วิธีวางระบบ PDPA สำหรับ Agency สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพแบบเป็นขั้นตอน

เอเจนซี่จำนวนมากเข้าใจว่าการทำ PDPA ให้ถูกต้องคือการมีนโยบายความเป็นส่วนตัวบนเว็บไซต์ของตัวเองและให้ลูกค้าเซ็นสัญญาว่าจ้างบริการตามปกติ ความเข้าใจนี้พลาดตรงที่มองข้ามสถานะจริงของเอเจนซี่ในความสัมพันธ์กับข้อมูลของลูกค้าไป เพราะเมื่อเอเจนซี่รับรายชื่อคนไข้ ผู้จองคิวตรวจ หรือ Audience ที่สร้างจากฟอร์มปรึกษาอาการมาจากคลินิกหรือโรงพยาบาล เอเจนซี่ไม่ได้เป็นเจ้าของข้อมูลนั้น แต่ทำหน้าที่เป็นผู้ประมวลผลข้อมูลตามคำสั่งของลูกค้า ซึ่งมีหน้าที่ตามกฎหมายที่ต่างจากการเป็นเจ้าของเว็บไซต์ทั่วไปโดยสิ้นเชิง

บทความนี้วางระบบ PDPA สำหรับเอเจนซี่ที่รับงานลูกค้าสายคลินิก โรงพยาบาล และธุรกิจสุขภาพแบบเป็นขั้นตอน เหมาะสำหรับทีมการตลาดและผู้ดูแลข้อมูลที่ต้องตั้งระบบใหม่ตั้งแต่ต้น หรือต้องการตรวจว่าระบบที่มีอยู่ครบถ้วนหรือยังขาดจุดไหน

การวางระบบ PDPA สำหรับเอเจนซี่ที่ดูแลลูกค้าสายสุขภาพ ต้องเริ่มจากยืนยันสถานะผู้ประมวลผลข้อมูลของตัวเอง ทำสัญญาประมวลผลข้อมูล (DPA) แยกจากสัญญาบริการทั่วไป วางขั้นตอนเปิดเผย Sub-processor ทุกครั้งที่เพิ่มเครื่องมือ กำหนดวิธีจัดการข้อมูลเมื่อสัญญาสิ้นสุดไว้ล่วงหน้า และแบ่งแนวรับผิดชอบระหว่างเอเจนซี่กับลูกค้าให้ชัดตั้งแต่ต้น ไม่ใช่รอให้เกิดปัญหาก่อนแล้วค่อยตกลงกัน

ขั้นตอนที่ 1: ยืนยันสถานะผู้ประมวลผลข้อมูลของเอเจนซี่

ก่อนเริ่มทำงานกับลูกค้าสายสุขภาพรายใหม่ ทีมควรนั่งไล่ก่อนว่าข้อมูลที่จะได้รับมาจากลูกค้ามีอะไรบ้าง และใครเป็นผู้กำหนดวัตถุประสงค์ในการเก็บข้อมูลนั้น ถ้าคลินิกเป็นฝ่ายกำหนดว่าจะเก็บข้อมูลอะไรจากคนไข้และนำไปใช้ทำอะไร ส่วนเอเจนซี่ทำหน้าที่แค่นำข้อมูลไปสร้าง Audience หรือวัดผลแคมเปญตามคำสั่ง เอเจนซี่จะมีสถานะเป็นผู้ประมวลผลข้อมูล ไม่ใช่ผู้ควบคุมข้อมูล สิ่งนี้ต้องระบุไว้เป็นลายลักษณ์อักษรตั้งแต่ต้น เพราะขอบเขตหน้าที่ตามกฎหมายของทั้งสองสถานะไม่เท่ากัน หลักฐานที่ควรเก็บไว้คือบันทึกการประชุมหรือเอกสารยืนยันสถานะนี้ตั้งแต่วันแรกที่คุยงานกับลูกค้า

ขั้นตอนที่ 2: ทำ Data Mapping ก่อนร่างสัญญา

ก่อนจะร่างสัญญาข้อถัดไป ทีมงานควรทำ Data Mapping กับลูกค้าคลินิกหรือโรงพยาบาลก่อนเสมอ คือไล่ดูว่าข้อมูลอะไรบ้างที่จะไหลเข้ามาสู่ระบบของเอเจนซี่จริง เช่น ชื่อและเบอร์โทรผู้จองคิวตรวจ คำตอบจากฟอร์มปรึกษาอาการเบื้องต้นที่อาจเข้าข่ายข้อมูลสุขภาพ หรือ Audience ที่สร้างจาก Pixel บนหน้าแพ็กเกจตรวจสุขภาพ แต่ละประเภทมีความอ่อนไหวไม่เท่ากัน และควรระบุว่าข้อมูลแต่ละก้อนไหลผ่านระบบไหนของเอเจนซี่บ้าง เช่น แพลตฟอร์มโฆษณา สเปรดชีตของทีมครีเอทีฟ หรือ CRM ของทีมขาย ผลลัพธ์ของขั้นตอนนี้ควรออกมาเป็นตารางสั้น ๆ ที่ใช้เป็นฐานในการเขียนขอบเขตสัญญาข้อถัดไป แทนที่จะเขียนสัญญากว้าง ๆ แล้วค่อยมาไล่ทีหลังว่าจริง ๆ รับข้อมูลอะไรมาบ้าง

ขั้นตอนที่ 3: ทำสัญญาประมวลผลข้อมูล (DPA) แยกจากสัญญาบริการ

สัญญาว่าจ้างบริการทั่วไปที่เอเจนซี่ใช้กับลูกค้าทุกอุตสาหกรรมมักไม่ได้ระบุรายละเอียดเรื่องข้อมูลไว้ลึกพอสำหรับลูกค้าสายสุขภาพ ขั้นตอนนี้คือการทำสัญญาประมวลผลข้อมูล หรืออย่างน้อยภาคผนวกแนบท้ายสัญญาเดิม ที่ระบุขอบเขตวัตถุประสงค์การประมวลผลอย่างชัดเจน เช่น ใช้เพื่อสร้าง Audience โฆษณาและวัดผลแคมเปญเท่านั้น ระบุประเภทข้อมูลที่จะได้รับ ระยะเวลาการเก็บข้อมูล มาตรการความปลอดภัยขั้นต่ำ และช่องทางที่ลูกค้าจะติดต่อกลับหากต้องการตรวจสอบการใช้งานข้อมูล สัญญานี้ควรทบทวนทุกครั้งที่ขอบเขตงานเปลี่ยน ไม่ใช่เขียนไว้ครั้งเดียวแล้วใช้ตลอดอายุสัญญา

ขั้นตอนที่ 4: วางขั้นตอนเปิดเผย Sub-processor

เอเจนซี่แทบทุกรายใช้เครื่องมือภายนอกอย่างน้อยหนึ่งตัวในการทำงาน เช่น แพลตฟอร์มโฆษณา ระบบ CRM หรือผู้ให้บริการ Call Center ที่ติดต่อกลับลีดจากคลินิก เครื่องมือเหล่านี้คือ Sub-processor ที่เอเจนซี่แต่งตั้งขึ้นมาอีกทอดหนึ่ง ขั้นตอนที่ต้องวางไว้คือทำรายชื่อ Sub-processor ทั้งหมดที่ใช้งานจริง แจ้งให้ลูกค้าทราบและได้รับความยินยอมก่อนเริ่มใช้งาน และทุกครั้งที่จะเพิ่มหรือเปลี่ยน Sub-processor ระหว่างทาง ต้องแจ้งลูกค้าล่วงหน้าเป็นลายลักษณ์อักษรก่อนเริ่มใช้งานจริง ไม่ใช่แจ้งย้อนหลังหลังเริ่มแคมเปญไปแล้ว โดยเฉพาะเมื่อข้อมูลที่ส่งต่อเกี่ยวข้องกับสุขภาพ ซึ่งลูกค้ามีสิทธิ์รู้ว่าใครเข้าถึงข้อมูลคนไข้ของตนได้บ้าง

ขั้นตอนที่ 5: กำหนดขั้นตอนแจ้งเหตุละเมิดข้อมูล (Breach Notification) กับลูกค้า

เมื่อเกิดเหตุการณ์ที่สงสัยว่าข้อมูลอาจรั่วไหล เช่น บัญชีโฆษณาที่ผูก Custom Audience ของคลินิกถูกเข้าถึงโดยไม่ได้รับอนุญาต เอเจนซี่ในฐานะผู้ประมวลผลมีหน้าที่แจ้งลูกค้าโดยไม่ชักช้า ไม่ใช่รอสืบสวนจนแน่ใจร้อยเปอร์เซ็นต์ก่อนแล้วค่อยแจ้ง ขั้นตอนที่ควรวางไว้ล่วงหน้าคือกำหนดผู้รับผิดชอบภายในทีมที่ต้องแจ้งลูกค้าทันทีที่พบสัญญาณผิดปกติ กำหนดกรอบเวลาแจ้งภายในทีมเอง และเตรียมข้อมูลเบื้องต้นให้พร้อม เช่น บัญชีโฆษณาที่ได้รับผลกระทบ ระบบที่เกี่ยวข้อง และขั้นตอนที่ทีมได้ทำไปแล้วเพื่อควบคุมสถานการณ์ในเบื้องต้น ส่วนการตัดสินใจว่าจะต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือแจ้งเจ้าของข้อมูลหรือไม่ เป็นหน้าที่ของคลินิกในฐานะผู้ควบคุมข้อมูลที่จะประเมินต่อไป แต่ถ้าเอเจนซี่แจ้งช้าจนคลินิกพลาดกรอบเวลาที่กฎหมายกำหนด ความล่าช้าฝั่งเอเจนซี่เองก็อาจกลายเป็นประเด็นที่ถูกโยงกลับมาได้เช่นกัน

ขั้นตอนที่ 6: ตรวจต้นทางความยินยอมก่อนใช้ข้อมูล

แม้เอเจนซี่จะเป็นผู้ประมวลผล ไม่ใช่ผู้เก็บข้อมูลเอง แต่การนำข้อมูลที่ลูกค้าส่งมาไปใช้งานโดยไม่ตรวจสอบต้นทางความยินยอม ก็ทำให้เอเจนซี่มีส่วนเกี่ยวข้องกับการประมวลผลที่ไม่ชอบด้วยกฎหมายได้เช่นกัน ขั้นตอนนี้คือการตั้งเงื่อนไขในสัญญาว่าลูกค้าต้องยืนยันว่าข้อมูลที่ส่งมาผ่านการขอความยินยอมที่ครอบคลุมวัตถุประสงค์การทำโฆษณาแล้ว และหากพบว่าไฟล์ข้อมูลไม่มีหลักฐานความยินยอมรองรับ ทีมงานควรระงับการใช้งานและแจ้งกลับลูกค้าเป็นลายลักษณ์อักษรก่อน แทนที่จะดำเนินการต่อตามคำสั่งโดยไม่ตั้งคำถาม

ขั้นตอนที่ 7: วางช่องทางส่งต่อคำขอใช้สิทธิของเจ้าของข้อมูล (Data Subject Request)

บางครั้งคนไข้หรือผู้ติดตามเพจของคลินิกจะติดต่อมาที่ช่องทางที่เอเจนซี่ดูแลโดยตรง เช่น ทักแชทเพจถามว่าเก็บเบอร์โทรของตนไว้ทำอะไร หรือตอบกลับ SMS นัดหมายว่าขอยกเลิกการรับข่าวสารทั้งหมด กรณีแบบนี้เอเจนซี่ไม่ควรตัดสินใจตอบหรือจัดการคำขอเองในฐานะผู้ประมวลผล เพราะสิทธิ์ในการอนุมัติหรือปฏิเสธคำขอเป็นของคลินิกในฐานะผู้ควบคุมข้อมูล สิ่งที่ควรทำคือส่งต่อคำขอไปให้ผู้ประสานงานฝั่งคลินิกภายในกรอบเวลาที่ตกลงกันไว้ในสัญญา เช่น ภายในสองวันทำการ พร้อมบันทึกวันเวลาที่ได้รับคำขอและวันที่ส่งต่อไว้เป็นหลักฐาน ทีมที่ไม่มีขั้นตอนนี้มักจบลงด้วยการปล่อยข้อความค้างไว้ในกล่องแชทโดยไม่มีใครตอบ หรือพนักงานตัดสินใจลบข้อมูลเองโดยไม่แจ้งคลินิกก่อน ซึ่งทั้งสองแบบสร้างความเสี่ยงคนละด้าน

ขั้นตอนที่ 8: วางแผนคืน/ลบข้อมูลเมื่อสัญญาสิ้นสุด

ขั้นตอนนี้ต้องเขียนไว้ในสัญญาตั้งแต่ก่อนเริ่มงาน ไม่ใช่คิดตอนที่ลูกค้าจะเลิกจ้างแล้ว ระบุให้ชัดว่าเมื่อจบสัญญา ข้อมูลจะถูกคืนให้ลูกค้า ลบทิ้ง หรือทั้งสองอย่าง ภายในกรอบเวลาเท่าใด และต้องเตรียมขั้นตอนลบ Custom Audience ออกจากแพลตฟอร์มโฆษณาทุกจุดที่เคยอัปโหลดไว้ รวมถึงไฟล์ที่กระจายอยู่ในเครื่องมือต่าง ๆ ของทีม เช่น สเปรดชีตของทีมครีเอทีฟหรือระบบ CRM ของทีมขาย เพราะข้อมูลลูกค้าหนึ่งรายมักไม่ได้อยู่จุดเดียว การเก็บหลักฐานการลบ เช่น ภาพหน้าจอหรือ Log การลบ Audience ไว้เป็นเอกสารยืนยัน จะช่วยให้เอเจนซี่ตอบลูกค้าได้ทันทีหากถูกตรวจสอบภายหลัง

ขั้นตอนที่ 9: แบ่งแนวรับผิดชอบระหว่างเอเจนซี่กับลูกค้า

ขั้นตอนสุดท้ายคือเขียนขอบเขตความรับผิดชอบไว้ในสัญญาให้ชัด ว่าถ้าเกิดการรั่วไหลของข้อมูลบนระบบที่เอเจนซี่ดูแลเอง เช่น บัญชีโฆษณาหรือระบบ CRM ของเอเจนซี่ ความรับผิดชอบส่วนนั้นตกอยู่ที่เอเจนซี่ในฐานะผู้ประมวลผล แต่ถ้าคำสั่งของลูกค้าเองไม่ชอบด้วยกฎหมายตั้งแต่ต้น เช่น ให้เอเจนซี่ใช้ข้อมูลที่ไม่มีความยินยอมรองรับ ความรับผิดชอบส่วนนั้นควรตกอยู่ที่ลูกค้าในฐานะผู้ควบคุมข้อมูล การเขียนแนวแบ่งนี้ไว้ล่วงหน้าช่วยลดข้อโต้แย้งเมื่อเกิดปัญหาจริง เพราะทั้งสองฝ่ายรู้ล่วงหน้าแล้วว่าใครรับผิดชอบส่วนไหน

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบ

• คิดว่าสัญญาบริการทั่วไปครอบคลุมเรื่องข้อมูลเพียงพอแล้ว โดยไม่แยกทำสัญญาประมวลผลข้อมูลต่างหาก
• ไม่แจ้งลูกค้าเมื่อเพิ่มหรือเปลี่ยน Sub-processor ระหว่างแคมเปญ เพราะคิดว่าเป็นเรื่องภายในทีม
• รับไฟล์ข้อมูลจากลูกค้ามาใช้ทันทีโดยไม่ตรวจหลักฐานความยินยอมต้นทาง
• ไม่มีขั้นตอนลบข้อมูลที่ชัดเจนเมื่อจบสัญญา ปล่อยให้ Audience ค้างอยู่ในระบบโฆษณาต่อไปเป็นปี
• ไม่เขียนแนวแบ่งความรับผิดชอบไว้ล่วงหน้า จนเกิดข้อโต้แย้งกับลูกค้าเมื่อมีปัญหาเกิดขึ้นจริง

สรุป

การวางระบบ PDPA สำหรับเอเจนซี่ที่ดูแลลูกค้าสายสุขภาพ ไม่ได้เริ่มจากการเขียนนโยบายความเป็นส่วนตัวให้สวยงาม แต่เริ่มจากการยืนยันสถานะผู้ประมวลผลข้อมูลของตัวเองให้ชัด ทำสัญญาที่ระบุขอบเขตงานและ Sub-processor ตรงกับความเป็นจริง ตรวจต้นทางความยินยอมก่อนใช้ข้อมูล วางแผนคืน/ลบข้อมูลไว้ล่วงหน้า และแบ่งแนวรับผิดชอบกับลูกค้าให้ชัดตั้งแต่ต้น ระบบแบบนี้ไม่มีสูตรตายตัวที่ทำให้ทุกแคมเปญปลอดภัยแน่นอน แต่ช่วยลดจุดที่เอเจนซี่มักมองข้ามเมื่อทำงานกับข้อมูลสุขภาพซึ่งมีความอ่อนไหวสูงกว่าข้อมูลทั่วไป

ทีมที่เพิ่งเริ่มวางระบบควรทำทีละขั้นตอนกับลูกค้าหนึ่งรายก่อน แล้วค่อยขยายไปใช้กับลูกค้าสายสุขภาพรายอื่น เพราะรายละเอียดสัญญาและ Sub-processor ของแต่ละรายอาจไม่เหมือนกันทั้งหมด

แหล่งข้อมูลอ้างอิง

อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก และควรตรวจสอบประกาศหรือแนวปฏิบัติล่าสุดที่เกี่ยวข้องกับข้อมูลสุขภาพและผู้ประมวลผลข้อมูลก่อนนำไปปรับใช้กับสัญญาของแต่ละลูกค้า เพราะรายละเอียดสัญญาแต่ละรายอาจต่างกัน

ดูภาพรวมหมวดธุรกิจอื่นเพิ่มเติมได้ที่ หน้ารวมความรู้ธุรกิจและอุตสาหกรรม หรือใช้ เช็กลิสต์ PDPA สำหรับ Agency สายสุขภาพ ตรวจซ้ำก่อนเปิดใช้งานแคมเปญจริงหลังวางระบบตามขั้นตอนนี้แล้ว