Page 106 - ครบรอบ 18 ปี สำนักงาน คปภ.

104

ทั้งนี้ แนวปฏิบัติของส�านักงาน คปภ. ดังกล่าวข้างต้นเป็นการวางกรอบ นั้น ๆ โดยที่ลูกค้าดังกล่าวไม่เคยคัดค้าน ทั้งนี้ บริษัทต้องเปิดโอกาสให้ลูกค้า
แนวทางเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตาม เพื่อประโยชน์ ใช้สิทธิคัดค้าน (Opt-out) ได้เสมอ
ในการพิจารณารับประกันภัย การปฏิบัติตามสัญญาประกันภัย และการให้ ฐานการปฏิบัติตามกฎหมาย (Legal Obligation Basis) ซ้ึ่งใช้
บริการลูกค้า อันเป็นลักษณะกิจกรรมหลักของการประกอบธุรกิจประกันภัย ส�าหรับการด�าเนินการที่จ�าเป็นเพื่อปฏิบัติตามกฎหมาย เช่น การก�าหนดให้
พร้อมทั้งยกตัวอย่างสร้างความชัดเจนต่อประเด็นที่อาจเกิดข้อถกเถียง บริษัทต้องน�าส่งข้อมูลเกี่ยวกับกรมธรรม์ประกันภัยของลูกค้าเข้าสู่
ในภาคธุรกิจ เช่น ระบบฐานข้อมูลของส�านักงาน คปภ. เพื่อประโยชน์ในการก�ากับดูแลและ
ตรวจสอบธุรกิจประกันภัย
การก�าหนดสถานะความเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือ ฐานเป็นการจ�าเป็นในการปฏิบัติตามกฎหมายเพื่ อให้บรรลุ
ผู้ประมวลผลข้อมูลส่วนบุคคล ของบริษัทประกันภัย ตัวแทนประกันภัย วัตถุประสงค์อันเกี่ยวข้องกับประโยชน์สาธารณะที่ส�าคัญ เช่น การเก็บรวบรวม
นายหน้าประกันภัย ผู้ประเมินวินาศภัยให้ชัดเจน เนื่องจากบริษัทประกันภัย ข้อมูลส่วนบุคคลที่อ่อนไหวที่จ�าเป็นเพื่อเปิดเผยให้ส�านักงาน คปภ.
ส่วนใหญ่มีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล ขณะที่ตัวแทนประกันภัย ใช้ในการจัดท�าฐานข้อมูลเกี่ยวกับการฉ้อฉลประกันภัย (Watch-list)
โดยทั่วไปมีลักษณะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของบริษัทเมื่อ โดยส�านักงานจะเป็นศูนย์กลางในการบริหารจัดการ หรือการเปิดเผย
ท�าตามค�าสั่งบริษัท แต่จะเป็นผู้ควบคุมข้อมูลส่วนบุคคลหากด�าเนินการ ข้อมูลส่วนบุคคลที่อ่อนไหวที่จ�าเป็นเพื่อใช้ประโยชน์ของส�านักงาน คปภ.
เพื่อวัตถุประสงค์ส่วนตัว ในทางกลับกันนายหน้าประกันภัยโดยทั่วไปถือเป็น ในการก�ากับดูแลและส่งเสริมการประกอบธุรกิจประกันภัย เป็นต้น
ผู้ควบคุมข้อมูลส่วนบุคคล เนื่องจากสามารถประกอบกิจการได้อย่างอิสระ การแจ้งเหตุละเมิดข้อมูล เมื่อมีการละเมิดข้อมูลส่วนบุคคลของลูกค้า
และมีอ�านาจตัดสินใจในการประมวลผลข้อมูลลูกค้า เพื่อเสนอขายผลิตภัณฑ์ เกิดขึ้น บริษัทมีหน้าที่ต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลต่อส�านักงาน
ของหลายบริษัท คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและส�านักงาน คปภ. ตามหลักเกณฑ์
ที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลก�าหนด
การก�าหนดให้บริษัทมีการแจ้งประกาศความเป็นส่วนตัว (Privacy มาตรฐานการรักษาความปลอดภัยของข้อมูลของบริษัท นอกจาก
Notice) ไปก่อนหรือพร้อมกับใบค�าขอเอาประกันภัย หรือแบบขอ บริษัทต้องปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลแล้ว
ความยินยอมการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือ ยังต้องปฏิบัติตามประกาศ คปภ. เรื่อง การบริหารจัดการความเสี่ยงด้าน
ผ่านช่องทางการติดต่อระหว่างบริษัทกับลูกค้าตามปกติ หรือเข้าถึง เทคโนโลยีสารสนเทศ และกฎหมายอื่นที่เกี่ยวข้อง และวิธีการเผยแพร่
ประกาศความเป็นส่วนตัวได้โดยง่าย เช่น การติดต่อสื่อสารซ้ึ่งหน้า ประชาสัมพันธ์สิทธิของเจ้าของข้อมูลส่วนบุคคลส�าหรับข้อมูลส่วนบุคคล
ทางอิเล็กทรอนิกส์ หรือทางโทรศัพท์ อีเมล ไปรษณีย์ SMS เป็นต้น และ ที่เก็บก่อนวันที่กฎหมายมีผลใช้บังคับ เป็นต้น
ในกรณีที่บริษัทมีการใช้งานเว็บไซ้ต์ในการปฏิสัมพันธ์กับลูกค้า บริษัท
ต้องประกาศ Privacy Notice ทางเว็บไซ้ต์ของบริษัทด้วย นอกจากนี้ ส�านักงาน คปภ. ยังได้ปรับปรุงแบบฟอร์มเอกสาร
ที่ใช้ในการปฏิบัติงานของภาคอุตสาหกรรมประกันภัยให้สะดวกและ
การก�าหนดฐานทางกฎหมายในการประมวลผลข้อมูล โดยทั่วไป สอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล เช่น
บริษัทประกันภัยจะมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ใบค�าขอเอาประกันชีวิต เป็นต้น
ของลูกค้าที่แบ่งออกเป็น 2 ประเภทหลักตามที่พระราชบัญญัติคุ้มครอง
ข้อมูลส่วนบุคคล พ.ศ. 2562 ก�าหนด ได้แก่ 1) ข้อมูลส่วนบุคคลทั่วไป อย่างไรก็ดีแม้ที่ผ่านมาบริษัทจะมีแนวทางในด�าเนินการเกี่ยวกับ
เช่น ชื่อ-นามสกุล ที่อยู่ หมายเลขโทรศัพท์ และอีเมล เป็นต้น และ 2) ข้อมูล การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้า ตามแนวปฏิบัติ
ส่วนบุคคลที่อ่อนไหว (Sensitive Data) เช่น ประวัติอาชญากรรม ข้อมูล ในการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าส�าหรับธุรกิจประกันชีวิต/
สุขภาพ ความพิการ ข้อมูลพันธุกรรม ข้อมูลชีวภาพ เป็นต้น ซ้ึ่งโดยหลักการ วินาศภัย แต่ภาคธุรกิจประกันภัยก็ยังคงประสบปัญหาและอุปสรรค
แล้ว บริษัทจะต้องได้รับความยินยอมจากลูกค้าก่อนที่จะเก็บรวบรวม ใช้ หรือ ในการปฏิบัติให้เป็นไปตามกฎหมาย ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล
เปิดเผยข้อมูลส่วนบุคคล อย่างไรก็ดี อาจมีบางกรณีที่บริษัทอาจอาศัยฐาน ส�านักงาน คปภ. สมาคมประกันชีวิตไทย และสมาคมประกันวินาศภัยไทย
ทางกฎหมายที่ก�าหนดไว้ในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล จึงได้การประชุมร่วมกันเพื่อหารือเกี่ยวกับปัญหาการตีความตาม
พ.ศ. 2562 ซ้ึ่งจะท�าให้บริษัทสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และส�านักงาน คปภ.
ส่วนบุคคลของลูกค้าได้โดยไม่ต้องอาศัยความยินยอมก่อน เช่น ในฐานะหน่วยงานก�ากับดูแลและส่งเสริมธุรกิจประกันภัย ตามพระราชบัญญัติ
คณะกรรมการก�ากับและส่งเสริมการประกอบธุรกิจประกันภัย พ.ศ. 2550
ฐานความยินยอม เช่น การส่งข้อความการสื่อสารด้านการตลาดกับ และเห็นควรมีหนังสือหารือไปยังส�านักงานคณะกรรมการคุ้มครองข้อมูล
ลูกค้าที่ไม่เคยมีความสัมพันธ์ทางธุรกิจกับบริษัทมาก่อน และไม่อาจ ส่วนบุคคล (สคส.) เพื่อให้เกิดความชัดเจน ซ้ึ่งตลอดช่วงเวลาการด�าเนิน
คาดหมายว่าจะได้รับข้อมูลข่าวสารทางการตลาดจากบริษัท หรือการซ้ื้อ การ ส�านักงาน คปภ. และภาคธุรกิจประกันภัยได้มีการหารือร่วมกับ
ข้อมูลลูกค้าจากผู้ประกอบการรายอื่น ส�านักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เพื่อแก้ไข
ฐานการจ�าเป็นเพื่อปฏิบัติตามสัญญา (Contractual Basis) ซ้ึ่งใช้ ปัญหาอุปสรรคส�าคัญ โดยเฉพาะประเด็นที่เกี่ยวข้องกับการใช้ข้อมูล
ส�าหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไปของลูกค้า ส่วนบุคคลที่อ่อนไหวเพื่อประโยชน์สาธารณะ ซ้ึ่งต่อมาคณะอนุกรรมการ
เพื่อการเข้าท�าสัญญาประกันภัย การให้ค�าแนะน�า การพิจารณารับประกันภัย ตอบข้อหารือและให้ค�าแนะน�าในการปฏิบัติตามกฎหมายว่าด้วยการ
การส่งมอบกรมธรรม์ประกันภัย การปฏิบัติตามสิทธิ หรือหน้าที่ที่เกี่ยวข้อง คุ้มครองข้อมูลส่วนบุคคล ได้มีการตอบกลับให้ความเห็นตามประเด็นหารือ
กับสัญญา หรือการด�าเนินการชดใช้ค่าสินไหมทดแทน เป็นต้น ที่เกี่ยวข้องกับภาคธุรกิจประกันภัย ซ้ึ่งสรุปได้ ดังนี้
ฐานประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest Basis)
ซ้ึ่งใช้ส�าหรับการด�าเนินกิจกรรมทางการตลาดแบบตรง (Direct 1) ในกรณีที่บริษัทประกันภัยประสงค์จะแลกเปลี่ยนข้อมูลส่วนบุคคล
Marketing) ที่มีลักษณะอยู่ในความคาดหมายของลูกค้า เช่น การส่งข้อมูล ระหว่างกัน เพื่อจัดท�าฐานระบบข้อมูลเกี่ยวกับการฉ้อฉลประกันภัย เพื่อ
ข่าวสารเกี่ยวกับผลิตภัณฑ์ที่คล้ายคลึงกันแก่ลูกค้ารายเดิมที่ซ้ื้อผลิตภัณฑ์ ใช้ประโยชน์ในการตรวจสอบ ป้องกัน และแก้ไขปัญหาการฉ้อฉลประกันภัย

ครบรอบ 18 ปี
สำ�นักง�นคณะกรรมก�รกำ�กับและส่งเสริม ก�รประกอบธุรกิจประกันภัย (คปภ.)