4 จุดเสี่ยง PDPA ในคลินิกที่มักถูกมองข้าม
ปัญหาสำคัญที่สถานพยาบาลมักถูกคนไข้ร้องเรียน หากจัดการข้อมูลไม่รัดกุม
1. การคุยเคสและส่งภาพผ่าน LINE / LINE OA
การให้คนไข้ส่งรูปประเมินเคสหรืออาการใน LINE ที่พนักงานหลายคนเข้าถึงได้ หรือการแคปภาพหน้าจอส่งต่อในกลุ่ม LINE โดยไม่มีการเข้ารหัสหรือควบคุมสิทธิ์ เสี่ยงต่อการละเมิดข้อมูลสุขภาพ (ม.26)
2. ภาพ Before & After รีวิวผลการรักษา
การนำภาพก่อน-หลังทำของคนไข้ไปโพสต์ลง Social Media เพื่อโฆษณา โดยไม่ได้ทำหนังสือยินยอมเป็นลายลักษณ์อักษรที่ระบุวัตถุประสงค์ชัดเจน หรือคนไข้ขอถอนความยินยอมภายหลัง
3. เวชระเบียนบนโปรแกรมคลินิก (Cloud) หรือ Excel
การใช้โปรแกรมบริหารคลินิกที่จัดเก็บบน Cloud แต่ไม่มีสัญญา Data Processing Agreement (DPA ม.40) หรือแอดมินทุกคนใช้ User/Password เดียวกันในการล็อกอินเข้าดูประวัติการรักษา
4. กล้องวงจรปิด (CCTV) ในจุดรับบริการ
การติดกล้อง CCTV หน้าร้านหรือจุดตรวจโดยไม่มีป้ายเตือน CCTV Notice และไม่มีประกาศความเป็นส่วนตัว หรือมุมกล้องส่องเห็นหน้าจอคอมพิวเตอร์ที่แสดงประวัติคนไข้
คำถามที่พบบ่อยสำหรับคลินิก (Healthcare FAQ)
Q: คลินิกเดี่ยว หรือคลินิกขนาดเล็ก จำเป็นต้องปฏิบัติตาม PDPA หรือไม่? ▼
จำเป็นครับ: กฎหมาย PDPA ไม่มีข้อยกเว้นเรื่องขนาดธุรกิจ โดยเฉพาะคลินิกมีการประมวลผล "ข้อมูลสุขภาพ ประวัติการรักษา และประวัติการแพ้ยา" ซึ่งถือเป็น ข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data ตามมาตรา 26) ซึ่งมีโทษปรับทางปกครองสูงสุดถึง 5 ล้านบาท และมีโทษทางอาญา
Q: การโพสต์ภาพ Before-After รีวิวเคส ต้องขอความยินยอมอย่างไรให้ถูกต้อง? ▼
ต้องทำเป็นหนังสือหรือข้อความอิเล็กทรอนิกส์ที่ แยกออกจากเอกสารยินยอมรับการรักษาโดยเด็ดขาด (Unbundled Consent) โดยระบุชัดเจนว่าจะนำไปเผยแพร่ที่ช่องทางใดบ้าง (เช่น เพจ Facebook, เว็บไซต์) และต้องแจ้งสิทธิว่าคนไข้สามารถขอถอนความยินยอมเพื่อขอลบภาพได้ในภายหลัง
Q: คลินิกต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล (DPO) หรือไม่? ▼
หากคลินิกมีการประมวลผลข้อมูลสุขภาพเป็นกิจกรรมหลัก และมีปริมาณข้อมูลคนไข้เป็นจำนวนมาก เข้าข่ายตามมาตรา 41(2) ของ PDPA จะต้องจัดให้มี DPO ซึ่งกฎหมายอนุญาตให้สามารถใช้บริการ Outsourced DPO (ผู้เชี่ยวชาญจากภายนอก) ได้ ช่วยลดภาระค่าใช้จ่ายในการจ้างบุคลากรประจำ
Q: คนไข้มาขอลบประวัติการรักษา (OPD Card) คลินิกลบให้ทันทีได้หรือไม่? ▼
ยังลบไม่ได้ทันทีครับ: ตาม พ.ร.บ. สถานพยาบาล คลินิกมีหน้าที่ตามกฎหมายที่ต้องเก็บรักษาเวชระเบียนไว้อย่างน้อย 5 ปี ดังนั้นคลินิกสามารถใช้ข้อยกเว้นตามมาตรา 33 แห่ง PDPA ปฏิเสธการขอลบเวชระเบียนได้ แต่ต้องทำหนังสือชี้แจงเหตุผลทางกฎหมายให้คนไข้ทราบอย่างเป็นทางการ
4 จุดเสี่ยง PDPA ในสถานศึกษาและสถาบันกวดวิชา
จุดที่ครูและฝ่ายทะเบียนมักปฏิบัติแบบเดิมจนอาจนำไปสู่ข้อพิพาทกับผู้ปกครอง
1. การเก็บข้อมูลเด็กและประวัติสุขภาพ
เก็บข้อมูลผู้เยาว์ ข้อมูลแพ้อาหาร ข้อมูลยาประจำตัวในห้องพยาบาล หรือการสแกนใบหน้าเพื่อเช็คชื่อ โดยไม่มีหนังสือยินยอมจากผู้ปกครองตามเกณฑ์อายุ (ม.20 และ ม.26)
2. การถ่ายภาพกิจกรรมและการโปรโมท
โพสต์ภาพนักเรียนทำกิจกรรมลงหน้าเพจสาธารณะของโรงเรียน หรือนำภาพผลงานนักเรียนไปใช้โฆษณาคอร์สเรียนโดยไม่เปิดโอกาสให้ผู้ปกครองเลือก Opt-out
3. การประกาศผลสอบที่มีข้อมูลระบุตัวตน
การอัปโหลดไฟล์ PDF ผลการเรียนหรือรายชื่อผู้สอบติด ที่แสดงเลขประจำตัวประชาชน 13 หลัก ชื่อ-นามสกุล และผลคะแนนขึ้นบนเว็บไซต์โดยไม่มีการเข้ารหัสหรือปกปิดข้อมูล
4. สัญญาคู่ค้ากับระบบ LMS และ Cloud
การใช้งานระบบบริหารสถานศึกษา, แพลตฟอร์มคอร์สออนไลน์ หรือจ้างรถตู้รับ-ส่งนักเรียน โดยไม่มีการทำสัญญา Data Processing Agreement (DPA ม.40) กำกับ
คำถามที่พบบ่อยสำหรับสถานศึกษา (Education FAQ)
Q: การเก็บข้อมูลของเด็กและผู้เยาว์ ต้องขอความยินยอมจากใครตามมาตรา 20? ▼
ตาม PDPA มาตรา 20 แบ่งเกณฑ์ดังนี้:
- อายุไม่เกิน 10 ปี: ต้องได้รับความยินยอมจาก ผู้ใช้อำนาจปกครองเท่านั้น
- อายุเกิน 10 ปี แต่ไม่เกิน 20 ปี: หากเป็นการให้ความยินยอมในเรื่องที่ผู้เยาว์ให้เองได้ตาม ป.พ.พ. ผู้เยาว์ให้เองได้ แต่หากเป็นเรื่องสำคัญหรือมีผลผูกพัน ต้องได้รับความยินยอมร่วมจาก ผู้ใช้อำนาจปกครองด้วย
Q: โรงเรียนสามารถโพสต์ภาพกิจกรรมนักเรียนลงเพจ Facebook ได้หรือไม่? ▼
สามารถทำได้ภายใต้ ฐานประโยชน์อันชอบธรรม (Legitimate Interest) หากเป็นภาพบรรยากาศรวม ไม่เน้นเจาะจงใบหน้าเด็กคนใดคนหนึ่ง แต่ต้องจัดทำแบบแจ้ง Privacy Notice ให้ผู้ปกครองทราบล่วงหน้าในคู่มือนักเรียน และมีช่องทางให้ผู้ปกครองแจ้งความประสงค์ขอลบภาพ (Opt-out) ได้โดยสะดวก
Q: การประกาศรายชื่อนักเรียนที่สอบผ่านหรือผลคะแนน ควรทำอย่างไรไม่ให้ผิดกฎหมาย? ▼
ควรหลีกเลี่ยงการเผยแพร่ไฟล์สาธารณะที่ระบุเลขบัตรประชาชนครบ 13 หลักร่วมกับผลสอบ แนะนำให้ใช้การเข้ารหัสดูผลสอบเฉพาะรายบุคคล (Personal Login) หรือหากจำเป็นต้องติดบอร์ดประกาศ ให้แสดงเฉพาะรหัสประจำตัวสอบ หรือปิดบังเลขบัตรประชาชนบางส่วน (เช่น 1-1004-xxxxx-xx-x)
Q: การสแกนใบหน้าเพื่อบันทึกเวลาเรียน หรือการเปิดกล้องคุมสอบออนไลน์ ผิด PDPA หรือไม่? ▼
ข้อมูลภาพใบหน้าสำหรับการระบุตัวตนถือเป็น ข้อมูลชีวภาพ (Biometric Data ม.26) ซึ่งเป็น Sensitive Data ต้องขอความยินยอมโดยชัดแจ้ง และโรงเรียน ต้องมีทางเลือกอื่นรองรับ เช่น การแตะบัตรนักเรียน สำหรับนักเรียนหรือผู้ปกครองที่ไม่ยินยอมให้สแกนใบหน้า
ต้องการวางระบบเอกสารและแนวปฏิบัติที่ถูกต้องให้หน่วยงาน?
รับคำปรึกษาและออกแบบระบบ PDPA เฉพาะทาง โดยผู้เชี่ยวชาญ ICDL & TPQI Level 7