วิธี Audit PDPA สำหรับ Agency ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

ทุกไตรมาส ทีมกฎหมายของเอเจนซี่ดิจิทัลแห่งหนึ่งนั่งเปิดโฟลเดอร์แคมเปญของลูกค้าคลินิกความงามรายหนึ่งขึ้นมาไล่ดูทีละแคมเปญ คำถามที่พวกเขาถามตัวเองในแต่ละรอบคือ ฐานข้อมูลคนไข้ที่เคยใช้ทำรีมาร์เก็ตติ้งเมื่อหกเดือนก่อนยังอยู่ในระบบโฆษณากี่แพลตฟอร์ม ใครยังเข้าถึงไฟล์รายชื่อคนไข้ที่ดาวน์โหลดมาทำแคมเปญนั้นได้บ้าง และถ้าลูกค้าขอหลักฐานตอนนี้ พวกเขาจะส่งให้ได้ภายในกี่ชั่วโมง

รอบตรวจสอบแบบนี้ไม่ใช่พิธีกรรมที่ทำเพื่อความสบายใจ แต่เป็นสิ่งจำเป็นสำหรับเอเจนซี่ที่รับงานลูกค้ากลุ่มสุขภาพ เพราะข้อมูลที่แตะอยู่คือข้อมูลสุขภาพซึ่งมีความอ่อนไหวสูงกว่าข้อมูลลูกค้าทั่วไป บทความนี้วางกรอบการ Audit ที่เอเจนซี่ควรทำเป็นรอบประจำ พร้อมระบุ Evidence ที่ควรเก็บไว้ในแต่ละจุด

ในทางปฏิบัติ ทีมกฎหมายของเอเจนซี่รายนี้เคยเจอเคสที่ฐานข้อมูลคนไข้เกือบสองพันรายชื่อจากแคมเปญโปรโมชันเลเซอร์ผิวหน้ายังค้างอยู่ในออดิเอนซ์ที่บันทึกไว้ในระบบโฆษณา ทั้งที่แคมเปญนั้นปิดไปแล้วกว่าสี่เดือน และไม่มีใครในทีมจำได้ว่าใครเป็นคนสร้างออดิเอนซ์นั้นขึ้นมาตั้งแต่แรก นี่คือสิ่งที่การ Audit ตามรอบจะจับได้ ในขณะที่การตรวจแบบครั้งเดียวตอนเริ่มสัญญาไม่มีทางเจอ เพราะปัญหาแบบนี้เกิดขึ้นระหว่างทาง ไม่ใช่ตอนเริ่มงาน

การ Audit PDPA สำหรับเอเจนซี่ที่รับงานลูกค้ากลุ่มคลินิก โรงพยาบาล และธุรกิจสุขภาพ ควรทำเป็นรอบประจำ ไม่ใช่ทำครั้งเดียวตอนเริ่มสัญญา โดยตรวจสี่จุดหลักคือ สัญญา DPA ยังตรงกับแคมเปญที่ทำจริงหรือไม่ รายชื่อ Sub-processor ครบถ้วนและอัปเดตหรือไม่ ข้อมูลผู้ป่วยหรือคนไข้ที่หมดอายุการใช้งานถูกลบตามกำหนดหรือไม่ และมีหลักฐานยืนยันทุกขั้นตอนพร้อมส่งให้ลูกค้าตรวจสอบได้ทันที

ทำไมข้อมูลลูกค้าคลินิกและโรงพยาบาลต้อง Audit ถี่กว่าลูกค้ากลุ่มอื่น

ข้อมูลที่เอเจนซี่ได้รับจากลูกค้าคลินิกหรือโรงพยาบาลมักไม่ใช่แค่ชื่อและเบอร์โทร แต่อาจรวมถึงประวัติการรักษา ประเภทหัตถการที่คนไข้เคยใช้บริการ หรือกลุ่มอาการที่ใช้แบ่งเซ็กเมนต์สำหรับแคมเปญโฆษณาเฉพาะทาง ข้อมูลลักษณะนี้เข้าข่ายข้อมูลที่มีความอ่อนไหวสูง หากรั่วไหลออกไปจะกระทบคนไข้มากกว่าการรั่วไหลของข้อมูลลูกค้าทั่วไป การ Audit ถี่ขึ้นจึงไม่ใช่ความเข้มงวดเกินจำเป็น แต่เป็นการลดความเสี่ยงให้สอดคล้องกับระดับความอ่อนไหวของข้อมูลที่ถืออยู่จริง

จุดตรวจที่ 1: สัญญา DPA ยังตรงกับแคมเปญที่ทำจริงหรือไม่

วิธีตรวจคือหยิบสัญญา Data Processing Agreement ที่เซ็นไว้ตอนเริ่มงานมาเทียบกับรายการแคมเปญที่ทำจริงในช่วงที่ผ่านมา แคมเปญใหม่ที่เพิ่มเข้ามาระหว่างทาง เช่น แคมเปญรีมาร์เก็ตติ้งเฉพาะกลุ่มคนไข้ที่เคยทำหัตถการบางประเภท อาจใช้ข้อมูลในลักษณะที่สัญญาเดิมไม่ได้ระบุไว้ หากพบว่าขอบเขตงานจริงกว้างกว่าที่สัญญาเขียนไว้ ต้องแก้ไขภาคผนวกสัญญาให้ตรงกันก่อนดำเนินการต่อ ไม่ใช่ปล่อยให้ทำงานไปก่อนแล้วค่อยแก้เอกสารทีหลัง Evidence ที่ควรเก็บคือสำเนาสัญญาฉบับล่าสุดพร้อมภาคผนวกที่ปรับปรุงตามแคมเปญจริงในแต่ละรอบ ในทางปฏิบัติควรมีตารางเทียบสั้น ๆ ที่ระบุว่าแคมเปญแต่ละตัวใช้ข้อมูลประเภทใด เช่น รายชื่อคนไข้ที่นัดตรวจ ประเภทหัตถการ หรือพฤติกรรมการคลิกโฆษณา แล้วเทียบกับข้อกำหนดในสัญญาว่าครอบคลุมหรือไม่ทีละบรรทัด แทนที่จะต้องอ่านสัญญาทั้งฉบับใหม่ทุกครั้งที่ตรวจ วิธีนี้ช่วยให้คนที่ไม่ได้ร่างสัญญาเองก็ตรวจตามได้โดยไม่ต้องพึ่งความจำของคนคนเดียว

จุดตรวจที่ 2: รายชื่อ Sub-processor ครบถ้วนและอัปเดตหรือไม่

เอเจนซี่ที่ทำแคมเปญให้คลินิกมักใช้ผู้ให้บริการหลายชั้น เช่น แพลตฟอร์มโฆษณา ระบบจัดการฐานข้อมูลลูกค้าสัมพันธ์ หรือเครื่องมือส่งข้อความแจ้งเตือนนัดหมาย ผู้ให้บริการเหล่านี้ล้วนเป็น Sub-processor ที่แตะข้อมูลคนไข้อีกทอดหนึ่ง วิธีตรวจคือไล่ดูว่ารายชื่อที่แนบท้ายสัญญายังตรงกับผู้ให้บริการที่ใช้งานจริงหรือไม่ หากเปลี่ยนเครื่องมือส่งข้อความระหว่างปีแต่ไม่ได้ปรับรายชื่อ นี่คือช่องโหว่ที่ต้องแก้ทันที Evidence ที่ควรเก็บคือรายชื่อ Sub-processor เวอร์ชันล่าสุดพร้อมวันที่ปรับปรุงและเหตุผลของการเปลี่ยนแปลงแต่ละครั้ง รายชื่อนี้ควรระบุอย่างน้อยสี่คอลัมน์คือชื่อผู้ให้บริการ วัตถุประสงค์ที่เข้าถึงข้อมูล ตำแหน่งที่ข้อมูลถูกประมวลผลหรือจัดเก็บ และระยะเวลาที่ผู้ให้บริการรายนั้นถือข้อมูลไว้ หากทีมมีเดียเริ่มใช้เครื่องมือแชทบอทตอบคำถามคนไข้เพิ่มขึ้นมาโดยไม่แจ้งฝ่ายกฎหมาย นี่คือ Sub-processor รายใหม่ที่ต้องเพิ่มเข้าไปในรายชื่อและแจ้งลูกค้าตามที่สัญญากำหนดก่อนเริ่มใช้งานจริง ไม่ใช่แจ้งย้อนหลังหลังถูกทักท้วง

จุดตรวจที่ 3: ข้อมูลที่หมดอายุการใช้งานถูกลบตามกำหนดหรือไม่

แคมเปญของคลินิกมักมีช่วงเวลาใช้งานข้อมูลที่จำกัด เช่น ใช้ฐานข้อมูลคนไข้เพื่อรีมาร์เก็ตติ้งภายในหกสิบวันหลังหัตถการ เมื่อพ้นระยะเวลานั้นแล้ว ข้อมูลควรถูกลบออกจากระบบโฆษณาและเครื่องมือวิเคราะห์ที่เกี่ยวข้องทั้งหมด วิธีตรวจคือสุ่มเลือกแคมเปญเก่าสองสามรายการมาเช็คในแพลตฟอร์มโฆษณาว่ายังมีออดิเอนซ์เดิมค้างอยู่หรือไม่ หากพบว่ายังไม่ถูกลบ ต้องดำเนินการลบทันทีและบันทึกเหตุการณ์ไว้เป็นบทเรียนปรับปรุงกระบวนการ Evidence ที่ควรเก็บคือบันทึกการลบข้อมูลพร้อมวันที่และชื่อระบบที่ดำเนินการ บางแพลตฟอร์มโฆษณาไม่มีปุ่มลบออดิเอนซ์ที่ชัดเจน ต้องเข้าไปที่เมนูจัดการกลุ่มเป้าหมายแล้วลบทีละรายการ ทีมที่ทำ Audit ควรถ่ายภาพหน้าจอก่อนและหลังการลบเก็บไว้เป็นหลักฐาน ไม่ใช่แค่จดบันทึกด้วยคำพูดว่าลบแล้ว เพราะเมื่อลูกค้าขอดูหลักฐานย้อนหลัง ภาพหน้าจอที่มีวันที่กำกับจะตอบคำถามได้เร็วกว่าการอธิบายด้วยปากเปล่ามาก

จุดตรวจที่ 4: เตรียมหลักฐานพร้อมส่งให้ลูกค้าตรวจสอบได้ทันที

คลินิกและโรงพยาบาลจำนวนมากมีรอบตรวจสอบผู้ให้บริการภายนอกของตัวเอง โดยเฉพาะกลุ่มที่ผ่านการรับรองมาตรฐานด้านคุณภาพซึ่งต้องแสดงหลักฐานการจัดการข้อมูลคนไข้อย่างรัดกุม เอเจนซี่ที่ถูกขอเอกสารกะทันหันแล้วต้องใช้เวลาหลายวันในการรวบรวม มักเสียความน่าเชื่อถือไปพอสมควร วิธีป้องกันคือจัดเก็บ Evidence ทั้งสี่จุดข้างต้นไว้ในโฟลเดอร์กลางที่อัปเดตทุกไตรมาส พร้อมสรุปเป็นรายงานสั้น ๆ ที่ส่งให้ลูกค้าได้ภายในหนึ่งวันทำการเมื่อถูกร้องขอ โฟลเดอร์กลางนี้ควรมีเจ้าของที่ชัดเจนหนึ่งคนที่รับผิดชอบอัปเดตทุกไตรมาส ไม่ปล่อยให้เป็นหน้าที่ลอย ๆ ของทีมกฎหมายเพียงฝ่ายเดียว เพราะหลักฐานส่วนใหญ่มาจากทีมมีเดียและทีมบัญชีลูกค้าที่ทำงานหน้างานจริง หากไม่มีคนกลางคอยทวงถามเป็นระยะ โฟลเดอร์นี้จะว่างเปล่าเมื่อถึงเวลาต้องใช้จริง

จุดตรวจที่ 5: เส้นแบ่งความรับผิดระหว่างเอเจนซี่กับคลินิกยังชัดเจนหรือไม่

เมื่อรอบ Audit ผ่านไปสักระยะ ทีมงานควรกลับมาอ่านข้อสัญญาส่วนที่ระบุความรับผิดอีกครั้ง โดยเฉพาะเมื่อมีการเปลี่ยนทีมงานฝั่งเอเจนซี่หรือฝั่งคลินิก เพื่อให้แน่ใจว่าทีมใหม่เข้าใจตรงกันว่ากรณีใดเอเจนซี่รับผิดในฐานะผู้ประมวลผลที่ดูแลระบบผิดพลาด และกรณีใดที่ความรับผิดตกอยู่ที่คลินิกในฐานะผู้ควบคุมข้อมูลที่ออกคำสั่ง การทวนความเข้าใจนี้เป็นระยะช่วยลดโอกาสที่จะเกิดความสับสนเมื่อเกิดปัญหาจริง ตัวอย่างที่ทำให้เส้นแบ่งนี้ชัดขึ้นคือกรณีบัญชีโฆษณาของเอเจนซี่เองถูกแฮ็กจนออดิเอนซ์คนไข้หลุดออกไปยังบัญชีอื่น เอเจนซี่ในฐานะผู้ประมวลผลย่อมต้องรับผิดชอบเรื่องมาตรการรักษาความปลอดภัยของระบบตัวเอง ต่างจากกรณีที่คลินิกสั่งให้เอเจนซี่ทำแคมเปญโดยใช้ข้อมูลที่คนไข้ไม่เคยให้ความยินยอมมาก่อน ซึ่งจุดเริ่มต้นของความผิดอยู่ที่คำสั่งของคลินิกในฐานะผู้ควบคุมข้อมูล ไม่ใช่ที่การกระทำของเอเจนซี่ อย่างไรก็ตาม เอเจนซี่ที่รับคำสั่งโดยไม่ตั้งคำถามเมื่อเห็นสัญญาณผิดปกติ เช่น รายชื่อที่ได้มาไม่มีที่มาชัดเจน ก็อาจถูกพิจารณาว่ามีส่วนเกี่ยวข้องกับความผิดนั้นด้วยเช่นกัน

จุดตรวจที่ 6: การลบหรือส่งคืนข้อมูลเมื่อสัญญาว่าจ้างกับคลินิกสิ้นสุด

สัญญา DPA ที่ดีควรระบุไว้ตั้งแต่ต้นว่าเมื่อความสัมพันธ์ทางธุรกิจจบลง ไม่ว่าจะเป็นการยกเลิกสัญญากลางคันหรือครบกำหนดตามรอบปี ข้อมูลที่เอเจนซี่ถืออยู่จะถูกลบทิ้งทั้งหมดหรือส่งคืนให้คลินิกในรูปแบบใด และต้องพิสูจน์การดำเนินการนั้นได้อย่างไร หลายเอเจนซี่ข้ามขั้นตอนนี้ไปเพราะช่วงจบสัญญามักวุ่นกับการส่งมอบงานและปิดบัญชี ทำให้ไฟล์รายชื่อคนไข้ที่เคยดาวน์โหลดมาทำแคมเปญยังค้างอยู่ในไดรฟ์ส่วนตัวของพนักงานที่ลาออกไปแล้วโดยไม่มีใครรู้

วิธีตรวจคือเมื่อสัญญากับคลินิกรายใดสิ้นสุดลง ให้เปิดรายการตรวจสามส่วน ส่วนแรกคือระบบโฆษณาและเครื่องมือวิเคราะห์ทุกตัวที่เคยใช้ ต้องลบออดิเอนซ์และไฟล์อัปโหลดที่เกี่ยวข้องกับคลินิกนั้นออกทั้งหมด ส่วนที่สองคือไฟล์ที่แชร์ผ่านไดรฟ์ทีมงานหรือส่งต่อกันทางอีเมลระหว่างทำแคมเปญ ต้องตรวจว่าไม่มีสำเนาหลงเหลืออยู่นอกโฟลเดอร์โครงการหลัก และส่วนที่สามคือการแจ้งกลับไปยังคลินิกว่าดำเนินการลบหรือส่งคืนเสร็จสิ้นแล้ว พร้อมให้คลินิกยืนยันรับทราบเป็นลายลักษณ์อักษร Evidence ที่ควรเก็บคือเอกสารยืนยันการลบหรือส่งคืนข้อมูลที่มีการตอบรับจากฝ่ายคลินิก ไม่ใช่แค่อีเมลแจ้งฝ่ายเดียวจากเอเจนซี่โดยไม่มีใครยืนยันกลับ

จุดตรวจที่ 7: การควบคุมสิทธิ์เข้าถึงข้อมูลภายในทีมเอเจนซี่เอง

ข้อกำหนดในสัญญา DPA มักเขียนถึงมาตรการรักษาความปลอดภัยของข้อมูลไว้กว้าง ๆ แต่รอบ Audit ควรลงไปตรวจในระดับบุคคลว่าใครในทีมเอเจนซี่ยังเข้าถึงไฟล์รายชื่อคนไข้หรือระบบโฆษณาของคลินิกแต่ละรายได้บ้าง เคสที่พบบ่อยคือฟรีแลนซ์มีเดียบายเออร์ที่หมดสัญญาจ้างไปแล้วห้าเดือนแต่ยังมีสิทธิ์เข้าถึงโฟลเดอร์ที่มีไฟล์รายชื่อคนไข้อยู่ เพราะไม่มีใครถอดสิทธิ์ออกหลังจบงาน

วิธีตรวจคือดึงรายชื่อผู้ใช้ที่มีสิทธิ์เข้าถึงระบบโฆษณา ไดรฟ์ทีมงาน และเครื่องมือจัดการลูกค้าสัมพันธ์ของคลินิกแต่ละราย มาเทียบกับรายชื่อพนักงานและฟรีแลนซ์ที่ยังทำงานอยู่จริงในปัจจุบัน คนที่ลาออกหรือเปลี่ยนบทบาทไปแล้วแต่ยังมีสิทธิ์ค้างอยู่ต้องถูกถอดออกทันที ไม่ต้องรอรอบ Audit ครั้งถัดไป และควรพิจารณาจำกัดสิทธิ์ดาวน์โหลดไฟล์ดิบให้เหลือเฉพาะคนที่จำเป็นต้องใช้จริง ส่วนคนอื่นให้เข้าถึงผ่านแดชบอร์ดแบบดูอย่างเดียวแทน Evidence ที่ควรเก็บคือรายชื่อผู้มีสิทธิ์เข้าถึงล่าสุดพร้อมวันที่ทบทวนและรายชื่อผู้ที่ถูกถอดสิทธิ์ในแต่ละรอบ

เอเจนซี่ที่ยังไม่เคยวางระบบ DPA และ Sub-processor มาก่อน ควรเริ่มจากขั้นตอนพื้นฐานตามที่อธิบายไว้ใน วิธีวางระบบ PDPA สำหรับ Agency ของคลินิกและธุรกิจสุขภาพ ก่อนแล้วจึงกลับมาใช้กรอบ Audit นี้เป็นรอบตรวจสอบต่อเนื่อง และดูรายการตรวจก่อนเริ่มแคมเปญใหม่ได้ที่ เช็คลิสต์ PDPA สำหรับ Agency ก่อนรับงานลูกค้าสุขภาพ

ข้อผิดพลาดที่พบบ่อยในการ Audit

• ทำ Audit ครั้งเดียวตอนเริ่มสัญญาแล้วไม่กลับมาตรวจซ้ำระหว่างปี
• ไม่เทียบสัญญา DPA กับแคมเปญจริงที่เพิ่มเข้ามาระหว่างทาง ทำให้ขอบเขตงานเกินกว่าที่ตกลงไว้
• ไม่อัปเดตรายชื่อ Sub-processor เมื่อเปลี่ยนเครื่องมือส่งข้อความหรือแพลตฟอร์มโฆษณา
• ปล่อยให้ข้อมูลคนไข้ที่หมดอายุการใช้งานค้างอยู่ในระบบโฆษณาโดยไม่ลบ
• ไม่มีโฟลเดอร์กลางเก็บ Evidence ทำให้เมื่อลูกค้าขอเอกสารต้องใช้เวลานานในการรวบรวม
• ไม่มีขั้นตอนตรวจสอบการลบหรือส่งคืนข้อมูลเมื่อสัญญากับคลินิกสิ้นสุด ทำให้ไฟล์รายชื่อคนไข้ค้างอยู่ในไดรฟ์ส่วนตัวของอดีตพนักงาน
• ไม่ถอดสิทธิ์เข้าถึงระบบโฆษณาหรือไดรฟ์ทีมงานของพนักงานและฟรีแลนซ์ที่พ้นสภาพไปแล้ว

สรุป

การ Audit PDPA สำหรับเอเจนซี่ที่รับงานลูกค้ากลุ่มคลินิก โรงพยาบาล และธุรกิจสุขภาพ ควรทำเป็นรอบประจำทุกไตรมาสหรืออย่างน้อยทุกครึ่งปี โดยตรวจเจ็ดจุดหลักคือความตรงกันของสัญญา DPA กับแคมเปญจริง ความครบถ้วนของรายชื่อ Sub-processor การลบข้อมูลที่หมดอายุการใช้งาน ความพร้อมของหลักฐาน เส้นแบ่งความรับผิดที่ยังชัดเจน การลบหรือส่งคืนข้อมูลเมื่อสัญญาสิ้นสุด และการควบคุมสิทธิ์เข้าถึงข้อมูลภายในทีมเอเจนซี่เอง ดูภาพรวมหัวข้ออื่นในหมวด Business, Industry & SEO เพิ่มเติมได้ที่ คลังความรู้ Business, Industry & SEO

แหล่งข้อมูลอ้างอิง

ตรวจสอบรายละเอียดหน้าที่ผู้ประมวลผลข้อมูลและการจัดการข้อมูลที่มีความอ่อนไหวได้กับ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง เนื้อหานี้เป็นแนวทางเชิงปฏิบัติสำหรับเอเจนซี่ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแลหรือที่ปรึกษากฎหมายของลูกค้า

ตารางสรุปรอบ Audit และ Evidence ที่ควรเก็บ