Presented at Mahidol University, Nakhon Pathom, Thailand on October 18, 2021

1. Share & Learn ความคืบหน้าจากส่วนงานเกี่ยวกับการ
เตรียมความพร้อมด้านการคุ้มครองข้อมูลส่วนบุคคล:
การนาเสนอตัวอย่างการจัดทา Data Processing
Agreement และ Data Sharing Agreement (Part 2)
นพ.นวนรรน ธีระอัมพรพันธุ์
รองคณบดีฝ่ายปฏิบัติการ
คณะแพทยศาสตร์โรงพยาบาลรามาธิบดี มหาวิทยาลัยมหิดล
18 ตุลาคม 2564
www.SlideShare.net/Nawanan

2. PDPA Recap
▪ “ผู้ควบคุมข้อมูลส่วนบุคคล” (Data Controller) หมายความว่า บุคคลหรือ
นิติบุคคลซึ่งมีอานาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผย
ข้อมูลส่วนบุคคล
▪ “ผู้ประมวลผลข้อมูลส่วนบุคคล” (Data Processor) หมายความว่า บุคคลหรือ
นิติบุคคลซึ่งดาเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
ตามคาสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่ง
ดาเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
PDPA มาตรา 6

3. Recap Scenario 1: สถานพยาบาลตามกฎหมายแรงงาน
รพ.รามาธิบดี
Employer (e.g. Factory)
On-Site Clinic (ให้บริการโดยคณะแพทยศาสตร์ รพ.รามาธิบดี)
1. ตรวจสุขภาพ/
รักษาพยาบาล
2A. ตรวจ lab แล้วส่งกลับให้
คลินิกตรวจรักษาต่อ
2B. ส่งต่อมาตรวจรักษาที่ รพ.
การให้บริการตามข้อ 1. และ 2A. อยู่ภายใต้สัญญาให้บริการทางการ
แพทย์ ระหว่าง Employer กับคณะแพทยศาสตร์ รพ.รามาธิบดี
ส่วนกรณี 2B. ถือเป็นการให้บริการของ รพ.รามาธิบดี ที่แยกเป็นคนละ
ส่วนกับการให้บริการที่ On-Site Clinic (เช่นเดียวกับกรณีผู้ป่วย Walk-
in มาที่ รพ.รามาธิบดี)
2A เงื่อนไขเดียวกับ 1
นายจ้าง = Data Controller
ลูกจ้าง = Data Subject
รามาธิบดี = Data Processor
รามาธิบดี = Data Controller
ผู้ป่วย = Data Subject
2A: รามาธิบดี =
Data Processor
2B: รามาธิบดี =
Data Controller
General Data:
- Legal Obligation
[PDPA ม.24 (6)]
- Vital Interest
[PDPA ม.24 (2)]
Sensitive Data:
- Legal Obligation (Labor
Protection) [PDPA ม.26 (5) (ค)
+ พ.ร.บ. คุ้มครองแรงงาน]
- Vital Interest [PDPA ม.26 (1)]
2B เงื่อนไขเดียวกับผู้ป่วยอื่น ๆ
ที่มารักษาที่รามาธิบดี
การรักษาพยาบาล
General Data:
- Contract [PDPA ม.24 (3)]
- Vital Interest [PDPA ม.24 (2)]
Sensitive Data:
- Contract [PDPA ม.26 (5) (ก)
ส่วนท้าย]
- Legal Obligation (Health
Services) [PDPA ม.26 (5) (ก)]
ส่วนต้น (กรณีปฏิบัติตามกฎหมาย)
- Vital Interest [PDPA ม.26 (1)]
Clinic เป็นของนายจ้าง
นายจ้าง = Data Controller

4. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
Hospital
Insurance Company
Patient

5. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
Hospital
Insurance Company
Patient
2. เมื่อผู้ป่วยแจ้งขณะทา admit ว่าขอใช้
สิทธิประกันสุขภาพเอกชน รพ. ตรวจสอบ
รายชื่อผู้เอาประกันสุขภาพและรายละเอียด
กรมธรรม์ ณ ขณะทา admit
4. ส่งข้อมูลเกี่ยวกับการรักษาพยาบาลให้
บริษัทประกันสุขภาพ (Fax Claim) เพื่อ
เบิกค่ารักษาพยาบาลจากบริษัทประกัน
3. ให้ความยินยอมในการเปิดเผยข้อมูล
ให้บริษัทประกันสุขภาพ (Fax Claim)
ขณะทา admit
1. ทาสัญญากรมธรรม์ประกันสุขภาพ
0. ทาสัญญาเงินเชื่อค่ารักษาพยาบาลและ Fax Claim

6. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
บริษัทประกันสุขภาพ ส่งสัญญาคุ้มครองข้อมูลส่วนบุคคล ซึ่งอ้างอิงสัญญาเงินเชื่อค่ารักษาพยาบาล
และการเบิกจ่าย Fax Claim ที่โรงพยาบาลทากับบริษัทมาก่อนแล้ว มาให้ลงนามภายใน 1 เดือน
เนื้อหากาหนดว่า บริษัทประกันสุขภาพเป็นผู้ควบคุมข้อมูลส่วนบุคคล โรงพยาบาลเป็นผู้ประมวลผล
ข้อมูลส่วนบุคคล และกาหนดเงื่อนไขการคุ้มครองข้อมูลที่โรงพยาบาลได้รับจากบริษัท
ประเด็นที่ต้องพิจารณาตาม PDPA: รามาธิบดีควรลงนามในสัญญาคุ้มครองข้อมูลฯ ดังกล่าวหรือไม่
▪ มหาวิทยาลัยมหิดล (คณะแพทยศาสตร์ รพ.รามาธิบดี) และบริษัทประกันสุขภาพอยู่ในฐานะใด
▪ การเก็บรวบรวมข้อมูลส่วนบุคคลในแต่ละขั้นตอน สอดคล้องกับ PDPA หรือไม่
▪ หน้าที่ความรับผิดชอบของแต่ละฝ่ายตาม PDPA เป็นอย่างไร

7. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
Hospital
Insurance Company
Patient
2. เมื่อผู้ป่วยแจ้งขณะทา admit ว่าขอใช้
สิทธิประกันสุขภาพเอกชน รพ. ตรวจสอบ
รายชื่อผู้เอาประกันสุขภาพและรายละเอียด
กรมธรรม์ ณ ขณะทา admit
4. ส่งข้อมูลเกี่ยวกับการรักษาพยาบาลให้
บริษัทประกันสุขภาพ (Fax Claim) เพื่อ
เบิกค่ารักษาพยาบาลจากบริษัทประกัน
3. ให้ความยินยอมในการเปิดเผยข้อมูล
ให้บริษัทประกันสุขภาพ (Fax Claim)
ขณะทา admit
1. ทาสัญญากรมธรรม์ประกันสุขภาพ
0. ทาสัญญาเงินเชื่อค่ารักษาพยาบาลและ Fax Claim รามาธิบดี = Data Controller
ผู้ป่วย =
Data Subject
ผู้เอาประกัน =
Data Subject
บริษัทประกันสุขภาพ =
Data Controller

8. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
Hospital
Insurance Company
Patient
2. เมื่อผู้ป่วยแจ้งขณะทา admit ว่าขอใช้
สิทธิประกันสุขภาพเอกชน รพ. ตรวจสอบ
รายชื่อผู้เอาประกันสุขภาพและรายละเอียด
กรมธรรม์ ณ ขณะทา admit
4. ส่งข้อมูลเกี่ยวกับการรักษาพยาบาลให้
บริษัทประกันสุขภาพ (Fax Claim) เพื่อ
เบิกค่ารักษาพยาบาลจากบริษัทประกัน
3. ให้ความยินยอมในการเปิดเผยข้อมูล
ให้บริษัทประกันสุขภาพ (Fax Claim)
ขณะทา admit
1. ทาสัญญากรมธรรม์ประกันสุขภาพ
0. ทาสัญญาเงินเชื่อค่ารักษาพยาบาลและ Fax Claim รามาธิบดี = Data Controller
ผู้ป่วย =
Data Subject
ผู้เอาประกัน =
Data Subject
บริษัทประกันสุขภาพ =
Data Controller
1. การทาสัญญากรมธรรม์ประกันสุขภาพ
General Data:
- Contract [PDPA ม.24 (3)]
Sensitive Data:
- Consent [PDPA ม.26]
การรักษาพยาบาล
General Data:
- Contract [PDPA ม.24 (3)]
- Vital Interest [PDPA ม.24 (2)]
Sensitive Data:
- Contract [PDPA ม.26 (5) (ก)
ส่วนท้าย]
- Legal Obligation (Health
Services) [PDPA ม.26 (5) (ก)]
ส่วนต้น (กรณีปฏิบัติตามกฎหมาย)
- Vital Interest [PDPA ม.26 (1)]
2. การตรวจสอบรายชื่อผู้เอาประกันสุขภาพ
(เช่นเดียวกับการรักษาพยาบาล)
General Data:
- Contract [PDPA ม.24 (3)]
- Vital Interest [PDPA ม.24 (2)]
Sensitive Data:
- Contract [PDPA ม.26 (5) (ก) ส่วนท้าย]
- Legal Obligation (Health Services)
[PDPA ม.26 (5) (ก)] ส่วนต้น (กรณีปฏิบัติตาม
กฎหมาย)
- Vital Interest [PDPA ม.26 (1)]
4. การส่ง Fax Claim
General Data:
- Consent [PDPA ม.24]
Sensitive Data:
- Consent [PDPA ม.26]

9. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
หน้าที่ความรับผิดชอบของแต่ละฝ่ายตาม PDPA เป็นอย่างไร
หน้าที่ของ Data Controller

10. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
หน้าที่ความรับผิดชอบของแต่ละฝ่ายตาม PDPA เป็นอย่างไร
หน้าที่ของ Data Controller

11. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
หน้าที่ความรับผิดชอบของแต่ละฝ่ายตาม PDPA เป็นอย่างไร
หน้าที่ของ Data Processor

12. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
หน้าที่ความรับผิดชอบของแต่ละฝ่ายตาม PDPA เป็นอย่างไร
หน้าที่ของ Data Processor

13. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
หน้าที่ความรับผิดชอบของแต่ละฝ่ายตาม PDPA เป็นอย่างไร
• TDPG 1.0
• TDPG 2.0
• TDPG 3.0
• TDPG 3.1 for Investment Banking Activities
https://www.law.chula.ac.th/
wp-content/uploads/2020/12/
TDPG3.0-C5-20201208.pdf

14. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
หน้าที่ความรับผิดชอบของแต่ละฝ่ายตาม PDPA เป็นอย่างไร
TGPG 3.0 (คณะนิติศาสตร์ จุฬาฯ) หน้า 154-171
Data Subject
Data Controller
Data Processor
- Terms & Conditions (T&C)
( Service Contract)
- Privacy Notice [PDPA ม.23]
- Service Contract
- Data Processing Agreement
(DPA)

15. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
หน้าที่ความรับผิดชอบของแต่ละฝ่ายตาม PDPA เป็นอย่างไร
TGPG 3.0
(คณะนิติศาสตร์
จุฬาฯ)
หน้า 154-171

16. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
หน้าที่ความรับผิดชอบของแต่ละฝ่ายตาม PDPA เป็นอย่างไร
TGPG 3.0 (คณะนิติศาสตร์ จุฬาฯ) หน้า 154-171

17. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
หน้าที่ความรับผิดชอบของแต่ละฝ่ายตาม PDPA เป็นอย่างไร
TGPG 3.0 (คณะนิติศาสตร์ จุฬาฯ) หน้า 154-171

18. Scenario 2: Fax Claim ของบริษัทประกันสุขภาพ
หลักการในการพิจารณาเงื่อนไขใน Data Sharing Agreement
▪ ต่างฝ่ายต่างเป็น Data Controller จึงมีความสัมพันธ์ในลักษณะเทียบเท่ากัน (equal/reciprocal status)
▪ ต่างฝ่ายต่างต้องการกาหนดเงื่อนไขไม่ให้อีกฝ่ายใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับโดยปราศจากอานาจหรือโดยมิชอบ
หรือโดยผิดวัตถุประสงค์
▪ ต่างฝ่ายต่างต้องการปฏิเสธหรือจากัดความรับผิดชอบในกรณีที่อีกฝ่ายใช้หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับโดย
ปราศจากอานาจหรือโดยมิชอบ หรือโดยผิดวัตถุประสงค์ หรือมีมาตรการรักษาความมั่นคงปลอดภัยที่ไม่เหมาะสมหรือไม่
เพียงพอ หรือทาผิด PDPA
▪ ในกรณีที่ฝ่ายหนึ่งต้องรับผิดชอบความเสียหายจากการกระทาผิดหรือข้อบกพร่องของอีกฝ่ายหนึ่ง ฝ่ายนั้นต้องสามารถไล่
เบี้ยจากอีกฝ่ายที่กระทาผิดหรือบกพร่องได้
▪ เนื่องจากโรงพยาบาลใช้ฐาน consent ในการส่งข้อมูลให้บริษัทประกันสุขภาพ ดังนั้น โรงพยาบาลอาจขอ consent จาก
ผู้ป่วยเอง หรือหากมีโอกาสต้อง rely on consent ที่ผู้เอาประกันทากับบริษัทประกันสุขภาพแต่แรก (ถ้ามี) อาจต้อง
เจรจาให้มีเงื่อนไขในสัญญาที่ให้บริษัทประกันสุขภาพแสดงหลักฐาน consent และหากมีการเปิดเผยข้อมูลส่วนบุคคลโดย
ไม่มี valid consent ฝ่ายที่อ้างว่ามี consent จะต้องรับผิดชอบในความเสียหายและอาจถูกไล่เบี้ยได้