เช็กลิสต์ PDPA สำหรับธุรกิจการศึกษา สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

สัปดาห์ก่อนเปิดรุ่นฝึกปฏิบัติของวิทยาลัยพยาบาลแห่งหนึ่ง ฝ่ายทะเบียนต้องส่งรายชื่อนักศึกษาพร้อมใบรับรองแพทย์และผลตรวจวัณโรคให้โรงพยาบาลคู่ฝึกภายในบ่ายวันศุกร์ ทีมงานเปิดโฟลเดอร์ที่เคยใช้ปีที่แล้วแล้วพบว่าไฟล์ผสมกันระหว่างรุ่นเก่ากับรุ่นใหม่ บางไฟล์แนบเลขบัตรประชาชนของนักศึกษาที่ยังไม่บรรลุนิติภาวะโดยไม่มีการยืนยันความยินยอมจากผู้ปกครองแนบมาด้วย นี่คือจุดที่หลายสถาบันการศึกษาสายสุขภาพเจอซ้ำทุกรุ่น เพราะข้อมูลที่ต้องจัดการไม่ใช่แค่เกรดหรือประวัติการเข้าเรียนแบบสถาบันทั่วไป แต่ผสมกับข้อมูลสุขภาพที่กฎหมายจัดเป็นข้อมูลอ่อนไหว และบางส่วนเป็นข้อมูลของผู้เยาว์ในหลักสูตรสายอาชีพระดับ ปวช./ปวส.

เช็กลิสต์นี้เขียนขึ้นสำหรับสถาบันการศึกษาที่ผลิตหรืออบรมบุคลากรสายสุขภาพ ไม่ว่าจะเป็นวิทยาลัยพยาบาล ศูนย์ฝึกอบรมผู้ช่วยพยาบาล หน่วยฝึกอบรมต่อเนื่องของโรงพยาบาลเอง หรือแพลตฟอร์มคอร์สออนไลน์ด้านสาธารณสุข ก่อนเปิดใช้งานระบบจัดเก็บข้อมูลนักศึกษารุ่นใหม่ ให้ไล่ตรวจตามลำดับด้านล่าง

1. ตรวจฐานข้อมูลตัวตนและความยินยอมของผู้เรียน

จุดเริ่มต้นของปัญหาส่วนใหญ่ไม่ได้อยู่ที่ระบบคอมพิวเตอร์ แต่อยู่ที่แบบฟอร์มสมัครเรียนกระดาษหรือ Google Form ที่ทีมทะเบียนก็อปปี้มาใช้ต่อกันหลายรุ่นโดยไม่เคยทบทวน หลักสูตรสายอาชีพด้านสุขภาพ เช่น ผู้ช่วยพยาบาลระดับ ปวช. หรือหลักสูตรระยะสั้นสำหรับผู้ช่วยทันตแพทย์ มักรับผู้เรียนที่อายุยังไม่ถึง 18 ปีปนอยู่กับผู้เรียนผู้ใหญ่ในรุ่นเดียวกัน การใช้แบบฟอร์มชุดเดียวกันทั้งรุ่นจึงเสี่ยงพลาดช่องความยินยอมของผู้ปกครองไปโดยไม่รู้ตัว

• มีบันทึกชัดเจนว่าผู้เรียนแต่ละคนบรรลุนิติภาวะหรือไม่ ถ้าเป็นผู้เยาว์ในหลักสูตรสายอาชีพต้องมีหลักฐานความยินยอมจากผู้ปกครองหรือผู้แทนโดยชอบธรรมแนบคู่กับเอกสารสมัครเรียนเสมอ
• เกณฑ์อายุที่ผู้เยาว์สามารถให้ความยินยอมเองได้บางส่วนยังมีรายละเอียดที่ต้องตรวจสอบกับแนวปฏิบัติล่าสุดของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) อย่าตั้งอายุใดอายุหนึ่งเป็นเกณฑ์ตายตัวโดยไม่ทวนสอบก่อน
• แบบฟอร์มสมัครเรียนแยกช่องความยินยอมสำหรับ (ก) การจัดการเรียนการสอนทั่วไป และ (ข) การส่งข้อมูลให้แหล่งฝึกภายนอกอย่างชัดเจน ไม่ใช้ช่องยินยอมรวมข้อเดียวครอบคลุมทุกวัตถุประสงค์
• มีช่องทางให้ผู้เรียนหรือผู้ปกครองถอนความยินยอมและติดต่อสอบถามการใช้ข้อมูล พร้อมบันทึกว่าใครเป็นผู้รับผิดชอบตอบกลับ
• เมื่อรับสมัครรุ่นใหม่ทุกครั้ง ให้ฝ่ายทะเบียนแยกรายชื่อผู้เยาว์ออกมาเป็นรายการต่างหากตั้งแต่วันแรก แทนที่จะไปไล่ตรวจย้อนหลังตอนใกล้ส่งเอกสารให้แหล่งฝึก

2. ตรวจเอกสารสุขภาพที่ใช้ยืนยันความพร้อมก่อนฝึกปฏิบัติ

ต่างจากสถาบันการศึกษาทั่วไปที่จบแค่เรื่องเกรดกับประวัติการเข้าเรียน สถาบันสายสุขภาพต้องเก็บเอกสารอีกชุดหนึ่งที่มีน้ำหนักสูงกว่ามาก เพราะเป็นเงื่อนไขให้นักศึกษาเข้าไปสัมผัสผู้ป่วยจริงในโรงพยาบาลหรือคลินิก เอกสารกลุ่มนี้จึงต้องแยกวางระบบทั้งเรื่องการเก็บและสิทธิ์เข้าถึง คนละชุดกับแฟ้มทะเบียนวิชาการปกติ

• ใบรับรองแพทย์ ผลตรวจวัณโรค ประวัติวัคซีน และผลตรวจสุขภาพอื่นที่นักศึกษาต้องยื่นก่อนขึ้นฝึกปฏิบัติกับผู้ป่วยจริง ถูกจัดเป็นข้อมูลอ่อนไหวและต้องเก็บแยกจากแฟ้มทะเบียนทั่วไป ไม่ปนกับไฟล์เกรดหรือประวัติการชำระค่าเทอม
• สิทธิ์เข้าถึงเอกสารสุขภาพของนักศึกษาจำกัดเฉพาะเจ้าหน้าที่ที่จำเป็นต้องรู้จริง เช่น ฝ่ายฝึกปฏิบัติและอาจารย์ที่ปรึกษาคลินิก ไม่ใช่เจ้าหน้าที่ทะเบียนทุกคนเห็นได้
• ถ้านักศึกษามีความต้องการพิเศษด้านสุขภาพหรือการเข้าถึง (accessibility) เช่น โรคประจำตัวที่ต้องปรับตารางฝึก ข้อมูลนี้ต้องขอความยินยอมแยกและจำกัดวงคนรู้ให้แคบกว่าข้อมูลสุขภาพทั่วไปอีกชั้น
• มีบันทึกว่าเอกสารสุขภาพชุดใดหมดอายุเมื่อใด (เช่น ผลตรวจวัณโรคที่ต้องตรวจซ้ำทุกปี) และใครเป็นผู้ตรวจสอบให้อัปเดตก่อนเริ่มรุ่นฝึกใหม่
• กำหนดให้เอกสารสุขภาพจัดเก็บในโฟลเดอร์หรือระบบที่ล็อกสิทธิ์แยกต่างหาก และตั้งชื่อไฟล์ให้ตรวจสอบย้อนหลังได้ง่ายว่าใครเข้าถึงเมื่อใด แทนที่จะรวมไว้ในไดรฟ์กลางที่ทุกแผนกเข้าถึงร่วมกัน

3. ตรวจสัญญาและช่องทางแชร์ข้อมูลกับแหล่งฝึกภายนอก

ในทางปฏิบัติ ฝ่ายทะเบียนของสถาบันมักไม่ใช่คนตัดสินใจเรื่องสัญญากับโรงพยาบาลคู่ฝึก แต่เป็นฝ่ายวิชาการหรือฝ่ายกิจการนักศึกษา ทำให้บางครั้งไม่มีใครไล่ตรวจว่าข้อตกลงเดิมยังครอบคลุมข้อมูลชุดใหม่ที่ต้องส่งหรือไม่ โดยเฉพาะเมื่อโรงพยาบาลคู่ฝึกเปลี่ยนแผนกหรือเปลี่ยนระบบรับข้อมูลของตัวเอง

• ทุกโรงพยาบาลหรือคลินิกที่รับนักศึกษาฝึกปฏิบัติต้องมีข้อตกลงเป็นลายลักษณ์อักษรระบุว่าข้อมูลใดถูกส่งไป ใช้เพื่ออะไร เก็บนานเท่าไร และทำลายอย่างไรเมื่อจบรุ่นฝึก
• ช่องทางส่งไฟล์ (อีเมล ระบบแชร์ไฟล์ แอปแชท) ต้องมีการเข้ารหัสหรือจำกัดสิทธิ์เข้าถึง ไม่ใช่แนบไฟล์ Excel รายชื่อพร้อมเลขบัตรประชาชนส่งทางอีเมลทั่วไปแบบไม่ป้องกันรหัสผ่าน
• ระบบผู้ให้บริการ LMS หรือระบบชำระค่าเทอมที่ใช้ภายนอก มีข้อตกลงประมวลผลข้อมูล (data processing agreement) ระบุขอบเขตการใช้ข้อมูลนักศึกษาชัดเจน ไม่ใช่แค่เงื่อนไขการใช้งานทั่วไปของผู้ให้บริการ
• มีผู้รับผิดชอบตรวจสอบว่าข้อมูลที่ส่งให้แหล่งฝึกถูกลบหรือส่งคืนหลังจบรุ่น ไม่ตกค้างอยู่ในระบบของโรงพยาบาลคู่ฝึกโดยไม่มีกำหนด
• เมื่อเปลี่ยนแหล่งฝึกใหม่หรือเพิ่มแผนกฝึกปฏิบัติ ให้ทบทวนข้อตกลงเดิมก่อนส่งข้อมูลชุดแรก แทนที่จะอ้างอิงสัญญาเก่าที่เขียนไว้สำหรับแหล่งฝึกอื่น

4. ตรวจนโยบายเก็บรักษาและทำลายข้อมูลหลังนักศึกษาจบหรือลาออก

• กำหนดระยะเวลาเก็บทะเบียนประวัติการศึกษาให้สอดคล้องกับความจำเป็นในการออกเอกสารรับรอง (เช่น ใบรับรองสำหรับขอใบประกอบวิชาชีพ) ซึ่งมักต้องเก็บนานกว่าข้อมูลทั่วไป แต่ไม่ได้แปลว่าต้องเก็บทุกอย่างตลอดไปโดยไม่มีเหตุผล
• เอกสารสุขภาพที่ใช้เฉพาะช่วงฝึกปฏิบัติ เมื่อพ้นความจำเป็นแล้วควรมีรอบทำลายแยกจากทะเบียนหลักสูตร ไม่ปล่อยให้ค้างอยู่ในตู้เอกสารเดียวกับใบเกรด
• มีบันทึกการทำลายข้อมูล (log) ที่ระบุวันที่ วิธีการ และผู้อนุมัติ เผื่อต้องตรวจสอบย้อนหลัง

ข้อผิดพลาดที่พบบ่อยในสถาบันการศึกษาสายสุขภาพ

• ใช้แบบฟอร์มความยินยอมชุดเดียวกับนักศึกษาสาขาอื่นที่ไม่มีข้อมูลสุขภาพเกี่ยวข้อง ทำให้ไม่มีช่องยินยอมเฉพาะสำหรับเอกสารสุขภาพก่อนฝึกปฏิบัติ
• ให้อาจารย์ทุกคนเข้าถึงโฟลเดอร์เอกสารสุขภาพนักศึกษาได้เท่ากันหมด ทั้งที่บางคนไม่ได้เกี่ยวข้องกับการฝึกปฏิบัติคลินิกเลย
• ส่งไฟล์รายชื่อพร้อมข้อมูลสุขภาพให้โรงพยาบาลคู่ฝึกโดยไม่มีข้อตกลงเป็นลายลักษณ์อักษรว่าข้อมูลจะถูกใช้และทำลายอย่างไร
• ลืมทวนสอบเกณฑ์อายุผู้เยาว์ตามแนวปฏิบัติล่าสุด แล้วใช้ตัวเลขอายุเก่าที่เคยได้ยินมาโดยไม่ตรวจสอบซ้ำ

สรุป: เช็กลิสต์นี้ใช้ตรวจก่อนเปิดรุ่น ไม่ใช่ทำครั้งเดียวจบ

เช็กลิสต์ข้างต้นควรถูกนำมาไล่ตรวจใหม่ทุกครั้งที่เปิดรุ่นฝึกปฏิบัติ ไม่ใช่ทำครั้งเดียวตอนตั้งหลักสูตรแล้วปล่อยผ่าน เพราะแหล่งฝึกภายนอกเปลี่ยนคู่สัญญา ระบบ LMS เปลี่ยนผู้ให้บริการ และเกณฑ์อายุผู้เยาว์อาจมีการปรับปรุงแนวปฏิบัติได้ ทีมทะเบียนควรกำหนดรอบทบทวนเช็กลิสต์นี้ล่วงหน้าก่อนเปิดรุ่นใหม่ทุกครั้งอย่างน้อยหนึ่งเดือน เพื่อให้มีเวลาแก้ไขจุดที่พลาดก่อนถึงเส้นตายจริง หากต้องการภาพรวมของแนวทาง PDPA สำหรับสถาบันการศึกษาสายสุขภาพทั้งระบบ อ่านเพิ่มเติมได้ที่ คู่มือ PDPA สำหรับธุรกิจการศึกษาในบริบทสุขภาพ และดูขั้นตอนตรวจสอบเชิงลึกได้ที่ แนวทางตรวจสอบ PDPA แบบรอบระยะ

แหล่งข้อมูลอ้างอิง

ตรวจสอบแนวปฏิบัติล่าสุดเกี่ยวกับข้อมูลผู้เยาว์และข้อมูลสุขภาพกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง เนื่องจากรายละเอียดเกณฑ์อายุและแนวปฏิบัติอาจมีการปรับปรุงเป็นระยะ อ่านเพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม ของ trusty