ประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติประกาศคณะกรรมการกิจการโทรคมนาคมแห่งชาติเรื่องมาตรการคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคลสิทธิในความเป็นส่วนตัวและเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคม เนื่องจากข้อมูลส่วนบุคคลของผู้ใช้บริการในทางโทรคมนาคมเป็นสิ่งที่สามารถประมวลผลและเผยแพร่ถึงบุคคลจำนวนมากได้โดยง่ายสะดวก และรวดเร็วซึ่งจะเป็นการกระทบกระเทือนถึงสิทธิในความเป็นส่วนตัวและเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคมอาศัยอำนาจตามมาตรา๕๑ (๑๑) แห่งพระราชบัญญัติองค์กรจัดสรรคลื่นความถี่และกำกับกิจการวิทยุกระจายเสียงวิทยุโทรทัศน์และกิจการโทรคมนาคม พ.ศ. ๒๕๔๓อันเป็นพระราชบัญญัติที่มีบทบัญญัติบางประการเกี่ยวกับการจำกัดสิทธิและเสรีภาพของบุคคลซึ่งมาตรา ๒๙ ประกอบกับมาตรา ๓๔ มาตรา ๓๗ มาตรา ๓๙ มาตรา ๔๐ มาตรา ๔๑ มาตรา ๔๕มาตรา ๕๐ และมาตรา ๕๗ ของรัฐธรรมนูญแห่งราชอาณาจักรไทยบัญญัติให้กระทำได้โดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมาย ประกอบกับมาตรา ๕๐แห่งพระราชบัญญัติการประกอบกิจการโทรคมนาคม พ.ศ. ๒๕๔๔อันเป็นพระราชบัญญัติที่มีบทบัญญัติบางประการเกี่ยวกับการจำกัดสิทธิและเสรีภาพของบุคคลซึ่งมาตรา ๒๙ ประกอบกับมาตรา ๓๔ มาตรา ๓๗ มาตรา ๓๙ มาตรา ๔๘ และมาตรา ๕๐ของรัฐธรรมนูญแห่งราชอาณาจักรไทยบัญญัติให้กระทำได้โดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมายคณะกรรมการกิจการโทรคมนาคมแห่งชาติจึงกำหนดมาตรการเพื่อคุ้มครองสิทธิของผู้ใช้บริการโทรคมนาคมเกี่ยวกับข้อมูลส่วนบุคคลสิทธิในความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคมไว้ดังต่อไปนี้ข้อ๑ ในประกาศนี้ข้อมูลส่วนบุคคล หมายความว่าข้อมูลผู้ใช้เลขหมายโทรคมนาคม ข้อเท็จจริงรายละเอียดเกี่ยวกับผู้ใช้บริการที่สามารถระบุตัวผู้ใช้บริการหรืออาจระบุตัวผู้ใช้บริการนั้นได้ไม่ว่าทางตรงหรือทางอ้อมข้อมูลการใช้บริการ เลขหมายโทรคมนาคมรวมทั้งพฤติกรรมการใช้บริการโทรคมนาคมของผู้ใช้บริการแต่ไม่รวมถึงข้อมูลทางเทคนิคที่ใช้เท่าที่จำเป็นเพื่อประโยชน์ในการบริหารโครงข่ายโทรคมนาคม เพื่อประโยชน์ในการติดต่อสื่อสารและเพื่อประโยชน์ในการดำเนินธุรกิจในภาพรวมของผู้รับใบอนุญาตผู้ใช้บริการ หมายความว่าผู้ใช้บริการโทรคมนาคมจากผู้รับใบอนุญาตประกอบกิจการโทรคมนาคมทั้งที่เป็นบุคคลธรรมดาและนิติบุคคลไม่ว่าจะเป็นคู่สัญญากับผู้รับใบอนุญาตหรือไม่ก็ตามผู้รับใบอนุญาต หมายความว่าผู้ได้รับใบอนุญาตประกอบกิจการโทรคมนาคมจากคณะกรรมการกิจการโทรคมนาคมแห่งชาติและให้หมายความรวมถึงผู้ได้รับอนุญาตสัมปทานหรือสัญญา จากบริษัท ทีโอที จำกัด (มหาชน) หรือ บริษัท กสท โทรคมนาคม จำกัด(มหาชน) อยู่ก่อนวันที่พระราชบัญญัติการประกอบกิจการโทรคมนาคม พ.ศ. ๒๕๔๔ ใช้บังคับการประมวลผล หมายความว่า การดำเนินการใดๆเกี่ยวกับการใช้ การเปิดเผย หรือการแก้ไขซึ่งข้อมูลส่วนบุคคลของผู้ใช้บริการไม่ว่าจะใช้วิธีการใดๆและให้หมายความรวมถึงการส่งหรือโอนข้อมูลส่วนบุคคลที่ใช้ในการประกอบกิจการโทรคมนาคมนั้นๆการเก็บรวบรวม หมายความว่าการทำให้ได้มาซึ่งข้อมูลส่วนบุคคลข้อมูลผู้ใช้เลขหมายโทรคมนาคม หมายความว่าข้อมูลเกี่ยวกับเลขหมายโทรคมนาคม ชื่อ สกุล และที่อยู่ของผู้ใช้บริการคณะกรรมการ หมายความว่าคณะกรรมการกิจการโทรคมนาคมแห่งชาติเลขาธิการ หมายความว่าเลขาธิการคณะกรรมการกิจการโทรคมนาคมแห่งชาติสำนักงาน หมายความว่าสำนักงานคณะกรรมการกิจการโทรคมนาคมแห่งชาติข้อ๒ประกาศนี้ให้ใช้บังคับเฉพาะเพื่อประโยชน์ในการคุ้มครองสิทธิของผู้ใช้บริการในกิจการโทรคมนาคมที่เกี่ยวกับข้อมูลส่วนบุคคลสิทธิความเป็นส่วนตัว และเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคมหมวด ๑การประมวลผลข้อมูลส่วนบุคคลข้อ๓ผู้รับใบอนุญาตจะประมวลผลข้อมูลส่วนบุคคลได้โดย(๑) ต้องได้รับความยินยอมจากผู้ใช้บริการ และ(๒)ต้องกระทำเพื่อประโยชน์ในการดำเนินกิจการโทรคมนาคมเท่านั้น และ(๓) เป็นไปตามหลักเกณฑ์ที่กำหนดไว้ในประกาศนี้ข้อ๔ การประมวลผลในกรณีดังต่อไปนี้ไม่ต้องปฏิบัติตามหลักเกณฑ์ในข้อ๓(๑)เปิดเผยข้อมูลส่วนบุคคลต่อหน่วยงานของรัฐหรือเจ้าหน้าที่ของรัฐโดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมายเฉพาะเพื่อรักษาความมั่นคงของรัฐหรือเพื่อรักษาความสงบเรียบร้อยหรือศีลธรรมอันดีของประชาชน และปฏิบัติครบถ้วนตามกระบวนการที่กฎหมายนั้นบัญญัติ(๒)ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็นเพื่อป้องกันหรือระงับอันตรายต่อชีวิตร่างกาย หรือสุขภาพอนามัยของผู้ใช้บริการ(๓)ส่งข้อมูลส่วนบุคคลให้คณะกรรมการหรือสำนักงานตามข้อ ๑๔ข้อ๕การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ นอกจากปฏิบัติตามข้อ ๓ แล้วยังต้องปฏิบัติตามหลักเกณฑ์ที่คณะกรรมการกำหนดเพิ่มเติมหมวด ๒การเก็บรวบรวมข้อมูลส่วนบุคคลข้อ๖ผู้รับใบอนุญาตต้องเก็บรวบรวมข้อมูลส่วนบุคคลจากผู้ใช้บริการโดยตรงเท่าที่จำเป็นแก่การดำเนินกิจการโทรคมนาคมและเป็นไปตามวัตถุประสงค์ที่ชอบด้วยกฎหมายข้อ๗ผู้รับใบอนุญาตต้องไม่เก็บรวบรวมข้อมูลส่วนบุคคลของผู้ใช้บริการดังต่อไปนี้(๑) ลักษณะพิการทางร่างกายเว้นแต่การเก็บรวบรวมข้อมูลนั้นเพื่อประโยชน์ในการให้บริการที่เหมาะสมตามลักษณะพิการทางร่างกาย(๒) ลักษณะทางพันธุกรรม(๓) ข้อมูลที่กระทบต่อความรู้สึกหรืออาจก่อให้เกิดความเสียหายหรือมีผลกระทบต่อสิทธิเสรีภาพของผู้ใช้บริการอย่างชัดแจ้งตามที่คณะกรรมการกำหนดหมวด ๓การเก็บรักษาข้อมูลส่วนบุคคลข้อ๘ผู้รับใบอนุญาตต้องเก็บรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการในช่วงเวลา ๓เดือนสุดท้ายของการใช้บริการ นับถัดจากวันที่ใช้บริการในปัจจุบันกรณีการให้บริการโทรคมนาคมสิ้นสุดลงให้เก็บรักษาข้อมูลส่วนบุคคลตามวรรคหนึ่ง ไว้เป็นเวลา ๓ เดือนนับถัดจากวันสิ้นสุดสัญญาการให้บริการ เว้นแต่(๑)กรณีมีความจำเป็นผู้รับใบอนุญาตต้องเก็บรักษาไว้ได้เมื่อพ้นกำหนด ๓ เดือนแต่ต้องไม่เกิน ๒ ปี นับถัดจากวันที่การให้บริการโทรคมนาคมสิ้นสุดลง(๒)กรณีจำเป็นต้องเก็บรักษาภายในระยะเวลาตามที่กฎหมายอื่นกำหนดหมวด ๔สิทธิของผู้ใช้บริการข้อ๙ผู้ใช้บริการมีสิทธิดำเนินการภายในระยะเวลาตามหลักเกณฑ์ข้อ ๘ในกรณีดังต่อไปนี้(๑) ขอตรวจดูขอสำเนาหรือขอสำเนารับรองถูกต้องเกี่ยวกับข้อมูลส่วนบุคคลของผู้ใช้บริการ(๒)ขอแก้ไขหรือเปลี่ยนแปลงข้อมูลส่วนบุคคลของผู้ใช้บริการให้ถูกต้องสมบูรณ์(๓)ขอระงับการใช้หรือเปิดเผยข้อมูลส่วนบุคคลของผู้ใช้บริการ(๔) เพิกถอนความยินยอมให้ประมวลผลไม่ว่าเวลาใดก็ตามการใช้สิทธิตามวรรคหนึ่งให้ทำคำขอเป็นหนังสือยื่นต่อผู้รับใบอนุญาต ถ้าผู้รับใบอนุญาตไม่ดำเนินการตามคำขอให้ผู้ใช้บริการมีหนังสือแจ้งสำนักงานเพื่อบังคับการให้เป็นไปตามสิทธิของผู้ใช้บริการการดำเนินการขอสำเนารับรองถูกต้องซึ่งข้อมูลส่วนบุคคลที่เกี่ยวกับตนตาม(๑) ผู้รับใบอนุญาตอาจเรียกเก็บค่าธรรมเนียมในการนั้นก็ได้ ทั้งนี้ต้องไม่สูงจากความเป็นจริงตามหลักเกณฑ์ที่คณะกรรมการกำหนดหมวด ๕หน้าที่ของผู้รับใบอนุญาตข้อ๑๐ผู้รับใบอนุญาตต้องจัดให้มีมาตรการป้องกันและรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลทั้งทางด้านเทคนิคและการจัดการภายในองค์กรในรูปแบบที่เหมาะสมกับแต่ละบริการโทรคมนาคมมาตรการป้องกันและรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลทางด้านเทคนิคให้ดำเนินการอย่างน้อยดังต่อไปนี้(๑)ต้องปรับเปลี่ยนระบบการเข้าและการถอดรหัสที่ใช้เพื่อการรักษาความปลอดภัยของข้อมูลส่วนบุคคลอย่างน้อยทุก ๓ เดือน(๒)ต้องปรับระดับความปลอดภัยให้เหมาะสมกับความเสี่ยงที่เกิดขึ้นตามการพัฒนาทางเทคโนโลยีข้อ๑๑ผู้รับใบอนุญาตต้องสร้างความเชื่อมั่นในการติดต่อสื่อสารถึงกันโดยทางโทรคมนาคมโดยจะกระทำไม่ได้และจัดให้มีระบบป้องกันการกระทำดังต่อไปนี้(๑) ดักฟัง ตรวจ กักสัญญาณหรือเปิดเผยสิ่งสื่อสารถึงกันโดยทางโทรคมนาคมที่บุคคลติดต่อถึงกันไม่ว่าจะเป็นรูปแบบใดๆเว้นแต่โดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมายเฉพาะเพื่อรักษาความมั่นคงของรัฐหรือเพื่อรักษาความสงบเรียบร้อยหรือศีลธรรมอันดีของประชาชนและปฏิบัติครบถ้วนตามกระบวนการที่กฎหมายนั้นบัญญัติ(๒) การกระทำการใดๆเพื่อให้ความหมายของข้อมูลเปลี่ยนแปลงไปข้อ๑๒ผู้รับใบอนุญาตให้บริการโทรศัพท์ต้องจัดให้มีบริการแสดงเลขหมายเรียกเข้าระบบป้องกันการแสดงเลขหมายโทรออกและระบบปฏิเสธเลขหมายที่ไม่พึงประสงค์ ตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนดข้อ๑๓ผู้รับใบอนุญาตต้องให้ข้อมูลผู้ใช้เลขหมายโทรคมนาคมแก่บุคคลที่ขอนำไปจัดทำรายนามผู้ใช้บริการตามมาตรา๑๒ วรรคห้าแห่งพระราชบัญญัติการประกอบกิจการโทรคมนาคม พ.ศ. ๒๕๔๔ซึ่งได้รับความยินยอมจากผู้ใช้บริการแล้วโดยให้คิดค่าใช้จ่ายได้เฉพาะค่าใช้จ่ายในการจัดทำข้อมูลให้เท่านั้น ทั้งนี้ต้องไม่สูงกว่าความเป็นจริง ตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนดข้อ๑๔ผู้รับใบอนุญาตมีหน้าที่ส่งข้อมูลส่วนบุคคลที่ผู้รับใบอนุญาตครอบครองให้แก่คณะกรรมการและสำนักงานเมื่อคณะกรรมการและสำนักงานร้องขอเพื่อประโยชน์ในการปฏิบัติงานกำกับดูแลการประกอบกิจการโทรคมนาคมตามกฎหมายของคณะกรรมการและสำนักงานข้อ๑๕ผู้รับใบอนุญาตต้องจัดทำหลักเกณฑ์การคุ้มครองสิทธิของผู้ใช้บริการเกี่ยวกับข้อมูลส่วนบุคคลสิทธิในความเป็นส่วนตัวและเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคมของผู้ใช้บริการให้สอดคล้องกับประกาศนี้และกฎหมายที่เกี่ยวข้องโดยต้องส่งให้คณะกรรมการเห็นชอบก่อนและต้องจัดให้ผู้ใช้บริการได้รับทราบและจัดให้มีการเผยแพร่เป็นการทั่วไปข้อ๑๖ผู้รับใบอนุญาตต้องแจ้งให้ผู้ใช้บริการรับทราบถึงการดำเนินการตามหลักเกณฑ์ในประกาศนี้อย่างน้อยกรณีต่อไปนี้(๑)ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลตามข้อ ๘(๒) สิทธิของผู้ใช้บริการตามข้อ ๙(๓)จัดส่งข้อมูลส่วนบุคคลของผู้ใช้บริการให้บุคคลใด และดำเนินการอย่างไรตามข้อ ๑๔(๔)หลักเกณฑ์การคุ้มครองสิทธิของผู้ใช้บริการเกี่ยวกับข้อมูลส่วนบุคคลสิทธิในความเป็นส่วนตัวและเสรีภาพตามข้อ ๑๕(๕) สิทธิการร้องเรียนตามข้อ ๑๗หมวด ๖การร้องเรียนข้อ๑๗ผู้ใช้บริการอาจร้องเรียนเกี่ยวกับกรณีถูกละเมิดสิทธิเกี่ยวกับข้อมูลส่วนบุคคลสิทธิในความเป็นส่วนตัว หรือเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคมโดยให้เป็นไปตามกระบวนการรับเรื่องร้องเรียนและพิจารณาเรื่องร้องเรียนของผู้ใช้บริการหมวด ๗มาตรการควบคุมบุคคลอื่นที่เกี่ยวข้องข้อ๑๘ผู้รับใบอนุญาตต้องแจ้งรายละเอียดและกำหนดมาตรการให้บุคคลที่จัดทำรายนามผู้ใช้บริการและบุคคลที่ได้รับมอบหมายจากผู้รับใบอนุญาตให้ทำหน้าที่ประมวลผลข้อมูลส่วนบุคคลเก็บรวบรวมข้อมูลส่วนบุคคลและเก็บรักษาข้อมูลส่วนบุคคล ปฏิบัติตามหลักเกณฑ์ที่กำหนดในประกาศนี้ แล้วแต่กรณีโดยเคร่งครัดหากบุคคลตามวรรคหนึ่งจงใจไม่ปฏิบัติตามประกาศนี้ผู้รับใบอนุญาตต้องควบคุมดูแล ให้บุคคลดังกล่าวระงับการกระทำที่ฝ่าฝืนหรือแก้ไขปรับปรุงหรือปฏิบัติตามให้ถูกต้องเหมาะสมและผู้รับใบอนุญาตต้องผูกพันในการดำเนินการใดๆของบุคคลดังกล่าวเสมือนว่าผู้รับใบอนุญาตเป็นผู้ดำเนินการด้วยตนเองบทเฉพาะกาล ข้อ๑๙ให้ผู้รับใบอนุญาตจัดให้มีมาตรการคุ้มครองสิทธิของผู้ใช้บริการเกี่ยวกับข้อมูลส่วนบุคคลสิทธิในความเป็นส่วนตัวและเสรีภาพในการสื่อสารถึงกันโดยทางโทรคมนาคมซึ่งสอดคล้องกับประกาศนี้และจัดส่งให้คณะกรรมการพิจารณาให้ความเห็นชอบภายใน ๙๐วันนับถัดจากวันที่ประกาศนี้มีผลใช้บังคับในระหว่างที่มาตรการดังกล่าวยังไม่แล้วเสร็จให้ผู้รับใบอนุญาตนำประกาศนี้มาใช้บังคับโดยอนุโลมทั้งนี้ ไม่รวมถึงกรณีที่ผู้รับใบอนุญาตได้ประมวลผลข้อมูลส่วนบุคคลตามข้อ ๓และกรณีผู้รับใบอนุญาตได้ให้ข้อมูลผู้ใช้เลขหมายโทรคมนาคมแก่บุคคลที่ขอนำไปทำรายนามผู้ใช้บริการตามข้อ ๑๓ อยู่ก่อนวันที่ประกาศนี้ใช้บังคับข้อ๒๐[๑]ประกาศนี้ให้ใช้บังคับตั้งแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไปประกาศ ณ วันที่ ๑๘พฤษภาคม พ.ศ. ๒๕๔๙พลเอก ชูชาติ พรหมพระสิทธิ์ประธานกรรมการกิจการโทรคมนาคมแห่งชาตินันทนา/ผู้จัดทำ๒๑ สิงหาคม ๒๕๔๙วิภา/ปรับปรุง๑๒กันยายน ๒๕๕๙กลุชาติ/ตรวจ๑๑พฤศจิกายน ๒๕๕๙[๑]ราชกิจจานุเบกษา เล่ม ๑๒๓/ตอนพิเศษ ๘๘ ง/หน้า ๒๐/๑๖ สิงหาคม ๒๕๔๙