PDPC_Consult-67

เรื่อง สำนักงานปลัดกระทรวงสาธารณสุขขอหารือข้อกฎหมายเกี่ยวกับการจัดทำข้อตกลงการเปิดเผย ข้อมูลส่วนบุคคลระหว่างกัน (Data Sharing Agreement)

ข้อกฎหมาย

1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   มาตรา ๓ (๑) มาตรา ๖ มาตรา ๒๒ มาตรา ๒๓ (๔) มาตรา ๒๔ (๔) และ (๖) มาตรา ๒๕
   วรรคหนึ่งและวรรคสอง มาตรา ๒๖ (๕) (ค) มาตรา ๒๗ วรรคหนึ่งและวรรคสอง มาตรา ๓๗
   (๑) (๒) (๓) และ (๔) มาตรา ๓๙ มาตรา ๔๐ วรรคหนึ่ง (๑) และวรรคสาม มาตรา ๔๑
   มาตรา ๔๒ วรรคสอง มาตรา ๗๙ มาตรา ๘๐ และมาตรา ๘๑

2. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๓๔ และที่แก้ไขเพิ่มเติม
   มาตรา ๗ วรรคหนึ่ง (๔) และวรรคสาม และมาตรา ๑๘ วรรคสอง

3. พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. ๒๕๔๕
   มาตรา ๒๔ วรรคหนึ่ง มาตรา ๒๖ มาตรา ๔๕ และมาตรา ๔๖

4. พระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. ๒๕๔๕ และที่แก้ไขเพิ่มเติม
   มาตรา ๔๓ (๒)

5. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. ๒๕๖๒
   มาตรา ๑๓ มาตรา ๑๔ และมาตรา ๑๖

6. พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐
   มาตรา ๔

7. พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. ๒๕๕๐ และที่แก้ไขเพิ่มเติม
   มาตรา ๗

8. พระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. ๒๕๔๖ และที่แก้ไขเพิ่มเติม
   มาตรา ๒๗

9. ประมวลกฎหมายอาญา
   มาตรา ๑๕๗

10. กฎกระทรวงแบ่งส่วนราชการสำนักงานปลัดกระทรวง กระทรวงสาธารณสุข พ.ศ. ๒๕๖๗

11. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคง ปลอดภัยของข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕
    ข้อ ๔

๒

๑๒. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕
ข้อ ๓ และข้อ ๔

๑๓. ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูลเพื่อการเรียกเก็บค่าใช้จ่ายเพื่อบริการสาธารณสุข (e-Claim) พ.ศ. ๒๕๖๔

ข้อหารือ

สำนักงานปลัดกระทรวงสาธารณสุขแจ้งว่า สำนักงานปลัดกระทรวงสาธารณสุขและสำนักงานหลักประกันสุขภาพแห่งชาติ ได้ลงนามในบันทึกความเข้าใจว่าด้วยความร่วมมือการดำเนินการพัฒนาระบบข้อมูลการเบิกค่าบริการสาธารณสุข ระหว่างกระทรวงสาธารณสุข และสำนักงานหลักประกันสุขภาพแห่งชาติ เมื่อวันที่ ๘ มีนาคม ๒๕๖๗ ทั้งนี้ กระทรวงสาธารณสุขได้พัฒนาระบบศูนย์กลางข้อมูลด้านการเงิน (Financial Data Hub) ให้มีกระบวนการรับ-ส่งข้อมูลตามหลักกฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) โดยชุดข้อมูลที่มีการรับ-ส่ง ประกอบด้วยข้อมูลบริการสุขภาพของผู้ป่วย เช่น ข้อมูลส่วนบุคคล ประวัติการรักษารายการยาและเวชภัณฑ์ ผลการวินิจฉัยโรค เพื่อนำข้อมูลข้างต้นไปใช้ในการเบิกจ่ายชดเชยค่าบริการทางการแพทย์ ซึ่งถือเป็นข้อมูลอ่อนไหว โดยกระทรวงสาธารณสุขในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) พึงปฏิบัติตามกฎหมายอย่างเคร่งครัดในการเปิดเผยข้อมูลต่อเนติบุคคลอื่น ซึ่งระบบศูนย์กลางข้อมูลด้านการเงิน (Financial Data Hub) ของกระทรวงสาธารณสุข ได้ออกแบบระบบให้มีมาตรการเชิงเทคนิค (Technical measures) เพื่อลดความเสี่ยงการละเมิดของข้อมูลส่วนบุคคลเป็นสำคัญ โดยหน่วยบริการสังกัดกระทรวงสาธารณสุข ทั้งหมดสามารถส่งข้อมูลผ่านระบบดังกล่าวได้เป็นที่เรียบร้อยและพร้อมที่จะรับ-ส่งข้อมูลไปเบิกจ่ายกับกองทุนสุขภาพต่าง ๆ ได้ และเพื่อให้บรรลุวัตถุประสงค์ตามบันทึกความเข้าใจว่าด้วยความร่วมมือกับสำนักงานหลักประกันสุขภาพแห่งชาติ (สปสช.) จึงถือปฏิบัติตามข้อกฎหมายที่เกี่ยวข้อง ดังนี้

๑. พระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๓๔ และที่แก้ไขเพิ่มเติม มาตรา ๗ ให้จัดระเบียบบริหารราชการส่วนกลาง (๔) กรม หรือส่วนราชการที่เรียกชื่ออย่างอื่น และมีฐานะเป็นกรม ซึ่งสังกัดหรือไม่สังกัดสำนักนายกรัฐมนตรี กระทรวงหรือทบวง ส่วนราชการตาม (๑) (๒) (๓) และ (๔) มีฐานะเป็นนิติบุคคล

๒. พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. ๒๕๔๕ มาตรา ๔๕ ให้หน่วยบริการมีหน้าที่ ดังต่อไปนี้ (๕) จัดทำระบบข้อมูลการให้บริการสาธารณสุข เพื่อสะดวกต่อการตรวจสอบคุณภาพและบริการ รวมทั้งการขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข

๓. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

มาตรา ๖ ผู้ควบคุมข้อมูลส่วนบุคคล หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

๓

มาตรา ๓๗ ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ ดังต่อไปนี้ (๑) จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ และต้องทบทวนมาตรการดังกล่าวเมื่อมีความจำเป็นหรือเมื่อเทคโนโลยีเปลี่ยนแปลงไปเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งนี้ให้เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการประกาศกำหนด

๔. พระราชบัญญัติการบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. ๒๕๖๒

มาตรา ๑๓ เพื่อประโยชน์ในการบริหารราชการแผ่นดินและการให้บริการประชาชนให้หน่วยงานของรัฐจัดให้มีการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่มีการจัดทำและครอบครองตามที่หน่วยงานของรัฐแห่งอื่นร้องขอ ที่จะเกิดการบูรณาการร่วมกัน

มาตรา ๑๔ หน่วยงานของรัฐผู้รับข้อมูลดิจิทัลตามมาตรา ๑๓ ต้องใช้ข้อมูลตามวัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษาข้อมูลให้มีความมั่นคงปลอดภัยไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล

มาตรา ๑๖ ภายใต้บทบัญญัติแห่งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลในกรณีที่หน่วยงานของรัฐได้มาซึ่งข้อมูลส่วนบุคคลหรือมีข้อมูลส่วนบุคคลอยู่ในความครอบครอง หากหน่วยงานของรัฐประสงค์จะใช้ข้อมูลส่วนบุคคลดังกล่าวในรูปแบบข้อมูลดิจิทัลเพื่อประโยชน์ในการบริหารราชการแผ่นดินหน่วยงานของรัฐนั้นสามารถขอเชื่อมโยงและแลกเปลี่ยนข้อมูลส่วนบุคคลนั้นจากหน่วยงานของรัฐที่ครอบครองเพื่อนำมาวิเคราะห์หรือประมวลผลได้

๕. ประกาศสำนักงานหลักประกันสุขภาพแห่งชาติ เรื่อง โครงสร้างชุดข้อมูลเพื่อการเรียกเก็บค่าใช้จ่ายเพื่อบริการสาธารณสุข (e-Claim) พ.ศ. ๒๕๖๔

๖. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕

โดยสำนักงานปลัดกระทรวงสาธารณสุขได้จัดประชุมหารือร่างข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน ระหว่างสำนักงานปลัดกระทรวงสาธารณสุขและสำนักงานหลักประกันสุขภาพแห่งชาติเมื่อวันที่ ๑๐ กันยายน ๒๕๖๗

สำนักงานปลัดกระทรวงสาธารณสุข จึงขอหารือในประเด็น ดังนี้

๑. สำนักงานปลัดกระทรวงสาธารณสุข มีฐานะเป็นนิติบุคคล ตามมาตรา ๗ (๔) แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๓๔ และที่แก้ไขเพิ่มเติม โดยมีกฎกระทรวงแบ่งส่วนราชการสำนักงานปลัดกระทรวง กระทรวงสาธารณสุข พ.ศ. ๒๕๖๗ มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงานตามกฎหมาย จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งหน่วยบริการในสังกัดสำนักงานปลัดกระทรวงสาธารณสุข มีหน้าที่ต้องส่งข้อมูลส่วนบุคคลมายังสำนักงานปลัดกระทรวงสาธารณสุข

๔

ดังนั้น การจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ระหว่างสำนักงานปลัดกระทรวงสาธารณสุข ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่ได้รับจากหน่วยบริการในสังกัดสำนักงานปลัดกระทรวงสาธารณสุข และมีการจัดการให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หากสำนักงานปลัดกระทรวงสาธารณสุขประสงค์จะจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ร่วมกับบุคคลหรือนิติบุคคลอื่นใด ควรมีการพิจารณารายละเอียดเงื่อนไขให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ใช่หรือไม่ ทั้งนี้ หากบุคคลหรือนิติบุคคลอื่นใด ไม่มีความประสงค์จะจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ร่วมกับสำนักงานปลัดกระทรวงสาธารณสุข สำนักงานปลัดกระทรวงสาธารณสุขจะต้องดำเนินการอย่างไรเพื่อให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม สอดคล้องพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในการดูแลรับผิดชอบต่อหน่วยบริการภายใต้สังกัดของกระทรวงสาธารณสุข

๒. การที่หน่วยบริการในสังกัดสำนักงานปลัดกระทรวงสาธารณสุข ซึ่งไม่มีฐานะเป็นนิติบุคคล และไม่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงไม่ถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ นั้น หากบุคคลหรือนิติบุคคลอื่นใด มีความประสงค์ขอแบ่งปันข้อมูลส่วนบุคคล จะต้องมีการแจ้งวัตถุประสงค์ในการขอข้อมูลมาที่สำนักงานปลัดกระทรวงสาธารณสุข ซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล เพื่อตัดสินใจเกี่ยวกับการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ใช่หรือไม่ เพื่อให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๓. ในกรณีที่หน่วยบริการในสังกัดสำนักงานปลัดกระทรวงสาธารณสุข ได้ส่งข้อมูลไปยังบุคคลหรือนิติบุคคลอื่นใด โดยที่สำนักงานปลัดกระทรวงสาธารณสุข ในฐานะหน่วยงานกำกับดูแลหน่วยบริการนั้น มีความประสงค์จะจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ร่วมกับบุคคลหรือนิติบุคคลอื่นใด เพื่อจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม แต่บุคคลหรือนิติบุคคลอื่นใดไม่มีความประสงค์จะจัดทำข้อตกลงการเปิดเผยข้อมูลส่วนบุคคลระหว่างกัน (DSA) ร่วมกับสำนักงานปลัดกระทรวงจากกรณีดังกล่าวหากเกิดการรั่วไหลของข้อมูลส่วนบุคคล หน่วยงานใดบ้างที่ต้องมีความรับผิดทางแพ่ง (การขอใช้ค่าเสียหาย) และความรับผิดทางปกครอง (โทษปรับทางปกครอง) ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

๔. เพื่อเป็นการส่งเสริมมาตรการเชิงองค์กรให้กับเจ้าหน้าที่ภายใต้การกำกับของหน่วยงาน การดำเนินการของสำนักงานปลัดกระทรวงสาธารณสุขเกี่ยวกับการบริหารจัดการและแลกเปลี่ยนข้อมูลสุขภาพ หากได้มีการปฏิบัติตามกฎหมายที่เกี่ยวข้องอย่างครบถ้วน ทั้งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎหมายอื่นที่เกี่ยวข้อง จะถือว่าเป็นการดำเนินการที่แสดงถึงความรับผิดชอบ (Accountability) ตามหลักการคุ้มครองข้อมูลส่วนบุคคลและเป็นการปฏิบัติหน้าที่ตามกฎหมายซึ่งไม่เข้าข่าย

๕

ความผิดตามมาตรา ๑๕๗ แห่งประมวลกฎหมายอาญา ว่าด้วยการปฏิบัติหรือละเว้นการปฏิบัติหน้าที่ โดยมีขอบของเจ้าพนักงานหรือไม่ อย่างไร

ความเห็น

คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาข้อหารือดังกล่าวแล้ว มีความเห็นว่า สำนักงานปลัดกระทรวง กระทรวงสาธารณสุข (สป.สธ.) เป็นส่วนราชการที่สังกัดกระทรวงสาธารณสุข ตามมาตรา ๔๓ (๒) แห่งพระราชบัญญัติปรับปรุงกระทรวง ทบวง กรม พ.ศ. ๒๕๔๕ มีฐานะเป็นกรมตาม มาตรา ๑๘ วรรคสอง แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๓๔ และมีฐานะเป็น นิติบุคคลตามมาตรา ๗ วรรคสาม แห่งพระราชบัญญัติเดียวกัน สำหรับพระราชบัญญัติหลักประกันสุขภาพ แห่งชาติ พ.ศ. ๒๕๔๕ เป็นกฎหมายที่บัญญัติขึ้นเพื่อจัดระบบการให้บริการสาธารณสุขที่จำเป็นต่อสุขภาพและ การดำรงชีวิตให้มีการรักษาพยาบาลที่มีมาตรฐาน โดยมีองค์กรกำกับดูแลซึ่งจะดำเนินการโดยการมีส่วนร่วมกัน ระหว่างภาครัฐและภาคประชาชนเพื่อจัดการให้มีระบบการรักษาพยาบาลที่มีประสิทธิภาพทั้งประเทศ และให้ประชาชนชาวไทยมีสิทธิได้รับการบริการสาธารณสุขที่มีมาตรฐานด้วยกันทุกคน อันเป็นไปตาม บทบัญญัติแห่งรัฐธรรมนูญที่บัญญัติให้ขนขาวไทยย่อมมีสิทธิเสมอกันในการรับบริการสาธารณสุขที่ได้มาตรฐาน และผู้ยากไร้มีสิทธิได้รับการรักษาพยาบาลจากสถานบริการสาธารณสุขของรัฐโดยไม่เสียค่าใช้จ่ายตามที่ กฎหมายบัญญัติ และการให้บริการสาธารณสุขของรัฐต้องเป็นไปอย่างทั่วถึงและมีประสิทธิภาพ โดยจะต้อง ส่งเสริมให้องค์กรปกครองส่วนท้องถิ่นและเอกชนมีส่วนร่วมเท่าที่จะกระทำได้ และรัฐต้องจัดและส่งเสริม การสาธารณสุขให้ประชาชนได้รับบริการที่ได้มาตรฐานและมีประสิทธิภาพอย่างทั่วถึง โดยสถานบริการ สาธารณสุขของรัฐที่สังกัด สป.สธ. ซึ่งเป็นหน่วยบริการตามพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. ๒๕๔๕ มีหน้าที่ตามมาตรา ๔๕ แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. ๒๕๔๕ ในการให้บริการสาธารณสุข รวมทั้งการใช้วัคซีน ยา เวชภัณฑ์ อุปกรณ์ในการรักษาที่ได้มาตรฐานและมีคุณภาพ ให้ข้อมูลการบริการสาธารณสุขของผู้รับบริการตามที่ผู้รับบริการร้องขอและตามประกาศที่มีการกำหนด เกี่ยวกับสิทธิของผู้ป่วยและผู้รับบริการ เพื่อให้ผู้รับบริการตัดสินใจในการเลือกรับบริการหรือถูกส่งต่อ รักษาความลับของผู้รับบริการจากการปฏิบัติหน้าที่ และจัดทำระบบข้อมูลการให้บริการสาธารณสุข เพื่อสะดวกต่อการตรวจสอบคุณภาพและบริการ รวมทั้งการขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข เป็นต้น โดยในการให้บริการสาธารณสุขแก่ผู้รับบริการและการจัดทำระบบข้อมูลการให้บริการสาธารณสุข ให้หน่วยบริการปฏิบัติตามหลักเกณฑ์ที่คณะกรรมการหลักประกันสุขภาพแห่งชาติและคณะกรรมการควบคุม คุณภาพและมาตรฐานบริการสาธารณสุขกำหนด และหน่วยบริการดังกล่าวมีสิทธิได้รับค่าใช้จ่ายเพื่อบริการ สาธารณสุขจากกองทุนหลักประกันสุขภาพแห่งชาติตามหลักเกณฑ์ วิธีการ และเงื่อนไขที่คณะกรรมการ หลักประกันสุขภาพแห่งชาติกำหนด ตามมาตรา ๔๖ วรรคหนึ่ง แห่งพระราชบัญญัติหลักประกันสุขภาพ

๖

แห่งชาติ พ.ศ. ๒๕๔๕ ซึ่งในการดำเนินงานของหน่วยบริการที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หน่วยบริการดังกล่าว (และ/หรือหน่วยงานต้นสังกัดที่เป็นนิติบุคคล) ย่อมมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามหน้าที่และอำนาจที่กฎหมายกำหนด รวมถึง การดำเนินการตามภารกิจที่เกี่ยวข้อง ดังนั้น ในการดำเนินงานของหน่วยบริการที่สังกัด สป.สธ. ดังกล่าว ที่มี การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล สป.สธ. ในฐานะส่วนราชการต้นสังกัดที่มีฐานะเป็นนิติบุคคลของ หน่วยบริการดังกล่าว จะอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ และในขณะเดียวกัน สป.สธ. และหน่วยบริการที่สังกัด สป.สธ. ก็ถือเป็นหน่วยงาน ของรัฐตามพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ข้อมูลข่าวสาร (รวมถึงข้อมูลข่าวสาร ส่วนบุคคล) ที่อยู่ในความครอบครองหรือควบคุมดูแลของ สป.สธ. และหน่วยบริการในสังกัด จึงเป็นข้อมูลข่าวสาร ของราชการ ตามนัยมาตรา ๔ แห่งพระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ด้วย ดังนั้น ในการดำเนินการเกี่ยวกับการเปิดเผยข้อมูลข่าวสารของราชการ สป.สธ. จะต้องดำเนินการให้เป็นไปตาม พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐ ซึ่งเป็นกฎหมายที่วางหลักเกณฑ์เกี่ยวกับการเปิดเผย ข้อมูลข่าวสารของหน่วยงานของรัฐ และในส่วนที่เกี่ยวข้องกับข้อมูลด้านสุขภาพของบุคคล สป.สธ. จะต้อง ปฏิบัติตามมาตรา ๗ แห่งพระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. ๒๕๕๐ รวมถึงกฎหมายอื่นที่เกี่ยวข้อง ซึ่งเป็น กฎหมายที่บัญญัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลไว้โดยเฉพาะในลักษณะดังกล่าวก่อน แล้วจึงพิจารณา ดำเนินการให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นการเพิ่มเติม ทั้งนี้ ตามมาตรา ๓ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

สำหรับสำนักงานหลักประกันสุขภาพแห่งชาติ (สปสช.) เป็นหน่วยงานของรัฐมีฐานะเป็น นิติบุคคลตามมาตรา ๒๔ วรรคหนึ่ง แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. ๒๕๔๕ สปสช. จึงมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในการดำเนินงาน ตามอำนาจหน้าที่ ดังนั้น สปสช. จึงถือเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๖ แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วยเหตุนี้ การที่หน่วยบริการที่สังกัด สป.สธ. ส่งข้อมูลส่วนบุคคล ของผู้ป่วยหรือผู้รับบริการให้แก่ สปสช. เพื่อขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข ตามมาตรา ๔๕ และมาตรา ๔๖ แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. ๒๕๔๕ จึงถือเป็นการเปิดเผยข้อมูลส่วนบุคคลที่เป็น การปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามนัยมาตรา ๒๔ (๖) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือในกรณีที่เป็นข้อมูลส่วนบุคคลตามมาตรา ๒๖ ก็ถือเป็นการเปิดเผยข้อมูลส่วนบุคคลที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับ หลักประกันสุขภาพแห่งชาติ ตามมาตรา ๒๖ (๕) (ค) ประกอบมาตรา ๒๗ วรรคหนึ่ง แห่งพระราชบัญญัติดังกล่าว ซึ่งได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตว่า การที่ สปสช. เก็บรวบรวมข้อมูลส่วนบุคคล ดังกล่าว เพื่อใช้ในการดำเนินงานตามอำนาจหน้าที่ตามมาตรา ๒๖ แห่งพระราชบัญญัติหลักประกันสุขภาพแห่งชาติ

๗

พ.ศ. ๒๕๔๕ ซึ่งรวมถึงอำนาจหน้าที่ในการเก็บ รวบรวม วิเคราะห์ข้อมูลเกี่ยวกับการดำเนินงานการบริการสาธารณสุข การจัดให้มีทะเบียนผู้รับบริการ หน่วยบริการ และเครือข่ายหน่วยบริการ การบริหารกองทุนหลักประกันสุขภาพแห่งชาติ การจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่ายหน่วยบริการ การตรวจสอบเอกสารหลักฐานการเรียกเก็บค่าใช้จ่ายเพื่อบริการสาธารณสุขของหน่วยบริการ การดำเนินการเพื่อให้ประชาชนมีหน่วยบริการประจำ และการขอเปลี่ยนหน่วยบริการประจำ รวมทั้งประชาสัมพันธ์เพื่อให้ประชาชนทราบข้อมูลของหน่วยบริการ การกำกับดูแลหน่วยบริการและเครือข่ายหน่วยบริการในการให้บริการสาธารณสุขให้เป็นไปตามมาตรฐานที่คณะกรรมการหลักประกันสุขภาพแห่งชาติ กำหนด และอำนวยความสะดวกในการเสนอเรื่องร้องเรียน ตลอดจนการปฏิบัติหน้าที่อื่น ๆ ของ สปสช. ยังถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๖) หรือเป็นการจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของผู้ควบคุมข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ตามมาตรา ๒๔ (๔) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และในกรณีที่เป็นข้อมูลส่วนบุคคลตามมาตรา ๒๖ ก็ถือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับหลักประกันสุขภาพแห่งชาติ ตามมาตรา ๒๖ (๕) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่ง สปสช. สามารถทำการเก็บรวบรวมข้อมูลส่วนบุคคล ดังกล่าวจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรงได้ตามมาตรา ๒๕ วรรคหนึ่ง (๒) และไม่ต้องแจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลตามมาตรา ๒๓ เนื่องจากไม่ใช่กรณีที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ต้องได้รับความยินยอมตามมาตรา ๒๕ วรรคหนึ่ง (๓) ทั้งนี้ ตามนัยมาตรา ๒๕ วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ อย่างไรก็ตาม หน่วยบริการที่ให้บริการสาธารณสุข แก่ผู้ป่วยหรือผู้รับบริการ และจะต้องเปิดเผยข้อมูลส่วนบุคคลของผู้นั้นให้แก่ สปสช. ควรระบุประเภทของบุคคล หรือหน่วยงานซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมอาจจะถูกเปิดเผย ซึ่งเป็นส่วนหนึ่งของรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลที่หน่วยบริการต้องแจ้งให้ผู้ป่วยหรือผู้รับบริการในฐานะเจ้าของข้อมูลส่วนบุคคลทราบ (privacy notice) ตามมาตรา ๒๓ (๔) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ให้ครอบคลุมการเปิดเผยข้อมูลส่วนบุคคลให้แก่ สปสช. และ/หรือกองทุนประกันสุขภาพต่าง ๆ ด้วย

เนื่องจากกระทรวงสาธารณสุข โดย สป.สธ. ได้พัฒนาระบบศูนย์กลางข้อมูลด้านการเงิน (Financial Data Hub) ซึ่งมีการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับการให้บริการสาธารณสุขแก่ผู้ป่วยของหน่วยบริการในสังกัดกระทรวงสาธารณสุข เพื่อประโยชน์ในการขอรับค่าใช้จ่ายเพื่อบริการสาธารณสุข รวมทั้งเพื่อการวิเคราะห์ วางแผน กำกับดูแล ติดตาม ประเมินผล และบริหารจัดการในการกิจตามหน้าที่ และอำนาจของตน ดังนั้น หาก สปสช. หรือหน่วยงานที่เกี่ยวข้อง ประสงค์จะใช้ข้อมูลส่วนบุคคลในรูปแบบข้อมูลดิจิทัลจากระบบดังกล่าวที่กระทรวงสาธารณสุข โดย สป.สธ. ได้มาหรือมีอยู่ในความครอบครองเพื่อประโยชน์ในการบริหารราชการแผ่นดินและการให้บริการประชาชน กระทรวงสาธารณสุข โดย สป.สธ. ก็สามารถจัดให้มีการเชื่อมโยงและแลกเปลี่ยนข้อมูลดิจิทัลที่มีการจัดทำและครอบครองตามที่หน่วยงานของรัฐ

๘

แห่งอื่นร้องขอ ที่จะเกิดการบูรณาการร่วมกันได้ ตามมาตรา ๑๓ แห่งพระราชบัญญัติการบริหารงานและ
การให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. ๒๕๖๒ โดยจะต้องปฏิบัติให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครอง
ข้อมูลส่วนบุคคลด้วย ตามนัยมาตรา ๑๖ แห่งพระราชบัญญัติดังกล่าว ทั้งนี้ สปสช. ในฐานะหน่วยงานของรัฐ
ผู้รับข้อมูลดิจิทัลดังกล่าวต้องใช้ข้อมูลตามวัตถุประสงค์ในหน้าที่และอำนาจของตนเท่านั้น และต้องดูแลรักษา
ข้อมูลให้มีความมั่นคงปลอดภัย ไม่มีการเปิดเผยหรือโอนข้อมูลไปยังบุคคลที่ไม่มีสิทธิเข้าถึงข้อมูล
ตามมาตรา ๑๔ แห่งพระราชบัญญัติเดียวกัน

ประเด็นข้อหารือที่ ๑ เห็นว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
มิได้กำหนดหน้าที่เกี่ยวกับการจัดให้มีข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคล
กับผู้ควบคุมข้อมูลส่วนบุคคลไว้อย่างชัดเจน แต่ผู้ควบคุมข้อมูลส่วนบุคคลที่จะเปิดเผยข้อมูลส่วนบุคคล
ระหว่างกันมีหน้าที่ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง
ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตามมาตรา ๓๗ (๑)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่กำหนดไว้
ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของข้อมูล
ส่วนบุคคล พ.ศ. ๒๕๖๕ โดยข้อ ๔ ของประกาศดังกล่าวกำหนดว่า มาตรการดังกล่าวจะต้องประกอบด้วย
มาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม
ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย โดยคำนึงถึงระดับความเสี่ยง
ตามลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิด
และผลกระทบจากเหตุการละเมิดข้อมูลส่วนบุคคล ซึ่งการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล
(data sharing agreement: DSA) ถือเป็นมาตรการเชิงองค์กรอย่างหนึ่งเพื่อกำหนดวัตถุประสงค์ วิธีการ
เงื่อนไข และหน้าที่ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลแต่ละฝ่ายในการเก็บรวบรวม ใช้ หรือเปิดเผย
ข้อมูลส่วนบุคคล ไม่ว่าจะส่งและรับข้อมูลที่เป็นเอกสารหรือโดยวิธีการทางอิเล็กทรอนิกส์ก็ตาม อันจะเป็น
การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่จะเปิดเผยให้แก่กัน และควบคุมดูแลให้การเก็บรวบรวม
ใช้ และเปิดเผยข้อมูลส่วนบุคคลระหว่างกันสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
รวมทั้งยังเป็นมาตรการเพื่อป้องกันมิให้หน่วยงานที่ได้รับข้อมูลส่วนบุคคลใช้หรือเปิดเผยข้อมูลส่วนบุคคล
เพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุมข้อมูลส่วนบุคคลในการขอรับข้อมูล
ส่วนบุคคลนั้น ตามมาตรา ๒๗ วรรคสอง หรือเพื่อป้องกันมิให้หน่วยงานดังกล่าวใช้หรือเปิดเผยข้อมูล
ส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ตามมาตรา ๓๗ (๒) อีกด้วย นอกจากนี้ ในการเก็บรวบรวม ใช้
หรือเปิดเผยข้อมูลส่วนบุคคลของ สปสช. ที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์
เกี่ยวกับหลักประกันสุขภาพแห่งชาติ ตามมาตรา ๒๖ (๕) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. ๒๕๖๒ นั้น สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคล และ สป.สธ.
(รวมถึงหน่วยบริการในสังกัด) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เปิดเผยข้อมูลส่วนบุคคลให้ สปสช.

๙

มีหน้าที่ต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิชั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามความในมาตรา ๒๖ (๕) (ค) อีกด้วย

ดังนั้น สป.สธ. และ สปสช. อาจพิจารณาหารือร่วมกันตามอำนาจหน้าที่ที่เกี่ยวข้องเพื่อให้ได้ ข้อสรุปเกี่ยวกับมาตรการเชิงองค์กรและมาตรการเชิงเทคนิคที่เหมาะสมกับระดับความเสี่ยงตามลักษณะและ วัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจาก เหตุการละเมิดข้อมูลส่วนบุคคลที่อาจเกิดขึ้นจากการเปิดเผยและเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวได้ ซึ่งหาก สป.สธ. และ สปสช. เห็นสมควร ก็ย่อมสามารถหารือและตกลงร่วมกันเพื่อจัดทำข้อตกลงการแบ่งปัน ข้อมูลส่วนบุคคลระหว่างกันได้ โดยเพื่อให้เป็นไปตามเจตนารมณ์ของกฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคล รายละเอียดของข้อตกลงดังกล่าว ควรมีเนื้อหาที่ครอบคลุมวัตถุประสงค์ วิธีการ เงื่อนไข และหน้าที่ ความรับผิดชอบในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของแต่ละฝ่าย (รวมทั้งอาจมีข้อกำหนด เกี่ยวกับระยะเวลาการเก็บรักษาหรือเงื่อนไขในการลบหรือทำลายข้อมูลส่วนบุคคล) ที่ทำให้แต่ละฝ่ายสามารถ ดำเนินงานของตนในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่มีอำนาจหน้าที่ตัดสินใจในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลแยกจากกันได้ โดยไม่เป็นอุปสรรคต่อการดำเนินงานของกันและกัน โดยเฉพาะในกรณีที่เป็นการปฏิบัติหน้าที่ในการดำเนิน การกิจเพื่อประโยชน์สาธารณะหรือเป็นการปฏิบัติตามกฎหมาย และไม่ขัดหรือแย้งกับกฎหมายว่าด้วย การคุ้มครองข้อมูลส่วนบุคคล ทั้งนี้ ไม่ว่าจะมีการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกันหรือไม่ ก็ตาม สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าวย่อมมีหน้าที่ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งรวมถึงการเก็บรวบรวม ใช้ และเปิดเผยข้อมูล ส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายตามมาตรา ๒๒ การจัดให้มีมาตรการ รักษา ความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา ๓๗ (๑) การจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลาย ข้อมูลส่วนบุคคลตามเงื่อนไขในมาตรา ๙๗ (๓) และการดำเนินการที่เหมาะสมในกรณีที่เจ้าของข้อมูลส่วนบุคคล ขอใช้สิทธิตามหมวด ๓ แห่งพระราชบัญญัตินี้ ตลอดจนมีความรับผิดตามกฎหมายที่เกี่ยวข้องอยู่แล้ว การที่หน่วยงานที่เกี่ยวข้องจะพิจารณาว่าควรลงนามในข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างกันหรือไม่นั้น จึงเป็นกรณีที่แต่ละฝ่ายสามารถพิจารณาดำเนินการได้ตามที่เห็นสมควร โดยควรคำนึงถึงความจำเป็นในการปฏิบัติ หน้าที่ตามกฎหมายอื่นที่เกี่ยวข้องประกอบด้วย

อนึ่ง มาตรา ๒๗ วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติว่า บุคคลหรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยของผู้ควบคุมข้อมูลส่วนบุคคลอื่น จะต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่ได้แจ้งไว้กับผู้ควบคุม ข้อมูลส่วนบุคคลในการขอรับข้อมูลส่วนบุคคลนั้น ซึ่ง สปสช. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูล ส่วนบุคคลมาจากการเปิดเผยของ สป.สธ. จะต้องดำเนินการให้เป็นไปตามบทบัญญัติดังกล่าวด้วย ดังนั้น หาก สปสช. มีความจำเป็นต้องใช้ข้อมูลส่วนบุคคลที่ได้รับจาก สป.สธ. เพื่อวัตถุประสงค์อื่นใดนอกเหนือจาก

๑๐

เพื่อการจ่ายค่าใช้จ่ายเพื่อบริการสาธารณสุขให้แก่หน่วยบริการและเครือข่ายหน่วยบริการ สปสช. ก็ควรแจ้งวัตถุประสงค์เหล่านั้นให้ สป.สธ. หรือหน่วยบริการในสังกัดทราบในการขอรับข้อมูลส่วนบุคคลดังกล่าวไว้ด้วย

อย่างไรก็ดี เนื่องจากพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้บัญญัติให้ต้องมีการจัดให้มีข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคลด้วยกันตั้งแต่ต้น ดังนั้นหากฝ่ายใดฝ่ายหนึ่งเห็นว่า การจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคลจะทำให้การดำเนินการตามอำนาจหน้าที่ของฝ่ายตนตามกฎหมายว่าด้วยหลักประกันสุขภาพแห่งชาติหรือกฎหมายอื่นขาดประสิทธิภาพ หรือไม่อาจสำเร็จตามวัตถุประสงค์ได้ หรือมีปัญหาอุปสรรคที่ทำให้ไม่สามารถหาข้อสรุปที่เป็นประโยชน์กับทั้งสองฝ่ายและเป็นที่ยอมรับร่วมกันได้ ก็อาจพิจารณาไม่จัดทำข้อตกลงดังกล่าวได้ แต่ในกรณีเช่นนี้ แต่ละฝ่ายจะต้องจัดให้มีมาตรการอื่นใดที่เหมาะสมเพื่อคุ้มครองสิทธิชั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคลได้ในทำนองเดียวกัน ตามความในมาตรา ๒๖ (๕) (ค) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วยเช่น ผู้ควบคุมข้อมูลส่วนบุคคลที่เปิดเผยข้อมูลส่วนบุคคลให้แก่อีกฝ่ายหนึ่ง อาจแจ้งวัตถุประสงค์ในการใช้หรือเปิดเผยข้อมูลส่วนบุคคลของฝ่ายที่รับข้อมูลส่วนบุคคลให้ฝ่ายนั้นทราบฝ่ายเดียวแทนการจัดให้มีข้อตกลงระหว่างกัน ส่วนผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูลส่วนบุคคลมาจากการเปิดเผยดังกล่าวก็อาจดำเนินการฝ่ายเดียวในการกำหนดมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อจำกัดหรือควบคุมการใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับมาดังกล่าวให้เป็นไปเท่าที่จำเป็นภายใต้วัตถุประสงค์ที่ฝ่ายที่เปิดเผยข้อมูลส่วนบุคคลได้แจ้งไว้ หรือวัตถุประสงค์อื่นใดอันชอบด้วยกฎหมายของตน รวมทั้งอาจกำหนดมาตรการอื่นใดเพิ่มเติมเพื่อให้มีการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมและสอดคล้องกับพระราชบัญญัตินี้

คณะอนุกรรมการตอบข้อหารือฯ มีข้อสังเกตเพิ่มเติมว่า กรณีการเปิดเผยข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ไม่ได้บัญญัติให้ต้องมีการจัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement: DSA) ระหว่างกันนั้น มีความแตกต่างจากการเปิดเผยข้อมูลส่วนบุคคลระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคลนั้น ซึ่งผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีข้อตกลงระหว่างกัน กล่าวคือ ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (data processing agreement: DPA) เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๔๐ วรรคสาม แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น เว้นแต่คำสั่งนั้นขัดต่อกฎหมายหรือบทบัญญัติในการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัตินี้ ตามมาตรา ๔๐ วรรคหนึ่ง (๑)

๑๑

ประเด็นข้อหารือที่ ๒ เห็นว่า ตามที่ได้กล่าวมาแล้วข้างต้นว่า ในการดำเนินงานของหน่วยบริการตามกฎหมายว่าด้วยหลักประกันสุขภาพแห่งชาติที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล หน่วยบริการดังกล่าว (และ/หรือหน่วยงานต้นสังกัดที่เป็นนิติบุคคล) ย่อมมีอำนาจหน้าที่ตัดสินใจในการกำหนดวัตถุประสงค์ (purposes) และวิธีการ (means) ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามหน้าที่และอำนาจที่กฎหมายกำหนด รวมถึงการดำเนินการตามภารกิจที่เกี่ยวข้อง ดังนั้น ในการดำเนินงานของหน่วยบริการที่สังกัด สป.สธ. ที่มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล สป.สธ. ในฐานะส่วนราชการต้นสังกัดที่มีฐานะเป็นนิติบุคคลของหน่วยบริการดังกล่าว จะอยู่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา ๖ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ซึ่งอำนาจหน้าที่เช่นว่านั้น ของหน่วยบริการหรือหน่วยงานในสังกัด สป.สธ. ลักษณะใด ประเภทใด หรือระดับใด จะมีได้เพียงใดนั้น ย่อมขึ้นอยู่กับกฎหมายว่าด้วยระเบียบบริหารราชการแผ่นดิน กฎหมายว่าด้วยการปรับปรุงกระทรวง ทบวง กรม กฎกระทรวงแบ่งส่วนราชการ กฎหมายและกฎระเบียบเกี่ยวกับการมอบอำนาจหรือการมอบหมายหน้าที่ รวมทั้ง กฎหมายว่าด้วยหลักประกันสุขภาพแห่งชาติและกฎหมายอื่น ตลอดจนกฎ ระเบียบ มติ คำสั่ง และข้อสั่งการอื่น ที่เกี่ยวข้อง ดังนั้น ในกรณีที่มีบุคคลหรือนิติบุคคลใดมีความประสงค์จะขอให้หน่วยบริการหรือหน่วยงานที่สังกัด สป.สธ. เปิดเผยข้อมูลส่วนบุคคล อำนาจหน้าที่ในการตัดสินใจเกี่ยวกับการเปิดเผยข้อมูลส่วนบุคคลดังกล่าว ย่อมเป็นไปตามอำนาจหน้าที่ของหน่วยบริการหรือหน่วยงานในสังกัดแต่ละลักษณะ ประเภท และระดับ ตามกฎหมายและกฎ ระเบียบ มติ คำสั่ง และข้อสั่งการที่เกี่ยวข้อง ซึ่ง สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ย่อมสามารถมอบอำนาจ มอบหมาย สั่งการ และกำกับดูแลให้หน่วยบริการและหน่วยงานในสังกัด ตัดสินใจและดำเนินการตามอำนาจหน้าที่ของตนได้ตามที่เห็นสมควร โดยจะต้องไม่ขัดกับกฎหมายหรือ กฎระเบียบที่เกี่ยวข้อง ทั้งนี้ สป.สธ. ควรพิจารณากำหนดอำนาจหน้าที่ในการตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของหน่วยบริการและหน่วยงานในสังกัด โดยคำนึงถึงความคล่องตัวและ ประสิทธิภาพในการดำเนินงาน และระดับความเสี่ยงที่อาจเกิดขึ้นประกอบกัน โดยควรพิจารณาดำเนินการ ให้สอดคล้องกับพระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. ๒๕๔๖ และ ที่แก้ไขเพิ่มเติมด้วย โดยเฉพาะการลดขั้นตอนการปฏิบัติงานตามมาตรา ๒๗ ที่กำหนดให้ส่วนราชการจัดให้มี การกระจายอำนาจการตัดสินใจเกี่ยวกับการสั่ง การอนุญาต การอนุมัติ การปฏิบัติราชการ หรือการดำเนินการ อื่นใดของผู้ดำรงตำแหน่งใดให้แก่ผู้ดำรงตำแหน่งที่มีหน้าที่รับผิดชอบในการดำเนินการในเรื่องนั้นโดยตรง เพื่อให้เกิดความรวดเร็วและลดขั้นตอนการปฏิบัติราชการ ทั้งนี้ ในการกระจายอำนาจการตัดสินใจดังกล่าว ต้องมุ่งผลให้เกิดความสะดวกและรวดเร็วในการบริการประชาชน และเมื่อได้มีการกระจายอำนาจการตัดสินใจแล้ว ให้ส่วนราชการกำหนดหลักเกณฑ์การควบคุม ติดตาม และกำกับดูแลการใช้อำนาจและความรับผิดชอบของ ผู้รับมอบอำนาจและผู้มอบอำนาจไว้ด้วย แต่หลักเกณฑ์ดังกล่าวต้องไม่สร้างขั้นตอนหรือการกลั่นกรองงาน ที่ไม่จำเป็นในการปฏิบัติงานของข้าราชการ

๑๒

ประเด็นข้อหารือที่ ๓ เห็นว่า การละเมิดข้อมูลส่วนบุคคลตามมาตรา ๓๗ (๔) แห่ง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ประกอบประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ นั้น หมายความว่า การละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ทำให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผย ข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่าจะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระทำโดยปราศจากอำนาจหรือโดยมิชอบ การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด โดยเหตุการละเมิดข้อมูลส่วนบุคคลแต่ละเหตุอาจเกี่ยวข้อง กับการละเมิดประเภทใดประเภทหนึ่ง หรือหลายประเภท ดังต่อไปนี้

1. การละเมิดความลับของข้อมูลส่วนบุคคล (confidentiality breach) ซึ่งมีการเข้าถึง หรือเปิดเผยข้อมูลส่วนบุคคล โดยปราศจากอำนาจหรือโดยมิชอบ หรือเกิดจากข้อผิดพลาดบกพร่อง หรืออุบัติเหตุ

2. การละเมิดความถูกต้องครบถ้วนของข้อมูลส่วนบุคคล (integrity breach) ซึ่งมี การเปลี่ยนแปลง แก้ไขข้อมูลส่วนบุคคลให้ไม่ถูกต้อง ไม่สมบูรณ์ หรือไม่ครบถ้วน โดยปราศจากอำนาจ หรือโดยมิชอบ หรือเกิดจากข้อผิดพลาดบกพร่องหรืออุบัติเหตุ

3. การละเมิดความพร้อมใช้งานของข้อมูลส่วนบุคคล (availability breach) ซึ่งทำให้ ไม่สามารถเข้าถึงข้อมูลส่วนบุคคลได้ หรือมีการทำลายข้อมูลส่วนบุคคล ทำให้ข้อมูลส่วนบุคคลไม่อยู่ในสภาพ ที่พร้อมใช้งานได้ตามปกติ

สำหรับประเด็นที่ว่า ในกรณีที่หน่วยบริการในสังกัด สป.สธ. ได้เปิดเผยข้อมูลส่วนบุคคล ให้แก่บุคคลหรือนิติบุคคลอื่น โดยไม่ได้จัดทำข้อตกลงการแบ่งปันข้อมูลส่วนบุคคล (data sharing agreement: DSA) ระหว่างกัน และต่อมาเกิดการรั่วไหลของข้อมูลส่วนบุคคลหรือเหตุการละเมิดข้อมูลส่วนบุคคลขึ้น หน่วยงานใด จะต้องมีความรับผิดตามกฎหมายนั้น เห็นว่า การพิจารณาหน้าที่ โดยเฉพาะหน้าที่ในการจัดให้มีมาตรการรักษา ความมั่นคงปลอดภัยและการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล และความรับผิดไม่ว่าจะในทางอาญา ทางแพ่ง หรือทางปกครองก็ตาม จะต้องพิจารณาตามข้อเท็จจริงว่าฝ่ายใดได้กระทำการฝ่าฝืนหรือไม่ปฏิบัติตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ โดยไม่ได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัย ที่เหมาะสมตามมาตรา ๓๗ (๑) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำตามประกาศคณะกรรมการคุ้มครองข้อมูล ส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๕ อันเป็นเหตุ ให้เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือ โดยมิชอบหรือไม่ เช่น หากมีเหตุการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นกับข้อมูลส่วนบุคคลที่อยู่ในความครอบครอง หรือควบคุมดูแลของ สป.สธ. ก่อนที่จะเปิดเผยให้กับอีกฝ่ายหนึ่ง หรือมีเหตุการละเมิดข้อมูลส่วนบุคคล เกิดขึ้นในระหว่างการเปิดเผยหรือแลกเปลี่ยนข้อมูลส่วนบุคคล อันเป็นผลมาจากมาตรการรักษาความมั่นคง ปลอดภัยของ สป.สธ. ที่ไม่เหมาะสมหรือไม่เป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

๑๓

ประกาศกำหนด สป.สธ. ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เปิดเผยข้อมูลส่วนบุคคลย่อมต้องมีความรับผิด ต่อเหตุการละเมิดข้อมูลส่วนบุคคลนั้น แต่หากเป็นกรณีที่ สป.สธ. ได้เปิดเผยข้อมูลส่วนบุคคลไปยังบุคคลหรือ นิติบุคคลอื่นที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลแล้ว ต่อมา มีเหตุการละเมิดข้อมูลส่วนบุคคล เกิดขึ้นกับข้อมูล ส่วนบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลรายดังกล่าวได้รับมาและเก็บรวบรวมไว้ อันเป็นผลมาจากมาตรการรักษา ความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูลส่วนบุคคลนั้นที่ไม่เหมาะสมหรือไม่เป็นไป ตามมาตรฐานขั้นต่ำ หน้าที่และความรับผิดต่าง ๆ ก็ย่อมตกแก่ผู้ควบคุมข้อมูลส่วนบุคคลที่ได้รับข้อมูล ส่วนบุคคลนั้น อย่างไรก็ดี ในบางกรณี เหตุการละเมิดข้อมูลส่วนบุคคลอาจเกิดขึ้นในการเปิดเผยหรือแลกเปลี่ยน ข้อมูลส่วนบุคคลระหว่างกัน อันเป็นผลมาจากมาตรการรักษาความมั่นคงปลอดภัยที่ไม่เหมาะสมหรือไม่เป็นไป ตามมาตรฐานขั้นต่ำของทั้งสองฝ่ายร่วมกัน ซึ่งแต่ละฝ่ายย่อมมีหน้าที่และความรับผิดเฉพาะในส่วนที่เกี่ยวข้อง กับตน การพิจารณาหน้าที่และความรับผิดเกี่ยวกับเหตุการละเมิดข้อมูลส่วนบุคคลจึงต้องพิจารณาข้อเท็จจริง เป็นรายกรณี

**ประเด็นข้อหารือที่ ๔ ในประเด็นที่ สป.สธ. ขอหารือว่า ในการดำเนินการของ สป.สธ. เกี่ยวกับการบริหารจัดการและแลกเปลี่ยนข้อมูลสุขภาพ หากได้มีการปฏิบัติตามกฎหมายที่เกี่ยวข้องอย่างครบถ้วน ทั้งกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลและกฎหมายอื่นที่เกี่ยวข้องแล้ว จะถือว่าเป็นการดำเนินการ ที่แสดงถึงความรับผิดชอบ (accountability) ตามหลักการคุ้มครองข้อมูลส่วนบุคคลและเป็นการปฏิบัติหน้าที่ ตามกฎหมายซึ่งไม่เข้าข่ายความผิดตามมาตรา ๑๕๗ แห่งประมวลกฎหมายอาญา ว่าด้วยการปฏิบัติหรือละเว้น การปฏิบัติหน้าที่โดยมิชอบของเจ้าพนักงานหรือไม่ นั้น เห็นว่า หลักการรับผิดชอบและสามารถตรวจสอบได้ (accountability) ของผู้ควบคุมข้อมูลส่วนบุคคลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เป็นหลักการพื้นฐานที่มุ่งหวังให้ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ความรับผิดชอบต่อการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลที่อยู่ในความครอบครองหรือควบคุมดูแลของตน และจะต้องสามารถแสดงถึง การปฏิบัติตามกฎหมายของตนได้ (able to demonstrate compliance) ซึ่งหน้าที่ของผู้ควบคุมข้อมูล ส่วนบุคคลในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา ๓๗ (๑) การแจ้งเหตุการละเมิด ข้อมูลส่วนบุคคลตามมาตรา ๓๗ (๔) การบันทึกรายการ (record of processing activities: ROPA) ตามมาตรา ๓๙ การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (data protection officer: DPO) ของตนตามมาตรา ๔๑ และการสนับสนุนการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา ๔๒ วรรคสอง แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เป็นตัวอย่างของหน้าที่ตามพระราชบัญญัตินี้ ที่สอดคล้องกับหลักการดังกล่าว ส่วนในกรณีที่พบว่าผู้ควบคุมข้อมูลส่วนบุคคลมีการกระทำที่เป็นการฝ่าฝืน หรือไม่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หากเป็นความรับผิดทางแพ่งหรือ โทษทางปกครองตามพระราชบัญญัตินี้ ย่อมเป็นความรับผิดของนิติบุคคลที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ที่กระทำการดังกล่าวโดยตรง ไม่ใช่ความรับผิดของกรรมการหรือผู้จัดการ หรือบุคคลใดของนิติบุคคลนั้น แต่อย่างใด

๑๔

สำหรับความผิดอาญาตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ตามมาตรา ๗๙ และมาตรา ๘๐ ในกรณีที่ผู้กระทำความผิดเป็นนิติบุคคล ถ้าการกระทำความผิดของนิติบุคคลนั้นเกิดจาก การสั่งการหรือการกระทำของกรรมการหรือผู้จัดการ หรือบุคคลใดซึ่งรับผิดชอบในการดำเนินงานของนิติบุคคลนั้น หรือในกรณีที่บุคคลดังกล่าวมีหน้าที่ต้องสั่งการหรือกระทำการและละเว้นไม่สั่งการหรือไม่กระทำการ จนเป็นเหตุให้นิติบุคคลนั้นกระทำความผิด ผู้นั้นต้องรับโทษตามที่บัญญัติไว้สำหรับความผิดนั้น ๆ ด้วย ตามมาตรา ๘๑ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ทั้งนี้ หากกรรมการหรือผู้จัดการ หรือบุคคลดังกล่าว ได้ดำเนินการตามบทบาทหน้าที่ของตนเพื่อจัดให้มีมาตรการเชิงองค์กรและมาตรการ เชิงเทคนิคที่เหมาะสม เช่น การกำหนดนโยบายและระเบียบปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล การบริหารจัดการความเสี่ยง และการควบคุม ติดตาม กำกับดูแล และประเมินผลการดำเนินการเกี่ยวกับ การคุ้มครองข้อมูลส่วนบุคคลแล้ว ก็ย่อมเป็นข้อเท็จจริงที่ควรรับฟังประกอบการพิจารณาร่วมกับข้อกฎหมาย ตามองค์ประกอบความผิดนั้น ๆ ส่วนกรรมการหรือผู้จัดการ หรือผู้บริหารและบุคลากรที่เกี่ยวข้องของ นิติบุคคลที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลดังกล่าว จะมีความรับผิดทางอาญา (รวมทั้งความผิดตามมาตรา ๑๕๗ แห่งประมวลกฎหมายอาญา) หรือมีความรับผิดทางแพ่งหรือทางวินัยต่อเนื่องบุคคลที่เป็นผู้ควบคุมข้อมูล ส่วนบุคคล หรือมีความรับผิดทางแพ่งต่อบุคคลอื่น จากการกระทำของตนหรือการกระทำของหน่วยงานที่เป็น ผู้ควบคุมข้อมูลส่วนบุคคลที่ตนสังกัดอยู่ที่เป็นการฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. ๒๕๖๒ หรือไม่ เพียงใดนั้น ย่อมขึ้นอยู่กับข้อเท็จจริง ข้อกฎหมาย และกระบวนการ ทางกฎหมายในแต่ละกรณี ซึ่งไม่อยู่ในหน้าที่และอำนาจของคณะอนุกรรมการตอบข้อหารือฯ และ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ที่จะพิจารณาให้ความเห็นได้ เนื่องจากมิใช่การขอคำแนะนำหรือ คำปรึกษาเกี่ยวกับการดำเนินการใด ๆ เพื่อให้ความคุ้มครองข้อมูลส่วนบุคคลในการปฏิบัติตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ หรือการขอให้ตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้ พระราชบัญญัติดังกล่าว