"การศึกษาวิจัย" หมายความว่า การดำเนินการเกี่ยวกับการศึกษาค้นคว้า การวิเคราะห์
การทดลอง การทดสอบ หรือการประเมินผลอย่างเป็นระบบ เพื่อให้ได้มาซึ่งความรู้ใหม่หรือหลักการ
ทางวิชาการในสาขาวิชาที่เกี่ยวข้อง รวมถึงการเผยแพร่ความรู้หรือหลักการทางวิชาการนั้น ทั้งที่เป็น
การดำเนินการในระดับพื้นฐาน (fundamental or basic) และระดับประยุกต์ (applied) และรวมถึง
การพัฒนาเทคโนโลยีและนวัตกรรมจากความรู้หรือหลักการทางวิชาการดังกล่าวด้วย

"สถิติ" หมายความว่า การดำเนินการเกี่ยวกับการเก็บรวบรวม การสำรวจ การประมวลผล
การวิเคราะห์ และการสรุปผลจากข้อมูล ตลอดจนการแสดงผลหรือเผยแพร่ผลจากการดำเนินการ
ดังกล่าว ทั้งนี้ เพื่อการเปรียบเทียบหรืออ้างอิงในภาพรวม โดยไม่ได้มุ่งหมายที่จะนำข้อมูลหรือผลจาก
การดำเนินการดังกล่าวมามีผลต่อการตัดสินใจหรือดำเนินการใดเกี่ยวกับเจ้าของข้อมูลส่วนบุคคล
ผู้ใดผู้หนึ่ง และให้หมายความรวมถึงการดำเนินงานทางสถิติและการสำรวจตามกฎหมายว่าด้วยสถิติด้วย

"ความเสี่ยงขั้นต่ำ” หมายความว่า ความเสี่ยงที่อาจจะเกิดอันตรายต่อผู้เข้าร่วมการศึกษาวิจัย
ในระดับต่ำ (minimal risk) ซึ่งอาจเทียบได้กับความเสี่ยงที่จะเกิดอันตรายที่อาจเกิดขึ้นได้โดยทั่วไป
ในชีวิตประจำวันต่อผู้ที่มีสุขภาพดีในสภาพแวดล้อมปกติทั่วไป หรือในการตรวจหรือการทดสอบสุขภาพ
ทางกายภาพหรือทางจิตใจโดยทั่วไป (routine physical or psychological examinations or tests)

ข้อ ๔ ในกรณีเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ ตามมาตรา ๒๔ (๑) แห่งพระราชบัญญัติ
คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการปกป้อง
ที่เหมาะสมเพื่อคุ้มครองสิทธิและความเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ดังต่อไปนี้

(๑) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures)
และมาตรการเชิงเทคนิค (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ
(physical measures) ที่จำเป็นด้วย เพื่อควบคุมให้การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว เป็นไป
เท่าที่จำเป็นภายใต้วัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ โดยคำนึงถึงหลักการทำงานวิชาการ
ที่เกี่ยวข้องประกอบด้วย

(๒) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสม
กับความเสี่ยงที่มีต่อสิทธิและความเสรีภาพของบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการ
คุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามมาตรา ๓๗ (๑) และครอบคลุมถึงการทำลายบริหารธารณ

ในการดำเนินการตาม (๑) และ (๒) ผู้ควบคุมข้อมูลส่วนบุคคลอาจพิจารณาดำเนินการทำให้
ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือทำการแฝงข้อมูล
(pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล
หรือทำการเข้ารหัสข้อมูล (encryption) หรือใช้มาตรการอื่นในลักษณะเดียวกัน อย่างเหมาะสม
ตามระดับความเสี่ยงได้ โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็น
ที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและ
วัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้
ในการดำเนินการประกอบกัน หากสามารถทำให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติได้

ข้อ ๕ ในกรณีรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง
ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ
ข้อมูลสภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูล
ส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด โดยไม่ได้รับ
ความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล ที่เป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้
บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์
สาธารณะอื่น ตามมาตรา ๒๖ (๕) (ง) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิข้นฟื้นฐานและประโยชน์
ของเจ้าของข้อมูลส่วนบุคคล ดังต่อไปนี้

(๑) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องพิจารณาเหตุผลความจำเป็นแล้วเห็นว่า การเก็บรวบรวม
ข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ
หรือประโยชน์สาธารณะอื่นดังกล่าว เป็นกรณีที่มีความจำเป็น โดยอาจเป็นความจำเป็นตามที่กฎหมายบัญญัติ
ความจำเป็นเพื่อการปฏิบัติหน้าที่ในการดำเนินภารกิจเพื่อประโยชน์สาธารณะของผู้ควบคุม
ข้อมูลส่วนบุคคล หรือปฏิบัติหน้าที่ในการใช้อำนาจรัฐที่ได้มอบให้แก่ผู้ควบคุมข้อมูลส่วนบุคคล
ความจำเป็นตามวัตถุประสงค์ การกิจ หรือบทบาทหน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล ความจำเป็น
เพื่อประโยชน์ในการได้มาซึ่งความรู้ใหม่หรือหลักการทางวิชาการในสาขาวิชาที่เกี่ยวข้อง รวมถึง
การเผยแพร่ความรู้หรือหลักการทางวิชาการดังกล่าว หรือความจำเป็นในการดำเนินงานทางสถิติเพื่อประโยชน์
จากความรู้หรือหลักการทางวิชาการดังกล่าว อ้างโดยอย่างหนึ่งก็ดี

(๒) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการเชิงองค์กร (organizational measures)
และมาตรการเชิงเทคนิก (technical measures) ที่เหมาะสม ซึ่งอาจรวมถึงมาตรการทางกายภาพ
(physical measures) ที่จำเป็นด้วย เพื่อควบคุมให้การเก็บรวบรวมข้อมูลส่วนบุคคลดังกล่าว เป็นไป
เท่าที่จำเป็นภายใต้วัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ
หรือประโยชน์สาธารณะอื่น โดยคำนึงถึงหลักการทางวิชาการที่เกี่ยวข้องประกอบด้วย

(๓) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยให้เหมาะสม กับความเสี่ยงที่มีต่อสิทธิและเสรีภาพของบุคคล ซึ่งจะต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการ คุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามมาตรา ๓๗ (๑) และครอบคลุมถึงการดำเนินการ ในขั้นตอนต่าง ๆ ของผู้ดำเนินการในการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นที่เกี่ยวข้องทั้งหมด

(๔) ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องจัดให้มีมาตรการที่เหมาะสม เพื่อควบคุมและกำกับดูแล ให้งานเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ เป็นไปตามมาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับ โดยไม่ขัดต่อ กฎหมาย โดยคำนึงถึงระดับความเสี่ยง และกฎหมายและมาตรฐานทางจริยธรรมที่เกี่ยวข้องสำหรับ การศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ ในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน โดยมีคณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลในลักษณะเดียวกัน ซึ่งอาจเป็น คณะกรรมการหรือคณะบุคคลภายในสังกัดของผู้ควบคุมข้อมูลส่วนบุคคลหรือภายนอกก็ได้ แต่ต้องไม่มี ผู้ดำเนินการในการศึกษาวิจัยที่จะมีส่วนได้เสียในการศึกษาวิจัยเรื่องนั้นอยู่ด้วย เป็นผู้พิจารณาอนุมัติ หรือรับรองก่อนเริ่มการศึกษาวิจัยนั้น และควบคุมและกำกับดูแลการศึกษาวิจัยนั้นให้เป็นไป ตามมาตรฐานทางจริยธรรมที่เกี่ยวข้อง ทั้งนี้ มาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับ ดังกล่าว ให้หมายความรวมถึงเนื้อหาตามเอกสาร ดังต่อไปนี้

(k) The Belmont Report: Ethical Principles and Guidelines for the Protection of Human Subjects of Research, Report of the National Commission for the Protection of Human Subjects of Biomedical and Behavioral Research โดย Department of Health, Education, and Welfare ประเทศสหรัฐอเมริกา เมื่อวันที่ ๑๘ เมษายน พ.ศ. ๑๙๗๙ (พ.ศ. ๒๕๒๒)

(x) Good Clinical Practice (GCP) โดย The International Council for Harmonisation of Technical Requirements for Pharmaceuticals for Human Use (ICH)ฉบับที่มีการประกาศใช้อ้างอิงในขณะที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคล

(c) International Ethical Guidelines for Health-related Research Involving Humans โดย Council for International Organizations of Medical Sciences (CIOMS)ร่วมกับองค์การอนามัยโลก (World Health Organization: WHO) ฉบับที่มีการประกาศใช้อ้างอิง ในขณะที่ทำการเก็บรวบรวมข้อมูลส่วนบุคคล

ในการดำเนินการตาม (๒) และ (๓) ผู้ควบคุมข้อมูลส่วนบุคคลควรพิจารณาดำเนินการทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือทำการแฝงข้อมูล (pseudonymization) เพื่อลดความเสี่ยงในการระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล หรือทำการเข้ารหัสข้อมูล (encryption) หรือใช้ว่าทรรศนะอื่นในลักษณะเดียวกัน อ้างอิงเหมาะสม

ตามระดับความเสี่ยง โดยคำนึงถึงปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็น
ที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะ
และวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และ
ความเป็นไปได้ในการดำเนินการประกอบกัน หากสามารถทำให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัย
ทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์สาธารณะอื่นได้

ข้อ 5 ภายใต้บังคับข้อ 4 และข้อ 5 ในการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุ
วัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือสถิติ ตามมาตรา 24 (๑) หรือเพื่อให้บรรลุวัตถุประสงค์
เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ ตามมาตรา 26 (๕) (ง)
แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ให้ผู้ควบคุมข้อมูลส่วนบุคคลจัดให้มี
มาตรการดังต่อไปนี้ด้วย

(๑) แม้ว่าการเก็บรวบรวม จะใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ดังกล่าว
จะได้รับยกเว้นไม่ต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล แต่ผู้ควบคุมข้อมูลส่วนบุคคลจะต้อง
กำกับดูแลให้ผู้ดำเนินการในการศึกษาวิจัยหรือสถิติตามมาตรา ๒๔ (๑) หรือผู้ดำเนินการในการ
ศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติตามมาตรา ๒๖ (๕) (ง) การขอความยินยอม
ในการเข้าร่วมการศึกษาวิจัย (informed consent for research participation) จากผู้เข้าร่วม
การศึกษาวิจัย (research subject) เวนแต่จะเป็นกรณีใดกรณีหนึ่ง ต่อไปนี้

(ก) การศึกษาวิจัยหรือสถิติตามมาตรา ๒๔ (๑) หรือการศึกษาวิจัยทางวิทยาศาสตร์
ประวัติศาสตร์ หรือสถิติตามมาตรา ๒๖ (๕) (ง) ก็มีการเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่น
ที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคลโดยตรง หรือที่ใช้ข้อมูลส่วนบุคคลที่เก็บรวบรวมตามวัตถุประสงค์อื่น
และผู้ควบคุมข้อมูลส่วนบุคคลได้ดำเนินการให้เป็นไปตามมาตรา ๒๕ และมาตรา ๒๗ หากพระราชบัญญัติ
กำหนดช่องทางใหม่ๆ มีคำชี้แจงอย่างชัดเจนแล้ว

(ข) การศึกษาวิจัยหรือสถิติตามมาตรา ๒๔ (๑) หากพบข้อผิดพลาดโดยเร็วกันและมีผลกระทบเชิงลบแก่
ประวัติศาสตร์ หรือสถิติตามมาตรา ๒๖ (๕) (ง) นอกจากนี้หากเห็นสมควรจะยังทำให้เกิดความเสียหายอื่น ๆ เช่น สละเสียภาษี

(๒) ในการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือ
สถิติตามมาตรา ๒๔ (๑) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์
ประวัติศาสตร์ หรือสถิติตามมาตรา ๒๖ (๕) (ง) จากเจ้าของข้อมูลส่วนบุคคลโดยตรง ผู้ควบคุมข้อมูล
ส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลดังกล่าวทราบถึงข้อมูลเกี่ยวกับวัตถุประสงค์ของ
การศึกษาวิจัย รายละเอียดของการศึกษาวิจัยโดยสังเขป ข้อมูลส่วนบุคคลที่จะเก็บรวบรวมในการศึกษาวิจัย
ประโยชน์ที่จะได้รับจากการศึกษาวิจัย ความเสี่ยงหรือผลกระทบที่อาจเกิดขึ้นต่อผู้เข้าร่วมการศึกษาวิจัย
จากการศึกษาวิจัยนั้น และสิทธิของผู้นั้นในการศึกษาวิจัยดังกล่าว (หากมี) พร้อมทั้งแจ้งให้เจ้าของ
ข้อมูลส่วนบุคคลทราบรายละเอียดตามมาตรา ๒๓ แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
พ.ศ. ๒๕๖๒ ด้วย และจะต้องไม่มีการปกปิดข้อมูลดังกล่าว (withholding information) แก่ผู้เข้าร่วม
การศึกษาวิจัย หรือทำการหลอกลวงผู้เข้าร่วมการศึกษาวิจัย (deception) เว้นแต่จะเป็นกรณีที่สามารถ
กระทำได้ภายใต้กรอบและเงื่อนไขตามมาตรฐานทางจริยธรรมที่เกี่ยวข้องและเป็นที่ยอมรับ โดยไม่ชัดต่อ
กฎหมาย หรือตามที่คณะกรรมการจริยธรรมการศึกษาวิจัยในคนหรือคณะบุคคลตามข้อ ๕ (๔) กำหนด
(๓) ใน การเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวกับการศึกษาวิจัยหรือ
สถิติตามมาตรา ๒๔ (๑) หรือเพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์
ประวัติศาสตร์ หรือสถิติตามมาตรา ๒๖ (๕) (ง) ซึ่งการใช้สิทธิขอเข้าถึงหรือขอรับสำเนาข้อมูลส่วนบุคคล
ที่เกี่ยวกับเจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วมการศึกษาวิจัยอาจทำให้การศึกษาวิจัยดังกล่าว
ไม่สามารถบรรลุผลได้ เช่น กรณีผู้ดำเนินการในการศึกษาวิจัยจำเป็นต้องทำการปกปิดการจัดสรร
ผู้เข้าร่วมการศึกษาวิจัย (allocation concealment) หรือทำการปกปิดข้อมูลเกี่ยวกับการทดลอง
(blinding) ใน การทดลองทางคลินิก (clinical trials) เพื่อให้ผลการศึกษาวิจัยมีความเที่ยงตรง (valid)
ลดอคติ (bias) และน่าเชื่อถือ ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องกำกับดูแลให้ผู้ดำเนินการ
ในการศึกษาวิจัยแจ้งให้เจ้าของข้อมูลส่วนบุคคลที่เป็นผู้เข้าร่วมการศึกษาวิจัยทราบถึงข้อจำกัดในการ
ขอเข้าถึงหรือขอรับสำเนาข้อมูลส่วนบุคคลดังกล่าวในการขอความยินยอมในการเข้าร่วมการศึกษาวิจัย
ตาม (๑) หรือการแจ้งข้อมูลตาม (๒) หากมี) หรือก่อนเริ่มขั้นตอนการศึกษาวิจัยที่เกี่ยวข้อง
จนกว่าการศึกษาวิจัยจะเสร็จสิ้นหรืออยู่ในขั้นตอนที่สามารถให้เจ้าของข้อมูลส่วนบุคคลเข้าถึงหรือ
รับสำเนาข้อมูลดังกล่าวได้โดยไม่เสีย vัตถุประสงค์ดังกล่าว และในกรณีที่คณะกรรมการจริยธรรมการ
ศึกษาวิจัยในคนหรือคณะบุคคลตามข้อ ๕ (๔) กำหนดเป็นอย่างอื่น ให้ปฏิบัติตามที่กำหนด
(ข้อ # ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลมีหน้าที่ตามกฎหมายอื่นที่เกี่ยวกับการศึกษาวิจัย
หรือสถิติตามมาตรา # ) | การศึกษาวิจัยทางวิทยาศาสตร์ | สภาพ | มีสาระสำคัญ |
| --- | --- | --- | --- |
| มาตรา # ) | เป็นไปตามกฎบร้อยละ | กฏหมาย | - |
| มาตรา # ) | - | - | - |

การศึกษาวิจัยหรือสถิติ หรือการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ หรือประโยชน์
สาธารณะอื่นดังกล่าว จะต้องเป็นไปตามที่กำหนดในประกาศนี้ด้วย

ข้อ ๘ ให้ประธานกรรมการคุมครองข้อมูลส่วนบุคคลเป็นผู้รักษาการตามประกาศนี้

ประกาศ ณ วันที่ ๒๘ ธันวาคม พ.ศ. ๒๕๖๖
เยียรชัย ณนคร
ประธานกรรมการคุมครองข้อมูลส่วนบุคคล