วิธีวางระบบ PDPA สำหรับธุรกิจสุขภาพ สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพแบบเป็นขั้นตอน

การวางระบบ PDPA สำหรับธุรกิจสุขภาพต้องเริ่มจากยอมรับว่าข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวที่กฎหมายกำหนดมาตรฐานสูงกว่าข้อมูลลูกค้าทั่วไป ต้องมีการขอความยินยอมแบบเฉพาะเจาะจง (explicit consent) ไม่ใช่ใบยินยอมทั่วไปใบเดียว ต้องจำกัดสิทธิ์เข้าถึงตามหน้าที่ (need-to-know) ในหมู่บุคลากรคลินิกและธุรการ วางระบบแบ่งปันข้อมูลกับแล็บ บริษัทประกัน หรือแพทย์เฉพาะทางอย่างมีการควบคุม กำหนดระยะเวลาเก็บรักษาให้สอดคล้องกับกฎหมายเวชระเบียน และเตรียมแผนแจ้งเหตุละเมิดข้อมูลไว้ล่วงหน้าเพราะความเสียหายต่อคนไข้สูงกว่าข้อมูลทั่วไปมาก

คลินิกและโรงพยาบาลจำนวนไม่น้อยเชื่อว่าแค่ให้คนไข้เซ็นใบยินยอมแผ่นเดียวตอนลงทะเบียนหน้าเคาน์เตอร์ ก็เพียงพอต่อการปฏิบัติตาม PDPA แล้ว ความเข้าใจนี้พลาดตั้งแต่จุดเริ่มต้น เพราะข้อมูลสุขภาพไม่ได้ถูกจัดอยู่ในหมวดข้อมูลส่วนบุคคลทั่วไปเหมือนชื่อ ที่อยู่ หรือเบอร์โทร แต่ถูกจัดเป็นข้อมูลอ่อนไหว (sensitive personal data) ที่กฎหมายไทยวางบาร์การคุ้มครองไว้สูงกว่าอย่างชัดเจน หมายความว่าใบยินยอมกว้าง ๆ ที่เขียนว่า "ยินยอมให้เก็บและใช้ข้อมูลส่วนบุคคลเพื่อการรักษา" มักไม่ครอบคลุมสิ่งที่คลินิกทำจริงในภายหลัง เช่น การส่งผลตรวจให้แล็บภายนอก การแชร์ประวัติรักษาให้บริษัทประกันเพื่อเคลมสิทธิ์ หรือการใช้ข้อมูลเพื่อการตลาดแบบเจาะกลุ่มคนไข้เก่า

ทำไมข้อมูลสุขภาพถึงเข้มงวดกว่าข้อมูลทั่วไป

ข้อมูลสุขภาพ ไม่ว่าจะเป็นประวัติการรักษา ผลตรวจทางห้องปฏิบัติการ ประวัติการใช้ยา ข้อมูลการวินิจฉัยโรค หรือแม้แต่ข้อมูลการเคลมประกันสุขภาพ ล้วนเปิดเผยเรื่องส่วนตัวของคนคนหนึ่งในระดับที่กระทบต่อชีวิตได้จริง หากข้อมูลรั่วไหลออกไป ผลกระทบไม่ได้จำกัดแค่ความอาย แต่อาจกระทบโอกาสการทำงาน การขอสินเชื่อ หรือแม้แต่ความสัมพันธ์ในครอบครัว นี่คือเหตุผลที่กฎหมายกำหนดให้การประมวลผลข้อมูลสุขภาพส่วนใหญ่ต้องอาศัยความยินยอมโดยชัดแจ้ง ไม่ใช่แค่อ้างฐานทางกฎหมายทั่วไปแบบข้อมูลลูกค้าปกติ

ข้อมูลสุขภาพที่คลินิกต้องดูแลต่างจากข้อมูลลูกค้าทั่วไปอย่างไร

ร้านค้าออนไลน์อาจเก็บแค่ชื่อ ที่อยู่จัดส่ง และเบอร์โทร แต่คลินิกหรือโรงพยาบาลเก็บมากกว่านั้นมาก ตั้งแต่ประวัติโรคประจำตัว ผลแล็บ ภาพเอกซเรย์ ไปจนถึงบันทึกการปรึกษาทางจิตเวชในบางกรณี ข้อมูลเหล่านี้ทุกชิ้นต้องถูกปฏิบัติในระดับที่เข้มงวดกว่าข้อมูลติดต่อทั่วไป ทั้งเรื่องการขอความยินยอม การจำกัดสิทธิ์เข้าถึง และระยะเวลาการเก็บรักษา

ขั้นตอนที่ 1: ทำแผนที่ข้อมูลสุขภาพที่คลินิกเก็บจริง

ก่อนจะออกแบบฟอร์มยินยอมหรือระบบเข้าถึงใด ๆ ทีมงานต้องรู้ก่อนว่าคลินิกเก็บข้อมูลอะไรบ้าง เก็บที่ไหน ใครเข้าถึงได้ และส่งต่อให้ใครบ้าง ขั้นตอนนี้มักถูกข้ามไปเพราะดูใช้เวลา แต่ถ้าไม่ทำแผนที่ข้อมูลให้ครบ ขั้นตอนถัดไปทั้งหมดจะสร้างขึ้นบนความเข้าใจที่ไม่สมบูรณ์ ให้ไล่ตั้งแต่จุดรับคนไข้หน้าเคาน์เตอร์ ระบบเวชระเบียนอิเล็กทรอนิกส์ ห้องแล็บ ร้านยาในเครือ ไปจนถึงแผนกบัญชีที่ต้องส่งข้อมูลให้บริษัทประกัน

ขั้นตอนที่ 2: ออกแบบฟอร์มขอความยินยอมแบบเฉพาะเจาะจง

แทนที่จะใช้ใบยินยอมกว้าง ๆ ใบเดียว ให้แยกความยินยอมตามวัตถุประสงค์การใช้ข้อมูลอย่างชัดเจน เช่น ความยินยอมสำหรับการรักษาโดยตรง ความยินยอมสำหรับการส่งข้อมูลให้แล็บภายนอก ความยินยอมสำหรับการแชร์ข้อมูลให้บริษัทประกัน และความยินยอมสำหรับการติดต่อทางการตลาด แต่ละรายการควรแยกช่องทำเครื่องหมายให้คนไข้เลือกได้เองว่ายินยอมข้อไหนบ้าง ไม่ใช่บังคับให้ยอมรับทั้งหมดในครั้งเดียวเพื่อแลกกับสิทธิ์เข้ารับการรักษา

เขียนภาษาที่คนไข้เข้าใจจริง ไม่ใช่ศัพท์กฎหมาย

ฟอร์มยินยอมที่เขียนด้วยภาษากฎหมายล้วน ๆ มักทำให้คนไข้เซ็นโดยไม่เข้าใจจริงว่ากำลังยินยอมอะไร ทีมงานควรทดสอบฟอร์มกับพนักงานที่ไม่ใช่ฝ่ายกฎหมายก่อน ถามว่าอ่านแล้วเข้าใจหรือไม่ว่าข้อมูลจะถูกส่งต่อให้ใครบ้าง หากคำตอบคือไม่แน่ใจ ต้องเขียนใหม่ให้ชัดกว่าเดิม เพราะความยินยอมที่ถูกต้องตามกฎหมายต้องมาพร้อมความเข้าใจของผู้ให้ความยินยอมด้วย ไม่ใช่แค่มีลายเซ็นอยู่บนกระดาษ

ขั้นตอนที่ 3: จำกัดสิทธิ์เข้าถึงตามหน้าที่

หลักการ need-to-know หมายความว่าพนักงานแต่ละคนควรเห็นเฉพาะข้อมูลที่จำเป็นต่องานของตนเท่านั้น พนักงานต้อนรับหน้าเคาน์เตอร์ไม่จำเป็นต้องเห็นผลแล็บละเอียด พยาบาลในแผนกหนึ่งไม่จำเป็นต้องเข้าถึงประวัติการรักษาของคนไข้แผนกอื่นที่ไม่เกี่ยวข้อง ระบบเวชระเบียนอิเล็กทรอนิกส์ที่ดีควรตั้งค่าสิทธิ์แบบแบ่งชั้น (role-based access) และเก็บ log การเข้าถึงไว้เป็นหลักฐานว่าใครเปิดดูข้อมูลของคนไข้รายไหนเมื่อใด

ขั้นตอนที่ 4: วางระบบแบ่งปันข้อมูลกับแล็บ ประกัน และแพทย์เฉพาะทาง

เมื่อคลินิกต้องส่งตัวคนไข้ไปพบแพทย์เฉพาะทาง หรือส่งตัวอย่างเลือดไปตรวจที่แล็บภายนอก ต้องมีข้อตกลงการประมวลผลข้อมูล (data processing agreement) กับคู่สัญญาเหล่านั้น เพื่อกำหนดชัดเจนว่าใครรับผิดชอบอะไร ข้อมูลจะถูกลบเมื่อใดหลังใช้งานเสร็จ และห้ามนำไปใช้นอกวัตถุประสงค์ที่ตกลงกัน เช่นเดียวกับการส่งข้อมูลให้บริษัทประกันเพื่อเคลมสิทธิ์ ต้องระบุให้ชัดว่าส่งเฉพาะข้อมูลที่จำเป็นต่อการเคลมเท่านั้น ไม่ใช่ส่งเวชระเบียนทั้งแฟ้ม

ขั้นตอนที่ 5: กำหนดระยะเวลาการเก็บรักษาตามกฎหมายเวชระเบียน

ระยะเวลาการเก็บรักษาข้อมูลสุขภาพไม่ได้ผูกกับนโยบายทั่วไปของธุรกิจ แต่ต้องอิงตามกฎหมายและระเบียบว่าด้วยการเก็บรักษาเวชระเบียนที่เกี่ยวข้อง ซึ่งมักกำหนดให้เก็บนานกว่าข้อมูลธุรกรรมทั่วไปมาก คลินิกควรตรวจสอบระเบียบที่เกี่ยวข้องกับประเภทของสถานพยาบาลตนเอง แล้วนำมากำหนดเป็นนโยบายการเก็บและทำลายข้อมูลที่ชัดเจน พร้อมบันทึกเหตุผลไว้เป็นหลักฐาน

ฝึกอบรมบุคลากรให้เข้าใจว่าทำไมต้องทำแบบนี้

ระบบเอกสารและฟอร์มยินยอมที่ออกแบบมาดีแค่ไหนก็ไม่มีความหมาย ถ้าพนักงานหน้างานไม่เข้าใจว่าทำไมต้องทำตามขั้นตอน พยาบาลที่เคยชินกับการเปิดดูประวัติคนไข้ทุกแผนกเพื่อความสะดวก อาจมองว่าการจำกัดสิทธิ์เป็นเรื่องยุ่งยากเกินจำเป็น คลินิกจึงควรจัดอบรมสั้น ๆ ที่อธิบายด้วยตัวอย่างจริง เช่น กรณีข้อมูลคนไข้จิตเวชหลุดออกไปแล้วส่งผลต่อหน้าที่การงานของคนไข้ เพื่อให้บุคลากรเห็นภาพว่าเหตุใดกฎเหล่านี้จึงสำคัญ ไม่ใช่แค่ท่องจำขั้นตอนโดยไม่เข้าใจเหตุผลเบื้องหลัง

ขั้นตอนที่ 6: เตรียมแผนแจ้งเหตุละเมิดข้อมูลไว้ล่วงหน้า

เพราะข้อมูลสุขภาพมีความอ่อนไหวสูง หากเกิดเหตุข้อมูลรั่วไหล ไม่ว่าจะจากการโจมตีทางไซเบอร์หรือความผิดพลาดของบุคลากร ความเสียหายต่อคนไข้จะรุนแรงกว่าข้อมูลทั่วไปมาก คลินิกจึงควรมีแผนตอบสนองเหตุการณ์ที่ระบุชัดว่าใครเป็นผู้รับผิดชอบแจ้งเหตุ ต้องแจ้งใครภายในกี่ชั่วโมง และต้องสื่อสารกับคนไข้ที่ได้รับผลกระทบอย่างไร การมีมาตรการป้องกันที่ดีช่วยลดโอกาสเกิดเหตุได้ แต่ไม่มีระบบใดที่ทำให้ความเสี่ยงจากข้อมูลอ่อนไหวหมดไปอย่างสิ้นเชิง ความเสี่ยงยังคงมีอยู่เสมอไม่ว่าจะป้องกันดีแค่ไหน

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบ PDPA สำหรับธุรกิจสุขภาพ

ข้อผิดพลาดแรกคือการใช้ใบยินยอมทั่วไปใบเดียวครอบคลุมทุกวัตถุประสงค์ ทำให้ไม่มีหลักฐานว่าคนไข้ยินยอมเฉพาะเรื่องใดจริง ๆ ข้อผิดพลาดที่สองคือให้พนักงานทุกคนเข้าถึงระบบเวชระเบียนได้เท่ากันหมด โดยไม่แบ่งสิทธิ์ตามหน้าที่ ข้อผิดพลาดที่สามคือส่งข้อมูลให้แล็บหรือบริษัทประกันโดยไม่มีข้อตกลงเป็นลายลักษณ์อักษรกำกับ และข้อผิดพลาดที่สี่คือไม่มีแผนตอบสนองเหตุละเมิดข้อมูลไว้ล่วงหน้า ทำให้เมื่อเกิดเหตุจริงต้องตัดสินใจแบบเร่งรีบภายใต้ความกดดัน ข้อผิดพลาดที่ห้าซึ่งพบได้บ่อยไม่แพ้กันคือการมองว่างานนี้เป็นหน้าที่ของฝ่ายไอทีหรือฝ่ายกฎหมายเพียงฝ่ายเดียว ทั้งที่ในความเป็นจริงต้องอาศัยความร่วมมือจากทุกแผนกที่สัมผัสข้อมูลคนไข้ ตั้งแต่พนักงานต้อนรับ พยาบาล แพทย์ ไปจนถึงฝ่ายบัญชีที่ประสานงานกับบริษัทประกัน หากขาดความร่วมมือจากแผนกใดแผนกหนึ่ง ระบบที่วางไว้จะมีช่องโหว่ตรงจุดนั้นทันที

สรุป: เริ่มจากตรงไหนก่อน

หากทีมงานคลินิกกำลังเริ่มวางระบบ PDPA ตั้งแต่ศูนย์ ให้เริ่มจากการทำแผนที่ข้อมูลให้ครบก่อนเป็นอันดับแรก เพราะทุกขั้นตอนถัดไปต้องอาศัยความเข้าใจที่ถูกต้องว่าคลินิกเก็บอะไร เก็บที่ไหน และส่งต่อให้ใครบ้าง จากนั้นค่อยไล่ปรับฟอร์มยินยอม สิทธิ์การเข้าถึง ข้อตกลงกับคู่สัญญาภายนอก นโยบายเก็บรักษา และแผนรับมือเหตุละเมิดตามลำดับ งานนี้ไม่ใช่โครงการที่ทำครั้งเดียวจบ แต่เป็นระบบที่ต้องทบทวนเป็นระยะเมื่อบริการหรือคู่สัญญาของคลินิกเปลี่ยนไป อ่านเพิ่มเติมเกี่ยวกับการตรวจสอบระบบที่วางไว้ได้ที่ คู่มือ Audit PDPA สำหรับธุรกิจสุขภาพ และดูภาพรวมทั้งคลัสเตอร์ได้ที่ คู่มือ PDPA สำหรับธุรกิจสุขภาพฉบับเต็ม

แหล่งข้อมูลอ้างอิง

ทีมงานคลินิกควรตรวจสอบแนวปฏิบัติล่าสุดจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง เนื่องจากแนวปฏิบัติเกี่ยวกับข้อมูลสุขภาพในฐานะข้อมูลอ่อนไหวอาจมีการปรับปรุงเป็นระยะ การอ้างอิงจากแหล่งทางการช่วยให้มั่นใจได้ว่านโยบายภายในของคลินิกสอดคล้องกับข้อกำหนดล่าสุด ไม่ใช่อิงจากความเข้าใจเดิมที่อาจล้าสมัยไปแล้ว ดูรายละเอียดเพิ่มเติมเกี่ยวกับหมวดหมู่ธุรกิจอื่น ๆ ได้ที่ ศูนย์รวมความรู้ธุรกิจและอุตสาหกรรม