ความรู้เกี่ยวกับ PDPA

1. PDPA คืออะไร

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (Personal Data Protection Act B.E. 2562: PDPA) เป็นกฎหมายกลางที่กำหนดหลักเกณฑ์การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของบุคคลธรรมดา ใช้บังคับกับทั้งหน่วยงานภาครัฐและภาคเอกชน โดยมีข้อยกเว้นบางกรณีตามที่กฎหมายกำหนด ประกาศในราชกิจจานุเบกษาเมื่อวันที่ 27 พฤษภาคม 2562 และมีผลใช้บังคับครบทุกหมวดเมื่อวันที่ 1 มิถุนายน 2565

เจตนารมณ์ของกฎหมายคือการคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคล กำหนดหน้าที่ให้ผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลปฏิบัติอย่างโปร่งใสและมีมาตรการรักษาความมั่นคงปลอดภัย พร้อมทั้งมีกลไกการร้องเรียน การเยียวยาความเสียหาย และบทกำหนดโทษสำหรับผู้ฝ่าฝืน

2. ข้อมูลส่วนบุคคลคืออะไร

ข้อมูลส่วนบุคคล หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม เช่น ชื่อและนามสกุล เลขประจำตัวประชาชน ที่อยู่ หมายเลขโทรศัพท์ อีเมล วันเกิด รูปถ่าย เลขประจำตัวผู้ป่วย (HN) ประวัติการนัดหมาย และประวัติการรักษา

ข้อมูลที่ถูกทำให้ไม่สามารถระบุตัวบุคคลได้โดยตรง อาจยังถือเป็นข้อมูลส่วนบุคคลหากสามารถจับคู่กลับไปยังบุคคลนั้นได้ด้วยข้อมูลอื่น เช่น หมายเลขเครื่อง หมายเลข IP Address หรือข้อมูลระบุตำแหน่ง ดังนั้น การใช้ข้อมูลแบบไม่ระบุชื่อจึงต้องพิจารณาความเสี่ยงในการระบุตัวบุคคลกลับด้วย

3. ข้อมูลส่วนบุคคลที่มีความอ่อนไหว โดยเฉพาะข้อมูลสุขภาพ

กฎหมายกำหนดให้ข้อมูลบางประเภทมีความละเอียดอ่อนและต้องได้รับการคุ้มครองเป็นพิเศษ เช่น เชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในศาสนา ลัทธิ หรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม และข้อมูลชีวภาพ

ข้อมูลสุขภาพ เช่น ผลตรวจ การวินิจฉัย ใบสั่งยา ประวัติการรักษา และข้อมูลทางจิตเวช ถือเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามมาตรา 26 ซึ่งห้ามเก็บรวบรวมโดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล เว้นแต่เข้าข้อยกเว้นที่กฎหมายกำหนด เช่น เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคลซึ่งเจ้าของข้อมูลไม่สามารถให้ความยินยอมได้ หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อการวินิจฉัยโรค การให้บริการด้านสุขภาพ การรักษาพยาบาล หรือประโยชน์สาธารณะด้านการสาธารณสุข เช่น การควบคุมโรคติดต่ออันตราย โดยต้องมีมาตรการคุ้มครองข้อมูลที่เหมาะสม

4. หลักการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล

• จำกัดวัตถุประสงค์ — เก็บ ใช้ หรือเปิดเผยข้อมูลเพื่อวัตถุประสงค์ที่ชัดเจนและชอบด้วยกฎหมายเท่านั้น
• เก็บเท่าที่จำเป็น — ใช้ข้อมูลเท่าที่เพียงพอต่อการให้บริการหรือภารกิจ ไม่เก็บเกินความจำเป็น
• ถูกต้องและเป็นปัจจุบัน — มีกระบวนการตรวจสอบและแก้ไขข้อมูลให้ถูกต้อง
• เก็บไม่นานเกินจำเป็น — กำหนดระยะเวลาการเก็บและทำลายอย่างเป็นระบบ
• รักษาความมั่นคงปลอดภัย — ควบคุมการเข้าถึงและป้องกันการรั่วไหล สูญหาย หรือถูกแก้ไขโดยไม่ได้รับอนุญาต
• โปร่งใสและตรวจสอบได้ — แจ้งวัตถุประสงค์และเปิดเผยแนวปฏิบัติให้เจ้าของข้อมูลทราบ

5. ฐานทางกฎหมายและความยินยอม

โดยหลัก มาตรา 19 กำหนดว่า ผู้ควบคุมข้อมูลส่วนบุคคลจะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลไม่ได้ หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติแห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้

การขอความยินยอมต้องทำโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ ต้องแจ้งวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลไปด้วย แยกข้อความขอยินยอมออกจากข้อความอื่นอย่างชัดเจน เข้าถึงและเข้าใจได้ง่าย ไม่หลอกลวง และเจ้าของข้อมูลส่วนบุคคลถอนความยินยอมได้เมื่อใดก็ได้ โดยต้องถอนได้ง่ายเช่นเดียวกับการให้ความยินยอม

มาตรา 24 กำหนดข้อยกเว้นที่ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมข้อมูลได้โดยไม่ต้องได้รับความยินยอม 6 กรณี ได้แก่

1. เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเอกสารประวัติศาสตร์ จดหมายเหตุ การศึกษาวิจัย หรือสถิติ ซึ่งได้จัดให้มีมาตรการปกป้องสิทธิและเสรีภาพของเจ้าของข้อมูลที่เหมาะสม
2. เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
3. เป็นการจำเป็นเพื่อปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลเป็นคู่สัญญา หรือเพื่อดำเนินการตามคำขอของเจ้าของข้อมูลก่อนเข้าทำสัญญา
4. เป็นการจำเป็นเพื่อปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะ หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูล
5. เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลหรือบุคคลอื่น เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูล
6. เป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

ความยินยอมจึงไม่ใช่ฐานเดียวของกฎหมาย หน่วยงานสาธารณสุขจำนวนมากเก็บรวบรวมและใช้ข้อมูลเพื่อปฏิบัติหน้าที่ตามกฎหมาย เช่น การป้องกันและควบคุมโรคติดต่อ การให้บริการรักษาพยาบาล หรือการเฝ้าระวังทางสาธารณสุข ซึ่งอาจอาศัยข้อยกเว้นตามมาตรา 24 หรือข้อยกเว้นเฉพาะของข้อมูลสุขภาพตามมาตรา 26 โดยไม่ต้องขอความยินยอม แต่ยังต้องปฏิบัติตามหน้าที่ในการแจ้งวัตถุประสงค์และจัดให้มีมาตรการคุ้มครองข้อมูลที่เหมาะสม

6. สิทธิของเจ้าของข้อมูลส่วนบุคคล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิที่สำคัญตามที่กฎหมายกำหนด เช่น

• สิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของตน
• สิทธิขอให้แก้ไขข้อมูลให้ถูกต้องและเป็นปัจจุบัน
• สิทธิขอให้ลบหรือทำลายข้อมูล หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้
• สิทธิขอให้ระงับการใช้ข้อมูลชั่วคราว
• สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
• สิทธิถอนความยินยอมเมื่อใดก็ได้
• สิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเมื่อเห็นว่าถูกละเมิด

หน่วยงานควรมีช่องทางรับคำขอที่ชัดเจน มีขั้นตอนยืนยันตัวตน และมีผู้รับผิดชอบติดตามคำขออย่างเป็นระบบ เพื่อให้การคุ้มครองสิทธิเกิดขึ้นได้จริง

7. หน้าที่ของหน่วยงานและผู้ปฏิบัติงาน

กฎหมายแยกบทบาทระหว่าง ผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งเป็นผู้ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล และ ผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งดำเนินการตามคำสั่งหรือในนามของผู้ควบคุมข้อมูล หน่วยงานจึงควรกำหนดบทบาทให้ชัดเจนทั้งสองระดับ

• จัดทำประกาศความเป็นส่วนตัว (Privacy Notice) และแจ้งวัตถุประสงค์การประมวลผลข้อมูล
• จัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูล (Record of Processing Activities)
• กำหนดมาตรการรักษาความมั่นคงปลอดภัยทั้งทางเทคนิคและทางบริหาร
• มีกระบวนการรับมือและแจ้งเหตุละเมิดข้อมูลส่วนบุคคล
• พิจารณาความจำเป็นในการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ตามเงื่อนไขที่กฎหมายกำหนด
• อบรมและสร้างความตระหนักแก่บุคลากรอย่างสม่ำเสมอ

สำหรับผู้ปฏิบัติงาน หน้าที่สำคัญคือการเข้าถึงข้อมูลเท่าที่จำเป็นต่อการปฏิบัติงาน ใช้ข้อมูลตามวัตถุประสงค์ที่กำหนด ไม่เปิดเผยข้อมูลต่อบุคคลภายนอกโดยไม่ได้รับอนุญาต และรายงานเหตุผิดปกติหรือเหตุที่อาจนำไปสู่การรั่วไหลทันที

8. แนวปฏิบัติในการดูแลข้อมูลผู้ป่วยและข้อมูลสุขภาพ

• กำหนดสิทธิการเข้าถึงตามบทบาทและหน้าที่ (Least Privilege) และทบทวนสิทธิเป็นระยะ
• ใช้ระบบงานและช่องทางสื่อสารที่หน่วยงานอนุมัติเท่านั้น หลีกเลี่ยงการส่งข้อมูลผู้ป่วยผ่านบัญชีส่วนตัว
• ตรวจสอบผู้รับปลายทางและวัตถุประสงค์ก่อนส่งต่อข้อมูลทุกครั้ง
• ปกปิดข้อมูลระบุตัวตนก่อนนำภาพหรือกรณีศึกษามาใช้เผยแพร่หรือสอน
• จัดเก็บเอกสารกระดาษในพื้นที่ล็อก และทำลายเมื่อครบกำหนดระยะเวลาการเก็บ
• บันทึกการเข้าถึงหรือแก้ไขข้อมูลที่สำคัญ เพื่อให้ตรวจสอบย้อนหลังได้

9. ตัวอย่างสิ่งที่ควรทำ / ไม่ควรทำ

10. คำถามที่พบบ่อย (FAQ)