ประกาศความเป็นส่วนตัว (Privacy Notice)

ระบบบันทึกข้อมูลสุขภาพแรงงานข้ามชาติ
(Migrant Health Information System: MHIS)
ปรับปรุงล่าสุด: 11 กันยายน 2569

สถาบันป้องกันควบคุมโรคเขตเมือง กรมควบคุมโรค กระทรวงสาธารณสุข ตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลและเคารพสิทธิความเป็นส่วนตัวของเจ้าของข้อมูล จึงจัดทำประกาศความเป็นส่วนตัวฉบับนี้เพื่อแจ้งรายละเอียดเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ที่เกี่ยวข้องกับการใช้งานระบบ MHIS รวมถึงการพิสูจน์และยืนยันตัวตนผ่านแอปพลิเคชัน ThaID ของกรมการปกครอง โดยการดำเนินการจะเป็นไปตามกฎหมาย ระเบียบ หลักเกณฑ์ และมาตรการด้านความมั่นคงปลอดภัยที่เกี่ยวข้อง

1. ผู้ควบคุมข้อมูลส่วนบุคคล

2. ขอบเขตของประกาศความเป็นส่วนตัว

ประกาศฉบับนี้ใช้กับเจ้าหน้าที่สาธารณสุขและบุคลากรที่ได้รับอนุญาตให้ใช้งานระบบ MHIS เพื่อปฏิบัติงานตามภารกิจของหน่วยงาน โดยระบบ MHIS มิได้เปิดให้ประชาชนทั่วไปหรือผู้รับบริการเข้าใช้งานโดยตรง ทั้งนี้ การเชื่อมโยงกับระบบ ThaID จะเป็นไปตามขอบเขตที่กรมการปกครองอนุมัติ

3. ประเภทข้อมูลส่วนบุคคลที่อาจมีการประมวลผล

• ข้อมูลระบุตัวบุคคล เช่น เลขประจำตัวประชาชน (pid) และชื่อ-นามสกุลภาษาไทย (name) หรือข้อมูลชื่อที่ได้รับตามขอบเขตสิทธิที่ ThaID อนุญาต
• ข้อมูลการติดต่อและข้อมูลประกอบการรับบริการ เท่าที่จำเป็นต่อการลงทะเบียนและการประสานงาน
• ข้อมูลบัญชีและการปฏิบัติงาน เช่น หน่วยงานสังกัด ตำแหน่ง บทบาท และสิทธิการใช้งานระบบ
• ข้อมูลการใช้งานระบบ เช่น วันเวลาเข้าใช้งาน IP Address รหัสอ้างอิงธุรกรรม ประวัติการเข้าใช้งาน และบันทึกเหตุการณ์ด้านความมั่นคงปลอดภัย

ระบบ MHIS จะไม่ขอหรือจัดเก็บรหัสผ่านของแอปพลิเคชัน ThaID และจะใช้ข้อมูลจาก ThaID เฉพาะตามวัตถุประสงค์และขอบเขตที่ได้รับอนุญาต

4. วัตถุประสงค์ในการประมวลผลข้อมูล

• เพื่อพิสูจน์และยืนยันตัวตนของเจ้าหน้าที่สาธารณสุขผู้มีสิทธิใช้งานระบบ MHIS
• เพื่อสนับสนุนการเข้าสู่ระบบ การลงทะเบียนบัญชี การกู้คืนบัญชี และการปรับปรุงข้อมูลผู้ใช้งาน ตามขอบเขตที่กรมการปกครองอนุมัติ
• เพื่อเชื่อมโยงและตรวจสอบข้อมูลที่จำเป็นต่อการให้บริการอย่างถูกต้อง
• เพื่อรักษาความมั่นคงปลอดภัย ป้องกันการเข้าถึงโดยมิชอบ ตรวจสอบเหตุผิดปกติ และตรวจสอบย้อนหลัง
• เพื่อปฏิบัติตามกฎหมาย ระเบียบ คำสั่ง นโยบาย หรือหน้าที่ของหน่วยงานของรัฐที่เกี่ยวข้อง

5. ฐานกฎหมายในการประมวลผลข้อมูลส่วนบุคคล

หน่วยงานจะประมวลผลข้อมูลส่วนบุคคลโดยอาศัยฐานกฎหมายที่เหมาะสมกับแต่ละกิจกรรม รวมถึงการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะหรือการใช้อำนาจรัฐ การปฏิบัติตามกฎหมาย และฐานอื่นตามที่กฎหมายกำหนด สำหรับข้อมูลส่วนบุคคลที่มีความอ่อนไหว โดยเฉพาะข้อมูลสุขภาพ จะประมวลผลเฉพาะเมื่อมีฐานกฎหมายและเงื่อนไขที่กฎหมายอนุญาต

6. การพิสูจน์และยืนยันตัวตนผ่าน ThaID

เมื่อผู้ใช้งานเลือกพิสูจน์และยืนยันตัวตนผ่าน ThaID ผู้ใช้งานจะถูกนำไปดำเนินการยืนยันตัวตนในระบบที่กรมการปกครองกำหนด จากนั้นระบบ MHIS จะรับเฉพาะผลการยืนยันตัวตนหรือข้อมูลตามขอบเขตสิทธิที่ได้รับอนุญาต เพื่อนำมาใช้ประกอบการตรวจสอบตัวตนและสิทธิของเจ้าหน้าที่ในระบบ MHIS สำหรับการเข้าสู่ระบบ การลงทะเบียนบัญชี การกู้คืนบัญชี หรือการปรับปรุงข้อมูลผู้ใช้งาน ตามขอบเขตที่กรมการปกครองอนุมัติ ทั้งนี้ ระบบ MHIS จะไม่จัดเก็บรหัสผ่านของ ThaID

7. แหล่งที่มาของข้อมูลส่วนบุคคล

ข้อมูลส่วนบุคคลอาจได้รับจากเจ้าของข้อมูลโดยตรง จากเจ้าหน้าที่ผู้ให้บริการ จากระบบ ThaID ตามขอบเขตที่ได้รับอนุญาต หรือจากระบบ/หน่วยงานที่มีอำนาจหน้าที่และมีฐานกฎหมายรองรับ โดยจะใช้ข้อมูลเฉพาะเท่าที่จำเป็นต่อวัตถุประสงค์ที่กำหนด

8. การเปิดเผยหรือส่งต่อข้อมูลส่วนบุคคล

หน่วยงานอาจเปิดเผยหรือส่งต่อข้อมูลส่วนบุคคลเท่าที่จำเป็นแก่หน่วยงานของรัฐ ผู้ให้บริการระบบ ผู้ประมวลผลข้อมูลส่วนบุคคล หรือบุคคลที่มีอำนาจหน้าที่ตามกฎหมาย ภายใต้ข้อตกลง มาตรการรักษาความมั่นคงปลอดภัย และเงื่อนไขที่เหมาะสม โดยไม่มีนโยบายนำข้อมูลส่วนบุคคลไปจำหน่ายเพื่อประโยชน์ทางการค้า

9. ระยะเวลาในการเก็บรักษาข้อมูล

หน่วยงานจะเก็บรักษาข้อมูลส่วนบุคคลเท่าที่จำเป็นตามวัตถุประสงค์ ภารกิจของหน่วยงาน ระยะเวลาตามกฎหมาย อายุความ ตารางกำหนดอายุการเก็บเอกสาร และนโยบายการบริหารจัดการข้อมูลของหน่วยงาน เมื่อพ้นความจำเป็นจะดำเนินการลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ตามมาตรการที่เหมาะสม

10. มาตรการรักษาความมั่นคงปลอดภัย

หน่วยงานจัดให้มีมาตรการเชิงเทคนิคและเชิงบริหารที่เหมาะสมกับระดับความเสี่ยง เช่น HTTPS/TLS การควบคุมสิทธิ์ตามบทบาท การบันทึก Log การจำกัดสิทธิ์เข้าถึงฐานข้อมูล การสำรองข้อมูล การติดตามเหตุการณ์ผิดปกติ การจัดการบัญชีผู้ใช้งาน และการทบทวนมาตรการด้านความมั่นคงปลอดภัยเป็นระยะ

11. สิทธิของเจ้าของข้อมูลส่วนบุคคล

เจ้าของข้อมูลส่วนบุคคลอาจมีสิทธิตามกฎหมาย เช่น สิทธิขอเข้าถึงและขอรับสำเนา สิทธิขอแก้ไขข้อมูลให้ถูกต้อง สิทธิขอให้ลบหรือทำลาย สิทธิขอให้ระงับการใช้ สิทธิคัดค้าน สิทธิถอนความยินยอมในกรณีที่อาศัยความยินยอม และสิทธิอื่นตามที่กฎหมายกำหนด ทั้งนี้ การใช้สิทธิบางประการอาจมีข้อจำกัดตามกฎหมายหรืออำนาจหน้าที่ของหน่วยงาน

12. Cookies และข้อมูลทางเทคนิค

ระบบอาจใช้ Session Cookie หรือเทคโนโลยีที่จำเป็นต่อการทำงาน เพื่อรักษาสถานะการเข้าใช้งาน ป้องกันการปลอมแปลงคำขอ และรักษาความมั่นคงปลอดภัยของระบบ โดยจะใช้เท่าที่จำเป็นต่อการให้บริการ

13. การเปลี่ยนแปลงประกาศความเป็นส่วนตัว

หน่วยงานอาจทบทวนหรือปรับปรุงประกาศฉบับนี้ให้เหมาะสมกับกฎหมาย ภารกิจ เทคโนโลยี หรือการเปลี่ยนแปลงของระบบ โดยจะแสดงวันที่ปรับปรุงล่าสุดไว้บนหน้านี้

14. ช่องทางการติดต่อ