Guideline โดย อ.เธียรชัย ณ นคร ประธานกรรมการ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ย้อนอ่าน: แนะนำ 3 หลักเกณฑ์และแนวทางการจัดการข้อมูลส่วนบุคคล
1.1 การเก็บรวบรวม การเก็บรักษา และการประมวลผลข้อมูล
1.2 การใช้และเปิดเผยข้อมูล
1) องค์กรธุรกิจหรือหน่วยงานเอกชนที่จัดเก็บข้อมูลส่วนบุคคลหรือข้อมูลที่เกี่ยวข้องกับบุคคล ต้องใช้หรือเปิดเผยข้อมูลเพียงเท่าที่เป็นไปตามวัตถุประสงค์ของการจัดเก็บ ในกรณีที่องค์กรธุรกิจหรือหน่วยงานเอกชนต้องการใช้หรือเปิดเผยข้อมูลนอกเหนือไปจากวัตถุประสงค์ของการจัดเก็บเดิม องค์กรธุรกิจหรือหน่วยงานเอกชนดังกล่าวต้องแจ้งเป็นหนังสือให้เจ้าของข้อมูลทราบโดยแสดงเหตุผลในการดำเนินการดังกล่าว และต้องได้รับความยินยอมเป็นหนังสือจากเจ้าของข้อมูลก่อน เว้นแต่
(1) วัตถุประสงค์ในการใช้หรือเปิดเผยเป็นวัตถุประสงค์ที่เกี่ยวเนื่องหรือมีความสัมพันธ์กับวัตถุประสงค์ของการจัดเก็บเดิม และบุคคลผู้เป็นเจ้าของข้อมูลหรือบุคคลที่เกี่ยวข้องกับข้อมูลสามารถที่จะคาดการณ์ได้อย่างมีเหตุมีผลว่าองค์กรธุรกิจหรือหน่วยงานเอกชนนั้นจะใช้หรือเปิดเผยข้อมูลตามวัตถุประสงค์อื่นที่เกี่ยวเนื่องกับวัตถุประสงค์ที่จัดเก็บข้อมูลเดิม
(2) ในกรณีที่องค์กรธุรกิจหรือหน่วยงานเอกชนได้ใช้ข้อมูลเพื่อประโยชน์เกี่ยวกับการตลาดแบบตรง ซึ่งในทางปฏิบัติเป็นการยากที่องค์กรธุรกิจหรือหน่วยงานเอกชนจะขอคำยินยอมจากบุคคลผู้เป็นเจ้าของข้อมูลหรือบุคคลที่เกี่ยวข้องกับข้อมูลก่อนการใช้หรือเปิดเผยข้อมูลนั้น อย่างไรก็ตาม ในทันทีที่ผู้เป็นเจ้าของข้อมูลหรือบุคคลที่เกี่ยวข้องกับข้อมูลร้องขอปฏิเสธที่จะรับการติดต่อสำหรับการตลาดแบบตรงอีกต่อไป องค์กรธุรกิจหรือหน่วยงานเอกชนนั้นจะต้องยุติการใช้หรือเปิดเผยข้อมูลดังกล่าว
(3) องค์กรธุรกิจหรือหน่วยงานเอกชนนั้นมีเหตุผลอันสมควรเชื่อได้ว่าการใช้หรือเปิดเผยข้อมูลเป็นกรณีที่จำเป็นต่อการป้องกันภยันตรายต่อชีวิต ร่างกายหรืออนามัยของบุคคลและภยันตรายนั้นเป็นภยันตรายที่ใกล้จะถึง หรือเพื่อการรักษาพยาบาลเจ้าของข้อมูล ซึ่งในขณะนั้น เจ้าของข้อมูลไม่อยู่ในสภาวะตามกฎหมายที่จะให้คำยินยอมได้
(4) องค์กรธุรกิจหรือหน่วยงานเอกชนนั้นมีเหตุผลอันควรเชื่อได้ว่ามีการกระทำที่ไม่ชอบด้วยกฎหมายหรือมีการกระทำซึ่งกำลังเกิดขึ้นและเป็นการกระทำที่เกี่ยวข้องกับการกระทำที่ไม่ชอบด้วยกฎหมาย ซึ่งการใช้หรือเปิดเผยข้อมูลส่วนบุคคลหรือข้อมูลเกี่ยวกับบุคคลดังกล่าวเป็นกรณีจำเป็นสำหรับการสืบสวนสอบสวนหรือการฟ้องคดี หรือการใช้หรือเปิดเผยดังกล่าวเป็นส่วนหนึ่งของการจัดทำรายงานที่ต้องจัดทำขึ้นเพื่อประโยชน์ของบุคคลที่เกี่ยวข้องหรือเจ้าหน้าที่ผู้รับผิดชอบที่เกี่ยวข้องกับเรื่องดังกล่าว
(5) เป็นการใช้หรือเปิดเผยข้อมูลตามที่กฎหมายกำหนด หรือเป็นการใช้หรือเปิดเผยต่อศาลหรือเจ้าหน้าที่ของรัฐหรือหน่วยงานของรัฐที่มีอำนาจตามกฎหมายที่จะขอข้อมูลส่วนบุคคลดังกล่าว
(6) เป็นการใช้หรือเปิดเผยอย่างสมเหตุสมผลและจำเป็นต่อการบังคับใช้กฎหมายที่มีโทษทางอาญา หรือกฎหมายที่เกี่ยวข้องกับการจัดเก็บภาษีอากรของรัฐ
(7) เป็นการใช้หรือเปิดเผยตามที่องค์กรหรือหน่วยงานด้านความมั่นคงร้องขอด้วยเหตุผลที่เกี่ยวข้องกับความมั่นคงของประเทศ
(8) เป็นการใช้หรือเปิดเผยเพื่อประโยชน์ในการศึกษาวิจัยโดยต้องไม่ระบุชื่อหรือมีส่วนใดที่ทำให้รู้ว่าเป็นข้อมูลส่วนบุคคลที่เกี่ยวกับบุคคลใด
2) หากองค์กรธุรกิจหรือหน่วยงานเอกชนที่จัดเก็บข้อมูลจะต้องใช้หรือเปิดเผยข้อมูลส่วนบุคคลก่อนได้รับความยินยอมจากเจ้าของข้อมูลด้วยเหตุดังกล่าวในข้อ 1) ข้างต้น องค์กรธุรกิจหรือหน่วยงานเอกชนที่จัดเก็บข้อมูลต้องใช้หรือเปิดเผยข้อมูลเฉพาะที่เกี่ยวข้องกับเจ้าของข้อมูลนั้นโดยตรงเท่านั้น และต้องทำเท่าที่จำเป็น และเมื่อเปิดเผยข้อมูลใดแล้วต้องแจ้งให้เจ้าของข้อมูลทราบโดยไม่ชักช้า ส่วนผู้ซึ่งได้รับข้อมูลส่วนบุคคลดังกล่าวต้องไม่ใช้หรือเปิดเผยข้อมูลนั้นเพื่อวัตถุประสงค์อย่างอื่นนอกเหนือจากที่ได้แจ้งความประสงค์ไว้แล้ว องค์กรธุรกิจหรือหน่วยงานเอกชนที่จัดเก็บข้อมูลต้องจัดทำบันทึกการใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเพื่อประโยชน์ในการตรวจสอบของเจ้าของข้อมูลส่วนบุคคลและพนักงานเจ้าหน้าที่ด้วย
3) ในกรณีที่เอกสารฉบับหนึ่งฉบับใดมีข้อมูลเกี่ยวกับบุคคลของบุคคลตั้งแต่สองคนขึ้นไป องค์กรธุรกิจหรือหน่วยงานเอกชนที่จัดเก็บข้อมูลจะอนุญาตให้เข้าถึงข้อมูลดังกล่าวได้ แต่จะปกปิดข้อมูลของบุคคลอื่นที่ไม่เกี่ยวข้องกับบุคคลผู้ขอข้อมูล โดยการปิดบังชื่อ นามสกุล เลขประจำตัวประชาชน หรือสัญลักษณ์อื่นใดที่สามารถระบุตัวบุคคลอื่นนั้นได้
ติดตามตอนต่อไปได้ที่ > หลักเกณฑ์และแนวทางการจัดการข้อมูลส่วนบุคคล ตอนที่ 4
