วิธีวางระบบ PDPA สำหรับธุรกิจสุขภาพ สำหรับร้านค้าออนไลน์และ E-commerceแบบเป็นขั้นตอน

ร้านค้าออนไลน์ที่ขายสินค้าสุขภาพหรือมีฟอร์มถามอาการ/ประวัติแพ้ยา/ใบสั่งยา กำลังเก็บข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA ไม่ใช่ข้อมูลลูกค้าทั่วไป จึงต้องขอความยินยอมแบบชัดแจ้งแยกต่างหาก จำกัดสิทธิ์เข้าถึงเฉพาะทีมที่จำเป็น ทำสัญญาประมวลผลข้อมูลกับผู้ให้บริการภายนอก และวางแผนแจ้งเหตุละเมิดข้อมูลไว้ล่วงหน้า บทความนี้ไล่ทีละขั้นตอนที่ทีม E-commerce ต้องทำเพื่อวางระบบให้เหมาะกับความอ่อนไหวของข้อมูลประเภทนี้

ทีมตรวจร้านค้าออนไลน์ของ trusty สุ่มดูฟอร์มสั่งซื้อและแบบสอบถามก่อนสั่งซื้อของร้านขายวิตามิน ชุดตรวจสุขภาพที่บ้าน และคลินิกความงามออนไลน์รวม 50 ร้านเมื่อต้นปีนี้ พบว่ามากกว่าครึ่งมีช่องให้กรอกอาการ โรคประจำตัว หรือประวัติแพ้ยา แต่ไม่ถึง 1 ใน 5 มีช่องขอความยินยอมที่แยกออกจาก checkbox ยอมรับเงื่อนไขการใช้งานทั่วไป นั่นหมายความว่าร้านเหล่านี้กำลังเก็บข้อมูลอ่อนไหวโดยอิงฐานทางกฎหมายของข้อมูลส่วนบุคคลทั่วไป ซึ่งไม่ใช่ระดับการคุ้มครองที่ PDPA กำหนดไว้สำหรับข้อมูลสุขภาพ

ทำไมข้อมูลสุขภาพในร้านค้าออนไลน์จึงต่างจากข้อมูลลูกค้าทั่วไป

ชื่อ ที่อยู่จัดส่ง เบอร์โทร หรืออีเมลของลูกค้า คือข้อมูลส่วนบุคคลทั่วไปที่ร้านค้าออนไลน์เก็บได้โดยอาศัยฐานสัญญาซื้อขายเป็นหลัก แต่ทันทีที่ร้านเริ่มถามอาการก่อนแนะนำอาหารเสริม ขอประวัติแพ้ยาก่อนขายยา หรือให้ลูกค้าอัปโหลดใบสั่งแพทย์ ข้อมูลชุดนั้นจะกลายเป็นข้อมูลสุขภาพซึ่ง PDPA จัดอยู่ในหมวดข้อมูลอ่อนไหว การเก็บและใช้ข้อมูลอ่อนไหวต้องมีความยินยอมแบบชัดแจ้งจากเจ้าของข้อมูล ไม่สามารถอาศัยฐานสัญญาหรือประโยชน์โดยชอบด้วยกฎหมายแทนได้เหมือนข้อมูลทั่วไป

ความต่างนี้สำคัญกับทีม Performance Marketing ด้วย เพราะข้อมูลอาการหรือโรคประจำตัวที่ลูกค้ากรอกไว้ ไม่ควรถูกดึงไปใช้ทำ audience segment สำหรับยิงโฆษณาโดยไม่มีการขอความยินยอมที่ครอบคลุมวัตถุประสงค์นั้นโดยเฉพาะ

ขั้นตอนที่ 1: สำรวจจุดเก็บข้อมูลสุขภาพทั้งหมดในร้าน

เริ่มจากการไล่ทุกจุดสัมผัสที่ลูกค้าอาจกรอกข้อมูลสุขภาพ ได้แก่ แบบสอบถามแนะนำผลิตภัณฑ์ก่อนสั่งซื้อ (เช่น "คุณมีอาการอะไรบ้าง") ช่องแชทกับเภสัชกรหรือที่ปรึกษาสุขภาพ ระบบอัปโหลดใบสั่งแพทย์สำหรับสินค้าที่ควบคุม แบบฟอร์มจองคิวปรึกษาแพทย์ทางไกลที่ฝังอยู่ในหน้าสินค้า และแม้แต่รีวิวสินค้าที่ลูกค้าเขียนถึงอาการของตัวเอง จุดเหล่านี้มักกระจายอยู่คนละระบบ (เว็บไซต์ แชตบอต ระบบ CRM) ทำให้ทีมไม่เห็นภาพรวมว่าข้อมูลอ่อนไหวไหลไปที่ไหนบ้าง การทำ data mapping ครั้งเดียวจะช่วยให้ขั้นตอนถัดไปทำได้ตรงจุด

ในทางปฏิบัติ ทีมเทคนิคควรดึงรายชื่อฟอร์มทั้งหมดจากหลังบ้านของเว็บไซต์ ทั้งฟอร์มที่ทีมการตลาดสร้างขึ้นเองผ่านเครื่องมือ landing page และฟอร์มที่ฝังมากับปลั๊กอินหรือวิดเจ็ตของผู้ให้บริการภายนอก เพราะฟอร์มประเภทหลังมักถูกลืมเมื่อทำ data mapping เนื่องจากไม่ได้อยู่ในระบบหลักของร้าน ตัวอย่างที่พบบ่อยคือวิดเจ็ตจองคิวปรึกษาเภสัชกรที่ฝังจากผู้ให้บริการรายที่สาม ซึ่งข้อมูลอาการที่ลูกค้ากรอกอาจไม่ได้ไหลเข้าระบบ CRM หลักของร้านเลย แต่ไปเก็บอยู่ที่เซิร์ฟเวอร์ของผู้ให้บริการนั้นโดยตรง ทีมจึงต้องสอบถามผู้ให้บริการทุกรายว่าเก็บข้อมูลอะไรไว้ที่ไหนบ้าง ไม่ใช่ดูแค่ระบบของตัวเอง

หลักฐานที่ควรเก็บไว้จากขั้นตอนนี้

บันทึกรายชื่อฟอร์ม ระบบ และทีมที่เกี่ยวข้องเป็นตารางเดียว พร้อมวันที่สำรวจ เพื่อใช้เป็นหลักฐานว่าร้านรู้ตัวว่ามีจุดเก็บข้อมูลอ่อนไหวอยู่ที่ใดบ้าง ตารางนี้ควรระบุด้วยว่าฟอร์มแต่ละจุดมีช่องความยินยอมแยกต่างหากอยู่แล้วหรือยัง เพื่อให้เห็นช่องว่างที่ต้องแก้ไขในขั้นตอนถัดไปได้ทันที และควรกำหนดเจ้าของงาน (owner) รายจุดไว้ด้วย ไม่ใช่ปล่อยให้เป็นความรับผิดชอบร่วมที่ไม่มีใครติดตามจริง

ขั้นตอนที่ 2: แยกความยินยอมแบบชัดแจ้งออกจาก consent ทั่วไป

ช่อง checkbox เดียวที่เขียนว่า "ยอมรับเงื่อนไขการใช้บริการและนโยบายความเป็นส่วนตัว" ไม่เพียงพอสำหรับข้อมูลสุขภาพ ต้องมีช่องยินยอมแยกต่างหากที่ระบุชัดว่าเก็บข้อมูลอะไร (เช่น อาการ ประวัติแพ้ยา) เพื่อวัตถุประสงค์ใด (เช่น แนะนำสินค้า ให้เภสัชกรตรวจสอบก่อนจ่ายยา) และลูกค้าต้องเลือก "ยินยอม" ด้วยการกระทำเชิงรุก ไม่ใช่ default ติ๊กไว้ล่วงหน้า ฟอร์มควรมีลิงก์ไปหน้านโยบายที่อธิบายเรื่องนี้โดยเฉพาะ ไม่ใช่รวมอยู่ในนโยบายความเป็นส่วนตัวยาวๆ ที่ลูกค้าไม่เปิดอ่าน

อีกจุดที่ทีม Performance Marketing มักมองข้ามคือขอบเขตของความยินยอมที่ขอไว้ หากลูกค้ายินยอมให้เก็บอาการเพื่อ "ให้เภสัชกรแนะนำสินค้าที่เหมาะสม" ความยินยอมนั้นไม่ได้ครอบคลุมถึงการนำอาการไปสร้าง custom audience สำหรับยิงโฆษณาผลิตภัณฑ์ที่เกี่ยวข้องบนแพลตฟอร์มโฆษณาโดยอัตโนมัติ หากร้านต้องการใช้ข้อมูลอาการเพื่อวัตถุประสงค์ทางการตลาดเพิ่มเติม ต้องขอความยินยอมสำหรับวัตถุประสงค์นั้นแยกออกมาให้ชัดเจนอีกครั้ง ไม่ใช่ตีความขอบเขตความยินยอมเดิมให้กว้างขึ้นเอง

ขั้นตอนที่ 3: จำกัดสิทธิ์เข้าถึงเฉพาะทีมที่จำเป็นต้องรู้

ทีมขายและทีมการตลาดส่วนใหญ่ไม่จำเป็นต้องเห็นอาการหรือประวัติแพ้ยาของลูกค้ารายบุคคล ควรตั้งสิทธิ์ในระบบ CRM หรือระบบหลังบ้านให้เฉพาะเภสัชกร ทีมบริการลูกค้าที่ผ่านการอบรม หรือทีมปฏิบัติตามคำสั่งซื้อที่เกี่ยวข้องโดยตรงเท่านั้นที่เข้าถึงได้ พร้อมเปิด log การเข้าถึงไว้ เพื่อให้ตรวจสอบย้อนหลังได้ว่าใครเปิดดูข้อมูลใครเมื่อไหร่

ในร้านขนาดเล็กที่ทีมงานทำหลายหน้าที่พร้อมกัน การแบ่งสิทธิ์แบบนี้อาจดูยุ่งยาก แต่สามารถเริ่มจากขั้นต่ำสุดก่อนได้ เช่น ตั้งให้เฉพาะบัญชีที่ทำหน้าที่เภสัชกรหรือที่ปรึกษาสุขภาพเห็นรายละเอียดอาการแบบเต็ม ส่วนบัญชีของทีมจัดส่งเห็นเพียงรายการสินค้าที่ต้องแพ็กโดยไม่เห็นเหตุผลทางการแพทย์ที่ลูกค้าให้ไว้ วิธีนี้ช่วยลดจำนวนคนที่เข้าถึงข้อมูลอ่อนไหวได้จริงโดยไม่ต้องเปลี่ยนระบบทั้งหมด

ขั้นตอนที่ 4: ทำสัญญาประมวลผลข้อมูลกับผู้ให้บริการภายนอก

ร้านค้าออนไลน์ด้านสุขภาพมักพึ่งพาผู้ให้บริการภายนอกหลายเจ้า เช่น ระบบ telehealth ที่ฝังอยู่ในเว็บ ผู้ให้บริการคลังสินค้าและจัดส่งที่เห็นรายละเอียดสินค้าที่สั่ง หรือระบบ CRM/แชตบอตที่บันทึกบทสนทนาเรื่องอาการ ทุกเจ้าที่แตะข้อมูลอ่อนไหวเหล่านี้ควรมีข้อตกลงประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement) ที่ระบุขอบเขตการใช้ข้อมูล มาตรการรักษาความปลอดภัยขั้นต่ำ และสิทธิ์ในการตรวจสอบของร้าน ไม่ใช่แค่เงื่อนไขการใช้งานทั่วไปของแพลตฟอร์มนั้น

ทีมจัดซื้อหรือทีมเทคนิคที่เลือกผู้ให้บริการรายใหม่ ควรใส่เงื่อนไขนี้ไว้ในขั้นตอนคัดเลือกผู้ให้บริการตั้งแต่ต้น แทนที่จะไปแก้ไขทีหลังหลังเซ็นสัญญาไปแล้ว เพราะผู้ให้บริการบางรายอาจปฏิเสธที่จะแก้ไขเงื่อนไขมาตรฐานของตัวเองเมื่อถูกขอภายหลัง การตรวจสอบก่อนเลือกใช้บริการจึงประหยัดเวลากว่าการตามแก้ทีหลังมาก และควรทำรายชื่อผู้ให้บริการทั้งหมดที่แตะข้อมูลอ่อนไหวไว้เป็นทะเบียนเดียว เพื่อทบทวนพร้อมกันทุกครั้งที่มีการต่อสัญญา

ขั้นตอนที่ 5: เตรียมแผนแจ้งเหตุละเมิดข้อมูลสำหรับข้อมูลอ่อนไหวโดยเฉพาะ

หากข้อมูลอาการหรือประวัติแพ้ยาของลูกค้าหลุดออกไป ผลกระทบต่อตัวลูกค้าจะรุนแรงกว่าอีเมลหรือเบอร์โทรหลุดมาก เพราะกระทบความเป็นส่วนตัวเรื่องสุขภาพโดยตรงและอาจถูกนำไปใช้ในทางที่สร้างความเสียหาย ร้านจึงควรมีขั้นตอนแจ้งเหตุที่เร็วกว่าและมีรายชื่อผู้รับผิดชอบชัดเจนสำหรับกรณีที่เกี่ยวกับข้อมูลอ่อนไหวโดยเฉพาะ แยกจากแผนแจ้งเหตุทั่วไปของระบบ e-commerce ทั้งหมด และควรซ้อมแผนนี้อย่างน้อยปีละครั้ง

แผนแจ้งเหตุที่ดีควรระบุให้ชัดว่าใครเป็นคนตัดสินใจว่าเหตุการณ์หนึ่งเข้าข่ายต้องแจ้งหรือไม่ ใครเป็นคนติดต่อลูกค้าที่ได้รับผลกระทบ และจะสื่อสารอย่างไรให้ลูกค้าเข้าใจสถานการณ์โดยไม่ตื่นตระหนกเกินจริง การซ้อมแผนด้วยสถานการณ์จำลอง เช่น ไฟล์ใบสั่งแพทย์หลุดจากบัญชีพนักงานที่ถูกแฮก จะช่วยให้ทีมเห็นช่องโหว่ของกระบวนการจริงก่อนที่จะเกิดเหตุขึ้นจริง

ขั้นตอนที่ 6: กำหนดระยะเวลาเก็บรักษาที่เหมาะกับข้อมูลสุขภาพ

นโยบายเก็บข้อมูลคำสั่งซื้อทั่วไปของร้าน (เช่น เก็บ 5 ปีตามหลักฐานทางบัญชี) ไม่ควรถูกใช้เป็นระยะเวลาเก็บข้อมูลอาการหรือประวัติแพ้ยาโดยอัตโนมัติ ทีมควรพิจารณาแยกว่าข้อมูลสุขภาพจำเป็นต้องเก็บนานเท่านั้นจริงหรือไม่ หรือควรลบ/ทำให้ไม่สามารถระบุตัวตนได้เร็วกว่าข้อมูลคำสั่งซื้อทั่วไป โดยเฉพาะถ้าลูกค้าไม่ได้ซื้อซ้ำและไม่ได้ยินยอมให้เก็บไว้เพื่อวัตถุประสงค์อื่น

ตัวอย่างที่ใช้ได้จริงคือกำหนดให้ข้อมูลอาการในแบบสอบถามแนะนำสินค้าถูกลบหรือ anonymize ภายใน 12 เดือนหลังจากลูกค้ารายนั้นไม่มีการสั่งซื้อซ้ำ เว้นแต่ลูกค้าจะยินยอมให้เก็บไว้นานกว่านั้นเพื่อความสะดวกในการสั่งซื้อครั้งถัดไป ส่วนไฟล์ใบสั่งแพทย์ที่เกี่ยวข้องกับสินค้าควบคุม อาจต้องเก็บตามระยะเวลาที่กฎหมายด้านยาหรือสถานพยาบาลกำหนดไว้เป็นการเฉพาะ ซึ่งอาจนานกว่าข้อมูลอาการทั่วไป

ข้อผิดพลาดที่พบบ่อยของร้านค้าออนไลน์ด้านสุขภาพ

• ใช้ checkbox ยินยอมเดียวกันกับเงื่อนไขการใช้งานทั่วไป แทนที่จะแยกความยินยอมสำหรับข้อมูลอ่อนไหว
• ให้ทีมการตลาดเข้าถึงข้อมูลอาการของลูกค้าเพื่อทำ retargeting โดยไม่ได้ขอบเขตความยินยอมที่ครอบคลุม
• ไม่มีข้อตกลงประมวลผลข้อมูลกับผู้ให้บริการ telehealth หรือแชตบอตที่ฝังอยู่ในเว็บ
• เก็บภาพใบสั่งแพทย์หรือผลตรวจไว้ในอีเมลหรือไดรฟ์ส่วนตัวของพนักงาน แทนที่จะเก็บในระบบที่มีการควบคุมสิทธิ์
• ใช้ระยะเวลาเก็บข้อมูลคำสั่งซื้อทั่วไปกับข้อมูลอาการ โดยไม่ทบทวนว่าจำเป็นต้องเก็บนานขนาดนั้นหรือไม่

สรุป: สิ่งที่ร้านค้าออนไลน์ด้านสุขภาพต้องทำต่างจากร้านค้าทั่วไป

ร้านค้าออนไลน์ที่แตะข้อมูลสุขภาพต้องมองข้อมูลชุดนี้เป็นข้อมูลอ่อนไหว ไม่ใช่ข้อมูลลูกค้าทั่วไป ตั้งแต่การขอความยินยอมแบบชัดแจ้งแยกต่างหาก การจำกัดสิทธิ์เข้าถึงเฉพาะทีมที่จำเป็น การทำสัญญากับผู้ให้บริการภายนอกให้ครอบคลุม ไปจนถึงการเตรียมแผนแจ้งเหตุและกำหนดระยะเวลาเก็บข้อมูลให้เหมาะสมกับความเสี่ยง มาตรการเหล่านี้ช่วยลดความเสี่ยงลงได้มาก แต่ความเสี่ยงตกค้างจากการที่มนุษย์เป็นผู้กรอกและดูแลระบบยังคงมีอยู่เสมอ จึงต้องทบทวนเป็นรอบอย่างสม่ำเสมอ ไม่ใช่ทำครั้งเดียวแล้วจบ

แหล่งข้อมูลอ้างอิงและการติดตามความเปลี่ยนแปลง

ทีมควรติดตามแนวปฏิบัติและประกาศจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) อย่างสม่ำเสมอ เนื่องจากแนวทางเรื่องข้อมูลสุขภาพในธุรกิจ e-commerce ยังมีรายละเอียดที่อาจปรับปรุงเพิ่มเติม การอ้างอิงจากแหล่งทางการโดยตรงจะช่วยให้ร้านปรับนโยบายภายในให้สอดคล้องได้ทันเวลา ดูรายการตรวจสอบเพิ่มเติมได้ที่ เช็กลิสต์ PDPA สำหรับธุรกิจสุขภาพในร้านค้าออนไลน์ และแนวทางตรวจสอบเป็นรอบที่ คู่มือตรวจสอบ PDPA สำหรับธุรกิจสุขภาพ รวมถึงภาพรวมทั้งหมวดที่ ศูนย์ความรู้ Business, Industry & SEO