การส่งข้อมูลให้หน่วยงานอื่นที่เป็นผู้ควบคุมข้อมูลอีกราย ไม่ต้องทำข้อตกลง DSA เสมอไป สคส. เห็นว่า DSA เป็นมาตรการเชิงองค์กรตามมาตรา 37 (1) ที่กฎหมายไม่บังคับ ต่างจากข้อตกลงกับผู้ประมวลผลตามมาตรา 40 บทความนี้สรุปข้อหารือของ สป.สธ. และ สปสช. ให้ DPO และฝ่ายกฎหมาย
- PDPA ไม่บังคับให้ผู้ควบคุมข้อมูลสองรายทำ DSA ระหว่างกัน การลงนามเป็นดุลพินิจของแต่ละฝ่าย
- DSA เป็นมาตรการเชิงองค์กรอย่างหนึ่งตามมาตรา 37 (1) และข้อ 4 ของประกาศฯ ปี 2565
- ถ้าไม่ทำ DSA ผู้ส่งแจ้งวัตถุประสงค์เป็นหนังสือฝ่ายเดียว ผู้รับกำหนดมาตรการของตนเองแทน
- ข้อตกลงกับผู้ประมวลผลข้อมูลยังบังคับตามมาตรา 40 วรรคสาม
- ข้อมูลรั่วเมื่อใด ฝ่ายที่มาตรการไม่เหมาะสมในช่วงนั้นรับผิด ดูข้อเท็จจริงเป็นรายกรณี
โรงพยาบาลของรัฐส่งข้อมูลการรักษาผู้ป่วยไปเบิกค่าบริการจากกองทุนหลักประกันสุขภาพแห่งชาติทุกวัน ข้อมูลชุดนี้มีทั้งชื่อ ประวัติการรักษา รายการยา และผลการวินิจฉัยโรค ซึ่งเป็นข้อมูลสุขภาพตามมาตรา 26 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)
เมื่อกระทรวงสาธารณสุขพัฒนาระบบศูนย์กลางข้อมูลด้านการเงิน (Financial Data Hub) ให้หน่วยบริการในสังกัดส่งข้อมูลผ่านระบบเดียว จึงเกิดคำถามตามมาว่า ผู้ส่งกับผู้รับต้องลงนามข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Data Sharing Agreement หรือ DSA) กันก่อนหรือไม่ และถ้าฝ่ายหนึ่งไม่ยอมลงนาม จะเป็นอย่างไร
คำถามนี้ไปถึงสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) จากสองฝั่งของการส่งข้อมูลชุดเดียวกัน ฝั่งผู้ส่งคือสำนักงานปลัดกระทรวงสาธารณสุข (สป.สธ.) ฝั่งผู้รับคือสำนักงานหลักประกันสุขภาพแห่งชาติ (สปสช.) ผู้ให้ความเห็นคือคณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
บทความนี้เล่าความเห็นทั้งสองเรื่องด้วยถ้อยคำของเรา ส่วนข้อความในกรอบตัวบทคัดจาก PDPA และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 คำต่อคำ ความเห็นตอบข้อหารือไม่ใช่ตัวบทกฎหมาย แต่บอกได้ว่าฝ่ายที่ดูแล PDPA อ่านมาตราเหล่านี้อย่างไร
สองหน่วยงานถามอะไร และทำไมจึงถามเรื่องเดียวกัน?
ทั้งสองหน่วยงานถามเรื่องร่างข้อตกลงฉบับเดียวกัน สป.สธ. กับ สปสช. ลงนามบันทึกความเข้าใจว่าด้วยความร่วมมือในการพัฒนาระบบข้อมูลการเบิกค่าบริการสาธารณสุข เมื่อวันที่ 8 มีนาคม 2567 และประชุมหารือร่างข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกันเมื่อวันที่ 10 กันยายน 2567
สป.สธ. ซึ่งเป็นฝ่ายเสนอร่าง ต้องการให้มีข้อตกลงเพราะถือว่าตนเป็นผู้ควบคุมข้อมูลของหน่วยบริการในสังกัด ส่วน สปสช. เห็นว่าข้อมูลที่หน่วยบริการส่งมาเพื่อเบิกจ่ายตาม พ.ร.บ.หลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 อยู่ในความควบคุมของ สปสช. เอง จึงถามว่าจำเป็นต้องลงนามหรือไม่
| ผู้ถาม | ประเด็นที่ถาม | สิ่งที่อยากรู้จริง |
|---|---|---|
| สป.สธ. (ผู้ส่งข้อมูล) | ประเด็นที่ 1 | ควรทำ DSA หรือไม่ และถ้าอีกฝ่ายไม่ลงนาม ต้องทำอย่างไรให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม |
| สป.สธ. | ประเด็นที่ 2 | หน่วยบริการในสังกัดที่ไม่มีฐานะนิติบุคคล ใครเป็นผู้ตัดสินใจเมื่อมีผู้ขอข้อมูล |
| สป.สธ. | ประเด็นที่ 3 | ถ้าส่งข้อมูลไปโดยไม่มี DSA แล้วข้อมูลรั่ว ใครรับผิดทางแพ่งและทางปกครอง |
| สป.สธ. | ประเด็นที่ 4 | ถ้าทำตามกฎหมายครบถ้วน ถือว่าแสดงความรับผิดชอบ (accountability) และไม่เข้าข่ายมาตรา 157 แห่งประมวลกฎหมายอาญาหรือไม่ |
| สปสช. (ผู้รับข้อมูล) | ประเด็นที่ 1 | จำเป็นต้องลงนามในข้อตกลงที่ สป.สธ. เสนอมาหรือไม่ |
| สปสช. | ประเด็นที่ 2 | ถ้าการลงนามจะทำให้การบังคับใช้ พ.ร.บ.หลักประกันสุขภาพแห่งชาติ เสื่อมประสิทธิภาพ จะมีมาตรการตาม PDPA อย่างไร |
ใครเป็นผู้ควบคุมข้อมูลส่วนบุคคลในการส่งข้อมูลเบิกค่ารักษา?
คณะอนุกรรมการฯ เห็นว่าทั้ง สป.สธ. และ สปสช. ต่างเป็นผู้ควบคุมข้อมูลส่วนบุคคลในส่วนงานของตน คำตอบนี้มาจากนิยามในมาตรา 6 ของ PDPA ซึ่งดูที่อำนาจหน้าที่ตัดสินใจ ไม่ได้ดูว่าใครถือแฟ้มข้อมูลอยู่
“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
ฝั่งกระทรวงสาธารณสุข
สป.สธ. เป็นส่วนราชการสังกัดกระทรวงสาธารณสุขตามมาตรา 43 (2) แห่ง พ.ร.บ.ปรับปรุงกระทรวง ทบวง กรม พ.ศ. 2545 มีฐานะเป็นกรมตามมาตรา 18 วรรคสอง และเป็นนิติบุคคลตามมาตรา 7 วรรคสาม แห่ง พ.ร.บ.ระเบียบบริหารราชการแผ่นดิน พ.ศ. 2534 สถานบริการสาธารณสุขของรัฐในสังกัด สป.สธ. ไม่มีฐานะนิติบุคคล
คณะอนุกรรมการฯ จึงเห็นว่า เมื่อหน่วยบริการในสังกัดเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล สป.สธ. ในฐานะส่วนราชการต้นสังกัดที่เป็นนิติบุคคลเป็นผู้ควบคุมข้อมูลส่วนบุคคล
ฝั่งสำนักงานหลักประกันสุขภาพแห่งชาติ
สปสช. เป็นหน่วยงานของรัฐที่มีฐานะเป็นนิติบุคคลตามมาตรา 24 วรรคหนึ่ง แห่ง พ.ร.บ.หลักประกันสุขภาพแห่งชาติ พ.ศ. 2545 และมีอำนาจหน้าที่ตามมาตรา 26 ของกฎหมายเดียวกัน เช่น เก็บ รวบรวม วิเคราะห์ข้อมูลการบริการสาธารณสุข จ่ายค่าใช้จ่ายให้หน่วยบริการ และตรวจสอบเอกสารหลักฐานการเรียกเก็บค่าใช้จ่าย สปสช. จึงเป็นผู้ควบคุมข้อมูลส่วนบุคคลอีกรายหนึ่ง
หน่วยบริการส่งข้อมูลผู้ป่วยให้ สปสช. โดยไม่ขอความยินยอมได้หรือไม่?
ได้ คณะอนุกรรมการฯ เห็นว่าการที่หน่วยบริการส่งข้อมูลผู้ป่วยให้ สปสช. เพื่อขอรับค่าใช้จ่ายตามมาตรา 45 และมาตรา 46 แห่ง พ.ร.บ.หลักประกันสุขภาพแห่งชาติ เป็นการเปิดเผยเพื่อปฏิบัติตามกฎหมายตามมาตรา 24 (6) ประกอบมาตรา 27 วรรคหนึ่ง ของ PDPA
(6) เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล
ข้อมูลสุขภาพเป็นข้อมูลตามมาตรา 26 จึงต้องอาศัยข้อยกเว้นในมาตรา 26 (5) (ค) ซึ่งกล่าวถึงหลักประกันสุขภาพแห่งชาติไว้ตรงตัว ข้อยกเว้นนี้มีเงื่อนไขว่าต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูล เงื่อนไขข้อนี้เองที่คณะอนุกรรมการฯ นำมาใช้ตอบเรื่อง DSA ในภายหลัง
(ค) การคุ้มครองแรงงาน การประกันสังคม หลักประกันสุขภาพแห่งชาติ สวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย
ฝั่ง สปสช. เก็บข้อมูลจากหน่วยบริการซึ่งไม่ใช่จากเจ้าของข้อมูลโดยตรง ความเห็นระบุว่าทำได้ตามมาตรา 25 วรรคหนึ่ง (2) และไม่ต้องแจ้งรายละเอียดตามมาตรา 23 ตามนัยมาตรา 25 วรรคสอง เพราะไม่ใช่กรณีที่ต้องได้รับความยินยอมตามมาตรา 25 วรรคหนึ่ง (1)
คณะอนุกรรมการฯ แนะนำเพิ่มว่า หน่วยบริการควรระบุประเภทบุคคลหรือหน่วยงานที่อาจได้รับข้อมูลไว้ในประกาศความเป็นส่วนตัว (privacy notice) ตามมาตรา 23 (4) ให้ครอบคลุมการเปิดเผยแก่ สปสช. และกองทุนประกันสุขภาพต่าง ๆ ด้วย ผู้ป่วยจะได้รู้ตั้งแต่ต้นว่าข้อมูลของตนไปที่ใดบ้าง
กฎหมายบังคับให้ผู้ควบคุมข้อมูลสองรายต้องทำ DSA หรือไม่?
ไม่บังคับ คณะอนุกรรมการฯ ตอบตรงว่า PDPA ไม่ได้กำหนดหน้าที่ให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องทำข้อตกลงการแบ่งปันข้อมูลกับผู้ควบคุมข้อมูลอีกรายไว้อย่างชัดเจน แต่ผู้ที่เปิดเผยข้อมูลระหว่างกันมีหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37 (1)
(1) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ
มาตรฐานขั้นต่ำของมาตรการเหล่านี้อยู่ในข้อ 4 ของประกาศคณะกรรมการฯ เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ซึ่งกำหนดว่ามาตรการต้องมีทั้งเชิงองค์กรและเชิงเทคนิค
(2) มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย
คณะอนุกรรมการฯ จัด DSA ไว้เป็นมาตรการเชิงองค์กรอย่างหนึ่ง ข้อตกลงช่วยกำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ของแต่ละฝ่าย ไม่ว่าจะส่งข้อมูลเป็นเอกสารหรือทางอิเล็กทรอนิกส์ และช่วยกันไม่ให้ผู้รับนำข้อมูลไปใช้นอกวัตถุประสงค์ที่แจ้งไว้
บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยตามวรรคหนึ่ง จะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น
ความเห็นอ้างมาตรา 37 (2) ประกอบด้วย ในฐานะมาตรการกันไม่ให้หน่วยงานที่รับข้อมูลไปใช้หรือเปิดเผยข้อมูลโดยปราศจากอำนาจหรือโดยมิชอบ และชี้ว่าถ้า สปสช. จำเป็นต้องใช้ข้อมูลเพื่อวัตถุประสงค์อื่นนอกจากการจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุข ก็ควรแจ้งวัตถุประสงค์นั้นให้ สป.สธ. หรือหน่วยบริการทราบตอนขอรับข้อมูลด้วย
ข้อสำคัญคือ ไม่ว่าจะมี DSA หรือไม่ สปสช. ก็ยังมีหน้าที่ตาม PDPA ครบทุกข้อ ได้แก่ เก็บข้อมูลเท่าที่จำเป็นตามมาตรา 22 จัดมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1) จัดระบบตรวจสอบเพื่อลบหรือทำลายข้อมูลตามมาตรา 37 (3) และรองรับสิทธิของเจ้าของข้อมูลตามหมวด 3 การลงนามจึงไม่ได้เพิ่มหรือลดหน้าที่ตามกฎหมาย
ถ้าทำ DSA ควรเขียนอะไรไว้บ้าง?
คณะอนุกรรมการฯ วางกรอบเนื้อหาไว้กว้าง ๆ ว่า ข้อตกลงควรครอบคลุมวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลของแต่ละฝ่าย รวมถึงอาจกำหนดระยะเวลาเก็บรักษาหรือเงื่อนไขการลบหรือทำลายข้อมูล
เงื่อนไขที่ความเห็นเน้นคือ ข้อตกลงต้องให้แต่ละฝ่ายยังทำงานในฐานะผู้ควบคุมข้อมูลที่กำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ของตนได้แยกจากกัน ไม่เป็นอุปสรรคต่องานของอีกฝ่าย โดยเฉพาะงานที่เป็นภารกิจเพื่อประโยชน์สาธารณะหรือการปฏิบัติตามกฎหมาย และต้องไม่ขัดกับ PDPA
| หัวข้อ | คำถามที่ร่างต้องตอบ | ที่มา |
|---|---|---|
| วัตถุประสงค์ | ผู้รับจะใช้ข้อมูลเพื่ออะไร และถ้ามีวัตถุประสงค์อื่นได้แจ้งผู้ส่งไว้แล้วหรือไม่ | มาตรา 27 วรรคสอง |
| วิธีการ | ส่งผ่านช่องทางใด เป็นเอกสารหรือทางอิเล็กทรอนิกส์ ใครเข้าถึงได้ | ข้อ 4 ประกาศฯ 2565 |
| เงื่อนไข | ส่งต่อให้บุคคลอื่นได้หรือไม่ ภายใต้เงื่อนไขใด | มาตรา 37 (2) |
| หน้าที่แต่ละฝ่าย | ใครดูแลมาตรการรักษาความมั่นคงปลอดภัยช่วงใด | มาตรา 37 (1) |
| ระยะเวลาและการลบ | เก็บไว้นานเท่าใด ลบหรือทำลายเมื่อใด | มาตรา 37 (3) |
| ความเป็นอิสระของแต่ละฝ่าย | ข้อตกลงทำให้ฝ่ายใดกำหนดวัตถุประสงค์และวิธีการของตนเองไม่ได้หรือไม่ | มาตรา 6 · ความเห็น สคส. |
ตารางนี้เป็นการเรียบเรียงของทีม AIPDPA จากกรอบที่ความเห็นวางไว้ ไม่ใช่แบบฟอร์มที่ สคส. กำหนด ข้อตกลงจริงต้องปรับตามกฎหมายเฉพาะของแต่ละหน่วยงาน
ถ้าอีกฝ่ายไม่ยอมลงนาม ต้องทำอย่างไร?
ทำต่อได้ด้วยมาตรการฝ่ายเดียว ความเห็นในข้อหารือของ สปสช. ตอบว่า ถ้าเห็นว่า DSA จะทำให้การปฏิบัติหน้าที่ตามกฎหมายหลักประกันสุขภาพแห่งชาติหรือกฎหมายอื่นขาดประสิทธิภาพ ไม่อาจสำเร็จตามวัตถุประสงค์ หรือตกลงเนื้อหากันไม่ได้ ก็อาจไม่ทำข้อตกลงนั้น
แต่การไม่ทำ DSA ไม่ได้ปลดหน้าที่ แต่ละฝ่ายยังต้องจัดมาตรการอื่นที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลในทำนองเดียวกัน ตามเงื่อนไขของมาตรา 26 (5) (ค) ความเห็นยกตัวอย่างไว้สองฝั่ง
แจ้งวัตถุประสงค์ในการใช้หรือเปิดเผยข้อมูลของฝ่ายที่รับให้ฝ่ายนั้นทราบเป็นหนังสือฝ่ายเดียว แทนการทำข้อตกลงระหว่างกัน
กำหนดมาตรการเชิงองค์กรและเชิงเทคนิค ซึ่งอาจรวมมาตรการทางกายภาพ เพื่อจำกัดการใช้ข้อมูลให้อยู่ในวัตถุประสงค์ที่ผู้ส่งแจ้งไว้ หรือวัตถุประสงค์อื่นที่ชอบด้วยกฎหมายของตน
ทั้งสองฝ่ายยังมีหน้าที่ตามมาตรา 37 (1) การไม่มีทั้ง DSA และมาตรการทดแทน ทำให้แสดงไม่ได้ว่าได้คุ้มครองข้อมูลตามเงื่อนไขของมาตรา 26 (5) (ค)
สำหรับฝ่ายเอกชนที่อยู่ในสถานการณ์คล้ายกัน เช่น ส่งข้อมูลลูกค้าให้พันธมิตรที่เป็นผู้ควบคุมข้อมูลอีกราย ทางที่เราเห็นว่าปลอดภัยคือเก็บหนังสือแจ้งวัตถุประสงค์และบันทึกการส่งไว้เป็นหลักฐาน แม้อีกฝ่ายจะไม่ลงนามข้อตกลงใด ๆ
DSA ต่างจากข้อตกลงกับผู้ประมวลผลข้อมูลอย่างไร?
ต่างกันที่ความบังคับ ข้อตกลงกับผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement หรือ DPA) กฎหมายบังคับให้ต้องมี ส่วน DSA ระหว่างผู้ควบคุมข้อมูลสองราย กฎหมายไม่ได้บังคับ คณะอนุกรรมการฯ ตั้งข้อสังเกตเรื่องนี้ไว้ท้ายความเห็นทั้งสองเรื่อง
การดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคลตามวรรคหนึ่ง ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน
| ผู้รับข้อมูล | ตัวอย่าง | ข้อตกลง | ฐาน |
|---|---|---|---|
| ผู้ประมวลผลข้อมูลส่วนบุคคล (ทำตามคำสั่งหรือในนามของเรา) | ผู้ให้บริการระบบเงินเดือน คลาวด์ คอลเซ็นเตอร์ที่เราจ้าง | ต้องมี (DPA) | มาตรา 40 วรรคสาม |
| ผู้ควบคุมข้อมูลอีกราย (ตัดสินใจเองว่าใช้ข้อมูลเพื่ออะไร) | สปสช. ที่รับข้อมูลเบิกจ่าย บริษัทประกันที่รับข้อมูลเคลม | ไม่บังคับ (DSA เป็นดุลพินิจ) | ความเห็น สคส. · มาตรา 37 (1) |
| ผู้ควบคุมข้อมูลอีกราย ที่ไม่ยอมทำข้อตกลง | หน่วยงานที่มีกฎหมายเฉพาะให้อำนาจรับข้อมูล | ใช้มาตรการฝ่ายเดียวแทน | มาตรา 26 (5) (ค) · ความเห็น สคส. |
การแยกให้ถูกจึงสำคัญกว่าชื่อของเอกสาร ถ้าผู้รับเป็นผู้ประมวลผลแต่เราเรียกข้อตกลงว่า DSA เนื้อหาก็ยังต้องครบตามมาตรา 40 อ่านรายละเอียดฝั่งผู้ประมวลผลได้ที่ ข้อตกลงกับผู้ประมวลผลข้อมูล และ คู่มือข้อตกลงผู้ประมวลผล
ข้อมูลรั่วระหว่างทาง ใครต้องรับผิด?
ดูข้อเท็จจริงเป็นรายกรณี คณะอนุกรรมการฯ ไม่ได้ตอบว่าฝ่ายใดรับผิดเสมอ แต่ให้ดูว่าฝ่ายใดไม่ได้จัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37 (1) และมาตรฐานขั้นต่ำตามประกาศฯ ปี 2565 จนเป็นเหตุให้ข้อมูลรั่ว ไม่ว่าจะมี DSA หรือไม่ก็ตาม
ความเห็นอธิบายการละเมิดข้อมูลส่วนบุคคลตามมาตรา 37 (4) ประกอบประกาศว่าด้วยการแจ้งเหตุ พ.ศ. 2565 ว่ามีสามประเภท คือการละเมิดความลับ (confidentiality breach) การละเมิดความถูกต้องครบถ้วน (integrity breach) และการละเมิดความพร้อมใช้งาน (availability breach)
- ก่อนส่งข้อมูลยังอยู่ในความครอบครองของ สป.สธ. แล้วเกิดเหตุจากมาตรการของ สป.สธ. ที่ไม่เหมาะสม หน้าที่และความรับผิดตกแก่ สป.สธ. ในฐานะผู้ควบคุมข้อมูลที่เปิดเผยมาตรา 37 (1)
- ระหว่างส่งเหตุเกิดจากมาตรการของทั้งสองฝ่ายร่วมกัน แต่ละฝ่ายรับผิดเฉพาะส่วนที่เกี่ยวข้องกับตนมาตรา 37 (1)
- หลังรับผู้รับเก็บข้อมูลไว้แล้วเกิดเหตุจากมาตรการของผู้รับ หน้าที่และความรับผิดตกแก่ผู้ควบคุมข้อมูลที่ได้รับข้อมูลมาตรา 37 (1)
ข้อนี้มีผลต่อการเขียน DSA โดยตรง ข้อตกลงที่ดีควรบอกให้ชัดว่าความรับผิดชอบเปลี่ยนมือที่จุดใด เพราะเมื่อเกิดเหตุ ข้อเท็จจริงเรื่องจุดที่ข้อมูลรั่วคือสิ่งที่ใช้ชี้ว่าใครต้องแจ้งเหตุภายใน 72 ชั่วโมงตามมาตรา 37 (4) ดูขั้นตอนได้ที่ คู่มือแจ้งเหตุภายใน 72 ชั่วโมง
ผู้บริหารต้องรับผิดเป็นการส่วนตัวหรือไม่?
ความรับผิดทางแพ่งและโทษทางปกครองตาม PDPA เป็นของนิติบุคคลที่เป็นผู้ควบคุมข้อมูลโดยตรง ไม่ใช่ของกรรมการหรือผู้จัดการ ความเห็นในข้อหารือของ สป.สธ. ระบุไว้เช่นนี้ ส่วนโทษอาญาตามมาตรา 79 และมาตรา 80 มาตรา 81 ขยายความรับผิดไปถึงผู้สั่งการหรือผู้ที่ละเว้นไม่สั่งการ
ในกรณีที่ผู้กระทำความผิดตามพระราชบัญญัตินี้เป็นนิติบุคคล ถ้าการกระทำความผิดของนิติบุคคลนั้นเกิดจากการสั่งการหรือการกระทำของกรรมการหรือผู้จัดการ หรือบุคคลใดซึ่งรับผิดชอบในการดำเนินงานของนิติบุคคลนั้น
คณะอนุกรรมการฯ เห็นว่า ถ้ากรรมการหรือผู้จัดการได้ทำหน้าที่จัดให้มีมาตรการเชิงองค์กรและเชิงเทคนิคที่เหมาะสมแล้ว เช่น วางนโยบายและระเบียบปฏิบัติด้านการคุ้มครองข้อมูล บริหารความเสี่ยง และติดตามประเมินผล ก็เป็นข้อเท็จจริงที่ควรนำมาพิจารณาประกอบกับองค์ประกอบความผิด
ส่วนคำถามว่าจะเข้าข่ายมาตรา 157 แห่งประมวลกฎหมายอาญาหรือไม่ ความเห็นตอบว่าขึ้นอยู่กับข้อเท็จจริง ข้อกฎหมาย และกระบวนการในแต่ละกรณี และไม่อยู่ในอำนาจของคณะอนุกรรมการฯ ที่จะให้ความเห็น เพราะไม่ใช่การขอคำแนะนำในการปฏิบัติตาม PDPA
หน่วยบริการที่ไม่มีฐานะนิติบุคคลตัดสินใจเองได้แค่ไหน?
เท่าที่ผู้ควบคุมข้อมูลมอบอำนาจให้ ความเห็นอธิบายว่าอำนาจตัดสินใจของหน่วยบริการขึ้นอยู่กับกฎหมายระเบียบบริหารราชการแผ่นดิน กฎกระทรวงแบ่งส่วนราชการ กฎหมายและกฎระเบียบเรื่องการมอบอำนาจ ตลอดจนกฎหมายหลักประกันสุขภาพแห่งชาติ สป.สธ. ในฐานะผู้ควบคุมข้อมูลจึงมอบอำนาจ มอบหมาย สั่งการ และกำกับดูแลให้หน่วยบริการตัดสินใจได้ตามที่เห็นสมควร
คณะอนุกรรมการฯ แนะนำให้คำนึงถึงความคล่องตัวและระดับความเสี่ยงประกอบกัน และให้สอดคล้องกับมาตรา 27 แห่ง พ.ร.ฎ.ว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. 2546 ซึ่งให้กระจายอำนาจตัดสินใจไปยังผู้รับผิดชอบโดยตรง เพื่อลดขั้นตอนและให้บริการประชาชนได้รวดเร็ว
องค์กรเอกชนที่มีหลายสาขาก็ใช้หลักเดียวกันได้ ผู้ควบคุมข้อมูลคือบริษัท แต่บริษัทควรเขียนมอบอำนาจให้ชัดว่าผู้จัดการสาขาตัดสินใจเปิดเผยข้อมูลประเภทใดได้เอง และเรื่องใดต้องส่งให้ DPO หรือฝ่ายกฎหมาย
ความเห็นนี้มีความหมายต่อประชาชนอย่างไร?
ผู้ใช้สิทธิบัตรทองทุกคนมีข้อมูลการรักษาวิ่งจากโรงพยาบาลไปยัง สปสช. เพื่อเบิกจ่ายอยู่แล้ว ความเห็นทั้งสองเรื่องยืนยันว่าการส่งนี้มีฐานตามกฎหมายโดยไม่ต้องขอความยินยอม และวางหลักว่าผู้รับข้อมูลต้องใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้ ต้องรักษาความมั่นคงปลอดภัย และต้องรองรับสิทธิของเจ้าของข้อมูล ไม่ว่าจะลงนามข้อตกลงหรือไม่
ผู้ป่วยที่อยากรู้ว่าข้อมูลของตนถูกส่งไปที่ใด ดูได้จากประกาศความเป็นส่วนตัวของหน่วยบริการ และติดต่อหน่วยงานได้โดยตรง ข้อมูลเรื่องสิทธิหลักประกันสุขภาพอยู่ที่เว็บไซต์สำนักงานหลักประกันสุขภาพแห่งชาติ ส่วนประกาศและเอกสารเผยแพร่เรื่อง PDPA อยู่ที่เว็บไซต์สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ฉบับเต็มของข้อหารือทั้งสองเรื่องเปิดอ่านได้จากหน้ารวมข้อหารือของ สคส. ได้แก่ข้อหารือของสำนักงานปลัดกระทรวงสาธารณสุข และข้อหารือของสำนักงานหลักประกันสุขภาพแห่งชาติ
องค์กรควรตรวจอะไรก่อนส่งข้อมูลให้ผู้ควบคุมข้อมูลรายอื่น?
- ระบุให้ได้ว่าผู้รับเป็นผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูล ถ้าเป็นผู้ประมวลผล ต้องมีข้อตกลงตามมาตรา 40 วรรคสาม
- หาฐานทางกฎหมายของการเปิดเผยตามมาตรา 24 หรือมาตรา 26 ประกอบมาตรา 27 วรรคหนึ่ง และบันทึกการเปิดเผยที่ได้รับยกเว้นความยินยอมไว้ในรายการตามมาตรา 39 ตามมาตรา 27 วรรคสาม
- ตรวจว่าประกาศความเป็นส่วนตัวระบุประเภทผู้รับข้อมูลไว้ตามมาตรา 23 (4) แล้ว
- ขอให้ผู้รับแจ้งวัตถุประสงค์การใช้ข้อมูลเป็นหนังสือ เพื่อให้มาตรา 27 วรรคสอง มีกรอบให้ยึด
- เลือกระหว่างทำ DSA หรือแจ้งเงื่อนไขฝ่ายเดียว แล้วเก็บเอกสารนั้นไว้เป็นหลักฐานมาตรการเชิงองค์กร
- กำหนดช่องทางส่ง สิทธิการเข้าถึง และระยะเวลาเก็บรักษา ให้ตรงกับข้อ 4 ของประกาศฯ ปี 2565
AIPDPA ช่วยงานส่วนนี้ได้สองจุด ทะเบียน RoPA บันทึกผู้รับข้อมูลและฐานทางกฎหมายของการเปิดเผยแต่ละกิจกรรมแล้วพิมพ์รายงานตามมาตรา 39 และคลังเอกสารพร้อมใช้มีแบบข้อตกลงกับผู้ประมวลผลข้อมูล ดูหน้าจอจริงได้ในบัญชีตัวอย่าง หรือดูแพ็กเกจ
คำถามที่พบบ่อย
ส่งข้อมูลส่วนบุคคลให้ผู้ควบคุมข้อมูลรายอื่น ต้องทำ DSA ทุกครั้งหรือไม่
ไม่ต้อง คณะอนุกรรมการฯ ใน สคส. เห็นว่า PDPA ไม่ได้บังคับให้ผู้ควบคุมข้อมูลสองรายทำ DSA ระหว่างกัน แต่ทั้งสองฝ่ายยังต้องมีมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1) และ DSA เป็นมาตรการเชิงองค์กรอย่างหนึ่งที่ใช้ได้
DSA กับ DPA ต่างกันอย่างไร
DPA คือข้อตกลงกับผู้ประมวลผลข้อมูลซึ่งทำงานตามคำสั่งหรือในนามของผู้ควบคุมข้อมูล มาตรา 40 วรรคสาม บังคับให้ต้องมี ส่วน DSA เป็นข้อตกลงระหว่างผู้ควบคุมข้อมูลสองรายที่ต่างตัดสินใจเรื่องวัตถุประสงค์ของตนเอง กฎหมายไม่ได้บังคับ
ถ้าผู้รับข้อมูลไม่ยอมลงนาม DSA จะส่งข้อมูลได้หรือไม่
ส่งได้ถ้ามีฐานทางกฎหมาย ความเห็นแนะนำให้ผู้ส่งแจ้งวัตถุประสงค์การใช้ข้อมูลของผู้รับให้ผู้รับทราบเป็นหนังสือฝ่ายเดียว และให้ผู้รับกำหนดมาตรการเชิงองค์กรและเชิงเทคนิคของตนเองเพื่อจำกัดการใช้ข้อมูล
ไม่มี DSA แล้วข้อมูลรั่ว ฝ่ายใดรับผิด
ดูข้อเท็จจริงว่าฝ่ายใดไม่ได้จัดมาตรการตามมาตรา 37 (1) จนเป็นเหตุให้ข้อมูลรั่ว ถ้ารั่วก่อนส่ง ผู้ส่งรับผิด ถ้ารั่วหลังผู้รับได้ข้อมูลไปแล้ว ผู้รับรับผิด ถ้าเกิดจากมาตรการของทั้งสองฝ่าย แต่ละฝ่ายรับผิดในส่วนของตน
โรงพยาบาลส่งข้อมูลผู้ป่วยให้ สปสช. ต้องขอความยินยอมจากผู้ป่วยหรือไม่
ไม่ต้อง ความเห็นถือว่าเป็นการปฏิบัติตามกฎหมายตามมาตรา 24 (6) หรือเป็นการจำเป็นตามมาตรา 26 (5) (ค) ประกอบมาตรา 27 วรรคหนึ่ง แต่หน่วยบริการควรระบุ สปสช. ไว้ในประกาศความเป็นส่วนตัวตามมาตรา 23 (4)
กรรมการบริษัทต้องรับโทษปรับทางปกครองเองหรือไม่
ไม่ ความเห็นระบุว่าความรับผิดทางแพ่งและโทษทางปกครองตาม PDPA เป็นของนิติบุคคลที่เป็นผู้ควบคุมข้อมูล ส่วนความผิดอาญาตามมาตรา 79 และ 80 มาตรา 81 อาจขยายถึงกรรมการหรือผู้จัดการที่สั่งการหรือละเว้นไม่สั่งการ
อ่านจบแล้ว ทำต่อให้เสร็จได้เลย
เปิดบัญชีตัวอย่างดูระบบ AIPDPA ของจริงกับข้อมูลบริษัทสมมติ ทั้งทะเบียน RoPA เหตุละเมิด 72 ชั่วโมง คำขอใช้สิทธิ คุกกี้แบนเนอร์ และเอกสารพร้อมใช้ ครบในระบบเดียว
เริ่มต้น 2,900 บาท/ปี (11 โมดูล) · ครบ 24 โมดูลตั้งแต่ ENTERPRISE 19,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
ไม่มีเวลาทำเอง ให้ทีมทนายดูแลให้ →ทีมทนายความ Kooru วางระบบและเป็น DPO ให้
ตัวบทและแหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 6 · 22 · 23 (4) · 24 (6) · 25 · 26 (5) (ค) · 27 · 37 (1) (2) (3) (4) · 39 · 40 · 81
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 — ข้อ 4 (2)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)