Emirates MEDIF คือฟอร์มข้อมูลสุขภาพของผู้โดยสารสายการบิน Emirates ที่ Garante หน่วยงานคุ้มครองข้อมูลของอิตาลีปรับสายการบิน 180,000 ยูโร เพราะแจ้งผู้โดยสารไม่ชัดเจนและเก็บข้อมูลนาน 7 ปี ตามที่ EDPB เผยแพร่เมื่อ 9 ตุลาคม 2569 บทความนี้เหมาะกับสายการบิน บริษัททัวร์ โรงแรม และธุรกิจท่องเที่ยวไทยที่เก็บข้อมูลสุขภาพลูกค้า อ่านแล้วจะรู้ว่าต้องตรวจฟอร์มและระยะเก็บอย่างไร
ลองนึกภาพบริษัททัวร์ที่ให้ลูกค้ากรอกแบบฟอร์มสุขภาพก่อนเดินทาง ทั้งโรคประจำตัว ยาที่ใช้ และชื่อแพทย์ แต่ไม่บอกว่าใครต้องกรอก เก็บไปทำไม และเก็บนานแค่ไหน (ตัวอย่างสมมติ) กรณีของ Emirates แสดงว่าแม้เหตุผลในการเก็บข้อมูลจะถูกต้อง การแจ้งที่ไม่ชัดก็ถูกปรับได้
สรุปสั้น: Garante ปรับ Emirates 180,000 ยูโร ตามคำสั่งลงวันที่ 14 พฤษภาคม 2569 ฐานละเมิดมาตรา 5(1)(a), 5(1)(e), 12 และ 13 ของ GDPR และสั่งให้แก้ภายใน 30 วัน หน่วยงานเห็นว่าการเก็บข้อมูลสุขภาพเพื่อความปลอดภัยการบินชอบด้วยกฎหมาย แต่ฟอร์มไม่ชัดเจนและเก็บ 7 ปีนานเกินจำเป็น ธุรกิจท่องเที่ยวไทยควรตรวจฟอร์ม ปรับ Privacy Notice และกำหนดระยะเก็บ
Emirates MEDIF คืออะไร และทำไม Garante ปรับ
Emirates MEDIF คือฟอร์มที่ผู้โดยสารต้องกรอกข้อมูลสุขภาพ ข้อมูลแพทย์ และข้อมูลผู้ร่วมเดินทาง ผู้โดยสารร้องเรียนว่าถูกให้กรอกทั้งที่ไม่เข้าเกณฑ์ Garante จึงตรวจและปรับ Emirates 180,000 ยูโร โดยสั่งให้แก้ภายใน 30 วัน
Garante เห็นว่าการเก็บข้อมูลสุขภาพเพื่อความปลอดภัยการบินชอบด้วยกฎหมาย ปัญหาอยู่ที่การแจ้ง ฟอร์มไม่ชัดว่าใครต้องกรอก ข้อมูลมาจากไหน ใช้ฐานกฎหมายใด และเก็บนานเท่าไร ส่วนการเก็บข้อมูลไว้ 7 ปีถูกมองว่านานเกินจำเป็น
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้ถูกปรับ | Emirates (สายการบิน) |
| ค่าปรับ | 180,000 ยูโร และสั่งแก้ภายใน 30 วัน |
| ฐานความผิด | GDPR มาตรา 5(1)(a), 5(1)(e), 12, 13 |
| วันที่ | คำสั่ง 14 พ.ค. 2569 · EDPB เผยแพร่ 9 ต.ค. 2569 |
| ปัญหาที่พบ | แจ้งไม่ชัดว่าใครกรอก ที่มา ฐานกฎหมาย ระยะเก็บ · เก็บ 7 ปีนานเกิน |
| สิ่งที่ต้องทำ | ระบุกลุ่มผู้โดยสาร กำหนดฟิลด์ที่จำเป็น กำหนดระยะเก็บ ลบข้อมูลที่เกิน |
ข้อมูลทั้งหมดอ้างตามประกาศของ EDPB ผู้เขียนไม่ได้อ่านคำสั่งฉบับเต็มของ Garante
Emirates MEDIF กระทบธุรกิจท่องเที่ยวไทยอย่างไร
Emirates MEDIF กระทบธุรกิจท่องเที่ยวไทยตรงที่ค่าปรับอยู่ที่ความโปร่งใสและระยะเก็บ ไม่ได้อยู่ที่การเก็บข้อมูลสุขภาพเอง นี่คือการวิเคราะห์ของผู้เขียน และเป็นรายการตรวจที่ทำได้เร็วและคุ้ม ธุรกิจที่เก็บข้อมูลสุขภาพหรือความต้องการพิเศษของลูกค้าควรตรวจว่าแจ้งชัดพอหรือยัง
Emirates MEDIF ทำให้ธุรกิจท่องเที่ยวไทยที่เก็บข้อมูลสุขภาพเสี่ยงอะไร
หลังกรณี Emirates MEDIF สายการบินและธุรกิจท่องเที่ยวไทยที่เก็บข้อมูลสุขภาพหรือผู้ต้องการความช่วยเหลือพิเศษเสี่ยงถูกถามเรื่องเดียวกัน คือใครต้องกรอก เก็บทำไม และเก็บนานแค่ไหน ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวตามมาตรา 26 ของ PDPA ซึ่งมีเงื่อนไขการเก็บเข้มกว่าข้อมูลทั่วไป วิธีจัดการข้อมูลกลุ่มนี้อธิบายไว้ใน คู่มือ: จัดการข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ประวัติอาชญากรรม ตามมาตรา 26 อย่างไร
กรณีใกล้เคียงของ Garante ที่เคยปรับเรื่องข้อมูลสุขภาพดูได้ใน อิตาลีปรับ IQVIA 7 ล้านยูโร ข้อมูลคนไข้ 1 ล้านราย “ไม่ใช่ข้อมูลนิรนาม” แม้ใช้รหัสแทนตัวตน ข้อมูลสุขภาพที่ลบชื่อแล้วในไทยยังอยู่ใต้ PDPA หรือไม่
ฐานกฎหมายถูกแล้ว ยังถูกปรับเรื่องการแจ้งได้ไหม
ได้ เพราะกรณีของ Emirates ชี้ว่าฐานกฎหมายที่ถูกต้องไม่ได้ทดแทนหน้าที่แจ้งเจ้าของข้อมูล ตามมาตรา 23 ของ PDPA ผู้ควบคุมข้อมูลต้องแจ้งวัตถุประสงค์และระยะเวลาเก็บก่อนหรือขณะเก็บ และตามมาตรา 21 ต้องใช้ข้อมูลตามวัตถุประสงค์ที่แจ้ง ฟอร์มที่ถามเกินกลุ่มที่จำเป็นหรือไม่บอกว่าใครต้องกรอกจึงมีความเสี่ยง
ตัวอย่างความเสี่ยงของข้อมูลสุขภาพที่ถูกนำไปใช้เกินที่แจ้งดูได้ใน ข้อมูลสุขภาพเกือบหลุดกลางทีวี ธุรกิจไทยต้องรีบเช็ก PDPA ก่อนสาย
เก็บข้อมูลสุขภาพนานเท่าไรจึงไม่นานเกินไป
ไม่มีตัวเลขสากลที่ใช้ได้กับทุกธุรกิจ ธุรกิจต้องกำหนดระยะเก็บตามวัตถุประสงค์และเหตุผลที่แจ้งไว้ แล้วลบเมื่อพ้นระยะ Garante ถือว่าการเก็บ 7 ปีนานเกินจำเป็นสำหรับฟอร์มนี้ แต่ไม่ได้หมายความว่า 7 ปีเกินไปสำหรับข้อมูลทุกประเภทหรือทุกประเทศ
ถ้าไม่ทำอะไรเลย ธุรกิจท่องเที่ยวเสี่ยงอะไร
ถ้าไม่ทำอะไรหลังกรณี Emirates MEDIF ธุรกิจเสี่ยงถูกร้องเรียนจากลูกค้าที่ไม่รู้ว่าทำไมต้องกรอกข้อมูลสุขภาพ และเสี่ยงที่ข้อมูลสุขภาพค้างอยู่ในระบบนานโดยไม่มีเหตุผลรองรับ ข้อมูลที่เก็บไว้นานกว่าจำเป็นยังเป็นภาระเมื่อเกิดเหตุรั่ว เพราะต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4) ของ PDPA และอธิบายว่าทำไมจึงยังมีข้อมูลเหล่านั้น
ตัวอย่างเหตุเวชระเบียนรั่วจากผู้ให้บริการภายนอกดูได้ใน Medyc เวชระเบียนรั่ว โปแลนด์เตรียมบังคับรับรองมาตรฐานผู้ประมวลผลข้อมูลสุขภาพ โรงพยาบาลไทยที่ใช้ HIS ภายนอกต้องระวังอะไร
ธุรกิจท่องเที่ยวที่เก็บข้อมูลสุขภาพควรทำอะไรตอนนี้
ธุรกิจท่องเที่ยวที่เก็บข้อมูลสุขภาพหรือความต้องการพิเศษควรทำ 4 เรื่องนี้ตามบทเรียนของ Emirates MEDIF ซึ่งทำได้ทันทีโดยไม่ต้องเปลี่ยนระบบ
- 1. ตรวจฟอร์มสุขภาพและความต้องการพิเศษ ระบุว่าใครต้องกรอก ถามเฉพาะฟิลด์ที่จำเป็น และตัดคำถามที่ไม่ได้ใช้จริง
- 2. ปรับ Privacy Notice ให้ตอบ 4 คำถาม เก็บอะไร เก็บทำไม ฐานกฎหมายคืออะไร และเก็บนานเท่าไร เขียนด้วยภาษาที่ลูกค้าอ่านเข้าใจ
- 3. กำหนดระยะเก็บและตั้งงานลบข้อมูลตามรอบ ผูกกับวัตถุประสงค์ ไม่ใช่เก็บไว้เผื่อใช้ แล้วให้ระบบหรือผู้รับผิดชอบลบจริงตามกำหนด
- 4. เก็บบันทึกว่าตรวจแล้ว จดเหตุผลของการเก็บ ฟิลด์ และระยะเก็บ เพื่อใช้ตอบลูกค้าหรือ สคส. เมื่อถูกถาม
ถ้าต้องการคนช่วยตรวจฟอร์มและ Privacy Notice ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ ข่าวนี้ไม่ได้บอกว่าห้ามเก็บข้อมูลสุขภาพ แต่บอกว่าเก็บได้เมื่อบอกลูกค้าให้ชัดและไม่เก็บนานเกินเหตุ ค่าปรับครั้งนี้ไม่ได้อยู่ที่ว่าคุณถามอะไร แต่อยู่ที่ว่าคุณบอกเขาหรือยังว่าถามไปทำไม จุดที่องค์กรมักพลาดคือใช้ฟอร์มเดิมที่ถูกต้องตามกฎหมายแล้วลืมทบทวนข้อความแจ้งและระยะเก็บ เป็นงานที่ทำเสร็จได้ในไม่กี่ชั่วโมง
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Emirates MEDIF
Garante ปรับ Emirates เท่าไร เพราะอะไร
Garante ปรับ Emirates 180,000 ยูโร ฐานละเมิดมาตรา 5(1)(a), 5(1)(e), 12 และ 13 ของ GDPR และสั่งแก้ภายใน 30 วัน เหตุผลคือฟอร์ม MEDIF แจ้งไม่ชัดว่าใครต้องกรอก ที่มา ฐานกฎหมาย และระยะเก็บ รวมถึงเก็บข้อมูล 7 ปีนานเกินจำเป็น
Garante ห้ามเก็บข้อมูลสุขภาพแบบ Emirates MEDIF หรือไม่
ไม่ห้าม ตามที่ EDPB รายงาน Garante เห็นว่าการเก็บข้อมูลสุขภาพเพื่อความปลอดภัยการบินชอบด้วยกฎหมาย ปัญหาอยู่ที่ความโปร่งใส ระยะเก็บ และการไม่ระบุกลุ่มผู้โดยสารที่ต้องกรอกฟอร์ม
ธุรกิจท่องเที่ยวไทยต้องทำตามคำสั่งนี้หรือไม่
ไม่ต้อง เพราะเป็นคำสั่งของหน่วยงานอิตาลีที่ใช้กับ Emirates แต่ธุรกิจไทยที่เก็บข้อมูลสุขภาพต้องปฏิบัติตาม PDPA ซึ่งมีหลักเรื่องการแจ้งและข้อมูลอ่อนไหวในแนวคล้ายกัน คำสั่งนี้จึงใช้เป็นรายการตรวจได้
ข้อมูลสุขภาพที่เก็บเกินระยะต้องทำอย่างไร
ควรลบหรือทำให้ระบุตัวตนไม่ได้เมื่อพ้นระยะเก็บที่แจ้งไว้ ตามที่ Garante สั่ง Emirates ให้ลบข้อมูลที่เกินระยะที่กำหนด ธุรกิจไทยควรตั้งรอบลบข้อมูลและมีหลักฐานว่าลบแล้ว
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- คู่มือ: กำหนดระยะเก็บและลบทำลายข้อมูลส่วนบุคคลอย่างไรให้ถูกต้องตาม PDPA? — อธิบายวิธีกำหนดระยะเก็บและลบข้อมูลให้สอดคล้องกับวัตถุประสงค์ ซึ่งเป็นจุดเดียวกับที่ Garante ตั้งข้อสังเกตกับฟอร์ม MEDIF (aipdpa.com)
แหล่งอ้างอิง
- EDPB — (อ่านต้นฉบับ) — อ่านข่าวที่ EDPB
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
