ระเบียบกระทรวงสาธารณสุขว่าด้วยการคุ้มครองและจัดการข้อมูลด้านสุขภาพของบุคคลพ.ศ. ๒๕๖๑ โดยที่กระทรวงสาธารณสุขมีนโยบายที่จะให้ประชาชนทุกคนสามารถเข้าถึงบริการด้านการให้คำแนะนำด้านสุขภาพและวินิจฉัยโรคเบื้องต้นโดยบูรณาการระบบประวัติสุขภาพผู้ป่วยอิเล็กทรอนิกส์เชื่อมต่อกันทั้งประเทศที่ประชาชนสามารถเข้าถึงและบริหารจัดการข้อมูลสุขภาพของตนเองได้เพื่ออำนวยความสะดวกในการเข้ารับการรักษาและเป็นข้อมูลสำคัญประกอบการรักษากรณีฉุกเฉินนอกจากนี้ข้อมูลสุขภาพด้านบุคคลยังสามารถนำไปใช้ประโยชน์ในการพัฒนาระบบสุขภาพของประเทศต่อไป ดังนั้น จึงมีความจำเป็นที่จะต้องมีการควบคุมกำกับเพื่อให้การได้มา การบริหารจัดการการใช้และการคุ้มครองข้อมูลด้านสุขภาพของบุคคลมีความสะดวก ปลอดภัยเกิดประโยชน์สูงสุดแก่ประชาชนเจ้าของข้อมูล หน่วยบริการและระบบสุขภาพของประเทศไทยจึงเป็นการสมควรมีระเบียบ เรื่องการคุ้มครองและจัดการข้อมูลด้านสุขภาพของบุคคลเพื่อกำหนดหลักเกณฑ์ วิธีการและแนวทางปฏิบัติให้เหมาะสมสอดคล้องกับพระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. ๒๕๕๐พระราชบัญญัติข้อมูลข่าวสารของราชการ พ.ศ. ๒๕๔๐พระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. ๒๕๔๔ และกฎหมายอื่นที่เกี่ยวข้องอาศัยอำนาจตามความในมาตรา ๒๐แห่งพระราชบัญญัติระเบียบบริหารราชการแผ่นดิน พ.ศ. ๒๕๓๔ และที่แก้ไขเพิ่มเติมรัฐมนตรีว่าการกระทรวงสาธารณสุขจึงวางระเบียบไว้ ดังต่อไปนี้ข้อ ๑ระเบียบนี้เรียกว่า ระเบียบกระทรวงสาธารณสุข ว่าด้วยการคุ้มครองและจัดการข้อมูลด้านสุขภาพของบุคคลพ.ศ. ๒๕๖๑ข้อ ๒[๑]ระเบียบนี้ให้ใช้บังคับเมื่อพ้นกำหนดหนึ่งร้อยยี่สิบวัน (๑๒๐ วัน)นับจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไปข้อ ๓ในกรณีที่การดำเนินการใด ๆ เกี่ยวกับข้อมูลด้านสุขภาพของบุคคลที่ระเบียบนี้ไม่ได้กำหนดไว้ให้ปฏิบัติตามกฎหมาย กฎ ระเบียบ ข้อบังคับประกาศหรือคำสั่งที่ออกตามพระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. ๒๕๔๔และกฎหมายอื่นที่เกี่ยวข้องข้อ ๔ ในระเบียบนี้ข้อมูลด้านสุขภาพของบุคคล หมายความว่า ข้อมูลหรือสิ่งใด ๆที่แสดงออกมาในรูปเอกสาร แฟ้ม รายงาน หนังสือ แผนผัง แผนที่ ภาพวาด ภาพถ่าย ฟิล์มการบันทึกภาพหรือเสียงการบันทึกโดยเครื่องมือทางอิเล็กทรอนิกส์หรือวิธีอื่นใดที่ทำให้สิ่งที่บันทึกไว้ปรากฏขึ้นในเรื่องที่เกี่ยวกับสุขภาพของบุคคลที่สามารถระบุตัวบุคคลได้และให้รวมถึงข้อมูลอื่นๆ ตามที่คณะกรรมการเปิดเผยข้อมูลอิเล็กทรอนิกส์ประกาศกำหนดข้อมูลอิเล็กทรอนิกส์ หมายความว่าข้อมูลด้านสุขภาพของบุคคลที่เป็นเอกสารหรือข้อความในรูปแบบอิเล็กทรอนิกส์ระเบียนสุขภาพ หมายความว่า ทะเบียนหรือรายการข้อมูลด้านสุขภาพของบุคคลที่กระทรวงสาธารณสุข หน่วยงานทั้งภาครัฐและเอกชน นำมาเก็บจัดการ ใช้และเปิดเผยเพื่อประโยชน์ของเจ้าของข้อมูลตามระเบียบนี้เจ้าของข้อมูล หมายความว่า บุคคลผู้เป็นเจ้าของข้อมูลด้านสุขภาพผู้ควบคุมข้อมูล หมายความว่า ส่วนราชการ หน่วยงาน โรงพยาบาลโรงพยาบาลส่งเสริมสุขภาพตำบล สถานีอนามัยในสังกัดกระทรวงสาธารณสุขและหมายความรวมถึงสถานพยาบาลตามพระราชบัญญัติสถานพยาบาลพ.ศ. ๒๕๔๑และหน่วยงานของรัฐอื่นที่ประสงค์เข้าร่วมใช้ข้อมูลด้านสุขภาพร่วมกับกระทรวงสาธารณสุขซึ่งเป็นผู้จัดทำเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลด้านสุขภาพของบุคคลผู้บริหารจัดการข้อมูล หมายความว่า กระทรวงสาธารณสุขรวมถึงบุคคลหรือหน่วยงานที่ได้รับมอบหมายจากกระทรวงสาธารณสุขผู้รับข้อมูล หมายความว่าบุคคลหรือนิติบุคคลที่ได้รับข้อมูลด้านสุขภาพของบุคคลจากผู้ควบคุมข้อมูลและนำข้อมูลนั้นไปใช้เพื่อประโยชน์ของเจ้าของข้อมูลคณะกรรมการ หมายความว่า คณะกรรมการคุ้มครองและจัดการข้อมูลด้านสุขภาพของบุคคลเจ้าหน้าที่ หมายความว่า ข้าราชการ พนักงานราชการพนักงานกระทรวงสาธารณสุข ลูกจ้างของกระทรวงสาธารณสุขที่ปฏิบัติงานเกี่ยวกับข้อมูลด้านสุขภาพของกระทรวงสาธารณสุขข้อ ๕การจัดทำระเบียนสุขภาพ การจัดการ เก็บรวบรวม ใช้หรือเปิดเผยข้อมูลด้านสุขภาพของบุคคลต้องเป็นไปเพื่อประโยชน์ของเจ้าของข้อมูลหรือเพื่อดำเนินงานตามหน้าที่และอำนาจของผู้ควบคุมข้อมูลหรือหน้าที่และอำนาจของกระทรวงสาธารณสุขตามที่ได้รับมอบหมายหมวด๑คณะกรรมการคุ้มครองและจัดการข้อมูลด้านสุขภาพของบุคคล ข้อ ๖ ให้มีคณะกรรมการคณะหนึ่งเรียกว่า คณะกรรมการคุ้มครองและจัดการข้อมูลด้านสุขภาพของบุคคล ประกอบด้วย(๑) ปลัดกระทรวงสาธารณสุขเป็นประธานกรรมการ(๒)รองปลัดกระทรวงสาธารณสุขผู้ปฏิบัติหน้าที่ผู้บริหารเทคโนโลยีสารสนเทศระดับสูงประจำกระทรวงสาธารณสุขเป็นรองประธานกรรมการ(๓) ผู้ปฏิบัติหน้าที่ผู้บริหารเทคโนโลยีสารสนเทศระดับสูงประจำสำนักงานปลัดกระทรวงสาธารณสุขผู้แทนกรมควบคุมโรค ผู้แทนกรมสุขภาพจิต ผู้แทนกรมการแพทย์ผู้แทนกรมสนับสนุนบริการสุขภาพ ผู้แทนนายแพทย์สาธารณสุขจังหวัดผู้แทนโรงพยาบาลในสังกัดสำนักงานปลัดกระทรวงสาธารณสุขและผู้ทรงคุณวุฒิหรือผู้เชี่ยวชาญที่ปลัดกระทรวงสาธารณสุขแต่งตั้งจากกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมสำนักงานคณะกรรมการข้อมูลข่าวสารของราชการ สำนักงานคณะกรรมการคุ้มครองผู้บริโภคสำนักงานคณะกรรมการกฤษฎีกา และสำนักงานคณะกรรมการสุขภาพแห่งชาติหน่วยงานละ ๑ คนเป็นกรรมการ(๔) นักวิชาการที่ปลัดกระทรวงสาธารณสุขแต่งตั้งจำนวน ๒ คนเป็นกรรมการ(๕) ผู้อำนวยการกองบริหารการสาธารณสุขสำนักงานปลัดกระทรวงสาธารณสุขเป็นกรรมการ(๖) ผู้อำนวยการกองกฎหมาย สำนักงานปลัดกระทรวงสาธารณสุขเป็นกรรมการ(๗) ผู้อำนวยการกองยุทธศาสตร์และแผนงาน สำนักงานปลัดกระทรวงสาธารณสุขเป็นกรรมการ(๘) ผู้อำนวยการศูนย์เทคโนโลยีสารสนเทศและการสื่อสารสำนักงานปลัดกระทรวงสาธารณสุขเป็นกรรมการและเลขานุการให้เลขานุการแต่งตั้งเจ้าหน้าที่ของศูนย์เทคโนโลยีสารสนเทศและการสื่อสารจำนวนไม่เกิน๒ คน เป็นผู้ช่วยเลขานุการข้อ ๗ ให้คณะกรรมการมีหน้าที่และอำนาจดังต่อไปนี้(๑) กำหนดข้อมูลที่จะต้องนำไปไว้ในระเบียนสุขภาพ(๒)กำหนดนโยบายการดำเนินการและการพัฒนาข้อมูลด้านสุขภาพของบุคคลและระเบียนสุขภาพ(๓) กำหนดข้อมูลด้านสุขภาพของบุคคลตามข้อ ๑๑ (๕)(๔) ออกประกาศ ข้อกำหนด หลักเกณฑ์หรือแนวทางการปฏิบัติในการจัดการข้อมูลด้านสุขภาพของบุคคลให้เกิดประโยชน์สูงสุดกับเจ้าของข้อมูลตามข้อ๒๙(๕) ออกประกาศ ข้อกำหนดหลักเกณฑ์หรือแนวทางปฏิบัติตามข้อ ๓๐ และข้อ ๓๑(๖) ออกประกาศ ข้อกำหนดหลักเกณฑ์เกี่ยวกับทะเบียนผู้ควบคุมข้อมูลและผู้รับข้อมูลตามข้อ ๓๓(๗) ดำเนินการต่าง ๆเพื่อให้เป็นไปตามวัตถุประสงค์ของระเบียนสุขภาพตามข้อ ๒๗(๘) ติดตาม กำกับการดำเนินการจัดการข้อมูลด้านสุขภาพของบุคคล(๙)เสนอแนะหรือให้คำปรึกษาแก่รัฐมนตรีว่าการกระทรวงสาธารณสุขหรือปลัดกระทรวงสาธารณสุขในการดำเนินการเกี่ยวกับข้อมูลด้านสุขภาพของบุคคลของกระทรวงสาธารณสุข(๑๐)แต่งตั้งคณะอนุกรรมการหรือที่ปรึกษาเพื่อดำเนินการตามระเบียบนี้หรือตามที่คณะกรรมการมอบหมาย(๑๑) พิจารณาทบทวนระเบียบนี้ให้มีความเหมาะสมกับสถานการณ์และเสนอแก้ไขระเบียบต่อรัฐมนตรีว่าการกระทรวงสาธารณสุข(๑๒) ปฏิบัติการอื่นใดเพื่อให้บรรลุวัตถุประสงค์ของระเบียบนี้ข้อ ๘การประชุมคณะกรรมการต้องมีกรรมการมาประชุมไม่น้อยกว่ากึ่งหนึ่งของจำนวนกรรมการทั้งหมดจึงจะเป็นองค์ประชุมในการประชุมคณะกรรมการถ้าประธานกรรมการไม่มาประชุมหรือไม่อาจปฏิบัติหน้าที่ได้ให้รองประธานกรรมการเป็นประธานในที่ประชุมถ้ารองประธานกรรมการไม่มาหรือไม่อาจปฏิบัติหน้าที่ได้ให้ที่ประชุมเลือกกรรมการคนหนึ่งทำหน้าที่ประธานในที่ประชุมการวินิจฉัยชี้ขาดของที่ประชุมให้ถือเสียงข้างมากกรรมการคนหนึ่งให้มีเสียงหนึ่งในการลงคะแนนถ้าคะแนนเสียงในการลงคะแนนเท่ากันให้ประธานกรรมการออกเสียงเพิ่มอีกหนึ่งเสียงเป็นเสียงชี้ขาดข้อ ๙การประชุมคณะอนุกรรมการให้นำข้อ ๘ มาบังคับใช้โดยอนุโลมข้อ ๑๐ให้ศูนย์เทคโนโลยีสารสนเทศและการสื่อสารสำนักงานปลัดกระทรวงสาธารณสุขทำหน้าที่สำนักงานเลขานุการคณะกรรมการเพื่อดำเนินการตามที่คณะกรรมการมอบหมายและตามที่กำหนดไว้ในระเบียบนี้หมวด๒การคุ้มครองข้อมูลด้านสุขภาพของบุคคล ข้อ ๑๑ข้อมูลดังต่อไปนี้ถือเป็นข้อมูลด้านสุขภาพของบุคคล(๑) ประวัติสุขภาพเฉพาะของบุคคล เช่น ส่วนสูง น้ำหนัก หมู่เลือดรูปร่าง ลักษณะทั่วไปของร่างกายเป็นต้น(๒) ประวัติการรักษาพยาบาล เช่น เวชระเบียน บันทึกการพยาบาลการตรวจทางห้องปฏิบัติการฟิล์มเอ็กซ์เรย์ เป็นต้น(๓) เอกสารและวัตถุต่าง ๆ ที่เกี่ยวกับ (๑) และ (๒)(๔)ภาพถ่ายการปฏิบัติงานรักษาพยาบาลผู้ป่วยของบุคลากรทางการแพทย์หรือเจ้าหน้าที่อื่นในการรักษาพยาบาลรวมถึงการกระทำด้วยประการใด ๆ ให้ปรากฏภาพ เสียงของบุคคลดังกล่าว(๕) ข้อมูลที่คณะกรรมการกำหนดข้อ ๑๒ผู้ควบคุมข้อมูลมีหน้าที่ต้องจัดให้มีสถานที่เก็บรวบรวมข้อมูลด้านสุขภาพของบุคคลให้อยู่ในสภาพที่เหมาะสมมีมาตรการด้านความปลอดภัยที่รัดกุมเจ้าหน้าที่ต้องเป็นผู้ที่มีความรู้ด้านการจัดการข้อมูลและด้านกฎหมายที่เกี่ยวข้องข้อ ๑๓ข้อมูลด้านสุขภาพของบุคคลเป็นความลับส่วนบุคคลจะเปิดเผยได้ต่อเมื่อได้รับความยินยอมจากเจ้าของข้อมูลหรือผู้มีอำนาจกระทำการแทนตามข้อ๑๔ (๒) - (๕) และตามที่กฎหมายบัญญัติไว้เท่านั้นและการเปิดเผยจะทำให้เกิดความเสียหายแก่เจ้าของข้อมูลและผู้ครอบครองข้อมูลไม่ได้ข้อ ๑๔บุคคลดังต่อไปนี้ มีสิทธิขอให้เปิดเผยข้อมูลด้านสุขภาพของบุคคล(๑) ผู้เป็นเจ้าของข้อมูล(๒) ผู้ที่ได้รับมอบอำนาจจากผู้เป็นเจ้าของข้อมูล(๓) ผู้ที่ได้รับความยินยอมจากผู้เป็นเจ้าของข้อมูล(๔) ผู้มีอำนาจกระทำการแทนเจ้าของข้อมูล คือ ผู้แทนโดยชอบธรรมกรณีเจ้าของข้อมูลเป็นเด็กหรือผู้เยาว์ ผู้อนุบาลกรณีเจ้าของข้อมูลเป็นคนไร้ความสามารถหรือผู้พิทักษ์กรณีเจ้าของข้อมูลเป็นคนเสมือนไร้ความสามารถ ทั้งนี้ ถ้าผู้เยาว์อายุ ๑๕ปีบริบูรณ์แล้วต้องได้รับความยินยอมจากผู้เยาว์นั้นก่อน(๕) ทายาท ในกรณีผู้เป็นเจ้าของข้อมูลเสียชีวิตทายาทตาม (๕) หมายถึง สามีหรือภรรยาโดยชอบด้วยกฎหมายบุตรหรือผู้สืบสันดานตามความเป็นจริง บุตรบุญธรรมตามกฎหมายบิดาหรือมารดาตามความเป็นจริงข้อ ๑๕บุคคลดังต่อไปนี้มีอำนาจขอให้ผู้ควบคุมข้อมูล เปิดเผยข้อมูลด้านสุขภาพของบุคคลโดยไม่จำต้องได้รับความยินยอมจากเจ้าของข้อมูลหรือผู้มีอำนาจกระทำการคือศาล พนักงานสอบสวน เจ้าหน้าที่ตำรวจ คณะกรรมาธิการ คณะกรรมการคณะอนุกรรมการและเจ้าหน้าที่ที่มีกฎหมายให้อำนาจในการเรียกเอกสารข้อมูลด้านสุขภาพของบุคคลได้ทั้งนี้ ต้องอยู่ภายใต้หลักการไม่เป็นการนำข้อมูลไปใช้ในทางให้เกิดความเสียหายแก่เจ้าของข้อมูลหรือทายาทข้อ ๑๖ผู้ขอข้อมูลจะต้องดำเนินการ ดังต่อไปนี้(๑) ยื่นคำขอเป็นหนังสือและลงลายมือชื่อผู้ขอ(๒) ระบุวัตถุประสงค์ของการขอข้อมูลว่าจะนำไปใช้ประโยชน์อย่างไร(๓) แนบเอกสารประกอบการขอข้อมูลตามที่กำหนดไว้(๔) รับทราบเงื่อนไขที่ผู้ควบคุมข้อมูลกำหนดข้อ ๑๗เอกสารประกอบคำขอตามข้อ ๑๖ (๓) มีดังนี้(๑) สำเนาบัตรประจำตัวผู้ขอ(๒) กรณีเป็นผู้รับมอบอำนาจ ต้องมีสำเนาบัตรประจำตัวผู้มอบอำนาจผู้รับมอบอำนาจและหนังสือมอบอำนาจ (ติดอากรแสตมป์) ด้วย(๓) กรณีเจ้าของข้อมูลให้ความยินยอมต้องมีหนังสือแสดงความยินยอมที่ลงลายมือชื่อเจ้าของข้อมูลมาแสดงด้วย(ถ้าเป็นสำเนาควรขอดูตัวจริง)(๔) กรณีทายาทต้องมีใบมรณะบัตรและเอกสารแสดงการเป็นทายาท เช่น ใบทะเบียนสมรสสำเนาทะเบียนบ้าน สูติบัตร คำสั่งศาล เป็นต้น(๕) กรณีเป็นทารก เด็ก ผู้เยาว์หรือผู้ที่ไม่สามารถช่วยเหลือตนเองได้หรือเป็นผู้พิการไม่สามารถรับรู้การกระทำหรือเป็นคนไร้ความสามารถหรือคนเสมือนไร้ความสามารถผู้แทนโดยชอบธรรมคือบิดาหรือมารดาตามความเป็นจริง ผู้ปกครองที่ศาลตั้งผู้อนุบาลหรือผู้พิทักษ์ต้องแสดงคำสั่งศาลหรือหลักฐานที่แสดงการเป็นผู้ปกครองผู้อนุบาล ผู้พิทักษ์ หรือผู้แทนโดยชอบธรรม(๖) เอกสารอื่น ๆ ตามที่ผู้ควบคุมข้อมูลกำหนดข้อ ๑๘เมื่อเจ้าหน้าที่ได้รับคำขอให้ตรวจคำขอและเอกสารที่เกี่ยวข้องให้ถูกต้องครบถ้วนแล้วจึงเสนอคำขอพร้อมความเห็นไปให้ผู้มีอำนาจพิจารณาอนุมัติให้เปิดเผยข้อมูลดังกล่าวหรืออาจนำเสนอคณะกรรมการข้อมูลข่าวสารของผู้ควบคุมข้อมูลก่อนก็ได้ผู้มีอำนาจกระทำการแทนผู้ควบคุมข้อมูลหรือผู้ที่ได้รับมอบหมายเป็นผู้มีอำนาจอนุมัติการเปิดเผยข้อมูลด้านสุขภาพของบุคคลข้อ ๑๙ ในกรณีผู้ขอให้เปิดเผยข้อมูลขอสำเนาข้อมูลด้านสุขภาพของบุคคลให้กำหนดเงื่อนไขดังนี้(๑) ผู้ขอต้องใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้เท่านั้น(๒) ผู้ขอต้องไม่นำข้อมูลไปเผยแพร่ จำหน่ายจ่าย แจก หรือกระทำโดยประการใด ๆ ในลักษณะเช่นว่านั้น(๓) ผู้ขอต้องไม่นำข้อมูลไปใช้ในทางที่อาจจะก่อให้เกิดความเสียหายแก่เจ้าของข้อมูลหรือผู้ควบคุมข้อมูลหากมีความเสียหายเกิดขึ้น ผู้ขอต้องรับผิดชอบทั้งสิ้นเมื่อผู้ขอข้อมูลลงนามรับทราบเงื่อนไขดังกล่าวแล้วจึงมอบสำเนาข้อมูลดังกล่าวแก่ผู้ขอต่อไปในกรณีผู้ขอรับทราบเงื่อนไขแล้วไม่ยอมลงนามให้บันทึกไว้และเจ้าหน้าที่ลงนามกำกับพร้อมพยานและมอบสำเนาข้อมูลให้ผู้ขอข้อ ๒๐ในกรณีผู้ขอข้อมูลไม่ใช่เจ้าของข้อมูล และเจ้าหน้าที่เห็นว่าควรมีการขอความยินยอมจากเจ้าของข้อมูลก่อนให้ผู้ขอดำเนินการขอความยินยอมจากเจ้าของข้อมูลก่อนข้อ ๒๑ ผู้ควบคุมข้อมูลอาจขอให้เจ้าของข้อมูลให้ความยินยอมล่วงหน้าในการเปิดเผยข้อมูลด้านสุขภาพของบุคคลในกรณีดังต่อไปนี้(๑)ต่อบุคลากรทางการแพทย์ของผู้ควบคุมข้อมูลในการปฏิบัติงานในหน้าที่หรือเพื่อประโยชน์ของเจ้าของข้อมูล(๒) เพื่อประโยชน์ในการศึกษาวิจัยโดยไม่ระบุชื่อหรือส่วนที่ทำให้รู้ว่าเป็นข้อมูลด้านสุขภาพของบุคคลใด(๓) เป็นการจำเป็นเพื่อการป้องกัน หรือระงับอันตรายต่อชีวิตหรือสุขภาพของบุคคล(๔) มีเหตุจำเป็นอื่น ๆ เพื่อประโยชน์ของเจ้าของข้อมูล (ถ้ามี)ในการดำเนินการตามวรรคหนึ่งต้องอธิบายให้เจ้าของข้อมูลทราบและเข้าใจด้วยในกรณีเป็นการศึกษา วิเคราะห์วิจัยเพื่อการพัฒนางานด้านสุขภาพของผู้ควบคุมข้อมูลถือเป็นการปฏิบัติงานในหน้าที่และอำนาจของผู้ควบคุมข้อมูลให้สามารถดำเนินการได้โดยไม่ต้องขอความยินยอมจากเจ้าของข้อมูลข้อ ๒๒เมื่อได้ดำเนินการจนเสร็จสิ้นแล้ว ให้เก็บเอกสารต่าง ๆ ไว้เป็นหลักฐานด้วยหมวด๓การแก้ไขข้อมูลด้านสุขภาพของบุคคล ข้อ ๒๓เจ้าของข้อมูลมีสิทธิที่จะขอให้แก้ไขข้อมูลด้านสุขภาพของตนเอง โดยยื่นคำขอต่อผู้ควบคุมข้อมูลพร้อมพยานหลักฐานแสดงข้อมูลที่ถูกต้องตามความเป็นจริงเมื่อเจ้าหน้าที่ได้ตรวจสอบแล้วเห็นว่าถูกต้องให้เสนอผู้มีอำนาจอนุมัติและทำการแก้ไขข้อมูลดังกล่าวแล้วแจ้งเจ้าของข้อมูลทราบต่อไปข้อ ๒๔ เจ้าหน้าที่ผู้เขียนข้อมูลด้านสุขภาพของบุคคลอาจแก้ไขข้อมูลได้โดยอยู่ในเงื่อนไขดังนี้(๑) ต้องแก้ไขตามความเป็นจริง(๒) ไม่ควรแก้ไข โดยลบหรือขีดฆ่าโดยไม่จำเป็นถ้าต้องการแก้ไขโดยขีดฆ่าต้องเซ็นชื่อกำกับทุกครั้ง(๓) การเพิ่มเติมแก้ไขทุกครั้งให้เขียนเหตุผลไว้ด้วยโดยอาจมีบันทึกติดไว้กับเวชระเบียน หรือทำรายการไว้ท้ายเวชระเบียนหน้านั้น ๆ(๔)เมื่อมีการแก้ไขให้มีหัวหน้าหน่วยและผู้ที่อยู่ในเหตุการณ์ลงชื่อเป็นพยานด้วย(๕) ไม่ควรแก้ไขเมื่อมีการร้องเรียนหรือฟ้องร้องคดีแล้วหมวด๔ข้อมูลทางอิเล็กทรอนิกส์ ข้อ ๒๕ ผู้ควบคุมข้อมูลและผู้บริหารจัดการข้อมูลที่ดำเนินการเก็บรวมรวมใช้และเปิดเผยข้อมูลด้านสุขภาพส่วนบุคคลโดยวิธีการทางอิเล็กทรอนิกส์ต้องมีการกำหนดมาตรการเกี่ยวกับการรักษาความมั่นคงปลอดภัยของข้อมูลอิเล็กทรอนิกส์ซึ่งเป็นวิธีการที่เชื่อถือได้อย่างน้อยต้องครอบคลุมหัวข้อดังต่อไปนี้(๑) การเข้าถึงและควบคุมการใช้งาน โดยต้องมีองค์ประกอบดังนี้(ก) การระบุตัวตน (Identification)(ข) การยืนยันตัวตน (Authentication)(ค) อนุญาตเฉพาะผู้มีสิทธิเข้าถึง (Authorization)(ง) ความรับผิดชอบต่อผลการกระทำ (Accountability)ทั้งนี้เพื่อให้สามารถยืนยันได้ว่าข้อมูลอิเล็กทรอนิกส์ที่มีการจัดทำหรือแปลงได้ดำเนินการโดยผู้มีสิทธิเข้าถึงเท่านั้นผู้มีสิทธิในการเข้าถึงดังกล่าวให้หมายความรวมถึงผู้รับผิดชอบดำเนินงานจัดทำหรือแปลงเอกสารหรือข้อความและผู้มีสิทธิตรวจสอบซึ่งจะเป็นคนเดียวกันหรือไม่ก็ได้(๒)จัดให้มีระบบการใช้งานและระบบสำรองซึ่งอยู่ในสภาพพร้อมใช้งานและจัดทำแผนเตรียมความพร้อมกรณีฉุกเฉินในกรณีที่ไม่สามารถดำเนินการด้วยวิธีการทางอิเล็กทรอนิกส์ได้ตามปกติอย่างต่อเนื่อง(๓) การตรวจสอบและประเมินความเสี่ยงของระบบที่ใช้อย่างสม่ำเสมอข้อ ๒๖ ในการส่งต่อข้อมูลทางอิเล็กทรอนิกส์ผู้ควบคุมข้อมูลและผู้บริหารข้อมูลต้องจัดให้มีการบริหารจัดการเข้าถึงของผู้ใช้งาน (user access management) เพื่อควบคุมการเข้าถึงระบบการจัดการข้อมูลด้านสุขภาพของบุคคลเฉพาะผู้ที่ได้รับอนุญาตแล้วและต้องมีการดำเนินการดังนี้(๑) ฝึกอบรมสร้างความเข้าใจให้กับผู้ใช้งานเพื่อให้เกิดความตระหนักในผลกระทบที่อาจเกิดจากการใช้งานระบบการจัดการข้อมูลด้านสุขภาพของบุคคลรวมถึงการกำหนดให้มีมาตรการเชิงป้องกันตามความเหมาะสม(๒) การลงทะเบียนผู้ให้งาน (user registration) โดยต้องกำหนดให้มีขั้นตอนทางปฏิบัติสำหรับการลงทะเบียนผู้ใช้งานเมื่อมีการอนุญาตให้เข้าถึงระบบแล้วและการตัดออกจากทะเบียนของผู้ใช้งานเมื่อมีการยกเลิกเพิกถอนการอนุญาตดังกล่าว(๓) การบริหารจัดการสิทธิของผู้ใช้งาน (user management) โดยต้องจัดให้มีการควบคุมและจำกัดสิทธิเพื่อเข้าถึงและใช้งานระบบแต่ละชนิดตามความเหมาะสมทั้งนี้รวมถึงสิทธิจำเพาะสิทธิพิเศษและสิทธิอื่น ๆ ที่เกี่ยวข้องกับการเข้าถึง(๔) การบริหารจัดการรหัสผ่านสำหรับผู้ใช้งาน (user password management) โดยต้องจัดให้มีกระบวนการบริหารจัดการรหัสผ่านสำหรับผู้ใช้งานอย่างรัดกุม(๕) การทบทวนสิทธิการเข้าถึงของผู้ใช้งาน (review of user access right) โดยต้องจัดให้มีกระบวนการทบทวนการเข้าถึงสิทธิของผู้ใช้งานระบบการจัดการข้อมูลด้านสุขภาพของบุคคลตามระยะเวลาที่กำหนดไว้(๖) การป้องกันอุปกรณ์ในขณะที่ไม่มีผู้ใช้งานที่อุปกรณ์โดยต้องกำหนดข้อปฏิบัติที่เหมาะสมเพื่อป้องกันไม่ให้ผู้ไม่มีสิทธิสามารถเข้าถึงอุปกรณ์ของหน่วยงานในขณะที่ไม่มีผู้ดูแล(๗)การควบคุมสินทรัพย์สารสนเทศและการใช้งานระบบคอมพิวเตอร์โดยต้องควบคุมไม่ให้สินทรัพย์เช่น เอกสารสื่อบันทึกข้อมูลคอมพิวเตอร์หรือสารสนเทศอยู่ในภาวะเสี่ยงต่อการเข้าถึงโดยผู้ไม่มีสิทธิ(๘) การควบคุมเครือข่าย (network access control)(๙) การควบคุมการเข้าถึงระบบปฏิบัติการ (operating system access control)ทั้งนี้ ให้เป็นไปตามประกาศนโยบายการรักษาความมั่นคงปลอดภัยของกระทรวงสาธารณสุขประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์เรื่องแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศของหน่วยงานของรัฐของกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม รวมทั้งมาตรการตามเอกสารหมายเลข ๑แนบท้ายระเบียบนี้หมวด๕ระเบียนสุขภาพ ข้อ ๒๗ ระเบียนสุขภาพจัดทำขึ้นเพื่อ(๑) รวบรวมข้อมูลด้านสุขภาพของบุคคลของประชาชน(๒) คุ้มครองข้อมูลด้านสุขภาพของบุคคล(๓)นำข้อมูลด้านสุขภาพของบุคคลไปใช้ประโยชน์ในการดูแลสุขภาพของเจ้าของข้อมูลนั้น(๔) นำไปศึกษา วิเคราะห์ วิจัย เพื่อพัฒนาระบบสุขภาพของประเทศ(๕)ให้หน่วยงานที่เกี่ยวข้องสามารถนำข้อมูลด้านสุขภาพของบุคคลไปใช้เพื่อประโยชน์ของเจ้าของข้อมูลและหน่วยงานนั้น(๖) การอื่นที่คณะกรรมการกำหนดข้อ ๒๘ ระเบียนสุขภาพประกอบด้วยข้อมูลด้านสุขภาพของบุคคล ทั้งนี้ ให้เป็นไปตามเอกสารหมายเลข ๒แนบท้ายของระเบียบนี้ข้อ ๒๙ ผู้บริหารจัดการข้อมูลเป็นผู้ดำเนินการบริหารจัดการข้อมูลเพื่อประโยชน์ของเจ้าของข้อมูลและหน่วยงานที่เกี่ยวข้องตามหลักเกณฑ์เงื่อนไข และวิธีการที่คณะกรรมการกำหนดข้อ ๓๐ ผู้บริหารจัดการข้อมูลต้องจัดให้มีสถานที่จัดเก็บข้อมูลด้านสุขภาพของบุคคลที่เหมาะสมมีระบบการรักษาความปลอดภัยของการเก็บ การรวบรวมการใช้และการเปิดเผยข้อมูลตามที่คณะกรรมการกำหนดข้อ ๓๑ ผู้ควบคุมข้อมูลต้องเป็นผู้ดำเนินการส่งมอบข้อมูลด้านสุขภาพของบุคคลให้ผู้บริหารจัดการข้อมูลเพื่อจัดทำระเบียนสุขภาพรวมทั้งขอความยินยอมจากเจ้าของข้อมูลตามแบบที่กำหนดท้ายระเบียบนี้หรือตามที่คณะกรรมการกำหนดในกรณีเจ้าของข้อมูลไม่ยินยอมให้บันทึกไว้เป็นหลักฐานด้วยข้อ ๓๒ ผู้ควบคุมข้อมูลมีหน้าที่ต้องตรวจสอบและบันทึกข้อมูลให้เป็นปัจจุบันเสมอและส่งมอบให้ผู้บริหารจัดการข้อมูลภายในเวลาที่กำหนดข้อ ๓๓ ผู้บริหารจัดการข้อมูลต้องจัดให้มีทะเบียนผู้ควบคุมข้อมูลและผู้รับข้อมูลการจัดการข้อมูลตามหลักเกณฑ์ วิธีการและเงื่อนไขการใช้งานข้อมูลด้านสุขภาพของบุคคลที่คณะกรรมการกำหนดข้อ ๓๔ เมื่อผู้รับข้อมูลได้รับข้อมูลและใช้ประโยชน์แล้วต้องส่งข้อมูลด้านสุขภาพของบุคคลที่เป็นปัจจุบันของเจ้าของข้อมูลไปให้ผู้บริหารจัดการข้อมูลเพื่อเก็บรวบรวมและใช้ประโยชน์ตามที่ระเบียบนี้กำหนดไว้ต่อไปข้อ ๓๕ ให้ปลัดกระทรวงสาธารณสุขเป็นผู้รักษาการตามระเบียบนี้ประกาศ ณ วันที่ ๒๘ มีนาคม พ.ศ. ๒๕๖๑ปิยะสกล สกลสัตยาทรรัฐมนตรีว่าการกระทรวงสาธารณสุข[เอกสารแนบท้าย]๑. แนบท้ายระเบียบกระทรวงสาธารณสุข ว่าด้วยการคุ้มครองและจัดการข้อมูลด้านสุขภาพของบุคคลพ.ศ. ๒๕๖๑ (เอกสารหมายเลข ๑)๒. แนบท้ายระเบียบกระทรวงสาธารณสุขว่าด้วยการคุ้มครองและจัดการข้อมูลด้านสุขภาพของบุคคล พ.ศ. ๒๕๖๑ (เอกสารหมายเลข ๒)(ดูข้อมูลจากภาพกฎหมาย)พรวิภา/จัดทำ๓๑ พฤษภาคม ๒๕๖๑นุสรา/ตรวจ๑ มิถุนายน ๒๕๖๑[๑] ราชกิจจานุเบกษาเล่ม ๑๓๕/ตอนพิเศษ ๑๒๔ ง/หน้า ๑/๓๑ พฤษภาคม ๒๕๖๑