ปัญหาการบังคับใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลในโรงพยาบาลของรัฐ

บทคัดย่อ

            ปัจจุบันเทคโนโลยีที่เข้ามามีบทบาทต่อการเก็บรวบรวมข้อมูลส่วนบุคคล และการดำเนินงานในองค์กรภาครัฐ รัฐวิสาหกิจ และเอกชน โดยเฉพาะอย่างยิ่งในโรงพยาบาลของรัฐซึ่งเป็นหน่วยงานที่มีความเกี่ยวข้องกับข้อมูลส่วนบุคคลด้านสุขภาพของผู้รับบริการ ที่ได้รับการคุ้มครองตามความในมาตรา 7 แห่งพระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 ซึ่งแต่เดิมหลักเกณฑ์ในการคุ้มครองข้อมูลส่วนบุคคลยังถูกกำหนดให้อยู่ภายใต้บังคับ             มาตรา 24 แห่งพระราชบัญญัติข้อมูลข่าวสารของทางราชการ พ.ศ. 2540 จนกระทั่งประเทศไทยได้ตระหนักถึงสิทธิแห่งความเป็นส่วนตัว (Right to Privacy) ในข้อมูลส่วนบุคคล อันเป็นสิทธิซึ่งได้รับการยอมรับในกฎหมายสิทธิมนุษยชนระหว่างประเทศโดยเฉพาะอย่างยิ่งปฏิญญาสากลว่าด้วยสิทธิมนุษยชน (UDHR) และกติการะหว่างประเทศว่าด้วยสิทธิพลเมืองและสิทธิทางการเมือง (ICCPR) อีกทั้งยังเป็นสิทธิมนุษยชนขั้นพื้นฐานตามที่บัญญัติไว้ในรัฐธรรมนูญแห่งราชอาณาจักรไทย พ.ศ. 2560 จึงได้ตราพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ขึ้นมาบังคับใช้ โดยมีวัตถุประสงค์เพื่อการคุ้มครองสิทธิเกี่ยวกับข้อมูลส่วนบุคคลที่หมายความรวมถึงข้อมูลส่วนบุคคลด้านสุขภาพอันเป็นข้อมูลที่มีความเกี่ยวข้องกับการรับบริการทางการแพทย์และการสาธารณสุขของบุคคล และสภาวะทางสุขภาพอนามัยของบุคคลเป็นสำคัญ จึงเป็นข้อมูลส่วนบุคคลเฉพาะตัวที่มีความละเอียดอ่อน        ดังนั้นการดำเนินการต่าง ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลโรงพยาบาลในกำกับของรัฐจึงเป็นหน่วยงานที่ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

          ในขณะเดียวกันพบปัญหาที่เกิดขึ้นจากบังคับใช้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562     กับโรงพยาบาลของรัฐทางปหอยู่หลายประการ ได้แก่ 1) ปัญหาการไม่มีบทนิยามความหมายของข้อมูลส่วนบุคคลที่อ่อนไหว (Sensitive Personal data)” และ “ข้อมูลสุขภาพ” ที่ชัดเจนนำมาสู่ปัญหาการตีความกฎหมาย                  2) ปัญหาการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลซึ่งยังไม่มีหลักเกณฑ์ที่ใช้ในการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล 3) ปัญหาการกำหนดอำนาจหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในการประเมินความเสี่ยงของผลกระทบจากการประมวลผลข้อมูล และ 4) ปัญหาเกี่ยวกับการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลที่ไม่ได้กำหนดให้มีการบันทึกรายละเอียดเหตุละเมิดข้อมูลส่วนบุคคลไว้เป็นหลักฐานส่งผลให้ยากต่อการตรวจสอบ                    ซึ่งปัญหาดังกล่าวส่งผลกระทบโดยตรงต่อการปฏิบัติงานในโรงพยาบาลของรัฐซึ่งหากปราศจากมาตรการทางกฎหมายที่มีความรัดกุมอาจนำไปสู่การเกิดเหตุการณ์ไม่พึงประสงค์เกี่ยวกับข้อมูลส่วนบุคคลของผู้รับบริการ                ในโรงพยาบาลของรัฐได้ จึงเป็นการสมควรแก้ไขเพิ่มพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562                      โดย 1) กำหนดนิยามความหมายของข้อมูลส่วนบุคคลที่อ่อนไหว และข้อมูลด้านสุขภาพให้ชัดเจน 2) กำหนดคุณสมบัติของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลให้มีมาตรฐานเดียวกัน 3) กำหนดเพิ่มเติมให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีหน้าที่ในการประเมิณผลกระทบของความเสี่ยงก่อนการประมวลผลข้อมูลเพื่อประโยชน์ของการจัดการและวางแผนในกระบวนการคุ้มครองข้อมูลส่วนบุคคล และ 4) กำหนดให้มีแนวปฏิบัติในการบันทึกรายละเอียดเหตุละเมิดข้อมูลส่วนบุคคลไว้เป็นหลักฐานที่สามารถตรวจสอบได้เพื่อประโยชน์ในการแสวงหาพยานหลักฐานอันเกี่ยวกับเหตุละเมิดข้อมูลส่วนบุคคล และกระบวนการตรวจสอบการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล