พี่สยามขอถามตรงๆ ว่า — ถ้าวันหนึ่งคุณรู้ว่าข้อมูลสุขภาพของตัวเอง ไม่ว่าจะเป็นประวัติการรักษา สิทธิพยาบาล หรือแม้แต่เลขบัตรประชาชน กำลังอยู่ในมือคนที่คุณไม่รู้จัก คุณจะรู้สึกยังไง?
คำถามนี้ไม่ได้ถามเล่นๆ เพราะในระยะหลังมีกรณีร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หรือที่รู้จักกันในชื่อ PDPC เพิ่มขึ้นเรื่อยๆ โดยเฉพาะเรื่องความไม่ชัดเจนของที่มาข้อมูลสุขภาพในระบบต่างๆ ของภาครัฐ
บทความนี้พี่สยามไม่ได้จะมาบอกว่าใครผิดใครถูก แต่อยากให้ทุกคนรู้ว่า ข้อมูลสุขภาพของคุณมีคุณค่ามากแค่ไหน และคุณมีสิทธิอะไรบ้างในการปกป้องมัน
ทำไม "ข้อมูลสุขภาพ" ถึงอ่อนไหวกว่าข้อมูลทั่วไป?
ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA (Personal Data Protection Act) ข้อมูลสุขภาพถูกจัดอยู่ในประเภท "ข้อมูลส่วนบุคคลที่มีความอ่อนไหว" (Sensitive Personal Data) ซึ่งได้รับการคุ้มครองในระดับที่เข้มงวดกว่าข้อมูลทั่วไป
ข้อมูลกลุ่มนี้ครอบคลุมอะไรบ้าง?
- ประวัติการรักษาพยาบาลและโรคประจำตัว
- ข้อมูลสิทธิการรักษา เช่น บัตรทอง ประกันสังคม ข้าราชการ
- ผลตรวจเลือด ผลแล็บ ประวัติยา
- ข้อมูลสุขภาพจิต
- ประวัติการนอนโรงพยาบาล
เหตุที่ต้องให้ความสำคัญพิเศษ เพราะข้อมูลเหล่านี้ถ้าหลุดออกไปอาจส่งผลกระทบร้ายแรง เช่น ถูกเลือกปฏิบัติในการจ้างงาน ถูกปฏิเสธประกันภัย หรือแม้แต่นำไปใช้ในการหลอกลวงทางการเงินได้
PDPA คุ้มครองคุณอย่างไร ในฐานะเจ้าของข้อมูล
หลายคนได้ยินคำว่า PDPA แต่ไม่รู้ว่าตัวเองมีสิทธิอะไรบ้าง จริงๆ แล้วกฎหมายนี้ให้อำนาจประชาชนไว้ค่อนข้างมาก ลองดูกัน:
สิทธิที่คุณมีตาม PDPA
- สิทธิในการรับแจ้ง: หน่วยงานต้องบอกคุณว่าเก็บข้อมูลอะไร เพื่ออะไร และเก็บนานแค่ไหน
- สิทธิในการเข้าถึง: คุณขอดูข้อมูลของตัวเองที่หน่วยงานมีได้
- สิทธิในการแก้ไข: ถ้าข้อมูลไม่ถูกต้อง คุณขอแก้ได้
- สิทธิในการลบ: ในบางเงื่อนไข คุณขอให้ลบข้อมูลได้
- สิทธิในการคัดค้าน: คุณปฏิเสธการนำข้อมูลไปใช้เพื่อวัตถุประสงค์บางอย่างได้
- สิทธิร้องเรียน: ถ้าคิดว่าถูกละเมิด คุณแจ้ง สคส. ได้ที่ pdpc.or.th
สิ่งที่สำคัญที่สุดที่พี่สยามอยากให้จำคือ การใช้ข้อมูลสุขภาพของคุณ หน่วยงานต้องได้รับ "ความยินยอมโดยชัดแจ้ง" (Explicit Consent) จากคุณก่อนเสมอ ยกเว้นกรณีที่จำเป็นเพื่อการรักษาพยาบาลโดยตรง
สัญญาณเตือนที่บอกว่าข้อมูลของคุณอาจรั่วไหล
ถ้าเป็นพี่สยามเองเจอสัญญาณพวกนี้ ก็จะเริ่มตั้งคำถามทันที:
- ได้รับ SMS หรืออีเมลจากหน่วยงานสาธารณสุขที่คุณไม่ได้สมัคร
- มีคนโทรมาอ้างว่าเป็นเจ้าหน้าที่โรงพยาบาลหรือกระทรวงสาธารณสุข แล้วรู้ข้อมูลสุขภาพของคุณ
- พบการใช้สิทธิการรักษาพยาบาลในระบบที่คุณไม่ได้ทำ
- มีการเสนอขายประกันสุขภาพที่ตรงกับโรคที่คุณมีอยู่พอดีโดยที่ไม่ได้บอกใคร
- ได้รับแจ้งจากหน่วยงานว่าระบบที่คุณใช้ถูกเจาะข้อมูล
ข้อมูลสุขภาพที่รั่วไหลไม่ได้แค่น่าอาย แต่อาจถูกนำไปใช้หลอกลวงหรือสร้างความเสียหายทางการเงินได้จริงๆ
ถ้าสงสัยว่าข้อมูลรั่ว ต้องทำอะไรบ้าง?
พี่สยามแนะนำ 5 ขั้นตอนที่ทำได้เลย:
1. ตรวจสอบระบบที่คุณใช้งาน
ลองเข้าไปเช็กแอปหรือเว็บไซต์ที่คุณใช้บริการด้านสุขภาพ เช่น แอปหมอพร้อม แอปประกันสังคม หรือระบบของโรงพยาบาล ว่ามีการแจ้งเตือนผิดปกติไหม
2. เปลี่ยนรหัสผ่านทันที
ถ้าได้รับแจ้งว่าระบบที่คุณใช้ถูกเจาะ ให้เปลี่ยนรหัสผ่านทันที และควรตั้งรหัสผ่านที่แตกต่างกันในแต่ละระบบ พร้อมเปิดใช้ Two-Factor Authentication (การยืนยันตัวตนสองชั้น) ถ้าระบบรองรับ
3. อย่าคลิกลิงก์ที่น่าสงสัย
ช่วงที่มีข่าวข้อมูลรั่ว มักมีมิจฉาชีพฉวยโอกาสส่งลิงก์ฟิชชิง (Phishing) มาหลอกให้กรอกข้อมูล โดยอ้างว่าเป็นหน่วยงานรัฐหรือโรงพยาบาล ให้ตรวจสอบ URL ให้ดีก่อนคลิก
4. ร้องเรียนได้เลยถ้าคิดว่าถูกละเมิด
สคส. หรือ PDPC เปิดรับเรื่องร้องเรียนทางออนไลน์ที่เว็บไซต์ pdpc.or.th หรือโทร 02-142-1033 ไม่ต้องรอให้เกิดความเสียหายก่อน แค่มีเหตุน่าสงสัยก็ร้องเรียนได้
5. ติดตามข่าวสารจากแหล่งทางการ
ติดตามเพจของ สคส. และกระทรวงสาธารณสุขโดยตรง เพื่อรับข้อมูลที่ถูกต้องและทันเหตุการณ์ อย่าเชื่อข่าวที่แชร์ต่อกันในไลน์กรุ๊ปโดยไม่ตรวจสอบ
ระบบสุขภาพดิจิทัลดีต่อเรา แต่ต้องระวังให้ถูกจุด
พี่สยามไม่ได้มองว่าการที่ภาครัฐนำข้อมูลสุขภาพมาใช้ในระบบดิจิทัลเป็นเรื่องเลว ในทางกลับกัน มันทำให้การรักษาพยาบาลสะดวกขึ้นมาก ลองนึกดูว่าถ้าไม่มีระบบพวกนี้ การส่งต่อผู้ป่วยข้ามโรงพยาบาลหรือการเบิกสิทธิจะยุ่งยากแค่ไหน
แต่สิ่งที่ต้องมาควบคู่กันคือ มาตรฐานความปลอดภัยของข้อมูล ซึ่งตาม PDPA กำหนดให้หน่วยงานต้องมี:
- มาตรการรักษาความปลอดภัยที่เหมาะสมกับความเสี่ยง
- การแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. ภายใน 72 ชั่วโมง นับจากพบเหตุ
- การแจ้งเจ้าของข้อมูลโดยไม่ชักช้า ถ้าการละเมิดนั้นมีความเสี่ยงสูง
นี่คือสิ่งที่เราในฐานะประชาชนควรจับตาดูว่าหน่วยงานทำตามหรือเปล่า
มุมมองพี่สยาม: ข้อมูลสุขภาพคือทรัพย์สินที่จับต้องไม่ได้ แต่มีค่ามาก
พี่สยามว่าสิ่งที่น่ากลัวที่สุดไม่ใช่การที่ข้อมูลรั่ว แต่คือการที่เราไม่รู้ว่ามันรั่วไปแล้ว ฉะนั้นการที่ภาครัฐและหน่วยงานที่เกี่ยวข้องเร่งตรวจสอบและแจ้งประชาชนก็เป็นก้าวที่ดี แต่ประชาชนเองก็ต้องไม่นิ่งเฉยรอให้ใครมาปกป้องให้ฝ่ายเดียว
เริ่มจากรู้จักสิทธิของตัวเอง ติดตามข่าวสารจากแหล่งทางการ และถ้ามีข้อสงสัยก็ร้องเรียนได้เลย กฎหมาย PDPA มีไว้เพื่อเราทุกคน ไม่ใช่แค่ตัวอักษรในกฎหมาย
ดูแลข้อมูลตัวเองให้ดีเหมือนดูแลสุขภาพกายนะครับ เพราะทั้งสองอย่างนี้ถ้าเสียไปแล้ว กู้คืนกลับมายากมาก
