PDPA ร้านขายยา เก็บประวัติแพ้ยา-เบอร์โทรลูกค้ายังไงไม่ผิดกฎหมาย (ฉบับเภสัชกรร้านยา)

ร้านขายยาที่เก็บประวัติแพ้ยาและเบอร์โทรลูกค้าไว้ในระบบ POS ต้องปฏิบัติตาม PDPA (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562) เพราะ "ประวัติแพ้ยา" ถือเป็นข้อมูลสุขภาพ ซึ่งเป็นข้อมูลอ่อนไหวตามมาตรา 26 ต้องขอความยินยอมโดยชัดแจ้งจากลูกค้าก่อนเก็บ ต้องมีมาตรการรักษาความปลอดภัยตามมาตรา 37 และต้องเปิดช่องให้ลูกค้าขอเข้าถึง แก้ไข หรือลบข้อมูลได้ตามสิทธิ์ที่กฎหมายกำหนด

ฟังดูเป็นเรื่องกฎหมายไกลตัว แต่จริงๆ แล้วเภสัชกรหน้าร้านเจอเรื่องนี้ทุกวันโดยไม่รู้ตัว ทุกครั้งที่พิมพ์ "แพ้เพนิซิลลิน" ลงในโปรไฟล์ลูกค้า หรือขอเบอร์โทรไว้แจ้งเตือนยาหมด นั่นคือการเก็บข้อมูลส่วนบุคคลตามกฎหมายแล้ว บทความนี้จะแปลข้อกฎหมายให้เป็นภาษาที่ใช้ได้จริงหน้าร้าน

ประวัติแพ้ยากับเบอร์โทรลูกค้า ถือเป็นข้อมูลอ่อนไหวไหม

ประวัติแพ้ยาถือเป็น "ข้อมูลสุขภาพ" ซึ่งเป็นข้อมูลอ่อนไหว (sensitive personal data) ตามมาตรา 26 ของ PDPA ส่วนเบอร์โทรศัพท์เป็นข้อมูลส่วนบุคคลทั่วไป แต่เมื่อเก็บคู่กับประวัติแพ้ยาในโปรไฟล์เดียวกัน ร้านยาต้องดูแลทั้งชุดข้อมูลด้วยมาตรฐานเดียวกับข้อมูลอ่อนไหว

กฎหมายแบ่งข้อมูลส่วนบุคคลเป็น 2 ระดับ ที่เภสัชกรควรแยกให้ออก

• ข้อมูลทั่วไป เช่น ชื่อ เบอร์โทร ที่อยู่ — เก็บได้โดยแจ้งวัตถุประสงค์และขอความยินยอมตามมาตรา 24
• ข้อมูลอ่อนไหว เช่น ประวัติแพ้ยา โรคประจำตัว ผลตรวจสุขภาพ — มาตรา 26 กำหนดให้ต้องขอความยินยอม "โดยชัดแจ้ง" (explicit consent) เข้มกว่าข้อมูลทั่วไป เว้นแต่เข้าข้อยกเว้นบางกรณี เช่น จำเป็นเพื่อป้องกันอันตรายต่อชีวิตที่ผู้เป็นเจ้าของข้อมูลไม่สามารถให้ความยินยอมได้ในขณะนั้น

ร้านยาส่วนใหญ่บันทึกประวัติแพ้ยาไว้เพื่อความปลอดภัยของลูกค้าเอง ซึ่งเป็นเจตนาที่ดี แต่ "เจตนาดี" ไม่ได้แปลว่าได้รับการยกเว้นจากการขอความยินยอมเสมอไป ถ้าเก็บไว้ใช้ซ้ำในการขายครั้งต่อๆ ไป (ไม่ใช่แค่เหตุฉุกเฉินเฉพาะหน้า) ควรขอความยินยอมให้เรียบร้อยตั้งแต่ครั้งแรก

ร้านต้องขอความยินยอมลูกค้ายังไงถึงจะถูกต้อง

การขอความยินยอมที่ถูกต้องตามมาตรา 19 ต้องแจ้งวัตถุประสงค์การเก็บข้อมูลให้ชัดเจน แยกจากข้อความอื่น และลูกค้าต้องให้ความยินยอมด้วยความสมัครใจ ไม่ใช่การให้ยอมรับแบบเหมารวมกับเงื่อนไขอื่น

ในหน้างานจริง ร้านยาไม่จำเป็นต้องมีสัญญายาวเป็นหน้ากระดาษ แค่ทำ 3 อย่างนี้ให้ครบก็เพียงพอสำหรับร้านขนาดเล็กถึงกลาง

1. แจ้งวัตถุประสงค์สั้นๆ เช่น "ขอเก็บประวัติแพ้ยาเพื่อความปลอดภัยในการจ่ายยาครั้งถัดไป และขอเบอร์โทรเพื่อแจ้งเตือนยาใกล้หมด"
2. ให้ลูกค้ายืนยันความยินยอมเป็นลายลักษณ์อักษรหรือในระบบ เก็บหลักฐานว่าลูกค้ายินยอมเมื่อไหร่ เพื่ออะไร
3. แจ้งช่องทางถอนความยินยอม ลูกค้าต้องรู้ว่าถ้าเปลี่ยนใจ ขอให้ลบข้อมูลได้ทางไหน

ร้านที่ยังจดประวัติลูกค้าลงสมุดหรือ Excel มักข้ามขั้นตอนนี้ไปเลย เพราะไม่มีช่องให้บันทึกการยินยอม ทำให้เวลาถูกตรวจหรือลูกค้าโต้แย้ง ร้านไม่มีหลักฐานอะไรยืนยันเลย ระบบที่มีช่องเก็บ consent ในโปรไฟล์ลูกค้าจึงช่วยลดความเสี่ยงตรงนี้ได้มาก

เก็บข้อมูลในระบบ POS ให้ปลอดภัยพอตาม PDPA ต้องทำอะไรบ้าง

มาตรา 37 กำหนดให้ผู้ควบคุมข้อมูลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งด้านการป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต การสูญหาย และการเปลี่ยนแปลงแก้ไขข้อมูลโดยมิชอบ

สำหรับร้านยาที่ใช้ระบบ POS สิ่งที่ต้องมีอย่างน้อยคือ

• จำกัดสิทธิ์การเข้าถึง พนักงานทุกคนไม่จำเป็นต้องเห็นประวัติแพ้ยาของลูกค้าทั้งหมด ควรกำหนดว่าใครเปิดดูได้ ใครแก้ไขได้
• มี log การเข้าถึง ถ้าข้อมูลถูกแก้ไขหรือลบ ต้องรู้ว่าใครทำเมื่อไหร่
• ป้องกันข้อมูลรั่วจากอุปกรณ์ เช่น ล็อกหน้าจอเมื่อไม่ใช้งาน ไม่ปล่อยให้ POS ล็อกอินค้างที่หน้าร้าน

ร้านที่ยังใช้ Excel ไฟล์เดียวเปิดให้พนักงานทุกคนแก้ได้อิสระ มีความเสี่ยงสูงสุด เพราะไม่มีทางรู้เลยว่าใครเปิดดูข้อมูลแพ้ยาของลูกค้าคนไหนไปบ้าง ตรงกันข้ามกับระบบที่แยกสิทธิ์ผู้ใช้ตามตำแหน่งงาน ซึ่งช่วยตอบคำถามนี้ได้ทันทีถ้ามีการตรวจสอบ เรื่องการวางสิทธิ์พนักงานให้รัดกุมนี้ เคยเขียนไว้ละเอียดเรื่องการปิดช่องโหว่จากสิทธิ์ที่คุมไม่ได้ ซึ่งหลักการเดียวกันนี้ใช้ป้องกันข้อมูลลูกค้ารั่วไหลได้ด้วย

ลูกค้ามีสิทธิ์อะไรบ้างกับข้อมูลที่ร้านเก็บไว้

ลูกค้ามีสิทธิ์หลัก 3 ข้อตาม PDPA คือ ขอเข้าถึงข้อมูลของตัวเอง (มาตรา 30) ขอให้แก้ไขข้อมูลที่ไม่ถูกต้อง (มาตรา 36) และขอให้ลบหรือทำลายข้อมูล (มาตรา 33) ร้านยาในฐานะผู้ควบคุมข้อมูลมีหน้าที่รองรับคำขอเหล่านี้

เคสที่พบบ่อยในร้านยาคือ

• ลูกค้าย้ายบ้าน เปลี่ยนเบอร์ ขอให้แก้ข้อมูลติดต่อ
• ลูกค้าเลิกใช้ยาตัวที่เคยแพ้ (หายจากอาการแพ้ตามที่แพทย์วินิจฉัยใหม่) ขอให้อัปเดตประวัติ
• ลูกค้าเลิกเป็นสมาชิก ไม่อยากให้ร้านเก็บข้อมูลไว้อีก ขอให้ลบทั้งหมด

ร้านควรมีขั้นตอนรับคำขอที่ชัดเจน ไม่ต้องซับซ้อน แค่รู้ว่าใครเป็นคนรับผิดชอบตอบลูกค้า และแก้ไข/ลบข้อมูลในระบบได้จริงโดยไม่กระทบข้อมูลของลูกค้าคนอื่น ตรงนี้คือจุดที่ระบบ Excel มักมีปัญหา เพราะการลบแถวหนึ่งอาจกระทบสูตร หรือพนักงานไม่กล้าลบเพราะกลัวข้อมูลอื่นพัง

ทางกฎหมายกำหนดโทษไว้หลายระดับทั้งทางปกครอง ทางแพ่ง และทางอาญา สำหรับผู้ควบคุมข้อมูลที่ไม่ปฏิบัติตาม แต่ประเด็นสำคัญกว่าตัวโทษคือความไว้ใจของลูกค้า — ร้านยาอยู่ได้ด้วยความเชื่อมั่นที่ลูกค้าให้ข้อมูลสุขภาพจริงๆ กับเภสัชกร ถ้าลูกค้ารู้สึกว่าข้อมูลถูกดูแลหละหลวม เขาก็ไม่กล้าบอกความจริงตั้งแต่ต้น

PharmaPOS ออกแบบระบบให้ร้านยาสบายใจเรื่อง PDPA ยังไง

PharmaPOS มีระบบสิทธิ์ผู้ใช้ (user permission) ที่กำหนดได้ว่าพนักงานตำแหน่งไหนเปิดดูหรือแก้ไขประวัติลูกค้าได้บ้าง ไม่ใช่ทุกคนที่ล็อกอินเข้าระบบแล้วจะเห็นข้อมูลอ่อนไหวของลูกค้าทั้งหมด

หลักการเดียวกับที่ใช้คุมสิทธิ์การให้ส่วนลดหรือยกเลิกบิลของพนักงาน ถูกนำมาใช้กับข้อมูลลูกค้าเช่นกัน คือแยกบทบาทให้ชัดตั้งแต่ระดับพนักงานขาย ผู้จัดการร้าน ไปจนถึงเจ้าของร้าน แต่ละระดับเห็นและแก้ไขข้อมูลได้ต่างกันตามหน้าที่จริง ไม่ใช่เปิดสิทธิ์เท่ากันหมดแล้วหวังว่าไม่มีใครทำผิด เรื่องการออกแบบสิทธิ์พนักงานแบบนี้ อ่านรายละเอียดเพิ่มได้ที่บทความเรื่องสิทธิ์พนักงานร้านยา

สำหรับร้านที่ยังคุมข้อมูลลูกค้าด้วย Excel หรือสมุดจด การย้ายมาอยู่บนระบบที่แยกสิทธิ์ได้ตั้งแต่ต้น ช่วยตอบคำถามจาก สคส. หรือลูกค้าได้ทันทีว่า ใครเข้าถึงข้อมูลได้บ้าง และแก้ไข/ลบข้อมูลรายบุคคลได้โดยไม่กระทบข้อมูลลูกค้ารายอื่น ซึ่งเป็นพื้นฐานที่ PDPA ต้องการ

คำถามที่พบบ่อย (FAQ)

ร้านยาต้องให้ลูกค้าเซ็นเอกสารยินยอม PDPA ทุกคนไหม ไม่จำเป็นต้องเป็นเอกสารกระดาษเสมอไป ขอเพียงมีหลักฐานว่าลูกค้ารับทราบวัตถุประสงค์และยินยอมให้เก็บข้อมูล ไม่ว่าจะเป็นการยืนยันในระบบ POS หรือแบบฟอร์มที่ร้านจัดทำเองก็ใช้ได้ ขอให้เก็บหลักฐานไว้ตรวจสอบย้อนหลังได้

ถ้าลูกค้าไม่ยินยอมให้เก็บประวัติแพ้ยา ร้านขายยาให้ได้ไหม ขายได้ปกติ แต่ร้านจะไม่มีประวัติแพ้ยาของลูกค้ารายนั้นในระบบไว้ตรวจสอบซ้ำในครั้งถัดไป ซึ่งเป็นความเสี่ยงที่ลูกค้าต้องรับทราบด้วยตัวเอง

เก็บเบอร์โทรลูกค้าไว้แจ้งโปรโมชั่น ต้องขอความยินยอมแยกจากการแจ้งเตือนยาหมดไหม ควรแยก เพราะเป็นวัตถุประสงค์คนละอย่างกัน การแจ้งเตือนยาใกล้หมดเป็นประโยชน์ต่อลูกค้าโดยตรง ส่วนการส่งโปรโมชั่นเป็นการตลาด ควรให้ลูกค้าเลือกยินยอมแยกกันได้

ร้านขายยาเล็กสาขาเดียว ต้องทำตาม PDPA เหมือนเชนใหญ่ไหม กฎหมายใช้กับผู้ควบคุมข้อมูลทุกขนาด ไม่ได้ยกเว้นร้านเล็ก แต่ขั้นตอนที่ต้องทำสามารถปรับให้เหมาะกับขนาดร้านได้ ร้านสาขาเดียวไม่จำเป็นต้องมีระบบซับซ้อนเท่าเชนใหญ่ ขอแค่มีการขอความยินยอม เก็บข้อมูลอย่างปลอดภัย และตอบสนองสิทธิ์ลูกค้าได้จริง

อยากลองดูว่าระบบสิทธิ์ผู้ใช้ที่แยกการเข้าถึงข้อมูลลูกค้าตามตำแหน่งพนักงานหน้าตาเป็นยังไง ทดลองตั้งค่าจริงได้ฟรี 7 วันที่ pharmaposthai.vercel.app ไม่ต้องผูกบัตรเครดิต