ข้อหารือที่ 7/2566 — นาย A (รายงานการประชุมสหกรณ์)
สารบัญในมาตรานี้
ข้อกฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 6, มาตรา 19, มาตรา 21 วรรคหนึ่ง, มาตรา 23, มาตรา 24 และ มาตรา 27 วรรคหนึ่ง
- พระราชบัญญัติสหกรณ์ พ.ศ. 2542 และที่แก้ไขเพิ่มเติม
ข้อหารือ
นาย A ซึ่งเป็นสมาชิกสหกรณ์ออมทรัพย์ B ได้ขอความเห็นกรณีการจัดทำรายงานการประชุมของคณะกรรมการดำเนินการสหกรณ์ออมทรัพย์ B (คณะกรรมการฯ) ที่ไม่มีการใส่ชื่อผู้เข้าร่วมประชุมในรายงานการประชุม โดยระบุว่า รายชื่อของผู้เข้าร่วมประชุมเป็นไปตามเอกสารแนบ ต่อมาเมื่อได้รับการทักท้วงและสอบถามจากสมาชิก คณะกรรมการฯ ชี้แจงว่า คณะกรรมการฯ มีสิทธิที่จะทำรายงานการประชุมในลักษณะนี้ได้ เพราะผู้เข้าร่วมประชุมไม่ต้องการให้มีการเปิดเผยชื่อของตนในรายงานการประชุม โดยอ้างถึงพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
นาย A จึงขอหารือว่า คณะกรรมการฯ สามารถจัดทำรายงานการประชุมในลักษณะดังกล่าวได้หรือไม่ หากกระทำไม่ได้ การประชุมที่ผ่านมาในลักษณะเช่นนี้ จะถือว่าเป็นการประชุมที่ถูกต้องหรือไม่ และจะมีผลอย่างไรและต้องดำเนินการอย่างไร
ความเห็น
คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาแล้วมีความเห็น 2 ประเด็น ดังนี้
ประเด็นหารือที่หนึ่ง การจัดทำรายงานการประชุมโดยไม่เปิดเผยรายชื่อผู้เข้าร่วมประชุม สามารถจัดทำได้หรือไม่ คณะอนุกรรมการเฉพาะกิจฯ เห็นว่า สหกรณ์ออมทรัพย์ B (สหกรณ์ฯ) เป็นนิติบุคคลตามพระราชบัญญัติสหกรณ์ พ.ศ. 2542 และที่แก้ไขเพิ่มเติม โดยมีอำนาจหน้าที่ตัดสินใจและกำหนดวัตถุประสงค์และวิธีการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (กล่าวคือ เป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม มาตรา 6)
ซึ่งกรณีที่ขอหารือนี้ เป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของผู้เข้าร่วมประชุม เพื่อให้บรรลุวัตถุประสงค์ของการประชุมของคณะกรรมการฯ ซึ่งสหกรณ์ฯ จะต้องทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล ทั้งนี้ ตามนัย มาตรา 21 วรรคหนึ่ง ประกอบ มาตรา 23 แห่ง PDPA นอกจากนี้ มาตรา 19 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้
ดังนั้น กรณีสหกรณ์ฯ ได้เก็บรวบรวมข้อมูลส่วนบุคคลของผู้เข้าร่วมประชุมให้เป็นไปตามวัตถุประสงค์ที่ได้แจ้งผู้เข้าร่วมประชุมไว้ ซึ่งรวมถึงวัตถุประสงค์ตามที่ มาตรา 24 (1) ถึง (6) ให้อำนาจในการเก็บรวบรวมได้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล สหกรณ์ฯ ย่อมพิจารณากระทำการเกี่ยวกับข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่ได้แจ้งไว้โดยไม่ต้องขอความยินยอมจากผู้เข้าร่วมประชุม แต่หากสหกรณ์ฯ ได้แจ้งวัตถุประสงค์ในการเก็บรวบรวมพร้อมขอความยินยอม การเปิดเผยข้อมูลส่วนบุคคลของผู้เข้าร่วมประชุมจะเข้าข่ายต้องได้รับความยินยอมในการเปิดเผยด้วย ทั้งนี้ ตามนัย มาตรา 27 วรรคหนึ่ง
อนึ่ง คณะอนุกรรมการฯ มีข้อสังเกตว่า การที่สหกรณ์ฯ จะเปิดเผยรายชื่อผู้เข้าร่วมประชุมดังกล่าวหรือไม่นั้น เป็นดุลพินิจของสหกรณ์ฯ แต่การใช้ดุลพินิจดังกล่าวควรเป็นไปตามวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวม และต้องไม่ขัดต่อกฎหมาย กฎ หรือระเบียบที่เกี่ยวข้อง รวมถึงต้องไม่ขัดต่อเจตนารมณ์ของการจัดทำรายงานการประชุม
ประเด็นหารือที่สอง การไม่ใส่ชื่อผู้เข้าร่วมประชุมในรายงานการประชุมของคณะกรรมการฯ ที่ผ่านมาจะทำให้การประชุมนั้นถูกต้องหรือไม่ และจะมีผลอย่างไรและต้องดำเนินการอย่างไร คณะอนุกรรมการฯ เห็นว่า ประเด็นนี้เป็นข้อหารือเกี่ยวกับความชอบด้วยกฎหมายและความสมบูรณ์ของการประชุม ซึ่งต้องพิจารณาตามกฎหมาย กฎ หรือระเบียบที่เกี่ยวข้องกับการประชุมของสหกรณ์ฯ มิใช่การขอคำแนะนำหรือคำปรึกษาเกี่ยวกับ PDPA จึงไม่อยู่ในหน้าที่และอำนาจของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่จะพิจารณาให้ความเห็นได้