ข้อหารือที่ 29/2566 — สพร. (ข้อมูลสุขภาพในการเบิกค่ารักษา)
สารบัญในมาตรานี้
ข้อกฎหมาย
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 16 (10), มาตรา 19 วรรคสี่, มาตรา 22, มาตรา 23, มาตรา 25 วรรคหนึ่ง (2), มาตรา 26 (5) (ค), มาตรา 27 วรรคหนึ่ง และ มาตรา 37 (1)
- พระราชกฤษฎีกาจัดตั้งสำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) พ.ศ. 2561 — มาตรา 19 (3) (ช)
- พระราชบัญญัติองค์การมหาชน พ.ศ. 2542 ซึ่งแก้ไขเพิ่มเติมโดย พ.ร.บ. องค์การมหาชน (ฉบับที่ 2) พ.ศ. 2559 — มาตรา 19/1
- พระราชกฤษฎีกาเงินสวัสดิการเกี่ยวกับการรักษาพยาบาล พ.ศ. 2553 — มาตรา 4 และมาตรา 5
- พระราชบัญญัติกำหนดหลักเกณฑ์เกี่ยวกับการจ่ายเงินบางประเภทตามงบประมาณรายจ่าย พ.ศ. 2518
- พระราชบัญญัติประกันสังคม พ.ศ. 2533 และที่แก้ไขเพิ่มเติม
- พระราชบัญญัติหลักประกันสุขภาพแห่งชาติ พ.ศ. 2545
- พระราชบัญญัติคุ้มครองผู้ประสบภัยจากรถ พ.ศ. 2535 และที่แก้ไขเพิ่มเติม
ข้อหารือ
สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน) หรือ สพร. ขอหารือเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพ ในการเบิกค่ารักษาพยาบาลของเจ้าหน้าที่ สพร. โดย สพร. จัดเป็นองค์การมหาชนภายใต้ พ.ร.บ. องค์การมหาชน · การเบิกสวัสดิการเกี่ยวกับการรักษาพยาบาลของเจ้าหน้าที่ สพร. และบุคคลในครอบครัว เป็นไปตามระเบียบคณะกรรมการ สพร. ว่าด้วยการรักษาพยาบาลและการตรวจสุขภาพ พ.ศ. 2561
เจ้าหน้าที่ที่ประสงค์จะใช้สิทธิเบิกสวัสดิการต้องกรอกแบบฟอร์มใบเบิกเงินสวัสดิการ พร้อมแนบใบเสร็จรับเงินและใบรับรองแพทย์ ระบุข้อมูล: (1) ชื่อ-นามสกุล (2) โรคที่เข้ารับการรักษา (3) ชื่อสถานพยาบาล (4) จำนวนเงิน
สพร. จึงขอหารือว่า การเก็บรวบรวม ใช้ และ/หรือเปิดเผยข้อมูลส่วนบุคคลที่เป็นข้อมูลสุขภาพของเจ้าหน้าที่ สพร. และครอบครัว เพื่อประกอบการพิจารณาอนุมัติการใช้สิทธิเบิกสวัสดิการ จำเป็นต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าหน้าที่ สพร. และครอบครัว หรือไม่
ความเห็น
คณะอนุกรรมการเฉพาะกิจตอบข้อหารือฯ ได้พิจารณาเรื่องหารือดังกล่าว ประกอบกับได้หารือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลในการประชุมครั้งที่ 6/2566 เมื่อวันที่ 26 มิถุนายน 2566 เพื่อตีความและวินิจฉัยชี้ขาดปัญหาที่เกิดจากการบังคับใช้ PDPA ตาม มาตรา 16 (10) แล้ว เห็นว่า ข้อมูลส่วนบุคคลเกี่ยวกับโรคที่เข้ารับการรักษาและรายละเอียดเกี่ยวกับการรักษาพยาบาล ในใบเบิกเงินสวัสดิการและเอกสารประกอบ (ใบรับรองแพทย์ ใบเสร็จ) เป็นข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพตามนัย มาตรา 26
การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวของเจ้าหน้าที่ สพร. และบุคคลในครอบครัวโดย สพร. เพื่อใช้ประกอบการเบิกจ่ายค่าใช้จ่ายสวัสดิการเกี่ยวกับการรักษาพยาบาลให้กับบุคลากรของหน่วยงาน — เป็นไปตามระเบียบคณะกรรมการ สพร. ซึ่งออกโดยอาศัยอำนาจตามมาตรา 19 (3) (ช) แห่ง พ.ร.ฎ. จัดตั้ง สพร. และมาตรา 19/1 แห่ง พ.ร.บ. องค์การมหาชน — ถือว่าเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับสวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย ตามนัย มาตรา 26 (5) (ค) ประกอบ มาตรา 27 วรรคหนึ่ง แห่ง PDPA — จึงได้รับยกเว้นไม่ต้องขอความยินยอมโดยชัดแจ้งจากเจ้าหน้าที่ สพร. หรือบุคคลในครอบครัว
สำหรับข้อมูลสุขภาพของบุคคลในครอบครัวของเจ้าหน้าที่ สพร. แม้จะเป็นการเก็บรวบรวมจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลโดยตรง สพร. สามารถเก็บรวบรวม/ใช้/เปิดเผยได้ตามนัย มาตรา 26 (5) (ค) ประกอบ มาตรา 27 วรรคหนึ่ง · การเก็บรวบรวมจากแหล่งอื่นเพื่อเบิกสวัสดิการของบุคคลในครอบครัวจึงสามารถดำเนินการได้โดยไม่ต้องแจ้งให้เจ้าของข้อมูลทราบและได้รับความยินยอม ตาม มาตรา 25 วรรคหนึ่ง (2)
คคส. มติครั้งที่ 6/2566 ตีความ มาตรา 16 (10) เพิ่มเติมว่า มาตรา 26 (5) (ค) ครอบคลุมการเก็บข้อมูลสุขภาพที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อสวัสดิการเกี่ยวกับการรักษาพยาบาล/สวัสดิการสุขภาพ/สิทธิได้รับบริการทางการแพทย์ขั้นพื้นฐาน — ทั้งสำหรับลูกจ้างภาคเอกชนตาม พ.ร.บ. ประกันสังคม, บุคคลที่มีสิทธิรับบริการสาธารณสุขตาม พ.ร.บ. หลักประกันสุขภาพแห่งชาติ, ข้าราชการ/ลูกจ้างประจำ/ผู้มีสิทธิตาม พ.ร.ฎ. เงินสวัสดิการเกี่ยวกับการรักษาพยาบาล, ผู้ประสบภัยตาม พ.ร.บ. คุ้มครองผู้ประสบภัยจากรถ · "สวัสดิการเกี่ยวกับการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย" ครอบสวัสดิการของข้าราชการ เจ้าหน้าที่ พนักงาน ลูกจ้าง ของส่วนราชการ องค์การมหาชน และหน่วยงานของรัฐทุกประเภทที่มีหน้าที่และอำนาจในการจัดสวัสดิการ ตลอดจนบุคคลในครอบครัว
ข้อยกเว้นสำคัญ: กรณีหน่วยงานของรัฐจัดสวัสดิการโดยใช้ประกันภัยแบบกลุ่ม (group insurance) และต้องเปิดเผยข้อมูลสุขภาพให้บริษัทประกันภัย — การเปิดเผยและการเก็บรวบรวมของบริษัทประกันภัย จะไม่ได้รับยกเว้นตาม มาตรา 26 (5) (ค) · ต้องได้รับความยินยอมโดยชัดแจ้งตาม มาตรา 26 · แต่อาจกำหนดเงื่อนไขในการเข้าทำสัญญา/ขอเบิกเงินสวัสดิการว่าต้องให้ความยินยอมเพื่อใช้/เปิดเผยข้อมูลให้บริษัทประกัน ซึ่งเป็นไปตาม มาตรา 19 วรรคสี่ได้
สพร. ต้องปฏิบัติหน้าที่ตาม PDPA ครบ โดยเฉพาะการเก็บเท่าที่จำเป็น มาตรา 22 · แจ้ง privacy notice มาตรา 23 · มาตรการความมั่นคงปลอดภัย มาตรา 37 (1)