เช็กลิสต์ PDPA สำหรับธุรกิจสุขภาพ สำหรับเว็บไซต์ธุรกิจทั่วไปและ SME: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เช้าวันจันทร์ที่คลินิกกายภาพบำบัดขนาดเล็กย่านลาดพร้าว พนักงานต้อนรับเปิดสเปรดชีตนัดหมายขึ้นมาแล้วพบว่าไฟล์นี้ตั้งค่าแชร์แบบ "ใครมีลิงก์ก็เข้าดูได้" มานานกว่าแปดเดือน ข้างในมีชื่อ เบอร์โทร เลขบัตรประชาชน และอาการป่วยของคนไข้กว่าสี่ร้อยคน เจ้าของคลินิกไม่เคยรู้มาก่อนว่านี่คือข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามกฎหมาย PDPA ซึ่งต้องดูแลเข้มงวดกว่าข้อมูลทั่วไปมาก เหตุการณ์แบบนี้เกิดขึ้นซ้ำ ๆ กับธุรกิจสุขภาพขนาดเล็กที่ไม่มีทีมกฎหมายหรือ IT ประจำ เช็กลิสต์นี้เขียนขึ้นสำหรับเจ้าของกิจการและผู้ดูแลเว็บไซต์ที่ต้องทำเองแทบทุกอย่าง ตั้งแต่ตอบแชท ดูแลเว็บ ไปจนถึงจัดการข้อมูลคนไข้ในแต่ละวัน

ทำไมธุรกิจสุขภาพต้องระวังข้อมูลมากกว่าธุรกิจทั่วไป

ข้อมูลสุขภาพ ประวัติการรักษา และผลตรวจของคนไข้ ถูกจัดเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Personal Data) ตามมาตรา 26 ของ PDPA ซึ่งต่างจากข้อมูลทั่วไปอย่างชื่อหรืออีเมล เพราะกฎหมายกำหนดให้ต้องได้รับความยินยอมโดยชัดแจ้ง (Explicit Consent) แยกออกจากการยินยอมรับเงื่อนไขการใช้งานทั่วไป และต้องมีมาตรการดูแลรักษาความปลอดภัยที่รัดกุมกว่าเดิม คลินิก ร้านนวดเพื่อสุขภาพ สปา ร้านขายยา หรือศูนย์กายภาพบำบัดขนาดเล็ก มักไม่รู้ตัวว่าแบบฟอร์มนัดหมายออนไลน์หรือแบบสอบถามอาการก่อนเข้ารับบริการ ก็เข้าข่ายข้อมูลอ่อนไหวเช่นกัน นอกจากนี้ผู้ที่เข้าเว็บไซต์ธุรกิจสุขภาพหลายคนกำลังค้นหาข้อมูลเกี่ยวกับอาการเจ็บป่วยของตนเองอยู่ พฤติกรรมการเข้าชมหน้าเว็บบางหน้าจึงสามารถบ่งชี้ถึงภาวะสุขภาพได้โดยอ้อม ซึ่งเป็นอีกจุดที่เจ้าของกิจการมักมองข้ามเมื่อพูดถึงเรื่องคุกกี้และการติดตามผลบนเว็บไซต์

คุกกี้และการติดตามผลบนเว็บไซต์ธุรกิจสุขภาพ

เว็บไซต์คลินิกจำนวนมากติดตั้งปุ่มแชท พิกเซลโฆษณา หรือสคริปต์วัดผลการตลาดโดยไม่ได้ตรวจสอบว่าเครื่องมือเหล่านี้ส่งข้อมูลพฤติกรรมผู้เข้าชมไปยังบริษัทภายนอกหรือไม่ หากหน้าเว็บที่ผู้ใช้เข้าชมระบุอาการหรือบริการเฉพาะทาง เช่น หน้าคลินิกรักษาสิว หน้าปรึกษาปัญหาสุขภาพจิต การส่งข้อมูลพฤติกรรมเหล่านี้ให้แพลตฟอร์มโฆษณาโดยไม่แจ้งผู้ใช้ก่อนอาจกลายเป็นความเสี่ยงที่มากกว่าที่คิด เจ้าของกิจการควรตรวจแบนเนอร์คุกกี้ว่าให้ผู้ใช้เลือกปฏิเสธคุกกี้ที่ไม่จำเป็นได้จริง ไม่ใช่มีแค่ปุ่มยอมรับปุ่มเดียว และควรปิดการติดตามในหน้าที่เกี่ยวข้องกับอาการเฉพาะทางที่มีความอ่อนไหวสูง

กรณีตัวอย่าง: เมื่อคลินิกนำข้อมูลคนไข้ไปใช้ทำการตลาด

คลินิกบางแห่งนำเบอร์โทรและอีเมลของคนไข้เก่าไปส่ง SMS หรืออีเมลโปรโมชันโดยอัตโนมัติ โดยไม่ได้แยกความยินยอมสำหรับการใช้ข้อมูลเพื่อการรักษาออกจากความยินยอมเพื่อการตลาด ความยินยอมสองวัตถุประสงค์นี้ต้องแยกจากกันอย่างชัดเจน คนไข้ควรมีสิทธิ์เลือกรับเฉพาะการแจ้งเตือนนัดหมายโดยไม่ต้องรับข่าวโปรโมชัน และควรมีลิงก์หรือช่องทางยกเลิกการรับข่าวสารที่ทำได้ง่ายในทุกข้อความที่ส่งออกไป

เช็กลิสต์ 9 ข้อที่ต้องตรวจก่อนเปิดใช้งานเว็บไซต์หรือระบบนัดหมาย

กลุ่มที่ 1 — ข้อมูลที่เว็บไซต์เก็บจากคนไข้

เริ่มจากสำรวจว่าเว็บไซต์หรือระบบนัดหมายของกิจการเก็บข้อมูลอะไรบ้าง เพราะจุดนี้คือรากฐานของทุกขั้นตอนถัดไป

• แบบฟอร์มนัดหมายออนไลน์เก็บชื่อ เบอร์โทร และอาการเบื้องต้นหรือไม่
• แบบสอบถามสุขภาพก่อนเข้ารับบริการ (เช่น โรคประจำตัว ยาที่แพ้) ถูกเก็บไว้ที่ไหน
• มีการอัปโหลดไฟล์แนบ เช่น ผลตรวจหรือใบส่งตัวหรือไม่
• ระบบชำระเงินล่วงหน้าเก็บข้อมูลบัตรเครดิตของลูกค้าไว้เองหรือส่งต่อผู้ให้บริการชำระเงิน

กลุ่มที่ 2 — ความยินยอมและประกาศความเป็นส่วนตัว

• มีช่องติ๊กยินยอมสำหรับข้อมูลสุขภาพแยกจากการกดสมัครหรือกดจองคิว
• ประกาศความเป็นส่วนตัว (Privacy Notice) เขียนด้วยภาษาที่คนไข้ทั่วไปอ่านเข้าใจ ไม่ใช้ศัพท์กฎหมายล้วน
• ระบุวัตถุประสงค์ชัดเจนว่าเก็บข้อมูลไปทำอะไร เช่น เพื่อนัดหมายและติดตามอาการ
• มีช่องทางให้เพิกถอนความยินยอมที่ทำได้จริง ไม่ใช่แค่ระบุไว้ในเอกสารเฉย ๆ

กลุ่มที่ 3 — การส่งต่อข้อมูลให้บุคคลที่สาม

• ระบบนัดหมายแบบ SaaS ที่ใช้อยู่เก็บข้อมูลไว้ที่เซิร์ฟเวอร์ประเทศไหน
• ห้องแล็บภายนอกหรือคลินิกพันธมิตรมีข้อตกลงประมวลผลข้อมูลส่วนบุคคลร่วมกันหรือยัง
• พนักงานส่งประวัติคนไข้ผ่านไลน์ส่วนตัวหรือกลุ่มแชทที่ไม่ได้ควบคุมสิทธิ์การเข้าถึงหรือไม่

กลุ่มที่ 4 — ความปลอดภัยและการเก็บรักษา

• จำกัดสิทธิ์เข้าถึงแฟ้มคนไข้เฉพาะพนักงานที่เกี่ยวข้องกับงานนั้นจริง ๆ
• ตั้งรหัสผ่านของระบบนัดหมายและอีเมลให้รัดกุม ไม่ใช้รหัสเดียวกันซ้ำหลายระบบ
• สำรองข้อมูลและพิจารณาเข้ารหัสไฟล์ที่มีข้อมูลสุขภาพ โดยเฉพาะไฟล์ที่แชร์ผ่านคลาวด์
• กำหนดระยะเวลาการเก็บข้อมูลและลบเมื่อพ้นความจำเป็นทางธุรกิจ ไม่เก็บไว้ตลอดไปโดยไม่มีเหตุผล

กลุ่มที่ 5 — สิทธิของคนไข้และการเตรียมพนักงาน

• มีช่องทางให้คนไข้ขอเข้าถึง แก้ไข หรือขอให้ลบข้อมูลของตนเองได้
• พนักงานหน้าเคาน์เตอร์เข้าใจว่าห้ามเปิดเผยชื่อหรืออาการของคนไข้ในที่ที่คนอื่นได้ยิน
• มีผู้รับผิดชอบดูแลคำร้องที่เกี่ยวกับข้อมูลส่วนบุคคล แม้กิจการจะยังไม่เข้าเกณฑ์ต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ตามกฎหมาย

ตาราง Evidence ที่ควรเก็บไว้เป็นหลักฐาน

ข้อผิดพลาดที่พบบ่อยของธุรกิจสุขภาพขนาดเล็ก

จากการตรวจสอบเว็บไซต์และระบบของธุรกิจสุขภาพขนาดเล็กหลายแห่ง ข้อผิดพลาดที่พบซ้ำ ๆ มักไม่ได้ซับซ้อนแต่เกิดจากความเคยชิน เช่น การใช้สเปรดชีตหรือกลุ่มไลน์เก็บประวัติคนไข้แบบเปิดกว้างเกินไป การคิดไปเองว่ากิจการขนาดเล็กไม่จำเป็นต้องทำตามกฎหมายเพราะมีคนไข้ไม่มาก การให้พนักงานทุกคนเข้าถึงข้อมูลคนไข้ได้หมดโดยไม่จำกัดสิทธิ์ตามหน้าที่ การขอความยินยอมโดยไม่บอกวัตถุประสงค์ที่ชัดเจน และการลืมทบทวนสัญญากับผู้ให้บริการระบบนัดหมายภายนอกเมื่อมีการอัปเดตฟีเจอร์ใหม่ ๆ

เริ่มต้นแบบง่ายสำหรับกิจการที่งบจำกัด

กิจการที่มีพนักงานไม่กี่คนไม่จำเป็นต้องซื้อซอฟต์แวร์แพง ๆ เพื่อทำตามเช็กลิสต์นี้ทั้งหมดในคราวเดียว ขั้นแรกที่ทำได้ทันทีโดยไม่มีค่าใช้จ่ายคือปิดสิทธิ์การแชร์ไฟล์ประวัติคนไข้แบบเปิดสาธารณะ เปลี่ยนเป็นแชร์เฉพาะบุคคลที่เกี่ยวข้อง เขียนประกาศความเป็นส่วนตัวสั้น ๆ ด้วยภาษาที่คนไข้อ่านเข้าใจ และกำหนดให้พนักงานหนึ่งคนเป็นผู้รับผิดชอบหลักเรื่องคำร้องขอข้อมูล เมื่อทำสามข้อนี้เสร็จแล้วจึงค่อยขยับไปดูเรื่องสัญญากับผู้ให้บริการภายนอกและการเข้ารหัสไฟล์ในลำดับถัดไป การทยอยทำทีละขั้นแบบนี้เหมาะกับกิจการที่มีเวลาและงบประมาณจำกัดมากกว่าการพยายามทำทุกอย่างพร้อมกัน

สรุปเช็กลิสต์ PDPA สำหรับธุรกิจสุขภาพ SME

สำหรับเจ้าของกิจการและผู้ดูแลเว็บไซต์ธุรกิจสุขภาพขนาดเล็ก การตรวจทั้ง 5 กลุ่มนี้อย่างสม่ำเสมอ ช่วยลดความเสี่ยงจากเหตุการณ์ข้อมูลรั่วไหลโดยไม่ตั้งใจได้มาก ไม่จำเป็นต้องมีทีมกฎหมายขนาดใหญ่ แค่มีรายการตรวจที่ทำซ้ำได้และมีคนรับผิดชอบชัดเจนก็เพียงพอสำหรับจุดเริ่มต้น หากต้องการขั้นตอนแบบละเอียดเป็นลำดับ สามารถอ่านต่อได้ที่ คู่มือขั้นตอนทำ PDPA สำหรับธุรกิจสุขภาพแบบ SME หรือดูภาพรวมทั้งหมดของกลุ่มนี้ได้ที่ คู่มือภาพรวม PDPA สำหรับธุรกิจสุขภาพ SME และติดตามการเปลี่ยนแปลงล่าสุดได้ที่ อัปเดต PDPA สำหรับธุรกิจสุขภาพ ปี 2026

แหล่งข้อมูลอ้างอิง

เนื้อหาในเช็กลิสต์นี้อ้างอิงหลักการทั่วไปจากพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และแนวทางที่เผยแพร่โดยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นข้อมูลเพื่อการศึกษาเบื้องต้นเท่านั้น ไม่ใช่คำแนะนำทางกฎหมาย กิจการควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายหรือ PDPC โดยตรงเมื่อมีกรณีเฉพาะเจาะจง

ดูข้อมูลฉบับเต็มได้ที่เว็บไซต์ทางการของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (pdpc.or.th)