PDPA กับข้อมูลสุขภาพ: สิ่งที่โรงพยาบาลต้องทำ

โรงพยาบาลหนึ่งแห่งเก็บข้อมูลสุขภาพตั้งแต่ลงทะเบียน คัดกรอง ตรวจรักษา จ่ายยา ไปจนถึงเบิกจ่ายค่ารักษา ข้อมูลเหล่านี้อยู่ทั้งในระบบ HIS แฟ้มกระดาษ อีเมล แชตกลุ่ม และระบบของคู่สัญญา PDPA ไม่ได้ห้ามโรงพยาบาลใช้ข้อมูลเหล่านี้ แต่กำหนดให้ต้องมีฐานทางกฎหมายที่ถูกต้อง ใช้เท่าที่จำเป็น และป้องกันอย่างเหมาะสม

หลักคิดสั้น ๆ

การรักษาพยาบาลตามปกติไม่จำเป็นต้องขอความยินยอมใหม่ทุกครั้ง เพราะกฎหมายมีข้อยกเว้นรองรับ แต่เมื่อจะนำข้อมูลไปใช้นอกเหนือการรักษา เช่น ส่งให้บริษัทประกันเอกชน ทำการตลาด หรือพัฒนา AI ต้องพิจารณาฐานทางกฎหมายใหม่ทุกครั้ง

ข้อมูลสุขภาพคือ “ข้อมูลอ่อนไหว”

มาตรา 26 ของ PDPA จัดให้ข้อมูลสุขภาพ ข้อมูลพันธุกรรม และข้อมูลชีวภาพ เป็นข้อมูลส่วนบุคคลประเภทพิเศษ การเก็บรวบรวม ใช้ หรือเปิดเผยต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นที่กฎหมายกำหนด ข้อยกเว้นที่เกี่ยวข้องกับโรงพยาบาลมากที่สุด ได้แก่

ป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ เมื่อเจ้าของข้อมูลไม่สามารถให้ความยินยอมได้ เช่น ผู้ป่วยหมดสติในห้องฉุกเฉิน (มาตรา 26(1))
จำเป็นเพื่อการวินิจฉัยโรค การให้บริการด้านสุขภาพ และการรักษาทางการแพทย์ ตามกฎหมาย หรือตามสัญญาระหว่างผู้ป่วยกับผู้ประกอบวิชาชีพทางการแพทย์ ภายใต้หน้าที่รักษาความลับ (มาตรา 26(5)(ก))
ประโยชน์สาธารณะด้านการสาธารณสุข เช่น การป้องกันโรคติดต่ออันตรายหรือโรคระบาด (มาตรา 26(5)(ข))
สิทธิตามกองทุนและสวัสดิการที่กฎหมายกำหนด เช่น หลักประกันสุขภาพแห่งชาติ ประกันสังคม และสวัสดิการรักษาพยาบาลของผู้มีสิทธิตามกฎหมาย (มาตรา 26(5)(ค))
การศึกษาวิจัยทางวิทยาศาสตร์หรือสถิติ ซึ่งต้องมีมาตรการคุ้มครองสิทธิของเจ้าของข้อมูลตามที่คณะกรรมการประกาศ (มาตรา 26(5)(ง))

ข้อยกเว้นเหล่านี้ใช้ได้เท่าที่ “จำเป็น” สำหรับวัตถุประสงค์นั้นเท่านั้น ข้อมูลที่เก็บมาเพื่อรักษาจึงไม่ได้แปลว่านำไปใช้เพื่อวัตถุประสงค์อื่นได้โดยอัตโนมัติ

เมื่อใดต้องขอความยินยอม และความยินยอมที่ใช้ได้ต้องเป็นอย่างไร

กิจกรรมที่มักอยู่นอกขอบเขตการรักษา และควรพิจารณาฐานทางกฎหมายแยกต่างหาก เช่น

ส่งข้อมูลให้บริษัทประกันเอกชนหรือนายจ้าง ซึ่งโดยทั่วไปต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่มีฐานอื่นรองรับ
ใช้ภาพหรือเรื่องราวของผู้ป่วยในสื่อประชาสัมพันธ์
ส่งข่าวสารการตลาดหรือโปรโมชันแพ็กเกจตรวจสุขภาพ
นำเวชระเบียนไปวิจัยหรือพัฒนา AI

มาตรา 19 กำหนดให้ขอความยินยอมโดยชัดแจ้ง เป็นหนังสือหรือผ่านระบบอิเล็กทรอนิกส์ แจ้งวัตถุประสงค์ให้ชัด แยกออกจากข้อความอื่น ใช้ภาษาที่อ่านเข้าใจง่ายและไม่ทำให้เข้าใจผิด และต้องคำนึงว่าผู้ป่วยให้ความยินยอมอย่างอิสระ ไม่ผูกเป็นเงื่อนไขของบริการที่ไม่จำเป็นต้องใช้ข้อมูลนั้น ผู้ป่วยถอนความยินยอมได้ทุกเมื่อ และการถอนต้องทำได้ง่ายเช่นเดียวกับการให้

ในทางปฏิบัติ ควรแยกแบบฟอร์มยินยอมรับการรักษาออกจากแบบฟอร์มความยินยอมด้านข้อมูลอื่น ๆ และไม่ใช้วิธี “ถือว่ายินยอม” จากการลงทะเบียนหรือการมารับบริการ

สิทธิของผู้ป่วยที่ระบบต้องรองรับ

สิทธิขอเข้าถึงและขอรับสำเนาข้อมูล ซึ่งต้องดำเนินการภายใน 30 วันนับแต่วันที่ได้รับคำขอ (มาตรา 30)
สิทธิขอให้แก้ไขข้อมูลให้ถูกต้อง เป็นปัจจุบัน และสมบูรณ์ (มาตรา 35–36)
สิทธิคัดค้าน ขอให้ลบ หรือขอให้ระงับการใช้ข้อมูล ในกรณีที่กฎหมายกำหนด (มาตรา 32–34)
สิทธิถอนความยินยอมสำหรับกิจกรรมที่อาศัยความยินยอม (มาตรา 19)

สิทธิขอลบมีข้อจำกัด เพราะโรงพยาบาลมีหน้าที่เก็บเวชระเบียนตามกฎหมายอื่นด้วย เช่น พ.ร.บ.สถานพยาบาล พ.ศ. 2541 กำหนดให้ผู้ดำเนินการสถานพยาบาลเอกชนจัดให้มีบันทึกเกี่ยวกับผู้ป่วยและเก็บไว้ไม่น้อยกว่า 5 ปีนับแต่วันที่ผู้ป่วยมารับบริการครั้งสุดท้าย ระบบจึงควรแยกให้ออกว่าข้อมูลส่วนใดต้องเก็บตามกฎหมาย และส่วนใดลบหรือระงับได้

มาตรการความมั่นคงปลอดภัยขั้นต่ำ

มาตรา 37(1) และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 กำหนดให้มีมาตรการทั้งด้านองค์กร เทคนิค และกายภาพ ที่ครอบคลุมการรักษาความลับ ความถูกต้องครบถ้วน และสภาพพร้อมใช้งานของข้อมูล รวมถึงการควบคุมการเข้าถึงและการตรวจสอบย้อนหลัง สำหรับโรงพยาบาล มาตรการที่ควรมีอย่างน้อย ได้แก่

สิทธิ์เข้าถึงตามบทบาทหน้าที่ (role-based access) และทบทวนสิทธิ์เมื่อมีการย้ายหรือลาออก
ช่องทางเข้าถึงฉุกเฉิน (break-glass) ที่ต้องบันทึกเหตุผล และมีผู้ทบทวนภายหลัง
บันทึกว่าใครเปิดดูเวชระเบียนใด เมื่อใด และสุ่มตรวจบันทึกอย่างสม่ำเสมอ
เข้ารหัสข้อมูลบนอุปกรณ์พกพาและสื่อสำรองข้อมูล
ช่องทางสื่อสารเรื่องผู้ป่วยที่องค์กรควบคุมได้ แทนการส่งผ่านแชตส่วนตัว
การทำลายเอกสารและสื่อบันทึกที่มีหลักฐานตรวจสอบได้

คู่สัญญาที่ประมวลผลข้อมูลแทนโรงพยาบาล

ผู้ให้บริการระบบบนคลาวด์ ห้องปฏิบัติการภายนอก บริษัททำลายเอกสาร หรือผู้พัฒนา AI ที่ทำงานตามคำสั่งของโรงพยาบาล มักมีสถานะเป็น “ผู้ประมวลผลข้อมูลส่วนบุคคล” มาตรา 40 กำหนดให้ผู้ประมวลผลดำเนินการตามคำสั่งของผู้ควบคุมข้อมูล จัดมาตรการรักษาความมั่นคงปลอดภัย และแจ้งเหตุละเมิดให้ผู้ควบคุมทราบ ส่วนโรงพยาบาลในฐานะผู้ควบคุมต้องจัดให้มีข้อตกลงกำกับการดำเนินงานของผู้ประมวลผล

ความรับผิดชอบไม่ได้หมดไปเมื่อจ้างคนอื่นทำ ในปี 2568 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ลงโทษปรับโรงพยาบาลเอกชนแห่งหนึ่ง 1.2 ล้านบาท หลังมีภาพถุงขนมที่ทำจากเวชระเบียนผู้ป่วยเผยแพร่ในโซเชียลมีเดีย และพบเวชระเบียนหลุดไปกว่า 1,000 ฉบับในขั้นตอนการส่งทำลายเอกสาร กระทรวงสาธารณสุขจึงย้ำว่าหน่วยงานที่ใช้ผู้รับจ้างทำลายเอกสารต้องมีมาตรการควบคุมกำกับ และมีข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement) กับผู้รับจ้าง

เมื่อเกิดเหตุละเมิดข้อมูล: 72 ชั่วโมงแรก

มาตรา 37(4) กำหนดให้ผู้ควบคุมข้อมูลแจ้งเหตุละเมิดต่อ สคส. โดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล หากมีความเสี่ยงสูง ต้องแจ้งผู้ป่วยที่ได้รับผลกระทบพร้อมแนวทางเยียวยาโดยไม่ชักช้าด้วย รายละเอียดการประเมินและวิธีแจ้งอยู่ในประกาศคณะกรรมการฯ เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565

72 ชั่วโมงผ่านไปเร็วมากหากไม่ได้เตรียมไว้ก่อน ควรกำหนดทีมรับมือและผู้มีอำนาจตัดสินใจ เตรียมแบบฟอร์มประเมินความเสี่ยงและข้อความแจ้งผู้ป่วยล่วงหน้า และซ้อมแผนร่วมกับฝ่ายไอที ฝ่ายกฎหมาย และฝ่ายสื่อสารองค์กร โรงพยาบาลที่เป็นโครงสร้างพื้นฐานสำคัญทางสารสนเทศยังมีหน้าที่รายงานภัยคุกคามตาม พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 แยกต่างหาก (อ่านเพิ่มใน Cybersecurity สำหรับโรงพยาบาล)

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

มาตรา 41(3) กำหนดให้ผู้ควบคุมข้อมูลที่มีกิจกรรมหลักเป็นการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลอ่อนไหวตามมาตรา 26 ต้องจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ซึ่งโดยทั่วไปครอบคลุมการให้บริการของโรงพยาบาล ส่วนหน่วยงานของรัฐมีประกาศคณะกรรมการฯ กำหนดแยกต่างหาก DPO ควรรายงานต่อผู้บริหารสูงสุดได้โดยตรง และมีส่วนร่วมตั้งแต่ขั้นออกแบบระบบหรือโครงการใหม่ ไม่ใช่เข้ามาตรวจหลังเปิดใช้แล้ว

ส่งข้อมูลไปต่างประเทศและการใช้คลาวด์

PDPA ไม่ได้ห้ามเก็บข้อมูลนอกประเทศ แต่การส่งหรือโอนข้อมูลไปต่างประเทศต้องเป็นไปตามมาตรา 28–29 และประกาศคณะกรรมการฯ สองฉบับที่มีผลตั้งแต่ 24 มีนาคม 2567 ซึ่งรองรับกลไก เช่น ประเทศปลายทางที่มีมาตรฐานเพียงพอ นโยบายภายในกลุ่มกิจการที่ สคส. รับรอง (BCR) และมาตรการคุ้มครองที่เหมาะสม เช่น สัญญามาตรฐาน ประกาศยังระบุว่าการเก็บข้อมูลไว้กับผู้ให้บริการคลาวด์ที่บุคคลอื่นเข้าถึงไม่ได้ อาจไม่ถือเป็นการส่งหรือโอนข้อมูล หากมีมาตรการทางเทคนิคหรือข้อสัญญารองรับ ควรให้ฝ่ายกฎหมายพิจารณาเป็นกรณีไป (อ่านเพิ่มใน Cloud หรือ On-Premise)

การวิจัยและการพัฒนา AI จากเวชระเบียน

การนำข้อมูลผู้ป่วยไปวิจัยต้องอาศัยฐานตามมาตรา 26(5)(ง) พร้อมมาตรการคุ้มครองตามประกาศคณะกรรมการฯ หรือขอความยินยอมโดยชัดแจ้ง ส่วนการพัฒนาและใช้งาน AI นั้น สคส. ได้เผยแพร่แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ เมื่อ 7 ตุลาคม 2569 ก่อนนำเวชระเบียนไปพัฒนาหรือทดสอบ AI ควรระบุให้ชัดว่าใครเป็นผู้ควบคุมและใครเป็นผู้ประมวลผล ใช้ฐานทางกฎหมายใด ลดการระบุตัวตน (pseudonymisation) เท่าที่ทำได้ และให้แพทย์ยังเป็นผู้ตัดสินใจทางคลินิก (อ่านเพิ่มใน AI Governance สำหรับโรงพยาบาล)

บทลงโทษที่ผู้บริหารควรรู้

โทษทางปกครอง ปรับได้สูงสุด 5 ล้านบาท สำหรับการฝ่าฝืนเกี่ยวกับข้อมูลอ่อนไหว (มาตรา 84) โดย สคส. มีประกาศหลักเกณฑ์การพิจารณาออกคำสั่งลงโทษปรับทางปกครอง พ.ศ. 2568
โทษทางอาญา การใช้หรือเปิดเผยข้อมูลอ่อนไหวโดยมิชอบ มีโทษจำคุกและปรับ และหนักขึ้นหากทำเพื่อแสวงหาประโยชน์โดยมิชอบ (มาตรา 79)
ความรับผิดทางแพ่ง ศาลสั่งให้จ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มได้สูงสุด 2 เท่าของค่าเสียหายจริง (มาตรา 78)

Checklist สำหรับโรงพยาบาล

ทำบันทึกรายการกิจกรรมการประมวลผล (RoPA) ว่าเก็บข้อมูลอะไร เพื่ออะไร ใช้ฐานใด และส่งให้ใคร
แยกกิจกรรมที่อาศัยข้อยกเว้นด้านการรักษาออกจากกิจกรรมที่ต้องขอความยินยอม
ปรับแบบฟอร์มความยินยอมให้ชัดแจ้ง แยกส่วน และถอนได้ง่าย
มีประกาศความเป็นส่วนตัวสำหรับผู้ป่วยที่อ่านเข้าใจง่าย
มีช่องทางและขั้นตอนรับคำขอใช้สิทธิของผู้ป่วยภายใน 30 วัน
ทบทวนสิทธิ์เข้าถึงระบบ และตรวจบันทึกการเปิดดูเวชระเบียนเป็นประจำ
มีข้อตกลงการประมวลผลข้อมูลกับคู่สัญญาทุกราย รวมถึงผู้รับจ้างทำลายเอกสาร
มีแผนรับมือเหตุละเมิดที่ซ้อมแล้ว และแจ้ง สคส. ได้ภายใน 72 ชั่วโมง
แต่งตั้ง DPO และให้มีส่วนร่วมตั้งแต่เริ่มออกแบบโครงการ
ตรวจสอบเงื่อนไขก่อนส่งข้อมูลไปต่างประเทศหรือใช้คลาวด์

คำถามที่พบบ่อย

ผู้ป่วยขอให้โรงพยาบาลลบเวชระเบียนได้ไหม

สิทธิขอลบมีข้อจำกัด เพราะโรงพยาบาลต้องเก็บเวชระเบียนตามกฎหมายอื่นด้วย เช่น พ.ร.บ.สถานพยาบาล พ.ศ. 2541 กำหนดให้ผู้ดำเนินการสถานพยาบาลเอกชนเก็บบันทึกผู้ป่วยไว้ไม่น้อยกว่า 5 ปีนับแต่วันที่มารับบริการครั้งสุดท้าย

โรงพยาบาลต้องแต่งตั้ง DPO ไหม

โดยทั่วไปต้องมี เพราะมาตรา 41(3) กำหนดให้ผู้ควบคุมข้อมูลที่มีกิจกรรมหลักเป็นการเก็บ ใช้ หรือเปิดเผยข้อมูลอ่อนไหวตามมาตรา 26 ต้องจัดให้มี DPO ส่วนหน่วยงานของรัฐมีประกาศคณะกรรมการฯ กำหนดแยกต่างหาก

ฝ่าฝืน PDPA เรื่องข้อมูลสุขภาพมีโทษอะไรบ้าง

มีโทษทางปกครองปรับสูงสุด 5 ล้านบาท (มาตรา 84) โทษอาญาจำคุกและปรับกรณีใช้หรือเปิดเผยข้อมูลอ่อนไหวโดยมิชอบ (มาตรา 79) และค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มได้สูงสุด 2 เท่าของค่าเสียหายจริง (มาตรา 78)

PDPA กับข้อมูลสุขภาพ: สิ่งที่โรงพยาบาลต้องทำให้ถูกต้อง