เปรียบเทียบแนวทางจัดการ PDPA สำหรับ HR และ Recruitment สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ทำเอง ใช้ปลั๊กอิน หรือใช้แพลตฟอร์ม

คลินิก โรงพยาบาล และธุรกิจสุขภาพที่กำลังขยายทีมมักเจอคำถามว่าจะดูแล PDPA ของงาน HR และ Recruitment เองในทีมการตลาดหรือฝ่ายบุคคล ใช้เครื่องมือสำเร็จรูป หรือใช้แพลตฟอร์มบริหารความพร้อมอย่าง trusty บทความนี้เปรียบเทียบสามแนวทางโดยโฟกัสที่ความซับซ้อนเฉพาะของงานสรรหาบุคลากรทางการแพทย์ ซึ่งต่างจากธุรกิจทั่วไปตรงที่ข้อมูลผู้สมัครมักเกี่ยวโยงกับข้อมูลสุขภาพและใบอนุญาตประกอบวิชาชีพ

การรับสมัครพยาบาล แพทย์ นักกายภาพบำบัด หรือเจ้าหน้าที่ที่ต้องขึ้นทะเบียนวิชาชีพ มักมีขั้นตอนตรวจสอบใบอนุญาตกับสภาวิชาชีพ ตรวจผลสุขภาพก่อนเริ่มงาน และบางตำแหน่งต้องตรวจประวัติที่เกี่ยวข้องกับการสัมผัสผู้ป่วยโดยตรง ข้อมูลเหล่านี้จัดอยู่ในกลุ่มข้อมูลอ่อนไหวตาม TRUSTY-20 ที่ต้องยกระดับ Risk และส่งต่อฝ่ายกฎหมายหรือ DPO พิจารณา ไม่ใช่สิ่งที่ทีมการตลาดหรือ HR ตัดสินใจเองได้ทั้งหมด

ข้อมูลผู้สมัครงานสายสุขภาพที่ต้องระวังเป็นพิเศษ

นอกจาก Resume และประวัติการทำงานทั่วไป งานสรรหาบุคลากรทางการแพทย์ยังเก็บข้อมูลใบอนุญาตวิชาชีพ ผลตรวจสุขภาพก่อนเข้างาน และบางกรณีมีข้อมูลการฉีดวัคซีนหรือประวัติการเจ็บป่วยที่เกี่ยวข้องกับความปลอดภัยในการทำงานกับผู้ป่วย ข้อมูลกลุ่มนี้ถือเป็นข้อมูลสุขภาพของผู้สมัครเอง ซึ่งต้องพิจารณาฐานทางกฎหมายที่รัดกุมกว่าการเก็บ Resume ทั่วไป และไม่ควรเก็บไว้ในระบบเดียวกับข้อมูลผู้ป่วยโดยไม่มีการแยกสิทธิ์การเข้าถึง

อีกจุดที่ธุรกิจสุขภาพต้องระวังคือการประกาศรับสมัครผ่านหลายช่องทาง เช่น เว็บไซต์คลินิก เพจ Facebook และแพลตฟอร์มหางานสายการแพทย์ ซึ่งแต่ละช่องทางอาจมี Tracking หรือฟอร์มสมัครงานที่ไม่ได้เชื่อมกับ Privacy Policy หลักของเว็บไซต์ ทำให้ผู้สมัครไม่เห็นว่าใครเป็น Controller ของข้อมูลที่ตนกรอกไป

ทำเอง ใช้ปลั๊กอิน หรือใช้แพลตฟอร์ม: เปรียบเทียบสำหรับคลินิกและโรงพยาบาล

ทำเอง (DIY)

คลินิกขนาดเล็กที่มีเจ้าหน้าที่ดูแลข้อมูลเพียงคนเดียวมักเริ่มจากทำแบบฟอร์ม Consent กระดาษหรือไฟล์ดิจิทัลเอง และเก็บ Resume พร้อมใบอนุญาตวิชาชีพในโฟลเดอร์ที่จำกัดสิทธิ์เข้าถึง ข้อดีคือควบคุมรายละเอียดได้ตรงกับหน้างานจริง แต่ข้อจำกัดคือเมื่อมีหลายสาขาหรือรับสมัครพร้อมกันหลายตำแหน่ง การติดตามว่าใครเก็บข้อมูลอะไรไว้ที่ไหนทำได้ยากขึ้นเรื่อย ๆ และมักไม่มีใครตรวจ Tracking บนหน้าเว็บไซต์สมัครงานเลย

ใช้ปลั๊กอิน/เครื่องมือสำเร็จรูป

บางคลินิกใช้ปลั๊กอิน Cookie Consent บนเว็บไซต์หลักหรือใช้ระบบฟอร์มสมัครงานสำเร็จรูปที่มากับแพลตฟอร์มหางาน ข้อดีคือติดตั้งเร็วและราคาย่อมเยา แต่ส่วนใหญ่ไม่ได้ออกแบบมาสำหรับข้อมูลใบอนุญาตวิชาชีพหรือผลตรวจสุขภาพ และมักไม่มีฟีเจอร์แยกสิทธิ์การเข้าถึงข้อมูลอ่อนไหวของผู้สมัครออกจากข้อมูลทั่วไป ทำให้ทีมยังต้องดูแลส่วนนี้เองอยู่ดี

ใช้แพลตฟอร์มอย่าง trusty

trusty ช่วยสแกนหน้าเว็บไซต์สมัครงานเพื่อตรวจ Banner, ทางเลือก Reject และ Tracking ก่อน/หลัง Consent (Capability Status A สำหรับส่วนสแกนพื้นฐานที่เข้าถึงหน้าเว็บสาธารณะได้) และช่วยร่าง Privacy Policy จากข้อมูลกิจกรรมที่คลินิกกรอกและผลสแกนที่พบ (Capability Status B — ต้องระบุเองว่ามีการเก็บข้อมูลสุขภาพหรือใบอนุญาตวิชาชีพของผู้สมัครหรือไม่) ระบบไม่สามารถเข้าไปตรวจโฟลเดอร์เก็บผลตรวจสุขภาพภายใน หรือระบบ HR ที่ไม่เปิดเผยต่อสาธารณะ และไม่สามารถตัดสินฐานทางกฎหมายของการเก็บข้อมูลสุขภาพผู้สมัครแทนได้ ส่วนนี้ต้องส่งต่อผู้เชี่ยวชาญด้านกฎหมายหรือ DPO เสมอ

ดูขั้นตอนที่ปรับให้เข้ากับบริบทคลินิกและโรงพยาบาลได้ใน คู่มือ PDPA สำหรับ HR และ Recruitment สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

จะเลือกแนวทางไหนตามขนาดและความซับซ้อนขององค์กร

คลินิกสาขาเดียวที่รับสมัครบุคลากรไม่บ่อยอาจทำเองได้ถ้ามีเจ้าหน้าที่รับผิดชอบชัดเจนและเก็บเอกสารในที่จำกัดสิทธิ์เข้าถึง ส่วนโรงพยาบาลหรือเครือคลินิกหลายสาขาที่รับสมัครต่อเนื่องมักได้ประโยชน์จากการใช้แพลตฟอร์มช่วยสแกนเว็บไซต์สมัครงานทุกสาขาและติดตาม Policy Version รวมศูนย์ แต่ไม่ว่าขนาดใด จุดที่ต้องมีคนรับผิดชอบเสมอคือการแยกสิทธิ์เข้าถึงข้อมูลใบอนุญาตวิชาชีพและผลตรวจสุขภาพผู้สมัครออกจากข้อมูลทั่วไป และการยกระดับให้ผู้เชี่ยวชาญพิจารณาก่อนเริ่มเก็บข้อมูลกลุ่มนี้

Trust Score หรือผลสแกนจากเครื่องมือใดก็ตามสรุปเฉพาะสิ่งที่ตรวจได้จากหน้าเว็บไซต์สาธารณะ ณ วันสแกน ไม่ได้บอกว่ากระบวนการเก็บใบอนุญาตวิชาชีพหรือผลตรวจสุขภาพภายในองค์กรถูกต้องครบทุกจุด ทีมที่ดูแลข้อมูลของคลินิกยังต้องอ่าน Finding แต่ละข้อและตัดสินใจว่าส่วนใดต้องให้ผู้เชี่ยวชาญด้านกฎหมายตรวจเพิ่ม

สถานการณ์ที่พบบ่อย: คลินิกใช้ฟอร์มสมัครงานเดียวกับฟอร์มนัดหมายผู้ป่วยจนข้อมูลปนกัน

คลินิกขนาดกลางแห่งหนึ่งใช้ระบบจองคิวออนไลน์ตัวเดียวกับที่ผู้ป่วยใช้นัดหมายมาเปิดฟอร์มรับสมัครพยาบาลเพิ่มเติม เพราะทีมไอทีอยากประหยัดเวลาไม่ต้องตั้งระบบใหม่ ผลคือข้อมูลผู้สมัครงาน เช่น สำเนาบัตรประชาชนและใบประกอบวิชาชีพ ถูกเก็บอยู่ในฐานข้อมูลเดียวกับประวัติการนัดหมายผู้ป่วย โดยพนักงานต้อนรับหน้าเคาน์เตอร์ซึ่งไม่เกี่ยวข้องกับการคัดเลือกพนักงานยังมองเห็นไฟล์ผู้สมัครได้จากสิทธิ์เดิมที่ตั้งไว้สำหรับดูตารางนัดผู้ป่วย เหตุการณ์แบบนี้ไม่ใช่เรื่องผิดปกติในคลินิกที่ทีมเล็กและต้องดูแลหลายระบบพร้อมกัน แต่เป็นจุดที่ TRUSTY-20 มิติ Governance และ Information Notice ใช้ไล่ตรวจได้ตรงจุด เพราะคำถามสำคัญไม่ใช่แค่ "เก็บข้อมูลอะไร" แต่คือ "ใครมีสิทธิ์เห็นข้อมูลนั้นและเพราะเหตุใด"

เมื่อทีมของคลินิกนำสถานการณ์นี้มาไล่ทีละมิติ จะพบว่าจุดที่ต้องแก้ไม่ใช่แค่การย้ายฟอร์มไปคนละระบบ แต่ต้องกำหนดสิทธิ์การเข้าถึงใหม่ทั้งหมด แยก Role ของพนักงานต้อนรับออกจาก Role ของฝ่ายบุคคลอย่างชัดเจน และตรวจว่า Log การเข้าถึงไฟล์ผู้สมัครมีการบันทึกไว้หรือไม่ ถ้าคลินิกใช้ trusty เพื่อสแกนหน้าเว็บไซต์ ระบบจะเห็นเฉพาะว่าฟอร์มรับสมัครที่ฝังอยู่บนหน้าเว็บสาธารณะมีประกาศความเป็นส่วนตัวหรือไม่ (Capability Status A ในส่วนสแกนพื้นฐาน) แต่จะไม่เห็นว่าฐานข้อมูลเบื้องหลังของระบบจองคิวถูกใช้ร่วมกันระหว่างข้อมูลผู้ป่วยกับข้อมูลผู้สมัครงานหรือไม่ เพราะเป็นโครงสร้างข้อมูลภายในที่ต้องให้ทีมไอทีหรือผู้เชี่ยวชาญด้าน Security ตรวจสอบโดยตรง

บทเรียนจากสถานการณ์นี้คือการใช้ระบบเดียวกันเพื่อประหยัดเวลาในช่วงแรกอาจสร้างภาระย้อนหลังที่มากกว่าตอนเริ่มต้นแยกระบบ คลินิกที่เจอปัญหานี้ควรเริ่มจากทำ Data Flow Diagram ง่าย ๆ ว่าข้อมูลผู้สมัครไหลจากฟอร์มไปที่ไหนบ้าง ใครเข้าถึงได้ในแต่ละจุด แล้วเทียบกับสิ่งที่ต้องการจริง อุตสาหกรรมอื่นที่เจอปัญหาคล้ายกันเรื่องใช้ระบบร่วมกันโดยไม่แยกสิทธิ์การเข้าถึงข้อมูลก็มีให้เห็นเช่นกัน ดูตัวอย่างเพิ่มเติมได้ใน เปรียบเทียบแนวทางจัดการ PDPA สำหรับ HR และ Recruitment สำหรับร้านค้าออนไลน์และ E-commerce ซึ่งมีกรณีร้านค้าใช้ฟอร์มเดียวกับฟอร์มเก็บข้อมูลลูกค้าในลักษณะใกล้เคียงกัน

• ตรวจว่าระบบจองคิวและฟอร์มสมัครงานใช้ตารางฐานข้อมูลเดียวกันหรือแยกกันจริง แม้อยู่ในซอฟต์แวร์ตัวเดียวกัน
• ทบทวนสิทธิ์ Role ของพนักงานต้อนรับ ฝ่ายบุคคล และผู้ดูแลระบบว่าเห็นข้อมูลกลุ่มใดได้บ้างในปัจจุบัน
• ขอให้ผู้พัฒนาระบบจองคิวยืนยันว่า Log การเข้าถึงไฟล์ผู้สมัครแยกจาก Log การเข้าถึงข้อมูลผู้ป่วยหรือไม่
• กำหนดวันตรวจทานสิทธิ์การเข้าถึงซ้ำอย่างน้อยปีละครั้ง โดยเฉพาะเมื่อมีการเปลี่ยนตัวพนักงานต้อนรับ
• พิจารณาย้ายฟอร์มรับสมัครไปใช้ระบบแยกต่างหากหากงบประมาณเอื้ออำนวย แทนการฝากไว้กับระบบจองคิวเดิม

ทีมที่รับผิดชอบควรสรุปผลการตรวจสอบนี้เป็นเอกสารสั้น ๆ พร้อมวันที่ตรวจและผู้รับผิดชอบแต่ละขั้นตอน แล้วแนบไว้กับนโยบายความปลอดภัยข้อมูลภายในของคลินิก เพื่อให้ทีมชุดใหม่ที่เข้ามาดูแลระบบในอนาคตเห็นภาพเดียวกันโดยไม่ต้องไล่สอบถามทีละคน

เช็กลิสต์ปฏิบัติ

• ทำ Data Inventory ของข้อมูลผู้สมัครทุกช่องทาง รวมถึงใบอนุญาตวิชาชีพและผลตรวจสุขภาพ
• แยกสิทธิ์การเข้าถึงข้อมูลอ่อนไหวของผู้สมัครออกจากข้อมูลทั่วไปของฝ่ายบุคคล
• ให้ผู้เชี่ยวชาญตรวจ Legal Basis ของการเก็บผลตรวจสุขภาพและประวัติวัคซีนก่อนเริ่มงาน
• ตรวจ Tracking บนหน้าเว็บไซต์สมัครงานของทุกสาขาว่าทำงานก่อนหรือหลัง Consent
• กำหนด Retention ของเอกสารใบอนุญาตวิชาชีพและผลตรวจสุขภาพผู้สมัครที่ไม่ผ่านคัดเลือก
• เก็บ Consent Log พร้อม Policy Version ทุกครั้งที่เปลี่ยนแบบฟอร์มสมัครงาน
• มอบหมาย Owner ที่รับผิดชอบตอบคำขอใช้สิทธิของผู้สมัครในแต่ละสาขา

ข้อผิดพลาดที่พบบ่อย

• เก็บผลตรวจสุขภาพผู้สมัครไว้ในระบบเดียวกับข้อมูลผู้ป่วยโดยไม่แยกสิทธิ์เข้าถึง
• ให้ทีมการตลาดตัดสินใจ Legal Basis ของข้อมูลสุขภาพผู้สมัครเองโดยไม่ปรึกษาผู้เชี่ยวชาญ
• ใช้ฟอร์มสมัครงานหลายสาขาที่ไม่เชื่อมกับ Privacy Policy หลักของคลินิก
• เก็บใบอนุญาตวิชาชีพและเอกสารสุขภาพของผู้สมัครที่ไม่ผ่านคัดเลือกไว้นานเกินจำเป็น
• เข้าใจว่าใช้เครื่องมือสแกนเว็บไซต์แล้วครอบคลุมข้อมูลภายในของฝ่ายบุคคลทั้งหมด

สรุป

งานสรรหาบุคลากรของคลินิกและโรงพยาบาลมีข้อมูลอ่อนไหวมากกว่าธุรกิจทั่วไปเพราะเกี่ยวโยงกับใบอนุญาตวิชาชีพและข้อมูลสุขภาพผู้สมัคร ทำเองเหมาะกับสาขาเดียวที่มี Owner ชัดเจน ปลั๊กอินช่วยได้เฉพาะจุด Cookie บนเว็บไซต์หลัก ส่วนแพลตฟอร์มอย่าง trusty ช่วยสแกนและร่าง Policy เบื้องต้นสำหรับหลายสาขา แต่การตัดสิน Legal Basis ของข้อมูลสุขภาพและใบอนุญาตวิชาชีพยังต้องให้ผู้เชี่ยวชาญพิจารณาเสมอ

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)