วิธีวางระบบ PDPA สำหรับธุรกิจสุขภาพ สำหรับองค์กรการเงิน ประกัน และธุรกิจที่มีความเสี่ยงสูงแบบเป็นขั้นตอน

การวางระบบ PDPA สำหรับข้อมูลสุขภาพในองค์กรการเงินและประกันภัยต้องเริ่มจากการแยกข้อมูลสุขภาพออกจากข้อมูลลูกค้าทั่วไปตั้งแต่ขั้นรับข้อมูล ออกแบบความยินยอมโดยชัดแจ้งเฉพาะสำหรับแต่ละวัตถุประสงค์ จำกัดสิทธิ์เข้าถึงตามบทบาทของทีมสินไหมและทีมพิจารณาออกกรมธรรม์ ทำสัญญาประมวลผลข้อมูลกับพันธมิตรภายนอกให้รัดกุม และกำหนดกรอบเวลาการเก็บเอกสารทางการแพทย์ให้ชัดเจน ทุกขั้นตอนต้องมีหลักฐานเก็บไว้ตรวจสอบย้อนหลังได้ ไม่ใช่แค่เขียนนโยบายไว้เฉยๆ

ทีมพิจารณาสินไหมของบริษัทประกันสุขภาพแห่งหนึ่งเคยส่งไฟล์ผลตรวจเลือดของลูกค้าให้แพทย์ที่ปรึกษาภายนอกทางอีเมลทั่วไป เพราะระบบภายในไม่มีช่องทางส่งเอกสารทางการแพทย์ที่ปลอดภัยแยกต่างหาก งานนั้นเสร็จเร็ว แต่เมื่อฝ่ายตรวจสอบภายในถามย้อนกลับว่าไฟล์นั้นมีการเข้ารหัสหรือบันทึกการเข้าถึงหรือไม่ คำตอบคือไม่มีเลย นี่คือปัญหาที่เกิดซ้ำในองค์กรการเงินและประกันภัยจำนวนมาก คือมีนโยบาย PDPA เขียนไว้แล้ว แต่ระบบปฏิบัติงานจริงไม่ได้ถูกออกแบบให้รองรับข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหวที่ต้องการการควบคุมสูงกว่าข้อมูลการเงินทั่วไป บทความนี้จึงวางเป็นขั้นตอนที่ทำตามได้จริง ไม่ใช่แค่หลักการกว้างๆ

ขั้นตอนที่ 1: แยกข้อมูลสุขภาพออกจากข้อมูลลูกค้าทั่วไปตั้งแต่ขั้นรับข้อมูล

จุดเริ่มต้นคือการทำแผนที่ข้อมูล (data mapping) เฉพาะส่วนที่เป็นข้อมูลสุขภาพ เช่น เอกสารเคลมประกันสุขภาพ ผลตรวจสุขภาพประกอบการอนุมัติกรมธรรม์ และประวัติการรักษาที่แนบมาพร้อมคำร้อง ให้แยกออกจากฐานข้อมูลลูกค้าทั่วไปที่เก็บแค่ชื่อ ที่อยู่ เบอร์โทร เหตุผลที่ต้องแยกคือข้อมูลสุขภาพต้องมีชั้นการเข้าถึงและระยะเวลาการเก็บที่ต่างจากข้อมูลทั่วไป หากปนกันอยู่ในตารางเดียว การกำหนดสิทธิ์และกรอบเวลาจะทำได้ยากมากในทางปฏิบัติ หลักฐานที่ควรเก็บไว้คือแผนผังการไหลของข้อมูลสุขภาพ ระบุจุดรับเข้า จุดจัดเก็บ และจุดที่ข้อมูลถูกส่งต่อออกนอกองค์กร ตัวอย่างที่พบบ่อยคือทีมสินไหมของบริษัทประกันสุขภาพขนาดกลางแห่งหนึ่งพบว่าตารางฐานข้อมูลลูกค้าตารางเดียวเก็บทั้งเบอร์โทร ที่อยู่ และผลตรวจเลือดปนกันมาตั้งแต่ระบบเริ่มใช้งาน เมื่อทำแผนที่ข้อมูลใหม่จึงเห็นชัดว่าต้องแยกฐานข้อมูลผลตรวจสุขภาพออกมาเป็นตารางเฉพาะที่มีชั้นสิทธิ์แตกต่างจากตารางข้อมูลติดต่อทั่วไป

ขั้นตอนที่ 2: ออกแบบความยินยอมโดยชัดแจ้งเฉพาะแต่ละวัตถุประสงค์

เมื่อรู้แล้วว่าข้อมูลสุขภาพไหลเข้ามาจากช่องทางใดบ้าง ขั้นต่อไปคือออกแบบข้อความขอความยินยอมให้ตรงกับแต่ละวัตถุประสงค์แยกจากกัน เช่น ความยินยอมสำหรับใช้ข้อมูลสุขภาพพิจารณาเคลม กับความยินยอมสำหรับส่งข้อมูลให้บริษัทประกันภัยต่อ ควรเป็นคนละข้อความ ไม่รวมเป็นก้อนเดียวที่ลูกค้ากดยอมรับครั้งเดียวแล้วครอบคลุมทุกอย่าง เหตุผลคือลูกค้าต้องเข้าใจและเลือกได้ว่ายินยอมให้ใช้ข้อมูลในแต่ละกรณีจริงหรือไม่ หลักฐานที่ควรเก็บคือเวอร์ชันของแบบฟอร์มความยินยอมแต่ละช่วงเวลา พร้อมบันทึกว่าลูกค้ารายใดยินยอมข้อไหนบ้างและเมื่อใด องค์กรที่มีผลิตภัณฑ์หลายแบบ เช่น ประกันสุขภาพกลุ่มพนักงานและประกันสุขภาพส่วนบุคคล ควรตรวจว่าแต่ละผลิตภัณฑ์มีข้อความยินยอมของตัวเองที่ตรงกับลักษณะการใช้ข้อมูลจริง ไม่ใช่ใช้แบบฟอร์มชุดเดียวกันทั้งหมดเพราะสะดวกต่อฝ่ายปฏิบัติการ

ขั้นตอนที่ 3: จำกัดสิทธิ์เข้าถึงตามบทบาทของทีมสินไหมและทีมพิจารณาออกกรมธรรม์

ทีมที่ควรเข้าถึงข้อมูลสุขภาพระดับรายละเอียดมีเพียงทีมพิจารณาสินไหมและทีมพิจารณาออกกรมธรรม์ที่เกี่ยวข้องโดยตรงกับเคสนั้นเท่านั้น ทีมขาย ทีมการตลาด และทีมบริการลูกค้าทั่วไปไม่ควรเห็นเอกสารทางการแพทย์แบบเต็ม การกำหนดสิทธิ์ควรอิงบทบาทและเคสที่รับผิดชอบ ไม่ใช่ให้สิทธิ์กว้างตามตำแหน่งแผนก เพราะแม้อยู่แผนกเดียวกัน พนักงานแต่ละคนก็ไม่จำเป็นต้องเห็นข้อมูลของลูกค้าทุกรายเหมือนกัน หลักฐานที่ควรเก็บคือ log การเข้าถึงไฟล์ข้อมูลสุขภาพ ที่ระบุว่าใครเปิดไฟล์ใดเมื่อใด และควรตรวจสอบ log นี้เป็นระยะ ไม่ใช่เก็บไว้เฉยๆ โดยไม่มีใครดู องค์กรบางแห่งพบว่าพนักงานที่ลาออกไปแล้วยังมีสิทธิ์เข้าถึงระบบเคลมอยู่นานหลายเดือน เพราะขั้นตอนตัดสิทธิ์เมื่อพ้นจากตำแหน่งไม่ได้เชื่อมกับระบบทรัพยากรบุคคลโดยตรง การตรวจ log จึงควรครอบคลุมทั้งพนักงานปัจจุบันและอดีตพนักงานที่อาจยังมีบัญชีค้างอยู่ในระบบ

ขั้นตอนที่ 4: ทำสัญญาประมวลผลข้อมูลกับพันธมิตรภายนอกให้รัดกุม

องค์กรการเงินและประกันภัยมักต้องแบ่งปันข้อมูลสุขภาพกับบุคคลภายนอก เช่น บริษัทประกันภัยต่อ แพทย์ที่ปรึกษาอิสระ หรือพันธมิตรตรวจสุขภาพที่ทำสัญญาร่วมตรวจก่อนอนุมัติกรมธรรม์ สัญญากับผู้รับข้อมูลเหล่านี้ต้องระบุขอบเขตการใช้ข้อมูลสุขภาพอย่างชัดเจน มาตรการรักษาความปลอดภัยขั้นต่ำที่ต้องมี และหน้าที่แจ้งเหตุหากเกิดเหตุการณ์ผิดปกติกับข้อมูล ไม่ใช่ใช้สัญญาธุรกิจแบบมาตรฐานที่พูดถึงการรักษาความลับแบบกว้างๆ เพียงประโยคเดียว หลักฐานที่ควรเก็บคือรายชื่อพันธมิตรทั้งหมดที่เคยได้รับข้อมูลสุขภาพ พร้อมวันที่ทำสัญญาและวันที่ทบทวนล่าสุด กรณีที่มักถูกมองข้ามคือแพทย์ที่ปรึกษาอิสระที่รับงานเป็นครั้งคราว ไม่ได้เป็นพนักงานประจำและไม่ได้ผ่านกระบวนการทำสัญญาแบบเดียวกับพันธมิตรรายใหญ่ องค์กรควรมีสัญญาหรือข้อตกลงรักษาความลับที่ครอบคลุมข้อมูลสุขภาพกับบุคคลกลุ่มนี้ด้วย แม้จะเป็นงานระยะสั้นก็ตาม

ขั้นตอนที่ 5: กำหนดกรอบเวลาการเก็บเอกสารทางการแพทย์ให้ชัดเจน

เอกสารทางการแพทย์ไม่ควรใช้นโยบายเก็บเอกสารทั่วไปขององค์กรที่ตั้งไว้ตายตัว เช่น เก็บ 5 ปีเหมือนเอกสารการเงินทั่วไป แต่ควรอ้างอิงลักษณะการใช้งานจริงและกฎหมายเฉพาะที่เกี่ยวข้องกับบันทึกทางการแพทย์ประกอบการพิจารณา หากพ้นระยะเวลาที่จำเป็นแล้ว ควรมีกระบวนการทำลายหรือลบข้อมูลอย่างเป็นระบบ ไม่ใช่ปล่อยให้ค้างอยู่ในระบบเพราะไม่มีใครกำหนดผู้รับผิดชอบ หลักฐานที่ควรเก็บคือตารางอายุการเก็บข้อมูลแยกตามประเภทเอกสาร พร้อม log การทำลายข้อมูลเมื่อครบกำหนด

การกำหนดผู้รับผิดชอบและรอบตรวจสอบระบบทั้งห้าขั้นตอน

ระบบทั้งห้าขั้นตอนข้างต้นจะใช้งานได้จริงก็ต่อเมื่อมีผู้รับผิดชอบชัดเจนในแต่ละขั้นตอน ไม่ใช่ปล่อยให้เป็นหน้าที่ "ของทุกคน" ซึ่งมักกลายเป็นหน้าที่ของไม่มีใครในทางปฏิบัติ องค์กรควรกำหนดว่าฝ่ายกฎหมายหรือฝ่าย Compliance เป็นผู้ดูแลแบบฟอร์มความยินยอมและสัญญากับพันธมิตร ฝ่ายไอทีหรือความมั่นคงปลอดภัยข้อมูลเป็นผู้ดูแลสิทธิ์การเข้าถึงและ log และฝ่ายปฏิบัติการเป็นผู้ดูแลกรอบเวลาการเก็บและทำลายเอกสาร จากนั้นตั้งรอบตรวจสอบร่วมกันทุกหกเดือนเพื่อยืนยันว่าทั้งสามส่วนยังทำงานสอดคล้องกัน ไม่ใช่ต่างคนต่างทำจนเกิดช่องว่างระหว่างนโยบายกับการปฏิบัติจริง

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบ PDPA สำหรับข้อมูลสุขภาพ

ข้อผิดพลาดที่พบบ่อยที่สุดคือการเขียนนโยบายไว้อย่างดีในเอกสาร แต่ระบบปฏิบัติงานจริงยังใช้อีเมลหรือไฟล์แนบธรรมดาส่งข้อมูลสุขภาพระหว่างแผนก โดยไม่มีการเข้ารหัสหรือบันทึกการเข้าถึง อีกข้อผิดพลาดคือการให้ผู้บริหารระดับสูงมีสิทธิ์เข้าถึงข้อมูลสุขภาพของลูกค้าทุกรายโดยอัตโนมัติ ทั้งที่ไม่ได้เกี่ยวข้องกับการพิจารณาเคสนั้นโดยตรง ซึ่งขัดกับหลักความจำเป็นต้องรู้ นอกจากนี้ยังมีข้อผิดพลาดเรื่องการลืมปรับปรุงสัญญากับพันธมิตรภายนอกเมื่อเปลี่ยนผู้ให้บริการ ทำให้สัญญาฉบับเก่าที่ไม่ครอบคลุมประเด็นข้อมูลสุขภาพยังคงใช้งานอยู่โดยไม่มีใครสังเกต ข้อผิดพลาดอีกแบบที่พบในองค์กรขนาดใหญ่คือการมอบหมายให้ทีมไอทีรับผิดชอบเรื่องสิทธิ์การเข้าถึงเพียงลำพัง โดยไม่ให้ฝ่ายกฎหมายหรือฝ่ายที่เข้าใจธรรมชาติของข้อมูลสุขภาพเข้ามาร่วมออกแบบเกณฑ์การให้สิทธิ์ ผลคือระบบสิทธิ์ที่ตั้งไว้อาจตรงตามหลักความปลอดภัยไซเบอร์ทั่วไป แต่ไม่ได้สะท้อนความละเอียดอ่อนเฉพาะของข้อมูลสุขภาพที่ต้องพิจารณาแยกจากข้อมูลธุรกิจอื่น

ตัวอย่างสถานการณ์ที่มักเจอในองค์กรการเงินและประกันภัย

ลองพิจารณากรณีบริษัทประกันสุขภาพขนาดกลางแห่งหนึ่งที่เริ่มขยายผลิตภัณฑ์ไปสู่ประกันสุขภาพสำหรับพนักงานองค์กร ทีมขายองค์กรต้องการเห็นสถิติการเคลมของพนักงานแต่ละบริษัทลูกค้าเพื่อเสนอราคาต่ออายุ แต่ข้อมูลที่มีอยู่ในระบบเป็นข้อมูลรายบุคคลที่ระบุตัวตนและประวัติการรักษาโดยละเอียด หากส่งข้อมูลชุดนี้ให้ทีมขายตรงๆ จะถือเป็นการขยายวงการเข้าถึงข้อมูลสุขภาพเกินความจำเป็น ทางออกที่ถูกต้องคือให้ทีมวิเคราะห์ข้อมูลสร้างรายงานสรุปเชิงสถิติที่ไม่ระบุตัวตน เช่น อัตราการเคลมเฉลี่ยต่อพนักงานหนึ่งคน แล้วส่งเฉพาะรายงานสรุปนั้นให้ทีมขายใช้งาน แนวทางนี้ทำให้ทีมขายยังได้ข้อมูลที่ต้องใช้ทำงานจริง โดยไม่ต้องแตะข้อมูลสุขภาพรายบุคคลเลย

อีกสถานการณ์ที่พบบ่อยคือช่วงที่องค์กรทำการควบรวมกิจการหรือเปลี่ยนระบบแกนหลัก (core system) ข้อมูลสุขภาพเก่าที่เคยกระจายอยู่หลายระบบต้องถูกโยกย้ายมารวมกัน จุดนี้เป็นช่วงเวลาที่มีความเสี่ยงสูงเป็นพิเศษ เพราะทีมงานโยกย้ายข้อมูลมักเป็นทีมไอทีหรือทีมภายนอกที่ไม่ได้อยู่ในกระบวนการพิจารณาสินไหมตามปกติ องค์กรจึงควรกำหนดให้การโยกย้ายข้อมูลสุขภาพต้องผ่านการอนุมัติและมีการเข้ารหัสระหว่างการเคลื่อนย้ายเสมอ ไม่ใช่ปล่อยให้เป็นงานเทคนิคทั่วไปที่ไม่มีใครจากฝ่ายกฎหมายเข้าไปตรวจสอบ

สรุป: ทำให้ระบบ PDPA สำหรับข้อมูลสุขภาพใช้งานได้จริง ไม่ใช่แค่มีนโยบาย

การวางระบบ PDPA สำหรับข้อมูลสุขภาพในองค์กรการเงินและประกันภัยต้องครบทั้งห้าขั้นตอน คือแยกข้อมูลตั้งแต่ต้นทาง ออกแบบความยินยอมเฉพาะวัตถุประสงค์ จำกัดสิทธิ์เข้าถึงตามบทบาท ทำสัญญากับพันธมิตรให้รัดกุม และกำหนดกรอบเวลาการเก็บที่ชัดเจน แต่ละขั้นตอนต้องมีหลักฐานประกอบ เพราะเมื่อถึงเวลาตรวจสอบ สิ่งที่พิสูจน์ได้คือหลักฐานจริง ไม่ใช่คำอธิบายด้วยปากเปล่าว่าองค์กรทำถูกต้องแล้ว

แหล่งข้อมูลอ้างอิงและการตรวจสอบเพิ่มเติม

ควรอ้างอิงแนวปฏิบัติจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก และอ่านภาพรวมเพิ่มเติมที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรมของ trusty ประกอบกับ คู่มือภาพรวม PDPA สำหรับธุรกิจสุขภาพในบริบทองค์กรการเงินและประกันภัย และหากต้องการอัปเดตสิ่งที่ต้องทบทวนในปี 2026 สามารถดูต่อได้ที่ อัปเดต PDPA สำหรับธุรกิจสุขภาพ ปี 2026 สำหรับองค์กรการเงินและประกันภัย