วิธี Audit PDPA สำหรับธุรกิจสุขภาพ ของเอเจนซีและฟรีแลนซ์ทำเว็บไซต์ พร้อม Evidence ที่ควรเก็บ

ปัญหาที่เอเจนซีทำเว็บส่วนใหญ่ไม่เคยตรวจคือ ทีมงานของตัวเองยังมีสิทธิ์เข้าถึงระบบหลังบ้านของคลินิกที่เลิกจ้างไปแล้วสามเดือนก่อน บัญชี Google Analytics ของแบรนด์อาหารเสริมที่โปรเจกต์จบไปแล้วยังไม่ถูกถอดสิทธิ์ และไฟล์ Export รายชื่อคนไข้ที่เคยใช้ทำแคมเปญยังค้างอยู่ใน Google Drive ของบริษัทโดยไม่มีใครจำได้ว่าเก็บไว้ทำไม เอเจนซีที่ดูแลเว็บไซต์และการตลาดให้ธุรกิจสุขภาพไม่ได้แค่ทำงานให้ลูกค้า แต่ถือครองข้อมูลอ่อนไหวของคนไข้ปลายทางไว้ในมือด้วย และปัญหาคือแทบไม่มีเอเจนซีไหนตรวจสอบเรื่องนี้อย่างเป็นระบบ

ทำไมเอเจนซีที่ทำเว็บให้ธุรกิจสุขภาพต้องตรวจสอบตัวเองเป็นพิเศษ

เมื่อเอเจนซีรับงานทำเว็บ ดูแลโฆษณา หรือบริหารระบบนัดหมายให้คลินิก ร้านขายยา หรือแบรนด์ผลิตภัณฑ์สุขภาพ ข้อมูลที่ไหลผ่านมือทีมงานไม่ใช่แค่ข้อความโฆษณาหรือรูปภาพสินค้า แต่มักรวมถึงรายชื่อคนไข้ที่จองคิว เบอร์โทรที่ใช้ยืนยันนัดหมาย หรือแม้แต่ผลลัพธ์แคมเปญที่โยงกับกลุ่มอาการเฉพาะ เช่น แคมเปญโฆษณาคลินิกลดน้ำหนักที่มีรายชื่อคนกดสนใจพร้อมข้อมูลน้ำหนักเริ่มต้น ข้อมูลเหล่านี้จัดเป็นข้อมูลอ่อนไหวตามกฎหมาย ซึ่งมีมาตรฐานการคุ้มครองสูงกว่าข้อมูลลูกค้าทั่วไปที่เอเจนซีคุ้นเคยจากลูกค้ากลุ่มอื่น

สิ่งที่ทำให้เอเจนซีตกอยู่ในความเสี่ยงเพิ่มขึ้นคือ โครงสร้างทีมที่หมุนเวียนบ่อย ฟรีแลนซ์ที่เข้ามาช่วยงานเป็นโปรเจกต์ และการใช้เครื่องมือหลายตัวพร้อมกัน (CRM ของลูกค้า, เครื่องมือโฆษณา, ระบบแชทบอท) ทำให้สิทธิ์การเข้าถึงข้อมูลกระจายอยู่หลายจุดโดยไม่มีใครดูแลภาพรวม การ Audit เป็นรอบจึงไม่ใช่แค่การทำเพื่อให้ผ่านการตรวจเฉย ๆ แต่เป็นเครื่องมือที่ทำให้เอเจนซีรู้ตัวเองว่าตอนนี้ถือครองข้อมูลอะไรอยู่บ้าง

ลองนึกภาพเอเจนซีขนาดกลางที่ดูแลลูกค้าพร้อมกันสิบกว่าราย ในจำนวนนี้มีคลินิกทันตกรรมสองแห่ง ร้านขายอาหารเสริมออนไลน์หนึ่งราย และแอปนัดหมายหมอผิวหนังอีกหนึ่งราย แต่ละรายมีทีมงานที่รับผิดชอบต่างกัน ใช้เครื่องมือโฆษณาคนละชุด และมีฟรีแลนซ์เข้ามาช่วยงานเป็นช่วง ๆ หากไม่มีใครในบริษัทถืออำนาจดูภาพรวมว่าใครเข้าถึงข้อมูลของลูกค้ารายไหนบ้าง ความเสี่ยงจะไม่ได้อยู่ที่ทีมงานคนใดคนหนึ่งจงใจทำผิด แต่อยู่ที่ไม่มีใครรู้ขอบเขตของตัวเองชัดเจนพอ

ขอบเขตของการ Audit: ตรวจอะไรบ้าง

การ Audit ที่ครอบคลุมควรแบ่งเป็นสี่ส่วนหลัก ส่วนแรกคือสิทธิ์การเข้าถึงระบบของลูกค้าปลายทาง เช่น Admin ของเว็บไซต์ ระบบนัดหมาย หรือบัญชีโฆษณา ส่วนที่สองคือสัญญาประมวลผลข้อมูลระหว่างเอเจนซีกับลูกค้า ว่าระบุขอบเขตงานและข้อมูลที่เข้าถึงได้ชัดเจนหรือไม่ ส่วนที่สามคือการจัดเก็บและส่งต่อข้อมูลภายในทีม เช่น ไฟล์ Export ที่เก็บไว้ใน Drive หรือส่งผ่านแชทกลุ่ม และส่วนที่สี่คือกระบวนการปิดโปรเจกต์ ว่ามีการถอดสิทธิ์และลบข้อมูลที่ไม่จำเป็นแล้วหรือไม่

ตรวจสิทธิ์การเข้าถึงระบบของลูกค้าปลายทาง

เริ่มจากทำรายการโปรเจกต์ทั้งหมดที่เอเจนซีเคยดูแลให้ลูกค้ากลุ่มสุขภาพ ทั้งที่กำลังดำเนินอยู่และที่จบไปแล้ว จากนั้นตรวจสอบทีละระบบว่าใครในทีมยังมีสิทธิ์เข้าถึงอยู่บ้าง สิ่งที่มักพบคือพนักงานที่ลาออกไปแล้วยังมีบัญชีที่ใช้งานได้ หรือฟรีแลนซ์ที่ทำโปรเจกต์เดียวแล้วจบไปแต่ยังไม่ถูกถอดสิทธิ์จากระบบ CRM ของคลินิก การตรวจสอบนี้ควรทำอย่างน้อยทุกหกเดือน ไม่ใช่ตรวจแค่ตอนเริ่มโปรเจกต์ใหม่เท่านั้น เพราะบัญชีและสิทธิ์เปลี่ยนแปลงตลอดเวลาตามการหมุนเวียนของทีม

วิธีที่ใช้ได้จริงคือทำตารางง่าย ๆ หนึ่งแถวต่อหนึ่งระบบ ระบุชื่อลูกค้า ระบบที่เข้าถึง รายชื่อคนที่มีสิทธิ์ และวันที่ตรวจสอบล่าสุด ตารางนี้ไม่จำเป็นต้องซับซ้อน แต่ต้องมีคนรับผิดชอบอัปเดตทุกครั้งที่มีคนเข้าออกโปรเจกต์ หากไม่มีตารางนี้ การถามว่าใครเข้าถึงข้อมูลลูกค้ารายใดบ้างจะกลายเป็นคำถามที่ตอบไม่ได้ทันทีเมื่อลูกค้าถามกลับมา

ตรวจสัญญาประมวลผลข้อมูลกับลูกค้า

เอเจนซีจำนวนไม่น้อยยังใช้สัญญาการตลาดมาตรฐานที่ไม่ได้พูดถึงการประมวลผลข้อมูลส่วนบุคคลเลย ทั้งที่ในทางปฏิบัติทีมงานเข้าถึงข้อมูลคนไข้ปลายทางอยู่ทุกวัน การตรวจสอบควรถามว่า สัญญาระบุชัดหรือไม่ว่าเอเจนซีเข้าถึงข้อมูลประเภทใดได้บ้าง ใช้เพื่อวัตถุประสงค์ใด และเมื่อจบสัญญาต้องทำอย่างไรกับข้อมูลที่ถืออยู่ หากสัญญาเดิมไม่ครอบคลุมประเด็นเหล่านี้ ควรผลักดันให้มีการเพิ่มเติมข้อตกลงประมวลผลข้อมูลแยกต่างหาก โดยเฉพาะกับลูกค้าที่เป็นคลินิกหรือแบรนด์ที่มีข้อมูลอ่อนไหวปริมาณมาก

ตรวจการจัดเก็บและส่งต่อข้อมูลภายในทีม

ไฟล์ Export รายชื่อคนไข้ที่เคยใช้วิเคราะห์แคมเปญ มักถูกดาวน์โหลดมาเก็บไว้ในเครื่องส่วนตัวหรือ Drive กลางของบริษัทโดยไม่มีการควบคุมว่าใครเข้าถึงได้บ้าง การ Audit ควรไล่ตรวจโฟลเดอร์ที่เกี่ยวข้องกับลูกค้าแต่ละราย ดูว่ามีไฟล์ที่มีข้อมูลอ่อนไหวหลงเหลืออยู่หรือไม่ และไฟล์เหล่านั้นมีการจำกัดสิทธิ์การเข้าถึงเฉพาะทีมที่รับผิดชอบโปรเจกต์นั้นจริงหรือไม่ อีกจุดที่ควรตรวจคือการส่งต่อข้อมูลผ่านแชทกลุ่มภายในทีม เช่น การแคปหน้าจอสถิติแคมเปญที่มีชื่อคนไข้ติดมาด้วยแล้วส่งเข้ากลุ่มไลน์ของทีมเพื่อรายงานผล ซึ่งเป็นพฤติกรรมที่พบได้บ่อยแต่แทบไม่มีใครมองว่าเป็นความเสี่ยง

คำแนะนำที่ทำได้ทันทีคือ กำหนดว่าไฟล์ที่มีข้อมูลคนไข้หรือลูกค้าปลายทางต้องเก็บในโฟลเดอร์ที่จำกัดสิทธิ์เฉพาะทีมโปรเจกต์นั้นเท่านั้น ห้ามส่งผ่านแชทกลุ่มที่มีคนนอกทีมอยู่ด้วย และถ้าจำเป็นต้องรายงานผลแคมเปญให้ทีมอื่นเห็น ควรตัดข้อมูลที่ระบุตัวบุคคลออกก่อนส่ง เหลือไว้แค่ตัวเลขสรุปที่จำเป็นต่อการรายงาน

ตรวจกระบวนการปิดโปรเจกต์และถอดสิทธิ์

เมื่อโปรเจกต์จบลง ไม่ว่าจะด้วยการเปลี่ยนเอเจนซีของลูกค้าหรือลูกค้าปิดกิจการ เอเจนซีควรมีขั้นตอนมาตรฐานสำหรับถอดสิทธิ์การเข้าถึงระบบทั้งหมด ลบไฟล์ข้อมูลที่ไม่จำเป็นต้องเก็บต่อ และยืนยันกับลูกค้าว่าข้อมูลที่เคยส่งมอบให้เอเจนซีถูกจัดการอย่างไร การ Audit ควรตรวจย้อนหลังโปรเจกต์ที่จบไปแล้วในรอบหนึ่งถึงสองปีที่ผ่านมา ว่าขั้นตอนปิดโปรเจกต์เหล่านี้ถูกทำจริงหรือเป็นเพียงข้อความในเอกสารที่ไม่มีใครปฏิบัติตาม

กรณีที่พบบ่อยคือลูกค้าเปลี่ยนไปใช้เอเจนซีอื่นแบบไม่ทันตั้งตัว ทำให้ทีมงานเดิมไม่มีโอกาสปิดโปรเจกต์อย่างเป็นระบบ สิ่งที่เอเจนซีควรทำล่วงหน้าคือกำหนดขั้นตอนมาตรฐานไว้ก่อนเกิดเหตุ เช่น เมื่อไม่มีการติดต่องานจากลูกค้ารายใดเกินหกเดือน ให้ทีมงานตรวจสอบและถอดสิทธิ์อัตโนมัติ แทนที่จะรอให้ลูกค้าแจ้งยกเลิกอย่างเป็นทางการซึ่งบางรายไม่เคยแจ้งเลย

Evidence ที่ควรเก็บไว้ทุกรอบตรวจ

หลักฐานที่ควรเก็บประกอบด้วยรายชื่อพนักงานและสิทธิ์การเข้าถึงระบบของลูกค้าแต่ละรายพร้อมวันที่ตรวจสอบล่าสุด สำเนาสัญญาหรือข้อตกลงประมวลผลข้อมูลที่มีผลบังคับใช้ บันทึกการถอดสิทธิ์เมื่อพนักงานลาออกหรือจบโปรเจกต์ และรายการไฟล์ข้อมูลอ่อนไหวที่ถูกลบพร้อมวันที่ลบ หลักฐานเหล่านี้ไม่ได้มีไว้เพื่อโชว์ลูกค้าเท่านั้น แต่เป็นสิ่งที่ทีมงานเองใช้ตรวจสอบย้อนหลังได้เมื่อเกิดคำถามในอนาคตว่าใครเคยเข้าถึงข้อมูลอะไรบ้าง

ความถี่ในการทำ Audit และใครควรเป็นคนตรวจ

เอเจนซีขนาดเล็กมักคิดว่าการ Audit เป็นงานที่ต้องจ้างที่ปรึกษากฎหมายราคาแพงเท่านั้น แต่ในทางปฏิบัติ การตรวจสอบสิทธิ์การเข้าถึงและไฟล์ข้อมูลเป็นงานที่หัวหน้าทีมโปรเจกต์ทำได้เองทุกไตรมาส โดยใช้เวลาไม่มาก หากมีรายการโปรเจกต์และเช็กลิสต์ที่ชัดเจน ส่วนการทบทวนสัญญาและข้อตกลงประมวลผลข้อมูลอาจต้องมีคนที่เข้าใจกฎหมายเข้ามาช่วยดูปีละครั้ง โดยเฉพาะเมื่อมีลูกค้ากลุ่มสุขภาพรายใหม่เข้ามา เพราะแต่ละรายมีลักษณะข้อมูลและความเสี่ยงต่างกัน

เอเจนซีบางแห่งเลือกผูก Audit เข้ากับรอบรายงานผลแคมเปญรายไตรมาสที่ทำอยู่แล้ว เพราะเป็นช่วงที่ทีมงานต้องเปิดดูข้อมูลลูกค้าแต่ละรายอยู่แล้ว การเพิ่มขั้นตอนตรวจสิทธิ์เข้าถึงเข้าไปในรอบเดิมทำให้ไม่ต้องสร้างกระบวนการใหม่ทั้งหมด และทีมงานจะคุ้นเคยกับการทำเป็นนิสัยเร็วกว่าการแยกทำ Audit เป็นงานพิเศษต่างหาก

ข้อผิดพลาดที่พบบ่อยเมื่อเอเจนซี Audit ตัวเอง

ข้อผิดพลาดแรกคือตรวจสอบเฉพาะโปรเจกต์ที่กำลังดำเนินอยู่ โดยลืมโปรเจกต์เก่าที่จบไปแล้วแต่สิทธิ์เข้าถึงยังไม่ถูกถอด ข้อผิดพลาดที่สองคือใช้สัญญาการตลาดมาตรฐานที่ไม่ได้ระบุขอบเขตการประมวลผลข้อมูลส่วนบุคคลเลย ข้อผิดพลาดที่สามคือปล่อยให้ไฟล์ Export ข้อมูลคนไข้กระจายอยู่ในเครื่องส่วนตัวของพนักงานโดยไม่มีการรวมศูนย์ ข้อผิดพลาดที่สี่คือไม่มีขั้นตอนปิดโปรเจกต์ที่ชัดเจน ทำให้การถอดสิทธิ์และลบข้อมูลขึ้นอยู่กับความจำของพนักงานแต่ละคน และข้อผิดพลาดที่ห้าคือทำ Audit เพียงครั้งเดียวตอนเริ่มทำธุรกิจแล้วไม่เคยกลับมาทบทวนอีกเลย

ข้อผิดพลาดที่มักตามมาคือทีมงานพบปัญหาระหว่างตรวจแล้วไม่มีใครติดตามแก้ไขต่อ เพราะไม่ได้กำหนดเจ้าของงานชัดเจนว่าใครต้องถอดสิทธิ์ใครต้องลบไฟล์ไหน การ Audit ที่ดีจึงต้องจบด้วยรายการงานที่ต้องแก้พร้อมชื่อผู้รับผิดชอบและกำหนดเวลา ไม่ใช่แค่รายงานปัญหาแล้วปล่อยทิ้งไว้

สรุป: Audit ที่ทำเป็นรอบ ดีกว่ารอให้มีปัญหาแล้วค่อยตามแก้

เอเจนซีที่ทำเว็บและการตลาดให้ธุรกิจสุขภาพถือครองข้อมูลอ่อนไหวของคนไข้ปลายทางมากกว่าที่หลายทีมตระหนัก การ Audit ที่ครอบคลุมสิทธิ์การเข้าถึง สัญญาประมวลผลข้อมูล การจัดเก็บไฟล์ และกระบวนการปิดโปรเจกต์ ควรทำเป็นรอบสม่ำเสมอ ไม่ใช่ตรวจครั้งเดียวแล้วจบ เพราะทีมงานและระบบเปลี่ยนแปลงตลอดเวลา หากยังไม่เคยทำ Audit มาก่อน ลองเริ่มจากเช็กลิสต์สั้นในบทความ เช็กลิสต์ PDPA สำหรับธุรกิจสุขภาพของเอเจนซี ก่อนขยายไปสู่การตรวจสอบเชิงลึก และดูภาพรวมของกรอบการทำงานทั้งหมดได้ที่ คู่มือ PDPA สำหรับธุรกิจสุขภาพของเอเจนซี ส่วนหมวดธุรกิจอุตสาหกรรมอื่น ๆ ดูได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อิงหลักการทั่วไปของกฎหมายคุ้มครองข้อมูลส่วนบุคคลไทย เอเจนซีที่ต้องการรายละเอียดเชิงลึกเกี่ยวกับข้อตกลงประมวลผลข้อมูลหรือแนวปฏิบัติล่าสุด ควรตรวจสอบประกาศจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยตรง เนื่องจากรายละเอียดปลีกย่อยอาจมีการปรับปรุงตามช่วงเวลา