กรณีศึกษา: คลินิกแห่งหนึ่ง – แชร์ข้อมูลสุขภาพลูกค้าโดยไม่แจ้ง

ลักษณะของธุรกิจ

       คลินิกเอกชนขนาดกลางในเขตกรุงเทพฯ ให้บริการเวชกรรมทั่วไป ตรวจสุขภาพ และเวชศาสตร์ชะลอวัย มีฐานข้อมูลลูกค้าระยะยาว และใช้ระบบ CRM ในการจัดเก็บผลตรวจสุขภาพ

เหตุการณ์เกิดขึ้นอย่างไร?

       ลูกค้ารายหนึ่งเข้ารับบริการตรวจสุขภาพและทำเวชระเบียนกับคลินิกแห่งนี้ โดยในระหว่างขั้นตอนการลงทะเบียน ไม่มีการแจ้งว่าข้อมูลจะถูกนำไปใช้เพื่อวัตถุประสงค์อื่นใดนอกจากการรักษา

       ต่อมา ลูกค้ารายเดียวกันได้รับการติดต่อจาก บริษัทประกันสุขภาพ พร้อมรายละเอียดการเสนอขายผลิตภัณฑ์ที่อิงกับ “ผลตรวจสุขภาพล่าสุด” ทำให้ลูกค้ารู้ทันทีว่า ข้อมูลสุขภาพของตนถูกเปิดเผยโดยคลินิกให้บุคคลภายนอก โดยที่ไม่ได้ให้ความยินยอม

ข้อผิดพลาดสำคัญที่พบ

ละเมิดการใช้ ข้อมูลอ่อนไหว (sensitive data)

• • • ข้อมูลสุขภาพถือเป็น “ข้อมูลอ่อนไหว” ตามมาตรา 26 แห่ง พ.ร.บ. PDPA

    • การเปิดเผยข้อมูลอ่อนไหวต้องใช้ “ความยินยอมโดยชัดแจ้ง” เท่านั้น

ไม่มีการแจ้งวัตถุประสงค์ในการเปิดเผยข้อมูล

• • • ขาดการแจ้งให้ชัดเจนว่าจะส่งข้อมูลให้บุคคลภายนอก เช่น บริษัทประกัน

ขาดนโยบายและกระบวนการควบคุมภายใน

• • • ไม่มีขั้นตอนขอความยินยอมก่อนส่งข้อมูล

    • ไม่มีเจ้าหน้าที่รับผิดชอบดูแลการใช้ข้อมูลภายนอก (เช่น DPO หรือเจ้าหน้าที่ไอที)

บทลงโทษและผลกระทบ

• • ได้รับบทลงโทษทางปกครองโดยถูกปรับ  500,000 บาท (ตามมาตรา 83 ของ PDPA)

  • คลินิกต้องส่งหนังสือขอโทษลูกค้าเป็นทางการ

  • ถูกนำกรณีขึ้นแจ้งผ่านสื่อโซเชียล เสียชื่อเสียงทางธุรกิจ

  • ต้องปรับปรุงนโยบายความเป็นส่วนตัว และเปลี่ยนระบบเก็บข้อมูลใหม่ทั้งหมด

บทเรียนที่ควรนำไปใช้

สรุป: ข้อมูลสุขภาพ = “ข้อมูลอ่อนไหว” ต้องคุ้มครองมากกว่าปกติ

ความเสียหายจากการเปิดเผยข้อมูลสุขภาพ อาจกระทบต่อชื่อเสียง หน้าที่การงาน และความเป็นส่วนตัวของบุคคลอย่างร้ายแรง
คลินิกและโรงพยาบาลต้องให้ความสำคัญมากเป็นพิเศษในการเก็บและเปิดเผยข้อมูลประเภทนี้