ร่างพระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. ….

1. อนุมัติในหลักการร่างพระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. …. ที่สำนักงานคณะกรรมการกฤษฎีกาตรวจพิจารณาเสร็จแล้ว ตามที่ ดศ. เสนอ และให้ดำเนินการต่อไปได้

2. มอบหมายให้สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ทำหน้าที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เร่งรัดการดำเนินการเพื่อจัดทำกฎหมายลำดับรอง หลักเกณฑ์และแนวปฏิบัติต่าง ๆ ที่เกี่ยวข้อง โดยเฉพาะเรื่องที่จำเป็นต้องมีเมื่อกฎหมายมีผลบังคับใช้

หลักการและเหตุผลประกอบร่างพระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. …. มีดังนี้

หลักการ

กำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

เหตุผล

โดยที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้กำหนดหลักเกณฑ์ วิธีการ และเงื่อนไขในการคุ้มครองข้อมูลส่วนบุคคลไว้โดยละเอียด โดยผู้ควบคุมข้อมูลส่วนบุคคลทุกรายทั่วประเทศทั้งภาครัฐและภาคเอกชนมีหน้าที่ต้องดำเนินการตามหลักเกณฑ์ วิธีการ และเงื่อนไขดังกล่าวโดยเคร่งครัด อย่างไรก็ดี โดยที่การปฏิบัติตามหลักเกณฑ์ วิธีการ และเงื่อนไขตามที่กฎหมายกำหนดนั้นมีรายละเอียดมากและซับซ้อน กับต้องใช้เทคโนโลยีขั้นสูงเพื่อให้การคุ้มครองข้อมูลส่วนบุคคล เป็นไปอย่างมีประสิทธิภาพสมดังเจตนารมณ์ของกฎหมาย ทำให้ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นหน่วยงานและกิจการต่าง ๆ ทั้งภาครัฐและเอกชนจำนวนมากทั่วประเทศยังไม่พร้อมที่จะปฏิบัติตามพระราชบัญญัติดังกล่าว ประกอบกับมาตรา 4 วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บัญญัติว่า การยกเว้นไม่ให้นำบทบัญญัติแห่งพระราชบัญญัตินี้ทั้งหมด หรือแต่บางส่วนมาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใด หรือเพื่อประโยชน์สาธารณะอื่นใด ให้ตราเป็นพระราชกฤษฎีกา กรณีจึงสมควรกำหนดให้บางหน่วยงานและบางกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในช่วงระยะเวลาที่ยังไม่พร้อมที่จะปฏิบัติให้ถูกต้องตามกฎหมายนี้จึงจำเป็นต้องตราพระราชกฤษฎีกานี้

เป็นการกำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล พระราชกฤษฎีกานี้ให้ใช้บังคับตั้งแต่วันที่ 27 พฤษภาคม พ.ศ. 2563 จนถึงวันที่ 31 พฤษภาคม พ.ศ. 2564 มิให้นำบทบัญญัติในหมวด 2 หมวด 3 หมวด 5 หมวด 6 และหมวด 7 และมาตรา 95 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับแก่ผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเป็นหน่วยงานหรือกิจการตามบัญชีท้ายพระราชกฤษฎีกานี้ เพื่อประโยชน์ในการคุ้มครองข้อมูลส่วนบุคคล ให้ผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง ต้องจัดให้มีมาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานที่ ดศ. กำหนดบัญชีท้ายพระราชกฤษฎีกากำหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. ....

(1) หน่วยงานของรัฐ

(2) หน่วยงานของรัฐต่างประเทศและองค์การระหว่างประเทศ

(3) มูลนิธิ สมาคม องค์กรศาสนา และองค์กรไม่แสวงหากำไร

(4) กิจการด้านเกษตรกรรม

(5) กิจการด้านอุตสาหกรรม

(6) กิจการด้านพาณิชยกรรม

(7) กิจการด้านการแพทย์และสาธารณสุข

(8) กิจการด้านพลังงาน ไอน้ำ น้ำ และการกำจัดของเสีย รวมทั้งกิจการที่เกี่ยวข้อง

(9) กิจการด้านการก่อสร้าง

(10) กิจการด้านการซ่อมและการบำรุงรักษา

(11) กิจการด้านการคมนาคม ขนส่ง และการเก็บสินค้า

(12) กิจการด้านการท่องเที่ยว

(13) กิจการด้านการสื่อสาร โทรคมนาคม คอมพิวเตอร์ และดิจิทัล

(14) กิจการด้านการเงิน การธนาคาร และการประกันภัย

(15) กิจการด้านอสังหาริมทรัพย์

(16) กิจการด้านการประกอบวิชาชีพ

(17) กิจการด้านการบริหารและบริการสนับสนุน

(18) กิจการด้านวิทยาศาสตร์และเทคโนโลยี วิชาการ สังคมสงเคราะห์ และศิลปะ

(19) กิจการด้านการศึกษา

(20) กิจการด้านความบันเทิงและนันทนาการ

(21) กิจการด้านการรักษาความปลอดภัย

(22) กิจการในครัวเรือนและวิสาหกิจชุมชน ซึ่งไม่สามารถจำแนกกิจกรรมได้อย่างชัดเจน

ในกรณีที่มีปัญหาว่าหน่วยงานหรือกิจการใดเป็นหน่วยงานหรือกิจการตามบัญชีท้ายนี้ ให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้วินิจฉัย

ที่มา: ที่ประชุมคณะรัฐมนตรี พลเอก ประยุทธ์ จันทร์โอชา (นายกรัฐมนตรี) วันที่ 19 พฤษภาคม 2563