ประกาศสถาบันรับรองคุณภาพสถานพยาบาล (องค์การมหาชน)

เรื่อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล (Privacy Policy)

.......................................................

                    เพื่อให้การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของสถาบันรับรองคุณภาพสถานพยาบาล (องค์การมหาชน) มีประสิทธิภาพ โปร่งใส เจ้าของข้อมูลส่วนบุคคลเชื่อมั่นว่าสถาบันจะดูแลรักษาคุ้มครองข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลและจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมเป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

                    อาศัยอำนาจตามความในมาตรา ๒๑ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และมาตรา ๘ (๑๐) มาตรา ๒๖ และมาตรา ๒๗ (๓) แห่งพระราชกฤษฎีกาจัดตั้งสถาบันรับรองคุณภาพสถานพยาบาล (องค์การมหาชน) พ.ศ. ๒๕๕๒ และที่แก้ไขเพิ่มเติมตามพระราชกฤษฎีกาจัดตั้งสถาบันรับรองคุณภาพสถานพยาบาล (องค์การมหาชน) ฉบับที่ ๒ พ.ศ. ๒๕๖๒ ผู้อำนวยการจึงออกประกาศ เรื่อง การคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection) ดังต่อไปนี้

                      ข้อ ๑ ประกาศนี้เรียกว่า “ประกาศสถาบันรับรองคุณภาพสถานพยาบาล (องค์การมหาชน) เรื่อง การคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection)” ข้อ ๒ ประกาศนี้ให้มีผลใช้บังคับนับตั้งแต่วันที่ประกาศเป็นต้นไป ข้อ ๓ ให้ยกเลิกประกาศสถาบันรับรองคุณภาพสถานพยาบาล (องค์การมหาชน) เรื่อง แนวนโยบายการคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Policy) พ.ศ. ๒๕๖๓ บรรดาข้อบังคับ ระเบียบ ประกาศ คำสั่ง หรือแนวทางการปฏิบัติงานใดที่ขัดหรือแย้งกับประกาศนี้ ให้ถือใช้ประกาศนี้แทน ข้อ ๔ ในประกาศนี้ “สถาบัน” หมายความว่า สถาบันรับรองคุณภาพสถานพยาบาล (องค์การมหาชน)

                        “ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า สถาบันรับรองคุณภาพสถานพยาบาล (องค์การมหาชน) ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

                         “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ อาทิเช่น ชื่อ นามสกุล ชื่อเล่น ที่อยู่ หมายเลขโทรศัพท์ เลขประจำตัวประชาชน เลขหนังสือเดินทาง เลขบัตรประกันสังคม เลขใบอนุญาตขับขี่ เลขประจำตัวผู้เสียภาษี เลขบัญชีธนาคาร เลขบัตรเครดิต ที่อยู่อีเมล (email address) IP Address, Cookie ID, Log File เป็นต้น อย่างไรก็ตาม ข้อมูลส่วนบุคคลจะไม่รวมถึงข้อมูลนิรนาม (Anonymized Data) หรือข้อมูลแฝงที่ถูกทำให้ไม่สามารถระบุตัวบุคคลได้อีกโดยวิธีการทางเทคนิค เป็นต้น

                           “ข้อมูลส่วนบุคคลอ่อนไหว” หมายความว่า ข้อมูลที่เป็นเรื่องส่วนบุคคลโดยแท้ของบุคคล แต่มีความละเอียดอ่อนและอาจสุ่มเสี่ยงในการเลือกปฏิบัติอย่างไม่เป็นธรรม หรืออาจก่อให้เกิดภยันตรายทางชีวิต ร่างกาย หรือสุขภาพของเจ้าของข้อมูลส่วนบุคคล เช่น เชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพเพื่อใช้ยืนยันตัวตนของเจ้าของข้อมูลส่วนบุคคล หรือข้อมูลอื่นใด ซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

                            “เจ้าของข้อมูลส่วนบุคคล” หมายความว่า บุคคลธรรมดาซึ่งข้อมูลส่วนบุคคลนั้นระบุไปถึง แต่ไม่ใช่กรณีที่บุคคลมีความเป็นเจ้าของข้อมูล (Ownership) หรือเป็นผู้สร้างหรือเก็บรวบรวมข้อมูลส่วนบุคคลนั้นเอง

                             “ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือ นิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล

                             “คุกกี้ (Cookies)” หมายความว่า ข้อมูลอิเล็กทรอนิกส์เกี่ยวกับการเข้าถึงเว็บไซต์ของเจ้าของข้อมูลส่วนบุคคล ที่เว็บไซต์เครื่องแม่ข่ายส่งไปเก็บไว้ในเครื่องคอมพิวเตอร์ที่เจ้าของข้อมูลส่วนบุคคล ใช้ในการเข้าชมเว็บไซต์ เพื่อช่วยให้เว็บไซต์สามารถจดจำข้อมูลการเข้าเว็บไซต์ของเจ้าของข้อมูลส่วนบุคคลได้ และให้หมายความรวมถึงเทคโนโลยีอื่นที่มีลักษณะเดียวกับคุกกี้ ด้วย

                            “ฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล” (Lawful Basis for Processing Personal Data) หมายความว่า เหตุผลโดยชอบด้วยกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นเหตุให้สถาบันสามารถเก็บรวบรวม ใช้และเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลได้โดยชอบ ได้แก่ ฐานการให้ความยินยอม (Consent), ฐานสัญญา (Contract), ฐานะประโยชน์สำคัญต่อชีวิต (Vital Interest), ฐานหน้าที่ตามกฎหมาย (Legal Obligation), ฐานภารกิจของรัฐ (Public Task), ฐานประโยชน์อันชอบธรรม (Legitimate Interest) และฐานเอกสารประวัติศาสตร์ จดหมายเหตุ การศึกษาวิจัย หรือสถิติ

                               “เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” หมายความว่า ผู้ปฏิบัติงานของสถาบันซึ่งได้รับแต่งตั้งจากสถาบันให้มีหน้าที่ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล                                 “ผู้ปฏิบัติงานของสถาบัน” หมายความว่า ผู้ปฏิบัติงานของสถาบันตามมาตรา ๓๐ แห่งพระราชกฤษฎีกาจัดตั้งสถาบันรับรองคุณภาพสถานพยาบาล (องค์การมหาชน) พ.ศ. ๒๕๕๒ และที่แก้ไขเพิ่มเติม ประกอบด้วย เจ้าหน้าที่หรือลูกจ้าง ที่ปรึกษาหรือผู้เชี่ยวชาญ เจ้าหน้าที่ของรัฐซึ่งมาปฏิบัติงานของสถาบันเป็นการชั่วคราว

                                “คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล” หมายความว่า คณะกรรมการที่ได้รับการแต่งตั้งขึ้น โดยมีหน้าที่และอำนาจกำกับดูแล ออกหลักเกณฑ์ มาตรการ หรือข้อปฏิบัติอื่นใดที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒

                                ข้อ ๕ การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

                                 (๑) การเก็บรวบรวมข้อมูลส่วนบุคคล สถาบันจะเก็บรวบรวมเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายในการดำเนินกิจการของสถาบัน ตามฐานอำนาจที่กฎหมายกำหนด โดยให้เป็นไปตามมาตรฐานการรักษาความมั่นคงปลอดภัยข้อมูล เท่านั้น

                                 (๒) สถาบันจะจัดเก็บเฉพาะข้อมูลส่วนบุคคล ดังต่อไปนี้

                                         ๑) ข้อมูลที่บ่งชี้ตัวตน เช่น คำนำหน้าชื่อ ยศ ตำแหน่ง ชื่อ นามสกุล หมายเลขโทรศัพท์ โทรสาร สถานที่ติดต่อทางกายภาพ หรือข้อมูลการติดต่อทางอิเล็กทรอนิกส์ต่าง ๆ

                                         ๒) ข้อมูลเกี่ยวกับการศึกษา ฝึกอบรม การทำงาน ทั้งในอดีต และปัจจุบัน

                                         ๓) ข้อมูลเกี่ยวกับการดำเนินกิจกรรมและการให้บริการภายในหรือภายนอกที่สถาบันจัดให้มีขึ้น หรือที่หน่วยงานอื่นทั้งภาครัฐและเอกชน หรือคณะบุคคลที่เกี่ยวข้องกับสถาบันได้จัดทำขึ้น

                                         ๔) ข้อมูลเกี่ยวกับสุขภาพ

                                         ๕) ข้อมูลเกี่ยวกับการเงิน

                                 (๓) สถาบันอาจได้รับข้อมูลส่วนบุคคล โดยการเก็บรวบรวมจากแหล่งที่มาดังนี้

                                         ๑) การให้ความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลโดยตรง ทั้งที่จัดทำขึ้นเป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เช่น การกรอกข้อมูลในใบสมัคร แบบสอบถามการเข้าใช้ website หรือเก็บข้อมูลด้วย Cookies ระหว่างที่ท่านเข้าใช้บริการ เว้นแต่โดยสภาพ ไม่อาจดำเนินการดังกล่าวได้

                                         ๒) รับข้อมูลจากหน่วยงานรัฐ หรือองค์กรเอกชนที่จัดส่งข้อมูลให้แก่สถาบันเพื่อปฏิบัติตามคำสั่งโดยชอบด้วยกฎหมาย หรือเพื่อประโยชน์ในการให้บริการแก่หน่วยงานรัฐหรือองค์กรเอกชนนั้น ๓) รับข้อมูลจากบุคคล คณะบุคคล หน่วยงานรัฐ หรือองค์กรเอกชนที่สถาบันมีความจำเป็นต้องเก็บรวบรวมข้อมูลภายใต้ฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล

                                   (๔) การเก็บรวบรวมข้อมูลส่วนบุคคลที่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลซึ่งเป็นผู้เยาว์ คนไร้ความสามารถหรือคนเสมือนไร้ความสามารถ สถาบันจะไม่ทำการเก็บรวบรวมข้อมูลส่วนบุคคลนั้นจนกว่าจะได้รับความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ หรือผู้อนุบาล หรือผู้พิทักษ์ตามแต่กรณี โดยเป็นไปตามเงื่อนไขที่กฎหมายกำหนด

                                   (๕) สถาบันอาจทำการเก็บรวบรวมข้อมูลส่วนบุคคลอ่อนไหว ภายใต้วัตถุประสงค์ ของสถาบันโดยจะขอความยินยอมจากเจ้าของข้อมูลก่อนทำการเก็บรวบรวม

                                    (๖) เมื่อสถาบันจัดเก็บข้อมูลส่วนบุคคลภายใต้ความยินยอมของเจ้าของข้อมูลส่วนบุคคลแล้ว ในกรณีที่เจ้าของข้อมูลส่วนบุคคลปฏิเสธหรือเปลี่ยนแปลงการให้ความยินยอมซึ่งอาจเป็นเหตุให้สถาบันไม่อาจปฏิบัติตามกฎหมาย หรือให้บริการ หรือมีเหตุขัดข้องในการปฏิบัติงานตามข้อตกลงหรือสัญญาระหว่างสถาบันกับเจ้าของข้อมูลส่วนบุคคลได้ ในกรณีดังกล่าวสถาบันจะชี้แจงเหตุผลความจำเป็นในการที่จะต้องเก็บรวบรวมข้อมูลและผลกระทบจากการที่ไม่ได้รับข้อมูลนั้นต่อเจ้าของข้อมูลส่วนบุคคลแล้วแต่กรณี

                                    (๗) สถาบันอาจเก็บข้อมูลส่วนบุคคลโดยไม่ต้องขอรับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เฉพาะภายใต้ข้อยกเว้นของฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลหรือเหตุอื่น ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

                                    (๘) การเปิดเผยข้อมูลส่วนบุคล สถาบันจะกระทำโดยมีวัตถุประสงค์ ขอบเขต และภายใต้ความยินยอมของเจ้าของข้อมูลส่วนบุคคลที่ได้ให้ไว้แก่สถาบันเท่านั้น สถาบันอาจจะเปิดเผยข้อมูลส่วนบุคคลโดยไม่ต้องขอรับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเฉพาะโดยอาศัยฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล หรือเหตุอื่นตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด ทั้งนี้สถาบันจะใช้วิธีการที่ชอบด้วยกฎหมายและเป็นธรรม และจะดำเนินการอย่างจำกัดเพียงเท่าที่จำเป็นแก่การให้บริการภายใต้วัตถุประสงค์ของสถาบันเท่านั้น

                                    (๙) สถาบันอาจต้องเปิดเผยข้อมูลส่วนบุคคลให้แก่บุคคลภายนอกเพื่อเป็นการปฏิบัติตามกฎหมายต่อบุคคลหรือหน่วยงานอื่นที่มีอำนาจในการควบคุม กำกับดูแลสถาบัน เช่น รัฐมนตรีว่าการกระทรวงสาธารณสุขหรือผู้ที่ได้รับแต่งตั้งมอบหมาย กระทรวงสาธารณสุข สำนักงานคณะกรรมการพัฒนาระบบราชการ กรมสรรพากร หรือหน่วยงานด้านการการเงินงบประมาณ ตลอดจนหน่วยงานรัฐหรือองค์เอกชนทั้งในประเทศและระหว่างประเทศที่มีภารกิจเกี่ยวข้องกับวัตถุประสงค์การดำเนินกิจการของสถาบัน ทั้งนี้ เพียงเท่าที่จำเป็นเท่านั้น

                                    (๑๐) สถาบันอาจมีการมอบหมายหรือจัดซื้อจัดจ้างบุคคลที่สาม (ผู้ประมวลผลข้อมูลส่วนบุคคล) ให้ทำการประมวลผลข้อมูลส่วนบุคคลแทนหรือในนามของสถาบัน ซึ่งบุคคลที่สามดังกล่าวอาจเสนอบริการในลักษณะต่าง ๆ เช่น การเป็นผู้ดูแล (Hosting) รับงานบริการช่วง (Outsourcing) หรือเป็นผู้ให้บริการคลาวด์ (Cloud computing service/provider) หรือเป็นงานในลักษณะจ้างทำของในรูปแบบอื่น

                                   การมอบหมายให้บุคคลที่สามทำการประมวลผลข้อมูลส่วนบุคคลในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลนั้น สถาบันจะจัดให้มีข้อตกลงระบุสิทธิและหน้าที่ของสถาบัน ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลและของบุคคลที่สถาบันมอบหมายในฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งรวมถึงกำหนดรายละเอียดประเภทข้อมูลส่วนบุคคลที่สถาบันมอบหมายให้ประมวลผล รวมถึงวัตถุประสง