PDPA คลินิก : เช็กลิสต์เอกสารและระบบที่ DPO ต้องมี
เมื่อคลินิกทางการแพทย์มีการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) สิ่งที่ผู้บริหารต้องคำนึงถึงไม่ใช่เพียงการมี “ชื่อ” ของบุคคลระบุไว้ในเอกสารแต่งตั้งเท่านั้น แต่คือการจัดวางระบบบริหารจัดการข้อมูลส่วนบุคคลให้สามารถใช้งานได้จริงหน้างาน ตามที่กฎหมาย PDPA กำหนด คลินิกควรเตรียมความพร้อมใน 3 ด้านหลัก ได้แก่ เอกสารเชิงนโยบาย ระบบการรับเรื่อง และหลักฐานการทำงานของ DPO เพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลลักษณะพิเศษของคนไข้ได้รับความคุ้มครองอย่างสูงสุด และองค์กรพร้อมรับมือกับทุกสถานการณ์การตรวจสอบ
เอกสารที่คลินิกต้องมี
เพื่อความถูกต้องและปลอดภัยทางกฎหมาย คลินิกควรจัดเตรียมชุดเอกสารสำคัญที่เป็นแกนหลักในการคุ้มครองข้อมูลส่วนบุคคล ดังนี้:
- ประกาศความเป็นส่วนตัว (Privacy Notice): เอกสารชี้แจงรายละเอียดการเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคลให้คนไข้ทราบอย่างโปร่งใส พร้อมทั้งระบุช่องทางการติดต่อ DPO ตามที่มาตรา 41 กำหนดไว้อย่างชัดเจน
- บันทึกรายการประมวลผลข้อมูลส่วนบุคคล (ROPA): สมุดทะเบียนหรือฐานข้อมูลที่บันทึกกิจกรรมการประมวลผลข้อมูลทั้งหมดภายในคลินิก เช่น ข้อมูลเวชระเบียน ระบบนัดหมายคนไข้ ข้อมูลงานบุคคล และการส่งต่อข้อมูลให้แก่คู่ค้าภายนอก
- ช่องทางการติดต่อ DPO ที่เป็นทางการ: เอกสารหรือหน้าประกาศที่แสดงช่องทางติดต่อ DPO โดยเฉพาะ ซึ่งต้องนำไปแสดงไว้ในประกาศความเป็นส่วนตัวและหน้าเว็บไซต์หลักของคลินิก
- คู่มือการจัดการเหตุละเมิดข้อมูลส่วนบุคคล: คู่มือหรือขั้นตอนการปฏิบัติงานมาตรฐาน (SOP) สำหรับรับมือเมื่อเกิดเหตุข้อมูลคนไข้รั่วไหล เพื่อให้ทีมงานสามารถระงับเหตุและรายงานต่อหน่วยงานกำกับดูแลได้ทันภายในกรอบเวลา 72 ชั่วโมง
- SOP เรื่องการตอบสนองต่อสิทธิของเจ้าของข้อมูล: ขั้นตอนการรับคำขอ ตรวจสอบยืนยันตัวตนคนไข้ และกระบวนการส่งต่อข้อมูลให้ DPO เพื่อพิจารณาอนุมัติหรือปฏิเสธคำร้องขอใช้สิทธิตามมาตรา 30–36 ของกฎหมาย PDPA
- ทะเบียนรายชื่อคู่ค้าภายนอก (Vendor List): รายชื่อคู่ค้าหรือผู้ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องกับคลินิก เช่น บริษัทผู้ให้บริการระบบคลาวด์ ศูนย์แล็บวิเคราะห์โรคภายนอก หรือเอเจนซี่การตลาด เพื่อใช้ประเมินความเสี่ยงร่วมกัน
- คำสั่งแต่งตั้ง DPO อย่างเป็นทางการ: เอกสารภายในที่ลงนามโดยผู้บริหารสูงสุด เพื่อระบุขอบเขตอำนาจหน้าที่ สายการรายงานตรงต่อผู้บริหาร และช่องทางการติดต่อ DPO
ระบบหลังบ้านที่คลินิกต้องสร้างให้ใช้งานได้จริง
การจัดทำเอกสารให้ครบถ้วนอาจยังไม่เพียงพอ คลินิกจำเป็นต้องพัฒนาระบบและกลไกการทำงานเพื่อรองรับการปฏิบัติตามนโยบายเหล่านั้นด้วย:
- ช่องทางรับคำขอเฉพาะ (Data Subject Request Channel): การจัดตั้งอีเมลเฉพาะสำหรับงานคุ้มครองข้อมูล หรือลิงก์แบบฟอร์มออนไลน์ที่แยกเป็นสัดส่วน เพื่อไม่ให้คำร้องขอใช้สิทธิของคนไข้ไปปะปนกับอีเมลนัดหมายทั่วไป
- ระบบแจ้งเหตุผิดปกติภายใน (Internal Notification System) : ช่องทางด่วนที่พนักงานสามารถใช้แจ้งพฤติกรรมน่าสงสัยหรือเหตุข้อมูลรั่วไหล เช่น คอมพิวเตอร์ติดไวรัส หรือเผลอส่งรูปคนไข้ผิดกลุ่ม ให้ DPO ทราบทันที
- ศูนย์รวมคลังหลักฐานที่ปลอดภัย (Centralized Evidence) : พื้นที่จัดเก็บเอกสารทางกฎหมาย สัญญา และไฟล์บันทึกประวัติระบบ (Log) ที่มีมาตรการความปลอดภัยขั้นสูง ซึ่ง DPO สามารถเข้าถึงเพื่อการตรวจสอบความเสี่ยงได้
- ระบบติดตามสถานะคำร้อง (Tracking System) : การใช้ Log Sheet หรือระบบใบงาน (Ticket) เพื่อติดตามและควบคุมว่าคำขอใช้สิทธิของคนไข้แต่ละราย หรือเหตุการณ์ผิดปกติแต่ละเรื่อง กำลังอยู่ในขั้นตอนใดและจะเสร็จสิ้นทันตามกำหนดเวลาหรือไม่
หลักฐานการทำงานของ DPO: สิ่งสำคัญที่หลายคลินิกมักละเลย
ปัญหาที่พบบ่อยในการตรวจสอบคือ “DPO ปฏิบัติหน้าที่จริง แต่ไม่มีหลักฐานเชิงประจักษ์ยืนยัน” คลินิกจึงควรจัดเก็บเอกสารและบันทึกเหล่านี้ไว้เพื่อรองรับการตรวจประเมิน (Audit) จากหน่วยงานกำกับดูแล :
- บันทึกคำขอใช้สิทธิของเจ้าของข้อมูล (DSAR Log) : สมุดบันทึกรายละเอียดการยื่นคำขอของคนไข้ ผลการพิจารณาของ DPO และหลักฐานการตอบกลับคนไข้
- บันทึกเหตุการณ์ผิดปกติและข้อมูลรั่วไหล (Breach Log) : บันทึกข้อเท็จจริงเมื่อเกิดเหตุละเมิด มาตรการที่ใช้ระงับเหตุ และผลการประเมินความเสี่ยงของ DPO
- บันทึกรายงานการให้คำแนะนำ : เอกสารหรืออีเมลที่ DPO จัดทำขึ้นเพื่อเสนอแนะแนวทางลดความเสี่ยงหรือปรับปรุงระบบความปลอดภัยต่อผู้บริหารคลินิก
- รายงานการทบทวน ROPA และบันทึกการอบรมพนักงาน : หลักฐานการปรับปรุงทะเบียนข้อมูลให้เป็นปัจจุบัน และบันทึกรายชื่อพนักงานที่เข้าร่วมรับฟังการอบรมความรู้ PDPA ของคลินิก
ข้อผิดพลาดที่พบบ่อยในการบริหารจัดการ PDPA ในคลินิก
- มีประกาศแต่ไม่มีระบบรองรับจริง : บนเว็บไซต์ของคลินิกมีการระบุชื่อและอีเมลติดต่อ DPO แต่เมื่อคนไข้ส่งอีเมลไปสอบถามกลับไม่มีการตอบรับหรือไม่มีผู้ดูแลอีเมลนั้นจริง
- มีระบบการรับเรื่องแต่ไม่มีการบันทึก : พนักงานหน้าเคาน์เตอร์ประสานงานขอลบข้อมูลให้คนไข้ตามคำขอได้ แต่ไม่ได้ทำการจดบันทึกประวัติการดำเนินงานไว้เป็นระบบ ทำให้ไม่สามารถเรียกตรวจสอบย้อนหลังได้
- แต่งตั้ง DPO แต่ไม่เคยทำ ROPA : DPO ไม่ทราบกิจกรรมการใช้ข้อมูลทั้งหมดของสถานพยาบาล เนื่องจากไม่มีการทำทะเบียน ROPA ส่งผลให้ไม่สามารถประเมินความเสี่ยงของห่วงโซ่ข้อมูลได้อย่างรอบด้าน
- ซ้อมแผนรับมือเฉพาะบนกระดาษ : มีคู่มือการจัดการเหตุข้อมูลรั่วไหลระบุไว้อย่างดี แต่เมื่อเกิดเหตุการณ์ระบบฐานข้อมูลล่มหรือข้อมูลหลุดรอดจริง พนักงานในคลินิกกลับเกิดความสับสนและไม่ทราบขั้นตอนการรายงานเหตุ
A : จำเป็น เนื่องจากธุรกิจคลินิกทางการแพทย์เกี่ยวข้องกับการประมวลผลข้อมูลสุขภาพและประวัติการรักษาพยาบาล ซึ่งจัดเป็นข้อมูลส่วนบุคคลลักษณะพิเศษตามมาตรา 26 เป็นกิจกรรมหลักและเป็นกิจวัตรสม่ำเสมอ คลินิกจึงต้องจัดเตรียมเอกสารนโยบายและระบบงานพื้นฐานเพื่อรองรับการทำหน้าที่ของ DPO ตามมาตรา 41(3) และมาตรา 42 เพื่อความปลอดภัยทางกฎหมาย
A : พนักงานต้องปฏิบัติตามแผนเผชิญเหตุ (Incident Response Plan) โดยการแจ้งเรื่องไปยัง DPO หรือผู้รับผิดชอบระบบทันที จากนั้น DPO จะเข้ามารวบรวมข้อเท็จจริงเพื่อระงับเหตุ ประเมินระดับความรุนแรงของผลกระทบ และหากวิเคราะห์แล้วพบว่ามีความเสี่ยงที่จะกระทบต่อสิทธิของคนไข้ คลินิกมีหน้าที่ต้องรายงานเหตุละเมิดนั้นต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมง
A : ควรจัดเก็บรักษาไว้เป็นเวลาไม่น้อยกว่าระยะเวลาที่คลินิกมีหน้าที่ต้องจัดเก็บข้อมูลส่วนบุคคลประเภทนั้น ๆ ตามกฎหมายเฉพาะ เช่น จัดเก็บไว้ควบคู่กับเวชระเบียนพนักงานหรือคนไข้ หรือเก็บรักษาไว้ตามนโยบายอายุการจัดเก็บเอกสารทางกฎหมายขององค์กร (เช่น 5–10 ปี) เพื่อประโยชน์ในการใช้เป็นหลักฐานยืนยันความโปร่งใสรองรับการตรวจสอบในอนาคต
การปฏิบัติตามกฎหมาย PDPA ในธุรกิจคลินิก ไม่ใช่เพียงแค่การจัดทำใบยินยอมหรือการใส่ชื่อใครบางคนเป็น DPO ในโครงสร้างองค์กรเท่านั้น แต่เป็นเรื่องของ “การบริหารจัดการฐานข้อมูลอย่างมีธรรมาภิบาล” ตั้งแต่การมีเอกสารเชิงนโยบายที่ถูกต้อง การสร้างช่องทางการรับเรื่องที่ชัดเจน ไปจนถึงการเก็บหลักฐานการปฏิบัติงานของ DPO อย่างเป็นระบบ หากคลินิกของคุณจัดให้มีองค์ประกอบพื้นฐานครบถ้วนทั้ง 6 ด้าน ก็จะถือว่าได้วางรากฐานการคุ้มครองข้อมูลให้แก่คนไข้ได้อย่างแข็งแกร่งและปลอดภัยตามมาตรฐาน
เผยแพร่: 16 มิถุนายน 2569
อัปเดตล่าสุด: 16 มิถุนายน 2569
ช่องทางติดต่อ:
Facebook: PDPA Thailand
Line OA: @pdpathailand
Email: [email protected]
Website: www.pdpathailand.com
