PDPC_Consult-60

เรื่อง ข้อหารือของสำนักการแพทย์ กรุงเทพมหานคร ในการรวบรวมและการประมวลผลข้อมูลสุขภาพของสถานพยาบาลในพื้นที่กรุงเทพมหานคร

ข้อกฏหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๓ มาตรา ๖ มาตรา ๒๑ มาตรา ๒๒ มาตรา ๒๓ มาตรา ๒๔ (๔) มาตรา ๒๕
   วรรคหนึ่ง (๒) มาตรา ๒๖ (๕) (ก) และ (ข) มาตรา ๒๗ วรรคหนึ่ง และมาตรา ๓๗ (๑)

2. พระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. ๒๕๒๘ และที่แก้ไขเพิ่มเติม
   มาตรา ๖ และมาตรา ๘๙ (๓) และ (๑๖)

3. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
   มาตรา ๔

4. ประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ ๓๑ ตุลาคม พ.ศ. ๒๕๒๘ และที่แก้ไขเพิ่มเติม
   ข้อ ๑๐ และข้อ ๑๑ (๒)

5. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕

ข้อหารือ

สำนักการแพทย์ กรุงเทพมหานคร แจ้งว่า กรุงเทพมหานคร (กทม.) มีอำนาจหน้าที่ด้านการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาล ตามพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. ๒๕๒๘ มาตรา ๘๙ (๑๖) โดยมีสำนักการแพทย์เป็นหน่วยงานในสังกัดที่ได้รับมอบหมายในการจัดให้มีบริการโรงพยาบาลในการตรวจรักษาพยาบาล ส่งเสริมสุขภาพ ป้องกันโรคพื้นฟูสุขภาพและสมรรถภาพ รวมถึงการพัฒนาระบบบริการสุขภาพ คุณภาพบริการ และสร้างเครือข่ายทางการแพทย์และสาธารณสุข ตามประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ ๙๔) ลงวันที่ ๑๑ เมษายน พ.ศ. ๒๕๖๐ และ (ฉบับที่ ๙๗) ลงวันที่ ๖ กันยายน พ.ศ. ๒๕๖๐ ปัจจุบัน สำนักการแพทย์มีความจำเป็นที่จะต้องใช้ประโยชน์จากข้อมูลส่วนบุคคลและข้อมูลอ่อนไหวของประชาชนผู้มารักษาพยาบาล จากสถานพยาบาลในเขต กทม. ทั้งภาครัฐและภาคเอกชน ให้เป็นไปตามอำนาจหน้าที่ของคณะกรรมการพัฒนาระบบข้อมูลสุขภาพดิจิทัลกรุงเทพมหานคร (Health Data Center) สำหรับประเมินสถานการณ์หรืออุบัติการณ์ของการเกิดโรค การสร้างเสริมสุขภาพ การจัดบริการทางการแพทย์รวมถึงทรัพยากรที่จำเป็นในสถานการณ์ที่แตกต่างกัน เพื่อนำมาวิเคราะห์และวางแผนการบริหารจัดการระบบบริการทางการแพทย์ในพื้นที่ กทม. ทั้งทางด้านบุคลากร สถานที่ อุปกรณ์ และครุภัณฑ์ทางการแพทย์ที่จำเป็นให้เพียงพอต่อการให้บริการประชาชน ทั้งในสถานการณ์ปกติและภาวะฉุกเฉิน โดยคำนึงถึงความคุ้มค่าและเกิดประโยชน์สูงสุด ซึ่งจาก

๒

การดำเนินงานในช่วงที่ผ่านมาพบว่าสถานพยาบาลต่าง ๆ ไม่สามารถเปิดเผยข้อมูลส่วนบุคคลแก่ สำนักการแพทย์ได้ เนื่องจากมีข้อกังวลเรื่องอำนาจหน้าที่และความรับผิดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ในการนี้ เพื่อให้บรรลุวัตถุประสงค์ สำนักการแพทย์จึงขอหารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ในประเด็นต่าง ๆ ดังนี้

๑. กทม. สามารถใช้ฐานภารกิจของรัฐ (Public Task) เป็นฐานทางกฎหมายในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลและข้อมูลอ่อนไหวของประชาชน จากสถานพยาบาลของรัฐและเอกชน ในพื้นที่ กทม. เพื่อมาใช้ในการวางแผนการบริหารจัดการระบบบริการทางการแพทย์และสาธารณสุข ภายใต้อำนาจหน้าที่ของ กทม. ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ มาตรา ๒๔ (๔) และมาตรา ๒๖ (๕) (ข) ได้หรือไม่

๒. หากไม่สามารถกระทำการตามข้อ ๑ ได้ จะสามารถใช้ฐานทางกฎหมายใดหรือ มีข้อเสนอแนะอื่นใดเพื่อให้สำนักการแพทย์สามารถดำเนินการให้บรรลุวัตถุประสงค์ได้อย่างสะดวก รวดเร็ว และชอบด้วยกฎหมาย

ต่อมา สำนักการแพทย์ กรุงเทพมหานคร ได้มีหนังสือขอชี้แจงเพิ่มเติม สรุปความในส่วนที่ เกี่ยวข้องได้ว่า กทม. มีนโยบายในการรวบรวมข้อมูลสุขภาพจากสถานพยาบาลอื่นในพื้นที่ กทม. เพื่อนำมาใช้ ประโยชน์ในการกำหนดนโยบายสุขภาพ และวางแผนการบริหารจัดการระบบบริการทางการแพทย์และ สาธารณสุขในพื้นที่ กทม. ซึ่งปัจจุบันยังมิได้มีการดำเนินการรวบรวมข้อมูลดังกล่าว โดยได้ขอหารือการรวบรวม และการประมวลผลข้อมูลสุขภาพของสถานพยาบาลในพื้นที่ กทม. จากสำนักงานคณะกรรมการคุ้มครองข้อมูล ส่วนบุคคลก่อนการดำเนินการ ทั้งนี้ กทม. ไม่มีนโยบายเปิดเผยข้อมูลดังกล่าวให้แก่บุคคลใด ยกเว้นการส่ง ข้อมูลให้กระทรวงสาธารณสุขเพื่อนำไปใช้ในการกำหนดนโยบายระดับประเทศเท่านั้น

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วย การคุ้มครองข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือ โดยได้รับทราบ ข้อเท็จจริงเพิ่มเติมจากผู้แทนสำนักการแพทย์ กรุงเทพมหานคร แล้ว มีความเห็นว่า กทม. เป็นราชการบริหาร ส่วนท้องถิ่น มีฐานะเป็นนิติบุคคล ตามมาตรา ๖ แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. ๒๕๒๘ และเป็นหน่วยงานของรัฐตามบทนิยามในมาตรา ๔ แห่งพระราชบัญญัติข้อมูลข่าวสาร ของราชการ พ.ศ. ๒๕๔๐ การบริหารจัดการข้อมูลข่าวสารที่อยู่ในความครอบครองหรือควบคุมดูแลของ กทม. จึงต้องถือปฏิบัติตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการด้วย ซึ่งเป็นไปตามมาตรา ๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่บัญญัติว่า “ในกรณีที่มีกฎหมายว่าด้วยการใด บัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่ (๑) บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนดโทษ ที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติ แห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ฯลฯ” กทม. จึงควรดำเนินการให้เป็นไปตามกฎหมายว่าด้วยข้อมูล

๓

ข่าวสารของราชการ และให้พิจารณาบทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นการเพิ่มเติม ในการดำเนินการดังกล่าวต่อไป อย่างไรก็ตาม ในส่วนที่เกี่ยวข้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เนื่องจากพิจารณา ตามข้อเท็จจริงได้ว่า ในการดำเนินการตามวัตถุประสงค์ที่หารือมานั้น กทม. มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ในการดำเนินงานตามอำนาจหน้าที่ กทม. จึงมีฐานะ เป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยคณะอนุกรรมการตอบข้อหารือฯ มีความเห็นในแต่ละประเด็น ดังนี้

ประเด็นข้อหารือที่ ๑ เห็นว่า กทม. มีอำนาจหน้าที่ดำเนินกิจการในเขต กทม. ในเรื่องต่าง ๆ ตามที่กฎหมายกำหนด ซึ่งรวมถึงการดำเนินกิจการในเรื่องการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาลตามมาตรา ๘๙ (๑๖) แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. ๒๕๒๘ โดยมีสำนักการแพทย์เป็นส่วนราชการในสังกัดที่มีอำนาจหน้าที่จัดให้มีบริการโรงพยาบาล ในการตรวจรักษาพยาบาล ส่งเสริมสุขภาพ ป้องกันโรค ฟื้นฟูสุขภาพและสมรรถภาพ บริหารและจัดบริการ การแพทย์ฉุกเฉินและส่งต่อผู้ป่วย เพื่อลดการบาดเจ็บและการตายจากการเจ็บป่วยของผู้ป่วย จัดการศึกษา ฝึกอบรม พัฒนาทางวิชาการด้านการแพทย์และสาธารณสุข และปฏิบัติหน้าที่อื่นที่เกี่ยวข้องหรือ ได้รับมอบหมาย ตามข้อ ๑๐ ของประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงาน และการกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ ๓๑ ตุลาคม พ.ศ. ๒๕๒๘ ซึ่งแก้ไขเพิ่มเติม โดยประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ ๙๔) ลงวันที่ ๑๑ เมษายน พ.ศ. ๒๕๖๐ นอกจากนี้ สำนักการแพทย์ ยังมีสำนักงานพัฒนาระบบบริการทางการแพทย์เป็นส่วนราชการในสังกัด มีอำนาจหน้าที่วางแผน กำกับ ติดตาม วิเคราะห์และประเมินผลแผนยุทธศาสตร์ ด้านการแพทย์และสาธารณสุข พัฒนาระบบบริการ สุขภาพ คุณภาพบริการ และสร้างเครือข่ายทางการแพทย์และสาธารณสุข รวมทั้งเป็นศูนย์ข้อมูลสารสนเทศ ทางการแพทย์ ตามข้อ ๑๑ (๒) ของประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและ การกำหนดอำนาจหน้าที่ของส่วนราชการกรุงเทพมหานคร ลงวันที่ ๓๑ ตุลาคม พ.ศ. ๒๕๒๘ ซึ่งแก้ไขเพิ่มเติม โดยประกาศกรุงเทพมหานคร เรื่อง การแบ่งส่วนราชการภายในหน่วยงานและการกำหนดอำนาจหน้าที่ ของส่วนราชการกรุงเทพมหานคร (ฉบับที่ ๙๗) ลงวันที่ ๖ กันยายน พ.ศ. ๒๕๖๐

การที่ กทม. โดยสำนักการแพทย์ มีความจำเป็นต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลของประชาชนที่มารักษาพยาบาลหรือรับบริการด้านสุขภาพจากสถานพยาบาลต่าง ๆ ในพื้นที่ กทม. ทั้งสถานพยาบาลของรัฐในสังกัดต่าง ๆ และสถานพยาบาลเอกชน เพื่อวัตถุประสงค์ในการประเมินสถานการณ์ หรืออุบัติการณ์ของการเกิดโรค การสร้างเสริมสุขภาพ การจัดบริการทางการแพทย์ การวิเคราะห์และ วางแผนการบริหารจัดการระบบบริการทางการแพทย์และสาธารณสุข รวมถึงทรัพยากรที่จำเป็น ทั้งทางด้านบุคลากร สถานที่ อุปกรณ์ และครุภัณฑ์ทางการแพทย์ให้เพียงพอต่อการให้บริการประชาชน ทั้งในสถานการณ์ปกติและภาวะฉุกเฉิน นั้น ถือเป็นอำนาจหน้าที่ของ กทม. และส่วนราชการในสังกัด ในการดำเนินกิจการในเรื่องการสาธารณสุข การอนามัยครอบครัว และการรักษาพยาบาลตามมาตรา ๘๙ (๑๖)

๔

แห่งพระราชบัญญัติระเบียบบริหารราชการกรุงเทพมหานคร พ.ศ. ๒๕๒๘ รวมทั้งอาจเกี่ยวข้องกับการดำเนินกิจการในเรื่องการป้องกันและบรรเทาสาธารณภัยตามมาตรา ๘๙ (๓) ด้วย จึงถือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของ กทม. หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ กทม. การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าวของ กทม. จึงได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๒๔ (๔) ประกอบมาตรา ๒๗ วรรคหนึ่งแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

สำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เช่น ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพและความพิการจากสถานพยาบาลต่าง ๆ ในเขต กทม. นั้น เมื่อ กทม. ดำเนินการตามวัตถุประสงค์ข้างต้น จึงเป็นไปตามอำนาจหน้าที่ที่กฎหมายกำหนด จึงถือว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การให้บริการด้านสุขภาพหรือสังคมหรือการจัดการด้านสุขภาพ หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุข กทม. จึงสามารถเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวได้โดยไม่ต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ตามมาตรา ๒๖ (๕) (ก) และ/หรือ (ข) ประกอบมาตรา ๒๗ วรรคหนึ่งแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ อย่างไรก็ตาม ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว กทม. จะต้องจัดให้มีมาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะการรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่หรือตามจริยธรรมแห่งวิชาชีพด้วย

นอกจากนี้ เมื่อได้พิจารณาแล้วว่า การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังกล่าวของ กทม. เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมตามมาตรา ๒๔ หรือมาตรา ๒๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวของ กทม. ซึ่งถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง จึงสามารถกระทำได้ตามมาตรา ๒๕ วรรคหนึ่ง (๒) ด้วย

ประเด็นข้อหารือที่ ๒ เมื่อคณะอนุกรรมการตอบข้อหารือฯ ได้ให้ความเห็นในประเด็นหารือที่ ๑ แล้วว่า กทม. โดยสำนักการแพทย์ สามารถเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของประชาชนที่มารักษาพยาบาลในสถานพยาบาลในเขต กทม. เพื่อใช้ในการวางแผนบริหารจัดการระบบบริการทางการแพทย์และสาธารณสุขตามที่ขอหารือได้ โดยได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามมาตรา ๒๔ (๔) และมาตรา ๒๖ (๕) (ก) และ/หรือ (ข) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ จึงไม่มีความจำเป็นต้องพิจารณาให้ความเห็นในประเด็นข้อหารือที่ ๒ อีก

อย่างไรก็ตาม คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า กทม. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล จะต้องพิจารณาเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของ กทม. ตามมาตรา ๒๒ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และควรประสานงานกับสถานพยาบาลในเขต กทม. ที่จะเปิดเผยข้อมูลส่วนบุคคลมายัง กทม. ให้มีการแจ้งรายละเอียดซึ่งรวมถึง

๕

วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อเปิดเผยให้กับ กทม. ดังกล่าวให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมตามมาตรา ๒๓ หรือมีการแจ้งวัตถุประสงค์ใหม่ที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้เดิมให้เจ้าของข้อมูลส่วนบุคคลทราบแล้วตามมาตรา ๒๑ รวมทั้งจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไขหรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ตามมาตรา ๓๗ (๑) ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ นอกจากนี้ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ตามที่หารือดังกล่าว กทม. ควรพิจารณาดำเนินการตามอำนาจหน้าที่ที่กฎหมายกำหนด โดยคำนึงถึงความเชื่อมโยงกับการดำเนินงานตามอำนาจหน้าที่ของกระทรวงสาธารณสุขด้วย