ความไม่พร้อมในการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคล (3)

Cap & Corp Forum

ในที่สุดกฎหมายที่ว่าด้วยการคุ้มครองสิทธิของปัจเจกบุคคลด้านการคุ้มครองข้อมูลส่วนบุคคลก็เป็นอันไม่สามารถบังคับใช้ได้ทันกำหนดระยะเวลาในวันที่วันที่ 27 พฤษภาคม 2563 จนนำมาสู่การตรา “พระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2563” (“พระราชกฤษฎีกาฯ”) โดยให้ใช้บังคับตั้งแต่วันที่ 27 พฤษภาคม 2563 จนถึงวันที่ 31 พฤษภาคม 2564 จึงมีผลเท่ากับเป็นการขยายระยะเวลาการบังคับใช้กฎหมายให้ช้าออกไปอีก 1 ปีโดยปริยาย

พระราชกฤษฎีกาฯ มีหลักการที่สำคัญคือการงดเว้นการใช้บังคับบทบัญญัติในหมวด 2 ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล การใช้ และการเก็บรวบรวมข้อมูลส่วนบุคคล หมวด 3 ว่าด้วยสิทธิของเจ้าของข้อมูลส่วนบุคคล หมวด 5 ว่าด้วยการร้องเรียน หมวด 6 ว่าด้วยความรับผิดทางแพ่ง และหมวด 7 ว่าด้วยบทกำหนดโทษทางอาญาและโทษทางปกครองและมาตรา 95 แห่งพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ มาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็น “หน่วยงาน” หรือ “กิจการ” ตามบัญชีท้ายพระราชกฤษฎีกาฯ จำนวน 22 หน่วยงาน/กิจการ โดยหลักการส่วนที่ใช้บังคับของกฎหมายจึงมีเพียงหมวด 1 ว่าด้วยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และหมวด 4 ว่าด้วยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เท่านั้น

พระราชกฤษฎีกาฯ ได้จำแนกประเภทหน่วยงานและประเภทกิจการที่ได้รับยกเว้น ไว้ดังนี้

ประเภทหน่วยงาน จำแนกได้เป็น 3 กลุ่ม ได้แก่ (1) หน่วยงานของรัฐ (2) หน่วยงานของรัฐต่างประเทศและองค์การระหว่างประเทศ และ (3) มูลนิธิสมาคมองค์กรศาสนาและองค์กรไม่แสวงหากำไร

ประเภทกิจการจำนวน 19 ประเภทกิจการได้แก่ (1) กิจการด้านเกษตรกรรม (2) กิจการด้านอุตสาหกรรม (3) กิจการด้านพาณิชยกรรม (4) กิจการด้านการแพทย์และสาธารณสุข (5) กิจการด้านพลังงานไอน้ำ การจำกัดของเสียรวมทั้งกิจการที่เกี่ยวข้อง (6) กิจการด้านการก่อสร้าง (7) กิจการด้านการซ่อมและการบำรุงรักษา (8) กิจการด้านการคมนาคมขนส่งและการเก็บสินค้า (9) กิจการด้านการท่องเที่ยว (10) กิจการด้านการสื่อสารโทรคมนาคมคอมพิวเตอร์และดิจิทัล (11) กิจการด้านการเงินการธนาคารและการประกันภัย (12) กิจการด้านอสังหาริมทรัพย์ (13) กิจการด้านการประกอบวิชาชีพ (14) กิจการด้านการบริหารและบริการสนับสนุน (15) กิจการด้านวิทยาศาสตร์และเทคโนโลยีวิชาการสังคมสงเคราะห์และศิลปะ (16) กิจการด้านการศึกษา (17) กิจการด้านความบันเทิงและนันทนาการ (18) กิจการด้านการรักษาความปลอดภัย (19) กิจการในครัวเรือนและวิสาหกิจชุมชนซึ่งไม่สามารถจำแนกกิจกรรมได้อย่างชัดเจน

โดยเหตุผลที่ภาครัฐใช้ในการกล่าวอ้างเพื่อยกเว้นการบังคับใช้กฎหมาย อาจจำแนกได้สองเหตุผล กล่าวคือ

(1) พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ ได้กำหนดหลักเกณฑ์วิธีการและเงื่อนไขในการคุ้มครองข้อมูลส่วนบุคคลไว้โดยละเอียดโดยผู้ควบคุมข้อมูลส่วนบุคคลทุกรายทั่วประเทศทั้งภาครัฐและภาคเอกชนมีหน้าที่ต้องดำเนินการตามหลักเกณฑ์วิธีการและเงื่อนไขดังกล่าวโดยเคร่งครัด อย่างไรก็ดีโดยที่การปฏิบัติตามหลักเกณฑ์วิธีการและเงื่อนไขตามที่กฎหมายกำหนดนั้นมีรายละเอียดมากและซับซ้อนกับต้องใช้เทคโนโลยีขั้นสูงเพื่อให้การคุ้มครองข้อมูลส่วนบุคคลเป็นไปอย่างมีประสิทธิภาพสมดังเจตนารมณ์ของกฎหมายทำให้ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นหน่วยงานและกิจการต่าง ๆ ทั้งภาครัฐและเอกชนจำนวนมากทั่วประเทศยังไม่พร้อมที่จะปฏิบัติตามพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ

ในส่วนนี้ ผู้เขียนมีข้อสังเกตว่า ส่วนสำคัญที่สุดที่ทำให้พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ ไม่สามารถใช้บังคับได้ คือ การขาดอนุบัญญัติต่าง ๆ ที่ต้องออกมาตามพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ และที่ไม่สามารถออกมาได้ก็เนื่องจากยังไม่มีการสรรหาและแต่งตั้งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและจัดตั้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เมื่อขาดแนวปฏิบัติที่ชัดเจน ผู้ควบคุมข้อมูลส่วนบุคคลก็ย่อมไม่สามารถปฏิบัติและเตรียมการใด ๆ ได้อย่างถูกต้องเหมาะสม

ดังนั้น การกล่าวอ้างว่า “ผู้ควบคุมข้อมูลส่วนบุคคลทุกรายทั่วประเทศทั้งภาครัฐและภาคเอกชน” ไม่มีความพร้อม จึงเสมือนการปัดภาระความรับผิดไปยังหน่วยงานที่ต้องปฏิบัติตามกฎหมาย ทั้งที่ความไม่สามารถบังคับใช้นั้นเกิดจากกระบวนการของหน่วยงานที่ต้องทำการสรรหาคณะกรรมการฯ จัดทำอนุบัญญัติ เผยแพร่และสร้างความตระหนักรู้ให้กับผู้อยู่ในบังคับของกฎหมาย

(2) มาตรา 4 วรรคสองแห่งพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ บัญญัติว่าการยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัตินี้ทั้งหมดหรือแต่บางส่วนมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใด หรือเพื่อประโยชน์สาธารณะอื่นใดให้ตราเป็นพระราชกฤษฎีกา

ผู้เขียนเห็นว่า ก่อนอื่นเราควรต้องกลับมาย้อนดูมาตรา 4 พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ ก่อนว่าบัญญัติไว้อย่างไร ก่อนที่จะทำความเข้าใจว่าจริง ๆ แล้วพระราชกฤษฎีกาฯ นี้จะสามารถยกเว้นอะไร และอย่างไรได้บ้าง

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ มาตรา 4 กำหนดว่าพระราชบัญญัตินี้ไม่ใช้บังคับแก่

(1) การเก็บรวบรวมใช้หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น

(2) การดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงความมั่นคงทางการคลังของรัฐ หรือการรักษาความปลอดภัยของประชาชนรวมทั้งหน้าที่เกี่ยวกับการป้องกันและปราบปรามการฟอกเงิน นิติวิทยาศาสตร์หรือการรักษาความมั่นคงปลอดภัยไซเบอร์

(3) บุคคลหรือนิติบุคคลซึ่งใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน งานศิลปกรรมหรืองานวรรณกรรมอันเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะเท่านั้น

(4) สภาผู้แทนราษฎร วุฒิสภา และรัฐสภารวมถึงคณะกรรมาธิการที่แต่งตั้งโดยสภาดังกล่าวซึ่งเก็บรวบรวมใช้หรือเปิดเผยข้อมูลส่วนบุคคลในการพิจารณาตามหน้าที่และอำนาจของสภาผู้แทนราษฎรวุฒิสภารัฐสภาหรือคณะกรรมาธิการแล้วแต่กรณี

(5) การพิจารณาพิพากษาคดีของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดีการบังคับคดีและการวางทรัพย์รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา

(6) การดำเนินการกับข้อมูลของบริษัทข้อมูลเครดิตและสมาชิกตามกฎหมายว่าด้วยการประกอบธุรกิจข้อมูลเครดิต

การยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัตินี้ทั้งหมดหรือแต่บางส่วนมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใด ทำนองเดียวกับผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่งหรือเพื่อประโยชน์สาธารณะอื่นใดให้ตราเป็นพระราชกฤษฎีกา

โดยผลของการบังคับใช้พระราชกฤษฎีกาฯ ผู้เขียนตั้งข้อสังเกตเบื้องต้น 2 กรณี ดังนี้

(1) การเก็บรวบรวมใช้หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลที่ไม่ใช่เพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้น

(2) บุคคลหรือนิติบุคคลซึ่งใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ทำการเก็บรวบรวมไว้ แต่มิอาจถือได้ว่าเป็นการดำเนินการเฉพาะเพื่อกิจการสื่อมวลชน

จากสองกรณีข้างต้นจะเห็นว่าพระราชกฤษฎีกาฯ มิได้ยกเว้น “กิจการสื่อสารมวลชน” (ที่มิใช่หน่วยงานของรัฐ) หรือการเก็บรวบรวมใช้หรือที่ไม่เข้าเงื่อนไขของกิจกรรมในครอบครัว หรือที่ไม่เป็นไปตามข้อยกเว้นเชิงอำนาจหน้าที่ขององค์กร เป็นต้น

ดังนั้น จะบอกว่ากฎหมายทั้งฉบับไม่ใช้บังคับก็คงไม่ได้ แต่จะให้ตราพระราชกฤษฎีกาฯ เพื่อบอกว่าไม่ใช้บังคับในทุก ๆ กรณีก็อาจจะไม่ได้เช่นกัน ผลจึงอาจกลายเป็นว่าพระราชกฤษฎีกาฯ นี้อาจจะมีช่องว่างอยู่บางประการ และอาจสร้างความไม่เป็นธรรมในการบังคับใช้กฎหมายได้

…

ศุภวัชร์ มาลานนท์

คณะนิติศาสตร์ มหาวิทยาลัยสงขลานครินทร์