PDPA คลินิกความงาม: เก็บข้อมูลลูกค้าอย่างไรไม่ให้ผิดกฎหมาย

บทนำ

ในปี 2568 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้สั่งปรับโรงพยาบาลเอกชนแห่งหนึ่งเป็นเงิน 1.2 ล้านบาท จากกรณีข้อมูลผู้ป่วยรั่วไหล โดยมีการลงโทษรวมในเหตุการณ์ที่เกี่ยวข้องสูงถึง 21.5 ล้านบาท*

เหตุการณ์นี้สะท้อนให้เห็นว่า สคส. เริ่มบังคับใช้กฎหมาย PDPA กับสถานพยาบาลอย่างจริงจังมากขึ้น และคลินิกความงามก็อยู่ในข่ายความเสี่ยงเดียวกัน เพราะคลินิกเก็บข้อมูลที่มีความอ่อนไหวสูงมากเป็นประจำ ทั้งข้อมูลสุขภาพ ประวัติการรักษา และภาพถ่ายร่างกายของลูกค้า

บทความนี้สรุปแนวทางปฏิบัติตาม PDPA ที่คลินิกความงามต้องรู้ ตั้งแต่ประเภทข้อมูลที่ต้องระมัดระวังเป็นพิเศษ บทลงโทษที่อาจเกิดขึ้น ไปจนถึงเช็คลิสต์สิ่งที่ต้องทำเพื่อให้สอดคล้องกับกฎหมาย

• * ข้อมูลจาก Entech Review อ้างอิงการแถลงข่าวของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ปี 2568

⚠️ บทความนี้จัดทำขึ้นเพื่อให้ข้อมูลเบื้องต้นเท่านั้น ไม่ใช่คำแนะนำทางกฎหมาย กฎหมาย PDPA มีรายละเอียดและกฎหมายลูกที่ปรับปรุงต่อเนื่อง แนะนำให้ปรึกษาผู้เชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคลสำหรับการปฏิบัติจริงของคลินิก

PDPA คืออะไร และเกี่ยวข้องกับคลินิกความงามอย่างไร

PDPA หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 เป็นกฎหมายที่กำหนดมาตรฐานการเก็บ ใช้ และเปิดเผยข้อมูลส่วนบุคคล โดยต้องได้รับความยินยอมจากเจ้าของข้อมูลก่อนเสมอ เว้นแต่มีฐานทางกฎหมายอื่นรองรับ

ตามกฎหมาย PDPA คลินิกความงามมีสถานะเป็น ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ซึ่งมีหน้าที่ตามกฎหมายหลายข้อ เพราะคลินิกเป็นผู้ตัดสินใจว่าจะเก็บข้อมูลอะไร เพื่อจุดประสงค์ใด และเก็บไว้นานเท่าไหร่*

• * อ้างอิงจาก PDPAThailand

ข้อมูลประเภทไหนที่คลินิกความงามต้องระมัดระวังเป็นพิเศษ

PDPA แบ่งข้อมูลส่วนบุคคลออกเป็น 2 ประเภท ซึ่งมีระดับการคุ้มครองต่างกัน

จุดที่คลินิกความงามมีความเสี่ยงสูงกว่าธุรกิจทั่วไป — คลินิกเก็บข้อมูล Sensitive PII เป็นจำนวนมากและสม่ำเสมอ ทั้งประวัติการรักษา ผลข้างเคียง รูปถ่ายก่อน-หลัง treatment และข้อมูลแพ้ยา ซึ่งล้วนต้องขอความยินยอมแบบชัดแจ้งเป็นพิเศษ*

• * อ้างอิงจาก PDPAThailand

บทลงโทษที่คลินิกต้องเผชิญหากไม่ปฏิบัติตาม PDPA

กฎหมาย PDPA มีบทลงโทษ 3 ประเภทที่แยกจากกัน และสามารถเกิดขึ้นพร้อมกันได้

• * ตัวเลขอ้างอิงจาก T-Reg และสำนักงานกิจการยุติธรรม อัตราโทษอาจมีการปรับเปลี่ยน แนะนำให้ตรวจสอบกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยตรง

เช็คลิสต์: คลินิกต้องทำอะไรเพื่อให้สอดคล้องกับ PDPA

1. จัดทำ Privacy Policy และ Consent Form ที่ชัดเจน

ต้องแจ้งวัตถุประสงค์การเก็บข้อมูลให้ลูกค้าทราบก่อนเก็บข้อมูลทุกครั้ง โดยเฉพาะแบบฟอร์มประวัติสุขภาพ (Medical History Form) ต้องมีช่องให้ลูกค้ายินยอมแบบชัดแจ้งแยกจากการยินยอมรับบริการทั่วไป

2. แต่งตั้งผู้รับผิดชอบด้านข้อมูล (DPO)

คลินิกที่มีการประมวลผลข้อมูลอ่อนไหวจำนวนมากเป็นประจำ ควรมีผู้รับผิดชอบดูแลเรื่องการคุ้มครองข้อมูลส่วนบุคคลโดยเฉพาะ เพื่อดูแลกระบวนการเก็บ ใช้ และเปิดเผยข้อมูลให้ถูกต้องตามกฎหมาย

3. กำหนดระยะเวลาการเก็บและทำลายข้อมูล

ควรกำหนดนโยบายชัดเจนว่าจะเก็บเวชระเบียนและข้อมูลลูกค้านานเท่าไหร่ และมีกระบวนการทำลายข้อมูลอย่างปลอดภัยเมื่อพ้นระยะเวลาที่กำหนด

4. แจ้งเตือนการใช้กล้องวงจรปิด (CCTV)

คลินิกที่ติดกล้องวงจรปิดในพื้นที่ให้บริการต้องมีป้ายแจ้งเตือนให้ลูกค้าทราบ และควรมี Privacy Notice เฉพาะสำหรับกล้องวงจรปิดแยกจากนโยบายข้อมูลทั่วไป

5. ทำสัญญากับผู้ประมวลผลข้อมูลภายนอก

หากใช้ระบบบริหารคลินิก (Clinic Management Software) หรือผู้ให้บริการภายนอกที่เข้าถึงข้อมูลลูกค้า ต้องมีข้อตกลงที่กำหนดให้ผู้ให้บริการเหล่านั้นรักษาความปลอดภัยของข้อมูลตามมาตรฐานเดียวกัน

6. ฝึกอบรมพนักงานเรื่องการจัดการข้อมูล

พนักงานที่เข้าถึงข้อมูลลูกค้าโดยตรง เช่น ฝ่ายต้อนรับและพยาบาล ควรเข้าใจหลักการพื้นฐานของ PDPA เพื่อลดความเสี่ยงจากความผิดพลาดในการปฏิบัติงานประจำวัน

กรณีที่ต้องระมัดระวังเป็นพิเศษ: ภาพ Before-After และการตลาด

ภาพถ่ายก่อน-หลัง treatment เป็นจุดที่คลินิกความงามมีความเสี่ยงสูงสุดในเรื่อง PDPA เพราะเป็นทั้งข้อมูลสุขภาพและข้อมูลที่สามารถระบุตัวบุคคลได้ การนำไปใช้ในการตลาดต้องผ่าน 2 ชั้นของการอนุญาตที่แยกจากกัน

⚠️ การได้รับอนุมัติจาก สบส. ให้เผยแพร่โฆษณา ไม่ได้แปลว่าได้รับความยินยอมตาม PDPA โดยอัตโนมัติ ทั้งสองกระบวนการต้องทำแยกกันและครบทั้งคู่ก่อนเผยแพร่ภาพลูกค้าทุกครั้ง

อ่านเพิ่มเติมได้ ที่บทความ คู่มือการตลาดคลินิกที่ถูกกฎหมาย]

สิทธิของลูกค้าตาม PDPA ที่คลินิกต้องรองรับ

ลูกค้าในฐานะเจ้าของข้อมูลมีสิทธิตามกฎหมายหลายข้อที่คลินิกต้องเตรียมกระบวนการรองรับไว้

• สิทธิขอเข้าถึงข้อมูล — ลูกค้าขอดูได้ว่าคลินิกเก็บข้อมูลอะไรของตนไว้บ้าง
• สิทธิขอแก้ไขข้อมูล — กรณีข้อมูลไม่ถูกต้องหรือไม่เป็นปัจจุบัน
• สิทธิขอลบข้อมูล — ในบางกรณีที่ไม่มีเหตุจำเป็นทางกฎหมายให้เก็บต่อ
• สิทธิคัดค้านการใช้ข้อมูล — เช่น คัดค้านการใช้ข้อมูลเพื่อการตลาด
• สิทธิถอนความยินยอม — ถอนได้ทุกเมื่อ โดยไม่กระทบความชอบด้วยกฎหมายของการประมวลผลที่ทำไปแล้วก่อนถอน

คลินิกควรมีกระบวนการที่ชัดเจนสำหรับรับคำขอเหล่านี้ พร้อมระยะเวลาดำเนินการที่กำหนดไว้ล่วงหน้า เพื่อไม่ให้เกิดความล่าช้าที่อาจนำไปสู่การร้องเรียน

คำถามที่พบบ่อย (FAQ)

Q: คลินิกขนาดเล็กที่มีพนักงานไม่กี่คน ต้องทำตาม PDPA เหมือนโรงพยาบาลใหญ่ไหม?

ต้องปฏิบัติตามกฎหมายเดียวกัน เพราะ PDPA ไม่ได้แยกข้อยกเว้นตามขนาดธุรกิจสำหรับข้อมูลอ่อนไหวอย่างข้อมูลสุขภาพ แต่ขนาดของระบบและความซับซ้อนของกระบวนการอาจปรับให้เหมาะกับขนาดคลินิกได้ เช่น คลินิกเล็กอาจไม่จำเป็นต้องมี DPO เต็มเวลา แต่ยังต้องมีผู้รับผิดชอบที่ชัดเจน

Q: ถ้าลูกค้ายินยอมให้ใช้รูปแล้ว แต่ภายหลังขอถอน ต้องทำอย่างไร?

คลินิกต้องนำภาพนั้นออกจากทุกช่องทางที่เผยแพร่อยู่โดยเร็วที่สุดเมื่อได้รับการถอนความยินยอม การถอนความยินยอมมีผลทันทีต่อการใช้งานในอนาคต แม้จะไม่กระทบความชอบด้วยกฎหมายของการใช้งานที่เกิดขึ้นไปแล้วก่อนการถอน

Q: การถ่ายรูปลูกค้าเพื่อบันทึกในเวชระเบียนต้องขอความยินยอมแยกจากการใช้เพื่อการตลาดไหม?

ควรแยกกันอย่างชัดเจนค่ะ การถ่ายภาพเพื่อบันทึกประวัติการรักษาเป็นส่วนหนึ่งของการให้บริการทางการแพทย์ ส่วนการนำภาพไปใช้เพื่อการตลาดเป็นวัตถุประสงค์อื่นที่ต้องขอความยินยอมเพิ่มเติมเป็นการเฉพาะ

Q: ระบบ Clinic Management Software ที่ใช้อยู่ ต้องตรวจสอบอะไรเรื่อง PDPA?

ควรตรวจสอบว่าผู้ให้บริการระบบมีมาตรการความปลอดภัยของข้อมูลที่เหมาะสม มีข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) ที่ชัดเจน และเซิร์ฟเวอร์ที่จัดเก็บข้อมูลเป็นไปตามมาตรฐานที่เหมาะสมกับข้อมูลอ่อนไหว

สรุป

PDPA ไม่ใช่แค่เรื่องของบริษัทเทคโนโลยีขนาดใหญ่ แต่เป็นกฎหมายที่ส่งผลโดยตรงต่อคลินิกความงามทุกขนาด เพราะคลินิกจัดการกับข้อมูลที่อ่อนไหวที่สุดประเภทหนึ่งอยู่เป็นประจำ การวางระบบจัดการข้อมูลที่ถูกต้องตั้งแต่ Consent Form ไปจนถึงนโยบายการเก็บและทำลายข้อมูล ไม่เพียงช่วยลดความเสี่ยงทางกฎหมาย แต่ยังสร้างความเชื่อมั่นให้กับลูกค้าในระยะยาวด้วย

การบริหารคลินิกให้สอดคล้องกับกฎหมายในทุกมิติ ทั้งด้านการแพทย์ การโฆษณา และการคุ้มครองข้อมูล เป็นส่วนหนึ่งของการดำเนินธุรกิจที่ยั่งยืน Inspire Eternity ในฐานะผู้ที่ทำงานร่วมกับคลินิกความงามมายาวนาน เข้าใจถึงความสำคัญของประเด็นนี้ และพร้อมให้ข้อมูลเรื่องเครื่องมือแพทย์ที่ได้มาตรฐานควบคู่ไปกับการดำเนินธุรกิจที่ถูกต้อง หากมีคำถามเพิ่มเติม ทีมงานพร้อมให้ข้อมูลโดยไม่มีค่าใช้จ่าย

แหล่งข้อมูลอ้างอิง

• * Entech Review. ถุงขนมทำพิษ PDPC ปรับ รพ. เอกชน ทำข้อมูลผู้ป่วยหลุด. entechreview.com
• * PDPAThailand. 'คลินิก' ควรจัดการข้อมูลส่วนบุคคลของลูกค้าอย่างไร ให้สอดคล้อง PDPA. pdpathailand.com
• * PDPAThailand. PDPA สำหรับโรงพยาบาล ประมวลผลข้อมูลส่วนบุคคลของคนไข้อย่างไร. pdpathailand.com
• * T-Reg. สรุปกฎหมาย PDPA โทษและค่าปรับมีอะไรบ้าง. t-reg.co
• * สำนักงานกิจการยุติธรรม. ถูกละเมิดข้อมูลส่วนบุคคลต้องฟ้องภายในกี่ปี. justicechannel.org