วิธีวางระบบ PDPA สำหรับธุรกิจสุขภาพ สำหรับเอเจนซีและฟรีแลนซ์ทำเว็บไซต์แบบเป็นขั้นตอน

เอเจนซีควรเริ่มจากสำรวจทุกจุดบนเว็บไซต์ที่เก็บข้อมูลสุขภาพของคนไข้ก่อน แล้วออกแบบฟอร์มขอความยินยอมแบบชัดแจ้งเฉพาะสำหรับข้อมูลอ่อนไหวแยกจากเงื่อนไขทั่วไป จากนั้นจำกัดสิทธิ์การเข้าถึงข้อมูลตามบทบาทงาน วางข้อตกลงกับผู้ให้บริการภายนอกอย่างแล็บหรือบริษัทประกัน กำหนดระยะเวลาเก็บและลบข้อมูลตามข้อกำหนดด้านเวชระเบียน และเตรียมแผนรับมือเบื้องต้นหากพบข้อมูลรั่วไหลหรือเข้าถึงผิดปกติ

เอเจนซีที่เพิ่งรับงานทำเว็บไซต์ให้คลินิกหรือโรงพยาบาลเป็นครั้งแรก มักถามคำถามเดียวกันในทีมงานว่า ควรเริ่มวางระบบ PDPA สำหรับข้อมูลสุขภาพของคนไข้จากจุดไหนก่อน ในเมื่อโปรเจกต์เว็บไซต์ทั่วไปที่เคยทำมามีแค่ฟอร์มติดต่อกับอีเมลรับข่าวสาร แต่โปรเจกต์สายสุขภาพมีทั้งฟอร์มนัดหมาย ประวัติการรักษา และบางครั้งถึงขั้นเชื่อมต่อกับระบบแล็บหรือประกัน คำตอบสั้น ๆ คือให้เริ่มจากการสำรวจก่อนว่าเว็บไซต์เก็บข้อมูลอะไรบ้าง แล้วค่อยไล่วางระบบทีละชั้นตามลำดับที่ความเสี่ยงสูงสุดก่อน ไม่ใช่กระโดดไปทำฟอร์มยินยอมสวย ๆ ทันทีโดยไม่รู้ว่าจริง ๆ แล้วมีจุดเก็บข้อมูลกี่จุดในระบบ

ทำไมข้อมูลสุขภาพต้องมีระบบที่เข้มกว่าเว็บไซต์ทั่วไป

ข้อมูลสุขภาพถูกจัดเป็นข้อมูลอ่อนไหวภายใต้ PDPA ซึ่งหมายความว่าการประมวลผลส่วนใหญ่ต้องอาศัยความยินยอมแบบชัดแจ้งจากเจ้าของข้อมูล ไม่ใช่แค่การอ้างฐานทางกฎหมายทั่วไปแบบที่เว็บไซต์ธุรกิจอื่นใช้ได้ เอเจนซีที่คุ้นเคยกับการทำเว็บอีคอมเมิร์ซหรือเว็บบริษัททั่วไปอาจไม่คุ้นกับความเข้มนี้ จึงมีความเสี่ยงที่จะยกฟอร์มหรือระบบสมาชิกแบบเดิมมาใช้กับลูกค้าคลินิกโดยไม่ได้ปรับอะไรเลย ทั้งที่ข้อมูลอย่างประวัติการรักษา ผลตรวจ หรือข้อมูลการแพ้ยา มีความเสี่ยงต่อผู้เป็นเจ้าของข้อมูลสูงกว่าชื่อกับอีเมลมาก การวางระบบที่เหมาะสมตั้งแต่ต้นจึงเป็นทั้งเรื่องความรับผิดชอบต่อคนไข้ปลายทาง และเป็นการป้องกันปัญหาที่จะย้อนกลับมาหาลูกค้าและเอเจนซีเองในภายหลัง

ขั้นตอนที่ 1: สำรวจทุกจุดที่เว็บไซต์เก็บข้อมูลสุขภาพ

ก่อนออกแบบอะไรทั้งนั้น ให้ทีมงานไล่ดูทุกหน้าของเว็บไซต์ทีละหน้าว่ามีฟอร์มหรือฟีเจอร์ใดบ้างที่รับข้อมูลจากผู้ใช้ ตั้งแต่ฟอร์มนัดหมาย แชทบอทให้คำปรึกษา แบบสอบถามก่อนการรักษา ไปจนถึงระบบสมาชิกที่เก็บประวัติย้อนหลัง ทำเป็นตารางไล่รายการว่าแต่ละจุดเก็บข้อมูลอะไร ส่งต่อให้ใคร และเก็บไว้ที่ไหน เหตุผลที่ต้องทำขั้นตอนนี้ก่อนคือถ้าไม่รู้ว่ามีจุดเก็บข้อมูลกี่จุด ก็ไม่มีทางออกแบบฟอร์มยินยอมหรือกำหนดสิทธิ์การเข้าถึงได้ครบถ้วน หลักฐานที่ควรเก็บไว้จากขั้นตอนนี้คือตารางสำรวจฉบับที่ทีมงานและลูกค้าเซ็นรับทราบร่วมกัน เพื่อใช้อ้างอิงในการตรวจทานรอบถัดไป ตัวอย่างที่เจอบ่อยคือคลินิกที่มีทั้งเว็บไซต์หลักและหน้า Landing Page แยกสำหรับแคมเปญโปรโมชัน ซึ่งบางครั้งถูกทำโดยทีมการตลาดแยกจากทีมพัฒนาเว็บไซต์หลัก ทำให้มีฟอร์มเก็บข้อมูลที่ไม่ได้อยู่ในสายตาของทีมที่ดูแลเรื่อง PDPA เลย การสำรวจจึงต้องครอบคลุมทุกโดเมนและซับโดเมนที่ลูกค้าเป็นเจ้าของ ไม่ใช่แค่เว็บไซต์หลักที่เห็นชัดที่สุด

ขั้นตอนที่ 2: ออกแบบฟอร์มขอความยินยอมแบบชัดแจ้งเฉพาะข้อมูลสุขภาพ

เมื่อรู้แล้วว่าจุดไหนเก็บข้อมูลอ่อนไหว ให้แยกช่องขอความยินยอมสำหรับข้อมูลสุขภาพออกจากข้อความยอมรับเงื่อนไขทั่วไป โดยระบุให้ชัดว่าจะเก็บข้อมูลอะไร ใช้เพื่อจุดประสงค์ใด และจะส่งต่อให้ใครบ้างถ้ามี ผู้ใช้ต้องกดยืนยันเฉพาะช่องนี้แยกต่างหาก ไม่ใช่รวมอยู่ในข้อความยาว ๆ ที่ไม่มีใครอ่าน เหตุผลที่ต้องทำแบบนี้เพราะมาตรฐานความยินยอมสำหรับข้อมูลอ่อนไหวสูงกว่าข้อมูลทั่วไป หลักฐานที่ควรเก็บไว้คือ log การกดยินยอมพร้อมเวอร์ชันของข้อความฟอร์ม ณ วันที่ผู้ใช้กดยืนยัน เพื่อให้ย้อนตรวจได้ว่าผู้ใช้แต่ละรายยินยอมภายใต้เงื่อนไขแบบใด ข้อความในช่องยินยอมควรเขียนด้วยภาษาที่คนทั่วไปอ่านแล้วเข้าใจทันที ไม่ใช้ศัพท์กฎหมายล้วน ๆ ที่คนไข้ต้องเปิดพจนานุกรมถึงจะเข้าใจ เพราะเป้าหมายคือให้ผู้ใช้ตัดสินใจได้จริงว่าจะยินยอมหรือไม่ ไม่ใช่แค่ให้มีข้อความอยู่บนหน้าเว็บไซต์เฉย ๆ

ขั้นตอนที่ 3: จำกัดสิทธิ์การเข้าถึงข้อมูลตามบทบาทงาน

ออกแบบระบบหลังบ้านให้พนักงานแต่ละบทบาทเห็นเฉพาะข้อมูลที่จำเป็นต่องานของตัวเอง เช่น ทีมพยาบาลเห็นประวัติการรักษาเต็มรูปแบบ แต่ทีมการตลาดเห็นเพียงชื่อกับช่องทางติดต่อสำหรับส่งข่าวสารเท่านั้น ไม่ใช่เปิดสิทธิ์แบบเดียวกันให้ทุกคนในองค์กรของลูกค้า เหตุผลคือยิ่งคนเข้าถึงข้อมูลอ่อนไหวได้มากเท่าไหร่ ความเสี่ยงที่จะเกิดการเข้าถึงผิดวัตถุประสงค์หรือข้อมูลรั่วไหลก็สูงขึ้นเท่านั้น หลักฐานที่ควรมีคือเอกสารกำหนดสิทธิ์ตามบทบาทงาน (role-based access) พร้อม log การเข้าถึงข้อมูลที่สามารถตรวจสอบย้อนหลังได้เมื่อจำเป็น ในโปรเจกต์ขนาดเล็กที่งบไม่พอสำหรับระบบสิทธิ์ซับซ้อน อย่างน้อยควรแยกบัญชีผู้ดูแลระบบออกจากบัญชีที่ใช้ในงานประจำวัน และปิดการเข้าถึงฐานข้อมูลโดยตรงสำหรับคนที่ไม่ได้มีหน้าที่เกี่ยวข้อง แทนที่จะให้ทุกคนใช้บัญชีเดียวร่วมกัน

ขั้นตอนที่ 4: วางข้อตกลงกับผู้ให้บริการภายนอก

ถ้าเว็บไซต์เชื่อมต่อกับแล็บ บริษัทประกัน หรือแพทย์เฉพาะทางภายนอก ให้ตรวจสอบว่ามีข้อตกลงการประมวลผลข้อมูลระหว่างลูกค้ากับผู้ให้บริการเหล่านั้นหรือไม่ และช่องทางส่งข้อมูลมีการเข้ารหัสที่เหมาะสมหรือไม่ เหตุผลคือข้อมูลอ่อนไหวที่ส่งผ่านช่องทางไม่ปลอดภัยมีความเสี่ยงสูงกว่าข้อมูลทั่วไปมาก หลักฐานที่ควรเก็บไว้คือสำเนาข้อตกลงกับผู้ให้บริการภายนอกแต่ละราย พร้อมบันทึกว่าช่องทางส่งข้อมูลแต่ละช่องใช้มาตรการความปลอดภัยแบบใด ถ้าลูกค้ายังไม่เคยทำข้อตกลงลักษณะนี้มาก่อน เอเจนซีควรยกร่างรายการคำถามพื้นฐานให้ลูกค้าไปสอบถามผู้ให้บริการแต่ละราย เช่น เก็บข้อมูลไว้ที่ใด ใครเข้าถึงได้บ้าง และมีขั้นตอนแจ้งเหตุอย่างไรหากฝั่งผู้ให้บริการเองเกิดปัญหา

ขั้นตอนที่ 5: กำหนดนโยบายเก็บและลบข้อมูลตามอายุเวชระเบียน

ระยะเวลาการเก็บข้อมูลของธุรกิจสุขภาพไม่ควรใช้ตัวเลขทั่วไปแบบเว็บไซต์อีคอมเมิร์ซ แต่ต้องอ้างอิงกับข้อกำหนดด้านการเก็บเวชระเบียนที่หน่วยงานลูกค้าต้องปฏิบัติตามอยู่แล้ว เอเจนซีควรถามลูกค้าโดยตรงว่านโยบายเก็บเวชระเบียนของหน่วยงานกำหนดไว้กี่ปี แล้วตั้งค่าระบบลบหรือเก็บถาวรให้สอดคล้องกัน เหตุผลคือการเก็บข้อมูลนานเกินจำเป็นเพิ่มความเสี่ยงโดยไม่มีประโยชน์เพิ่ม หลักฐานที่ควรมีคือเอกสารนโยบายการเก็บและลบข้อมูลที่ระบุระยะเวลาชัดเจนสำหรับข้อมูลแต่ละประเภท ในทางปฏิบัติควรตั้งระบบแจ้งเตือนอัตโนมัติให้ทีมงานตรวจสอบข้อมูลที่ครบกำหนดลบเป็นระยะ แทนที่จะรอให้มีคนนึกขึ้นได้เองว่าถึงเวลาต้องลบข้อมูลเก่าแล้ว เพราะในทางปฏิบัติมักไม่มีใครจำได้จนกว่าจะมีเหตุให้ต้องกลับไปตรวจ

ขั้นตอนที่ 6: เตรียมแผนรับมือเมื่อพบข้อมูลรั่วไหลหรือเข้าถึงผิดปกติ

ทำแผนสั้น ๆ ไว้ล่วงหน้าว่าถ้าพบสัญญาณผิดปกติ เช่น มีคนพยายามเข้าถึงฐานข้อมูลคนไข้นอกเวลางาน หรือพบว่าไฟล์ผลตรวจถูกส่งผิดคน ทีมงานควรแจ้งใครก่อน เก็บหลักฐานอะไรบ้าง และแจ้งลูกค้าภายในกรอบเวลาเท่าไหร่ เหตุผลคือธุรกิจสุขภาพมีความเสี่ยงที่ผลกระทบต่อผู้ป่วยจะรุนแรงกว่าการรั่วไหลของข้อมูลทั่วไป จึงต้องมีขั้นตอนที่ชัดเจนพร้อมใช้ทันที ไม่ใช่คิดหาวิธีตอนเกิดเหตุจริง หลักฐานที่ควรมีคือเอกสารแผนรับมือเบื้องต้นที่ทีมงานทุกคนเข้าถึงได้และรู้บทบาทของตัวเอง แผนนี้ไม่จำเป็นต้องยาวหรือซับซ้อน ขอเพียงระบุลำดับการแจ้งเหตุ ผู้รับผิดชอบหลัก และช่องทางติดต่อฉุกเฉินให้ชัดเจน เพื่อให้ทีมงานลงมือทำได้ทันทีโดยไม่ต้องเสียเวลาคิดขั้นตอนตอนที่กำลังเผชิญปัญหาจริง

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบ PDPA ให้ลูกค้าสายสุขภาพ

ข้อผิดพลาดแรกคือเริ่มจากการทำฟอร์มยินยอมทันทีโดยยังไม่ได้สำรวจว่าเว็บไซต์มีจุดเก็บข้อมูลกี่จุด ทำให้แก้ไปแก้มาไม่จบสักที ข้อผิดพลาดที่สองคือกำหนดสิทธิ์การเข้าถึงข้อมูลแบบเดียวกันหมดทั้งองค์กรของลูกค้า โดยอ้างว่าทำให้ง่ายต่อการดูแลระบบ ทั้งที่เพิ่มความเสี่ยงโดยไม่จำเป็น ข้อผิดพลาดที่สามคือไม่เคยตรวจสอบข้อตกลงกับผู้ให้บริการภายนอกเลยตั้งแต่เริ่มโปรเจกต์ เพราะคิดว่าเป็นเรื่องที่ลูกค้าต้องจัดการเอง ข้อผิดพลาดที่สี่คือกำหนดระยะเวลาเก็บข้อมูลตามความสะดวกของระบบแทนที่จะอ้างอิงกับข้อกำหนดด้านเวชระเบียนจริงของลูกค้า ข้อผิดพลาดที่ห้าคือทำแผนรับมือเหตุการณ์ผิดปกติไว้แบบเป็นพิธี เขียนเสร็จแล้วเก็บไว้ในโฟลเดอร์ที่ไม่มีใครเปิดดูอีกเลย จนถึงวันที่เกิดเหตุจริงก็ไม่มีใครรู้ว่าเอกสารนั้นอยู่ที่ไหนหรือใครต้องทำอะไรก่อน

ตัวอย่างลำดับงานเมื่อรับโปรเจกต์ใหม่จากลูกค้าสายสุขภาพ

ลองนึกภาพเอเจนซีที่เพิ่งเซ็นสัญญากับคลินิกทันตกรรมแห่งหนึ่งเพื่อทำเว็บไซต์ใหม่ทั้งระบบ สัปดาห์แรกทีมงานประชุมกับลูกค้าเพื่อไล่รายการฟีเจอร์ที่ต้องการ รวมถึงฟอร์มนัดหมายและระบบเก็บประวัติการรักษาแบบออนไลน์ ก่อนเริ่มออกแบบหน้าตาเว็บไซต์ ทีมงานควรใช้เวลาช่วงนี้ทำตารางสำรวจตามขั้นตอนที่หนึ่งไปพร้อมกัน แล้วนำผลสำรวจมาคุยกับลูกค้าอีกครั้งว่าฟอร์มไหนต้องมีช่องยินยอมแบบไหน ใครในทีมของคลินิกควรเห็นข้อมูลอะไรบ้าง เมื่อถึงขั้นตอนพัฒนาจริง นักพัฒนาก็มีข้อกำหนดที่ชัดเจนแล้วว่าต้องเขียนโค้ดจำกัดสิทธิ์อย่างไร ไม่ต้องกลับมาแก้ทีหลังเมื่อระบบใกล้เสร็จ และเมื่อถึงวันส่งมอบงาน เอกสารทั้งหมดที่ทำไว้ตั้งแต่ต้น ทั้งตารางสำรวจ นโยบายเก็บข้อมูล และแผนรับมือเหตุการณ์ผิดปกติ ก็กลายเป็นหลักฐานส่งมอบที่ลูกค้าเก็บไว้ใช้เองต่อได้ทันที แทนที่จะต้องมาไล่ทำย้อนหลังตอนที่ระบบใช้งานจริงแล้ว

สรุป

การวางระบบ PDPA ให้ลูกค้าสายสุขภาพไม่ใช่การเพิ่มฟอร์มยินยอมหนึ่งช่องแล้วจบ แต่เป็นการไล่ตรวจตั้งแต่จุดเก็บข้อมูล สิทธิ์การเข้าถึง ผู้ให้บริการภายนอก ระยะเวลาเก็บข้อมูล ไปจนถึงแผนรับมือเมื่อเกิดเหตุ ทำตามลำดับทั้งหกขั้นตอนนี้แล้วบันทึกหลักฐานไว้ทุกจุด จะช่วยให้ทั้งเอเจนซีและลูกค้ามีระบบที่ตรวจสอบย้อนหลังได้จริง ไม่ใช่แค่มีฟอร์มสวยงามบนหน้าเว็บไซต์ ดูภาพรวมของหัวข้อนี้เพิ่มเติมได้ในคู่มือ PDPA สำหรับธุรกิจสุขภาพสำหรับเอเจนซี และตรวจสอบความพร้อมก่อนส่งมอบงานด้วยเช็กลิสต์ก่อนส่งมอบงานให้ลูกค้าสายสุขภาพ

แหล่งข้อมูลอ้างอิง

รายละเอียดเกณฑ์ความยินยอมสำหรับข้อมูลอ่อนไหวและแนวปฏิบัติที่เกี่ยวข้องควรตรวจสอบกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรงเป็นระยะ เนื่องจากแนวปฏิบัติอาจมีการปรับปรุงเพิ่มเติม การใช้ทั้งการสำรวจภายในทีมและการอ้างอิงแหล่งข้อมูลทางการควบคู่กันจะช่วยให้ระบบที่วางไว้สอดคล้องกับสถานการณ์ปัจจุบันมากกว่าการใช้ความเข้าใจเดิม ดูภาพรวมของทุกหัวข้อในหมวดนี้ได้ที่ศูนย์ความรู้ธุรกิจและอุตสาหกรรม