PDPC_Consult-59

เรื่อง ข้อหารือของมหาวิทยาลัยนวมินทราธิราชเกี่ยวกับการส่งข้อมูลผลการตรวจสุขภาพตามนโยบายตรวจสุขภาพ ๑ ล้านคน

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๓ มาตรา ๖ มาตรา ๑๙ วรรคหนึ่ง มาตรา ๒๒ มาตรา ๒๓ (๑) และ (๔)
   มาตรา ๒๔ (๔) มาตรา ๒๕ วรรคหนึ่ง (๒) มาตรา ๒๖ (๕) (ก) และ (ข) มาตรา ๒๗
   มาตรา ๓๗ (๑) และ (๒) และมาตรา ๓๙

2. พระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. ๒๕๕๓
   มาตรา ๔ มาตรา ๖ และมาตรา ๗ (๓) (๔) และ (๘)

3. พระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. ๒๕๒๘ และที่แก้ไขเพิ่มเติม
   มาตรา ๖ และมาตรา ๘๙ (๑๖)

4. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
   มาตรา ๔

5. ประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ ๓๑ ตุลาคม พ.ศ. ๒๕๒๘ และที่แก้ไขเพิ่มเติม
   ข้อ ๑๐ และข้อ ๑๑ (๒)

6. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕

ข้อหารือ

มหาวิทยาลัยนวมินทราธิราช แจ้งว่า กรุงเทพมหานคร (กทม.) ขอให้มหาวิทยาลัยนวมินทราธิราชดำเนินการตรวจสุขภาพข้าราชการ บุคลากร กทม. และประชาชนทั่วไป ตามนโยบายตรวจสุขภาพ ๑ ล้านคน และให้ส่งข้อมูลผลการตรวจสุขภาพที่ได้ดำเนินการ ในรูปแบบที่ปิดบังตัวตนของผู้รับการตรวจภายใต้มาตรฐานการคุ้มครองข้อมูลส่วนบุคคล และส่งต่อภายใต้ช่องทางที่ปลอดภัย ต่อมาทาง กทม. โดยสำนักการแพทย์ได้มีการเปลี่ยนแปลงการส่งข้อมูล ในการประชุมชี้แจงขั้นตอนการบันทึกผลการตรวจสุขภาพเมื่อวันที่ ๒๘ มิถุนายน ๒๕๖๗ โดยให้มหาวิทยาลัยนวมินทราธิราชส่งข้อมูลผลการตรวจสุขภาพจากระบบ Hospital Information System ของโรงพยาบาลวิชาพยาบาล ไปยังระบบ BMA Portal โดยระบุชื่อ เลขประจำตัวประชาชน ที่อยู่ ข้อมูลด้านความเสี่ยงสุขภาพ เช่น การสูบบุหรี่/ตื่มสุรา ผลการวัดสัญญาณชีพ (vital signs) ผลการคัดกรองสุขภาพ ผลการตรวจทางห้องปฏิบัติการต่าง ๆ ฯลฯ ของผู้มารับบริการ

เนื่องจากมหาวิทยาลัยนวมินทราธิราชเป็นสถาบันอุดมศึกษาที่เป็นหน่วยงานของรัฐอยู่ในกำกับของกรุงเทพมหานคร มีฐานะเป็นนิติบุคคล มีวัตถุประสงค์เพื่อให้การศึกษา ส่งเสริมวิชาการ การวิจัยสร้างและพัฒนาวิชาการและวิชาชีพชั้นสูง รวมตลอดทั้งเผยแพร่ความรู้และส่งเสริมการแพทย์ การสาธารณสุข

๒

การบริหารจัดการเขตเมือง การปกครองส่วนท้องถิ่น การพัฒนามหานคร การทะนุบำรุงศาสนา ศิลปะ วัฒนธรรม จารีตประเพณี ภูมิปัญญาท้องถิ่น สิ่งแวดล้อม และกีฬา โดยคำนึงถึงประสบการณ์และความพร้อมในด้านต่าง ๆ ที่เป็นเอกลักษณ์ของ กทม. เพื่อตอบสนองความต้องการของประชาชนและเพื่อประโยชน์ของประเทศชาติ ตามมาตรา ๔ และมาตรา ๖ แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. ๒๕๕๓ ซึ่งมีการให้บริการด้านการแพทย์และสาธารณสุข โดยโรงพยาบาลวิชาพยาบาลซึ่งเป็นหน่วยงานในสังกัดของคณะแพทยศาสตร์ วชิพยาบาล มหาวิทยาลัยนวมินทราธิราช และมีการจัดเก็บข้อมูลของผู้มารับบริการในโรงพยาบาล ซึ่งมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จึงขอหารือในประเด็นดังนี้

๑. การขอให้ส่งข้อมูลผลการตรวจสุขภาพจากระบบ Hospital Information System ของโรงพยาบาลวิชาพยาบาล ไปยังระบบ BMA Portal โดยระบุชื่อ เลขประจำตัวประชาชน ที่อยู่ ข้อมูลด้านความเสี่ยงสุขภาพ เช่น การสูบบุหรี่/ตื่มสุรา ผลการวัดสัญญาณชีพ (vital signs) ผลการคัดกรองสุขภาพ ผลการตรวจทางห้องปฏิบัติการต่าง ๆ ฯลฯ ของผู้มารับบริการ กทม. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สามารถทำการเก็บรวบรวมข้อมูลส่วนบุคคลจากมหาวิทยาลัยนวมินทราธิราชที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง โดยอาศัยอำนาจตามมาตรา ๒๕ (๒) ประกอบมาตรา ๒๔ หรือมาตรา ๒๖ ได้หรือไม่

๒. มหาวิทยาลัยนวมินทราธิราชสามารถส่งข้อมูลส่วนบุคคล ตามข้อ ๑ ซึ่งรวมถึงข้อมูลสุขภาพของผู้ป่วยที่มารับบริการในสถานพยาบาลในสังกัดของมหาวิทยาลัยฯ ตามที่ กทม. ร้องขอเพื่อการนำไปใช้ในวัตถุประสงค์ตามคำประกาศเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) ของระบบเก็บข้อมูลโครงการตรวจสุขภาพด้านคนของ กทม. ข้อ ๒.๑ ถึง ๒.๔ โดยเป็นความจำเป็นในการปฏิบัติตามกฎหมายภายใต้พระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. ๒๕๒๘ มาตรา ๘๙ และตามบันทึกข้อตกลงความร่วมมือ เรื่อง การพัฒนาเพิ่มคุณภาพการบริการด้านการแพทย์และสาธารณสุข ผ่านเทคโนโลยีดิจิทัล ข้อ ๑.๒ ซึ่งถือเป็นข้อยกเว้นที่ไม่จำเป็นต้องขอคำยินยอม (Consent) สำหรับข้อมูลส่วนบุคคลที่อ่อนไหว (Sensitive Personal Data) โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ตามมาตรา ๒๗ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้หรือไม่

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือ โดยมีผู้แทนมหาวิทยาลัยนวมินทราธิราชเป็นผู้ชี้แจงข้อเท็จจริงแล้วมีความเห็น ดังนี้

มหาวิทยาลัยนวมินทราธิราชต้องดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลโดยพิจารณาหลักเกณฑ์การคุ้มครองข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยในขณะเดียวกันมหาวิทยาลัยนวมินทราธิราช มีฐานะเป็นหน่วยงานของรัฐตามบทนิยามในมาตรา ๔ แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ การบริหารจัดการข้อมูลข่าวสารที่อยู่ในความครอบครองหรือควบคุมดูแลของมหาวิทยาลัยนวมินทราธิราช จึงต้องถือปฏิบัติตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการด้วย ซึ่งเป็นไปตามมาตรา ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๓

ที่บัญญัติว่า “ในกรณีที่มีกฎหมายว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (๑) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้ เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติแห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม “ล”” มหาวิทยาลัย นวมินทรวิธิราชจึงควรดำเนินการให้เป็นไปตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการที่ได้กำหนดเรื่อง การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลข่าวสารของราชการของหน่วยงานของรัฐ รวมถึงข้อมูลข่าวสาร ส่วนบุคคลที่อยู่ในความครอบครองหรือควบคุมดูแลของหน่วยงานของรัฐไว้โดยเฉพาะแล้วก่อน และให้พิจารณาบทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นการเพิ่มเติม ในการดำเนินการต่อไป โดยในแต่ละประเด็น ที่หารือมานั้น คณะอนุกรรมการตอบข้อหารือฯ มีความเห็นดังนี้

ประเด็นข้อหารือที่ ๑ เห็นว่า กทม. เป็นราชการบริหารส่วนท้องถิ่น มีฐานะเป็นนิติบุคคล ตามมาตรา ๖ แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. ๒๕๒๘ และมีอำนาจหน้าที่ ดำเนินกิจการในเขตกรุงเทพมหานครในเรื่องต่าง ๆ ที่กฎหมายกำหนด ซึ่งรวมถึงการดำเนินกิจการในเรื่อง การสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาลตามมาตรา ๘๙ (๑๖) แห่งพระราชบัญญัติ ดังกล่าว โดยมีสำนักการแพทย์เป็นส่วนราชการในสังกัดที่มีอำนาจหน้าที่จัดให้มีบริการโรงพยาบาลในการตรวจ รักษาพยาบาล ส่งเสริมสุขภาพ ป้องกันโรค ฟื้นฟูสุขภาพและสมรรถภาพ บริหารและจัดบริการการแพทย์ ฉุกเฉินและส่งต่อผู้ป่วย เพื่อลดการบาดเจ็บและการตายจากการเจ็บป่วยของผู้ป่วย จัดการศึกษา ฝึกอบรม พัฒนาทางวิชาการด้านการแพทย์และสาธารณสุข และปฏิบัติหน้าที่อื่นที่เกี่ยวข้องหรือได้รับมอบหมาย ตามข้อ ๑๐ ของประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจ หน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ ๓๑ ตุลาคม พ.ศ. ๒๕๒๘ ซึ่งแก้ไขเพิ่มเติมโดยประกาศ กรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการ กรุงเทพมหานคร (ฉบับที่ ๙๔) ลงวันที่ ๑๑ เมษายน พ.ศ. ๒๕๖๐ นอกจากนี้ สำนักการแพทย์ ยังมีสำนักงาน พัฒนาระบบบริการทางการแพทย์เป็นส่วนราชการในสังกัด มีอำนาจหน้าที่วางแผน กำกับ ติดตาม วิเคราะห์ และประเมินผลแผนยุทธศาสตร์ ด้านการแพทย์และสาธารณสุข พัฒนาระบบบริการสุขภาพ คุณภาพบริการ และสร้างเครือข่ายทางการแพทย์และสาธารณสุข รวมทั้งเป็นศูนย์ข้อมูลสารสนเทศทางการแพทย์ ตามข้อ ๑๑ (๒) ของประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนด อำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ ๓๑ ตุลาคม พ.ศ. ๒๕๒๘ ซึ่งแก้ไขเพิ่มเติมโดยประกาศ กรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการ กรุงเทพมหานคร (ฉบับที่ ๙๗) ลงวันที่ ๖ กันยายน พ.ศ. ๒๕๖๐ ดังนั้น กทม. จึงมีอำนาจหน้าที่ตัดสินใจ เกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ในการดำเนินงานตามอำนาจหน้าที่ของตน ตามประเด็นที่หารือมานี้ จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามนัยมาตรา ๖ แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การเก็บรวบรวมข้อมูลส่วนบุคคลจากมหาวิทยาลัยนวมินทรวิธิราชซึ่งเป็น อีกนิติบุคคลหนึ่งดังกล่าว ย่อมถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูล ส่วนบุคคลโดยตรงตามนัยมาตรา ๒๕ ซึ่งตามบทบัญญัติมาตรา ๑๙ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ผู้ควบคุมข้อมูลส่วนบุคคลจะกระทำการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลไม่ได้หากเจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอมไว้ก่อนหรือในขณะนั้น เว้นแต่บทบัญญัติ

๔

แห่งพระราชบัญญัตินี้หรือกฎหมายอื่นบัญญัติให้กระทำได้ กรณีนี้จึงมีประเด็นต้องพิจารณาก่อนว่า การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามที่หารือดังกล่าวเป็นกรณีที่ได้รับยกเว้นไม่ต้อง ขอความยินยอมตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๔ หรือมาตรา ๒๖ แล้วแต่กรณี หรือไม่

เนื่องจาก กทม. โดยสำนักการแพทย์ มีความจำเป็นในการวิเคราะห์ข้อมูลในเขตพื้นที่ กทม. ซึ่งรวมถึงการประเมินสถานการณ์ อุบัติการณ์ หรือความชุกของการเกิดโรค เพื่อการวางแผนในการดำเนินการ โครงการส่งเสริมสุขภาพและป้องกันโรคอย่างตรงเป้าหมายที่เหมาะสมตามพื้นที่ รวมทั้งเพื่อการจัดบริการ ทางการแพทย์และสาธารณสุขให้สอดคล้องกับความชุกและข้อมูลสุขภาพที่ปรากฏ (ตามที่ระบุในคำประกาศ เกี่ยวกับความเป็นส่วนตัว (Privacy Notice) ของระบบเก็บข้อมูล โครงการตรวจสุขภาพลักษณะของ กรุงเทพมหานคร สุขภาพดี ปี ๒) อันเป็นส่วนหนึ่งของอำนาจหน้าที่ของ กทม. รวมถึงสำนักการแพทย์ และส่วนราชการในสังกัด ในการดำเนินกิจการในเขต กทม. ในเรื่องการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาลตามมาตรา ๘ (๑๖) แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. ๒๕๖๘ ดังนั้น หาก กทม. เห็นว่า การเก็บรวบรวมข้อมูลจากระบบ Hospital Information System ของโรงพยาบาลวิริยพยาบาล ซึ่งเป็นสถานพยาบาลในสังกัดมหาวิทยาลัยนวมินทราธิราช ไปยังระบบ BMA Portal โดยระบุชื่อ เลขประจำตัวประชาชน ที่อยู่ ข้อมูลด้านความเสี่ยงสุขภาพ ผลการวัดสัญญาณชีพ (vital signs) ผลการคัดกรองสุขภาพ และผลการตรวจทางห้องปฏิบัติการต่าง ๆ เป็นต้น เป็นการจำเป็นเพื่อ การดำเนินการกิจตามอำนาจหน้าที่ตามกฎหมายของ กทม. ดังกล่าว กทม. ก็สามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เนื่องจาก เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของ กทม. หรือปฏิบัติหน้าที่ ในการใช้อำนาจรัฐที่ได้มอบให้แก่ กทม. ตามมาตรา ๒๔ (๔) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมาย เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การให้บริการด้านสุขภาพหรือสังคม หรือการจัดการด้านสุขภาพ หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุข ตามมาตรา ๒๖ (๕) (ก) และ/หรือ (ข) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว แล้วแต่กรณี รวมทั้งสามารถทำการเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูล ส่วนบุคคลโดยตรง เช่น จากมหาวิทยาลัยนวมินทราธิราช ได้ ตามนัยมาตรา ๒๕ วรรคหนึ่ง (๒) แต่ กทม. จะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำ ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ตามมาตรา ๓๗ (๑) ประกอบประกาศ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๕ รวมทั้งจะต้องจัดให้มีมาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครองสิทธิและ เสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่หรือ ตามจริยธรรมแห่งวิชาชีพ สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ ตามนัยมาตรา ๒๖ (๕) (ข) ด้วย นอกจากนี้ จะต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างจำกัด เพียงเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของ กทม. ตามมาตรา ๒๒ รวมถึงจะต้องไม่ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับมหาวิทยาลัย

๕

นวมินทราธิราชในการขอรับข้อมูลส่วนบุคคลนั้นเท่านั้น ตามมาตรา ๒๗ วรรคสอง เว้นแต่จะเป็นกรณีที่กฎหมายบัญญัติให้กระทำได้

ประเด็นข้อหารือที่ ๒ เห็นว่า มหาวิทยาลัยนวมินทราธิราชเป็นสถาบันอุดมศึกษาที่เป็นหน่วยงานของรัฐอยู่ในกำกับของกรุงเทพมหานคร มีฐานะเป็นนิติบุคคล ตามมาตรา ๔ แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. ๒๕๕๓ ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล มหาวิทยาลัยนวมินทราธิราชจึงมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยมหาวิทยาลัยนวมินทราธิราชมีวัตถุประสงค์ส่วนหนึ่งตามมาตรา ๖ แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. ๒๕๕๓ ในการให้การศึกษาส่งเสริมวิชาการ การวิจัย สร้างและพัฒนาวิชาการและวิชาชีพชั้นสูง รวมตลอดทั้งเผยแพร่ความรู้และส่งเสริมการแพทย์ การสาธารณสุข การบริหารจัดการเขตเมือง การปกครองส่วนท้องถิ่น และการพัฒนามหานคร โดยคำนึงถึงประสบการณ์และความพร้อมในด้านต่าง ๆ ที่เป็นเอกลักษณ์ของ กทม. เพื่อตอบสนองความต้องการของประชาชนและเพื่อประโยชน์ของประเทศชาติ และมหาวิทยาลัยนวมินทราธิราชมีภาระหน้าที่ในการพัฒนาองค์ความรู้ด้านการแพทย์และการสาธารณสุขทุกสาขา โดยเน้นทางด้านเวชศาสตร์เขตเมือง การพัฒนาองค์ความรู้ด้านการบริหารจัดการเขตเมือง ด้านการปกครองส่วนท้องถิ่นและพัฒนามหานคร และการให้บริการทางการแพทย์ การพยาบาล การสาธารณสุข และการบริการทางวิชาการและวิชาชีพให้เป็นที่ยอมรับในระดับประเทศและนานาชาติ ตามมาตรา ๗ (๓) (๔) และ (๘) แห่งพระราชบัญญัติมหาวิทยาลัยนวมินทราธิราช พ.ศ. ๒๕๕๓ ซึ่งเป็นอำนาจหน้าที่ตามที่กฎหมายกำหนดและเป็นภารกิจที่เกี่ยวข้องกับภารกิจเพื่อประโยชน์สาธารณะ เมื่อมหาวิทยาลัยนวมินทราธิราชได้รับการขอข้อมูลจาก กทม. ให้ส่งข้อมูลส่วนบุคคลซึ่งรวมถึงข้อมูลสุขภาพของผู้ที่มารับบริการตรวจสุขภาพ ให้แก่ กทม. เนื่องจาก กทม. มีความจำเป็นในการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะ ตามประเด็นข้อหารือที่ ๑ ที่ได้กล่าวมาแล้วข้างต้น มหาวิทยาลัยนวมินทราธิราชจึงอาจเปิดเผยข้อมูลส่วนบุคคลดังกล่าวให้แก่ กทม. เพื่อให้บรรลุวัตถุประสงค์ดังกล่าวได้ โดยอาจพิจารณาได้ว่าการเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของมหาวิทยาลัยนวมินทราธิราช หรือการปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่มหาวิทยาลัย รวมถึงเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การให้บริการด้านสุขภาพหรือด้านสังคม หรือการจัดการด้านสุขภาพ หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุข ตามมาตรา ๒๔ (๔) หรือมาตรา ๒๖ (๕) (ก) และ/หรือ (ข) แล้วแต่กรณี ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ทั้งนี้ มหาวิทยาลัยนวมินทราธิราชจะต้องบันทึกการใช้หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวไว้ในรายการตามมาตรา ๓๔ ตามนัยมาตรา ๒๗ วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียดตามมาตรา ๒๓ ซึ่งรวมถึงวัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผยตาม (๑) และประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย เช่น กทม. ตาม (๔) ด้วย โดย กทม. จะต้องใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับจากมหาวิทยาลัยนวมินทราธิราชตามวัตถุประสงค์อันชอบด้วยกฎหมายที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบตามที่ระบุไว้ในข้อ ๒.๑ ถึง ๒.๔ ของคำประกาศเกี่ยวกับความเป็นส่วนตัว (Privacy Notice) ของระบบเก็บข้อมูล โครงการตรวจสุขภาพล้านคน

๖

ของกรุงเทพมหานคร สุขภาพดี ปี ๒ เท่านั้น นอกจากนี้ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังกล่าว จะต้องดำเนินการเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตามมาตรา ๒๒ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า มหาวิทยาลัยนวมินทราธิราช และ กทม. ในฐานะที่ต่างฝ่ายต่างเป็นผู้ควบคุมข้อมูลส่วนบุคคล จะต้องปฏิบัติหน้าที่ตามที่พระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายอื่นกำหนด ในส่วนที่เกี่ยวข้องกับการคุ้มครองข้อมูล ส่วนบุคคลให้ครบถ้วนด้วย โดยเฉพาะในเรื่องการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจ หรือโดยมิชอบ ตามมาตรา ๓๗ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยต้องเป็นไป ตามมาตรฐานขั้นต่ำที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษา ความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ นอกจากนี้ มาตรา ๓๗ (๒) ได้กำหนดให้ผู้ควบคุมข้อมูล ส่วนบุคคลต้องดำเนินการเพื่อป้องกันมิให้บุคคลหรือนิติบุคคลอื่นซึ่งได้รับข้อมูลส่วนบุคคลจากผู้ควบคุมข้อมูล ส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ โดยมหาวิทยาลัยนวมินทราธิราช และ กทม. อาจพิจารณาจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Data Sharing Agreement) ซึ่งเป็น มาตรการเชิงองค์กร (organizational measures) อย่างหนึ่งที่กำหนดวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ ความรับผิดชอบของแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน ไม่ว่าจะเป็น การรับและส่งข้อมูลที่เป็นเอกสารหรือเป็นการแลกเปลี่ยนข้อมูลโดยวิธีการทางอิเล็กทรอนิกส์ที่ตาม อันจะเป็น ส่วนหนึ่งของมาตรการรักษาความมั่นคงปลอดภัยและคุ้มครองข้อมูลส่วนบุคคลที่เปิดเผยให้กับหน่วยงานอื่น ซึ่งทั้งสองฝ่ายย่อมสามารถหารือและตกลงร่วมกันเพื่อพิจารณาจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล ระหว่างกันได้ตามความเหมาะสม