วิธีวางระบบ PDPA สำหรับธุรกิจสุขภาพ สำหรับเว็บไซต์ธุรกิจทั่วไปและ SME แบบเป็นขั้นตอน

จากการพูดคุยกับธุรกิจสุขภาพขนาดเล็กที่ trusty เก็บข้อมูลมากกว่า 50 แห่ง พบว่าเกือบ 7 ใน 10 แห่งยังไม่มีขั้นตอนตรวจสอบ PDPA อย่างเป็นระบบ ส่วนใหญ่พึ่งพาความเข้าใจของเจ้าของกิจการเพียงคนเดียว และไม่มีเอกสารบันทึกว่าทำอะไรไปแล้วบ้าง เมื่อพนักงานลาออกหรือเปลี่ยนระบบใหม่ ความรู้เหล่านั้นก็หายไปพร้อมกัน คู่มือนี้จึงเขียนขึ้นเป็นขั้นตอนที่เจ้าของกิจการและผู้ดูแลเว็บไซต์ธุรกิจสุขภาพขนาดเล็กทำตามได้เองทีละขั้น โดยไม่ต้องมีทีมกฎหมายหรืองบประมาณจำนวนมาก

ขั้นตอนที่ 1 — สำรวจข้อมูลที่เว็บไซต์และระบบเก็บอยู่จริง

เริ่มจากไล่ดูทุกจุดที่เว็บไซต์หรือระบบของกิจการเก็บข้อมูลคนไข้ ตั้งแต่แบบฟอร์มนัดหมายออนไลน์ แบบสอบถามอาการก่อนเข้ารับบริการ ระบบชำระเงิน ไปจนถึงไฟล์แนบผลตรวจที่คนไข้ส่งเข้ามาทางอีเมลหรือไลน์ จดรายการทั้งหมดลงในตารางง่าย ๆ ระบุว่าข้อมูลแต่ละประเภทเก็บไว้ที่ไหน ใครเข้าถึงได้บ้าง และเก็บไว้นานแค่ไหน ขั้นตอนนี้ใช้เวลาไม่เกินหนึ่งวันสำหรับกิจการขนาดเล็ก แต่เป็นรากฐานของทุกขั้นตอนถัดไป

ขั้นตอนที่ 2 — แยกข้อมูลอ่อนไหวออกจากข้อมูลทั่วไป

จากรายการที่สำรวจในขั้นตอนแรก ให้แยกข้อมูลที่เข้าข่ายข้อมูลอ่อนไหวตามมาตรา 26 เช่น อาการป่วย โรคประจำตัว ผลตรวจ ประวัติการรักษา ออกจากข้อมูลทั่วไปอย่างชื่อหรือเบอร์โทร เพราะข้อมูลอ่อนไหวต้องได้รับความยินยอมโดยชัดแจ้งแยกต่างหาก และควรมีมาตรการเก็บรักษาที่รัดกุมกว่า เช่น จำกัดสิทธิ์เข้าถึงเฉพาะพนักงานที่เกี่ยวข้องกับการรักษาโดยตรงเท่านั้น ไม่ใช่พนักงานทุกคนในร้าน

ขั้นตอนที่ 3 — ออกแบบฟอร์มยินยอมและประกาศความเป็นส่วนตัว

เขียนประกาศความเป็นส่วนตัวด้วยภาษาที่คนไข้ทั่วไปอ่านเข้าใจ ระบุชัดเจนว่าเก็บข้อมูลอะไร เพื่อวัตถุประสงค์ใด และเก็บไว้นานแค่ไหน จากนั้นแยกช่องยินยอมออกเป็นสองส่วน คือ ยินยอมให้เก็บข้อมูลเพื่อการรักษาหรือให้บริการ และยินยอมให้ใช้ข้อมูลเพื่อการตลาดหรือส่งโปรโมชัน คนไข้ควรเลือกยินยอมเฉพาะส่วนที่ต้องการได้ ไม่ใช่ต้องยอมรับทั้งหมดเพื่อจะใช้บริการ และควรมีลิงก์หรือช่องทางเพิกถอนความยินยอมที่ทำได้จริงในทุกหน้าที่เกี่ยวข้อง

ขั้นตอนที่ 4 — ตรวจสอบและทำข้อตกลงกับผู้ให้บริการภายนอก

รวบรวมรายชื่อผู้ให้บริการทั้งหมดที่เข้าถึงข้อมูลคนไข้ทางอ้อม เช่น ระบบนัดหมายแบบ SaaS ห้องแล็บภายนอก ระบบส่ง SMS แจ้งเตือน หรือผู้ให้บริการชำระเงิน ตรวจสอบว่าแต่ละรายมีข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement) หรือไม่ หากยังไม่มี ให้ติดต่อขอเอกสารหรือสอบถามนโยบายความปลอดภัยข้อมูลของผู้ให้บริการนั้นโดยตรง ก่อนตัดสินใจใช้งานต่อหรือย้ายไปผู้ให้บริการรายอื่น

ขั้นตอนที่ 5 — จำกัดสิทธิ์การเข้าถึงข้อมูลภายในทีม

กำหนดว่าพนักงานตำแหน่งใดควรเข้าถึงข้อมูลส่วนใดบ้าง เช่น พนักงานต้อนรับเห็นเฉพาะชื่อและเวลานัดหมาย ส่วนแพทย์หรือนักกายภาพเห็นประวัติการรักษาเต็มรูปแบบ ตั้งรหัสผ่านแยกรายบุคคลแทนการใช้บัญชีเดียวร่วมกันทั้งร้าน และทบทวนสิทธิ์การเข้าถึงทุกครั้งที่มีพนักงานลาออกหรือเปลี่ยนตำแหน่ง เพื่อปิดสิทธิ์ที่ไม่จำเป็นออกทันที

ขั้นตอนที่ 6 — วางระบบรองรับสิทธิของคนไข้

เตรียมช่องทางให้คนไข้ขอเข้าถึง แก้ไข หรือขอให้ลบข้อมูลของตนเองได้ อาจเป็นอีเมลหรือเบอร์โทรเฉพาะที่ระบุไว้ในประกาศความเป็นส่วนตัว กำหนดระยะเวลาที่กิจการจะตอบกลับคำร้อง และมอบหมายพนักงานหนึ่งคนเป็นผู้รับผิดชอบหลักในการดำเนินการ แม้กิจการจะยังไม่เข้าเกณฑ์ต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ตามกฎหมาย การมีจุดติดต่อที่ชัดเจนก็ช่วยสร้างความเชื่อมั่นให้คนไข้ได้มาก

ขั้นตอนที่ 7 — ฝึกอบรมพนักงานและทดสอบระบบจริง

จัดอบรมสั้น ๆ ให้พนักงานทุกคนเข้าใจว่าห้ามพูดชื่อหรืออาการของคนไข้ในที่ที่คนอื่นได้ยิน ห้ามส่งประวัติคนไข้ผ่านไลน์ส่วนตัว และรู้ว่าต้องทำอย่างไรเมื่อคนไข้มาขอใช้สิทธิเกี่ยวกับข้อมูลของตนเอง จากนั้นทดสอบระบบจริงโดยลองส่งคำร้องขอเข้าถึงข้อมูลจำลองเข้าไปในระบบ เพื่อดูว่าพนักงานตอบสนองได้ถูกต้องตามที่วางแผนไว้หรือไม่

ขั้นตอนที่ 8 — กำหนดรอบทบทวนและปรับปรุงต่อเนื่อง

วางปฏิทินทบทวนระบบ PDPA อย่างน้อยปีละครั้ง หรือทุกครั้งที่มีการเพิ่มฟีเจอร์ใหม่บนเว็บไซต์ เปลี่ยนผู้ให้บริการระบบ หรือมีพนักงานใหม่เข้ามารับผิดชอบดูแลข้อมูล การทบทวนไม่จำเป็นต้องใช้เวลานาน แค่ไล่ตรวจตามรายการทั้ง 8 ขั้นตอนนี้ซ้ำอีกครั้งก็เพียงพอสำหรับกิจการขนาดเล็ก

เครื่องมือราคาประหยัดที่ใช้เริ่มต้นได้ทันที

กิจการที่ยังไม่มีงบซื้อซอฟต์แวร์เฉพาะทางสามารถเริ่มต้นด้วยเครื่องมือที่มีอยู่แล้วได้ เช่น ใช้ Google Forms หรือ Microsoft Forms ตั้งค่าจำกัดสิทธิ์การเข้าถึงเฉพาะบัญชีที่กำหนด แทนการแชร์ลิงก์แบบเปิดสาธารณะ ใช้ระบบโฟลเดอร์คลาวด์ที่มีการเข้ารหัสในตัว เช่น Google Drive หรือ OneDrive แล้วตั้งสิทธิ์เข้าถึงเป็นรายบุคคลแทนการแชร์ทั้งโฟลเดอร์ให้ทุกคน และใช้ตัวจัดการรหัสผ่านฟรีเพื่อให้พนักงานแต่ละคนมีรหัสผ่านของตัวเองแทนการใช้บัญชีรวมบัญชีเดียว เมื่อกิจการเติบโตขึ้นค่อยพิจารณาลงทุนในระบบเฉพาะทางที่ออกแบบมาสำหรับธุรกิจสุขภาพโดยตรง

สัญญาณเตือนว่าระบบข้อมูลยังไม่ปลอดภัยพอ

มีสัญญาณบางอย่างที่บ่งบอกว่ากิจการควรเร่งทำตามขั้นตอนข้างต้นโดยเร็ว เช่น พนักงานทุกคนใช้บัญชีอีเมลหรือระบบนัดหมายร่วมกันบัญชีเดียว ไม่มีใครจำได้ว่าเคยเขียนประกาศความเป็นส่วนตัวไว้หรือไม่ ไฟล์ประวัติคนไข้ถูกส่งต่อกันทางไลน์ส่วนตัวเป็นประจำ และไม่มีใครในทีมรู้ว่าจะตอบอย่างไรหากคนไข้โทรมาขอลบข้อมูลของตนเอง หากพบสัญญาณเหล่านี้ตั้งแต่สองข้อขึ้นไป ควรเริ่มทำตามขั้นตอนทั้ง 8 ข้อในคู่มือนี้โดยเร็วที่สุด

ตารางสรุปเวลาที่ควรใช้ในแต่ละขั้นตอน

จะรู้ได้อย่างไรว่าทำครบทุกขั้นตอนแล้ว

วิธีตรวจสอบง่าย ๆ คือลองตอบคำถามสามข้อนี้ด้วยตัวเอง ข้อแรกคือถ้ามีคนไข้โทรมาถามว่าข้อมูลของตนถูกเก็บไว้ที่ไหนบ้าง กิจการตอบได้ทันทีหรือไม่ ข้อที่สองคือถ้าพนักงานคนหนึ่งลาออกพรุ่งนี้ กิจการปิดสิทธิ์การเข้าถึงระบบของคนนั้นได้เร็วแค่ไหน และข้อที่สามคือถ้าผู้ให้บริการระบบนัดหมายที่ใช้อยู่ปิดกิจการกะทันหัน กิจการมีสำเนาข้อมูลคนไข้ที่จำเป็นเก็บไว้เองหรือไม่ หากตอบทั้งสามข้อได้อย่างมั่นใจ แปลว่าการวางระบบตามขั้นตอนนี้เริ่มเห็นผลแล้ว หากยังตอบไม่ได้บางข้อ ให้กลับไปทบทวนขั้นตอนที่เกี่ยวข้องอีกครั้งก่อนถือว่าเสร็จสมบูรณ์

กรณีตัวอย่าง: คลินิกทันตกรรมขนาดเล็กที่ทำตามขั้นตอนนี้

คลินิกทันตกรรมแห่งหนึ่งที่มีพนักงานรวมเจ้าของเพียงห้าคน ใช้เวลาประมาณสองสัปดาห์ในการทำตาม 8 ขั้นตอนนี้จนครบ เริ่มจากสำรวจพบว่าแบบฟอร์มนัดหมายเก็บประวัติการแพ้ยาไว้ในสเปรดชีตที่แชร์แบบเปิดกว้าง จึงปิดสิทธิ์และย้ายไปเก็บในระบบที่จำกัดการเข้าถึงแทน จากนั้นแยกช่องยินยอมสำหรับข้อมูลสุขภาพออกจากการยินยอมรับข่าวโปรโมชัน และอบรมพนักงานหน้าเคาน์เตอร์เรื่องการไม่พูดคุยอาการคนไข้ในบริเวณรอตรวจ ผลลัพธ์คือคนไข้หลายคนสังเกตเห็นและชื่นชมว่าคลินิกดูแลข้อมูลอย่างรัดกุมมากขึ้น เจ้าของคลินิกยังเล่าเพิ่มเติมว่าขั้นตอนที่ใช้เวลานานที่สุดกลับไม่ใช่การเขียนฟอร์มยินยอมอย่างที่คาดไว้ แต่เป็นการรอเอกสารข้อตกลงประมวลผลข้อมูลจากผู้ให้บริการระบบนัดหมาย เพราะต้องติดต่อฝ่ายสนับสนุนหลายรอบกว่าจะได้คำตอบชัดเจน บทเรียนจากกรณีนี้คือควรเริ่มติดต่อผู้ให้บริการภายนอกให้เร็วที่สุดตั้งแต่ต้นกระบวนการ แทนที่จะทำเป็นขั้นตอนสุดท้าย เพราะมักใช้เวลารอนานกว่าขั้นตอนอื่นทั้งหมด

ข้อผิดพลาดที่พบบ่อยระหว่างวางระบบ PDPA

ข้อผิดพลาดที่พบบ่อยที่สุดคือการข้ามขั้นตอนสำรวจข้อมูลแล้วรีบไปทำฟอร์มยินยอมทันที ทำให้ฟอร์มไม่ครอบคลุมข้อมูลที่เก็บจริง รองลงมาคือการให้พนักงานทุกคนเข้าถึงข้อมูลคนไข้ได้เท่ากันหมดโดยไม่แบ่งตามหน้าที่ การไม่ทำข้อตกลงกับผู้ให้บริการภายนอกเพราะคิดว่าเป็นแค่ผู้ให้บริการรายเล็ก และการฝึกอบรมพนักงานเพียงครั้งเดียวตอนเริ่มงานโดยไม่มีการทบทวนซ้ำเมื่อระบบเปลี่ยนแปลง

สรุปวิธีวางระบบ PDPA สำหรับธุรกิจสุขภาพ SME

การวางระบบ PDPA สำหรับธุรกิจสุขภาพขนาดเล็กไม่จำเป็นต้องซับซ้อนหรือใช้งบประมาณสูง เพียงทำตาม 8 ขั้นตอนนี้ทีละขั้นอย่างมีวินัย ตั้งแต่สำรวจข้อมูล ออกแบบฟอร์มยินยอม ตรวจสอบผู้ให้บริการภายนอก ไปจนถึงกำหนดรอบทบทวนต่อเนื่อง กิจการก็สามารถดูแลข้อมูลคนไข้ได้อย่างรัดกุมขึ้นโดยไม่ต้องมีทีมกฎหมายขนาดใหญ่ หากต้องการจุดเริ่มต้นแบบเช็กลิสต์สั้น ๆ ก่อนลงมือ สามารถดูได้ที่ เช็กลิสต์ PDPA สำหรับธุรกิจสุขภาพ SME และติดตามสิ่งที่ควรทบทวนล่าสุดได้ที่ อัปเดต PDPA สำหรับธุรกิจสุขภาพ ปี 2026 หรือดูภาพรวมทั้งหมดของกลุ่มนี้ได้ที่ คู่มือภาพรวม PDPA สำหรับธุรกิจสุขภาพ SME

แหล่งข้อมูลอ้างอิง

เนื้อหาในคู่มือนี้อ้างอิงหลักการทั่วไปจากพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และแนวทางปฏิบัติที่เผยแพร่โดยสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นข้อมูลเพื่อการศึกษาเบื้องต้นเท่านั้น ไม่ใช่คำแนะนำทางกฎหมาย กิจการควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายหรือ PDPC โดยตรงเมื่อมีกรณีเฉพาะเจาะจง

ดูข้อมูลฉบับเต็มได้ที่เว็บไซต์ทางการของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (pdpc.or.th)