เช็กลิสต์ PDPA สำหรับ Agency สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เอเจนซี่ที่ดูแลแคมเปญโฆษณาให้คลินิกหรือโรงพยาบาล ต้องเตรียมอะไรด้าน PDPA ก่อนกดเปิดแคมเปญจริงบ้าง? คำตอบสั้น ๆ คือ ต้องตรวจสถานะของตัวเองในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลให้ชัดก่อน เพราะรายชื่อคนไข้ ผู้สนใจนัดหมาย หรือ Audience ที่กำลังจะนำไปยิงโฆษณา ส่วนใหญ่เป็นข้อมูลของลูกค้า ไม่ใช่ของเอเจนซี่ และเมื่อข้อมูลนั้นเกี่ยวข้องกับสุขภาพ มันจัดอยู่ในหมวดข้อมูลอ่อนไหวที่กฎหมายวางเกณฑ์ความยินยอมไว้สูงกว่าข้อมูลทั่วไปมาก

เช็กลิสต์นี้เขียนขึ้นสำหรับทีมการตลาดในเอเจนซี่และผู้ดูแลข้อมูลที่ต้องเปิดใช้งานแคมเปญให้ลูกค้ากลุ่มคลินิก โรงพยาบาล และธุรกิจสุขภาพ โดยเน้นมุมที่เอเจนซี่มักมองข้าม คือบทบาทผู้ประมวลผลข้อมูล ไม่ใช่มุมทั่วไปของเว็บไซต์ที่เก็บข้อมูลเอง

ก่อนเปิดแคมเปญให้ลูกค้าสายสุขภาพ เอเจนซี่ต้องตรวจสถานะผู้ประมวลผลข้อมูลของตัวเอง มีสัญญาประมวลผลข้อมูล (DPA) ที่ระบุขอบเขตงานและการเปิดเผย Sub-processor ชัดเจน ตรวจว่าข้อมูลที่ได้รับมาเป็นข้อมูลสุขภาพซึ่งต้องขอความยินยอมแบบชัดแจ้งหรือไม่ และเตรียมขั้นตอนคืน/ลบข้อมูลไว้ล่วงหน้าตั้งแต่ก่อนเริ่มงาน ไม่ใช่รอให้สัญญาจบก่อนแล้วค่อยคิด

เอเจนซี่หลายแห่งเริ่มต้นความสัมพันธ์กับลูกค้าสายสุขภาพด้วยสัญญาว่าจ้างบริการทั่วไปที่ยืมแบบมาจากลูกค้าอุตสาหกรรมอื่น โดยไม่ได้ปรับเงื่อนไขให้ตรงกับความเสี่ยงของข้อมูลสุขภาพ เช็กลิสต์นี้จึงไม่ได้พูดถึงแค่ขั้นตอนทางเทคนิคอย่างการตั้งค่าพิกเซลหรือแคมเปญ แต่ตรวจสอบตั้งแต่ระดับสัญญา ไปจนถึงขั้นตอนหลังแคมเปญจบ เพื่อให้ทีมการตลาดและผู้ดูแลข้อมูลในเอเจนซี่ใช้เป็นจุดตรวจก่อนกดเปิดใช้งานจริงทุกครั้ง ไม่ใช่แค่ตอนเริ่มงานกับลูกค้ารายใหม่เท่านั้น

ทำไมลูกค้าสายสุขภาพต้องระวังมากกว่าลูกค้าทั่วไป

เมื่อเอเจนซี่รับงานจากร้านค้าปลีกทั่วไป ข้อมูลที่ได้รับมักเป็นชื่อ เบอร์โทร หรือพฤติกรรมการซื้อ ซึ่งเป็นข้อมูลส่วนบุคคลทั่วไป แต่เมื่อลูกค้าคือคลินิกความงาม โรงพยาบาล หรือธุรกิจตรวจสุขภาพ ข้อมูลที่ไหลเข้ามาสู่ระบบโฆษณามักปนเปื้อนข้อมูลสุขภาพโดยไม่ตั้งใจ เช่น รายชื่อผู้ที่เคยจองคิวตรวจโรคเฉพาะทาง ผู้ที่คลิกโฆษณาโปรแกรมรักษาสิว หรือ Audience ที่สร้างจากผู้เข้าฟอร์มปรึกษาอาการ ข้อมูลเหล่านี้บ่งชี้แนวโน้มด้านสุขภาพ จึงเข้าข่ายข้อมูลอ่อนไหวตามกฎหมาย ซึ่งต้องใช้ความยินยอมที่ชัดแจ้งกว่าการติ๊กยอมรับนโยบายทั่วไป

จุดที่เอเจนซี่พลาดบ่อยคือคิดว่าตัวเองแค่ "ยิงแอด" ตามที่ลูกค้าส่งไฟล์มาให้ โดยไม่ได้ถามกลับว่าลูกค้าเก็บความยินยอมมาถูกต้องหรือยัง หากลูกค้าส่งไฟล์รายชื่อคนไข้มาให้สร้าง Custom Audience โดยไม่มีความยินยอมรองรับ เอเจนซี่ในฐานะผู้ประมวลผลก็มีส่วนเกี่ยวข้องกับการประมวลผลที่ไม่ชอบด้วยกฎหมายนั้นด้วย แม้จะทำตามคำสั่งลูกค้าก็ตาม

ตัวอย่างที่พบบ่อยคือคลินิกความงามส่งไฟล์รายชื่อลูกค้าที่เคยจองคิวทำทรีตเมนต์เฉพาะทางมาให้เอเจนซี่สร้าง Lookalike Audience บนแพลตฟอร์มโฆษณา หากไฟล์นั้นมีคอลัมน์ระบุอาการหรือชื่อทรีตเมนต์ตรง ๆ เอเจนซี่ที่รับมาใช้งานทันทีโดยไม่ตรวจสอบก่อน อาจกลายเป็นผู้มีส่วนร่วมในการประมวลผลข้อมูลสุขภาพที่ไม่มีฐานทางกฎหมายรองรับ แม้จะไม่ได้เป็นฝ่ายเก็บข้อมูลตั้งแต่ต้นก็ตาม ทางที่ปลอดภัยกว่าคือขอให้ลูกค้ายืนยันเป็นลายลักษณ์อักษรว่าข้อมูลที่ส่งมาผ่านการขอความยินยอมที่ครอบคลุมวัตถุประสงค์การทำโฆษณาแล้ว ก่อนนำไปใช้สร้าง Audience ทุกครั้ง

เช็กลิสต์ก่อนเปิดใช้งานแคมเปญ

1. สถานะและสัญญา

• ยืนยันแล้วว่าเอเจนซี่ทำหน้าที่เป็นผู้ประมวลผลข้อมูล ไม่ใช่ผู้ควบคุมข้อมูลของแคมเปญนี้ และระบุไว้ในเอกสารเป็นลายลักษณ์อักษร
• มีสัญญาประมวลผลข้อมูล (Data Processing Agreement) แยกจากสัญญาว่าจ้างบริการทั่วไป หรืออย่างน้อยมีเงื่อนไข DPA แนบเป็นภาคผนวก
• สัญญาระบุขอบเขตวัตถุประสงค์การประมวลผลชัดเจน เช่น ใช้เพื่อสร้าง Audience โฆษณาเท่านั้น ห้ามนำไปใช้เพื่อวัตถุประสงค์อื่น
• สัญญาระบุระยะเวลาการเก็บข้อมูลและมาตรการรักษาความปลอดภัยขั้นต่ำที่เอเจนซี่ต้องปฏิบัติ

2. การเปิดเผย Sub-processor

• ทำรายชื่อผู้ให้บริการภายนอกที่เอเจนซี่ใช้ประมวลผลข้อมูลต่อ เช่น แพลตฟอร์มโฆษณา เครื่องมือ CRM หรือผู้ให้บริการ Call Center ที่ติดต่อกลับลีดจากคลินิก
• แจ้งรายชื่อ Sub-processor เหล่านี้ให้ลูกค้าทราบและได้รับความยินยอมก่อนเริ่มใช้งาน ไม่ใช่แจ้งย้อนหลังหลังเริ่มแคมเปญไปแล้ว
• ตรวจว่า Sub-processor แต่ละรายมีมาตรการความปลอดภัยข้อมูลที่รับได้ โดยเฉพาะเมื่อข้อมูลเกี่ยวข้องกับสุขภาพ

3. ข้อมูลสุขภาพและความยินยอม

• ตรวจสอบต้นทางของข้อมูลที่ลูกค้าส่งมา ว่ามีการขอความยินยอมแบบชัดแจ้งสำหรับข้อมูลสุขภาพหรือไม่ ก่อนนำไปสร้าง Audience
• หากพบว่าไฟล์ข้อมูลไม่มีหลักฐานความยินยอม ให้ระงับการใช้งานและแจ้งกลับลูกค้าเป็นลายลักษณ์อักษร แทนที่จะดำเนินการต่อตามคำสั่ง
• แยกข้อมูลที่บ่งชี้อาการหรือการรักษาเฉพาะทางออกจากข้อมูลติดต่อทั่วไป เพื่อลดความเสี่ยงเวลาส่งต่อให้ Sub-processor

4. การคืนและลบข้อมูลเมื่อสัญญาสิ้นสุด

• กำหนดไว้ในสัญญาตั้งแต่ต้นว่าเมื่อจบสัญญา ข้อมูลจะถูกคืนให้ลูกค้า ลบทิ้ง หรือทั้งสองอย่าง ภายในกรอบเวลาเท่าใด
• เตรียมขั้นตอนลบ Custom Audience ที่สร้างจากข้อมูลลูกค้าออกจากแพลตฟอร์มโฆษณาทุกจุดที่เคยอัปโหลดไว้
• เก็บหลักฐานการลบ เช่น ภาพหน้าจอหรือ Log การลบ Audience ไว้เป็นเอกสารยืนยันเมื่อถูกลูกค้าตรวจสอบภายหลัง

5. การอบรมทีมงานและทบทวนระหว่างสัญญา

• จัดอบรมสั้น ๆ ให้ทีมที่ดูแลบัญชีโฆษณาลูกค้าสายสุขภาพ เข้าใจความแตกต่างระหว่างข้อมูลทั่วไปกับข้อมูลสุขภาพ ก่อนเริ่มดูแลบัญชีจริง
• กำหนดรอบทบทวนระหว่างสัญญา เช่น ทุก 6 เดือน เพื่อตรวจว่ารายชื่อ Sub-processor ยังตรงกับที่แจ้งลูกค้าไว้หรือไม่ และมีการเพิ่มเครื่องมือใหม่ที่ยังไม่ได้แจ้งหรือไม่
• บันทึกทุกครั้งที่มีการเปลี่ยนตัวผู้ดูแลบัญชีภายในเอเจนซี่ เพื่อให้ผู้ดูแลคนใหม่รับทราบเงื่อนไข DPA และขอบเขตข้อมูลสุขภาพของลูกค้ารายนั้นต่อเนื่อง ไม่ใช่เริ่มนับหนึ่งใหม่โดยไม่มีเอกสารส่งต่อ

ข้อผิดพลาดที่พบบ่อยของเอเจนซี่สายสุขภาพ

ข้อผิดพลาดเหล่านี้มักไม่ได้เกิดจากความตั้งใจ แต่เกิดจากการรีบเปิดแคมเปญให้ทันกำหนดที่ลูกค้าต้องการ จนข้ามขั้นตอนตรวจสอบที่ควรทำตั้งแต่ต้น

• เข้าใจว่าตัวเองเป็นแค่ผู้ให้บริการด้านเทคนิค จึงไม่ต้องรับผิดชอบเรื่องที่มาของข้อมูล ทั้งที่ในฐานะผู้ประมวลผลก็มีหน้าที่ตามกฎหมายเช่นกัน
• ไม่เคยขอดูหลักฐานความยินยอมจากลูกค้า รับไฟล์ Excel รายชื่อคนไข้มาใช้งานทันทีโดยไม่ตั้งคำถาม
• ลืมแจ้งลูกค้าเมื่อเปลี่ยนหรือเพิ่ม Sub-processor ระหว่างทาง เช่น เปลี่ยนเครื่องมือวิเคราะห์ข้อมูลกลางแคมเปญ
• ไม่มีขั้นตอนลบข้อมูลที่ชัดเจนเมื่อจบสัญญา ปล่อยให้ Audience ค้างอยู่ในระบบโฆษณาต่อไปเป็นปี
• ปะปนข้อมูลสุขภาพของลูกค้าหลายรายไว้ในไฟล์เดียวกันโดยไม่แยกสิทธิ์การเข้าถึง
• ปล่อยให้พนักงานใหม่เข้าถึงไฟล์ข้อมูลลูกค้าสายสุขภาพเต็มสิทธิ์ตั้งแต่วันแรก โดยไม่ได้ผ่านการอบรมเรื่องข้อมูลอ่อนไหวก่อน

สรุป

สำหรับเอเจนซี่ที่ดูแลแคมเปญให้คลินิก โรงพยาบาล และธุรกิจสุขภาพ จุดเริ่มต้นของการทำ PDPA ให้ถูกทางไม่ใช่การขอความยินยอมซ้ำจากคนไข้เอง แต่คือการยืนยันบทบาทผู้ประมวลผลข้อมูลของตัวเองให้ชัด มีสัญญาที่ระบุขอบเขตและการเปิดเผย Sub-processor ตรวจต้นทางความยินยอมของข้อมูลสุขภาพก่อนใช้งาน และวางแผนคืน-ลบข้อมูลไว้ตั้งแต่วันแรกของสัญญา เช็กลิสต์นี้ไม่ใช่สูตรที่ทำให้แคมเปญปลอดภัย 100% แต่เป็นจุดตรวจที่ช่วยลดความเสี่ยงในจุดที่เอเจนซี่มักมองข้ามเมื่อทำงานกับข้อมูลสุขภาพ

ทีมที่ดูแลบัญชีลูกค้าสายสุขภาพควรนำเช็กลิสต์นี้กลับมาใช้ซ้ำทุกครั้งที่มีลูกค้าใหม่เข้ามา หรือทุกครั้งที่ขอบเขตแคมเปญเปลี่ยนไปจากที่ตกลงไว้เดิม เพราะความเสี่ยงด้านข้อมูลสุขภาพเปลี่ยนแปลงได้ตามลักษณะแคมเปญและแหล่งข้อมูลที่ลูกค้าส่งมาในแต่ละรอบ

แหล่งข้อมูลอ้างอิง

อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก และควรตรวจสอบประกาศหรือแนวปฏิบัติล่าสุดที่เกี่ยวข้องกับข้อมูลสุขภาพและผู้ประมวลผลข้อมูลก่อนนำไปปรับใช้จริงกับสัญญาของแต่ละลูกค้า เพราะรายละเอียดสัญญาแต่ละรายอาจต่างกัน

ดูภาพรวมหมวดธุรกิจอื่นเพิ่มเติมได้ที่ หน้ารวมความรู้ธุรกิจและอุตสาหกรรม หรืออ่านแนวทางการตรวจสอบเป็นระยะที่ คู่มือ Audit PDPA สำหรับ Agency สายสุขภาพ เพื่อวางรอบทบทวนสัญญาและ Sub-processor อย่างต่อเนื่อง