บริษัทประกันใช้ข้อมูลสุขภาพลูกค้า ต้องขอความยินยอมหรือไม่

ใบคำขอเอาประกันสุขภาพและประกันชีวิตมักถามประวัติการรักษา โรคประจำตัว และการนอนโรงพยาบาล ข้อมูลเหล่านี้เป็นข้อมูลสุขภาพตามมาตรา 26 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ซึ่งเก็บได้เมื่อได้รับความยินยอมโดยชัดแจ้ง หรือเข้าข้อยกเว้นที่มาตรา 26 เขียนไว้เท่านั้น

สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (สำนักงาน คปภ.) แจ้งไว้ในหนังสือหารือว่า ภาคธุรกิจประกันภัยพบปัญหาและอุปสรรคจากการปฏิบัติตาม PDPA หลายประเด็น จึงส่งคำถาม 6 ข้อไปที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ผ่านสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)

ผู้ที่ตอบคือคณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ความเห็นตอบข้อหารือไม่ใช่ตัวบทกฎหมาย แต่บอกได้ว่าฝ่ายที่ดูแล PDPA อ่านมาตราเหล่านี้อย่างไร และเราเห็นว่าหลายข้อใช้ได้กับธุรกิจอื่นที่ถือข้อมูลอ่อนไหวของลูกค้าด้วย

สคส. ตอบ คปภ. ไว้กี่เรื่อง และเรื่องไหนกระทบใคร?

มีหกเรื่อง สามเรื่องแรกกระทบบริษัทประกันโดยตรง อีกสามเรื่องเป็นงานของสำนักงาน คปภ. เอง แต่บริษัทที่ถือฐานข้อมูลลูกค้าขนาดใหญ่ควรอ่านด้วย เพราะหน่วยงานรัฐและญาติของลูกค้าอาจมาขอข้อมูลจากบริษัทเอกชนด้วยคำถามแบบเดียวกัน

ก่อนตอบรายข้อ คณะอนุกรรมการฯ วางหลักไว้ข้อหนึ่ง สำนักงาน คปภ. เป็นหน่วยงานของรัฐตามมาตรา 17 วรรคหนึ่ง แห่ง พ.ร.บ.คณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย พ.ศ. 2550 จึงต้องปฏิบัติตาม พ.ร.บ.ข้อมูลข่าวสารของราชการ พ.ศ. 2540 ด้วย โดย PDPA ใช้บังคับเป็นการเพิ่มเติมตามมาตรา 3 (1)

ส่วนที่เป็นคำถามตามกฎหมายข้อมูลข่าวสาร คณะอนุกรรมการฯ แนะให้สำนักงาน คปภ. หารือคณะกรรมการข้อมูลข่าวสารของราชการโดยตรง บทความนี้จึงอธิบายเฉพาะคำตอบตาม PDPA

บริษัทประกันใช้ข้อมูลสุขภาพพิจารณารับประกัน ต้องขอความยินยอมหรือไม่?

ต้องขอ ถ้าไม่เข้าข้อยกเว้นอื่นตามมาตรา 26 (1) ถึง (5) สำนักงาน คปภ. ถามว่าบริษัทประกันจะอ้างมาตรา 26 (4) เรื่องสิทธิเรียกร้องตามกฎหมายได้หรือไม่ สคส. ตอบว่าไม่ได้ เพราะการพิจารณารับประกัน การคำนวณเบี้ย และการจ่ายค่าสินไหมทดแทน ไม่ใช่การก่อตั้งหรือการใช้สิทธิเรียกร้องตามมาตรา 26 (4)

คณะอนุกรรมการฯ แยกงานของบริษัทประกันเป็นสองช่วง ช่วงแรกคือการพิจารณารับประกัน ซึ่งเป็นดุลพินิจของบริษัทก่อนเข้าทำสัญญาว่าพอใจและยอมรับความเสี่ยงของผู้ขอเอาประกันหรือไม่ ช่วงที่สองคือการคำนวณเบี้ยและการจ่ายสินไหม ซึ่งเป็นการปฏิบัติตามสัญญากับเจ้าของข้อมูล ฐานของงานช่วงที่สองคือมาตรา 24 (3)

จุดที่บริษัทประกันพลาดได้ง่ายคือ มาตรา 24 (3) เป็นฐานของข้อมูลส่วนบุคคลทั่วไป เมื่อข้อมูลที่ใช้เป็นข้อมูลสุขภาพหรือข้อมูลอื่นตามมาตรา 26 สคส. เห็นว่าต้องได้ความยินยอมโดยชัดแจ้งตามมาตรา 26 ประกอบมาตรา 27 วรรคหนึ่ง เว้นแต่จะเข้าข้อยกเว้นอื่นในมาตรา 26 (1) ถึง (5)

คณะอนุกรรมการฯ ย้ำหลักเรื่องวัตถุประสงค์ไว้ด้วย ข้อมูลที่เก็บมาด้วยวัตถุประสงค์และฐานใด ต้องใช้หรือเปิดเผยภายใต้วัตถุประสงค์และฐานเดียวกันนั้นตามมาตรา 21 ถ้าจะใช้เพื่อวัตถุประสงค์ใหม่ ต้องแจ้งและได้รับความยินยอมก่อน หรือมีกฎหมายให้ทำได้

ทำไมอ้าง “ประโยชน์สาธารณะที่สำคัญ” แบบสหราชอาณาจักรไม่ได้

สำนักงาน คปภ. ยกตัวอย่าง Data Protection Act 2018 ของสหราชอาณาจักร ซึ่งกำหนดให้การประกันภัยเป็นวัตถุประสงค์อันเป็นประโยชน์สาธารณะที่สำคัญตาม GDPR แล้วถามว่าไทยอ่านมาตรา 26 (5) (จ) แบบเดียวกันได้หรือไม่

สคส. ตอบว่า PDPA และกฎหมายอื่นของไทยไม่ได้นิยามคำว่า “ประโยชน์สาธารณะที่สำคัญ” ไว้แบบนั้น และจะใช้มาตรา 26 (5) (จ) ได้ต้องมีบทบัญญัติแห่งกฎหมายให้อำนาจหรือกำหนดหน้าที่ให้บริษัทประกันก่อน ตัวบทมาตรา 26 (5) เองก็ขึ้นต้นด้วยเรื่องการปฏิบัติตามกฎหมาย

สคส. ชี้ทางไว้ว่า คปภ. หรือสำนักงาน คปภ. มีอำนาจออกหลักเกณฑ์ที่กำหนดให้บริษัทประกันต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลเพื่อประโยชน์สาธารณะในการกำกับธุรกิจและคุ้มครองผู้เอาประกันได้ เมื่อหลักเกณฑ์นั้นออกมาแล้ว บริษัทประกันที่ทำตามจึงจะอ้างมาตรา 26 (5) (จ) ประกอบมาตรา 27 วรรคหนึ่งได้

ประกันกลุ่มของพนักงาน ใครเป็นคนขอความยินยอม

ในประกันกลุ่ม บริษัทประกันไม่ได้คุยกับพนักงานทีละคน สคส. เคยตอบข้อหารือของบริษัท ก. ซึ่งถูกบริษัทประกันขอให้ลงนามในหนังสือรับรองว่าได้ขอความยินยอมจากพนักงานให้แล้ว ความเห็นในเรื่องนั้นแยกหนังสือรับรองออกจากความยินยอมตาม PDPA ไว้ชัด

เมื่ออ่านคู่กับคำตอบที่ให้ คปภ. เราอ่านว่าความยินยอมโดยชัดแจ้งสำหรับข้อมูลสุขภาพต้องมาจากพนักงานแต่ละคน นายจ้างช่วยประสานและเก็บหลักฐานแทนบริษัทประกันได้ แต่หนังสือรับรองของนายจ้างใช้แทนความยินยอมของพนักงานไม่ได้ ฝ่ายบุคคลอ่านต่อได้ที่เบิกค่ารักษาให้พนักงานและครอบครัว

ใบคำขอเอาประกันต้องแจ้งอะไร เมื่อบริษัทจะตรวจข้อมูลกรมธรรม์เดิม?

ต้องแจ้งให้ชัดว่าบริษัทจำเป็นต้องตรวจข้อมูลกรมธรรม์ของผู้ขอเอาประกัน และถ้าไม่ให้ข้อมูลจะเกิดอะไรขึ้น สคส. แนะให้สำนักงาน คปภ. กำหนดนโยบายให้บริษัทประกันเขียนเงื่อนไขนี้ไว้ในแบบคำขอเอาประกัน และในการแจ้งวัตถุประสงค์ตามมาตรา 23

เหตุผลที่คณะอนุกรรมการฯ ให้ไว้คือหลักสุจริตอย่างยิ่ง (Principle of Utmost Good Faith) ผู้เอาประกันมีหน้าที่เปิดเผยข้อมูลที่เป็นความจริงแก่ผู้รับประกัน ไม่ปกปิดและไม่ให้ข้อมูลเท็จ จึงเป็นกรณีที่เจ้าของข้อมูลต้องให้ข้อมูลเพื่อเข้าทำสัญญาตามมาตรา 23 (2) และบริษัทต้องแจ้งผลกระทบจากการไม่ให้ข้อมูลด้วย

ข้อแนะนำของเรา: หยิบใบคำขอและประกาศความเป็นส่วนตัวที่ใช้อยู่ขึ้นมาตรวจว่าตอบสี่คำถามนี้ครบหรือไม่ วิธีเขียนให้ลูกค้าอ่านแล้วเข้าใจ ดูคู่มือประกาศความเป็นส่วนตัว

1. บริษัทจะตรวจข้อมูลกรมธรรม์ใดของผู้ขอ ตรวจจากแหล่งใด และตรวจเพื่อพิจารณาเรื่องอะไร
2. ข้อมูลใดที่ผู้ขอจำเป็นต้องให้เพื่อเข้าทำสัญญา และถ้าไม่ให้ บริษัทจะพิจารณาอย่างไร
3. ข้อมูลสุขภาพข้อใดอาศัยความยินยอมโดยชัดแจ้ง และส่วนที่ขอความยินยอมแยกจากข้อความอื่นในใบคำขอหรือไม่
4. ข้อมูลอาจถูกเปิดเผยให้ใครบ้าง เช่น นายหน้า โรงพยาบาล หรือสำนักงาน คปภ.

ฐานข้อมูลฉ้อฉลประกันภัย บริษัทประกันตั้งศูนย์กลางกันเองได้หรือไม่?

ถ้าไม่มีกฎหมายรองรับ ตั้งกันเองโดยไม่ขอความยินยอมไม่ได้ สคส. แยกสองกรณีไว้ชัด กรณีแรกสำนักงาน คปภ. เป็นผู้จัดทำและเปิดเผยฐานข้อมูล กรณีที่สองบริษัทประกันรวมกันจัดทำศูนย์ข้อมูลกลางเองโดยลำพัง คำตอบของสองกรณีนี้ต่างกันเกือบทั้งหมด

ในกรณีแรก สำนักงาน คปภ. เป็นผู้ควบคุมข้อมูลส่วนบุคคล และมีอำนาจกำกับ ส่งเสริม และพัฒนาการประกอบธุรกิจประกันภัยตามมาตรา 20 (2) ของกฎหมายว่าด้วย คปภ. ถ้าการจัดทำฐานข้อมูลอยู่ในอำนาจนี้ ก็เก็บข้อมูลเกี่ยวกับการฉ้อฉลได้โดยไม่ต้องขอความยินยอม ตามมาตรา 24 (4) 24 (6) หรือ 26 (5) (จ) แล้วแต่กรณี

เหตุผลของคณะอนุกรรมการฯ คือ การป้องกันและแก้ไขการฉ้อฉลเป็นมาตรการหนึ่งในการกำกับธุรกิจประกันภัย ซึ่งเป็นธุรกรรมทางการเงินที่กระทบทั้งระบบเศรษฐกิจและผู้เอาประกันที่เป็นผู้บริโภค การกำกับให้มีประสิทธิภาพจึงเป็นวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะที่สำคัญ

ระบบที่ตอบแค่ว่า “พบ” หรือ “ไม่พบ”

แม้สำนักงาน คปภ. จะทำได้ คณะอนุกรรมการฯ ก็ให้ข้อสังเกตว่าการเปิดเผยข้อมูลฉ้อฉลให้บริษัทประกันควรทำเท่าที่จำเป็นตามมาตรา 22

รูปแบบที่ข้อหารือเสนอคือระบบตรวจสอบ บริษัทประกันส่งคำถามว่าลูกค้ารายนี้มีประวัติฉ้อฉลหรือไม่ ระบบจะส่งต่อให้ผู้เกี่ยวข้องในสำนักงาน คปภ. ตรวจ แล้วตอบกลับว่าพบหรือไม่พบ พร้อมรายละเอียดเท่าที่จำเป็น และจำกัดสิทธิผู้เข้าถึงให้น้อยที่สุด

ระบบนี้ต้องมีมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1) และข้อ 4 (2) ของประกาศมาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 คือมีทั้งมาตรการเชิงองค์กร มาตรการเชิงเทคนิค และมาตรการทางกายภาพที่จำเป็น ตามระดับความเสี่ยง

เราเห็นว่าแนวคิดที่ตอบเพียงพบหรือไม่พบ ใช้ได้กับรายชื่อเฝ้าระวังแบบอื่นด้วย เช่น รายชื่อลูกค้าที่ถูกระงับบริการซึ่งหลายหน่วยในบริษัทต้องเช็ก ผู้ที่ถามไม่จำเป็นต้องเห็นรายละเอียดทั้งหมด เห็นเพียงผลที่ใช้ตัดสินใจก็พอ

ข้อมูลที่สงสัยว่าฉ้อฉล เป็นประวัติอาชญากรรมเมื่อไร?

เมื่อหน่วยงานของรัฐที่มีอำนาจนำข้อมูลนั้นไปใช้ในการสืบสวนสอบสวน ดำเนินคดีอาญา หรือลงโทษแล้ว ก่อนหน้านั้นยังไม่ใช่ โดย สคส. ใช้นิยามในข้อ 3 ของประกาศเรื่องประวัติอาชญากรรม พ.ศ. 2566 เป็นเกณฑ์

นิยามนี้มีสองเงื่อนไขที่ต้องครบ ข้อมูลต้องเกี่ยวกับการสืบสวนสอบสวน การดำเนินคดีอาญา หรือการรับโทษ และต้องเป็นข้อมูลทางการหรือรับรองโดยหน่วยงานของรัฐที่มีอำนาจ ข้อหารือยกตัวอย่างข้อมูลจากกองทะเบียนประวัติอาชญากร สำนักงานตำรวจแห่งชาติ หรือกรมราชทัณฑ์

พฤติกรรมที่บริษัทประกันรายงานตามแบบในประกาศนายทะเบียนปี 2564 ทั้งฉบับประกันชีวิตและประกันวินาศภัย เป็นเพียงพฤติกรรมที่มีเหตุอันควรสงสัย สคส. จึงเห็นว่ายังไม่เป็นประวัติอาชญากรรม จนกว่าสำนักงาน คปภ. หรือหน่วยงานของรัฐที่มีอำนาจนำไปดำเนินการทางอาญา และไม่ต้องรอให้การดำเนินการนั้นถึงที่สุด

1. บริษัทประกันพบพฤติกรรมน่าสงสัย
   รายงานตามแบบของประกาศนายทะเบียนไปที่สำนักงาน คปภ. ข้อมูลยังเป็นข้อมูลส่วนบุคคลที่ไม่ใช่ประวัติอาชญากรรมมาตรา 22 · 37 (1)
2. สำนักงาน คปภ. เก็บไว้ในฐานข้อมูล
   ยังไม่เป็นประวัติอาชญากรรม เพราะยังไม่มีการดำเนินการทางอาญาโดยหน่วยงานที่มีอำนาจข้อ 3 ประกาศประวัติอาชญากรรม
3. หน่วยงานที่มีอำนาจเริ่มสืบสวนสอบสวนหรือดำเนินคดี
   ข้อมูลเป็นข้อมูลทางการของหน่วยงานรัฐ และเป็นประวัติอาชญากรรมตามมาตรา 26 แม้คดียังไม่ถึงที่สุดมาตรา 26
4. ทุกช่วง
   เก็บ ใช้ และเปิดเผยเท่าที่จำเป็น และรักษาความปลอดภัยตามระดับความเสี่ยง เพราะข้อมูลนี้กระทบโอกาสในการเข้าทำสัญญาของเจ้าของข้อมูลมาตรา 22 · 37 (1)

ข้อสังเกตท้ายประเด็นนี้ใช้ได้กับทุกบริษัท แม้ข้อมูลยังไม่เป็นประวัติอาชญากรรม คณะอนุกรรมการฯ ก็เตือนว่าอาจกระทบสิทธิของเจ้าของข้อมูล เช่น โอกาสในการเข้าทำสัญญา เราจึงเห็นว่ารายชื่อลูกค้าน่าสงสัยที่บริษัททำไว้ใช้ภายใน ไม่ควรเปิดให้ใครก็ดูได้เหมือนข้อมูลทั่วไป

เรื่องประวัติอาชญากรรมในงานรับคนเข้าทำงาน อ่านต่อได้ที่ขอประวัติอาชญากรรมผู้สมัครงานได้แค่ไหน

หน่วยงานรัฐอื่นขอเชื่อมฐานข้อมูลกรมธรรม์ ต้องดูอะไร?

ต้องดูก่อนว่าเป็นหน้าที่ตามกฎหมาย หรือเป็นแค่การขอความร่วมมือ ถ้ากฎหมายกำหนดหน้าที่ให้สำนักงาน คปภ. ต้องเปิดเผย ก็เป็นการปฏิบัติตามกฎหมายตามมาตรา 24 (6) หรือ 26 (5) ประกอบมาตรา 27 วรรคหนึ่ง

ถ้าเป็นการขอความร่วมมือที่ไม่มีสภาพบังคับ สำนักงาน คปภ. ต้องพิจารณาเองว่าการเปิดเผยจำเป็นต่อภารกิจเพื่อประโยชน์สาธารณะหรือการใช้อำนาจรัฐของหน่วยงานผู้ขอหรือไม่ ถ้าใช่ จึงใช้มาตรา 24 (4) หรือ 26 (5) ได้ คำขอที่อ้างวัตถุประสงค์กว้าง ๆ โดยไม่ชี้บทบัญญัติที่ให้อำนาจ เป็นปัจจัยที่ต้องคำนึงอย่างรอบคอบ

• หน่วยงานผู้รับต้องใช้ข้อมูลเท่าที่จำเป็นภายใต้อำนาจหน้าที่ของตน ตามมาตรา 22
• หน่วยงานผู้รับห้ามใช้หรือเปิดเผยเพื่อวัตถุประสงค์อื่นนอกจากที่แจ้งไว้ตอนขอ ตามมาตรา 27 วรรคสอง
• หน่วยงานผู้รับต้องมีมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 (1) และประกาศปี 2565
• สำนักงาน คปภ. ต้องป้องกันไม่ให้ผู้รับนำข้อมูลไปใช้หรือเปิดเผยโดยมิชอบ ตามมาตรา 37 (2) เท่าที่ทำได้

ทายาทขอเช็กว่าผู้ตายทำประกันไว้กับบริษัทไหน ได้หรือไม่?

ในส่วนของ PDPA ไม่ติดขัด เพราะข้อมูลของผู้ถึงแก่กรรมไม่ใช่ข้อมูลส่วนบุคคลตามนิยามในมาตรา 6 แต่สำนักงาน คปภ. เป็นหน่วยงานของรัฐ จึงยังต้องดู พ.ร.บ.ข้อมูลข่าวสารของราชการ พ.ศ. 2540 และกฎหมายอื่นที่เกี่ยวข้อง

สคส. ชี้ว่าข้อมูลกรมธรรม์ของผู้ตายยังเป็น “ข้อมูลข่าวสารส่วนบุคคล” ตามมาตรา 4 ของกฎหมายข้อมูลข่าวสาร และตามมาตรา 25 วรรคห้า ของกฎหมายฉบับเดียวกัน ถ้าผู้ตายไม่ได้ทำพินัยกรรมกำหนดไว้เป็นอย่างอื่น ทายาทหรือบุคคลตามที่กฎกระทรวงกำหนดมีสิทธิดำเนินการแทนเจ้าของข้อมูลได้

อีกกรณีคือผู้เอาประกันยังมีชีวิตอยู่ แต่ผู้รับประโยชน์หรือบุคคลภายนอกผู้มีสิทธิเรียกร้องตามกรมธรรม์อยากรู้ว่ามีกรมธรรม์อยู่กับบริษัทใด ข้อมูลยังเป็นข้อมูลส่วนบุคคล สคส. ไล่ฐานไว้สามขั้นตามลำดับ

1. ถ้ามีกฎหมายกำหนดให้สำนักงาน คปภ. ต้องเปิดเผย ใช้มาตรา 24 (6) หรือ 26 (5) ประกอบมาตรา 27 วรรคหนึ่ง
2. ถ้าไม่มี แต่การเปิดเผยจำเป็นต่อการกำกับ ส่งเสริม และพัฒนาธุรกิจประกันภัยตามอำนาจของสำนักงาน คปภ. ใช้มาตรา 24 (4) หรือ 26 (5)
3. ถ้าไม่เข้าทั้งสองข้อ แต่จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ขอ และประโยชน์นั้นสำคัญไม่น้อยกว่าสิทธิของผู้เอาประกัน ใช้มาตรา 24 (5) ประกอบมาตรา 27 วรรคหนึ่ง และเปิดเผยเท่าที่จำเป็น

ข้อหารือนี้ตอบเฉพาะสำนักงาน คปภ. ไม่ได้ตอบกรณีบริษัทประกันเอกชนโดยตรง แต่เราเห็นว่า บริษัทที่ถูกผู้รับประโยชน์ถามแบบเดียวกัน ใช้ขั้นที่ 3 เป็นแนวทางได้ โดยต้องชั่งน้ำหนักให้ครบ และบันทึกการเปิดเผยไว้ในรายการตามมาตรา 39 ตามมาตรา 27 วรรคสาม วิธีชั่งน้ำหนักดูอ้างประโยชน์โดยชอบด้วยกฎหมาย ต้องตอบ 3 คำถาม

บริษัทประกัน นายหน้า และโรงพยาบาล ควรทำอะไรต่อ?

ข้อแนะนำของเราด้านล่างแยกตามบทบาท ทุกข้อมาจากคำตอบของ สคส. ข้างต้น แต่การเลือกและจัดลำดับเป็นของเรา

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)