กระทู้ถามที่ ๔๑๑ ร.

สภาผู้แทนราษฎร

๒๐ มีนาคม ๒๕๖๗
เรื่อง การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลในหน่วยงาน และองค์กรต่าง ๆ

กราบเรียน ประธานสภาผู้แทนราษฎร

ข้าพเจ้าขอตั้งกระทู้ถาม ถามนายกรัฐมนตรี ดังต่อไปนี้
จากปัญหาข้อมูลส่วนบุคคลของประชาชนมีการร่ำไหลไปสู่มิจฉาชีพ ซึ่งอาจเกิดจากการที่หน่วยงานนั้น ๆ ไม่ได้วางมาตรการกำกับดูแลเท่าที่ควร หรือขาดงบประมาณในการดำเนินการหรือเกิดการทุจริตในหน้าที่ของบุคลากร หรือนำข้อมูลดังกล่าวไปหลอกลวงประชาชนด้วยกลวิธีต่าง ๆ ก่อให้เกิดความเดือดร้อนและความเสียหายในวงกว้าง จนไม่สามารถควบคุมได้อย่างทันท่วงที อีกทั้งหน่วยงานต่าง ๆ ที่มีหน้าที่จัดเก็บ ประมวลผล และเผยแพร่ข้อมูลส่วนบุคคลโดยส่วนใหญ่แล้วมีความเข้าใจคลาดเคลื่อนว่าหน่วยงานจำเป็นต้องจัดเก็บข้อมูลส่วนบุคคลของผู้อื่นไว้เพื่อทำตามหน้าที่และภารกิจของหน่วยงาน จึงไม่ต้องมีการดำเนินการใด ๆ เพื่อให้สอดคล้องกับพระราชบัญญัติแต่ในความเป็นจริงแล้วหน่วยงานนั้นจำเป็นต้องมีการจัดตั้งคณะทำงานเพื่อวางกระบวนการและแนวทางปฏิบัติให้ครบถ้วน เป็นไปตามพระราชบัญญัติ นอกจากนี้ เมื่อวันที่ ๑๔ กันยายน พ.ศ. ๒๕๖๖ มีประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง “การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒)” และมีผลบังคับใช้ตั้งแต่ช่วงกลางเดือน ธันวาคม พ.ศ. ๒๕๖๖ ที่ผ่านมา จึงขอเรียนถามว่า

๑. สถานการณ์ดำเนินงานของหน่วยงานต่าง ๆ ที่อยู่ภายใต้การกำกับดูแลของรัฐบาลปฏิบัติตามพระราชบัญญัติ มีความคืบหน้าเป็นอย่างไร ขอทราบรายละเอียด

๒. รัฐบาลมีการวางแผนด้านงบประมาณ ในระยะ ๓ ปีข้างหน้าสำหรับหน่วยงานที่ยังไม่ได้ดำเนินการตามพระราชบัญญัติ ไว้อย่างไร ขอทราบรายละเอียด

๓. รัฐบาลมีแผนที่จะสนับสนุน ส่งเสริมให้เกิดกระบวนการตรวจสอบ (audit) และรับรองมาตรฐานด้านการคุ้มครองข้อมูลส่วนบุคคล (เช่น ISO 27701) สำหรับหน่วยงานที่ต้องปฏิบัติตามพระราชบัญญัติหรือไม่ ขอทราบรายละเอียด

ขอให้ตอบในราชกิจจานุเบกษา

ขอแสดงความนับถืออย่างยิ่ง

สฤษฎ์พงษ์ เกียวข้อง
สมาชิกสภาผู้แทนราษฎร พรรคภูมิใจไทย

คำตอบกระทู้ถามที่ ๔๑๑ ร.

ของ นายสฤษฎ์พงษ์ เกี่ยวข้อง สมาชิกสภาผู้แทนราษฎร พรรคภูมิใจไทย จังหวัดกระบี่
เรื่อง การบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลในหน่วยงาน และองค์กรต่าง ๆ

ข้าพเจ้า นายเศรษฐาทรวินันท์ มีผลบังคับใช้เมื่อวันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๒
ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มีผลบังคับใช้เมื่อวันที่ ๑ มิถุนายน พ.ศ. ๒๕๖๕
คณะกรรมการการเลือกตั้งแห่งชาติและสำนักงานคณะกรรมการการเลือกตั้งแห่งชาติตามมาตรา ۳۷ (๑) 
กำหนดให้มีการปิดเผยข้อมูลดังกล่าวแก่ประชาชนภายในระยะเวลาที่กำหนด

(ข้อมูล ณ วันที่ ๑ ธันวาคม ๒๕๖๓)
จำนวน ๒,๐๐๐ คน

๒) ภาครัฐตามมาตรา ๔๑ (๑) จำนวน ๘๕ หน่วยงาน
๑.๒ ภาคเอกชน จำนวน ๒,๐๙๒ หน่วยงาน ได้แก่

๑) ภาคเอกชนแต่งตั้งโดยสมัครใจ จำนวน ๑,๐๔๖ หน่วยงาน

๒) เจ้าหน้าที่คุมครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๒) จำนวน ๗๔๙ หน่วยงาน

๓) เจ้าหน้าที่คุมครองข้อมูลส่วนบุคคลตามมาตรา ๔๑ (๓) จำนวน ๘๘ หน่วยงาน

(4) มาตรา 41 (2) และมาตรา 41 (3) จำนวน 209 คน

2\. การดำเนินการป้องกันเชิงรุกโดยศูนย์เฝ้าระวัง การละเมิดข้อมูลส่วนบุคคล PDPC Eagle Eye
ดังนี้

2.1 ตรวจแล้ว จำนวน 25,063 คน

2.2 พนักงานรัฐว่าให้ความร่วมมือ มีการดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลของผู้เสียภาษีอากร (คิดเป็นประมาณ)
จำนวนคนละประมาณ คน โดยมีเป้าหมายการดำเนินงานคือแผนการดำเนินงานประจำปี พ.ศ. )
จำนวนคนละคนและแผนการดำเนินงานประจำปี พ.ศ. )
ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนดดังนี้

3.1 กรุงเทพฯ มีการดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลของเจ้าหน้าที่ตำรวจในกรุงเทพฯ

และเอกชนปฏิบัติงานได้อย่างถูกต้อง ครบถ้วน และสอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูล
ส่วนบุคคล และยังมีมาตรการเชิงรุกโดยได้จัดให้เจ้าหน้าที่ของสำนักงานคณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคลเข้าตรวจ แนะนำการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
แก่หน่วยงานที่มีข้อมูลส่วนบุคคลจำนวนมาก ตามแบบตรวจแนะนำการกำกับการคุ้มครองข้อมูล
ส่วนบุคคล
จากการดำเนินการดังกล่าวข้างต้นมาอย่างต่อเนื่องเป็นเหตุให้ปัจจุบันหน่วยงานของรัฐหลายแห่ง
ได้พัฒนาแนวทางการปฏิบัติงานสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มากยิ่งขึ้น เห็นได้จากการเผยแพร่ข้อมูลบนเว็บไซต์ของหน่วยงานรัฐจะมีการลบหรือการตัดทอนข้อมูล
ส่วนบุคคลออกเพื่อไม่ให้เป็นการรุกล้ำซึ่งสิทธิส่วนบุคคลโดยไม่สมควรหรือการพรางข้อมูลบางส่วน
ของตัวเลขประจำตัวผู้เสียภาษีอากรหรือเลขประจำตัวประชาชนในกรณีที่มีกฎหมายกำหนดให้หน่วยงาน
ของรัฐมีหน้าที่ต้องเปิดเผยข้อมูลดังกล่าวต่อประชาชน ซึ่งการดำเนินการดังกล่าวเป็นไปตามหลัก
ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพียงเท่าที่จำเป็นเพื่อลดความเสี่ยงมิให้มีการนำข้อมูล
ส่วนบุคคลไปใช้ โดยไม่เหมาะสมหรืออาจเป็นผลร้ายต่อเจ้าของข้อมูลส่วนบุคคล
# คำตอบข้อที่ ๒

จากการรายงานของกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ทราบว่า สำนักงานคณะกรรมการ
คุ้มครองข้อมูลส่วนบุคคล มีการวางแผนด้านงบประมาณในระยะ ๓ ปี ข้างหน้า สำหรับหน่วยงาน
ที่ยังไม่ดำเนินการตามพระราชบัญญัติ โดยมีการจัดทำแผนคำของบประมาณรายจ่ายประจำปี โครงการต่อเนื่อง
พ.ศ. ๒๕๖๗ - ๒๕๗๐ เพื่อการสร้างความรู้ความเข้าใจ สนับสนุน ส่งเสริม และให้คำปรึกษาหารือ
และรับเรื่องร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของประเทศ รวมทั้งขยายการให้บริการแพลตฟอร์ม
ภาครัฐเพื่อรองรับการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล เพื่อลดภาระ
ด้านงบประมาณในภาพรวมของภาครัฐรวมทั้งสร้างความเชื่อมั่นให้กับประชาชนในการใช้เทคโนโลยีดิจิทัล
และสนับสนุนการพัฒนาเศรษฐกิจดิจิทัล ตามนโยบายและแผนระดับชาติว่าด้วยการพัฒนาดิจิทัล
เพื่อเศรษฐกิจและสังคม และให้สอดคล้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
จำนวน ๕ โครงการ ซึ่งมีการวางแผนของบประมาณต่อเนื่องตั้งแต่ปี พ.ศ. ๒๕๖๗ - ๒๕๗๐
โดยในปีงบประมาณ พ.ศ. ๒๕bonl นายหลังจากที่คณะรัฐมนตรีได้อนุมัติลงประกาศฯ

คำตอบข้อที่ ๓
จากการรายงานของกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ทราบว่า สำนักงานคณะกรรมการ
คุ้มครองข้อมูลส่วนบุคคล มีแผนการดำเนินงานในการสนับสนุน ส่งเสริม ให้เกิดกระบวนการตรวจสอบ
และรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล โดยสำนักงานคณะกรรมการคุ้มครองข้อมูล
ส่วนบุคคล กำหนดหลักเกณฑ์การตรวจสอบ (audit) และรับรองมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล
(ไม่ได้นำ ISO 27701 มาใช้) ทั้งนี้ เพื่อให้สอดคล้องกับหน้าที่และอำนาจของสำนักงานคณะกรรมการ
คุ้มครองข้อมูลส่วนบุคคลในการวิเคราะห์รับรองความสอดคล้องและความถูกต้องตามมาตรฐาน
มาตรการ หรือกลไกการกำกับดูแลที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล รวมทั้งตรวจสอบ
และรับรองนโยบายในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. ๒๕๖๒ มาตรา ๔๔ (๓) ดังนี้

๑. ในปีงบประมาณ พ.ศ. ๒๕๖๗ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ได้ดำเนินการเกี่ยวกับการจัดทำข้อปฏิบัติและการรับรองความสอดคล้องภายใต้โครงการศูนย์บริการ
(PDPA Center) โดยมีวัตถุประสงค์ ๓ ประการ ดังนี้

๑.๑ จัดทำแนวปฏิบัติและหลักเกณฑ์ประเมินความสอดคล้องด้านการคุ้มครองข้อมูล
ส่วนบุคคลที่ครอบคลุมผู้ควบคุมข้อมูลส่วนบุคคล และผู้เกี่ยวข้องทั้ง ๑๐ ด้าน ได้แก่

๑) ด้านการทำกับดูแลการคุ้มครอง ข้อมูลส่วนบุคคล

๒) ด้านนโยบายองค์กร

๓) ด้านส่งเสริมการตระหนักรู้ในการคุ้มครองข้อมูลส่วนบุคคล

๔) ด้านการตอบสนองต่อสิทธิของเจ้าของข้อมูลส่วนบุคคล

๕) ด้านความโปร่งใส

๖) ด้านการบันทึกรายการ ประมวลผลและฐานทางกฎหมาย

๗) ด้านข้อตกลงและการแบ่งปันข้อมูลส่วนบุคคล

๘) ด้านการประเมินผลกระทบเพื่อการจัดการความเสี่ยง

๙) ด้านการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

๑๐) ด้านการตอบสนอง ต่อเหตุการณ์ละเมิดข้อมูลส่วนบุคคลและเฝ้าติดตาม

ความสอดคล้องตามมาตรฐานคุ้มครองข้อมูลส่วนบุคคล และมีการจัดทำระบบสำหรับการเสริมสร้างและพัฒนาเครือข่าย (DPO Network) เพื่อการกำกับดูแล และติดตามประเมินผลการกำกับดูแล การคุ้มครองข้อมูลส่วนบุคคลของประเทศ ภายใต้โครงการคุ้มครองข้อมูลส่วนบุคคลเชิงรุก (PDPC Eagle Eye) ต่อไป