ดร.ธนกฤต ตั้งข้อสังเกตพระราชกฤษฎีกา เปิดเผยข้อมูลส่วนบุคคลของหน่วยงานรัฐที่เพิ่งประกาศใช้ อาจขัด พรบ.ข้อมูลข่าวสารราชการและรัฐธรรรมนูญ
เมื่อวันที่ 1 กรกฎาคม ดร.ธนกฤต วรธนัชชากุล กรรมการวินิจฉัยการเปิดเผยข้อมูลข่าวสาร สาขาสังคม การบริหารราชการแผ่นดินและการบังคับใช้กฎหมาย คณะ 3 ได้โพสต์เฟซบุ๊ก Thanakrit Vorathanatchakul ว่า เมื่อวันที่ 29 มิถุนายน 2569 ได้มีการประกาศบังคับใช้พระราชกฤษฎีกาการเปิดเผยข้อมูลข่าวสารส่วนบุคคลที่อยู่ในความควบคุมดูแลของหน่วยงานของรัฐต่อหน่วยงานรัฐแห่งอื่น พ.ศ. 2569 ซึ่งมีผลเกี่ยวข้องโดยตรงกับบุคคลทุกคนที่มีข้อมูลส่วนบุคคลอยู่ในความควบคุมดูแลของหน่วยงานของรัฐในประเทศไทย เช่น ข้อมูลการชำระภาษี ข้อมูลทางการเงิน ประวัติสุขภาพ ประวัติการศึกษา ประวัติการทำงาน ประวัติอาชญากรรม ชื่อ นามสกุล ที่อยู่ เลขที่บัตรประจำตัวประชาชน รวมทั้งข้อมูลที่เป็นสิ่งเฉพาะตัวของบุคคล พระราชกฤษฎีกาฉบับนี้ออกโดยอาศัยอำนาจตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ.2540 มาตรา 24 (9) ที่กำหนดกรณีอื่นที่ให้หน่วยงานของรัฐสามารถเปิดเผยข้อมูลข่าวสารส่วนบุคคลที่อยู่ในความควบคุมดูแลของตนต่อหน่วยงานของรัฐอื่นได้ตามที่กำหนดไว้ในพระราชกฤษฎีกา โดยพระราชกฤษฎีกาฉบับนี้มีผลบังคับใช้ตั้งแต่วันที่ 30 มิถุนายน 2569
คณะกรรมการวินิจฉัยการเปิดเผยข้อมูลข่าวสาร (กวฉ.) สาขาสังคม การบริหารราชการแผ่นดินและการบังคับใช้กฎหมาย คณะ 3 ที่ผมเป็นกรรมการอยู่ นอกจากจะมีอำนาจหน้าที่วินิจฉัยอุทธรณ์เรื่องการไม่เปิดเผยข้อมูลข่าวสารของ ป.ป.ช. องค์กรอิสระ ศาล องค์กรอัยการ และสำนักงานตำรวจแห่งชาติแล้ว ยังมีอำนาจหน้าที่ในการวินิจฉัยอุทธรณ์เรื่องข้อมูลข่าวสารส่วนบุคคลด้วย ซึ่งบรรทัดฐานในการพิจารณาและวินิจฉัยของ กวฉ.ฯ คณะ 3 ที่ผ่านมาจะให้ความสำคัญกับการคุ้มครองข้อมูลข่าวสารส่วนบุคคลเป็นอย่างมาก การเปิดเผยข้อมูลข่าวสารส่วนบุคคลโดยหน่วยงานรัฐนั้นโดยหลักแล้วไม่สามารถกระทำได้ เว้นแต่จะเข้าข้อยกเว้นตามเงื่อนไขและหลักเกณฑ์ที่กฎหมายกำหนดไว้เท่านั้น
ตามพระราชกฤษฎีกาฯ มาตรา 3 วรรคหนึ่ง กำหนดให้หน่วยงานของรัฐมีหน้าที่เปิดเผยข้อมูลข่าวสารส่วนบุคคลที่อยู่ในความควบคุมดูแลของตนต่อหน่วยงานของรัฐด้วยกันเพื่อให้เกิดการเชื่อมโยงข้อมูลสำหรับจัดทำและให้บริการภาครัฐแก่ประชาชนโดยวิธีการทางอิเล็กทรอนิกส์ เมื่อหน่วยงานของรัฐอื่นร้องขอ ซึ่งเมื่อพิจารณามาตรา 3 นี้แล้ว
-
- ผมมีข้อสังเกตดังนี้
-
- พระราชกฤษฎีกาฯ มาตรา 3 ไม่ได้กำหนดหลักเกณฑ์และเงื่อนไขในการเปิดเผยข้อมูลข่าวสารส่วนบุคคลไว้เมื่อมีหน่วยงานของรัฐแห่งอื่นมาร้องขอข้อมูลส่วนบุคคล แต่กลับกำหนดให้เป็นหน้าที่ของหน่วยงานรัฐที่จะต้องเปิดเผยข้อมูลข่าวสารส่วนบุคคลให้หน่วยงานของรัฐแห่งอื่นตามที่ร้องขอ ซึ่งอาจจะมีกรณีที่หน่วยงานของรัฐแห่งอื่นมาขอข้อมูลส่วนบุคคลที่ไม่ตรงตามอำนาจหน้าที่และไม่สอดคล้องกับภารกิจของหน่วยงานรัฐแห่งนั้น หรืออาจจะมีการขอข้อมูลส่วนบุคคลที่มากเกินความจำเป็นได้
- ตาม พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ.2540 มาตรา 24 วรรคหนึ่ง กำหนดห้ามไม่ให้หน่วยงานของรัฐเปิดเผยข้อมูลข่าวสารส่วนบุคคลที่อยู่ในความควบคุมดูแลของตนให้กับหน่วยงานของรัฐแห่งอื่นหรือบุคคลอื่น เว้นแต่จะได้รับความยินยอมเป็นหนังสือจากเจ้าของข้อมูลเสียก่อน
- พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ.2540 มาตรา 24 วรรคหนึ่ง (1) ถึง (8) ได้กำหนดกรณีข้อยกเว้นให้หน่วยงานของรัฐมีอำนาจเปิดเผยข้อมูลข่าวสารส่วนบุคคลที่อยู่ในความควบคุมดูแลของตนต่อหน่วยงานของรัฐแห่งอื่นหรือบุคคลอื่น โดยไม่จำต้องได้รับความยินยอมจากเจ้าของข้อมูลไว้เป็นการเหมาะสมและเพียงพอต่อความจำเป็นแล้ว เช่น การเปิดเผยต่อเจ้าหน้าที่ของรัฐเพื่อการป้องกันการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมาย การสืบสวน การสอบสวน หรือการฟ้องคดี การเปิดเผยต่อศาลและเจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐหรือบุคคลที่มีอำนาจตามกฎหมายที่จะขอข้อเท็จจริงดังกล่าว และการเปิดเผยเพื่อการป้องกันหรือระวังอันตรายต่อชีวิตหรือสุขภาพของบุคคล เป็นต้น
- การที่มาตรา 3 กำหนดให้เป็นหน้าที่ของหน่วยงานรัฐที่จะต้องเปิดเผยข้อมูลข่าวสารส่วนบุคคลให้หน่วยงานของรัฐแห่งอื่นตามที่ร้องขอ อาจจะไม่สอดคล้องและขัดกับ พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ.2540 มาตรา 15 วรรคหนึ่ง (4) ที่ห้ามไม่ให้หน่วยงานของรัฐเปิดเผยข้อมูลข่าวสารส่วนบุคคลที่การเปิดเผยอาจเป็นอันตรายต่อชีวิตหรือความปลอดภัยของบุคคล และมาตรา 15 วรรคหนึ่ง (5) ที่ห้ามเปิดเผยรายงานการแพทย์หรือข้อมูลข่าวสารส่วนบุคคลซึ่งการเปิดเผยจะเป็นการรุกล้ำสิทธิส่วนบุคคลโดยไม่สมควร
-
ดังนั้น ตามข้อสังเกตที่กล่าวมา พระราชกฤษฎีกาฉบับนี้จึงมีประเด็นให้ต้องร่วมกันพิจารณาว่า ขัดหรือแย้งกับ พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ.2540 ในส่วนที่เป็นบทบัญญัติคุ้มครองข้อมูลข่าวสารส่วนบุคคล หรือไม่ และหากเป็นกรณีที่พระราชกฤษฎีกาฉบับนี้ขัดหรือแย้งกับ พ.ร.บ. ข้อมูลข่าวสารของราชการ พ.ศ.2540 ซึ่งมีลำดับศักดิ์กฎหมายที่สูงกว่าแล้ว ย่อมทำให้พระราชกฤษฎีกาที่มีลำดับศักดิ์กฎหมายที่ต่ำกว่าไม่อาจใช้บังคับได้ด้วย
นอกจากนี้ ยังมีประเด็นตามรัฐธรรมนูญมาตรา 32 ที่กำหนดว่า บุคคลย่อมมีสิทธิในความเป็นอยู่ส่วนตัว การนําข้อมูลส่วนบุคคลไปใช้ประโยชน์ไม่ว่าในทางใดๆ จะกระทํามิได้ เว้นแต่โดยอาศัยอํานาจตามบทบัญญัติแห่งกฎหมายที่ตราขึ้นเพียงเท่าที่จําเป็นเพื่อประโยชน์สาธารณะ จึงอาจต้องพิจารณาด้วยว่า พระราชกฤษฎีกาฉบับนี้ ขัดหรือแย้งกับรัฐธรรมนูญหรือไม่ด้วย
อนึ่ง ถึงแม้พระราชกฤษฎีกาฯ มาตรา 3 วรรคสองและวรรคสาม จะกำหนดให้หน่วยงานของรัฐ ที่ร้องขอข้อมูลส่วนบุคคลมีหน้าที่ต้องรักษาข้อมูลข่าวสารส่วนบุคคลที่เปิดเผย ไม่ให้มีการเปิดเผยต่อไปยังบุคคลภายนอกไม่ว่าจะเป็นหน่วยงานของรัฐหรือไม่ และกำหนดให้การรักษาข้อมูลข่าวสารส่วนบุคคลเป็นไปตามหลักเกณฑ์และเงื่อนไขที่คณะกรรมการข้อมูลข่าวสารกำหนด ซึ่งต้องสอดคล้องกับมาตรฐานการรักษาความปลอดภัยทางไซเบอร์ก็ตาม แต่ก็เป็นเพียงบทบัญญัติในการกำหนดหลักเกณฑ์การรักษาข้อมูลส่วนบุคคลในขั้นตอนหลังจากที่ได้มีการเปิดเผยข้อมูลส่วนบุคคลไปแล้ว ไม่ได้เป็นการกำหนดหลักเกณฑ์ในขั้นตอนการเปิดเผยข้อมูลส่วนบุคคลระหว่างหน่วยงานรัฐด้วยกันแต่อย่างใด
