คลังความรู้ & คำถามที่พบบ่อย (FAQ)

ตามแนวปฏิบัติของสำนักงาน สคส. คลินิกต้องติดป้ายสัญลักษณ์กล้องวงจรปิดในจุดที่คนไข้และผู้รับบริการมองเห็นได้อย่างชัดเจน ก่อนก้าวเข้าสู่พื้นที่บันทึกภาพ (เช่น บริเวณประตูด้านหน้าทางเข้า)

ป้ายต้องระบุ: วัตถุประสงค์ในการบันทึกภาพ (เพื่อความปลอดภัยในชีวิตและทรัพย์สิน), ชื่อผู้ควบคุมข้อมูล (คลินิก), และช่องทางติดต่อ พร้อม QR Code ลิงก์ไปยังนโยบายความเป็นส่วนตัวของกล้องวงจรปิด (CCTV Privacy Policy)

ภาพ Before-After ถือเป็น ข้อมูลสุขภาพ (Sensitive Data) ตามมาตรา 26 ห้ามนำไปเผยแพร่โดยเด็ดขาดหากไม่ได้รับความยินยอมโดยชัดแจ้ง (Explicit Consent) เป็นลายลักษณ์อักษร

ข้อควรระวัง: ห้ามนำหนังสือยินยอมไปรวมไว้ในแบบฟอร์มการยินยอมรับการรักษา ต้องแยกเอกสารต่างหากชัดเจน และต้องระบุช่องทางให้คนไข้สามารถขอเพิกถอนความยินยอมและขอลบภาพในภายหลังได้

การพูดคุยเกี่ยวกับประวัติการรักษาผ่านแอปพลิเคชันสนทนา มีความเสี่ยงต่อการรั่วไหลสูง คลินิกควรปฏิบัติดังนี้:

• จำกัดสิทธิ์แอดมิน LINE OA เฉพาะแพทย์หรือเจ้าหน้าที่ที่ได้รับมอบหมายเท่านั้น
• ไม่บันทึกภาพถ่ายคนไข้เก็บไว้ในโทรศัพท์มือถือส่วนตัวของพนักงาน
• ทำสัญญา Data Processing Agreement (DPA) กับผู้ให้บริการระบบจัดการแชทภายนอกหากมีการเชื่อมต่อระบบ CRM

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล มาตรา 20 กำหนดเกณฑ์ตามช่วงอายุของผู้เยาว์ดังนี้:

• อายุไม่เกิน 10 ปี: ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครอง (พ่อ แม่ หรือผู้ปกครองตามกฎหมาย) เท่านั้น
• อายุเกิน 10 ปี แต่ยังไม่บรรลุนิติภาวะ (ไม่ถึง 20 ปี): ต้องได้รับความยินยอมร่วมกันทั้งจากตัวนักเรียนและผู้ใช้อำนาจปกครอง (เว้นแต่เป็นการกระทำที่ผู้เยาว์ทำได้เองตามประมวลกฎหมายแพ่งและพาณิชย์)

ห้ามเปิดเผยเลขประจำตัวประชาชน 13 หลัก ควบคู่กับชื่อ-นามสกุลและผลการเรียนบนบอร์ดสาธารณะหรือไฟล์ PDF บนเว็บไซต์ เพราะเสี่ยงต่อการถูกมิจฉาชีพนำไปสวมรอย

แนวปฏิบัติที่ปลอดภัย: ให้ใช้ระบบตรวจสอบผลสอบผ่านการ Login ส่วนตัว หรือหากจำเป็นต้องประกาศบอร์ด ให้ระบุเฉพาะรหัสประจำตัวสอบ และปิดบังตัวอักษรบางส่วน (Masking) เช่น "ด.ช. สมxxx ใจxxx รหัสสอบ 45xx"

กฎหมายกำหนดให้ผู้ควบคุมข้อมูลต้องดำเนินการตามคำร้องขอใช้สิทธิ (DSAR) ภายในไม่เกิน 30 วัน นับจากวันที่ได้รับคำขอที่ถูกต้องครบถ้วน

หากมีเหตุจำเป็นทางเทคนิคที่ไม่สามารถทำได้ทัน สามารถขยายเวลาได้ตามเกณฑ์ที่กฎหมายรองรับ แต่ต้องแจ้งเหตุผลเป็นลายลักษณ์อักษรให้ผู้ยื่นคำร้องทราบล่วงหน้า

ตามมาตรา 37(4) หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลมีหน้าที่ต้อง แจ้งเหตุต่อสำนักงาน สคส. ภายใน 72 ชั่วโมง นับแต่ทราบเหตุ

และหากการรั่วไหลนั้นมีความเสี่ยงสูงที่จะกระทบต่อสิทธิและเสรีภาพของบุคคล (เช่น ประวัติการรักษา หลุดสู่สาธารณะ) จะต้องแจ้งให้เจ้าของข้อมูลทราบพร้อมแนวทางการเยียวยาโดยไม่ชักช้า