พระราชกฤษฎีกา กำหนดลักษณะ กิจการ หรือหน่วยงาน ที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บางส่วนมาใช้บังคับ พ.ศ. ๒๕๖๖
พระบาทสมเด็จพระปรเมนทรรามาธิบดีศรีสินทรมหาวชิราลงกรณ พระวชิรเกล้าเจ้าอยู่หัว ให้ไว้ ณ วันที่ ๑๕ สิงหาคม พ.ศ. ๒๕๖๖ เป็นปีที่ ๘ ในรัชกาลปัจจุบัน
พระบาทสมเด็จพระปรเมนทรรามาธิบดีศรีสินทรมหาวชิราลงกรณ พระวชิรเกล้าเจ้าอยู่หัว มีพระบรมราชโองการโปรดเกล้าฯ ให้ประกาศว่า โดยที่เป็นการสมควรกำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บางส่วนมาใช้บังคับ
อาศัยอำนาจตามความในมาตรา ๑๗๕ ของรัฐธรรมนูญแห่งราชอาณาจักรไทย และมาตรา ๔ วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จึงทรงพระกรุณาโปรดเกล้าฯ ให้ตราพระราชกฤษฎีกาขึ้นไว้ ดังต่อไปนี้
มาตรา ๑ พระราชกฤษฎีกานี้เรียกว่า “พระราชกฤษฎีกากำหนดลักษณะ กิจการ หรือหน่วยงานที่ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บางส่วนมาใช้บังคับ พ.ศ. ๒๕๖๖”
มาตรา ๒ พระราชกฤษฎีกานี้ให้ใช้บังคับเมื่อพ้นกำหนดหนึ่งร้อยห้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป
มาตรา ๓ ในพระราชกฤษฎีกานี้ “หน่วยงานของรัฐ” หมายความว่า หน่วยงานที่เป็นของรัฐไม่ว่าจะเป็นส่วนราชการ รัฐวิสาหกิจ องค์การมหาชน หรือในรูปแบบอื่นใด และไม่ว่าจะเป็นองค์กรในฝ่ายบริหาร ฝ่ายนิติบัญญัติ ฝ่ายตุลาการ หรือเป็นองค์กรอิสระหรือองค์กรอัยการ “คณะกรรมการ” หมายความว่า
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า ผู้ควบคุมข้อมูลส่วนบุคคลทั้งในภาครัฐและภาคเอกชน
มาตรา ๔ พระราชกฤษฎีกานี้มุ่งหมายให้ผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่ระบุไว้ในแต่ละมาตราในพระราชกฤษฎีกานี้ ได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บางส่วนมาใช้บังคับภายใต้เงื่อนไขที่กำหนด โดยมีหลักการสำคัญดังต่อไปนี้ (๑)
การร้องขอข้อมูลส่วนบุคคลตามพระราชกฤษฎีกานี้ ต้องเป็นไปเพื่อประโยชน์สาธารณะตามวัตถุประสงค์และขอบเขตซึ่งกฎหมายที่ให้อำนาจหน่วยงานของรัฐกำหนดไว้ โดยไม่สร้างภาระเกินสมควรแก่ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งมีหน้าที่เปิดเผยข้อมูลส่วนบุคคล (๒)
หน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคลในการเปิดเผยข้อมูลส่วนบุคคลโดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เมื่อได้รับการร้องขอข้อมูลดังกล่าวจากหน่วยงานของรัฐซึ่งมีกฎหมายให้อำนาจในการร้องขอข้อมูลนั้น โดยหน่วยงานของรัฐได้ระบุบทบัญญัติแห่งกฎหมายที่ให้อำนาจในการร้องขอ
เพื่อปฏิบัติงานตามหน้าที่และอำนาจของหน่วยงานของรัฐที่ร้องขอนั้น (๓) การรับรองสิทธิของเจ้าของข้อมูลส่วนบุคคลหรือผู้ควบคุมข้อมูลส่วนบุคคลที่ถูกร้องขอข้อมูลส่วนบุคคลในการร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญหรือขอให้คณะกรรมการตีความหรือวินิจฉัยชี้ขาด แล้วแต่กรณี (๔)
การยกเว้นความผิดและโทษอาญาตามพระราชกฤษฎีกานี้ ไม่คุ้มครองการดำเนินการโดยมิชอบด้วยพระราชกฤษฎีกานี้
มาตรา ๕ ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับการยกเว้นโดยพระราชกฤษฎีกานี้ ยังคงมีหน้าที่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ทั้งนี้ เพื่อมิให้กระทบกับหลักการคุ้มครองข้อมูลส่วนบุคคลจนเกินสมควร การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลตามวรรคหนึ่ง
ให้เป็นไปตามมาตรฐานที่คณะกรรมการประกาศกำหนด
มาตรา ๖ เมื่อผู้ควบคุมข้อมูลส่วนบุคคลได้รับการร้องขอข้อมูลส่วนบุคคลจากคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ หรือหน่วยงานของรัฐที่ได้รับมอบหมายให้ดำเนินการจากคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติตามกฎหมายประกอบรัฐธรรมนูญว่าด้วยการป้องกันและปราบปรามการทุจริต
สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ คณะกรรมการป้องกันและปราบปรามการทุจริตในภาครัฐหรือสำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตในภาครัฐ หรือหน่วยงานของรัฐที่คณะกรรมการประกาศกำหนด
บรรดาที่มีกฎหมายให้อำนาจขอข้อมูลส่วนบุคคลเพื่อดำเนินการตามวัตถุประสงค์หรือภารกิจตามกฎหมายเกี่ยวกับการป้องกันและปราบปรามการทุจริต ผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าวย่อมได้รับการยกเว้นการปฏิบัติตามบทบัญญัติหมวด ๒ และหมวด ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๗ เมื่อผู้ควบคุมข้อมูลส่วนบุคคลได้รับการร้องขอข้อมูลส่วนบุคคลจากกรมสรรพากร กรมศุลกากร หรือกรมสรรพสามิต บรรดาที่มีกฎหมายให้อำนาจขอข้อมูลส่วนบุคคลเพื่อดำเนินการตามวัตถุประสงค์หรือภารกิจตามกฎหมายที่อยู่ในความรับผิดชอบเกี่ยวกับการจัดเก็บภาษีอากร การดำเนินการใด ๆ
อันเกี่ยวกับการบังคับแก่บรรดาค่าธรรมเนียมทางภาษีอากร ค่าฤชาธรรมเนียม หรือค่าอากรใด ๆ รวมทั้งการดำเนินการตามพันธกรณีหรือความร่วมมือระหว่างประเทศในเรื่องดังกล่าว ผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าวย่อมได้รับการยกเว้นการปฏิบัติตามบทบัญญัติหมวด ๒ และหมวด ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ.
๒๕๖๒ เจ้าของข้อมูลส่วนบุคคลมีสิทธิที่จะรู้ว่าหน่วยงานของรัฐตามวรรคหนึ่งเก็บข้อมูลใดเกี่ยวกับตนไว้ และมีสิทธิขอให้หน่วยงานของรัฐนั้นแก้ไขข้อมูลให้ถูกต้องและเป็นปัจจุบัน แต่ในกรณีที่หน่วยงานของรัฐได้รับข้อมูลมาจากผู้ควบคุมข้อมูลส่วนบุคคลอื่น
การแก้ไขข้อมูลให้ถูกต้องและเป็นปัจจุบันเป็นหน้าที่และอำนาจของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นผู้เก็บรวบรวมและเปิดเผยข้อมูลนั้น และให้ผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าวส่งข้อมูลที่ถูกต้องและเป็นปัจจุบันให้กับหน่วยงานของรัฐที่ร้องขอตามวรรคหนึ่ง
มาตรา ๘ เมื่อผู้ควบคุมข้อมูลส่วนบุคคลได้รับการร้องขอข้อมูลส่วนบุคคลจากองค์กรปกครองส่วนท้องถิ่นซึ่งคณะกรรมการประกาศกำหนด บรรดาที่มีกฎหมายให้อำนาจขอข้อมูลส่วนบุคคลเพื่อดำเนินการตามวัตถุประสงค์หรือภารกิจตามกฎหมายที่อยู่ในความรับผิดชอบเกี่ยวกับการจัดเก็บภาษีตามกฎหมายว่าด้วยภาษีที่ดินและสิ่งปลูกสร้าง
ผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าวย่อมได้รับการยกเว้นการปฏิบัติตามบทบัญญัติหมวด ๒ และหมวด ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ก่อนที่คณะกรรมการจะประกาศกำหนดองค์กรปกครองส่วนท้องถิ่นตามวรรคหนึ่ง คณะกรรมการต้องจัดให้มีการประเมินความพร้อมในการเก็บรวบรวม การใช้
และการเปิดเผยข้อมูลส่วนบุคคลขององค์กรปกครองส่วนท้องถิ่นแต่ละแห่งตามมาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลก่อน เจ้าของข้อมูลส่วนบุคคลมีสิทธิที่จะรู้ว่าองค์กรปกครองส่วนท้องถิ่นตามวรรคหนึ่งเก็บข้อมูลใดเกี่ยวกับตนไว้
และมีสิทธิขอให้องค์กรปกครองส่วนท้องถิ่นนั้นแก้ไขข้อมูลให้ถูกต้องและเป็นปัจจุบัน แต่ในกรณีที่องค์กรปกครองส่วนท้องถิ่นได้รับข้อมูลมาจากผู้ควบคุมข้อมูลส่วนบุคคลอื่น การแก้ไขข้อมูลให้ถูกต้องและเป็นปัจจุบันเป็นหน้าที่และอำนาจของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นผู้เก็บรวบรวมและเปิดเผยข้อมูลนั้น
และให้ผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าวส่งข้อมูลที่ถูกต้องและเป็นปัจจุบันให้แก่องค์กรปกครองส่วนท้องถิ่นที่ร้องขอตามวรรคหนึ่ง
มาตรา ๙ เมื่อผู้ควบคุมข้อมูลส่วนบุคคลได้รับการร้องขอข้อมูลส่วนบุคคลจากสำนักเลขาธิการคณะรัฐมนตรี เพื่อดำเนินการตามวัตถุประสงค์หรือภารกิจตามกฎหมายที่อยู่ในความรับผิดชอบเกี่ยวกับการสถาปนาสมณศักดิ์ การแต่งตั้งหรือถอดถอนข้าราชการ บุคคลหรือคณะบุคคล ซึ่งเป็นพระราชอำนาจของพระมหากษัตริย์
หรือที่ต้องเสนอคณะรัฐมนตรี และการขอพระราชทานหรือเรียกคืนเครื่องราชอิสริยาภรณ์ ฎีกาซึ่งมีผู้ทูลเกล้าฯ ถวาย หรือการขอพระราชทานพระมหากรุณาในเรื่องต่าง ๆ ผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าวย่อมได้รับการยกเว้นการปฏิบัติตามบทบัญญัติหมวด ๒ และหมวด ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
เจ้าของข้อมูลส่วนบุคคลมีสิทธิที่จะรู้ว่าสำนักเลขาธิการคณะรัฐมนตรีเก็บข้อมูลใดเกี่ยวกับตนไว้ และมีสิทธิขอให้สำนักเลขาธิการคณะรัฐมนตรีแก้ไขข้อมูลให้ถูกต้องและเป็นปัจจุบัน แต่ในกรณีที่สำนักเลขาธิการคณะรัฐมนตรีได้รับข้อมูลมาจากผู้ควบคุมข้อมูลส่วนบุคคลอื่น
การแก้ไขข้อมูลให้ถูกต้องและเป็นปัจจุบันเป็นหน้าที่และอำนาจของผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นผู้เก็บรวบรวมและเปิดเผยข้อมูลนั้น และให้ผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าวส่งข้อมูลที่ถูกต้องและเป็นปัจจุบันให้แก่สำนักเลขาธิการคณะรัฐมนตรีที่ร้องขอตามวรรคหนึ่ง
มาตรา ๑๐ เมื่อผู้ควบคุมข้อมูลส่วนบุคคลได้รับการร้องขอข้อมูลส่วนบุคคลจากหน่วยงานของรัฐที่มีกฎหมายให้อำนาจในการขอข้อมูลส่วนบุคคลเพื่อดำเนินการตามวัตถุประสงค์หรือภารกิจตามกฎหมายเกี่ยวกับประโยชน์สาธารณะที่สำคัญซึ่งคณะกรรมการประกาศกำหนด
ผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าวย่อมได้รับการยกเว้นการปฏิบัติตามบทบัญญัติหมวด ๒ และหมวด ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การประกาศกำหนดหน่วยงานของรัฐซึ่งมีหน้าที่และอำนาจเกี่ยวกับประโยชน์สาธารณะที่สำคัญตามวรรคหนึ่ง คณะกรรมการอาจกำหนดหลักเกณฑ์ วิธีการ
หรือเงื่อนไขที่จำเป็นและสมควรให้หน่วยงานของรัฐนั้นปฏิบัติ เพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลด้วยก็ได้ การดำเนินการตามวรรคหนึ่งต้องสอดคล้องกับหลักความพอสมควรแก่เหตุโดยไม่สร้างขั้นตอนที่ไม่จำเป็นหรือสร้างภาระจนเกินสมควร
และได้สัดส่วนระหว่างประโยชน์ที่ส่วนรวมจะได้รับกับสิทธิเสรีภาพและประโยชน์ที่บุคคลต้องเสียไป
มาตรา ๑๑ การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลในการดำเนินการเกี่ยวกับการเนรเทศ การส่งผู้ร้ายข้ามแดน ความร่วมมือระหว่างประเทศเกี่ยวกับกระบวนการยุติธรรมทางอาญา การป้องกันและปราบปรามการมีส่วนร่วมในองค์กรอาชญากรรมข้ามชาติ ความร่วมมืออื่นทางศาล
หรือกระบวนการยุติธรรมระหว่างประเทศ ผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าวย่อมได้รับการยกเว้นการปฏิบัติตามบทบัญญัติหมวด ๒ และหมวด ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มาตรา ๑๒ การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของหน่วยงานของรัฐตามพระราชกฤษฎีกานี้ บรรดาที่มีกฎหมายหรือพระราชกฤษฎีกานี้ให้อำนาจในการขอข้อมูลส่วนบุคคลเพื่อดำเนินการตามหน้าที่และอำนาจที่กฎหมายกำหนดไว้
หน่วยงานของรัฐซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าวย่อมได้รับการยกเว้นการปฏิบัติตามบทบัญญัติหมวด ๒ และหมวด ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ คณะกรรมการอาจประกาศกำหนดหลักเกณฑ์ วิธีการ และเงื่อนไขให้หน่วยงานของรัฐตามวรรคหนึ่งหน่วยงานใดหน่วยงานหนึ่งถือปฏิบัติ
เพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลด้วยก็ได้
มาตรา ๑๓ ในกรณีที่มีปัญหาว่าลักษณะ กิจการ หรือหน่วยงานใดอยู่ภายใต้บังคับแห่งพระราชกฤษฎีกานี้ ผู้มีหน้าที่เกี่ยวข้องอาจขอให้คณะกรรมการตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดขึ้นได้ ให้คณะกรรมการตีความและวินิจฉัยชี้ขาดปัญหาตามวรรคหนึ่งให้แล้วเสร็จภายในหกสิบวันและแจ้งให้ผู้มีหน้าที่เกี่ยวข้องทราบ
คณะกรรมการอาจขยายระยะเวลาตามวรรคสองออกไปอีกได้ไม่เกินสามสิบวัน ให้คณะกรรมการประกาศการตีความและวินิจฉัยชี้ขาดปัญหาตามวรรคสองให้ทราบเป็นการทั่วไป ในกรณีที่คณะกรรมการตีความและวินิจฉัยชี้ขาดปัญหาในเรื่องใดแล้ว หากผู้เกี่ยวข้องขอให้คณะกรรมการตีความและวินิจฉัยชี้ขาดปัญหาเรื่องในลักษณะหรือทำนองเดียวกัน
สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอาจส่งคำวินิจฉัยในเรื่องนั้นให้ผู้นั้นถือปฏิบัติได้
มาตรา ๑๔ เพื่อประโยชน์ในการคุ้มครองข้อมูลส่วนบุคคลและเป็นไปตามเจตนารมณ์ของมาตรา ๔ ให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดมาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้แล้วเสร็จภายในหนึ่งร้อยยี่สิบวันนับแต่วันที่พระราชกฤษฎีกาประกาศในราชกิจจานุเบกษา
แต่จะให้มีผลใช้บังคับก่อนวันที่พระราชกฤษฎีกานี้มีผลใช้บังคับมิได้ ทั้งนี้ เพื่อให้ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับ และตามพระราชกฤษฎีกานี้ ถือปฏิบัติ ผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง
ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลตามมาตรฐานที่กำหนดตามวรรคหนึ่งให้แล้วเสร็จภายในระยะเวลาที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
มาตรา ๑๕ ให้รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมรักษาการตามพระราชกฤษฎีกานี้
ผู้รับสนองพระบรมราชโองการ พลเอก ประยุทธ์ จันทร์โอชา นายกรัฐมนตรี
หมายเหตุ :- เหตุผลในการประกาศใช้พระราชกฤษฎีกาฉบับนี้ คือ โดยที่มาตรา ๔ วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ให้อำนาจตราพระราชกฤษฎีกายกเว้นไม่ให้นำพระราชบัญญัตินี้ทั้งหมดหรือแต่บางส่วนมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลในบางลักษณะ บางกิจการ หรือบางหน่วยงาน
เช่นเดียวกับผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับการยกเว้นตามมาตรา ๔ วรรคหนึ่ง และให้อำนาจยกเว้นไม่ให้นำพระราชบัญญัตินี้ทั้งหมดหรือแต่บางส่วนมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลที่ดำเนินการเพื่อประโยชน์สาธารณะอื่นใด สมควรกำหนดลักษณะ กิจการ
หรือหน่วยงานบางประเภทได้รับการยกเว้นไม่ให้นำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาใช้บังคับ ภายใต้เงื่อนไขที่กำหนดในแต่ละกรณี โดยผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับการยกเว้นตามพระราชกฤษฎีกานี้ ยังคงมีหน้าที่ต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลตามที่กำหนดในมาตรา ๔ วรรคสาม
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย ทั้งนี้ เพื่อมิให้กระทบกับหลักการคุ้มครองข้อมูลส่วนบุคคลจนเกินสมควร จึงจำเป็นต้องตราพระราชกฤษฎีกานี้
ที่มา: ระบบกลางกฎหมาย law.go.th (สำนักงานคณะกรรมการกฤษฎีกา).
