บทนำ
ฐานข้อมูลพันธุกรรมคนไทยกำลังเดินจากโลกของงานวิจัยเข้าสู่โลกของธุรกิจอย่างจริงจัง หลังโครงการ Genomics Thailand ระยะที่ 1 สร้างฐานข้อมูลจากคนไทยประมาณ 50,000 ราย และภาครัฐวางแผนระยะที่ 2 ด้วยงบประมาณประมาณ 5,000 ล้านบาท เพื่อขยายฐานข้อมูลเป็น 200,000 ราย
แต่สิ่งที่ธุรกิจควรจับตาอาจไม่ใช่ตัวเลข 7,000 ล้านบาท หากเป็น “กติกาการใช้ข้อมูล” เพราะเมื่อข้อมูลพันธุกรรมถูกนำไปต่อยอดด้านยา การแพทย์ และธุรกิจสุขภาพ คำถามเรื่องสิทธิ การควบคุมข้อมูล และการแบ่งปันประโยชน์จะกลายเป็นเรื่องทางธุรกิจเต็มรูปแบบ
ข้อเท็จจริง: ฐานข้อมูลนี้กำลังเปลี่ยนสถานะจากงานวิจัยเป็นโครงสร้างพื้นฐานของประเทศ
เมื่อวันที่ 28 สิงหาคม 2569 สวรส. ประกาศว่าฐานข้อมูลพันธุกรรมคนไทยในโครงการ Genomics Thailand ระยะที่ 1 ดำเนินการครบเป้าหมายประมาณ 50,000 รายแล้ว โดยครอบคลุม 5 กลุ่มสำคัญ เช่น มะเร็ง โรคหายาก NCDs โรคติดเชื้อ และเภสัชพันธุศาสตร์ พร้อมระบบ Trusted Research Environment สำหรับการเข้าถึงข้อมูลโดยนักวิจัยที่ผ่านกระบวนการอนุมัติ
ข้อมูลดังกล่าวไม่ได้มีแค่คุณค่าทางการแพทย์เท่านั้น แต่สามารถช่วยตอบคำถามที่ภาคธุรกิจสนใจ เช่น ความเหมาะสมของประชากรไทยต่อการทดลองยา หรือการพัฒนานวัตกรรมทางการแพทย์ที่เหมาะกับลักษณะทางพันธุกรรมของคนไทย
ขณะเดียวกัน ระยะที่ 2 มีกรอบงบประมาณประมาณ 5,000 ล้านบาทในช่วง 6 ปี และตั้งเป้าเพิ่มฐานข้อมูลเป็น 200,000 ราย พร้อมพัฒนาเทคโนโลยีและระบบวิเคราะห์ข้อมูลให้ละเอียดขึ้น
นั่นหมายความว่า สิ่งที่ไทยกำลังสร้างไม่ใช่เพียง “ฐานข้อมูลงานวิจัย” แต่กำลังพัฒนาโครงสร้างพื้นฐานข้อมูลที่สามารถเชื่อมโยงกับระบบสุขภาพ การวิจัย อุตสาหกรรมยา และเศรษฐกิจสุขภาพในระยะยาว
จุดที่ต้องเข้าใจให้ถูก: “ผู้ควบคุมข้อมูล” ไม่ได้แปลว่า “เจ้าของข้อมูล”
นี่คือประเด็นทางกฎหมายที่สำคัญมาก
ตามกรอบ PDPA “เจ้าของข้อมูลส่วนบุคคล” หรือ Data Subject คือบุคคลที่ข้อมูลนั้นบ่งชี้ไปถึง ส่วน “ผู้ควบคุมข้อมูลส่วนบุคคล” คือฝ่ายที่มีอำนาจตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล
ดังนั้น เวลาพูดว่าโครงการรัฐ “ไม่ได้เป็นเจ้าของข้อมูล แต่เป็นผู้ควบคุมข้อมูล” ไม่ควรตีความง่ายๆ ว่าประชาชนเป็น “เจ้าของกรรมสิทธิ์ในฐานข้อมูล” เหมือนเป็นเจ้าของทรัพย์สินหนึ่งชิ้น
สิ่งที่สำคัญกว่า คือ ใครมีหน้าที่ตามกฎหมายในการกำกับดูแลข้อมูล และข้อมูลนั้นจะถูกนำไปใช้ในวัตถุประสงค์ใด
สำหรับธุรกิจ นี่เป็นความแตกต่างที่มีผลจริง เพราะบริษัทที่ต้องการใช้ข้อมูลพันธุกรรมไม่ได้สามารถขอข้อมูลแล้วนำไปใช้ต่อได้ตามใจ แต่ต้องพิจารณากรอบการเข้าถึงและเงื่อนไขที่ผู้ควบคุมข้อมูลกำหนด
ผลกระทบต่อธุรกิจในประเทศไทย
สำหรับธุรกิจไทย เรื่องนี้กำลังเปิด “ตลาดใหม่” พร้อมกับเปิด “ความเสี่ยงใหม่” ไปพร้อมกัน
ข้อมูลพันธุกรรมอยู่ในกลุ่มข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามมาตรา 26 ของ PDPA ดังนั้นองค์กรที่เกี่ยวข้องกับข้อมูลประเภทนี้ต้องมีความระมัดระวังมากกว่าการจัดการข้อมูลลูกค้าทั่วไป
กลุ่มแรกที่จะได้รับผลกระทบคือบริษัทไบโอเทคและบริษัทยา เพราะข้อมูลพันธุกรรมอาจช่วยตอบคำถามทางธุรกิจตั้งแต่การวิจัยยา การคัดเลือกกลุ่มประชากร ไปจนถึงการออกแบบงานทดลองทางคลินิก แต่สิ่งที่บริษัทต้องเตรียมไม่ใช่เพียงระบบรักษาความปลอดภัยข้อมูล ต้องเข้าใจด้วยว่า ข้อมูลที่ได้รับอนุญาตให้เข้าถึงนั้นอนุญาตให้ทำอะไรต่อได้บ้าง
ตัวอย่างเช่น สิทธิในการวิเคราะห์ข้อมูลอาจไม่ได้เท่ากับสิทธิในการนำข้อมูลต้นทางออกจากระบบ หรือสิทธิในการนำผลการวิเคราะห์ไปใช้สร้างผลิตภัณฑ์เชิงพาณิชย์ ขณะที่โครงการ Genomics Thailand ระบุแนวทางการใช้สภาพแวดล้อมวิจัยที่มีการควบคุม และใช้หลักคิดด้านความปลอดภัยหลายชั้น เช่น การควบคุมตัวบุคคล โครงการ และผลลัพธ์ที่นำออกจากระบบ
สำหรับโรงพยาบาล มหาวิทยาลัย และสถาบันวิจัย ความเสี่ยงจะอยู่ที่การออกแบบกระบวนการขอข้อมูล การกำหนดผู้มีสิทธิ์เข้าถึง การติดตามการใช้ข้อมูล และการจัดทำเอกสารประกอบการใช้ข้อมูลให้สัมพันธ์กับวัตถุประสงค์จริง
ส่วนธุรกิจประกันภัยควรจับตาเรื่องนี้ในระยะยาวเป็นพิเศษ เพราะเมื่อข้อมูลพันธุกรรมมีบทบาทมากขึ้น คำถามเรื่องการนำข้อมูลไปประเมินความเสี่ยงหรือใช้ประกอบการตัดสินใจทางธุรกิจจะมีทั้งมิติด้านกฎหมาย จริยธรรม และความเป็นธรรมต่อบุคคล ไม่ใช่เพียงเรื่อง “บริษัทใช้ข้อมูลได้หรือไม่ได้”
อีกประเด็นที่สำคัญกว่าเรื่อง PDPA เพียงอย่างเดียว คือ Data Sharing Agreement และ Benefit Sharing หากข้อมูลที่มาจากโครงการของรัฐถูกนำไปต่อยอดเป็นยา เทคโนโลยี หรือบริการที่สร้างรายได้ ใครจะกำหนดเงื่อนไขการใช้ ใครรับผิดชอบเมื่อเกิดปัญหา ผลงานที่เกิดขึ้นเป็นของใคร และสังคมหรือประชาชนจะได้รับประโยชน์กลับคืนมาในรูปใด
นี่อาจกลายเป็นโจทย์ใหญ่กว่าการทำ Privacy Policy เสียอีก
สวรส. เองระบุว่าการพัฒนาฐานข้อมูลระยะต่อไปมีเป้าหมายเชื่อมโยงกับการพัฒนานวัตกรรมและภาคเอกชน เพื่อสร้างประโยชน์ทางเศรษฐกิจและสุขภาพของประเทศ
ดังนั้น เมื่อข้อมูลเริ่มมี “มูลค่าทางเศรษฐกิจ” การกำกับข้อมูลก็ต้องพัฒนาไปพร้อมกัน ไม่เช่นนั้นประเทศไทยอาจมีฐานข้อมูลขนาดใหญ่และเทคโนโลยีที่ดี แต่ยังตอบคำถามพื้นฐานไม่ได้ว่า “ใครได้ประโยชน์จากข้อมูล และภายใต้กติกาอะไร”
นี่คือเหตุผลที่ภาคธุรกิจควรเริ่มเตรียมตัวตั้งแต่ตอนนี้
สิ่งที่ควรทำต่อ
- ทบทวน Data Governance หากองค์กรมีแผนใช้ข้อมูลพันธุกรรมหรือข้อมูลสุขภาพระดับลึก อย่ามองเพียงเรื่อง Security แต่ต้องกำหนดวัตถุประสงค์และสิทธิการใช้งานให้ชัดเจน
- ตรวจฐานทางกฎหมายก่อนใช้ข้อมูล โดยเฉพาะข้อมูลที่อยู่ภายใต้ข้อจำกัดของมาตรา 26 และอย่าสรุปเองว่า “ข้อมูลไม่ระบุตัวบุคคลแล้ว” หมายความว่านำไปใช้ได้ทุกกรณี
- เตรียม Data Sharing Agreement ให้ครอบคลุมวัตถุประสงค์ ขอบเขตการใช้ การรักษาความลับ การควบคุมสิทธิ์ การนำผลการวิเคราะห์ออกจากระบบ การใช้ต่อ และความรับผิดเมื่อเกิดเหตุผิดพลาด
- แยกสิทธิ “เข้าถึงข้อมูล” ออกจากสิทธิ “นำผลลัพธ์ไปใช้เชิงพาณิชย์” เพราะสองเรื่องนี้อาจเป็นคนละสิทธิและต้องตกลงกันคนละระดับ
- ติดตามกติกาของ Genomics Thailand ระยะที่ 2 โดยเฉพาะเงื่อนไขสำหรับภาคเอกชน กลไก Data Access Committee และแนวทางแบ่งปันประโยชน์ ก่อนวางแผนลงทุนหรือพัฒนาผลิตภัณฑ์ที่ต้องพึ่งพาข้อมูลชุดนี้
มุมมองผู้เชี่ยวชาญ
“เรื่องนี้ไม่ใช่แค่เรื่อง DNA แต่เป็นเรื่องว่าเราจะบริหารข้อมูลที่มีมูลค่าสูงมากอย่างไร เพราะ เมื่อเงินสาธารณะสร้างฐานข้อมูลขึ้นมา แล้วเอกชนนำไปต่อยอดสร้างธุรกิจ สิ่งที่ต้องชัดไม่แพ้เรื่องความปลอดภัย คือ กติกาการใช้ข้อมูลและประโยชน์ที่สังคมจะได้รับกลับมา”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
สำนักข่าวต้นทาง: โพสต์ทูเดย์ — รายงานประเด็นงบประมาณ โครงการ Genomics Thailand การเข้าถึงข้อมูล และข้อถกเถียงเรื่องการใช้ข้อมูลเชิงพาณิชย์
อ่านข่าวต้นฉบับจากโพสต์ทูเดย์
แหล่งข้อมูลประกอบ: สถาบันวิจัยระบบสาธารณสุข (สวรส.) — ผลสำเร็จ Genomics Thailand ระยะที่ 1 และแนวทางระยะที่ 2
แหล่งข้อมูลประกอบ: กรอบ PDPA ภาครัฐ — คำนิยามข้อมูลส่วนบุคคลที่มีความอ่อนไหวและ Data Subject
