PDPA สำหรับคลินิกทันตกรรม: 5 เรื่องที่เจ้าของคลินิกต้องรู้ก่อนโดนปรับ

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) มีผลบังคับใช้มาหลายปีแล้ว แต่คลินิกทันตกรรมขนาดเล็กจำนวนมากยังไม่รู้ว่าตัวเองต้องทำอะไรบ้าง เพราะคิดว่า PDPA เป็นเรื่องของบริษัทใหญ่เท่านั้น ความจริงคือคลินิกเก็บ "ข้อมูลสุขภาพ" ซึ่งกฎหมายจัดเป็นข้อมูลอ่อนไหว (Sensitive Data) ที่มีข้อกำหนดเข้มงวดกว่าข้อมูลทั่วไป

1. ต้องขอความยินยอมก่อนเก็บข้อมูลสุขภาพ

แค่ให้คนไข้กรอกประวัติสุขภาพในกระดาษหรือฟอร์มออนไลน์ ไม่นับว่าได้รับความยินยอมตามกฎหมายโดยอัตโนมัติ ต้องมีการแจ้งวัตถุประสงค์การเก็บข้อมูลและขอความยินยอมอย่างชัดเจนเป็นลายลักษณ์อักษร

2. คนไข้มีสิทธิ์ขอสำเนาข้อมูลตัวเองกลับคืน

PDPA ให้สิทธิ์เจ้าของข้อมูล (คนไข้) ขอสำเนาข้อมูลของตัวเองในรูปแบบที่อ่านได้ (data portability) คลินิกต้องมีกระบวนการรองรับคำขอนี้ ไม่ใช่แค่ปฏิเสธหรือเพิกเฉย

3. ต้องรู้ว่าใครเข้าถึงข้อมูลคนไข้ได้บ้าง

ถ้าทีมงานทุกคนเข้าถึงประวัติคนไข้ทุกคนได้หมดโดยไม่มีการจำกัดสิทธิ์ตามบทบาท (เช่น ผู้ช่วยไม่ควรเห็นข้อมูลการเงิน/ภาษีของคลินิก) นี่คือความเสี่ยงที่ผู้ตรวจสอบมักจับได้ ควรมีการจำกัดสิทธิ์การเข้าถึงตามหน้าที่ และมีบันทึกว่าใครเข้าดูข้อมูลคนไข้คนไหนเมื่อไหร่ (Audit Log)

4. ต้องมีมาตรการรักษาความปลอดภัยข้อมูลที่เหมาะสม

เก็บประวัติคนไข้ในไฟล์ Excel ที่ไม่มีรหัสผ่าน หรือแชร์ผ่านไลน์ส่วนตัวของพนักงาน ถือเป็นความเสี่ยงสูงถ้าข้อมูลรั่วไหล กฎหมายกำหนดให้ต้องมีมาตรการป้องกันที่เหมาะสมกับความเสี่ยง ยิ่งข้อมูลอ่อนไหวเท่าไหร่ มาตรการก็ต้องเข้มงวดขึ้นเท่านั้น

5. ถ้าข้อมูลรั่วไหล ต้องแจ้งหน่วยงานภายใน 72 ชั่วโมง

ถ้าเกิดเหตุข้อมูลคนไข้รั่วไหลจริง คลินิกมีหน้าที่ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงหลังทราบเหตุ การไม่มีระบบที่ช่วยตรวจจับความผิดปกติ (เช่น ใครพยายามเข้าถึงข้อมูลผิดปกติ) ทำให้คลินิกรู้ตัวช้าและอาจพลาดกรอบเวลานี้

Cliniq สร้างมาให้ครอบคลุมทั้ง 5 ข้อนี้ — มีระบบขอความยินยอม PDPA ตั้งแต่คนไข้สมัคร, ปุ่มดาวน์โหลดข้อมูลตัวเองได้ทุกเมื่อ, จำกัดสิทธิ์การเข้าถึงตามบทบาท (เจ้าของ/หมอ/ผู้ช่วย), มีบันทึกการเข้าถึงข้อมูลคนไข้ (Audit Log) ให้ตรวจสอบย้อนหลังได้ ทดลองใช้ฟรี 14 วันได้ที่ bookcliniq.com/register-clinic