วิธีวางระบบ PDPA สำหรับ E-commerce สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพแบบเป็นขั้นตอน

ทีมการตลาดของคลินิกแห่งหนึ่งเตรียมเปิดตัวระบบชำระเงินออนไลน์ใหม่สำหรับร้านขายอุปกรณ์ตรวจสุขภาพที่บ้าน ก่อนเปิดใช้งานจริงหนึ่งสัปดาห์ ฝ่ายไอทีลองไล่ดูฟิลด์ในฟอร์ม checkout ทีละช่องแล้วพบว่าระบบเก่าที่ทีมพัฒนาเว็บทำไว้เมื่อสามปีก่อนมีช่องเก็บเลขบัตรประชาชนของลูกค้าไว้ในฐานข้อมูลของร้านเองแบบเปิดเผย ทั้งที่ไม่มีใครในทีมจำได้ว่าเคยขอให้ใส่ช่องนี้เข้าไป และไม่มีเหตุผลทางธุรกิจใดที่จำเป็นต้องเก็บข้อมูลนี้เพื่อจัดส่งสินค้าหรือออกใบเสร็จ เหตุการณ์นี้ทำให้ทีมต้องเลื่อนวันเปิดตัวออกไปสองสัปดาห์เพื่อไล่แก้ทั้งระบบ บทความนี้วางขั้นตอนที่คลินิก โรงพยาบาล และธุรกิจสุขภาพที่ขายของออนไลน์ควรทำก่อนเปิดหรือปรับปรุงระบบ checkout ทุกครั้ง เพื่อไม่ให้เจอสถานการณ์แบบเดียวกัน

การวางระบบ PDPA สำหรับ e-commerce ของคลินิกและธุรกิจสุขภาพต้องเริ่มจากทำแผนที่ข้อมูลที่ระบบ checkout เก็บจริง ตัดฟิลด์ที่ไม่จำเป็นออก แยกขอบเขตข้อมูลบัตรที่อยู่ภายใต้ PCI-DSS ออกจากข้อมูลส่วนบุคคลอื่นที่อยู่ภายใต้ PDPA กำหนดระยะเวลาเก็บและลบที่อยู่จัดส่งกับประวัติคำสั่งซื้อให้ชัดเจน และแยกช่องยินยอมรับข่าวสารการตลาดออกจากการยืนยันคำสั่งซื้อเสมอ ไม่ใช่แค่เขียนนโยบายไว้เฉย ๆ แต่ต้องเป็นระบบที่ตรวจซ้ำได้ทุกครั้งที่มีการเปลี่ยนฟอร์มหรือเพิ่มฟีเจอร์ใหม่

ทำไมร้านค้าออนไลน์ของธุรกิจสุขภาพเป็นผู้ควบคุมข้อมูลเต็มตัว

ต่างจากเอเจนซี่ที่มักประมวลผลข้อมูลตามคำสั่งของลูกค้าในฐานะผู้ประมวลผล คลินิก โรงพยาบาล หรือร้านขายอุปกรณ์สุขภาพที่เปิดร้านค้าออนไลน์เองคือผู้ควบคุมข้อมูลของลูกค้าโดยตรง ตั้งแต่ชื่อ ที่อยู่จัดส่ง เบอร์โทร ไปจนถึงรายการสินค้าที่สั่งซื้อ ซึ่งบางรายการอย่างชุดตรวจน้ำตาลในเลือดหรือยาที่ต้องมีใบสั่งแพทย์แนบ ก็บอกใบ้สภาวะสุขภาพของลูกค้าได้ทันทีแม้ไม่มีช่องกรอกอาการป่วยเลย การเป็นผู้ควบคุมข้อมูลเองหมายความว่าทีมต้องรับผิดชอบทั้งฐานทางกฎหมาย ระยะเวลาเก็บ และสิทธิ์ของเจ้าของข้อมูลด้วยตัวเอง ไม่มีคู่สัญญาฝั่งลูกค้าให้โยนภาระไปแบบที่เอเจนซี่ทำได้ ยิ่งไปกว่านั้น ร้านค้าออนไลน์สุขภาพมักมีปริมาณคำสั่งซื้อต่อวันสูงกว่าเว็บไซต์ทั่วไปในหมวดอื่น เพราะลูกค้าสั่งซื้อซ้ำเป็นรอบ เช่น สั่งยาต่อเนื่องทุกเดือนหรือสั่งอุปกรณ์ตรวจสุขภาพเป็นชุด ทำให้ข้อมูลสะสมในระบบเพิ่มเร็วกว่าที่ทีมคาดไว้ตอนออกแบบระบบครั้งแรกมาก หากไม่มีระบบตรวจสอบที่ทำซ้ำได้ ปัญหาเดิมจะย้อนกลับมาทุกครั้งที่มีการเปลี่ยนผู้พัฒนาเว็บหรือย้ายแพลตฟอร์มร้านค้า

ขั้นตอนที่ 1 ทำแผนที่ข้อมูลที่ระบบ checkout เก็บจริง

ก่อนแก้อะไร ทีมต้องรู้ก่อนว่าระบบเก็บอะไรอยู่บ้างจริง ๆ ไม่ใช่แค่สิ่งที่ตั้งใจให้เก็บ ให้ไล่ดูทุกฟิลด์ในฟอร์มสั่งซื้อ ระบบนัดหมายพร้อมชำระเงินล่วงหน้า และฐานข้อมูลหลังบ้าน แล้วบันทึกเป็นตารางว่าแต่ละฟิลด์คืออะไร เก็บไว้ที่ไหน ใครเข้าถึงได้ และใช้เพื่อวัตถุประสงค์ใด กรณีของคลินิกที่กล่าวถึงตอนต้น การทำแผนที่ข้อมูลแบบนี้เองที่ทำให้เจอช่องเก็บเลขบัตรประชาชนที่ไม่มีใครรู้ตัว ทีมที่ข้ามขั้นตอนนี้ไปแล้วเริ่มแก้ฟอร์มเลยมักพลาดจุดที่ข้อมูลถูกเก็บซ้ำในระบบสำรองหรือปลั๊กอินอื่นที่เชื่อมกับร้านค้า ให้รวมทีมจากฝ่ายไอที การตลาด และฝ่ายที่ดูแลคำสั่งซื้อมานั่งไล่ดูพร้อมกัน เพราะแต่ละฝ่ายมักรู้จุดที่ข้อมูลไหลไปคนละส่วนกัน เช่น ฝ่ายการตลาดอาจไม่รู้ว่าระบบส่ง SMS แจ้งเตือนคำสั่งซื้อดึงเบอร์โทรไปเก็บไว้ในเครื่องมือภายนอกอีกชุดหนึ่งด้วย

ขั้นตอนที่ 2 ตัดฟิลด์ที่ไม่จำเป็นออกจากหน้า checkout

เมื่อมีแผนที่ข้อมูลแล้ว ให้ไล่ถามทีละฟิลด์ว่าจำเป็นต่อการจัดส่งสินค้า ออกใบเสร็จ หรือปฏิบัติตามกฎหมายอื่นหรือไม่ ฟิลด์ที่เพิ่มเข้ามาเพื่อความสะดวกของทีมขายในภายหลัง เช่น ช่องถามอาการที่ต้องการปรึกษาหรือโรคประจำตัว ควรถูกย้ายออกจากฟอร์มสั่งซื้อทั่วไปไปอยู่ในขั้นตอนปรึกษาเภสัชกรหรือแพทย์ที่มีการขอความยินยอมแยกต่างหาก การลดข้อมูลที่เก็บตั้งแต่ต้นทางมีประโยชน์สองต่อ คือลดภาระการดูแลระยะยาว และลดความเสียหายหากเกิดเหตุข้อมูลรั่วไหลในอนาคต เพราะข้อมูลที่ไม่ได้เก็บตั้งแต่แรกไม่มีวันรั่วไหลออกไปได้ ตัวอย่างที่พบบ่อยคือฟอร์มสั่งซื้ออุปกรณ์ตรวจสุขภาพที่บ้านมีช่องถามวันเกิดของลูกค้าโดยอ้างว่าจะใช้ส่งส่วนลดวันเกิด ทั้งที่ธุรกิจยังไม่เคยส่งจริงสักครั้งในรอบปีที่ผ่านมา ฟิลด์แบบนี้ควรถูกตัดออกจนกว่าจะมีแผนใช้งานจริงและมีฐานความยินยอมรองรับ ไม่ใช่เก็บไว้ก่อนเผื่ออนาคต

ขั้นตอนที่ 3 วางเส้นแบ่งระหว่าง PDPA กับ PCI-DSS สำหรับข้อมูลชำระเงิน

ทีมไอทีต้องยืนยันได้ว่าข้อมูลบัตรเครดิตหรือบัตรเดบิตของลูกค้าถูกส่งตรงไปยังผู้ให้บริการรับชำระเงินผ่านการเข้ารหัสหรือ tokenization โดยไม่ผ่านหรือหยุดพักไว้ในเซิร์ฟเวอร์ของคลินิกเอง ซึ่งเป็นเรื่องของมาตรฐานความปลอดภัยข้อมูลบัตร PCI-DSS ที่ผู้ให้บริการชำระเงินเป็นผู้รับผิดชอบหลัก ส่วนข้อมูลอื่นที่ยังอยู่ในระบบของคลินิก เช่น ชื่อผู้ป่วย ที่อยู่จัดส่งยา หรือประวัติการสั่งซื้อ ต้องมีฐานทางกฎหมายและระยะเวลาเก็บของตัวเองตาม PDPA แยกออกไปต่างหาก การผ่านการตรวจสอบ PCI-DSS ประจำปีไม่ได้แปลว่าข้อมูลกลุ่มหลังนี้ได้รับการดูแลไปด้วยโดยอัตโนมัติ ทีมที่เข้าใจผิดว่าสองมาตรฐานนี้คลุมกันมักปล่อยให้ข้อมูลส่วนบุคคลอื่นไม่มีนโยบายเก็บรักษาที่ชัดเจนเลย

ขั้นตอนที่ 4 กำหนดระยะเวลาเก็บและลบที่อยู่จัดส่งกับประวัติคำสั่งซื้อ

ที่อยู่จัดส่งยาหรืออุปกรณ์การแพทย์มักถูกเก็บไว้ถาวรเพื่อความสะดวกในการสั่งซื้อครั้งถัดไป แต่ทีมควรแยกกรอบเวลาของคำสั่งซื้อที่จบสมบูรณ์ออกจากคำสั่งซื้อที่ถูกยกเลิกหรือค้างชำระ คำสั่งซื้อที่ถูกยกเลิกกลางทางไม่ควรถูกเก็บนานเท่าคำสั่งซื้อที่จบแล้ว เพราะไม่มีเหตุผลทางธุรกิจต่อเนื่อง ทีมควรตั้งรอบทบทวนอัตโนมัติ เช่น ทุกหกเดือน เพื่อลบหรือทำให้ที่อยู่และประวัติของลูกค้าที่ไม่กลับมาสั่งซื้อซ้ำไม่ระบุตัวตน โดยเฉพาะกรณีสินค้าที่บ่งชี้สภาวะสุขภาพเฉพาะทาง ควรมีนโยบายเก็บที่รัดกุมกว่าสินค้าทั่วไปเพราะความเสียหายหากรั่วไหลสูงกว่า ทีมควรเขียนกรอบเวลานี้เป็นเอกสารที่จับต้องได้ เช่น ระบุว่าคำสั่งซื้อที่ยกเลิกกลางทางจะถูกลบภายในกี่วัน และคำสั่งซื้อที่จบสมบูรณ์จะถูกทบทวนทุกกี่เดือน แทนที่จะปล่อยให้เป็นดุลพินิจของแต่ละคนในทีมที่ดูแลระบบ

ขั้นตอนที่ 5 ออกแบบระบบ guest checkout ให้มีวันหมดอายุของข้อมูล

ร้านค้าสุขภาพหลายแห่งเปิดให้สั่งซื้อแบบไม่ต้องสมัครสมาชิกเพื่อความรวดเร็ว แต่ทีมมักลืมกำหนดว่าข้อมูลของผู้สั่งซื้อกลุ่มนี้จะอยู่ในระบบนานแค่ไหนหากไม่เคยกลับมาสั่งซื้อซ้ำอีกเลย ให้ตั้งค่าระบบให้ข้อมูลของ guest checkout ถูกทำเครื่องหมายแยกจากฐานลูกค้าสมาชิกตั้งแต่ต้น พร้อมกำหนดวันหมดอายุที่ชัดเจนในนโยบายความเป็นส่วนตัว แทนที่จะปล่อยให้รวมกับฐานสมาชิกและถูกเก็บไว้ถาวรโดยไม่มีใครทบทวน ร้านที่เปิดให้ทั้งสั่งซื้อแบบ guest checkout และสมัครสมาชิกพร้อมกันควรมีธงในระบบชัดเจนว่าคำสั่งซื้อไหนมาจากบัญชีชั่วคราว เพื่อให้สคริปต์ลบข้อมูลอัตโนมัติแยกกลุ่มนี้ออกจากลูกค้าสมาชิกได้ถูกต้อง ไม่ปนกันจนต้องไล่เช็กทีละรายการด้วยมือ

ขั้นตอนที่ 6 แยกความยินยอมรับข่าวสารการตลาดออกจากการยืนยันคำสั่งซื้อ

ฟอร์ม checkout ที่มีช่องติ๊กเดียวเขียนรวมว่ายืนยันการสั่งซื้อและรับข่าวสารโปรโมชันสุขภาพไปพร้อมกัน ถือเป็นการรวมความยินยอมสองประเภทที่ต่างกันไว้ในปุ่มเดียว ระบบต้องแยกช่องยืนยันคำสั่งซื้อซึ่งจำเป็นต่อการทำธุรกรรมออกจากช่องรับข่าวสารการตลาดซึ่งต้องเป็นทางเลือกที่ลูกค้ากดยินยอมเอง ไม่ติ๊กไว้ล่วงหน้าให้ ทีมควรทดสอบด้วยว่าลิงก์ยกเลิกรับข่าวสารในอีเมลหรือ SMS ที่ส่งออกไปภายหลังใช้งานได้จริง ไม่ใช่แค่มีปุ่มไว้เฉย ๆ กรณีที่ระบบยืนยันคำสั่งซื้อทางไลน์หรือ SMS มีข้อความโปรโมชันแนบมาด้วยในข้อความเดียวกัน ทีมควรพิจารณาแยกข้อความยืนยันคำสั่งซื้อกับข้อความการตลาดออกจากกันด้วย เพื่อไม่ให้ลูกค้าที่ไม่ได้กดยินยอมรับข่าวสารต้องเห็นเนื้อหาโปรโมชันปนอยู่ในข้อความที่จำเป็นต่อการทำธุรกรรม

ขั้นตอนที่ 7 จัดทำหลักฐานและกำหนดรอบทบทวนระบบ

ทุกขั้นตอนข้างต้นควรจบด้วยการเก็บหลักฐานไว้ ไม่ว่าจะเป็นตารางแผนที่ข้อมูลที่อัปเดตล่าสุด บันทึกวันที่ทบทวนฟอร์ม checkout รายชื่อฟิลด์ที่ถูกตัดออกในแต่ละรอบ และแผนผังเส้นทางข้อมูลบัตรที่ยืนยันแล้วว่าแยกจากข้อมูลอื่น หลักฐานเหล่านี้ไม่ได้มีไว้เพื่อโชว์ แต่มีไว้ให้ทีมตอบคำถามลูกค้าหรือหน่วยงานกำกับดูแลได้ทันทีหากถูกสอบถามว่าเก็บข้อมูลอะไรบ้างและทำไมถึงเก็บ ทีมควรกำหนดรอบทบทวนทั้งระบบอย่างน้อยทุกหกเดือน หรือทุกครั้งที่เปลี่ยนผู้ให้บริการชำระเงินหรือเพิ่มฟีเจอร์ใหม่ในหน้า checkout

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบ PDPA สำหรับ e-commerce สุขภาพ

• แก้ฟอร์ม checkout ทันทีโดยไม่ทำแผนที่ข้อมูลก่อน ทำให้พลาดจุดที่ข้อมูลถูกเก็บซ้ำในระบบสำรอง
• เข้าใจว่าผ่านมาตรฐาน PCI-DSS แล้วข้อมูลส่วนบุคคลอื่นในระบบปลอดภัยไปด้วยโดยอัตโนมัติ
• เก็บที่อยู่จัดส่งและประวัติคำสั่งซื้อไว้ถาวรโดยไม่แยกกรอบเวลาของคำสั่งซื้อที่ถูกยกเลิก
• ปล่อยให้ข้อมูล guest checkout รวมกับฐานลูกค้าสมาชิกโดยไม่กำหนดวันหมดอายุ
• ใช้ช่องติ๊กเดียวรวมการยืนยันคำสั่งซื้อกับการรับข่าวสารการตลาด

สรุป

การวางระบบ PDPA สำหรับ e-commerce ของธุรกิจสุขภาพไม่ใช่การเขียนนโยบายความเป็นส่วนตัวไว้แล้วจบ แต่เป็นขั้นตอนต่อเนื่องตั้งแต่ทำแผนที่ข้อมูลจริง ตัดฟิลด์ที่ไม่จำเป็น แยกขอบเขต PDPA กับ PCI-DSS ให้ชัด กำหนดระยะเวลาเก็บที่อยู่จัดส่งและ guest checkout และแยกความยินยอมการตลาดออกจากการสั่งซื้อจริงเสมอ ทีมที่ต้องการตรวจสอบว่าระบบที่วางไว้ครบถ้วนหรือไม่ก่อนเปิดใช้งานจริง ดูเช็กลิสต์เพิ่มเติมได้ที่ เช็กลิสต์ PDPA สำหรับ E-commerce ของธุรกิจสุขภาพ และดูแนวทางตรวจสอบเชิงลึกพร้อมหลักฐานได้ที่ วิธี Audit PDPA สำหรับ E-commerce ของธุรกิจสุขภาพ

แหล่งข้อมูลอ้างอิง

ขอบเขตของข้อมูลอ่อนไหวด้านสุขภาพและฐานความยินยอมที่เหมาะสมควรตรวจสอบกับประกาศของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง ส่วนมาตรฐานความปลอดภัยของข้อมูลบัตรเครดิตเป็นคนละมาตรฐานที่ต้องตรวจแยกกับผู้ให้บริการรับชำระเงินของร้าน บทความนี้เป็นแนวทางเชิงปฏิบัติ ไม่ใช่การตีความข้อกฎหมายแทนหน่วยงานกำกับดูแล ดูภาพรวมหัวข้ออื่นในหมวด Business, Industry & SEO เพิ่มเติมได้ที่ คลังความรู้ Business, Industry & SEO