ข้อหารือที่ 23/2567 — สำนักงานเลขาธิการสภาฯ (เปิดเผยข้อมูลการถือหุ้นและรายชื่อผู้ถือหุ้น)
สารบัญในมาตรานี้
ข้อกฎหมาย
(ไม่ปรากฏหัวข้อข้อกฎหมายในเอกสารต้นฉบับ — ฐานทางกฎหมายที่อ้างถึงใน "ความเห็น" ประกอบด้วย มาตรา 3 (1), มาตรา 4 (4), มาตรา 24, มาตรา 26, มาตรา 27 วรรคหนึ่งและวรรคสอง แห่ง PDPA + กฎหมายว่าด้วยการจดทะเบียนนิติบุคคล + กฎหมายว่าด้วยข้อมูลข่าวสารของราชการ + ประกาศมาตรฐานการรักษาความมั่นคงปลอดภัยฯ 2566)
ข้อหารือ
(ไม่ปรากฏหัวข้อข้อหารือในเอกสารต้นฉบับ — สรุปจากความเห็น: สำนักงานเลขาธิการสภาผู้แทนราษฎรขอหารือกรณีการเปิดเผยข้อมูลการถือหุ้นของบุคคลและรายชื่อผู้ถือหุ้นของนิติบุคคลแก่บุคคลทั่วไป ตาม PDPA)
ความเห็น
คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้พิจารณาข้อหารือของสำนักงานเลขาธิการสภา ผู้แทนราษฎร โดยมีผู้แทนสำนักงานเลขาธิการสภาผู้แทนราษฎรเป็นผู้ชี้แจงข้อเท็จจริงแล้ว เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายที่กำหนดหลักเกณฑ์ กลไก หรือมาตรการ กำกับดูแลเกี่ยวกับการให้ความคุ้มครองข้อมูลส่วนบุคคลที่เป็นหลักการทั่วไป อันเป็นการส่งเสริมให้ การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลมีความเหมาะสม และปัญหาการล่วงละเมิดสิทธิความเป็นส่วนตัว ของข้อมูลส่วนบุคคลได้รับการแก้ไข ดังนั้น การเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือหุ้น ของนิติบุคคลแก่บุคคลทั่วไปสามารถดำเนินการได้หรือไม่ เพียงใด จะต้องพิจารณาจากพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบกับกฎหมายอื่นที่เกี่ยวข้องตาม มาตรา 3 (1) แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่บัญญัติว่า ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับ การคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตาม บทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นการเพิ่มเติม ไม่ว่าจะซ้ำ กับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ สำหรับการเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือหุ้นของนิติบุคคล แก่บุคคลทั่วไปนั้น หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลและมีข้อมูลส่วนบุคคลดังกล่าวอยู่ใน ความครอบครองหรือควบคุมดูแล จะต้องพิจารณาดำเนินการให้เป็นไปตาม มาตรา 24 หรือ มาตรา 26 ประกอบ มาตรา 27 วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายอื่น ที่เกี่ยวข้อง โดยในกรณีที่มีกฎหมายเฉพาะกำหนดให้เปิดเผยรายละเอียดการจดทะเบียนห้างหุ้นส่วน บริษัทจำกัด บริษัทมหาชนจำกัด หรือนิติบุคคลใด ซึ่งรวมถึงข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อ ผู้ถือหุ้นของนิติบุคคลด้วยนั้น ก็ถือเป็นกรณีการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคลตาม มาตรา 24 (6) ประกอบ มาตรา 27 วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งสามารถเปิดเผย ข้อมูลส่วนบุคคลได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล นอกจากนี้ หากเป็น หน่วยงานของรัฐตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการ ก็จะต้องปฏิบัติให้เป็นไปตามกฎหมายดังกล่าวด้วย แต่หากไม่มีกฎหมายใดกำหนดให้ต้องเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือหุ้นของนิติบุคคล ดังกล่าว หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลจะต้องพิจารณาว่า การเปิดเผยข้อมูลส่วนบุคคลนั้นเป็นการจำเป็น เพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติ หน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตาม มาตรา 24 (4) ประกอบ มาตรา 27 วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือเป็นการจำเป็นเพื่อประโยชน์ โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูล ส่วนบุคคล ซึ่งประโยชน์ดังกล่าวมีความสำคัญไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของ ข้อมูลส่วนบุคคล ตาม มาตรา 24 (5) ประกอบ มาตรา 27 วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าวหรือไม่ แล้วพิจารณาดำเนินการให้เป็นไปตามนั้น นอกจากนี้ สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลที่อยู่ในบังคับของพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 บุคคลหรือนิติบุคคลที่จะดำเนินการเก็บรวมรวมข้อมูลส่วนบุคคลดังกล่าว โดยได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคลข้างต้น ก็จะต้องเก็บรวบรวมข้อมูล ส่วนบุคคลโดยพิจารณาฐานทางกฎหมายตาม มาตรา 24 หรือ มาตรา 26 แห่งพระราชบัญญัตินี้ รวมทั้งจะต้อง ไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูล ส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น ตามนัย มาตรา 27 วรรคสอง แห่งพระราชบัญญัติเดียวกันด้วย อนึ่ง หากการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลการถือหุ้นของบุคคลและข้อมูลรายชื่อผู้ถือ หุ้นของนิติบุคคลดังกล่าว เป็นการดำเนินการในการพิจารณาตามหน้าที่และอำนาจของสภาผู้แทนราษฎร วุฒิสภา รัฐสภา รวมถึงคณะกรรมาธิการที่แต่งตั้งโดยสภาดังกล่าว ก็ย่อมสามารถกระทำได้โดยได้รับยกเว้น ตาม มาตรา 4 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กรณีจึงไม่ต้องปฏิบัติตาม บทบัญญัติแห่งพระราชบัญญัตินี้ แต่ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับยกเว้นการบังคับใช้ตาม มาตรา 4 (4) ดังกล่าว ยังคงมีหน้าที่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐาน ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรฐานการรักษาความมั่นคงปลอดภัยของ ข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับ พ.ศ. 2566 ด้วย นอกจากนี้ หน่วยงานที่จะเปิดเผยข้อมูล ส่วนบุคคลนั้นให้แก่สภาผู้แทนราษฎร วุฒิสภา รัฐสภา รวมถึงคณะกรรมาธิการที่แต่งตั้งโดยสภาดังกล่าว จะต้องพิจารณาฐานทางกฎหมายในการเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ด้วย