PDPC_Consult-65

เรื่อง กรมสุขภาพจิตขอหารือเกี่ยวกับการแลกเปลี่ยนข้อมูลผู้ป่วยจิตเวชและยาเสพติดที่มีความเสี่ยงสูงต่อการก่อความรุนแรง เพื่อความปลอดภัยของผู้ป่วย ผู้อื่น และสาธารณชน

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๓ (๑) มาตรา ๒๒ มาตรา ๒๔ (๒) (๔) และ (๖) มาตรา ๒๖ (๑) และ (๕) (ก) (ข)
   และ (จ) มาตรา ๒๗ มาตรา ๓๕ และมาตรา ๓๗ (๑) (๒) และ (๓)

2. พระราชบัญญัติสุขภาพจิต พ.ศ. ๒๕๕๑ และที่แก้ไขเพิ่มเติม
   มาตรา ๓ มาตรา ๑๑/๑ (๒) และ (๔) มาตรา ๑๕ (๒) มาตรา ๑๖ มาตรา ๒๒ มาตรา ๒๓
   มาตรา ๒๔ และมาตรา ๒๗

3. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. ๒๕๖๒
   มาตรา ๑๓ มาตรา ๑๔ และมาตรา ๑๖

4. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐

5. พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม

6. พระราชบัญญัติการแพทย์ฉุกเฉิน พ.ศ. ๒๕๕๑

7. พระราชบัญญัติมาตรการป้องกันการกระทำความผิดซ้ำในความผิดเกี่ยวกับเพศหรือที่ใช้ความรุนแรง พ.ศ. ๒๕๖๕

8. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕
   ข้อ ๔ (๒) (๖) และ (๗)

ข้อหารือ

กรมสุขภาพจิตแจ้งว่า ในฐานะหน่วยธุรการของคณะกรรมการสุขภาพจิตแห่งชาติกรมสุขภาพจิตมีอำนาจหน้าที่ตามพระราชบัญญัติสุขภาพจิต พ.ศ. ๒๕๕๑ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติสุขภาพจิต (ฉบับที่ ๒) พ.ศ. ๒๕๖๒ มาตรา ๑๑/๑ (๒) ในการประสานงานและร่วมมือกับหน่วยงานของรัฐและเอกชนที่เกี่ยวข้องในการดำเนินงานด้านสุขภาพจิต เพื่อให้เป็นไปตามนโยบาย ยุทธศาสตร์และแผนสุขภาพจิตระดับชาติ และตามมาตรา ๑๑/๑ (๔) ในการปฏิบัติการอื่นใดตามที่คณะรัฐมนตรี คณะกรรมการคณะกรรมการอุทธรณ์ หรือคณะอนุกรรมการมอบหมาย หรือตามที่กฎหมายกำหนดให้เป็นอำนาจหน้าที่ของกรมสุขภาพจิต ร่วมกับปัญหาผู้ป่วยจิตเวชที่ก่อความรุนแรงเกิดจากความเจ็บป่วยทางจิต การเสพสารเสพติดรวมทั้งการเผชิญกับสภาวะความเครียดจากสิ่งแวดล้อม สังคม และเศรษฐกิจ นำมาสู่การกระทำความรุนแรงทั้งต่อตนเอง ผู้อื่น และทรัพย์สิน ตลอดจนการกระทำความผิด คณะกรรมการสุขภาพจิตแห่งชาติ ในการประชุมครั้งที่ ๑/๒๕๖๖ เมื่อวันที่ ๒๗ เมษายน ๒๕๖๖ จึงมีมติให้คณะอนุกรรมการสุขภาพจิตในระดับจังหวัด

๒

ซึ่งมีผู้ว่าราชการจังหวัดเป็นประธานอนุกรรมการ และมีนายแพทย์สาธารณสุขจังหวัดเป็นเลขานุการ มีองค์ประกอบเป็นตัวแทนส่วนราชการ หน่วยงานของรัฐ ตัวแทนภาคเอกชน และผู้ทรงคุณวุฒิด้านต่าง ๆ ที่เกี่ยวข้องกับสุขภาพจิต ดำเนินการตามระบบ V-care ที่เป็นระบบเฝ้าระวังผู้ป่วยจิตเวชและยาเสพติดที่มีความเสี่ยงสูงต่อการก่อความรุนแรง (Serious Mental Illness with High Risk to Violence: SMI-V) ภายใต้มาตรฐานการปฏิบัติงานการดูแลผู้ป่วยจิตเวชและยาเสพติดที่มีความเสี่ยงสูงต่อการก่อความรุนแรง ทั้งนี้ มีผู้ป่วยจิตเวชจำนวนหนึ่งที่ก่อความรุนแรงถึงขั้นมีคดีความและได้รับโทษแล้ว และยังคงมีความเสี่ยงที่จะก่อความรุนแรงช้ำหากพ้นโทษหรือได้รับการปล่อยตัว อย่างไรก็ตาม หากผู้ป่วยเหล่านี้ได้รับการปล่อยตัวจากกรมราชทัณฑ์ กรมคุมประพฤติ หรือกรมพินิจและคุ้มครองเด็กและเยาวชนแล้ว ยังสามารถอยู่ร่วมกับคนในสังคมได้ หากแต่ต้องมีมาตรการเฝ้าระวังทางด้านยุติธรรมและด้านสาธารณสุขที่เข้มข้น ได้แก่ การติดตามเฝ้าระวังอย่างใกล้ชิด การดูแลรักษาอย่างต่อเนื่องในชุมชน หากมีอาการกำเริบให้รับนำส่งเข้าสู่การรักษาที่สถานพยาบาลอย่างรวดเร็ว โดยอาศัยความร่วมมือของสำนักงานตำรวจแห่งชาติในการเข้าระงับความคลุ้มคลั่งของผู้ป่วยหากอาการกำเริบและการนำส่งโดยสถาบันการแพทย์ฉุกเฉินแห่งชาติ จึงจะสามารถป้องกันการก่อความรุนแรงได้

ดังนั้น การแลกเปลี่ยนข้อมูลผู้ป่วยจิตเวชที่พ้นโทษและปล่อยตัวแล้ว แต่มีความเสี่ยงสูงต่อการก่อความรุนแรงร่วมกันระหว่างหน่วยงานที่เกี่ยวข้องดังกล่าว จึงมีความจำเป็นอย่างยิ่งสำหรับการติดตามเฝ้าระวัง ลดการก่อความรุนแรงช้ำ และเพื่อความปลอดภัยของผู้ป่วย ผู้อื่น และสาธารณชน ในการจัดทำฐานข้อมูลดังกล่าว จำเป็นต้องมีการแลกเปลี่ยนข้อมูลผู้ป่วยจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรงจากกรมสุขภาพจิต ข้อมูลผู้ต้องชั่งที่กำลังจะพ้นโทษ จากกรมราชทัณฑ์ ข้อมูลผู้ที่ได้รับคำสั่งศาลในการคุมประพฤติ และข้อมูลผู้ที่พ้นโทษที่มีความผิดตามพระราชบัญญัติมาตรการป้องกันการกระทำความผิดซ้ำ ในความผิดเกี่ยวกับเพศหรือใช้ความรุนแรง พ.ศ. ๒๕๖๕ จากกรมคุมประพฤติ ข้อมูลเด็กและเยาวชน ผู้ที่จะได้รับการปล่อยตัวจากกรมพินิจและคุ้มครองเด็กและเยาวชน เพื่อส่งต่อข้อมูลให้สำนักงานตำรวจแห่งชาติและสถาบันการแพทย์ฉุกเฉินแห่งชาติ ในการดำเนินมาตรการเฝ้าระวัง ซึ่งข้อมูลดังกล่าวเป็นข้อมูลที่เป็นความลับของผู้ป่วย ทั้งนี้ กรมสุขภาพจิตมีแนวทางการจัดทำฐานข้อมูลผู้ป่วยจิตเวชและยาเสพติดที่มีความเสี่ยงสูงต่อการก่อความรุนแรง โดยกรมสุขภาพจิตเป็นผู้ควบคุมข้อมูลและออกแบบให้มีการบันทึกข้อมูล ได้แก่ ข้อมูลทั่วไป ข้อมูลความเจ็บป่วย ข้อมูลประวัติพฤติกรรมรุนแรง ข้อมูลการใช้สารเสพติด ข้อมูลคดีที่ไม่มีรายละเอียดของพฤติการณ์คดี ข้อมูลการวินิจฉัยโรคทางจิตเวช ข้อมูลการรักษาและยาที่ผู้ป่วยได้รับข้อมูลการตรวจวินิจฉัยและประเมินความสามารถในการต่อสู้คดี และข้อมูลสถานะปัจจุบันของผู้ป่วยกรมราชทัณฑ์ กรมคุมประพฤติ และกรมพินิจและคุ้มครองเด็กและเยาวชน เป็นผู้บันทึกข้อมูล และสามารถเข้าถึงข้อมูลชุดนี้ได้เฉพาะผู้ป่วยที่อยู่ในความดูแลของเรือนจำ ทัณฑสถาน สำนักงานคุมประพฤติ สถานพินิจและคุ้มครองเด็กและเยาวชนที่รับผิดชอบติดตามผู้ป่วยรายนั้น ในส่วนของสถาบันและโรงพยาบาลในสังกัดกรมสุขภาพจิตสามารถเข้าถึงข้อมูลชุดนี้ได้เฉพาะผู้ป่วยที่อยู่ในพื้นที่ความรับผิดชอบเท่านั้น สถาบันการแพทย์ฉุกเฉินแห่งชาติสามารถเข้าถึงข้อมูลทั่วไป ข้อมูลความเจ็บป่วย ข้อมูลประวัติพฤติกรรมรุนแรง ข้อมูลการใช้

๓

สารเสพติด ข้อมูลคดีที่ไม่มีรายละเอียดของพฤติการณ์คดี ข้อมูลการวินิจฉัยโรคทางจิตเวช ข้อมูลการรักษาและ
ยาที่ผู้ป่วยได้รับ และข้อมูลสถานะปัจจุบันของผู้ป่วยที่อยู่ในพื้นที่ความรับผิดชอบเท่านั้น เพื่อเป็นประโยชน์
ต่อการดูแลผู้ป่วยกรณีมีอาการกำเริบและรีบนำส่งเข้ารับการรักษา ส่วนสำนักงานตำรวจแห่งชาติสามารถเข้าถึง
ข้อมูลได้เฉพาะข้อมูลทั่วไป ข้อมูลประวัติพฤติกรรมรุนแรง และข้อมูลคดีที่ไม่มีรายละเอียดของพฤติการณ์คดี
ของผู้ป่วยที่อยู่ในพื้นที่ความรับผิดชอบเท่านั้น เพื่อให้มีการเฝ้าระวังกรณีที่ผู้ป่วยอาการกำเริบและต้องมี
การเข้าระงับเหตุ ซึ่งจะเป็นการเพิ่มความปลอดภัยของผู้ป่วย ผู้อื่น และสาธารณชน ทั้งนี้ คณะอนุกรรมการ
พัฒนาและขับเคลื่อนการดำเนินงานตามกฎหมายว่าด้วยสุขภาพจิต ซึ่งมีอธิบดีกรมสุขภาพจิตเป็นประธาน
อนุกรรมการ และมีผู้อำนวยการสำนักงานเลขานุการคณะกรรมการสุขภาพจิต กรมสุขภาพจิต เป็นเลขานุการ
มีองค์ประกอบเป็นตัวแทนส่วนราชการ หน่วยงานของรัฐ ตัวแทนภาคเอกชน และผู้ทรงคุณวุฒิด้านต่าง ๆ
ที่เกี่ยวข้องกับสุขภาพจิต จึงได้มีการหารือร่วมกันโดยมีความเห็นว่า การเชื่อมโยงข้อมูลดังกล่าวน่าจะสามารถ
กระทำได้ตามข้อยกเว้นในบทบัญญัติตามมาตรา ๑๖ แห่งพระราชบัญญัติสุขภาพจิต พ.ศ. ๒๕๕๑
ซึ่งบัญญัติห้ามมิให้ผู้ใดเปิดเผยข้อมูลด้านสุขภาพของผู้ป่วยในประการที่น่าจะทำให้เกิดความเสียหายแก่ผู้ป่วย
เว้นแต่ (๑) ในกรณีที่อาจเกิดอันตรายต่อผู้ป่วยหรือผู้อื่น (๒) เพื่อความปลอดภัยของสาธารณชน
(๓) มีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผย และตามข้อยกเว้นในมาตรา ๒๔ (๒) และ (๔) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่บัญญัติห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวม
ข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่ (๒) เพื่อป้องกันหรือระงับ
อันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล และ (๔) เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนิน
ภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่
ผู้ควบคุมข้อมูลส่วนบุคคล หรือตามข้อยกเว้นในมาตรา ๒๖ (๑) และ (๕) (ก) และ (จ) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่บัญญัติห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ ฯลฯ
โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่ (๑) เพื่อป้องกันหรือระงับอันตราย
ต่อชีวิต ร่างกาย หรือสุขภาพของบุคคลซึ่งเจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมได้ ไม่ว่าด้วย
เหตุใดก็ตาม และ (๕) เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ (ก)
การให้บริการด้านสุขภาพหรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ ฯลฯ และ (จ)
ประโยชน์สาธารณะที่สำคัญ

จากมติการประชุมคณะอนุกรรมการพัฒนาและขับเคลื่อนการดำเนินงานตามกฎหมายว่าด้วย
สุขภาพจิต ครั้งที่ ๑/๒๕๖๘ เมื่อวันที่ ๓ มีนาคม ๒๕๖๘ ให้จัดตั้งคณะทำงาน อันประกอบด้วยตัวแทนของ
ส่วนราชการและหน่วยงานของรัฐที่เกี่ยวข้อง ได้แก่ กรมสุขภาพจิต กรมราชทัณฑ์ กรมคุมประพฤติ
กรมพินิจและคุ้มครองเด็กและเยาวชน สำนักงานตำรวจแห่งชาติ และสถาบันการแพทย์ฉุกเฉินแห่งชาติ
สำหรับการดำเนินการเชื่อมโยงข้อมูลเพื่อติดตามผู้ป่วยดังกล่าว กรมสุขภาพจิตจึงขอหารือใน ๓ ประเด็น ดังนี้

๔

๑. กรมสุขภาพจิต กรมการแพทย์ สำนักงานปลัดกระทรวงสาธารณสุข กรมราชทัณฑ์ กรมคุมประพฤติ กรมพินิจและคุ้มครองเด็กและเยาวชน สำนักงานตำรวจแห่งชาติ สถาบันการแพทย์ฉุกเฉินแห่งชาติ และส่วนราชการอื่นที่เกี่ยวข้อง สามารถเชื่อมโยงข้อมูลและแลกเปลี่ยนข้อมูลระหว่างกัน ที่เกี่ยวข้องกับผู้ป่วย ทางจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรง เพื่อความปลอดภัย ของผู้ป่วย หรือผู้อื่น เป็นการป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล และเป็นการจำเป็น เพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะ และเพื่อความปลอดภัยของสาธารณชน ภายใต้บทบัญญัติแห่งพระราชบัญญัติสุขภาพจิต พ.ศ. ๒๕๕๑ ซึ่งแก้ไขเพิ่มเติมโดยพระราชบัญญัติสุขภาพจิต (ฉบับที่ ๒) พ.ศ. ๒๕๖๒ และบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ได้หรือไม่

๒. หากสามารถดำเนินการได้ มีเงื่อนไข ขั้นตอน ข้อพึงปฏิบัติ และข้อสังเกตในการดำเนินการ อย่างไร เพื่อให้ถูกต้องตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เช่น การจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (Data Sharing Agreement: DSA)

๓. หากไม่สามารถดำเนินการได้ จะมีข้อแนะนำเช่นไร เพื่อให้หน่วยงานของรัฐที่เกี่ยวข้อง ดังกล่าวสามารถดำเนินการในส่วนที่เกี่ยวกับข้อมูลส่วนบุคคลได้ เพื่อให้บรรลุวัตถุประสงค์ของการเฝ้าระวัง ผู้ป่วยจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรง เพื่อความปลอดภัย ของผู้ป่วย ผู้อื่น และสาธารณชน

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าว โดยมีผู้แทน กรมสุขภาพจิตชี้แจงข้อเท็จจริงประกอบการพิจารณาแล้ว มีความเห็น ดังนี้

ประเด็นข้อหารือที่ ๑ การแลกเปลี่ยนข้อมูลส่วนบุคคลที่เกี่ยวข้องกับผู้ป่วยจิตเวชหรือผู้ป่วย ยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรง ระหว่างหน่วยงานของรัฐที่เกี่ยวข้อง เพื่อความปลอดภัยของผู้ป่วย ผู้อื่น และสาธารณชน สามารถดำเนินการได้หรือไม่ เห็นว่า มาตรา ๓ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติไว้เป็นหลักการว่า ในกรณีที่มีกฎหมาย ว่าด้วยการใดบัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในลักษณะใด กิจการใด หรือหน่วยงานใดไว้ โดยเฉพาะแล้ว ให้บังคับตามบทบัญญัติแห่งกฎหมายว่าด้วยการนั้น เว้นแต่บทบัญญัติเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และบทบัญญัติเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล รวมทั้งบทกำหนด โทษที่เกี่ยวข้อง ให้บังคับตามบทบัญญัติแห่งพระราชบัญญัตินี้เป็นการเพิ่มเติม ไม่ว่าจะซ้ำกับบทบัญญัติ แห่งกฎหมายว่าด้วยการนั้นหรือไม่ก็ตาม ดังนั้น ในการดำเนินการดังกล่าว กรมสุขภาพจิตและหน่วยงาน ที่เกี่ยวข้อง จึงควรพิจารณาดำเนินการให้สอดคล้องกับกฎหมายอื่น ๆ ที่บัญญัติเกี่ยวกับการคุ้มครองข้อมูล ส่วนบุคคลไว้โดยเฉพาะ เช่น พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ พระราชบัญญัติสุขภาพ

๕

แห่งชาติ พ.ศ. ๒๕๕๐ และพระราชบัญญัติสุขภาพจิต พ.ศ. ๒๕๕๑ และที่แก้ไขเพิ่มเติม ก่อน แล้วจึงพิจารณา ตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นการเพิ่มเติมต่อไป

สำหรับบุคคลที่มีความผิดปกติทางจิตซึ่งควรได้รับการบำบัดรักษา ซึ่งถือเป็นผู้ป่วยตาม บทนิยามในมาตรา ๓ แห่งพระราชบัญญัติสุขภาพจิต พ.ศ. ๒๕๕๑ รวมทั้งกรณีผู้ป่วยคดี มาตรา ๑๕ (๒) แห่งพระราชบัญญัติดังกล่าว บัญญัติว่าผู้ป่วยย่อมมีสิทธิได้รับการปกปิดข้อมูลเกี่ยวกับการเจ็บป่วยและ การบำบัดรักษาไว้เป็นความลับ เว้นแต่มีกฎหมายบัญญัติไว้ให้เปิดเผยได้ และมาตรา ๑๖ บัญญัติห้ามมิให้ ผู้ใดเปิดเผยข้อมูลด้านสุขภาพของผู้ป่วยในประการที่น่าจะทำให้เกิดความเสียหายแก่ผู้ป่วย เว้นแต่ (๑) ในกรณี ที่อาจเกิดอันตรายต่อผู้ป่วยหรือผู้อื่น (๒) เพื่อความปลอดภัยของสาธารณชน (๓) มีกฎหมายเฉพาะ บัญญัติให้ต้องเปิดเผย นอกจากนี้ มาตรา ๒๒ กำหนดให้บุคคลที่มีความผิดปกติทางจิตในกรณีที่มี ภาวะอันตรายหรือมีความจำเป็นต้องได้รับการบำบัดรักษา (ตามความหมายในบทนิยามในมาตรา ๓) เป็นบุคคลที่ต้องได้รับการบำบัดรักษา และมาตรา ๒๓ กำหนดว่า ผู้ใดพบบุคคลซึ่งมีพฤติการณ์อันน่าเชื่อว่า บุคคลนั้นมีลักษณะตามมาตรา ๒๒ ให้แจ้งต่อพนักงานเจ้าหน้าที่ พนักงานฝ่ายปกครองหรือตำรวจโดยไม่ชักช้า และมาตรา ๒๔ กำหนดว่า พนักงานเจ้าหน้าที่ พนักงานฝ่ายปกครองหรือตำรวจที่ได้รับแจ้งตามมาตรา ๒๓ หรือพบบุคคลซึ่งมีพฤติการณ์อันน่าเชื่อว่าบุคคลนั้นมีลักษณะตามมาตรา ๒๒ มีหน้าที่ดำเนินการนำตัวบุคคล นั้นไปยังสถานพยาบาลของรัฐหรือสถานบำบัดรักษาซึ่งอยู่ใกล้โดยไม่ชักช้า เพื่อรับการตรวจวินิจฉัยและ ประเมินอาการเบื้องต้นตามมาตรา ๒๗ ทั้งนี้ โดยจะมีผู้รับดูแลบุคคลดังกล่าวไปด้วยหรือไม่ก็ได้

ดังนั้น หากกรมสุขภาพจิต ร่วมกับกรมการแพทย์ สำนักงานปลัดกระทรวงสาธารณสุข กรมราชทัณฑ์ กรมคุมประพฤติ กรมพินิจและคุ้มครองเด็กและเยาวชน สำนักงานตำรวจแห่งชาติ สถาบัน การแพทย์ฉุกเฉินแห่งชาติ และหน่วยงานของรัฐแห่งอื่นที่เกี่ยวข้อง เห็นว่า การแลกเปลี่ยนข้อมูลส่วนบุคคล ซึ่งรวมถึงข้อมูลด้านสุขภาพ ของบุคคลที่มีความผิดปกติทางจิตซึ่งควรได้รับการบำบัดรักษา โดยเฉพาะกรณี ผู้ป่วยจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวชที่มีความเสี่ยงสูงต่อการก่อความรุนแรง ระหว่าง หน่วยงานของรัฐที่เกี่ยวข้องด้วยกัน แม้อาจเป็นการเปิดเผยในประการที่น่าจะทำให้เกิดความเสียหายแก่ผู้ป่วย แต่เป็นกรณีที่มีความจำเป็นเนื่องจากอาจเกิดอันตรายต่อผู้ป่วยหรือผู้อื่น หรือเพื่อความปลอดภัยของ สาธารณชน ตามมาตรา ๑๖ (๑) หรือ (๒) แห่งพระราชบัญญัติสุขภาพจิต พ.ศ. ๒๕๕๑ หรือเป็นการจำเป็น เพื่อให้พนักงานเจ้าหน้าที่ พนักงานฝ่ายปกครองหรือตำรวจสามารถดำเนินการตามมาตรา ๒๔ แห่ง พระราชบัญญัติสุขภาพจิต พ.ศ. ๒๕๕๑ ได้ หรือเป็นการจำเป็นเพื่อให้สถาบันการแพทย์ฉุกเฉินแห่งชาติ ตลอดจนหน่วยปฏิบัติการ สถานพยาบาล และผู้ปฏิบัติการตามกฎหมายว่าด้วยการแพทย์ฉุกเฉิน สามารถดำเนินการปฏิบัติการฉุกเฉินได้อย่างปลอดภัยและมีประสิทธิภาพ รวมทั้งในกรณีที่มีความจำเป็น ต้องดำเนินการตามมาตรการแก้ไขพื้นที่ผู้กระทำควรมีมาตรการเฝ้าระวังภายหลังพ้นโทษ และมาตรการคุมขัง ภายหลังพ้นโทษ ตามพระราชบัญญัติมาตรการป้องกันการกระทำควรมีมาตรการที่เกี่ยวกับเพศหรือ ที่ใช้ความรุนแรง พ.ศ. ๒๕๖๕ ก็อาจถือเป็นการเปิดเผยข้อมูลส่วนบุคคลที่เป็นการจำเป็นเพื่อการปฏิบัติหน้าที่

๖

ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจ รัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๔) หรือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุม ข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๖) แล้วแต่กรณี ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ที่ไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลได้ และสำหรับข้อมูล ส่วนบุคคลเกี่ยวกับประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ หรือข้อมูลส่วนบุคคลอื่นตามมาตรา ๒๖ ก็อาจถือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการวินิจฉัยโรค ทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ ตามมาตรา ๒๖ (๕) (ก) หรือเพื่อให้บรรลุวัตถุประสงค์ เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุข ตามมาตรา ๒๖ (๕) (ข) หรือเพื่อให้บรรลุวัตถุประสงค์ เกี่ยวกับประโยชน์สาธารณะที่สำคัญ ตามมาตรา ๒๖ (๕) (จ) แล้วแต่กรณี ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว ที่ไม่ต้องได้รับความยินยอมโดยขัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลได้ นอกจากนี้ ในกรณีที่มีเหตุอันควรเชื่อว่าอาจมีอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคลใดซึ่งไม่ไกลเกินกว่าเหตุ การเปิดเผยดังกล่าวยังอาจถือเป็นการเปิดเผยข้อมูลส่วนบุคคลเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ตามมาตรา ๒๔ (๒) ประกอบมาตรา ๒๗ วรรคหนึ่ง ที่ไม่ต้องได้รับความยินยอมจาก เจ้าของข้อมูลส่วนบุคคล และสำหรับข้อมูลส่วนบุคคลตามมาตรา ๒๖ ที่เจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ ความยินยอมได้ ไม่ว่าด้วยเหตุใดก็ตาม (เช่น มีภาวะทางการแพทย์หรือมีความผิดปกติทางจิตที่ทำให้ขาด ความสามารถในการตัดสินใจให้ความยินยอม หรือมีสถานะทางกฎหมายที่ทำให้ขาดความสามารถดังกล่าว) ก็อาจถือเป็นกรณีตามมาตรา ๒๖ (๑) ประกอบมาตรา ๒๗ วรรคหนึ่ง ได้เช่นกันอีกด้วย ทั้งนี้ จะต้องจัดให้มี มาตรการที่เหมาะสมและเจาะจงเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลโดยเฉพาะ การรักษาความลับของข้อมูลส่วนบุคคลตามหน้าที่หรือตามจริยธรรมแห่งวิชาชีพ ตามมาตรา ๒๖ (๕) (ข) และ/หรือ (จ) ด้วย

นอกจากนี้ หากข้อมูลส่วนบุคคลที่ประสงค์จะเชื่อมโยงหรือแลกเปลี่ยนกันเป็นข้อมูล ในรูปแบบข้อมูลดิจิทัล ซึ่งกรมสุขภาพจิต กรมการแพทย์ สำนักงานปลัดกระทรวงสาธารณสุข กรมราชทัณฑ์ กรมคุมประพฤติ กรมพินิจและคุ้มครองเด็กและเยาวชน สำนักงานตำรวจแห่งชาติ สถาบันการแพทย์ฉุกเฉิน แห่งชาติ หรือหน่วยงานของรัฐอื่น ๆ ที่เกี่ยวข้อง ได้มาหรือมีอยู่ในความครอบครอง และประสงค์จะใช้ข้อมูล ส่วนบุคคลดังกล่าวในรูปแบบข้อมูลดิจิทัลเพื่อประโยชน์ในการบริหารราชการแผ่นดินและการให้บริการประชาชน ก็สามารถจัดให้มีการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่มีการจัดทำและครอบครองตามที่หน่วยงานของรัฐ แห่งอื่นร้องขอ ที่จะเกิดการบูรณาการร่วมกันได้ ตามมาตรา ๑๓ แห่งพระราชบัญญัติการบริหารงานและ การให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. ๒๕๖๒ โดยจะต้องปฏิบัติให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคลด้วย ตามนัยมาตรา ๑๖ แห่งพระราชบัญญัติดังกล่าว ทั้งนี้ หน่วยงานของรัฐผู้รับข้อมูล ดิจิทัลดังกล่าวต้องใช้ข้อมูลตามวัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษาข้อมูล

๗

ให้มีความมั่นคงปลอดภัย ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล ตามมาตรา ๑๔ แห่งพระราชบัญญัติเดียวกัน

อย่างไรก็ตาม คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า เมื่อคำนึงถึงความเสี่ยง ที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลในกรณีตามประเด็นที่หารือ การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลดังกล่าวต้องดำเนินการเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย ของหน่วยงานของรัฐที่เกี่ยวข้องในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๒๒ แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เท่านั้น โดยอาจพิจารณาจากการจัดประเภทของผู้ป่วยจิตเวช และยาเสพติดที่มีความเสี่ยงสูงต่อการก่อความรุนแรง (Serious Mental Illness with High Risk to Violence: SMI-V) และระดับความเสี่ยงของผู้ป่วยตามหลักเกณฑ์ที่กรมสุขภาพจิตและหน่วยงานที่เกี่ยวข้อง กำหนด ตลอดจนลักษณะหรือประเภทของข้อมูลส่วนบุคคลที่เกี่ยวข้องและจำเป็นต้องเก็บรวบรวม ใช้ หรือเปิดเผยเพื่อให้บรรลุวัตถุประสงค์ดังกล่าว ทั้งนี้ หน่วยงานที่เกี่ยวข้องจะต้องดำเนินการภายใต้บทบัญญัติ แห่งกฎหมายตามกฎหมายว่าด้วยสุขภาพจิตและกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล รวมถึงกฎหมาย อื่นที่เกี่ยวข้องโดยเคร่งครัด และบุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลจากการเปิดเผยข้อมูลส่วนบุคคล ดังกล่าวจะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้ กับหน่วยงานที่เปิดเผยข้อมูลในการขอรับข้อมูลส่วนบุคคลนั้น ตามมาตรา ๒๗ วรรคสอง แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

ประเด็นข้อหารือที่ ๒ เห็นว่า หน่วยงานของรัฐที่เกี่ยวข้องซึ่งมีการแลกเปลี่ยนข้อมูลส่วนบุคคล ระหว่างกันตามที่กล่าวข้างต้น มีหน้าที่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยเฉพาะในเรื่องการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา ๑๗ (๑) ซึ่งต้องเป็นไป ตามมาตรฐานขั้นต่ำที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษา ความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ โดยข้อ ๔ ของประกาศนี้กำหนดว่า มาตรการดังกล่าวจะต้องประกอบด้วยมาตรการเชิงองค์กร (organizational measures) และมาตรการ เชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผย ข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ซึ่งการจัดทำข้อตกลง การแบ่งปันข้อมูลส่วนบุคคล (Data Sharing Agreement: DSA) ถือเป็นมาตรการเชิงองค์กรอย่างหนึ่งเพื่อกำหนด วัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ความรับผิดชอบของแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผย ข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการรับและส่งข้อมูลที่เป็นเอกสารหรือเป็นการแลกเปลี่ยนข้อมูลโดยวิธีการ อิเล็กทรอนิกส์ก็ตาม อันจะเป็นการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่จะเปิดเผยให้กับหน่วยงาน ที่เกี่ยวข้อง และควบคุมดูแลให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลระหว่างกันสอดคล้องกับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ รวมทั้งยังเป็นมาตรการเพื่อป้องกันมิให้หน่วยงาน

๘

ที่ได้รับข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้ตามมาตรา ๒๗ วรรคสอง หรือเพื่อป้องกันมิให้หน่วยงานดังกล่าวใช้หรือเปิดเผยโดยปราศจากอำนาจหรือโดยมิชอบ ตามมาตรา ๓๗ (๒) อีกด้วย ดังนั้น หากกรมสุขภาพจิตและหน่วยงานที่เกี่ยวข้องเห็นสมควรก็ย่อมสามารถหารือและตกลงร่วมกันเพื่อจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกันได้

นอกจากนี้ มาตรการรักษาความมั่นคงปลอดภัยดังกล่าว อย่างน้อยต้องประกอบด้วยการควบคุมการเข้าถึงข้อมูลส่วนบุคคล (access control) ที่มีการพิสูจน์และยืนยันตัวตน (identity proofing and authentication) และการอนุญาตหรือการกำหนดสิทธิในการเข้าถึงและใช้งาน (authorization) ที่เหมาะสม โดยคำนึงถึงหลักการให้สิทธิเท่าที่จำเป็น (need-to-know basis) ตามหลักการให้สิทธิที่น้อยที่สุดเท่าที่จำเป็น (principle of least privilege) การบริหารจัดการการเข้าถึงของผู้ใช้งาน (user access management) รวมถึงการลงทะเบียนและการถอนสิทธิผู้ใช้งาน (user registration and de-registration) และการทบทวนสิทธิการเข้าถึงของผู้ใช้งาน (review of user access rights) ที่เหมาะสม การกำหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน (user responsibilities) ที่ชัดเจน และการจัดให้มีวิธีการเพื่อให้สามารถตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง แก้ไข หรือลบข้อมูลส่วนบุคคล (audit trails) อย่างเหมาะสมตามระดับความเสี่ยง โดยคำนึงถึงความจำเป็นในการเข้าถึงและใช้งานตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล การรักษาความมั่นคงปลอดภัยตามระดับความเสี่ยง ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน ทั้งนี้ ตามข้อ ๔ (๖) (ก) ถึง (ง) ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ รวมถึงการสร้างเสริมความตระหนักรู้ด้านความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัย (privacy and security awareness) และการแจ้งนโยบายแนวปฏิบัติ และมาตรการด้านการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัยอย่างเหมาะสมให้ผู้ใช้งาน (user) หรือผู้ที่เกี่ยวข้องกับการเข้าถึง เก็บรวบรวม ใช้ เปลี่ยนแปลง แก้ไข ลบ หรือเปิดเผยข้อมูลส่วนบุคคล ทราบและถือปฏิบัติ ตามข้อ ๔ (๗) ของประกาศดังกล่าวด้วย

อนึ่ง เมื่อคำนึงถึงความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลในกรณีดังกล่าว คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า กรมสุขภาพจิตและหน่วยงานที่เกี่ยวข้องจะต้องดำเนินการให้ข้อมูลส่วนบุคคลดังกล่าวถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิดตามมาตรา ๓๕ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ รวมทั้งควรจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น ตามมาตรา ๓๗ (๓) เท่าที่จะสามารถกระทำได้ด้วย นอกจากนี้ ควรพิจารณาใช้ความระมัดระวังเป็นพิเศษสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เยาว์ ผู้พิการ ผู้ไร้ความสามารถ ผู้เสมือนไร้ความสามารถ

๙

หรือบุคคลเปราะบาง (vulnerable persons) ที่ขาดความสามารถในการปกป้องสิทธิและประโยชน์ของตน เนื่องจากข้อจำกัดต่าง ๆ

ประเด็นข้อหารือที่ ๓ เมื่อได้พิจารณาแล้วว่า กรมสุขภาพจิตและหน่วยงานที่เกี่ยวข้อง สามารถแลกเปลี่ยนข้อมูลส่วนบุคคลของผู้ป่วยทางจิตเวชหรือผู้ป่วยยาเสพติดซึ่งมีอาการทางจิตเวช ที่มีความเสี่ยงสูงต่อการก่อความรุนแรงระหว่างกันตามประเด็นข้อหารือที่ ๑ ได้ จึงไม่จำเป็นต้องให้ความเห็น ในประเด็นนี้