เรียนประธานสภา ที่เคารพ ผม ณธีภัสร์ กุลเศรษฐสิทธิ์ สมาชิกสภาผู้แทนราษฎรแบบบัญชีรายชื่อ พรรคก้าวไกล ท่านประธานครับ ร่าง พ.ร.บ. ฉบับนี้เป็นการให้อำนาจอธิบดีกรมสรรพากรทำการแลกเปลี่ยน ข้อมูลกับเจ้าหน้าที่ผู้มีอำนาจของประเทศคู่สัญญา เพื่อให้เป็นไปตามอนุสัญญาการเว้น การเก็บภาษีซ้อน และการป้องกันการเลี่ยงรัษฎากร ซึ่งผมยังมีข้อสังเกตและข้อกังวล บางอย่างเกี่ยวกับร่าง พ.ร.บ. ฉบับนี้ครับ ท่านประธานครับ ในปี ๒๕๖๐ ประเทศไทย ได้เข้าร่วมโกลบัลฟอรัม (Global Forum) และอินคลูซีฟเฟรมเวิร์ก (Inclusive Framework) ของโออีซีดี (OECD) รวมทั้งก่อนหน้านี้ก็ได้ทำอนุสัญญาภาษีซ้อนกับประเทศต่าง ๆ รวมทั้งสิ้น ๖๑ ฉบับ และเมื่อเร็ว ๆ นี้รัฐสภาเองก็ได้มีมติให้ความเห็นชอบให้ประเทศไทย เข้าร่วมความตกลงพหุภาคีว่าด้วยการให้ความช่วยเหลือด้านการบริหารภาษี หรือที่เรียกสั้น ๆ ว่า แม็ก (MAC) ไปแล้ว ยังเหลือขั้นตอนการตรากฎหมายภายในประเทศเพื่อให้ปฏิบัติตาม พันธกรณีเกี่ยวกับการแลกเปลี่ยนข้อมูลตามความตกลงต่าง ๆ ที่ได้ทำไว้ ท่านประธานครับ เพื่อการปฏิบัติให้เกิดความโปร่งใสในทางภาษีในระดับนานาชาติเป็นไปอย่างมีประสิทธิภาพ และบรรลุผล ประเทศที่จะเข้าร่วมโกลบัลฟอรัม (Global Forum) จำเป็นจะต้องเข้าสู่ กระบวนการเพียร์รีวิว (Peer Review) สำหรับการปฏิบัติตามมาตรฐานการแลกเปลี่ยนข้อมูล แบบร้องขอซึ่งเป็นภาคบังคับ สำหรับประเทศไทยนั้นยังไม่เคยเข้ารับการเพียร์รีวิว (Peer Review) เลยสักครั้งครับ ในกำหนดการสำหรับการเพียร์รีวิว (Peer Review) รอบสองที่ดำเนินการ ระหว่าง ค.ศ. ๒๐๑๖ ถึง ค.ศ. ๒๐๒๓ ประเทศไทยจะต้องเข้ารับการเพียร์รีวิว (Peer Review) ในช่วงไตรมาสแรกของปี ๒๐๒๒ หรือปี พ.ศ. ๒๕๖๕ เหลืออีกเพียงปีเดียวครับท่านประธาน ที่เราจะต้องเตรียมความพร้อมด้านต่าง ๆ ส่วนที่สำคัญก็คือความพร้อมทางด้านกฎหมาย และระเบียบปฏิบัติต่าง ๆ ที่เกี่ยวข้อง รวมถึงผลในทางปฏิบัติได้จริงของกฎระเบียบ เหล่านั้นด้วยครับ ท่านประธานครับ เมื่อพิจารณาดูจาก ๒๐๑๖ เทิร์มส ออฟ รีเฟอร์เรนซ์ (2016 Terms of Reference) ของโกลบัลฟอรัม (Global Forum) ซึ่งเป็นการกำหนด องค์ประกอบสำคัญของมาตรฐานการแลกเปลี่ยนข้อมูลแบบร้องขอ จะเห็นได้ว่าเพียงอำนาจ ตามมาตรา ๑๐ ตรี รวมทั้งข้อมูลที่ได้มาโดยหน้าที่ราชการตามลักษณะ ๒ แห่งประมวลรัษฎากร ไม่เพียงพอสำหรับการปฏิบัติตามมาตรฐานการแลกเปลี่ยนข้อมูลแบบร้องขอครับ ประเด็นที่สำคัญก็คือการที่ไม่สามารถเข้าถึงข้อมูลอื่น ๆ ที่ไม่อยู่ในอำนาจของประมวล รัษฎากรได้ ท่านประธานครับ ตามมาตรฐานการแลกเปลี่ยนข้อมูลแบบร้องขอนั้น จะครอบคลุมถึงข้อมูลใน ๓ ประเภทหลักด้วยกันครับ
ประเภทแรกคือข้อมูลของผู้ที่ได้รับผลประโยชน์ที่แท้จริง ข้อมูลผู้เป็นเจ้าของ ตามกฎหมาย และข้อมูลของผู้อยู่ระหว่างกลางของห่วงโซ่การส่งทอดผลประโยชน์ตาม แนวทางที่ประเทศกลุ่มจี ๒๐ (G 20) ได้เสนอไว้กับโกลบัลฟอรัม (Global Forum)
ประเภทที่ ๒ คือข้อมูลทางบัญชีที่องค์กรธุรกิจต่าง ๆ บันทึกไว้อย่างครบถ้วน โดยสามารถใช้แสดงรายงานทางการเงินได้อย่างถูกต้อง
และประเภทที่ ๓ ก็คือข้อมูลทางการเงินที่อยู่ในความครอบครองของ ธนาคารและสถาบันการเงินต่าง ๆ จะเห็นได้ว่าได้บัญญัติคุ้มครองข้อมูลที่แลกเปลี่ยนตามความตกลงไว้อย่างชัดเจนกว่า ดังนั้นการคุ้มครองเพื่อเก็บรักษาข้อมูลความลับของข้อมูลตามร่าง พ.ร.บ. ฉบับนี้จึงอยู่ใน ระดับต่ำกว่าที่ควรจะเป็นครับ
ท่านประธานครับ สำหรับประเด็นต่อไปเป็นข้อกังวลของผม ซึ่งก็คือ ความเสี่ยงต่อการละเมิดกฎหมายคุ้มครองข้อมูลส่วนบุคคล โดยเฉพาะข้อมูลส่วนบุคคลของ พลเมืองสหภาพยุโรปครับ เป็นความเสี่ยงของกระบวนการแลกเปลี่ยนและการใช้ข้อมูล ที่จะเกิดจากการฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป หรือที่เรียกว่า จีดีพีอาร์ (GDPR) ซึ่งเป็นไปได้ทั้งจากความจงใจของผู้ที่ล่วงรู้ข้อมูลส่วนบุคคลกระทำต่อข้อมูลนั้น โดยผิดกฎหมาย หรือเกิดจากช่องว่างข้อยกเว้นและลักษณะที่ไม่ชัดเจนของกฎหมาย ที่ให้อำนาจเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลได้ ท่านประธานครับ แม้ว่ารัฐผู้ได้รับข้อมูล จะสามารถใช้ข้อมูลนั้นเพื่อวัตถุประสงค์อย่างอื่นโดยเป็นวัตถุประสงค์อย่างเดียวกัน ตามกฎหมายของรัฐผู้ส่งข้อมูลให้ และเจ้าหน้าที่ผู้มีอำนาจของรัฐนั้นได้อนุญาตให้ใช้เฉพาะ ตามวัตถุประสงค์นั้น แต่การคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายของไทยมีข้อยกเว้น ที่ให้อำนาจหน่วยงานรัฐกระทำต่อข้อมูลส่วนบุคคลได้โดยไม่ใช้หลักความยินยอม โดยใน พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ๒๕๖๒ บัญญัติไว้ในมาตรา ๔ (๒) ไม่ให้ใช้บังคับ แก่การดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ และใน มาตรา ๒๔ (๖) เปิดช่องให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวบรวมข้อมูลส่วนบุคคล ได้โดยไม่ต้องอาศัยความยินยอม หากเป็นไปตามการปฏิบัติตามกฎหมาย ขออนุญาต ท่านประธานอีกสัก ๑ นาทีนะครับ จะจบแล้วครับ แม้ว่าจะคล้ายกับที่บัญญัติไว้ในมาตรา ๒ และมาตรา ๖ ของจีดีพีอาร์ (GDPR) แต่การคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายสหภาพยุโรป จะเป็นไปในทางที่คำนึงถึงหลักสิทธิมนุษยชนอย่างชัดเจนและเคร่งครัด ซึ่งอาจจะมี ความเหลื่อมล้ำกับแนวทางการปฏิบัติของเจ้าหน้าที่ตามกฎหมายไทย และเกณฑ์การใช้อำนาจ ของกฎหมายไทยนั้นมักจะมีการตีความอย่างกว้าง คลุมเครือ ไม่มีความชัดเจน บุคคลทั่วไป ไม่อาจคาดหมายได้ จึงเป็นไปได้ว่าอาจจะเกิดกรณีที่โดยดุลยพินิจแล้วสามารถปฏิบัติได้ตาม กฎหมายไทย แต่เป็นการฝ่าฝืนจีดีพีอาร์ (GDPR) และที่น่ากังวลเป็นพิเศษก็คือการใช้อำนาจ แบบเผด็จการผ่านทางกฎหมายความมั่นคง สอดแนมข้อมูลส่วนบุคคลเพื่อประโยชน์ ทางการเมืองครับ ขอบคุณท่านประธานครับ