นโยบายความเป็นส่วนตัวและคุกกี้
นโยบายความเป็นส่วนตัว
โรงพยาบาลจุฬาภรณ์ ("หน่วยงาน") ตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคล จึงจัดทำนโยบายนี้เพื่อแจ้งให้ท่านทราบถึงรายละเอียดการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลในระบบข้อมูลการศึกษาต่อเนื่องของแพทย์ (CME) ("ระบบ") ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายที่เกี่ยวข้อง
1. ผู้ควบคุมข้อมูลส่วนบุคคล
2. ข้อมูลส่วนบุคคลที่ระบบเก็บรวบรวม
| กลุ่มบุคคล | ข้อมูลที่เก็บ |
|---|---|
| ผู้ยื่นคำร้องขอหน่วยคะแนน (บุคลากรของหน่วยงาน) | รหัสพนักงาน ชื่อ-นามสกุล สังกัด/ฝ่าย/งาน/หน่วย หมายเลขโทรศัพท์ อีเมล รายละเอียดกิจกรรมที่ยื่นขอ และไฟล์เอกสารที่อัปโหลด |
| แพทย์ผู้เข้าร่วมกิจกรรมและวิทยากร | เลขที่ใบประกอบวิชาชีพเวชกรรม คำนำหน้า ชื่อ-นามสกุล สังกัด/ส่วนงาน ตำแหน่ง อีเมล รหัสพนักงาน (ถ้ามี) ประเภทการเข้าร่วม วันเวลาที่ลงทะเบียน และหน่วยคะแนนที่ได้รับ |
| เจ้าหน้าที่ผู้ดูแลระบบ | ชื่อผู้ใช้ (รหัสพนักงาน) ชื่อ-นามสกุล หน่วยงาน สิทธิ์การใช้งาน และประวัติการดำเนินการในระบบ |
| ข้อมูลทางเทคนิค (ทุกคน) | หมายเลข IP ข้อมูลเบราว์เซอร์/อุปกรณ์ (User-Agent) วันเวลาที่ใช้งาน และคุกกี้ที่จำเป็น (ดูหัวข้อนโยบายคุกกี้) |
| พิกัดตำแหน่ง (GPS) | เก็บเฉพาะเมื่อผู้ดูแลเปิดใช้การเก็บพิกัดตอนสแกน QR และท่านอนุญาตผ่านเบราว์เซอร์เท่านั้น ใช้ยืนยันว่าเข้าร่วม ณ สถานที่จัดกิจกรรม |
ระบบไม่เก็บข้อมูลส่วนบุคคลที่มีความอ่อนไหว (ตามมาตรา 26) เช่น ข้อมูลสุขภาพ ศาสนา หรือข้อมูลชีวภาพ
3. แหล่งที่มาของข้อมูล
- จากท่านโดยตรง เมื่อกรอกแบบฟอร์มยื่นคำร้อง ลงทะเบียนผ่าน QR Code หรือลงทะเบียนแพทย์ใหม่
- จากทะเบียนบุคลากร/ทะเบียนแพทย์ของหน่วยงาน และไฟล์รายชื่อผู้เข้าร่วม (CSV) ที่ผู้จัดกิจกรรมส่งเข้าระบบ
- จากการทำงานของระบบโดยอัตโนมัติ (ข้อมูลทางเทคนิคและบันทึกการใช้งาน)
4. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผล
| วัตถุประสงค์ | ฐานทางกฎหมาย |
|---|---|
| รับและพิจารณาคำร้องขอหน่วยคะแนน CME ติดต่อและแจ้งผลทางอีเมล | ภารกิจเพื่อประโยชน์สาธารณะ / ประโยชน์โดยชอบด้วยกฎหมายของหน่วยงาน (มาตรา 24(4), 24(5)) |
| ลงทะเบียนเข้าร่วมกิจกรรม บันทึกและรับรองหน่วยคะแนน ออกประวัติหน่วยคะแนน และรายงานต่อหน่วยงานที่เกี่ยวข้องกับการรับรองหน่วยคะแนน | ภารกิจเพื่อประโยชน์สาธารณะ / ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(4), 24(5)) |
| รักษาความปลอดภัยของระบบ ป้องกันการเข้าถึงโดยมิชอบ และตรวจสอบย้อนหลัง | ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5)) และการปฏิบัติตามกฎหมาย (มาตรา 24(6)) |
| เก็บพิกัด GPS ตอนลงทะเบียน (เมื่อเปิดใช้) | ความยินยอมของท่านผ่านการอนุญาตตำแหน่งของเบราว์เซอร์ (มาตรา 19) — ปฏิเสธหรือถอนได้ทุกเมื่อในการตั้งค่าเบราว์เซอร์ |
5. การเปิดเผยข้อมูลส่วนบุคคล
- หน้าเว็บสาธารณะของระบบ: รายชื่อผู้เข้าร่วม ประเภทการเข้าร่วม และหน่วยคะแนนของแต่ละกิจกรรมแสดงในหน้า "ภาพรวม" และค้นประวัติหน่วยคะแนนได้ด้วยเลขที่ใบประกอบวิชาชีพเวชกรรม เพื่อความโปร่งใสในการรับรองหน่วยคะแนน (ไม่แสดงเลขที่ใบประกอบวิชาชีพ เบอร์โทรศัพท์ หรืออีเมลในรายชื่อสาธารณะ)
- เจ้าหน้าที่ที่ได้รับมอบหมาย เข้าถึงข้อมูลตามสิทธิ์และเท่าที่จำเป็นต่อหน้าที่เท่านั้น
- หน่วยงานที่เกี่ยวข้องกับการรับรองหน่วยคะแนน เช่น ศูนย์การศึกษาต่อเนื่องของแพทย์ แพทยสภา เท่าที่จำเป็น
- ผู้ประมวลผลข้อมูล ได้แก่ ผู้ให้บริการเครื่องแม่ข่าย (Hosting) และบริการส่งอีเมลของระบบ ซึ่งต้องรักษาความลับและความปลอดภัยของข้อมูล
- หน่วยงานรัฐหรือผู้มีอำนาจตามกฎหมาย เมื่อมีกฎหมายหรือคำสั่งให้เปิดเผย
หน่วยงานไม่ขายหรือนำข้อมูลส่วนบุคคลของท่านไปใช้เพื่อการตลาด
6. การส่งข้อมูลไปต่างประเทศ
ข้อมูลส่วนบุคคลในระบบจัดเก็บบนเครื่องแม่ข่ายของผู้ให้บริการ Hosting และไฟล์ประกอบหน้าเว็บทั้งหมด (รวมถึงแบบอักษร) โหลดจากเครื่องแม่ข่ายของระบบเอง ยกเว้นภาพแผนที่ (OpenStreetMap) ที่แสดงพิกัดการลงทะเบียนในหน้าเจ้าหน้าที่เท่านั้น ซึ่งเบราว์เซอร์ของเจ้าหน้าที่จะส่งเพียงข้อมูลทางเทคนิค (หมายเลข IP และ User-Agent) ไปยังผู้ให้บริการแผนที่ที่อาจอยู่ต่างประเทศ โดยไม่มีการส่งข้อมูลส่วนบุคคลที่กรอกในระบบ
7. ระยะเวลาการเก็บรักษาข้อมูล
8. มาตรการรักษาความมั่นคงปลอดภัย
- เชื่อมต่อผ่าน HTTPS เข้ารหัสรหัสผ่านด้วย bcrypt และแยกสิทธิ์การเข้าถึงตามบทบาท (เจ้าหน้าที่ / ผู้ดูแลระบบสูงสุด)
- ไฟล์เอกสารที่อัปโหลดจัดเก็บนอกพื้นที่เว็บสาธารณะ ดาวน์โหลดได้เฉพาะผู้มีสิทธิ์หรือผ่านลิงก์ที่ลงลายมือชื่อดิจิทัล
- ป้องกันการปลอมแปลงคำขอ (CSRF) จำกัดจำนวนครั้งการเรียกใช้งาน และบันทึกประวัติการดำเนินการเพื่อตรวจสอบย้อนหลัง
สิทธิของเจ้าของข้อมูลส่วนบุคคล
ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ท่านมีสิทธิดังต่อไปนี้ ตามเงื่อนไขที่กฎหมายกำหนด
- สิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของท่าน (มาตรา 30)
- สิทธิขอรับหรือขอให้โอนข้อมูลในรูปแบบอิเล็กทรอนิกส์ (มาตรา 31)
- สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล (มาตรา 32)
- สิทธิขอให้ลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ (มาตรา 33)
- สิทธิขอให้ระงับการใช้ข้อมูล (มาตรา 34)
- สิทธิขอให้แก้ไขข้อมูลให้ถูกต้อง เป็นปัจจุบัน และสมบูรณ์ (มาตรา 35)
- สิทธิถอนความยินยอมในกรณีที่ประมวลผลโดยอาศัยความยินยอม (มาตรา 19)
- สิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) www.pdpc.or.th
หน่วยงานจะพิจารณาและแจ้งผลคำขอของท่านภายใน 30 วันนับแต่วันที่ได้รับคำขอ ทั้งนี้อาจปฏิเสธคำขอได้ในกรณีที่กฎหมายกำหนด เช่น ข้อมูลจำเป็นต่อการรับรองหน่วยคะแนนที่ต้องเก็บไว้ตามระเบียบ
ช่องทางการติดต่อ
การปรับปรุงนโยบาย
หน่วยงานอาจปรับปรุงนโยบายนี้ให้สอดคล้องกับกฎหมายและการให้บริการ หากมีการเปลี่ยนแปลงในสาระสำคัญ ระบบจะแสดง popup ให้ท่านรับทราบและยอมรับฉบับใหม่อีกครั้ง