วิธี Audit PDPA สำหรับ HR และ Recruitment ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

การ audit PDPA ฝั่ง HR ของคลินิกและโรงพยาบาลควรทำเป็นรอบทุก 6 เดือน ครอบคลุม 4 จุด คือ ความยินยอมสำหรับข้อมูลสุขภาพของผู้สมัครและบุคลากรทางการแพทย์ ระยะเวลาเก็บและลบ CV ผู้ไม่ผ่านการคัดเลือก สิทธิ์การเข้าถึงไฟล์ HR ตามหน้าที่ และหลักฐานที่พิสูจน์ได้ว่าทำจริง เช่น log การเข้าถึงและบันทึกการลบข้อมูล

โรงพยาบาลเอกชนขนาดกลางแห่งหนึ่งเคยสุ่มตรวจแฟ้มผู้สมัครตำแหน่งพยาบาลย้อนหลังสองปี พบว่าเกือบ 4 ใน 10 แฟ้มยังมีผลตรวจสุขภาพก่อนเข้างานติดอยู่ในระบบ ทั้งที่ผู้สมัครกลุ่มนั้นไม่ผ่านการคัดเลือกไปนานแล้ว ตัวเลขนี้สะท้อนปัญหาที่พบได้ทั่วไปในธุรกิจสุขภาพ คือกระบวนการสรรหาบุคลากรทางการแพทย์มักเก็บข้อมูลสุขภาพและประวัติวิชาชีพมากกว่าธุรกิจทั่วไป แต่ระบบตรวจสอบ (audit) ที่ควรมีคู่กันกลับยังไม่ถูกวางไว้อย่างเป็นระบบ

ทำไมฝ่าย HR ของธุรกิจสุขภาพต้อง audit แยกจากธุรกิจอื่น

กระบวนการสรรหาบุคลากรของคลินิกและโรงพยาบาลมีจุดที่ต่างจากธุรกิจทั่วไปตรงที่ต้องขอข้อมูลสุขภาพของผู้สมัครเอง เช่น ผลตรวจสุขภาพก่อนเข้างาน ประวัติวัคซีน หรือในบางตำแหน่งอาจต้องตรวจสุขภาพจิตประกอบการพิจารณา ข้อมูลเหล่านี้ถือเป็นข้อมูลอ่อนไหวตาม PDPA การ audit จึงต้องตรวจลึกกว่าการตรวจแบบฟอร์มทั่วไป และต้องดูทั้งกระบวนการขอข้อมูล การเก็บรักษา และการเข้าถึงภายในองค์กร

อีกเหตุผลที่การ audit ของธุรกิจสุขภาพต้องละเอียดกว่าคือ บุคลากรทางการแพทย์เองก็เป็นทั้งผู้สมัครงานและผู้ดูแลข้อมูลผู้ป่วยในเวลาเดียวกัน หมายความว่าไฟล์ HR ของบุคลากรกลุ่มนี้อาจเชื่อมโยงกับสิทธิ์การเข้าถึงระบบข้อมูลผู้ป่วยด้วย การ audit จึงไม่ควรมองแค่ข้อมูลผู้สมัครแยกส่วน แต่ควรตรวจดูว่าสิทธิ์การเข้าถึงข้อมูลผู้ป่วยที่มอบให้บุคลากรใหม่นั้น สอดคล้องกับตำแหน่งงานจริงหรือไม่ตั้งแต่วันแรกที่เริ่มงาน

จุดที่ 1: ตรวจความยินยอมสำหรับข้อมูลสุขภาพ

เริ่มจากสุ่มตรวจแบบฟอร์มใบสมัครของตำแหน่งที่ต้องตรวจสุขภาพก่อนเข้างาน ว่ามีช่องขอความยินยอมแยกสำหรับข้อมูลนี้หรือไม่ ระบุวัตถุประสงค์ชัดเจนหรือไม่ เช่น ใช้ประกอบการพิจารณาความพร้อมด้านร่างกายสำหรับงานที่ต้องยกของหนักหรือสัมผัสผู้ป่วยโดยตรง หากพบว่าใช้แบบฟอร์มความยินยอมชุดเดียวกับการสมัครงานทั่วไป นี่คือจุดที่ต้องแก้ไขก่อนอันดับแรก

สำหรับตำแหน่งที่ต้องตรวจสุขภาพจิตหรือประวัติการรักษาเฉพาะทางประกอบการพิจารณา เช่น ตำแหน่งที่ต้องดูแลผู้ป่วยจิตเวชหรือผู้ป่วยเด็ก ผู้ตรวจควรดูด้วยว่าองค์กรอธิบายเหตุผลความจำเป็นของการขอข้อมูลระดับนี้ไว้ชัดเจนหรือไม่ และมีทางเลือกอื่นสำหรับผู้สมัครที่ไม่สะดวกให้ข้อมูลบางส่วนหรือไม่ แทนที่จะตั้งเป็นเงื่อนไขบังคับแบบเหมารวมทุกตำแหน่ง

จุดที่ 2: ตรวจระยะเวลาเก็บและลบ CV ผู้ไม่ผ่านการคัดเลือก

ขั้นตอนถัดไปคือสุ่มตรวจแฟ้มผู้สมัครที่ไม่ผ่านการคัดเลือกย้อนหลัง ดูว่ามีไฟล์ที่เก็บไว้เกินระยะเวลาที่นโยบายภายในกำหนดหรือไม่ กรณีตัวอย่างที่พบบ่อยคือแฟ้มผู้สมัครตำแหน่งพยาบาลหรือแพทย์ที่ไม่ผ่านการคัดเลือกยังถูกเก็บไว้หลายปีโดยไม่มีรอบทบทวน ทั้งที่ไม่มีเหตุผลทางกฎหมายให้ต้องเก็บนานขนาดนั้น การ audit ควรระบุจำนวนแฟ้มที่เกินกำหนดและวันที่ต้องลบให้ชัดเจน ไม่ใช่แค่บันทึกว่า "พบปัญหา" กว้างๆ

ผู้ตรวจควรแยกการตรวจเป็นสองชุด คือแฟ้มดิจิทัลในระบบ ATS หรือโฟลเดอร์ใช้ร่วมกัน กับแฟ้มกระดาษที่บางแผนกยังใช้อยู่ โดยเฉพาะโรงพยาบาลขนาดกลางที่ยังมีเอกสารสมัครงานกระดาษปนอยู่กับระบบดิจิทัล การตรวจแค่ระบบดิจิทัลอย่างเดียวอาจพลาดแฟ้มกระดาษที่เก็บไว้ในตู้เก็บเอกสารของแผนกต่างๆ ซึ่งมักไม่มีใครรับผิดชอบทบทวนเป็นประจำ

จุดที่ 3: ตรวจสิทธิ์การเข้าถึงไฟล์ HR ตามหน้าที่

ตรวจสอบว่าใครในองค์กรเข้าถึงไฟล์ที่มีข้อมูลสุขภาพของผู้สมัครได้บ้าง หลักการที่ควรใช้คือ need-to-know ทีมสรรหาบุคลากรทั่วไปควรเห็นเฉพาะข้อมูลพื้นฐานพอสำหรับคัดกรองเบื้องต้น ส่วนข้อมูลสุขภาพหรือประวัติวิชาชีพที่ละเอียดกว่านั้นควรจำกัดเฉพาะทีมที่รับผิดชอบตรวจสอบคุณสมบัติโดยตรง เช่น หัวหน้าฝ่ายการพยาบาลหรือแพทย์ที่ทำหน้าที่สัมภาษณ์ การ audit ควรทำ access matrix เปรียบเทียบระหว่างรอบก่อนกับรอบปัจจุบันว่ามีใครเพิ่มสิทธิ์โดยไม่มีเหตุผลรองรับหรือไม่

อีกจุดที่ผู้ตรวจควรถามคือ เมื่อบุคลากรทางการแพทย์ย้ายแผนกหรือลาออกจากตำแหน่งที่เคยมีสิทธิ์เข้าถึงข้อมูลผู้สมัคร สิทธิ์นั้นถูกยกเลิกทันทีหรือไม่ หลายองค์กรพบว่าอดีตหัวหน้าแผนกที่ย้ายไปทำงานส่วนอื่นแล้วยังคงเข้าถึงระบบสรรหาบุคลากรได้อยู่ เพราะไม่มีขั้นตอนแจ้งเตือนให้ยกเลิกสิทธิ์เมื่อมีการเปลี่ยนบทบาท

จุดที่ 4: ตรวจ Evidence ที่พิสูจน์ได้ว่าทำจริง

การ audit ที่ดีต้องจบด้วยหลักฐานที่จับต้องได้ ไม่ใช่แค่ความรู้สึกว่า "น่าจะโอเค" หลักฐานที่ควรเก็บได้แก่ log การเข้าถึงไฟล์ HR ที่มีข้อมูลอ่อนไหว บันทึกการลบ CV ที่พ้นระยะเวลาเก็บรักษา และรายงานสรุปผล audit แต่ละรอบพร้อมแผนแก้ไขที่ระบุวันที่ตรวจซ้ำ เอกสารชุดนี้คือสิ่งที่ใช้ตอบผู้ตรวจสอบภายในหรือภายนอกได้เร็วที่สุด

รายงานสรุปผล audit ที่ใช้งานได้จริงไม่จำเป็นต้องยาวหรือซับซ้อน ขอเพียงระบุวันที่ตรวจ จำนวนแฟ้มที่สุ่มตรวจ จำนวนที่พบปัญหา รายละเอียดปัญหาแต่ละข้อ ผู้รับผิดชอบแก้ไข และกำหนดวันตรวจซ้ำ การมีรายงานลักษณะนี้ต่อเนื่องทุกรอบ ทำให้เห็นแนวโน้มได้ว่าปัญหาเดิมลดลงหรือเกิดซ้ำ ซึ่งเป็นข้อมูลที่มีประโยชน์กว่าการตรวจครั้งเดียวแล้วไม่มีการเปรียบเทียบย้อนหลัง

ตัวอย่างรอบ audit ที่ทำได้จริงในคลินิกขนาดกลาง

คลินิกที่ไม่มีทีมกฎหมายเฉพาะทางสามารถเริ่มจากสุ่มตรวจแฟ้ม 10-15 รายการต่อรอบ ครอบคลุมทั้งผู้สมัครที่ผ่านและไม่ผ่านการคัดเลือก แล้วบันทึกผลลงตารางง่ายๆ ระบุว่าแฟ้มใดพบปัญหา ปัญหาคืออะไร และใครรับผิดชอบแก้ไข วิธีนี้ไม่ต้องใช้ระบบซับซ้อน แต่ทำให้เห็นภาพรวมของความเสี่ยงในกระบวนการสรรหาบุคลากรได้ชัดขึ้นทุกรอบ และควรเทียบผลกับ เช็กลิสต์สำหรับธุรกิจสุขภาพ เพื่อดูว่าจุดใดยังไม่ได้ทำ

โรงพยาบาลขนาดใหญ่ที่มีหลายแผนกอาจแบ่งรอบ audit ตามแผนก แทนที่จะตรวจทั้งองค์กรพร้อมกันในครั้งเดียว เช่น เดือนนี้ตรวจแผนกพยาบาล เดือนถัดไปตรวจแผนกเภสัชกรรม วิธีนี้ช่วยกระจายภาระงานของผู้ตรวจสอบ และยังทำให้แต่ละแผนกมีเวลาแก้ไขปัญหาที่พบก่อนถึงรอบตรวจของแผนกอื่น แทนที่จะต้องแก้ไขทุกจุดพร้อมกันในเวลาจำกัด

เมื่อไรควรขอความช่วยเหลือจากผู้เชี่ยวชาญภายนอก

คลินิกขนาดเล็กที่ทำ audit ด้วยตัวเองแล้วพบว่าปัญหาซับซ้อนเกินกว่าจะแก้ไขภายในทีม เช่น กรณีที่ระบบ ATS เดิมไม่รองรับการตั้งลบข้อมูลอัตโนมัติ หรือสัญญากับผู้ให้บริการภายนอกที่ใช้มานานไม่มีเงื่อนไขด้านข้อมูลส่วนบุคคลเลย ควรพิจารณาปรึกษาที่ปรึกษาด้าน PDPA หรือฝ่ายกฎหมายภายนอกเฉพาะจุดที่ติดขัด ไม่จำเป็นต้องจ้างที่ปรึกษาดูแลทั้งระบบตั้งแต่ต้น เพราะหลายส่วนของการ audit ตามที่อธิบายไว้ในบทความนี้ ทีม HR ภายในสามารถทำเองได้โดยไม่ต้องพึ่งผู้เชี่ยวชาญภายนอกทั้งหมด

ข้อผิดพลาดที่พบบ่อยระหว่างการ audit

• ใช้ผลตรวจสุขภาพก่อนเข้างานเป็นเหตุผลพิจารณาตำแหน่งโดยไม่ได้ขอความยินยอมแยกไว้ก่อน
• เก็บ CV ผู้สมัครตำแหน่งพยาบาลหรือแพทย์ที่ไม่ผ่านการคัดเลือกไว้นานเกินความจำเป็น
• ให้เจ้าหน้าที่ธุรการทั่วไปเข้าถึงไฟล์ประวัติสุขภาพของผู้สมัครเท่ากับทีมที่รับผิดชอบตรวจสอบโดยตรง
• ไม่บันทึก log การเข้าถึงไฟล์ HR ที่มีข้อมูลสุขภาพ ทำให้ตอบไม่ได้เมื่อถูกถามว่าใครเปิดไฟล์เมื่อใด

สิ่งที่ทำต่อหลังพบปัญหาจากการ audit

เมื่อ audit พบปัญหาแล้ว ขั้นตอนถัดไปคือจัดลำดับความสำคัญของการแก้ไข ไม่ใช่พยายามแก้ทุกจุดพร้อมกันจนทีมงานรับภาระไม่ไหว ปัญหาที่เกี่ยวข้องกับข้อมูลอ่อนไหวโดยตรง เช่น การให้สิทธิ์เข้าถึงข้อมูลสุขภาพเกินความจำเป็น ควรได้รับการแก้ไขก่อนปัญหาที่มีผลกระทบน้อยกว่า เช่น การอัปเดตนโยบายความเป็นส่วนตัวให้ใช้ถ้อยคำที่ทันสมัยขึ้น การจัดลำดับแบบนี้ช่วยให้ทีมที่มีทรัพยากรจำกัดใช้เวลาไปกับจุดที่มีความเสี่ยงสูงสุดก่อน

หลังแก้ไขแต่ละจุดแล้ว ควรกำหนดวันตรวจซ้ำเฉพาะจุดนั้น ไม่จำเป็นต้องรอถึงรอบ audit ใหญ่ครั้งถัดไป เช่น หากพบว่าทีมสรรหาบุคลากรเข้าถึงข้อมูลสุขภาพเกินความจำเป็น หลังจำกัดสิทธิ์แล้วควรตรวจซ้ำภายในหนึ่งเดือนว่าการปรับสิทธิ์มีผลจริงในระบบหรือไม่ ไม่ใช่แค่ส่งอีเมลแจ้งแล้วถือว่าจบ

องค์กรที่ทำ audit ต่อเนื่องหลายรอบมักพบว่าปัญหาที่เคยเจอในรอบแรกค่อยๆ ลดลงในรอบถัดๆ ไป เพราะทีมงานเริ่มคุ้นเคยกับขั้นตอนและระมัดระวังมากขึ้นตั้งแต่ต้นทาง เช่น ฝ่ายสรรหาบุคลากรเริ่มถามตัวเองก่อนขอข้อมูลอ่อนไหวเพิ่มเติมว่าจำเป็นจริงหรือไม่ นี่คือเป้าหมายที่แท้จริงของการ audit สม่ำเสมอ ไม่ใช่แค่การหาข้อผิดพลาดมาลงโทษ แต่คือการทำให้กระบวนการทำงานประจำวันรัดกุมขึ้นทีละน้อย

สรุป

การ audit PDPA ฝั่ง HR ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ ควรทำเป็นรอบสม่ำเสมอ ไม่ใช่ทำครั้งเดียวแล้วจบ ครอบคลุมทั้งความยินยอมสำหรับข้อมูลสุขภาพ ระยะเวลาเก็บและลบ CV สิทธิ์การเข้าถึงตามหน้าที่ และหลักฐานที่พิสูจน์ได้ว่าทำจริง ดูภาพรวมหมวดหมู่เพิ่มเติมได้ที่ หน้ารวมความรู้ Business, Industry & SEO และดูวิธีวางระบบตั้งแต่ต้นได้ที่ วิธีวางระบบสำหรับธุรกิจสุขภาพ

แหล่งข้อมูลอ้างอิง

อ้างอิงแนวปฏิบัติจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก โดยเฉพาะประเด็นขอบเขตข้อมูลสุขภาพซึ่งจัดเป็นข้อมูลอ่อนไหว ควรตรวจสอบเอกสารล่าสุดก่อนปรับปรุงแบบฟอร์มขอความยินยอมทุกครั้งที่มีการทบทวนรอบใหม่