. จะเข้าข่ายเป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน จึงไม่ต้องอยู่ภายใต้บังคับ PDPA ตามนัย มาตรา 4 (2) แต่สำนักนายกรัฐมนตรีในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของ กอ.รมน. และ กอ.รมน. ในฐานะหน่วยงานในสังกัด ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย ตามนัย มาตรา 4 วรรคสาม