เรื่อง โรงพยาบาล B ขอหารือกรณีพนักงานสอบสวนขอข้อมูลส่วนบุคคล

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๓ มาตรา ๔ (๒) และ (๕) มาตรา ๔ วรรคสาม มาตรา ๒๑ มาตรา ๒๔ มาตรา ๒๖
   มาตรา ๒๗ วรรคหนึ่ง และมาตรา ๓๗ (๑)

2. พระราชบัญญัติสถานพยาบาล พ.ศ. ๒๕๔๑
   มาตรา ๓๕

3. พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. ๒๕๕๐
   มาตรา ๗

4. ประมวลกฎหมายวิธีพิจารณาความอาญา

ข้อหารือ

โรงพยาบาล B โดยฝ่ายกฎหมายของโรงพยาบาล ขอหารือกรณีพนักงานสอบสวนมักมีหนังสือ และ/หรือหมายเรียกพยานเอกสาร ขอให้โรงพยาบาล B ส่งประวัติการรักษาพยาบาลของผู้ป่วย ซึ่งถือเป็นข้อมูล ส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เพื่อนำไปประกอบสำนวนการสอบสวน ดำเนินคดีอาญา โรงพยาบาล B จึงขอหารือถึงการใช้หรือเปิดเผยประวัติการรักษาพยาบาลของผู้ป่วย กรณีได้รับ หนังสือ และ/หรือหมายเรียกพยานเอกสาร ออกโดยพนักงานสอบสวน เพื่อเป็นแนวทางในการปฏิบัติงานที่ถูกต้อง ต่อไป ดังนี้

1. พนักงานสอบสวน สังกัดสำนักงานตำรวจแห่งชาติ ซึ่งมีอำนาจและหน้าที่ทำการสอบสวน รวบรวมพยานหลักฐานและการดำเนินการทั้งหลายอื่นตามบทบัญญัติแห่งประมวลกฎหมายวิธีพิจารณา ความอาญา ซึ่งได้ทำไปเกี่ยวกับความผิดที่มีการกล่าวหา เพื่อที่จะทราบข้อเท็จจริงหรือการพิสูจน์ความถูกผิด และเพื่อจะเอาตัวผู้กระทำผิดมาฟ้องลงโทษ มีหนังสือ และ/หรือหมายเรียกพยานเอกสาร นั้น การขอข้อมูลส่วน บุคคลของพนักงานสอบสวนซึ่งสังกัดสำนักงานตำรวจแห่งชาติ เป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ ในการรักษาความปลอดภัยของประชาชน ตามความหมายของมาตรา ๔ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ และสำนักงานตำรวจแห่งชาติไม่อยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ใช่หรือไม่ และการกระทำตามอำนาจหน้าที่ของพนักงานสอบสวน ตามบทบัญญัติ แห่งประมวลกฎหมายวิธีพิจารณาความอาญาเพื่อวัตถุประสงค์ข้างต้นนั้น เป็นการดำเนินการของเจ้าหน้าที่ที่ได้ ดำเนินงานตามกระบวนการยุติธรรมทางอาญาตามมาตรา ๔ (๕) ซึ่งไม่อยู่ภายใต้บังคับของพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ใช่หรือไม่

2. ตามข้อเท็จจริงดังกล่าวข้างต้น โรงพยาบาล B ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถ เปิดเผยข้อมูลส่วนบุคคล ตามที่พนักงานสอบสวนมีหนังสือ และ/หรือหมายเรียกพยานเอกสาร ให้กับพนักงาน สอบสวนตามมาตรา ๒๑ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้หรือไม่

3. กรณีตามข้อ ๑ ข้างต้น โรงพยาบาล B สามารถเปิดเผยประวัติการรักษาพยาบาล โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนให้กับพนักงานสอบสวนได้หรือไม่

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลพิจารณาแล้วมีความเห็น ดังนี้

ประเด็นหารือที่ ๑

เห็นว่า การขอข้อมูลส่วนบุคคลของพนักงานสอบสวน เพื่อการสอบสวนซึ่งเป็นการรวบรวมพยานหลักฐานและการดำเนินการทั้งหลายอื่นตามบทบัญญัติแห่งประมวลกฎหมายวิธีพิจารณาความอาญา ซึ่งพนักงานสอบสวนได้ทำไปเกี่ยวกับความผิดที่กล่าวหา เพื่อที่จะทราบข้อเท็จจริงหรือพิสูจน์ความผิดและเพื่อจะเอาตัวผู้กระทำผิดมาพ้องลงโทษ ตามประเด็นที่หารือนี้ ถือเป็นส่วนหนึ่งของการดำเนินงานของเจ้าหน้าที่ตามกระบวนการยุติธรรมทางอาญาตามนัยมาตรา ๔ (๕) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยกระบวนการยุติธรรมทางอาญาครอบคลุมตั้งแต่กระบวนการเพื่อให้รู้ถึงการกระทำความผิดอาญา ผู้กระทำความผิดอาญา ข้อเท็จจริงและรายละเอียดแห่งความผิดอาญา การติดตามหาตัวผู้กระทำความผิดอาญา การพิจารณาความผิดอาญา และการลงโทษผู้กระทำความผิดอาญา และในกรณีที่เจ้าหน้าที่ดังกล่าวเป็นบุคลากรของสำนักงานตำรวจแห่งชาติที่ปฏิบัติงานตามหน้าที่และอำนาจที่กฎหมายกำหนดไว้เพื่อการรักษาความปลอดภัยของประชาชน จะเข้าข่ายเป็นการดำเนินการของหน่วยงานของรัฐที่มีหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน ตามความในมาตรา ๔ (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย ดังนั้น กรณีตามประเด็นหารือดังกล่าว ถือเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสำนักงานตำรวจแห่งชาติ ในการปฏิบัติหน้าที่ในการรักษาความมั่นคงของรัฐ ซึ่งรวมถึงการรักษาความปลอดภัยของประชาชน เพื่อการดำเนินงานตามกระบวนการยุติธรรมทางอาญา จึงไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๔ (๒) และ (๕) อย่างไรก็ดี สำนักงานตำรวจแห่งชาติจะต้องจัดให้มีการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้เป็นไปตามมาตรฐานด้วย ตามความในมาตรา ๔ วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ประเด็นหารือที่ ๒ และ ๓

โรงพยาบาล 8 ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับประวัติการรักษาพยาบาลของผู้ป่วย โดยได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ หรือมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แล้วแต่กรณีเช่น เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้นตามมาตรา ๒๔ (๓), เป็นการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ ในกรณีที่ข้อมูลส่วนบุคคลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือผู้มีหน้าที่รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมายตามมาตรา ๒๖ (๕) (ก) หรือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล

ตามมาตรา ๒๔ (๖) หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายตามมาตรา ๒๖ (๕) (ก) (เช่น หน้าที่ และความรับผิดชอบของผู้รับอนุญาตและผู้ดำเนินการในการจัดให้มีและรายงานหลักฐานเกี่ยวกับผู้ประกอบ วิชาชีพในสถานพยาบาลและผู้ป่วย และเอกสารอื่นที่เกี่ยวกับการรักษาพยาบาล โดยต้องเก็บรักษาไว้ให้อยู่ใน สภาพที่ตรวจสอบได้ไม่น้อยกว่าห้าปีนับแต่วันที่จัดทำ ตามมาตรา ๓๕ แห่งพระราชบัญญัติสถานพยาบาล พ.ศ. ๒๕๔๑)

ดังนั้น โรงพยาบาล B จึงสามารถใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ซึ่งรวมถึงประวัติการ รักษาพยาบาลของผู้ป่วยที่ถือเป็นข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพตามมาตรา ๒๖ แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามที่พนักงานสอบสวนมีหนังสือ และ/หรือหมายเรียกพยานเอกสารได้ โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เนื่องจากเป็นข้อมูลส่วนบุคคลที่เก็บรวบรวมได้โดยได้รับ ยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี ตามนัยมาตรา ๒๗ วรรคหนึ่ง

สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ดังกล่าว ในกรณีที่ได้ แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคล สามารถดำเนินการได้ ตามมาตรา ๒๑ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ส่วนกรณีที่เป็นการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อน หรือในขณะที่เก็บรวบรวม โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนการเก็บรวบรวม ใช้ หรือเปิดเผยนั้น หากเป็นการปฏิบัติตามบทบัญญัติแห่งกฎหมายอื่นที่บัญญัติให้กระทำได้ เช่น ประมวลกฎหมาย วิธีพิจารณาความอาญา ก็สามารถดำเนินการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้ ตามนัยมาตรา ๒๑ วรรคสอง (๒) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

อนึ่ง การเปิดเผยข้อมูลส่วนบุคคลให้กับพนักงานสอบสวนดังกล่าว ยังถือเป็นกรณีที่มีกฎหมาย เฉพาะบัญญัติให้ต้องเปิดเผยข้อมูลด้านสุขภาพของบุคคล ซึ่งสามารถกระทำได้ตามมาตรา ๗ แห่งพระราชบัญญัติ สุขภาพแห่งชาติ พ.ศ. ๒๕๕๐ โดยมาตรา ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้บัญญัติ ให้ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (๑) บทบัญญัติ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูล ส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม (๒) ฯลฯ อีกด้วย

ทั้งนี้ คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ มีความเห็นเพิ่มเติมว่า โรงพยาบาล B ในฐานะ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามที่บัญญัติในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายอื่น ในส่วนที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลให้ครบถ้วนด้วย โดยเฉพาะในเรื่องการจัดให้มี มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามที่กำหนดในมาตรา ๓๗ (๑) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำ

ที่กำหนดในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕