PDPA กับเว็บไซต์คลินิก: สิ่งที่เจ้าของคลินิกต้องรู้ก่อนเปิดเว็บ

ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (อ้างอิง: สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) ซึ่งมีผลบังคับใช้เต็มรูปแบบในประเทศไทยตั้งแต่ปี 2565 ส่งผลกระทบโดยตรงกับธุรกิจทุกประเภทที่เก็บข้อมูลส่วนบุคคล แต่สำหรับ คลินิกและสถานพยาบาล ผลกระทบนี้หนักกว่าธุรกิจทั่วไปหลายเท่า เพราะข้อมูลที่คลินิกเก็บส่วนใหญ่เป็น ข้อมูลอ่อนไหว (Sensitive Personal Data) ตามมาตรา 26 ของ PDPA ไม่ว่าจะเป็นประวัติการรักษา ผลตรวจเลือด หรือภาพถ่ายก่อน-หลังทำหัตถการ ข้อมูลเหล่านี้ต้องได้รับ ความยินยอมอย่างชัดแจ้ง (Explicit Consent) จากเจ้าของข้อมูลก่อนจึงจะเก็บรวบรวมได้ ถ้าคลินิกของคุณมีเว็บไซต์หรือกำลังจะเปิดเว็บ บทความนี้จะสรุปทุกสิ่งที่ต้องรู้เกี่ยวกับ PDPA กับเว็บไซต์คลินิก ตั้งแต่ข้อมูลที่คลินิกเก็บ สิ่งที่กฎหมายกำหนด เช็คลิสต์ 10 ข้อ ไปจนถึงความเสี่ยงและโทษปรับ

ข้อมูลอะไรบ้างที่คลินิกเก็บผ่านเว็บไซต์

เจ้าของคลินิกหลายท่านอาจไม่ทันสังเกตว่าเว็บไซต์ของตัวเองเก็บข้อมูลส่วนบุคคลมากแค่ไหน มาลองดูกันว่ามีข้อมูลอะไรบ้าง:

• •ข้อมูลทั่วไป (General Personal Data) — ชื่อ-นามสกุล, เบอร์โทรศัพท์, อีเมล, LINE ID ที่ผู้ป่วยกรอกในฟอร์มนัดหมายหรือฟอร์มติดต่อ
• •ข้อมูลสุขภาพ (Health Data) — ประวัติการรักษา, อาการที่ปรึกษาผ่านแบบฟอร์มออนไลน์, ผลตรวจที่ส่งผ่านระบบ ข้อมูลเหล่านี้จัดเป็น Sensitive Data ตาม PDPA ต้องขอ Explicit Consent
• •ภาพถ่ายก่อน-หลัง (Before-After Photos) — ภาพถ่ายใบหน้าหรือร่างกายของผู้ป่วยที่ใช้โชว์บนเว็บไซต์ ถือเป็น Biometric Data + Health Data ต้องได้รับความยินยอมเป็นลายลักษณ์อักษร
• •ข้อมูลการเงิน — ข้อมูลบัตรเครดิต/เดบิตที่ชำระค่าบริการออนไลน์ หมายเลขบัญชีธนาคาร
• •ข้อมูลจาก Cookie — พฤติกรรมการเข้าชมเว็บไซต์, หน้าที่ดู, ระยะเวลาที่อยู่ในแต่ละหน้า, IP Address ข้อมูลเหล่านี้ถูกเก็บโดย Google Analytics หรือ Facebook Pixel โดยอัตโนมัติ

PDPA กำหนดอะไรกับเว็บไซต์คลินิก

กฎหมาย PDPA กำหนดหน้าที่หลายประการสำหรับเว็บไซต์ที่เก็บข้อมูลส่วนบุคคล สำหรับคลินิกที่มีเว็บไซต์ ต้องดำเนินการดังนี้:

1. 1.Cookie Consent Banner — เว็บไซต์ต้องแสดงแบนเนอร์ขอความยินยอมก่อนวาง Cookie ที่ไม่จำเป็น (เช่น Analytics, Marketing Cookie) ผู้ใช้ต้องสามารถเลือกยอมรับหรือปฏิเสธแต่ละประเภทได้
2. 2.Privacy Policy Page — ต้องมีหน้านโยบายความเป็นส่วนตัวที่อธิบายชัดเจนว่าเก็บข้อมูลอะไร เก็บไว้นานแค่ไหน ใช้ทำอะไร ส่งต่อให้ใคร เขียนเป็นภาษาไทยที่เข้าใจง่าย
3. 3.สิทธิของเจ้าของข้อมูล (Data Subject Rights) — ผู้ป่วยมีสิทธิ์ขอดู แก้ไข ลบ หรือขอสำเนาข้อมูลของตัวเอง เว็บไซต์ต้องมีช่องทางให้ใช้สิทธิ์เหล่านี้ได้ เช่น ฟอร์มขอใช้สิทธิ์ หรืออีเมลสำหรับติดต่อ
4. 4.Data Retention Policy — กำหนดระยะเวลาจัดเก็บข้อมูลอย่างชัดเจน เช่น ข้อมูลนัดหมายเก็บ 2 ปี ข้อมูลการรักษาเก็บ 10 ปีตามกฎหมายสถานพยาบาล เมื่อครบกำหนดต้องลบ
5. 5.Data Protection Officer (DPO) — คลินิกที่เก็บข้อมูลสุขภาพจำนวนมากอาจต้องแต่งตั้ง DPO เพื่อดูแลการปฏิบัติตาม PDPA โดยเฉพาะ

เช็คลิสต์ 10 ข้อ PDPA สำหรับเว็บไซต์คลินิก

ใช้เช็คลิสต์นี้ตรวจสอบว่าเว็บไซต์คลินิกของคุณพร้อมรับมือ PDPA หรือยัง: (อ่านเพิ่มเติม: เว็บไซต์คลินิกที่ดีต้องมีอะไรบ้าง? เช็คลิสต์ 15 ข้อ)

1. 1.SSL Certificate (HTTPS) — เว็บไซต์ต้องใช้ HTTPS เท่านั้น เพื่อเข้ารหัสข้อมูลระหว่างเบราว์เซอร์ของผู้ใช้กับ Server ถ้ายังเป็น HTTP อยู่ ข้อมูลที่ผู้ป่วยกรอกถูกดักจับได้ง่าย
2. 2.Cookie Consent Banner — ติดตั้ง Banner ที่รองรับการเลือกยอมรับ/ปฏิเสธ Cookie แต่ละประเภท ไม่ใช่แค่ปุ่ม "ยอมรับทั้งหมด" อย่างเดียว แนะนำ Tool เช่น CookieYes หรือ Cookiebot
3. 3.หน้า Privacy Policy ภาษาไทย — เขียนนโยบายความเป็นส่วนตัวเป็นภาษาไทยที่เข้าใจง่าย ระบุข้อมูลที่เก็บ วัตถุประสงค์ ระยะเวลา และช่องทางติดต่อ DPO หรือผู้รับผิดชอบ
4. 4.Consent Checkbox ในฟอร์ม — ทุกฟอร์มที่เก็บข้อมูล (นัดหมาย, ปรึกษา, สมัครสมาชิก) ต้องมี Checkbox ให้ผู้ใช้ยินยอมก่อนส่ง โดย Checkbox ต้องไม่ถูกติ๊กไว้ล่วงหน้า (No pre-ticked boxes)
5. 5.Consent สำหรับภาพก่อน-หลัง — ถ้าใช้ภาพ Before-After บนเว็บไซต์ ต้องมีเอกสารยินยอมจากผู้ป่วยที่ระบุชัดเจนว่าอนุญาตให้ใช้ภาพเพื่อการตลาดบนเว็บไซต์ เก็บเอกสารยินยอมไว้เป็นหลักฐาน
6. 6.เข้ารหัสข้อมูลการชำระเงิน — ถ้ารับชำระเงินออนไลน์ ต้องใช้ Payment Gateway ที่ได้มาตรฐาน PCI DSS อย่าเก็บข้อมูลบัตรเครดิตใน Database ของเว็บไซต์เอง ใช้บริการเช่น Stripe หรือ Omise แทน
7. 7.Access Control สำหรับ Admin — จำกัดสิทธิ์การเข้าถึงข้อมูลผู้ป่วยใน Backend ไม่ใช่ทุกคนในคลินิกเข้าถึงข้อมูลทุกอย่าง ใช้ Role-based Access Control (RBAC) กำหนดว่าใครดูอะไรได้
8. 8.Data Backup Policy — สำรองข้อมูลอย่างสม่ำเสมอ เข้ารหัส Backup ด้วย เก็บ Backup แยกจาก Server หลัก มี Recovery Plan ที่ทดสอบแล้วว่าใช้งานได้จริง
9. 9.Breach Notification Plan — เตรียมแผนแจ้งเตือนกรณีข้อมูลรั่วไหล PDPA กำหนดให้แจ้ง สคส. (สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) ภายใน 72 ชั่วโมง หลังทราบเหตุ ถ้าเสี่ยงกระทบสิทธิ์ผู้ป่วยต้องแจ้งเจ้าของข้อมูลด้วย
10. 10.ตรวจสอบประจำปี (Regular Audit) — ทบทวนนโยบายและแนวปฏิบัติ PDPA อย่างน้อยปีละ 1 ครั้ง ตรวจสอบว่า Cookie Consent ทำงานถูกต้อง Privacy Policy อัปเดตล่าสุด และ Plugin ทุกตัวยังปลอดภัย

ความเสี่ยงถ้าไม่ทำตาม PDPA

เจ้าของคลินิกบางท่านอาจคิดว่า PDPA เป็นแค่กฎหมายใหม่ที่ยังไม่มีใครบังคับใช้จริง แต่ความจริงแล้ว สคส. เริ่มดำเนินการกับผู้ละเมิดแล้ว และโทษที่กำหนดไว้มีทั้งโทษแพ่ง โทษอาญา และโทษปกครอง:

• •โทษปรับทางปกครอง — สูงสุด 5 ล้านบาท ต่อการกระทำความผิดหนึ่งครั้ง โดยเฉพาะกรณีเก็บ Sensitive Data โดยไม่ได้รับ Explicit Consent
• •โทษทางแพ่ง — เจ้าของข้อมูลฟ้องเรียกค่าเสียหายได้ ศาลสั่งชดเชยค่าเสียหายจริง + ค่าเสียหายเชิงลงโทษได้สูงสุด 2 เท่า ของค่าเสียหายจริง
• •โทษทางอาญา — จำคุกสูงสุด 1 ปี หรือปรับสูงสุด 1 ล้านบาท หรือทั้งจำทั้งปรับ สำหรับกรณีเปิดเผยข้อมูล Sensitive Data โดยไม่ได้รับอนุญาต
• •เสียชื่อเสียงและความน่าเชื่อถือ — ถ้าข่าวรั่วไหลข้อมูลผู้ป่วยออกไป ความเสียหายต่อชื่อเสียงคลินิกมีมูลค่ามากกว่าค่าปรับเสียอีก ผู้ป่วยปัจจุบันอาจย้ายคลินิก ผู้ป่วยใหม่ไม่กล้ามา
• •ถูกร้องเรียนต่อ สคส. — ผู้ป่วยคนเดียวก็ร้องเรียนได้ โดยไม่ต้องเสียค่าใช้จ่าย และ สคส. ต้องตรวจสอบทุกกรณี ถ้าคลินิกไม่มีหลักฐานการขอ Consent หรือไม่มี Privacy Policy จะเสียเปรียบทันที

CherCode ช่วยสร้างเว็บคลินิก PDPA-Ready ได้อย่างไร

CherCode เข้าใจว่าเจ้าของคลินิกส่วนใหญ่ไม่ได้เป็นผู้เชี่ยวชาญด้านกฎหมายหรือ IT เราจึงออกแบบบริการรับทำเว็บไซต์คลินิกที่ PDPA-ready ตั้งแต่วันแรก โดยไม่ต้องจ้างที่ปรึกษาเพิ่ม:

• •SSL Certificate ฟรีตลอดอายุเว็บ — ทุกเว็บไซต์ที่เราทำใช้ HTTPS เป็นค่าเริ่มต้น ไม่มีค่าใช้จ่ายเพิ่ม
• •Cookie Consent Banner สำเร็จรูป — ติดตั้ง Cookie Consent ที่รองรับการเลือกประเภท Cookie ได้ พร้อมบันทึก Log ว่าผู้ใช้ยินยอมเมื่อไหร่
• •Privacy Policy Template ภาษาไทย — จัดเตรียม Template นโยบายความเป็นส่วนตัวที่ปรับให้เข้ากับธุรกิจคลินิกโดยเฉพาะ ครอบคลุมข้อมูลสุขภาพและภาพถ่ายก่อน-หลัง
• •Secure Forms พร้อม Consent Checkbox — ทุกฟอร์มบนเว็บมี Consent Checkbox ที่ถูกต้องตามกฎหมาย ข้อมูลถูกส่งผ่าน HTTPS และเข้ารหัสก่อนจัดเก็บ
• •Admin Panel พร้อม RBAC — ระบบจัดการหลังบ้านที่กำหนดสิทธิ์ได้ว่าพนักงานแต่ละคนดูข้อมูลอะไรได้บ้าง
• •สร้างด้วย Next.js ไม่ใช่ WordPress — เว็บที่สร้างด้วย Next.js มีช่องโหว่น้อยกว่า WordPress หลายเท่า ไม่มี Plugin ที่อัปเดตไม่ทันเป็นจุดอ่อนด้านความปลอดภัย

คำถามที่พบบ่อย (FAQ)

รวมคำถามที่เจ้าของคลินิกถามบ่อยเกี่ยวกับ PDPA กับเว็บไซต์:

• •Q: คลินิกเล็กๆ ต้องทำตาม PDPA ด้วยไหม? — ต้องทำเหมือนกัน PDPA บังคับใช้กับองค์กรทุกขนาดที่เก็บข้อมูลส่วนบุคคล ไม่มีข้อยกเว้นสำหรับธุรกิจขนาดเล็ก
• •Q: ใช้ WordPress แล้วติด Plugin PDPA ได้เลยไหม? — ได้ในระดับหนึ่ง แต่ Plugin ส่วนใหญ่ครอบคลุมแค่ Cookie Consent เรื่อง Secure Forms, Access Control และ Data Retention ต้องจัดการแยก และต้องอัปเดต Plugin สม่ำเสมอเพราะ Plugin ที่ล้าสมัยเป็นช่องโหว่อันดับ 1 ของ WordPress
• •Q: ภาพ Before-After ที่โพสต์ไปแล้วก่อน PDPA ต้องลบไหม? — ถ้าไม่มีเอกสารยินยอมจากผู้ป่วย ควรลบหรือขอ Consent ย้อนหลัง เพราะถ้าผู้ป่วยร้องเรียน คลินิกจะไม่มีหลักฐานว่าได้รับอนุญาต
• •Q: PDPA กับ HIPAA ต่างกันอย่างไร? — HIPAA เป็นกฎหมายของสหรัฐฯ ที่เน้นข้อมูลสุขภาพโดยเฉพาะ PDPA เป็นกฎหมายไทยที่ครอบคลุมข้อมูลส่วนบุคคลทุกประเภท แต่มีมาตราเฉพาะสำหรับ Sensitive Data รวมถึงข้อมูลสุขภาพ โทษปรับของ PDPA อาจไม่สูงเท่า HIPAA แต่สำหรับธุรกิจไทย 5 ล้านบาทก็ไม่ใช่จำนวนเล็กๆ