ข้อหารือที่ 18/2567 — มอ. (สิทธิขอลบประวัติการรักษาในโรงพยาบาล)
สารบัญในมาตรานี้
ข้อกฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 6 มาตรา 24 (2) (3) (5) และ (6) มาตรา 26 (1) (4) และ (5) (ก) และ (ข) มาตรา 30 มาตรา 31 มาตรา 32 มาตรา 33 มาตรา 34 มาตรา 36 มาตรา 37 (3) และ มาตรา 73
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 ข้อ 3 วรรคหนึ่ง และข้อ 8 วรรคสาม
- พระราชบัญญัติมหาวิทยาลัยสงขลานครินทร์ พ.ศ. 2559 มาตรา 5
- พระราชบัญญัติสถานพยาบาล พ.ศ. 2541 และที่แก้ไขเพิ่มเติม มาตรา 5 วรรคหนึ่งและวรรคสอง และมาตรา 35 (3)
- ประกาศกระทรวงสาธารณสุข เรื่อง การกำหนดลักษณะของสถานพยาบาลและมาตรฐานซึ่งได้รับ การยกเว้นไม่ต้องอยู่ในบังคับตามกฎหมายว่าด้วยสถานพยาบาล ลงวันที่ 20 มีนาคม พ.ศ. 2561 และที่แก้ไขเพิ่มเติม ข้อ 6 (3)
- ประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง รายละเอียดเกี่ยวกับมาตรฐานระบบบริการสุขภาพของ สถานพยาบาลประเภทที่รับผู้ป่วยไว้ค้างคืน ลงวันที่ 8 มกราคม พ.ศ. 2564 ข้อ 3
- ประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง หน่วยงานที่รับรองคุณภาพสถานพยาบาลซึ่งดำเนินการ โดยกระทรวง ทบวง กรม องค์กรปกครองส่วนท้องถิ่น รัฐวิสาหกิจ สถาบันการศึกษาของรัฐ หน่วยงานอื่นของรัฐ สภากาชาดไทย พ.ศ. 2567 ข้อ 3
ข้อหารือ
โรงพยาบาลสงขลานครินทร์ คณะแพทยศาสตร์ มหาวิทยาลัยสงขลานครินทร์ แจ้งว่า ได้รับคำขอ จากผู้รับบริการของโรงพยาบาลสงขลานครินทร์ แจ้งความประสงค์ขอลบประวัติการรักษาของผู้ร้องจากฐานข้อมูล โรงพยาบาลสงขลานครินทร์ โดยอ้างว่าเป็นสิทธิตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงขอ หารือข้อกฎหมายในประเด็นดังกล่าวว่า โรงพยาบาลสงขลานครินทร์ จะอ้างการเก็บรวบรวมข้อมูลส่วนบุคคลของ เจ้าของข้อมูลส่วนบุคคลที่มีต่อโรงพยาบาลอันเป็นระบบการประกันสุขภาพ ซึ่งเป็นสวัสดิการพื้นฐานของรัฐ หากเกิดกรณีมีผู้ร้องขอใช้สิทธิลบประวัติการรักษา ทางโรงพยาบาลฯ จะสามารถอ้างข้อกฎหมายหรือฐานทางกฎหมาย ประการใด ทั้งนี้ เพื่อเป็นแนวทางให้กับโรงพยาบาลสงขลานครินทร์ และโรงพยาบาลอื่น ๆ ที่อาจได้รับคำขอ ดังกล่าว
ความเห็น
คณะอนุกรรมการตอบข้อหารือและให้คำแนะนำในการปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล ในคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้พิจารณาเรื่องหารือดังกล่าว โดยมีผู้แทน โรงพยาบาลสงขลานครินทร์ชี้แจงข้อเท็จจริงประกอบการพิจารณาแล้ว มีความเห็นว่า โรงพยาบาลสงขลานครินทร์ เป็นหน่วยงานภายใต้สังกัดคณะแพทยศาสตร์ มหาวิทยาลัยสงขลานครินทร์ โดยมหาวิทยาลัยสงขลานครินทร์ มีฐานะเป็นนิติบุคคลตามมาตรา 5 แห่งพระราชบัญญัติมหาวิทยาลัยสงขลานครินทร์ พ.ศ. 2559 จึงถือได้ว่า มหาวิทยาลัยสงขลานครินทร์เป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม มาตรา 6 แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 การที่โรงพยาบาลสงขลานครินทร์ทำการเก็บรวบรวมข้อมูลประวัติการรักษาของ ผู้รับบริการ มีวัตถุประสงค์หลักเพื่อการให้บริการสุขภาพแก่ผู้รับบริการซึ่งตัดสินใจเข้ารับบริการกับทาง โรงพยาบาล จึงอาจถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของ ข้อมูลส่วนบุคคลเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญานั้น ตาม มาตรา 24 (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และสำหรับข้อมูลส่วนบุคคล ตาม มาตรา 26 (เช่น ข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพ) ถือเป็นการเก็บรวบรวมข้อมูลส่วนบุคคลที่เป็นการจำเป็น ในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมิน ความสามารถในการทำงานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพหรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ หรือในกรณี ที่ไม่ใช่การปฏิบัติตามกฎหมายและข้อมูลส่วนบุคคลนั้นอยู่ในความรับผิดชอบของผู้ประกอบอาชีพหรือวิชาชีพหรือ ผู้มีหน้าที่รักษาข้อมูลส่วนบุคคลนั้นไว้เป็นความลับตามกฎหมาย ก็อาจถือเป็นการปฏิบัติตามสัญญาระหว่าง เจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ ตาม มาตรา 26 (5) (ก) แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 เว้นแต่ในกรณีจำเป็นที่ต้องเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อป้องกันหรือระงับ อันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล ซึ่งจะเป็นไปตาม มาตรา 24 (2) หรือ มาตรา 26 (1) แล้วแต่กรณี นอกจากนี้ พระราชบัญญัติสถานพยาบาล พ.ศ. 2541 มาตรา 35 (3) กำหนดหน้าที่ และความรับผิดชอบของผู้รับอนุญาตและผู้ดำเนินการของสถานพยาบาลในการจัดให้มีและรายงานหลักฐาน เกี่ยวกับผู้ประกอบวิชาชีพในสถานพยาบาลและผู้ป่วย และเอกสารอื่นที่เกี่ยวกับการรักษาพยาบาล โดยต้อง เก็บรักษาไว้ให้อยู่ในสภาพที่ตรวจสอบได้ไม่น้อยกว่า 5 ปีนับแต่วันจัดทำ และโรงพยาบาลสงขลานครินทร์ ในฐานะสถานพยาบาลซึ่งดำเนินการโดยสถาบันการศึกษาของรัฐ ต้องมีลักษณะของสถานพยาบาล และมาตรฐานตามมาตรา 5 วรรคหนึ่งและวรรคสอง แห่งพระราชบัญญัติสถานพยาบาล พ.ศ. 2541 ซึ่งแก้ไข เพิ่มเติมโดยพระราชบัญญัติสถานพยาบาล (ฉบับที่ 4) พ.ศ. 2559 ประกอบข้อ 6 (3) ของประกาศกระทรวง สาธารณสุข เรื่อง การกำหนดลักษณะของสถานพยาบาลและมาตรฐานซึ่งได้รับการยกเว้นไม่ต้องอยู่ในบังคับ ตามกฎหมายว่าด้วยสถานพยาบาล ลงวันที่ 20 มีนาคม พ.ศ. 2561 ซึ่งแก้ไขเพิ่มเติมโดยประกาศกระทรวง สาธารณสุข เรื่อง การกำหนดลักษณะของสถานพยาบาลและมาตรฐานซึ่งได้รับการยกเว้นไม่ต้องอยู่ในบังคับ ตามกฎหมายว่าด้วยสถานพยาบาล (ฉบับที่ 2) ลงวันที่ 28 มิถุนายน พ.ศ. 2562 โดยต้องจัดให้มีระบบ การจัดการเวชระเบียนที่เป็นมาตรฐาน จัดให้มีระบบข้อมูลสำรองเพื่อป้องกันข้อมูลสูญหาย และมีพื้นที่เพียงพอ ที่จะเก็บเวชระเบียนได้อย่างน้อย 5 ปี ตามข้อ 3 ของประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง รายละเอียด เกี่ยวกับมาตรฐานระบบบริการสุขภาพของสถานพยาบาลประเภทที่รับผู้ป่วยไว้ค้างคืน ลงวันที่ 8 มกราคม พ.ศ. 2564 ประกอบข้อ 3 ของประกาศกรมสนับสนุนบริการสุขภาพ เรื่อง หน่วยงานที่รับรองคุณภาพ สถานพยาบาลซึ่งดำเนินการโดยกระทรวง ทบวง กรม องค์กรปกครองส่วนท้องถิ่น รัฐวิสาหกิจ สถาบันการศึกษา ของรัฐ หน่วยงานอื่นของรัฐ สภากาชาดไทย พ.ศ. 2567 การที่โรงพยาบาลสงขลานครินทร์เก็บรวบรวม ข้อมูลประวัติการรักษาของผู้รับบริการตามข้อกฎหมายดังกล่าว จึงถือเป็นการปฏิบัติตามกฎหมายของผู้ควบคุม ข้อมูลส่วนบุคคลตาม มาตรา 24 (6) หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ เกี่ยวกับประโยชน์สาธารณะด้านการสาธารณสุขตาม มาตรา 26 (5) (ข) แห่งพระราชบัญญัติคุ้มครองข้อมูล ส่วนบุคคล พ.ศ. 2562 แล้วแต่กรณี อีกด้วย วัตถุประสงค์อีกประการหนึ่งที่สถานพยาบาลต่าง ๆ เก็บรวบรวมข้อมูลประวัติการรักษา ของผู้รับบริการ คือ เพื่อเป็นหลักฐานอ้างอิงทางกฎหมายในกรณีที่มีการดำเนินคดีต่อสถานพยาบาล หรือบุคลากรที่เกี่ยวข้อง ไม่ว่าจะเป็นคดีอาญา คดีแพ่ง คดีปกครอง หรือการดำเนินการด้านจริยธรรม หรือจรรยาบรรณของผู้ประกอบวิชาชีพหรือผู้ประกอบโรคศิลปะ ซึ่งอาจถือเป็นกรณีที่เป็นการจำเป็น เพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งประโยชน์ดังกล่าวมีความสำคัญ ไม่น้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลตาม มาตรา 24 (5) หรือเป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้อง ตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมายตาม มาตรา 26 (4) แห่งพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 อีกด้วย ในกรณีที่เจ้าของข้อมูลส่วนบุคคลขอใช้สิทธิของตนเองตามที่กำหนดไว้ในพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 30 ถึง มาตรา 34 และ มาตรา 36 นั้น ผู้ควบคุมข้อมูลส่วนบุคคล มีหน้าที่ต้องพิจารณาคำขอใช้สิทธิว่าสอดคล้องกับเงื่อนไขที่กฎหมายกำหนดในการขอใช้สิทธิแต่ละกรณี หรือไม่ โดยในส่วนของสิทธิขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคล เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตาม มาตรา 33 โรงพยาบาลสงขลานครินทร์ อาจพิจารณาปฏิเสธคำขอใช้สิทธิของผู้รับบริการได้ หากเห็นว่าเป็นกรณีดังต่อไปนี้ (1) ข้อมูลส่วนบุคคลนั้นยังมีความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ในการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยโรงพยาบาลสงขลานครินทร์จะต้องพิจารณาความจำเป็น ในการเก็บรักษาข้อมูลส่วนบุคคลดังกล่าวตามวัตถุประสงค์ที่เก็บรวบรวมไว้ เช่น ยังมีความจำเป็นในการ เก็บรักษาข้อมูลส่วนบุคคลดังกล่าวไว้เพื่อการให้บริการสุขภาพตามมาตรฐานของสถานพยาบาล เพื่อการปฏิบัติ ตามกฎหมายว่าด้วยสถานพยาบาล หรือเพื่อเป็นหลักฐานอ้างอิงทางกฎหมายสำหรับคดีที่อาจเกิดขึ้นและ ยังไม่หมดอายุความ เป็นต้น ทั้งนี้ ตามนัย มาตรา 33 (1) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และไม่ใช่กรณีที่เข้าเงื่อนไขตาม (2) (3) หรือ (4) (2) การเก็บรักษาไว้เพื่อวัตถุประสงค์เกี่ยวกับเวชศาสตร์ป้องกันหรืออาชีวเวชศาสตร์ การประเมินความสามารถในการทำงานของลูกจ้าง การวินิจฉัยโรคทางการแพทย์ การให้บริการด้านสุขภาพ หรือด้านสังคม การรักษาทางการแพทย์ การจัดการด้านสุขภาพ หรือระบบและการให้บริการด้านสังคมสงเคราะห์ หรือการปฏิบัติตามสัญญาระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ประกอบวิชาชีพทางการแพทย์ ตาม มาตรา 26 (5) (ก) หรือเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับประโยชน์สาธารณะด้าน การสาธารณสุขตาม มาตรา 26 (5) (ข) หรือการใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือ การใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย ซึ่ง มาตรา 33 วรรคสอง กำหนดยกเว้นมิให้นำสิทธิขอให้ดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคล เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ตาม มาตรา 33 วรรคหนึ่ง มาใช้บังคับกับ การเก็บรักษาข้อมูลส่วนบุคคลไว้เพื่อวัตถุประสงค์ดังกล่าว ดังนั้น โรงพยาบาลสงขลานครินทร์สามารถปฏิเสธคำขอใช้สิทธิลบหรือทำลาย หรือทำให้ ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ ของผู้ร้องขอ รายดังกล่าวได้ หากมีความจำเป็นต้องเก็บรักษาข้อมูลประวัติการรักษาของผู้นั้นไว้ตามกฎหมายว่าด้วย สถานพยาบาล หรือเพื่อวัตถุประสงค์อื่น ๆ ที่ชอบด้วยกฎหมาย หรือเป็นข้อมูลส่วนบุคคลที่เก็บรักษาไว้ เพื่อวัตถุประสงค์ตาม มาตรา 26 (5) (ก) หรือ (ข) หรือเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตาม หรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติ ตามกฎหมาย ซึ่งเป็นกรณีเฉพาะที่ได้รับยกเว้นไม่ให้นำสิทธิดังกล่าวมาใช้บังคับ โรงพยาบาลสงขลานครินทร์ จึงควรพิจารณาแจ้งให้เจ้าของข้อมูลส่วนบุคคลที่ใช้สิทธิทราบว่า ไม่อาจดำเนินการตามคำขอใช้สิทธิของเจ้าของ ข้อมูลส่วนบุคคลได้ พร้อมชี้แจงเหตุผล ตาม มาตรา 33 วรรคหนึ่งและวรรคสอง และวรรคห้า แห่งพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบข้อ 3 วรรคหนึ่ง และข้อ 8 วรรคสาม ของประกาศคณะกรรมการ คุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถ ระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ พ.ศ. 2567 อย่างไรก็ตาม ผู้ควบคุมข้อมูลส่วนบุคคลยังมีหน้าที่จัดให้มีระบบการตรวจสอบเพื่อดำเนินการ ลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือที่ไม่เกี่ยวข้องหรือเกินความจำเป็น ตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น หรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอ หรือที่เจ้าของ ข้อมูลส่วนบุคคลได้ถอนความยินยอม เว้นแต่จะเป็นกรณีที่ได้รับยกเว้น ตามที่กำหนดไว้ใน มาตรา 37 (3) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อีกด้วย ดังนั้น สำหรับข้อมูลส่วนบุคคลเกี่ยวกับ ประวัติการรักษาของผู้รับบริการที่โรงพยาบาลได้เก็บรวบรวมไว้เกินกว่า 5 ปีนับแต่วันจัดทำตามที่กฎหมายว่าด้วย สถานพยาบาลกำหนด มหาวิทยาลัยสงขลานครินทร์ โดยโรงพยาบาลสงขลานครินทร์ ในฐานะผู้ควบคุม ข้อมูลส่วนบุคคล จะต้องพิจารณาว่าข้อมูลส่วนบุคคลดังกล่าวหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ ต่าง ๆ ที่กำหนดไว้โดยชอบด้วยกฎหมายแล้วหรือไม่ หรือยังมีความจำเป็นต้องเก็บรักษาไว้เพื่อวัตถุประสงค์ ตาม มาตรา 26 (5) (ก) หรือ (ข) หรือการใช้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือ การใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อการปฏิบัติตามกฎหมาย หากเห็นว่าการเก็บรักษาข้อมูลส่วนบุคคลไว้เพื่อวัตถุประสงค์ต่าง ๆ หมดความจำเป็นแล้วตาม มาตรา 37 (3) หรือเป็นกรณีที่เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิตาม มาตรา 33 ได้ โรงพยาบาลสงขลานครินทร์ ต้องดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูล ส่วนบุคคลได้ ตามหลักเกณฑ์ที่กำหนดไว้ในประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์ ในการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูล ส่วนบุคคลได้ พ.ศ. 2567 ทั้งนี้ ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคล เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียน ต่อคณะกรรมการผู้เชี่ยวชาญเพื่อสั่งให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการได้ ตาม มาตรา 33 วรรคสี่ ประกอบ มาตรา 73 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562