A : จำเป็น เนื่องจากกิจกรรมหลักของธุรกิจคลินิกคือการให้บริการตรวจรักษาและดูแลสุขภาพ ซึ่งหลีกเลี่ยงไม่ได้ที่จะต้องมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลสุขภาพ ข้อมูลยา หรือข้อมูลชีวภาพของคนไข้ ซึ่งจัดเป็นข้อมูลส่วนบุคคลลักษณะพิเศษตามมาตรา 26 เป็นประจำและสม่ำเสมอ คลินิกจึงมีหน้าที่ตามกฎหมายมาตรา 41(3) ที่ต้องแต่งตั้ง DPO โดยไม่มีข้อยกเว้นเรื่องขนาดธุรกิจ

A : ปัญหา จะเกิดขึ้นหากพนักงานคนดังกล่าวเป็นผู้ประมวลผลข้อมูลหรือมีอำนาจบริหารจัดการข้อมูลนั้นโดยตรง เช่น การแต่งตั้งผู้บริหารสูงสุด ผู้จัดการคลินิก หรือหัวหน้าฝ่ายไอที เนื่องจากบุคคลกลุ่มนี้เป็นผู้กำหนดนโยบายหรือวางระบบจัดเก็บเอง ทำให้ไม่สามารถปฏิบัติตามหน้าที่ในการตรวจสอบ (Audit) และถ่วงดุลอำนาจได้อย่างเป็นกลางในฐานะ DPO

A : เนื่องจาก เป็นเงื่อนไขบังคับทางกฎหมายที่กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องแจ้งเหตุละเมิดข้อมูลที่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ การรายงานที่ล่าช้าโดยไม่มีเหตุผลอันสมควรอาจทำให้คลินิกได้รับโทษปรับทางปกครองเพิ่มเติม