PDPA คลินิก 2569: ต้องทำอะไร ป้องกันปรับล้าน! (ฉบับทำจริง)

บทนำ: ข้อมูลผู้ป่วย… ระเบิดเวลาที่รอวันทำงาน

คุณหมอและเจ้าของคลินิกครับ ลองจินตนาการถึงวันที่คุณเดินเข้าคลินิกแล้วพบว่าไฟล์ประวัติคนไข้ทั้งหมดถูกล็อกเรียกค่าไถ่ (Ransomware) หรือแย่กว่านั้น… มีคนไข้ฟ้องร้องเรียกค่าเสียหาย เพราะข้อมูลประวัติการรักษา “โรคทางเพศสัมพันธ์” ของเขาหลุดไปในไลน์กลุ่มพนักงาน

นี่ไม่ใช่เรื่องไกลตัวอีกต่อไป ในปี 2568 ที่ผ่านมา เราเห็นข่าวคลินิกความงามและโรงพยาบาลโดนปรับจริง เจ็บจริง จากกฎหมาย PDPA (พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล) ที่เริ่มเอาจริงเอาจังมากขึ้น โดยเฉพาะกับ ข้อมูลสุขภาพ (Health Data) ที่ถือเป็นข้อมูลอ่อนไหว (Sensitive Data) ขั้นสูงสุด

PDPA คลินิก 2569

วันนี้ผมจะไม่พูดทฤษฎีกฎหมายให้ปวดหัว แต่จะมาเจาะลึก “How-to ฉบับปฏิบัติจริง” สำหรับคลินิกไทยปี 2569 ว่าต้องทำอะไรบ้างเพื่อป้องกันความเสี่ยงระดับล้าน ด้วยงบประมาณที่คลินิกขนาดเล็กก็ทำได้ครับ

PDPA คลินิก 2569: ทำไมข้อมูลผู้ป่วยกลายเป็น “ระเบิดเวลา”?

สถิติจริง! คลินิกโดนปรับ PDPA 2.5 ล้าน (กรณีข้อมูลรั่ว 2025)

ตัวเลขไม่เคยโกหกครับ ล่าสุดเมื่อสิงหาคม 2568 มีคลินิกความงามแห่งหนึ่งถูกสั่งปรับถึง 2.5 ล้านบาท สาเหตุไม่ใช่เพราะโดนแฮก แต่เกิดจากความประมาทเลินเล่อของพนักงานที่ส่งออกข้อมูลลูกค้า (Export Data) ไปให้แก๊งคอลเซ็นเตอร์โดยไม่ตั้งใจ

• บทเรียนราคาแพง: PDPA ไม่ได้ดูแค่เจตนา แต่ดูที่ “มาตรการป้องกัน” ถ้าคุณหละหลวม = ผิดทันที

Sensitive Data = ข้อมูลสุขภาพ = ค่าปรับสูงสุด 5 ล้านบาท

ตามมาตรา 26 ของ PDPA ข้อมูลสุขภาพ ประวัติการรักษา ผลเลือด ถือเป็น Sensitive Personal Data

• ความเสี่ยง: โทษปรับทางปกครองสูงสุดถึง 5 ล้านบาท (มาตรา 82–90) ส่วนโทษอาญาตามมาตรา 79 กรณีใช้หรือเปิดเผยข้อมูลอ่อนไหวโดยมิชอบจนน่าจะเกิดความเสียหาย จำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 500,000 บาท และหากทำเพื่อแสวงหาประโยชน์โดยมิชอบ จำคุกไม่เกิน 1 ปี หรือปรับไม่เกิน 1,000,000 บาท

ข้อมูลผู้ป่วยอะไรบ้างที่ PDPA คุ้มครอง?

ข้อมูลผู้ป่วยอะไรบ้าง ที่ PDPA คุ้มครอง?

9 ประเภท Sensitive Health Data

1. ไม่ใช่แค่ชื่อ-นามสกุล แต่รวมถึง:
2. ประวัติการรักษา (Medical Records)
3. ผลแลป/ผลเลือด (Lab Results)
4. ฟิล์ม X-ray / MRI
5. ประวัติการแพ้ยา
6. ข้อมูลพันธุกรรม (Genetic Data)
7. รสนิยมทางเพศ (Sexual Orientation – มักพบในคลินิกเฉพาะทาง)
8. เชื้อชาติ/ศาสนา (ที่ระบุในบัตร ปชช. รุ่นเก่า)
9. ข้อมูลชีวภาพ (Biometric) เช่น สแกนหน้า/ลายนิ้วมือ
10. เลขบัตรประชาชน (เมื่อผูกกับข้อมูลสุขภาพ)

Legacy Patient Data เก่า 10 ปี = ต้อง Audit ทันที

คลินิกที่เปิดมานานมักมี “แฟ้มประวัติคนไข้” กองพะเนิน

• กับดัก: ข้อมูลเหล่านี้คือความเสี่ยง หากไม่ได้ติดต่อคนไข้เกิน 10 ปี (อายุความทั่วไป) ควรทำลายทิ้งอย่างถูกวิธี (Shredding) อย่าเก็บไว้ให้รกและเสี่ยงคุก

7 ขั้นตอนปฏิบัติ PDPA คลินิก

7 ขั้นตอนปฏิบัติ PDPA คลินิก (Timeline 6 เดือน)

ผมสรุปขั้นตอนแบบจับมือทำมาให้แล้วครับ เริ่มทำตามนี้ได้เลย:

ขั้นตอน 1: Patient Consent Form ใหม่ (Explicit + Granular)

เลิกใช้ใบยินยอมใบเดียวครอบจักรวาล! ต้องแยกช่องติ๊ก:

• [ ] ยินยอมให้รักษา (Treatment)
• [ ] ยินยอมให้ส่งข้อมูลไป Lab นอก (Referral)
• [ ] ยินยอมรับข่าวสารโปรโมชั่น (Marketing) – อันนี้ต้องแยกชัดเจน ห้ามมัดมือชก

ขั้นตอน 2: Data Mapping ด้วย Google Sheets

ทำบัญชีข้อมูลว่า: ข้อมูลคนไข้ -> ใครเก็บ -> เก็บที่ไหน -> ใครเข้าถึงได้บ้าง?

• Tip: คลินิกเล็กๆ ใช้ Google Sheets ได้ แต่ต้องตั้งค่าความปลอดภัยให้แน่นหนา (ดูหัวข้อเครื่องมือ)

ขั้นตอน 3: RBAC – ใครเห็นประวัติผู้ป่วยได้บ้าง?

ใช้หลักการ Role-Based Access Control (RBAC):

• หมอ/พยาบาล: เห็นประวัติการรักษา ผลแลป
• การเงิน/เคาน์เตอร์: เห็นแค่ยอดเงิน ชื่อ เบอร์โทร (ไม่ควรเห็นประวัติโรคละเอียด)
• การตลาด: เห็นแค่ชื่อ อีเมล (ถ้าคนไข้ยินยอม)

ขั้นตอน 4: Cloud Storage AES-256 (AWS SG/TH ถูกกฎหมาย)

เก็บข้อมูลบน Cloud ปลอดภัยกว่า Server ใต้โต๊ะที่คลินิก แต่ต้องเลือก Cloud ที่มีมาตรฐาน:

• แนะนำ: AWS (Region Singapore/Thailand), Google Cloud, Microsoft Azure
• ต้องมี: การเข้ารหัสข้อมูล (Encryption) ทั้งตอนเก็บและตอนส่ง (In Transit & At Rest)

ขั้นตอน 5: DPA กับ Lab/Drug Vendor

เมื่อส่งเลือดไปตรวจ Lab นอก หรือส่งยาทางไปรษณีย์ ข้อมูลคนไข้หลุดออกจากมือคุณแล้ว

• ต้องทำ: เซ็นสัญญา Data Processing Agreement (DPA) กับ Lab และบริษัทขนส่ง เพื่อผลักภาระความรับผิดชอบหากข้อมูลรั่วที่ปลายทาง

ขั้นตอน 6: Data Retention Policy (ผลแลปเก็บ 10 ปี?)

กำหนดอายุกระดาษและไฟล์:

• เวชระเบียน: เก็บ 5-10 ปี ตามกฎหมายสถานพยาบาล
• กล้องวงจรปิด: 30 วัน แล้ววนทับ
• ใบเสร็จ: 5 ปี ตามกฎหมายภาษี
• หมดอายุแล้วทำลายทันที!

ขั้นตอน 7: DPO คลินิก + Staff Training รายไตรมาส

• DPO (Data Protection Officer): คลินิกขนาดใหญ่ที่มีข้อมูล Sensitive Data จำนวนมากต้องแต่งตั้ง DPO (อาจจ้าง Outsource ได้)
• Training: อบรมพนักงานหน้าเคาน์เตอร์ ห้ามถ่ายรูปหน้าจอประวัติคนไข้ส่งไลน์ส่วนตัวเด็ดขาด!

เครื่องมือฟรีสำหรับคลินิกขนาดเล็ก

งบ 30,000 บาทก็ทำ PDPA ได้ครับ ไม่ต้องซื้อซอฟต์แวร์แพงๆ:

Google Workspace PDPA Compliance Setup

• ราคา: เริ่มต้น ~200 บาท/user/เดือน
• การตั้งค่า: เปิด 2-Factor Authentication (2FA) บังคับทุกคน, ปิดการแชร์ไฟล์สาธารณะ (Public Link), เปิดดู Log การเข้าถึงไฟล์ได้

Consent Management: CookieYes + Google Forms

• หน้าเว็บ: ใช้ CookieYes (ฟรีสำหรับเว็บเล็ก) จัดการ Cookie Banner
• หน้าเคาน์เตอร์: ใช้ Google Forms หรือ Tablet ให้คนไข้ติ๊ก Consent แทนกระดาษ (ประหยัด + ค้นหาง่าย)

Encryption Tools: VeraCrypt + BitLocker ฟรี

• คอมพิวเตอร์คลินิก: เปิด BitLocker (แถมมากับ Windows Pro) เพื่อเข้ารหัส Harddisk ทั้งลูก ขโมยยกคอมไปก็เปิดดูข้อมูลไม่ได้

Checklist พิมพ์ได้: 30 วัน Data Subject Rights

เตรียมแบบฟอร์ม “คำร้องขอใช้สิทธิ” (Data Subject Request Form) ไว้หน้าเคาน์เตอร์ หากคนไข้มาขอดูประวัติ หรือขอลบข้อมูล คุณมีเวลา 30 วันในการตอบกลับตามกฎหมาย

Privacy Notice คลินิกตัวอย่าง (Copy-Paste แก้ชื่อได้เลย)

12 หมวดบังคับ PDPA สุขภาพ

1. ในประกาศความเป็นส่วนตัว (แปะหน้าเคาน์เตอร์ + เว็บไซต์) ต้องมี:
2. ใครคือผู้ควบคุมข้อมูล (ชื่อคลินิก + สถานที่ตั้ง)
3. ข้อมูลอะไรที่เก็บ (ประวัติ, ผลแลป, รูปถ่าย Before/After)
4. เก็บไปทำไม (รักษา, เบิกประกัน, ติดตามผล)
5. ส่งต่อใครบ้าง (Lab, ประกันสังคม, บริษัทขนส่ง)
6. เก็บนานเท่าไหร่ (Retention Period)
7. สิทธิของคนไข้ (ดู, ลบ, แก้ไข, โอนย้าย)
8. มาตรการความปลอดภัย
9. ช่องทางติดต่อ DPO / เจ้าหน้าที่ดูแลข้อมูล

ข้อความยินยอมผู้ป่วยมาตรฐาน (ตัวอย่าง)

# ข้าพเจ้ายินยอมให้ [ชื่อคลินิก] เก็บรวบรวม ใช้ และเปิดเผยข้อมูลสุขภาพของข้าพเจ้า เพื่อวัตถุประสงค์ในการตรวจวินิจฉัย รักษาพยาบาล และติดต่อประสานงานส่งต่อผู้ป่วย รวมถึงการเบิกจ่ายค่ารักษาพยาบาลตามสิทธิ

[ ] ยินยอมให้ใช้ภาพถ่าย Before/After เพื่อการประชาสัมพันธ์ (Review) โดยปกปิดใบหน้า/อัตลักษณ์บุคคล

Privacy Notice คลินิก

เคสจริงคลินิกไทยโดนปรับ PDPA (บทเรียนราคาแพง)

เคส 2025: คลินิกความงามข้อมูลรั่ว = ปรับ 2.5 ล้าน

• สาเหตุ: ข้อมูลลูกค้าถูกส่งออก (Export) จนหลุดไปถึงมือแก๊งคอลเซ็นเตอร์
• จุดตาย: ไม่มีระบบจำกัดสิทธิ์ (Access Control) ที่ดีพอ พนักงานเข้าถึงไฟล์ลูกค้าทั้งหมดได้
• บทเรียน: ต้องทำ RBAC และปิดช่องทาง USB/Upload บนเครื่องพนักงาน

สิ่งที่คลินิกจำนวนมากทำผิด (Pre-ticked Consent)

• ห้ามติ๊กช่อง “ยินยอมรับข่าวสาร” ไว้ล่วงหน้าเด็ดขาด คนไข้ต้องเป็นคนจรดปากกาติ๊กเองครับ

สรุป: เริ่มวันนี้ เจ็บน้อยกว่า

การทำ PDPA ไม่ใช่การเพิ่มภาระ แต่คือการ “ยกระดับมาตรฐานคลินิก” ให้เทียบเท่าสากล และสร้างความเชื่อมั่นให้คนไข้ว่า “ที่นี่รักษาความลับเก่งพอๆ กับรักษาโรค”

ถ้าคุณไม่เริ่มวันนี้ วันที่จดหมายจาก PDPC หรือหมายศาลมาถึง ค่าเสียหายอาจไม่ใช่แค่เงิน แต่คือชื่อเสียงที่สั่งสมมาทั้งชีวิตครับ

# ต้องการที่ปรึกษา PDPA สำหรับคลินิกโดยเฉพาะ? ทีมงาน The Kooru เชี่ยวชาญด้าน Healthcare Data Privacy พร้อม Template และเครื่องมือที่ปรับใช้ได้ทันที [ติดต่อเราวันนี้ เพื่อรับคำปรึกษาฟรี] – ปกป้องคลินิกของคุณก่อนกฎหมายไล่ตามทัน

คำถามยอดฮิตเจ้าของคลินิก PDPA (FAQ)

1. คลินิกมีหมอ 3 คน พนักงาน 5 คน ต้องมี DPO ไหม?
– หากคลินิกเก็บข้อมูลอ่อนไหว (ข้อมูลสุขภาพ) เป็น “กิจกรรมหลัก” และมีปริมาณมาก (Large Scale) กฎหมายแนะนำให้มี DPO ครับ แต่สำหรับคลินิกขนาดเล็ก อาจมอบหมายให้ “ผู้จัดการคลินิก” ทำหน้าที่ประสานงานแทนได้ แต่ต้องมีความรู้ PDPA

2. Line OA ส่งข้อมูลผู้ป่วยผิด PDPA หรือไม่?
– Line OA ทั่วไปไม่ได้ออกแบบมาเพื่อเก็บข้อมูลสุขภาพ (Non-HIPAA Compliant) การส่งผลแลปหรือชื่อยาผ่าน Line OA มีความเสี่ยง หากจะทำควรขอ Consent คนไข้ให้ชัดเจนว่า “ยินยอมรับผลผ่านช่องทางนี้” และควรลบแชทเมื่อจบเคส หรือใช้ Line สำหรับแพทย์ โดยเฉพาะ

3. Google Drive เก็บผลแลปใช้ได้ไหม?
– ใช้ได้ครับ แต่ต้องเป็น Google Workspace (Paid Version) ที่มีการเข้ารหัสและเซ็นสัญญา BAA (Business Associate Agreement) ได้ อย่าใช้ Gmail ฟรีเก็บข้อมูลคนไข้เด็ดขาด เพราะ Google อาจสแกนข้อมูลเพื่อการโฆษณา

4. ค่าปรับ PDPA คลินิกสูงสุดเท่าไหร่?
– โทษปรับทางปกครองสูงสุด 5 ล้านบาท (สำหรับข้อมูลสุขภาพ) และหากคนไข้ฟ้องร้องทางแพ่ง ศาลอาจสั่งจ่ายค่าสินไหมทดแทน + ค่าเสียหายเชิงลงโทษ (Punitive Damages) อีก 2 เท่าของความเสียหายจริง

5. รูป Review Before/After ต้องขออนุญาตไหม?
– ต้องขอครับ! และต้องขอแยกต่างหากจากการรักษา (Specific Consent) แม้จะปิดตา/คาดหน้า แต่ถ้าคนรู้จักจำได้ ก็ถือว่าระบุตัวตนได้ครับ

6. กล้องวงจรปิดในคลินิกต้องทำไง?
– ต้องติดป้าย “CCTV in Operation” ให้ชัดเจนก่อนเข้าพื้นที่ และห้ามติดในห้องตรวจหรือห้องหัตถการที่เปิดเผยร่างกายคนไข้เด็ดขาด

7. ถ้าคนไข้ขอลบประวัติการรักษา ต้องลบไหม?
– ไม่ต้องลบทั้งหมดครับ! กฎหมายสถานพยาบาลบังคับให้เก็บเวชระเบียนไว้อย่างน้อย 5 ปี เราสามารถปฏิเสธการลบได้โดยอ้าง “หน้าที่ตามกฎหมาย” (Legal Obligation) แต่ต้องลบส่วนที่ไม่จำเป็นออก เช่น ข้อมูลการตลาด

8. ส่งประวัติคนไข้ไปเบิกประกัน ต้องขอ Consent ไหม?
– ถ้าเป็นการเบิกตามสิทธิ (เช่น ประกันสังคม, ประกันกลุ่ม) มักมีฐานกฎหมายรองรับ (Contract/Legal Obligation) ไม่ต้องขอ Consent ใหม่ แต่ถ้าส่งให้บริษัทประกันเพื่อขายกรมธรรม์เพิ่ม อันนี้ต้องขอครับ

9. โปรแกรมบริหารคลินิก (Hospital OS) ต้องเลือกยังไง?
– เลือกเจ้าที่มีฟีเจอร์ PDPA Ready เช่น มีระบบ Log (ใครดูประวัติ/เมื่อไหร่), จำกัดสิทธิ์การเข้าถึง (RBAC), และฐานข้อมูลอยู่บน Cloud ที่ได้มาตรฐาน ISO 27001

10. ถุงยาต้องระบุชื่อยาหน้าซองไหม?
– ระบุได้ครับ เพื่อความปลอดภัยในการใช้ยา แต่เวลาเรียกชื่อคนไข้รับยา พยายามเรียกแค่ชื่อ หรือคิว อย่าขานชื่อยาหรือโรคดังๆ หน้าเคาน์เตอร์ครับ

โดย: คุณภูวรา (Khun Phuwara) – ที่ปรึกษาอาวุโสด้านกลยุทธ์ธุรกิจและ Legal-Tech แห่ง The Kooru

อยากรู้ลึกกว่านี้ อ่านอะไรต่อดี?

บทความและเครื่องมือจากเครือข่าย Kooru ที่ต่อยอดจากเรื่องนี้ คัดมาให้อ่านต่อได้ทันที