มาตรา 85

ตัวบท

มาตรา 85 ผู้ประมวลผลข้อมูลส่วนบุคคลผู้ใดไม่ปฏิบัติตามมาตรา 41 วรรคหนึ่ง หรือมาตรา 42 วรรคสองหรือวรรคสาม ต้องระวางโทษปรับทางปกครองไม่เกินหนึ่งล้านบาท

สรุป

มาตรานี้กำหนดโทษปรับทางปกครองไม่เกิน 1 ล้านบาทสำหรับผู้ประมวลผลที่ไม่ปฏิบัติ: (1) มาตรา 41 วรรค 1 — ไม่แต่งตั้งตัวแทน/DPO; (2) มาตรา 42 วรรค 2 หรือ 3 — ไม่สนับสนุน DPO หรือไม่เปิดเผยช่องทางติดต่อ DPO — ขนานกับ มาตรา 82 (ผู้ควบคุม) ในเรื่องการตั้ง DPO และการสนับสนุน DPO

องค์ประกอบสำคัญ

• ผู้ต้องรับผิด: ผู้ประมวลผลข้อมูลส่วนบุคคล
• โทษ: ปรับทางปกครองไม่เกิน 1 ล้านบาท
• การกระทำ:
  • (1) ไม่ปฏิบัติตาม มาตรา 41 วรรค 1 — ไม่แต่งตั้งตัวแทน/DPO
  • (2) ไม่ปฏิบัติตาม มาตรา 42 วรรค 2 — ไม่สนับสนุน DPO
  • (3) ไม่ปฏิบัติตาม มาตรา 42 วรรค 3 — ไม่เปิดเผยช่องทางติดต่อ DPO

มาตราที่อ้างอิง

• มาตรา 41 — การตั้งตัวแทน/DPO — วรรค 1
• มาตรา 42 — สนับสนุน DPO + ช่องทางติดต่อ — วรรค 2-3

หมายเหตุ

• เหตุที่ผู้ประมวลผลต้องตั้ง DPO:
  • แม้ผู้ประมวลผลไม่ใช่เจ้าของข้อมูลโดยตรง แต่เป็นผู้ที่จัดการข้อมูลในนามของผู้ควบคุม
  • การตั้ง DPO ในผู้ประมวลผลทำให้มีผู้ตรวจสอบภายในของผู้ประมวลผลเอง
  • สอดคล้องกับ GDPR Art. 37 ที่กำหนดให้ทั้งผู้ควบคุมและผู้ประมวลผลต้องตั้ง DPO ในกรณีที่กฎหมายกำหนด
• เปรียบเทียบกับ มาตรา 82 (ผู้ควบคุม):
  • มาตรานี้: ผู้ประมวลผล → 1 ล้าน
  • มาตรา 82: ผู้ควบคุม → 1 ล้าน
  • ระดับโทษเท่ากัน สำหรับการละเลยการตั้ง DPO
  • แต่มาตรา 82ครอบคลุมหน้าที่อื่น ๆ ของผู้ควบคุมเพิ่มเติม (แจ้ง มาตรา 23, ROPA มาตรา 39 ฯลฯ)
• เหตุที่ผู้ประมวลผลมีหน้าที่น้อยกว่าผู้ควบคุม:
  • ผู้ประมวลผลทำงานตามคำสั่งของผู้ควบคุม
  • หน้าที่หลัก (เช่น ฐานในการเก็บข้อมูล, แจ้งเจ้าของข้อมูล) อยู่ที่ผู้ควบคุม
  • ผู้ประมวลผลมีหน้าที่เพียงปฏิบัติตามสัญญากับผู้ควบคุม + ตั้ง DPO + ส่งโอนตามฐาน
• 3 บทลงโทษทางปกครองของผู้ประมวลผล:
  • 1 ล้าน (มาตรานี้): ไม่ตั้ง DPO / ไม่สนับสนุน DPO
  • 3 ล้าน (มาตรา 86): ไม่ปฏิบัติตามคำสั่งผู้ควบคุม (มาตรา 40) / ส่งโอนผิด
  • 5 ล้าน (มาตรา 87): ส่งโอนข้อมูลอ่อนไหวผิด
• ความเชื่อมโยงกับ มาตรา 88 (ตัวแทน):
  • มาตรานี้: ผู้ประมวลผลโดยตรง — ไม่ตั้ง DPO
  • มาตรา 88: ตัวแทนของผู้ประมวลผล — ไม่ปฏิบัติ มาตรา 41 อนุโลม
  • 2 มาตรานี้ครอบคลุมห่วงโซ่ความรับผิดชอบของผู้ประมวลผล
• ภาวะความรับผิด — ลักษณะของโทษทางปกครอง:
  • ไม่ต้องพิสูจน์เจตนา — เพียงพิสูจน์การไม่ปฏิบัติ
  • แต่ผู้ประมวลผลอาจแก้ตัวได้ (เช่น ภาระงานน้อย ไม่จำเป็นต้องตั้ง DPO ตาม มาตรา 41 (1)-(3))
  • คณะกรรมการผู้เชี่ยวชาญพิจารณาตาม มาตรา 90