เรื่อง สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติและสำนักงานปลัดกระทรวงสาธารณสุข หารือเกี่ยวกับจัดทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคล ภายใต้โครงการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๕ วรรคหนึ่ง มาตรา ๖ มาตรา ๓๗ (๑) และ (๔) และมาตรา ๔๐ วรรคหนึ่ง
   วรรคสอง และวรรคสาม

2. พระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. ๒๕๖๐

3. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕
   ข้อ ๖

4. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕
   ข้อ ๘

5. มติคณะรัฐมนตรี เมื่อวันที่ ๒๔ มกราคม ๒๕๖๖ เรื่อง ขออนุมัติก่อหนี้ผูกพันข้ามปีงบประมาณเพื่อดำเนินโครงการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย พ.ศ. ๒๕๖๖-๒๕๖๘ และอนุมัติงบประมาณรายจ่ายประจำปีงบประมาณ พ.ศ. ๒๕๖๖ งบกลาง รายการเงินสำรองจ่ายเพื่อกรณีฉุกเฉินหรือจำเป็น

ข้อหารือ

สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ (สตช.) แจ้งว่า กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข ได้มีบันทึกข้อตกลงความร่วมมือ เมื่อวันที่ ๒๗ มิถุนายน ๒๕๖๕ เรื่อง การพัฒนาคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุขเพื่อวางแผนร่วมกันและดำเนินการพัฒนาระบบบริการและบริหารจัดการสุขภาพ เชื่อมโยงระบบการดูแลสุขภาพแบบดิจิทัลเพื่ออนาคต (Digitally connected health care system of the future) ให้ข้อมูลสุขภาพสามารถเชื่อมโยงและแลกเปลี่ยนกันได้อย่างมีประสิทธิภาพ ปลอดภัย ไร้รอยต่อและได้รับการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายที่เกี่ยวข้อง โดยมีขอบเขตของความร่วมมือและหน้าที่ความรับผิดชอบให้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ดำเนินการจัดหาและพัฒนาระบบคลาวด์สำหรับข้อมูลสุขภาพเพื่อให้บริการระบบคลาวด์ข้อมูลสุขภาพของกระทรวงสาธารณสุข ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) และให้กระทรวงสาธารณสุข ดำเนินการระบุชุดข้อมูลและมาตรฐานข้อมูลที่จะจัดเก็บ/แลกเปลี่ยน

๒

รวมทั้งควบคุมกำกับการเข้าใช้งานระบบร่วมกับนิติบุคคลต่าง ๆ ที่เกี่ยวข้อง ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (data controller) และคณะรัฐมนตรีได้มีมติเมื่อวันที่ ๒๔ มกราคม ๒๕๖๖ เห็นชอบและอนุมัติตามความเห็นของสำนักงบประมาณ ให้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดยสำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ ดำเนินโครงการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย ก่อหนี้ผูกพันข้ามปีงบประมาณ พ.ศ. ๒๕๖๖ - พ.ศ. ๒๕๖๘ และรัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม อนุมัติขยายระยะเวลาก่อหนี้ผูกพันโดยไม่เพิ่มวงเงินก่อหนี้ผูกพัน โครงการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย จากปีงบประมาณ พ.ศ. ๒๕๖๖ - พ.ศ. ๒๕๖๘ เป็นปีงบประมาณ พ.ศ. ๒๕๖๖ - พ.ศ. ๒๕๖๙ โดยโครงการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย ประกอบด้วย ๒ กิจกรรม

กิจกรรมที่ ๑ การพัฒนาระบบบริหารจัดการการแลกเปลี่ยนข้อมูลสุขภาพทั่วประเทศ โดยได้ลงนามสัญญาจ้าง เมื่อวันที่ ๒๒ ธันวาคม ๒๕๖๖ กับกิจการค้าร่วม A มีระยะเวลาดำเนินโครงการ ๘๑๐ วัน นับถัดจากวันลงนามในสัญญา เพื่อพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย สำหรับบริหารจัดการการแลกเปลี่ยนข้อมูลสุขภาพทั่วประเทศ พร้อมมีระบบการแลกเปลี่ยนข้อมูลสุขภาพสำหรับเขตสุขภาพ (MOPH Data Exchange Gateway) และระบบการเชื่อมโยงและแลกเปลี่ยนข้อมูลกลาง (Central Data Exchange Service) และพัฒนาแพลตฟอร์มสารสนเทศกลาง เพื่อให้บริการผู้ป่วยนอกสำหรับโรงพยาบาลส่งเสริมสุขภาพตำบล (รพ.สต.) ที่ประมวลผลบนระบบคลาวด์ ซึ่งมีบุคลากรจากกระทรวงสาธารณสุขร่วมเป็นคณะกรรมการกำหนดขอบเขตของงาน การจัดซื้อจัดจ้าง โดยเฉพาะเป็นประธานและเลขานุการของคณะกรรมการตรวจรับพัสดุ ซึ่งกระทรวงสาธารณสุขเป็นผู้กำหนดสิทธิการเข้าถึงข้อมูล โดย สดช. ไม่สามารถเข้าถึงข้อมูลดังกล่าวได้

กิจกรรมที่ ๒ การจัดหาบริการระบบคลาวด์กลางด้านสาธารณสุข มีระยะเวลาดำเนินโครงการ ๖๐๐ วัน ซึ่งได้ลงนามในสัญญาลงวันที่ ๑๗ ตุลาคม ๒๕๖๗ กับบริษัท B เพื่อให้บริการระบบคลาวด์กลางด้านสาธารณสุขที่รองรับการเชื่อมโยงแลกเปลี่ยนข้อมูลสุขภาพของหน่วยบริการสุขภาพระดับปฐมภูมิ ทุติยภูมิ และตติยภูมิ ที่มีหน่วยประมวลผลรวมสำหรับเครื่องคอมพิวเตอร์เสมือน ช่วยยกระดับคุณภาพการให้บริการสุขภาพ ให้มีมาตรฐานการจัดบริการในระดับสากล และตามเกณฑ์มาตรฐานของกระทรวงสาธารณสุข ในทุกพื้นที่ของประเทศ

ต่อมา สำนักงานปลัดกระทรวงสาธารณสุข ได้มีหนังสือลงวันที่ ๔ ธันวาคม ๒๕๖๗ เพื่อขอความอนุเคราะห์พิจารณาร่างข้อตกลงการประมวลผลข้อมูลส่วนบุคคล ภายใต้โครงการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย โดยระบุสำนักงานปลัดกระทรวงสาธารณสุข (สป.สธ.) เป็นผู้ควบคุมข้อมูลส่วนบุคคล (data controller) และสำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ (สตช.)

๓

เป็นผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) โดยได้มีการประชุมระหว่าง สป.สธ. กับ สดช. เมื่อวันที่ ๕ กุมภาพันธ์ ๒๕๖๘ เพื่อร่วมหารือในประเด็นการลงนามในข้อตกลงการประมวลผลข้อมูลส่วนบุคคลภายใต้ โครงการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย โดยที่ประชุมเสนอให้ลงนามร่วมกันทั้ง ๓ ฝ่าย ประกอบด้วย ๑) สป.สธ. เป็นผู้ควบคุมข้อมูลส่วนบุคคล (data controller) ๒) กิจการค้าร่วม A เป็นผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) ๓) สดช. เป็นผู้กำกับโครงการและบริหารสัญญาจ้าง เพื่อให้เกิดความรอบคอบ สดช. จึงขอหารือ ดังนี้

๑. ตามบันทึกข้อตกลงความร่วมมือ (MOU) ระบุให้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ในฐานะของผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) ซึ่ง สดช. เป็นผู้ดำเนินโครงการ โดยได้ว่าจ้าง กิจการค้าร่วม A เป็นผู้พัฒนาระบบฯ ทั้งนี้ กระทรวงสาธารณสุข เป็นผู้กำหนดสิทธิการเข้าถึงข้อมูล ซึ่ง สดช. ไม่สามารถเข้าถึงข้อมูลดังกล่าวได้ ดังนั้น สดช. จะมีฐานะของผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) ด้วยหรือไม่

๒. หาก สดช. ไม่มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) จะสามารถลงนามในข้อตกลงการประมวลผลข้อมูลส่วนบุคคลร่วมกับ สป.สธ. และกิจการค้าร่วม A ได้หรือไม่ และหากสามารถลงนามได้จะมีฐานะเป็นผู้กำกับโครงการและบริหารสัญญาได้หรือไม่ หรือมีอำนาจหน้าที่ ความรับผิดชอบตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ อย่างไร

๓. สป.สธ. สามารถจัดทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคล ภายใต้โครงการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย โดยระบุ สป.สธ. เป็นผู้ควบคุมข้อมูลส่วนบุคคล (data controller) และกิจการค้าร่วม A เป็นผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) โดยจะระบุการเชื่อมโยงอย่างไร เนื่องจากทั้งสองไม่มีนิติสัมพันธ์กัน (มิได้เป็นคู่สัญญาจ้าง)

ต่อมา สำนักงานปลัดกระทรวงสาธารณสุขมีหนังสือขอหารือต่อสำนักงานคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคล แจ้งว่า กระทรวงสาธารณสุขและกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ได้มีบันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข เมื่อวันที่ ๒๗ มิถุนายน ๒๕๖๕ เพื่อการพัฒนาระบบสาธารณสุขของประเทศ ประชาชนสามารถเข้าถึงข้อมูลสุขภาพ ของตนเองได้ หน่วยบริการสามารถจัดบริการให้เกิดการรักษาทุกที่ทุกเวลาแบบไร้รอยต่อ พัฒนาการวิจัย และนวัตกรรมสุขภาพที่มีความก้าวหน้า ทันสมัย วางแผนร่วมกันอย่างเป็นระบบ จัดให้มีระบบรักษา ความปลอดภัย คุ้มครองข้อมูลส่วนบุคคล และพร้อมใช้งานข้อมูลได้ตลอดเวลา โดยมีขอบเขตของความร่วมมือ และหน้าที่ความรับผิดชอบ กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมดำเนินการจัดหาและพัฒนาระบบคลาวด์ สำหรับข้อมูลสุขภาพ เพื่อให้บริการระบบคลาวด์ข้อมูลสุขภาพของกระทรวงสาธารณสุข ในฐานะของ ผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) และกระทรวงสาธารณสุข ดำเนินการระบุชุดข้อมูลและ มาตรฐานข้อมูลที่จะจัดเก็บ/แลกเปลี่ยน รวมทั้งควบคุมกำกับการเข้าใช้งานระบบร่วมกับนิติบุคคลต่าง ๆ ที่เกี่ยวข้อง ในฐานะของผู้ควบคุมข้อมูลส่วนบุคคล (data controller) ซึ่งการดำเนินโครงการพัฒนา

ระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย มีสำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติเป็นผู้ว่าจ้างกิจการค้าร่วม A โดยได้ลงนามในสัญญาจ้าง เมื่อวันที่ ๒๒ ธันวาคม ๒๕๖๖ มีระยะเวลาดำเนินโครงการฯ ๘๑๐ วัน นับถัดจากวันลงนามในสัญญา ในการนี้ เพื่อให้การจัดทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคลมีความรอบคอบและความถูกต้องชัดเจน ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายที่เกี่ยวข้อง สำนักงานปลัดกระทรวงสาธารณสุขจึงขอความเห็นเกี่ยวกับข้อตกลงฯ จากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ดังต่อไปนี้

๑. ตามบันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข ระหว่างกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข ลงวันที่ ๒๗ มิถุนายน ๒๕๖๕ ระบุให้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม อยู่ในฐานะของผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) ซึ่งสำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ (สตช.) เป็นผู้ดำเนินโครงการ โดยได้ว่าจ้างกิจการค้าร่วม A พัฒนาระบบบริหารจัดการการแลกเปลี่ยนข้อมูลสุขภาพทั่วประเทศ การที่ สตช. ทำหน้าที่เป็นผู้ว่าจ้างและบริหารสัญญาในการพัฒนาระบบคลาวด์กลางด้านสาธารณสุข จะถือว่า สตช. มีสถานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล (data processor) ตามมาตรา ๔๐ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่

๒. ในการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขที่สำนักงานปลัดกระทรวงสาธารณสุข (สป.สธ.) มีหน้าที่กำกับดูแลการคุ้มครองข้อมูลส่วนบุคคลด้านสุขภาพของประชาชนในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (data controller) โดยที่ สตช. มีบทบาทในการบริหารโครงการและกำกับการดำเนินงานตามสัญญาในฐานะผู้ว่าจ้าง แต่ไม่ได้เกี่ยวข้องกับการเข้าถึงหรือประมวลผลข้อมูลส่วนบุคคลโดยตรง กรณีนี้ สตช. ต้องมีแนวทางในการรักษาและคุ้มครองข้อมูลส่วนบุคคลของประชาชนอย่างไร เพื่อให้สอดคล้องกับบทบาทและความรับผิดชอบของ สตช. ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

๓. ในกรณีที่ สป.สธ. เป็นผู้ควบคุมข้อมูลส่วนบุคคล และกิจการค้าร่วม A เป็นผู้พัฒนาระบบคลาวด์กลางด้านสาธารณสุข ตามสัญญาจ้างของ สตช. โดยต้องเข้าถึงและประมวลผลข้อมูลส่วนบุคคล ทั้งนี้ ตามพระราชบัญญัติการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. ๒๕๖๐ สป.สธ. และกิจการค้าร่วม A ไม่มีนิติสัมพันธ์โดยตรงต่อกัน (มิได้เป็นคู่สัญญา) สป.สธ. จะสามารถจัดทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคลกับกิจการค้าร่วม A โดยตรงได้หรือไม่ และควรกำหนดความเชื่อมโยงทางกฎหมายระหว่างหน่วยงานอย่างไร

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล พิจารณาเรื่องหารือดังกล่าวประกอบคำชี้แจงจากผู้แทน สตช. และผู้แทน สป.สธ. แล้ว มีความเห็นดังนี้

๕

ประเด็นข้อหารือที่ ๑ ของ สดช. และประเด็นข้อหารือที่ ๑ ของ สป.สธ.

เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลโดยผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักร ไม่ว่าการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ได้กระทำในหรือนอกราชอาณาจักรก็ตาม ตามมาตรา ๕ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยการจะพิจารณาว่า บุคคลหรือนิติบุคคลใดมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล หรือมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลนั้น จะต้องพิจารณาจากอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามบท นิยามในมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ว่าจะเป็นกรณีที่เป็นบุคคล ธรรมดาหรือนิติบุคคลก็ตาม ทั้งนี้ สำหรับกรณีของนิติบุคคล บทนิยามดังกล่าวมีได้แบ่งแยกระหว่างนิติบุคคล ที่เป็นเอกชนกับหน่วยงานของรัฐ ดังนั้น หน่วยงานของรัฐจึงอาจทำหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หรือทำหน้าที่เป็น ผู้ประมวลผลข้อมูลส่วนบุคคลให้แก่บุคคลหรือนิติบุคคลอื่น (ไม่ว่าจะเป็นหน่วยงานของรัฐหน่วยงานอื่นหรือ เอกชน) ก็ได้ ตราบเท่าที่ความสัมพันธ์ดังกล่าวเป็นไปตามหลักการของความสัมพันธ์ระหว่างผู้ควบคุมข้อมูล ส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคล โดยจะต้องพิจารณาวัตถุประสงค์และการดำเนินงานที่เกิดขึ้นจริง เป็นสำคัญ ซึ่งสำหรับเรื่องที่หารือนั้น บันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข ระหว่างกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม และกระทรวงสาธารณสุข กำหนดไว้ว่า กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมยินดีที่จะพัฒนาและให้บริการระบบคลาวด์ข้อมูลสุขภาพแก่กระทรวง สาธารณสุข โดยจัดให้มีการเข้าถึงข้อมูลสุขภาพ ดูแลระบบรักษาความปลอดภัย และความพร้อมใช้งาน ตามแนวทางที่กระทรวงสาธารณสุขกำหนด ประกอบกับคณะรัฐมนตรีได้มีมติเมื่อวันที่ ๒๔ มกราคม ๒๕๖๖ เห็นชอบและอนุมัติให้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดย สดช. ดำเนินโครงการดังกล่าว ซึ่ง สดช. ได้ทำหน้าที่เป็นผู้ว่าจ้างและบริหารสัญญาในการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทย การจะพิจารณาว่า สดช. มีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล (data controller) หรือผู้ประมวลผลข้อมูล ส่วนบุคคล (data processor) นั้น จึงต้องพิจารณาจากวัตถุประสงค์และการดำเนินงานที่เกิดขึ้นจริง กล่าวคือ สดช. มีบทบาทร่วมกับ สป.สธ. ในการกำหนดวัตถุประสงค์และร่วมพิจารณาในขั้นตอนสำคัญของ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในระบบคลาวด์ข้อมูลสุขภาพหรือไม่ เพียงใด ประกอบด้วย

เมื่อพิจารณาข้อเท็จจริงของเรื่องที่หารือและข้อกฎหมายที่เกี่ยวข้องประกอบกันแล้ว คณะอนุกรรมการตอบข้อหารือฯ มีความเห็นว่า หลักการที่สำคัญในการพิจารณาฐานะความเป็นผู้ควบคุม ข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลของบุคคลหรือนิติบุคคลหนึ่ง ๆ คือ การมีอำนาจหน้าที่ ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยการพิจารณาว่าบุคคลหรือนิติบุคคลใด

๖

มี “อำนาจหน้าที่ตัดสินใจ” จะต้องนำข้อเท็จจริงทั้งหมดที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล มาพิจารณาร่วมกันว่า บุคคลหรือนิติบุคคลนั้นมีอำนาจหน้าที่ในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีดังกล่าวหรือไม่ เพียงใด หากในความเป็นจริงนิติบุคคลหนึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล นิติบุคคลนั้นย่อมถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล แม้สัญญาจะระบุไว้เป็นอย่างอื่น เช่น ระบุว่านิติบุคคลดังกล่าวเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ก็ตาม ดังนั้น ในบางกรณี เนื้อหาของสัญญา หรือข้อตกลงต่าง ๆ จึงไม่ถือเป็นข้อชี้ขาดเสมอไป และผู้เกี่ยวข้องไม่สามารถกำหนดหรือหลีกเลี่ยงหน้าที่ และความรับผิดในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้โดยอาศัยเพียงการกำหนดเงื่อนไขไว้ในสัญญาหรือข้อตกลง หากไม่สอดคล้องกับข้อเท็จจริงตามบทนิยามในกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ในการดำเนินโครงการพัฒนาระบบคลาวด์กลางด้านสาธารณสุขของประเทศไทยของ สดช. ดังกล่าว บันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข ระหว่าง กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข ลงวันที่ ๒๗ มิถุนายน ๒๕๖๕ ได้กำหนด ขอบเขตของความร่วมมือและหน้าที่ความรับผิดชอบไว้ ดังนี้

(๑) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมดำเนินการจัดหา และพัฒนาระบบคลาวด์สำหรับ ข้อมูลสุขภาพ เพื่อให้บริการระบบคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข

(๒) กระทรวงสาธารณสุข ดำเนินการระบุชุดข้อมูลและมาตรฐานข้อมูลที่จะจัดเก็บ/ แลกเปลี่ยน รวมทั้งควบคุมกำกับการเข้าใช้งานระบบร่วมกับนิติบุคคลต่าง ๆ ที่เกี่ยวข้อง

นอกจากนี้ บันทึกข้อตกลงความร่วมมือดังกล่าวกำหนดแนวทางการดำเนินงานและกิจกรรม ความร่วมมือไว้ ดังนี้

(๑) กระทรวงสาธารณสุข ยินดีที่จะให้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมดำเนินการ จัดหา พัฒนา และให้บริการระบบคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข

(๒) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ยินดีที่จะพัฒนาและให้บริการระบบคลาวด์ ข้อมูลสุขภาพแก่กระทรวงสาธารณสุข โดยจัดให้มีการเข้าถึงข้อมูลสุขภาพ ดูแลระบบรักษาความปลอดภัย และความพร้อมใช้งาน ตามแนวทางที่กระทรวงสาธารณสุขกำหนด

(๓) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข ยินดีที่จะสนับสนุน การดำเนินการเพื่อศึกษา วิเคราะห์ และประเมินความต้องการเพื่อระบุปริมาณระบบคลาวด์ที่แม่นยำ และร่วมออกแบบ ระบบเชื่อมโยงข้อมูลที่เหมาะสม คุ้มค่า

๘

(๔) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข ยินดีที่จะสนับสนุนการดำเนินการเพื่อโอนย้ายข้อมูลและระบบซอฟต์แวร์ที่จำเป็นเข้าสู่ระบบคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข

ฯลฯ

ดังนั้น เมื่อพิจารณาจากขอบเขตของความร่วมมือ หน้าที่ความรับผิดชอบ และแนวทางการดำเนินงานและกิจกรรมความร่วมมือ ตามบันทึกข้อตกลงความร่วมมือดังกล่าว กระทรวงสาธารณสุข โดย สป.สธ. จึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่จะเกิดขึ้นบนระบบคลาวด์ข้อมูลสุขภาพดังกล่าว เนื่องจากมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังนี้

(๑) ระบุชุดข้อมูลและมาตรฐานข้อมูลที่จะจัดเก็บหรือแลกเปลี่ยน รวมทั้งมีอำนาจควบคุมกำกับการเข้าถึงข้อมูลและการเข้าใช้งานระบบร่วมกับนิติบุคคลต่าง ๆ ที่เกี่ยวข้อง

(๒) เป็นผู้กำหนดแนวทางการเข้าถึงข้อมูลสุขภาพ และการรักษาความมั่นคงปลอดภัยของระบบคลาวด์ข้อมูลสุขภาพ ซึ่งกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดย สดช. ต้องปฏิบัติตาม

(๓) มีบทบาทสำคัญในคณะกรรมการกำหนดขอบเขตของงาน และเป็นประธานกรรมการและเลขานุการในคณะกรรมการตรวจรับพัสดุ ในกระบวนการจัดซื้อจัดจ้าง

ในขณะที่ สดช. มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล เนื่องจากต้องปฏิบัติตามคำสั่งของกระทรวงสาธารณสุข โดย สป.สธ. ในส่วนที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับระบบคลาวด์ข้อมูลสุขภาพ ด้วยเหตุผลดังนี้

(๑) สดช. จัดหา พัฒนา และให้บริการระบบโครงสร้างพื้นฐานสำหรับระบบคลาวด์ข้อมูลสุขภาพดังกล่าว ตามคำสั่งของกระทรวงสาธารณสุข

(๒) สดช. ไม่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลโดยอิสระ และไม่สามารถกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเองได้

(๓) สดช. ต้องปฏิบัติตามข้อกำหนดเกี่ยวกับการเข้าถึงข้อมูลสุขภาพ และการรักษาความมั่นคงปลอดภัยของระบบคลาวด์ข้อมูลสุขภาพ ตามที่กระทรวงสาธารณสุขเป็นผู้กำหนด

โดยหาก สดช. ได้จัดหาหรือว่าจ้างบุคคลหรือนิติบุคคลอื่นเป็นผู้พัฒนาและ/หรือให้บริการระบบโครงสร้างพื้นฐานสำหรับระบบคลาวด์ข้อมูลสุขภาพดังกล่าว ตามคำสั่งหรือในนามของ สดช. ซึ่งเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของ สป.สธ. ไม่ว่าจะเป็นการกระทำแทน สดช. หรือร่วมกับ สดช. ก็ตามบุคคลหรือนิติบุคคลอื่นดังกล่าวจะมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลช่วง (sub-processor) ของ สดช.

๘

โดย สดช. มีหน้าที่รับผิดชอบต่อ สป.สธ. ซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล ในการกระทำของผู้ประมวลผลข้อมูลส่วนบุคคลช่วงดังกล่าวด้วย

ทั้งนี้ ในการพิจารณาจากข้อเท็จจริง นิติบุคคลที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ควรหมายความถึงหน่วยงานที่มีอิทธิพลอย่างเด็ดขาด (decisive influence) ต่อวัตถุประสงค์และวิธีการในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ซึ่งแม้ว่าผู้ประมวลผลข้อมูลส่วนบุคคลอาจเป็นผู้นำเสนอบริการที่ได้มีการกำหนดรายละเอียดเบื้องต้นไว้แล้วก็ตาม แต่ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องได้รับทราบรายละเอียดเกี่ยวกับบริการนั้น และเป็นผู้ตัดสินใจชั้นสุดท้ายในการอนุมัติวิธีการในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว และสามารถร้องขอหรือเจรจาให้มีการเปลี่ยนแปลงวิธีการดังกล่าวได้หากจำเป็น นอกจากนี้ ผู้ประมวลผลข้อมูลส่วนบุคคลจะไม่สามารถเปลี่ยนแปลงองค์ประกอบที่สำคัญ (essential elements) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวในภายหลังได้ หากไม่ได้รับความเห็นชอบจากผู้ควบคุมข้อมูลส่วนบุคคล ด้วยเหตุนี้ผู้ให้บริการจัดเก็บข้อมูลบนคลาวด์แบบมาตรฐาน (standard cloud storage service provider) ที่ผู้ให้บริการไม่ได้เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ของตนเอง แต่จัดเก็บข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ใช้บริการเท่านั้น ย่อมถือเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ดังนั้นการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลในระบบคลาวด์ข้อมูลสุขภาพโดยกำหนดสิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคลเพื่อป้องกันการเข้าถึงของ สดช. หรือหน่วยงานอื่น ๆ จึงไม่มีผลเป็นการเปลี่ยนแปลงฐานะของ สดช. ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล ความสัมพันธ์ระหว่างกระทรวงสาธารณสุข โดย สป.สธ. และกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดย สดช. ในการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในระบบคลาวด์ข้อมูลสุขภาพ จึงเป็นความสัมพันธ์ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคล

อย่างไรก็ตาม หากข้อเท็จจริงปรากฏว่า สดช. ไม่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามบันทึกข้อตกลงความร่วมมือดังกล่าวโดยตรงเลย แต่ได้จัดหาหรือว่าจ้างบุคคลหรือนิติบุคคลอื่นเป็นผู้ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของกระทรวงสาธารณสุขเพื่อให้บรรลุข้อตกลงตามบันทึกข้อตกลงความร่วมมือดังกล่าว ในกรณีเช่นนี้ กระทรวงสาธารณสุข โดย สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล กับ สดช. และบุคคลหรือนิติบุคคลอื่นดังกล่าว อาจพิจารณาหารือร่วมกัน เพื่อตกลงความสัมพันธ์ให้ชัดเจนว่า บุคคลหรือนิติบุคคลอื่นนั้นมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของกระทรวงสาธารณสุข โดย สป.สธ. โดยตรง และ สดช. ไม่มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของกระทรวงสาธารณสุขก็ได้ โดยหากหน่วยงานที่เกี่ยวข้องมีข้อสรุปร่วมกัน

๙

และข้อสรุปดังกล่าวไม่สอดคล้องกับบันทึกข้อตกลงความร่วมมือที่จัดทำขึ้นก่อนหน้านั้น ก็อาจพิจารณา ปรับปรุง แก้ไข หรือเพิ่มเติมบันทึกข้อตกลงความร่วมมือดังกล่าวให้เหมาะสมต่อไป

อนึ่ง กระทรวงสาธารณสุข โดย สป.สธ. และกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม โดย สตช. ต่างเป็นหน่วยงานของรัฐที่มีอำนาจหน้าที่ตามกฎหมายที่เกี่ยวข้อง โดยหน่วยงานของรัฐอาจมีฐานะ เป็นผู้ควบคุมข้อมูลส่วนบุคคลได้เมื่อเป็นการปฏิบัติหน้าที่ตามกฎหมาย ดังนั้น หากมีกรณีใดที่ สตช. จำเป็นต้อง เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในระบบคลาวด์ข้อมูลสุขภาพ เพื่อบรรลุหน้าที่ตามกฎหมายของตน โดยไม่ใช่การปฏิบัติตามคำสั่งหรือในนามของกระทรวงสาธารณสุข โดย สป.สธ. ในฐานะผู้ควบคุมข้อมูล ส่วนบุคคล สตช. จะมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลเพื่อวัตถุประสงค์ในกรณีดังกล่าว ตามนัยมาตรา ๔๐ วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒

ประเด็นข้อหารือที่ ๒ ของ สตช. และประเด็นข้อหารือที่ ๒ ของ สป.สธ. เห็นว่า มาตรา ๔๐ วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ กำหนดให้ผู้ควบคุม ข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผล ข้อมูลส่วนบุคคลตามที่ได้รับมอบหมายจากผู้ควบคุมข้อมูลส่วนบุคคล ให้เป็นไปตามพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งข้อตกลงดังกล่าวจะเรียกว่าข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement: DPA) และผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ตามมาตรา ๔๐ (๑) ในการดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุม ข้อมูลส่วนบุคคลเท่านั้น (เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคล ตามพระราชบัญญัตินี้) นอกจากนี้ยังมีหน้าที่ตามมาตรา ๔๐ (๒) ที่จะต้องจัดให้มีมาตรการรักษาความมั่นคง ปลอดภัยที่เหมาะสม รวมทั้งแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น และมาตรา ๔๐ (๓) ในการจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลไว้

ดังนั้น เมื่อคณะอนุกรรมการตอบข้อหารือฯ ได้พิจารณาแล้วว่า สตช. มีฐานะเป็น ผู้ประมวลผลข้อมูลส่วนบุคคลของ สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สป.สธ. จึงมีหน้าที่ต้องจัดให้มี ข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) กับ สตช. และ สตช. สามารถลงนามใน ข้อตกลงดังกล่าวได้ แม้ว่า สตช. จะมีฐานะเป็นผู้กำกับโครงการและบริหารสัญญาก็ตาม เนื่องจากในฐานะ ผู้ประมวลผลข้อมูลส่วนบุคคล สตช. มีหน้าที่ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เพราะ สตช. ไม่มีอำนาจหน้าที่ตัดสินใจ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งเป็นคนละประเด็นกันกับอำนาจหน้าที่ตัดสินใจ ในการกำกับโครงการและบริหารสัญญา ส่วนรายละเอียดและเงื่อนไขของข้อตกลงดังกล่าว สป.สธ. ในฐานะ

๑๐

ผู้ควบคุมข้อมูลส่วนบุคคล และ สดช. ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล อาจพิจารณาหารือเพื่อให้ได้ข้อสรุปร่วมกันได้

อย่างไรก็ตาม หากข้อเท็จจริงปรากฏว่า สดช. ไม่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามบันทึกข้อตกลงความร่วมมือดังกล่าวโดยตรงเลย แต่ได้จัดหาหรือว่าจ้างบุคคลหรือนิติบุคคลอื่นเป็นผู้ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของกระทรวงสาธารณสุขเพื่อให้บรรลุข้อตกลงตามบันทึกข้อตกลงความร่วมมือดังกล่าว และได้มีข้อสรุปร่วมกันระหว่างกระทรวงสาธารณสุข โดย สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล กับ สดช. และบุคคลหรือนิติบุคคลอื่นดังกล่าว ที่ยอมรับร่วมกันว่า สดช. ไม่มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของกระทรวงสาธารณสุข และบุคคลหรือนิติบุคคลอื่นนั้นมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของกระทรวงสาธารณสุข โดย สป.สธ. โดยตรง แล้ว สป.สธ. ย่อมสามารถจัดให้มีข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) กับบุคคลหรือนิติบุคคลอื่นนั้นโดยตรงได้ และในกรณีดังกล่าว สป.สธ. จึงไม่มีหน้าที่ต้องจัดให้มีข้อตกลงร่วมกับ สดช. ซึ่งไม่มีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลแต่อย่างใด แต่หากเห็นสมควร สป.สธ. อาจหารือกับ สดช. และ สดช. จะพิจารณาลงนามในข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) ดังกล่าว ร่วมกับ สป.สธ. และผู้ประมวลผลข้อมูลส่วนบุคคลอื่นด้วยก็ได้ โดยคำนึงถึงประโยชน์ของแต่ละฝ่ายและ ประโยชน์ในการดำเนินงานร่วมกันประกอบกัน และหาก สดช. พิจารณาแล้วประสงค์จะลงนาม ก็จะต้องพิจารณาข้อกำหนดในข้อตกลงดังกล่าวว่ามีความสอดคล้องกับบทบาทหน้าที่และความรับผิดชอบของ สดช. และเป็นไปตามบันทึกข้อตกลงความร่วมมือและมติคณะรัฐมนตรีที่เกี่ยวข้องหรือไม่ เพียงใด

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า ในการจัดให้มีข้อตกลง การประมวลผลข้อมูล (Data Processing Agreement) ตามมาตรา ๔๐ วรรคสาม แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องกำหนดให้ผู้ประมวลผลข้อมูล ส่วนบุคคลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ รวมทั้งแจ้งให้ผู้ควบคุมข้อมูล ส่วนบุคคลทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น โดยมาตรการรักษาความมั่นคงปลอดภัยดังกล่าว จะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนดตามมาตรา ๓๗ (๑) โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล ส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ทั้งนี้ เพื่อให้เป็นไป ตามมาตรา ๓๗ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบข้อ ๖ ของประกาศ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๕ ด้วย นอกจากนี้ ข้อตกลงดังกล่าวจะต้องระบุให้ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่

๑๑

แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน ๗๒ ชั่วโมงนับแต่
ผู้ประมวลผลข้อมูลส่วนบุคคลทราบเหตุเท่าที่จะสามารถกระทำได้ ตามมาตรา ๓๗ (๔) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบข้อ ๘ ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕

ประเด็นข้อหารือที่ ๓ ของ สตช. และประเด็นข้อหารือที่ ๓ ของ สป.สธ. เห็นว่า
การดำเนินการเกี่ยวกับนิติสัมพันธ์ของกิจการค้าร่วม A ในฐานะคู่สัญญาในสัญญาจ้างของ สตช.
ซึ่งเป็นหน่วยงานของรัฐ ย่อมเป็นไปตามกฎหมายว่าด้วยการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ
ส่วนการดำเนินการที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น แม้ สป.สธ.
กับกิจการค้าร่วม A จะไม่มีนิติสัมพันธ์กันในฐานะคู่สัญญาในสัญญาจ้าง แต่หากข้อเท็จจริงปรากฏว่า สป.สธ.
มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และกิจการค้าร่วม A
ดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของ สป.สธ.
ในส่วนที่เกี่ยวข้องกับระบบคลาวด์ข้อมูลสุขภาพ ก็ย่อมถือได้ว่า สป.สธ. มีความสัมพันธ์ในฐานะผู้ควบคุมข้อมูล
ส่วนบุคคล กับกิจการค้าร่วม A ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูล
ส่วนบุคคลแล้ว ดังนั้น สป.สธ. จึงมีหน้าที่ตามมาตรา ๔๐ วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. ๒๕๖๒ ที่จะต้องจัดให้มีข้อตกลงระหว่างกันกับกิจการค้าร่วม A เพื่อควบคุมการดำเนินงาน
ตามหน้าที่ของกิจการค้าร่วม A ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้
เพื่อให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของกิจการค้าร่วม A ตามสัญญาจ้างกับ สตช.
เพื่อให้เป็นไปตามบันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาคลาวด์ข้อมูลสุขภาพ กระทรวงสาธารณสุข
ระหว่างกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมและกระทรวงสาธารณสุข บรรลุผล โดย สป.สธ. อาจพิจารณา
จัดทำข้อตกลงดังกล่าวกับกิจการค้าร่วม A โดยตรง หรือจัดทำผ่าน สตช. ในกรณีที่ สตช. มีฐานะเป็น
ผู้ประมวลผลข้อมูลส่วนบุคคลที่มีหน้าที่จัดหา พัฒนา และให้บริการระบบโครงสร้างพื้นฐานสำหรับ
ระบบคลาวด์ข้อมูลสุขภาพ โดยกำหนดให้ สตช. จัดทำข้อตกลงการประมวลผลข้อมูล (Data Processing
Agreement) กับกิจการค้าร่วม A ซึ่งมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลช่วง (sub-processor)
ของ สตช. ตามเงื่อนไขที่ สป.สธ. กำหนด ก็ได้ ตามความเหมาะสมและการหารือร่วมกันของผู้เกี่ยวข้อง