การเก็บรวบรวมข้อมูลส่วนบุคคล

1. บริษัทฯเก็บข้อมูลส่วนบุคคลของท่านเท่าที่จำเป็น ที่สามารถระบุตัวตนได้ทั้งทางตรงและทางอ้อม เพื่อประโยชน์ต่อท่านในระยะเวลาที่เหมาะสมจำเป็นต่อการให้บริการ ในกรณีที่ท่านเป็นผู้ให้ข้อมูลบริษัทฯ หรือร้องขอการบริการจากบริษัทฯ ผ่านช่องทางเว็บไซต์ หรือช่องทางอื่นใดของบริษัทฯ อาทิเช่น การนัดหมายแพทย์ การทำธุรกรรมแบบออนไลน์ การขอรับความช่วยเหลือพิเศษ รวมไปถึงการทำธุรกรรมแบบออฟไลน์ เช่น การลงทะเบียนผู้ป่วยที่เคาน์เตอร์ลงทะเบียนของโรงพยาบาล หรือจากความสมัครใจของท่านในการทำแบบสอบถาม (Survey) หรือการโต้ตอบทางจดหมายอิเล็กทรอนิกส์ (E-mail) หรือช่องทางการสื่อสารอื่น ๆ ระหว่างบริษัทฯและท่าน
2. บริษัทฯอาจได้รับข้อมูลส่วนบุคคลของท่านจากบุคคลที่สาม เช่น บุคคลในครอบครัวหรือบุคคลใกล้ชิดของท่าน ผู้ให้บริการของโรงพยาบาล หรือหน่วยงานภาครัฐ ในกรณีที่ท่านได้ให้ความยินยอมในการเปิดเผยข้อมูลดังกล่าวไว้ หรือเป็นการเปิดเผยตามที่กฎหมายกำหนด

ข้อมูลส่วนบุคคลที่โรงพยาบาลเก็บรวบรวม

ประเภทของข้อมูลส่วนบุคคลที่บริษัทฯเก็บรวบรวมจะขึ้นอยู่กับวัตถุประสงค์ในการประมวลผลข้อมูล ตามนโยบายความเป็นส่วนตัวนี้ ซึ่งเป็นข้อมูลส่วนบุคคลที่บริษัทฯเก็บรวบรวมโดยตรงจากท่าน หรือจากบุคคลที่สาม มีดังนี้

• ข้อมูลระบุตัวตน เช่น ชื่อ ภาพถ่าย เพศ วันเดือนปีเกิด หนังสือเดินทาง หมายเลขบัตรประชาชน หรือหมายเลขที่สามารถระบุตัวตนอื่น ๆ
• ข้อมูลสำหรับการติดต่อ เช่น ที่อยู่ หมายเลขโทรศัพท์ และ E-mail
• ข้อมูลการชำระเงิน เช่น ข้อมูลการเรียกเก็บเงิน ข้อมูลบัตรเครดิตหรือเดบิต และรายละเอียดบัญชีธนาคาร
• ข้อมูลการเข้ารับบริการ เช่น ข้อมูลการนัดหมายแพทย์ ข้อมูลส่วนบุคคลของญาติ ความต้องการเกี่ยวกับห้องพัก อาหาร และบริการเสริมอื่น ๆ
• ข้อมูลการเข้าร่วมกิจกรรมทางการตลาด เช่น ข้อมูลการลงทะเบียนเพื่อร่วมกิจกรรมกับบริษัทฯ
• ข้อมูลสถิติ เช่น จำนวนผู้ป่วย
• ข้อมูลจากการเข้าใช้เว็บไซต์ของบริษัทฯ เช่น Online Appointment System, Contact Us
• ข้อมูลด้านสุขภาพ รายงานที่เกี่ยวกับสุขภาพกายและสุขภาพจิต การดูแลสุขภาพของท่าน ผลการทดสอบจากห้องทดลอง ห้องปฏิบัติการ และการวินิจฉัย
• ข้อมูลที่เกี่ยวข้องกับการใช้ยาและการแพ้ยาของท่าน
• ข้อมูล Feedback และผลการรักษาที่ท่านให้ไว้
• บริษัทฯจะไม่เก็บและใช้ข้อมูลที่มีความละเอียดอ่อนของท่าน ได้แก่ เชื้อชาติ ความเชื่อทางศาสนา ประวัติอาชญากรรม เว้นแต่เป็นไปตามข้อบังคับและกฎหมายกำหนด หรือโดยความยินยอมของท่าน

วัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคล

1. วัตถุประสงค์เกี่ยวกับการให้บริการทางการแพทย์ ได้แก่
   • จัดหาบริการ หรือส่งมอบบริการของบริษัทฯ และการเข้าถึงบริการของท่าน ไม่ว่าทางออนไลน์หรือออฟไลน์
   • นัดหมายแพทย์ ส่งข่าวสาร และแนะนำบริการของโรงพยาบาล
   • การประสานงานและส่งต่อข้อมูลให้กับโรงพยาบาลในเครือข่าย และสถานพยาบาลอื่นซึ่งจะช่วยให้การส่งต่อผู้ป่วยมีความรวดเร็วขึ้น
   • การยืนยันตัวตนของผู้ป่วย
   • ส่งข้อความแจ้งเตือนการนัดหมายแพทย์ หรือการเสนอความช่วยเหลือจากบริษัทฯ
   • วัตถุประสงค์ทางบัญชีหรือทางการเงิน เช่น การตรวจสอบการชำระเงินผ่านบัตรเครดิต การเรียกเก็บเงิน และการตรวจสอบความถูกต้อง การขอคืนเงิน
   • รักษาความปลอดภัย รวมถึงความปลอดภัยขณะพักรักษาอยู่ในโรงพยาบาล
   • ปฏิบัติตามกฎของโรงพยาบาล
   • ปฏิบัติตามกฎหมาย ข้อกำหนด ระเบียบ ข้อบังคับ หรือการร้องขอใด ๆ จากหน่วยงานภาครัฐ เช่น การปฏิบัติตามหมายเรียกพยาน คำสั่งศาล หรือการร้องขออื่น ๆ ที่ถูกต้องตามกฎหมาย
   • วัตถุประสงค์อื่น ๆ ที่สนับสนุนการดำเนินการตามวัตถุประสงค์ข้างต้น หรือที่ได้รับความยินยอมจากท่านเป็นครั้งคราว
2. วัตถุประสงค์เกี่ยวกับการตลาดของบริษัทฯ ซึ่งบริษัทฯจะประมวลผลเพื่อวัตถุประสงค์เหล่านี้เฉพาะกรณีที่ท่านได้ให้ความยินยอมในการประมวลผลแก่บริษัทฯ ได้แก่
   • อำนวยความสะดวกและนำเสนอรายการสิทธิประโยชน์ต่าง ๆ
   • สำรวจความพึงพอใจของลูกค้า วิจัยตลาด และวิเคราะห์ทางสถิติ เพื่อเป็นข้อมูลในการปรับปรุงผลิตภัณฑ์และบริการ หรือสร้างสรรค์ผลิตภัณฑ์และบริการใหม่ ๆ
   • เพื่อเป็นช่องทางในการสื่อสาร ตอบคำถาม หรือตอบสนองข้อร้องเรียนที่เกี่ยวข้องกับการใช้บริการของบริษัทฯ เช่น ปัญหาการใช้บริการ เป็นต้น

บุคคลที่ข้อมูลส่วนบุคคลอาจถูกเปิดเผย

บริษัทฯอาจเปิดเผยหรือถ่ายโอนข้อมูลส่วนบุคคลของท่านไปยังบุคคลที่สาม ซึ่งอาจตั้งอยู่ภายในหรือนอกประเทศไทย ซึ่งเป็นประเทศที่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลอย่างเพียงพอ และเป็นไปตามหลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่กฎหมายกำหนด และบริษัทฯจะดำเนินมาตรการที่จำเป็นและเหมาะสม หรือเป็นไปตามข้อบังคับและกฎหมาย เพื่อวัตถุประสงค์ตามที่ระบุไว้ข้างต้น ให้แก่บุคคลดังต่อไปนี้

• โรงพยาบาลที่รับการส่งต่อผู้ป่วย ธุรกิจคู่ค้า และธุรกิจพันธมิตร
• ตัวแทน ผู้ให้บริการ หรือคู่ค้าที่ให้บริการแก่บริษัทฯ หรือดำเนินการใด ๆ ในฐานะตัวแทนของบริษัทฯ เช่น ผู้ให้บริการด้านเทคโนโลยีสารสนเทศ
• ธนาคาร และผู้ให้บริการชำระเงิน เช่น บริษัทบัตรเครดิตหรือเดบิต
• เจ้าหน้าที่ หรือหน่วยงานรักษาความมั่นคงและความปลอดภัย
• หน่วยงานภาครัฐ หน่วยงานกำกับดูแล และหน่วยงานอื่น ๆ ตามที่กฎหมายอนุญาตหรือกำหนดไว้

การเชื่อมโยงไปยังเว็บไซต์บุคคลที่สาม

เว็บไซต์ของบริษัทฯอาจมีลิงก์เชื่อมไปยังเว็บไซต์บุคคลที่สาม หากท่านไปตามลิงก์เหล่านี้ นโยบายความเป็นส่วนตัวนี้ไม่ครอบคลุมไปถึงเว็บไซต์ของบุคคลที่สาม ดังนั้น การที่บุคคลที่สามประมวลผลข้อมูลส่วนบุคคลของท่านจึงอยู่นอกเหนือการควบคุมของบริษัทฯ และโปรดทราบว่าบริษัทฯไม่มีส่วนเกี่ยวข้องและความรับผิดใด ๆ จากการกระทำของบุคคลที่สามดังกล่าว

การเก็บรักษาข้อมูลส่วนบุคคลและความปลอดภัย

บริษัทฯตระหนักถึงความสำคัญของการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของท่าน จึงกำหนดมาตรการในการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลอย่างเหมาะสม โดยชอบด้วยกฎหมายให้เป็นไปตามที่กำหนดนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ

ข้อมูลส่วนบุคคลของท่านจะถูกเก็บรักษาไว้นานเท่าที่จำเป็น เพื่อวัตถุประสงค์ต่าง ๆ ที่อธิบายไว้ในนโยบายความเป็นส่วนตัวนี้ หรือภายใต้ข้อบังคับของกฎหมาย หรือเพื่อการดำเนินการทางกฎหมาย เมื่อพ้นระยะเวลาดังกล่าวแล้ว หากท่านไม่แสดงความยินยอมให้บริษัทฯทำการประมวลผลข้อมูลส่วนบุคคลของท่านต่อไป บริษัทฯจะดำเนินการทำลายข้อมูลส่วนบุคคลนั้นตามขั้นตอนการทำลายข้อมูลของบริษัทฯ และจะดำเนินการให้เสร็จโดยไม่ชักช้า

บริษัทฯจะใช้มาตรการทางเทคนิคและการบริหารจัดการที่เหมาะสม เพื่อป้องกันและรักษาความปลอดภัยของข้อมูลส่วนบุคคลของท่านที่บริษัทฯเก็บรวบรวม และบริษัทฯจะจำกัดการเข้าถึงข้อมูลของท่าน ไม่ว่าที่จัดเก็บในระบบอินเทอร์เน็ตหรือในรูปแบบเอกสาร ไว้เฉพาะบุคลากรที่มีความจำเป็นต้องประมวลผลข้อมูลส่วนบุคคลนั้น และจัดเก็บในสถานที่ที่มีระบบป้องกันการเข้าถึงโดยจำกัด บุคคลที่สามารถเข้าถึงได้สำหรับข้อมูลส่วนบุคคลที่อยู่ในรูปแบบเอกสาร

ระยะเวลาเก็บรักษาข้อมูลส่วนบุคคล

1. บริษัทฯจะเก็บรวบรวมข้อมูลส่วนบุคคลของท่านตามระยะเวลาที่จำเป็น เพื่อบรรลุวัตถุประสงค์ที่กำหนดไว้สำหรับการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท โดยระยะเวลาเก็บรักษาข้อมูลส่วนบุคคลแต่ละประเภทจะแตกต่างกันไป โดยขึ้นอยู่กับวัตถุประสงค์ในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ๆ
2. บริษัทฯจะเก็บรักษาข้อมูลส่วนบุคคลตามระยะเวลา โดยคำนึงถึงกฎหมายที่เกี่ยวข้อง และโดยคำนึงถึงแนวปฏิบัติสำหรับแต่ละประเภทของข้อมูลส่วนบุคคล ซึ่งหลังจากพ้นกำหนดระยะเวลาดังกล่าวแล้ว โรงพยาบาลจะดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลนั้น ตามกระบวนการและภายในระยะเวลาที่กำหนดไว้ตามนโยบายของโรงพยาบาล

สิทธิของเจ้าของข้อมูลส่วนบุคคล

ท่านอาจติดต่อบริษัทฯ/เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล/เจ้าหน้าที่ที่เกี่ยวข้องเพื่อยื่นคำร้องขอดำเนินการใช้สิทธิของท่านดังต่อไปนี้

1. สิทธิการเข้าถึง ท่านมีสิทธิเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของท่าน หรือขอให้มีการเปิดเผยข้อมูลส่วนบุคคลของท่าน โดยแจ้งความประสงค์เป็นลายลักษณ์อักษรและส่งไปยังช่องทางที่ระบุไว้ในส่วนของ “ช่องทางการติดต่อบริษัทฯ” คำขอของท่านจะได้รับการพิจารณาภายในระยะเวลาที่กฎหมายกำหนด บริษัทฯอาจปฏิเสธที่จะปฏิบัติตามคำขอของท่านได้ในกรณีที่คำขอนั้นอาจมีผลกระทบต่อสิทธิและเสรีภาพของบุคคลอื่น ทั้งนี้เป็นไปตามที่กฎหมายกำหนดหรือโดยคำสั่งศาล
2. สิทธิการแก้ไขให้ถูกต้อง ท่านมีสิทธิขอให้มีการดำเนินการแก้ไขข้อมูลส่วนบุคคล ซึ่งบริษัทฯได้ประมวลผลเกี่ยวกับท่าน ให้สมบูรณ์ ถูกต้อง ไม่ก่อให้เกิดความเข้าใจผิด หรือเป็นปัจจุบัน
3. สิทธิการโอนย้ายข้อมูล ท่านอาจมีสิทธิขอรับข้อมูลส่วนบุคคลของท่านที่บริษัทฯมีอยู่ในรูปแบบอิเล็กทรอนิกส์ ที่มีการจัดเรียงแล้ว และส่งข้อมูลส่วนบุคคลนั้นไปยังผู้ควบคุมข้อมูลส่วนบุคคลรายอื่น ในกรณี (1) ข้อมูลส่วนบุคคลที่ท่านให้แก่บริษัทฯ และ (2) กรณีที่บริษัทฯประมวลผลข้อมูลนั้น โดยอาศัยฐานความยินยอมจากท่าน
4. สิทธิการคัดค้าน ท่านมีสิทธิคัดค้านการเก็บรวบรวม การใช้ หรือการเปิดเผยข้อมูลส่วนบุคคลของท่าน ซึ่งมีวัตถุประสงค์เพื่อบรรลุประโยชน์โดยชอบด้วยกฎหมายของบริษัทฯ (หรือของบุคคลอื่น) ได้ บริษัทฯอาจปฏิเสธที่จะปฏิบัติตามคำขอของท่านในกรณีที่บริษัทฯสามารถแสดงได้ว่ามีเหตุอันชอบด้วยกฎหมาย ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวซึ่งอาจสำคัญยิ่งกว่าประโยชน์ของท่าน หรือถ้าเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเป็นไป เพื่อก่อตั้งสิทธิเรียกร้องตามกฏหมายการปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฏหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฏหมาย
5. สิทธิการลบหรือทำลายข้อมูล ท่านมีสิทธิขอให้บริษัทฯดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลของท่าน หรือทำให้ข้อมูลส่วนบุคคลของท่านเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลได้ หากท่านเห็นว่า (1) ข้อมูลส่วนบุคคลนั้นหมดความจำเป็นสำหรับวัตถุประสงค์ที่ระบุไว้ในประกาศฉบับนี้แล้ว หรือ (2) ข้อมูลส่วนบุคคลของท่านได้ถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฏหมาย ทั้งนี้ บริษัทฯอาจปฏิเสธที่จะปฏิบัติตามคำขอให้ลบ หรือทำลายข้อมูลส่วนบุคคลของท่าน เพื่อการก่อตั้งสิทธิเรียกร้องตามกฏหมายการปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฏหมาย การยกขึ้นต่อสู้สิทธิเรียกร้องตามกฏหมาย หรือารปฏิบัติตามกกหมาย
6. สิทธิการจำกัดการประมวลผล ท่านมีสิทธิขอให้บริษัทฯระงับการใช้ข้อมูลส่วนบุคคลของท่าน หากท่านเห็นว่าบริษัทฯหมดความจำเป็นในการรักษาข้อมูลส่วนบุคคลนั้นเพื่อวัตถุประสงค์ตามที่ระบุในประกาศฉบับนี้แล้ว แต่ท่านยังต้องการให้เก็บรักษาข้อมูลส่วนบุคคลนั้นไว้เพื่อการก่อตั้งสิทธิเรียกร้องตามกฏหมายการปฏิบัติตามหรือการใช้สิทธิเรียร้องตามกฏหมายการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฏหมาย หรือการปฏิบัติตามกฎหมาย
7. สิทธิการถอดถอนความยินยอม ในกรณีที่ท่านได้ยินยอมให้บริษัทฯเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของท่าน ท่านมีสิทธิถอนความยินยอมนั้นได้ ณ เวลาใดก็ได้
8. สิทธิการยื่นเรื่องร้องเรียน ท่านมีสิทธิยื่นเรื่องร้องเรียนบริษัทฯต่อหน่วยงานกำกับดูแลการคุ้มครองข้อมูลส่วนบุคคลได้ หากท่านเห็นว่าบริษัทฯฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

ช่องทางการติดต่อบริษัทฯ

การเปลี่ยนแปลงนโยบายความเป็นส่วนตัว

Collection of Personal Data

1. We collect only the Personal Data that is necessary to identify you, either directly or indirectly, for your benefit and only for the period reasonably necessary for providing our services In the event that you provide us with information or request services from us through our website or any other communication channels, such as making a medical appointment, conducting online transactions, requesting special assistance, as well as conducting offline transactions, such as registering as a patient at the hospital registration counter, or voluntarily participating in surveys, corresponding via electronic mail (E-mail), or through other communication channels between you and us.
2. We may receive your Personal Data from third parties, such as your family members or persons closely associated with you, healthcare service providers, or government authorities, where you have given your consent for such disclosure or where such disclosure is permitted or required by applicable law.

Personal Data Collected by the Hospital

The categories of Personal Data we collect depend on the purposes of processing as set out in this Privacy Notice. Such Personal Data may be collected directly from you or obtained from third parties, and may include the following:

• Identification Information, such as your name, photograph, gender, date of birth, passport, national identification card number, or any other identifying number.
• Contact Information, such as your address, telephone number, and email address.
• Payment Information, such as billing information, credit or debit card information, and bank account details.
• Service Information, such as physician appointment information, your relatives' personal information, room preferences, dietary requirements, and other additional services.
• Marketing Participation Information, such as information provided when you register to participate in our activities.
• Statistical Information, such as the number of patients.
• Information obtained through the use of our website, such as the Online Appointment System and Contact Us services.
• Health Information, including reports relating to your physical and mental health, healthcare records, laboratory test results, and medical diagnoses.
• Information relating to your medication use and drug allergies.
• Feedback and treatment outcome information provided by you.
• We will not collect or use your Sensitive Personal Data, including information relating to your race, religious beliefs, or criminal records, unless such collection or use is permitted or required by applicable laws and regulations, or with your explicit consent.

Purposes of Processing Personal Data

We may process your Personal Data based on your consent, for the performance of a contract between you and us, or where necessary for our legitimate interests, for the following purposes:

1. Purposes relating to the provision of medical services
   • To provide and deliver our services, and to facilitate your access to our services, whether online or offline.
   • To schedule appointments with physicians, send notifications, and provide information regarding the Hospital's services.
   • To coordinate and transfer information to hospitals within our network and other healthcare facilities in order to facilitate timely patient referrals.
   • To verify the identity of patients.
   • To send appointment reminders or offer assistance relating to our services.
   • For accounting and financial purposes, including credit card payment verification, billing, payment reconciliation, and refund processing.
   • To ensure safety and security, including your safety and security during your stay at the Hospital.
   • To enforce and comply with the Hospital's rules and regulations.
   • To comply with applicable laws, regulations, rules, requirements, or lawful requests from government authorities, including compliance with witness summonses, court orders, or any other lawful requests.
   • For any other purposes that support the above purposes or for which you have provided your consent from time to time.
2. Marketing Purposes

   We will process your Personal Data for the following marketing purposes only where you have given your consent:

   • To facilitate and provide information regarding promotional campaigns, privileges, and benefits.
   • To conduct customer satisfaction surveys, market research, and statistical analysis for the purpose of improving our existing products and services or developing new products and services.
   • To provide a channel for communication, respond to your inquiries, and address complaints relating to the use of our services, such as service-related issues.

Persons to Whom Personal Data May Be Disclosed

We may disclose or transfer your personal data to third parties located in Thailand or overseas, provided that such countries have adequate standards of personal data protection and comply with the personal data protection requirements prescribed by applicable law. We will implement the necessary and appropriate measures, or otherwise comply with applicable laws and regulations, in connection with such disclosure or transfer for the purposes set out above. Your personal data may be disclosed or transferred to the following parties:

• Hospitals to which patients are referred, as well as our business partners and affiliated business partners.
• Agents, service providers, or business partners who provide services to us or perform any activities on our behalf, such as information technology (IT) service providers.
• Banks and payment service providers, such as credit card or debit card companies.
• Security personnel or security service providers.
• Government authorities, regulatory authorities, and other organizations, where permitted or required by applicable law.

Links to Third-Party Websites

Our website may contain links to third-party websites. If you choose to access such websites through these links, please note that this Privacy Notice does not apply to those third-party websites. Accordingly, the processing of your Personal Data by such third parties is beyond our control. Please also note that we are not involved in and assume no responsibility for any actions of such third parties.

Retention of Personal Data and Data Security

We recognize the importance of maintaining the security of your Personal Data. Accordingly, we have implemented appropriate and lawful security measures to protect your Personal Data in accordance with our information technology security policies and practices.

Your Personal Data will be retained only for as long as necessary to fulfill the purposes described in this Privacy Notice, or as required by applicable laws, or for legal proceeding. Upon the expiration of the applicable retention period, if you do not provide your consent for us to continue processing your Personal Data, we will securely destroy such Personal Data in accordance with our data destruction procedures and without undue delay.

We implement appropriate technical and organizational measures to protect the Personal Data we collect. Access to your Personal Data, whether stored in electronic systems or in physical documents, is restricted solely to personnel who have a need to process such Personal Data. Physical records containing Personal Data are stored in secure locations with access limited to authorized personnel only.

Personal Data Retention Period

1. We will retain your Personal Data only for as long as necessary to fulfill the purposes for which each category of Personal Data was collected. The retention period for each category of Personal Data may vary depending on the purpose for which such Personal Data is collected, used, or disclosed.
2. We will retain your Personal Data in accordance with applicable laws and relevant retention practices for each category of Personal Data. Upon the expiration of the applicable retention period, the Hospital will delete or destroy such Personal Data in accordance with the Hospital's procedures and within the retention period specified in the Hospital's policy.

Rights of the Data Subject

You may contact us, our Data Protection Officer, or the relevant personnel to submit a request to exercise your rights as follows:

1. Right of Access
   You have the right to access and obtain a copy of your Personal Data, or to request the disclosure of your Personal Data, by submitting a written request through the contact channels specified under " Contact Us." Your request will be considered within the period prescribed by applicable law. We may refuse to comply with your request where such request may adversely affect the rights and freedoms of other persons, as required by applicable law or by a court order.
2. Right to Rectification
   You have the right to request that we rectify your Personal Data that we process so that it is complete, accurate, up to date, and not misleading.
3. Right to Data Portability
   You may have the right to receive your Personal Data that we hold in a structured electronic format and to transmit such Personal Data to another data controller, where: (1) you have provided the Personal Data to us; and (2) we process such Personal Data on the basis of your consent.
4. Right to Object
   You have the right to object to the collection, use, or disclosure of your Personal Data where such processing is carried out for our legitimate interests (or those of a third party). We may refuse to comply with your request if we are able to demonstrate compelling legitimate grounds for collecting, using, or disclosing such Personal Data that override your interests, or where such processing is necessary for the establishment, exercise, or defense of legal claims.
5. Right to Erasure or Destruction
   You have the right to request that we erase, destroy, or anonymize your Personal Data if: such (1) Personal Data is no longer necessary for the purposes specified in this Privacy Notice; or (2) your Personal Data has been collected, used, or disclosed unlawfully. However, we may refuse your request where the retention of such Personal Data is necessary for the establishment, exercise, or defense of legal claims, or for compliance with applicable law.
6. Right to Restrict Processing
   You have the right to request that we suspend the processing of your Personal Data if you believe that we no longer need to retain such Personal Data for the purposes specified in this Privacy Notice, but you still require us to retain it for the establishment, exercise, or defense of legal claims, or for compliance with applicable law.
7. Right to Withdraw Consent
   Where you have given your consent for us to collect, use, or disclose your Personal Data, you have the right to withdraw such consent at any time.
8. Right to Lodge a Complaint
   You have the right to lodge a complaint with the competent Personal Data Protection supervisory authority if you believe that we have violated or failed to comply with the applicable Personal Data Protection laws.

Contact Information

หมวดที่ 1 การคุ้มครองข้อมูลส่วนบุคคลและความลับของผู้รับบริการ

ข้อ 1 คำนิยาม

• “สื่อสังคมออนไลน์ (Social Media)” หมายถึง สื่อหรือช่องทางดิจิทัลที่ใช้ในการสื่อสาร แลกเปลี่ยน ส่งต่อ เผยแพร่ หรือแสดงความคิดเห็นต่อบุคคล กลุ่มบุคคล หรือสาธารณะ ผ่านเว็บไซต์ โปรแกรมประยุกต์ หรือระบบสารสนเทศที่เชื่อมต่อกับเครือข่ายอินเทอร์เน็ต เช่น LINE, Facebook, Messenger, Instagram, TikTok, YouTube, X และสื่อสังคมออนไลน์อื่นในลักษณะเดียวกัน
• “ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
• “ข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Personal Data)” หมายถึง ข้อมูลส่วนบุคคลตามที่กำหนดไว้ในมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งรวมถึงข้อมูลสุขภาพ ประวัติการรักษาพยาบาล และข้อมูลอื่นที่เข้าลักษณะตามที่กฎหมายกำหนด ทั้งนี้ การพิจารณาว่าข้อมูลใดเป็นข้อมูลส่วน บุคคลที่มีความอ่อนไหว ให้เป็นไปตามกฎหมายและหลักเกณฑ์ที่เกี่ยวข้อง
• “บุคลากร” หมายถึง ผู้บริหาร แพทย์ ทันตแพทย์ พยาบาล เภสัชกร เจ้าหน้าที่ ลูกจ้าง ผู้ปฏิบัติงาน นักศึกษาฝึกงาน ผู้รับจ้าง และบุคคลอื่นที่ปฏิบัติงานให้โรงพยาบาลตามความสัมพันธ์หรือหน้าที่ที่โรงพยาบาลกำหนด

ข้อ 2 การรักษาความลับและการคุ้มครองข้อมูลส่วนบุคคล

บุคลากรต้องรักษาความลับและคุ้มครองข้อมูลส่วนบุคคลของผู้รับบริการ บุคลากร และบุคคลอื่นที่โรงพยาบาลมีหน้าที่เก็บรวบรวม ใช้ หรือเปิดเผยอย่างเคร่งครัด ห้ามบุคลากรนำข้อมูลส่วนบุคคลไปใช้ เปิดเผย เผยแพร่ ส่งต่อ ทำซ้ำ หรือดำเนินการอื่นใดผ่านสื่อสังคมออนไลน์ เว้นแต่มีฐานทางกฎหมายที่เหมาะสมและการดำเนินการดังกล่าวอยู่ภายในขอบเขตหน้าที่ อำนาจ วัตถุประสงค์ และมาตรการที่โรงพยาบาลกำหนด โดยเฉพาะข้อมูลสุขภาพ ประวัติการรักษาพยาบาล ผลการตรวจวินิจฉัย เวชระเบียน ภาพถ่ายทางการแพทย์ ภาพถ่ายผู้รับบริการ ข้อมูลการนัดหมาย เลขที่ผู้ป่วย และข้อมูลอื่นใด ที่สามารถระบุตัวผู้รับบริการได้ทั้งทางตรงหรือทางอ้อม

ข้อ 3 การเผยแพร่ภาพถ่าย วิดีโอ และข้อมูลของผู้รับบริการ

ห้ามบุคลากรเผยแพร่หรือส่งต่อภาพถ่าย วิดีโอ เสียง เอกสาร เวชระเบียน ผลตรวจ ภาพทางการแพทย์ หรือข้อมูลอื่นใดของผู้รับบริการผ่านสื่อสังคมออนไลน์ เว้นแต่มีฐานทางกฎหมายที่เหมาะสม และดำเนินการภายในขอบเขตหน้าที่ อำนาจ วัตถุประสงค์ และมาตรการที่โรงพยาบาลกำหนด

กรณีมีความจำเป็นต้องนำข้อมูลหรือภาพของผู้รับบริการไปใช้เพื่อการศึกษา วิจัย การฝึกอบรม การประชาสัมพันธ์ หรือวัตถุประสงค์อื่นที่ต้องได้รับความยินยอมตามกฎหมาย ต้องดำเนินการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อน และต้องแจ้งวัตถุประสงค์และรายละเอียดที่เกี่ยวข้องให้เจ้าของข้อมูลส่วนบุคคลทราบตามที่กฎหมายกำหนด

การปกปิดหรือเบลอข้อมูลระบุตัวบุคคลเพียงบางส่วน เช่น ชื่อ ใบหน้า ดวงตา หมายเลขผู้ป่วย หรือข้อมูลอื่นใด ไม่ถือเป็นการทำให้ข้อมูลดังกล่าวพ้นจากการเป็นข้อมูลส่วนบุคคลโดยอัตโนมัติ หากยังสามารถเชื่อมโยงหรือระบุตัวบุคคลได้ไม่ว่าทางตรงหรือทางอ้อม บุคลากรต้องประเมินความสามารถในการระบุตัวบุคคลและความเสี่ยงก่อนนำข้อมูลไปใช้หรือเผยแพร่ทุกครั้ง

ข้อ 4 การใช้บัญชีสื่อสังคมออนไลน์ส่วนบุคคล

บุคลากรไม่ควรใช้บัญชีสื่อสังคมออนไลน์ส่วนบุคคลเป็นช่องทางหลักในการติดต่อ สื่อสาร หรือให้บริการทางการแพทย์แก่ผู้รับบริการ โดยเฉพาะการรับ ส่ง หรือแลกเปลี่ยนข้อมูลสุขภาพ เวชระเบียน ผลการตรวจ หรือข้อมูลส่วนบุคคลที่มีความอ่อนไหว เว้นแต่โรงพยาบาลได้อนุญาตและกำหนดมาตรการที่เหมาะสม ในการคุ้มครองข้อมูลส่วนบุคคลและรักษาความมั่นคงปลอดภัยของข้อมูล

การสื่อสารกับผู้รับบริการเกี่ยวกับการรักษาพยาบาล การนัดหมาย ผลการตรวจ หรือข้อมูลสุขภาพ ให้ดำเนินการผ่านระบบหรือช่องทางที่โรงพยาบาลกำหนดหรืออนุมัติ และต้องปฏิบัติตามมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลและแนวทางปฏิบัติที่โรงพยาบาลกำหนด

หมวดที่ 2 การใช้สื่อสังคมออนไลน์และระบบสื่อสารภายในโรงพยาบาล

ข้อ 5 ความรับผิดชอบกรณีการเปิดเผยข้อมูลผ่าน LINE หรือสื่อสังคมออนไลน์

ข้อมูลส่วนบุคคล ข้อมูลสุขภาพ ข้อความ ภาพถ่าย เอกสาร หรือข้อมูลอื่นใดที่บุคลากรได้รับหรือเข้าถึงจากการปฏิบัติหน้าที่ผ่าน LINE Group หรือสื่อสังคมออนไลน์ของโรงพยาบาล บุคลากรต้องใช้หรือเปิดเผยเฉพาะเท่าที่จำเป็นและสอดคล้องกับวัตถุประสงค์ในการปฏิบัติงาน ตลอดจนต้องปฏิบัติตามกฎหมาย นโยบาย และมาตรการคุ้มครองข้อมูลส่วนบุคคลของโรงพยาบาลอย่างเคร่งครัด

การที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอมในการเปิดเผยข้อมูลผ่าน LINE หรือสื่อสังคมออนไลน์ ไม่ถือเป็นการอนุญาตให้บุคลากรนำข้อมูลดังกล่าวไปใช้หรือเปิดเผยต่อในวัตถุประสงค์อื่น นอกเหนือจากวัตถุประสงค์ ขอบเขต หรือเงื่อนไขที่เจ้าของข้อมูลส่วนบุคคลได้รับทราบและให้ความยินยอมไว้ ทั้งนี้ การใช้หรือเปิดเผยข้อมูลส่วนบุคคลต้องมีฐานทางกฎหมายและเป็นไปตามหลักเกณฑ์ที่กฎหมายกำหนด

ในกรณีที่บุคลากรนำข้อมูลส่วนบุคคลหรือข้อมูลที่เป็นความลับไปใช้ เปิดเผย ส่งต่อ เผยแพร่ หรือแสวงหาประโยชน์โดยไม่ได้รับอนุญาต หรือฝ่าฝืนนโยบาย ระเบียบ หรือมาตรการของโรงพยาบาล และการกระทำดังกล่าวก่อให้เกิดความเสียหาย บุคลากรผู้กระทำอาจต้องรับผิดเป็นการเฉพาะตัวตามกฎหมาย ระเบียบ ข้อบังคับ หรือสัญญาที่เกี่ยวข้อง

บุคลากรต้องตรวจสอบผู้รับ กลุ่มสนทนา บัญชีผู้ใช้งาน ไฟล์หรือข้อมูลที่แนบ และความถูกต้องของข้อมูลก่อนส่งทุกครั้ง โดยเฉพาะข้อมูลส่วนบุคคลและข้อมูลสุขภาพ หากส่งข้อมูลผิดบุคคล ผิดกลุ่ม หรือผิดช่องทาง ให้ถือเป็นเหตุการณ์ที่ต้องรายงานตามกระบวนการจัดการเหตุละเมิดข้อมูลส่วนบุคคลของโรงพยาบาลโดยไม่ชักช้า

ทั้งนี้โรงพยาบาลจะไม่มีส่วนรับผิดต่อการกระทำหรือความผิดนั้น ๆ กรณีการละเมิดข้อมูลส่วนบุคคลผ่าน LINE หรือสื่อสังคมออนไลน์ ให้พิจารณาความรับผิดตามข้อเท็จจริงและบทบาทของแต่ละฝ่าย โดยรวมถึงกรณีต่อไปนี้

1. การละเมิดจากบุคลากรภายในโรงพยาบาล — กรณีโรงพยาบาลจัดให้มี LINE Group หรือช่องทางสื่อสารภายในเพื่อใช้ในการปฏิบัติงาน และบุคลากรนำ ข้อมูลส่วนบุคคล ข้อมูลสุขภาพ ข้อความสนทนา รูปภาพ เอกสาร หรือข้อมูลอื่นที่ได้รับหรือเข้าถึงจากช่องทาง ดังกล่าวไปเปิดเผย ส่งต่อ เผยแพร่ หรือใช้เพื่อประโยชน์ส่วนตนหรือประโยชน์ของบุคคลอื่นโดยไม่ได้รับอนุญาต หรือ เกินขอบเขตหน้าที่และอำนาจที่ได้รับ บุคลากรผู้กระทำอาจต้องรับผิดตามกฎหมาย ระเบียบ ข้อบังคับ หรือสัญญาที่ เกี่ยวข้อง รวมถึงอาจถูกดำเนินการทางวินัยตามระเบียบของโรงพยาบาล ทั้งนี้ โรงพยาบาลจะดำเนินการตรวจสอบข้อเท็จจริง ประเมินเหตุละเมิด และพิจารณาหน้าที่ และความรับผิดของโรงพยาบาลและบุคลากรแต่ละรายตามบทบาท หน้าที่ อำนาจ และข้อเท็จจริงของเหตุการณ์
2. การละเมิดระหว่างองค์กรหรือระหว่างหน่วยงาน — กรณีมีการสื่อสารหรือแลกเปลี่ยนข้อมูลส่วนบุคคลระหว่างโรงพยาบาลหรือสถานพยาบาลกับหน่วยงานหรือ องค์กรอื่นผ่าน LINE Group หรือสื่อสังคมออนไลน์ และเกิดการเข้าถึง ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่ชอบ ด้วยกฎหมายให้โรงพยาบาลดำเนินการตรวจสอบข้อเท็จจริงและพิจารณาบทบาทของแต่ละฝ่ายว่าเป็นผู้ควบคุมข้อมูล ส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล หรือบุคคลที่ได้รับมอบหมายหรือได้รับอนุญาตให้เข้าถึงข้อมูล แล้วแต่กรณี ผู้ที่กระทำการเปิดเผยหรือใช้ข้อมูลโดยไม่มีอำนาจหรือเกินขอบเขตหน้าที่ อาจต้องรับผิดตามกฎหมายที่ เกี่ยวข้องเป็นการเฉพาะตัว แล้วแต่กรณี ทั้งนี้ ไม่ตัดหน้าที่หรือความรับผิดของโรงพยาบาลหรือหน่วยงานที่เกี่ยวข้อง ในส่วนที่กฎหมายกำหนด
3. การละเมิดจากบุคคลภายนอกหรือบุคลากรที่พ้นสภาพการปฏิบัติงาน — กรณีบุคลากรพ้นจากหน้าที่ หรือสิ้นสุดการปฏิบัติงานแล้ว แต่ยังสามารถเข้าถึง LINE Group ระบบสารสนเทศ หรือช่องทางสื่อสารของโรงพยาบาล และนำข้อมูลส่วนบุคคล ข้อมูลสุขภาพ ข้อความ รูปภาพ เอกสาร หรือข้อมูลอื่นไปเปิดเผย ส่งต่อ หรือเผยแพร่โดยไม่ได้รับอนุญาต บุคคลดังกล่าวอาจต้องรับผิดตามกฎหมายและข้อกำหนดที่เกี่ยวข้องเป็นการเฉพาะตัว โรงพยาบาลต้องดำเนินการยกเลิกหรือระงับสิทธิการเข้าถึงของบุคลากรที่พ้นสภาพการปฏิบัติงานโดยเร็ว และเมื่อพบเหตุหรือมีเหตุอันควรสงสัยว่าเกิดการละเมิดข้อมูลส่วนบุคคล ต้องดำเนินการตรวจสอบ ประเมิน ความเสี่ยง ระงับหรือจำกัดผลกระทบ เก็บรักษาหลักฐานและดำเนินการตามกระบวนการจัดการเหตุละเมิดข้อมูล ส่วนบุคคลของโรงพยาบาลและตามที่กฎหมายกำหนด
4. การละเมิดจากบุคคลภายนอก — กรณีบุคคลภายนอกที่ไม่ได้รับอนุญาตให้เข้าถึงข้อมูลส่วนบุคคลของโรงพยาบาลสามารถเข้าถึง นำไปใช้ เปิดเผยหรือเผยแพร่ข้อมูลส่วนบุคคลโดยมิชอบ โรงพยาบาลต้องดำเนินการตามมาตรการรักษาความมั่นคงปลอดภัยและกระบวนการจัดการเหตุละเมิดข้อมูลส่วนบุคคลที่กำหนดไว้ รวมทั้งประเมินสาเหตุและดำเนินการแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือแจ้งเจ้าของข้อมูลส่วนบุคคล แล้วแต่กรณี เมื่อเข้าหลักเกณฑ์และภายในระยะเวลาที่กฎหมายกำหนด ทั้งนี้ การพิจารณาหน้าที่และความรับผิดของบุคลากร โรงพยาบาล หรือบุคคลที่เกี่ยวข้อง ให้พิจารณาจากข้อเท็จจริง พฤติการณ์ เจตนา หรือระดับความประมาท บทบาท หน้าที่และอำนาจในการควบคุมหรือเข้าถึงข้อมูล ตลอดจนกฎหมาย ระเบียบ ข้อบังคับ มาตรการรักษาความมั่นคงปลอดภัย และสัญญาที่เกี่ยวข้อง แล้วแต่กรณี

ข้อ 6 การรักษาความมั่นคงปลอดภัยของบัญชีผู้ใช้งาน

บุคลากรต้องรักษาชื่อผู้ใช้งาน รหัสผ่าน รหัสยืนยันตัวตน และข้อมูลสำหรับเข้าถึงระบบสื่อสารหรือระบบสารสนเทศของโรงพยาบาลเป็นความลับ ห้ามเปิดเผยรหัสผ่านให้บุคคลอื่นใช้บัญชีผู้ใช้งานของตน หรือปล่อยให้บุคคลอื่นสามารถเข้าถึงบัญชีผู้ใช้งานหรืออุปกรณ์ที่ใช้เข้าถึงข้อมูลของโรงพยาบาลโดยไม่ได้รับอนุญาต หากพบหรือสงสัยว่าบัญชีผู้ใช้งาน อุปกรณ์ หรือระบบของโรงพยาบาลถูกเข้าถึงหรือใช้งานโดยไม่ได้รับอนุญาต ต้องแจ้งผู้บังคับบัญชา หน่วยงานที่รับผิดชอบด้านเทคโนโลยีสารสนเทศ หรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) ตามช่องทางที่โรงพยาบาลกำหนดโดยทันที

ข้อ 7 การใช้ข้อมูลตามวัตถุประสงค์และเท่าที่จำเป็น

บุคลากรต้องใช้หรือเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็นและสอดคล้องกับวัตถุประสงค์ในการปฏิบัติงาน อยู่ภายในขอบเขตหน้าที่และอำนาจที่ได้รับมอบหมาย และต้องไม่ใช้หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อประโยชน์ส่วนตนหรือเพื่อวัตถุประสงค์อื่นที่ไม่เกี่ยวข้องกับหน้าที่ เว้นแต่มีฐานทางกฎหมายที่เหมาะสม หรือได้รับอนุญาตตามที่กฎหมายกำหนด

หมวดที่ 3 การบริหารจัดการช่องทางสื่อสารทางการของโรงพยาบาล

ข้อ 8 การจัดทำ Official Page หรือ Account

การจัดทำ Page, Group, Account เว็บไซต์ หรือช่องทางสื่อสังคมออนไลน์ใด ๆ ในนามของโรงพยาบาลหรือหน่วยงานภายในโรงพยาบาล ต้องได้รับอนุมัติจากผู้มีอำนาจตามที่โรงพยาบาลกำหนดก่อนดำเนินการ ต้องกำหนดผู้รับผิดชอบและผู้ดูแลระบบอย่างชัดเจน รวมทั้งกำหนดสิทธิการเข้าถึงให้เหมาะสมกับหน้าที่และความรับผิดชอบ เมื่อบุคลากรพ้นจากหน้าที่ เปลี่ยนตำแหน่ง โอนย้าย ลาออก สิ้นสุดการจ้าง หรือสิ้นสุดสิทธิในการเข้าถึงข้อมูลหรือระบบของโรงพยาบาล โรงพยาบาลต้องดำเนินการทบทวน ปรับเปลี่ยน ระงับหรือเพิกถอนสิทธิการเข้าถึงที่เกี่ยวข้องโดยเร็วตามความเหมาะสม

การปรับเปลี่ยน ระงับ หรือเพิกถอนสิทธิให้ครอบคลุมถึงบัญชีผู้ใช้งาน กลุ่มสนทนา (Group) Page บัญชี Social Media ระบบ Cloud อีเมล LINE Application, VPN และระบบสารสนเทศหรือช่องทางอื่นของโรงพยาบาลที่บุคลากรมีสิทธิในการเข้าถึง ทั้งนี้ ให้ดำเนินการตามกระบวนการควบคุมสิทธิการเข้าถึงของโรงพยาบาล

บุคลากรที่พ้นจากหน้าที่ต้องส่งคืนหรือส่งมอบอุปกรณ์ บัญชี สิทธิการเข้าถึง ข้อมูล และทรัพย์สินดิจิทัลของโรงพยาบาลที่อยู่ในความครอบครองหรือความรับผิดชอบของตน และต้องไม่เก็บรักษา คัดลอก ใช้ หรือเข้าถึงข้อมูลหรือระบบของโรงพยาบาลภายหลังสิ้นสุดสิทธิ เว้นแต่ได้รับอนุญาตจากโรงพยาบาลหรือมีหน้าที่ตามกฎหมาย

ข้อ 9 การเผยแพร่ข้อมูลในนามโรงพยาบาล

การเผยแพร่ข่าวสาร ประชาสัมพันธ์ ความรู้ทางการแพทย์ ภาพถ่ายกิจกรรม หรือข้อมูลอื่นใดในนามของโรงพยาบาล ต้องผ่านการตรวจสอบและได้รับอนุมัติตามขั้นตอนที่โรงพยาบาลกำหนดก่อนเผยแพร่ ผู้เผยแพร่ต้องตรวจสอบความถูกต้อง ความเหมาะสม สิทธิหรืออำนาจในการนำข้อมูลมาใช้ และต้องไม่เปิดเผยข้อมูลส่วนบุคคลหรือข้อมูลที่เป็นความลับ โดยไม่ได้รับอนุญาตหรือไม่มีฐานทางกฎหมายรองรับ

ข้อ 10 การแสดงความคิดเห็นในฐานะส่วนบุคคล

บุคลากรสามารถใช้สื่อสังคมออนไลน์ในฐานะส่วนบุคคลได้ แต่ต้องไม่แสดงข้อความหรือพฤติการณ์ที่อาจทำให้บุคคลทั่วไปเข้าใจว่าเป็นการแถลงการณ์หรือความคิดเห็นอย่างเป็นทางการของโรงพยาบาล เว้นแต่ได้รับมอบหมายหรือได้รับอนุญาตจากโรงพยาบาล ในกรณีที่การแสดงความคิดเห็นอาจทำให้เกิดความเข้าใจว่าเป็นการแสดงความคิดเห็นในนามโรงพยาบาล บุคลากรต้องระบุให้ชัดเจนว่าเป็นความคิดเห็นส่วนบุคคลและไม่ใช่การแถลงการณ์หรือจุดยืนอย่างเป็นทางการของโรงพยาบาล

หมวดที่ 4 การรักษาข้อมูลภายในและทรัพย์สินทางปัญญา

ข้อ 11 การรักษาข้อมูลภายในและทรัพย์สินทางปัญญา

ห้ามบุคลากรนำข้อมูลภายใน ข้อมูลที่เป็นความลับ ข้อมูลทางธุรกิจ ข้อมูลของคู่ค้า เอกสารภายใน แบบฟอร์ม ระบบงาน ฐานข้อมูล คู่มือ กระบวนการทำงาน เครื่องหมายการค้า ภาพถ่าย หรือทรัพย์สินทางปัญญาของโรงพยาบาล ไปเผยแพร่ ทำซ้ำ ดัดแปลง หรือใช้เพื่อประโยชน์ส่วนตนหรือบุคคลภายนอกโดยไม่ได้รับอนุญาต การนำข้อมูลดังกล่าวไปเผยแพร่ต้องได้รับอนุญาตจากผู้มีอำนาจของโรงพยาบาล และต้องไม่ขัดต่อกฎหมาย สิทธิของบุคคลอื่น หรือข้อกำหนดตามสัญญา

ข้อ 12 การใช้ปัญญาประดิษฐ์และบริการออนไลน์ของบุคคลภายนอก

ห้ามบุคลากรนำเข้า ป้อน อัปโหลด ส่ง หรือเปิดเผยภาพถ่าย เสียง วิดีโอ ข้อมูลส่วนบุคคล ข้อมูลสุขภาพ ข้อมูลภายใน หรือข้อมูลที่เป็นความลับของผู้รับบริการ บุคลากร แพทย์ หรือบุคคลอื่นที่ได้รับหรือเข้าถึงจากการปฏิบัติงาน เข้าสู่ระบบปัญญาประดิษฐ์ (Artificial Intelligence: AI) ระบบสร้างหรือดัดแปลงภาพ เสียง หรือสื่อสังเคราะห์ หรือบริการออนไลน์ของบุคคลภายนอก เพื่อการสร้าง แก้ไข ดัดแปลง วิเคราะห์ ประมวลผล หรือวัตถุประสงค์อื่นใด เว้นแต่ได้รับอนุมัติตามนโยบายและขั้นตอนของโรงพยาบาล มีฐานทางกฎหมายที่เหมาะสม และผ่านการประเมินด้านการคุ้มครองข้อมูลส่วนบุคคล ความมั่นคงปลอดภัยของข้อมูล และความเสี่ยงที่เกี่ยวข้องตามที่โรงพยาบาลกำหนด

การใช้ผลลัพธ์หรือเนื้อหาที่สร้างหรือประมวลผลโดยระบบ AI หรือบริการออนไลน์ของบุคคลภายนอกในการปฏิบัติงานหรือเผยแพร่ในนามของโรงพยาบาล ต้องผ่านการตรวจสอบความถูกต้อง ความเหมาะสม สิทธิในการนำไปใช้ และความเสี่ยงด้านการคุ้มครองข้อมูลส่วนบุคคลและทรัพย์สินทางปัญญาตามขั้นตอนที่โรงพยาบาลกำหนดก่อนนำไปใช้หรือเผยแพร่

หมวดที่ 5 การใช้สื่อสังคมออนไลน์อย่างเหมาะสม

ข้อ 13 การแสดงความคิดเห็นอย่างเหมาะสม

บุคลากรพึงใช้สื่อสังคมออนไลน์ด้วยความสุภาพ มีความรับผิดชอบ และเคารพสิทธิและเสรีภาพของบุคคลอื่น ห้ามเผยแพร่ข้อความ ภาพ เสียง หรือเนื้อหาที่เป็นเท็จหรือบิดเบือนโดยมีเจตนาให้เกิดความเสียหาย หมิ่นประมาท หรือมีลักษณะละเมิดสิทธิส่วนบุคคล เปิดเผยข้อมูลหรือความลับของผู้รับบริการ หรืออาจก่อให้เกิดความเสียหายแก่บุคคลอื่นหรือโรงพยาบาล ทั้งนี้ การใช้สื่อสังคมออนไลน์ต้องไม่ขัดต่อกฎหมาย ระเบียบ ข้อบังคับ และนโยบายของโรงพยาบาล

ข้อ 14 การไม่แอบอ้างโรงพยาบาล

ห้ามบุคลากรสร้างบัญชี เว็บไซต์ Page หรือ Group หรือช่องทางสื่อสังคมออนไลน์อื่นใด โดยใช้ชื่อ ตราสัญลักษณ์ เครื่องหมาย หรือข้อมูลของโรงพยาบาล ในลักษณะที่อาจทำให้บุคคลทั่วไปเข้าใจว่าเป็นช่องทางการสื่อสารอย่างเป็นทางการของโรงพยาบาลโดยไม่ได้รับอนุญาต

ข้อ 15 การตอบข้อร้องเรียนและการแสดงความคิดเห็นของผู้รับบริการ

บุคลากรต้องไม่เปิดเผยข้อมูลส่วนบุคคล ข้อมูลสุขภาพ ประวัติการรักษาพยาบาล ผลการตรวจวินิจฉัย เวชระเบียน ภาพถ่ายทางการแพทย์ ข้อมูลการนัดหมาย หรือข้อมูลอื่นใดที่สามารถระบุตัวผู้รับบริการได้ไม่ว่าทางตรงหรือทางอ้อม เพื่อโต้ตอบ ชี้แจง หรือแสดงความคิดเห็นต่อรีวิว ความคิดเห็น ข้อร้องเรียน หรือการสื่อสารของผู้รับบริการบนสื่อสังคมออนไลน์

การตอบข้อซักถาม ข้อคิดเห็น หรือข้อร้องเรียนของผู้รับบริการในนามโรงพยาบาล ให้ดำเนินการผ่านช่องทางและโดยผู้ที่โรงพยาบาลกำหนด โดยต้องไม่เปิดเผยข้อมูลส่วนบุคคล ข้อมูลสุขภาพหรือข้อมูลที่เป็นความลับของผู้รับบริการต่อสาธารณะ และหากจำเป็นต้องตรวจสอบข้อมูลเฉพาะราย ให้ดำเนินการผ่านช่องทางที่เหมาะสมและมีมาตรการรักษาความมั่นคงปลอดภัยตามที่โรงพยาบาลกำหนด

หมวดที่ 6 การรายงานและจัดการเหตุละเมิดข้อมูลส่วนบุคคล

ข้อ 16 หน้าที่ในการรายงานเหตุละเมิดข้อมูลส่วนบุคคล

หากบุคลากรพบหรือสงสัยว่าเกิดเหตุการณ์ดังต่อไปนี้ ต้องแจ้งผู้บังคับบัญชา หน่วยงานที่รับผิดชอบด้านเทคโนโลยีสารสนเทศ ฝ่ายบริหาร หรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) โดยเร็วที่สุด ตามช่องทางที่โรงพยาบาลกำหนด

1. ข้อมูลส่วนบุคคลของผู้รับบริการ บุคลากร หรือบุคคลอื่นที่ถูกเข้าถึง ใช้ เปิดเผยโดยไม่ได้รับอนุญาต
2. มีการส่งข้อมูลส่วนบุคคลผิดบุคคล ผิดกลุ่มสนทนา หรือผิดช่องทาง
3. มีการโพสต์หรือเผยแพร่ข้อมูลส่วนบุคคลบนสื่อสังคมออนไลน์โดยไม่ได้รับอนุญาต
4. บัญชีผู้ใช้งาน ระบบ อุปกรณ์ หรือช่องทางสื่อสารของโรงพยาบาลถูกเข้าถึงโดยไม่ได้รับอนุญาต หรือมีเหตุอันควรสงสัยว่าถูกเข้าถึงโดยไม่ได้รับอนุญาต
5. ข้อมูลส่วนบุคคลมีการสูญหาย ถูกขโมย หรือมีเหตุอันควรสงสัยว่าข้อมูลส่วนบุคคลอาจถูกเข้าถึง ใช้ เปลี่ยนแปลง เปิดเผยหรือทำลายโดยไม่ได้รับอนุญาต

บุคลากรต้องให้ความร่วมมือในการเก็บรักษาหลักฐาน ระงับเหตุ และดำเนินการตามกระบวนการจัดการเหตุละเมิดข้อมูลส่วนบุคคลของโรงพยาบาล รวมทั้งต้องไม่ดำเนินการใดที่อาจทำให้หลักฐานที่เกี่ยวข้องสูญหาย ถูกเปลี่ยนแปลง หรือไม่สามารถตรวจสอบข้อเท็จจริงได้

ข้อ 17 การดำเนินการเมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล (Personal Data Breach)

เมื่อโรงพยาบาลทราบหรือมีเหตุอันควรสงสัยว่าเกิดเหตุละเมิดข้อมูลส่วนบุคคล โรงพยาบาลจะดำเนินการตรวจสอบข้อเท็จจริง ประเมินระดับความเสี่ยงและผลกระทบที่อาจเกิดขึ้นต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ระงับหรือจำกัดผลกระทบ เก็บรักษาหลักฐาน และดำเนินการตามกระบวนการจัดการเหตุละเมิดข้อมูลส่วนบุคคลของโรงพยาบาลและกฎหมายที่เกี่ยวข้อง

ในกรณีที่เหตุละเมิดข้อมูลส่วนบุคคลเข้าหลักเกณฑ์ที่ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล โรงพยาบาลในฐานะผู้ควบคุมข้อมูลส่วนบุคคลจะดำเนินการแจ้งโดยไม่ชักช้า และภายใน 72 ชั่วโมงนับแต่ทราบถึงเหตุละเมิดข้อมูลส่วนบุคคล หรือตามระยะเวลาและหลักเกณฑ์ที่กฎหมายกำหนด

หากเหตุละเมิดข้อมูลส่วนบุคคลมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล โรงพยาบาลจะดำเนินการแจ้งเจ้าของข้อมูลส่วนบุคคลโดยไม่ชักช้า และดำเนินมาตรการที่เหมาะสมตามหลักเกณฑ์ที่กฎหมายกำหนด

ในการตรวจสอบหรือจัดการเหตุละเมิดข้อมูลส่วนบุคคล โรงพยาบาลอาจเก็บรักษาหลักฐานที่เกี่ยวข้อง เช่น ภาพหน้าจอ (Screenshot), URL, วันและเวลาที่เกิดเหตุ ข้อมูลการติดต่อสื่อสาร และข้อมูลของผู้เกี่ยวข้องเท่าที่จำเป็นต่อการตรวจสอบและจัดการเหตุ ทั้งนี้ การเก็บรวบรวม ใช้ หรือเปิดเผยหลักฐานดังกล่าวต้องดำเนินการเท่าที่จำเป็น จำกัดสิทธิการเข้าถึง และรักษาความลับและความมั่นคงปลอดภัยของข้อมูลตามที่โรงพยาบาลกำหนด

กรณีหลักฐานมีความสำคัญต่อการดำเนินการทางวินัย การดำเนินคดี หรือการใช้สิทธิตามกฎหมาย ให้ดำเนินการเก็บรักษาและควบคุมหลักฐานตามกระบวนการที่โรงพยาบาลกำหนด เพื่อให้สามารถตรวจสอบที่มา ความถูกต้อง และการเปลี่ยนแปลงของหลักฐานได้ตามความเหมาะสม

หมวดที่ 7 การฝ่าฝืนนโยบายและความรับผิด

ข้อ 18 การดำเนินการกรณีฝ่าฝืน

บุคลากรผู้ใดฝ่าฝืนนโยบายฉบับนี้ อาจถูกดำเนินการทางวินัย ตามระเบียบ ข้อบังคับ หรือสัญญาที่เกี่ยวข้องของโรงพยาบาล แล้วแต่กรณี หากการกระทำดังกล่าวเป็นการฝ่าฝืนกฎหมายหรือก่อให้เกิดความเสียหายแก่โรงพยาบาล ผู้รับบริการ บุคลากร หรือบุคคลอื่น ผู้กระทำอาจต้องรับผิดตามกฎหมายที่เกี่ยวข้อง ทั้งทางแพ่ง ทางอาญา หรือทางปกครอง แล้วแต่กรณี

ทั้งนี้ การพิจารณาความรับผิดของบุคลากร โรงพยาบาล หรือบุคคลที่เกี่ยวข้อง ให้พิจารณาตามข้อเท็จจริง พฤติการณ์ บทบาท หน้าที่และความรับผิดชอบ อำนาจในการควบคุมหรือเข้าถึงข้อมูล เจตนาหรือระดับความประมาท ความเสียหายที่เกิดขึ้น ตลอดจนกฎหมาย ระเบียบ ข้อบังคับ และสัญญาที่เกี่ยวข้อง ทั้งนี้ การที่บุคลากรฝ่าฝืนนโยบาย ระเบียบ หรือคำสั่งของโรงพยาบาล ไม่ทำให้โรงพยาบาลพ้นจากหน้าที่หรือความรับผิดตามที่กฎหมายกำหนดโดยอัตโนมัติ

ข้อ 19 ความรับผิดชอบของบุคลากร

บุคลากรต้องรับผิดชอบต่อการใช้บัญชีผู้ใช้งาน อุปกรณ์ และข้อมูลที่อยู่ในความครอบครองหรือการควบคุมของตน และต้องปฏิบัติตามมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลของโรงพยาบาลอย่างเคร่งครัด บุคลากรต้องไม่กระทำการใด ๆ ที่อาจทำให้ข้อมูลส่วนบุคคลของผู้รับบริการ บุคลากรหรือบุคคลอื่น ถูกเข้าถึง ใช้ เปลี่ยนแปลง เปิดเผย สูญหาย หรือทำลายโดยไม่ได้รับอนุญาต

หมวดที่ 8 การบังคับใช้และการทบทวนนโยบาย

ข้อ 20 การบังคับใช้

นโยบายฉบับนี้ให้ใช้บังคับกับบุคลากรทุกระดับของโรงพยาบาล รวมถึงบุคคลภายนอกที่ได้รับอนุญาตให้เข้าถึงข้อมูล ระบบสารสนเทศ หรือทรัพย์สินดิจิทัลของโรงพยาบาล ในส่วนที่เกี่ยวข้องกับการปฏิบัติงาน ทั้งนี้ บุคลากรทุกคนมีหน้าที่ศึกษา ทำความเข้าใจ และปฏิบัติตามนโยบายฉบับนี้ รวมถึงนโยบาย มาตรการ และระเบียบอื่นของโรงพยาบาลที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัยของข้อมูล

ข้อ 21 การทบทวนและปรับปรุงนโยบาย

โรงพยาบาลจะทบทวนและปรับปรุงนโยบายฉบับนี้ให้เหมาะสมกับการเปลี่ยนแปลงของกฎหมาย เทคโนโลยี รูปแบบการใช้สื่อสังคมออนไลน์ และความเสี่ยงด้านการคุ้มครองข้อมูลส่วนบุคคลและความมั่นคงปลอดภัยของข้อมูลอย่างสม่ำเสมอ เพื่อให้นโยบายมีความเหมาะสมและสอดคล้องกับสถานการณ์และกฎหมายที่ใช้บังคับ

หากข้อความใดในนโยบายฉบับนี้ขัดหรือแย้งกับกฎหมายที่มีผลใช้บังคับ ให้ถือปฏิบัติตามกฎหมายที่เกี่ยวข้องเป็นสำคัญ

Section 1 Personal Data Protection and Confidentiality of Patients

Clause 1 Definitions

• “Social Media” means digital media or channels used to communicate, exchange, transfer, disseminate, or express opinions to individuals, groups of individuals, or the public through websites, applications, or information systems connected to the Internet, such as LINE, Facebook, Messenger, Instagram, TikTok, YouTube, X, and other similar social media platforms.
• “Personal Data” means any information relating to an individual that enables the identification of such individual, whether directly or indirectly, in accordance with the Personal Data Protection Act B.E. 2562 (2019).
• “Sensitive Personal Data” means Personal Data as prescribed under Section 26 of the Personal Data Protection Act B.E. 2562 (2019), including health data, medical treatment history, and other information falling within the categories prescribed by law. The determination of whether any information constitutes Sensitive Personal Data shall be in accordance with applicable laws and relevant criteria.
• “Personnel” means executives, physicians, dentists, nurses, pharmacists, officers, employees, workers, interns, contractors, and other persons performing work for the Hospital in accordance with the relationship or duties prescribed by the Hospital.

Clause 2 Confidentiality and Personal Data Protection

Personnel shall strictly maintain the confidentiality of and protect the Personal Data of patients, Personnel, and other individuals whose Personal Data the Hospital is responsible for collecting, using, or disclosing.

Personnel are prohibited from using, disclosing, disseminating, transferring, reproducing, or otherwise processing Personal Data through social media, unless there is an appropriate legal basis and such processing is within the scope of the duties, authority, purposes, and measures prescribed by the Hospital. This applies in particular to health data, medical treatment history, diagnostic results, medical records, medical images, photographs of patients, appointment information, patient numbers, and any other information that may identify a patient, whether directly or indirectly.

Clause 3 Publication of Photographs, Videos, and Patient Information

Personnel are prohibited from publishing or transferring photographs, videos, audio recordings, documents, medical records, test results, medical images, or any other information relating to patients through social media, unless there is an appropriate legal basis and such processing is carried out within the scope of the duties, authority, purposes, and measures prescribed by the Hospital.

Where it is necessary to use patient information or images for educational, research, training, public relations, or other purposes for which consent is required by law, Personnel shall obtain consent from the Data Subject in advance and shall provide the Data Subject with information regarding the purposes and relevant details as required by law.

Partially concealing or removing identifying information, such as a name, face, eyes, patient number, or other information, does not automatically render such information no longer Personal Data if the individual can still be linked to or identified from the information, whether directly or indirectly. Personnel shall assess the possibility of identifying the individual and the risk of identification before using or publishing such information each time.

Clause 4 Use of Personal Social Media Accounts

Personnel should not use personal social media accounts as the primary channel for contacting, communicating with, or providing medical services to patients, particularly for receiving, sending, or exchanging health data, medical records, test results, or Sensitive Personal Data, unless the Hospital has authorized such use and established appropriate measures to protect Personal Data and maintain data security.

Communication with patients regarding medical treatment, appointments, test results, or health data shall be conducted through systems or channels designated or approved by the Hospital and shall comply with the data security measures and guidelines prescribed by the Hospital.

Section 2 Use of Social Media and Internal Hospital Communication Systems

Clause 5 Responsibility for Disclosure of Information through LINE or Social Media

Personal Data, health data, messages, photographs, documents, or any other information that Personnel receive or have access to in the course of their duties through LINE Groups or the Hospital's social media channels shall be used or disclosed only to the extent necessary and consistent with the purposes of their work. Personnel shall also strictly comply with applicable laws, the Hospital's policies, and the Hospital's Personal Data protection measures.

The consent given by a Data Subject to the disclosure of information through LINE or social media does not constitute authorization for Personnel to use or further disclose such information for other purposes beyond the purposes, scope, or conditions of which the Data Subject has been informed and to which the Data Subject has consented. Any use or disclosure of Personal Data must have an appropriate legal basis and comply with the requirements prescribed by law.

Where Personnel use, disclose, transfer, disseminate, or otherwise seek to benefit from Personal Data or confidential information without authorization, or in violation of the Hospital's policies, regulations, or measures, and such action causes damage, the Personnel responsible may be held personally liable under applicable laws, regulations, rules, or contracts.

Personnel shall verify the recipient, chat group, user account, attached files or information, and the accuracy of the information before sending it each time, particularly Personal Data and health data. If information is sent to the wrong person, group, or channel, such incident shall be treated as an incident that must be reported without delay in accordance with the Hospital's Personal Data breach incident management process.

The Hospital shall not be responsible for such acts or violations. In the event of a Personal Data breach through LINE or social media, liability shall be considered based on the facts and the role of each party, including the following cases:

(1) Breach by Personnel within the Hospital

Where the Hospital provides a LINE Group or internal communication channel for work purposes and Personnel disclose, transfer, disseminate, or use Personal Data, health data, conversation messages, images, documents, or other information received or accessed through such channel for their own benefit or for the benefit of another person without authorization, or beyond the scope of their assigned duties and authority, the Personnel responsible may be held liable under applicable laws, regulations, rules, or contracts and may also be subject to disciplinary action in accordance with the Hospital's regulations.

The Hospital shall investigate the facts, assess the breach, and determine the duties and liability of the Hospital and each individual Personnel based on their respective roles, duties, authority, and the facts of the incident.

(2) Breach between Organizations or Departments

Where Personal Data is communicated or exchanged between the Hospital or a healthcare facility and another department or organization through a LINE Group or social media, and Personal Data is unlawfully accessed, used, or disclosed, the Hospital shall investigate the facts and determine the role of each party, whether as a Data Controller, Data Processor, or a person assigned or authorized to access the data, as applicable.

Any person who discloses or uses information without authority or beyond the scope of their duties may be held personally liable under applicable laws, as the case may be. This shall not relieve the Hospital or relevant organization of any duties or liability imposed by law.

(3) Breach by External Persons or Personnel Who Have Ceased Performing Their Duties

Where Personnel have ceased to hold their position or have ended their employment but continue to have access to a LINE Group, information system, or communication channel of the Hospital and disclose, transfer, or disseminate Personal Data, health data, messages, images, documents, or other information without authorization, such persons may be held personally liable under applicable laws and relevant requirements.

The Hospital shall promptly revoke or suspend the access rights of Personnel who have ceased performing their duties. Where an incident occurs or there are reasonable grounds to suspect that a Personal Data Breach has occurred, the Hospital shall investigate the incident, assess the risks, mitigate or limit the impact, preserve evidence, and take action in accordance with the Hospital's Personal Data Breach incident management process and applicable laws.

(4) Breach by External Persons

Where an external person who is not authorized to access the Hospital's Personal Data gains unauthorized access to, uses, discloses, or disseminates such Personal Data, the Hospital shall take action in accordance with the established security measures and Personal Data breach incident management process. The Hospital shall also assess the incident and determine whether notification to the Personal Data Protection Committee or the Data Subject is required, as applicable, when the relevant criteria are met and within the period prescribed by law.

In determining the duties and liability of Personnel, the Hospital, or any relevant person, consideration shall be given to the facts, circumstances, intent or degree of negligence, roles, duties and authority relating to the control of or access to the data, as well as applicable laws, regulations, rules, security measures, and contracts, as applicable.

Clause 6 Security of User Accounts

Personnel shall keep usernames, passwords, authentication codes, and information used to access the Hospital's communication systems or information systems confidential. Personnel must not disclose their passwords, allow another person to use their user account, or allow another person to access their user account or any device used to access the Hospital's information without authorization. If Personnel discover or suspect that a user account, device, or Hospital system has been accessed or used without authorization, they must immediately notify their supervisor, the department responsible for information technology, or the Data Protection Officer (DPO) through the channels designated by the Hospital.

Clause 7 Use of Data for Specified Purposes and to the Extent Necessary

Personnel shall use or disclose Personal Data only to the extent necessary and consistent with the purposes of their work, within the scope of their assigned duties and authority, and shall not use or disclose Personal Data for their own benefit or for purposes unrelated to their duties, unless there is an appropriate legal basis or authorization as prescribed by law.

Section 3 Management of the Hospital’s Official Communication Channels

Clause 8 Establishment of Official Pages or Accounts

The establishment of any Page, Group, Account, website, or social media channel in the name of the Hospital or any department within the Hospital must be approved in advance by the authorized person designated by the Hospital. A responsible person and system administrator must be clearly designated, and access rights must be appropriately assigned based on their respective duties and responsibilities. When Personnel cease to perform their duties, change positions, are transferred, resign, have their employment terminated, or otherwise cease to have access rights to the Hospital's information or systems, the Hospital shall promptly review, modify, suspend, or revoke the relevant access rights, as appropriate.

Any modification, suspension, or revocation of access rights shall cover user accounts, chat groups, Pages, social media accounts, cloud systems, email, LINE applications, VPNs, and the Hospital's information systems or other communication channels to which Personnel have access. Such actions shall be carried out in accordance with the Hospital's access control procedures.

Personnel who cease to perform their duties must return or hand over any equipment, accounts, access rights, information, and digital assets of the Hospital in their possession or under their responsibility. They must not retain, copy, use, or access the Hospital's information or systems after their access rights have ended, unless authorized by the Hospital or required by law.

Clause 9 Publication of Information on Behalf of the Hospital

The publication of news, public relations materials, medical information, photographs of activities, or any other information on behalf of the Hospital must be reviewed and approved in accordance with the procedures prescribed by the Hospital prior to publication. The person responsible for publication must verify the accuracy and appropriateness of the information, as well as their rights or authority to use such information, and must not disclose Personal Data or confidential information without authorization or an appropriate legal basis.

Clause 10 Expression of Personal Opinions

Personnel may use social media in their personal capacity, provided that they do not make statements or engage in conduct that may lead the public to believe that they are expressing an official statement or opinion on behalf of the Hospital, unless they have been assigned or authorized by the Hospital to do so. Where an expression of opinion may give rise to an understanding that the opinion is expressed on behalf of the Hospital, Personnel must clearly state that it is their personal opinion and does not constitute an official statement or position of the Hospital.

Section 4 Protection of Internal Information and Intellectual Property

Clause 11 Protection of Internal Information and Intellectual Property

Personnel must not disclose, publish, reproduce, modify, or use the Hospital's internal information, confidential information, business information, information relating to business partners, internal documents, forms, work systems, databases, manuals, work processes, trademarks, photographs, or intellectual property for their own benefit or for the benefit of any external person without authorization. Any disclosure or publication of such information must be authorized by the person designated by the Hospital and must not violate applicable laws, the rights of other persons, or contractual requirements.

Clause 12 Use of Artificial Intelligence and Third-Party Online Services

Personnel must not import, input, upload, transmit, or disclose photographs, audio, videos, Personal Data, health data, internal information, or confidential information of patients, Personnel, physicians, or other persons that they receive or have access to in the course of their duties into Artificial Intelligence (AI) systems, systems for generating or modifying images, audio, or synthetic media, or third-party online services for the purposes of creating, editing, modifying, analyzing, processing, or any other purpose, unless such use has been approved in accordance with the Hospital's policies and procedures, there is an appropriate legal basis, and the relevant Personal Data protection, information security, and risk assessments have been conducted in accordance with the requirements prescribed by the Hospital.

The use of any output or content generated or processed by AI systems or third-party online services in the course of work or for publication on behalf of the Hospital must undergo verification of its accuracy, appropriateness, rights to use, and risks relating to Personal Data protection and intellectual property in accordance with the procedures prescribed by the Hospital before such output or content is used or published.

Section 5 Appropriate Use of Social Media

Clause 13 Appropriate Expression of Opinions

Personnel should use social media in a courteous and responsible manner and respect the rights and freedoms of others. Personnel must not publish or disseminate any false or misleading statements, images, audio, or other content with the intent to cause damage, defame any person, or otherwise violate personal rights, disclose information or confidential information of patients, or cause or potentially cause damage to any person or the Hospital. The use of social media must not violate applicable laws, regulations, rules, or the Hospital's policies.

Clause 14 Prohibition of Impersonation of the Hospital

Personnel must not create an account, website, Page, Group, or any other social media channel using the Hospital's name, logo, trademark, or information in a manner that may cause the general public to believe that such channel is an official communication channel of the Hospital without authorization.

Clause 15 Responding to Complaints and Comments from Patients

Personnel must not disclose Personal Data, health data, medical history, medical examination results, medical records, medical images, appointment information, or any other information that may directly or indirectly identify a patient for the purpose of responding to, clarifying, or commenting on reviews, comments, complaints, or communications from patients on social media.

Responses to inquiries, comments, or complaints from patients on behalf of the Hospital shall be made through the channels and by the persons designated by the Hospital. Such responses must not disclose Personal Data, health data, or confidential information of patients to the public.

Where it is necessary to verify information relating to a specific patient, such verification shall be conducted through an appropriate channel and with security measures in accordance with the requirements prescribed by the Hospital.

Section 6 Reporting and Management of Personal Data Breaches

Clause 16 Duty to Report Personal Data Breaches

If Personnel become aware of or suspect that any of the following incidents has occurred, they must notify their supervisor, the department responsible for information technology, the management, or the Data Protection Officer (DPO) as soon as possible through the channels designated by the Hospital:

1. Personal Data of patients, Personnel, or other persons has been accessed, used, or disclosed without authorization.
2. Personal Data has been sent to the wrong person, chat group, or channel.
3. Personal Data has been posted or disseminated on social media without authorization.
4. A user account, system, device, or communication channel of the Hospital has been accessed without authorization, or there are reasonable grounds to suspect that it has been accessed without authorization.
5. Personal Data has been lost or stolen, or there are reasonable grounds to suspect that Personal Data may have been accessed, used, altered, disclosed, or destroyed without authorization.

Personnel must cooperate in preserving evidence, containing the incident, and taking action in accordance with the Hospital's Personal Data breach incident management process. Personnel must not take any action that may cause relevant evidence to be lost, altered, or become unavailable for factual investigation.

Clause 17 Actions in the Event of a Personal Data Breach

When the Hospital becomes aware of or has reasonable grounds to suspect that a Personal Data breach has occurred, the Hospital shall investigate the facts, assess the level of risk and potential impact on the rights and freedoms of the Data Subjects, contain or limit the impact, preserve evidence, and take action in accordance with the Hospital's Personal Data breach incident management process and applicable laws.

Where a Personal Data breach meets the criteria requiring notification to the Personal Data Protection Committee, the Hospital, as the Data Controller, shall notify the Personal Data Protection Committee without delay and within 72 hours from the time the Hospital becomes aware of the breach, or within such period and in accordance with such criteria as prescribed by law.

Where a Personal Data breach is likely to result in a high risk to the rights and freedoms of the Data Subjects, the Hospital shall notify the Data Subjects without delay and take appropriate measures in accordance with the criteria prescribed by law.

In investigating or managing a Personal Data breach, the Hospital may retain relevant evidence, such as screenshots, URLs, the date and time of the incident, communication records, and information relating to persons involved, to the extent necessary for the investigation and management of the incident. The collection, use, or disclosure of such evidence shall be limited to what is necessary, access shall be restricted, and the confidentiality and security of the information shall be maintained in accordance with the requirements prescribed by the Hospital.

Where evidence is material to disciplinary proceedings, legal proceedings, or the exercise of legal rights, such evidence shall be retained and controlled in accordance with the procedures prescribed by the Hospital to enable, as appropriate, verification of the origin, accuracy, and integrity of the evidence.

Section 7 Policy Violations and Liability

Clause 18 Actions in the Event of a Violation

Any Personnel who violates this Policy may be subject to disciplinary action in accordance with the Hospital's applicable regulations, rules, or contracts, as applicable. If such conduct constitutes a violation of applicable law or causes damage to the Hospital, patients, Personnel, or any other person, the person responsible may be held liable under applicable law, whether civil, criminal, or administrative, as applicable.

In determining the liability of Personnel, the Hospital, or any relevant person, consideration shall be given to the facts, circumstances, roles, duties and responsibilities, authority to control or access the information, intent or degree of negligence, resulting damage, as well as applicable laws, regulations, rules, and contracts. The violation of this Policy, the Hospital's regulations, or orders by Personnel shall not automatically relieve the Hospital of any duties or liability imposed by law.

Clause 19 Responsibilities of Personnel

Personnel shall be responsible for the use of user accounts, devices, and information in their possession or under their control, and shall strictly comply with the Hospital's information security measures. Personnel must not engage in any act that may result in the Personal Data of patients, Personnel, or any other person being accessed, used, altered, disclosed, lost, or destroyed without authorization.

Section 8 Enforcement and Review of the Policy

Clause 20 Enforcement

This Policy shall apply to all levels of Personnel of the Hospital, as well as external persons who are authorized to access the Hospital's information, information systems, or digital assets in connection with their work. All Personnel are responsible for studying, understanding, and complying with this Policy, as well as other policies, measures, and regulations of the Hospital relating to Personal Data protection and information security.

Clause 21 Review and Amendment of the Policy

The Hospital shall regularly review and amend this Policy as appropriate to reflect changes in applicable laws, technology, patterns of social media use, and risks relating to Personal Data protection and information security, in order to ensure that the Policy remains appropriate and consistent with prevailing circumstances and applicable laws.

If any provision of this Policy conflicts or is inconsistent with applicable law, the applicable law shall prevail.

1. ฐานกฎหมายในการประมวลผลข้อมูลส่วนบุคคล

เราจะดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน ภายใต้ฐานกฎหมายดังต่อไปนี้

• ความจำเป็นในการป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของท่านหรือบุคคลอื่น
• ความจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมาย ของโรงพยาบาลหรือบุคคลอื่น ซึ่งมีความจำเป็นและมีความสำคัญไม่น้อยกว่า สิทธิและเสรีภาพขั้นพื้นฐานของเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ โรงพยาบาลจะพิจารณาความจำเป็น และความสมดุลของประโยชน์ดังกล่าวเป็นรายกรณี
• ความจำเป็นในการปฏิบัติตามกฎหมายที่เกี่ยวข้อง ซึ่งอาจควบคุมดูแลเกี่ยวกับความปลอดภัยและสภาพแวดล้อมในสถานที่ทำงาน และทรัพย์สินของเรา

2. วัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน

เราจะดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน เพื่อวัตถุประสงค์ดังต่อไปนี้

• เพื่อรักษาไว้ซึ่งสุขภาพและความปลอดภัยด้านกายภาพของท่าน ซึ่งรวมถึงทรัพย์สินของท่าน
• เพื่อป้องกัน ตรวจสอบ และระงับเหตุการณ์ที่อาจก่อให้เกิด อันตราย ความเสียหายต่อชีวิต ร่างกาย สุขภาพ หรือทรัพย์สิน รวมถึงการกระทำความผิดหรือเหตุการณ์ อันอาจกระทบต่อความปลอดภัยภายในโรงพยาบาล
• เพื่อสนับสนุนและให้ความร่วมมือแก่หน่วยงานของรัฐ หรือหน่วยงานที่มีอำนาจหน้าที่ตามกฎหมาย ในการป้องกัน สืบสวน สอบสวน หรือดำเนินคดีตามกฎหมาย
• เพื่อให้ความช่วยเหลือในกระบวนการระงับข้อพิพาท ที่เกิดขึ้นในระหว่างที่มีกระบวนการทางวินัย หรือกระบวนการร้องทุกข์
• เพื่อให้ความช่วยเหลือในกระบวนการศาล รวมถึงกระบวนการเกี่ยวกับการส่งเรื่องร้องเรียน
• เพื่อให้ความช่วยเหลือในกระบวนการทางกฎหมาย หรือปกป้องสิทธิของเรา ซึ่งรวมไปถึงแต่ไม่จำกัดเพียงการดำเนินการ ทางกฎหมายที่เกี่ยวข้องกับการจ้างงาน

3. ข้อมูลส่วนบุคคลที่เราเก็บรวบรวมและใช้

ตามวัตถุประสงค์ตามที่ได้แจ้งในข้อ 2 เราทำการติดตั้งกล้องวงจรปิดในตำแหน่งที่มองเห็นได้ โดยจะจัดวางป้ายแสดงว่ามีการใช้กล้องวงจรปิด ณ จุดต่าง ๆ รวมถึงพื้นที่ที่มีความจำเป็นต้องมีการเฝ้าระวัง เพื่อเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน เมื่อท่านเข้ามายังพื้นที่ ดังต่อไปนี้

รายการข้อมูลส่วนบุคคลที่เก็บรวบรวม

• ภาพนิ่ง
• ภาพเคลื่อนไหว
• เสียง
• ภาพทรัพย์สินหรือสิ่งของที่อยู่ในบริเวณ ที่กล้องสามารถบันทึกภาพได้ เช่น ยานพาหนะ กระเป๋า หรือสิ่งของที่นำเข้ามาในพื้นที่

ทั้งนี้ เราจะไม่ทำการติดตั้งกล้องวงจรปิด ในพื้นที่ที่อาจล่วงละเมิดสิทธิขั้นพื้นฐานของท่าน จนเกินสมควร ได้แก่ ห้องน้ำ ห้องอาบน้ำ ห้องเปลี่ยนเสื้อผ้า ห้องพัก หรือพื้นที่อื่นที่มีลักษณะเป็นพื้นที่ส่วนตัว ซึ่งไม่เหมาะสมแก่การติดตั้งกล้องวงจรปิด

4. การเปิดเผยข้อมูลส่วนบุคคลของท่าน

เราจะเก็บรักษาข้อมูลในกล้องวงจรปิดที่เกี่ยวกับท่านไว้เป็นความลับ และจะไม่ทำการเปิดเผย เว้นแต่กรณีที่เรามีความจำเป็น เพื่อให้สามารถบรรลุวัตถุประสงค์ที่ระบุไว้ในประกาศฉบับนี้ หรือเป็นกรณีที่กฎหมายกำหนดหรืออนุญาตให้ดำเนินการได้ เราอาจเปิดเผยข้อมูลในกล้องวงจรปิดแก่บุคคลหรือนิติบุคคลประเภทต่าง ๆ ดังต่อไปนี้

• หน่วยงานที่มีอำนาจหน้าที่ตามที่กฎหมายกำหนด เพื่อช่วยเหลือ สนับสนุนในการบังคับใช้กฎหมาย หรือเพื่อการดำเนินการสืบสวน หรือการดำเนินคดีความต่าง ๆ
• ผู้ให้บริการด้านระบบกล้องวงจรปิด ระบบรักษาความปลอดภัย ระบบจัดเก็บข้อมูล หรือผู้ให้บริการอื่นที่จำเป็นต่อการดำเนินงานของโรงพยาบาล โดยผู้ให้บริการดังกล่าวจะได้รับข้อมูลเท่าที่จำเป็นและต้องปฏิบัติตามข้อกำหนดด้านการคุ้มครองข้อมูลส่วนบุคคลของโรงพยาบาลและกฎหมายที่เกี่ยวข้อง

5. สิทธิตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของท่าน

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีวัตถุประสงค์ เพื่อให้ข้อมูลส่วนบุคคลของท่านอยู่ในความควบคุมของท่านได้มากขึ้น ท่านมีสิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่กำหนดไว้ในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายลำดับรองที่เกี่ยวข้อง ทั้งนี้ การใช้สิทธิดังกล่าวอาจมีข้อจำกัดตามที่กฎหมายกำหนด ซึ่งมีรายละเอียด ดังต่อไปนี้

• สิทธิในการเข้าถึง รับสำเนา และขอให้เปิดเผยที่มาของข้อมูลส่วนบุคคลของท่านที่เราเก็บรวบรวมอยู่ เว้นแต่กรณีที่เรามีสิทธิปฏิเสธคำขอของท่านตามกฎหมายหรือคำสั่งศาล หรือกรณีที่คำขอของท่านจะมีผลกระทบที่อาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น
• สิทธิในการขอแก้ไข ข้อมูลส่วนบุคคลของท่านที่ไม่ถูกต้องหรือไม่ครบถ้วน เพื่อให้มีความถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด
• สิทธิในการขอให้ระงับการใช้ข้อมูลส่วนบุคคลของท่าน ในกรณีดังต่อไปนี้
  - เมื่ออยู่ระหว่างการตรวจสอบความถูกต้องของข้อมูลส่วนบุคคลตามที่ท่านร้องขอ
  - เมื่อข้อมูลส่วนบุคคลถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมาย และท่านขอให้ระงับการใช้แทนการลบหรือทำลายข้อมูลดังกล่าว
  - เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นที่ต้องเก็บรักษาไว้ตามวัตถุประสงค์ที่โรงพยาบาลได้แจ้งไว้ แต่ท่านมีความจำเป็นต้องขอให้เก็บรักษาข้อมูลดังกล่าวไว้เพื่อใช้ในการก่อตั้ง ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
  - เมื่อโรงพยาบาลอยู่ระหว่างการพิสูจน์เหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่าของโรงพยาบาลในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ในกรณีที่ท่านใช้สิทธิคัดค้านตามที่กฎหมายกำหนด
• สิทธิในการคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของท่าน เว้นแต่กรณีที่เรามีเหตุในการปฏิเสธคำคัดค้านของท่านโดยชอบด้วยกฎหมาย เช่น เราสามารถแสดงให้เห็นว่าการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของท่านมีเหตุอันชอบด้วยกฎหมายที่สำคัญกว่า หรือเพื่อการใช้สิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหน้าที่การใช้สิทธิเรียกร้องตามกฎหมาย หรือเพื่อประโยชน์สาธารณะตามภารกิจของเรา

6. ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

เพื่อบรรลุวัตถุประสงค์ในการรักษาความปลอดภัยและการป้องกันและตรวจสอบเหตุการณ์ตามที่ระบุไว้ในประกาศฉบับนี้ เราจะเก็บรักษาข้อมูลจากกล้องวงจรปิดเป็นระยะเวลา 14 วัน นับแต่วันที่บันทึกภาพ

เว้นแต่มีเหตุจำเป็นตามกฎหมาย หรือมีเหตุการณ์ที่จำเป็นต้องเก็บรักษาข้อมูลดังกล่าวต่อไป เช่น อยู่ระหว่างการตรวจสอบเหตุการณ์ การดำเนินการตามคำร้องขอ การดำเนินคดี หรือการใช้สิทธิเรียกร้องตามกฎหมาย โดยจะเก็บรักษาไว้เท่าที่จำเป็นและเหมาะสมกับกรณี

ทั้งนี้ เมื่อพ้นระยะเวลาหรือหมดความจำเป็นในการเก็บรักษาแล้ว เราจะทำการลบหรือทำลายข้อมูลดังกล่าวตามมาตรการและวิธีการที่เหมาะสม

7. การรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคล

เราได้ทำการใช้มาตรการรักษาความมั่นคงปลอดภัยข้อมูลส่วนบุคคลของท่านอย่างเหมาะสม ทั้งในเชิงเทคนิคและการบริหารจัดการ เพื่อป้องกันมิให้ข้อมูลสูญหาย หรือมีการเข้าถึง ลบ คัดลอก ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต ซึ่งสอดคล้องกับนโยบายและแนวปฏิบัติด้านความมั่นคงปลอดภัยสารสนเทศ (Information Security Policy) ของเรา

นอกจากนี้ เราได้กำหนดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลนั้น โดยประกาศให้ทราบกันทั้งองค์กร พร้อมแนวทางปฏิบัติเพื่อให้เกิดความมั่นคงปลอดภัยในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยคำนึงถึงการรักษาความลับ (Confidentiality) ความถูกต้องครบถ้วนและความสมบูรณ์ของข้อมูล (Integrity) และความพร้อมใช้งานของข้อมูล (Availability) ของข้อมูลส่วนบุคคล โดยเราได้จัดให้มีกระบวนการและมาตรการดังกล่าว รวมถึงประกาศนี้ในระยะเวลาที่เหมาะสม

8. การควบคุมการเข้าถึงข้อมูลส่วนบุคคล

เราได้กำหนดให้เจ้าหน้าที่เฉพาะผู้ที่มีอำนาจหน้าที่เกี่ยวข้องในการจัดเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของกิจกรรมการประมวลผลเท่านั้นที่จะสามารถเข้าถึงข้อมูลส่วนบุคคลของท่านได้ โดยเราจะดำเนินการให้เจ้าหน้าที่ปฏิบัติตามประกาศอย่างเคร่งครัด

9. การเปลี่ยนแปลงแก้ไขคำประกาศเกี่ยวกับความเป็นส่วนตัว

ในการปรับปรุงหรือเปลี่ยนแปลงประกาศนี้ เราอาจพิจารณาดำเนินการตามความเหมาะสม เพื่อให้สอดคล้องกับการดำเนินงาน กฎหมาย หรือแนวทางการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้อง ในกรณีที่มีการเปลี่ยนแปลงสาระสำคัญของประกาศ เราจะแจ้งให้ท่านทราบผ่านช่องทางที่เหมาะสม เช่น การติดประกาศ ณ จุดประชาสัมพันธ์หรือบริเวณทางเข้าของโรงพยาบาล บอร์ดประชาสัมพันธ์ภายในโรงพยาบาล และ/หรือเว็บไซต์ของโรงพยาบาล เพื่อให้ท่านสามารถตรวจสอบและรับทราบประกาศฉบับปรับปรุงได้ เราจะแสดงวันที่มีผลบังคับใช้ของประกาศฉบับปรับปรุงไว้อย่างชัดเจน และขอให้ท่านตรวจสอบประกาศฉบับล่าสุดก่อนเข้าพื้นที่ของโรงพยาบาล

10. ช่องทางการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

ท่านสามารถใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด โดยยื่นคำร้องขอใช้สิทธิเป็นลายลักษณ์อักษรผ่านช่องทางที่โรงพยาบาลกำหนด ได้แก่ ไปรษณีย์ / ยื่นด้วยตนเอง, ไปรษณีย์อิเล็กทรอนิกส์ (E-mail) และโทรศัพท์

ทั้งนี้ ในการยื่นคำร้องขอใช้สิทธิ โรงพยาบาลอาจขอข้อมูลหรือเอกสารเพิ่มเติม เท่าที่จำเป็นและเหมาะสมเพื่อยืนยันตัวตนของผู้ยื่นคำร้อง และเพื่อป้องกันการเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลที่ไม่มีสิทธิ โดยโรงพยาบาลจะดำเนินการพิจารณาและตอบกลับคำร้องภายในระยะเวลาที่กฎหมายกำหนด

การใช้สิทธิของท่านอาจมีข้อจำกัดในกรณีที่กฎหมายกำหนด และโรงพยาบาลจะแจ้งเหตุผลให้ท่านทราบหากไม่สามารถดำเนินการตามคำร้องขอทั้งหมดหรือบางส่วนได้

11. การติดต่อสอบถาม

1. Legal Bases for Processing Personal Data

We will collect your Personal Data based on the following legal bases:

• Necessity to prevent or suppress danger to the life, body, or health of you or another person.
• Necessity for the legitimate interests of the Hospital or another person, where such interests are necessary and significant and do not outweigh the fundamental rights and freedoms of the Data Subject. The Hospital will consider the necessity and balance of such interests on a case-by-case basis.
• Necessity to comply with applicable laws, which may regulate safety and working conditions in the workplace and the protection of our property.

2. Purposes of Collecting Your Personal Data

We will collect your Personal Data for the following purposes:

• To maintain your physical health and safety, including the safety of your property.
• To prevent, monitor, and suppress incidents that may cause danger or damage to life, body, health, or property, including criminal acts or incidents that may affect security within the Hospital.
• To support and cooperate with government authorities or authorities having legal powers and duties in preventing, investigating, examining, or taking legal action.
• To assist in dispute resolution processes arising during disciplinary proceedings or grievance procedures.
• To assist in court proceedings, including procedures relating to the submission of complaints.
• To assist in legal proceedings or protect our rights, including but not limited to legal proceedings relating to employment.

3. Personal Data We Collect and Use

For the purposes specified in Section 2, we install CCTV cameras in visible locations and place signs indicating the use of CCTV cameras at various locations, including areas where surveillance is necessary, in order to collect your Personal Data when you enter the following areas:

Categories of Personal Data Collected

• Still images
• Moving images
• Audio
• Images of property or belongings within the areas where the CCTV cameras can record images, such as vehicles, bags, or items brought into the premises

We will not install CCTV cameras in areas where doing so may unreasonably infringe upon your fundamental rights, including restrooms, shower rooms, changing rooms, accommodation rooms, or other areas that are private in nature and inappropriate for the installation of CCTV cameras.

4. Disclosure of Your Personal Data

We will maintain the confidentiality of CCTV footage relating to you and will not disclose such footage, except where it is necessary for us to achieve the purposes specified in this Notice, or where disclosure is required or permitted by law. We may disclose CCTV footage to the following categories of persons or legal entities:

• Authorities with powers and duties prescribed by law, in order to assist and support law enforcement, investigations, or legal proceedings.
• Service providers of CCTV systems, security systems, data storage systems, or other service providers necessary for the Hospital's operations. Such service providers will receive only the information necessary and must comply with the Hospital's Personal Data Protection requirements and applicable laws.

5. Your Rights under the Personal Data Protection Act B.E. 2562 (2019)

The Personal Data Protection Act B.E. 2562 (2019) aims to provide you with greater control over your Personal Data. You have the rights of a Data Subject as prescribed under the Personal Data Protection Act B.E. 2562 (2019) and relevant subordinate legislation. However, the exercise of such rights may be subject to limitations prescribed by law, as detailed below:

• Right to access, obtain a copy of, and request disclosure of the source of your Personal Data that we collect, except where we have the right to refuse your request under the law or a court order, or where your request may adversely affect the rights and freedoms of another person.
• Right to request the rectification of your Personal Data that is inaccurate or incomplete, so that it is accurate, up to date, complete, and does not cause misunderstanding.
• Right to request restriction of the use of your Personal Data in the following circumstances:
  - When the accuracy of the Personal Data is being verified at your request.
  - When the Personal Data has been unlawfully collected, used, or disclosed and you request restriction of its use instead of deletion or destruction.
  - When the Personal Data is no longer necessary to be retained for the purposes notified by the Hospital, but you require the data to be retained for the establishment, exercise, or defense of legal claims.
  - When the Hospital is in the process of verifying compelling legitimate grounds for the collection, use, or disclosure of the Personal Data, in the event that you have exercised your right to object as prescribed by law.
• Right to object to the collection, use, or disclosure of your Personal Data, except where we have lawful grounds to refuse your objection, such as where we can demonstrate that the collection, use, or disclosure of your Personal Data is based on compelling legitimate grounds, or is necessary for the establishment, exercise, or defense of legal claims, compliance with legal obligations, or the performance of a task carried out in the public interest in accordance with our duties.

6. Retention Period for Personal Data

To achieve the purposes of maintaining security and preventing and monitoring incidents as specified in this Notice, we will retain CCTV footage for a period of 14 days from the date the images are recorded, unless retention is necessary as required by law or where there is an incident requiring the data to be retained for a longer period, such as while an incident is being investigated, a request is being processed, legal proceedings are being conducted, or legal claims are being exercised. The data will be retained only for as long as necessary and appropriate for the circumstances. Upon expiry of the retention period or when the data is no longer necessary to be retained, we will delete or destroy such footage in accordance with appropriate measures and methods.

7. Personal Data Security

We have implemented appropriate technical and administrative measures to maintain the security of your Personal Data and to prevent the loss of Personal Data or unauthorized access to, deletion, copying, use, alteration, modification, or disclosure of Personal Data, in accordance with our Information Security Policy.

In addition, we have established Personal Data protection measures that are communicated throughout the organization, together with guidelines for maintaining the security of the collection, use, or disclosure of Personal Data. These measures take into consideration the confidentiality, integrity, and availability of Personal Data. We have established appropriate processes and measures, including this Notice, and will maintain such processes and measures for an appropriate period.

8. Access Control for Personal Data

We have restricted access to your Personal Data to only those staff members who are authorized and have relevant duties relating to the collection, use, or disclosure of Personal Data in the relevant processing activities. We will ensure that such staff members strictly comply with this Notice.

9. Changes to this Privacy Notice

When updating or changing this Notice, we may consider making changes as appropriate to ensure consistency with our operations, applicable laws, or relevant Personal Data protection guidelines.

In the event of any material changes to this Notice, we will notify you through appropriate channels, such as notices displayed at the Hospital's information desks or entrances, internal notice boards, and/or the Hospital's website, so that you can review and acknowledge the updated Notice. We will clearly indicate the effective date of the updated Notice and ask you to review the latest version of this Notice before entering the Hospital premises.

10. Channels for Exercising Data Subject Rights

You may exercise your rights as a Data Subject as prescribed by law by submitting a written rights request through the channels designated by the Hospital, including postal mail / in person, electronic mail (E-mail), and telephone.

When submitting a rights request, the Hospital may request additional information or documents to the extent necessary and appropriate to verify the identity of the Applicant and prevent the disclosure of Personal Data to an unauthorized person. The Hospital will consider and respond to the request within the period prescribed by law.

The exercise of your rights may be subject to limitations as prescribed by law. The Hospital will inform you of the reasons if it is unable to fully or partially comply with your request.

11. Contact Information

1. ทั่วไป

บริษัท บรรยง การแพทย์ จำกัด ในฐานะผู้ประกอบกิจการโรงพยาบาลจักษุสุราษฎร์ (“เรา” หรือ “โรงพยาบาลจักษุสุราษฎร์”) มุ่งมั่นที่จะปกป้องความเป็นส่วนตัวของท่าน ซึ่งข้อมูลต่อไปนี้ คือ แนวทางที่เราปฏิบัติต่อข้อมูลส่วนบุคคลของท่านไม่ว่าจะเป็นการเก็บรวบรวม การใช้ การเปิดเผย (เรียกรวมกันว่า “การประมวลผล”) และในระหว่างเยี่ยมชมเว็บไซต์ https://www.surateyehospital.com หรือร้องขอรับบริการจากเรา นโยบายความเป็นส่วนตัวนี้ครอบคลุมถึงข้อมูลใด ๆ ที่สามารถระบุถึงตัวท่านได้ไม่ว่าทางตรงหรือทางอ้อม และไม่ว่าจะได้รับจากท่านโดยตรงหรือเป็นการส่งต่อมาจากบุคคลที่สามก็ตาม (“ข้อมูล” หรือ “ข้อมูลส่วนบุคคล”) สำหรับข้อมูลส่วนบุคคลด้านสุขภาพของท่านนั้น นอกเหนือจากการปฏิบัติตามนโยบายนี้แล้ว เราจะยึดถือปฏิบัติตามบทบัญญัติของกฎหมาย กฎ ประกาศ คำสั่งหรือระเบียบของหน่วยงานที่มีอำนาจกำกับดูแลที่เกี่ยวข้อง หรือที่จะมีการแก้ไขเพิ่มเติม เราในฐานะผู้ควบคุมข้อมูลส่วนบุคคลของท่าน ได้จัดทำนโยบายความเป็นส่วนตัวนี้ขึ้น ซึ่งถือเป็นส่วนหนึ่งของข้อกำหนดและเงื่อนไขสำหรับการให้บริการเว็บไซต์ของเรา รวมทั้งการเข้ารับบริการของท่าน โดยในการใช้บริการดังกล่าวในแต่ละครั้งให้ถือว่าท่านได้อ่านและตกลงยอมรับนโยบายความเป็นส่วนตัวนี้ ซึ่งมีรายละเอียดดังต่อไปนี้

2. การเก็บรวบรวมข้อมูลส่วนบุคคล

2.1 เราเก็บข้อมูลส่วนบุคคลของท่านเท่าที่จำเป็น ที่สามารถระบุตัวตนได้ทั้งทางตรงและทางอ้อม เพื่อประโยชน์ต่อท่าน ในระยะเวลาที่เหมาะสมจำเป็นต่อการให้บริการ ในกรณีที่ท่านเป็นผู้ให้ข้อมูลเรา หรือร้องขอการบริการจากเรา ผ่านช่องทางเว็บไซต์ หรือช่องทางอื่นใดของเรา อาทิเช่น การนัดหมายแพทย์ การทำธุรกรรมแบบออนไลน์ การขอรับความช่วยเหลือพิเศษ รวมไปถึงการทำธุรกรรมแบบออฟไลน์ เช่น การลงทะเบียนผู้ป่วยที่เคาน์เตอร์ลงทะเบียนของโรงพยาบาล หรือจากความสมัครใจของท่านในการทำแบบสอบถาม (Survey) หรือการโต้ตอบทางจดหมายอิเล็กทรอนิกส์ (E-mail) หรือช่องทางการสื่อสารอื่น ๆ ระหว่างเราและท่าน

2.2 เราอาจได้รับข้อมูลส่วนบุคคลของท่านจากบุคคลที่สาม เช่น บุคคลในครอบครัวหรือบุคคลใกล้ชิดของท่าน หรือผู้ให้บริการของโรงพยาบาล หน่วยงานภาครัฐ ในกรณีที่ท่านได้ให้ความยินยอมในการเปิดเผยข้อมูลดังกล่าวไว้ หรือเป็นการเปิดเผยตามที่กฎหมายกำหนด

3. ข้อมูลส่วนบุคคลที่โรงพยาบาลเก็บรวบรวม

ประเภทของข้อมูลส่วนบุคคลที่เราเก็บรวบรวมจะขึ้นอยู่กับวัตถุประสงค์ในการประมวลผลข้อมูลตามนโยบายความเป็นส่วนตัวนี้ ซึ่งเป็นข้อมูลส่วนบุคคลที่เราเก็บรวบรวมโดยตรงจากท่าน หรือจากบุคคลที่สาม มีดังนี้

• ข้อมูลระบุตัวตน เช่น ชื่อ ภาพถ่าย เพศ วันเดือนปีเกิด หนังสือเดินทาง หมายเลขบัตรประชาชน หรือหมายเลขที่สามารถระบุตัวตนอื่น ๆ
• ข้อมูลสำหรับการติดต่อ เช่น ที่อยู่ หมายเลขโทรศัพท์ และ E-mail
• ข้อมูลการชำระเงิน เช่น ข้อมูลการเรียกเก็บเงิน ข้อมูลบัตรเครดิตหรือเดบิต และรายละเอียดบัญชีธนาคาร
• ข้อมูลการเข้ารับบริการ เช่น ข้อมูลการนัดหมายแพทย์ ข้อมูลส่วนบุคคลของญาติ ความต้องการเกี่ยวกับห้องพัก อาหาร และบริการเสริมอื่น ๆ
• ข้อมูลการเข้าร่วมกิจกรรมทางการตลาด เช่น ข้อมูลการลงทะเบียนเพื่อร่วมกิจกรรมกับเรา
• ข้อมูลสถิติ เช่น จำนวนผู้ป่วย
• ข้อมูลจากการเข้าใช้เว็บไซต์ของเรา เช่น Online Appointment System, Contact Us
• ข้อมูลด้านสุขภาพ รายงานที่เกี่ยวกับสุขภาพกายและสุขภาพจิต การดูแลสุขภาพของท่าน ผลการทดสอบจากห้องทดลอง ห้องปฏิบัติการ และการวินิจฉัย
• ข้อมูลที่เกี่ยวข้องกับการใช้ยาและการแพ้ยาของท่าน
• ข้อมูล Feedback และผลการรักษาที่ท่านให้ไว้
• เราจะไม่เก็บและใช้ข้อมูลที่มีความละเอียดอ่อนของท่าน ดังต่อไปนี้ เชื้อชาติ ความเชื่อทางศาสนา ประวัติอาชญากรรม เว้นแต่เป็นไปตามที่ข้อบังคับและกฎหมายกำหนด หรือโดยความยินยอมของท่าน

4. วัตถุประสงค์

บริษัทฯ ประมวลผลข้อมูลส่วนบุคคลของท่านภายใต้ขอบเขตที่กำหนดไว้โดยพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประมวลผลข้อมูลเพียงเท่าที่จำเป็นสำหรับการดำเนินการดังกล่าว โดยบริษัทฯ ได้สรุปการใช้ข้อมูลส่วนบุคคลของท่าน พร้อมทั้งอธิบายฐานการประมวลผลข้อมูลส่วนบุคคลที่ชอบด้วยกฎหมาย (Lawful Basis of Processing) ดังนี้

นอกจากวัตถุประสงค์ที่ระบุข้างต้นแล้ว บริษัทฯ จะไม่นำข้อมูลส่วนบุคคลของท่านไปใช้เพื่อวัตถุประสงค์อื่น ยกเว้นในกรณีที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 อนุญาต เช่น

• เมื่อได้รับความยินยอมจากท่าน (ม.24) หรือเมื่อได้รับความยินยอมโดยชัดแจ้งจากท่านในกรณีการใช้ข้อมูลส่วนบุคคลที่อ่อนไหว (ม.26)
• เพื่อการศึกษาวิจัยหรือสถิติซึ่งได้จัดให้มีมาตรการป้องกันที่เหมาะสมเพื่อคุ้มครองข้อมูลส่วนบุคคล สิทธิและเสรีภาพเจ้าของข้อมูลส่วนบุคคล (ม.24 (1))
• เพื่อป้องกันระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ (ม.24(2))
• เพื่อการปฏิบัติตามสัญญาระหว่างบริษัทฯ กับท่าน (ม.24(3))
• เพื่อปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของบริษัทฯ (ม.24 (4))
• เพื่อประโยชน์โดยชอบด้วยกฎหมายของบริษัท (Legitimate Interest) หรือของบุคคลหรือนิติบุคคลอื่น เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานของเจ้าของข้อมูลส่วนบุคคล (ม.24 (5))
• เพื่อการปฏิบัติตามกฎหมายของบริษัทฯ (ม.24 (6))
• เพื่อป้องกันระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพในกรณีที่การใช้ข้อมูลส่วนบุคคลที่อ่อนไหวที่เจ้าของข้อมูลส่วนบุคคลไม่สามารถให้ความยินยอมได้ ไม่ว่ากรณีใดก็ตาม (ม.26 (1))
• เพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย (ม.26 (4))
• เพื่อประโยชน์ด้านสาธารณสุข หรือการคุ้มครองทางสังคมอื่นใดโดยบริษัทฯ จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล (ม.26 (5) (ข))
• เพื่อความจำเป็นในการปฏิบัติตามกฎหมายด้านการคุ้มครองแรงงาน การให้สวัสดิการรักษาพยาบาล การประกันสังคม (ม.26 (5) (ค))

5. ขอบเขต

ใช้สำหรับผู้รับบริการของโรงพยาบาลจักษุสุราษฎร์

6. นิยาม

“ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

“ข้อมูลส่วนบุคคลที่อ่อนไหว” หมายถึง ข้อมูลส่วนบุคคลที่เกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ (เช่น ข้อมูลภาพจำลองใบหน้า ข้อมูลจำลองม่านตา ข้อมูลจำลองลายนิ้วมือ) หรือข้อมูลอื่นใดที่กระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

“ข้อมูลการรักษาพยาบาล” หมายถึง ข้อมูลดังต่อไปนี้

• วันเดือนปีที่เข้ารับการรักษา
• ประวัติแพ้ยาและประวัติผลข้างเคียงของยา
• ประวัติแพ้อาหาร
• ชื่อโรคที่ได้รับการวินิจฉัย ชื่อหัตถการ และชื่อการผ่าตัด
• ผลเลือด ผลตรวจทางห้องปฏิบัติการ ผลตรวจชิ้นเนื้อทางพยาธิวิทยา ภาพถ่ายทางรังสีวิทยา และรายงานผลการทางรังสีวิทยา
• รายการยาที่แพทย์ได้สั่ง
• ข้อมูลอื่น เช่น อาการ คำแนะนำของแพทย์ และรายละเอียดการวินิจฉัยโรค เป็นต้น

“ประมวลผล” หมายถึง เก็บรวบรวม ใช้ หรือเปิดเผย

“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายถึง บุคคลหรือนิติบุคคลที่มีอำนาจในการตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลซึ่งดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล

หน้าที่ความรับผิดชอบ

แนวทางปฏิบัติ

1. ข้อมูลส่วนบุคคลที่บริษัทฯ เก็บรวบรวมจากท่าน

ข้อมูลส่วนบุคคลของท่านที่บริษัทฯ เก็บรวบรวม สามารถจำแนกเป็นประเภทดังต่อไปนี้

2. แหล่งที่มาของข้อมูลส่วนบุคคล

บริษัทฯ เก็บรวบรวมข้อมูลส่วนบุคคลของท่านจากแหล่งที่มาดังต่อไปนี้

1. ข้อมูลส่วนบุคคลที่ได้โดยตรงจากท่าน ได้แก่
   1.1) กรณีที่ท่านเป็นผู้เข้ารับบริการตรวจและรักษาโรค: บริษัทฯ ได้ข้อมูลส่วนบุคคลของท่านจากการที่ท่านติดต่อสอบถามกับบริษัทฯ เรื่องการบริการ หรือท่านได้ลงทะเบียนเข้ารับบริการทางการแพทย์ และบริการต่าง ๆ จากบริษัทฯ ด้วยตนเองที่บริษัทฯ รวมทั้งการลงทะเบียนผ่านสื่ออิเล็กทรอนิกส์
2. ข้อมูลส่วนบุคคลที่ได้รับโดยทางอ้อม ได้แก่
   2.1) บุคคลที่มีความใกล้ชิดกับท่าน เช่น ญาติ คู่สมรส เป็นต้น
   2.2) บุคคลที่ท่านมอบอำนาจให้ดำเนินการแทนตัวท่านในการติดต่อกับโรงพยาบาล
   2.3) สถานพยาบาลในเครือข่ายในกรณีที่ท่านได้ให้ความยินยอมกับสถานพยาบาลในเครือข่ายไว้ว่าให้เปิดเผยข้อมูลส่วนบุคคลของท่านได้
   2.4) บุคคล นิติบุคคล หรือหน่วยงานไม่ว่าภาครัฐ เอกชน หรือรัฐวิสาหกิจที่เป็นผู้ส่งท่านมาตรวจรักษาหรือใช้บริการกับบริษัทฯ หรือเป็นผู้ชำระค่าบริการให้กับท่าน

3. การเปิดเผยหรือแบ่งปันข้อมูลส่วนบุคคล

บริษัทฯ จะไม่เปิดเผยข้อมูลส่วนบุคคลของท่านให้บุคคลภายนอก ยกเว้นเป็นกรณีที่กฎหมายอนุญาตเพื่อความจำเป็นในการปฏิบัติงาน ซึ่งทำให้บริษัทฯ อาจเปิดเผยข้อมูลส่วนบุคคลได้ในกรณีต่อไปนี้

1. เปิดเผยข้อมูลส่วนบุคคลให้หน่วยงานราชการ หน่วยงานผู้มีอำนาจหรือบุคคลใด ๆ เมื่อมีกฎหมายกำหนดหรือให้อำนาจ รวมถึงการปฏิบัติตามคำสั่งศาล
2. การเปิดเผยข้อมูลส่วนบุคคลให้กับบุคคลหรือนิติบุคคลที่บริษัทฯ จำเป็นต้องปฏิบัติตามสัญญาหรือเพื่อผลประโยชน์ของท่านในฐานะเจ้าของข้อมูลส่วนบุคคล โดยบริษัทฯ กำหนดให้บุคคลหรือนิติบุคคลเหล่านี้ต้องรักษาความลับและคุ้มครองข้อมูลส่วนบุคคลของท่านตามมาตรฐานที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด ซึ่งรวมถึงแต่ไม่จำกัดเพียงบุคคลหรือนิติบุคคลดังต่อไปนี้
   • สถานพยาบาลในเครือข่าย และกลุ่มบริษัทกรุงเทพดุสิตเวชการ เท่าที่จำเป็นในการให้บริการการตรวจรักษาโรคและให้บริการทางการแพทย์กับท่าน โดยบริษัทฯ จะเปิดเผยข้อมูลส่วนบุคคลเฉพาะส่วนที่จำเป็นเท่านั้น และบริษัทฯ จะรักษาความลับให้กับข้อมูลส่วนบุคคลของท่านตามหน้าที่ที่บริษัทฯ มีภายใต้กฎหมายที่เกี่ยวข้อง เช่น พระราชบัญญัติสถานพยาบาล พ.ศ. 2541 พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 และพระราชบัญญัติวิชาชีพเวชกรรม พ.ศ. 2525
   • บริษัทประกันภัย หรือผู้ให้บริการบริหารจัดการสินไหมทดแทนของบริษัทประกันนั้น
   • สถานพยาบาลที่รับการส่งต่อผู้ป่วย
   • ผู้ส่งท่านมาตรวจรักษาหรือใช้บริการกับสถานพยาบาล หรือชำระเงินค่าบริการแทนท่าน
   • ผู้ประมวลผลข้อมูลส่วนบุคคลที่จำเป็นต่อการปฏิบัติงานของบริษัทฯ เช่น ผู้รับจ้าง หรือผู้ให้บริการด้านเทคโนโลยี (Technology Outsource)
3. บริษัทฯ อาจเก็บข้อมูลส่วนบุคคลไว้ในระบบประมวลผลแบบคลาวด์ (Cloud Computing) โดยใช้บริการจากบุคคลที่สามไม่ว่าตั้งอยู่ในประเทศไทยหรือต่างประเทศ โดยบริษัทฯ ได้เข้าทำสัญญากับบุคคลดังกล่าวด้วยความระมัดระวังและพิจารณาถึงระบบรักษาความปลอดภัยในการเก็บรักษาข้อมูลส่วนบุคคลที่ผู้ให้บริการระบบ Cloud Computing นั้นให้กับการคุ้มครองข้อมูลส่วนบุคคล

4. ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

1. บริษัทฯ ใช้มาตรฐานระยะเวลาการเก็บเวชระเบียนตามพระราชบัญญัติสถานพยาบาล พ.ศ. 2541 และฉบับแก้ไขล่าสุด โดยบริษัทฯ จะเก็บเวชระเบียนไม่เกิน 10 ปี นับจากวันที่มารับการรักษาพยาบาลครั้งสุดท้าย เมื่อครบกำหนด 10 ปีแล้วจะทำลายทิ้งทั้งเวชระเบียนฉบับจริง สำเนา และเวชระเบียนรูปแบบอิเล็กทรอนิกส์
2. ในกรณีที่บริษัทฯ ต้องปฏิบัติตามกฎหมาย ปฏิบัติตามคำสั่งศาล หรือต้องก่อตั้งสิทธิเรียกร้องตามกฎหมายเพื่อเข้ากระบวนการระงับข้อพิพาทใด ๆ บริษัทฯ อาจจัดเก็บข้อมูลส่วนบุคคลได้ตามระยะเวลาของอายุความตามกฎหมาย หรือจนกว่าข้อพิพาทนั้นจะถึงที่สุดแล้วแต่กรณี

5. มาตรการในการเก็บรักษาและประมวลผลข้อมูลส่วนบุคคล

1. บริษัทฯ จะจัดเก็บรักษาข้อมูลส่วนบุคคลด้วยมาตรการไม่น้อยกว่าระดับที่กฎหมายกำหนด และด้วยระบบที่เหมาะสม เพื่อป้องกันและรักษาความปลอดภัยข้อมูลส่วนบุคคลนั้น เช่น ใช้โปรโตคอลความปลอดภัย (Secure Socket Layer: SSL) ปกป้องด้วยไฟร์วอลล์ รหัสผ่าน และมาตรการทางเทคนิคอื่น ๆ สำหรับการเข้ารหัสข้อมูลผ่านทางอินเตอร์เน็ต จะจัดเก็บในสถานที่ที่มีระบบป้องกันการเข้าถึงที่จำกัดบุคคลที่สามารถเข้าถึงได้สำหรับข้อมูลส่วนบุคคลที่อยู่ในรูปแบบเอกสาร
2. บริษัทฯ จำกัดการเข้าถึงข้อมูลส่วนบุคคลที่อาจจะเข้าถึงได้โดยพนักงาน ตัวแทน คู่ค้า หรือบุคคลภายนอก การเข้าถึงข้อมูลส่วนบุคคลของบุคคลภายนอกจะสามารถทำได้ตามเท่าที่กำหนดไว้หรือตามคำสั่ง ซึ่งบุคคลภายนอกจะต้องมีหน้าที่ในการรักษาความลับและคุ้มครองข้อมูลส่วนบุคคล
3. บริษัทฯ จัดให้มีวิธีการทางเทคโนโลยีเพื่อป้องกันไม่ให้มีการเข้าสู่ระบบคอมพิวเตอร์ที่ไม่ได้รับอนุญาต
4. บริษัทฯ มีระบบตรวจสอบเพื่อจัดการทำลายข้อมูลส่วนบุคคลที่ไม่มีความจำเป็นในการดำเนินการของบริษัทฯ
5. ในกรณีที่เป็นข้อมูลส่วนบุคคลที่อ่อนไหว บริษัทฯ จะจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลเอกสารและข้อมูลอิเล็กทรอนิกส์ในด้านการเข้าถึงและควบคุมการใช้งาน มีระบบการใช้งานและระบบสำรองพร้อมทั้งแผนสำหรับกรณีฉุกเฉิน และมีการตรวจสอบประเมินความเสี่ยงของระบบอย่างสม่ำเสมอ

6. การโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

1. ในบางกรณี บริษัทฯ อาจมีความจำเป็นต้องโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ บริษัทฯ อาจดำเนินการดังกล่าวได้หลังจากที่ได้แจ้งกับท่านถึงวัตถุประสงค์ของการดำเนินการดังกล่าว และได้รับการยินยอมจากท่านแล้ว โดยบริษัทฯ จะแจ้งให้ท่านทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่อาจไม่เพียงพอของประเทศปลายทาง
2. บริษัทฯ สามารถโอนข้อมูลส่วนบุคคลของท่านไปได้โดยไม่ต้องขอความยินยอมจากท่านในกรณีที่การโอนข้อมูลส่วนบุคคลไปต่างประเทศนั้น เป็นไปเพื่อปฏิบัติตามสัญญาซึ่งท่านเป็นคู่สัญญา หรือเพื่อใช้ในการดำเนินการตามคำขอของท่านก่อนเข้าทำสัญญานั้น หรือเป็นไปตามข้อกำหนดในพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

7. นโยบายเกี่ยวกับคุกกี้ (Cookie Policy)

เมื่อท่านเยี่ยมชมเว็บไซต์ของบริษัทฯ บริษัทฯ ใช้คุกกี้เพื่อให้มั่นใจว่าท่านจะได้รับประสบการณ์ที่ดีจากการใช้งานบนเว็บไซต์ของบริษัทฯ คุกกี้เป็นไฟล์ขนาดเล็กที่จัดเก็บข้อมูลและบันทึกลงไปในอุปกรณ์คอมพิวเตอร์หรือเครื่องมือสื่อสารที่เข้าใช้งานของท่านผ่านทางเว็บเบราว์เซอร์ที่ท่านเลือกใช้ในขณะที่ท่านเข้าชมเว็บไซต์ บริษัทฯ ใช้คุกกี้เพื่อจัดเก็บเอกลักษณ์การเข้าเยี่ยมชมเว็บไซต์ของท่าน โดยเอกลักษณ์นี้ทำให้บริษัทฯ สามารถจำลักษณะการใช้งานบนเว็บไซต์ของท่านได้ง่ายขึ้น และข้อมูลเหล่านี้จะถูกนำไปใช้เพื่อปรับปรุงเว็บไซต์ของบริษัทฯ ให้เข้ากับความต้องการของท่านมากยิ่งขึ้น เพื่อความสะดวกและรวดเร็วในการใช้งานเว็บไซต์ของท่าน ในบางครั้ง บริษัทฯ จำเป็นต้องให้บุคคลที่สามในการดำเนินการดังกล่าว ซึ่งอาจต้องใช้อินเตอร์เน็ตโปรโตคอลแอดเดรส (IP Address) และคุกกี้เพื่อวิเคราะห์ เชื่อมโยงข้อมูล และประมวลผลตามวัตถุประสงค์ทางการตลาด ท่านสามารถตั้งค่าคุกกี้ได้เมื่อท่านเข้าสู่เว็บไซต์ของบริษัทฯ โดยท่านสามารถเลือกได้ว่าจะอนุญาตหรือไม่อนุญาตให้คุกกี้ทำการวิเคราะห์ เชื่อมโยงข้อมูล และประมวลผลตามวัตถุประสงค์ทางการตลาด

8. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ในฐานะเจ้าของข้อมูลส่วนบุคคล ท่านมีสิทธิ์เรียกร้องขอให้บริษัทฯ ดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลของท่านตามขอบเขตที่กฎหมายอนุญาตให้กระทำได้ ดังนี้

1. สิทธิ์ในการเพิกถอนความยินยอม (right to withdraw consent): ท่านมีสิทธิ์ในการเพิกถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคลที่ท่านได้ให้ความยินยอมกับบริษัทฯ ได้ตลอดระยะเวลาที่ข้อมูลส่วนบุคคลของท่านอยู่กับบริษัทฯ
2. สิทธิในการเข้าถึงข้อมูลส่วนบุคคล (right of access): ท่านมีสิทธิ์ในการเข้าถึงข้อมูลส่วนบุคคลของท่าน และขอให้บริษัทฯ ทำสำเนาข้อมูลส่วนบุคคลดังกล่าว รวมถึงขอให้บริษัทฯ เปิดเผยการได้มาซึ่งข้อมูลส่วนบุคคลที่ท่านไม่ได้ให้ความยินยอมต่อบริษัทฯ ให้แก่ท่านได้
3. สิทธิ์ในการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง (right to rectification): ท่านมีสิทธิในการขอให้บริษัทฯ แก้ไขข้อมูลที่ไม่ถูกต้อง หรือเพิ่มเติมข้อมูลที่ไม่สมบูรณ์
4. สิทธิในการลบข้อมูลส่วนบุคคล (right to erasure): ท่านมีสิทธิในการขอให้บริษัทฯ ทำการลบข้อมูลของท่านด้วยเหตุบางประการได้
5. สิทธิในการระงับการใช้ข้อมูลส่วนบุคคล (right to restriction of processing): ท่านมีสิทธิในการให้บริษัทฯ ระงับการใช้ข้อมูลส่วนบุคคลของท่านด้วยเหตุบางประการได้
6. สิทธิในการให้โอนย้ายข้อมูลส่วนบุคคล (right to data portability): ท่านมีสิทธิในการโอนย้ายข้อมูลส่วนบุคคลของท่านที่ท่านให้ไว้กับบริษัทฯ ไปยังผู้ควบคุมข้อมูลรายอื่น หรือตัวท่านเองด้วยเหตุบางประการได้
7. สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล (right to object): ท่านมีสิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคลของท่านด้วยเหตุผลบางประการได้ ท่านสามารถติดต่อมายังเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) ของเราได้

9. การเปลี่ยนแปลงนโยบายคุ้มครองข้อมูลส่วนบุคคล

บริษัทฯ อาจทบทวนและเปลี่ยนแปลงนโยบายการคุ้มครองข้อมูลส่วนบุคคลในอนาคตเพื่อพัฒนาให้เกิดการคุ้มครองข้อมูลส่วนบุคคลที่ดีขึ้น โดยบริษัทฯ จะแจ้งให้ทราบทุกครั้งที่มีการเปลี่ยนแปลงนโยบายดังกล่าว

ช่องทางการติดต่อ

1. บททั่วไป

บริษัท บรรยง การแพทย์ จำกัด ในฐานะผู้ประกอบกิจการโรงพยาบาลจักษุสุราษฎร์ (“บริษัทฯ” หรือ “โรงพยาบาลจักษุสุราษฎร์”) ตระหนักถึงความสำคัญของข้อมูลส่วนบุคคล และหน้าที่ตามกฎหมายในการคุ้มครองข้อมูลส่วนบุคคล ของลูกค้า เจ้าหน้าที่ และบุคคลภายนอก (ซึ่งต่อไปในประกาศนี้เรียกว่า “ท่าน”) เพื่อเป็นการปฏิบัติตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บริษัทฯ จึงได้จัดทำประกาศการคุ้มครอง ข้อมูลส่วนบุคคลฉบับนี้ขึ้น เพื่ออธิบายให้ท่านทราบเกี่ยวกับรายละเอียด วิธีการเก็บรวบรวม ใช้ เปิดเผยข้อมูลส่วนบุคคล หรือการดำเนินการใด ๆ กับข้อมูลส่วนบุคคล เช่น การบันทึก การจัดระบบ การจัดเก็บ การปรับ รวมถึงสิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ในฐานะเจ้าของข้อมูลส่วนบุคคล เปลี่ยนหรือการดัดแปลง การเรียกคืน การส่ง โอน การเผยแพร่ หรือการทำให้สามารถเข้าถึง หรือพร้อมใช้งานด้วยวิธีใด ๆ การจัดเรียง การนำมารวม การจำกัด หรือการห้ามเข้าถึง การลบหรือการทำลาย และเพื่อแจ้งให้ท่านทราบถึงวัตถุประสงค์ในการประมวลผล ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล ตลาดจนสิทธิของ ท่านในฐานะเจ้าของข้อมูลส่วนบุคคล ทั้งนี้บริษัทฯ ขอแนะนำให้ท่านอ่านและทำความเข้าใจถึงข้อกำหนดต่าง ๆ ภายใต้ประกาศ โดยมีรายละเอียดดังต่อไปนี้

2. ข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวม

บริษัทฯ อาจเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน เท่าที่จำเป็นเพื่อวัตถุประสงค์ทางธุรกิจ และการแพทย์ ดังต่อไปนี้

• ข้อมูลระบุตัวตนและข้อมูลการติดต่อ เช่น ชื่อ-นามสกุล เลขประจำตัวประชาชน เลขผู้เสียภาษี สำเนาบัตรประชาชนหรือหนังสือเดินทาง ที่อยู่ เบอร์โทรศัพท์ และอีเมล
• ข้อมูลคุณสมบัติและการทำงาน เช่น ประวัติการทำงาน ใบอนุญาตประกอบวิชาชีพ ใบรับรองมาตรฐานโรงงานหรือผลิตภัณฑ์ และเอกสารรับรองการขึ้นทะเบียน เครื่องมือแพทย์
• ข้อมูลทางการเงิน เช่น เลขที่บัญชีธนาคาร รายละเอียดการวางบิล ใบแจ้งหนี้ และเอกสารหักภาษี ณ ที่จ่าย
• ข้อมูลความปลอดภัยในพื้นที่โรงพยาบาล เช่น ภาพถ่ายใบหน้า สำหรับทำบัตรผ่านเข้า-ออกพื้นที่ควบคุม ทะเบียนรถยนต์ และภาพบันทึกจากกล้องวงจรปิด (CCTV) ภายในและรอบอาคารโรงพยาบาล

ข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data) อาจประกอบด้วย

• ข้อมูลสุขภาพ / ผลการตรวจโรค เช่น ใบรับรองแพทย์ ผลตรวจวัคซีน หรือผลตรวจเชื้อ เช่น COVID-19 หรือโรคติดต่อร้ายแรง สำหรับพนักงานคู่ค้าที่ต้องเข้ามาปฏิบัติงาน ในพื้นที่ฆ่าเชื้อ ห้องผ่าตัด หรือพื้นที่ดูแลผู้ป่วยอย่างใกล้ชิด
• ข้อมูลชีวมิติ (Biometrics) เช่น ลายนิ้วมือ หรือภาพจำลองใบหน้า ในกรณีที่โรงพยาบาลใช้ระบบสแกน เพื่อเข้าพื้นที่ทำงาน

3. วัตถุประสงค์ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

บริษัทฯ ประมวลผลข้อมูลส่วนบุคคลของท่านภายใต้ฐานความคิดทางกฎหมาย (Lawful Basis) เพื่อวัตถุประสงค์ดังต่อไปนี้

• เพื่อการปฏิบัติตามสัญญา ที่ท่านเป็นคู่สัญญา หรือเพื่อใช้ในการดำเนินการตามคำขอของท่าน ก่อนเข้าทำสัญญา
• เพื่อการปฏิบัติตามกฎหมายของบริษัทฯ เช่น กฎหมายป้องกันและปราบปรามการฟอกเงิน และกฎหมายภาษีอากร
• เพื่อประโยชน์โดยชอบด้วยกฎหมาย ของบริษัทฯ หรือของบุคคลภายนอก โดยไม่เกินขอบเขตที่ท่านสามารถคาดหมายได้ อย่างสมเหตุสมผล
• เพื่อป้องกันหรือระงับอันตราย ต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
• เพื่อการดำเนินงานตามความยินยอม ที่ท่านได้ให้ไว้แก่บริษัทฯ

4. ข้อกำหนดพิเศษด้านความลับทางการแพทย์ (Medical Confidentiality)

เนื่องจากบริษัทฯ ประกอบกิจการเป็นโรงพยาบาลเอกชน เป็นพื้นที่เก็บรักษาข้อมูลความลับขั้นสูงของผู้ป่วย คู่ค้ามีหน้าที่ ต้องปฏิบัติตามเงื่อนไขเพิ่มเติมดังนี้

• การเข้าถึงพื้นที่ พนักงานของคู่ค้าที่เข้ามาติดตั้ง ซ่อมบำรุงเครื่องมือแพทย์ หรือดูแลระบบไอที (Hospital Information System: HIS) จะต้องปฏิบัติตามมาตรการความปลอดภัยและจำกัดสิทธิ์เข้าถึงอย่างเคร่งครัด
• หน้าที่รักษาความลับ ห้ามคู่ค้าเข้าถึง, เปิดดู, ถ่ายภาพ, หรือบันทึกข้อมูลใด ๆ ที่เกี่ยวกับประวัติการรักษา รายชื่อ หรือข้อมูลส่วนบุคคลของผู้ป่วยโดยเด็ดขาด หากพบการรั่วไหล คู่ค้าจะต้องร่วมรับผิดชอบความเสียหายตามที่กฎหมายกำหนด

5. การเปิดเผยข้อมูลส่วนบุคคล

บริษัทฯ อาจเปิดเผยข้อมูลส่วนบุคคลของท่าน ให้แก่บุคคลหรือองค์กรภายนอกเท่าที่จำเป็น ภายใต้วัตถุประสงค์ที่กำหนดไว้ ในประกาศฉบับนี้ เช่น

• สถาบันการเงินและธนาคาร เพื่อโอนเงินค่าสินค้า ค่าบริการ หรือค่าใช้จ่ายอื่น ๆ
• ที่ปรึกษากฎหมาย ผู้ตรวจสอบบัญชี หรือหน่วยงานตรวจประเมินมาตรฐานโรงพยาบาล เช่น HA, JCI เป็นต้น
• หน่วยงานราชการ หรือหน่วยงานกำกับดูแลตามกฎหมาย เช่น ธนาคารแห่งประเทศไทย สำนักงานคณะกรรมการอาหารและยา (อย.) กรมสนับสนุนบริการสุขภาพ และกรมสรรพากร เป็นต้น

6. ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

บริษัทฯ จะเก็บรักษาข้อมูลส่วนบุคคลของท่านไว้ในระยะเวลาที่จำเป็น เพื่อประโยชน์ในการบรรลุวัตถุประสงค์ตามที่ระบุไว้ในประกาศฉบับนี้ หรือตามระยะเวลาที่กฎหมายกำหนด (เช่น 5-10 ปี นับแต่วันที่ความสัมพันธ์สิ้นสุดลง) เมื่อพ้นกำหนดระยะเวลาดังกล่าว บริษัทจะทำการลบ ทำลาย หรือทำให้ข้อมูลนั้นไม่สามารถระบุตัวตนของท่านได้

7. สิทธิตามกฎหมายของท่าน ในฐานะเจ้าของข้อมูลส่วนบุคคล

ท่านมีสิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ในการดำเนินการดังต่อไปนี้

• สิทธิในการเพิกถอนความยินยอม (Right to Withdraw Consent)
• สิทธิในการเข้าถึงและขอรับสำเนาข้อมูล (Right of Access)
• สิทธิในการขอให้โอนย้ายข้อมูล (Right to Data Portability)
• สิทธิในการคัดค้านการประมวลผลข้อมูล (Right to Object)
• สิทธิในการขอให้ลบหรือทำลายข้อมูล (Right to Erasure)
• สิทธิในการขอให้ระงับการใช้ข้อมูล (Right to Restriction of Processing)
• สิทธิในการขอแก้ไขข้อมูลให้ถูกต้อง (Right to Rectification)
• สิทธิในการร้องเรียนต่อหน่วยงานกำกับดูแล (Right to Lodge a Complaint)

8. ช่องทางการติดต่อเรา