ข้ามไปเนื้อหาหลัก

Chatbot คลินิก​กับ PDPA มาตรา 26 ใคร​รับ​ผิด​ชอบ​ข้อมูล​สุขภาพ

อัปเดตล่าสุด 27 กันยายน 2569
เวลาอ่านประมาณ 14 นาที
Chatbot คลินิก​กับ PDPA มาตรา 26 ใคร​รับ​ผิด​ชอบ​ข้อมูล​สุขภาพ

KEY TAKEAWAYS

3 ประเด็น

ข้อมูล​สุขภาพ​อยู่​ใน​กลุ่ม​ข้อมูล​ที่มา​ตรา 26 ของ PDPA ห้าม​เก็บ​ถ้า​เจ้าของ​ข้อมูล​ไม่​ได้ยิน​ยอม​ไว้​อย่าง​ชัด​แจ้ง

เว้น​แต่​เข้า​ข้อ​ยกเว้น​ห้า​กรณี​ที่​ตัว​บท​ระบุ ข้อความ​ที่​คนไข้​พิมพ์​เล่า​อาการ​เข้า​มา​ใน​แชท​ของ​คลินิก​จึง​อยู่​ใต้​มาตรา​นี้

คลินิก​ที่​จ้าง​คน​อื่น​วาง​ระบบ​แช​ทบ​อท​ยัง​เป็น​ผู้​ควบคุม​ข้อมูล ส่วน​ผู้​วาง​ระบบ​เป็น​ผู้​ประมวล​ผล​ตาม​มาตรา 40

ผู้​ประมวล​ผล​ทำได้​ตาม​คำ​สั่ง​ของ​คลินิก​เท่านั้น และ​ตัว​บท​ให้​คลินิก​ทำ​ข้อ​ตกลง​กำกับ​งาน​ของ​ผู้​ประมวล​ผล​ไว้

โทษ​ปรับ​ทาง​ปกครอง​ตาม​ตัว​บท​แยก​ตาม​บทบาท

ผู้​ควบคุม​ที่​ฝ่าฝืน​มาตรา 26 วรรค​หนึ่ง​หรือ​วรรค​สาม​ถูก​ปรับ​ได้​ไม่​เกิน​ห้า​ล้าน​บาท​ตาม​มาตรา 84 ส่วน​ผู้​ประมวล​ผล​ที่​ไม่​ปฏิบัติ​ตาม​มาตรา 40 โดย​ไม่มี​เหตุ​อัน​ควร​ถูก​ปรับ​ได้​ไม่​เกิน​สาม​ล้าน​บาท​ตาม​มาตรา 86

Chatbot คลินิก​ที่​รับ​ข้อความ​เรื่อง​อาการ​เก็บ​ข้อมูล​สุขภาพ​ตาม PDPA มาตรา 26 คลินิก​เป็น​ผู้​ควบคุม​ข้อมูล ผู้​วาง​ระบบ​เป็น​ผู้​ประมวล​ผล​ตาม​มาตรา 40 และ​ต้อง​ทำ​ข้อ​ตกลง​กัน

ช่วง​ที่​คนไข้​ทัก​เข้า​มา​พร้อม​กัน​จน​แอ​ดมิน​ตอบ​ไม่ทัน เป็น​จังหวะ​ที่​หลาย​คลินิก​เริ่ม​คิด​เรื่อง​แช​ทบอท แต่​พอ​คุย​กับ​ผู้​วาง​ระบบ​ก็​เจอ​คำถาม​ที่​ไม่มี​ใคร​ตอบ​ให้​ชัด ข้อความ​ที่​คนไข้​พิมพ์​เล่า​อาการ​เก็บ​ไว้​ที่ไหน ใคร​เปิด​อ่าน​ได้ และ​ถ้า​ข้อมูล​รั่ว ใคร​ต้อง​รับ​ผิด​ชอบ บท​นี้​อ่าน​ตัว​บท​ของ PDPA เฉพาะ​มาตรา​ที่​เกี่ยว​กับ​แช​ทบ​อท​ของ​คลินิก เพื่อ​ให้​เจ้าของ​คลินิก​รู้​ว่า​ตัว​เอง​อยู่​ใน​บทบาท​ใด ผู้​วาง​ระบบ​อยู่​ใน​บทบาท​ใด และ​ต้อง​ตกลง​อะไร​กัน​ก่อน​เปิด​บอท​ให้​คนไข้​ใช้

ตัว​บท​ที่​ใช้​คือ PDPA ซึ่ง​ประกาศ​ใช้​ปี 2562 ฉบับ​ราช​กิจ​จา​นุ​เบกษา​ที่​สำนักงาน​คณะ​กรรมการ​คุ้มครอง​ข้อมูล​ส่วน​บุคคล​เผย​แพร่ ลง​วัน​ที่ 27 พฤษภาคม 2562 บท​นี้​ยก​มาตรา 26 37 40 41 84 และ 86 บริษัท ฟิจิ⁠ทัล เอ​เจน​ซี จำกัด (PHYGITAL AGENCY) รับ​วาง​ระบบ​แช​ทบ​อท​ให้​ธุรกิจ และ​ใช้​มาตรา​กลุ่ม​นี้​กำหนด​ขอบเขต​งาน​กับ​คลินิก บท​นี้​ไม่ใช่​คำ​ปรึกษา​กฎหมาย คลินิก​ควร​ให้​ที่​ปรึกษา​กฎหมาย​ของ​ตัว​เอง​ตรวจ​เอกสาร​ก่อน​ใช้​จริง

ข้อความ​ใน​แชท​ของ​คลินิก​เป็น​ข้อมูล​สุขภาพ​เมื่อไร

มาตรา 26 วรรค​หนึ่ง ห้าม​เก็บ​ข้อมูล​ส่วน​บุคคล​กลุ่ม​หนึ่ง เว้น​แต่​เจ้าของ​ข้อมูล​ยินยอม​อย่าง​ชัด​แจ้ง ตัว​บท​ระบุ​ข้อมูล​ใน​กลุ่ม​นี้​ไว้​สิบ​เอ็ด​ประเภท

ประเภท​ข้อมูล​ตาม​มาตรา 26 เกี่ยว​กับ​แชท​คลินิก​โดยตรง​ไหม
ข้อมูล​สุขภาพ เกี่ยว อาการ ประวัติการ​รักษา ยา​ที่​ใช้
ความ​พิการ เกี่ยว​เมื่อ​คนไข้​แจ้ง​เพื่อ​ขอ​ความ​ช่วย​เหลือ
ข้อมูล​พันธุกรรม เกี่ยว​กับ​คลินิก​ที่​ให้​บริการ​ตรวจ​ยีน
ข้อมูล​ชีวภาพ เกี่ยว​เมื่อ​ระบบ​ใช้ใบ​หน้า​หรือ​ลาย​นิ้ว​มือ​ยืนยัน​ตัว​ตน
พฤติกรรม​ทาง​เพศ เกี่ยว​กับ​คลินิก​ที่​ให้​บริการ​ด้าน​นี้
เชื้อ​ชาติ เผ่า​พันธุ์ ความ​คิด​เห็น​ทางการ​เมือง ความ​เชื่อ​ใน​ลัทธิ ศาสนา​หรือ​ปรัชญา ประวัติ​อาชญากรรม ข้อมูล​สหภาพแรงงาน ไม่​เกี่ยว​กับ​งาน​นัด​หมาย ไม่​ควร​มี​คำถาม​ที่​ขอ​ข้อมูล​เหล่า​นี้

แชท​ของ​คลินิก​ได้​รับ​ข้อความ​สอง​แบบ​ปน​กัน แบบ​แรก​คือ​คำถาม​ทั่วไป เช่น เปิด​กี่​โมง ราคา​เท่าไร จอด​รถ​ได้​ไหม แบบ​ที่​สอง​คือ​ข้อความ​ที่​คนไข้​เล่า​อาการ​หรือ​ประวัติ​ของ​ตัว​เอง เช่น ปวด​ฟัน​มา​สาม​วัน กิน​ยาค​วาม​ดัน​อยู่ แพ้​ยา​ตัว​ไหน ข้อความ​แบบ​ที่​สอง​เป็น​ข้อมูล​สุขภาพ​ทันที​ที่​ระบบ​บันทึก​ไว้​คู่​กับ​ชื่อ​หรือ​บัญชี​ของ​คนไข้ ไม่​ว่า​บอท​จะ​ถาม​หรือ​คนไข้​พิมพ์​มา​เอง

บอท​ที่​ถาม​แค่​ชื่อ​และ​เวลา​นัด เก็บ​ข้อมูล​สุขภาพ​ด้วย​ไหม

ชื่อ เบอร์​โทร และ​เวลา​นัด​เป็น​ข้อมูล​ส่วน​บุคคล​ทั่วไป ยัง​ไม่ใช่​ข้อมูล​ตาม​มาตรา 26 แต่​เมื่อ​บอท​ถาม​ว่า​มา​ด้วย​อาการ​อะไร หรือ​ให้​เลือก​แผนก​ที่​บอก​โรค​ได้ คำ​ตอบ​นั้น​กลาย​เป็น​ข้อมูล​สุขภาพ การ​ออกแบบ​คำถาม​จึง​เป็น​จุด​ตัดสิน​ว่า​ระบบ​จะ​เก็บ​ข้อมูล​กลุ่ม​ใด คลินิก​ที่​ต้องการ​แค่​จอง​คิว​สามารถ​เลือก​ไม่​ถาม​อาการ​ใน​แช​ท​ได้

ข้อ​ยกเว้น​เรื่อง​การ​รักษา​ใช้​กับ​บอ​ท​ได้​แค่​ไหน

มาตรา 26 มี​ข้อ​ยกเว้น​ห้า​กรณี​ที่​เก็บ​ได้​โดย​ไม่​ต้อง​ขอ​ความ​ยินยอม​โดย​ชัด​แจ้ง กรณี​ที่​คลินิก​มัก​อ้าง​คือ (5) (ก) ซึ่ง​ตัว​บท​เขียน​ว่า​เป็นการ​จำเป็น​ใน​การ​ปฏิบัติ​ตาม​กฎหมาย​เพื่อ​บรรลุ​วัตถุประสงค์​ด้าน​เวชศาสตร์​ป้องกัน​หรือ​อาชีว​เวชศาสตร์ การ​วินิจฉัย​โรค​ทางการ​แพทย์ การ​ให้​บริการ​ด้าน​สุขภาพ การ​รักษา​ทางการ​แพทย์ หรือ​การ​จัดการ​ด้าน​สุขภาพ

ข้อ​ยกเว้น​นี้​มี​เงื่อนไข​กำกับ​ใน​ตัว​บท​เอง ใน​กรณี​ที่​ไม่ใช่​การ​ปฏิบัติ​ตาม​กฎหมาย ข้อมูล​นั้น​ต้อง​อยู่​ใน​ความ​รับ​ผิด​ชอบ​ของ​ผู้​ประกอบ​วิชาชีพ​หรือ​ผู้​มีหน้า​ที่​รักษา​ความ​ลับ​ตาม​กฎหมาย และ​ต้อง​เป็นการ​ปฏิบัติ​ตาม​สัญญา​ระหว่าง​เจ้าของ​ข้อมูล​กับ​ผู้​ประกอบ​วิชาชีพ​ทางการ​แพทย์

เงื่อนไข​นี้​ใช้​กับ​แช​ท​ได้​ไม่​เท่า​กัน​ทุก​ขั้น​ตอน ข้อความ​ที่​แพทย์​ใช้​ประกอบ​การ​รักษา​คนไข้​ที่​ลง​ทะเบียน​แล้ว อยู่​ใกล้​ข้อ​ยกเว้น​นี้​มากกว่า ส่วน​ข้อความ​จาก​คน​ที่​ทัก​มา​ถาม​ราคา​ครั้ง​แรก ยัง​ไม่มี​ความ​สัมพันธ์​การ​รักษา​หรือ​สัญญา​กับ​ผู้​ประกอบ​วิชาชีพ การ​ขอ​ความ​ยินยอม​โดย​ชัด​แจ้ง​ก่อน​ให้​คนไข้​เล่า​อาการ​ใน​แชท​จึง​เป็น​ทาง​ที่​ชัด​กว่า​การ​อ้าง​ข้อ​ยกเว้น

ปุ่ม "ยอมรับ" ใน​แช​ทนับ​เป็น​ความ​ยินยอม​โดย​ชัด​แจ้ง​ไหม

ตัว​บท​มาตรา 26 ใช้​คำ​ว่า​ความ​ยินยอม​โดย​ชัด​แจ้ง และ​มาตรา 19 กำหนด​หลัก​ทั่วไป​ของ​การ​ขอ​ความ​ยินยอม​ไว้ เช่น ต้อง​แยก​ออก​จาก​ข้อความ​อื่น​ให้​ชัด​และ​ใช้​ภาษา​ที่​เข้าใจ​ง่าย ปุ่ม​ที่​บอก​ชัด​ว่า​คนไข้​ยินยอม​ให้​คลินิก​เก็บ​ข้อมูล​อาการ​เพื่อ​ใช้​นัด​หมาย​และ​ประกอบ​การ​รักษา และ​ให้​เลือก​ไม่​ยินยอม​ได้ ใกล้​เคียง​กับ​หลัก​นี้​มากกว่า​ข้อความ​ยาว​ที่​ซ่อน​ไว้​ใน​ลิงก์​นโยบาย

คลินิก​กับ​ผู้​วาง​ระบบ ใคร​ทำ​หน้าที่​อะไร

PDPA แยก​บทบาท​สอง​แบบ ผู้​ควบคุม​ข้อมูล​คือ​ผู้​ตัดสิน​ว่า​จะ​เก็บ​ข้อมูล​อะไร และ​ใช้​หรือ​เปิด​เผยอ​ย่าง​ไร ส่วน​ผู้​ประมวล​ผล​คือ​ผู้​ดำเนิน​การ​ตาม​คำ​สั่ง​หรือ​ใน​นาม​ของ​ผู้​ควบคุม เมื่อ​คลินิก​จ้าง​บริษัท​ภายนอก​วาง​ระบบ​แช​ทบ​อท​และ​ดูแล​ระบบ​ให้ คลินิก​ยัง​เป็น​ผู้​ควบคุม เพราะ​คลินิก​เป็น​ผู้​ตัดสิน​ว่า​จะ​ถาม​อะไร​และ​เอา​ข้อมูล​ไป​ใช้​ทำ​อะไร

หน้าที่​ของ​ผู้​ประมวล​ผลอ​ยู่​ใน​มาตรา 40 มี​สาม​ข้อ

  1. ทำ​ตาม​คำ​สั่ง​ของ​ผู้​ควบคุม​เท่านั้น ยกเว้น​คำ​สั่ง​ที่​ผิด​กฎหมาย ถ้า​ผู้​ประมวล​ผล​ใช้​ข้อมูล​นอก​คำ​สั่ง ตัว​บท​ให้​ถือว่า​ผู้​ประมวล​ผล​เป็น​ผู้​ควบคุม​สำหรับ​การ​ใช้​ครั้ง​นั้น
  2. ดูแล​ความ​ปลอดภัย​ของ​ข้อมูล​ให้​เหมาะ​สม และ​แจ้ง​ผู้​ควบคุม​เมื่อ​เกิด​เหตุ​ละเมิด​ข้อมูล
  3. ทำ​บันทึก​ว่า​ประมวล​ผล​ข้อมูล​อะไร​ไป​บ้าง​และ​เก็บ​บันทึก​นั้น​ไว้ รูป​แบบ​ให้​เป็น​ไป​ตาม​ประกาศ​ของ​คณะ​กรรมการ

วรรค​ท้าย​ของ​มาตรา 40 เปิด​ช่อง​ให้​ยกเว้น​ข้อ 3 แก่​ผู้​ประมวล​ผล​ที่​เป็น​กิจการ​ขนาด​เล็ก แต่​ข้อ​ยกเว้น​นั้น​ไม่​ใช้​เมื่อ​มี​การ​ประมวล​ผล​ข้อมูล​ตาม​มาตรา 26 ผู้​วาง​ระบบ​แช​ทบ​อท​ให้​คลินิก​ที่​รับ​ข้อความ​เรื่อง​อาการ​จึง​ต้อง​ทำ​บันทึก​รายการ​เสมอ ไม่​ว่า​บริษัท​จะ​เล็ก​แค่​ไหน

มาตรา​เดียวกัน​กำหนด​ให้​ผู้​ควบคุม​จัด​ให้​มี​ข้อ​ตกลง​กับ​ผู้​ประมวล​ผล เพื่อ​ควบคุม​การ​ทำงาน​ให้​เป็น​ไป​ตาม​กฎหมาย ข้อ​ตกลง​นี้​คือ​เอกสาร​ที่​คลินิก​ควร​ขอ​เห็น​ก่อน​เซ็น​สัญญา​จ้าง​วาง​ระบบ

ผู้​ให้​บริการ​แช​ทอ​ย่าง LINE หรือ Facebook อยู่​ใน​บทบาท​ไหน

ตัว​บท​ไม่​ได้​ระบุ​ชื่อ​แพลตฟอร์ม บทบาท​ขึ้น​กับ​ว่า​ใคร​ตัดสิน​ใจ​เรื่อง​การ​ใช้​ข้อมูล​ใน​แต่ละ​ขั้น แพลตฟอร์ม​แช​ทมี​ข้อ​กำหนด​และ​นโยบาย​ความ​เป็น​ส่วน​ตัว​ของ​ตัว​เอง คลินิก​ควร​อ่าน​เงื่อนไข​ของ​แพลตฟอร์ม​ที่​ใช้ ว่า​ข้อความ​ถูก​เก็บ​ไว้​ที่​ใด​และ​นาน​เท่าไร ก่อน​ตัดสิน​ใจ​ให้​คนไข้​เล่า​อาการ​ผ่าน​ช่อง​ทาง​นั้น

หน้าที่​ของ​คลินิก​เมื่อ​ข้อมูล​ใน​แช​ทรั่ว

มาตรา 37 วาง​หน้าที่​ของ​ผู้​ควบคุม​ไว้​หลาย​ข้อ ข้อ​ที่​เกี่ยว​กับ​แช​ทบ​อท​โดยตรง​มี​สาม​ข้อ

  1. ข้อ (1) ความ​ปลอดภัย​ของ​ข้อมูล คลินิก​ต้อง​กัน​ข้อมูล​ไม่​ให้​หาย ถูก​แก้ ถูก​เปิด​อ่าน หรือ​ถูก​นำ​ไป​ใช้​โดย​คน​ที่​ไม่มี​อำนาจ และ​ต้อง​ทบทวน​วิธี​ป้องกัน​เมื่อ​เทคโนโลยี​เปลี่ยน
  2. ข้อ (2) การ​ส่ง​ข้อมูล​ต่อ เมื่อ​คลินิก​ส่ง​ข้อมูล​ให้​คนนอก เช่น ผู้​วาง​ระบบ คลินิก​ต้อง​กัน​ไม่​ให้​ผู้รับ​นำ​ข้อมูล​ไป​ใช้​หรือ​เปิด​เผย​เกิน​อำนาจ
  3. ข้อ (4) แจ้ง​เหตุ​ละเมิด คลินิก​ต้อง​แจ้ง​สำนักงาน​คณะ​กรรมการ​ภายใน 72 ชั่วโมง​หลัง​รู้​เหตุ​เท่า​ที่​ทำได้ ยกเว้น​เหตุ​ที่​ไม่​เสี่ยง​จะ​กระทบ​สิทธิ​ของ​คน และ​ถ้า​เสี่ยง​สูง ต้อง​บอก​คนไข้​ที่​เป็น​เจ้าของ​ข้อมูล​ด้วย​ว่า​จะ​เยียวยา​อย่างไร

ข้อ (4) เป็น​เหตุผล​ที่​คลินิก​ต้อง​รู้​ว่า​ผู้​วาง​ระบบ​จะแจ้ง​เหตุ​ให้​คลินิก​ทราบ​ภายใน​เวลา​เท่าไร เพราะ​มาตรา 40 (2) ให้​ผู้​ประมวล​ผล​แจ้ง​เหตุ​แก่​ผู้​ควบคุม​แต่​ไม่​ได้​กำหนด​เวลา​ไว้​ใน​ตัว​บท คลินิก​จึง​ต้อง​เขียน​กรอบ​เวลา​นี้​ไว้​ใน​ข้อ​ตกลง

มาตรา 41 (3) ยัง​กำหนด​ให้​ผู้​ควบคุม​และ​ผู้​ประมวล​ผล​ต้อง​มี​เจ้า​หน้าที่​คุ้มครอง​ข้อมูล (DPO) เมื่อ​งาน​หลัก​ของ​องค์กร​คือ​การ​จัดการ​ข้อมูล​ตาม​มาตรา 26 คลินิก​ที่​ดูแล​ข้อมูล​สุขภาพ​ของ​คนไข้​เป็น​งาน​หลัก​ควร​ให้​ที่​ปรึกษา​กฎหมาย​ประเมิน​ว่า​เข้า​ข่าย​ข้อ​นี้​หรือ​ไม่

ถ้า​ข้อมูล​รั่ว​จาก​ระบบ​ของ​ผู้​วา​งบอท คลินิก​ต้อง​รับ​ผิด​ด้วย​ไหม

ตัว​บท​วาง​หน้าที่​ไว้​ทั้ง​สอง​ฝ่าย คลินิก​ใน​ฐานะ​ผู้​ควบคุม​มีหน้า​ที่​ตาม​มาตรา 37 รวม​ถึง​การ​ป้องกัน​ไม่​ให้​ผู้รับ​ข้อมูล​ใช้​โดย​มิ​ชอบ ส่วน​ผู้​วาง​ระบบ​มีหน้า​ที่​ตาม​มาตรา 40 และ​มี​โทษ​ปรับ​ของ​ตัว​เอง​ตาม​มาตรา 86 การ​จ้าง​คน​อื่น​จึง​ไม่​ได้​โอน​หน้าที่​ของ​คลินิก​ออก​ไป ข้อ​ตกลง​ระหว่าง​กัน​เป็น​เครื่อง​มือ​กำหนด​ว่า​ใคร​ทำ​อะไร และ​ช่วย​ให้​พิสูจน์​ได้​ว่า​คลินิก​ทำ​หน้าที่​ของ​ตัว​เอง​แล้ว

จุด​ที่​บอท​ต้อง​ส่ง​ต่อ​ให้​คน​ตอบ

ตัว​บท​ไม่​ได้​กำหนด​ว่า​บอท​ต้อง​ส่ง​ต่อ​ให้​คน​เมื่อ​ใด เรื่อง​นี้​เป็นการ​ออกแบบ​ของ​คลินิก​เอง แต่​เป็นการ​ออกแบบ​ที่​กำหนด​ว่า​ข้อมูล​สุขภาพ​จะ​ถูก​เก็บ​ใน​ระบบ​ใด​และ​มาก​เท่าไร จุด​ส่ง​ต่อ​ที่​คลินิก​ควร​วาง​ไว้​ตั้งแต่​แรก​มี​ห้า​จุด

  1. คนไข้​เริ่ม​เล่า​อาการ ส่ง​ต่อ​ให้​เจ้า​หน้าที่​ที่​มีหน้า​ที่​รักษา​ความ​ลับ แทน​ให้​บอท​ถาม​ต่อ
  2. คนไข้​ถาม​เรื่อง​ยา​หรือ​การ​ปฏิบัติ​ตัว คำถาม​แบบ​นี้​ต้อง​ให้​บุคลากร​ที่​มี​คุณวุฒิ​ตอบ
  3. ข้อความ​บอก​ถึง​ภาวะฉุกเฉิน บอท​ต้อง​แสดง​เบอร์​ฉุกเฉิน​และ​ช่อง​ทาง​ติดต่อ​คลินิก​ทันที
  4. คนไข้​ขอ​คุย​กับ​คน ทุก​ครั้ง​ที่​คนไข้​พิมพ์​ขอ ระบบ​ควร​ส่ง​ต่อ​โดย​ไม่​ถาม​ซ้ำ
  5. คนไข้​ขอ​ถอน​ความ​ยินยอม​หรือ​ขอ​ลบ​ข้อมูล ส่ง​ให้​ผู้​ที่​ได้​รับ​มอบ​หมาย​เรื่อง​ข้อมูล​ส่วน​บุคคล​ของ​คลินิก

จุด​ส่ง​ต่อ​ทั้ง​ห้า​ช่วย​ให้​บอท​ทำงาน​ใน​ส่วน​ที่​ไม่​ต้อง​ใช้​วิจารณญาณ​ทางการ​แพทย์ เช่น เวลา​ทำการ ที่​ตั้ง ราคา​บริการ​ตาม​ประกาศ และ​การ​จอง​คิว ส่วน​ที่​ต้อง​ใช้​วิจารณญาณ​ยัง​อยู่​กับ​คน

บอท AI ที่​ตอบ​เก่ง​แล้ว ยัง​ต้อง​ส่ง​ต่อ​ให้​คน​อยู่​ไหม

ต้อง​ส่ง เพราะ​คำ​ตอบ​เรื่อง​อาการ​หรือ​ยา​เป็น​คำ​แนะนำ​ทางการ​แพทย์​ที่​ผู้​ตอบ​ต้อง​รับ​ผิด​ชอบ​ได้ และ​บอ​ท​ไม่​ได้​เป็น​ผู้​ประกอบ​วิชาชีพ อีก​เหตุผล​คือ​ทุก​คำถาม​ที่​บอท​ตอบ​เอง​คือ​ข้อความ​ที่​ระบบ​ต้อง​เก็บ​ไว้ การ​ส่ง​ต่อ​เร็ว​ลด​ทั้ง​ความ​เสี่ยง​ของ​คำ​ตอบ​ผิด​และ​ปริมาณ​ข้อมูล​สุขภาพ​ที่​ค้าง​อยู่​ใน​ระบบ​ขอ​งบอท

เรื่อง​ที่​ตัว​บท​ยัง​ไม่​ได้​ลง​ราย​ละเอียด

บท​นี้​อ่าน​จาก​ตัวพระ​ราช​บัญญัติ​เท่านั้น มี​หลาย​เรื่อง​ที่​ตัว​บท​มอบ​ให้​คณะ​กรรมการ​ประกาศ​เพิ่ม หรือ​ไม่​ได้​พูด​ถึง​โดยตรง

  1. มาตรฐาน​ขั้น​ต่ำ​ของ​มาตรการ​ความ​ปลอดภัย มาตรา 37 (1) ชี้​ไป​ที่​มาตรฐาน​ที่​คณะ​กรรมการ​ประกาศ​กำหนด ซึ่ง​ออก​เป็นประกาศ​เรื่อง​มาตรการ​รักษา​ความ​มั่นคง​ปลอดภัย​ของ​ผู้​ควบคุม​ข้อมูล พ.ศ. 2565 บท​นี้​ไม่​ได้​ลง​ราย​ละเอียด​ประกาศ​นั้น
  2. รูป​แบบ​บันทึก​รายการ​ของ​ผู้​ประมวล​ผล มาตรา 40 (3) ส่ง​ต่อ​ราย​ละเอียด​ไป​ให้​ประกาศ​ของ​คณะ​กรรมการ ซึ่ง​ออก​เป็นประกาศ​หลัก​เกณฑ์​บันทึก​รายการ​ของ​ผู้​ประมวล​ผล พ.ศ. 2565 ส่วน​ผู้​ประมวล​ผล​ที่​เป็น​กิจการ​ขนาด​เล็ก​ได้​รับ​ยกเว้น​ตามประกาศ​ปี 2567 เว้น​แต่​ต้อง​มี DPO หรือ​ข้อมูล​มี​ความ​เสี่ยง เป็น​ข้อมูล​ตาม​มาตรา 26 หรือ​การ​ประมวล​ผล​นั้น​ไม่ใช่​งาน​ที่​ทำ​เป็น​ครั้ง​คราว
  3. ความ​หมาย​ของ "กิจกรรม​หลัก" ใน​มาตรา 41 (3) ตัว​บท​ไม่​ได้​นิยาม คลินิก​แต่ละ​แห่ง​ต้อง​ประเมิน​ตาม​ลักษณะ​งาน​ของ​ตัว​เอง
  4. การ​ส่ง​ข้อมูล​ไป​ต่าง​ประเทศ ถ้า​ระบบ​ขอ​งบ​อท​หรือ​โมเดล AI เก็บ​ข้อมูล​บน​เซิร์ฟเวอร์​นอก​ประเทศ มี​เงื่อนไข​เพิ่ม​ใน​มาตรา 28 และ 29 ซึ่ง​บท​นี้​ไม่​ได้​ลง​ราย​ละเอียด
  5. กฎหมาย​วิชาชีพ​และ​กฎหมาย​สถาน​พยาบาล หน้าที่​รักษา​ความ​ลับ​ของ​ผู้​ประกอบ​วิชาชีพ​มี​กฎหมาย​ของ​ตัว​เอง​อีก​ชั้น

ตรวจ​ระบบ​ก่อน​เปิด​ให้​คนไข้​ทัก

วัน​แรก​ที่​บอ​ท​เปิด​รับ​ข้อความ​จาก​คนไข้ ข้อความ​แรก​ที่​เข้า​มา​อาจ​เป็น​คำถาม​เรื่อง​ราคา หรือ​อาจ​เป็นการ​เล่า​อาการ​ยาว​หลาย​บรรทัด​พร้อม​รูป​ผล​ตรวจ ระบบ​ต้อง​พร้อม​รับ​ทั้ง​สอง​แบบ​ตั้งแต่​ชั่วโมง​แรก ก่อน​เปิด​ใช้ คลินิก​ตรวจ​ได้​หก​เรื่อง

  1. รายการ​คำถาม​ขอ​งบอท ไล่​ดู​ที​ละ​ข้อ​ว่า​คำ​ตอบ​ข้อ​ไหน​เป็น​ข้อมูล​ตาม​มาตรา 26 และ​ตัด​ข้อ​ที่​ไม่​จำเป็น​ออก
  2. ข้อความ​ขอ​ความ​ยินยอม แยก​จาก​ข้อความ​อื่น ใช้​ภาษา​ง่าย และ​ให้​เลือก​ไม่​ยินยอม​ได้
  3. ข้อ​ตกลง​กับ​ผู้​วาง​ระบบ มี​รายการ​คำ​สั่ง​ที่​ผู้​ประมวล​ผล​ต้อง​ทำ​ตาม และ​กรอบ​เวลา​ที่​ผู้​วาง​ระบบ​ต้อง​แจ้ง​เหตุ​ละเมิด​ให้​คลินิก นับ​จาก​ตอน​ที่​ผู้​วาง​ระบบ​ทราบ​เหตุ
  4. สิทธิ์​เข้า​ถึง​ประ​วัติ​แชท ราย​ชื่อ​คน​ที่​เปิด​อ่าน​ได้​ทั้ง​ฝั่ง​คลินิก​และ​ฝั่ง​ผู้​วาง​ระบบ
  5. จุด​ส่ง​ต่อ​ให้​คน ทดสอบ​ทั้ง​ห้า​จุด​ด้วย​ข้อความ​จริง​ก่อน​เปิด​ใช้
  6. ระยะ​เวลา​เก็บ​และ​วิธี​ลบ กำหนด​เป็น​ตัวเลข​และ​ทดสอบ​ว่า​ระบบ​ลบ​ได้​จริง

ข้อ​จำกัด​ด้าน​เวลา​ตอบ​ของ​แพลตฟอร์ม​แชท ซึ่ง​เป็น​อีก​เงื่อนไข​ที่​บอท​ต้อง​รองรับ สรุป​ไว้​ในรับ​เซ็​ตระ​บบ Chatbot AI กับ​หน้าต่าง​เวลา​ที่​แพลตฟอร์ม​กำหนด เนื้อหา​บน​เว็บ​คลินิก​ที่​บอท​ใช้​ตอบ​คำถาม​ทั่วไป มี​เกณฑ์​ของ Google เรื่อง​ผู้​เขียน​อยู่​ในSEO คลินิก​และ​ทันต​กรรม หน้า YMYL ที่​ต้อง​บอก​ว่า​ใคร​เขียน ส่วน​การ​ยิง​โฆษณา​พา​คนไข้​เข้า​แชท มี​ข้อ​ห้าม​เรื่อง​กลุ่ม​เป้า​หมาย​ด้าน​สุขภาพ​แยก​ไว้​ในโฆษณา​คลินิก​บน Google และ Meta กลุ่ม​เป้า​หมาย​ที่​ใช้​ไม่​ได้ ขอบเขต​งาน​วาง​ระบบ​ดู​ได้ที่​หน้าบริการ Chatbot

ใคร​ใน​คลินิก​ควร​เป็น​เจ้าของ​รายการ​ตรวจ​นี้

ควร​เป็น​คน​เดียว​กับ​ที่​ดูแล​เรื่อง​ข้อมูล​ส่วน​บุคคล​ของ​คลินิก ไม่ใช่​ทีม​การ​ตลาด​อย่าง​เดียว เพราะ​รายการ​นี้​ผูก​กับ​หน้าที่​ของ​ผู้​ควบคุม​ตาม​มาตรา 37 และ​ต้อง​ทบทวน​ทุก​ครั้ง​ที่​เปลี่ยน​ผู้​วาง​ระบบ เพิ่ม​คำถาม​ใหม่​ใน​บอท หรือ​เปลี่ยน​แพลตฟอร์ม​แชท

สรุป

ข้อความ​ที่​คนไข้​เล่า​อาการ​ใน​แชท​ของ​คลินิก​เป็น​ข้อมูล​สุขภาพ​ตาม​มาตรา 26 ของ PDPA ซึ่ง​คลินิก​ต้อง​ขอ​คำ​ยินยอม​แบบ​ชัด​แจ้ง​ก่อน เว้น​แต่​เข้า​ข้อ​ยกเว้น และ​ข้อ​ยกเว้น​ด้าน​การ​รักษา​มี​เงื่อนไข​เรื่อง​ผู้​ประกอบ​วิชาชีพ​กำกับ คลินิก​ที่​จ้าง​คน​อื่น​วา​งบ​อท​ยัง​เป็น​ผู้​ควบคุม​ข้อมูล ต้อง​ดูแล​การ​รักษา​ความ​ปลอดภัย และ​เมื่อ​ข้อมูล​รั่ว​ต้อง​แจ้ง​สำนักงาน​คณะ​กร​รม​การฯ ภายใน 72 ชั่วโมง​นับ​แต่​คลินิก​ทราบ​เหตุ​ตาม​มาตรา 37 (4) ยกเว้น​เหตุ​ที่​ไม่​เสี่ยง​กระทบ​สิทธิ​ของ​คนไข้ ส่วน​ผู้​วาง​ระบบ​เป็น​ผู้​ประมวล​ผล​ตาม​มาตรา 40 ทำได้​เฉพาะ​ตาม​คำ​สั่ง ต้อง​มี​มาตรการ​ความ​ปลอดภัย​พร้อม​แจ้ง​เหตุ​ให้​คลินิก และ​ต้อง​ทำ​บันทึก​รายการ การ​วาง​จุด​ส่ง​ต่อ​ให้​คน​ตั้งแต่​แรก​ช่วย​ลด​ข้อมูล​สุขภาพ​ที่​ค้าง​อยู่​ใน​ระบบ​ขอ​งบอท

คำถามที่พบบ่อย (FAQ)

ตัว​บท​ไม่​ได้​ยกเว้น​ผู้​ควบคุม​ตาม​ขนาด​ใน​เรื่อง​ข้อมูล​ตาม​มาตรา 26 และ​ข้อ​ยกเว้น​เรื่อง​บันทึก​รายการ​ของ​ผู้​ประมวล​ผล​ขนาด​เล็ก​ใน​มาตรา 40 ก็​ไม่​ใช้​เมื่อ​มี​ข้อมูล​ตาม​มาตรา 26 คลินิก​เล็ก​จึง​ควร​เริ่ม​จาก​ลด​ข้อมูล​สุขภาพ​ที่​ไหล​เข้า​แชท​ให้​น้อย​ที่สุด

มาตรา 37 (3) ให้​ผู้​ควบคุม​มี​ระบบ​คอย​ตรวจ​และ​ลบ​ข้อมูล​ที่​เก็บ​ครบ​กำหนด​แล้ว หรือ​ที่​เกิน​ความ​จำเป็น​สำหรับ​วัตถุประสงค์​เดิม คลินิก​ควร​กำหนด​ระยะ​เวลา​เก็บ​ประ​วัติ​แช​ท​แยก​จาก​เวช​ระเบียน และ​ตั้ง​ระบบ​ลบ​ตาม​ระยะ​นั้น

ข้อความ​เตือน​นัด​ที่​คนไข้​ขอ​ไว้​เกี่ยว​กับ​การ​รับ​บริการ​โดยตรง ส่วน​โปรโมชัน​เป็นการ​ใช้​ข้อมูล​เพื่อ​การ​ตลาด​ซึ่ง​เป็น​วัตถุประสงค์​อีก​แบบ คลินิก​ควร​ขอ​ความ​ยินยอม​แยก​สำหรับ​การ​ส่ง​ข่าวสาร​ทางการ​ตลาด และ​ให้​คนไข้​ยกเลิก​รับ​ได้​ง่าย

ต้อง​ดู​ว่า​ข้อความ​ของ​คนไข้​ถูก​ส่ง​ไป​ประมวล​ผล​ที่​ใด และ​ผู้​ให้​บริการ​โมเดล​นำ​ข้อมูล​ไป​ใช้​อย่างไร ถ้า​ข้อมูล​สุขภาพ​ถูก​ส่ง​ออก​นอก​ประเทศ จะ​มี​เงื่อนไข​ตาม​มาตรา 28 และ 29 เพิ่ม​เข้า​มา การ​ตั้ง​บอท​ให้​ตอบ​เฉพาะ​ข้อมูล​ทั่วไป​ของ​คลินิก​และ​ส่ง​ต่อ​เมื่อ​เริ่ม​มี​ข้อมูล​สุขภาพ​ช่วย​ลด​ประเด็น​นี้​ได้​มาก

รูป​แผล​และ​ผล​ตรวจ​ที่​ผูก​กับ​ตัว​คนไข้​เป็น​ข้อมูล​สุขภาพ ควร​ตั้ง​ให้​บอ​ท​แจ้ง​ว่า​ไม่​รับ​ไฟล์​ทางการ​แพทย์​ใน​ช่อง​นี้ แล้ว​ส่ง​ต่อ​ให้​เจ้า​หน้าที่​ซึ่ง​จะ​แนะนำ​ช่อง​ทาง​ที่​คลินิก​กำหนด​ไว้​สำหรับ​ข้อมูล​ลักษณะ​นี้

PHYGITAL INSIGHT

ฟิจิ⁠ทัล​พบ​ว่า​คำถาม​ที่​คลินิก​ถาม​น้อย​ที่สุด​ตอน​จ้าง​วาง​แช​ทบ​อท​คือ บอท​ควร​หยุด​ตอบ​ตรง​ไหน ทั้ง​ที่​คำ​ตอบ​ของ​ข้อ​นี้​กำหนด​ว่า​ข้อมูล​สุขภาพ​ไหล​ไป​อยู่​ใน​ระบบ​ใด​บ้าง ทีม​จึง​วาง​จุด​ส่ง​ต่อ​ให้​เจ้า​หน้าที่​ของ​คลินิก​ก่อน​เขียน​บท​สนทนา​ชุด​แรก และ​ร่าง​รายการ​คำ​สั่ง​ที่​ผู้​ประมวล​ผล​ต้อง​ทำ​ตาม​มาตรา 40 ให้​คลินิก​ตรวจ​ก่อน​เซ็น บริการ Chatbot ของ​ฟิจิ⁠ทัล​จึง​ตั้ง​ค่า​การ​ส่ง​ต่อ​ให้​คน​เป็น​ส่วน​หลัก​ของ​งาน​ตั้งแต่​แรก

ให้ PHYGITAL AGENCY ช่วยต่อยอดเรื่องนี้สู่ผลลัพธ์จริง

แช​ทบ​อท​คลินิก​ที่​ดี​รู้​ว่า​ต้อง​หยุด​ตอบ​ตรง​ไหน

ก่อน​เขียน​บท​สนทนา​ชุด​แรก บริษัท ฟิจิ⁠ทัล เอ​เจน​ซี จำกัด นั่ง​ไล่​คำถาม​ทุก​ข้อ​ใน​บอ​ทกับ​คลินิก แยก​ข้อ​ที่​เป็น​ข้อมูล​สุขภาพ วาง​จุด​ส่ง​ต่อ​ให้​เจ้า​หน้าที่ และ​ร่าง​รายการ​คำ​สั่ง​ของ​ผู้​ประมวล​ผล​ให้​ที่​ปรึกษา​กฎหมาย​ของ​คลินิก​ตรวจ​ก่อน​เริ่ม​งาน

PARANATH PANARATANA

WRITTEN BY

PARANATH PANARATANA

CHAIRMAN OF PHYGITAL AGENCY

ประธานกรรมการบริษัท ฟิจิทัล เอเจนซี จำกัด มีประสบการณ์ดูแลการตลาดที่ผสานโลกจริงและโลกออนไลน์เข้าด้วยกัน ตลอดจนเป็นที่ปรึกษาในการวินิจฉัยธุรกิจ อีกทั้งยังเคยทำงานในสายวิดีโอโปรดักชั่นและภาพยนตร์ไทยอีกด้วย