หน้า ๒๑
เล่ม ๑๔๑ ตอนพิเศษ ๗ ง ราชกิจจานุเบกษา ๘ มกราคม ๒๕๖๗

ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

เรื่อง มาตรการที่เหมาะสมสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตามมาตรา ๒๔ (๑) และการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติหรือประโยชน์สาธารณะอื่นตามมาตรา ๒๖ (๕) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

พ.ศ. ๒๕๖๖

โดยที่มาตรา ๒๔ (๑) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติให้การเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล อาจกระทำได้หากเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ ซึ่งได้จัดให้มีมาตรการปกป้องที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคลตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด และมาตรา ๒๖ (๕) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ บัญญัติให้การเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติเผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในท่านองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล อาจกระทำได้หากเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น ทั้งนี้ ต้องกระทำเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวเพียงเท่าที่จำเป็นเท่านั้น และได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

อาศัยอำนาจตามความในมาตรา ๑๖ (๔) ประกอบมาตรา ๒๔ (๑) และมาตรา ๒๖ (๕) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลจึงออกประกาศไว้ ดังต่อไปนี้

ข้อ ๑ ประกาศนี้เรียกว่า “ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการที่เหมาะสมสำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตามมาตรา ๒๔ (๑) และการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติหรือประโยชน์สาธารณะอื่นตามมาตรา ๒๖ (๕) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ พ.ศ. ๒๕๖๖”

ข้อ ๒ ประกาศนี้ให้ใช้บังคับเมื่อพ้นกำหนดเก้าสิบวันนับแต่วันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ข้อ ๓ ในประกาศนี้

หน้า ๒๒

เล่ม ๑๔๑ ตอนพิเศษ ๗ ง ราชกิจจานุเบกษา ๘ มกราคม ๒๕๖๗

“การศึกษาวิจัย” หมายความว่า การดำเนินการเกี่ยวกับการศึกษาค้นคว้า การวิเคราะห์ การทดลอง การทดสอบ หรือการประเมินผลอย่างเป็นระบบ เพื่อให้ได้มาซึ่งความรู้ใหม่หรือหลักการ ทางวิชาการในสาขาวิชาที่เกี่ยวข้อง รวมถึงการเผยแพร่ความรู้หรือหลักการทางวิชาการนั้น ทั้งที่เป็น การดำเนินการในระดับพื้นฐาน (fundamental or basic) และระดับประยุกต์ (applied) และรวมถึง การพัฒนาเทคโนโลยีและนวัตกรรมจากความรู้หรือหลักการทางวิชาการดังกล่าวด้วย

“สถิติ” หมายความว่า การดำเนินการเกี่ยวกับการเก็บรวบรวม การสำรวจ การประมวลผล การวิเคราะห์ และการสรุปผลจากข้อมูล ตลอดจนการแสดงผลหรือเผยแพร่ผลจากการดำเนินการ ดังกล่าว ทั้งนี้ เพื่อการเปรียบเทียบหรืออ้างอิงในภาพรวม โดยไม่ได้มุ่งหมายที่จะนำข้อมูลหรือผลจาก การดำเนินการดังกล่าวมามีผลต่อการตัดสินใจหรือดำเนินการใดเกี่ยวกับเจ้าของข้อมูลส่วนบุคคล ผู้ใดผู้หนึ่ง และให้หมายความรวมถึงการดำเนินงานทางสถิติและการสำรวจตามกฎหมายว่าด้วยสถิติด้วย

“ความเสี่ยงขั้นต่ำ” หมายความว่า ความเสี่ยงที่อาจจะเกิดอันตรายต่อผู้เข้าร่วมการศึกษาวิจัย ในระดับต่ำ (minimal risk) ซึ่งอาจเทียบได้กับความเสี่ยงที่จะเกิดอันตรายที่อาจเกิดขึ้นได้โดยทั่วไป ในชีวิตประจำวันต่อผู้ที่มีสุขภาพดีในสภาพแวดล้อมปกติทั่วไป หรือในการตรวจหรือการทดสอบสุขภาพ ทางกายภาพหรือทางจิตใจโดยทั่วไป (routine physical or psychological examinations or tests)

ข้อ ๔ ในการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ ตามมาตรา ๒๔ (๑) แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการปกป้อง ที่เหมาะสมเพื่อคุ้มครองสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ดังต่อไปนี้

(๑) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อควบคุมให้การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว เป็นไป เท่าที่จำเป็นภายใต้วัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ โดยคำนึงถึงหลักการทางวิชาการ ที่เกี่ยวข้องประกอบด้วย

(๒) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสม กับความเสี่ยงที่มีต่อสิทธิและเสรีภาพของบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการ คุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามมาตรา ๓๗ (๑) และครอบคลุมถึงการดำเนินการ ในขั้นตอนต่าง ๆ ของผู้ดำเนินการในการศึกษาวิจัยหรือสถิติที่เกี่ยวข้องทั้งหมด

(๓) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสม เพื่อควบคุมและกำกับดูแล ให้การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติดังกล่าว เป็นไปตามมาตรฐานทางจริยธรรมที่เกี่ยวข้อง โดยไม่ขัดต่อกฎหมาย โดยคำนึงถึงระดับความเสี่ยง และกฎหมายและมาตรฐานทางจริยธรรมที่เกี่ยวข้องสำหรับการศึกษาวิจัยหรือสถิติในประเภท หรือลักษณะเดียวกันหรือใกล้เคียงกัน

หน้า ๒๓

เล่ม ๑๔๑ ตอนพิเศษ ๗ ง ราชกิจจานุเบกษา ๘ มกราคม ๒๕๖๗

ในการดำเนินการตาม (๑) และ (๒) ผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาดำเนินการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือทำการแผ่งข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือทำการเข้ารหัสข้อมูล (encryption) หรือใช้มาตรการอื่นในลักษณะเดียวกัน อย่างเหมาะสม ตามระดับความเสี่ยงได้ โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็น ที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและ วัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ ในการดำเนินการประกอบกัน หากสามารถทำให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติได้

ข้อ ๕ ในการเก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในสิทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูล ส่วนบุคคลในท่านองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยไม่ได้รับ ความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้ บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์ สาธารณะอื่น ตามมาตรา ๒๖ (๕) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ ของเจ้าของข้อมูลส่วนบุคคล ดังต่อไปนี้

(๑) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องพิจารณาเหตุผลความจำเป็นแล้วเห็นว่า การเก็บรวบรวม ข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นดังกล่าว เป็นกรณีที่มีความจำเป็น โดยอาจเป็นความจำเป็นตามที่กฎหมายบัญญัติ ความจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินการกิจเพื่อประโยชน์สาธารณะของผู้ควบคุม ข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล ความจำเป็นตามวัตถุประสงค์ ภารกิจ หรือบทบาทหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล ความจำเป็น เพื่อประโยชน์ในการได้มาซึ่งความรู้ใหม่หรือหลักการทางวิชาการในสาขาวิชาที่เกี่ยวข้อง รวมถึง การเผยแพร่ความรู้หรือหลักการทางวิชาการนั้น ความจำเป็นในการพัฒนาเทคโนโลยีและนวัตกรรม จากความรู้หรือหลักการทางวิชาการดังกล่าว หรือความจำเป็นในการดำเนินงานทางสถิติเพื่อประโยชน์ อย่างใดอย่างหนึ่งก็ได้

(๒) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures) และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ (physical measures) ที่จำเป็นด้วย เพื่อควบคุมให้การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว เป็นไป เท่าที่จำเป็นภายใต้วัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่น โดยคำนึงถึงหลักการทางวิชาการที่เกี่ยวข้องประกอบด้วย

หน้า ๒๔

เล่ม ๑๔๑ ตอนพิเศษ ๗ ง ราชกิจจานุเบกษา ๘ มกราคม ๒๕๖๗

(๓) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสมกับความเสี่ยงที่มีต่อสิทธิและเสรีภาพของบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามมาตรา ๓๗ (๑) และครอบคลุมถึงการดำเนินการในขั้นตอนต่าง ๆ ของผู้ดำเนินการในการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติหรือประโยชน์สาธารณะอื่นที่เกี่ยวข้องทั้งหมด

(๔) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสม เพื่อควบคุมและกำกับดูแลให้การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ เป็นไปตามมาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับ โดยไม่ขัดต่อกฎหมาย โดยคำนึงถึงระดับความเสี่ยง และกฎหมายและมาตรฐานทางจริยธรรมที่เกี่ยวข้องสำหรับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ ในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน โดยมีคณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลในลักษณะเดียวกัน ซึ่งอาจเป็นคณะกรรมการหรือคณะบุคคลภายในสังกัดของผู้ควบคุมข้อมูลส่วนบุคคลหรือภายนอกก็ได้ แต่ต้องไม่มีผู้ดำเนินการในการศึกษาวิจัยที่จะมีส่วนได้เสียในการศึกษาวิจัยเรื่องนั้นอยู่ด้วย เป็นผู้พิจารณาอนุมัติหรือรับรองก่อนเริ่มการศึกษาวิจัยนั้น และควบคุมและกำกับดูแลการศึกษาวิจัยนั้นให้เป็นไปตามมาตรฐานทางจริยธรรมที่เกี่ยวข้อง ทั้งนี้ มาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับดังกล่าว ให้หมายความรวมถึงเนื้อหาตามเอกสาร ดังต่อไปนี้

(ก) The Belmont Report: Ethical Principles and Guidelines for the Protection of Human Subjects of Research, Report of the National Commission for the Protection of Human Subjects of Biomedical and Behavioral Research โดย Department of Health, Education, and Welfare ประเทศสหรัฐอเมริกา เมื่อวันที่ ๑๘ เมษายน ค.ศ. ๑๙๗๙ (พ.ศ. ๒๕๒๒)

(ข) Good Clinical Practice (GCP) โดย The International Council for Harmonisation of Technical Requirements for Pharmaceuticals for Human Use (ICH) ฉบับที่มีการประกาศใช้ล่าสุดในขณะที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคล

(ค) International Ethical Guidelines for Health-related Research Involving Humans โดย Council for International Organizations of Medical Sciences (CIOMS) ร่วมกับองค์การอนามัยโลก (World Health Organization: WHO) ฉบับที่มีการประกาศใช้ล่าสุดในขณะที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคล

ในการดำเนินการตาม (๒) และ (๓) ผู้ควบคุมข้อมูลส่วนบุคคลควรพิจารณาดำเนินการ ทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือทำการ แฝงข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือทำการเข้ารหัสข้อมูล (encryption) หรือใช้มาตรการอื่นในลักษณะเดียวกัน อย่างเหมาะสม

หน้า ๒๕

เล่ม ๑๔๑ ตอนพิเศษ ๗ ง ราชกิจจานุเบกษา ๘ มกราคม ๒๕๖๗

ตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ในการดำเนินการประกอบกัน หากสามารถทำให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นได้

ข้อ ๖ ภายใต้บังคับข้อ ๔ และข้อ ๕ ในการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ ตามมาตรา ๒๔ (๑) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ ตามมาตรา ๒๖ (๕) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มีมาตรการดังต่อไปนี้ด้วย

(๑) แม้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ดังกล่าวจะได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล แต่ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องกำกับดูแลให้ผู้ดำเนินการในการศึกษาวิจัยหรือสถิติตามมาตรา ๒๔ (๑) หรือผู้ดำเนินการในการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตามมาตรา ๒๖ (๕) (ง) ทำการขอความยินยอมในการเข้าร่วมการศึกษาวิจัย (informed consent for research participation) จากผู้เข้าร่วมการศึกษาวิจัย (research subject) เว้นแต่จะเป็นกรณีใดกรณีหนึ่ง ต่อไปนี้

(ก) การศึกษาวิจัยหรือสถิติตามมาตรา ๒๔ (๑) หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตามมาตรา ๒๖ (๕) (ง) ที่มีการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง หรือที่ใช้ข้อมูลส่วนบุคคลที่เก็บรวบรวมตามวัตถุประสงค์อื่น และผู้ควบคุมข้อมูลส่วนบุคคลได้ดำเนินการให้เป็นไปตามมาตรา ๒๕ และมาตรา ๒๗ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ แล้ว

(ข) การศึกษาวิจัยหรือสถิติตามมาตรา ๒๔ (๑) หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตามมาตรา ๒๖ (๕) (ง) นั้นจะไม่สามารถดำเนินการได้หากต้องขอความยินยอมหรือการขอความยินยอมหรือการบันทึกการให้ความยินยอมเป็นหนังสือจะยิ่งทำให้เกิดความเสี่ยงต่อสิทธิ และเสรีภาพของเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วมการศึกษาวิจัยเกินสมควร ประกอบกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิตินั้นมีคุณค่าที่สำคัญต่อสังคม และมีความเสี่ยงไม่เกินความเสี่ยงขั้นต่ำ (no more than minimal risks) ต่อผู้เข้าร่วมการศึกษาวิจัย

(ค) กรณีที่ได้รับยกเว้นไม่ต้องขอความยินยอมในการเข้าร่วมการศึกษาวิจัย (waiver of informed consent for research participation) ตามมาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับ โดยไม่ขัดต่อกฎหมาย หรือตามที่คณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลตามข้อ ๕ (๔) กำหนด

หน้า ๒๖

เล่ม ๑๔๑ ตอนพิเศษ ๗ ง ราชกิจจานุเบกษา ๘ มกราคม ๒๕๖๗

(๒) ในการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตามมาตรา ๒๔ (๑) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตามมาตรา ๒๖ (๕) (ง) จากเจ้าของข้อมูลส่วนบุคคลโดยตรง ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลดังกล่าวทราบถึงข้อมูลเกี่ยวกับวัตถุประสงค์ของการศึกษาวิจัย รายละเอียดของการศึกษาวิจัยโดยสังเขป ข้อมูลส่วนบุคคลที่จะเก็บรวบรวมในการศึกษาวิจัยประโยชน์ที่จะได้รับจากการศึกษาวิจัย ความเสี่ยงหรือผลกระทบที่อาจเกิดขึ้นต่อผู้เข้าร่วมการศึกษาวิจัยจากการศึกษาวิจัยนั้น และสิทธิของผู้นั้นในการศึกษาวิจัยดังกล่าว (หากมี) พร้อมทั้งแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบรายละเอียดตามมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ด้วย และจะต้องไม่มีการปกปิดข้อมูลดังกล่าว (withholding information) แก่ผู้เข้าร่วมการศึกษาวิจัย หรือทำการหลอกลวงผู้เข้าร่วมการศึกษาวิจัย (deception) เว้นแต่จะเป็นกรณีที่สามารถกระทำได้ภายใต้กรอบและเงื่อนไขตามมาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับ โดยไม่ขัดต่อกฎหมาย หรือตามที่คณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลตามข้อ ๕ (๔) กำหนด

(๓) ในการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตามมาตรา ๒๔ (๑) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตามมาตรา ๒๖ (๕) (ง) ซึ่งการใช้สิทธิขอเข้าถึงหรือขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วมการศึกษาวิจัยอาจทำให้การศึกษาวิจัยดังกล่าวไม่สามารถบรรลุผลได้ เช่น กรณีผู้ดำเนินการในการศึกษาวิจัยจำเป็นต้องทำการปกปิดการจัดสรรผู้เข้าร่วมการศึกษาวิจัย (allocation concealment) หรือทำการปกปิดข้อมูลเกี่ยวกับการทดลอง (blinding) ในการทดลองทางคลินิก (clinical trials) เพื่อให้ผลการศึกษาวิจัยมีความเที่ยงตรง (valid) ลดอคติ (bias) และน่าเชื่อถือ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องกำกับดูแลให้ผู้ดำเนินการในการศึกษาวิจัยแจ้งให้เจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วมการศึกษาวิจัยทราบถึงข้อจำกัดในการขอเข้าถึงหรือขอรับสำเนาข้อมูลส่วนบุคคลดังกล่าวในการขอความยินยอมในการเข้าร่วมการศึกษาวิจัย ตาม (๑) หรือการแจ้งข้อมูลตาม (๒) (หากมี) หรือก่อนเริ่มขั้นตอนการศึกษาวิจัยที่เกี่ยวข้องจนกว่าการศึกษาวิจัยจะเสร็จสิ้นหรืออยู่ในขั้นตอนที่สามารถให้เจ้าของข้อมูลส่วนบุคคลเข้าถึงหรือรับสำเนาข้อมูลดังกล่าวได้โดยไม่เสียวัตถุประสงค์ดังกล่าว และในกรณีที่คณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลตามข้อ ๕ (๔) กำหนดเป็นอย่างอื่น ให้ปฏิบัติตามที่กำหนด

ข้อ ๗ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามกฎหมายอื่นที่เกี่ยวกับการศึกษาวิจัยหรือสถิติตามมาตรา ๒๔ (๑) หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นตามมาตรา ๒๖ (๕) (ง) ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามกฎหมายนั้น แต่มาตรการเพื่อคุ้มครองสิทธิ เสรีภาพ และประโยชน์ของเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วม

หน้า ๒๗

เล่ม ๑๔๑ ตอนพิเศษ ๗ ง ราชกิจจานุเบกษา ๘ มกราคม ๒๕๖๗

การศึกษาวิจัยหรือสถิติ หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์ สาธารณะอื่นดังกล่าว จะต้องเป็นไปตามที่กำหนดในประกาศนี้ด้วย

ข้อ ๘ ให้ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ ๒๘ ธันวาคม พ.ศ. ๒๕๖๖
เชียรชัย ณ นคร
ประธานกรรมการคุ้มครองข้อมูลส่วนบุคคล