PDPA สำหรับธุรกิจการศึกษา คืออะไร? คู่มือสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

ธุรกิจสุขภาพที่เปิดหลักสูตรอบรม โรงเรียนพยาบาล หรือโปรแกรมให้ความรู้แก่ผู้ป่วยเด็ก ต้องปฏิบัติตาม PDPA ในฐานะธุรกิจการศึกษา แยกต่างหากจากการดูแลเวชระเบียนผู้ป่วยทั่วไป เพราะข้อมูลผู้เรียนที่เป็นผู้เยาว์ต้องขอความยินยอมจากผู้ปกครองก่อนเก็บหรือใช้ และหากผู้เรียนมีข้อมูลสุขภาพประกอบด้วย ข้อมูลชุดนั้นจะกลายเป็นข้อมูลอ่อนไหวที่ต้องขอความยินยอมชัดแจ้งอีกชั้นหนึ่ง

หลายทีมในโรงพยาบาลหรือคลินิกที่เปิดโปรแกรมอบรม ค่ายสุขภาพเด็ก หรือโรงเรียนพยาบาลในสังกัด เข้าใจว่าตัวเองทำ PDPA ครบแล้ว เพราะมีนโยบายคุ้มครองข้อมูลผู้ป่วยและมีระบบเวชระเบียนที่ผ่านการตรวจสอบมาแล้ว แต่ความเข้าใจนี้พลาดจุดสำคัญ ผู้เรียนในหลักสูตรอบรม นักศึกษาฝึกงาน หรือเด็กที่เข้าค่ายสุขภาพ ไม่ใช่ ผู้ป่วย ในความหมายเดียวกับเวชระเบียน แต่เป็น ผู้เรียน ที่มีชุดข้อมูลของตัวเอง เช่น ใบสมัคร ผลประเมิน การเข้าร่วมกิจกรรม และบางครั้งมีข้อมูลสุขภาพประกอบ เมื่อผู้เรียนกลุ่มนี้เป็นผู้เยาว์ กระบวนการขอความยินยอมจากผู้ปกครองจะเป็นคนละขั้นตอนกับแบบฟอร์มยินยอมที่ใช้กับผู้ป่วยผู้ใหญ่

ถ้าองค์กรไม่แยกกระบวนการนี้ออกมาให้ชัด ก็มีความเสี่ยงที่จะเก็บข้อมูลผู้เยาว์โดยไม่มีความยินยอมที่ถูกต้องตามอายุ และเมื่อผู้เรียนกลุ่มนี้อยู่ในบริบทสุขภาพ ข้อมูลของเขามักมีมิติสุขภาพติดมาด้วยเสมอ ทำให้ต้องคิดสองชั้นพร้อมกัน ทั้งเรื่องอายุผู้เรียนและความอ่อนไหวของข้อมูล คู่มือนี้จึงเป็นจุดเริ่มต้นสำหรับทีมที่ดูแลโปรแกรมการศึกษาในองค์กรสุขภาพ ก่อนจะไปดูรายละเอียดเฉพาะเรื่องในบทความ Audit Checklist และ How-to ของคลัสเตอร์นี้

ธุรกิจสุขภาพที่ทำเรื่อง “การศึกษา” มีหน้าตาแบบไหนบ้าง

คำว่าธุรกิจการศึกษาในบริบทนี้ไม่ได้จำกัดแค่โรงเรียนหรือมหาวิทยาลัย แต่ครอบคลุมทุกหน่วยงานสุขภาพที่มีกิจกรรมลักษณะหลักสูตรหรือการฝึกอบรมแฝงอยู่ในธุรกิจหลัก ตัวอย่างที่พบบ่อยคือโรงเรียนพยาบาลหรือสถาบันฝึกอบรมบุคลากรทางการแพทย์ที่สังกัดโรงพยาบาลเอกชน หลักสูตรปฐมพยาบาลและการช่วยชีวิตขั้นพื้นฐานที่เปิดให้บุคคลทั่วไปและโรงเรียนสมัครเรียน ค่ายสุขภาพสำหรับเด็กที่มีโรคเรื้อรัง เช่น ค่ายเบาหวานหรือค่ายหอบหืดที่มีทั้งกิจกรรมให้ความรู้และการติดตามอาการ โปรแกรมพัฒนาความรู้ต่อเนื่องสำหรับพยาบาลและเจ้าหน้าที่คลินิก และหลักสูตรออนไลน์ด้านสุขภาพที่คลินิกความงามหรือศูนย์เวชศาสตร์ฟื้นฟูเปิดขายให้ผู้สนใจทั่วไป

จุดร่วมของทั้งหมดนี้คือมีคนกลุ่มหนึ่งที่เข้ามาในสถานะ ผู้เรียน ไม่ใช่ ผู้ป่วย และมักมีขั้นตอนสมัคร ประเมินผล และออกใบรับรองแยกออกจากระบบเวชระเบียน ถ้าทีมงานปนสองระบบนี้เข้าด้วยกันโดยไม่ตั้งใจ ก็มักลืมขอความยินยอมเฉพาะสำหรับกิจกรรมการศึกษา

บทบาทของทีมการตลาดและผู้ดูแลข้อมูลในโปรแกรมการศึกษา

ทีมการตลาดของธุรกิจสุขภาพมักเป็นผู้ประชาสัมพันธ์หลักสูตรอบรมหรือค่ายสุขภาพผ่านโซเชียลมีเดียและอีเมล และมักเป็นทีมแรกที่รวบรวมรายชื่อผู้สนใจสมัครก่อนส่งต่อให้ทีมปฏิบัติการ จุดนี้เป็นจุดเสี่ยงที่มักถูกมองข้าม เพราะแบบฟอร์มลงทะเบียนความสนใจที่ทีมการตลาดใช้อาจไม่ได้ผ่านการตรวจสอบเรื่องความยินยอมของผู้ปกครองเลย ทั้งที่ผู้กรอกแบบฟอร์มอาจเป็นเด็กที่คลิกลิงก์จากโฆษณาด้วยตัวเอง

ผู้ดูแลข้อมูลหรือทีมกำกับดูแลภายในจึงควรเข้าไปตรวจสอบทุกแบบฟอร์มที่ทีมการตลาดใช้เก็บรายชื่อผู้สนใจ ไม่ใช่แค่แบบฟอร์มสมัครเรียนอย่างเป็นทางการ กำหนดให้ทุกแบบฟอร์มที่อาจมีผู้เยาว์กรอกต้องมีช่องยืนยันอายุหรือข้อมูลผู้ปกครองตั้งแต่ขั้นแรก และควรมีช่องทางให้ผู้ปกครองติดต่อเพื่อขอลบข้อมูลบุตรหลานหากพบว่าบุตรหลานกรอกแบบฟอร์มโดยไม่ได้รับอนุญาต การประสานงานระหว่างทีมการตลาดและผู้ดูแลข้อมูลตั้งแต่ขั้นออกแบบแคมเปญ ช่วยลดจำนวนรายชื่อที่ต้องแก้ไขย้อนหลังภายหลัง

ข้อมูลผู้เรียนที่ต้องขอความยินยอมจากผู้ปกครองเมื่อผู้เรียนเป็นผู้เยาว์

ภายใต้ PDPA การประมวลผลข้อมูลส่วนบุคคลของผู้เยาว์โดยทั่วไปต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครอง เกณฑ์อายุที่แน่นอนว่าผู้เยาว์สามารถให้ความยินยอมด้วยตนเองได้เมื่อใดเป็นรายละเอียดที่ควรตรวจสอบกับแนวปฏิบัติล่าสุดของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลอีกครั้งก่อนออกแบบฟอร์ม อย่ากำหนดตัวเลขอายุตายตัวเองโดยไม่ตรวจสอบ ข้อมูลผู้เรียนที่หน่วยงานสุขภาพมักเก็บมีดังนี้

• ใบสมัครเข้าร่วมหลักสูตรหรือค่าย ซึ่งมักมีชื่อ วันเกิด และข้อมูลผู้ปกครองผู้ติดต่อ
• ผลการประเมินหรือคะแนนสอบระหว่างหลักสูตร รวมถึงใบรับรองผ่านการอบรม
• บันทึกการเข้าร่วมกิจกรรม การขาดเรียน และพฤติกรรมระหว่างค่าย
• ข้อมูลติดต่อฉุกเฉินและประวัติสุขภาพที่จำเป็นต่อการดูแลระหว่างกิจกรรม เช่น โรคประจำตัวหรือการแพ้ยา

สิ่งที่ทีมมักมองข้ามคือแบบฟอร์มยินยอมของผู้ป่วยที่ใช้อยู่เดิมมักเขียนขึ้นเพื่อการรักษาพยาบาล ไม่ได้ครอบคลุมวัตถุประสงค์ด้านการศึกษาหรือการอบรม จึงต้องมีแบบฟอร์มยินยอมแยกต่างหากที่ระบุวัตถุประสงค์ ระยะเวลาการเก็บ และผู้รับข้อมูลให้ผู้ปกครองอ่านและลงนามก่อนบุตรหลานเข้าร่วมโปรแกรม

เมื่อผู้เรียนมีข้อมูลสุขภาพประกอบ ข้อมูลชุดนั้นกลายเป็นข้อมูลอ่อนไหวซ้อนกัน

ในบริบทสุขภาพ ผู้เรียนแทบทุกคนมีข้อมูลสุขภาพติดมาด้วยไม่ทางใดก็ทางหนึ่ง เด็กที่เข้าค่ายเบาหวานมีระดับน้ำตาลในเลือดและแผนการใช้อินซูลินอยู่ในระบบ นักศึกษาฝึกงานทางการแพทย์มีประวัติวัคซีนและผลตรวจสุขภาพก่อนขึ้นฝึกจริง ผู้เรียนหลักสูตรปฐมพยาบาลบางคนแจ้งโรคประจำตัวไว้เผื่อกรณีฉุกเฉิน ข้อมูลเหล่านี้จัดเป็นข้อมูลอ่อนไหวตาม PDPA ซึ่งต้องขอความยินยอมโดยชัดแจ้งเป็นการเฉพาะ แยกจากความยินยอมทั่วไปในการเข้าร่วมหลักสูตร

เมื่อผู้เรียนเป็นผู้เยาว์ด้วย จึงมีเงื่อนไขซ้อนกันสองชั้น ทั้งความยินยอมจากผู้ปกครองในฐานะข้อมูลของผู้เยาว์ และความยินยอมชัดแจ้งในฐานะข้อมูลอ่อนไหว ทีมที่ออกแบบฟอร์มควรเขียนให้ผู้ปกครองเห็นทั้งสองประเด็นแยกจากกันอย่างชัดเจน ไม่รวบเป็นข้อความเดียวที่กำกวม และควรจำกัดสิทธิ์เข้าถึงข้อมูลสุขภาพของผู้เรียนให้เฉพาะเจ้าหน้าที่ที่ดูแลกิจกรรมนั้นจริง ไม่เปิดให้ทีมงานทั่วไปเข้าถึงได้ตามความสะดวก

การแชร์ข้อมูลผู้เรียนกับผู้ให้บริการภายนอก

โปรแกรมการศึกษาของธุรกิจสุขภาพมักพึ่งพาผู้ให้บริการภายนอกหลายราย ระบบบริหารจัดการการเรียนหรือ LMS ที่เก็บผลการเรียนและใบรับรอง ผู้ให้บริการรับชำระค่าลงทะเบียนสำหรับหลักสูตรที่มีค่าใช้จ่าย วิทยากรหรือสถาบันภายนอกที่ร่วมออกใบรับรองวิชาชีพ และหน่วยงานรับรองมาตรฐานวิชาชีพที่ต้องได้รับรายชื่อผู้ผ่านการอบรมเพื่อออกใบอนุญาต

• ตรวจสอบว่ามีสัญญาประมวลผลข้อมูลกับผู้ให้บริการ LMS และผู้รับชำระเงินครบทุกราย
• จำกัดข้อมูลที่ส่งให้วิทยากรภายนอกเฉพาะเท่าที่จำเป็นต่อการสอนหรือประเมินผล
• ทบทวนว่าหน่วยงานรับรองมาตรฐานได้รับเฉพาะรายชื่อและผลสอบ ไม่ใช่ข้อมูลสุขภาพส่วนบุคคลของผู้เรียน

สำหรับโปรแกรมที่ใช้แพลตฟอร์มเฮลท์เทคภายนอกเป็นตัวกลางจัดการหลักสูตรทั้งหมด ตั้งแต่รับสมัครไปจนถึงออกใบรับรอง ทีมงานควรตรวจสอบเพิ่มเติมว่าผู้ให้บริการรายนั้นเก็บข้อมูลไว้บนเซิร์ฟเวอร์ที่มีมาตรการความปลอดภัยเพียงพอ มีขั้นตอนแจ้งเหตุการณ์ผิดปกติกลับมายังองค์กรภายในระยะเวลาที่ตกลงกันไว้ และอนุญาตให้องค์กรขอสำเนาหรือขอให้ลบข้อมูลผู้เรียนได้เมื่อสิ้นสุดสัญญา เพราะหากผู้ให้บริการรายนั้นหยุดกิจการหรือเปลี่ยนโครงสร้างระบบกะทันหัน องค์กรต้นทางจะยังเป็นผู้รับผิดชอบต่อผู้ปกครองในฐานะผู้ควบคุมข้อมูลอยู่ดี

การเก็บรักษาและลบข้อมูลหลังจบหลักสูตรหรือออกจากโปรแกรม

ข้อมูลผู้ป่วยทั่วไปมักมีระยะเวลาเก็บรักษาตามกฎเกณฑ์เวชระเบียน แต่ข้อมูลผู้เรียนในโปรแกรมการศึกษาไม่ได้ผูกกับกฎเดียวกันเสมอไป องค์กรควรกำหนดระยะเวลาเก็บรักษาของตัวเองสำหรับแต่ละประเภทข้อมูล เช่น เก็บใบรับรองผ่านการอบรมไว้อ้างอิงระยะยาว แต่ลบข้อมูลติดต่อฉุกเฉินและประวัติสุขภาพชั่วคราวออกภายในระยะเวลาที่กำหนดหลังจบค่ายหรือหลักสูตร ยกเว้นกรณีที่มีข้อกำหนดวิชาชีพเฉพาะบังคับให้เก็บนานกว่านั้น

ตารางด้านล่างเปรียบเทียบมุมมองที่มักสับสนระหว่างข้อมูลผู้ป่วยทั่วไปกับข้อมูลผู้เรียนที่เป็นผู้เยาว์ในโปรแกรมการศึกษาของธุรกิจสุขภาพ

ภาพรวมสิ่งที่ต้องตรวจสอบก่อนเปิดหลักสูตรใหม่

ก่อนเปิดโปรแกรมการศึกษาใหม่ในองค์กรสุขภาพ ทีมงานควรตรวจสอบอย่างน้อยสี่เรื่องนี้ให้ครบ แบบฟอร์มยินยอมของผู้ปกครองที่แยกจากแบบฟอร์มยินยอมรักษาพยาบาล การจำแนกข้อมูลสุขภาพของผู้เรียนให้เป็นข้อมูลอ่อนไหวที่มีการควบคุมสิทธิ์เข้าถึงเฉพาะ สัญญาประมวลผลข้อมูลกับผู้ให้บริการภายนอกทุกราย และนโยบายเก็บรักษาข้อมูลที่ระบุระยะเวลาชัดเจนสำหรับแต่ละประเภท รายละเอียดเชิงปฏิบัติของแต่ละเรื่องนี้อธิบายเพิ่มเติมไว้ในคู่มือ Audit สำหรับธุรกิจสุขภาพ ขั้นตอนติดตั้งระบบทีละขั้นอยู่ในคู่มือ How-to และรายการตรวจก่อนเปิดหลักสูตรแบบละเอียดอยู่ในเช็กลิสต์ก่อนเปิดใช้งาน

ตัวอย่างสถานการณ์ที่มักเกิดขึ้นจริง

คลินิกความงามแห่งหนึ่งเปิดหลักสูตรออนไลน์สอนการดูแลผิวหลังทำหัตถการ โดยมีทั้งลูกค้าผู้ใหญ่และลูกค้าวัยรุ่นที่มาพร้อมผู้ปกครอง ทีมการตลาดใช้แบบฟอร์มลงทะเบียนเดียวกันกับที่ใช้จองคิวทำหัตถการ ซึ่งไม่มีช่องระบุอายุหรือความยินยอมของผู้ปกครองแยกไว้เลย เมื่อผู้ดูแลข้อมูลเข้ามาตรวจสอบภายหลังจึงพบว่าต้องแก้แบบฟอร์มใหม่ทั้งหมดและติดต่อผู้ปกครองของผู้เรียนที่สมัครไปแล้วเพื่อขอความยินยอมย้อนหลัง ซึ่งใช้เวลาและทรัพยากรมากกว่าการออกแบบฟอร์มให้ถูกต้องตั้งแต่แรกหลายเท่า กรณีนี้สะท้อนให้เห็นว่าการแยกระบบตั้งแต่ขั้นออกแบบแคมเปญช่วยประหยัดทั้งเวลาและความเสี่ยงในระยะยาว

ข้อผิดพลาดที่พบบ่อยเมื่อธุรกิจสุขภาพทำเรื่องการศึกษา

• ใช้แบบฟอร์มยินยอมของผู้ป่วยเดิมกับผู้เรียนในหลักสูตร ทั้งที่วัตถุประสงค์ต่างกัน — ทำให้ขอบเขตความยินยอมไม่ครอบคลุมกิจกรรมการศึกษาจริง
• ไม่แยกสิทธิ์เข้าถึงข้อมูลสุขภาพของผู้เรียนออกจากทีมงานทั่วไปของหลักสูตร — เปิดช่องให้คนที่ไม่เกี่ยวข้องเห็นข้อมูลอ่อนไหวโดยไม่จำเป็น
• ลืมทำสัญญาประมวลผลข้อมูลกับผู้ให้บริการ LMS หรือระบบรับชำระเงินค่าเรียน — ทำให้ไม่มีข้อผูกพันชัดเจนเมื่อเกิดปัญหาการรั่วไหลจากฝั่งผู้ให้บริการ
• เก็บข้อมูลผู้เรียนไว้ไม่มีกำหนดหลังจบค่ายหรือหลักสูตรโดยไม่มีเหตุผลรองรับ — เพิ่มความเสี่ยงโดยไม่จำเป็นเมื่อไม่มีวัตถุประสงค์ใช้งานต่อ
• ให้ทีมการตลาดใช้แบบฟอร์มลงทะเบียนความสนใจแบบเดียวกับแบบฟอร์มสมัครเรียนทางการ โดยไม่มีการตรวจสอบเรื่องอายุผู้กรอกตั้งแต่ต้น

สรุป

ธุรกิจสุขภาพที่มีกิจกรรมด้านการศึกษาแฝงอยู่ ไม่ว่าจะเป็นโรงเรียนพยาบาล หลักสูตรปฐมพยาบาล หรือค่ายสุขภาพเด็ก ต้องมองข้อมูลผู้เรียนแยกจากข้อมูลผู้ป่วยตั้งแต่ขั้นออกแบบฟอร์มยินยอม เพราะมีทั้งมิติผู้เยาว์และมิติข้อมูลอ่อนไหวซ้อนกันอยู่ การวางระบบให้ชัดตั้งแต่ต้นช่วยลดความเสี่ยงที่จะเก็บข้อมูลโดยไม่มีฐานทางกฎหมายรองรับ แม้จะไม่มีวิธีใดที่ทำให้ความเสี่ยงหมดไปทั้งหมด แต่การแยกกระบวนการให้ชัดเจนก็ช่วยให้ทีมตอบคำถามผู้ปกครองหรือหน่วยงานกำกับดูแลได้ตรงประเด็นกว่ามาก ดูรายละเอียดเชิงปฏิบัติเพิ่มเติมได้ที่ศูนย์ความรู้ธุรกิจและอุตสาหกรรม

แหล่งข้อมูลอ้างอิง

ทีมงานควรตรวจสอบแนวปฏิบัติล่าสุดเรื่องเกณฑ์อายุความยินยอมของผู้เยาว์และการประมวลผลข้อมูลอ่อนไหวโดยตรงจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เนื่องจากแนวปฏิบัติอาจมีการปรับปรุงเป็นระยะ