IQVIA โดนปรับ 7 ล้านยูโรคือคำสั่งของ Garante หน่วยงานคุ้มครองข้อมูลของอิตาลี ที่ชี้ว่าข้อมูลเวชระเบียนราว 1 ล้านคนซึ่ง IQVIA อ้างว่าเป็นข้อมูลนิรนาม ที่จริงยังระบุตัวบุคคลย้อนกลับได้ บทความนี้เหมาะกับโรงพยาบาล คลินิก บริษัทประกัน และ health-tech ไทยที่แชร์ข้อมูลสุขภาพ “ลบชื่อแล้ว” อ่านแล้วจะรู้ว่าต้องเช็กอะไรก่อนแชร์
ลองนึกภาพคลินิกในไทยที่ส่งข้อมูลการรักษาให้บริษัทวิเคราะห์ตลาด โดยลบชื่อออกแล้วใส่รหัสแทน ทุกคนสบายใจว่านิรนามแล้ว แต่ถ้ารหัสนั้นเหมือนเดิมทุกปี และผูกกับยาที่สั่งและที่อยู่ คนที่ตั้งใจหาก็ย้อนกลับไปหาตัวคนไข้ได้ คดี IQVIA คือภาพนี้ในชีวิตจริง
สรุปสั้น: Garante ของอิตาลีปรับ IQVIA 7 ล้านยูโร เพราะข้อมูลคนไข้ราว 1 ล้านคนที่อ้างว่านิรนาม ใช้รหัส 22 ตัวที่คงที่ข้ามหลายปี จึงเป็นเพียงการใช้รหัสแทนตัวตน (pseudonymisation) ไม่ใช่ข้อมูลนิรนามจริง สำหรับไทย ถ้าข้อมูลสุขภาพที่ลบชื่อแล้วยังย้อนกลับหาตัวคนได้ ข้อมูลนั้นยังเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 ที่ต้องมีฐานกฎหมายเข้มงวด
IQVIA โดนปรับเพราะอะไร
IQVIA โดนปรับเพราะ Garante เห็นว่าข้อมูลที่บริษัทได้รับจากแพทย์ทั่วไปราว 800 คน ไม่ใช่ข้อมูลนิรนาม ผู้ป่วยแต่ละคนมีรหัสตัวอักษรผสมตัวเลข 22 ตัวที่คงที่ข้ามหลายปี ผูกกับการวินิจฉัย ใบสั่งยา และตำแหน่ง Garante ชี้ว่าแฮชคุ้มครองเพียงส่วนที่เชื่อมกับตัวตนโดยตรง แต่ถูกออกแบบให้คงความเป็นเอกลักษณ์ไว้
PPC Land รายงานว่า Garante อ้างคำพิพากษาศาลยุติธรรมสหภาพยุโรป C-413/23 P และพบว่า IQVIA กำหนดมาตรการทำให้เป็นนิรนามเอง ระบุตัวตนย้อนกลับได้ และทำหน้าที่เป็นผู้ควบคุมข้อมูล ไม่ใช่ผู้รับข้อมูลเฉย ๆ คำสั่งอ้าง GDPR ข้อ 5, 9, 13, 25, 28, 32 และ 35
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ผู้ออกคำสั่ง | Garante (อิตาลี) คำสั่งลงวันที่ 23 ก.ย. 2569 ตามรายงาน |
| ค่าปรับ | 7 ล้านยูโร |
| ขนาดข้อมูล | เวชระเบียนราว 1 ล้านคน จากแพทย์ทั่วไปราว 800 คน |
| จุดชี้ขาด | รหัส 22 ตัวคงที่ข้ามหลายปี ย้อนกลับหาตัวคนได้ |
| คำสั่งแก้ไข | ภายใน 120 วัน · IQVIA สงวนสิทธิ์อุทธรณ์ |
Il Sole 24 Ore รายงานเพิ่มว่าข้อมูลย้อนหลังถึงปี 2001 ไม่มีการเข้ารหัสที่เหมาะสม ไม่ได้ทำ DPIA และผู้ป่วยกว่า 3,300 รายมีข้อมูลระบุตัวตนถูกเปิดเผย
ข้อมูลนิรนามแบบ IQVIA กระทบธุรกิจสุขภาพไทยอย่างไร
คดี IQVIA ตั้งหลักว่าแฮชหรือรหัสที่คงที่คือ pseudonymisation ไม่ใช่ข้อมูลนิรนาม ถ้ายังมีช่องทางย้อนกลับ หลักนี้กระทบไทยเพราะ PDPA ไม่ใช้กับข้อมูลที่ระบุตัวคนไม่ได้ แต่ถ้า “นิรนาม” ไม่จริง ข้อมูลสุขภาพจะกลับเป็นข้อมูลอ่อนไหวตามมาตรา 26 ทันที ส่วนต่อไปนี้เป็นการวิเคราะห์ของผู้เขียน
โรงพยาบาลและคลินิกที่ส่งข้อมูลเพื่อวิจัย
โรงพยาบาลและคลินิกที่ส่งข้อมูลให้งานวิจัยหรือบริษัทยา มักคิดว่าลบชื่อและเลขบัตรแล้วก็จบ คดี IQVIA บอกว่าไม่พอ ถ้ารหัสผู้ป่วยคงที่และผูกกับการวินิจฉัย ยา และพื้นที่ ข้อมูลนั้นยังเป็นข้อมูลส่วนบุคคล โรงพยาบาลจึงต้องมีฐานกฎหมายสำหรับข้อมูลอ่อนไหว และแจ้งผู้ป่วยตามมาตรา 23 อ่านความเสี่ยงของผู้ประมวลผลข้อมูลสุขภาพได้ใน Medyc เวชระเบียนรั่ว โปแลนด์เตรียมบังคับรับรองมาตรฐานผู้ประมวลผลข้อมูลสุขภาพ โรงพยาบาลไทยที่ใช้ HIS ภายนอกต้องระวังอะไร
บริษัทที่ซื้อหรือวิเคราะห์ข้อมูลสุขภาพเป็นผู้ควบคุมข้อมูลไหม
บริษัทที่รับข้อมูลไปวิเคราะห์อาจเป็นผู้ควบคุมข้อมูลเอง ถ้าเป็นผู้กำหนดวิธีทำให้นิรนาม แบบที่ Garante ชี้ใน IQVIA ผลคือบริษัทต้องรับผิดตาม PDPA โดยตรง ไม่ใช่โยนให้โรงพยาบาลต้นทาง สัญญาที่เขียนว่า “ผู้รับได้รับข้อมูลนิรนาม” จึงไม่ใช่เกราะ
บริษัทประกันและ health-tech
บริษัทประกันและแอปสุขภาพที่ขายหรือแบ่งปันชุดข้อมูล “ไม่ระบุชื่อ” ให้พันธมิตร ควรทดสอบความเสี่ยงการระบุตัวซ้ำก่อนส่ง เพราะข้อมูลตำแหน่งบวกการรักษาเพียงไม่กี่รายการก็ชี้ตัวคนได้ หลักเรื่องข้อมูลตำแหน่งมีให้ดูใน DPC ไอร์แลนด์ปรับ Google 403 ล้านยูโร คดีข้อมูลตำแหน่ง แอปเดลิเวอรี เรียกรถ และค้าปลีกไทยที่เก็บ location ต้องเช็กอะไร
ถ้าไม่ตรวจข้อมูลนิรนาม จะเสี่ยงอะไร
ถ้าไม่ตรวจว่าข้อมูลนิรนามจริงหรือไม่ องค์กรอาจประมวลผลข้อมูลอ่อนไหวโดยไม่มีฐานกฎหมายตาม PDPA มาตรา 26 โดยไม่รู้ตัว ไม่ได้แจ้งเจ้าของข้อมูล และไม่มีมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37(1) ถ้าข้อมูลหลุด ข้ออ้างว่า “เป็นข้อมูลนิรนาม” จะไม่ช่วย และยังต้องแจ้งเหตุภายใน 72 ชั่วโมงตามมาตรา 37(4)
องค์กรที่แชร์ข้อมูลสุขภาพควรทำอะไรตอนนี้
องค์กรที่แชร์ข้อมูลสุขภาพควรทดสอบว่าข้อมูลที่เรียกว่านิรนามนั้นนิรนามจริง โดยใช้คำสั่ง IQVIA เป็นแม่แบบ ซึ่งสั่งให้แก้ด้วยการหาฐานกฎหมาย แจ้งผู้ป่วย ทำ DPIA หรือทำให้นิรนามด้วย k-anonymity ขั้นต่ำ 10 รายการต่อกลุ่ม
- 1. ตรวจว่ารหัสแทนชื่อคงที่หรือไม่ ถ้ารหัสผู้ป่วยเหมือนเดิมข้ามปีหรือข้ามชุดข้อมูล ให้ถือว่าเป็น pseudonymisation
- 2. ทดสอบการระบุตัวซ้ำ (re-identification) ลองรวมข้อมูลพื้นที่ อายุ และการรักษา ดูว่ากลุ่มเล็กจนชี้ตัวคนได้หรือไม่
- 3. ทำ DPIA ก่อนแชร์ ประเมินความเสี่ยงเป็นเอกสาร และเก็บไว้เป็นหลักฐาน
- 4. ทบทวนบทบาทในสัญญา ระบุให้ชัดว่าใครเป็นผู้ควบคุมหรือผู้ประมวลผล และใครกำหนดวิธีทำให้นิรนาม
- 5. ตรวจฐานกฎหมายและการแจ้งผู้ป่วย ถ้าข้อมูลยังเป็นข้อมูลส่วนบุคคล ต้องมีฐานตามมาตรา 26 และแจ้งตามมาตรา 23
ถ้าต้องการคนช่วยตรวจชุดข้อมูลและสัญญาแชร์ข้อมูลสุขภาพ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru และติดตามข่าวต่อได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
คำว่านิรนามถูกใช้ในธุรกิจข้อมูลสุขภาพเหมือนยันต์กันผี เขียนไว้ในสัญญาแล้วทุกคนสบายใจ คดี IQVIA บอกว่าหน่วยงานกำกับไม่ได้อ่านคำในสัญญา แต่ดูว่าข้อมูลย้อนกลับได้หรือไม่ ถ้าคุณย้อนกลับหาตัวคนได้ แปลว่าคุณยังถือข้อมูลส่วนบุคคลอยู่ ไม่ว่าจะเรียกมันว่าอะไร จุดที่องค์กรมักพลาดคือรหัสคงที่ ซึ่งสะดวกต่อการวิเคราะห์ แต่ก็สะดวกต่อการระบุตัวด้วย
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับข้อมูลนิรนามและคดี IQVIA
ข้อมูลนิรนามกับข้อมูลที่ใช้รหัสแทนต่างกันอย่างไร
ข้อมูลนิรนามคือข้อมูลที่ย้อนกลับหาตัวคนไม่ได้อีก ส่วนข้อมูลที่ใช้รหัสแทน (pseudonymisation) ยังย้อนกลับได้ จึงยังเป็นข้อมูลส่วนบุคคล คดี IQVIA ชี้ว่ารหัสที่คงที่ข้ามหลายปีเข้าข่ายแบบหลัง
ข้อมูลสุขภาพที่ลบชื่อแล้วยังอยู่ใต้ PDPA ไหม
ถ้ายังระบุตัวคนย้อนกลับได้ ข้อมูลนั้นยังอยู่ใต้ PDPA และเป็นข้อมูลอ่อนไหวตามมาตรา 26 PDPA ไม่ใช้กับข้อมูลที่ทำให้ระบุตัวเจ้าของไม่ได้จริงเท่านั้น
IQVIA ต้องทำอะไรหลังโดนปรับ
IQVIA ต้องแก้ไขภายใน 120 วัน เช่น หาฐานกฎหมาย แจ้งผู้ป่วย ทำ DPIA ตั้งแพทย์เป็นผู้ประมวลผล หรือให้แพทย์ทำนิรนามเองด้วย k-anonymity ขั้นต่ำ 10 รายการต่อกลุ่ม IQVIA ระบุว่าสงวนสิทธิ์อุทธรณ์
k-anonymity คืออะไร
k-anonymity คือเทคนิคที่ทำให้ทุกคนในชุดข้อมูลมีคนอื่นที่หน้าตาข้อมูลเหมือนกันอย่างน้อย k คน คำสั่งในคดี IQVIA กำหนดขั้นต่ำ 10 รายการต่อกลุ่ม เพื่อไม่ให้ชี้ตัวคนใดคนหนึ่งได้
แหล่งอ้างอิง
- PPC Land — (อ่านต้นฉบับ) — อ่านข่าวที่ PPC Land
- Il Sole 24 Ore — (อ่านต้นฉบับ) — อ่านข่าวที่ Il Sole 24 Ore
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
