Medyc เวชระเบียนรั่วเป็นข่าวจากโปแลนด์ที่โรงพยาบาลและคลินิกไทยควรอ่าน ลองนึกภาพคลินิกที่เช่าระบบเวชระเบียนออนไลน์จากบริษัทซอฟต์แวร์ แล้ววันหนึ่งบริษัทนั้นถูกเจาะ ประวัติผู้ป่วยรวมถึงผู้ที่เข้ารับการบำบัดยาเสพติดหลุดออกไป เหตุแบบนี้เพิ่งเกิดในโปแลนด์ และรัฐบาลตอบกลับด้วยการเล็งกำกับผู้ขายระบบโดยตรง
สรุปสั้น: Medyc ผู้ขายซอฟต์แวร์เวชระเบียนในโปแลนด์ถูกเจาะด้วย SQL injection ข้อมูลที่รั่วรวมเลข PESEL และเวชระเบียน รวมถึงของหน่วยบำบัดยาเสพติด มีการอ้างว่ารั่ว 5 ล้านเวชระเบียนแต่ยังไม่ยืนยัน หน่วยงานคุ้มครองข้อมูล (UODO) สั่งตรวจสอบบริษัท และรัฐเตรียมบังคับรับรองมาตรฐานผู้ประมวลผลข้อมูลสุขภาพ โรงพยาบาลไทยที่ใช้ระบบ HIS จากภายนอกยังเป็นผู้ควบคุมข้อมูลตาม PDPA และควรตรวจสัญญาและความปลอดภัยของผู้ขายตั้งแต่ตอนนี้
Medyc เวชระเบียนรั่ว คืออะไร เกิดอะไรขึ้น
Medyc เวชระเบียนรั่วคือเหตุที่ผู้ขายซอฟต์แวร์เวชระเบียนในโปแลนด์ถูกเจาะระบบ ทำให้ข้อมูลผู้ป่วยของสถานพยาบาลที่ใช้ซอฟต์แวร์นั้นหลุดออกไป The Record รายงานเรื่องนี้เมื่อวันที่ 28 กันยายน 2026
ตามข่าว ผู้โจมตีใช้ SQL injection ข้อมูลที่รั่วรวมเลข PESEL ซึ่งเป็นเลขประจำตัวประชาชนของโปแลนด์ และเวชระเบียน รวมถึงข้อมูลจากหน่วยบำบัดยาเสพติด มีการอ้างว่ารั่วถึง 5 ล้านเวชระเบียน แต่ตัวเลขนี้ยังไม่ได้รับการยืนยัน
หน่วยงานคุ้มครองข้อมูลของโปแลนด์ (UODO) สั่งตรวจสอบบริษัทแล้ว ส่วนรัฐมนตรีดิจิทัลออกมาโจมตีการปิดข่าว และรัฐบาลเตรียมบังคับให้ผู้ประมวลผลข้อมูลสุขภาพต้องผ่านการรับรองมาตรฐาน
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| บริษัท | Medyc ผู้ขายซอฟต์แวร์เวชระเบียน (โปแลนด์) |
| วิธีโจมตี | SQL injection |
| ข้อมูลที่รั่ว | เลข PESEL และเวชระเบียน รวมถึงหน่วยบำบัดยาเสพติด |
| จำนวนที่อ้าง | 5 ล้านเวชระเบียน (ยังไม่ยืนยัน) |
| หน่วยงานกำกับ | UODO สั่งตรวจสอบบริษัท |
| ท่าทีรัฐ | รัฐมนตรีดิจิทัลโจมตีการปิดข่าว เตรียมบังคับรับรองมาตรฐานผู้ประมวลผลข้อมูลสุขภาพ |
| แหล่งข่าว | The Record (28 ก.ย. 2026) |
Medyc เวชระเบียนรั่ว กระทบธุรกิจไทยอย่างไร
Medyc เวชระเบียนรั่วกระทบธุรกิจไทยในแง่ทิศทางการกำกับ เพราะแสดงว่าหน่วยงานรัฐเริ่มมองข้ามโรงพยาบาลไปถึงผู้ขายระบบที่ถือข้อมูลจริง ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในข่าว ไทยยังไม่มีข่าวว่าจะออกกติการับรองผู้ประมวลผลข้อมูลสุขภาพแบบโปแลนด์
โรงพยาบาลและคลินิกไทยที่ใช้ HIS จากภายนอก
โรงพยาบาลและคลินิกไทยที่ใช้ HIS จากผู้ขายภายนอกยังคงเป็น “ผู้ควบคุมข้อมูล” ตาม PDPA แม้ข้อมูลจะอยู่บนเซิร์ฟเวอร์ของผู้ขาย พูดง่าย ๆ คือ ถ้าผู้ขายถูกเจาะ คนไข้จะถามโรงพยาบาลก่อน ไม่ใช่ถามบริษัทซอฟต์แวร์
ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 ซึ่งมีเงื่อนไขการเก็บและใช้เข้มกว่าข้อมูลทั่วไป และถ้าเกิดเหตุละเมิด โรงพยาบาลต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุตามมาตรา 37(4) ปัญหาคือ ถ้าผู้ขายไม่แจ้งโรงพยาบาลทันที นาฬิกา 72 ชั่วโมงก็เริ่มนับโดยที่โรงพยาบาลยังไม่รู้อะไรเลย
คลินิกบำบัด คลินิกเฉพาะทาง และข้อมูลที่ตีตรา
คลินิกบำบัดยาเสพติด คลินิกจิตเวช และคลินิกเฉพาะทางบางประเภทถือข้อมูลที่ถ้าหลุดแล้วทำร้ายคนไข้ได้มากกว่าการเสียเงิน เหตุ Medyc เวชระเบียนรั่วมีข้อมูลหน่วยบำบัดยาเสพติดรวมอยู่ด้วย นั่นคือความเสียหายแบบที่ขอโทษแล้วก็แก้ไม่ได้
ตัวอย่างสมมติ: คลินิกบำบัดขนาดเล็กในต่างจังหวัดเช่าระบบเวชระเบียนแบบรายเดือน ไม่เคยอ่านสัญญาเรื่องความปลอดภัย ไม่รู้ว่าข้อมูลสำรองอยู่ที่ไหน ถ้าผู้ขายถูกเจาะ คลินิกอาจไม่มีข้อมูลพอจะบอกคนไข้ได้ว่าข้อมูลใครหลุดไปบ้าง
ผู้ขายซอฟต์แวร์สุขภาพไทย (HealthTech)
ผู้ขายซอฟต์แวร์สุขภาพไทยควรมองเหตุ Medyc เป็นสัญญาณล่วงหน้า ทิศทางแบบโปแลนด์คือรัฐกำกับผู้ประมวลผลโดยตรงผ่านการรับรองมาตรฐาน ถ้าแนวคิดนี้แพร่มาถึงไทยหรือถูกใช้เป็นเงื่อนไขในการจัดซื้อของโรงพยาบาลใหญ่ ผู้ขายที่เตรียมตัวก่อนจะได้เปรียบ
PDPA ของไทยกำหนดหน้าที่ของผู้ประมวลผลข้อมูลไว้แล้ว เช่น ต้องทำตามคำสั่งของผู้ควบคุม มีมาตรการความปลอดภัย และแจ้งเหตุละเมิดให้ผู้ควบคุมทราบ แต่ในทางปฏิบัติ หลายสัญญายังไม่เขียนเรื่องเหล่านี้ให้ชัด
เรื่องการปิดข่าว
การที่รัฐมนตรีดิจิทัลโปแลนด์ออกมาโจมตีการปิดข่าว บอกว่าความเงียบในช่วงแรกเป็นความเสี่ยงในตัวเอง องค์กรไทยที่คิดว่า “เงียบไว้ก่อนแล้วค่อยดู” ควรรู้ว่า PDPA มีกรอบเวลาแจ้งเหตุ และถ้าความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลด้วย การปิดข่าวจึงอาจทั้งผิดกฎหมายและทำลายความเชื่อมั่นพร้อมกัน
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย โรงพยาบาลและคลินิกไทยเสี่ยงรับผิดแทนผู้ขายระบบในฐานะผู้ควบคุมข้อมูล เสี่ยงแจ้งเหตุไม่ทันเพราะสัญญาไม่บังคับให้ผู้ขายแจ้ง และเสี่ยงเสียคนไข้ในเรื่องที่คนไข้อ่อนไหวที่สุด ส่วนผู้ขาย HealthTech เสี่ยงตกรอบการจัดซื้อเมื่อลูกค้าเริ่มขอหลักฐานมาตรฐานความปลอดภัย
โรงพยาบาลและคลินิกไทยควรทำอะไรตอนนี้
โรงพยาบาลและคลินิกไทยควรใช้เหตุ Medyc เวชระเบียนรั่วเป็นเหตุผลในการเปิดสัญญากับผู้ขาย HIS ขึ้นมาอ่านใหม่ งานทั้งหมดนี้ทำได้โดยไม่ต้องเปลี่ยนระบบ
- 1. ตรวจว่ามีข้อตกลงการประมวลผลข้อมูล (DPA) กับผู้ขาย HIS หรือยัง ถ้ายังไม่มี ให้เพิ่มเรื่องหน้าที่ความปลอดภัย การใช้ผู้รับจ้างช่วง และการคืนหรือลบข้อมูลเมื่อเลิกสัญญา
- 2. กำหนดให้ผู้ขายแจ้งเหตุให้โรงพยาบาลรู้ภายในกรอบเวลาสั้น เช่น 24 ชั่วโมง เพื่อให้โรงพยาบาลยังมีเวลาแจ้ง สคส. ภายใน 72 ชั่วโมง
- 3. ขอหลักฐานการทดสอบความปลอดภัยของระบบ เช่น ผลทดสอบเจาะระบบล่าสุด หรือใบรับรองมาตรฐานที่ผู้ขายมี ถ้าไม่มีเลย ให้บันทึกเป็นความเสี่ยง
- 4. แยกระดับการเข้าถึงข้อมูลหน่วยที่อ่อนไหวเป็นพิเศษ เช่น หน่วยบำบัด จิตเวช หรือโรคที่ถูกตีตรา ให้เข้าถึงได้เฉพาะผู้ที่ต้องใช้จริง
- 5. เตรียมแผนสื่อสารกับคนไข้ล่วงหน้า กำหนดว่าใครพูด พูดอะไร และภายในเมื่อไร เพื่อไม่ให้ตกอยู่ในสถานะ “ปิดข่าว” โดยไม่ตั้งใจ
ถ้าโรงพยาบาลหรือคลินิกต้องการคนช่วยทบทวนสัญญาผู้ขายและแผนรับมือเหตุละเมิด ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านเรื่องความเป็นส่วนตัวเพิ่มเติมได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
หลายโรงพยาบาลเชื่อว่าการจ้างบริษัทภายนอกดูแลระบบ คือการโอนความเสี่ยงออกไปด้วย ในทางกฎหมายไม่ใช่แบบนั้น คุณจ้างคนอื่นถือข้อมูลได้ แต่จ้างคนอื่นรับผิดแทนคุณไม่ได้ สิ่งที่โปแลนด์กำลังทำคือยอมรับว่ากำกับแค่โรงพยาบาลไม่พอ ต้องกำกับผู้ขายด้วย ผมคิดว่าโรงพยาบาลไทยไม่ต้องรอกฎหมายใหม่ ใช้สัญญาที่มีอยู่บังคับผู้ขายให้เข้มขึ้นได้ตั้งแต่วันนี้
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Medyc เวชระเบียนรั่ว
Medyc เวชระเบียนรั่วเกิดจากอะไร
ตามรายงานของ The Record ผู้โจมตีเจาะระบบของ Medyc ด้วย SQL injection ข้อมูลที่รั่วรวมเลข PESEL และเวชระเบียน รวมถึงข้อมูลจากหน่วยบำบัดยาเสพติด
Medyc เวชระเบียนรั่ว 5 ล้านรายการจริงไหม
ตัวเลข 5 ล้านเวชระเบียนเป็นคำอ้าง ยังไม่ได้รับการยืนยัน หน่วยงานคุ้มครองข้อมูลของโปแลนด์ (UODO) สั่งตรวจสอบบริษัทแล้ว
ถ้าผู้ขาย HIS ถูกเจาะ โรงพยาบาลไทยต้องรับผิดไหม
โรงพยาบาลยังเป็นผู้ควบคุมข้อมูลตาม PDPA จึงมีหน้าที่ดูแลความปลอดภัยและแจ้งเหตุต่อ สคส. ภายใน 72 ชั่วโมง ผู้ขายในฐานะผู้ประมวลผลก็มีหน้าที่ของตัวเอง แต่การแบ่งความรับผิดขึ้นกับข้อเท็จจริงและสัญญาระหว่างกัน
ไทยมีการรับรองมาตรฐานผู้ประมวลผลข้อมูลสุขภาพแบบโปแลนด์หรือยัง
ข่าวนี้พูดถึงแนวทางของโปแลนด์เท่านั้น ยังไม่มีข้อมูลว่าไทยจะออกกติกาแบบเดียวกัน โรงพยาบาลไทยจึงควรใช้สัญญากับผู้ขายเป็นเครื่องมือหลักในการกำหนดมาตรฐานไปก่อน
แหล่งอ้างอิง
- The Record — (อ่านต้นฉบับ) — อ่านที่ The Record
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ และติดตามกฎหมายเทคโนโลยีเพิ่มเติมได้ที่ หมวด Tech Law & IP
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
