PDPA สำหรับธุรกิจสุขภาพ คืออะไร? คู่มือสำหรับเว็บไซต์ธุรกิจทั่วไปและ SME

คลินิกเล็กๆ แห่งหนึ่งเปิดฟอร์มจองคิวออนไลน์บนเว็บไซต์ ให้คนไข้กรอกชื่อ เบอร์โทร อาการเบื้องต้น และประวัติแพ้ยา แล้วส่งเข้า LINE OA ของแอดมิน 1 คนที่ดูแลทั้งนัดหมายและตอบแชท เจ้าของกิจการไม่เคยรู้มาก่อนว่าข้อมูล "อาการ" และ "ประวัติแพ้ยา" ที่พิมพ์ในฟอร์มนั้นคือข้อมูลสุขภาพที่กฎหมาย PDPA จัดเป็นข้อมูลอ่อนไหว ต้องขอความยินยอมแบบเฉพาะเจาะจง ไม่ใช่แค่ติ๊กถูกยอมรับเงื่อนไขทั่วไปเหมือนเว็บขายของ นี่คือจุดเริ่มต้นของปัญหาที่ธุรกิจสุขภาพขนาดเล็กแทบทุกแห่งเจอเหมือนกัน คือทำเว็บไซต์และระบบนัดหมายไปก่อน แล้วค่อยมาคิดเรื่องความเป็นส่วนตัวทีหลัง

PDPA สำหรับธุรกิจสุขภาพคืออะไร กระทบเว็บไซต์ SME อย่างไร

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล หรือ PDPA ใช้กับธุรกิจสุขภาพทุกขนาด ไม่ใช่แค่โรงพยาบาลใหญ่ ไม่ว่าจะเป็นคลินิกความงาม คลินิกทันตกรรม ร้านยา ศูนย์กายภาพบำบัด หรือแอปนัดหมอขนาดเล็ก ถ้าเว็บไซต์มีฟอร์มกรอกข้อมูล มีแชทบอท หรือมีระบบเก็บประวัติคนไข้ ก็ต้องปฏิบัติตามกฎหมายนี้เหมือนกัน สำหรับเจ้าของกิจการที่ไม่มีทีมกฎหมายหรือทีม IT แยกต่างหาก สิ่งที่ต้องรู้คือกฎหมายไม่ได้บังคับให้ต้องมีระบบซับซ้อนเท่าโรงพยาบาล แต่บังคับให้ต้อง "รู้ว่าเก็บอะไร เก็บทำไม และดูแลอย่างไร" ให้สอดคล้องกับความเสี่ยงของข้อมูลที่ถืออยู่จริง

เว็บไซต์ธุรกิจสุขภาพขนาดเล็กมักมีจุดเสี่ยงที่มองข้ามได้ง่าย เพราะทีมงานมีไม่กี่คน คนทำเว็บอาจเป็นเจ้าของเอง หรือจ้างฟรีแลนซ์ทำแล้วจบโปรเจกต์ไป ไม่มีใครติดตามต่อว่าฟอร์มที่ติดตั้งไว้เก็บข้อมูลอะไรบ้าง และข้อมูลเหล่านั้นไหลไปที่ไหน คู่มือนี้จะพาดูทีละขั้นแบบที่ผู้ดูแลเว็บไซต์คนเดียวก็ทำตามได้ ไม่ต้องมีงบจ้างที่ปรึกษากฎหมายราคาแพง

ทำไมข้อมูลสุขภาพถึงเป็น "ข้อมูลอ่อนไหว" ที่กฎหมายเข้มงวดกว่าข้อมูลทั่วไป

PDPA แบ่งข้อมูลส่วนบุคคลเป็นสองระดับ คือข้อมูลทั่วไป เช่น ชื่อ อีเมล เบอร์โทร กับข้อมูลอ่อนไหวตามมาตรา 26 ซึ่งรวมข้อมูลสุขภาพ ประวัติการรักษา ผลตรวจ ความพิการ และพันธุกรรมไว้ด้วย ข้อมูลกลุ่มนี้กฎหมายกำหนดให้ต้องขอความยินยอมแบบชัดแจ้ง หรือ Explicit Consent แยกต่างหากจากความยินยอมทั่วไป จะใช้วิธีติ๊กช่องเดียวรวมทุกอย่างแบบที่เว็บขายของทั่วไปทำไม่ได้ และหากเก็บข้อมูลกลุ่มนี้โดยไม่มีฐานทางกฎหมายรองรับ ความเสี่ยงต่อการถูกร้องเรียนหรือถูกตรวจสอบก็สูงกว่าข้อมูลทั่วไปมาก

สำหรับ SME ธุรกิจสุขภาพ จุดที่ต้องแยกให้ออกคือ "ข้อมูลที่จำเป็นต่อการรักษา" กับ "ข้อมูลที่เก็บเพิ่มเพื่อการตลาด" เช่น แบบสอบถามก่อนทำทรีตเมนต์ที่ถามเรื่องโรคประจำตัวเป็นข้อมูลจำเป็น แต่การเก็บเบอร์โทรและอาการไปใช้ยิงโฆษณาซ้ำเป็นอีกวัตถุประสงค์หนึ่งที่ต้องขอความยินยอมเพิ่ม แยกจากกันให้ชัดตั้งแต่ตอนออกแบบฟอร์ม จะช่วยลดความยุ่งยากตอนต้องอธิบายให้คนไข้ฟังในภายหลังได้มาก

5 จุดในเว็บไซต์ธุรกิจสุขภาพที่มักเก็บข้อมูลโดยไม่รู้ตัว

• ฟอร์มจองคิว/นัดหมาย — มักมีช่องกรอกอาการเบื้องต้นหรือเหตุผลที่มาพบแพทย์ ซึ่งเข้าข่ายข้อมูลสุขภาพทันที
• แบบสอบถามคัดกรองก่อนทำหัตถการ — ถามโรคประจำตัว ยาที่แพ้ ประวัติการผ่าตัด เป็นข้อมูลอ่อนไหวที่ต้องเก็บแยกและจำกัดคนเข้าถึง
• แชท LINE OA หรือ Messenger — บทสนทนาที่คนไข้พิมพ์อาการเข้ามาเองถือเป็นข้อมูลสุขภาพ ต้องมีนโยบายว่าเก็บนานแค่ไหนและใครอ่านได้บ้าง
• ระบบอัปโหลดเอกสารเคลมค่ารักษา — ไฟล์ใบรับรองแพทย์หรือเอกสารเบิกจ่ายที่คนไข้แนบเข้ามาทางเว็บ มักถูกเก็บไว้ในโฟลเดอร์ที่ไม่มีการจำกัดสิทธิ์การเข้าถึง
• Pixel และ Cookie บนหน้าจองคิว — เครื่องมือติดตามโฆษณาที่ติดตั้งไว้บนหน้าฟอร์มสุขภาพ อาจส่งข้อมูลพฤติกรรมที่เชื่อมโยงกับความสนใจด้านสุขภาพไปยังแพลตฟอร์มโฆษณาโดยไม่ได้ตั้งใจ

ขั้นตอนเริ่มต้นทำ PDPA สำหรับธุรกิจสุขภาพขนาดเล็ก โดยไม่ต้องมีทีมกฎหมาย

ขั้นที่ 1: ทำ Data Mapping อย่างง่าย

เริ่มจากเขียนออกมาเป็นตารางสั้นๆ ว่าเว็บไซต์เก็บข้อมูลอะไรบ้าง จากช่องทางไหน เก็บไว้ที่ไหน (เช่น Google Sheet, ระบบจองคิว, LINE OA) และใครในทีมเข้าถึงได้ ใช้เวลาไม่เกินครึ่งวันสำหรับธุรกิจขนาดเล็กที่มีฟอร์มไม่กี่แบบ ขั้นตอนนี้ทำให้เห็นภาพรวมก่อนไปแก้ไขจุดอื่น

ขั้นที่ 2: ปรับฟอร์มขอความยินยอมให้ตรงจุด

แยกช่องยินยอมเป็นสองส่วน คือยินยอมให้เก็บข้อมูลเพื่อการรักษา/นัดหมาย และยินยอมให้ใช้ข้อมูลเพื่อการตลาดหรือส่งข่าวสาร ห้ามรวมเป็นข้อเดียวแล้วให้ติ๊กผ่านแบบเร่งรีบ เพราะข้อมูลสุขภาพต้องมีการยินยอมแบบชัดแจ้งแยกต่างหากตามที่กล่าวไปข้างต้น

ขั้นที่ 3: เขียนนโยบายความเป็นส่วนตัวที่คนอ่านเข้าใจจริง

หลีกเลี่ยงการก็อปปี้นโยบายจากเว็บอื่นมาแปะทั้งดุ้น เพราะรายละเอียดของข้อมูลที่เก็บ วัตถุประสงค์ และระยะเวลาการเก็บของแต่ละธุรกิจไม่เหมือนกัน ให้เขียนสั้น กระชับ ระบุประเภทข้อมูลสุขภาพที่เก็บจริง ช่องทางติดต่อเพื่อขอใช้สิทธิ และวันที่ปรับปรุงล่าสุด

ขั้นที่ 4: วางระบบตอบสิทธิเจ้าของข้อมูล

คนไข้มีสิทธิขอเข้าถึง แก้ไข หรือขอให้ลบข้อมูลของตัวเองได้ SME ควรกำหนดว่าใครในทีมเป็นผู้รับคำร้อง ช่องทางไหน (อีเมลหรือ LINE) และตอบกลับภายในกี่วัน แม้จะเป็นทีมเล็กก็ทำได้ถ้ากำหนดขั้นตอนไว้ล่วงหน้าเป็นลายลักษณ์อักษร

ขั้นที่ 5: เก็บ Evidence ไว้พิสูจน์ทีหลัง

เก็บหลักฐานว่าเคยขอความยินยอมจากใคร เมื่อไร ด้วยข้อความแบบไหน เช่น สกรีนช็อตฟอร์ม, log วันที่กดยินยอม, หรือไฟล์บันทึกเวอร์ชันของนโยบายความเป็นส่วนตัว หลักฐานเหล่านี้คือสิ่งที่ช่วยอธิบายกับคนไข้หรือหน่วยงานกำกับดูแลได้ว่าธุรกิจดำเนินการอย่างมีระบบ

เอกสารและ Evidence ที่ธุรกิจสุขภาพขนาดเล็กควรมีเก็บไว้

• บันทึกความยินยอม (Consent Log) แยกตามประเภทข้อมูลสุขภาพและการตลาด
• ประวัติเวอร์ชันของนโยบายความเป็นส่วนตัว พร้อมวันที่แก้ไข
• รายชื่อผู้รับผิดชอบเมื่อมีคำร้องขอใช้สิทธิของคนไข้เข้ามา
• ตารางระยะเวลาการเก็บและลบข้อมูล เช่น ลบแบบสอบถามคัดกรองหลังพ้นระยะเวลาที่กำหนด
• แบบฟอร์มบันทึกเหตุการณ์ข้อมูลรั่วไหลเบื้องต้น แม้ยังไม่เคยเกิดเหตุจริงก็ควรเตรียมไว้ก่อน

งบประมาณและเวลาที่ SME ธุรกิจสุขภาพควรกันไว้

ธุรกิจสุขภาพขนาดเล็กไม่จำเป็นต้องจ้างที่ปรึกษาราคาแพงตั้งแต่วันแรก จุดเริ่มต้นที่คุ้มค่าที่สุดคือให้เจ้าของหรือผู้ดูแลเว็บไซต์ใช้เวลาสัก 2-3 วันทำ Data Mapping และปรับฟอร์มยินยอมด้วยตัวเองตามขั้นตอนข้างต้น ส่วนการเขียนนโยบายความเป็นส่วนตัวและการตรวจสอบฐานทางกฎหมายที่ซับซ้อนกว่า เช่น กรณีมีการส่งข้อมูลคนไข้ให้บริษัทประกันภายนอก ค่อยพิจารณาปรึกษาผู้เชี่ยวชาญเฉพาะจุดที่มีความเสี่ยงสูงจริงๆ แทนที่จะทำทั้งระบบใหม่ทั้งหมดในคราวเดียว

ตัวอย่างจากธุรกิจสุขภาพแต่ละประเภทที่พบบ่อย

คลินิกความงามและคลินิกทันตกรรม

คลินิกกลุ่มนี้มักมีแบบสอบถามก่อนทำทรีตเมนต์ที่ถามประวัติแพ้ยา โรคผิวหนัง หรือการตั้งครรภ์ ซึ่งเป็นข้อมูลอ่อนไหวระดับสูง เว็บไซต์จำนวนมากยังใช้ Google Form ฝังไว้ในหน้าเว็บโดยไม่มีการแจ้งวัตถุประสงค์ หรือเก็บคำตอบไว้ในสเปรดชีตที่แชร์ให้พนักงานทุกคนดูได้ จุดนี้ควรแก้ก่อนเป็นลำดับแรก เพราะเกี่ยวข้องกับข้อมูลร่างกายโดยตรง

ร้านยาและร้านขายอุปกรณ์การแพทย์

ร้านยาขนาดเล็กที่เปิดให้สั่งซื้อผ่านเว็บไซต์หรือ LINE OA มักเก็บรายการยาที่ลูกค้าสั่งซื้อ ซึ่งบอกใบ้ถึงอาการหรือโรคประจำตัวได้ทางอ้อม ควรระวังการนำประวัติการสั่งซื้อไปใช้ทำการตลาดโดยไม่ได้แยกขอความยินยอมเฉพาะ เพราะถือเป็นการนำข้อมูลอ่อนไหวไปใช้นอกวัตถุประสงค์เดิม

ศูนย์กายภาพบำบัดและคลินิกเวชศาสตร์ฟื้นฟู

ธุรกิจกลุ่มนี้มักมีเอกสารประเมินอาการและแผนการรักษาต่อเนื่องหลายครั้ง ทำให้มีข้อมูลสะสมของคนไข้แต่ละรายจำนวนมากในระบบนัดหมาย ควรกำหนดให้ชัดว่าเก็บประวัติเหล่านี้ไว้นานเท่าไรหลังคนไข้เลิกมารับบริการ แทนที่จะเก็บไว้ถาวรโดยไม่มีกำหนด

ตารางสรุปฐานทางกฎหมายและระยะเวลาจัดเก็บที่ SME ธุรกิจสุขภาพควรใช้อ้างอิง

เชื่อมต่อกับคู่มืออื่นในชุด PDPA สำหรับธุรกิจสุขภาพ

คู่มือนี้เป็นจุดเริ่มต้นภาพรวม สำหรับรายละเอียดเชิงลึกในแต่ละขั้นตอน สามารถอ่านต่อได้จากคู่มือชุดเดียวกันด้านล่าง

• วิธีทำ PDPA สำหรับธุรกิจสุขภาพ แบบทีละขั้นตอน
• เช็กลิสต์ PDPA สำหรับธุรกิจสุขภาพ ก่อนเปิดใช้งานเว็บไซต์
• วิธี Audit PDPA สำหรับธุรกิจสุขภาพ พร้อม Evidence
• อัปเดตความเปลี่ยนแปลง PDPA สำหรับธุรกิจสุขภาพ ปี 2026
• ศูนย์รวมความรู้ Business, Industry & SEO

ข้อผิดพลาดที่พบบ่อยเมื่อธุรกิจสุขภาพขนาดเล็กทำ PDPA

• รวมช่องยินยอมข้อมูลสุขภาพกับข้อมูลการตลาดไว้ในติ๊กเดียว ทำให้ขอบเขตความยินยอมไม่ชัดเจน
• ก็อปปี้นโยบายความเป็นส่วนตัวจากเว็บอื่นมาใช้ทั้งหมดโดยไม่ได้ปรับให้ตรงกับข้อมูลที่เก็บจริง
• ปล่อยให้แชท LINE OA เก็บประวัติอาการคนไข้ไว้ไม่มีกำหนด โดยไม่มีนโยบายลบหรือจำกัดสิทธิ์การเข้าถึง
• ไม่มีใครในทีมรับผิดชอบเมื่อคนไข้ขอใช้สิทธิ ทำให้คำร้องหายไปหรือไม่ได้รับการตอบกลับ
• ติดตั้ง Pixel โฆษณาบนหน้าฟอร์มคัดกรองสุขภาพโดยไม่ตรวจสอบว่าส่งข้อมูลอะไรออกไปบ้าง

สรุป

PDPA สำหรับธุรกิจสุขภาพไม่ใช่เรื่องที่ต้องรอให้มีทีมกฎหมายหรืองบก้อนใหญ่ก่อนถึงจะเริ่มได้ จุดเริ่มต้นที่ใช้ได้จริงสำหรับ SME คือทำ Data Mapping แยกความยินยอมข้อมูลสุขภาพออกจากการตลาด เขียนนโยบายที่ตรงกับสิ่งที่เก็บจริง และเก็บหลักฐานไว้อธิบายได้เมื่อจำเป็น เริ่มจากจุดเสี่ยงที่กระทบคนไข้มากที่สุดก่อน แล้วค่อยขยายไปทีละส่วนตามกำลังของทีม

แหล่งข้อมูลอ้างอิง

ข้อมูลในคู่มือนี้อ้างอิงหลักการทั่วไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โปรดตรวจสอบประกาศและแนวปฏิบัติล่าสุดที่ เว็บไซต์ PDPC ประกอบการตัดสินใจ เนื่องจากแนวปฏิบัติอาจมีการปรับปรุงเป็นระยะ