PDPC_Consult-29

เรื่อง สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) ขอคำปรึกษาเกี่ยวกับการเก็บรวบรวมใช้ ข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพ ในการเบิกค่ารักษาพยาบาลของเจ้าหน้าที่องค์การมหาชน

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๑๖ (๑๐) มาตรา ๑๙ วรรคสี่ มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๕ วรรคหนึ่ง (๒)
   มาตรา ๒๖ (๕) (ค) มาตรา ๒๗ วรรคหนึ่ง และมาตรา ๓๗ (๑)

2. พระราชกฤษฎีกาจัดตั้งสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) พ.ศ. ๒๕๖๑
   มาตรา ๑๙ (๓) (ข)

3. พระราชบัญญัติองค์การมหาชน พ.ศ. ๒๕๔๒ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติองค์การมหาชน (ฉบับที่ ๒) พ.ศ. ๒๕๕๙
   มาตรา ๑๙/๑

4. พระราชกฤษฎีกาเงินสวัสดิการเกี่ยวกับการรักษาพยาบาล พ.ศ. ๒๕๕๓
   มาตรา ๔ และมาตรา ๕

5. พระราชบัญญัติกำหนดหลักเกณฑ์เกี่ยวกับการจ่ายเงินบางประเภทตามงบประมาณรายจ่าย พ.ศ. ๒๕๑๘

6. พระราชบัญญัติประกันสังคม พ.ศ. ๒๕๓๓ และที่แก้ไขเพิ่มเติม

7. พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. ๒๕๔๕

8. พระราชบัญญัติคุ้มครองผู้ประสบภัยจากรถ พ.ศ. ๒๕๓๕ และที่แก้ไขเพิ่มเติม

ข้อหารือ

สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) หรือ สพร. ขอหารือเกี่ยวกับการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพ ในการเบิกค่ารักษาพยาบาลของเจ้าหน้าที่ สพร. โดย สพร. จัดตั้งขึ้นตามพระราชกฤษฎีกาจัดตั้งสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) พ.ศ. ๒๕๖๑ จัดเป็นองค์การมหาชนภายใต้พระราชบัญญัติองค์การมหาชน พ.ศ. ๒๕๔๒ และ(ฉบับที่ ๒) พ.ศ. ๒๕๕๙ มีฐานะเป็นหน่วยงานของรัฐ โดยการเบิกสวัสดิการเกี่ยวกับการรักษาพยาบาลของเจ้าหน้าที่ สพร. และบุคคลในครอบครัว เป็นไปตามระเบียบคณะกรรมการสำนักงานพัฒนารัฐบาลดิจิทัล ว่าด้วยการรักษาพยาบาลและการตรวจสอบสุขภาพ พ.ศ. ๒๕๖๑ ซึ่งเจ้าหน้าที่ที่ประสงค์จะใช้สิทธิเบิกสวัสดิการเกี่ยวกับการรักษาพยาบาลสำหรับตนเองและครอบครัว (บิดา - มารดา , สามี - ภรรยา และบุตร) ตามกฎหมายของเจ้าหน้าที่ สพร. จะต้องกรอกแบบฟอร์มใบเบิกเงินสวัสดิการเกี่ยวกับการรักษาพยาบาลสำหรับเจ้าหน้าที่และครอบครัว

โดยระบุข้อมูลดังต่อไปนี้ พร้อมแนบใบเสร็จรับเงินและใบรับรองแพทย์ของตนเองหรือครอบครัว เพื่อประกอบการเบิกด้วย

1. ชื่อและนามสกุล ของเจ้าหน้าที่หรือครอบครัว
2. โรคที่เข้ารับการรักษา
3. ชื่อสถานพยาบาล
4. จำนวนเงิน

ทั้งนี้ ในการเบิกสวัสดิการเกี่ยวกับการรักษาพยาบาลของเจ้าหน้าที่และครอบครัวดังกล่าว สพร. จำเป็นต้องเก็บรวบรวม ใช้ ข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพของเจ้าหน้าที่และครอบครัว เพื่อประกอบการพิจารณาอนุมัติการใช้สิทธิเบิกสวัสดิการเกี่ยวกับการรักษาพยาบาลสำหรับเจ้าหน้าที่ และครอบครัวตามระเบียบคณะกรรมการสำนักงานพัฒนารัฐบาลดิจิทัล ว่าด้วยการรักษาพยาบาลและตรวจสุขภาพ พ.ศ. ๒๕๖๑ สพร. จึงขอหารือว่า การเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพของเจ้าหน้าที่ สพร. และครอบครัว เพื่อประกอบการพิจารณาอนุมัติการใช้สิทธิเบิกสวัสดิการเกี่ยวกับการรักษาพยาบาลสำหรับเจ้าหน้าที่ สพร. และครอบครัวนั้น สพร. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล จำเป็นต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าหน้าที่ สพร. และครอบครัว หรือไม่ อย่างไร

ความเห็น

คณะอนุกรรมการเฉพาะกิจตอบข้อหารือและให้คำแนะนำหน่วยงานของรัฐเพื่อรองรับการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าว ประกอบกับได้หารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในการประชุม ครั้งที่ ๖/๒๕๖๖ เมื่อวันที่ ๒๖ มิถุนายน ๒๕๖๖ เพื่อตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๑๖ (๑๐) แล้ว เห็นว่า ข้อมูลส่วนบุคคลเกี่ยวกับโรคที่เข้ารับการรักษาและรายละเอียดเกี่ยวกับการรักษาพยาบาล ในใบเบิกเงินสวัสดิการเกี่ยวกับการรักษาพยาบาลและเอกสารที่ใช้ประกอบการเบิกเงินสวัสดิการ เช่น ใบรับรองแพทย์และใบเสร็จรับเงิน เป็นข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพตามนัยมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวของเจ้าหน้าที่ สพร. และบุคคลในครอบครัวโดย สพร. เพื่อใช้ประกอบการเบิกจ่ายค่าใช้จ่ายที่เป็นสวัสดิการเกี่ยวกับการรักษาพยาบาลให้กับบุคลากรของหน่วยงานของตนและบุคคลในครอบครัว ซึ่งเป็นผู้มีสิทธิตามระเบียบคณะกรรมการสำนักงานพัฒนารัฐบาลดิจิทัล ว่าด้วยการรักษาพยาบาลและตรวจสุขภาพ พ.ศ. ๒๕๖๑ ซึ่งออกโดยอาศัยอำนาจ ตามความในมาตรา ๑๙ (๓) (ข) แห่งพระราชกฤษฎีกาจัดตั้งสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) พ.ศ. ๒๕๖๑ และมาตรา ๑๙/๑ แห่งพระราชบัญญัติองค์การมหาชน พ.ศ. ๒๕๔๒ ซึ่งแก้ไขเพิ่มเติมโดย พระราชบัญญัติองค์การมหาชน (ฉบับที่ ๒) พ.ศ. ๒๕๕๙ ถือว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้ บรรลุวัตถุประสงค์เกี่ยวกับสวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย ตามนัยมาตรา ๒๖

(๕) (ค) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จึงได้รับ
ยกเว้นไม่ต้องขอความยินยอมโดยขัดแจ้งจากเจ้าหน้าที่ สพร. ผู้ขอเบิกเงินสวัสดิการ หรือบุคคลในครอบครัว
ก่อนแต่อย่างใด

สำหรับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพของบุคคล
ในครอบครัวของเจ้าหน้าที่ สพร. แม้จะเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของ
ข้อมูลส่วนบุคคลโดยตรง แต่ สพร. สามารถเก็บรวบรวม ใช้ และเปิดเผยข้อมูลดังกล่าวได้ตามนัยมาตรา ๒๖
(๕) (ค) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การเก็บ
รวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง เพื่อเบิกเงินสวัสดิการของบุคคล
ในครอบครัวของเจ้าหน้าที่ สพร. ดังกล่าวจึงสามารถดำเนินการได้โดยไม่ต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคล
ทราบและได้รับความยินยอมจากบุคคลในครอบครัวของเจ้าหน้าที่ สพร. ตามมาตรา ๒๕ วรรคหนึ่ง (๒)
แต่อย่างใด

อนึ่ง คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในการประชุมครั้งที่ ๖/๒๕๖๖ เมื่อวันที่
๒๖ มิถุนายน ๒๕๖๖ ได้ตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้พระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๑๖ (๑๐) และมีความเห็นเพิ่มเติมว่า มาตรา ๒๖ (๕) (ค) ครอบคลุมการ
เก็บรวบรวมข้อมูลสุขภาพที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ
สวัสดิการเกี่ยวกับการรักษาพยาบาล สวัสดิการสุขภาพ หรือสิทธิได้รับบริการทางการแพทย์และสาธารณสุขขึ้น
พื้นฐาน ทั้งสำหรับลูกจ้างในภาคเอกชนตามกฎหมายว่าด้วยการประกันสังคม บุคคลที่มีสิทธิได้รับบริการ
สาธารณสุขตามกฎหมายว่าด้วยหลักประกันสุขภาพแห่งชาติ และข้าราชการ ลูกจ้างประจำ และบุคคลอื่นที่
เป็น “ผู้มีสิทธิ” ซึ่งมีสิทธิได้รับเงินสวัสดิการเกี่ยวกับการรักษาพยาบาลสำหรับตนเองและบุคคลในครอบครัว
ของตนตามพระราชกฤษฎีกาเงินสวัสดิการเกี่ยวกับการรักษาพยาบาล พ.ศ. ๒๕๕๓ และที่แก้ไขเพิ่มเติม ซึ่งออก
โดยอาศัยอำนาจตามความในกฎหมายว่าด้วยการกำหนดหลักเกณฑ์เกี่ยวกับการจ่ายเงินบางประเภทตาม
งบประมาณรายจ่าย นอกจากนี้ ยังครอบคลุมถึงผู้ประสบภัยตามกฎหมายว่าด้วยการคุ้มครองผู้ประสบภัยจาก
รถ ซึ่งเป็นการประกันภัยภาคบังคับเพื่อคุ้มครองผู้ประสบภัยจากกรณีด้วย ดังนั้น คำว่า “สวัสดิการเกี่ยวกับการ
รักษาพยาบาลของผู้มีสิทธิตามกฎหมาย” ตามมาตรา ๒๖ (๕) (ค) จึงย่อมรวมถึงสวัสดิการเกี่ยวกับการ
รักษาพยาบาลหรือสวัสดิการสุขภาพของข้าราชการ เจ้าหน้าที่ พนักงาน ลูกจ้าง และผู้ปฏิบัติงานประเภท
ต่าง ๆ ของส่วนราชการ องค์การมหาชน และหน่วยงานของรัฐทุกประเภทที่มีหน้าที่และอำนาจตามกฎหมาย
อื่นในการจัดสวัสดิการเกี่ยวกับการรักษาพยาบาลหรือสวัสดิการสุขภาพแก่บุคลากรของตน ตลอดจนบุคคลใน
ครอบครัวของผู้นั้นด้วย

อย่างไรก็ตาม ในกรณีที่หน่วยงานของรัฐดังกล่าวจัดสวัสดิการเกี่ยวกับการรักษาพยาบาล
หรือสวัสดิการสุขภาพโดยใช้การประกันภัยแบบกลุ่ม (group insurance) และจะต้องเปิดเผยข้อมูลส่วนบุคคล
เกี่ยวกับข้อมูลสุขภาพให้กับบริษัทตามกฎหมายว่าด้วยการประกันชีวิตหรือกฎหมายว่าด้วยการประกัน
วินาศภัย (“บริษัทประกันภัย”) ในฐานะที่บริษัทประกันภัยดังกล่าวเป็นผู้ควบคุมข้อมูลส่วนบุคคล เพื่อการ

เบิกจ่ายค่าใช้จ่ายที่เป็นสวัสดิการเกี่ยวกับการรักษาพยาบาลหรือสวัสดิการสุขภาพดังกล่าว การเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพดังกล่าวให้กับบริษัทประกันภัย และการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับสุขภาพของบริษัทประกันภัยนั้น จะไม่ได้รับยกเว้นการขอความยินยอมโดยชัดแจ้งตามมาตรา ๒๖ (๕) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และจะต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๒๖ เนื่องจากเป็นการเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพให้กับบุคคลอื่น (บริษัทประกันภัย) ที่มิใช่เป็นการจำเป็นในการปฏิบัติตามกฎหมายโดยตรง แต่การขอความยินยอมในกรณีการจัดสวัสดิการเกี่ยวกับการรักษาพยาบาลหรือสวัสดิการสุขภาพโดยใช้การประกันภัยแบบกลุ่ม (group insurance) ดังกล่าว อาจถือเป็นส่วนหนึ่งของการจัดสวัสดิการที่จำเป็นของหน่วยงานของรัฐที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลได้ ดังนั้น หากหน่วยงานนั้นเห็นว่ามีความจำเป็นและสมควร อาจกำหนดเงื่อนไขว่าในการเข้าทำสัญญาเป็นบุคลากรของหน่วยงาน หรือในการขอเบิกเงินสวัสดิการเกี่ยวกับการรักษาพยาบาลหรือสวัสดิการสุขภาพแต่ละครั้ง บุคลากรผู้มีสิทธิตามสวัสดิการดังกล่าว หรือบุคคลในครอบครัว จะต้องให้ความยินยอมเพื่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลให้กับ/โดยบริษัทประกันภัย เนื่องจากมีความจำเป็นหรือเกี่ยวข้องสำหรับการเข้าทำสัญญาหรือการเบิกจ่ายเงินสวัสดิการนั้น ซึ่งเป็นไปตามมาตรา ๑๙ วรรคสี่ได้

คณะอนุกรรมการเฉพาะกิจฯ มีข้อสังเกตเพิ่มเติมว่า สพร. จะต้องปฏิบัติหน้าที่ตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายอื่นกำหนด ในส่วนที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลให้ครบถ้วนด้วย โดยเฉพาะการเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตามมาตรา ๒๒ การแจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) ตามมาตรา ๒๓ และการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามที่กำหนดในมาตรา ๑๗ (๑) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕