มาตรา 38

ตัวบท

มาตรา 38 บทบัญญัติเกี่ยวกับการแต่งตั้งตัวแทนตามมาตรา 37 (5) มิให้นำมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคล ดังต่อไปนี้

(1) ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด

(2) ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งประกอบอาชีพหรือธุรกิจในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ไม่มีลักษณะตามมาตรา 26 และไม่มีข้อมูลส่วนบุคคลเป็นจำนวนมากตามที่คณะกรรมการประกาศกำหนดตามมาตรา 41 (2)

ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 5 วรรคสอง มีผู้ประมวลผลข้อมูลส่วนบุคคล ให้นำความในมาตรา 37 (5) และความในวรรคหนึ่ง มาใช้บังคับแก่ผู้ประมวลผลข้อมูลส่วนบุคคลนั้นโดยอนุโลม

สรุป

มาตรานี้กำหนด ข้อยกเว้นการแต่งตั้งตัวแทน ตาม มาตรา 37 (5) — ไม่ต้องแต่งตั้งตัวแทนใน 2 กรณี: (1) หน่วยงานของรัฐที่คณะกรรมการประกาศกำหนด และ (2) กิจการเล็กที่ไม่เก็บข้อมูลอ่อนไหวและไม่เก็บข้อมูลจำนวนมาก ส่วนผู้ประมวลผลของผู้ควบคุมต่างประเทศก็ต้องแต่งตั้งตัวแทนเช่นกัน (ใช้บังคับโดยอนุโลม)

องค์ประกอบสำคัญ

• 2 กรณีที่ยกเว้นไม่ต้องแต่งตั้งตัวแทน (วรรค 1):
  • (1) หน่วยงานของรัฐ ตามที่คณะกรรมการประกาศกำหนด
  • (2) กิจการเล็ก ที่มี 2 องค์ประกอบ:
    • ไม่เก็บข้อมูลอ่อนไหว ตาม มาตรา 26
    • ไม่เก็บข้อมูลจำนวนมาก ตามที่คณะกรรมการประกาศตาม มาตรา 41 (2)
• ผู้ประมวลผลของผู้ควบคุมต่างประเทศ (วรรค 2):
  • กรณี: ผู้ควบคุมตาม มาตรา 5 วรรคสอง (ผู้ควบคุมต่างประเทศที่กฎหมายไทยบังคับถึง) มีผู้ประมวลผล
  • ผู้ประมวลผลก็ต้องแต่งตั้งตัวแทนตาม มาตรา 37 (5) โดยอนุโลม
  • ข้อยกเว้น (1) (2) ของมาตรานี้ก็ใช้กับผู้ประมวลผลโดยอนุโลม

มาตราที่อ้างอิง

• มาตรา 5 — ขอบเขตการบังคับใช้ — วรรคสองคือกรณีผู้ควบคุมต่างประเทศที่กฎหมายไทยบังคับถึง อันเป็นต้นทางของหน้าที่แต่งตั้งตัวแทน
• มาตรา 26 — ฐานเก็บข้อมูลอ่อนไหว — กิจการที่เก็บข้อมูลตาม มาตรา 26 ไม่ได้รับยกเว้น (ต้องแต่งตั้งตัวแทน)
• มาตรา 37 — หน้าที่ผู้ควบคุม — มาตรานี้ระงับการบังคับใช้ของ (5)
• มาตรา 41 — DPO — (2) อ้างถึงเกณฑ์ "ข้อมูลจำนวนมาก" ที่คณะกรรมการประกาศกำหนด

หมายเหตุ

• เทียบ GDPR: สอดคล้องกับ Article 27(2) — ข้อยกเว้นการแต่งตั้งตัวแทน
• เกณฑ์ "กิจการเล็ก": ต้องครบทั้ง 2 องค์ประกอบ — ไม่เก็บข้อมูลอ่อนไหว และ ไม่เก็บข้อมูลจำนวนมาก; กิจการเล็กที่เก็บข้อมูลอ่อนไหว (เช่น คลินิกแพทย์) ยังคงต้องแต่งตั้งตัวแทน
• "จำนวนมาก" ตาม มาตรา 41 (2): เกณฑ์เดียวกับการต้องมี DPO — กำหนดโดยประกาศคณะกรรมการ ไม่ใช่ตัวเลขในกฎหมายโดยตรง
• ความสมเหตุสมผล: ตัวแทนเป็นภาระของ (1) ต้นทุนการดำเนินงาน (ต้องอยู่ในไทย) และ (2) เกราะรับผิดสำหรับเจ้าของข้อมูล — กิจการเล็กที่ความเสี่ยงต่ำได้รับยกเว้นเพื่อลดภาระ
• ผู้ประมวลผลก็ต้องแต่งตั้งตัวแทน: วรรค 2 อุดช่องว่าง — ห้ามดำเนินงานผ่านผู้ประมวลผลต่างประเทศโดยไม่มีจุดติดต่อในไทย
• "โดยอนุโลม": ปรับใช้บทบัญญัติในบริบทใหม่โดยปรับถ้อยคำเท่าที่จำเป็น — เช่น "ผู้ควบคุม" → "ผู้ประมวลผล"
• ข้อยกเว้นไม่กระทบหน้าที่อื่น: ผู้ควบคุมที่ได้รับยกเว้นการแต่งตั้งตัวแทนตามมาตรานี้ ยังต้องปฏิบัติตามหน้าที่อื่นทุกข้อใน มาตรา 37 (1)-(4)