PDPA สำหรับธุรกิจสุขภาพ คืออะไร? คู่มือสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

PDPA สำหรับธุรกิจสุขภาพคือกรอบการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่เข้มงวดกว่าปกติ เพราะข้อมูลสุขภาพถูกจัดเป็นข้อมูลอ่อนไหว ต้องอาศัยความยินยอมโดยชัดแจ้งสำหรับการประมวลผลส่วนใหญ่ ต้องจำกัดสิทธิ์เข้าถึงตามหน้าที่ในหมู่บุคลากรคลินิก ต้องควบคุมการแชร์ข้อมูลกับแล็บ บริษัทประกัน และแพทย์เฉพาะทาง ต้องกำหนดระยะเวลาเก็บรักษาตามกฎหมายเวชระเบียน และต้องเตรียมแผนรับมือเหตุละเมิดข้อมูลไว้ล่วงหน้าเพราะผลกระทบต่อคนไข้สูงกว่าข้อมูลทั่วไป

คลินิกและโรงพยาบาลที่เก็บข้อมูลคนไข้อยู่ทุกวัน แต่ยังไม่มีระบบ PDPA ที่ออกแบบมาเฉพาะสำหรับข้อมูลสุขภาพ กำลังแบกความเสี่ยงที่มองไม่เห็นอยู่ทุกวินาที ปัญหาไม่ได้อยู่ที่ว่าคลินิกไม่สนใจเรื่องนี้ แต่อยู่ที่ว่าหลายแห่งยังใช้แนวทาง PDPA แบบเดียวกับที่ใช้กับข้อมูลลูกค้าทั่วไป ทั้งที่ข้อมูลสุขภาพต้องการมาตรฐานที่สูงกว่านั้นมาก บทความนี้เป็นคู่มือภาพรวมที่รวบรวมทุกส่วนสำคัญของ PDPA สำหรับธุรกิจสุขภาพไว้ในที่เดียว เพื่อให้ทีมงานคลินิกเห็นภาพรวมทั้งระบบก่อนลงลึกในแต่ละหัวข้อ

ทำไมข้อมูลสุขภาพจึงเป็น "ข้อมูลอ่อนไหว" ที่กฎหมายคุ้มครองเข้มกว่า

กฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทยจัดข้อมูลสุขภาพให้อยู่ในหมวดข้อมูลอ่อนไหว (sensitive personal data) ซึ่งเป็นคนละหมวดกับข้อมูลทั่วไปอย่างชื่อ ที่อยู่ หรือเบอร์โทรศัพท์ เหตุผลคือข้อมูลสุขภาพเปิดเผยเรื่องส่วนตัวในระดับที่กระทบชีวิตคนไข้ได้จริงหากรั่วไหล ไม่ว่าจะเป็นประวัติโรคประจำตัว ผลตรวจแล็บ ประวัติการใช้ยา บันทึกการวินิจฉัย หรือข้อมูลการเคลมประกันสุขภาพ การจัดหมวดนี้ส่งผลโดยตรงต่อวิธีที่คลินิกต้องขอความยินยอม จำกัดการเข้าถึง และกำหนดระยะเวลาการเก็บรักษา ซึ่งทั้งหมดเข้มงวดกว่าข้อมูลลูกค้าทั่วไปของธุรกิจประเภทอื่น

ข้อมูลอะไรบ้างที่ถือว่าเป็นข้อมูลสุขภาพอ่อนไหว

นอกจากประวัติการรักษาโดยตรง ยังรวมถึงข้อมูลที่ดูเหมือนไม่ใช่ข้อมูลทางการแพทย์โดยตรงแต่เชื่อมโยงกับสุขภาพ เช่น ข้อมูลการนัดหมายกับแพทย์เฉพาะทางบางสาขาที่บ่งบอกอาการ ข้อมูลการเบิกจ่ายประกันสุขภาพ หรือแม้แต่ข้อมูลการเข้ารับคำปรึกษาด้านสุขภาพจิต คลินิกควรพิจารณาข้อมูลเหล่านี้ในระดับการคุ้มครองเดียวกับเวชระเบียนหลัก ไม่ใช่แยกไปปฏิบัติแบบข้อมูลทั่วไปเพราะดูเหมือนเป็นแค่ข้อมูลนัดหมาย

ต่างจากข้อมูลลูกค้าทั่วไปของธุรกิจอื่นอย่างไร

ร้านค้าออนไลน์อาจอาศัยฐานประโยชน์โดยชอบด้วยกฎหมายในการส่งอีเมลการตลาดถึงลูกค้าเก่า แต่คลินิกไม่สามารถใช้ตรรกะเดียวกันกับข้อมูลสุขภาพได้ เพราะกฎหมายวางบาร์การคุ้มครองข้อมูลอ่อนไหวไว้สูงกว่า การนำแนวทางของธุรกิจทั่วไปมาใช้ทั้งดุ้นโดยไม่ปรับให้เข้มขึ้นจึงเป็นความเข้าใจผิดที่พบได้บ่อยในทีมงานที่เพิ่งเริ่มทำ PDPA อย่างจริงจัง

ความยินยอมโดยชัดแจ้ง: หัวใจของการประมวลผลข้อมูลสุขภาพ

สำหรับข้อมูลทั่วไป ธุรกิจสามารถอ้างฐานทางกฎหมายอื่นได้ในบางกรณี เช่น ประโยชน์โดยชอบด้วยกฎหมาย แต่สำหรับข้อมูลสุขภาพ การประมวลผลส่วนใหญ่ต้องอาศัยความยินยอมโดยชัดแจ้งจากคนไข้ หมายความว่าฟอร์มยินยอมทั่วไปที่ครอบคลุมทุกอย่างในใบเดียวมักไม่เพียงพอ คลินิกควรแยกความยินยอมตามวัตถุประสงค์ เช่น การรักษาโดยตรง การส่งข้อมูลให้แล็บภายนอก การแชร์ข้อมูลให้บริษัทประกันเพื่อเคลมสิทธิ์ และการติดต่อทางการตลาด โดยให้คนไข้เลือกยินยอมเป็นรายข้อ ไม่ใช่เหมารวมทั้งหมดในครั้งเดียว

การจำกัดสิทธิ์เข้าถึงตามหลัก Need-to-Know

บุคลากรในคลินิกแต่ละตำแหน่งควรเห็นเฉพาะข้อมูลที่จำเป็นต่องานของตนเอง พนักงานต้อนรับไม่จำเป็นต้องเห็นผลแล็บละเอียด พยาบาลแผนกหนึ่งไม่จำเป็นต้องเข้าถึงประวัติของคนไข้แผนกอื่นที่ไม่เกี่ยวข้องกับงานตน ระบบเวชระเบียนอิเล็กทรอนิกส์ที่ดีควรตั้งค่าสิทธิ์แบบแบ่งชั้นตามหน้าที่ และเก็บบันทึกการเข้าถึงไว้เป็นหลักฐานว่าใครเปิดดูข้อมูลของคนไข้รายไหนเมื่อใด เพื่อให้สามารถตรวจสอบย้อนหลังได้หากเกิดข้อสงสัย

สิทธิ์เข้าถึงต้องปรับเมื่อพนักงานเปลี่ยนตำแหน่งหรือลาออก

ปัญหาที่พบบ่อยคือคลินิกตั้งสิทธิ์เข้าถึงไว้ตอนพนักงานเริ่มงาน แต่ไม่เคยทบทวนอีกเลยแม้พนักงานจะย้ายแผนกหรือลาออกไปแล้ว บัญชีเก่าที่ยังเปิดใช้งานได้กลายเป็นช่องโหว่ที่ไม่มีใครสังเกตเห็น ทีมงานควรกำหนดขั้นตอนตรวจสอบและปิดสิทธิ์เข้าถึงทันทีเมื่อมีการเปลี่ยนตำแหน่งหรือพ้นสภาพพนักงาน เป็นส่วนหนึ่งของกระบวนการมาตรฐาน ไม่ใช่ทำเฉพาะเมื่อมีคนมาทักท้วง

การแชร์ข้อมูลกับแล็บ บริษัทประกัน และแพทย์เฉพาะทาง

คลินิกแทบทุกแห่งต้องส่งต่อข้อมูลคนไข้ให้บุคคลภายนอกในบางจุด ไม่ว่าจะส่งตัวอย่างเลือดไปตรวจที่แล็บ ส่งข้อมูลเคลมให้บริษัทประกัน หรือส่งตัวคนไข้ไปพบแพทย์เฉพาะทางต่อ ทุกครั้งที่มีการแชร์ข้อมูลลักษณะนี้ คลินิกควรมีข้อตกลงประมวลผลข้อมูลเป็นลายลักษณ์อักษรกับคู่สัญญานั้น ระบุขอบเขตการใช้ข้อมูล ระยะเวลาการเก็บ และการทำลายข้อมูลหลังใช้งานเสร็จ ไม่ใช่ส่งเวชระเบียนทั้งแฟ้มไปโดยไม่มีข้อจำกัดใด ๆ กำกับ

ตรวจสอบคู่สัญญาก่อนเริ่มส่งข้อมูลจริง ไม่ใช่หลังเกิดปัญหาแล้ว

ก่อนเลือกแล็บภายนอกหรือระบบซอฟต์แวร์ที่ใช้ประมวลผลข้อมูลคนไข้ ทีมงานควรตรวจสอบมาตรการรักษาความปลอดภัยของคู่สัญญานั้นก่อนเซ็นสัญญา ไม่ใช่รอให้เกิดเหตุก่อนแล้วค่อยถามย้อนหลังว่าคู่สัญญาปกป้องข้อมูลอย่างไร การตรวจสอบล่วงหน้าเช่นนี้ช่วยให้คลินิกเลือกคู่สัญญาที่มีมาตรฐานสอดคล้องกับความอ่อนไหวของข้อมูลที่ส่งไป

ระยะเวลาการเก็บรักษาที่ผูกกับกฎหมายเวชระเบียน ไม่ใช่นโยบายทั่วไป

ข้อมูลสุขภาพมักต้องเก็บรักษานานกว่าข้อมูลธุรกรรมทั่วไปมาก เพราะผูกกับระเบียบว่าด้วยการเก็บรักษาเวชระเบียนที่เกี่ยวข้องกับประเภทของสถานพยาบาล คลินิกควรตรวจสอบระเบียบที่ใช้บังคับกับตนเองโดยตรง แล้วนำมากำหนดเป็นนโยบายเก็บรักษาและทำลายข้อมูลที่ชัดเจน แทนที่จะใช้นโยบายเก็บข้อมูลทั่วไปแบบเดียวกับที่ใช้กับข้อมูลลูกค้าทั่วไปของธุรกิจประเภทอื่น

ความเสี่ยงจากการรั่วไหลของข้อมูลสุขภาพสูงกว่าข้อมูลทั่วไป

หากข้อมูลสุขภาพรั่วไหล ผลกระทบต่อคนไข้มักรุนแรงกว่าข้อมูลทั่วไปมาก อาจกระทบโอกาสการทำงาน การขอสินเชื่อ หรือความสัมพันธ์ส่วนตัว คลินิกจึงควรเตรียมแผนตอบสนองเหตุการณ์ไว้ล่วงหน้า ระบุผู้รับผิดชอบชัดเจน กำหนดกรอบเวลาการแจ้งเหตุ และวางแนวทางสื่อสารกับคนไข้ที่ได้รับผลกระทบ การมีมาตรการป้องกันที่ดีช่วยลดโอกาสเกิดเหตุ แต่ไม่มีระบบใดที่ทำให้ความเสี่ยงจากข้อมูลอ่อนไหวหมดไปอย่างสิ้นเชิง ต้องยอมรับว่าความเสี่ยงยังคงมีอยู่เสมอไม่ว่าจะป้องกันดีเพียงใด

ซ้อมแผนตอบสนองเหตุการณ์อย่างน้อยปีละครั้ง

แผนที่เขียนไว้บนกระดาษเฉย ๆ มักใช้งานไม่ได้จริงเมื่อเกิดเหตุฉุกเฉิน ทีมงานควรจำลองสถานการณ์เสมือนจริง เช่น สมมติว่าแล็ปท็อปที่มีข้อมูลคนไข้หายจากรถ แล้วให้ผู้รับผิดชอบแต่ละคนซ้อมขั้นตอนที่ต้องทำจริง เพื่อให้เมื่อเกิดเหตุจริง ทุกคนรู้บทบาทของตนโดยไม่ต้องเสียเวลาตัดสินใจกลางสถานการณ์ที่กดดันอยู่แล้ว

ทำความรู้จักเอกสารประกอบสี่ประเภทที่ต้องมี

เพื่อให้เห็นภาพรวมว่าคลินิกที่วางระบบ PDPA อย่างจริงจังต้องมีเอกสารอะไรบ้าง ให้ไล่ตามตารางด้านล่างนี้

ขั้นตอนถัดไปสำหรับคลินิกที่ต้องการลงมือทำจริง

คู่มือฉบับนี้เป็นภาพรวม หากทีมงานต้องการลงมือปฏิบัติจริงแบบเป็นขั้นตอน สามารถอ่านต่อได้ที่ วิธีวางระบบ PDPA สำหรับธุรกิจสุขภาพแบบเป็นขั้นตอน หากต้องการตรวจสอบระบบที่มีอยู่แล้วว่าครบถ้วนหรือไม่ อ่านต่อได้ที่ คู่มือ Audit PDPA สำหรับธุรกิจสุขภาพ และหากต้องการรายการตรวจสอบก่อนเปิดให้บริการหรือก่อนเปลี่ยนระบบ ดูได้ที่ Checklist PDPA สำหรับธุรกิจสุขภาพ

ข้อผิดพลาดที่พบบ่อยในการทำ PDPA สำหรับธุรกิจสุขภาพ

ข้อผิดพลาดที่พบบ่อยที่สุดคือการใช้ใบยินยอมทั่วไปใบเดียวครอบคลุมทุกวัตถุประสงค์ ทำให้ไม่มีหลักฐานว่าคนไข้ยินยอมเฉพาะเรื่องใดจริง รองลงมาคือการให้พนักงานทุกตำแหน่งเข้าถึงเวชระเบียนได้เท่ากันโดยไม่แบ่งสิทธิ์ตามหน้าที่ อีกข้อคือการส่งข้อมูลให้แล็บหรือบริษัทประกันโดยไม่มีข้อตกลงประมวลผลข้อมูลกำกับเป็นลายลักษณ์อักษร และข้อผิดพลาดที่มักถูกมองข้ามคือการไม่มีแผนรับมือเหตุละเมิดข้อมูลไว้ล่วงหน้า ทำให้เมื่อเกิดเหตุจริงต้องตัดสินใจภายใต้ความกดดันโดยไม่มีแนวทางชัดเจนรองรับ

สรุป: ภาพรวมทั้งระบบของ PDPA สำหรับธุรกิจสุขภาพ

สาระสำคัญของ PDPA สำหรับธุรกิจสุขภาพอยู่ที่การยอมรับว่าข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวที่ต้องการมาตรฐานสูงกว่าข้อมูลลูกค้าทั่วไปในทุกมิติ ตั้งแต่การขอความยินยอม การจำกัดสิทธิ์เข้าถึง การควบคุมการแชร์ข้อมูลกับคู่สัญญาภายนอก การกำหนดระยะเวลาเก็บรักษา จนถึงการเตรียมแผนรับมือเหตุละเมิดข้อมูล คลินิกที่เริ่มต้นจากความเข้าใจนี้จะวางระบบได้ตรงจุดกว่าการก็อปปี้แนวทาง PDPA ของธุรกิจทั่วไปมาใช้ทั้งดุ้น งานนี้ไม่ใช่โครงการทำครั้งเดียวจบ แต่เป็นระบบที่ต้องทบทวนเป็นระยะทุกครั้งที่บริการหรือคู่สัญญาของคลินิกเปลี่ยนแปลงไป

แหล่งข้อมูลอ้างอิง

ทีมงานคลินิกควรติดตามแนวปฏิบัติล่าสุดจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง เนื่องจากแนวปฏิบัติเกี่ยวกับข้อมูลสุขภาพในฐานะข้อมูลอ่อนไหวอาจมีการปรับปรุงเป็นระยะ การอ้างอิงแหล่งทางการช่วยให้มั่นใจว่านโยบายภายในของคลินิกสอดคล้องกับข้อกำหนดปัจจุบัน ดูภาพรวมหมวดหมู่ธุรกิจอื่น ๆ เพิ่มเติมได้ที่ ศูนย์รวมความรู้ธุรกิจและอุตสาหกรรม