ผู้ประกอบการหลายท่านอาจเข้าใจผิดว่าหากคลินิกยังมีขนาดเล็ก มีแพทย์รายเดียว หรือเปิดมานานแล้วยังไม่เคยมีปัญหาข้อมูลรั่วไหล ก็ไม่มีความจำเป็นต้องรีบแต่งตั้ง DPO แต่ในมุมมองของกฎหมาย PDPA ตราบใดที่ธุรกิจเกี่ยวข้องกับข้อมูลสุขภาพและการรักษาพยาบาล ความเสี่ยงเหล่านี้จะคงอยู่และพร้อมส่งผลกระทบต่อคลินิกของคุณเสมอ:

1. การขาดเจ้าภาพหลักในการกำกับดูแลข้อมูลสุขภาพ

เมื่อไม่มีการแต่งตั้ง DPO จะทำให้ภายในองค์กรขาดบุคลากรผู้เชี่ยวชาญเฉพาะทางมาคอยตรวจสอบการไหลเวียนของข้อมูล (Data Flow) ส่งผลให้เมื่อพนักงานมีการปรับเปลี่ยนขั้นตอนการทำงานหน้างาน หรือเปลี่ยนไปใช้ซอฟต์แวร์ระบบคลาวด์ใหม่ ๆ จะไม่มีใครคอยคัดกรองความปลอดภัย จนเกิดช่องโหว่ให้ข้อมูลรั่วไหลได้ง่าย

2. ความล้มเหลวในการบริหารจัดการสิทธิของคนไข้

ตามกฎหมาย PDPA คนไข้มีสิทธิขอเข้าถึง ขอสำเนาเวชระเบียน ขอแก้ไข หรือขอลบข้อมูลส่วนบุคคลของตนเองได้ หากคลินิกไม่มี DPO และไม่มีระบบรับเรื่องที่เป็นสัดส่วน พนักงานหน้าเคาน์เตอร์จะตอบคำถามไม่สม่ำเสมอ ดำเนินการล่าช้าจนเกินกรอบเวลาที่กฎหมายกำหนด และนำไปสู่การร้องเรียนต่อหน่วยงานกำกับดูแล

3. การแจ้งเหตุข้อมูลรั่วไหลไม่ทันตามกรอบเวลา 72 ชั่วโมง

เมื่อเกิดอุบัติการณ์ข้อมูลคนไข้หลุดรอด ไม่ว่าจะจากการส่งข้อความผิดกลุ่มหรือระบบคอมพิวเตอร์โดนแฮ็กแฮก  กฎหมายบังคับให้ผู้ควบคุมข้อมูลต้องรายงานเหตุต่อภาครัฐภายใน 72 ชั่วโมง การขาด DPO จะทำให้คลินิกตกอยู่ในภาวะสุญญากาศ ขาดผู้ประมวลผลข้อเท็จจริง และพลาดกรอบเวลาวิกฤตนี้ ซึ่งมีโทษปรับทางปกครองเพิ่มเติม

4. ข้อมูลส่วนบุคคลลักษณะพิเศษถูกนำไปใช้ทางการตลาดโดยไร้การควบคุม

จุดเสี่ยงที่สุดของคลินิกความงามหรือศัลยกรรมตกแต่ง คือการนำภาพถ่ายเปรียบเทียบก่อน-หลังรับบริการ (Before-After) หรือประวัติการรักษาของคนไข้ ไปยิงโฆษณา ทำรีมาร์เก็ตติงติ้ง หรือแชร์ลงใน LINE Official Account และ Facebook โดยไม่ผ่านการคัดกรองฐานกฎหมายและการขอความยินยอม (Consent) ที่ถูกต้องแยกต่างหากจากใบยินยอมการรักษาพยาบาล ซึ่งขัดต่อมาตรา 26 อย่างรุนแรง

5. การแต่งตั้งบุคคลที่มีลักษณะความขัดแย้งทางผลประโยชน์

คลินิกหลายแห่งตัดปัญหาด้วยการใส่ชื่อผู้บริหารสูงสุด ผู้จัดการคลินิก หรือหัวหน้าฝ่ายไอทีเป็น DPO เพื่อให้มีเอกสารครบ แต่ตำแหน่งเหล่านี้มีหน้าที่ประจำในการกำหนดวัตถุประสงค์และใช้วิธีประมวลผลข้อมูลคนไข้เพื่อสร้างรายได้เชิงพาณิชย์อยู่แล้ว จึงเกิดภาวะผลประโยชน์ทับซ้อน (Conflict of Interest) ไม่สามารถตรวจสอบระบบงานของตนเองได้อย่างเป็นกลางตามที่กฎหมายกำหนด

6. การเผชิญบทลงโทษปรับทางปกครองสูงสุดถึง 1 ล้านบาท

การละเลยหน้าที่ไม่แต่งตั้งเจ้าหน้าที่ DPO และไม่มีมาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคลลักษณะพิเศษที่เพียงพอ มีบทลงโทษปรับทางปกครองตามมาตรา 82 สูงสุดไม่เกิน 1,000,000 บาท ซึ่งเป็นมูลค่าความเสียหายทางตรงที่อาจส่งผลกระทบต่อสถานะทางการเงินของธุรกิจคลินิกขนาดเล็กได้ทันที

7. วิกฤตการณ์ความเชื่อมั่นและชื่อเสียงของสถานพยาบาลสั่นคลอน

นี่คือความเสี่ยงเชิงธุรกิจที่น่ากลัวที่สุด เพราะคนไข้มอบข้อมูลประวัติสุขภาพและภาพถ่ายร่างกายให้แก่คลินิกด้วยความไว้วางใจขั้นสูงสุด หากผู้รับบริการรู้สึกว่าคลินิกละเลย ขาดความเป็นมืออาชีพ หรือปล่อยให้ข้อมูลส่วนตัวรั่วไหลสู่สาธารณะ ชื่อเสียงที่แบรนด์สั่งสมมาเป็นเวลาหลายปีจะสูญสิ้นไปและยากจะกู้คืนกลับมาได้ในยุคดิจิทัล