วิธี Audit PDPA สำหรับธุรกิจสุขภาพ ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

การ Audit PDPA สำหรับธุรกิจสุขภาพต้องตรวจอย่างน้อย 5 หมวด คือ ฐานความยินยอมสำหรับข้อมูลสุขภาพที่เป็นข้อมูลอ่อนไหว การควบคุมสิทธิ์เข้าถึงตามหลัก need-to-know การส่งข้อมูลให้แล็บ บริษัทประกัน หรือแพทย์ผู้ส่งต่อ ความพร้อมแจ้งเหตุละเมิด และระยะเวลาเก็บรักษาที่ผูกกับกฎหมายเวชระเบียน แต่ละหมวดควรมีหลักฐานเป็นเอกสารเก็บไว้ ไม่ใช่แค่ความเข้าใจปากเปล่าของทีมงาน

เจ้าหน้าที่ธุรการของคลินิกแห่งหนึ่งเปิดหน้าจอระบบ HIS เพื่อค้นประวัติคนไข้ตามที่พยาบาลขอความช่วยเหลือทางโทรศัพท์ แต่ระบบเปิดให้เห็นทั้งประวัติการรักษา ผลแล็บ และประวัติการเบิกประกันของคนไข้รายอื่นที่ไม่เกี่ยวข้องด้วย เพราะบัญชีผู้ใช้ของธุรการยังตั้งสิทธิ์แบบเปิดกว้างตั้งแต่วันแรกที่เข้างาน ไม่มีใครเคยจำกัดสิทธิ์ตามแผนกอีกเลย นี่คือภาพที่การ Audit PDPA ต้องจับให้ได้ก่อนที่จะกลายเป็นเหตุละเมิดข้อมูลสุขภาพจริง เพราะข้อมูลสุขภาพถูกจัดเป็นข้อมูลอ่อนไหวตาม PDPA ซึ่งมีมาตรฐานการคุ้มครองสูงกว่าข้อมูลลูกค้าทั่วไปอย่างชื่อหรือเบอร์โทรศัพท์

ทำไมข้อมูลสุขภาพต้องผ่านมาตรฐานที่สูงกว่าข้อมูลทั่วไป

ประวัติการรักษา ผลตรวจวินิจฉัย ข้อมูลการใช้ยา และข้อมูลการเบิกประกันสุขภาพ ล้วนจัดอยู่ในหมวดข้อมูลอ่อนไหวที่กฎหมายไทยกำหนดเงื่อนไขการเก็บรวบรวมและใช้งานที่เข้มกว่าข้อมูลส่วนบุคคลทั่วไป ฐานทางกฎหมายที่ใช้ได้บ่อยที่สุดสำหรับข้อมูลประเภทนี้คือความยินยอมโดยชัดแจ้ง ไม่ใช่ฐานผลประโยชน์อันชอบด้วยกฎหมายแบบที่ธุรกิจทั่วไปอาจใช้ได้กับข้อมูลลูกค้าทั่วไป การ Audit จึงต้องเริ่มจากการตรวจว่าแบบฟอร์มยินยอมของคลินิกหรือโรงพยาบาลระบุวัตถุประสงค์ชัดเจนพอหรือไม่ และคนไข้เข้าใจจริงว่ากำลังยินยอมให้ใช้ข้อมูลอะไรบ้าง

ทีมผู้ดูแลข้อมูลควรตรวจทุกจุดที่ข้อมูลสุขภาพไหลผ่าน ตั้งแต่จุดรับคนไข้ใหม่ จุดซักประวัติ จุดตรวจรักษา จุดจ่ายยา ไปจนถึงจุดเบิกประกันและจุดส่งต่อผู้ป่วยไปยังแพทย์เฉพาะทางอื่น แต่ละจุดมีความเสี่ยงต่างกัน และแต่ละจุดควรมีเจ้าของงานที่รับผิดชอบชัดเจนแทนที่จะปล่อยให้เป็น "หน้าที่ของทุกคน" ซึ่งมักแปลว่าไม่มีใครรับผิดชอบจริง

อีกประเด็นที่ทีมผู้บริหารคลินิกมักมองข้ามคือความแตกต่างระหว่าง "ข้อมูลส่วนบุคคลทั่วไป" กับ "ข้อมูลอ่อนไหว" ในทางปฏิบัติ ชื่อ ที่อยู่ และเบอร์โทรของคนไข้ยังคงต้องได้รับการคุ้มครองตามมาตรฐานทั่วไป แต่เมื่อข้อมูลเหล่านั้นถูกโยงเข้ากับการวินิจฉัยโรค ผลตรวจเลือด หรือประวัติการใช้ยา ข้อมูลชุดนั้นทั้งก้อนจะยกระดับเป็นข้อมูลอ่อนไหวไปโดยปริยาย เพราะสามารถเปิดเผยสภาวะสุขภาพของบุคคลได้ การ Audit ที่ดีจึงต้องมองข้อมูลเป็นชุดความสัมพันธ์ ไม่ใช่แยกทีละฟิลด์ เพราะการรวมกันของข้อมูลที่ดูธรรมดาหลายชิ้นอาจกลายเป็นข้อมูลอ่อนไหวได้ในบริบทของธุรกิจสุขภาพ

ขอบเขตของการ Audit PDPA สำหรับธุรกิจสุขภาพ

ขอบเขตที่ควรครอบคลุมในรอบ Audit หนึ่งครั้งของคลินิกหรือโรงพยาบาล มีอย่างน้อยดังนี้: เวชระเบียนกระดาษและดิจิทัล ระบบนัดหมายที่เก็บชื่อและอาการเบื้องต้น ระบบเรียกเก็บเงินที่โยงกับประวัติการรักษา ช่องทางสื่อสารกับคนไข้ เช่น LINE OA หรือ SMS แจ้งผลตรวจ และสัญญากับผู้ให้บริการภายนอกอย่างแล็บตรวจ บริษัทประกันสุขภาพ หรือแพลตฟอร์มเทคโนโลยีสุขภาพที่คลินิกใช้บริหารข้อมูลคนไข้

สิ่งที่มักถูกมองข้ามคือกล้องวงจรปิดในพื้นที่ตรวจรักษาหรือห้องพักฟื้น ซึ่งอาจบันทึกภาพคนไข้ในสภาพที่ละเอียดอ่อน และสมุดบันทึกที่เจ้าหน้าที่จดชื่อคนไข้พร้อมอาการไว้บนโต๊ะทำงานเพื่อความสะดวก ทั้งสองจุดนี้เป็นแหล่งรั่วไหลที่พบบ่อยแต่ไม่ค่อยถูกนับรวมเป็นส่วนหนึ่งของระบบข้อมูลสุขภาพอย่างเป็นทางการ

ก่อนเริ่ม Audit จริง ทีมผู้ดูแลข้อมูลควรทำแผนที่การไหลของข้อมูล หรือ data flow map อย่างคร่าวๆ ก่อน เพื่อให้เห็นภาพว่าข้อมูลคนไข้เดินทางผ่านระบบและคนกี่จุดกว่าจะถึงมือแพทย์ผู้รักษาจริง แผนที่นี้ไม่จำเป็นต้องซับซ้อน อาจเริ่มจากการวาดผังง่ายๆ บนกระดาษว่าข้อมูลเข้ามาทางไหน เก็บอยู่ที่ไหน ใครเป็นคนเห็น และส่งต่อไปที่ไหนบ้าง เมื่อมีแผนที่นี้แล้ว การกำหนดขอบเขตของรอบ Audit จะทำได้แม่นยำกว่าการนึกเอาเองว่าจุดไหนสำคัญ

ขั้นตอน Audit ทีละหมวด

หมวดที่หนึ่ง ตรวจฐานความยินยอม: สุ่มดูแบบฟอร์มยินยอมที่คนไข้ลงชื่อในช่วง 6 เดือนล่าสุด เทียบกับวัตถุประสงค์การใช้ข้อมูลจริงที่ระบบหลังบ้านทำอยู่ ถ้าคลินิกเริ่มใช้ข้อมูลเพื่อการตลาดหรือส่งโปรโมชันแต่แบบฟอร์มเดิมไม่ได้ระบุไว้ ต้องปรับปรุงทันที นอกจากนี้ควรสัมภาษณ์เจ้าหน้าที่หน้าเคาน์เตอร์สั้นๆ ว่าถ้าคนไข้ถามว่าข้อมูลของตนจะถูกใช้ทำอะไรบ้าง เจ้าหน้าที่ตอบได้ตรงกับที่เขียนในแบบฟอร์มหรือไม่ เพราะบ่อยครั้งที่แบบฟอร์มเขียนถูกแต่คนหน้างานเข้าใจคลาดเคลื่อน

หมวดที่สอง ตรวจสิทธิ์การเข้าถึงตามหลัก need-to-know: ดึงรายชื่อผู้ใช้งานระบบ HIS หรือ EMR ทั้งหมด แล้วเทียบกับตำแหน่งงานจริง เจ้าหน้าที่ธุรการไม่ควรเห็นผลแล็บละเอียด พยาบาลแผนกหนึ่งไม่ควรเปิดประวัติคนไข้แผนกอื่นได้โดยไม่มีเหตุผลทางการรักษา และบัญชีพนักงานที่ลาออกแล้วต้องถูกปิดใช้งานทันที ไม่ใช่รอรอบตรวจครั้งถัดไป ควรตรวจด้วยว่าระบบมี log การเข้าดูข้อมูลรายบุคคลหรือไม่ เพราะถ้าเกิดกรณีข้อมูลรั่วไหล log นี้คือหลักฐานเดียวที่จะบอกได้ว่าใครเข้าถึงข้อมูลส่วนไหนไปบ้างและเมื่อไหร่

หมวดที่สาม ตรวจการแบ่งปันข้อมูลกับบุคคลภายนอก: ตรวจสัญญาหรือข้อตกลงประมวลผลข้อมูลกับแล็บตรวจภายนอก บริษัทประกันที่รับเคลมสิทธิ์ประกันสุขภาพ แพทย์ผู้รับส่งต่อ และผู้ให้บริการซอฟต์แวร์สุขภาพที่คลินิกจ้างดูแลระบบ ต้องมีการระบุว่าผู้รับข้อมูลเหล่านี้จะใช้ข้อมูลเพื่ออะไร เก็บนานแค่ไหน และมีมาตรการความปลอดภัยระดับใด หากคลินิกใช้แพลตฟอร์มเทคโนโลยีสุขภาพของผู้ให้บริการภายนอกในการบริหารคิวและเวชระเบียน ควรขอเอกสารยืนยันมาตรการรักษาความปลอดภัยของผู้ให้บริการรายนั้นมาเก็บไว้ประกอบการ Audit ด้วย ไม่ใช่เชื่อคำโฆษณาบนเว็บไซต์ของผู้ให้บริการเพียงอย่างเดียว

หมวดที่สี่ ตรวจความพร้อมแจ้งเหตุละเมิด: เพราะข้อมูลสุขภาพรั่วไหลสร้างความเสียหายต่อเจ้าของข้อมูลรุนแรงกว่าข้อมูลทั่วไป การมีขั้นตอนแจ้งเหตุที่ชัดเจนและซ้อมใช้งานจริงจึงสำคัญ แต่ต้องเข้าใจว่าไม่มีมาตรการความปลอดภัยชุดใดที่ทำให้ความเสี่ยงรั่วไหลเป็นศูนย์ได้อย่างสมบูรณ์ สิ่งที่ทำได้คือลดโอกาสเกิดเหตุและลดความเสียหายเมื่อเกิดเหตุขึ้นจริง

หมวดที่ห้า ตรวจระยะเวลาการเก็บรักษา: เวชระเบียนมีกำหนดเวลาเก็บรักษาตามระเบียบด้านการแพทย์ที่แยกต่างหากจากนโยบายเก็บข้อมูลทั่วไปของธุรกิจ การ Audit ต้องตรวจว่าคลินิกมีนโยบายลบหรือทำลายข้อมูลเมื่อพ้นกำหนดจริงหรือไม่ หรือปล่อยให้ข้อมูลเก่าค้างอยู่ในระบบโดยไม่มีเหตุผลทางกฎหมายรองรับ

ใครควรอยู่ในทีม Audit และควรใช้เวลานานแค่ไหน

ทีม Audit ที่ดีของคลินิกหรือโรงพยาบาลควรมีตัวแทนอย่างน้อยสามฝ่าย คือฝ่ายไอทีหรือผู้ดูแลระบบ ฝ่ายคลินิกที่สัมผัสข้อมูลคนไข้โดยตรงอย่างพยาบาลหรือธุรการหน้างาน และฝ่ายบริหารที่มีอำนาจตัดสินใจปรับนโยบายเมื่อพบช่องโหว่ ถ้าขาดฝ่ายใดฝ่ายหนึ่งไป การ Audit มักจบแค่การตรวจเอกสารแต่ไม่นำไปสู่การแก้ไขจริงในทางปฏิบัติ สำหรับคลินิกขนาดกลาง การ Audit เต็มรูปแบบทั้ง 5 หมวดมักใช้เวลาราวหนึ่งถึงสองสัปดาห์ ขึ้นอยู่กับจำนวนระบบและคู่สัญญาภายนอกที่ต้องตรวจสอบ ส่วนโรงพยาบาลขนาดใหญ่ที่มีหลายแผนกอาจต้องแบ่งตรวจเป็นแผนกย่อยแทนที่จะทำพร้อมกันทั้งองค์กรในครั้งเดียว เพื่อให้แต่ละแผนกได้ทบทวนความเสี่ยงเฉพาะของตนเองอย่างละเอียด

ตัวอย่าง Evidence ที่ควรเก็บไว้ในแต่ละหมวด

สำหรับหมวดความยินยอม ควรเก็บสำเนาแบบฟอร์มที่ลงชื่อแล้วพร้อมวันที่ และ log การอัปเดตแบบฟอร์มทุกครั้งที่มีการแก้ไขวัตถุประสงค์ สำหรับหมวดสิทธิ์เข้าถึง ควรเก็บรายงานสิทธิ์ผู้ใช้งานระบบที่ export ออกมาทุกไตรมาส พร้อมบันทึกการปิดบัญชีพนักงานที่ลาออก สำหรับหมวดการแบ่งปันข้อมูล ควรเก็บสำเนาข้อตกลงประมวลผลข้อมูลกับคู่สัญญาทุกราย สำหรับหมวดแจ้งเหตุละเมิด ควรเก็บบันทึกการซ้อมแผนรับมือเหตุการณ์ และสำหรับหมวดการเก็บรักษา ควรเก็บบันทึกการทำลายเอกสารหรือลบข้อมูลที่พ้นกำหนดพร้อมวันที่ดำเนินการ

เอกสารเหล่านี้ไม่ได้มีไว้เพื่อโชว์ในวันตรวจเท่านั้น แต่เป็นสิ่งที่ทีมผู้ดูแลข้อมูลควรใช้ทบทวนตัวเองระหว่างรอบ Audit ด้วย เพราะการ Audit ที่ดีที่สุดคือการที่ทีมงานรู้สึกว่าเอกสารพวกนี้มีประโยชน์จริงในการทำงาน ไม่ใช่ภาระเอกสารที่ทำแล้ววางทิ้งไว้ ลองดูตัวอย่างขั้นตอนที่เป็นระบบเพิ่มเติมได้ที่ คู่มือวางระบบ PDPA สำหรับธุรกิจสุขภาพแบบเป็นขั้นตอน

ข้อผิดพลาดที่พบบ่อยระหว่างการ Audit

ข้อผิดพลาดแรกคือการตรวจเฉพาะระบบดิจิทัลแล้วข้ามเวชระเบียนกระดาษหรือสมุดบันทึกหน้างานไปทั้งหมด ข้อผิดพลาดที่สองคือให้ทีมไอทีเป็นผู้ทำ Audit เพียงลำพังโดยไม่ดึงทีมคลินิกที่สัมผัสข้อมูลคนไข้จริงเข้ามาร่วม ทำให้มองข้ามความเสี่ยงหน้างานที่ระบบมองไม่เห็น ข้อผิดพลาดที่สามคือตรวจครั้งเดียวตอนเริ่มโครงการแล้วไม่ทบทวนซ้ำ ทั้งที่ความเสี่ยงเปลี่ยนทุกครั้งที่มีพนักงานใหม่ ระบบใหม่ หรือคู่สัญญาใหม่เข้ามา และข้อผิดพลาดที่สี่คือเข้าใจผิดว่าการมีนโยบายเป็นลายลักษณ์อักษรเท่ากับปฏิบัติจริง ทั้งที่การ Audit ต้องพิสูจน์ด้วยหลักฐานว่าสิ่งที่เขียนไว้ในนโยบายเกิดขึ้นจริงในการทำงานประจำวัน ข้อผิดพลาดที่ห้าคือมองว่าผู้ให้บริการภายนอก เช่น แล็บตรวจหรือแพลตฟอร์มเทคโนโลยีสุขภาพ เป็นผู้รับผิดชอบข้อมูลทั้งหมดแทนคลินิกไปเลย ทั้งที่คลินิกในฐานะผู้เก็บรวบรวมข้อมูลเดิมยังมีหน้าที่ตรวจสอบว่าคู่สัญญาเหล่านั้นมีมาตรการที่เหมาะสมจริง ไม่ใช่ปล่อยผ่านเพียงเพราะมีสัญญาเป็นลายลักษณ์อักษร

สรุปแนวทาง Audit PDPA สำหรับธุรกิจสุขภาพ

การ Audit PDPA สำหรับคลินิกหรือโรงพยาบาลต่างจากธุรกิจทั่วไปตรงที่ข้อมูลที่จัดการเป็นข้อมูลอ่อนไหว มาตรฐานการตรวจจึงต้องละเอียดกว่า ทั้งเรื่องฐานความยินยอม การควบคุมสิทธิ์เข้าถึง การแบ่งปันข้อมูลกับบุคคลภายนอก ความพร้อมแจ้งเหตุละเมิด และระยะเวลาเก็บรักษาที่ผูกกับกฎหมายเวชระเบียน ทีมงานควรทำ Audit เป็นรอบสม่ำเสมอ ไม่ใช่ทำครั้งเดียวแล้วจบ และเก็บหลักฐานทุกหมวดไว้ให้ตรวจสอบย้อนหลังได้จริง ดูภาพรวมทั้งหมดของหัวข้อนี้ได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม ของ trusty

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ทีมงานคลินิกและโรงพยาบาลควรติดตามประกาศและแนวปฏิบัติล่าสุดจากเว็บไซต์ PDPC โดยตรง เพราะรายละเอียดเชิงปฏิบัติอาจมีการปรับปรุงเป็นระยะ ทีมงานที่ต้องการความชัดเจนเพิ่มเติมเกี่ยวกับขั้นตอนแจ้งเหตุละเมิดข้อมูลหรือรูปแบบข้อตกลงประมวลผลข้อมูลกับคู่สัญญา ควรปรึกษาที่ปรึกษากฎหมายที่มีความเชี่ยวชาญด้านข้อมูลสุขภาพโดยเฉพาะ เพราะบริบทของแต่ละคลินิกและโรงพยาบาลมีรายละเอียดปลีกย่อยที่แตกต่างกัน การนำแนวทางทั่วไปไปใช้ตรงๆ โดยไม่ปรับให้เข้ากับโครงสร้างองค์กรจริงอาจทำให้พลาดความเสี่ยงเฉพาะจุดที่สำคัญไปได้