รู้ให้ชัด! กฎหมายคุ้มครองข้อมูลส่วนบุคคล กับผู้ใช้บริการรักษาพยาบาลแชะแชร์ในโลกโซเชียล

          กฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือ PDPAใช้บังคับกับผู้ประกอบการและหน่วยงานหลายประเภทกิจการ  แต่ในการตีความและปรับใช้กฎหมายแตกต่างกันไปตามประเภทกิจการ    

กฏหมายคุ้มครองข้อมูลส่วนบุคคลในบทความนี้จะกล่าวถึงข้อควรทราบตามกฎหมาย PDPA  สำหรับผู้ใช้บริการสุขภาพ การรักษาพยาบาล โรงพยาบาล คลินิก ฯลฯ  ที่มักจะมีพฤติกรรมการโพสต์แชร์ภาพและข้อมูลส่วนบุคคคลในโลกโซเชียล  และถ้าเป็นข้อมูลเกี่ยวกับการรักษาพยาบาล สภาพความเจ็บป่วย จัดเป็นข้อมูลอ่อนไหว (Sensitive) ตามมาตรา 26 ของ PDPA อีกด้วย จึงต้องมาดูว่า การกระทำแบบไหนที่เข้าข่ายหรือมีความเสี่ยงผิดกฎหมาย  

ผู้ใช้บริการรักษาพยาบาลถ่ายภาพหรือคลิปทำได้แค่ไหน ตาม PDPA

          การไปโรงพยาบาลหรือคลินิกในยุคดิจิทัล  อาจเกิดการทำ “คอนเทนต์”   ไม่ว่าจะเป็นถ่ายภาพ คลิป หรือไลฟ์สดผ่านสื่อโซเชียลต่าง ๆ  โดยมีเหตุผลแตกต่างกันไป  โดยทั่วไปไม่มีกฎหมายหรือกฎระเบียบที่ห้ามการพกโทรศัพท์หรือสมาร์ทโฟนในไปสถานพยาบาลต่าง ๆ  เพราะโรงพยาบาลนั่นเองอาจสร้างเงื่อนไขให้ต้องใข้โทรศัพท์ เช่น การให้คนไข้ไปทำนัดหรือจองคิวในแอพ การจ่ายเงินหรือเบิกประกันโดยกรอกทางแอพ ฯลฯ 

ดังนั้น  ผู้ป่วยที่พกมือถือเข้าไปจึงยังไม่ผิดอะไร  ต้องดูว่าหลังจากพกไปแล้วใช้โทรศัพท์ “ทำอะไร”  ซึ่งถ้านำมาใช้ถ่ายคลิปถ่ายภาพจะผิดกฎหมาย PDPA หรือไม่  ขอแยกข้อกฎหมายได้ 3 กรณี คือ 

(1)  ถ่ายภาพที่ไม่ติดบุคคล  เช่น เก้าอี้นั่งรอ  ป้ายบอกหรือเครื่องหมายต่าง ๆ  เหล่านี้ไม่ระบุตัวคน ไม่ใช่ข้อมูลส่วนบุคคล จึงไม่อยู่ภายใต้กฎหมาย PDPA

(2) ถ่ายภาพหรือเผยแพร่ข้อมูลของตัวเอง เช่น ถ่ายเซลฟี่ หน้าสดสภาพจริงหลังป่วย ชูสองนิ้วยังไหว  ถ่ายซองยามีชื่อตัวเองแล้วโพสต์ให้คนอื่นเห็นว่าเราป่วยยังไง ได้ยาเยอะแค่ไหน ฯลฯ โดยไม่ปรากฏว่ามีรูปหรือข้อมูลคนอื่นติดมาด้วย  แม้ว่าข้อมูลนี้เป็นข้อมูลเกี่ยวกับสุขภาพ แต่ PDPA กำหนดห้ามเฉพาะการกระทำกับข้อมูลส่วนบุคคลของ “ผู้อื่น” ดังนั้น การถ่ายรูปหรือโพสต์แชร์ข้อมูลตัวเอง  ไม่เป็นความผิดกฎหมายนี้

(3) ถ่ายภาพหรือคลิปที่ติดบุคคลอื่น แยกเป็นสองกรณีคือ

- ถ่ายภาพหรือคลิปโดยไม่ได้ทำเพื่อการค้าหรือประโยชน์อื่นใด  เช่น  การถ่ายภาพบรรยากาศขณะเข้ามาในสถานพยาบาลแต่ติดภาพบุคคลอื่นในบริเวณนั้นไปด้วยแล้วส่งกลุ่มไลน์ให้เพื่อนรู้ว่ามาหาหมอ  แบบนี้จัดเป็นการกระทำเพื่อวัตถุประสงค์ส่วนตัวตามข้อยกเว้นมาตรา 4 (1)  

- ถ่ายภาพหรือคลิปโดยเกี่ยวข้องกับธุรกิจการค้ารูปแบบใด ๆ  เช่น คอนเทนต์ครีเอเตอร์ต่าง ๆ ที่ถ่ายภาพ คลิป ไลฟ์ ประกอบเนื้อหาเรื่องราว หากปรากฏว่ามีรายได้หรือผลตอบแทนรูปแบบใด ๆ เช่น มีสปอนเซอร์ รับจ้างรีวิว ฯลฯ แบบนี้ ไม่เข้าข้อยกเว้นทำไปเพื่อส่วนตัวหรือในครอบครัวก็จะต้องทำตามหลักของ PDPA คือขอความยินยอมคนที่ถูกถ่ายภาพ

บางกรณีอาจมีปัญหาการตีความ “การคุ้มครอง”  ตาม PDPA  เกินเลยไป  เช่น คนไข้นั่งอยู่ในพื้นที่นั่งรอ พลิกมือถือขึ้นไปบนเพดานมีหลอดไฟ ไม่มีจิ้งจกหรืออะไรที่มีชีวิตซึ่งเห็นด้วยตาเปล่า กลับมีเจ้าหน้าที่มาบอก “ถ่ายไม่ได้นะคะ มีกฎหมายคุ้มครองนะคะ” คนไข้งง “คุ้มครองไปถึงหลอดไฟด้วยเหรอ” เพราะถ้าข้อเท็จจริงเป็นแบบที่ว่ามานี้ “ภาพเพดานไร้จิ้งจก” ยังไม่เกิดการ “เก็บข้อมูลส่วนบุคคล” ใด ๆ เลย  และไม่ใช่ข้อมูลการรักษาพยาบาลอีกด้วย 

ผู้ใช้บริการรักษาพยาบาลกับข้อควรระวังตามกฎหมายอื่น 

          PDPA   ไม่ใช่เป็นกฎหมายฉบับเดียวที่เกี่ยวข้องกับข้อมูลส่วนบุคคล  แต่การทำกิจกรรมที่เกี่ยวข้องกับข้อมูลส่วนบุคคลในการรักษาพยาบาลต้องดูกฎหมายอื่นด้วย เช่น  พ.ร.บ. สุขภาพแห่งชาติ กฎหมายนี้ ไม่ได้ระบุห้ามถ่ายคลิปถ่ายภาพโดยตรง แต่เขียนไว้ในมาตรา 7 ว่า

ข้อมูลด้านสุขภาพของบุคคล เป็นความลับส่วนบุคคล ผู้ใดจะนำไปเปิดเผยในประการที่น่าจะทำให้บุคคลนั้นเสียหายไม่ได้ เว้นแต่การเปิดเผยนั้นเป็นไปตามความประสงค์ของบุคคลนั้นโดยตรง หรือมีกฎหมายเฉพาะ

ถ้าเราสังเกตตามโรงพยาบาลจะพบป้าย “ห้ามถ่ายรูปหรือคลิป”  โดยอ้าง พ.ร.บ. ฉบับนี้   แต่การจะสรุปว่า กฎหมายนี้ห้ามถ่ายภาพในสถานพยาบาลทุกกรณีก็อาจกว้างและเหมารวมเกินไป  

สิ่งที่เข้าข่ายความผิด คือการ เปิดเผย ข้อมูลสุขภาพเช่น ทำไลฟ์สดเยี่ยมผู้ป่วยขณะนอนในห้องคนไข้    นำผลตรวจหรือประวัติการรักษาของคนอื่นไปเผยแพร่ส่งต่อ ฯลฯ ทำคอนเทนต์ใด ๆ ที่เกี่ยวกับการรักษาพยาบาล 

อย่างไรก็ตาม ข้อห้ามตามกฎหมายนี้คือการ “เปิดเผย” ดังนั้น  ลำพังแค่การถ่ายภาพโดยไม่ปรากฏว่ามีการนำไปโพสต์ แชร์ ฯลฯ ก็ยังไม่เข้าข่ายความผิด  นอกจากนี้ยังมีข้อยกเว้นสำหรับการเปิดเผย “ตามความประสงค์ของบุคคลนั้น”  ถ้าเทียบกับ PDPA ก็เป็นหลักการเดียวกันคือ “เปิดเผยได้ถ้าเจ้าของข้อมูลยินยอม”  เช่น  จัดปาร์ตี้วันเกิดให้เพื่อนนอนบนเตียงในห้องผู้ป่วยแล้วถ่ายคลิปมาโพสต์เฟซบุ้กให้เพื่อนคนอื่นร่วมเมนต์อวยพรวันเกิด หรือส่งกำลังใจให้หายไว ๆ  แบบนี้ถ้าเพื่อนที่เป็นผู้ป่วยเจ้าของข้อมูลยินยอมก็ไม่เข้าข่ายความผิด แต่พฤติกรรมดังกล่าวจะขัดต่อระเบียบหรือแนวปฏิบัติของโรงพยาบาลหรือไม่ก็เป็นอีกเรื่อง 

นอกจากนี้ มาตรา 7 ก็ไม่ได้ห้ามกระทำกับข้อมูลตัวเอง เช่น เราถ่ายรูปตัวเองในสถานพยาบาลโดยไม่ไปเกี่ยวข้องกับบุคลากรการแพทย์หรือคนไข้อื่น ก็ไม่เข้าข่ายความผิดกฎหมายนี้  

ผู้ใช้บริการถูกถ่ายภาพ ทำได้หรือไม่ตามกฎหมายใด  

          นอกจากกรณีผู้ใช้บริการที่เป็นคนถ่ายคลิปหรือโพสต์แชร์  ในทางกลับกันมาดูว่า ถ้าฝ่ายผู้ให้บริการ อย่าง โรงพยาบาลหรือบุคลากรทางการแพทย์ทำการถ่ายภาพหรือคลิปผู้รับบริการจะทำได้ตามกฎหมาย PDPA หรือไม่ แยกเป็นกรณีต่าง ๆ ดังนี้

- การถ่ายภาพทำประวัติและใช้เพื่อการให้บริการ โดยทั่วไป สถานพยาบาล เก็บข้อมูลระบุตัว บัตรประชาชน ถ่ายภาพ เพื่อลงทะเบียนทำประวัติและใช้เพื่อการยืนยันตัวตนประกอบการรักษาพยาบาล จัดเป็นการเก็บรวบรวมข้อมูลส่วนบุคคล ซึ่งจะมีการทำเอกสารขอความยินยอมไว้ตั้งแต่แรกก่อนใช้บริการอยู่แล้ว  จึงสามารถทำได้ตาม PDPA 

- การถ่ายภาพโดยบุคลากรของสถานพยาบาลนั้น ต้องแยกเป็นสองกรณี คือ

1. การถ่ายภาพเกี่ยวกับการทำงาน เช่น ถ่ายภาพเพื่อการตรวจรักษา  แบบนี้เป็นเรื่องเกี่ยวเนื่องกับการให้บริการและก่อนให้บริการก็จะมีการขอความยินอมไว้ก่อนแล้ว

2. การถ่ายภาพที่ไม่เกี่ยวกับการให้บริการ เช่น แพทย์หรือพยาบาลทำคอนเทนต์ลงติ๊กต๊อก เล่าเรื่องการทำงาน เช่นเดียวกับอีกหลายอาชีพที่โพสต์เรื่องการทำงานของตัวเอง ขั้นตอนแรกต้องดูว่า คลิปหรือภาพ เป็น “ข้อมูลส่วนบุคคล” หรือไม่ เช่น  ถ้าแพทย์ท่านหนึ่งถ่ายคลิปลงติ๊กต๊อก  ตามกฎหมาย PDPA  ต้องเริ่มจากดูก่อนว่า ปรากฏข้อมูลระบุตัวบุคคลหรือไม่  เพราะถ้าถ่ายคลิปถ่ายภาพที่ไม่สามารถระบุรู้ว่าเป็นใคร ก็ไม่ใช่ “ข้อมูลส่วนบุคคล”  ดังนั้น ถ้าแพทย์ดาวติ๊กต๊อกถ่ายในห้องผ่าตัดเห็นแต่เตียง ไฟส่อง ผ้าเขียวคลุมตัวหมด  ไม่มีข้อมูลอะไรให้เชื่อมโยงไปถึงตัวคนไข้ได้ แบบนี้ก็ไม่เกี่ยวกับ PDPA เลย เหมือนกับคนไข้ที่หันโทรศัพท์ไปถ่ายหลอดไฟบนเพดานดังกล่าวมาแล้ว หากการถ่ายภาพหรือคลิปติดข้อมูลระบุตัวผู้ป่วยด้วย และเป็นเรื่องที่ไม่เกี่ยวกับงานและถ้าไมได้รับความยินยอมจากผู้รับบริการหรือผู้ป่วยก่อน ก็เป็นการเปิดเผยข้อมูลที่เสี่ยงผิดทั้ง PDPA และมาตรา 7 พ.ร.บ. สุขภาพแห่งชาติ ดังกล่าวมาแล้ว 

นอกจากนี้ หากสถานพยาบาลหรือบุคลากรทางการแพทย์ถ่ายทำภาพหรือคลิปผู้ป่วยเพื่อนำไปใช้ประกอบการโฆษณาสถานพยาบาลก็อาจผิดอีกกฎหมายหนึ่งคือ  พ.ร.บ.สถานพยาบาล   ที่กำหนดว่า ผู้ใดจะโฆษณาหรือประกาศด้วยประการใด ๆ เกี่ยวกับการประกอบกิจการของสถานพยาบาล ต้องขออนุมัติจาก กรมสนับสนุนบริการสุขภาพ (สบส) รวมทั้งยังห้ามใช้ข้อความ “โอ้อวด” (มาตรา 38) 

เมื่อเกิดประเด็นดราม่า แพทย์ไลฟ์สด จึงต้องดูว่า คอนเทนต์นั้นเป็นการโฆษณาหรือไม่  เช่น ถ้าแพทย์คลินิกเสริมความงานถ่ายคลิปไลฟ์ขณะผ่าจมูกสาวสวยแล้วเอามาโพสต์ในเพจคลินิก  บรรยายว่า “ แท่งที่เพอร์เฟค  เป๊ะเวอร์ เสร็จใน 1ชั่วโมง!! “  ข้อความทำนองนี้อาจผิดฐานโฆษณาอวดอ้าง ตามกฎหมายสถานพยาบาล โทษที่ระบุไว้คือ จำคุกไม่เกินหนึ่งปี หรือปรับไม่เกินสองหมื่นบาท (มาตรา 68)   

อย่างไรก็ตาม การทำคอนเทนต์อย่างหนึ่งอาจไม่ผิดกฎหมายฉบับหนึ่งแต่ไปผิดอีกฉบับหนึ่งก็ได้     จากตัวอย่างข้างต้น  ถ้าปรากฏว่าคลินิกนั้นตกลงกับสาวสวยที่เป็นพรีเซนเตอร์ในการรีวิวการทำจมูก ยินยอมให้ถ่ายคลิปและเผยแพร่แล้ว แบบนี้ไม่ผิดกฎหมาย PDPA เพราะเจ้าของข้อมูลยินยอม  แต่ยังไปผิดกฎหมายสถานพยาบาลเรื่องการโฆษณาได้ 

          สรุปให้ชัดเจนอีกครั้งว่า กฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือ PDPA กับผู้ใช้บริการรักษาพยาบาลในยุคดิจิทัลอาจมีกิจกรรมที่เกี่ยวข้อง ซึ่งไม่ใช่ว่าเกี่ยวข้องกับ PDPA เท่านั้น เพราะมีกฎหมายอื่น ๆ เข้ามาเกี่ยวข้องด้วย  สำหรับแนวทางที่ปลอดภัยและเสี่ยงน้อยสุดก็คือ ถ่ายทำเรื่องราวข้อมูลที่เกี่ยวกับตัวเอง โดยพยายามหลีกเลี่ยงไม่ให้ไปเกี่ยวข้องกับข้อมูลของบุคคลอื่นนั่นเอง 

รศ. คณาธิป ทองรวีวงศ์

                                สถาบันกฎหมายสื่อดิจิทัล ม เกษมบัณฑิต