เช็กลิสต์ PDPA สำหรับ E-commerce สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ทีมการตลาดของคลินิกและร้านขายอุปกรณ์สุขภาพออนไลน์จำนวนมากเชื่อว่าตราบใดที่สินค้าที่ขายไม่ใช่ยาควบคุมพิเศษ อย่างวิตามิน เครื่องวัดความดัน หรือชุดตรวจครรภ์ ก็ไม่จำเป็นต้องขอความยินยอมอะไรเพิ่มเติมนอกจากฟอร์ม checkout ปกติที่ร้านค้าออนไลน์ทั่วไปใช้กัน ความเชื่อนี้คลาดเคลื่อนอย่างมาก เพราะการที่ลูกค้าสั่งซื้อชุดตรวจ HIV เครื่องวัดน้ำตาลในเลือด หรือยาที่ต้องมีใบสั่งแพทย์ ก็เป็นการเปิดเผยสภาวะสุขภาพของตัวเองผ่านรายการสินค้าในตะกร้าอยู่แล้ว แม้จะไม่มีใครกรอกคำว่า "เบาหวาน" หรือ "ตั้งครรภ์" ลงในฟอร์มเลยก็ตาม เช็กลิสต์นี้รวบรวมสิ่งที่ทีมดูแลร้านค้าออนไลน์ของธุรกิจสุขภาพต้องตรวจก่อนเปิดใช้งานฟอร์มสั่งซื้อหรือระบบนัดหมายพร้อมชำระเงินทุกครั้ง

เช็กลิสต์ PDPA สำหรับ E-commerce ของคลินิกและธุรกิจสุขภาพต้องตรวจมากกว่าฟอร์ม checkout ทั่วไป เพราะสินค้าอย่างชุดตรวจครรภ์ เครื่องวัดน้ำตาล หรือรายการยาที่สั่งซื้อ บอกใบ้สภาวะสุขภาพของลูกค้าได้ทันทีแม้ไม่ใช่ยาควบคุม จึงต้องตรวจการลดข้อมูลที่เก็บ การแยกขอบเขตกับ PCI-DSS การกำหนดระยะเวลาเก็บที่อยู่จัดส่ง และการแยกความยินยอมรับข่าวสารการตลาดออกจากการสั่งซื้อให้ชัดเจนก่อนเปิดใช้งานฟอร์มใหม่ทุกครั้ง

ข้อ 1 ตรวจว่ารายการสินค้าในตะกร้าเปิดเผยสภาวะสุขภาพหรือไม่

ก่อนเปิดหน้า checkout ใหม่ ให้ทีมไล่ดูหมวดสินค้าที่ขายว่ารายการใดเมื่อรวมกับชื่อและที่อยู่จัดส่งแล้วบอกสภาวะสุขภาพของลูกค้าได้ทันที เช่น ชุดตรวจการตั้งครรภ์ เครื่องวัดน้ำตาลในเลือด แผ่นทดสอบ HIV หรือยาที่ต้องมีใบสั่งแพทย์แนบ สินค้ากลุ่มนี้ทำให้ข้อมูลการสั่งซื้อทั้งชุดกลายเป็นข้อมูลอ่อนไหวตามมาตรา 26 ของ PDPA โดยอัตโนมัติ แม้ฟอร์มจะไม่มีช่องถามอาการป่วยเลยก็ตาม จุดนี้ทีมมักมองข้ามเพราะคิดว่าข้อมูลอ่อนไหวหมายถึงการกรอกประวัติการรักษาโดยตรงเท่านั้น

ข้อ 2 ตรวจว่าฟิลด์ในฟอร์ม checkout จำเป็นจริงหรือแค่สะดวกสำหรับทีมขาย

ไล่ดูทุกช่องที่บังคับกรอกในฟอร์มสั่งซื้อ ตั้งแต่ชื่อ ที่อยู่จัดส่ง เบอร์โทร ไปจนถึงช่องเสริมอย่างวันเกิดหรืออาการที่ต้องการปรึกษา แล้วถามว่าช่องไหนจำเป็นต่อการจัดส่งสินค้าหรือออกใบเสร็จจริง ช่องที่เพิ่มเข้ามาเพื่อให้ทีมขายติดตามภายหลัง เช่น "อาการที่กำลังพบ" หรือ "โรคประจำตัว" ควรถูกตัดออกจากฟอร์มสั่งซื้อทั่วไป และย้ายไปอยู่ในขั้นตอนปรึกษากับเภสัชกรหรือแพทย์ที่มีการขอความยินยอมแยกต่างหากแทน

ข้อ 3 ตรวจการแยกขอบเขตระหว่าง PCI-DSS กับ PDPA ให้ชัด

ทีมไอทีต้องยืนยันได้ว่าข้อมูลบัตรเครดิตถูกส่งตรงไปยังผู้ให้บริการรับชำระเงินผ่านการเข้ารหัสโดยไม่ผ่านเซิร์ฟเวอร์ของคลินิกเอง ซึ่งเป็นเรื่องของมาตรฐาน PCI-DSS แต่ข้อมูลอื่นที่ยังอยู่ในระบบของคลินิก เช่น ชื่อผู้ป่วย ที่อยู่จัดส่งยา และประวัติการสั่งซื้อ ต้องมีฐานทางกฎหมายและระยะเวลาเก็บของตัวเองตาม PDPA แยกออกไป การผ่านการตรวจสอบ PCI-DSS ประจำปีไม่ได้แปลว่าข้อมูลกลุ่มหลังนี้ได้รับการดูแลไปด้วยโดยอัตโนมัติ

ข้อ 4 ตรวจระยะเวลาเก็บที่อยู่จัดส่งและประวัติการสั่งซื้อ

ที่อยู่จัดส่งยาหรืออุปกรณ์การแพทย์มักถูกเก็บไว้ถาวรเพื่อความสะดวกในการสั่งซื้อครั้งถัดไป แต่ทีมต้องกำหนดกรอบเวลาที่ชัดเจนว่าจะเก็บนานเท่าไรหลังลูกค้าหยุดสั่งซื้อ และมีขั้นตอนลบหรือทำให้ไม่ระบุตัวตนเมื่อพ้นกำหนด โดยเฉพาะกรณีลูกค้าเคยสั่งสินค้าที่บ่งชี้สภาวะสุขภาพเฉพาะทาง ควรมีนโยบายเก็บที่รัดกุมกว่าสินค้าทั่วไป เพราะความเสี่ยงหากข้อมูลรั่วไหลสูงกว่า

ข้อ 5 ตรวจว่าความยินยอมรับข่าวสารการตลาดแยกจากการสั่งซื้อจริงหรือไม่

ฟอร์ม checkout ที่มีช่องติ๊กเดียวเขียนรวมว่า "ยืนยันการสั่งซื้อและรับข่าวสารโปรโมชันสุขภาพ" ถือเป็นการรวมความยินยอมสองประเภทที่ต่างกันไว้ในปุ่มเดียว ทีมต้องตรวจว่าช่องยืนยันคำสั่งซื้อกับช่องรับข่าวสารการตลาดถูกแยกออกจากกันชัดเจน ไม่ติ๊กไว้ล่วงหน้า และมีปุ่มยกเลิกรับข่าวสารที่ใช้งานได้จริงในทุกอีเมลหรือ SMS ที่ส่งออกไปภายหลัง

ข้อ 6 ตรวจการจัดการข้อมูลผู้สั่งซื้อแบบไม่สมัครสมาชิก

ร้านค้าสุขภาพหลายแห่งเปิดให้สั่งซื้อแบบ guest checkout เพื่อความรวดเร็ว ทีมต้องตรวจว่าข้อมูลของผู้สั่งซื้อกลุ่มนี้ถูกเก็บไว้นานเท่าไรหากไม่เคยกลับมาสั่งซื้อซ้ำ และมีการแจ้งไว้ในนโยบายความเป็นส่วนตัวหรือไม่ว่าข้อมูลจะถูกลบเมื่อพ้นระยะเวลาที่กำหนด แทนที่จะเก็บไว้ถาวรรวมกับฐานลูกค้าสมาชิก

ข้อ 7 ตรวจว่าใครในทีมเข้าถึงข้อมูลรายการสั่งซื้อได้บ้าง

ทีมควรมีรายชื่อพนักงานหรือบุคคลที่เข้าถึงระบบหลังบ้านของร้านค้าออนไลน์ได้ พร้อมระบุว่าแต่ละคนเห็นข้อมูลระดับไหน เช่น ทีมจัดส่งเห็นแค่ที่อยู่และชื่อสินค้าโดยไม่จำเป็นต้องเห็นเบอร์บัตรหรือประวัติการติดต่อทั้งหมด การจำกัดสิทธิ์ตามหน้าที่ช่วยลดความเสี่ยงเมื่อบัญชีพนักงานคนใดคนหนึ่งถูกโจมตี

ข้อ 8 ตรวจว่ามีบันทึกรายการประมวลผลข้อมูลของร้านค้าออนไลน์หรือไม่

นอกเหนือจากฟอร์ม checkout ทีมควรมีเอกสารสรุปสั้น ๆ ว่าร้านค้าออนไลน์เก็บข้อมูลอะไรบ้าง เก็บไว้ที่ไหน ใครเป็นผู้ประมวลผลภายนอกที่เกี่ยวข้อง เช่น ผู้ให้บริการขนส่งหรือระบบอีเมลการตลาด และแต่ละรายมีสัญญาการประมวลผลข้อมูลรองรับหรือยัง เอกสารนี้ไม่จำเป็นต้องยาวหรือซับซ้อน แต่ต้องปรับปรุงทุกครั้งที่มีการเปลี่ยนผู้ให้บริการหรือเพิ่มฟีเจอร์ใหม่ในระบบ checkout เพื่อให้ทีมตอบคำถามลูกค้าหรือหน่วยงานกำกับดูแลได้ทันทีหากถูกสอบถาม

ข้อ 9 ตรวจว่าหน้านโยบายความเป็นส่วนตัวสะท้อนสิ่งที่เก็บจริงหรือไม่

ทีมมักปล่อยให้หน้านโยบายความเป็นส่วนตัวเขียนแบบกว้าง ๆ ตั้งแต่เปิดร้านครั้งแรก โดยไม่อัปเดตตามฟิลด์ข้อมูลที่เพิ่มเข้ามาภายหลัง เช่น เพิ่มระบบให้คำปรึกษาออนไลน์ที่เก็บอาการเบื้องต้น แต่หน้านโยบายยังพูดถึงแค่ชื่อและที่อยู่จัดส่งเหมือนเดิม ก่อนเปิดใช้งานฟีเจอร์ใหม่ทุกครั้ง ทีมควรตรวจว่าหน้านโยบายระบุวัตถุประสงค์ ระยะเวลาเก็บ และสิทธิ์ของเจ้าของข้อมูลที่ตรงกับสิ่งที่ระบบเก็บจริง ไม่ใช่แค่เอกสารมาตรฐานที่ก็อปมาใช้ตั้งแต่ต้น

ตัวอย่าง: ร้านอุปกรณ์การแพทย์ที่เพิ่มช่อง "อาการที่พบ" โดยไม่ตั้งใจ

ร้านขายอุปกรณ์การแพทย์ออนไลน์แห่งหนึ่งเพิ่มช่องกรอก "อาการที่ต้องการซื้ออุปกรณ์ไปใช้" ในฟอร์มสั่งซื้อเพื่อให้ทีมแนะนำสินค้าที่เหมาะสม โดยไม่ได้ตรวจสอบกับทีม Privacy ก่อนเปิดใช้งาน หลังใช้งานได้สองเดือน ลูกค้ารายหนึ่งสอบถามว่าข้อมูลอาการที่กรอกไปถูกใช้ทำอะไรบ้าง และมีสิทธิ์ให้ลบออกได้หรือไม่ ทีมต้องปิดฟิลด์ชั่วคราวและปรับนโยบายความเป็นส่วนตัวก่อนเปิดใช้งานใหม่ ซึ่งใช้เวลาเกือบสิบวัน ทั้งที่หากมีเช็กลิสต์ตรวจก่อนเปิดใช้งานตามข้อ 2 ปัญหานี้จะถูกจับได้ตั้งแต่ขั้นตอนออกแบบฟอร์ม

ข้อผิดพลาดที่พบบ่อยเมื่อธุรกิจสุขภาพตรวจ PDPA สำหรับ checkout

• เข้าใจว่าสินค้าที่ไม่ใช่ยาควบคุมไม่ทำให้ข้อมูลการสั่งซื้อกลายเป็นข้อมูลอ่อนไหว
• เพิ่มช่องถามอาการหรือโรคประจำตัวในฟอร์มสั่งซื้อโดยไม่แยกความยินยอมต่างหาก
• คิดว่าผ่าน PCI-DSS แล้วข้อมูลส่วนบุคคลอื่นในระบบปลอดภัยไปด้วย
• ใช้ช่องติ๊กเดียวรวมการยืนยันคำสั่งซื้อกับการรับข่าวสารการตลาด
• เก็บที่อยู่จัดส่งและประวัติการสั่งซื้อไว้ถาวรโดยไม่มีกำหนดทบทวนหรือลบ

สรุป

เช็กลิสต์ PDPA สำหรับ E-commerce ของคลินิกและธุรกิจสุขภาพต้องเริ่มจากมองสินค้าที่ขายผ่านสายตาของข้อมูลอ่อนไหว ไม่ใช่แค่ว่าเป็นยาควบคุมหรือไม่ จากนั้นตัดฟิลด์ที่ไม่จำเป็นออกจากฟอร์มสั่งซื้อ แยกขอบเขต PCI-DSS กับ PDPA ให้ชัด กำหนดระยะเวลาเก็บที่อยู่จัดส่งและข้อมูลผู้สั่งซื้อแบบไม่สมัครสมาชิก และแยกความยินยอมการตลาดออกจากการสั่งซื้อจริงเสมอ ทีมที่ต้องการขั้นตอนวางระบบแบบละเอียดกว่าเช็กลิสต์นี้ดูเพิ่มเติมได้ที่ วิธีวางระบบ PDPA สำหรับ E-commerce ของธุรกิจสุขภาพ และดูแนวทางตรวจสอบเชิงลึกพร้อม Evidence ได้ที่ วิธี Audit PDPA สำหรับ E-commerce ของธุรกิจสุขภาพ

แหล่งข้อมูลอ้างอิง

ขอบเขตของข้อมูลอ่อนไหวด้านสุขภาพและการขอความยินยอมควรตรวจสอบกับประกาศของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง ส่วนมาตรฐานความปลอดภัยของข้อมูลบัตรเครดิตเป็นคนละมาตรฐานที่ต้องตรวจแยกกับผู้ให้บริการรับชำระเงิน เช็กลิสต์นี้เป็นแนวทางเชิงปฏิบัติ ไม่ใช่การตีความข้อกฎหมายแทนหน่วยงานกำกับดูแล ดูภาพรวมหัวข้ออื่นในหมวด Business, Industry & SEO เพิ่มเติมได้ที่ คลังความรู้ Business, Industry & SEO