วิธี Audit PDPA สำหรับ E-commerce ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

ทีมการตลาดของคลินิกความงามแห่งหนึ่งเคยรายงานว่ายอดสั่งซื้อคอร์สทรีตเมนต์ผ่านหน้าเว็บเพิ่มขึ้นกว่า 40% ในปีเดียว แต่เมื่อฝ่ายกฎหมายลองสุ่มเปิดฐานข้อมูลคำสั่งซื้อย้อนหลัง กลับพบว่าฟิลด์ "หมายเหตุการนัดหมาย" ที่ลูกค้ากรอกเองมีข้อมูลอาการป่วยและประวัติการรักษาปนอยู่กับที่อยู่จัดส่งและเบอร์โทรศัพท์ในตารางเดียวกันมาตลอด ตัวเลข 40% ที่ดูเหมือนความสำเร็จทางธุรกิจ จึงซ่อนความเสี่ยงด้าน PDPA ที่ไม่มีใครเคยตรวจมาก่อนเลย

ตัวเลขลักษณะนี้พบได้บ่อยในธุรกิจสุขภาพที่ขยายมาขายสินค้าหรือบริการผ่านช่องทางออนไลน์ เพราะระบบ E-commerce มักถูกสร้างแยกจากระบบเวชระเบียนตั้งแต่ต้น ทำให้ไม่มีใครมองว่าข้อมูลในหน้า Checkout ก็อาจเป็นข้อมูลสุขภาพได้เช่นกัน บทความนี้วางขั้นตอน Audit PDPA สำหรับ E-commerce เฉพาะสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ โดยยึดกรอบของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) พร้อมระบุหลักฐานที่ควรเก็บไว้ในแต่ละรอบตรวจ

การ Audit PDPA สำหรับ E-commerce ของคลินิกและโรงพยาบาลต้องตรวจว่าข้อมูลสุขภาพที่ปนอยู่ในคำสั่งซื้อ เช่น ชื่อบริการตรวจหรือประวัติการนัดหมาย ถูกแยกจากข้อมูลจัดส่งทั่วไปหรือไม่ ตรวจเส้นแบ่งระหว่าง PDPA กับมาตรฐานความปลอดภัยข้อมูลบัตร PCI-DSS ตรวจว่าช่องยินยอมรับข่าวสารการตลาดแยกจากการยืนยันนัดหมายหรือคำสั่งซื้อ และตรวจระยะเวลาการเก็บข้อมูลนัดหมายที่ยกเลิกหรือไม่มาตามนัด ทุกจุดต้องมีหลักฐานเป็นเอกสารเก็บไว้ตรวจสอบย้อนหลังได้

จุดที่ 1: ข้อมูลสุขภาพที่ปนอยู่ในฟอร์มสั่งซื้อหรือฟอร์มนัดหมาย

เริ่มตรวจจากฟอร์มสั่งซื้อสินค้าและฟอร์มนัดหมายออนไลน์ทุกจุดที่ลูกค้ากรอกเอง ไล่ดูว่ามีฟิลด์ใดที่แม้ตั้งใจให้กรอกข้อมูลทั่วไป แต่ในทางปฏิบัติลูกค้ามักกรอกข้อมูลสุขภาพลงไปด้วย เช่น ช่องหมายเหตุที่ลูกค้าเขียนอาการหรือชื่อยาที่แพ้ ชื่อคอร์สหรือบริการที่บ่งบอกอาการป่วยโดยนัย เช่น ชื่อแพ็กเกจตรวจคัดกรองโรคเฉพาะทาง หรือช่องเลือกแพทย์ที่บ่งบอกแผนกเฉพาะทาง ฟิลด์เหล่านี้จัดเป็นข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA แม้จะอยู่ในระบบ E-commerce ทั่วไปก็ตาม

เมื่อพบฟิลด์ลักษณะนี้ ให้ตรวจต่อว่าฐานข้อมูลจัดเก็บข้อมูลเหล่านี้แยกตารางหรือแยกระดับการเข้าถึงจากข้อมูลจัดส่งและข้อมูลชำระเงินทั่วไปหรือไม่ หากยังปนกันอยู่ในตารางเดียว พนักงานฝ่ายจัดส่งหรือฝ่ายบัญชีที่ไม่จำเป็นต้องรู้ข้อมูลสุขภาพก็อาจเข้าถึงได้โดยไม่จำเป็น หลักฐานที่ควรเก็บคือผังโครงสร้างฐานข้อมูลที่ระบุว่าฟิลด์ใดถูกจัดเป็นข้อมูลอ่อนไหว และรายชื่อบทบาทผู้ใช้งานที่มีสิทธิ์เข้าถึงฟิลด์เหล่านั้น

อีกจุดที่ควรตรวจควบคู่กันคือฟิลด์ทั่วไปในหน้า Checkout เอง ไม่ใช่เฉพาะฟิลด์ที่เกี่ยวกับอาการหรือนัดหมาย ร้านค้าออนไลน์ของคลินิกหลายแห่งยังคงเก็บฟิลด์วันเดือนปีเกิดแบบเต็ม เลขบัตรประชาชน หรือช่องอาชีพที่ไม่จำเป็นต่อการจัดส่งสินค้าหรือยืนยันตัวตนผู้ป่วยเลย เพราะยกแบบฟอร์มมาจากระบบเวชระเบียนทั้งชุดโดยไม่ได้ตัดทอนให้เหมาะกับบริบทการซื้อขายออนไลน์ การตรวจควรไล่ทีละฟิลด์ในหน้า Checkout แล้วถามว่าถ้าตัดฟิลด์นี้ออก กระบวนการจัดส่งสินค้าหรือการนัดหมายยังทำงานได้ครบถ้วนหรือไม่ ฟิลด์ใดตอบว่าได้ควรถูกตัดออกหรือทำให้เป็นทางเลือกแทนการบังคับกรอก หลักฐานที่ควรเก็บเพิ่มคือรายการฟิลด์ในฟอร์ม Checkout เวอร์ชันปัจจุบันพร้อมเหตุผลความจำเป็นของแต่ละฟิลด์ที่ทีมพัฒนาระบบบันทึกไว้

จุดที่ 2: เส้นแบ่งระหว่าง PDPA กับ PCI-DSS ในการชำระค่าบริการออนไลน์

คลินิกและโรงพยาบาลจำนวนมากเปิดให้ชำระค่าคอร์สหรือค่าบริการล่วงหน้าผ่านหน้าเว็บ ทำให้มีระบบชำระเงินที่ต้องผ่านการประเมิน PCI-DSS เช่นเดียวกับร้านค้าออนไลน์ทั่วไป จุดที่ผู้ตรวจสอบมักพลาดคือสรุปว่าเมื่อผ่าน PCI-DSS แล้วก็ถือว่าสอดคล้อง PDPA ไปโดยอัตโนมัติ ทั้งที่ PCI-DSS ดูแลเฉพาะความปลอดภัยของข้อมูลบัตรชำระเงิน ส่วน PDPA ดูแลการเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคลทั้งหมด รวมถึงข้อมูลสุขภาพที่ปนอยู่ในคำสั่งซื้อเดียวกัน

การ Audit จุดนี้ควรทำตารางแยกให้ชัดว่าข้อมูลใดอยู่ภายใต้ขอบเขต PCI-DSS โดยตรง เช่น หมายเลขบัตรและรหัสความปลอดภัย และข้อมูลใดที่ PDPA ดูแลแต่ PCI-DSS ไม่ครอบคลุมเลย เช่น ชื่อบริการที่สั่งจอง ประวัติการนัดหมาย หรือหมายเหตุอาการที่ลูกค้ากรอก หลักฐานที่ควรเก็บคือรายงานผลการประเมิน PCI-DSS ล่าสุด คู่กับตารางเทียบขอบเขตที่ทีมกฎหมายจัดทำแยกต่างหาก เพื่อพิสูจน์ว่าองค์กรมองเห็นทั้งสองกรอบพร้อมกัน ไม่ใช่พึ่งพาเอกสารรับรองความปลอดภัยบัตรเพียงอย่างเดียว

จุดที่ 3: ความยินยอมการตลาดต้องแยกจากการยืนยันนัดหมายหรือคำสั่งซื้อ

ตรวจหน้ายืนยันนัดหมายและหน้าชำระเงินว่าช่องยินยอมรับข่าวสาร โปรโมชัน หรือให้ติดต่อกลับเพื่อขายคอร์สเสริม เป็นช่องแยกต่างหากที่ไม่ถูกติ๊กไว้ล่วงหน้า และไม่ผูกรวมกับปุ่มยืนยันการนัดหมายหรือข้อความยอมรับเงื่อนไขการรับบริการ เพราะการนัดหมายตรวจรักษากับการยินยอมรับข่าวสารการตลาดเป็นวัตถุประสงค์การประมวลผลข้อมูลคนละเรื่องกันโดยสิ้นเชิง ลูกค้าที่มาด้วยความจำเป็นทางสุขภาพไม่ควรถูกทำให้รู้สึกว่าต้องยินยอมรับการตลาดก่อนถึงจะนัดหมายได้

ประเด็นนี้ยิ่งสำคัญกว่าธุรกิจ E-commerce ทั่วไป เพราะการส่งข้อความการตลาดที่พาดพิงถึงบริการเฉพาะทางไปยังลูกค้าที่ไม่ได้ยินยอมไว้ชัดเจน อาจเผยข้อมูลสุขภาพของลูกค้าโดยอ้อมให้บุคคลอื่นที่เห็นข้อความนั้นบนอุปกรณ์ของลูกค้า หลักฐานที่ควรเก็บคือภาพหน้าจอของฟอร์มยืนยันนัดหมายและฟอร์มชำระเงินในแต่ละเวอร์ชัน พร้อมบันทึกเวลาที่ลูกค้ากดยินยอมรับข่าวสารแยกจากเวลายืนยันนัดหมาย

จุดที่ 4: ระยะเวลาเก็บข้อมูลนัดหมายที่ยกเลิกหรือไม่มาตามนัด

นัดหมายที่ลูกค้าจองไว้แล้วยกเลิก หรือจองแล้วไม่มาตามนัด เป็นข้อมูลที่หลายคลินิกเก็บไว้ถาวรด้วยเหตุผลว่าจะใช้ประเมินพฤติกรรมลูกค้าในอนาคต แต่ข้อมูลกลุ่มนี้มักมีรายละเอียดบริการที่บ่งบอกอาการปนอยู่ด้วย การ Audit ควรตรวจว่ามีนโยบายกำหนดระยะเวลาเก็บข้อมูลนัดหมายที่ยกเลิกหรือไม่มาตามนัดแยกจากนัดหมายที่เข้ารับบริการจริงหรือไม่ และเมื่อครบกำหนดมีกระบวนการลบหรือทำให้ไม่ระบุตัวตนจริงหรือเป็นเพียงนโยบายที่เขียนไว้เฉยๆ

ควรตรวจเพิ่มเติมว่าการนัดหมายแบบไม่ต้องสมัครสมาชิกหรือใช้เพียงเบอร์โทรศัพท์ยืนยัน มีการเก็บข้อมูลแยกจากฐานลูกค้าประจำหรือไม่ เพราะลูกค้าที่นัดหมายครั้งเดียวโดยไม่ได้สมัครเป็นสมาชิกมักไม่คาดหวังว่าประวัติการนัดหมายของตนจะถูกเก็บไว้ใช้ต่อในระยะยาว หลักฐานที่ควรเก็บคือเอกสารนโยบายเก็บและลบข้อมูลนัดหมายแต่ละประเภท พร้อมรายงานการลบข้อมูลจริงตามรอบที่กำหนดไว้

จุดที่ 5: ผู้ให้บริการภายนอกที่เข้าถึงข้อมูลนัดหมายและคำสั่งซื้อ

คลินิกและโรงพยาบาลที่ขายผ่านช่องทางออนไลน์มักใช้ระบบจองคิวจากผู้ให้บริการภายนอก ระบบส่งข้อความแจ้งเตือนนัดหมาย และผู้ให้บริการจัดส่งสินค้าเสริมความงามหรือยา การ Audit ควรไล่รายชื่อผู้ให้บริการภายนอกทั้งหมดที่เข้าถึงข้อมูลนัดหมายหรือคำสั่งซื้อ แล้วตรวจว่าแต่ละรายได้รับข้อมูลเท่าที่จำเป็นต่อบริการนั้นจริงหรือได้รับข้อมูลอาการหรือประวัติสุขภาพเกินความจำเป็นไปด้วย

ตัวอย่างที่พบบ่อยคือระบบส่งข้อความแจ้งเตือนนัดหมายที่ดึงชื่อแผนกหรือชื่อบริการเต็มรูปแบบไปแสดงในข้อความ SMS ที่ส่งผ่านผู้ให้บริการภายนอก ทั้งที่ควรใช้ข้อความกลางที่ไม่ระบุประเภทบริการก็เพียงพอสำหรับแจ้งเตือนนัดหมายแล้ว หลักฐานที่ควรเก็บคือรายชื่อผู้ให้บริการภายนอกพร้อมประเภทข้อมูลที่ส่งให้แต่ละราย และตัวอย่างข้อความจริงที่ส่งออกไปยังลูกค้าผ่านช่องทางเหล่านั้น

จุดที่ 6: การเก็บและลบที่อยู่จัดส่งหลังคำสั่งซื้อเสร็จสิ้นหรือถูกยกเลิก

คำสั่งซื้อสินค้าเสริมความงามหรือยาที่จัดส่งถึงบ้านมีที่อยู่จัดส่งเป็นข้อมูลส่วนบุคคลอีกชุดหนึ่งที่แยกจากข้อมูลอาการโดยตรง แต่ยังคงต้องมีนโยบายเก็บและลบที่ชัดเจนไม่ต่างกัน การ Audit ควรแยกพิจารณาสามสถานะของคำสั่งซื้อ คือคำสั่งซื้อที่จัดส่งสำเร็จ คำสั่งซื้อที่ลูกค้ายกเลิกก่อนจัดส่ง และคำสั่งซื้อที่จัดส่งไม่สำเร็จเพราะที่อยู่ผิดหรือลูกค้าไม่รับสินค้า แต่ละสถานะมีเหตุผลความจำเป็นในการเก็บข้อมูลต่างกัน คำสั่งซื้อที่สำเร็จอาจต้องเก็บที่อยู่ไว้ตามรอบบัญชีหรือรอบเปลี่ยนคืนสินค้า ขณะที่คำสั่งซื้อที่ยกเลิกก่อนจัดส่งมักไม่มีเหตุผลทางธุรกิจให้เก็บที่อยู่นั้นไว้นานเท่ากัน

ปัญหาที่พบบ่อยคือระบบหลังบ้านเก็บที่อยู่จัดส่งของทุกคำสั่งซื้อไว้ในตารางเดียวโดยไม่แยกตามสถานะ ทำให้เมื่อครบกำหนดลบข้อมูล ทีมงานไม่กล้าลบเพราะไม่แน่ใจว่าคำสั่งซื้อใดยังต้องใช้อ้างอิงและคำสั่งซื้อใดหมดความจำเป็นไปแล้ว การ Audit ควรตรวจว่ามีการติดแท็กสถานะคำสั่งซื้อไว้ในระบบพร้อมวันที่ควรพิจารณาลบ และมีผู้รับผิดชอบตรวจสอบรอบการลบจริงตามกำหนด ไม่ใช่ปล่อยให้ที่อยู่จัดส่งสะสมอยู่ในระบบไม่มีวันสิ้นสุด หลักฐานที่ควรเก็บคือรายงานจำนวนคำสั่งซื้อที่ถูกลบหรือถูกทำให้ไม่ระบุตัวตนในแต่ละรอบ เทียบกับนโยบายระยะเวลาที่กำหนดไว้ล่วงหน้า

จุดที่ 7: คำสั่งซื้อแบบไม่สมัครสมาชิก (Guest Checkout) กับข้อมูลสุขภาพที่แฝงอยู่

ลูกค้าจำนวนไม่น้อยเลือกสั่งซื้อสินค้าจากคลินิกแบบไม่สมัครสมาชิก โดยกรอกเพียงชื่อ ที่อยู่จัดส่ง และเบอร์โทรศัพท์ในหน้า Checkout ครั้งเดียว ธุรกิจสุขภาพบางแห่งเข้าใจว่าเมื่อลูกค้าไม่ได้สมัครเป็นสมาชิก ข้อมูลที่กรอกในการสั่งซื้อครั้งนั้นจะไม่ถูกนำมาผูกกับประวัติการใช้บริการที่คลินิกมีอยู่แล้ว ทั้งที่ในทางเทคนิค ระบบมักจับคู่เบอร์โทรศัพท์หรืออีเมลเดียวกันเข้ากับประวัติเก่าโดยอัตโนมัติเพื่อความสะดวกในการติดตามพัสดุ ผลคือคำสั่งซื้อแบบไม่สมัครสมาชิกก็ยังถูกผูกเข้ากับประวัติสุขภาพเดิมของลูกค้ารายนั้นอยู่ดี

การ Audit จุดนี้ควรตรวจว่าระบบมีการแจ้งลูกค้าอย่างชัดเจนหรือไม่ว่าการสั่งซื้อแบบไม่สมัครสมาชิกจะยังคงถูกจับคู่กับประวัติเดิมหากใช้เบอร์โทรศัพท์หรืออีเมลเดียวกัน และลูกค้ามีทางเลือกปฏิเสธการจับคู่นี้ได้หรือไม่หากไม่ต้องการ ควรตรวจต่อว่าข้อมูลจากคำสั่งซื้อแบบไม่สมัครสมาชิกถูกเก็บไว้ในระยะเวลาที่เหมาะสมกับลักษณะการซื้อครั้งเดียว ไม่ใช่ถูกเก็บไว้นานเท่ากับข้อมูลของสมาชิกประจำที่มีความสัมพันธ์ต่อเนื่องกับคลินิก หลักฐานที่ควรเก็บคือข้อความแจ้งลูกค้าในหน้า Checkout แบบไม่สมัครสมาชิก และผังการจับคู่ข้อมูลที่ทีมพัฒนาระบบใช้งานจริงในเบื้องหลัง

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit PDPA สำหรับ E-commerce ด้านสุขภาพ

• ปล่อยให้ข้อมูลอาการหรือประวัติการนัดหมายปนอยู่ในตารางเดียวกับข้อมูลจัดส่งทั่วไป
• เข้าใจว่าผ่านการประเมิน PCI-DSS แล้วเท่ากับสอดคล้อง PDPA ไปโดยอัตโนมัติ
• ผูกช่องยินยอมรับข่าวสารการตลาดไว้กับปุ่มยืนยันนัดหมายหรือคำสั่งซื้อ
• เก็บข้อมูลนัดหมายที่ยกเลิกหรือไม่มาตามนัดไว้ถาวรโดยไม่มีกำหนดลบ
• ส่งชื่อบริการหรือแผนกเฉพาะทางผ่านข้อความแจ้งเตือนของผู้ให้บริการภายนอกโดยไม่จำเป็น

สรุปขั้นตอนการ Audit

การ Audit PDPA สำหรับ E-commerce ของคลินิก โรงพยาบาล และธุรกิจสุขภาพต้องมองห้าจุดพร้อมกัน คือข้อมูลสุขภาพที่ปนในฟอร์มสั่งซื้อ เส้นแบ่งระหว่าง PDPA กับ PCI-DSS ความยินยอมการตลาดที่ต้องแยกจากการนัดหมาย ระยะเวลาเก็บข้อมูลนัดหมายที่ยกเลิก และผู้ให้บริการภายนอกที่เข้าถึงข้อมูล ทุกจุดต้องมีหลักฐานเก็บไว้ตรวจสอบย้อนหลังได้ ไม่ใช่ทำครั้งเดียวแล้วจบ ดูขั้นตอนวางระบบแบบละเอียดได้ที่ วิธีวางระบบ PDPA สำหรับ E-commerce สำหรับธุรกิจสุขภาพ และดูรายการตรวจก่อนเปิดขายจริงได้ที่ เช็กลิสต์ PDPA สำหรับ E-commerce ธุรกิจสุขภาพ หรือดูภาพรวมเนื้อหาอื่นในหมวดอุตสาหกรรมได้ที่ คลังความรู้ Business, Industry and SEO

แหล่งข้อมูลอ้างอิง

ตรวจสอบแนวปฏิบัติล่าสุดเรื่องข้อมูลอ่อนไหว ฐานทางกฎหมาย และความยินยอมกับ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง เนื้อหานี้เป็นแนวทางเชิงปฏิบัติสำหรับใช้ Audit ภายในองค์กร ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล และควรปรึกษาที่ปรึกษากฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลของธุรกิจประกอบก่อนปรับนโยบายจริง