PDPA สำหรับ Agency คืออะไร? คู่มือสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

PDPA สำหรับ Agency คืออะไร สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ คือคำถามที่ Agency และฟรีแลนซ์ที่รับสร้างและดูแลเว็บไซต์ให้ลูกค้าในกลุ่มนี้ควรตอบให้ได้ชัดเจนตั้งแต่วันที่เริ่มงาน เพราะเมื่อ Agency เข้าไปสร้าง ดูแล หรือแก้ไขเว็บไซต์ที่มีการเก็บข้อมูลผู้ใช้งานปลายทาง Agency จะมีสถานะเกี่ยวข้องกับข้อมูลส่วนบุคคลของลูกค้าโดยตรง ไม่ว่าจะเป็นแบบฟอร์มนัดหมายแพทย์ ประวัติการติดต่อของคนไข้ และข้อมูลสุขภาพเบื้องต้นที่คนไข้กรอกผ่านเว็บไซต์หรือแชทออนไลน์ คำถามที่ตามมาคือใครเป็นผู้รับผิดชอบข้อมูลเหล่านี้ ระหว่างธุรกิจเจ้าของเว็บไซต์กับ Agency ที่เข้าไปดูแลระบบ

บทความนี้อธิบายภาพรวมของ PDPA สำหรับ Agency ที่ให้บริการคลินิก โรงพยาบาล และธุรกิจสุขภาพ ในมุมของธุรกิจสุขภาพ ทีมการตลาด และผู้ดูแลข้อมูล ครอบคลุมตั้งแต่บทบาทของ Agency ในฐานะผู้ประมวลผลข้อมูล สิ่งที่ควรมีในสัญญาประมวลผลข้อมูลกับลูกค้า วิธีจัดการข้อมูลผู้ใช้งานปลายทาง การเปิดเผยผู้ให้บริการภายนอกที่เกี่ยวข้อง ไปจนถึงขั้นตอนแจ้งเหตุการณ์ข้อมูลรั่วไหลต่อลูกค้า โดยเน้นแนวทางเชิงปฏิบัติที่ Agency นำไปปรับใช้ได้จริง ไม่ใช่การตีความตัวบทกฎหมายโดยละเอียด

บทความนี้อธิบายแนวทางเชิงปฏิบัติสำหรับ Agency ที่ให้บริการสร้างและดูแลเว็บไซต์ให้ลูกค้าในกลุ่มคลินิก โรงพยาบาล และธุรกิจสุขภาพ เท่านั้น ไม่ใช่คำแนะนำทางกฎหมายเฉพาะกรณี Agency แต่ละแห่งควรปรึกษาที่ปรึกษากฎหมายของตนเองประกอบการตัดสินใจ

PDPA สำหรับ Agency คืออะไร และเกี่ยวข้องกับคลินิก โรงพยาบาล และธุรกิจสุขภาพอย่างไร

เมื่อพูดถึง PDPA สำหรับ Agency ในบริบทของคลินิก โรงพยาบาล และธุรกิจสุขภาพ สิ่งที่ต้องเข้าใจก่อนคือ Agency ที่รับสร้างและดูแลเว็บไซต์ไม่ได้เป็นเพียงผู้ให้บริการด้านเทคนิคเท่านั้น แต่ยังเป็นฝ่ายที่เข้าถึงหรือมีส่วนเกี่ยวข้องกับข้อมูลส่วนบุคคลของผู้ใช้งานปลายทางที่ธุรกิจลูกค้าเก็บผ่านเว็บไซต์นั้นด้วย ไม่ว่าจะเป็นการติดตั้งฟอร์มเก็บข้อมูล การเชื่อมต่อฐานข้อมูล หรือการดูแลระบบหลังบ้านที่จัดเก็บข้อมูลลูกค้าของลูกค้าอีกทอดหนึ่ง

สำหรับธุรกิจสุขภาพ ทีมการตลาด และผู้ดูแลข้อมูล ประเด็นที่ควรให้ความสำคัญเป็นอันดับแรกคือการตกลงกันตั้งแต่ต้นว่า Agency เข้าไปแตะข้อมูลส่วนใดบ้าง ประมวลผลข้อมูลนั้นเพื่อวัตถุประสงค์ใด และมีขอบเขตความรับผิดชอบร่วมกับลูกค้าอย่างไร เพราะข้อมูลด้านสุขภาพถือเป็นข้อมูลที่มีความอ่อนไหวสูงกว่าข้อมูลทั่วไป Agency ที่ดูแลเว็บไซต์ให้คลินิกจึงต้องระมัดระวังการเก็บและส่งต่อข้อมูลกลุ่มนี้เป็นพิเศษ หากไม่ตกลงขอบเขตให้ชัดเจนตั้งแต่แรก อาจนำไปสู่ความเข้าใจผิดเมื่อเกิดปัญหาด้านข้อมูลในภายหลัง

Agency เป็น Data Processor หรือ Data Controller กันแน่

Agency เป็น Data Processor หรือ Data Controller กันแน่ เป็นคำถามที่มักสร้างความสับสนให้กับทั้ง Agency และลูกค้า ในทางปฏิบัติ ธุรกิจเจ้าของเว็บไซต์ (ลูกค้าของ Agency) มักมีสถานะเป็นผู้ควบคุมข้อมูล (Data Controller) เพราะเป็นผู้กำหนดวัตถุประสงค์และวิธีการเก็บข้อมูลจากผู้ใช้งานปลายทาง ส่วน Agency ที่เข้าไปสร้างหรือดูแลระบบตามคำสั่งของลูกค้า มักมีสถานะเป็นผู้ประมวลผลข้อมูล (Data Processor) คือประมวลผลข้อมูลแทนและตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น ไม่ได้เป็นผู้กำหนดวัตถุประสงค์การเก็บข้อมูลด้วยตนเอง

อย่างไรก็ตาม เส้นแบ่งนี้ไม่ได้ตายตัวเสมอไป หาก Agency ตัดสินใจเองว่าจะเก็บข้อมูลอะไรเพิ่มเติมนอกเหนือคำสั่งลูกค้า หรือนำข้อมูลของลูกค้าไปใช้เพื่อวัตถุประสงค์อื่นของตนเอง เช่น นำไปวิเคราะห์เพื่อพัฒนาโซลูชันของ Agency เอง สถานะของ Agency ในส่วนนั้นอาจเปลี่ยนเป็นผู้ควบคุมข้อมูลร่วมได้ ตารางด้านล่างสรุปความแตกต่างที่ธุรกิจสุขภาพ ทีมการตลาด และผู้ดูแลข้อมูลควรเข้าใจตรงกันก่อนเริ่มงาน

สัญญาประมวลผลข้อมูล (Data Processing Agreement) ที่ Agency ควรมีกับลูกค้าในคลินิก โรงพยาบาล และธุรกิจสุขภาพ

สัญญาประมวลผลข้อมูล (Data Processing Agreement) ต้องมีอะไรบ้าง เป็นคำถามที่ Agency ที่ให้บริการคลินิก โรงพยาบาล และธุรกิจสุขภาพมักถามเมื่อเริ่มวางระบบงานร่วมกับฝ่ายกฎหมายของลูกค้า โดยทั่วไปสัญญานี้ควรเป็นเอกสารแยกจากสัญญาว่าจ้างทำเว็บไซต์ทั่วไป และควรครอบคลุมประเด็นหลักตามตารางด้านล่าง

ขอบเขตและวัตถุประสงค์การประมวลผล

ระบุให้ชัดว่า Agency ประมวลผลข้อมูลประเภทใดบ้าง เพื่อวัตถุประสงค์ใด และประมวลผลเฉพาะเท่าที่จำเป็นต่อการให้บริการที่ตกลงกันเท่านั้น ไม่นำไปใช้เพื่อวัตถุประสงค์อื่นโดยไม่ได้รับความยินยอมจากลูกค้า

มาตรการรักษาความปลอดภัยขั้นต่ำ

ระบุมาตรการที่ Agency ต้องปฏิบัติ เช่น การจำกัดสิทธิ์การเข้าถึงเฉพาะทีมที่เกี่ยวข้อง การเข้ารหัสข้อมูลระหว่างส่ง และการแยกสภาพแวดล้อมพัฒนา (dev/staging) ออกจากข้อมูลจริงของผู้ใช้งานให้มากที่สุดเท่าที่ทำได้

ขอบเขตการใช้ Sub-processor

ระบุว่า Agency สามารถใช้ผู้ให้บริการภายนอกช่วยประมวลผลข้อมูล (sub-processor) ได้หรือไม่ ภายใต้เงื่อนไขใด และต้องแจ้งลูกค้าก่อนเพิ่ม/เปลี่ยน sub-processor รายใหม่หรือไม่

Agency ไม่ควรรับงานที่ต้องประมวลผลข้อมูลลูกค้าปลายทางโดยไม่มีสัญญาประมวลผลข้อมูลเป็นลายลักษณ์อักษร แม้ลูกค้าจะเป็นผู้ว่าจ้างรายเล็กหรือรู้จักกันเป็นการส่วนตัวก็ตาม เพราะเมื่อเกิดปัญหาด้านข้อมูล เอกสารนี้คือหลักฐานเดียวที่ยืนยันขอบเขตความรับผิดชอบของแต่ละฝ่าย

ขั้นตอนวางระบบดูแลข้อมูลลูกค้าสำหรับ Agency ที่ให้บริการคลินิก โรงพยาบาล และธุรกิจสุขภาพ

การนำแนวทาง PDPA ไปใช้จริงในงานประจำวันของ Agency ไม่จำเป็นต้องเปลี่ยนวิธีทำงานทั้งหมด แต่ควรมีขั้นตอนพื้นฐานที่ทำเป็นประจำทุกโปรเจกต์ดังนี้

1. สำรวจว่าเว็บไซต์หรือระบบที่จะสร้าง/ดูแลให้ลูกค้าเก็บข้อมูลผู้ใช้งานปลายทางส่วนใดบ้าง เช่น ฟอร์มติดต่อ ระบบสมาชิก หรือแบบฟอร์มนัดหมายแพทย์ ประวัติการติดต่อของคนไข้ และข้อมูลสุขภาพเบื้องต้นที่คนไข้กรอกผ่านเว็บไซต์หรือแชทออนไลน์
2. จัดทำหรือขอให้ลูกค้าลงนามในสัญญาประมวลผลข้อมูล (DPA) ก่อนเริ่มงานที่ต้องเข้าถึงข้อมูลจริง ไม่ใช่หลังส่งมอบงานแล้ว
3. จำกัดสิทธิ์การเข้าถึงฐานข้อมูลจริงเฉพาะทีมงานที่จำเป็นต้องใช้ในการพัฒนาหรือแก้ไขปัญหาเท่านั้น และพิจารณาใช้ข้อมูลจำลอง (dummy data) ในสภาพแวดล้อมพัฒนาแทนข้อมูลจริงเมื่อทำได้
4. รวบรวมรายชื่อผู้ให้บริการภายนอกทั้งหมดที่เกี่ยวข้องกับการประมวลผลข้อมูล เช่นผู้ให้บริการ Cloud Hosting, ระบบจองคิว/นัดหมายออนไลน์ และเครื่องมือแชทหรือ Line Official Account ที่คลินิกใช้พูดคุยกับคนไข้ แล้วแจ้งให้ลูกค้าทราบตั้งแต่ขั้นวางแผนระบบ
5. กำหนดผู้รับผิดชอบฝั่ง Agency ที่เป็นจุดติดต่อหลักด้านข้อมูล (data contact point) เพื่อให้ลูกค้าติดต่อได้ทันทีหากมีคำถามหรือพบเหตุการณ์ผิดปกติ
6. ทบทวนสัญญาประมวลผลข้อมูลและสิทธิ์การเข้าถึงเป็นระยะ โดยเฉพาะเมื่อมีการเปลี่ยนทีมงานหรือสิ้นสุดโปรเจกต์ ต้องมีขั้นตอนเพิกถอนสิทธิ์การเข้าถึงและส่งมอบ/ลบข้อมูลตามที่ตกลงกับลูกค้า

การเปิดเผย Sub-processor และผู้ให้บริการ Hosting ที่เกี่ยวข้อง

Sub-processor คืออะไร และ Agency ต้องเปิดเผยอย่างไร เป็นอีกหนึ่งคำถามที่พบบ่อยในงานคลินิก โรงพยาบาล และธุรกิจสุขภาพ เพราะ Agency ส่วนใหญ่ไม่ได้ดูแลทุกส่วนของระบบด้วยตนเอง แต่พึ่งพาผู้ให้บริการ Cloud Hosting, ระบบจองคิว/นัดหมายออนไลน์ และเครื่องมือแชทหรือ Line Official Account ที่คลินิกใช้พูดคุยกับคนไข้เข้ามาช่วยให้บริการ ผู้ให้บริการเหล่านี้ถือเป็น sub-processor ที่เข้าถึงหรือประมวลผลข้อมูลของลูกค้าในบางส่วนเช่นกัน

แนวทางปฏิบัติที่ดีคือ Agency ควรจัดทำรายการ sub-processor ที่ใช้งานอยู่ทั้งหมด พร้อมระบุว่าแต่ละรายประมวลผลข้อมูลส่วนใดและตั้งอยู่ที่ใด แล้วแนบหรืออ้างอิงรายการนี้ไว้ในสัญญาประมวลผลข้อมูลกับลูกค้า หากมีการเปลี่ยนแปลงผู้ให้บริการรายใหม่ในภายหลัง ควรแจ้งให้ลูกค้าทราบล่วงหน้าตามช่องทางที่ตกลงกันไว้ แทนที่จะเปลี่ยนโดยไม่แจ้งให้ทราบ

Agency ต้องแจ้งลูกค้าอย่างไรเมื่อเกิดเหตุการณ์ข้อมูลรั่วไหล

Agency ต้องแจ้งลูกค้าอย่างไรเมื่อเกิดเหตุการณ์ข้อมูลรั่วไหล คือกระบวนการที่ควรตกลงกันไว้ล่วงหน้าตั้งแต่ขั้นทำสัญญา ไม่ใช่คิดขึ้นเฉพาะหน้าเมื่อเกิดเหตุจริง ในฐานะผู้ประมวลผลข้อมูล เมื่อ Agency พบหรือมีเหตุอันควรสงสัยว่าเกิดเหตุการณ์ผิดปกติกับข้อมูลที่ตนดูแลอยู่ เช่น การเข้าถึงฐานข้อมูลโดยไม่ได้รับอนุญาต หรือระบบที่เก็บแบบฟอร์มนัดหมายแพทย์ ประวัติการติดต่อของคนไข้ และข้อมูลสุขภาพเบื้องต้นที่คนไข้กรอกผ่านเว็บไซต์หรือแชทออนไลน์มีช่องโหว่ถูกใช้ประโยชน์ หน้าที่หลักของ Agency คือแจ้งให้ลูกค้าซึ่งเป็นผู้ควบคุมข้อมูลทราบโดยเร็วที่สุดเท่าที่จะทำได้ เพื่อให้ลูกค้ามีเวลาประเมินสถานการณ์และดำเนินการตามหน้าที่ของผู้ควบคุมข้อมูลต่อไป

ขั้นตอนแจ้งเหตุที่ Agency ควรเตรียมไว้ล่วงหน้า ได้แก่ ช่องทางติดต่อฉุกเฉินที่ชัดเจนระหว่าง Agency กับผู้รับผิดชอบฝั่งลูกค้า แบบฟอร์มหรือเทมเพลตสรุปเหตุการณ์เบื้องต้น (เกิดอะไรขึ้น ข้อมูลส่วนใดที่อาจได้รับผลกระทบ และ Agency ได้ดำเนินการอะไรไปแล้วบ้าง) และบันทึกเหตุการณ์ทั้งหมดไว้เป็นลายลักษณ์อักษรเพื่อใช้ทบทวนภายหลัง ไม่ควรปล่อยให้การแจ้งเหตุเป็นการสื่อสารด้วยวาจาเพียงอย่างเดียว

การเลื่อนแจ้งเหตุการณ์ข้อมูลรั่วไหลออกไปเพราะกลัวเสียภาพลักษณ์ของ Agency เป็นความเสี่ยงที่สูงกว่าการแจ้งช้า เพราะลูกค้าอาจมีกรอบเวลาที่ต้องปฏิบัติตามในฐานะผู้ควบคุมข้อมูล การแจ้งล่าช้าจากฝั่ง Agency อาจทำให้ลูกค้าดำเนินการตามหน้าที่ของตนเองไม่ทัน

การตรวจสอบและเก็บหลักฐาน (Audit และ Evidence) สำหรับ Agency ที่ดูแลคลินิก โรงพยาบาล และธุรกิจสุขภาพ

เมื่อลูกค้าในกลุ่มคลินิก โรงพยาบาล และธุรกิจสุขภาพต้องตอบคำถามจากผู้ใช้งานปลายทางหรือหน่วยงานที่เกี่ยวข้องเกี่ยวกับการจัดการข้อมูล Agency ควรมีหลักฐานพร้อมสนับสนุนได้เสมอ แนวทางตรวจสอบที่ Agency ควรทำเป็นประจำ ได้แก่ การทบทวนรายชื่อผู้มีสิทธิ์เข้าถึงฐานข้อมูลจริงว่าตรงกับทีมงานปัจจุบันหรือไม่ การตรวจสอบว่าสัญญาประมวลผลข้อมูลกับลูกค้าแต่ละรายยังเป็นฉบับล่าสุดและครอบคลุมขอบเขตงานที่ทำอยู่จริง และการเก็บบันทึกว่ามีการเปลี่ยนแปลง sub-processor หรือมาตรการรักษาความปลอดภัยเมื่อใดบ้าง

หลักฐานที่มีประโยชน์ที่สุดเมื่อลูกค้าร้องขอ คือเอกสารที่แสดงว่า Agency ประมวลผลข้อมูลตามขอบเขตที่ตกลงไว้จริง ไม่เกินกว่าที่จำเป็น พร้อมบันทึกเวลาที่ปรับปรุงมาตรการรักษาความปลอดภัยหรือเปลี่ยนแปลงผู้ให้บริการภายนอก การจัดเก็บหลักฐานเหล่านี้อย่างเป็นระบบช่วยให้ Agency ตอบคำถามจากลูกค้าได้รวดเร็วโดยไม่ต้องรื้อค้นย้อนหลังทุกครั้ง

การเก็บรักษา ความปลอดภัย และการทำงานร่วมกับเครื่องมือที่ธุรกิจสุขภาพ ทีมการตลาด และผู้ดูแลข้อมูลใช้อยู่

ควรเก็บข้อมูลของลูกค้าปลายทางไว้นานแค่ไหนหลังสิ้นสุดโปรเจกต์ เป็นคำถามที่ Agency มักมองข้าม แนวทางปฏิบัติที่ดีคือกำหนดไว้ในสัญญาประมวลผลข้อมูลตั้งแต่แรกว่าเมื่อสิ้นสุดสัญญา Agency จะลบข้อมูลออกจากระบบของตนภายในระยะเวลาที่ตกลงกัน หรือส่งมอบคืนให้ลูกค้าแล้วลบสำเนาที่เหลือทั้งหมด ไม่ควรเก็บข้อมูลลูกค้าปลายทางไว้ในระบบของ Agency โดยไม่มีกำหนดหลังจบงานแล้ว เพราะขัดกับหลักการเก็บข้อมูลเท่าที่จำเป็น (data minimization)

ด้านความปลอดภัย Agency ที่ให้บริการคลินิก โรงพยาบาล และธุรกิจสุขภาพควรเข้ารหัสข้อมูลระหว่างส่ง (in transit) เป็นมาตรฐานขั้นต่ำทุกโปรเจกต์ และพิจารณาเข้ารหัสข้อมูลขณะจัดเก็บ (at rest) เพิ่มเติมสำหรับข้อมูลที่มีความอ่อนไหวสูง เช่น แบบฟอร์มนัดหมายแพทย์ ประวัติการติดต่อของคนไข้ และข้อมูลสุขภาพเบื้องต้นที่คนไข้กรอกผ่านเว็บไซต์หรือแชทออนไลน์ รวมถึงตั้งค่าการสำรองข้อมูล (backup) และการจำกัดสิทธิ์เข้าถึงเครื่องมือบริหารจัดการผู้ให้บริการ Cloud Hosting, ระบบจองคิว/นัดหมายออนไลน์ และเครื่องมือแชทหรือ Line Official Account ที่คลินิกใช้พูดคุยกับคนไข้ให้เฉพาะบุคคลที่จำเป็นเท่านั้น

ในทางปฏิบัติ Agency ส่วนใหญ่ไม่จำเป็นต้องสร้างระบบตรวจสอบขึ้นใหม่ทั้งหมด แต่ควรผนวกขั้นตอนเหล่านี้เข้ากับเครื่องมือที่ทีมใช้งานอยู่แล้ว เช่น ระบบจัดการสิทธิ์ผู้ใช้งานของ Hosting ที่ใช้อยู่ หรือเครื่องมือบริหารโปรเจกต์ที่ใช้ติดตามงานลูกค้าแต่ละราย เพื่อให้การดูแลข้อมูลเป็นส่วนหนึ่งของกระบวนการทำงานปกติ ไม่ใช่งานแยกต่างหากที่ต้องทำเพิ่ม

สำหรับภาพรวมแนวทาง PDPA ที่แยกตามกลุ่มธุรกิจของลูกค้า Agency สามารถดูหมวดรวมได้ที่ Business & Industry และหากลูกค้าปัจจุบันหรือลูกค้าถัดไปของ Agency อยู่ในกลุ่มร้านค้าออนไลน์และ E-commerce สามารถอ่านแนวทางเฉพาะกลุ่มนั้นเพิ่มเติมได้ที่ PDPA สำหรับ Agency ที่ดูแลลูกค้ากลุ่มร้านค้าออนไลน์และ E-commerce ส่วนกรณีที่ลูกค้าอยู่ในกลุ่มเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ ก็มีแนวทางเฉพาะเช่นกันที่ PDPA สำหรับ Agency ที่ดูแลลูกค้ากลุ่มเอเจนซีและฟรีแลนซ์ทำเว็บไซต์

ถ้าต้องการเริ่มต้นตรวจสอบเว็บไซต์ของคุณเบื้องต้นแบบไม่มีค่าใช้จ่าย สามารถลองใช้ เครื่องมือตรวจสอบเว็บไซต์ฟรีของ trusty เพื่อดูจุดที่ควรปรับปรุงก่อนได้

เช็กลิสต์ปฏิบัติ

• จัดทำสัญญาประมวลผลข้อมูล (DPA) แยกกับลูกค้าทุกรายก่อนเริ่มเข้าถึงข้อมูลจริง
• ระบุขอบเขตและวัตถุประสงค์การประมวลผลข้อมูลให้ชัดเจนในสัญญา
• จัดทำรายการ sub-processor และผู้ให้บริการภายนอกทั้งหมดที่เกี่ยวข้อง
• กำหนดจุดติดต่อหลักด้านข้อมูลและขั้นตอนแจ้งเหตุการณ์ข้อมูลรั่วไหลต่อลูกค้า
• จำกัดสิทธิ์การเข้าถึงข้อมูลจริงเฉพาะทีมงานที่จำเป็น
• กำหนดแนวทางลบหรือส่งคืนข้อมูลลูกค้าเมื่อสิ้นสุดสัญญา

ข้อผิดพลาดที่พบบ่อย

• เริ่มเข้าถึงหรือประมวลผลข้อมูลลูกค้าปลายทางก่อนมีสัญญาประมวลผลข้อมูลเป็นลายลักษณ์อักษร
• ไม่แจ้งลูกค้าเมื่อเปลี่ยนหรือเพิ่ม sub-processor รายใหม่ในโปรเจกต์
• ใช้ข้อมูลจริงของลูกค้าในสภาพแวดล้อมพัฒนา (dev/staging) โดยไม่จำเป็น
• ไม่มีขั้นตอนแจ้งเหตุการณ์ข้อมูลรั่วไหลที่ตกลงไว้ล่วงหน้ากับลูกค้า
• เก็บข้อมูลลูกค้าปลายทางไว้ในระบบของ Agency ต่อไปหลังสิ้นสุดสัญญาโดยไม่มีกำหนด

สรุป

PDPA สำหรับ Agency ที่ให้บริการคลินิก โรงพยาบาล และธุรกิจสุขภาพ เริ่มต้นจากการเข้าใจบทบาทของตนเองในฐานะผู้ประมวลผลข้อมูล ไม่ใช่ผู้ควบคุมข้อมูล และทำงานภายใต้สัญญาประมวลผลข้อมูลที่ระบุขอบเขตชัดเจนกับลูกค้าทุกราย Agency ที่วางระบบเปิดเผย sub-processor จำกัดสิทธิ์การเข้าถึงข้อมูล และเตรียมขั้นตอนแจ้งเหตุการณ์ข้อมูลรั่วไหลไว้ล่วงหน้า จะสามารถทำงานร่วมกับลูกค้าในกลุ่มคลินิก โรงพยาบาล และธุรกิจสุขภาพได้อย่างมั่นใจมากขึ้น และลดโอกาสเกิดความเข้าใจผิดเรื่องความรับผิดชอบเมื่อมีปัญหาด้านข้อมูลเกิดขึ้น

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)