อัปเดต PDPA สำหรับ Agency ปี 2026: สิ่งที่คลินิก โรงพยาบาล และธุรกิจสุขภาพต้องทบทวน

เอเจนซี่ที่รับงานลูกค้าสายคลินิกและโรงพยาบาลจำนวนมากเซ็นสัญญาประมวลผลข้อมูล (DPA) ครั้งแรกไว้ตั้งแต่ตอนเริ่มงานกับลูกค้ารายนั้น แล้วไม่เคยหยิบสัญญานั้นกลับมาอ่านซ้ำอีกเลยตลอดอายุงานที่อาจยาวเกิน 2-3 ปี จากการสำรวจแบบไม่เป็นทางการในทีมที่ปรึกษาด้านข้อมูลหลายราย พบว่าเอเจนซี่ราวหนึ่งในสามที่ดูแลลูกค้าสายสุขภาพยังใช้รายชื่อ Sub-processor เดิมในสัญญา ทั้งที่เปลี่ยนแพลตฟอร์มโฆษณาหรือเพิ่มเครื่องมือวิเคราะห์ข้อมูลใหม่ไปแล้วระหว่างทาง

ตัวเลขนี้สำคัญเพราะสัญญาที่ไม่ตรงกับการทำงานจริง คือช่องโหว่แรกที่ทำให้เอเจนซี่ในฐานะผู้ประมวลผลข้อมูลมีความเสี่ยง เมื่อลูกค้าตรวจสอบย้อนหลังแล้วพบว่าเครื่องมือที่ใช้จริงไม่ตรงกับที่แจ้งไว้ บทความนี้จึงรวมสิ่งที่ทีมการตลาดและผู้ดูแลข้อมูลในเอเจนซี่ควรทบทวนซ้ำในปี 2026 ก่อนต่อสัญญาเดิมหรือรับลูกค้าสายสุขภาพรายใหม่

สิ่งที่แตกต่างจากการทบทวน PDPA ทั่วไปคือ เอเจนซี่ไม่ได้เป็นเจ้าของข้อมูลที่ต้องดูแล แต่เป็นผู้ประมวลผลข้อมูลตามคำสั่งของลูกค้า ดังนั้นการทบทวนประจำปีจึงต้องมองสองด้านพร้อมกัน คือด้านสัญญาที่ผูกพันกับลูกค้าแต่ละราย และด้านการทำงานจริงของทีมที่อาจเปลี่ยนเครื่องมือหรือขั้นตอนไปโดยไม่มีใครแก้สัญญาให้ตรงตาม

ในปี 2026 เอเจนซี่ที่ดูแลแคมเปญให้คลินิกและโรงพยาบาลควรทบทวนสัญญาประมวลผลข้อมูล (DPA) ที่ใช้อยู่ว่ายังระบุขอบเขตงานและรายชื่อ Sub-processor ตรงกับเครื่องมือที่ใช้จริงหรือไม่ ตรวจว่าขั้นตอนคืน/ลบข้อมูลเมื่อจบสัญญายังใช้งานได้จริง และเทียบแนวปฏิบัติของทีมกับประกาศล่าสุดจาก PDPC อย่างน้อยปีละครั้ง ไม่ใช่ตั้งสัญญาไว้ครั้งเดียวแล้วไม่แตะอีกเลย

สิ่งที่เปลี่ยนไปและควรทบทวนในปี 2026

ขอบเขตของสัญญาประมวลผลข้อมูล (DPA)

สัญญา DPA ที่เขียนไว้หลายปีก่อนมักระบุขอบเขตงานแบบกว้าง เช่น "ให้บริการด้านการตลาดดิจิทัล" โดยไม่แยกว่าเอเจนซี่ประมวลผลข้อมูลประเภทใดบ้างจากลูกค้าคลินิกหรือโรงพยาบาลรายนั้น สิ่งที่ควรทบทวนคือแยกให้ชัดว่าข้อมูลที่รับมาจากลูกค้าตอนนี้มีอะไรบ้าง เช่น รายชื่อผู้จองคิวตรวจ ผู้เข้าฟอร์มปรึกษาอาการ หรือ Audience ที่สร้างจากผู้คลิกโฆษณาโปรแกรมเฉพาะทาง แล้วเทียบว่าขอบเขตในสัญญาเดิมยังครอบคลุมงานที่ทำจริงหรือไม่ หากมีงานใหม่ที่ไม่อยู่ในขอบเขตเดิม ควรทำภาคผนวกแก้ไขสัญญาก่อนเริ่มใช้ข้อมูลนั้น ไม่ใช่ใช้ไปก่อนแล้วค่อยแก้สัญญาทีหลัง

ทีมที่รับผิดชอบสัญญาควรตั้งคำถามง่าย ๆ กับตัวเองทุกครั้งที่ทบทวน คือ ถ้าลูกค้าขอดูสัญญา DPA วันนี้ สิ่งที่เขียนไว้ตรงกับสิ่งที่ทีมทำอยู่จริงหรือไม่ หากคำตอบคือไม่แน่ใจ นั่นคือสัญญาณว่าถึงเวลาต้องนั่งไล่รายละเอียดใหม่กับฝ่ายกฎหมายหรือผู้ดูแลบัญชีลูกค้ารายนั้นโดยตรง

ความยินยอมต้นทางที่ต้องตรวจซ้ำ

นอกจากขอบเขตงานและ Sub-processor แล้ว สิ่งที่มักถูกลืมคือเอกสารความยินยอมต้นทางที่ลูกค้าส่งมาให้ตอนเริ่มโครงการ ความยินยอมบางฉบับมีกำหนดระยะเวลาใช้งานหรือขอบเขตวัตถุประสงค์ที่จำกัดไว้ชัดเจน เมื่อเวลาผ่านไปหนึ่งหรือสองปี เอกสารเหล่านั้นอาจหมดอายุหรือไม่ครอบคลุมแคมเปญใหม่ที่ลูกค้าขอให้ทำเพิ่มแล้ว การทบทวนประจำปีจึงควรรวมการขอให้ลูกค้ายืนยันซ้ำว่าความยินยอมที่อ้างอิงอยู่ยังใช้ได้กับการใช้งานปัจจุบัน

การเปิดเผย Sub-processor ที่เปลี่ยนไปตามเครื่องมือ

ทีมการตลาดในเอเจนซี่มักเปลี่ยนหรือเพิ่มเครื่องมือระหว่างทาง เช่น เปลี่ยนแพลตฟอร์มวัดผลแคมเปญ เพิ่มระบบ CRM ใหม่ หรือใช้ผู้ให้บริการ Call Center ภายนอกมาติดต่อกลับลีดแทนทีมเดิม ทุกครั้งที่เพิ่มผู้ให้บริการเหล่านี้ เอเจนซี่มีสถานะเป็นผู้แต่งตั้ง Sub-processor ใหม่ ซึ่งต้องแจ้งลูกค้าและปรับรายชื่อในสัญญาให้ตรงกับความเป็นจริง การทบทวนประจำปีจึงควรเริ่มจากการไล่รายชื่อเครื่องมือที่ทีมใช้งานจริงทั้งหมด แล้วเทียบกับรายชื่อ Sub-processor ที่เคยแจ้งลูกค้าไว้ในสัญญาฉบับล่าสุด

การจัดการข้อมูลเมื่อสัญญาสิ้นสุดหรือเปลี่ยนทีมดูแล

อีกจุดที่มักถูกมองข้ามคือขั้นตอนคืน/ลบข้อมูลเมื่อจบสัญญา หลายเอเจนซี่เขียนเงื่อนไขนี้ไว้ในสัญญาแต่ไม่เคยทดลองทำจริง เมื่อถึงเวลาลูกค้าเลิกจ้างหรือย้ายไปเอเจนซี่อื่น ทีมงานจึงไม่แน่ใจว่าต้องลบ Custom Audience ออกจากแพลตฟอร์มโฆษณากี่จุด หรือไฟล์ต้นฉบับที่ลูกค้าเคยส่งมาต้องคืนในรูปแบบใด การทบทวนประจำปีควรรวมการซ้อมขั้นตอนนี้กับลูกค้าอย่างน้อยหนึ่งรายเป็นตัวอย่าง เพื่อให้ทีมรู้ว่าต้องเก็บหลักฐานอะไรบ้างเมื่อถึงเวลาจริง

บางเอเจนซี่พบว่าเมื่อจำลองสถานการณ์นี้จริง กลับติดปัญหาว่าไฟล์ข้อมูลลูกค้าถูกกระจายไว้ในเครื่องมือหลายตัวที่ทีมต่างคนต่างใช้ เช่น สเปรดชีตของทีมครีเอทีฟ ระบบ CRM ของทีมขาย และแพลตฟอร์มโฆษณาของทีมมีเดีย การทบทวนประจำปีจึงควรรวมการทำแผนผังว่าไฟล์ข้อมูลของลูกค้าแต่ละรายกระจายอยู่ที่ใดบ้าง เพื่อให้ขั้นตอนคืน/ลบข้อมูลครอบคลุมทุกจุดจริง ไม่ใช่แค่จุดที่นึกออกตอนนั้น

จุดที่ต้องตรวจซ้ำทุกไตรมาส

• ทบทวนรายชื่อ Sub-processor ที่เอเจนซี่ใช้งานจริง เทียบกับรายชื่อที่แจ้งลูกค้าไว้ในสัญญาฉบับล่าสุด
• ตรวจว่าขอบเขตข้อมูลที่รับจากลูกค้าตอนนี้ ยังตรงกับที่ระบุไว้ในสัญญา DPA หรือมีงานใหม่ที่ยังไม่ได้ทำภาคผนวก
• ตรวจสอบว่าทีมที่ดูแลบัญชีลูกค้าสายสุขภาพยังจำขั้นตอนคืน/ลบข้อมูลเมื่อจบสัญญาได้ถูกต้อง
• เทียบแนวปฏิบัติของเอเจนซี่กับประกาศหรือแนวปฏิบัติล่าสุดจาก PDPC ที่เกี่ยวข้องกับข้อมูลสุขภาพและผู้ประมวลผลข้อมูล
• ตรวจว่าเอกสารความยินยอมต้นทางที่ลูกค้าส่งมาให้ยังมีอายุใช้งานตามที่ระบุไว้ หรือหมดอายุแล้วโดยไม่มีใครสังเกต
• สุ่มตรวจไฟล์ข้อมูลลูกค้าสายสุขภาพหนึ่งรายทุกไตรมาส เพื่อดูว่ามีข้อมูลที่บ่งชี้อาการปนอยู่ในไฟล์ที่ไม่ควรมีหรือไม่
• ทำแผนผังสั้น ๆ ว่าไฟล์ข้อมูลของลูกค้าแต่ละรายกระจายอยู่ในเครื่องมือใดบ้าง เพื่อให้ขั้นตอนคืน/ลบข้อมูลครอบคลุมทุกจุดจริงเมื่อถึงเวลา

ข้อผิดพลาดที่พบบ่อยเมื่อทบทวนสัญญาเก่า

ข้อผิดพลาดเหล่านี้มักไม่ใช่เรื่องใหม่ แต่เป็นสิ่งที่สะสมมาจากการไม่ได้ทบทวนต่อเนื่องเป็นปีสองปี

• ใช้เครื่องมือใหม่ในแคมเปญโดยไม่แจ้งลูกค้า เพราะคิดว่าเป็นแค่การปรับปรุงภายในทีม ไม่เกี่ยวกับข้อมูลลูกค้า
• ปล่อยให้สัญญา DPA ต่ออายุอัตโนมัติทุกปีโดยไม่มีใครอ่านซ้ำว่าขอบเขตงานยังตรงกับความเป็นจริงหรือไม่
• ไม่เคยทดสอบขั้นตอนลบข้อมูลจริง จนเมื่อลูกค้าขอให้ลบเร่งด่วน ทีมงานหาไม่เจอว่าต้องลบที่จุดไหนบ้าง
• เก็บเอกสารความยินยอมต้นทางไว้แค่ไฟล์เดียวโดยไม่ตรวจวันหมดอายุ ทำให้ใช้ Audience จากความยินยอมที่หมดอายุไปแล้วโดยไม่รู้ตัว
• ไม่รู้ว่าไฟล์ข้อมูลของลูกค้ารายเดิมกระจายอยู่ในเครื่องมือกี่ตัว จึงลบข้อมูลไม่ครบทุกจุดเมื่อสัญญาจบ แล้วไปพบไฟล์ตกค้างในภายหลัง

สรุป

การอัปเดต PDPA สำหรับเอเจนซี่สายสุขภาพในปี 2026 ไม่ใช่การเขียนสัญญาใหม่ทั้งหมด แต่คือการหยิบสัญญาที่มีอยู่มาเทียบกับงานที่ทำจริงในวันนี้ ตรวจรายชื่อ Sub-processor ให้ตรงกับเครื่องมือที่ใช้ ทดสอบขั้นตอนคืน/ลบข้อมูลกับลูกค้าตัวอย่าง และติดตามแนวปฏิบัติล่าสุดจาก PDPC อย่างสม่ำเสมอ การทบทวนแบบนี้ไม่ได้ทำให้ความเสี่ยงหมดไปทั้งหมด แต่ช่วยให้เอเจนซี่เห็นช่องว่างระหว่างสัญญากับการทำงานจริงก่อนที่ลูกค้าหรือหน่วยงานกำกับดูแลจะเป็นคนพบเจอก่อน โดยเฉพาะเมื่อทีมงานเปลี่ยนคนหรือเปลี่ยนเครื่องมือบ่อยกว่าที่สัญญาจะตามทัน

ทีมที่ดูแลลูกค้าหลายรายควรกำหนดปฏิทินทบทวนแยกตามลูกค้าแต่ละราย เพราะรอบต่อสัญญาและประเภทข้อมูลของแต่ละคลินิกหรือโรงพยาบาลมักไม่เหมือนกัน การใช้ตารางเดียวทบทวนทุกลูกค้าพร้อมกันอาจทำให้บางสัญญาที่ใกล้ครบกำหนดถูกมองข้ามไป ยิ่งลูกค้าสายสุขภาพที่มีความอ่อนไหวของข้อมูลสูงกว่าลูกค้าทั่วไป ยิ่งควรได้รับรอบทบทวนที่ถี่กว่าลูกค้ากลุ่มอื่นในพอร์ตของเอเจนซี่

แหล่งข้อมูลอ้างอิง

อ้างอิงและตรวจสอบความเป็นปัจจุบันของแนวปฏิบัติจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก โดยเฉพาะประกาศที่เกี่ยวข้องกับข้อมูลสุขภาพและบทบาทผู้ประมวลผลข้อมูล ก่อนนำไปปรับใช้กับสัญญาของลูกค้าแต่ละราย

ดูภาพรวมหมวดธุรกิจอื่นเพิ่มเติมได้ที่ หน้ารวมความรู้ธุรกิจและอุตสาหกรรม หรือใช้ เช็กลิสต์ PDPA สำหรับ Agency สายสุขภาพ เป็นจุดตรวจก่อนเปิดแคมเปญใหม่ทุกครั้งหลังทบทวนสัญญาแล้ว