PDPA for Digital Health

1. ภัย Privacy กับโรงพยาบาล (กรณีตัวอย่าง)

ผู้บรรยายเปิดด้วยกรณีจริงเพื่อชี้ว่าการละเมิดความเป็นส่วนตัวในโรงพยาบาลมักเกิดจาก "คนใน" ที่มีสิทธิเข้าถึงระบบ แต่เข้าไปดูโดยไม่มีความจำเป็นตามหน้าที่

2. Security & Privacy และหลัก CIA

สไลด์ใช้ภาพบ้าน (A. S. Bradford House) เปรียบเทียบ: security คือการกันคนนอกไม่ให้บุกรุก (กุญแจ รั้ว) ส่วน privacy คือการที่เจ้าของบ้านเลือกเองว่าจะให้ใครเห็นอะไร (เช่น ผ้าม่าน)

หลักการสำคัญของ Information Security (CIA)

3. หลักการประมวลผลข้อมูล (GDPR Art. 5) และ TDPG 3.0

แหล่งอ้างอิงแนวปฏิบัติ: Thailand Data Protection Guidelines 3.0 (TDPG 3.0) แนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล (Final Version 3.0, ธันวาคม 2563) คณะนิติศาสตร์ จุฬาลงกรณ์มหาวิทยาลัย

https://www.law.chula.ac.th/wp-content/uploads/2020/12/TDPG3.0-C5-20201208.pdf

สไลด์ 11–12 ยก Art. 5 GDPR: Principles relating to processing of personal data ซึ่งเป็นหลักสากลที่อยู่เบื้องหลังแนวคิดของ PDPA:

4. โครงสร้าง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

★ ในสไลด์ หมวด 2 และ หมวด 3 ถูกตีกรอบเน้นว่าเป็นส่วนที่ผู้ปฏิบัติงานต้องรู้มากที่สุด

5. Class Exercise ชุดแรก: ต้องขอความยินยอมหรือไม่

โจทย์: ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ต่อไปนี้ ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลหรือไม่

กรณี Sensitive Personal Data (สไลด์ 14–15)

1. รพ. เก็บประวัติผู้ป่วยเพื่อการติดตาม follow-up
2. รพ. เก็บประวัติผู้ป่วยไว้เป็นหลักฐานทางกฎหมาย
3. รพ. เปิดเผยประวัติผู้ป่วยให้พนักงานสอบสวน
4. รพ. เปิดเผยประวัติผู้ป่วยให้แพทยสภา ในกระบวนการพิจารณาหรือสอบสวนทางจริยธรรมวิชาชีพ
5. รพ. ส่งข้อมูลผู้ป่วยไปเบิกจ่ายจาก สปสช./ปกส./กบก.
6. รพ. รายงาน case ผู้ป่วย Monkeypox ให้กับกรมควบคุมโรค
7. รพ. เปิดเผยประวัติผู้ป่วยให้บริษัทประกันภัย
8. รพ. มหาวิทยาลัย เปิดเผยประวัติผู้ป่วยให้ กทม. นำไปใช้ในการบริหารจัดการระบบการแพทย์และ population health ในพื้นที่ กทม.
9. กทม. นำข้อมูลจาก รพ. ในพื้นที่ กทม. ไปใช้ในการบริหารจัดการระบบการแพทย์และ population health
10. รพ. นำประวัติผู้ป่วยไปเป็น case study สำหรับสอน นศพ.
11. แพทย์ของ รพ. นำข้อมูล/ภาพผู้ป่วย (ระบุตัวบุคคลได้) ไปโพสต์ใน social media

กรณี Non-Sensitive Personal Data (สไลด์ 16)

1. จุฬาลงกรณ์มหาวิทยาลัยเก็บรวบรวมข้อมูลของนักศึกษาหลักสูตร Digital Health เพื่อใช้ติดต่อประสานงานในหลักสูตร
2. จุฬาฯ เก็บรวบรวมข้อมูลของผู้สมัครหลักสูตร Digital Health เพื่อใช้พิจารณารับ/ไม่รับเข้าศึกษา
3. จุฬาฯ นำข้อมูลของนักศึกษา รุ่นที่ 2 ไปวิเคราะห์เพื่อวางแผนประชาสัมพันธ์ที่เจาะกลุ่มเป้าหมายต่าง ๆ ในอนาคต
4. จุฬาฯ เก็บรวบรวมข้อมูลของนักศึกษา รุ่นที่ 2 ไว้เพื่อการอ้างอิงและตรวจสอบ ในกรณีที่มีผู้สอบถามว่า นาย ก. จบหลักสูตรจริง และปริญญา/transcript ที่ได้รับเป็นของจริงหรือไม่

6. หลักความยินยอม (Consent) เบื้องต้น และ Guidance

สไลด์ 17–20 แสดงตัวบท ม.19 และ ม.20 (รายละเอียดในหัวข้อ 11) แล้วสรุปเป็นหลักการดังนี้

สรุปหลักการเรื่อง Consent ตาม PDPA (สไลด์ 21)

• ต้องขอความยินยอม หากไม่เข้า "ฐานทางกฎหมาย (lawful basis)" อื่น
• ชัดแจ้ง (มีการแสดงเจตนาที่ชัดเจน หรือ Clear Affirmative Act) เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจทำได้
• แจ้งวัตถุประสงค์ แยกส่วน เข้าถึงได้ง่ายและเข้าใจได้ ใช้ภาษาที่อ่านง่าย และไม่เป็นการหลอกลวงหรือทำให้เข้าใจผิด
• ความเป็นอิสระในการให้ความยินยอม (Consent must be "freely given" and not "bundled" unless relevant and necessary)
• การถอนความยินยอม (Consent withdrawal) ต้องง่ายเช่นเดียวกับการให้ความยินยอม และต้องแจ้งผลกระทบ
• กรณีผู้เยาว์ ผู้ไร้ความสามารถ ผู้เสมือนไร้ความสามารถ มีเงื่อนไขพิเศษ

แนวทางการดำเนินการ (Guidance) ที่เกี่ยวข้อง

• แนวทางการดำเนินการในการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (พ.ศ. 2565)
• แนวทางการดำเนินการในการแจ้งวัตถุประสงค์และรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

https://www.pdpc.or.th/category/document/guideline/

7. เรื่องที่ควรทราบ ข้อ 1: PDPA ไม่ยกเลิกกฎหมายอื่น

กฎหมาย/ข้อบังคับเดิมด้านความลับข้อมูลสุขภาพที่ยังใช้อยู่ควบคู่กัน:

8. เรื่องที่ควรทราบ ข้อ 2–5: ข้อยกเว้น การประมวลผล ประเภทข้อมูล ใครเป็นใคร

ข้อ 2 ข้อยกเว้นการบังคับใช้ PDPA (ม.4)

1. การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลที่ทำการเก็บรวบรวมเพื่อประโยชน์ส่วนตนหรือเพื่อกิจกรรมในครอบครัวของบุคคลนั้นเท่านั้น
2. การดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงความมั่นคงทางการคลังของรัฐ หรือการรักษาความปลอดภัยของประชาชน รวมทั้งหน้าที่เกี่ยวกับการป้องกันและปราบปรามการฟอกเงิน นิติวิทยาศาสตร์ หรือการรักษาความมั่นคงปลอดภัยไซเบอร์
3. การใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่เก็บรวบรวมไว้เฉพาะเพื่อกิจการสื่อมวลชน งานศิลปกรรม หรืองานวรรณกรรม อันเป็นไปตามจริยธรรมแห่งการประกอบวิชาชีพหรือเป็นประโยชน์สาธารณะเท่านั้น
4. การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลในการพิจารณาตามหน้าที่และอำนาจของสภาผู้แทนราษฎร วุฒิสภา รัฐสภา หรือคณะกรรมาธิการ
5. การพิจารณาพิพากษาคดีของศาลและการดำเนินงานของเจ้าหน้าที่ในกระบวนการพิจารณาคดี การบังคับคดี และการวางทรัพย์ รวมทั้งการดำเนินงานตามกระบวนการยุติธรรมทางอาญา
6. การดำเนินการของบริษัทข้อมูลเครดิตและสมาชิก

ข้อ 3 PDPA วางหลักการทั่วไปของการเก็บรวบรวม ใช้ และเปิดเผย

1. เก็บรวบรวม (Collection)
2. ใช้ (Use)
3. เปิดเผย (Disclosure)

ประมวลผล (Processing) = เก็บรวบรวม + ใช้ + เปิดเผย (+ จัดเก็บ/เก็บบันทึก/เก็บรักษา + วิเคราะห์ + แสดงผล + ทำรายงาน + แก้ไข + ลบ/ทำลาย ฯลฯ)

ข้อ 4 ข้อมูลส่วนบุคคล (Personal Data)

คือ ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ แบ่งเป็น 2 ประเภท

ข้อ 5 ใครเป็นใคร ใน PDPA

ต่อมาในสไลด์ยังมีบทบาทที่สี่คือ DPO (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล) ตาม ม.41–42 (หัวข้อ 15)

9. เรื่องที่ควรทราบ ข้อ 6: Data Minimization และฐานทางกฎหมาย (ม.24)

ฐานทางกฎหมายสำหรับข้อมูลที่ไม่ใช่ Sensitive (ม.24)

ข้อหารือ สคส.: Non-Sensitive Data Disclosure for Public Task

ข้อหารือที่ 27/2566 เรื่อง สำนักการระบายน้ำ กรุงเทพมหานคร หารือการขอข้อมูลผู้ใช้น้ำของการประปานครหลวง เพื่อจัดเก็บค่าธรรมเนียมบำบัดน้ำเสีย — ใช้เป็นตัวอย่างการเปิดเผยข้อมูลทั่วไปตามฐาน Public Task

https://www.pdpc.or.th/wp-content/uploads/2024/02/PDPC-consultation-27.pdf

Class Exercise: ใช้ฐานทางกฎหมายใด (Non-Sensitive) (สไลด์ 40)

โจทย์ 4 ข้อเดียวกับหัวข้อ 5 (ข้อมูลนักศึกษา/ผู้สมัครหลักสูตร Digital Health จุฬาฯ) แต่เปลี่ยนเป็น รุ่นที่ 1 และถามว่าใช้ฐานใดตาม ม.24

10. ฐานทางกฎหมายสำหรับ Sensitive Personal Data (ม.26)

ข้อมูลสุขภาพเป็น sensitive data จึงต้องใช้ ม.26 ซึ่งเข้มกว่า ม.24: ห้ามเก็บรวบรวมโดยไม่ได้รับความยินยอมโดยชัดแจ้ง (Explicit Consent) เว้นแต่เข้าข้อยกเว้นต่อไปนี้

ม.26 (5) แยกตามวัตถุประสงค์

Class Exercise: ใช้ฐานทางกฎหมายใด (Sensitive) (สไลด์ 50–51)

โจทย์ข้อ 1–10 เดียวกับหัวข้อ 5 (follow-up, หลักฐานทางกฎหมาย, พนักงานสอบสวน, แพทยสภา, เบิกจ่าย สปสช./ปกส./กบก., รายงาน Monkeypox, บริษัทประกัน, ส่งข้อมูลให้ กทม., กทม. ใช้ข้อมูล, case study สอน นศพ.) ให้ระบุฐานตาม ม.26

11. เรื่องที่ควรทราบ ข้อ 7: Consent เป็นทางเลือกสุดท้าย / ม.19–20

ความยินยอม (มาตรา 19)

• Controller จะเก็บรวบรวม ใช้ หรือเปิดเผยไม่ได้ หากเจ้าของข้อมูลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่ พ.ร.บ.นี้หรือกฎหมายอื่นบัญญัติให้กระทำได้
• การขอความยินยอมต้องทำโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจทำได้
• ต้องแจ้งวัตถุประสงค์ไปด้วย และการขอความยินยอมต้องแยกส่วนออกจากข้อความอื่นอย่างชัดเจน มีแบบหรือข้อความที่เข้าถึงได้ง่ายและเข้าใจได้ ใช้ภาษาที่อ่านง่าย และไม่หลอกลวงหรือทำให้เข้าใจผิดในวัตถุประสงค์ (คณะกรรมการอาจประกาศแบบและข้อความได้)
• Controller ต้องคำนึงอย่างถึงที่สุดในความเป็นอิสระของเจ้าของข้อมูล ในการเข้าทำสัญญาซึ่งรวมถึงการให้บริการใด ๆ ต้องไม่มีเงื่อนไขให้ยินยอมเก็บ ใช้ หรือเปิดเผยข้อมูลที่ไม่จำเป็นหรือไม่เกี่ยวข้องกับสัญญา/บริการนั้น
• เจ้าของข้อมูลถอนความยินยอมเมื่อใดก็ได้ โดยต้องถอนได้ง่ายเช่นเดียวกับการให้ เว้นแต่มีข้อจำกัดสิทธิโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูล — การถอนไม่กระทบการประมวลผลที่ได้ทำไปแล้วโดยชอบ
• ถ้าการถอนส่งผลกระทบต่อเจ้าของข้อมูล controller ต้องแจ้งผลกระทบให้ทราบ
• การขอความยินยอมที่ไม่เป็นไปตามที่กำหนด ไม่มีผลผูกพันเจ้าของข้อมูล และไม่ทำให้ controller ประมวลผลได้

ความยินยอมในกรณีเฉพาะ (มาตรา 20)

หลักนี้ใช้กับการถอนความยินยอม การแจ้งให้เจ้าของข้อมูลทราบ การใช้สิทธิ การร้องเรียน และการอื่นใดด้วย

ป.พ.พ. ที่อ้างถึง (สไลด์ 57 "ความยินยอมของผู้เยาว์"):

• ม.22 ผู้เยาว์อาจทำการใด ๆ ได้ทั้งสิ้น หากเป็นเพียงเพื่อจะได้ไปซึ่งสิทธิอันใดอันหนึ่ง หรือเป็นการเพื่อให้หลุดพ้นจากหน้าที่อันใดอันหนึ่ง
• ม.23 ผู้เยาว์อาจทำการใด ๆ ได้ทั้งสิ้น ซึ่งเป็นการต้องทำเองเฉพาะตัว
• ม.24 ผู้เยาว์อาจทำการใด ๆ ได้ทั้งสิ้น ซึ่งเป็นการสมแก่ฐานานุรูปแห่งตนและเป็นการอันจำเป็นในการดำรงชีพตามสมควร

12. เรื่องที่ควรทราบ ข้อ 8: Privacy Notice และ Purpose Limitation

เมื่อมีเหตุผลความจำเป็น (ฐานทางกฎหมาย) แล้ว controller ต้อง

1. แจ้ง Privacy Notice แก่เจ้าของข้อมูล ก่อนหรือในขณะเก็บรวบรวมข้อมูล
2. ใช้ตามวัตถุประสงค์เท่าที่ได้แจ้งไป (ไม่พูดอย่าง ทำอย่าง)
3. ถ้าจะเอาข้อมูลที่มีอยู่ไปใช้ในวัตถุประสงค์อื่น ต้องวนลูปกลับไปวิเคราะห์ฐานทางกฎหมาย และแจ้ง Privacy Notice ใหม่

สิ่งที่ต้องแจ้ง (infographic สคส., ม.22–23)

เก็บได้เท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย และต้องแจ้งรายละเอียดก่อนหรือขณะเก็บ ได้แก่

• วัตถุประสงค์ของการเก็บรวบรวม
• กรณีที่เจ้าของข้อมูลต้องให้ข้อมูลเพื่อปฏิบัติตามกฎหมายหรือสัญญา
• ข้อมูลส่วนบุคคลที่จะเก็บรวบรวม และระยะเวลาในการเก็บรวบรวม
• ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลอาจถูกเปิดเผย
• ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูล สถานที่ติดต่อ และวิธีการติดต่อ
• สิทธิของเจ้าของข้อมูลส่วนบุคคล

13. เรื่องที่ควรทราบ ข้อ 9: หน้าที่ของ Controller

ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล controller มีหน้าที่ (สไลด์ 60–61)

มาตรา 37 หน้าที่ของ Controller (บางส่วน)

1. (1) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยโดยปราศจากอำนาจหรือโดยมิชอบ ต้องทบทวนเมื่อจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยน และให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด
2. (2) ในกรณีที่ต้องให้ข้อมูลแก่บุคคลอื่นที่ไม่ใช่ controller ต้องดำเนินการเพื่อป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยโดยปราศจากอำนาจหรือโดยมิชอบ
3. (3) จัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้อง/เกินความจำเป็น หรือตามที่เจ้าของข้อมูลร้องขอ หรือเจ้าของข้อมูลถอนความยินยอม เว้นแต่เก็บไว้เพื่อเสรีภาพในการแสดงความคิดเห็น เพื่อวัตถุประสงค์ตาม ม.24(1) หรือ (4) หรือ ม.26(5)(ก) หรือ (ข) เพื่อสิทธิเรียกร้องตามกฎหมาย หรือเพื่อปฏิบัติตามกฎหมาย (นำ ม.33 วรรคห้ามาใช้โดยอนุโลม)
4. (4) แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล — ในกรณีมีความเสี่ยงสูง ให้แจ้งเจ้าของข้อมูลพร้อมแนวทางการเยียวยาโดยไม่ชักช้าด้วย ตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด
5. (5) กรณีเป็น controller ตาม ม.5 วรรคสอง (อยู่นอกราชอาณาจักร) ต้องแต่งตั้งตัวแทนในราชอาณาจักรเป็นหนังสือ

14. มาตรการรักษาความมั่นคงปลอดภัย (ขั้นต่ำ)

อ้างอิง ประกาศ กคส. เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 (ราชกิจจานุเบกษา 20 มิ.ย. 2565) ซึ่งนิยาม "ความมั่นคงปลอดภัย" ว่าคือการธำรงไว้ซึ่ง confidentiality, integrity และ availability ของข้อมูลส่วนบุคคล สาระของ ข้อ 4 ที่ผู้บรรยายเน้น:

• ข้อ 5 ต้องทบทวนมาตรการเมื่อจำเป็นหรือเทคโนโลยีเปลี่ยน และเมื่อมีเหตุละเมิด ให้ถือว่าจำเป็นต้องทบทวน (เว้นแต่ไม่มีความเสี่ยง)
• ข้อ 6 ข้อตกลงระหว่าง controller กับ processor ให้กำหนดให้ processor มีมาตรการที่เหมาะสม และแจ้ง controller เมื่อเกิดเหตุละเมิด ตามมาตรฐานขั้นต่ำข้อ 4
• ข้อ 7 ถ้ามีกฎหมายอื่นกำหนดมาตรการไว้ ให้ทำตามกฎหมายนั้น แต่ต้องไม่ต่ำกว่ามาตรฐานขั้นต่ำในประกาศนี้

15. Breach Notification, ROPA, Processor, DPA และ DPO

ข้อหารือ สคส.: Data Breach Notification

ข้อหารือที่ 17/2567 เรื่อง บริษัท X ขอหารือแนวทางการตีความกฎหมายเกี่ยวกับการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

https://www.pdpc.or.th/wp-content/uploads/2024/11/PDPC-consultation-46.pdf

มาตรา 39 บันทึกรายการ (ROPA) ของ Controller

เพื่อให้เจ้าของข้อมูลและสำนักงานตรวจสอบได้ บันทึกเป็นหนังสือหรืออิเล็กทรอนิกส์ก็ได้ อย่างน้อยต้องมี

1. ข้อมูลส่วนบุคคลที่มีการเก็บรวบรวม
2. วัตถุประสงค์ของการเก็บรวบรวมแต่ละประเภท
3. ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูล
4. ระยะเวลาการเก็บรักษา
5. สิทธิและวิธีการเข้าถึงข้อมูล รวมทั้งเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงและเงื่อนไขในการเข้าถึง
6. การใช้หรือเปิดเผยตาม ม.27 วรรคสาม
7. การปฏิเสธคำขอหรือการคัดค้านตาม ม.30 วรรคสาม ม.31 วรรคสาม ม.32 วรรคสาม และ ม.36 วรรคหนึ่ง
8. คำอธิบายเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยตาม ม.37(1)

มาตรา 40 หน้าที่ของ Processor (บางส่วน)

1. (1) ดำเนินการตามคำสั่งที่ได้รับจาก controller เท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือ PDPA
2. (2) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมทั้งแจ้ง controller ทราบถึงเหตุการละเมิดที่เกิดขึ้น
3. (3) จัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลตามหลักเกณฑ์ที่คณะกรรมการประกาศกำหนด

ม.40 วรรคท้าย: controller ต้องจัดให้มีข้อตกลงระหว่างกันเพื่อควบคุมการดำเนินงานของ processor ให้เป็นไปตาม พ.ร.บ. (= DPA) และความใน (3) อาจยกเว้นสำหรับ processor ที่เป็นกิจการขนาดเล็กตามที่คณะกรรมการประกาศ เว้นแต่มีความเสี่ยงต่อสิทธิเสรีภาพ หรือไม่ใช่การประมวลผลเป็นครั้งคราว หรือประมวลผลข้อมูลตาม ม.26

Data Processing Agreement (DPA)

มาตรา 41 กรณีต้องมี DPO (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล)

1. (1) controller หรือ processor เป็นหน่วยงานของรัฐตามที่คณะกรรมการประกาศกำหนด
2. (2) กิจกรรมต้องตรวจสอบข้อมูลหรือระบบอย่างสม่ำเสมอ โดยเหตุที่มีข้อมูลเป็นจำนวนมากตามที่คณะกรรมการประกาศกำหนด
3. (3) กิจกรรมหลักเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลตามม.26 (sensitive data) — โรงพยาบาลเข้าข่ายข้อนี้

มาตรา 42 หน้าที่ของ DPO

1. (1) ให้คำแนะนำแก่ controller/processor รวมทั้งลูกจ้างหรือผู้รับจ้าง เกี่ยวกับการปฏิบัติตาม พ.ร.บ.
2. (2) ตรวจสอบการดำเนินงานเกี่ยวกับการเก็บ ใช้ เปิดเผย ให้เป็นไปตาม พ.ร.บ.
3. (3) ประสานงานและให้ความร่วมมือกับสำนักงานในกรณีมีปัญหา
4. (4) รักษาความลับของข้อมูลส่วนบุคคลที่ตนล่วงรู้หรือได้มาเนื่องจากการปฏิบัติหน้าที่

สรุป: Data Controller Responsibilities (สไลด์ 81)

1. Security
2. Preventing Unauthorized Processing
3. Data Retention
4. Breach Notification
5. Record of Processing Activities (ROPA)
6. International Data Transfer
7. Secondary Data Collection
8. Data Processing Agreement (DPA)
9. Data Protection Officer (DPO)

(infographic สคส. ม.37 ยังระบุ "แต่งตั้งตัวแทนภายในราชอาณาจักร" ด้วย)

16. ประเด็นแลกเปลี่ยน: ส่งข้อมูลผู้ป่วยทาง LINE

คำถาม: การส่งข้อมูลผู้ป่วยทางแอปพลิเคชัน เช่น LINE ผิด PDPA หรือไม่ และทำอย่างไรจึงจะสอดคล้องกับ PDPA — ประเด็นที่ต้องพิจารณา:

Purpose Need to be Identifiable Data? Consent vs. No Consent? Security Balancing Risks Need to Know, Data Minimization & Purpose Limitation Data Processing Agreement? ROPA Breach Notification

17. เรื่องที่ควรทราบ ข้อ 10: สิทธิของเจ้าของข้อมูล

Controller ต้องจัดให้มีช่องทางให้เจ้าของข้อมูลขอใช้สิทธิต่าง ๆ ได้ (infographic สคส. อ้าง ม.23 และ ม.30–35)

Right to be Forgotten (มาตรา 33)

เจ้าของข้อมูลมีสิทธิขอให้ controller ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวได้ ในกรณี

1. (1) ข้อมูลหมดความจำเป็นในการเก็บรักษาตามวัตถุประสงค์
2. (2) เจ้าของข้อมูลถอนความยินยอม และ controller ไม่มีอำนาจตามกฎหมายที่จะประมวลผลต่อไป
3. (3) เจ้าของข้อมูลคัดค้านตาม ม.32(1) และ controller ไม่อาจปฏิเสธตาม ม.32(1)(ก) หรือ (ข) ได้ หรือเป็นการคัดค้านตาม ม.32(2)
4. (4) ข้อมูลถูกเก็บ ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมาย

วรรคต่อมา: ถ้า controller ทำให้ข้อมูลเปิดเผยต่อสาธารณะแล้วถูกขอให้ลบ controller ต้องรับผิดชอบดำเนินการทั้งทางเทคโนโลยีและค่าใช้จ่าย และแจ้ง controller อื่นเพื่อให้ดำเนินการตามคำขอ — ถ้า controller ไม่ดำเนินการ เจ้าของข้อมูลร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญได้ — คณะกรรมการอาจประกาศหลักเกณฑ์การลบ/ทำลาย/ทำให้ไม่สามารถระบุตัวได้

18. ข้อหารือของ สคส. ด้านสุขภาพ

สคส. เผยแพร่ข้อหารือตามกฎหมาย PDPA และคู่มือ "แนวปฏิบัติสำหรับผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคล — กรณีศึกษาจากข้อหารือเกี่ยวกับการบังคับใช้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562"

https://www.pdpc.or.th/consultation/

PDF: PDPC-consultation-27.pdf (2024/02) · PDPC-consultation-46.pdf และ -47.pdf (2024/11) · consultation-59.pdf และ -60.pdf (2025/12) · consultation-65.pdf (2026/02) ภายใต้ https://www.pdpc.or.th/wp-content/uploads/

19. กฎหมายลำดับรองตาม PDPA ที่ประกาศแล้ว

20. Do's & Don'ts ของ PDPA สำหรับบุคลากรทางการแพทย์

21. Group Exercise และ Scenario A–C

ให้แต่ละกลุ่มอภิปรายตาม scenario ที่ได้รับ (make assumptions ได้ถ้ารายละเอียดไม่พอ) โดยตอบ:

1. ใครเป็นใคร ใน PDPA
2. ต้องใช้ Consent หรือไม่ และใช้ฐาน Lawful Basis ใด
3. แต่ละฝ่ายมีการบ้าน/หน้าที่ที่สำคัญตาม PDPA อย่างไรบ้างโดยสังเขป (focus เฉพาะส่วนสำคัญได้)
4. ประเด็นอื่นใดที่จะอภิปรายหรือตั้งข้อสังเกต

22. สรุปประเด็นสำคัญ

1. Privacy ≠ Security: privacy คือสิทธิเลือกเปิดเผยข้อมูลของตน ส่วน security (CIA) คือเครื่องมือปกป้องข้อมูล ภัยใน รพ. มักมาจากคนในที่ "เผือก" ดูข้อมูลโดยไม่จำเป็น
2. PDPA ไม่ยกเลิกกฎหมายเดิม — พ.ร.บ.สุขภาพแห่งชาติ ม.7, ป.อาญา ม.323, พ.ร.บ.ข้อมูลข่าวสารฯ ม.15, ข้อบังคับแพทยสภา ข้อ 17, พ.ร.บ.โรคติดต่อ ม.18, พ.ร.บ.สุขภาพจิต ม.15–16 ยังใช้ควบคู่
3. ข้อมูลส่วนบุคคล = ระบุตัวได้ทั้งทางตรงหรือทางอ้อม (HN ก็ใช่) ไม่รวมผู้ถึงแก่กรรม ข้อมูลสุขภาพเป็น sensitive (ม.26)
4. Controller ตัดสินใจ purposes & means · Processor ทำตามคำสั่ง (ทำนอกคำสั่ง = กลายเป็น controller) · DPO จำเป็นเมื่อเป็นหน่วยงานรัฐ ข้อมูลจำนวนมาก หรือกิจกรรมหลักเป็นข้อมูล ม.26
5. หลักคือเท่าที่จำเป็น และต้องมี lawful basis — ม.24 มี 7 ฐาน ส่วน ม.26 ต้อง explicit consent เว้นแต่เข้า (1)–(5) โดยงานบริการสุขภาพส่วนใหญ่อยู่ใน ม.26(5)(ก)–(จ)
6. Consent เป็นทางเลือกสุดท้าย ต้องชัดแจ้ง แยกส่วน แจ้งวัตถุประสงค์ freely given ไม่ bundled ถอนได้ง่าย (ม.19) ผู้เยาว์/ไร้ความสามารถ/เสมือนไร้ความสามารถมีกติกาพิเศษ (ม.20) และไม่ใช่ consent เดียวกับ consent รักษา/หัตถการ/วิจัย
7. แจ้ง Privacy Notice ก่อนหรือขณะเก็บ ใช้ตามที่แจ้ง ถ้าเปลี่ยนวัตถุประสงค์ต้องหาฐานใหม่และแจ้งใหม่
8. หน้าที่ controller (ม.37, 39): security ตามมาตรฐานขั้นต่ำ (risk-based, defense in depth, need-to-know/least privilege, audit trails, awareness) · ลบเมื่อหมดความจำเป็น · แจ้ง breach ต่อ สคส. ภายใน 72 ชม. (แจ้งเจ้าของข้อมูลด้วยถ้าความเสี่ยงสูง) · ROPA · DPA · โอนข้อมูลต่างประเทศ
9. สิทธิเจ้าของข้อมูล 7 ประการ Right to be forgotten มีข้อยกเว้น (เช่น ม.26(5)(ก)(ข), legal claims, ปฏิบัติตามกฎหมาย) จึงไม่ใช่ว่าลบเวชระเบียนได้เสมอ
10. LINE ใช้ได้ถ้ารัดกุม: need-to-know, ปกปิดตัวตนถ้าไม่จำเป็น แต่ระบุตัวตนเมื่อจำเป็นต่อความปลอดภัยผู้ป่วย และอย่าอ้าง PDPA เพื่อปฏิเสธการเปิดเผยที่กฎหมายกำหนด

23. แบบทดสอบทบทวนตนเอง