ประกาศความเป็นส่วนตัว
หน้าหลัก > ประกาศความเป็นส่วนตัว
- ผู้ใช้งานทั่วไป
- ผู้ป่วย
- แพทย์
- ผู้ดูแลระบบสถานพยาบาล
ประกาศความเป็นส่วนตัว
สำหรับ ผู้ใช้งานทั่วไป ของ สถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน)
ปรับปรุงล่าสุด: วันที่ 26 มกราคม พ.ศ. 2567
ฉบับย่อ
ภายใต้โครงการจัดทำระบบดิจิทัลและเทคโนโลยีเพื่อเชื่อมโยงข้อมูลสุขภาพทั่วประเทศ (Health Information Exchange: Health Link)สถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน) (ต่อไปนี้จะเรียกว่า “สขญ.” หรือ “เรา”) ประมวลผลข้อมูลส่วนบุคคลของผู้ใช้งานทั่วไป (ต่อไปนี้จะเรียกรวมว่า “ผู้ใช้งานทั่วไป” หรือ “ท่าน”) ซึ่งจะได้รับการดูแลตามมาตรฐานสูงสุดสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลพ.ศ. 2562 (“กฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ”)โดยท่านสามารถดูรายละเอียดของประกาศ
ความเป็นส่วนตัวสำหรับ ผู้ใช้งานทั่วไป (“ประกาศความเป็นส่วนตัว”) ฉบับเต็มได้ ผ่านทางQR Code
และสามารถอ่านสรุปเบื้องต้นของประกาศความเป็นส่วนตัวตามรายละเอียดที่ปรากฏด้านล่าง
หัวข้อ | ข้อมูลโดยสรุป |
เราประมวลผลข้อมูลอะไรบ้าง? | เราประมวลผลข้อมูลตามที่ได้เก็บรวบรวมจากท่าน ได้แก่ ข้อมูลส่วนตัว ข้อมูลใน Health Link ข้อมูลที่อยู่ ข้อมูลติดต่อ ข้อมูลผู้ติดต่อ ข้อมูลหน่วยงาน ชื่อบนสื่อสังคม ข้อมูลการร่วมกิจกรรม/งานประชาสัมพันธ์ ข้อมูลความคิดเห็น ข้อมูลการร้องขอใช้สิทธิ ข้อมูลการสนทนาศูนย์บริการ Call Center และข้อมูลทางเทคนิคและการใช้งาน |
เราใช้ข้อมูลอย่างไร? | เราใช้ข้อมูลส่วนบุคคลเพื่อการดำเนินการทั้งหลายตามวัตถุประสงค์ของสขญ. และตามคำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเราได้อธิบายเหตุผลความจำเป็นและฐานการประมวลผลที่เกี่ยวข้องไว้ในประกาศความเป็นส่วนตัวฉบับนี้ |
เราส่งข้อมูล | เราอาจจำเป็นต้องส่งและ/หรือเปิดเผยข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานภายนอกตามเหตุผลความจำเป็นที่ได้อธิบายไว้ในประกาศความเป็นส่วนตัวฉบับนี้ และรายการหน่วยงานที่มีการส่งข้อมูล |
ผู้ใช้บริการสามารถทำอะไรได้บ้าง? | ท่านสามารถใช้สิทธิของเจ้าของข้อมูลซึ่งรวมถึงการเข้าถึง การแก้ไข และการลบข้อมูลส่วนบุคคล และสิทธิอื่น ๆ ตามที่ได้อธิบายไว้ในประกาศความเป็นส่วนตัวฉบับนี้ |
การเปลี่ยนแปลงประกาศ | เราจะแจ้งให้ท่านทราบเมื่อมีการทบทวนหรือปรับปรุงประกาศความเป็นส่วนตัวฉบับนี้ |
เอกสารนี้เป็นประกาศความเป็นส่วนตัว สำหรับ ผู้ใช้งานทั่วไป ของ สขญ. ในโครงการจัดทำระบบดิจิทัลและเทคโนโลยีเพื่อเชื่อมโยงข้อมูลสุขภาพทั่วประเทศ (Health Information Exchange: Health Link) โดยเรามีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล และผู้ควบคุมข้อมูลส่วนบุคคลขึ้นอยู่กับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ
เราประมวลผลข้อมูลส่วนบุคคลของท่านภายในขอบเขตและวัตถุประสงค์ของ สขญ. รวมทั้งภายใต้ข้อตกลงการประมวลผลข้อมูลส่วนบุคคลที่ได้จัดทำขึ้นระหว่างเรากับหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งประกาศความเป็นส่วนตัวฉบับนี้จะได้อธิบายว่าเราได้เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลของท่านอย่างไร
รายละเอียดการติดต่อ ชื่อ: สถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน) หรือ Big Data Institute สถานที่ติดต่อ: เลขที่ 80 อาคารลาดพร้าว ฮิลล์ ถนนลาดพร้าว แขวงจอมพล เขตจตุจักร กรุงเทพมหานคร 10900 หมายเลขโทรศัพท์: 02 026 2333 ต่อ 3456 ไปรษณีย์อิเล็กทรอนิกส์: [email protected] เวลาทำการปกติ: วันจันทร์ถึงศุกร์ เวลา 9.00 – 17.00 เว็บไซต์: https://bdi.or.th/ | รายละเอียดการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล นายสุธี อุไรวิชัยกุล โทรศัพท์: 02 026 2333 ต่อ 3456 อีเมล: [email protected] |
ภายใต้ประกาศความเป็นส่วนตัวฉบับนี้ ให้คำดังต่อไปนี้มีความหมายตามที่กำหนดด้านล่าง
“ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลผู้ถึงแก่กรรมโดยเฉพาะ
“ข้อมูลส่วนบุคคลประเภทพิเศษที่มีความอ่อนไหว” หมายถึง ข้อมูลส่วนบุคคลตามที่ถูกบัญญัติไว้ในมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งได้แก่ ข้อมูลเชื้อชาติ เผ่าพันธุ์
ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายถึง บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
“โครงการฯ” หมายถึง โครงการจัดทำระบบดิจิทัลและเทคโนโลยีเพื่อเชื่อมโยงข้อมูลสุขภาพ
ทั่วประเทศ (Health Information Exchange: Health Link)
“ประมวลผล” หมายถึง การดำเนินการใด ๆ ต่อข้อมูลส่วนบุคคลของท่านซึ่งรวมถึงการเก็บรวบรวม
การใช้ การจัดเก็บ การเปิดเผย และการลบข้อมูลส่วนบุคคล
“ฐานการประมวลผล” หมายถึง เหตุผลความจำเป็นในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา 24 และเงื่อนไขพิเศษในการประมวลผลข้อมูลอ่อนไหวตามมาตรา 26 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ
ทั้งนี้ หากท่านเป็นผู้ให้ข้อมูลส่วนบุคคลของบุคคลที่สาม เช่น ข้อมูลของบุคคลในครอบครัว ข้อมูลของ
ผู้ติดต่อฉุกเฉิน และบุคคลอ้างอิง เป็นต้น ขอให้ท่านโปรดแจ้งให้บุคคลเหล่านั้นทราบถึงรายละเอียด
ตามประกาศความเป็นส่วนตัวฉบับนี้ และในบางกรณีอาจจำเป็นต้องขอความยินยอมจากบุคคลดังกล่าว เพื่อให้เราสามารถประมวลผลข้อมูลส่วนบุคคลของบุคคลที่สามเหล่านี้ได้
ประกาศความเป็นส่วนตัวฉบับนี้ อาจมีการทบทวนปรับปรุงตามที่จะได้แจ้งให้ท่านทราบผ่านช่องทางสื่อสารที่เหมาะสมต่อไป
2. เราเก็บรวบรวมข้อมูลส่วนบุคคลประเภทใดบ้าง
เราเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน ดังต่อไปนี้
- ข้อมูลส่วนตัว เช่น คำนำหน้า ชื่อ-นามสกุล เลขที่บัตรประจำตัวประชาชน วันเดือนปีเกิด เพศ ลายมือลงนาม เลขประจำตัวผู้เสียภาษี เป็นต้น
- ข้อมูลใน Health Link เช่น ข้อมูลความยินยอม ข้อมูลประวัติการเข้าถึงและเรียกดูข้อมูลสุขภาพ ข้อมูลประวัติการนำเข้าข้อมูลสุขภาพ เป็นต้น
- ข้อมูลที่อยู่ เช่น เลขที่ที่อยู่อาศัย เป็นต้น
- ข้อมูลติดต่อ เช่น หมายเลขโทรศัพท์ อีเมล เลขทะเบียนรถ เป็นต้น
- ข้อมูลผู้ติดต่อ เช่น ข้อมูลชื่อ-นามสกุลผู้ติดต่อ ข้อมูลติดต่อของผู้ติดต่อ เป็นต้น
- ข้อมูลหน่วยงาน เช่น สถานที่ทำงาน ข้อมูลตำแหน่งงาน ข้อมูลหน่วยงานที่สังกัด ชื่อบริษัท/
นิติบุคคล ชื่อหน่วยงาน แผนก/ฝ่าย เป็นต้น - ชื่อบนสื่อสังคม เช่น ชื่อผู้ใช้และชื่อที่ปรากฏบนสื่อสังคม ข้อมูลพฤติกรรมบนสื่อสังคม
ข้อมูลความคิดเห็นบนสื่อสังคม ข้อความการแชท username เป็นต้น - ข้อมูลการร่วมกิจกรรม/งานประชาสัมพันธ์ เช่น ข้อมูลการเข้าร่วมกิจกรรมหรืองานประชาสัมพันธ์ ข้อมูลการแสดงออกในกิจกรรมหรืองานประชาสัมพันธ์ ข้อมูลสถานที่หรือสื่อสังคมที่จัดกิจกรรม/งานประชาสัมพันธ์ ข้อมูลกำหนดการในงานของบุคคลนั้น ๆ เป็นต้น
- ข้อมูลความคิดเห็น เช่น ความคิดเห็น คำถาม คำตอบแบบสอบถาม การสัมภาษณ์ ข้อมูลสิ่งที่สนใจ ความรู้ ประสบการณ์ เป็นต้น
- ข้อมูลการร้องขอใช้สิทธิ เช่น ข้อมูลรายละเอียดการร้องขอใช้สิทธิ เป็นต้น
- ข้อมูลการสนทนาศูนย์บริการ Call Center เช่น ข้อมูลเสียงสนทนาที่ถูกบันทึกผ่านศูนย์บริการ Call Center เป็นต้น
- ข้อมูลทางเทคนิคและการใช้งาน เช่น ข้อมูลหมายเลข IP Address อุปกรณ์ ข้อมูลประเภทอุปกรณ์ ข้อมูลการตั้งค่าอุปกรณ์ ข้อมูลประวัติการค้นหา (Browsing History) ข้อมูลการใช้งาน Browser จาก Cookie ID ข้อมูลพฤติกรรมการใช้งานเว็บแอปพลิเคชันระบบ ข้อมูลอุปกรณ์
ที่เข้าใช้งานระบบ Health Link เป็นต้น
3. เราเก็บรวบรวมข้อมูลส่วนบุคคลอย่างไร
โดยทั่วไปแล้ว เราเก็บรวบรวมข้อมูลส่วนบุคคลจากท่านโดยตรงผ่านกระบวนการ หรือช่องทาง เช่น
- ได้รับผ่านการเข้าถึงแชร์ไดร์ฟ/ฐานข้อมูลบนคลาวด์ เช่น Google Form เป็นต้น
- ได้รับผ่านเว็บไซต์บนอินเตอร์เน็ต เช่น HTTPS (Web browser) เป็นต้น
- ได้รับโดยตรงผ่านการสื่อสาร กรอก ลงนามต่อหน้า
- ได้รับผ่านเอกสาร หรือสำเนาเอกสาร
- ได้รับผ่านโซเชียลมีเดีย
- ได้รับผ่านไปรษณีย์อิเล็กทรอนิกส์ (Email)
อย่างไรก็ดี เราอาจเก็บรวบรวมข้อมูลเพิ่มเติมจากหน่วยงานภายนอก ซึ่งรวมถึง
- บริษัทคู่ค้า/คู่สัญญา เช่น บริษัท อินบีทวีน คอมมูนิเคชั่นส์ จำกัด เป็นต้น
4. เราใช้ข้อมูลส่วนบุคคลอย่างไร
เราในฐานะผู้ควบคุมข้อมูลส่วนบุคคลใช้ข้อมูลส่วนบุคคลของท่านเพื่อการดำเนินการทั้งหลาย
ตามวัตถุประสงค์ของ สขญ. ซึ่งสามารถแบ่งเป็นกลุ่มกิจกรรม ดังต่อไปนี้
กลุ่มกิจกรรม | กลุ่มข้อมูลส่วนบุคคล | ฐานการประมวลผลของเรา |
กระบวนการดำเนินกิจกรรมรับของรางวัล [ROP ID: PRA-009, PRA-010, PRA-011] |
|
|
กระบวนการตรวจรับ [ROP ID: BSN-023, BSN-024] |
|
|
การสำรวจและประเมินระบบ Health Link [ROP ID: PRA-017] |
|
|
เก็บรวบรวมข้อมูล และวิเคราะห์พฤติกรรมการใช้งานบนเว็บไซต์/สื่อสังคมออนไลน์ [ROP ID: BSN-010-I, BSN-010-O, BSN-011-I, BSN-011-O, BSN-012-I, BSN-012-O, PRA-008, PRA-014, PRA-015] |
|
|
เก็บรวบรวมข้อมูล และวิเคราะห์พฤติกรรมการใช้งานระบบ Health Link [ROP ID: BSN-013, BSN-014] |
|
|
นอกจากนี้ เราในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลใช้ข้อมูลส่วนบุคคลของท่านเพื่อการดำเนินการทั้งหลายภายใต้คำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ ภายใต้โครงการฯ เราเข้าใจและดำเนินการเฉพาะตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลที่ได้มอบหมายให้เราเท่านั้น ตามกลุ่มกิจกรรม ดังต่อไปนี้ ทั้งนี้ เพื่อความเข้าใจที่ครบถ้วนในการใช้ข้อมูลส่วนบุคคลของท่าน โปรดศึกษาประกาศ
ความเป็นส่วนตัวของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลเพิ่มเติม
กลุ่มกิจกรรม | กลุ่มข้อมูลส่วนบุคคล | หน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล | ฐานการประมวลผลของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล |
กระบวนการให้ [ROP ID: BSN-035, BSN-036, BSN-037] |
|
|
|
การสำรวจและประเมินระบบ Health Link [ROP ID: BSN-019] |
|
|
|
เราจะประมวลผลข้อมูลส่วนบุคคลของท่านตามวัตถุประสงค์ที่ได้แจ้งไว้หรือตามคำสั่งของหน่วยงาน
ที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น อย่างไรก็ตาม ในกรณีที่เราจำเป็นต้องประมวลผลข้อมูลของท่าน
เพื่อวัตถุประสงค์อื่นที่ไม่เกี่ยวข้องกับวัตถุประสงค์เดิม และการประมวลผลดังกล่าวไม่สามารถอ้างอิงฐาน
การประมวลผลอื่นได้ เช่นนี้ เราจะแจ้งให้ท่านทราบหรือขอความยินยอมจากท่าน เพื่อการประมวลผลข้อมูลส่วนบุคคลตามวัตถุประสงค์ใหม่นั้น
ทั้งนี้ ในกรณีที่เราประมวลผลข้อมูลส่วนบุคคลในฐานการประมวลผลตาม ม.24(3) ฐานสัญญา
และ ม.24(6) ฐานปฏิบัติตามกฎหมาย หากท่านไม่ให้ข้อมูลส่วนบุคคลกับเราจะทำให้เกิดผลกระทบดังต่อไปนี้
- ทำให้สัญญาระหว่างเรากับท่านเกิดขึ้นไม่ได้ เช่น ไม่สามารถรับสมัครดำเนินกิจกรรมรับของรางวัลได้ เป็นต้น
- ทำให้เราไม่สามารถประมวลผลข้อมูลส่วนบุคคลตามกฎหมายหรือทำให้มีความผิดทางกฎหมาย เช่น กระบวนการตรวจรับตาม ระเบียบกระทรวงการคลัง ว่าด้วยการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 เป็นต้น
5. เราใช้ข้อมูลส่วนบุคคลร่วมกันกับหน่วยงานภายนอกหรือไม่
เพื่อให้หน่วยงานภายนอกสามารถประมวลผลข้อมูลตามวัตถุประสงค์และฐานการประมวลผลข้อมูลส่วนบุคคลที่ได้แจ้งให้ท่านทราบ เราอาจมีความจำเป็นต้องส่งหรือเปิดเผยข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานภายนอกดังต่อไปนี้
- หน่วยงานรัฐ เช่น สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ เป็นต้น
- หน่วยงานรัฐวิสาหกิจ เช่น บริษัท ไปรษณีย์ไทย จำกัด
- บริษัทคู่ค้า/คู่สัญญา เช่น บริษัท อินบีทวีน คอมมูนิเคชั่นส์ จำกัด
- การเปิดเผยต่อสาธารณะผ่านช่องทางสื่อสังคม (Social media)
อย่างไรก็ตาม ในกรณีที่ส่งหรือเปิดเผยข้อมูลส่วนบุคคลไปยังหน่วยงานภายนอก เราจะดำเนินการเท่าที่จำเป็นโดยส่งหรือเปิดเผยข้อมูลให้น้อยที่สุด (Data Minimization) ภายใต้หลักการของกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ หรือเราจะส่งหรือโอนข้อมูลส่วนบุคคลของท่านต่อเมื่อเป็นการดำเนินการตามคำสั่ง
ของผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น และอาจพิจารณาใช้วิธีจัดทำข้อมูลนิรนาม (anonymisation)
และการแฝงข้อมูล (pseudonymisation) เพื่อรักษาความปลอดภัยของข้อมูล นอกจากนี้ หน่วยงานภายนอกที่ประมวลผลข้อมูลส่วนบุคคลให้กับเรา จะต้องจัดให้มีนโยบายคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม
และเราไม่อนุญาตให้หน่วยงานภายนอกดังกล่าวใช้ข้อมูลของท่าน เพื่อวัตถุประสงค์อื่นนอกจากที่เรากำหนด
6. เราส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศหรือไม่
ภายใต้ขอบเขตและวัตถุประสงค์การประมวลผลตามประกาศความเป็นส่วนตัวฉบับนี้ ณ ปัจจุบัน
เราไม่มีความจำเป็นจะต้องส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ
อนึ่ง เราจะส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ ต่อเมื่อกรณีเป็นไปตามเงื่อนไข
อย่างใดอย่างหนึ่ง ดังต่อไปนี้
- ประเทศปลายทางหรือองค์กรระหว่างประเทศที่มีการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ
ตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา 28 แห่งพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566
- หน่วยงานต่างประเทศที่รับข้อมูลอยู่ภายใต้นโยบายในการคุ้มครองข้อมูลส่วนบุคคลเพื่อการส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล
ซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน และหน่วยงานต่างประเทศได้จัดให้มีมาตรการคุ้มครองที่เหมาะสม (Appropriate Safeguards) ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้
ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 - เป็นการปฏิบัติตามกฎหมาย
- ได้รับความยินยอมจากท่าน โดยท่านได้รับทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล
ที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้ว - เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งท่านเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการ
ตามคำขอของท่านก่อนเข้าทำสัญญานั้น - เป็นการกระทำตามสัญญาระหว่างเรากับบุคคลหรือนิติบุคคลอื่นเพื่อประโยชน์ของท่าน
- เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล เมื่อบุคคลดังกล่าว
ไม่สามารถให้ความยินยอมในขณะนั้นได้ - เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ
7. การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
เราได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยสำหรับข้อมูลส่วนบุคคลตามมาตรฐานของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูล
ส่วนบุคคล พ.ศ. 2565 รวมถึงรองรับมาตรฐานการรักษาความปลอดภัย ISO27001 มีระบบการลงทะเบียนด้วย e-KYC และ ทำการเข้ารหัสข้อมูล (Data Encryption)
8. ระยะเวลาในการจัดเก็บข้อมูลส่วนบุคคล
เราจะจัดเก็บข้อมูลส่วนบุคคลของท่านภายในระยะเวลาที่จำเป็นในการดำเนินการตามวัตถุประสงค์ของ สขญ. รวมถึงการดำเนินงานอื่น ๆ ที่จำเป็น และจัดเก็บข้อมูลตามคำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
9. สิทธิของท่านในฐานะเจ้าของข้อมูลส่วนบุคคล
ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ ท่านมีสิทธิดังต่อไปนี้
- สิทธิในการเพิกถอนความยินยอม ในกรณีที่เราขอความยินยอมของท่านเพื่อประมวลผลข้อมูล
ส่วนบุคคลของท่าน
- สิทธิในการเข้าถึงข้อมูลส่วนบุคคล โดยท่านสามารถขอรับสำเนาข้อมูลของท่านและตรวจสอบว่าเราได้ประมวลผลข้อมูลของท่านตามกฎหมายหรือไม่
- สิทธิในการโอนข้อมูลส่วนบุคคล ในกรณีที่เราได้จัดให้มีแพลตฟอร์มซึ่งทำให้ท่านสามารถเข้าถึงข้อมูลส่วนบุคคลด้วยวิธีการอัตโนมัติ
- ท่านสามารถขอให้ส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานอื่นได้ด้วยวิธีการอัตโนมัติ
- ท่านสามารถขอรับข้อมูลส่วนบุคคลที่เราส่งหรือโอนไปยังหน่วยงานอื่นโดยตรง เว้นแต่
โดยสภาพทางเทคนิคไม่สามารถทำได้
- สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล โดยท่านสามารถคัดค้านในกรณีที่เราประมวลผลข้อมูลของท่านตามฐานการประมวลผล และ/หรือวัตถุประสงค์ ดังต่อไปนี้
- ตามฐานภารกิจของรัฐ หรือฐานประโยชน์อันชอบธรรม
- เพื่อวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ
เว้นแต่เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะของเรา
- สิทธิในการลบข้อมูลส่วนบุคคล โดยท่านสามารถขอให้ลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคล
เป็นข้อมูลที่ไม่สามารถระบุตัวท่านได้ ในกรณีดังต่อไปนี้
- เมื่อหมดความจำเป็นในการประมวลผลข้อมูลส่วนบุคคล
- เมื่อท่านถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคล และเราไม่มีฐาน
การประมวลผลตามกฎหมายที่จะประมวลผลข้อมูลส่วนบุคคลนั้นได้ต่อไป - เมื่อท่านคัดค้านการประมวลผลข้อมูลส่วนบุคคล
- เมื่อข้อมูลส่วนบุคคลของท่านถูกประมวลผลโดยไม่ชอบด้วยกฎหมาย
- สิทธิในการระงับการใช้ข้อมูลส่วนบุคคล โดยท่านสามารถขอให้ระงับการใช้ข้อมูลส่วนบุคคล
ของท่านได้ ในกรณีดังต่อไปนี้
- เมื่ออยู่ในระหว่างการตรวจสอบตามที่ท่านขอให้แก้ไขข้อมูลส่วนบุคคล
- เมื่อเป็นข้อมูลส่วนบุคคลที่ต้องลบหรือทำลาย แต่ท่านขอให้ระงับการใช้แทน
- เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ แต่ท่านมี
ความจำเป็นต้องขอให้เก็บรักษาไว้เพื่อใช้ในการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย - เมื่ออยู่ในระหว่างการพิสูจน์ หรือตรวจสอบ ตามคำขอใช้สิทธิในการคัดค้านของท่าน
- สิทธิในการแก้ไขข้อมูลส่วนบุคคล หากท่านพบว่าข้อมูลของท่านไม่ถูกต้อง สมบูรณ์
และเป็นปัจจุบัน ท่านสามารถขอแก้ไขข้อมูลของท่านได้ เพื่อให้ข้อมูลของท่านถูกต้อง สมบูรณ์ และเป็นปัจจุบันได้
ในบางกรณี เราอาจไม่สามารถดำเนินการตามที่ท่านร้องขอได้ เช่น เมื่ออยู่ระหว่างการดำเนินกระบวนการทางกฎหมายหรือคำสั่งศาล เป็นต้น
อย่างไรก็ดี ในกรณีที่ท่านได้ให้ความยินยอมในการประมวลผลข้อมูลส่วนบุคคลเอาไว้ ท่านสามารถ
ถอนความยินยอมนั้นเมื่อใดก็ได้ด้วยการติดต่อไปยังส่วนงานที่เกี่ยวข้อง โดยเราจะยุติการประมวลผล
ข้อมูลดังกล่าวโดยเร็วที่สุด ทั้งนี้ การถอนความยินยอมจะมีผลบังคับใช้กับการประมวลผลที่กำลังจะเกิดขึ้น หากแต่จะไม่มีผลเป็นการยกเลิกเพิกถอนการประมวลผลข้อมูลส่วนบุคคลที่ได้ดำเนินการไปแล้ว
อนึ่ง เราจะบันทึกรายการต่าง ๆ ที่ได้ดำเนินการเกี่ยวกับคำร้องขอใช้สิทธิของท่านเอาไว้
เพื่อใช้ในการแก้ไขปัญหาต่าง ๆ ที่เกิดขึ้น ทั้งนี้ หากมีข้อสงสัยในรายละเอียดของการดำเนินการเกี่ยวกับ
การคุ้มครองข้อมูลส่วนบุคคล และสิทธิของท่าน ท่านอาจศึกษาจากคู่มือ PDPA สำหรับประชาชน
โดยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้ที่ คู่มือ PDPA สำหรับประชาชน
ในกรณีที่ท่านมีประสงค์จะใช้สิทธิข้างต้น หรือมีข้อร้องเรียนเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล โปรดติดต่อที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของเราตามรายละเอียดที่ได้แจ้งไว้ด้านบน โดยเราจะรีบดำเนินการตามคำร้องของท่านโดยเร็วและสอดคล้องกับที่กฎหมายกำหนด อย่างไรก็ดี ในกรณีที่เราปฏิเสธ
ไม่ดำเนินการตามคำร้องขอของท่าน ท่านมีสิทธิร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายได้ที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ผ่านช่องทางอีเมล [email protected] โดยจัดทำตาม
แบบคำร้องเรียนที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
10. การทบทวนและปรับปรุงประกาศความเป็นส่วนตัว
เอกสารนี้เป็นประกาศความเป็นส่วนตัวสำหรับ ผู้ใช้งานทั่วไป ของ สขญ. ซึ่งปรับปรุงล่าสุด
เมื่อวันที่ 26 มกราคม พ.ศ. 2567 เราขอสงวนสิทธิในการทบทวนและปรับปรุงนโยบายนี้ตามที่เห็นสมควร โดยจะแจ้งให้ท่านทราบถึงการเปลี่ยนแปลงประกาศความเป็นส่วนตัวฉบับนี้ต่อไป
ประกาศความเป็นส่วนตัว
สำหรับ ผู้ป่วย ของสถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน)
ปรับปรุงล่าสุด: วันที่ 26 มกราคม พ.ศ. 2567
ฉบับย่อ
ภายใต้โครงการจัดทำระบบดิจิทัลและเทคโนโลยีเพื่อเชื่อมโยงข้อมูลสุขภาพทั่วประเทศ (Health Information Exchange: Health Link) สถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน) (ต่อไปนี้จะเรียกว่า “สขญ.” หรือ “เรา”) ประมวลผลข้อมูลส่วนบุคคลของผู้ป่วยและผู้เข้ารับการรักษาพยาบาล (ต่อไปนี้จะเรียกรวมว่า “ผู้ป่วย” หรือ “ท่าน”) ซึ่งจะได้รับการดูแลตามมาตรฐานสูงสุดสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลพ.ศ. 2562 (“กฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ”) โดยท่านสามารถดูรายละเอียดของประกาศความเป็นส่วนตัวสำหรับผู้ป่วย (“ประกาศความเป็นส่วนตัว”) ฉบับเต็มได้ ผ่านทาง QR Code และสามารถอ่านสรุปเบื้องต้นของประกาศความเป็นส่วนตัวตามรายละเอียดที่ปรากฏด้านล่าง
หัวข้อ | ข้อมูลโดยสรุป |
เราประมวลผลข้อมูลอะไรบ้าง? | เราประมวลผลข้อมูลตามที่ได้เก็บรวบรวมจากท่าน ได้แก่ ข้อมูลส่วนตัวผู้เข้ารับการรักษาพยาบาล ข้อมูลการเข้ารับบริการทางการแพทย์ ข้อมูลความยินยอมรายครั้ง ข้อมูลความยินยอม ข้อมูลประวัติการเข้าถึงและเรียกดูข้อมูลสุขภาพโดยแพทย์ ข้อมูลประวัติการเรียกดึงข้อมูลจากสถานพยาบาลโดยแพทย์ ข้อมูลประวัติการนำเข้าข้อมูลสุขภาพ ข้อมูลประวัติการจัดเตรียมข้อมูลจากสถานพยาบาล ข้อมูลภาพถ่าย ข้อมูลการร่วมกิจกรรม/งานประชาสัมพันธ์ ข้อมูลความคิดเห็น และ ข้อมูลสุขภาพ |
เราใช้ข้อมูลอย่างไร? | เราใช้ข้อมูลส่วนบุคคลเพื่อการดำเนินการทั้งหลายตามวัตถุประสงค์ของ สขญ. และตามคำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเราได้อธิบายเหตุผลความจำเป็นและฐานการประมวลผลที่เกี่ยวข้องไว้ในประกาศความเป็นส่วนตัวฉบับนี้ |
เราส่งข้อมูล | เราอาจจำเป็นต้องส่งและ/หรือเปิดเผยข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานภายนอกตามเหตุผลความจำเป็นที่ได้อธิบายไว้ในประกาศความเป็นส่วนตัวฉบับนี้ และรายการหน่วยงานที่มีการส่งข้อมูล |
ผู้ใช้บริการสามารถทำอะไรได้บ้าง? | ท่านสามารถใช้สิทธิของเจ้าของข้อมูลซึ่งรวมถึงการเข้าถึง การแก้ไข และการลบข้อมูลส่วนบุคคล และสิทธิอื่น ๆ ตามที่ได้อธิบายไว้ในประกาศความเป็นส่วนตัวฉบับนี้ |
การเปลี่ยนแปลงประกาศ | เราจะแจ้งให้ท่านทราบเมื่อมีการทบทวนหรือปรับปรุงประกาศความเป็นส่วนตัวฉบับนี้ |
ประกาศความเป็นส่วนตัว
1. ขอบเขตและวัตถุประสงค์ของประกาศความเป็นส่วนตัว
เอกสารนี้เป็นประกาศความเป็นส่วนตัว สำหรับผู้ป่วยของ สขญ. ในโครงการจัดทำระบบดิจิทัลและเทคโนโลยีเพื่อเชื่อมโยงข้อมูลสุขภาพทั่วประเทศ (Health Information Exchange: Health Link) โดยเรามีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล และผู้ควบคุมข้อมูลส่วนบุคคลขึ้นอยู่กับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ
เราประมวลผลข้อมูลส่วนบุคคลของท่านภายในขอบเขตและวัตถุประสงค์ของ สขญ. รวมทั้งภายใต้ข้อตกลงการประมวลผลข้อมูลส่วนบุคคลที่ได้จัดทำขึ้นระหว่างเรากับหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
ซึ่งประกาศความเป็นส่วนตัวฉบับนี้จะได้อธิบายว่าเราได้เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลของท่านอย่างไร
รายละเอียดการติดต่อ ชื่อ: สถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน) หรือ Big Data Institute สถานที่ติดต่อ: เลขที่ 80 อาคารลาดพร้าว ฮิลล์ ถนนลาดพร้าว แขวงจอมพล เขตจตุจักร กรุงเทพมหานคร 10900 หมายเลขโทรศัพท์: 02 026 2333 ต่อ 3456 ไปรษณีย์อิเล็กทรอนิกส์: [email protected] เวลาทำการปกติ: วันจันทร์ถึงศุกร์ เวลา 9.00 – 17.00 เว็บไซต์: https://bdi.or.th/ | รายละเอียดการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล นายสุธี อุไรวิชัยกุล โทรศัพท์: 02 026 2333 ต่อ 3456 อีเมล: [email protected] |
ประกาศความเป็นส่วนตัว ฉบับนี้ใช้กับเจ้าของข้อมูลส่วนบุคคลซึ่งเป็นผู้ป่วยได้แก่ ผู้ป่วยและผู้เข้ารับ
การรักษาพยาบาล
ภายใต้ประกาศความเป็นส่วนตัวฉบับนี้ ให้คำดังต่อไปนี้มีความหมายตามที่กำหนดด้านล่าง
“ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลผู้ถึงแก่กรรมโดยเฉพาะ
“ข้อมูลส่วนบุคคลประเภทพิเศษที่มีความอ่อนไหว” หมายถึง ข้อมูลส่วนบุคคลตามที่ถูกบัญญัติไว้
ในมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งได้แก่ ข้อมูลเชื้อชาติ เผ่าพันธุ์
ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายถึง บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือ
นิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
“โครงการฯ” หมายถึง โครงการจัดทำระบบดิจิทัลและเทคโนโลยีเพื่อเชื่อมโยงข้อมูลสุขภาพทั่วประเทศ (Health Information Exchange: Health Link)
“ประมวลผล” หมายถึง การดำเนินการใด ๆ ต่อข้อมูลส่วนบุคคลของท่านซึ่งรวมถึงการเก็บรวบรวม
การใช้ การจัดเก็บ การเปิดเผย และการลบข้อมูลส่วนบุคคล
“ฐานการประมวลผล” หมายถึง เหตุผลความจำเป็นในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา 24 และเงื่อนไขพิเศษในการประมวลผลข้อมูลอ่อนไหวตามมาตรา 26 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ
ทั้งนี้ หากท่านเป็นผู้ให้ข้อมูลส่วนบุคคลของบุคคลที่สาม เช่น ข้อมูลของบุคคลในครอบครัว ข้อมูลของ
ผู้ติดต่อฉุกเฉิน และบุคคลอ้างอิง เป็นต้น ขอให้ท่านโปรดแจ้งให้บุคคลเหล่านั้นทราบถึงรายละเอียดตามประกาศความเป็นส่วนตัวฉบับนี้ และในบางกรณีอาจจำเป็นต้องขอความยินยอมจากบุคคลดังกล่าว เพื่อให้เราสามารถประมวลผลข้อมูลส่วนบุคคลของบุคคลที่สามเหล่านี้ได้
ประกาศความเป็นส่วนตัวฉบับนี้ อาจมีการทบทวนปรับปรุงตามที่จะได้แจ้งให้ท่านทราบผ่านช่องทางสื่อสารที่เหมาะสมต่อไป
2. เราเก็บรวบรวมข้อมูลส่วนบุคคลประเภทใดบ้าง
เราเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน ดังต่อไปนี้
- ข้อมูลส่วนตัวผู้เข้ารับการรักษาพยาบาล เช่น คำนำหน้า ชื่อ-นามสกุล เลขที่บัตรประจำตัวประชาชน วันเดือนปีเกิด หมายเลขโทรศัพท์มือถือ อีเมล ที่อยู่ เพศ อายุ ข้อมูลผู้ติดต่อ ข้อมูลระดับมาตรฐาน
การยืนยันตัวตน (IAL) ข้อมูลผู้สมัครรายวัน ข้อมูลหน่วยงาน ข้อมูลประวัติการทำงาน ข้อมูลสถิติรายวัน เป็นต้น - ข้อมูลการเข้ารับบริการทางการแพทย์ เช่น วันที่และเวลาของการเข้ารับบริการและสิ้นสุดการเข้ารับบริการทางการแพทย์ สถานพยาบาลที่ให้บริการทางการแพทย์ ประเภทของการเข้ารับบริการ (ผู้ป่วยภายใน/ผู้ป่วยนอก/ฉุกเฉิน) จำนวนข้อมูลสุขภาพในแต่ละประเภทที่เกิดจากการเข้ารับบริการทางการแพทย์ในแต่ละครั้งของท่านที่สถานพยาบาลนำส่งเข้าระบบ แผนกที่เข้ารับบริการ วันที่ทำคำร้อง เอกสารประกอบ เป็นต้น
- ข้อมูลความยินยอมรายครั้ง เช่น ข้อมูลการร้องขอความยินยอมและตอบรับ ช่องทางการขอ
ความยินยอมแบบรายครั้ง เป็นต้น - ข้อมูลความยินยอม เช่น ข้อมูลการแสดงและเพิกถอนความยินยอมเข้าร่วมโครงการฯ ข้อมูล
การแสดงและเพิกถอนความยินยอมให้สถานพยาบาลนำข้อมูลเข้าสู่ระบบฯ ช่องทางการจัดการ
ความยินยอม รหัสสถานพยาบาลที่แสดงความยินยอม (ถ้ามี) ชื่อสถานพยาบาลที่แสดงความยินยอม (ถ้ามี) สถานะการพิมพ์แบบฟอร์มความยินยอม (ถ้ามี) สถานะระบุว่าดำเนินการโดยผู้มีอำนาจกระทำแทนหรือไม่ (ถ้ามี) เป็นต้น - ข้อมูลประวัติการเข้าถึงและเรียกดูข้อมูลสุขภาพโดยแพทย์ เช่น ประเภทข้อมูลสุขภาพที่ถูกเรียกดู วันที่และเวลาของการเรียกดูข้อมูล ข้อมูลของแพทย์ผู้ทำการเรียกดูข้อมูล สถานะของการเรียกดูข้อมูล (สำเร็จ/ไม่สำเร็จ) รายชื่อสถานพยาบาลที่ถูกแพทย์เรียกดูข้อมูล สถานพยาบาลของแพทย์ ณ ตอนที่เรียกดูข้อมูล ประเภทของการเข้ารับบริการ (ผู้ป่วยภายใน/ผู้ป่วยนอก/ฉุกเฉิน) ช่องทางการเข้าเรียกดูข้อมูลโดยแพทย์ ข้อมูลการใช้สิทธิแพทย์ฉุกเฉิน เป็นต้น
- ข้อมูลประวัติการเรียกดึงข้อมูลจากสถานพยาบาลโดยแพทย์ เช่น วันที่และเวลาของการเรียก
ดึงข้อมูล ข้อมูลของแพทย์ผู้ทำการเรียกดึงข้อมูล สถานะของการเรียกดึงข้อมูล รายชื่อสถานพยาบาลที่ถูกแพทย์เรียกดึงข้อมูล สถานพยาบาลของแพทย์ ณ ตอนที่เรียกดึงข้อมูล เป็นต้น - ข้อมูลประวัติการนำเข้าข้อมูลสุขภาพ เช่น วันที่และเวลาของการนำเข้าข้อมูล สถานะของการนำเข้าข้อมูล (สำเร็จ/ไม่สำเร็จ) ข้อมูลส่วนตัวของผู้เข้ารับการรักษาพยาบาล สถานพยาบาลที่นำส่งข้อมูลเข้าระบบ Health Link ประเภทข้อมูลที่ถูกนำเข้า เป็นต้น
- ข้อมูลประวัติการจัดเตรียมข้อมูลจากสถานพยาบาล เช่น ข้อมูลส่วนตัวของผู้เข้ารับ
การรักษาพยาบาล วันที่และเวลาของการจัดเตรียมข้อมูลจากสถานพยาบาล สถานะของการจัดเตรียมข้อมูลจากสถานพยาบาล เป็นต้น - ข้อมูลภาพถ่าย เช่น วิดีโอบทสัมภาษณ์ เป็นต้น
- ข้อมูลการร่วมกิจกรรม/งานประชาสัมพันธ์ เช่น ข้อมูลที่อยู่ของสถานที่จัดงาน เป็นต้น
- ข้อมูลความคิดเห็น
นอกจากนี้ เราอาจประมวลผลข้อมูลส่วนบุคคลประเภทพิเศษที่มีความอ่อนไหวในบางกรณี เช่น
- ข้อมูลสุขภาพ เช่น ข้อมูลเพศ ข้อมูลการแพ้ ข้อมูลโรคประจำตัว ข้อมูลอาการของผู้ป่วย ข้อมูลโรควินิจฉัย ข้อมูลการจ่ายยา ข้อมูลวัคซีนที่เคยได้รับ ข้อมูลหัตถการ ข้อมูลตรวจสุขภาพ ข้อมูลค่าผลตรวจทางการแพทย์ ข้อมูลสัญญาณชีพ ข้อมูลผลตรวจห้องปฏิบัติ ข้อมูลการตรวจทางพยาธิวิทยา ข้อมูลผลสรุปภาพถ่ายทางการแพทย์ ข้อมูลการเข้ารับบริการทางการแพทย์ ข้อมูลจิตเวช ข้อมูลพันธุกรรม ข้อมูลโรคติดเชื้อเอชไอวี (HIV) หรือโรคเอดส์ (AIDS) ข้อมูลโรคติดต่อทางเพศสัมพันธ์ (STDs) ข้อมูลสุขภาพประกอบคดีความ เป็นต้น
3. เราเก็บรวบรวมข้อมูลส่วนบุคคลอย่างไร
โดยทั่วไปแล้ว เราเก็บรวบรวมข้อมูลส่วนบุคคลจากท่านโดยตรงผ่านกระบวนการ หรือช่องทาง เช่น
- ได้รับผ่านแอปพลิเคชัน/ซอฟต์แวร์/ Web-Application เช่น Web portal, HIE APIs เป็นต้น
- ได้รับผ่านเว็บไซต์บนอินเตอร์เน็ต เช่น HTTPS (Web browser) เป็นต้น
- ได้รับผ่านอุปกรณ์บันทึกข้อมูล เช่น อุปกรณ์บันทึกภาพถ่ายและวีดิทัศน์ (video) เป็นต้น
- ได้รับผ่านโซเชียลมีเดีย เช่น ไลน์ (LINE) เป็นต้น
- ได้รับผ่านการเข้าถึงแชร์ไดร์ฟ/ฐานข้อมูลบนคลาวด์ เช่น การอัปโหลดไฟล์ เป็นต้น
- ได้รับผ่านการสื่อสาร/กรอก/ลงนามต่อหน้า เช่น การสอบถามจากเจ้าของข้อมูลส่วนบุคล การกรอกข้อมูลในเอกสาร เป็นต้น
- ได้รับผ่านเอกสาร/สำเนาเอกสาร
- ได้รับผ่านข้อความ/การสนทนาทางโทรศัพท์
- ได้รับผ่านไปรษณีย์อิเล็กทรอนิกส์ (Email)
อย่างไรก็ดี เราอาจเก็บรวบรวมข้อมูลเพิ่มเติมจากหน่วยงานภายนอก ซึ่งรวมถึง
- แอปพลิเคชันหรือซอฟต์แวร์ เช่น ThaID, Rama App, Health Link, ระบบยืนยันตัวตนแบบ KYC, Consent Application, ระบบระเบียนสุขภาพอิเล็กทรอนิกส์ส่วนบุคคล (Personal Health Record: PHR), ระบบสารสนเทศเพื่อการบริหารจัดการโรงพยาบาล (E-PHIS) เป็นต้น
- ธนาคาร เช่น ธนาคารกรุงไทย จำกัด (มหาชน) เป็นต้น
- หน่วยงานเอกชน เช่น บริษัท แคริว่า (ประเทศไทย) จำกัด เป็นต้น
- สถานพยาบาลที่เข้าร่วมโครงการฯ
- หน่วยลงทะเบียน (Registration sites)
- แพทย์
4. เราใช้ข้อมูลส่วนบุคคลอย่างไร
เราในฐานะผู้ควบคุมข้อมูลส่วนบุคคลใช้ข้อมูลส่วนบุคคลของท่านเพื่อการดำเนินการทั้งหลายตามวัตถุประสงค์ของ สขญ. ซึ่งสามารถแบ่งเป็นกลุ่มกิจกรรม ดังต่อไปนี้
กลุ่มกิจกรรม | กลุ่มข้อมูลส่วนบุคคล | ฐานการประมวลผลของเรา |
กระบวนการตรวจรับ [ROP ID: BSN-020] |
|
|
การจัดกิจกรรมหรืองานแถลงข่าว [ROP ID: PRA-031, PRA-032, PRA-033] |
|
|
การเชื่อมโยง สืบค้น เรียกดึง และจัดการข้อมูลจากสถานพยาบาลที่เข้าร่วมโครงการฯ [ROP ID: COR-046] |
|
|
การบริหารจัดการข้อมูลการใช้งาน Health Link [ROP ID: COR-019, COR-019-I1, COR-019-I2, COR-019-O, COR-043, COR-044] |
|
|
การวิเคราะห์ข้อมูลของผู้เข้ารับการรักษาพยาบาล [ROP ID: COR-007] |
|
|
การสัมภาษณ์และประชาสัมพันธ์โครงการฯ [ROP ID: PRA-027] |
|
|
เก็บรวบรวมข้อมูล และวิเคราะห์พฤติกรรมการใช้งานระบบ Health Link [ROP ID: PRA-026] |
|
|
นอกจากนี้ เราในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลใช้ข้อมูลส่วนบุคคลของท่านเพื่อการดำเนินการทั้งหลายภายใต้คำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ ภายใต้โครงการฯ เราเข้าใจและดำเนินการเฉพาะตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลที่ได้มอบหมายให้เราเท่านั้นตามเป็นกลุ่มกิจกรรม ดังต่อไปนี้ ทั้งนี้ เพื่อความเข้าใจที่ครบถ้วนในการใช้ข้อมูลส่วนบุคคลของท่าน โปรดศึกษาประกาศความเป็นส่วนตัวของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลเพิ่มเติม
กลุ่มกิจกรรม | กลุ่มข้อมูลส่วนบุคคล | หน่วยงานที่เป็น | ฐานการประมวลผลของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล |
กระบวนการพัฒนาและทดสอบระบบ [ROP ID: COR-028-I1, COR-028-I2, COR-028-I3, COR-028-O, BSN-027, BSN-028] |
|
|
|
กระบวนการยืนยันตัวตนของ Health Link [ROP ID: COR-008, COR-010] |
|
|
|
กระบวนการรักษาความมั่นคงปลอดภัยของระบบ [ROP ID: COR-045, BSN-030] |
|
|
|
กระบวนการสาธิตการใช้ระบบ [ROP ID: BSN-033] |
|
|
|
กระบวนการให้ความช่วยเหลือผ่านระบบ Call Center [ROP ID: BSN-038] |
|
|
|
กระบวนการอบรมและประเมินผลของบุคลากรทางการแพทย์ [ROP ID: BSN-015, BSN-017] |
|
|
|
การเก็บรวบรวมและเปิดเผยข้อมูลให้หน่วยงานภาครัฐ [ROP ID: COR-004-I, COR-004-O] |
|
|
|
การจัดทำธรรมาภิบาลข้อมูล [ROP ID: BSN-026] |
|
|
|
การจัดทำมาตรฐานข้อมูล [ROP ID: BSN-029] |
|
|
|
การเชื่อมโยง สืบค้น เรียกดึง และจัดการข้อมูลจากสถานพยาบาลที่เข้าร่วมโครงการฯ [ROP ID: COR-001-I1, COR-001-I2, |
|
|
|
การบริหารจัดการข้อมูลการใช้งาน Health Link [ROP ID: COR-050] |
|
|
|
การบริหารจัดการความยินยอม [ROP ID: COR-009, COR-011, COR-014, COR-032-O, COR-032-I, COR-015-O, COR-015-I, COR-016, COR-034, COR-036, COR-038-I1, |
|
|
|
การเปิดเผยข้อมูลไปยังแอปพลิเคชันที่เจ้าของข้อมูลให้ความยินยอม [ROP ID: COR-003, COR-018] |
|
|
|
การเรียกดึงข้อมูลและเปิดเผยสุขภาพจากสถานพยาบาลที่เข้าร่วมโครงการฯ ในกรณีฉุกเฉิน [ROP ID: COR-005, COR-006] |
|
|
|
การลงทะเบียนใช้งานระบบ Health Link [ROP ID: COR-012] |
|
|
|
เก็บรวบรวมข้อมูล และวิเคราะห์พฤติกรรมการใช้งานระบบ Health Link [ROP ID: BSN-001, BSN-002, BSN-003, BSN-005-P, BSN-007, PRA-001, PRA-002, PRA-003, PRA-004] |
|
|
|
เราจะประมวลผลข้อมูลส่วนบุคคลของท่านตามวัตถุประสงค์ที่ได้แจ้งไว้หรือตามคำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น อย่างไรก็ตาม ในกรณีที่เราจำเป็นต้องประมวลผลข้อมูลของท่าน
เพื่อวัตถุประสงค์อื่นที่ไม่เกี่ยวข้องกับวัตถุประสงค์เดิม และการประมวลผลดังกล่าวไม่สามารถอ้างอิงฐาน
การประมวลผลอื่นได้ เช่นนี้ เราจะแจ้งให้ท่านทราบหรือขอความยินยอมจากท่าน เพื่อการประมวลผลข้อมูล
ส่วนบุคคลตามวัตถุประสงค์ใหม่นั้น
ทั้งนี้ ในกรณีที่เราประมวลผลข้อมูลส่วนบุคคลในฐานการประมวลผลตาม ม.24(3) ฐานสัญญา และ
ม.24(6) ฐานปฏิบัติตามกฎหมายหากท่านไม่ให้ข้อมูลส่วนบุคคลกับเราจะทำให้เกิดผลกระทบดังต่อไปนี้
- ทำให้สัญญาระหว่างเรากับท่านเกิดขึ้นไม่ได้ เช่น ไม่สามารถยืนยันตัวตนของท่านเพื่อให้ท่านเข้าใช้บริการเชื่อมโยงข้อมูลสุขภาพได้ เป็นต้น
- ไม่สามารถเก็บข้อมูลจราจรทางคอมพิวเตอร์ตาม พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ (ฉบับที่ 2) พ.ศ. 2560 เป็นต้น
5. เราใช้ข้อมูลส่วนบุคคลร่วมกันกับหน่วยงานภายนอกหรือไม่
เพื่อให้หน่วยงานภายนอกสามารถประมวลผลข้อมูลตามวัตถุประสงค์และฐานการประมวลผลข้อมูล
ส่วนบุคคลที่ได้แจ้งให้ท่านทราบ เราอาจมีความจำเป็นต้องส่งหรือเปิดเผยข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานภายนอกดังต่อไปนี้
- ระบบต่าง ๆ ได้แก่ ระบบระเบียนสุขภาพอิเล็กทรอนิกส์ส่วนบุคคล Personal Health Record (PHR), ระบบสารสนเทศเพื่อการบริหารจัดการโรงพยาบาล (e-PHIS) และระบบ Health Link
- หน่วยงานภาครัฐ เช่น สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ (สดช.) กรมการแพทย์ เป็นต้น
- บุคลากรในสถานพยาบาล ได้แก่ แพทย์ และผู้บริหารสถานพยาบาลที่เข้าร่วมโครงการ
- สถานพยาบาลที่เข้าร่วมโครงการฯ
- ธนาคารกรุงไทย จำกัด (มหาชน)
- การเปิดเผยต่อสาธารณะผ่านช่องทางสื่อสังคม (Social media) หรือสื่อมวลชน
- ผู้ใช้งานสาธารณะ
- ผู้ใช้งาน (Users)
อย่างไรก็ตาม ในกรณีที่ส่งหรือเปิดเผยข้อมูลส่วนบุคคลไปยังหน่วยงานภายนอก เราจะดำเนินการเท่าที่จำเป็นโดยส่งหรือเปิดเผยข้อมูลให้น้อยที่สุด (Data Minimization) ภายใต้หลักการของกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ หรือเราจะส่งหรือโอนข้อมูลส่วนบุคคลของท่านต่อเมื่อเป็นการดำเนินการตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น และอาจพิจารณาใช้วิธีจัดทำข้อมูลนิรนาม (anonymisation) และการแฝงข้อมูล (pseudonymisation) เพื่อรักษาความปลอดภัยของข้อมูล นอกจากนี้ หน่วยงานภายนอกที่ประมวลผลข้อมูลส่วนบุคคลให้กับเรา จะต้องจัดให้มีนโยบายคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม และเราไม่อนุญาตให้หน่วยงานภายนอกดังกล่าวใช้ข้อมูลของท่าน เพื่อวัตถุประสงค์อื่นนอกจากที่เรากำหนด
6. เราส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศหรือไม่
ภายใต้ขอบเขตและวัตถุประสงค์การประมวลผลตามประกาศความเป็นส่วนตัวฉบับนี้ ณ ปัจจุบัน เราไม่มี
ความจำเป็นจะต้องส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ
อนึ่ง เราจะส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ ต่อเมื่อกรณีเป็นไปตามเงื่อนไข
อย่างใดอย่างหนึ่ง ดังต่อไปนี้
- ประเทศปลายทางหรืองค์กรระหว่างประเทศที่มีการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา 28 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566
- หน่วยงานต่างประเทศที่รับข้อมูลอยู่ภายใต้นโยบายในการคุ้มครองข้อมูลส่วนบุคคลเพื่อการส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน และหน่วยงานต่างประเทศได้จัดให้มีมาตรการคุ้มครองที่เหมาะสม (Appropriate Safeguards) ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูล
ส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 - เป็นการปฏิบัติตามกฎหมาย
- ได้รับความยินยอมจากท่านโดยท่านได้รับทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้ว
- เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งท่านเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของท่านก่อนเข้าทำสัญญานั้น
- เป็นการกระทำตามสัญญาระหว่างเรากับบุคคลหรือนิติบุคคลอื่นเพื่อประโยชน์ของท่าน
- เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล เมื่อบุคคลดังกล่าวไม่สามารถ
ให้ความยินยอมในขณะนั้นได้ - เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ
7. การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
เราได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยสำหรับข้อมูลส่วนบุคคลตามมาตรฐานของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 รวมถึงรองรับมาตรฐานการรักษาความปลอดภัย ISO27001 มีระบบการลงทะเบียนด้วย e-KYC และ ทำการเข้ารหัสข้อมูล (Data Encryption)
8. ระยะเวลาในการจัดเก็บข้อมูลส่วนบุคคล
เราจะจัดเก็บข้อมูลส่วนบุคคลของท่านภายในระยะเวลาที่จำเป็นในการดำเนินการตามวัตถุประสงค์ของ สขญ. รวมถึงการดำเนินงานอื่น ๆ ที่จำเป็น และจัดเก็บข้อมูลตามคำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูล
ส่วนบุคคล
9. สิทธิของท่านในฐานะเจ้าของข้อมูลส่วนบุคคล
ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ ท่านมีสิทธิดังต่อไปนี้
- สิทธิในการเพิกถอนความยินยอม ในกรณีที่เราขอความยินยอมของท่านเพื่อประมวลผลข้อมูล
ส่วนบุคคลของท่าน - สิทธิในการเข้าถึงข้อมูลส่วนบุคคล โดยท่านสามารถขอรับสำเนาข้อมูลของท่านและตรวจสอบว่าเราได้ประมวลผลข้อมูลของท่านตามกฎหมายหรือไม่
- สิทธิในการโอนข้อมูลส่วนบุคคล ในกรณีที่เราได้จัดให้มีแพลตฟอร์มซึ่งทำให้ท่านสามารถเข้าถึงข้อมูลส่วนบุคคลด้วยวิธีการอัตโนมัติ
- ท่านสามารถขอให้ส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานอื่นได้ด้วยวิธีการอัตโนมัติ
- ท่านสามารถขอรับข้อมูลส่วนบุคคลที่เราส่งหรือโอนไปยังหน่วยงานอื่นโดยตรง เว้นแต่
โดยสภาพทางเทคนิคไม่สามารถทำได้
- สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล โดยท่านสามารถคัดค้านในกรณีที่เราประมวลผลข้อมูลของท่านตามฐานการประมวลผล และ/หรือวัตถุประสงค์ ดังต่อไปนี้
- ตามฐานภารกิจของรัฐ หรือฐานประโยชน์อันชอบธรรม
- เพื่อวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ เว้นแต่
เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะของเรา
- สิทธิในการลบข้อมูลส่วนบุคคล โดยท่านสามารถขอให้ลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคล
เป็นข้อมูลที่ไม่สามารถระบุตัวท่านได้ ในกรณีดังต่อไปนี้
- เมื่อหมดความจำเป็นในการประมวลผลข้อมูลส่วนบุคคล
- เมื่อท่านถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคล และเราไม่มีฐานการประมวลผลตามกฎหมายที่จะประมวลผลข้อมูลส่วนบุคคลนั้นได้ต่อไป
- เมื่อท่านคัดค้านการประมวลผลข้อมูลส่วนบุคคล
- เมื่อข้อมูลส่วนบุคคลของท่านถูกประมวลผลโดยไม่ชอบด้วยกฎหมาย
- สิทธิในการระงับการใช้ข้อมูลส่วนบุคคล โดยท่านสามารถขอให้ระงับการใช้ข้อมูลส่วนบุคคลของท่านได้ ในกรณีดังต่อไปนี้
- เมื่ออยู่ในระหว่างการตรวจสอบตามที่ท่านขอให้แก้ไขข้อมูลส่วนบุคคล
- เมื่อเป็นข้อมูลส่วนบุคคลที่ต้องลบหรือทำลาย แต่ท่านขอให้ระงับการใช้แทน
- เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ แต่ท่านมี
ความจำเป็นต้องขอให้เก็บรักษาไว้เพื่อใช้ในการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
- เมื่ออยู่ในระหว่างการพิสูจน์ หรือตรวจสอบ ตามคำขอใช้สิทธิในการคัดค้านของท่าน
- สิทธิในการแก้ไขข้อมูลส่วนบุคคล หากท่านพบว่าข้อมูลของท่านไม่ถูกต้อง สมบูรณ์ และเป็นปัจจุบัน ท่านสามารถขอแก้ไขข้อมูลของท่านได้ เพื่อให้ข้อมูลของท่านถูกต้อง สมบูรณ์ และเป็นปัจจุบันได้
ในบางกรณี เราอาจไม่สามารถดำเนินการตามที่ท่านร้องขอได้ เช่น เมื่ออยู่ระหว่างการดำเนินกระบวนการทางกฎหมายหรือคำสั่งศาล เป็นต้น
อย่างไรก็ดี ในกรณีที่ท่านได้ให้ความยินยอมในการประมวลผลข้อมูลส่วนบุคคลเอาไว้ ท่านสามารถ
ถอนความยินยอมนั้นเมื่อใดก็ได้ด้วยการติดต่อไปยังส่วนงานที่เกี่ยวข้อง โดยเราจะยุติการประมวลผลข้อมูลดังกล่าวโดยเร็วที่สุด ทั้งนี้ การถอนความยินยอมจะมีผลบังคับใช้กับการประมวลผลที่กำลังจะเกิดขึ้น หากแต่จะไม่มีผลเป็นการยกเลิกเพิกถอนการประมวลผลข้อมูลส่วนบุคคลที่ได้ดำเนินการไปแล้ว
อนึ่ง เราจะบันทึกรายการต่าง ๆ ที่ได้ดำเนินการเกี่ยวกับคำร้องขอใช้สิทธิของท่านเอาไว้ เพื่อใช้
ในการแก้ไขปัญหาต่าง ๆ ที่เกิดขึ้น ทั้งนี้ หากมีข้อสงสัยในรายละเอียดของการดำเนินการเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และสิทธิของท่าน ท่านอาจศึกษาจากคู่มือ PDPA สำหรับประชาชน โดย สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้ที่ คู่มือ PDPA สำหรับประชาชน
ในกรณีที่ท่านมีประสงค์จะใช้สิทธิข้างต้น หรือมีข้อร้องเรียนเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล โปรดติดต่อที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของเราตามรายละเอียดที่ได้แจ้งไว้ด้านบน โดยเราจะรีบดำเนินการตามคำร้องของท่านโดยเร็วและสอดคล้องกับที่กฎหมายกำหนด อย่างไรก็ดี ในกรณีที่เราปฏิเสธ
ไม่ดำเนินการตามคำร้องขอของท่าน ท่านมีสิทธิร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายได้ที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ผ่านช่องทางอีเมล [email protected] โดยจัดทำตาม
แบบคำร้องเรียนที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
10. การทบทวนและปรับปรุงประกาศความเป็นส่วนตัว
เอกสารนี้เป็นประกาศความเป็นส่วนตัวสำหรับผู้ป่วยของสขญ. ซึ่งปรับปรุงล่าสุดเมื่อวันที่ 26 มกราคม พ.ศ. 2567 เราขอสงวนสิทธิในการทบทวนและปรับปรุงนโยบายนี้ตามที่เห็นสมควร โดยจะแจ้งให้ท่านทราบถึงการเปลี่ยนแปลงประกาศความเป็นส่วนตัวฉบับนี้ต่อไป
ประกาศความเป็นส่วนตัว
สำหรับ แพทย์ ของสถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน)
ปรับปรุงล่าสุด: วันที่ 26 มกราคม พ.ศ. 2567
ฉบับย่อ
ภายใต้โครงการจัดทำระบบดิจิทัลและเทคโนโลยีเพื่อเชื่อมโยงข้อมูลสุขภาพทั่วประเทศ (Health Information Exchange: Health Link) สถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน) (ต่อไปนี้จะเรียกว่า “สขญ.” หรือ “เรา”) ประมวลผลข้อมูลส่วนบุคคลของแพทย์และบุคลากรทางการแพทย์ (ต่อไปนี้จะเรียกรวมว่า “แพทย์” หรือ “ท่าน”) ซึ่งจะได้รับการดูแลตามมาตรฐานสูงสุดสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“กฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ”) โดยท่านสามารถดูรายละเอียดของประกาศความเป็นส่วนตัวสำหรับแพทย์ (“ประกาศความเป็นส่วนตัว”) ฉบับเต็มได้ ผ่านทาง QR Code และสามารถอ่านสรุปเบื้องต้นของประกาศความเป็นส่วนตัวตามรายละเอียดที่ปรากฏด้านล่าง
|
หัวข้อ |
ข้อมูลโดยสรุป |
|
เราประมวลผลข้อมูลอะไรบ้าง? |
เราประมวลผลข้อมูลตามที่ได้เก็บรวบรวมจากท่าน ได้แก่ ข้อมูลส่วนตัวแพทย์ ข้อมูลสถานพยาบาล ข้อมูลติดต่อแพทย์ ข้อมูลการใช้งานเว็บแอปพลิเคชัน ข้อมูลประวัติการเข้าถึงและเรียกดูข้อมูลสุขภาพ ข้อมูลการร้องขอความยินยอมแบบรายครั้ง ข้อมูลความคิดเห็น ข้อมูลธุรกรรม ข้อมูลภาพถ่ายแพทย์ ข้อมูลการร่วมกิจกรรม/งานประชาสัมพันธ์ ข้อมูลประวัติการเรียกดึงข้อมูลจากสถานพยาบาล ข้อมูลทางเทคนิคและการใช้งาน และข้อมูลประวัติการทำงาน |
|
เราใช้ข้อมูลอย่างไร? |
เราใช้ข้อมูลส่วนบุคคลเพื่อการดำเนินการทั้งหลายตามวัตถุประสงค์ของ สขญ. และตามคำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเราได้อธิบายเหตุผลความจำเป็นและฐานการประมวลผลที่เกี่ยวข้องไว้ในประกาศความเป็นส่วนตัวฉบับนี้ |
|
เราส่งข้อมูล |
เราอาจจำเป็นต้องส่งและ/หรือเปิดเผยข้อมูลส่วนบุคคลของท่าน |
|
ผู้ใช้บริการสามารถทำอะไรได้บ้าง? |
ท่านสามารถใช้สิทธิของเจ้าของข้อมูลซึ่งรวมถึงการเข้าถึง การแก้ไข และการลบข้อมูลส่วนบุคคล และสิทธิอื่น ๆ ตามที่ได้อธิบายไว้ในประกาศความเป็นส่วนตัวฉบับนี้ |
|
การเปลี่ยนแปลงประกาศ |
เราจะแจ้งให้ท่านทราบเมื่อมีการทบทวนหรือปรับปรุงประกาศความเป็นส่วนตัวฉบับนี้ |
ประกาศความเป็นส่วนตัว
1. ขอบเขตและวัตถุประสงค์ของประกาศความเป็นส่วนตัว
เอกสารนี้เป็นประกาศความเป็นส่วนตัว สำหรับแพทย์ของ สขญ. ในโครงการจัดทำระบบดิจิทัลและเทคโนโลยีเพื่อเชื่อมโยงข้อมูลสุขภาพทั่วประเทศ (Health Information Exchange: Health Link) โดยเรามีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล และผู้ควบคุมข้อมูลส่วนบุคคลขึ้นอยู่กับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ
เราประมวลผลข้อมูลส่วนบุคคลของท่านภายในขอบเขตและวัตถุประสงค์ของ สขญ. รวมทั้งภายใต้ข้อตกลงการประมวลผลข้อมูลส่วนบุคคลที่ได้จัดทำขึ้นระหว่างเรากับหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
ซึ่งประกาศความเป็นส่วนตัวฉบับนี้จะได้อธิบายว่าเราได้เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลของท่านอย่างไร
|
รายละเอียดการติดต่อ ชื่อ: สถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน) หรือ Big Data Institute สถานที่ติดต่อ: เลขที่ 80 อาคารลาดพร้าว ฮิลล์ ถนนลาดพร้าว แขวงจอมพล เขตจตุจักร กรุงเทพมหานคร 10900 หมายเลขโทรศัพท์: 02 026 2333 ต่อ 3456 ไปรษณีย์อิเล็กทรอนิกส์: [email protected] เวลาทำการปกติ: วันจันทร์ถึงศุกร์ เวลา 9.00 – 17.00 เว็บไซต์: https://bdi.or.th/ |
รายละเอียดการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล นาย สุธี อุไรวิชัยกุล โทรศัพท์: 02 026 2333 ต่อ 3456 อีเมล: [email protected] |
ประกาศความเป็นส่วนตัว ฉบับนี้ใช้กับเจ้าของข้อมูลส่วนบุคคลซึ่งเป็นแพทย์ได้แก่ แพทย์และบุคลากรทางการแพทย์
ภายใต้ประกาศความเป็นส่วนตัวฉบับนี้ ให้คำดังต่อไปนี้มีความหมายตามที่กำหนดด้านล่าง
“ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลผู้ถึงแก่กรรมโดยเฉพาะ
“ข้อมูลส่วนบุคคลประเภทพิเศษที่มีความอ่อนไหว” หมายถึง ข้อมูลส่วนบุคคลตามที่ถูกบัญญัติไว้ในมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งได้แก่ ข้อมูลเชื้อชาติ เผ่าพันธุ์
ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายถึง บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือ
นิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
“โครงการฯ” หมายถึง โครงการจัดทำระบบดิจิทัลและเทคโนโลยีเพื่อเชื่อมโยงข้อมูลสุขภาพทั่วประเทศ (Health Information Exchange: Health Link)
“ประมวลผล” หมายถึง การดำเนินการใด ๆ ต่อข้อมูลส่วนบุคคลของท่านซึ่งรวมถึงการเก็บรวบรวม
การใช้ การจัดเก็บ การเปิดเผย และการลบข้อมูลส่วนบุคคล
“ฐานการประมวลผล” หมายถึง เหตุผลความจำเป็นในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา 24 และเงื่อนไขพิเศษในการประมวลผลข้อมูลอ่อนไหวตามมาตรา 26 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ
“แพทย์” หมายถึง บุคลากรทางการแพทย์ หรือผู้ประกอบวิชาชีพตามพระราชบัญญัติสถานพยาบาล
พ.ศ. 2541 และที่แก้ไขเพิ่มเติม ที่ได้รับมอบหมายโดยสถานพยาบาลที่เข้าร่วมโครงการฯ ตามข้อมูลทะเบียนของสถานพยาบาลที่เข้าร่วมโครงการฯ ซึ่งได้ทำการขึ้นทะเบียนและยืนยันตัวตน ตามที่ สขญ.กำหนด
ทั้งนี้ หากท่านเป็นผู้ให้ข้อมูลส่วนบุคคลของบุคคลที่สาม เช่น ข้อมูลของบุคคลในครอบครัว ข้อมูลของ
ผู้ติดต่อฉุกเฉิน และบุคคลอ้างอิง เป็นต้น ขอให้ท่านโปรดแจ้งให้บุคคลเหล่านั้นทราบถึงรายละเอียดตามประกาศความเป็นส่วนตัวฉบับนี้ และในบางกรณีอาจจำเป็นต้องขอความยินยอมจากบุคคลดังกล่าว เพื่อให้เราสามารถประมวลผลข้อมูลส่วนบุคคลของบุคคลที่สามเหล่านี้ได้
ประกาศความเป็นส่วนตัวฉบับนี้ อาจมีการทบทวนปรับปรุงตามที่จะได้แจ้งให้ท่านทราบผ่านช่องทางสื่อสารที่เหมาะสมต่อไป
2. เราเก็บรวบรวมข้อมูลส่วนบุคคลประเภทใดบ้าง
เราเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน ดังต่อไปนี้
- ข้อมูลส่วนตัวแพทย์ เช่น คำนำหน้า ชื่อ-นามสกุล หมายเลขโทรศัพท์มือถือ อีเมล เพศ เลขที่
ใบประกอบวิชาชีพเวชกรรม (เลข ว.) รายละเอียดความรู้ความชำนาญเฉพาะทาง การยืนยันข้อมูลจากบุคคลที่สาม ตำแหน่ง เป็นต้น - ข้อมูลสถานพยาบาล เช่น ข้อมูลสถานพยาบาลที่อนุญาตให้แพทย์เข้าใช้งานระบบ ข้อมูลช่วงเวลาที่สถานพยาบาลที่เข้าร่วมโครงการฯ อนุญาตให้แพทย์เข้าใช้งานระบบ ข้อมูลสิทธิแพทย์ฉุกเฉิน ข้อมูลประเภทแพทย์ (ทันตแพทย์) ข้อมูลการเป็นแพทย์ฉุกเฉิน ข้อมูลหน่วยงาน เป็นต้น
- ข้อมูลติดต่อแพทย์ เช่น ข้อมูลนามบัตร หมายเลขโทรศัพท์มือถือ อีเมล เป็นต้น
- ข้อมูลการใช้งานเว็บแอปพลิเคชัน เช่น ข้อมูลสถานะการยอมรับเงื่อนไขข้อตกลง ข้อมูลการเข้าใช้งานระบบ ข้อมูลพฤติกรรมการใช้งานระบบ ข้อมูลการสืบค้นผู้ป่วย ข้อมูลการใช้งานกล่องข้อความ ข้อมูลอุปกรณ์ที่เข้าใช้งานระบบ ข้อมูลตำแหน่งของอุปกรณ์ ข้อมูลการใช้งานข้อมูลผู้ป่วยบนเว็บ
แอปพลิเคชัน ข้อมูลการเข้าใช้งานระบบ Health Link เป็นต้น - ข้อมูลประวัติการเข้าถึงและเรียกดูข้อมูลสุขภาพ เช่น ข้อมูลสุขภาพที่ถูกเรียกดู วันที่และเวลาของการเรียกดูข้อมูล ข้อมูล user id ของแพทย์ผู้ทำการเรียกดูข้อมูล สถานะของการเรียกดูข้อมูล (สำเร็จ/ไม่สำเร็จ) ข้อมูลส่วนตัวของผู้เข้ารับการรักษาพยาบาล รายชื่อสถานพยาบาลที่แพทย์ทำการเรียกดูข้อมูล สถานพยาบาล ณ ตอนที่แพทย์เรียกดูข้อมูล ประเภทของการเข้ารับบริการ (ผู้ป่วยภายใน/
ผู้ป่วยนอก/ฉุกเฉิน) ช่องทางการเข้าเรียกดูข้อมูลโดยแพทย์ ข้อมูลการใช้สิทธิแพทย์ฉุกเฉิน เป็นต้น - ข้อมูลการร้องขอความยินยอมแบบรายครั้ง เช่น ข้อมูล user id ของแพทย์ ชื่อ-นามสกุลของแพทย์ ชื่อสถานพยาบาลในขณะที่แพทย์ร้องขอความยินยอม วันที่และเวลาของการร้องขอความยินยอม
เลขบัตรประจำตัวประชาชนของผู้เข้ารับการรักษาพยาบาลที่แพทย์ร้องขอความยินยอม ช่องทาง
การขอความยินยอมแบบรายครั้ง เป็นต้น - ข้อมูลเทคนิคและการใช้งาน เช่น ข้อมูลหมายเลข IP Address อุปกรณ์ ข้อมูลประเภทอุปกรณ์ ข้อมูลการตั้งค่าอุปกรณ์ ข้อมูลประวัติการค้นหา (Browsing History) ข้อมูลการใช้งาน Browser จาก Cookie ID ข้อมูลพฤติกรรมการใช้งานเว็บแอปพลิเคชันระบบ ข้อมูลอุปกรณ์ที่เข้าใช้งานระบบ Health Link เป็นต้น
- ข้อมูลความคิดเห็น เช่น ความคิดเห็น คำถาม คำตอบแบบสอบถาม การสัมภาษณ์ ข้อมูลสิ่งที่สนใจ ความรู้ ประสบการณ์ เป็นต้น
- ข้อมูลธุรกรรม เช่น วันที่ทำคำร้อง เอกสารประกอบ เป็นต้น
- ข้อมูลภาพถ่ายแพทย์ เช่น ข้อมูลภาพถ่าย ข้อมูลวีดีโอ และวิดีโอบทสัมภาษณ์ เป็นต้น
- ข้อมูลการร่วมกิจกรรม/งานประชาสัมพันธ์ เช่น ข้อมูลที่อยู่ของสถานที่จัดงาน เป็นต้น
- ข้อมูลประวัติการเรียกดึงข้อมูลจากสถานพยาบาล เช่น วันที่และเวลาของการเรียกดึงข้อมูล สถานะของการเรียกดึงข้อมูล รายชื่อสถานพยาบาลที่เรียกดึงข้อมูล สถานพยาบาลของแพทย์ ณ ตอนที่เรียกดึงข้อมูล เป็นต้น
- ข้อมูลประวัติการทำงาน เช่น ข้อมูล CV ข้อมูลประสบการณ์การทำงาน พฤติกรรมการทำงาน บันทึกการปฏิบัติงาน เนื้อหาในที่ประชุม เป็นต้น
3. เราเก็บรวบรวมข้อมูลส่วนบุคคลอย่างไร
โดยทั่วไปแล้ว เราเก็บรวบรวมข้อมูลส่วนบุคคลจากท่านโดยตรงผ่านกระบวนการ หรือช่องทาง เช่น
- ได้รับผ่านแอปพลิเคชัน/ซอฟต์แวร์/Web-Application เช่น HIE APIs เป็นต้น
- ได้รับผ่านเว็บไซต์บนอินเตอร์เน็ต เช่น HTTPS (Web browser) เป็นต้น
- ได้รับผ่านอีเมล
- ได้รับผ่านข้อความ/การสนทนาทางโทรศัพท์
- ได้รับผ่านการสื่อสาร/กรอก/ลงนามต่อหน้า เช่น การสอบถามจากเจ้าของข้อมูลส่วนบุคล การกรอกข้อมูลในเอกสาร เป็นต้น
- ได้รับผ่านโซเชียลมีเดีย เช่น ไลน์ (LINE) เป็นต้น
- ได้รับผ่านการเข้าถึงแชร์ไดร์ฟ/ฐานข้อมูลบนคลาวด์ เช่น การอัปโหลดไฟล์ การกรอกข้อมูลผ่าน Google Forms, Google drive เป็นต้น
- ได้รับผ่านอุปกรณ์บันทึกข้อมูล เช่น อุปกรณ์บันทึกภาพถ่ายและวีดิทัศน์ (video) เป็นต้น
- ได้รับผ่านเอกสาร/สำเนาเอกสาร
อย่างไรก็ดี เราอาจเก็บรวบรวมข้อมูลเพิ่มเติมจากหน่วยงานภายนอก ซึ่งรวมถึง
- สถานพยาบาลที่เข้าร่วมโครงการฯ
- แอปพลิเคชันหรือซอฟต์แวร์ เช่น Doctor Registries, Hospitals (EPHIS) เป็นต้น
- เว็บไซต์ เช่น Google เป็นต้น
- ผู้ใช้งาน (Users)
4. เราใช้ข้อมูลส่วนบุคคลอย่างไร
เราในฐานะผู้ควบคุมข้อมูลส่วนบุคคลใช้ข้อมูลส่วนบุคคลของท่านเพื่อการดำเนินการทั้งหลายตามวัตถุประสงค์ของ สขญ. ซึ่งสามารถแบ่งเป็นกลุ่มกิจกรรม ดังต่อไปนี้
|
กลุ่มกิจกรรม |
กลุ่มข้อมูลส่วนบุคคล |
ฐานการประมวลผลของเรา |
|
การบริหารจัดการข้อมูลแพทย์ [ROP ID: COR-024-I2, COR-024-I3] |
|
|
|
การตรวจสอบการเข้าใช้งาน [ROP ID: COR-024-O] |
|
|
|
การเก็บรวบรวมข้อมูล และวิเคราะห์พฤติกรรมการใช้งานระบบ Health Link [ROP ID: COR-029, COR-030, PRA-026] |
|
|
|
กระบวนการตรวจรับ [ROP ID: BSN-021] |
|
|
|
กระบวนการวางแผนการตลาด [ROP ID: PRA-006] |
|
|
|
การสัมภาษณ์และประชาสัมพันธ์โครงการฯ [ROP ID: PRA-012, PRA-013, PRA-027] |
|
|
|
การสำรวจและประเมินระบบ Health Link [ROP ID: PRA-016] |
|
|
|
การจัดกิจกรรมหรืองานแถลงข่าว [ROP ID: PRA-031, PRA-032, PRA-033] |
|
|
นอกจากนี้ เราในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลใช้ข้อมูลส่วนบุคคลของท่านเพื่อการดำเนินการทั้งหลายภายใต้คำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ ภายใต้โครงการฯ เราเข้าใจและดำเนินการเฉพาะตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลที่ได้มอบหมายให้เราเท่านั้นตามเป็นกลุ่มกิจกรรม ดังต่อไปนี้ ทั้งนี้ เพื่อความเข้าใจที่ครบถ้วนในการใช้ข้อมูลส่วนบุคคลของท่าน โปรดศึกษาประกาศความเป็นส่วนตัวของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลเพิ่มเติม
|
กลุ่มกิจกรรม |
กลุ่มข้อมูลส่วนบุคคล |
หน่วยงานที่เป็น |
ฐานการประมวลผลของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล |
|
การบริหารจัดการข้อมูลแพทย์ [ROP ID: COR-020, COR-021, COR-022, COR-024-I1] |
|
|
|
|
กระบวนการยืนยันตัวตนของแพทย์กับระบบของสภาวิชาชีพ [ROP ID: COR-023] |
|
|
|
|
กระบวนการยืนยันตัวตนของ Health Link [ROP ID: COR-025] |
|
|
|
|
การบริหารจัดการความยินยอม [ROP ID: COR-026-O2] |
|
|
|
|
การเชื่อมโยง สืบค้น เรียกดึง และจัดการข้อมูลจากสถานพยาบาลที่เข้าร่วมโครงการฯ [ROP ID: |
|
|
|
|
การเก็บรวบรวมข้อมูล และวิเคราะห์พฤติกรรมการใช้งานระบบ Health Link [ROP ID: BSN-004, BSN-005-D, |
แอปพลิเคชัน
|
|
|
|
กระบวนการอบรมและประเมินผลของบุคลากรทางการแพทย์ [ROP ID: BSN-016] |
|
|
|
|
กระบวนการรักษาความมั่นคงปลอดภัยของระบบ [ROP ID: BSN-031] |
แอปพลิเคชัน |
|
|
|
กระบวนการให้ความช่วยเหลือผ่านระบบ Call Center [ROP ID: BSN-039] |
|
|
|
เราจะประมวลผลข้อมูลส่วนบุคคลของท่านตามวัตถุประสงค์ที่ได้แจ้งไว้หรือตามคำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น อย่างไรก็ตาม ในกรณีที่เราจำเป็นต้องประมวลผลข้อมูลของท่าน
เพื่อวัตถุประสงค์อื่นที่ไม่เกี่ยวข้องกับวัตถุประสงค์เดิม และการประมวลผลดังกล่าวไม่สามารถอ้างอิงฐาน
การประมวลผลอื่นได้ เช่นนี้ เราจะแจ้งให้ท่านทราบหรือขอความยินยอมจากท่าน เพื่อการประมวลผลข้อมูลส่วนบุคคลตามวัตถุประสงค์ใหม่นั้น
ทั้งนี้ ในกรณีที่เราประมวลผลข้อมูลส่วนบุคคลในฐานการประมวลผลตาม ม.24(3) ฐานสัญญา และ
ม.24(6) ฐานปฏิบัติตามกฎหมายหากท่านไม่ให้ข้อมูลส่วนบุคคลกับเราจะทำให้เกิดผลกระทบดังต่อไปนี้
- ทำให้สัญญาระหว่างเรากับท่านเกิดขึ้นไม่ได้ เช่น ไม่สามารถยืนยันตัวตนของท่านเพื่อให้ท่านเข้าใช้งานระบบภายใต้โครงการฯได้ เป็นต้น
- ทำให้เราไม่สามารถประมวลผลข้อมูลส่วนบุคคลตามกฎหมายหรือทำให้มีความผิดทางกฎหมาย เช่น ไม่สามารถเก็บข้อมูลจราจรทางคอมพิวเตอร์ตาม พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ (ฉบับที่ 2) พ.ศ. 2560 เป็นต้น
5. เราใช้ข้อมูลส่วนบุคคลร่วมกันกับหน่วยงานภายนอกหรือไม่
เพื่อให้หน่วยงานภายนอกสามารถประมวลผลข้อมูลตามวัตถุประสงค์และฐานการประมวลผลข้อมูล
ส่วนบุคคลที่ได้แจ้งให้ท่านทราบ เราอาจมีความจำเป็นต้องส่งหรือเปิดเผยข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานภายนอกดังต่อไปนี้
- แอปพลิเคชัน Doctor Registries
- บุคลากรในสถานพยาบาล เช่น เจ้าหน้าที่สนับสนุนงาน
- สถานพยาบาลที่เข้าร่วมโครงการฯ
- ธนาคารกรุงไทย จำกัด (มหาชน)
- หน่วยงานรัฐ เช่น สำนักงานคณะกรรมการดิจิทัลเพื่อเศรษฐกิจและสังคมแห่งชาติ (สดช.) เป็นต้น
- ผู้ใช้งานสาธารณะ
- การเปิดเผยต่อสาธารณะผ่านช่องทางสื่อสังคม (Social media) หรือสื่อมวลชน
อย่างไรก็ตาม ในกรณีที่ส่งหรือเปิดเผยข้อมูลส่วนบุคคลไปยังหน่วยงานภายนอก เราจะดำเนินการเท่าที่จำเป็นโดยส่งหรือเปิดเผยข้อมูลให้น้อยที่สุด (Data Minimization) ภายใต้หลักการของกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ หรือเราจะส่งหรือโอนข้อมูลส่วนบุคคลของท่านต่อเมื่อเป็นการดำเนินการตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น และอาจพิจารณาใช้วิธีจัดทำข้อมูลนิรนาม (anonymisation) และการแฝงข้อมูล (pseudonymisation) เพื่อรักษาความปลอดภัยของข้อมูล นอกจากนี้ หน่วยงานภายนอกที่ประมวลผลข้อมูล
ส่วนบุคคลให้กับเรา จะต้องจัดให้มีนโยบายคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม และเราไม่อนุญาตให้หน่วยงานภายนอกดังกล่าวใช้ข้อมูลของท่าน เพื่อวัตถุประสงค์อื่นนอกจากที่เรากำหนด
6. เราส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศหรือไม่
ภายใต้ขอบเขตและวัตถุประสงค์การประมวลผลตามประกาศความเป็นส่วนตัวฉบับนี้ ณ ปัจจุบัน เราไม่มีความจำเป็นจะต้องส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ
อนึ่ง เราจะส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ ต่อเมื่อกรณีเป็นไปตามเงื่อนไข
อย่างใดอย่างหนึ่ง ดังต่อไปนี้
- ประเทศปลายทางหรือองค์กรระหว่างประเทศที่มีการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา 28 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566
- หน่วยงานต่างประเทศที่รับข้อมูลอยู่ภายใต้นโยบายในการคุ้มครองข้อมูลส่วนบุคคลเพื่อการส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งอยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน และหน่วยงานต่างประเทศได้จัดให้มีมาตรการคุ้มครองที่เหมาะสม (Appropriate Safeguards) ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูล
ส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 - เป็นการปฏิบัติตามกฎหมาย
- ได้รับความยินยอมจากท่านโดยท่านได้รับทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้ว
- เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งท่านเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของท่านก่อนเข้าทำสัญญานั้น
- เป็นการกระทำตามสัญญาระหว่างเรากับบุคคลหรือนิติบุคคลอื่นเพื่อประโยชน์ของท่าน
- เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล เมื่อบุคคลดังกล่าวไม่สามารถ
ให้ความยินยอมในขณะนั้นได้ - เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ
7. การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
เราได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยสำหรับข้อมูลส่วนบุคคลตามมาตรฐานของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 รวมถึงรองรับมาตรฐานการรักษาความปลอดภัย ISO27001 มีระบบการลงทะเบียนด้วย e-KYC และ ทำการเข้ารหัสข้อมูล (Data Encryption)
8. ระยะเวลาในการจัดเก็บข้อมูลส่วนบุคคล
เราจะจัดเก็บข้อมูลส่วนบุคคลของท่านภายในระยะเวลาที่จำเป็นในการดำเนินการตามวัตถุประสงค์
ของ สขญ. รวมถึงการดำเนินงานอื่น ๆ ที่จำเป็น และจัดเก็บข้อมูลตามคำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
9. สิทธิของท่านในฐานะเจ้าของข้อมูลส่วนบุคคล
ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ ท่านมีสิทธิดังต่อไปนี้
- สิทธิในการเพิกถอนความยินยอม ในกรณีที่เราขอความยินยอมของท่านเพื่อประมวลผลข้อมูล
ส่วนบุคคลของท่าน - สิทธิในการเข้าถึงข้อมูลส่วนบุคคล โดยท่านสามารถขอรับสำเนาข้อมูลของท่านและตรวจสอบว่าเราได้ประมวลผลข้อมูลของท่านตามกฎหมายหรือไม่
- สิทธิในการโอนข้อมูลส่วนบุคคล ในกรณีที่เราได้จัดให้มีแพลตฟอร์มซึ่งทำให้ท่านสามารถเข้าถึงข้อมูลส่วนบุคคลด้วยวิธีการอัตโนมัติ
- ท่านสามารถขอให้ส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานอื่นได้ด้วยวิธีการอัตโนมัติ
- ท่านสามารถขอรับข้อมูลส่วนบุคคลที่เราส่งหรือโอนไปยังหน่วยงานอื่นโดยตรง เว้นแต่
โดยสภาพทางเทคนิคไม่สามารถทำได้
- สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล โดยท่านสามารถคัดค้านในกรณีที่เราประมวลผลข้อมูลของท่านตามฐานการประมวลผล และ/หรือวัตถุประสงค์ ดังต่อไปนี้
- ตามฐานภารกิจของรัฐ หรือฐานประโยชน์อันชอบธรรม
- เพื่อวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ เว้นแต่
เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะของเรา
- สิทธิในการลบข้อมูลส่วนบุคคล โดยท่านสามารถขอให้ลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคล
เป็นข้อมูลที่ไม่สามารถระบุตัวท่านได้ ในกรณีดังต่อไปนี้
- เมื่อหมดความจำเป็นในการประมวลผลข้อมูลส่วนบุคคล
- เมื่อท่านถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคล และเราไม่มีฐานการประมวลผลตามกฎหมายที่จะประมวลผลข้อมูลส่วนบุคคลนั้นได้ต่อไป
- เมื่อท่านคัดค้านการประมวลผลข้อมูลส่วนบุคคล
- เมื่อข้อมูลส่วนบุคคลของท่านถูกประมวลผลโดยไม่ชอบด้วยกฎหมาย
- สิทธิในการระงับการใช้ข้อมูลส่วนบุคคล โดยท่านสามารถขอให้ระงับการใช้ข้อมูลส่วนบุคคลของท่านได้ ในกรณีดังต่อไปนี้
- เมื่ออยู่ในระหว่างการตรวจสอบตามที่ท่านขอให้แก้ไขข้อมูลส่วนบุคคล
- เมื่อเป็นข้อมูลส่วนบุคคลที่ต้องลบหรือทำลาย แต่ท่านขอให้ระงับการใช้แทน
- เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ แต่ท่านมี
ความจำเป็นต้องขอให้เก็บรักษาไว้เพื่อใช้ในการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
- เมื่ออยู่ในระหว่างการพิสูจน์ หรือตรวจสอบ ตามคำขอใช้สิทธิในการคัดค้านของท่าน
- สิทธิในการแก้ไขข้อมูลส่วนบุคคล หากท่านพบว่าข้อมูลของท่านไม่ถูกต้อง สมบูรณ์ และเป็นปัจจุบัน ท่านสามารถขอแก้ไขข้อมูลของท่านได้ เพื่อให้ข้อมูลของท่านถูกต้อง สมบูรณ์ และเป็นปัจจุบันได้
ในบางกรณี เราอาจไม่สามารถดำเนินการตามที่ท่านร้องขอได้ เช่น เมื่ออยู่ระหว่างการดำเนินกระบวนการทางกฎหมายหรือคำสั่งศาล เป็นต้น
อย่างไรก็ดี ในกรณีที่ท่านได้ให้ความยินยอมในการประมวลผลข้อมูลส่วนบุคคลเอาไว้ ท่านสามารถ
ถอนความยินยอมนั้นเมื่อใดก็ได้ด้วยการติดต่อไปยังส่วนงานที่เกี่ยวข้อง โดยเราจะยุติการประมวลผลข้อมูลดังกล่าวโดยเร็วที่สุด ทั้งนี้ การถอนความยินยอมจะมีผลบังคับใช้กับการประมวลผลที่กำลังจะเกิดขึ้น หากแต่จะไม่มีผลเป็นการยกเลิกเพิกถอนการประมวลผลข้อมูลส่วนบุคคลที่ได้ดำเนินการไปแล้ว
อนึ่ง เราจะบันทึกรายการต่าง ๆ ที่ได้ดำเนินการเกี่ยวกับคำร้องขอใช้สิทธิของท่านเอาไว้ เพื่อใช้
ในการแก้ไขปัญหาต่าง ๆ ที่เกิดขึ้น ทั้งนี้ หากมีข้อสงสัยในรายละเอียดของการดำเนินการเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และสิทธิของท่าน ท่านอาจศึกษาจากคู่มือ PDPA สำหรับประชาชน โดย สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้ที่ คู่มือ PDPA สำหรับประชาชน
ในกรณีที่ท่านมีประสงค์จะใช้สิทธิข้างต้น หรือมีข้อร้องเรียนเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล โปรดติดต่อที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของเราตามรายละเอียดที่ได้แจ้งไว้ด้านบน โดยเราจะรีบดำเนินการตามคำร้องของท่านโดยเร็วและสอดคล้องกับที่กฎหมายกำหนด อย่างไรก็ดี ในกรณีที่เราปฏิเสธ
ไม่ดำเนินการตามคำร้องขอของท่าน ท่านมีสิทธิร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายได้ที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ผ่านช่องทางอีเมล [email protected] โดยจัดทำตาม
แบบคำร้องเรียนที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
10. การทบทวนและปรับปรุงประกาศความเป็นส่วนตัว
เอกสารนี้เป็นประกาศความเป็นส่วนตัวสำหรับแพทย์ของ สขญ. ซึ่งปรับปรุงล่าสุด เมื่อวันที่ 26 มกราคม พ.ศ. 2567 เราขอสงวนสิทธิในการทบทวนและปรับปรุงนโยบายนี้ตามที่เห็นสมควร โดยจะแจ้งให้ท่านทราบถึงการเปลี่ยนแปลงประกาศความเป็นส่วนตัวฉบับนี้ต่อไป
ประกาศความเป็นส่วนตัว
สำหรับเจ้าหน้าที่โรงพยาบาลของสถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน)
ปรับปรุงล่าสุด: วันที่ 26 มกราคม พ.ศ. 2567
ฉบับย่อ
ภายใต้โครงการจัดทำระบบดิจิทัลและเทคโนโลยีเพื่อเชื่อมโยงข้อมูลสุขภาพทั่วประเทศ (Health Information Exchange: Health Link) สถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน) (ต่อไปนี้จะเรียกว่า “สขญ.” หรือ “เรา”) ประมวลผลข้อมูลส่วนบุคคลของผู้ดูแลระบบสารสนเทศของสถานพยาบาลและเจ้าหน้าที่สถานพยาบาล (ต่อไปนี้จะเรียกรวมว่า “เจ้าหน้าที่โรงพยาบาล” หรือ “ท่าน”) ซึ่งจะได้รับการดูแลตามมาตรฐานสูงสุดสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“กฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ”) โดยท่านสามารถดูรายละเอียดของประกาศความเป็นส่วนตัวสำหรับเจ้าหน้าที่โรงพยาบาล (“ประกาศความเป็นส่วนตัว”) ฉบับเต็มได้ ผ่านทาง QR Code และสามารถอ่านสรุปเบื้องต้นของประกาศความเป็นส่วนตัวตามรายละเอียดที่ปรากฏด้านล่าง
หัวข้อ | ข้อมูลโดยสรุป |
เราประมวลผลข้อมูลอะไรบ้าง? | เราประมวลผลข้อมูลตามที่ได้เก็บรวบรวมจากท่าน ได้แก่ ข้อมูลส่วนตัวผู้ดูแลระบบฝั่งสถานพยาบาล ข้อมูลติดต่อผู้ดูแลระบบฝั่งสถานพยาบาล ข้อมูลการใช้งานระบบฯ ข้อมูลสถานพยาบาลผู้ดูแลระบบฝั่งสถานพยาบาล ข้อมูลธุรกรรม ข้อมูลความคิดเห็น ข้อมูลภาพถ่าย ข้อมูลการร่วมกิจกรรม/งานประชาสัมพันธ์ ข้อมูลการเข้ารับบริการทางการแพทย์ ข้อมูลทางเทคนิคและการใช้งาน และข้อมูลสุขภาพ |
เราใช้ข้อมูลอย่างไร? | เราใช้ข้อมูลส่วนบุคคลเพื่อการดำเนินการทั้งหลายตามวัตถุประสงค์ของ สขญ. และตามคำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลซึ่งเราได้อธิบายเหตุผลความจำเป็นและฐานการประมวลผลที่เกี่ยวข้องไว้ในประกาศความเป็นส่วนตัวฉบับนี้ |
เราส่งข้อมูล | เราอาจจำเป็นต้องส่งและ/หรือเปิดเผยข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานภายนอกตามเหตุผลความจำเป็นที่ได้อธิบายไว้ในประกาศความเป็นส่วนตัวฉบับนี้ และรายการหน่วยงานที่มีการส่งข้อมูล |
ผู้ใช้บริการสามารถทำอะไร | ท่านสามารถใช้สิทธิของเจ้าของข้อมูลซึ่งรวมถึงการเข้าถึง การแก้ไข และการลบข้อมูลส่วนบุคคล และสิทธิอื่น ๆ ตามที่ได้อธิบายไว้ในประกาศความเป็นส่วนตัวฉบับนี้ |
การเปลี่ยนแปลงประกาศ | เราจะแจ้งให้ท่านทราบเมื่อมีการทบทวนหรือปรับปรุงประกาศความเป็นส่วนตัวฉบับนี้ |
ประกาศความเป็นส่วนตัว
1. ขอบเขตและวัตถุประสงค์ของประกาศความเป็นส่วนตัว
เอกสารนี้เป็นประกาศความเป็นส่วนตัว สำหรับ เจ้าหน้าที่โรงพยาบาล ของ สขญ. ในโครงการจัดทำระบบดิจิทัลและเทคโนโลยีเพื่อเชื่อมโยงข้อมูลสุขภาพทั่วประเทศ (Health Information Exchange: Health Link) โดยเรามีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล และผู้ควบคุมข้อมูลส่วนบุคคลขึ้นอยู่กับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ
เราประมวลผลข้อมูลส่วนบุคคลของท่านภายในขอบเขตและวัตถุประสงค์ของ สขญ. รวมทั้งภายใต้ข้อตกลงการประมวลผลข้อมูลส่วนบุคคลที่ได้จัดทำขึ้นระหว่างเรากับหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
ซึ่งประกาศความเป็นส่วนตัวฉบับนี้จะได้อธิบายว่าเราได้เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลของท่านอย่างไร
รายละเอียดการติดต่อ ชื่อ: สถาบันข้อมูลขนาดใหญ่ (องค์การมหาชน) หรือ Big Data Institute สถานที่ติดต่อ: เลขที่ 80 อาคารลาดพร้าว ฮิลล์ ถนนลาดพร้าว แขวงจอมพล เขตจตุจักร กรุงเทพมหานคร 10900 หมายเลขโทรศัพท์: 02 026 2333 ต่อ 3456 ไปรษณีย์อิเล็กทรอนิกส์: [email protected] เวลาทำการปกติ: วันจันทร์ถึงศุกร์ เวลา 9.00 – 17.00 เว็บไซต์: https://bdi.or.th/ | รายละเอียดการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล โทรศัพท์: 02 026 2333 ต่อ 3456 อีเมล: [email protected] |
ประกาศความเป็นส่วนตัว ฉบับนี้ใช้กับเจ้าของข้อมูลส่วนบุคคลซึ่งเป็น เจ้าหน้าที่โรงพยาบาล ของเรา ได้แก่ ผู้ดูแลระบบสารสนเทศของสถานพยาบาลและเจ้าหน้าที่สถานพยาบาล
ภายใต้ประกาศความเป็นส่วนตัวฉบับนี้ ให้คำดังต่อไปนี้มีความหมายตามที่กำหนดด้านล่าง
“ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลผู้ถึงแก่กรรมโดยเฉพาะ
“ข้อมูลส่วนบุคคลประเภทพิเศษที่มีความอ่อนไหว” หมายถึง ข้อมูลส่วนบุคคลตามที่ถูกบัญญัติไว้
ในมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งได้แก่ ข้อมูลเชื้อชาติ เผ่าพันธุ์
ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายถึง บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือ
นิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
“โครงการฯ” หมายถึง โครงการจัดทำระบบดิจิทัลและเทคโนโลยีเพื่อเชื่อมโยงข้อมูลสุขภาพทั่วประเทศ (Health Information Exchange: Health Link)
“ประมวลผล” หมายถึง การดำเนินการใด ๆ ต่อข้อมูลส่วนบุคคลของท่านซึ่งรวมถึงการเก็บรวบรวม
การใช้ การจัดเก็บ การเปิดเผย และการลบข้อมูลส่วนบุคคล
“ฐานการประมวลผล” หมายถึง เหตุผลความจำเป็นในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา 24 และเงื่อนไขพิเศษในการประมวลผลข้อมูลอ่อนไหวตามมาตรา 26 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ
ทั้งนี้ หากท่านเป็นผู้ให้ข้อมูลส่วนบุคคลของบุคคลที่สาม เช่น ข้อมูลของบุคคลในครอบครัว ข้อมูลของ
ผู้ติดต่อฉุกเฉิน และบุคคลอ้างอิง เป็นต้น ขอให้ท่านโปรดแจ้งให้บุคคลเหล่านั้นทราบถึงรายละเอียดตามประกาศความเป็นส่วนตัวฉบับนี้ และในบางกรณีอาจจำเป็นต้องขอความยินยอมจากบุคคลดังกล่าว เพื่อให้เราสามารถประมวลผลข้อมูลส่วนบุคคลของบุคคลที่สามเหล่านี้ได้
ประกาศความเป็นส่วนตัวฉบับนี้ อาจมีการทบทวนปรับปรุงตามที่จะได้แจ้งให้ท่านทราบผ่านช่องทางสื่อสารที่เหมาะสมต่อไป
2. เราเก็บรวบรวมข้อมูลส่วนบุคคลประเภทใดบ้าง
เราเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน ดังต่อไปนี้
- ข้อมูลส่วนตัวผู้ดูแลระบบฝั่งสถานพยาบาล เช่น ชื่อ-นามสกุล หมายเลขบัตรประชาชน หน่วยงานที่สังกัด ข้อมูลการยอมรับข้อกำหนดและเงื่อนไข ลายมือลงนาม วันที่ลงนาม ข้อมูลประวัติการทำงาน ตำแหน่ง ข้อมูลส่วนตัว เป็นต้น
- ข้อมูลติดต่อผู้ดูแลระบบฝั่งสถานพยาบาล เช่น ข้อมูลนามบัตร ข้อมูลตำแหน่ง หมายเลขโทรศัพท์มือถือ อีเมล Line ข้อมูลติดต่อ เป็นต้น
- ข้อมูลการใช้งานระบบฯ เช่น ข้อมูลสถานะการยอมรับเงื่อนไขข้อตกลง ข้อมูลการเข้าใช้งานระบบ
ข้อมูลการปรับเปลี่ยนรายชื่อแพทย์ในสังกัดสถานพยาบาล ข้อมูลพฤติกรรมการใช้งานระบบ Health Link ข้อมูลอุปกรณ์ที่เข้าใช้งานระบบ Health Link ข้อมูลตำแหน่งของอุปกรณ์ ข้อมูลพฤติกรรมการใช้งานเว็บแอปพลิเคชันระบบ Health Link เป็นต้น - ข้อมูลสถานพยาบาลผู้ดูแลระบบฝั่งสถานพยาบาล เช่น ข้อมูลสถานพยาบาลที่ผู้ดูแลระบบฝั่งสถานพยาบาลสังกัด ข้อมูลหน่วยงาน
- ข้อมูลธุรกรรม เช่น วันที่ทำคำร้อง เอกสารประกอบ เป็นต้น
- ข้อมูลความคิดเห็น เช่น ข้อมูลความคิดเห็น เป็นต้น
- ข้อมูลภาพถ่าย เช่น วิดีโอบทสัมภาษณ์ เป็นต้น
- ข้อมูลการร่วมกิจกรรม/งานประชาสัมพันธ์ เช่น ข้อมูลที่อยู่ของสถานที่จัดงาน เช่น รพ. ข้อมูลกำหนดการในงานของบุคคลนั้น ๆ
- ข้อมูลการเข้ารับบริการทางการแพทย์ เช่น วันที่และเวลาของการเข้ารับบริการและสิ้นสุดการเข้ารับบริการทางการแพทย์ สถานพยาบาลที่ให้บริการทางการแพทย์ ประเภทของการเข้ารับบริการ (ผู้ป่วยภายใน/ผู้ป่วยนอก/ฉุกเฉิน) จำนวนข้อมูลสุขภาพในแต่ละประเภทที่เกิดจากการเข้ารับบริการทางการแพทย์ในแต่ละครั้งของท่านที่สถานพยาบาลนำส่งเข้าระบบ แผนกที่เข้ารับบริการ วันที่ทำคำร้อง เอกสารประกอบ เป็นต้น
- ข้อมูลทางเทคนิคและการใช้งาน เช่น ข้อมูลหมายเลข IP Address อุปกรณ์ ข้อมูลประเภทอุปกรณ์ ข้อมูลการตั้งค่าอุปกรณ์ ข้อมูลประวัติการค้นหา (Browsing History) ข้อมูลการใช้งาน Browser จาก Cookie ID ข้อมูลพฤติกรรมการใช้งานเว็บแอปพลิเคชันระบบ ข้อมูลอุปกรณ์ที่เข้าใช้งานระบบ Health Link เป็นต้น
นอกจากนี้ เราอาจประมวลผลข้อมูลส่วนบุคคลประเภทพิเศษที่มีความอ่อนไหวในบางกรณี เช่น
- ข้อมูลสุขภาพ เช่น ข้อมูลสุขภาพที่แชร์ในที่ประชุม, กรุ๊ปเลือด เป็นต้น
3. เราเก็บรวบรวมข้อมูลส่วนบุคคลอย่างไร
โดยทั่วไปแล้ว เราเก็บรวบรวมข้อมูลส่วนบุคคลจากท่านโดยตรงผ่านกระบวนการ หรือช่องทาง เช่น
- ได้รับผ่านแอปพลิเคชัน/ซอฟต์แวร์/Web-Application เช่น HIE APIs ระบบสารสนเทศของสถานพยาบาลที่เข้าร่วมโครงการ เป็นต้น
- ได้รับผ่านเว็บไซต์บนอินเตอร์เน็ต เช่น HTTPS (Web browser) เป็นต้น
- ได้รับผ่านการเข้าถึงแชร์ไดร์ฟ/ฐานข้อมูลบนคลาวด์ เช่น การอัปโหลดไฟล์ การกรอกข้อมูลผ่าน Google Forms
- ได้รับผ่านการสื่อสาร/กรอก/ลงนามต่อหน้า เช่น การสอบถามจากเจ้าของข้อมูลส่วนบุคล การกรอกข้อมูลในเอกสาร เป็นต้น
- ได้รับผ่านอีเมล
- ได้รับผ่านข้อความ/การสนทนาทางโทรศัพท์
- ได้รับผ่านโซเชียลมีเดีย เช่น ไลน์ (LINE) เป็นต้น
- ได้รับผ่านอุปกรณ์บันทึกข้อมูล เช่น อุปกรณ์บันทึกภาพถ่ายและวีดิทัศน์ (video) เป็นต้น
- ได้รับผ่านเอกสารและสำเนาเอกสาร
อย่างไรก็ดี เราอาจเก็บรวบรวมข้อมูลเพิ่มเติมจากหน่วยงานภายนอก ซึ่งรวมถึง
- สถานพยายาลที่เข้าร่วมโครงการฯ
- เว็บไซต์ เช่น Google เป็นต้น
- ผู้ใช้งาน (Users)
4. เราใช้ข้อมูลส่วนบุคคลอย่างไร
เราในฐานะผู้ควบคุมข้อมูลส่วนบุคคลใช้ข้อมูลส่วนบุคคลของท่านเพื่อการดำเนินการทั้งหลายตามวัตถุประสงค์ของ สขญ. ซึ่งสามารถแบ่งเป็นกลุ่มกิจกรรม ดังต่อไปนี้
กลุ่มกิจกรรม | กลุ่มข้อมูลส่วนบุคคล | ฐานการประมวลผลของเรา |
การตรวจสอบการเข้าใช้งาน [ROP ID: COR-039] |
|
|
การเก็บรวบรวมข้อมูล และวิเคราะห์พฤติกรรมการใช้งานระบบ Health Link [ROP ID: COR-029, COR-030, PRA-026] |
|
|
การสำรวจเพื่อเตรียมความพร้อมสำหรับโรงพยาบาลที่เข้าร่วมโครงการ [ROP ID: BOF-002] |
|
|
กระบวนการสาธิตการใช้ระบบ [ROP ID: BOF-006] |
|
|
การติดต่อประสานงานและเก็บนามบัตร [ROP ID: BOF-007-I, BSN-034, PRA-018] |
|
|
การเก็บรวบรวมความเห็นเจ้าหน้าที่ที่เข้าอบรม [ROP ID: PRA-022] |
|
|
การสัมภาษณ์และประชาสัมพันธ์โครงการฯ [ROP ID: PRA-027] |
|
|
การจัดกิจกรรมหรืองานแถลงข่าว [ROP ID: PRA-031, PRA-032, PRA-033] |
|
|
การเก็บรวบรวมและเผยแพร่ภาพบรรยากาศ [ROP ID: PRA-034] |
|
|
การถ่ายและเผยแพร่ภาพบรรยากาศ [ROP ID: PRA-035] |
|
|
นอกจากนี้ เราในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลใช้ข้อมูลส่วนบุคคลของท่านเพื่อการดำเนินการทั้งหลายภายใต้คำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ ภายใต้โครงการฯ เราเข้าใจและดำเนินการเฉพาะตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลที่ได้มอบหมายให้เราเท่านั้นตามเป็นกลุ่มกิจกรรม ดังต่อไปนี้ ทั้งนี้ เพื่อความเข้าใจที่ครบถ้วนในการใช้ข้อมูลส่วนบุคคลของท่าน โปรดศึกษาประกาศความเป็นส่วนตัวของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลเพิ่มเติม
กลุ่มกิจกรรม | กลุ่มข้อมูลส่วนบุคคล | หน่วยงานที่เป็น | ฐานการประมวลผลของหน่วยงานที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล |
กระบวนการยืนยันตัวตนของ Health Link [ROP ID: COR-027-I1, COR-027-I2] |
|
|
|
กระบวนการรักษาความมั่นคงปลอดภัยของระบบ[ROP ID: BSN-032] |
|
ที่เข้าร่วมโครงการฯ |
|
กระบวนการให้ความช่วยเหลือผ่านระบบ Call Center [ROP ID: BSN-040] |
|
|
|
การเก็บรวบรวมความเห็นเจ้าหน้าที่ที่เข้าอบรม [ROP ID: PRA-021] |
|
ที่เข้าร่วมโครงการฯ |
|
กระบวนการอบรมและประเมินผลของบุคลากรทางการแพทย์ [ROP ID: BSN-018] |
|
ที่เข้าร่วมโครงการฯ |
|
เราจะประมวลผลข้อมูลส่วนบุคคลของท่านตามวัตถุประสงค์ที่ได้แจ้งไว้หรือตามคำสั่งของหน่วยงานที่
เป็นผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น อย่างไรก็ตาม ในกรณีที่เราจำเป็นต้องประมวลผลข้อมูลของท่าน
เพื่อวัตถุประสงค์อื่นที่ไม่เกี่ยวข้องกับวัตถุประสงค์เดิม และการประมวลผลดังกล่าวไม่สามารถอ้างอิงฐาน
การประมวลผลอื่นได้ เช่นนี้ เราจะแจ้งให้ท่านทราบหรือขอความยินยอมจากท่าน เพื่อการประมวลผลข้อมูล
ส่วนบุคคลตามวัตถุประสงค์ใหม่นั้น
ทั้งนี้ ในกรณีที่เราประมวลผลข้อมูลส่วนบุคคลในฐานการประมวลผลตาม ม.24(3) ฐานสัญญา และ
ม.24(6) ฐานปฏิบัติตามกฎหมายหากท่านไม่ให้ข้อมูลส่วนบุคคลกับเราจะทำให้เกิดผลกระทบดังต่อไปนี้
- ทำให้สัญญาระหว่างเรากับท่านเกิดขึ้นไม่ได้ เช่น ไม่สามารถยืนยันตัวตนของท่านเพื่อให้ท่านเข้าใช้งานระบบภายใต้โครงการฯได้ เป็นต้น
- ทำให้เราไม่สามารถประมวลผลข้อมูลส่วนบุคคลตามกฎหมายหรือทำให้มีความผิดทางกฎหมาย
เช่น ไม่สามารถดำเนินการตามสิทธิของเจ้าของข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูล
ส่วนบุคคล พ.ศ. 2562 เป็นต้น
5. เราใช้ข้อมูลส่วนบุคคลร่วมกันกับหน่วยงานภายนอกหรือไม่
เพื่อให้หน่วยงานภายนอกสามารถประมวลผลข้อมูลตามวัตถุประสงค์และฐานการประมวลผลข้อมูล
ส่วนบุคคลที่ได้แจ้งให้ท่านทราบ เราอาจมีความจำเป็นต้องส่งหรือเปิดเผยข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานภายนอกดังต่อไปนี้
- ผู้ใช้งานสาธารณะ
- การเปิดเผยต่อสาธารณะผ่านช่องทางสื่อสังคม (social media) หรือสื่อมวลชน
อย่างไรก็ ในกรณีที่ส่งหรือเปิดเผยข้อมูลส่วนบุคคลไปยังหน่วยงานภายนอก เราจะดำเนินการเท่าที่จำเป็นโดยส่งหรือเปิดเผยข้อมูลให้น้อยที่สุด (Data Minimization) ภายใต้หลักการของกฎหมายคุ้มครองข้อมูล
ส่วนบุคคลฯ หรือเราจะส่งหรือโอนข้อมูลส่วนบุคคลของท่านต่อเมื่อเป็นการดำเนินการตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น และอาจพิจารณาใช้วิธีจัดทำข้อมูลนิรนาม (anonymisation) และการแฝงข้อมูล (pseudonymisation) เพื่อรักษาความปลอดภัยของข้อมูล นอกจากนี้ หน่วยงานภายนอกที่ประมวลผลข้อมูล
ส่วนบุคคลให้กับเรา จะต้องจัดให้มีนโยบายคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม และเราไม่อนุญาตให้หน่วยงานภายนอกดังกล่าวใช้ข้อมูลของท่าน เพื่อวัตถุประสงค์อื่นนอกจากที่เรากำหนด
6. เราส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศหรือไม่
ภายใต้ขอบเขตและวัตถุประสงค์การประมวลผลตามประกาศความเป็นส่วนตัวฉบับนี้ ณ ปัจจุบัน เราไม่มีความจำเป็นจะต้องส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ
อนึ่ง เราจะส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ ต่อเมื่อกรณีเป็นไปตามเงื่อนไข
อย่างใดอย่างหนึ่ง ดังต่อไปนี้
- ประเทศปลายทางหรืองค์กรระหว่างประเทศที่มีการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา 28 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566
- หน่วยงานต่างประเทศที่รับข้อมูลอยู่ภายใต้นโยบายในการคุ้มครองข้อมูลส่วนบุคคลเพื่อการส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลซึ่ง
อยู่ต่างประเทศและอยู่ในเครือกิจการหรือเครือธุรกิจเดียวกันเพื่อการประกอบกิจการหรือธุรกิจร่วมกัน และหน่วยงานต่างประเทศได้จัดให้มีมาตรการคุ้มครองที่เหมาะสม (Appropriate Safeguards) ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูล
ส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศตามมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 - เป็นการปฏิบัติตามกฎหมาย
- ได้รับความยินยอมจากท่านโดยท่านได้รับทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้ว
- เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งท่านเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของท่านก่อนเข้าทำสัญญานั้น
- เป็นการกระทำตามสัญญาระหว่างเรากับบุคคลหรือนิติบุคคลอื่นเพื่อประโยชน์ของท่าน
- เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล เมื่อบุคคลดังกล่าวไม่สามารถ
ให้ความยินยอมในขณะนั้นได้ - เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ
7. การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
เราได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยสำหรับข้อมูลส่วนบุคคลตามมาตรฐานของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 รวมถึงรองรับมาตรฐานการรักษาความปลอดภัย ISO27001 มีระบบการลงทะเบียนด้วย e-KYC และ ทำการเข้ารหัสข้อมูล (Data Encryption)
8. ระยะเวลาในการจัดเก็บข้อมูลส่วนบุคคล
เราจะจัดเก็บข้อมูลส่วนบุคคลของท่านภายในระยะเวลาที่จำเป็นในการดำเนินการตามวัตถุประสงค์ของ สขญ. รวมถึงการดำเนินงานอื่น ๆ ที่จำเป็น และจัดเก็บข้อมูลตามคำสั่งของหน่วยงานที่เป็นผู้ควบคุมข้อมูล ส่วนบุคคล
9. สิทธิของท่านในฐานะเจ้าของข้อมูลส่วนบุคคล
ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ ท่านมีสิทธิดังต่อไปนี้
- สิทธิในการเพิกถอนความยินยอม ในกรณีที่เราขอความยินยอมของท่านเพื่อประมวลผลข้อมูล
ส่วนบุคคลของท่าน - สิทธิในการเข้าถึงข้อมูลส่วนบุคคล โดยท่านสามารถขอรับสำเนาข้อมูลของท่านและตรวจสอบว่าเราได้ประมวลผลข้อมูลของท่านตามกฎหมายหรือไม่
- สิทธิในการโอนข้อมูลส่วนบุคคล ในกรณีที่เราได้จัดให้มีแพลตฟอร์มซึ่งทำให้ท่านสามารถเข้าถึงข้อมูลส่วนบุคคลด้วยวิธีการอัตโนมัติ
- ท่านสามารถขอให้ส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานอื่นได้ด้วยวิธีการอัตโนมัติ
- ท่านสามารถขอรับข้อมูลส่วนบุคคลที่เราส่งหรือโอนไปยังหน่วยงานอื่นโดยตรง เว้นแต่
โดยสภาพทางเทคนิคไม่สามารถทำได้
- สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล โดยท่านสามารถคัดค้านในกรณีที่เราประมวลผลข้อมูลของท่านตามฐานการประมวลผล และ/หรือวัตถุประสงค์ ดังต่อไปนี้
- ตามฐานภารกิจของรัฐ หรือฐานประโยชน์อันชอบธรรม
- เพื่อวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ เว้นแต่
เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะของเรา
- สิทธิในการลบข้อมูลส่วนบุคคล โดยท่านสามารถขอให้ลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคล
เป็นข้อมูลที่ไม่สามารถระบุตัวท่านได้ ในกรณีดังต่อไปนี้
- เมื่อหมดความจำเป็นในการประมวลผลข้อมูลส่วนบุคคล
- เมื่อท่านถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคล และเราไม่มีฐานการประมวลผลตามกฎหมายที่จะประมวลผลข้อมูลส่วนบุคคลนั้นได้ต่อไป
- เมื่อท่านคัดค้านการประมวลผลข้อมูลส่วนบุคคล
- เมื่อข้อมูลส่วนบุคคลของท่านถูกประมวลผลโดยไม่ชอบด้วยกฎหมาย
- สิทธิในการระงับการใช้ข้อมูลส่วนบุคคล โดยท่านสามารถขอให้ระงับการใช้ข้อมูลส่วนบุคคลของท่านได้ ในกรณีดังต่อไปนี้
- เมื่ออยู่ในระหว่างการตรวจสอบตามที่ท่านขอให้แก้ไขข้อมูลส่วนบุคคล
- เมื่อเป็นข้อมูลส่วนบุคคลที่ต้องลบหรือทำลาย แต่ท่านขอให้ระงับการใช้แทน
- เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ แต่ท่านมี
ความจำเป็นต้องขอให้เก็บรักษาไว้เพื่อใช้ในการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย - เมื่ออยู่ในระหว่างการพิสูจน์ หรือตรวจสอบ ตามคำขอใช้สิทธิในการคัดค้านของท่าน
- สิทธิในการแก้ไขข้อมูลส่วนบุคคล หากท่านพบว่าข้อมูลของท่านไม่ถูกต้อง สมบูรณ์ และเป็นปัจจุบัน ท่านสามารถขอแก้ไขข้อมูลของท่านได้ เพื่อให้ข้อมูลของท่านถูกต้อง สมบูรณ์ และเป็นปัจจุบันได้
ในบางกรณี เราอาจไม่สามารถดำเนินการตามที่ท่านร้องขอได้ เช่น เมื่ออยู่ระหว่างการดำเนินกระบวนการทางกฎหมายหรือคำสั่งศาล เป็นต้น
อย่างไรก็ดี ในกรณีที่ท่านได้ให้ความยินยอมในการประมวลผลข้อมูลส่วนบุคคลเอาไว้ ท่านสามารถ
ถอนความยินยอมนั้นเมื่อใดก็ได้ด้วยการติดต่อไปยังส่วนงานที่เกี่ยวข้อง โดยเราจะยุติการประมวลผลข้อมูลดังกล่าวโดยเร็วที่สุด ทั้งนี้ การถอนความยินยอมจะมีผลบังคับใช้กับการประมวลผลที่กำลังจะเกิดขึ้น หากแต่จะไม่มีผลเป็นการยกเลิกเพิกถอนการประมวลผลข้อมูลส่วนบุคคลที่ได้ดำเนินการไปแล้ว
อนึ่ง เราจะบันทึกรายการต่าง ๆ ที่ได้ดำเนินการเกี่ยวกับคำร้องขอใช้สิทธิของท่านเอาไว้ เพื่อใช้
ในการแก้ไขปัญหาต่าง ๆ ที่เกิดขึ้น ทั้งนี้ หากมีข้อสงสัยในรายละเอียดของการดำเนินการเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และสิทธิของท่าน ท่านอาจศึกษาจากคู่มือ PDPA สำหรับประชาชน โดย สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้ที่ คู่มือ PDPA สำหรับประชาชน
ในกรณีที่ท่านมีประสงค์จะใช้สิทธิข้างต้น หรือมีข้อร้องเรียนเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล โปรดติดต่อที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของเราตามรายละเอียดที่ได้แจ้งไว้ด้านบน โดยเราจะรีบดำเนินการตามคำร้องของท่านโดยเร็วและสอดคล้องกับที่กฎหมายกำหนด อย่างไรก็ดี ในกรณีที่เราปฏิเสธ
ไม่ดำเนินการตามคำร้องขอของท่าน ท่านมีสิทธิร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายได้ที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ผ่านช่องทางอีเมล [email protected] โดยจัดทำตาม
แบบคำร้องเรียนที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
10. การทบทวนและปรับปรุงประกาศความเป็นส่วนตัว
เอกสารนี้เป็นประกาศความเป็นส่วนตัวสำหรับเจ้าหน้าที่โรงพยาบาลของ สขญ. ซึ่งปรับปรุงล่าสุดเมื่อ
วันที่ 26 มกราคม พ.ศ. 2567 เราขอสงวนสิทธิในการทบทวนและปรับปรุงนโยบายนี้ตามที่เห็นสมควร โดยจะแจ้งให้ท่านทราบถึงการเปลี่ยนแปลงประกาศความเป็นส่วนตัวฉบับนี้ต่อไป