PDPA คลินิก ต้องทำอะไรบ้าง? Checklist ฉบับเข้าใจง่าย พร้อมเอกสารที่ต้องมี (2026)

คลินิกของคุณเก็บข้อมูลสุขภาพของคนไข้ และข้อมูลสุขภาพคือ "ข้อมูลอ่อนไหว" ที่กฎหมายคุ้มครองเข้มงวดที่สุดประเภทหนึ่ง ตามมาตรา 26 ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) แค่ให้คนไข้ติ๊กยอมรับเงื่อนไขทั่วไปบนเว็บไซต์จึงไม่พอ

เจ้าของคลินิกส่วนใหญ่รู้ว่า "ต้องทำ PDPA" แต่น้อยคนที่รู้ว่าต้องทำอะไรบ้าง เอกสารอะไรบ้าง และเรียงลำดับยังไง บทความนี้สรุปข้อบังคับที่เกี่ยวข้องกับคลินิกโดยตรงจากตัวบท พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ใช่คำแนะนำทางกฎหมายเฉพาะเจาะจงสำหรับคลินิกของคุณ

จบบทความนี้คุณจะได้ checklist ที่ติ๊กได้ พร้อมรู้ว่าแต่ละข้อต้องใช้เอกสารอะไร และเอกสารไหนพร้อมใช้เซ็นได้ทันที บริษัทเอกชนแห่งหนึ่งเคยถูกปรับทางปกครองสูงถึง 7,000,000 บาท จากกรณีไม่มีมาตรการความปลอดภัยที่เหมาะสมในปี 2567 (isranews.org; amarintv.com) นี่ไม่ใช่ความเสี่ยงทางทฤษฎีอีกต่อไป

อ่านคู่มือที่เกี่ยวข้อง: ใบยินยอมทำหัตถการสำหรับคลินิก/ทันตกรรม

TL;DR: คลินิกต้องปฏิบัติตาม PDPA เพราะข้อมูลสุขภาพเป็นข้อมูลอ่อนไหว (มาตรา 26) ที่ต้องได้รับความยินยอมชัดแจ้ง สิ่งที่ต้องทำหลัก ๆ คือ (1) ทำประกาศความเป็นส่วนตัว (Privacy Notice) (2) ขอความยินยอมเป็นลายลักษณ์อักษร (3) พิจารณาแต่งตั้ง DPO หากกิจกรรมหลักคือการประมวลผลข้อมูลสุขภาพจำนวนมาก ควรปรึกษาที่ปรึกษากฎหมายเพื่อยืนยันสถานะของคลินิกคุณ (4) ทำสัญญา DPA กับแล็บ บริษัทบัญชี หรือผู้ประมวลผลภายนอก (5) จัดทำ RoPA และมาตรการความปลอดภัยขั้นต่ำ การไม่ทำอาจเสี่ยงต่อโทษปรับทางปกครอง มีบริษัทเอกชนถูกปรับจริงถึง 7 ล้านบาทในปี 2567 บทความนี้ไม่ใช่คำแนะนำทางกฎหมาย เป็นจุดเริ่มต้นก่อนปรึกษาที่ปรึกษากฎหมายของคุณ

Key Takeaways

• ข้อมูลสุขภาพคนไข้ = ข้อมูลอ่อนไหวตามมาตรา 26 PDPA 2562 ต้องขอความยินยอมชัดแจ้งและเป็นลายลักษณ์อักษร
• คลินิกส่วนใหญ่เข้าข่ายต้องพิจารณาแต่งตั้ง DPO ตามมาตรา 41(3) แต่กฎหมายไม่ได้กำหนดตัวเลขปริมาณข้อมูลที่ชัดเจน จึงควรยืนยันสถานะกับที่ปรึกษากฎหมาย
• เอกสารขั้นต่ำที่ต้องมี 9 อย่าง ตั้งแต่ Privacy Notice ไปจนถึงแบบฟอร์มคำขอใช้สิทธิของคนไข้
• PDPA 2562 (คุ้มครองข้อมูล) กับ ETA 2544 (รับรองลายเซ็นอิเล็กทรอนิกส์) เป็นคนละกฎหมาย ต้องทำทั้งสองเรื่องควบคู่กัน
• บริษัทเอกชนถูกปรับจริงแล้วถึง 7,000,000 บาทในปี 2567 และมีคำสั่งปรับรวมแล้วราว 21.5 ล้านบาทในปี 2568 ตามการรวบรวมของ pdpathailand.com
• บทความนี้ไม่ใช่คำแนะนำทางกฎหมายเฉพาะเจาะจง เป็นจุดเริ่มต้นก่อนปรึกษาที่ปรึกษากฎหมายของคลินิกคุณ

สารบัญ

• ข้อมูลคนไข้เป็นข้อมูลอ่อนไหวหรือไม่
• คลินิกต้องมี DPO ไหม
• ประกาศความเป็นส่วนตัว สิ่งแรกที่ต้องมี
• ความยินยอมเป็นลายลักษณ์อักษร ทำไมกระดาษไม่พอ
• DPA สัญญากับผู้ประมวลผลข้อมูลภายนอก
• RoPA บันทึกกิจกรรมประมวลผล
• มาตรการความปลอดภัยขั้นต่ำ และแจ้งเหตุละเมิดใน 72 ชั่วโมง
• PDPA ไม่ใช่ ETA อย่าสับสนสองกฎหมายนี้
• ไม่ทำ PDPA เสี่ยงอะไรบ้าง
• Checklist ครบ 9 ข้อ พร้อมเอกสารที่ต้องมี
• จากรายการนี้ สู่เอกสารเซ็นได้ทันที
• คำถามที่พบบ่อย

ข้อมูลคนไข้เป็นข้อมูลอ่อนไหวหรือไม่

ใช่ ข้อมูลสุขภาพของคนไข้ถือเป็น "ข้อมูลอ่อนไหว" (Sensitive Personal Data) ตามมาตรา 26 ของ PDPA 2562 ซึ่งเป็นหมวดข้อมูลที่กฎหมายกำหนดเงื่อนไขการขอความยินยอมเข้มงวดกว่าข้อมูลส่วนบุคคลทั่วไป

หมวดนี้ครอบคลุมประวัติการวินิจฉัย ประวัติการรักษา ผลการตรวจ และข้อมูลชีวมิติ เช่น ลายนิ้วมือหรือระบบจดจำใบหน้าถ้าคลินิกใช้ที่เคาน์เตอร์ต้อนรับ

ผลในทางปฏิบัติคือ ปุ่ม "ยอมรับเงื่อนไข" แบบเหมารวมไม่เพียงพอ คลินิกต้องขอความยินยอมที่ชัดแจ้งและเป็นลายลักษณ์อักษรสำหรับการประมวลผลข้อมูลสุขภาพ ยกเว้นบางกรณีที่กฎหมายยกเว้นไว้ เช่น ความจำเป็นในการรักษาพยาบาลฉุกเฉิน

คลินิกต้องมี DPO ไหม

ในกรณีส่วนใหญ่ คลินิกเข้าข่ายต้องพิจารณาแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) เพราะมาตรา 41(3) ของ PDPA 2562 กำหนดให้ต้องมี DPO เมื่อกิจกรรมหลักขององค์กรคือการประมวลผลข้อมูลอ่อนไหวตามมาตรา 26 "เป็นจำนวนมาก" และข้อมูลสุขภาพก็คือแก่นของธุรกิจคลินิกอยู่แล้ว

จุดที่ต้องระวังคือ กฎหมายไม่ได้กำหนดตัวเลขปริมาณข้อมูลที่ชัดเจนสำหรับคลินิกขนาดเล็กหรือรายเดียว การตีความคำว่า "จำนวนมาก" ขึ้นอยู่กับปริมาณคนไข้จริงที่คลินิกให้บริการ

หน้าที่ของ DPO คือให้คำปรึกษาภายใน ดูแลความปลอดภัยของข้อมูล และเป็นจุดติดต่อกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) และคนไข้เมื่อมีการใช้สิทธิ

ประกาศความเป็นส่วนตัว สิ่งแรกที่ต้องมี

ก่อนเก็บข้อมูลคนไข้ทุกครั้ง คลินิกต้องเผยแพร่ประกาศความเป็นส่วนตัว (Privacy Notice) ที่ระบุว่าเก็บข้อมูลอะไร เพื่อวัตถุประสงค์ใด ฐานทางกฎหมายคืออะไร เก็บนานแค่ไหน และคนไข้มีสิทธิอะไรบ้าง

ประกาศนี้ต้องมองเห็นได้ ณ จุดที่เก็บข้อมูลจริง ไม่ว่าจะเป็นเคาน์เตอร์ต้อนรับ แบบฟอร์มออนไลน์ หรือขั้นตอนการนัดหมาย

ข้อควรระวังคือ Privacy Notice (ประกาศต่อคนไข้) กับ Privacy Policy ภายใน (นโยบายกำกับดูแลภายในคลินิก) เป็นคนละเอกสารกัน ความผิดพลาดที่พบบ่อยในหลายเว็บไซต์คือใช้ประกาศทั่วไปที่ก็อปมาจากธุรกิจอื่นโดยไม่ระบุถึงข้อมูลสุขภาพที่คลินิกเก็บจริง

ความยินยอมเป็นลายลักษณ์อักษร ทำไมกระดาษไม่พอ

ความยินยอมสำหรับข้อมูลสุขภาพต้องชัดแจ้ง เจาะจง และพิสูจน์ได้ แบบฟอร์มกระดาษที่เก็บในลิ้นชักไม่สามารถพิสูจน์วันที่แน่นอนได้ และไม่มีทางรู้ว่าคนไข้ได้รับประกาศความเป็นส่วนตัวฉบับล่าสุดจริงหรือไม่

ความยินยอม PDPA ที่ใช้ได้ต้องระบุตัวตนผู้ควบคุมข้อมูล วัตถุประสงค์ที่ชัดเจน สิทธิในการถอนความยินยอม และเวลาที่ให้ความยินยอมไว้

การเซ็นอิเล็กทรอนิกส์ที่มี audit trail (บันทึกเวลาและ OTP) ช่วยเสริมความสามารถในการพิสูจน์การปฏิบัติตามกฎหมายเมื่อถูกตรวจสอบ แต่เป็นเพียงตัวเสริมความน่าเชื่อถือของหลักฐาน ไม่ใช่หลักประกันทางกฎหมายที่แน่นอน 100%

DPA สัญญากับผู้ประมวลผลข้อมูลภายนอก

คลินิกที่ส่งข้อมูลคนไข้ต่อให้บุคคลภายนอก เช่น แล็บตรวจ บริษัทบัญชี หรือผู้ให้บริการคลาวด์ ต้องมีสัญญา Data Processing Agreement (DPA) ตามมาตรา 40 เพื่อผูกพันให้ผู้ประมวลผลภายนอกมีมาตรการรักษาความปลอดภัยและความลับเทียบเท่าผู้ควบคุมข้อมูลเอง

ตัวอย่างที่เกิดขึ้นจริงคือกรณีธุรกิจของเล่นที่ระบบจองคิวออนไลน์ถูกแฮก เจ้าของธุรกิจในฐานะผู้ควบคุมข้อมูลถูกปรับ 500,000 บาท ส่วนผู้พัฒนาระบบในฐานะผู้ประมวลผลข้อมูลถูกปรับแยกต่างหาก 3,000,000 บาท ในปี 2568 ตามการรวบรวมของผู้ให้บริการที่ปรึกษา PDPA (ยังไม่ได้ยืนยันกับประกาศทางการของ สคส.) จาก pdpathailand.com นี่คือหลักฐานว่าผู้ประมวลผลภายนอกต้องรับผิดชอบเป็นอิสระจากเจ้าของธุรกิจ ไม่ใช่แค่ผู้ควบคุมข้อมูลที่ต้องรับผิดฝ่ายเดียว

RoPA บันทึกกิจกรรมประมวลผล

Record of Processing Activities (RoPA) คือทะเบียนภายในที่บันทึกวัตถุประสงค์ ฐานทางกฎหมาย ผู้รับข้อมูล และระยะเวลาเก็บรักษาของข้อมูลแต่ละประเภทที่คลินิกประมวลผล ตามมาตรา 39 เอกสารนี้มักเป็นสิ่งแรกที่ PDPC ขอดูเมื่อมีการตรวจสอบ

สำหรับคลินิก RoPA ควรแยกอย่างน้อย 4 กลุ่ม คือ เวชระเบียนคนไข้ ข้อมูลการเงินและใบเสร็จ ข้อมูลบุคลากร และข้อมูลการตลาดอย่างจดหมายข่าวหรือการแจ้งเตือนนัดหมาย

ความผิดพลาดที่พบบ่อยคือทำ RoPA ครั้งเดียวแล้วไม่ปรับปรุง ทั้งที่ต้องอัปเดตทุกครั้งที่มีการประมวลผลข้อมูลรูปแบบใหม่เกิดขึ้น เช่น แอปนัดหมายใหม่หรือระบบบัญชีใหม่

มาตรการความปลอดภัยขั้นต่ำ และแจ้งเหตุละเมิดใน 72 ชั่วโมง

คลินิกต้องมีมาตรการความปลอดภัยขั้นต่ำตามประกาศกระทรวง และแจ้งเหตุข้อมูลรั่วไหลต่อ PDPC ภายใน 72 ชั่วโมงหลังทราบเหตุ หากมีความเสี่ยงต่อสิทธิของคนไข้ ตามมาตรา 37(4)

มาตรการพื้นฐานที่ควรมีคือการควบคุมสิทธิ์เข้าถึงเวชระเบียน การสำรองข้อมูลอย่างปลอดภัย และการบันทึกว่าใครเข้าถึงข้อมูลใดเมื่อใด

ตัวอย่างที่เกิดขึ้นจริงคือกรณีหน่วยงานรัฐแห่งหนึ่งถูกปรับ 153,120 บาทในฐานะผู้ควบคุมข้อมูล จากเหตุข้อมูลรั่วไหลที่กระทบประชาชนราว 200,000 คน โดยผู้ให้บริการภายนอกที่เกี่ยวข้องก็ถูกปรับแยกต่างหากในจำนวนเดียวกันในฐานะผู้ประมวลผล ตามข้อมูลจากแหล่งเดียวกันในปี 2568 นี่คือหลักฐานอีกครั้งว่ามาตรการความปลอดภัยที่ไม่เพียงพอสร้างความเสี่ยงให้ทั้งสองฝ่าย

PDPA ไม่ใช่ ETA อย่าสับสนสองกฎหมายนี้

PDPA พ.ศ. 2562 กับ ETA พ.ศ. 2544 เป็นกฎหมายคนละฉบับ ทำหน้าที่คนละอย่าง และห้ามใช้สลับกัน

• PDPA พ.ศ. 2562 (พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล) คุ้มครองข้อมูลส่วนบุคคล ครอบคลุมเรื่องความยินยอม ความปลอดภัย และสิทธิของเจ้าของข้อมูล
• ETA พ.ศ. 2544 (พระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์) เป็นกฎหมายคนละฉบับที่รับรองความถูกต้องของลายเซ็นอิเล็กทรอนิกส์เอง ไม่เกี่ยวกับลักษณะของข้อมูลในเอกสารที่เซ็น

เอกสารที่เกี่ยวข้องกับ PDPA เช่น ความยินยอมของคนไข้หรือสัญญา DPA ต้องถูกต้องตามเนื้อหาของ PDPA (เนื้อหา วัตถุประสงค์ ฐานทางกฎหมาย) และเซ็นอย่างถูกต้องตาม ETA ด้วย ถ้าต้องการร่องรอยอิเล็กทรอนิกส์ที่ใช้อ้างอิงได้ กฎหมายสองฉบับนี้เสริมกัน ไม่เคยแทนกันได้

อ่านเพิ่มเติมเรื่องความถูกต้องของลายเซ็นอิเล็กทรอนิกส์เองตาม ETA 2544

ไม่ทำ PDPA เสี่ยงอะไรบ้าง

PDPC เคยสั่งปรับทางปกครองจริงแล้ว ตั้งแต่ 153,120 บาท ไปจนถึง 7,000,000 บาท ขึ้นอยู่กับความรุนแรงและปริมาณข้อมูลที่เกี่ยวข้อง นี่ไม่ใช่การขู่เชิงทฤษฎี

คำสั่งปรับสูงสุดที่มีการเปิดเผยจนถึงตอนนี้คือ 7,000,000 บาท ต่อบริษัทจำหน่ายอุปกรณ์ไอทีในปี 2567 (พ.ศ. 2567) จากกรณีไม่มีมาตรการความปลอดภัยที่เหมาะสม ทำให้ข้อมูลลูกค้ากว่า 100,000 รายรั่วไหล นับเป็นคำสั่งปรับทางปกครองครั้งแรกภายใต้ PDPA (isranews.org; amarintv.com)

ยอดรวมคำสั่งปรับที่มีการเปิดเผยตั้งแต่ PDPA เริ่มบังคับใช้อยู่ที่ประมาณ 21.5 ล้านบาท จาก 6 คดีที่เปิดเผย ในปี 2568 ตามข้อมูลจากแหล่งเดิม (pdpathailand.com)

สิ่งที่ควรระวังคือ ยังไม่มีข้อมูลว่าคำสั่งปรับที่เปิดเผยเกี่ยวข้องกับ "คลินิกขนาดเล็ก" โดยเฉพาะ คดีที่เกิดขึ้นจริงเกี่ยวข้องกับธุรกิจหลายขนาด จึงไม่ควรสรุปว่าคลินิกรายเล็กจะถูกปรับในจำนวนใกล้เคียงกัน

Checklist ครบ 9 ข้อ พร้อมเอกสารที่ต้องมี

นี่คือ 9 ข้อบังคับหลักที่คลินิกส่วนใหญ่ต้องทำ พร้อมเอกสารที่เกี่ยวข้องในแต่ละข้อ สามข้อในตารางนี้มีเทมเพลตพร้อมใช้อยู่ในแกลเลอรีคลินิกของ Jabmue แล้ว ส่วนที่เหลือเป็นเอกสารภายในที่คุณจัดทำเองได้ และยังส่งเซ็นผ่านตัวแก้ไขเอกสารทั่วไปของ Jabmue ได้เช่นกัน

ทั้ง 9 ข้อล้วนเป็นข้อบังคับ ไม่มีข้อไหน "สำคัญกว่า" ข้ออื่น การเรียงลำดับในตารางนี้อ้างอิงลำดับที่ควรเริ่มทำก่อนหลังตามความเสี่ยง ไม่ใช่ลำดับความสำคัญ

จากรายการนี้ สู่เอกสารเซ็นได้ทันที

สามในเก้าข้อของ checklist นี้ ได้แก่ ใบยินยอม PDPA คนไข้ สัญญา DPA กับผู้ประมวลผลภายนอก และข้อตกลงรักษาความลับของพนักงาน มีเทมเพลตภาษาไทยพร้อมใช้อยู่ในแกลเลอรีคลินิกของ Jabmue แล้ว ปรับแต่งและส่งเซ็นอิเล็กทรอนิกส์ได้ทันที

ส่วนเอกสารที่เหลือในตาราง เช่น Privacy Notice หรือแบบฟอร์มคำขอใช้สิทธิ ยังไม่มีเทมเพลตสำเร็จรูปในแกลเลอรี แต่สามารถร่างเองแล้วส่งผ่านตัวแก้ไขเอกสารทั่วไปของ Jabmue ได้เช่นกัน เพราะระบบรองรับการอัปโหลดเอกสารของคุณเองและส่งเซ็นได้ทุกประเภท

ข้อควรจำ Jabmue ให้เอกสารต้นแบบและเครื่องมือเซ็นเอกสาร แต่ไม่ใช่ที่ปรึกษากฎหมาย เอกสารทุกฉบับควรปรับให้เข้ากับสถานการณ์เฉพาะของคลินิกคุณ และควรให้ที่ปรึกษากฎหมายตรวจสอบก่อนใช้งานจริง

นอกจากเอกสาร PDPA แล้ว แกลเลอรีคลินิกยังมีเอกสารอื่นที่คลินิกส่วนใหญ่ต้องใช้ เช่น ใบยินยอมทำหัตถการ ใบอนุญาตใช้ภาพก่อน-หลัง แผนผ่อนชำระค่าคอร์ส และแบบฟอร์มซักประวัติคนไข้

ดูเอกสารทั้งหมดในแกลเลอรีคลินิก

คำถามที่พบบ่อย

คลินิกต้องมี DPO ไหม

ในกรณีส่วนใหญ่ต้องพิจารณาแต่งตั้ง เพราะข้อมูลสุขภาพคือแก่นของกิจกรรมหลักของคลินิก และถูกจัดเป็นข้อมูลอ่อนไหวตามมาตรา 26 กฎหมาย (มาตรา 41(3)) กำหนดให้ต้องมี DPO เมื่อการประมวลผลข้อมูลอ่อนไหวจำนวนมากเป็นกิจกรรมหลัก แต่เนื่องจากตัวเลขปริมาณที่แน่นอนไม่ได้ถูกกำหนดไว้สำหรับคลินิกขนาดเล็ก จึงควรยืนยันสถานะของคลินิกคุณกับที่ปรึกษากฎหมาย

ไม่ทำ PDPA ปรับเท่าไหร่

คำสั่งปรับทางปกครองที่เกิดขึ้นจริงแล้วอยู่ระหว่าง 153,120 บาท ถึง 7,000,000 บาท ขึ้นอยู่กับความรุนแรงและปริมาณข้อมูลที่เกี่ยวข้อง ไม่มีอัตราตายตัวที่ประกาศไว้เฉพาะสำหรับคลินิก

ข้อมูลคนไข้เป็นข้อมูลอ่อนไหวไหม

ใช่ ข้อมูลสุขภาพ เช่น ผลการวินิจฉัย ประวัติการรักษา และประวัติการใช้ยา ถูกจัดเป็น "ข้อมูลอ่อนไหว" ตามมาตรา 26 ของ PDPA ซึ่งต้องได้รับความยินยอมในระดับที่เข้มงวดกว่าข้อมูลส่วนบุคคลทั่วไป

PDPA กับ ETA ต่างกันยังไง

PDPA พ.ศ. 2562 คุ้มครองข้อมูลส่วนบุคคล ส่วน ETA พ.ศ. 2544 รับรองความถูกต้องของลายเซ็นอิเล็กทรอนิกส์เอง เอกสารที่ปฏิบัติตาม PDPA ต้องเซ็นอย่างถูกต้องตาม ETA ด้วยเพื่อให้มีร่องรอยอิเล็กทรอนิกส์ที่อ้างอิงได้ ทั้งสองกฎหมายเสริมกัน ไม่ใช่คำที่ใช้แทนกันได้

เอกสาร PDPA คลินิก มีอะไรบ้าง

อย่างน้อยต้องมี Privacy Notice, Privacy Policy ภายใน, แบบฟอร์มความยินยอมของคนไข้, สัญญา DPA กับผู้ประมวลผลภายนอกแต่ละราย, ข้อตกลงรักษาความลับของพนักงาน และทะเบียนกิจกรรมประมวลผลข้อมูล (RoPA)

สรุป

ข้อมูลสุขภาพของคนไข้คือข้อมูลอ่อนไหวที่ต้องได้รับความยินยอมเป็นลายลักษณ์อักษร คลินิกส่วนใหญ่ต้องพิจารณาแต่งตั้ง DPO ต้องมีสัญญา DPA กับผู้ประมวลผลภายนอก และคำสั่งปรับทางปกครองจาก PDPC ก็เกิดขึ้นจริงแล้ว ไม่ใช่ความเสี่ยงในทฤษฎีอีกต่อไป

ติ๊ก checklist ของคุณเอง แล้วดึงเอกสาร PDPA ที่พร้อมปรับแต่งและส่งเซ็นได้ทันทีจากแกลเลอรีคลินิกของ Jabmue

ทดลองใช้ฟรี ดูเอกสารคลินิกทั้งหมด อ่านคู่มือที่เกี่ยวข้อง: ใบยินยอมทำหัตถการสำหรับคลินิก/ทันตกรรม

บทความนี้ไม่ใช่คำแนะนำทางกฎหมายเฉพาะเจาะจงสำหรับคลินิกของคุณ เป็นเพียงจุดเริ่มต้นก่อนปรึกษาที่ปรึกษากฎหมายของคุณเพื่อยืนยันความถูกต้องและความครบถ้วนตามสถานการณ์จริงของคลินิก

อัปเดตล่าสุด: สิงหาคม 2569 บทความนี้ทบทวนตามความเปลี่ยนแปลงของกฎหมายและคำสั่งปรับใหม่อย่างน้อยปีละครั้ง