ผู้ควบคุมข้อมูลส่วนบุคคล : บทบาทและหน้าที่ตามกฎหมาย
“ผู้ควบคุมข้อมูลส่วนบุคคล” และ “ผู้ประมวลผลข้อมูลส่วนบุคคล” เป็นคำใหม่ในระบบกฎหมายไทยและมีความหมายเฉพาะตามที่กำหนดไว้ใน พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ HIGHLIGHTS ในแต่ละองค์กร ผู้ควบคุมข้อมูลส่วนบุคคล คือองค์กรที่เป็นนิติบุคคล ไม่ใช่พนักงานหรือส่วนงานใดส่วนงานหนึ่งภายในองค์กร สถานะ หน้าที่และความรับผิดในฐานะผู้ควบคุมข้อมูลส่วนบุคคลเป็นไปตามที่กฎหมายกำหนด ไม่สามารถมอบหมายไปยังบุคคลอื่นได้ พนักงานภายในองค์กรในบริบทของสัญญาจ้างพนักงานไม่ใช่ผู้ประมวลผลข้อมูลส่วนบุคคล ในบริบทของกิจกรรมการประมวลผลหนึ่ง ๆ บุคคลธรรมดาที่จะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามนิยามในกฎหมายนี้ต้องไม่ใช่ผู้ที่ทำการประมวลผลในนามหรือตามคำสั่งขององค์กรที่ตนสังกัด เนื่องจากเจตนารมณ์ของกฎหมายไม่ต้องการให้แยกการดำเนินการของบุคคลต่าง ๆ ในองค์กรออกจากองค์กรที่ตนเองสังกัด บุคคลธรรมดาซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล อาทิ ในกรณีที่ประกอบกิจการเจ้าของคนเดียวโดยที่ไม่ได้จดทะเบียนจัดตั้งนิติบุคคลแยกต่างหากจากบุคคลที่เป็นเจ้าของ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดหน้าที่และความรับผิดชอบในการปฏิบัติตามกฎหมายไว้กับบุคคลสองกลุ่ม ได้แก่ “ผู้ควบคุมข้อมูลส่วนบุคคล” และ “ผู้ประมวลผลข้อมูลส่วนบุคคล” ทั้งนี้เพื่อคุ้มครองสิทธิขั้นพื้นฐานของเจ้าของข้อมูลส่วนบุคคลอย่างเป็นระบบ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลฯ กำหนดว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (“การประมวลผลข้อมูลส่วนบุคคล”) และ “ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล จากบทนิยามดังกล่าว อาจจำแนกลักษณะและองค์ประกอบของความเป็นผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล…
