DOI: 10.14457/tu.the.2020.607
title: ปัญหากฎหมายคุ้มครองข้อมูลส่วนบุคคลต่อฐานข้อมูลการประกันภัยในธุรกิจประกันวินาศภัย

description: การประกันวินาศภัยนั้นเป็นธุรกิจที่มีความเกี่ยวข้องกับข้อมูลส่วนบุคคลอย่างมากโดยเฉพาะข้อมูลส่วนบุคคลของผู้เอาประกันภัยซึ่งบริษัทประกันวินาศภัยหรือผู้รับประกันภัยจำเป็นต้องประมวลผลข้อมูลส่วนบุคคลทั้งในขั้นตอนการพิจารณารับประกันภัยและการพิจารณาชดใช้ค่าสินไหมทดแทน ซึ่งข้อมูลต่าง ๆ นั้นล้วนเป็นข้อมูลที่อยู่ในความรับรู้ของผู้เอาประกันภัยเพียงฝ่ายเดียวหรือบางข้อมูลก็เป็นข้อมูลที่ไม่อาจตรวจสอบได้จากเอกสารที่ผู้เอาประกันภัยยื่นเพื่อขอเอาประกันภัยหรือเรียกร้องค่าสินไหมทดแทน ด้วยเหตุนี้จึงมักมีผู้เอาประกันภัยที่ไม่สุจริตอาศัยความไม่รู้ของผู้รับประกันภัยในการปกปิดหรือบิดเบือนข้อเท็จจริงที่เป็นสาระสำคัญในใบคำขอเอาประกันภัยหรือนำเหตุวินาศภัยที่ได้เรียกร้องค่าสินไหมทดแทนจากบริษัทประกันวินาศภัยอื่นไปแล้วมาใช้สิทธิเรียกร้องค่าสินไหมทดแทนซ้ำอีก ซึ่งทั้งสองการกระทำนั้นหากได้กระทำไปโดยไม่มีเหตุอันสมควรย่อมถือเป็นพฤติกรรมที่มีเหตุอันควรสงสัยว่าอาจมีลักษณะเป็นการฉ้อฉลประกันภัยที่ผู้รับประกันภัยมีหน้าที่ต้องรายงานไปยังคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (คปภ.) ด้วย ในปัจจุบันสำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (สำนักงาน คปภ.) มีการจัดทำฐานข้อมูลการประกันภัย (Insurance Bureau System) ขึ้นโดยมีวัตถุประสงค์หนึ่งก็เพื่อป้องกันการฉ้อฉลในธุรกิจประกันภัย ในการนี้ คปภ. จึงได้มีคำสั่งให้บริษัทประกันวินาศภัยจัดส่งรายงานการรับประกันวินาศภัยและค่าสินไหมทดแทนเป็นรายกรมธรรม์ซึ่งมีข้อมูลบางรายการเป็นข้อมูลส่วนบุคคลของผู้เอาประกันภัยไปยังสำนักงาน คปภ. แม้ว่า สำนักงาน คปภ. จะมีการจัดทำฐานข้อมูลการประกันภัยเพื่อจัดเก็บรายงานการรับประกันวินาศภัยและค่าสินไหมทดแทนของผู้เอาประกันภัยก็ตาม แต่บริษัทประกันวินาศภัยก็ยังไม่สามารถตรวจสอบประวัติการทำประกันภัยและการเรียกร้องค่าสินไหมทดแทนของผู้เอาประกันภัยในฐานข้อมูลการประกันภัยได้เนื่องจากยังไม่มีกฎหมายให้อำนาจสำนักงาน คปภ. ไว้เป็นการเฉพาะในการเปิดเผยข้อมูลในฐานข้อมูลดังกล่าว จึงทำให้ในบางกรณีที่บริษัทประกันวินาศภัยจำเป็นต้องตรวจสอบข้อมูลของผู้เอาประกันภัยที่มีอยู่กับบริษัทประกันวินาศภัยอื่นเพื่อให้ทราบถึงพฤติกรรมการฉ้อฉลของผู้เอาประกันภัยจะต้องกระทำโดยการแลกเปลี่ยนข้อมูลระหว่างบริษัทประกันวินาศภัยด้วยกันเอง ซึ่งวิธีนี้ผู้เอาประกันภัยอาจไม่ได้รับทราบหรือให้ความยินยอมจึงอาจเป็นการฝ่าฝืนพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้ และเนื่องจากการดำเนินกิจกรรมที่เกี่ยวข้องกับฐานข้อมูลการประกันภัยทั้งสำนักงาน คปภ. และบริษัทประกันวินาศภัยจะต้องเก็บรวบรวมหรือเปิดเผยข้อมูลส่วนบุคคลของผู้เอาประกันภัยด้วย ดังนั้น จึงจำเป็นต้องพิจารณาอ้างฐานทางกฎหมาย (legal basis) ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้ถูกต้องเพื่อให้การเก็บรวบรวมหรือเปิดเผยข้อมูลส่วนบุคคลนั้นชอบด้วยกฎหมาย อีกทั้ง การเก็บรวบรวมข้อมูลส่วนบุคคลของสำนักงาน คปภ. และบริษัทประกันวินาศภัยยังเป็นการเก็บรวบรวมข้อมูลจากแหล่งอื่นที่ไม่ใช่ผู้เอาประกันภัยซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลโดยตรง ดังนั้น จึงจำเป็นต้องพิจารณาบทบัญญัติในมาตรา 25 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบด้วย แต่จากการศึกษาบทบัญญัติมาตรา 25 พบว่ามีปัญหาหลายประการโดยเฉพาะในส่วนของหน้าที่ในการแจ้ง ข้อยกเว้นในการแจ้งและระยะเวลาในการแจ้งวัตถุประสงค์ใหม่ตามมาตรา 21 และรายละเอียดในมาตรา 23 ซึ่งจะส่งผลต่อการปรับใช้บทบัญญัติมาตรา 25 ต่อการดำเนินกิจกรรมที่เกี่ยวข้องกับฐานข้อมูลการประกันภัยต่อปัญหาดังกล่าว ผู้เขียนจึงได้ทำการศึกษาฐานข้อมูลด้านการประกันภัยในต่างประเทศที่ได้จัดทำขึ้นเพื่อแบ่งปันข้อมูลระหว่างบริษัทประกันวินาศภัยเพื่อวัตถุประสงค์ในการป้องกันการฉ้อฉลประกันภัย ได้แก่ ฐานข้อมูลของประเทศอังกฤษและประเทศออสเตรเลีย และยังได้ศึกษากฎหมายคุ้มครองข้อมูลส่วนบุคคลของประเทศดังกล่าว เพื่อให้การปรับใช้ฐานทางกฎหมายที่บัญญัติไว้ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กับกิจกรรมที่เกี่ยวข้องกับฐานข้อมูลการประกันภัยมีความชัดเจนยิ่งขึ้น ตลอดจนนำมาเป็นแนวทางในการแก้ไขปรับปรุงบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ให้มีความเหมาะสม จากการศึกษาผู้เขียนจึงเห็นควรเสนอแนะแนวทางแก้ไขปัญหาการขาดอำนาจหน้าที่ในการเปิดเผยข้อมูลการรับประกันวินาศภัยและค่าสินไหมทดแทนของสำนักงาน คปภ. โดยการออกกฎหมายเฉพาะให้อำนาจสำนักงาน คปภ. ในการเปิดเผยประวัติการทำประกันวินาศภัยและการเรียกร้องค่าสินไหมทดแทนไปยังบริษัทประกันวินาศภัยผู้รับข้อมูลเพื่อวัตถุประสงค์ในการป้องกันการฉ้อฉลประกันภัยได้ และเพื่อแก้ไขปัญหาเกี่ยวกับบทบัญญัติ มาตรา 25 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ผู้เขียนจึงเห็นควรเสนอให้ยกเลิกบทบัญญัติมาตรา 25 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และให้ใช้ข้อความที่แก้ไขใหม่โดยเฉพาะในส่วนของหน้าที่ในการแจ้ง ข้อยกเว้นในการแจ้ง และระยะเวลาในการแจ้งวัตถุประสงค์ใหม่ตามมาตรา 21 และรายละเอียดตามมาตรา 23 เพื่อให้บทบัญญัติมาตรา 25 มีความสอดคล้องกับหลักการสำคัญเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตามที่กำหนดใน GDPR และมีความชัดเจนในการบังคับใช้และไม่ก่อให้เกิดปัญหาในการตีความในภายหลัง