บทนำ
เหตุการณ์ในรายการโทรทัศน์เมื่อวันที่ 31 สิงหาคม 2569 กลายเป็นตัวอย่างชัดเจนว่า ข้อมูลสุขภาพของคนหนึ่งคนอาจเกือบถูกเปิดเผยต่อสาธารณะได้จากบทสนทนาเพียงไม่กี่ประโยค ก่อนที่ผู้ร่วมรายการจะหยุดการพูดถึงรายละเอียดดังกล่าวไว้
The Thaiger รายงานประเด็นนี้พร้อมอธิบายทั้ง พ.ร.บ.สุขภาพแห่งชาติและ PDPA แต่สำหรับธุรกิจ สิ่งที่น่าคิดกว่าตัวเลขโทษคือคำถามว่า “องค์กรมีระบบเบรกก่อนข้อมูลสุขภาพหลุดออกไปแล้วหรือยัง?”
เพราะในโลกจริง ข้อมูลไม่ได้หลุดเฉพาะตอนมีคนตั้งใจเปิดเผย แต่อาจหลุดจากสคริปต์ ห้องตัดต่อ อีเมล กลุ่มแชต เอกสาร HR หรือแม้แต่บทถอดเสียงจากระบบ AI ได้
ข้อเท็จจริง
ระหว่างรายการ “โหนกระแส” เมื่อวันที่ 31 สิงหาคม มีการพูดถึงประเด็นสุขภาพของ “ต้า เฟ็ดเฟ่” ขณะที่กำลังอธิบายข้อพิพาทด้านธุรกิจและเอกสารต่างๆ ต่อมามีการอธิบายความหมายของคำว่า “ป่วย” และบทสนทนาเริ่มเข้าใกล้รายละเอียดของอาการ แต่สุดท้ายไม่ได้เปิดเผยรายละเอียดโรคดังกล่าวต่อผู้ชมในตอนนั้น
จุดสำคัญจึงไม่ใช่การฟันธงว่าใคร “ทำผิด” เพราะจากข้อมูลที่เผยแพร่ยังไม่มีข้อเท็จจริงเพียงพอที่จะสรุปเช่นนั้น
สิ่งที่กรณีนี้แสดงให้เห็นคือ ข้อมูลสุขภาพสามารถเดินทางจากบทสนทนาส่วนตัวไปใกล้พื้นที่สาธารณะได้เร็วมาก
กฎหมายไทยมองข้อมูลประเภทนี้อย่างระมัดระวัง
พ.ร.บ.สุขภาพแห่งชาติ พ.ศ. 2550 มาตรา 7 วางหลักว่าข้อมูลด้านสุขภาพของบุคคลเป็นความลับส่วนบุคคล และการเปิดเผยที่อาจทำให้เจ้าของข้อมูลเสียหายมีข้อจำกัด เว้นแต่เข้าเงื่อนไขที่กฎหมายกำหนด
ส่วน PDPA จัด “ข้อมูลสุขภาพ” เป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามมาตรา 26 การเก็บ ใช้ หรือเปิดเผยจึงต้องพิจารณาฐานทางกฎหมายและเงื่อนไขที่เกี่ยวข้องอย่างเคร่งครัด
ที่ต้องระวังคือ ตัวเลขโทษไม่ใช่ปุ่มปรับอัตโนมัติ
ในส่วน PDPA ความรับผิดทางอาญาและทางปกครองขึ้นอยู่กับพฤติการณ์และองค์ประกอบของความผิด เช่น กรณีการใช้หรือเปิดเผยข้อมูลอ่อนไหวจนเข้าลักษณะที่กฎหมายกำหนด โทษอาจสูงถึงจำคุก 1 ปีหรือปรับ 1 ล้านบาทในกรณีที่มีการแสวงหาประโยชน์โดยมิชอบ ขณะที่บทลงโทษทางปกครองบางกรณีเกี่ยวกับข้อมูลอ่อนไหวอาจสูงถึง 5 ล้านบาท
ขณะเดียวกัน พ.ร.บ.สุขภาพแห่งชาติ มาตรา 49 กำหนดโทษสำหรับการฝ่าฝืนมาตรา 7 ไว้สูงสุดจำคุก 6 เดือน ปรับไม่เกิน 10,000 บาท หรือทั้งจำทั้งปรับ ตามเงื่อนไขของกฎหมาย
อีกชั้นหนึ่ง หากข้อความที่เผยแพร่เข้าข่ายการใส่ความจนทำให้บุคคลเสียชื่อเสียง ก็อาจต้องพิจารณาประเด็นหมิ่นประมาทแยกต่างหาก ไม่ใช่เอาทุกเรื่องไปรวมเป็น “คดี PDPA” ทั้งหมด
ผลกระทบต่อธุรกิจในประเทศไทย
จุดที่ผู้บริหารควรหยิบจากเรื่องนี้ไม่ใช่แค่ “ระวังอย่าพูดข้อมูลสุขภาพ” แต่คือ องค์กรต้องรู้ว่าจะหยุดข้อมูลตรงไหน ก่อนข้อมูลไปถึงประชาชน
ลองนึกภาพโรงพยาบาลแห่งหนึ่ง คนไข้ให้ข้อมูลสุขภาพกับแพทย์ ต่อมาข้อมูลถูกส่งให้ฝ่ายประกัน ฝ่าย IT เก็บไว้ในระบบ และฝ่ายการตลาดนำกรณีศึกษามาทำคอนเทนต์ หากทุกฝ่ายรู้เพียงว่า “ข้อมูลนี้เป็นของคนไข้” แต่ไม่มีขั้นตอนตรวจว่าข้อมูลส่วนไหนเผยแพร่ได้ ข้อมูลก็อาจหลุดได้แม้ไม่มีใครมีเจตนาร้าย
ในธุรกิจสื่อ ความเสี่ยงยิ่งชัดกว่าเดิม เพราะข้อมูลสามารถเปลี่ยนสถานะอย่างรวดเร็วจาก “ข้อมูลที่ผู้ให้สัมภาษณ์พูด” เป็น “ข้อมูลที่คนทั้งประเทศเห็น” ผ่านรายการสด คลิปตัดต่อ YouTube TikTok Facebook หรือบทความข่าว
ฝ่าย HR ก็เจอสถานการณ์เดียวกัน เพียงเปลี่ยนจากรายการโทรทัศน์เป็นเอกสารภายใน เช่น ใบรับรองแพทย์ ข้อมูลการลาป่วย ข้อมูลการตรวจสุขภาพ หรือข้อมูลความพิการ หากข้อมูลเหล่านี้ถูกส่งต่อในกลุ่มแชตหรือแนบผิดอีเมล ความเสียหายไม่ได้จบแค่การ “ส่งไฟล์ผิดคน” แต่ต้องย้อนดูว่าการเก็บ ใช้ และเปิดเผยข้อมูลนั้นมีฐานทางกฎหมายและมาตรการที่เหมาะสมหรือไม่
ธุรกิจยังต้องระวังอีกเรื่องที่กำลังสำคัญขึ้นเรื่อย ๆ คือ AI และระบบถอดเสียง เพราะข้อมูลสุขภาพอาจถูกพูดออกมาในห้องประชุม แล้วระบบอัตโนมัติสร้าง transcript หรือสรุปให้โดยไม่ได้ตั้งใจ หากไม่มีการกำหนดว่าอะไรคือข้อมูลอ่อนไหวและใครมีสิทธิ์เข้าถึง องค์กรอาจสร้างสำเนาข้อมูลสุขภาพเพิ่มขึ้นโดยไม่รู้ตัว
ดังนั้น การป้องกันที่ดีไม่ใช่การฝึกพนักงานด้วยคำว่า “อย่าเผยแพร่ข้อมูลสุขภาพ” เพียงอย่างเดียว แต่ควรออกแบบ workflow ให้มี จุดตรวจสอบก่อนเผยแพร่ โดยเฉพาะงานที่มีการบันทึกเสียง ถ่ายวิดีโอ ทำคอนเทนต์ ส่งข้อมูลข้ามฝ่าย หรือใช้ AI ประมวลผล
นี่คือจุดที่กรณีข่าวนี้มีค่าต่อธุรกิจมากกว่าตัวเลขค่าปรับ: ความเสี่ยงเกิดขึ้นก่อนเกิดเหตุละเมิดจริง และองค์กรสามารถออกแบบระบบเพื่อหยุดมันได้ตั้งแต่ต้นทาง
สิ่งที่ควรทำต่อ
1. ทำรายการข้อมูลสุขภาพที่องค์กรมีอยู่จริง
อย่าดูเฉพาะฐานข้อมูล HR หรือระบบโรงพยาบาล ให้รวมเอกสาร อีเมล กลุ่มแชต คลิปเสียง วิดีโอ และไฟล์ที่สร้างจาก AI ด้วย
2. เพิ่ม “Health Data Stop Gate” ก่อนเผยแพร่
ก่อนทำรายการ โพสต์ข่าว ทำคลิป หรือเผยแพร่กรณีศึกษา ให้มีคนตรวจว่ามีข้อมูลสุขภาพของบุคคลใดอยู่ในเนื้อหาหรือไม่
3. กำหนดคนที่มีอำนาจเบรกการเผยแพร่
ต้องตอบให้ได้ว่า หากผู้จัดรายการ ผู้สื่อข่าว HR หรือพนักงานพบข้อมูลสุขภาพระหว่างทำงาน ใครสามารถสั่งหยุดหรือให้ตรวจซ้ำได้ทันที
4. แยก “พูดได้” ออกจาก “เผยแพร่ได้”
การที่ข้อมูลถูกพูดในวงสนทนา ไม่ได้แปลว่าองค์กรสามารถนำข้อมูลนั้นไปเผยแพร่ต่อสาธารณะได้ทันที ต้องพิจารณาสิทธิ ฐานทางกฎหมาย วัตถุประสงค์ และข้อยกเว้นที่เกี่ยวข้อง
5. ทดสอบเหตุการณ์จำลอง
ลองถามทีมด้วยสถานการณ์ง่าย ๆ เช่น “แขกรับเชิญหลุดพูดถึงโรคของบุคคลอื่นระหว่างรายการสด ใครกดเบรก? ใครตัดคลิป? ใครตรวจ transcript?” ถ้าตอบไม่ได้ แปลว่ายังไม่มีระบบควบคุมที่ใช้งานจริง
มุมมองผู้เชี่ยวชาญ
“เรื่องนี้ไม่ควรจบที่คำถามว่าใครจะโดนปรับ
กี่ล้าน แต่ควรถามว่าองค์กรมีระบบหยุดข้อมูลอ่อนไหวก่อนเผยแพร่หรือยัง เพราะความผิดพลาดบางครั้งเกิดขึ้นในเวลาไม่กี่วินาที แต่ผลกระทบอาจอยู่กับเจ้าของข้อมูลไปอีกนาน”— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
The Thaiger — ข่าวต้นทางเรื่องกรณีข้อมูลสุขภาพเกือบถูกเปิดเผยระหว่างรายการ และกรอบกฎหมายที่เกี่ยวข้อง
อ่านข่าวต้นฉบับจาก The Thaiger
สำนักงานคณะกรรมการสุขภาพแห่งชาติ (สช.) — มาตรา 7 แห่ง พ.ร.บ.สุขภาพแห่งชาติ พ.ศ. 2550
ราชกิจจานุเบกษา — พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกรอบบทบัญญัติที่เกี่ยวข้อง
YMYL Disclaimer
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย
หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
