ข้อหารือที่ 22/2567 — กสทช. (การจัดเก็บข้อมูล CDR ของผู้ให้บริการโทรศัพท์เคลื่อนที่)
สารบัญในมาตรานี้
ข้อกฎหมาย
(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย มาตรา 3 และ มาตรา 6 แห่ง PDPA + ประกาศ กสทช. ลงวันที่ 17 ส.ค. 2566 (มาตรการคุ้มครองข้อมูลโทรคมนาคม) + กฎหมายว่าด้วยองค์กรจัดสรรคลื่นความถี่ + กฎหมายว่าด้วยการประกอบกิจการโทรคมนาคม)
ข้อหารือ
(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — สรุปจากความเห็น: สำนักงาน กสทช. ขอหารือเกี่ยวกับการจัดเก็บรักษาข้อมูล Call Detail Recording (CDR) ของผู้ให้บริการโทรศัพท์เคลื่อนที่ ว่าเข้าข่ายเป็นข้อมูลส่วนบุคคลตาม PDPA หรือไม่ ระยะเวลาในการเก็บรักษา และความสัมพันธ์ระหว่างประกาศ กสทช. กับ PDPA)
ความเห็น
คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว เห็นว่า ข้อมูลรายละเอียดข้อมูลการใช้งาน (Call Detail Recording: CDR) เป็นข้อมูลการใช้บริการของผู้ใช้บริการ โทรคมนาคม ซึ่งทำให้สามารถระบุตัวผู้ใช้บริการนั้นได้ไม่ว่าทางตรงหรือทางอ้อมจากข้อมูลดังกล่าวเอง หรือจากข้อมูลดังกล่าวประกอบกับข้อมูลอื่นที่ผู้รับใบอนุญาตประกอบกิจการโทรคมนาคมมีหรือสามารถเข้าถึงได้ จึงถือเป็นข้อมูลส่วนบุคคลตามบทนิยามในข้อ 1 ของประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคม ลงวันที่ 18 พฤษภาคม พ.ศ. 2549 (ปัจจุบันถูกยกเลิก แล้ว) และถือเป็นข้อมูลส่วนบุคคลของผู้ใช้บริการตามบทนิยามในข้อ 5 ของประกาศคณะกรรมการกิจการ กระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิของผู้ใช้บริการ โทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกัน โดยทางโทรคมนาคม ลงวันที่ 17 สิงหาคม พ.ศ. 2566 (ที่ใช้บังคับอยู่ในปัจจุบัน ณ ขณะที่ตอบข้อหารือ) และเป็นข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม ข้อมูล CDR จึงเป็นข้อมูลส่วนบุคคลตามบทนิยามใน มาตรา 6 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย โดยในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวนั้น มาตรา 3 แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 กำหนดว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (1) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิ ของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้ เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ เมื่อพิจารณาตามประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิ ของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกัน โดยทางโทรคมนาคม ลงวันที่ 18 พฤษภาคม พ.ศ. 2549 (ปัจจุบันถูกยกเลิกแล้ว) และประกาศคณะกรรมการ กิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ เรื่อง มาตรการคุ้มครองสิทธิ ของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคล สิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกัน โดยทางโทรคมนาคม ลงวันที่ 17 สิงหาคม พ.ศ. 2566 (ที่ใช้บังคับอยู่ในปัจจุบัน ณ ขณะที่ตอบข้อหารือ) ซึ่งออกโดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมายว่าด้วยองค์กรจัดสรรคลื่นความถี่และกำกับการประกอบกิจการ วิทยุกระจายเสียง วิทยุโทรทัศน์ และกิจการโทรคมนาคม และกฎหมายว่าด้วยการประกอบกิจการโทรคมนาคม ได้กำหนดรายละเอียดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในกิจการโทรคมนาคมไว้โดยเฉพาะแล้ว ซึ่งรวมถึงการ เก็บรวบรวมและการเก็บรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการโทรคมนาคม โดยมีกำหนดระยะเวลาที่ผู้รับใบอนุญาต ประกอบกิจการโทรคมนาคมต้องเก็บรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการโทรคมนาคม ดังนั้น การเก็บรวบรวม การเก็บรักษา และระยะเวลาในการเก็บรักษาข้อมูล CDR ตามข้อหารือนี้ จึงต้องเป็นไปตามประกาศดังกล่าว เป็นหลักก่อน แล้วจึงพิจารณาข้อกำหนดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม สำนักงาน กสทช. จึงควรพิจารณากำกับดูแลการดำเนินการของผู้รับใบอนุญาตประกอบ กิจการโทรคมนาคมในส่วนที่เกี่ยวกับข้อมูล CDR ของผู้ใช้บริการโทรคมนาคมให้เป็นไปตามประกาศดังกล่าว และอาจพิจารณาทบทวนความเหมาะสมของประกาศดังกล่าวได้ตามความจำเป็นเพื่อให้เป็นไปตามมาตรฐาน ของสัญญาให้บริการโทรคมนาคมที่เกี่ยวข้องและเป็นการคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคม