ข้อมูลบริการสุขภาพของไทย

ขอความยินยอมอย่างไร? ให้ถูกต้องตามกฎหมาย PDPA

•

กรณีมีความจำเป็นต้องเก็บรวบรวมข้อมูลส่วนบุคคล

โดยไม่มีฐานการประมวลผลอื่นตามมาตรา 24

ผู้ควบคุมต้องได้รับความยินยอมจากเจ้าของข้อมูล

ก่อนหรือขณะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลนั้น

โดยใช้แบบหรือข้อความที่เข้าใจง่าย แยกเป็นสัดส่วน ทำเป็นหนังสือหรือระบบอิเล็กทรอนิกส์ก็ได้

ต้องไม่เป็นการหลอกลวงหรือมีเงื่อนไขแอบแฝง

เพื่อประมวลผลข้อมูลที่ไม่จำเป็นหรือไม่เกี่ยวข้อง

•

สำคัญคือ เจ้าของข้อมูลต้องมีอิสระและทำโดยสมัครใจ สามารถเลือกได้ว่าจะให้ความยินยอมหรือปฎิเสธ

ทั้งนี้ แม้ให้ความยินยอมไปแล้ว เจ้าของข้อมูลก็สามารถถอนความยินยอมได้ เว้นแต่มีข้อจำกัดตามกฎหมาย โดยการถอนความยินยอมต้องสามารถทำได้ง่าย (เรียกได้ว่าง่ายเหมือนกับตอนให้ความยินยอม)

•

ดังนั้น จึงไม่ควรขอความยินยอมโดยไม่จำเป็น

ซึ่งจริง ๆ แล้ว การทำกิจกรรมส่วนใหญ่สามารถทำได้

โดยไม่ต้องขอความยินยอม เพราะมีเหตุอื่นให้ใช้ได้

เช่น การปฏิบัติตามสัญญา การปฏิบัติตามกฎหมาย

เพียงแต่ผู้ควบคุมข้อมูลมีหน้าที่ต้องแจ้ง ให้เจ้าของข้อมูลทราบถึงวัตถุประสงค์นั้น

•

ตัวอย่าง

การประมวลผลข้อมูลเพื่อซื้อขายสินค้า สามารถทำได้ตามฐานสัญญาโดยไม่ต้องขอความยินยอม แต่หากเสนอบริการเสริมเพิ่มเติม ที่ไม่เกี่ยวข้องกับสัญญาซื้อขายนั้น ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

•

และการขอความยินยอมจะต้องไม่แสร้งว่า

เป็นส่วนหนึ่งของสัญญาหรือเงื่อนไขในการให้บริการ

หรือทำให้เข้าใจผิดว่าหากไม่ให้ความยินยอมแล้ว

เจ้าของข้อมูลจะไม่ได้รับบริการนั้น ๆ

•

กรณีผู้ควบคุมมีการประมวลผลข้อมูลส่วนบุคคล หลายอย่างเพื่อวัตถุประสงค์เดียวกัน สามารถรวมอยู่ในความยินยอมครั้งเดียวได้ แต่หากใช้ข้อมูลส่วนบุคคลชุดเดียวกัน เพื่อประมวลผลหลายวัตถุประสงค์

ต้องให้เจ้าของข้อมูลมีทางเลือกได้ว่า ยินยอมสำหรับวัตถุประสงค์ใดบ้าง

•

เนื่องจากแต่ละองค์กรมีรูปแบบและลักษณะที่แตกต่างกัน รูปแบบการขอความยินยอมของแต่ละองค์กร จึงสามารถออกแบบและปรับให้เหมาะสมกับกิจกรรมการประมวลผลของตนได้

•

‼️ย้ำอีกครั้งว่าตามกฎหมาย PDPA ไม่ได้กำหนดให้ต้องขอความยินยอมในทุกกรณี หากวัตถุประสงค์การประมวลผลข้อมูล เข้าหลักการข้ออื่นโดยชอบด้วยกฎหมายแล้ว ก็ไม่ต้องนำเรื่องความยินยอมมาใช้