- สถานะข้อมูลพันธุกรรมตามมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562: ข้อมูลพันธุกรรม รวมทั้งข้อมูลลำดับพันธุกรรมทั้งจีโนม (Whole Genome Sequencing: WGS) เป็นข้อมูลส่วนบุคคลตามมาตรา 26 ซึ่งต้องได้รับการคุ้มครองเข้มงวดเช่นเดียวกับข้อมูลสุขภาพและข้อมูลชีวภาพ มาตรา 26 ห้ามเก็บรวบรวมข้อมูลเหล่านี้โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เข้าข้อยกเว้นตามมาตรา 26 (1) ถึง (5) ซึ่งข้อยกเว้นตาม (5) ใช้ได้เฉพาะเมื่อเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ที่บัญญัติไว้ เช่น การวินิจฉัยโรคทางการแพทย์และการรักษาทางการแพทย์ตาม (5) (ก) หรือการศึกษาวิจัยทางวิทยาศาสตร์ตาม (5) (ง) ซึ่งต้องกระทำเพียงเท่าที่จำเป็นและได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล การใช้หรือเปิดเผยข้อมูลต้องเป็นไปตามมาตรา 27 และอยู่ภายในวัตถุประสงค์ที่ได้แจ้งไว้ตามมาตรา 21 ในทางปฏิบัติ โครงการจีโนมิกส์ควรขอความยินยอมโดยชัดแจ้งแยกตามวัตถุประสงค์ของการรักษาและของการวิจัยทุติยภูมิ และเนื่องจากข้อมูลพันธุกรรมเปลี่ยนแปลงไม่ได้และเกี่ยวโยงกับญาติ สัญญาจึงควรกำหนดมาตรการที่เข้มงวดเป็นพิเศษ ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37 (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 40 (2) และคู่สัญญาอาจตกลงใช้มาตรฐานที่สูงกว่า เช่น มาตรฐานสากลอย่าง HIPAA หรือ ISO 27799 เป็นข้อกำหนดทางสัญญา
- การส่งข้อมูลจีโนมิกส์ไปต่างประเทศและข้อตกลงให้เก็บข้อมูลไว้ในประเทศ: มาตรา 28 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มิได้ห้ามการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ แต่กำหนดให้ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ เว้นแต่เข้าข้อยกเว้นตามมาตรา 28 (1) ถึง (6) การที่คู่สัญญาตกลงให้เก็บข้อมูลพันธุกรรม รวมทั้งไฟล์ข้อมูลดิบ (BAM / FASTQ Files) ไว้ในคลังข้อมูลจีโนมิกส์ (Genomic Vault) ภายในประเทศไทยเท่านั้น เป็นข้อตกลงทางสัญญาที่ผู้ควบคุมข้อมูลเลือกกำหนดเพื่อลดความเสี่ยง มิใช่ข้อห้ามตามมาตรา 28 และอาจเป็นข้อกำหนดของผู้ให้ทุนหรือหน่วยงานกำกับดูแลเฉพาะราย [ต้องยืนยันแหล่งที่มา]
- สถานะของคู่สัญญาและสิทธิในทรัพย์สินทางปัญญา (Derivative IP): โรงพยาบาลหรือสถาบันวิจัยเป็นผู้ควบคุมข้อมูลส่วนบุคคลและมีอำนาจตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลพันธุกรรม ผู้ให้บริการคลาวด์เป็นผู้ประมวลผลข้อมูลส่วนบุคคลที่ดำเนินการตามคำสั่งเท่านั้น และการใช้ข้อมูลของผู้ควบคุมยังอยู่ภายใต้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามมาตรา 30 และมาตรา 33 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ส่วนสิทธิในผลการวิเคราะห์ที่ไม่ใช่ข้อมูลส่วนบุคคลให้กำหนดเป็นข้อตกลงทางสัญญา สัญญาควรห้ามผู้ให้บริการนำข้อมูลไปฝึกแบบจำลองปัญญาประดิษฐ์ของตนเอง และกำหนดให้ผู้ให้บริการโอนสิทธิขอรับสิทธิบัตรในการประดิษฐ์ที่เกิดจากการประมวลผลข้อมูลแก่ผู้ว่าจ้างโดยทำเป็นหนังสือตามมาตรา 10 แห่งพระราชบัญญัติสิทธิบัตร พ.ศ. 2522 ทั้งนี้ ผู้ว่าจ้างเองต้องใช้ข้อมูลพันธุกรรมเพื่อการค้นพบทุติยภูมิ (Secondary Discovery) ภายในวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ตามมาตรา 21 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือได้รับความยินยอมโดยชัดแจ้งใหม่ หรือเข้าข้อยกเว้นตามมาตรา 26 แห่งพระราชบัญญัติเดียวกัน
โครงสร้างแม่บทสัญญา Genomic Cloud Infrastructure MSA
สัญญาฉบับนี้เป็นข้อตกลงทางกฎหมายขั้นสูงที่ผสานระหว่าง (1) Cloud Hosting & High-Performance Computing (HPC) Agreement, (2) Sensitive Health Data Processing Addendum (DPA), และ (3) Bioethics & Secondary Research IP Protocol
กรอบกฎหมายและ Claim Ledger Legal Framework
| รหัสอ้างอิง | ข้อกฎหมาย / สาระสำคัญ | ฐานทางกฎหมาย | สถานะการตรวจสอบ |
|---|---|---|---|
| C-UP-28-01 | ห้ามเก็บรวบรวมข้อมูลพันธุกรรม ข้อมูลชีวภาพ และข้อมูลสุขภาพโดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่เข้าข้อยกเว้นตามมาตรา 26 (1) ถึง (5) ซึ่งข้อยกเว้นตาม (5) ใช้ได้เฉพาะเมื่อเป็นการจำเป็นในการปฏิบัติตามกฎหมายเพื่อให้บรรลุวัตถุประสงค์ที่บัญญัติไว้ เช่น การวินิจฉัยโรคทางการแพทย์และการรักษาทางการแพทย์ตาม (5) (ก) หรือการศึกษาวิจัยทางวิทยาศาสตร์ตาม (5) (ง) ซึ่งต้องกระทำเพียงเท่าที่จำเป็นและได้จัดให้มีมาตรการที่เหมาะสมเพื่อคุ้มครองสิทธิขั้นพื้นฐานและประโยชน์ของเจ้าของข้อมูลส่วนบุคคล ส่วนการใช้หรือเปิดเผยข้อมูลต้องเป็นไปตามมาตรา 27 และอยู่ภายในวัตถุประสงค์ที่ได้แจ้งไว้ตามมาตรา 21 | พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 21 มาตรา 26 และมาตรา 27 | แก้ไขแล้ว — LAS Audit |
| C-UP-28-02 | ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37 (1) ซึ่งต้องเป็นไปตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด และผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 40 (2) สำหรับข้อมูลพันธุกรรม คู่สัญญาอาจตกลงใช้มาตรฐานที่สูงกว่า เช่น มาตรฐานสากล เป็นข้อกำหนดทางสัญญา มาตรา 40 วรรคหนึ่ง กำหนดหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคล ได้แก่ ดำเนินการตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลเท่านั้น จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยและแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคล และจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล มาตรา 40 วรรคสอง ให้ถือว่าผู้ประมวลผลข้อมูลส่วนบุคคลซึ่งไม่ปฏิบัติตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลตาม (1) เป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลนั้น และมาตรา 40 วรรคสาม กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงระหว่างกัน (ข้อตกลงประมวลผลข้อมูล หรือ DPA) เพื่อควบคุมการดำเนินงานตามหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัตินี้ | พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (1) และมาตรา 40 ส่วนมาตรฐานขั้นต่ำกำหนดโดยประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 [ต้องยืนยันแหล่งที่มา] | แก้ไขแล้ว — LAS Audit |
| C-UP-28-03 | มาตรา 3 แห่งพระราชบัญญัติความลับทางการค้า พ.ศ. 2545 ให้นิยามความลับทางการค้าและข้อมูลการค้า ซึ่งรวมถึงสูตรและกรรมวิธี การละเมิดสิทธิในความลับทางการค้าอยู่ในมาตรา 6 การใช้สิทธิทางแพ่งอยู่ในมาตรา 8 และมาตรา 33 กำหนดโทษทางอาญากรณีเปิดเผยความลับทางการค้าของผู้อื่นโดยเจตนากลั่นแกล้ง ทั้งนี้ ข้อมูลพันธุกรรมของผู้ป่วยเป็นข้อมูลส่วนบุคคล มิใช่ความลับทางการค้าของผู้ให้บริการ | พระราชบัญญัติความลับทางการค้า พ.ศ. 2545 มาตรา 3 มาตรา 6 มาตรา 8 และมาตรา 33 | แก้ไขแล้ว — LAS Audit |
| C-UP-28-04 | ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 368 กำหนดให้การตีความสัญญาเป็นไปตามความประสงค์ในทางสุจริตโดยพิเคราะห์ถึงปกติประเพณี มาตรา 373 บัญญัติว่าข้อตกลงล่วงหน้าที่ยกเว้นมิให้ลูกหนี้ต้องรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของตนเป็นโมฆะ ซึ่งมีผลจำกัดข้อสัญญาจำกัดความรับผิดของผู้ให้บริการคลาวด์ และมาตรา 587 เป็นบทนิยามของสัญญาจ้างทำของ ใช้ประกอบการพิจารณาลักษณะของสัญญาบริการเท่านั้น | ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 368 มาตรา 373 และมาตรา 587 | แก้ไขแล้ว — LAS Audit |
กฎหมายอื่นที่ต้องพิจารณาประกอบ: หากผู้ว่าจ้างเป็นหน่วยงานที่คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติประกาศกำหนดเป็นหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศด้านสาธารณสุขตามมาตรา 49 (7) แห่งพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ผู้ว่าจ้างต้องปฏิบัติตามพระราชบัญญัติดังกล่าวเพิ่มเติม ซึ่งย่อมกระทบการคัดเลือกผู้ให้บริการคลาวด์และข้อกำหนดในสัญญา ทั้งนี้ ต้องตรวจประกาศของคณะกรรมการที่กำหนดลักษณะหน่วยงานด้านสาธารณสุขจากแหล่งทางราชการ [ต้องยืนยันแหล่งที่มา] นอกจากนี้ หากผู้ว่าจ้างเป็นสถานพยาบาลที่อยู่ในบังคับของพระราชบัญญัติสถานพยาบาล พ.ศ. 2541 ผู้รับอนุญาตและผู้ดำเนินการต้องจัดให้มีและรายงานหลักฐานเกี่ยวกับผู้ป่วยและเอกสารอื่นที่เกี่ยวกับการรักษาพยาบาลตามหลักเกณฑ์ วิธีการ และเงื่อนไขที่กำหนดในกฎกระทรวง โดยเก็บรักษาไว้ให้อยู่ในสภาพที่ตรวจสอบได้ไม่น้อยกว่าห้าปีนับแต่วันที่จัดทำตามมาตรา 35 (3) แห่งพระราชบัญญัติดังกล่าว สัญญาจึงควรกำหนดระยะเวลาเก็บรักษาและการส่งคืนข้อมูลให้ผู้ว่าจ้างปฏิบัติตามหน้าที่นี้ได้ และยังต้องพิจารณาพระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 มาตรา 7 ซึ่งบัญญัติว่าข้อมูลด้านสุขภาพของบุคคลเป็นความลับส่วนบุคคล ผู้ใดจะนำไปเปิดเผยในประการที่น่าจะทำให้บุคคลนั้นเสียหายไม่ได้ เว้นแต่การเปิดเผยนั้นเป็นไปตามความประสงค์ของบุคคลนั้นโดยตรงหรือมีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผย ผู้ฝ่าฝืนต้องระวางโทษจำคุกไม่เกินหกเดือน หรือปรับไม่เกินหนึ่งหมื่นบาท หรือทั้งจำทั้งปรับตามมาตรา 49 และความผิดดังกล่าวเป็นความผิดอันยอมความได้
แม่แบบข้อสัญญาสำคัญ Key Contractual Clauses
ข้อสัญญาในหัวข้อนี้เป็นข้อสัญญาที่คัดมาบางข้อ (ข้อ 9 และข้อ 15 พร้อมข้อสัญญาที่ควรเพิ่ม) มิใช่แม่แบบสัญญาที่ครบถ้วน คู่สัญญาต้องจัดทำข้อสัญญาส่วนอื่นให้ครบตามลักษณะของงานและตามข้อตกลงระหว่างผู้ควบคุมข้อมูลส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคล
ข้อ 9. การรักษาความมั่นคงปลอดภัยของข้อมูลพันธุกรรม (Genomic Data Security & Encryption)
9.1 ผู้ให้บริการรับประกันว่า ข้อมูลพันธุกรรมทั้งหมด (รวมถึงไฟล์ FASTQ, BAM, VCF) จะได้รับการเข้ารหัสขั้นสูง (End-to-End Encryption) โดยใช้มาตรฐาน AES-256 ทั้งในขณะจัดเก็บ (At Rest) และขณะส่งผ่านเครือข่าย (In Transit) โดยกุญแจถอดรหัส (Encryption Keys) จะต้องอยู่ภายใต้การควบคุมของผู้ว่าจ้างแต่เพียงผู้เดียวผ่านระบบ Customer-Managed Keys (CMK) 9.2 ผู้ให้บริการไม่มีสิทธิเข้าถึง ถอดรหัส หรือล่วงรู้เนื้อหาของข้อมูลพันธุกรรม เว้นแต่ได้รับคำสั่งเป็นลายลักษณ์อักษรจากผู้ว่าจ้างเพื่อการแก้ไขปัญหาทางเทคนิคเฉพาะจุด และต้องจัดให้มีระบบบันทึกประวัติการเข้าถึง (Audit Trail) ที่ไม่สามารถแก้ไขเปลี่ยนแปลงได้ (Immutable Logs)
ข้อสัญญาที่ควรเพิ่มในข้อ 9: 9.3 ผู้ให้บริการต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ผู้ว่าจ้างโดยไม่ชักช้า เพื่อให้ผู้ว่าจ้างแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะกระทำได้ 9.4 ผู้ให้บริการต้องจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล 9.5 เมื่อสัญญาสิ้นสุดลง ผู้ให้บริการต้องลบหรือทำลายข้อมูลพันธุกรรมและข้อมูลส่วนบุคคลอื่นของผู้ว่าจ้างตามคำสั่งของผู้ว่าจ้าง 9.6 คู่สัญญาแต่ละฝ่ายต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลในกรณีที่กฎหมายกำหนด
ข้อสังเกตเกี่ยวกับข้อ 9: ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบตามมาตรา 40 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งเหตุการละเมิดแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ตามมาตรา 37 (4) ผู้ประมวลผลข้อมูลส่วนบุคคลต้องจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลตามมาตรา 40 (3) ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีระบบการตรวจสอบเพื่อลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษาหรือเกินความจำเป็นตามมาตรา 37 (3) และเมื่อกิจกรรมหลักของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามมาตรา 26 ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (3)
ข้อ 15. ข้อห้ามการใช้ข้อมูลและสิทธิในทรัพย์สินทางปัญญา (No-Training Covenant & Derivative IP)
15.1 ผู้ให้บริการตกลงและรับรองว่าจะไม่นำข้อมูลพันธุกรรม ข้อมูลประวัติการรักษา หรือผลการวิเคราะห์ของผู้ว่าจ้าง ไปใช้ในการฝึกฝน (Train), ปรับปรุง (Fine-tune), หรือพัฒนาแบบจำลองปัญญาประดิษฐ์ (AI Models) หรือขั้นตอนวิธี (Algorithms) ใด ๆ ของผู้ให้บริการหรือบุคคลภายนอกโดยเด็ดขาด 15.2 ผู้ให้บริการตกลงโอนสิทธิขอรับสิทธิบัตรและสิทธิในทรัพย์สินทางปัญญาในการประดิษฐ์ที่เกิดจากการประมวลผลข้อมูลบนระบบคลาวด์ รวมถึงการประดิษฐ์ที่เกี่ยวกับตัวบ่งชี้ทางชีวภาพ (Biomarkers) ให้แก่ผู้ว่าจ้าง โดยทำเป็นหนังสือลงลายมือชื่อผู้โอนและผู้รับโอนตามมาตรา 10 แห่งพระราชบัญญัติสิทธิบัตร พ.ศ. 2522 และรับรองว่าสิทธิขอรับสิทธิบัตรในการประดิษฐ์ที่ลูกจ้างของตนประดิษฐ์ขึ้นโดยการทำงานตามสัญญาจ้างได้ตกแก่ตนตามมาตรา 11 แห่งพระราชบัญญัติเดียวกัน หรือได้รับโอนจากผู้ประดิษฐ์เป็นหนังสือแล้ว ทั้งตกลงลงนามในเอกสารโอนสิทธิเมื่อผู้ว่าจ้างร้องขอ โดยผู้ให้บริการไม่มีสิทธิเรียกร้องผลประโยชน์หรือค่าสิทธิ (Royalty-free) ใด ๆ ทั้งสิ้น ทั้งนี้ คู่สัญญาทราบว่ากฎเกณฑ์และทฤษฎีทางวิทยาศาสตร์ และวิธีการวินิจฉัย บำบัด หรือรักษาโรคมนุษย์ ไม่ได้รับความคุ้มครองตามมาตรา 9 แห่งพระราชบัญญัติเดียวกัน 15.3 ผู้ว่าจ้างรับรองว่าการใช้ข้อมูลพันธุกรรมเพื่อการค้นพบทุติยภูมิ (Secondary Discovery) อยู่ภายในวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ตามมาตรา 21 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือได้รับความยินยอมโดยชัดแจ้งใหม่ หรือเข้าข้อยกเว้นตามมาตรา 26 แห่งพระราชบัญญัติเดียวกัน
ตารางเปรียบเทียบบริการคลาวด์ทั่วไป (General Cloud) กับคลาวด์ข้อมูลพันธุกรรมมนุษย์ Genomic Cloud
| มิติการกำกับดูแล | คลาวด์สำหรับธุรกิจทั่วไป (General Enterprise Cloud) | คลาวด์ข้อมูลพันธุกรรมมนุษย์ (Genomic Precision Cloud) |
|---|---|---|
| ระดับความอ่อนไหวของข้อมูล | ข้อมูลส่วนบุคคลทั่วไป (เก็บรวบรวมโดยอาศัยความยินยอมตามมาตรา 19 หรือฐานตามมาตรา 24) | ข้อมูลพันธุกรรม ข้อมูลสุขภาพ และข้อมูลชีวภาพตามมาตรา 26 (Sensitive Data) ซึ่งต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นตามมาตรา 26 |
| สิทธิการถือครองกุญแจเข้ารหัส | ผู้ให้บริการเป็นผู้บริหารจัดการกุญแจ (Cloud-Managed) | ผู้ว่าจ้างถือครองกุญแจแต่เพียงผู้เดียว (Bring Your Own Key: BYOK) |
| ข้อกำหนดถิ่นที่อยู่ของข้อมูล | จัดเก็บกระจายได้หลายภูมิภาคตามความเหมาะสม | การเก็บข้อมูลพันธุกรรมไว้ในประเทศไทยเท่านั้นเป็นมาตรการทางสัญญาที่ผู้ควบคุมข้อมูลเลือกกำหนดเพื่อลดความเสี่ยง และอาจเป็นข้อกำหนดของผู้ให้ทุนหรือหน่วยงานกำกับดูแลเฉพาะราย (Sovereign Health Cloud) [ต้องยืนยันแหล่งที่มา] |
| การใช้ข้อมูลฝึกโมเดล AI | มักมีข้อยกเว้นให้นำข้อมูลสถิติไปปรับปรุงระบบได้ | ห้ามเด็ดขาด (Strict No-Training Covenant) |
อ้างอิง — References
- สำนักงานคณะกรรมการกฤษฎีกา — ระบบสืบค้นกฎหมาย (OCS)