วิธี Audit PDPA สำหรับธุรกิจการศึกษา ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

การตรวจสอบ PDPA สำหรับธุรกิจการศึกษาที่ดำเนินการโดยคลินิก โรงพยาบาล หรือธุรกิจสุขภาพ ต้องแยกออกจากการตรวจสอบเวชระเบียนผู้ป่วยทั่วไป เพราะกลุ่มเป้าหมายคือผู้เรียนในหลักสูตรอบรม ค่ายสุขภาพ หรือโรงเรียนพยาบาลที่มักเป็นผู้เยาว์และมีข้อมูลสุขภาพประกอบ การตรวจสอบควรครอบคลุมแบบฟอร์มยินยอมของผู้ปกครอง การจำกัดสิทธิ์เข้าถึงข้อมูลอ่อนไหว สัญญากับผู้ให้บริการภายนอก และนโยบายเก็บรักษาข้อมูลหลังจบหลักสูตร พร้อมเก็บหลักฐานแต่ละหมวดไว้ตรวจสอบย้อนหลังได้จริง

เมื่อไตรมาสก่อน ทีมกำกับดูแลข้อมูลของโรงพยาบาลเอกชนแห่งหนึ่งสุ่มเปิดแฟ้มผู้เรียนของหลักสูตรปฐมพยาบาลสำหรับประชาชนทั่วไปที่เพิ่งจบรุ่นล่าสุดจำนวน 24 แฟ้ม ผลปรากฏว่า 7 แฟ้มเป็นผู้เรียนอายุต่ำกว่า 18 ปีที่สมัครผ่านทีมการตลาดของโรงเรียนพยาบาลในเครือ แต่ไม่มีลายเซ็นผู้ปกครองแนบอยู่เลยแม้แต่แฟ้มเดียว เมื่อสอบถามย้อนกลับไปยังทีมรับสมัคร คำตอบที่ได้คือใช้แบบฟอร์มเดียวกับที่ใช้รับสมัครผู้ป่วยทั่วไป ซึ่งไม่มีช่องยืนยันอายุหรือข้อมูลผู้ปกครองอยู่ในฟอร์มตั้งแต่ต้น

เหตุการณ์นี้เป็นตัวอย่างของสิ่งที่การตรวจสอบแบบสุ่มเปิดแฟ้มควรจับได้ตั้งแต่ต้น ก่อนจะกลายเป็นปัญหาช่วงมีการประเมินจากหน่วยงานภายนอกหรือคำร้องเรียนจากผู้ปกครอง บทความนี้อธิบายขอบเขตและขั้นตอนการตรวจสอบ PDPA สำหรับธุรกิจการศึกษาที่ดำเนินการโดยคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อมชนิดของ Evidence ที่ทีมควรเก็บไว้ในแต่ละหมวด

ทำไมโปรแกรมการศึกษาในองค์กรสุขภาพต้องมีรอบตรวจสอบของตัวเอง

องค์กรสุขภาพจำนวนมากมีนโยบายคุ้มครองข้อมูลผู้ป่วยที่ผ่านการตรวจสอบมาแล้วอย่างละเอียด แต่โปรแกรมการศึกษาที่แฝงอยู่ในธุรกิจหลัก เช่น โรงเรียนพยาบาลในเครือ หลักสูตรปฐมพยาบาลสำหรับบุคคลทั่วไป หรือค่ายสุขภาพเด็กที่มีโรคเรื้อรัง มักไม่ถูกดึงเข้ารอบตรวจสอบเดียวกัน เพราะทีมงานมองว่าเป็นกิจกรรมเสริมที่ไม่เกี่ยวกับเวชระเบียน ความเข้าใจนี้พลาดจุดสำคัญคือผู้เรียนในโปรแกรมเหล่านี้มีสถานะเป็นผู้เรียน ไม่ใช่ผู้ป่วย และมีชุดข้อมูลของตัวเอง เช่น ใบสมัคร ผลประเมิน และข้อมูลผู้ปกครอง ซึ่งต้องผ่านการตรวจสอบแยกต่างหาก

เมื่อผู้เรียนกลุ่มนี้อยู่ในบริบทสุขภาพ ข้อมูลของเขามักมีมิติสุขภาพติดมาด้วยเสมอ เด็กที่เข้าค่ายเบาหวานมีระดับน้ำตาลในเลือดอยู่ในระบบ ผู้เรียนหลักสูตรปฐมพยาบาลบางคนแจ้งโรคประจำตัวไว้เผื่อกรณีฉุกเฉิน การตรวจสอบจึงต้องมองสองชั้นพร้อมกัน ทั้งมิติผู้เยาว์และมิติข้อมูลอ่อนไหว การตั้งรอบตรวจสอบเฉพาะสำหรับโปรแกรมการศึกษา แยกจากรอบตรวจเวชระเบียน จึงเป็นจุดเริ่มต้นที่ทำให้ทีมเห็นช่องโหว่ที่การตรวจสอบทั่วไปมองข้าม

ขอบเขตที่การตรวจสอบต้องครอบคลุม

1. แบบฟอร์มยินยอมของผู้ปกครอง

สิ่งที่ต้องตรวจคือแบบฟอร์มที่ใช้รับสมัครผู้เรียนแต่ละโปรแกรมมีช่องยืนยันอายุและช่องขอความยินยอมจากผู้ปกครองแยกจากแบบฟอร์มยินยอมรักษาพยาบาลเดิมหรือไม่ ทีมตรวจสอบควรสุ่มเปิดแฟ้มผู้เรียนจริงอย่างน้อยหนึ่งรุ่นต่อโปรแกรม แล้วเทียบวันเกิดที่บันทึกไว้กับการมีอยู่ของลายเซ็นผู้ปกครอง Evidence ที่ควรเก็บคือสำเนาแบบฟอร์มยินยอมที่ลงนามแล้วพร้อมวันที่รับเข้าโปรแกรม และบันทึกผลการสุ่มตรวจในแต่ละรอบ

2. การจำแนกและจำกัดสิทธิ์เข้าถึงข้อมูลอ่อนไหว

สิ่งที่ต้องตรวจคือข้อมูลสุขภาพของผู้เรียน เช่น โรคประจำตัว ผลตรวจก่อนฝึกปฏิบัติ หรือประวัติการแพ้ยา ถูกจัดเก็บแยกจากข้อมูลทั่วไปของหลักสูตรหรือไม่ และใครมีสิทธิ์เข้าถึงข้อมูลชุดนี้ได้บ้าง ทีมตรวจสอบควรขอรายชื่อผู้มีสิทธิ์เข้าถึงจากระบบจริง แล้วเทียบกับตำแหน่งงานว่าจำเป็นต้องเห็นข้อมูลสุขภาพของผู้เรียนหรือไม่ Evidence ที่ควรเก็บคือรายชื่อสิทธิ์การเข้าถึง ณ วันตรวจ พร้อมเหตุผลของแต่ละตำแหน่งที่ได้รับสิทธิ์

3. สัญญากับผู้ให้บริการภายนอก

โปรแกรมการศึกษาของธุรกิจสุขภาพมักพึ่งพาระบบบริหารจัดการการเรียนหรือ LMS ผู้ให้บริการรับชำระค่าลงทะเบียน และบางครั้งใช้แพลตฟอร์มเฮลท์เทคภายนอกจัดการทั้งหลักสูตร สิ่งที่ต้องตรวจคือมีสัญญาประมวลผลข้อมูลกับผู้ให้บริการทุกรายหรือไม่ และข้อมูลที่ส่งออกไปจำเป็นต่อการทำงานจริงหรือไม่ Evidence ที่ควรเก็บคือรายชื่อผู้ให้บริการภายนอกทั้งหมดพร้อมสถานะสัญญาและวันที่ทบทวนล่าสุด

4. นโยบายเก็บรักษาและลบข้อมูลหลังจบหลักสูตร

สิ่งที่ต้องตรวจคือมีนโยบายกำหนดระยะเวลาเก็บรักษาข้อมูลผู้เรียนแต่ละประเภทหรือไม่ เช่น ใบรับรองผ่านการอบรมอาจเก็บไว้อ้างอิงระยะยาว ขณะที่ข้อมูลติดต่อฉุกเฉินหรือประวัติสุขภาพชั่วคราวควรมีกำหนดลบชัดเจนหลังจบโปรแกรม ทีมตรวจสอบควรสุ่มดูบัญชีผู้เรียนที่จบไปแล้วเกินระยะเวลาที่กำหนด ว่าถูกจัดการตามนโยบายจริงหรือยังค้างอยู่ในระบบใช้งาน Evidence ที่ควรเก็บคือเอกสารนโยบายเก็บรักษาข้อมูลพร้อมบันทึกผลการสุ่มตรวจบัญชีที่จบโปรแกรมแล้ว

ขั้นตอนการลงมือตรวจสอบในทางปฏิบัติ

ทีมงานที่รับผิดชอบควรเริ่มจากการทำรายการโปรแกรมการศึกษาทั้งหมดที่องค์กรเปิดอยู่ในปัจจุบัน ไม่ว่าจะเป็นโรงเรียนพยาบาลในเครือ หลักสูตรอบรมระยะสั้น หรือค่ายสุขภาพเด็ก แล้วกำหนดผู้รับผิดชอบตรวจสอบต่อโปรแกรมอย่างชัดเจน ขั้นตอนถัดมาคือสุ่มเปิดแฟ้มผู้เรียนจริงตามสัดส่วนที่เหมาะสมกับขนาดของแต่ละรุ่น เทียบกับเกณฑ์ทั้งสี่ข้อข้างต้น แล้วบันทึกผลเป็นรายงานสั้นที่ระบุจุดที่ผ่านและจุดที่ต้องแก้ไข

ขั้นตอนสุดท้ายคือส่งรายงานให้ผู้บริหารที่ดูแลโปรแกรมการศึกษารับทราบ พร้อมกำหนดวันแก้ไขที่ชัดเจนสำหรับจุดที่พบปัญหา แทนที่จะปล่อยให้รายงานอยู่ในลิ้นชักโดยไม่มีการติดตามผล ทีมที่ทำขั้นตอนนี้เป็นประจำจะเห็นแนวโน้มของปัญหาที่เกิดซ้ำในแต่ละรอบ ซึ่งช่วยให้ปรับระบบต้นทางได้ตรงจุดกว่าการแก้ไขทีละแฟ้มโดยไม่มองภาพรวม

บทบาทของทีมการตลาดและผู้ดูแลข้อมูลในการตรวจสอบ

ทีมการตลาดของธุรกิจสุขภาพมักเป็นผู้ออกแบบแคมเปญประชาสัมพันธ์หลักสูตรอบรมหรือค่ายสุขภาพผ่านโซเชียลมีเดียและอีเมล และมักเป็นทีมแรกที่รวบรวมรายชื่อผู้สนใจก่อนส่งต่อให้ทีมรับสมัคร จุดนี้เป็นจุดที่การตรวจสอบต้องแยกออกจากฟอร์มสมัครเรียนอย่างเป็นทางการ เพราะแบบฟอร์มลงทะเบียนความสนใจที่ทีมการตลาดใช้อาจไม่เคยผ่านการตรวจสอบเรื่องความยินยอมของผู้ปกครองเลย ทั้งที่ผู้กรอกอาจเป็นเด็กที่คลิกลิงก์จากโฆษณาด้วยตัวเอง ทีมตรวจสอบจึงควรขอดูแบบฟอร์มทุกจุดที่ทีมการตลาดใช้เก็บรายชื่อ ไม่ใช่แค่แบบฟอร์มสมัครเรียนที่ทีมรับสมัครดูแลอยู่แล้ว

ผู้ดูแลข้อมูลหรือทีมกำกับดูแลภายในควรเป็นผู้กำหนดตารางตรวจสอบและติดตามผลการแก้ไขให้เกิดขึ้นจริง แทนที่จะปล่อยให้ทีมการตลาดและทีมรับสมัครต่างคนต่างดูแลกันเอง การประสานงานระหว่างสองทีมนี้ตั้งแต่ขั้นออกแบบแคมเปญ ช่วยลดจำนวนแฟ้มที่ต้องแก้ไขย้อนหลังภายหลังการตรวจสอบแต่ละรอบ และทำให้ผู้ดูแลข้อมูลมีหลักฐานครบตั้งแต่ต้นทางว่าผู้เรียนแต่ละคนเข้าสู่ระบบผ่านช่องทางใดพร้อมความยินยอมแบบใด

ตารางสรุป Evidence ที่ควรเก็บในแต่ละหมวด

ตารางนี้เหมาะสำหรับใช้เป็นแบบฟอร์มติดตามผลในทุกรอบตรวจสอบ ทีมงานสามารถเพิ่มคอลัมน์วันที่ตรวจและชื่อผู้รับผิดชอบต่อได้ตามความเหมาะสมของแต่ละองค์กร เพื่อให้เห็นภาพว่าแต่ละหมวดถูกตรวจครั้งล่าสุดเมื่อใด และใครเป็นผู้ยืนยันว่า Evidence ที่เก็บไว้ครบถ้วนตรงตามเกณฑ์ หากพบว่าบางหมวดไม่มีบันทึกการตรวจมานานเกินรอบที่กำหนด ควรยกเป็นวาระเร่งด่วนในการประชุมทีมกำกับดูแลข้อมูลรอบถัดไป แทนที่จะรอให้ครบรอบหกเดือนตามปกติ

ตัวอย่างสถานการณ์จากการตรวจสอบจริง

กลับมาที่กรณีของโรงพยาบาลในตอนต้นบทความ หลังทีมกำกับดูแลข้อมูลรายงานผลการสุ่มตรวจ ทีมรับสมัครได้แก้ฟอร์มลงทะเบียนใหม่ให้มีช่องกรอกวันเกิดตั้งแต่ขั้นแรก และตั้งเงื่อนไขให้ระบบเตือนอัตโนมัติเมื่อผู้กรอกอายุต่ำกว่าเกณฑ์ พร้อมส่งลิงก์แบบฟอร์มยินยอมสำหรับผู้ปกครองแยกไปยังอีเมลที่ผู้เรียนกรอกไว้ ทีมยังย้อนติดต่อผู้ปกครองของผู้เรียนทั้ง 7 คนที่พบปัญหาเพื่อขอความยินยอมย้อนหลังให้ครบถ้วน ซึ่งใช้เวลามากกว่าการออกแบบฟอร์มให้ถูกต้องตั้งแต่แรกหลายเท่า กรณีนี้กลายเป็นเหตุผลที่ผู้บริหารอนุมัติให้ตั้งรอบตรวจสอบโปรแกรมการศึกษาแยกเป็นวาระประจำทุกหกเดือน

ความถี่ที่เหมาะสมของการตรวจสอบ

เนื่องจากข้อมูลผู้เยาว์และข้อมูลอ่อนไหวถูกจัดเป็นกลุ่มความเสี่ยงสูง องค์กรควรตั้งรอบตรวจสอบโปรแกรมการศึกษาอย่างน้อยทุกหกเดือน โดยเฉพาะช่วงก่อนเปิดรับสมัครรุ่นใหม่ของแต่ละหลักสูตร เพราะเป็นจังหวะที่ฟอร์มและกระบวนการอาจถูกปรับเปลี่ยนโดยทีมการตลาดหรือทีมปฏิบัติการโดยไม่ผ่านการตรวจสอบซ้ำ การผูกรอบตรวจสอบไว้กับปฏิทินเปิดรับสมัครแต่ละรุ่น ช่วยให้ทีมไม่ลืมทบทวนก่อนที่ผู้เรียนกลุ่มใหม่จะเริ่มกรอกข้อมูลเข้าระบบ

สำหรับองค์กรที่มีหลายโปรแกรมพร้อมกัน เช่น มีทั้งโรงเรียนพยาบาลในเครือและค่ายสุขภาพเด็กที่เปิดหลายรุ่นต่อปี การกำหนดปฏิทินตรวจสอบแยกตามโปรแกรมอาจทำให้ทีมสับสนว่าโปรแกรมใดตรวจไปแล้วบ้าง วิธีที่ทำได้จริงคือรวมทุกโปรแกรมไว้ในปฏิทินเดียวที่ผู้ดูแลข้อมูลเป็นเจ้าของ พร้อมทำเครื่องหมายสถานะของแต่ละโปรแกรมให้เห็นชัดว่าผ่านการตรวจรอบล่าสุดแล้วหรือยังค้างอยู่

ข้อผิดพลาดที่พบบ่อยระหว่างการตรวจสอบ

• ใช้แบบฟอร์มยินยอมของผู้ป่วยเดิมตรวจสอบร่วมกับผู้เรียนในหลักสูตร ทั้งที่วัตถุประสงค์ต่างกันโดยสิ้นเชิง
• ตรวจเฉพาะเอกสารนโยบาย แต่ไม่สุ่มเปิดแฟ้มผู้เรียนจริงเพื่อยืนยันว่าระบบทำงานตรงตามที่เอกสารเขียนไว้
• ลืมตรวจสอบสิทธิ์เข้าถึงข้อมูลอ่อนไหวของพนักงานที่ย้ายแผนกหรือพ้นตำแหน่งไปแล้ว
• ไม่มีผู้รับผิดชอบตรวจสอบต่อโปรแกรมที่ชัดเจน ทำให้บางหลักสูตรไม่เคยถูกตรวจเลยตั้งแต่เปิดตัว
• เก็บรายงานผลตรวจสอบไว้โดยไม่กำหนดวันแก้ไข ทำให้จุดที่พบปัญหาซ้ำกันทุกรอบโดยไม่มีการปรับปรุงจริง

สรุป

การตรวจสอบ PDPA สำหรับโปรแกรมการศึกษาในองค์กรสุขภาพ ต้องแยกออกจากรอบตรวจเวชระเบียนผู้ป่วยอย่างชัดเจน เพราะผู้เรียนมีทั้งมิติผู้เยาว์และมิติข้อมูลอ่อนไหวซ้อนกันอยู่ การตั้งรอบตรวจสอบเป็นวาระประจำ พร้อมเก็บ Evidence ในแต่ละหมวดอย่างเป็นระบบ ช่วยให้ทีมตอบคำถามผู้ปกครองหรือหน่วยงานกำกับดูแลได้ตรงประเด็นกว่าการแก้ปัญหาเฉพาะหน้าทีละกรณี แม้ไม่มีขั้นตอนใดที่ทำให้ทุกความเสี่ยงหมดไปในคราวเดียว แต่การตรวจสอบอย่างสม่ำเสมอก็ช่วยลดโอกาสที่ปัญหาเดิมจะเกิดซ้ำในรุ่นถัดไป ดูภาพรวมทั้งคลัสเตอร์ได้ที่คู่มือ PDPA สำหรับธุรกิจการศึกษา สายสุขภาพ ขั้นตอนติดตั้งระบบทีละขั้นอยู่ในคู่มือ How-to และรายการตรวจก่อนเปิดหลักสูตรอยู่ในเช็กลิสต์ก่อนเปิดใช้งาน หรือกลับไปดูหมวดอื่นที่ศูนย์ความรู้ธุรกิจและอุตสาหกรรม

แหล่งข้อมูลอ้างอิง

ทีมงานควรตรวจสอบแนวปฏิบัติล่าสุดเรื่องเกณฑ์อายุความยินยอมของผู้เยาว์และการประมวลผลข้อมูลอ่อนไหวโดยตรงจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เนื่องจากแนวปฏิบัติอาจมีการปรับปรุงเป็นระยะ และไม่ควรยึดตัวเลขอายุใดตัวเลขหนึ่งจากเอกสารภายในโดยไม่ตรวจสอบซ้ำ