เช็กลิสต์ PDPA สำหรับอสังหาริมทรัพย์ สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ก่อนเปิดใช้งานระบบเช่าหรือซื้ออสังหาริมทรัพย์ในธุรกิจสุขภาพ ทีมงานต้องตรวจ 3 กลุ่มหลัก คือเอกสารการเงินและบัตรประชาชนของผู้เช่า/ผู้ซื้อถูกจำกัดสิทธิ์เข้าถึงเฉพาะคนที่จำเป็น มีบันทึกว่าใครเห็นข้อมูลอะไรเมื่อไหร่ และสัญญากับธนาคารหรือบริษัทตรวจสอบประวัติระบุขอบเขตการส่งต่อข้อมูลชัดเจน เช็กลิสต์นี้ไล่ทีละขั้นตั้งแต่วันสอบถามจนถึงวันเซ็นสัญญา

บ่ายวันหนึ่ง ผู้จัดการฝ่ายขยายสาขาของเครือคลินิกแห่งหนึ่งนั่งอยู่หน้าจอคอมพิวเตอร์ กำลังจะกดอนุมัติสัญญาเช่าอาคารพาณิชย์สามชั้นสำหรับเปิดคลินิกเวชกรรมสาขาใหม่ ในโฟลเดอร์เดียวกันมีสำเนาบัตรประชาชนของผู้บริหารคลินิกที่เป็นผู้เช่า สำเนาสมุดบัญชีธนาคารย้อนหลังหกเดือน และผลตรวจเครดิตบูโรที่เจ้าของอาคารขอเพิ่มก่อนอนุมัติ เขาหยุดมือไว้ครู่หนึ่งเพราะนึกขึ้นได้ว่ายังไม่เคยถามฝ่ายกฎหมายเลยว่าไฟล์เหล่านี้ใครมีสิทธิ์เปิดดูได้บ้าง และจะเก็บไว้นานแค่ไหนหลังสัญญาเช่าหมดอายุ สถานการณ์แบบนี้เกิดขึ้นซ้ำทุกครั้งที่ธุรกิจสุขภาพขยายพื้นที่ ไม่ว่าจะเป็นคลินิกเฉพาะทาง โรงพยาบาลที่ต้องหาหอพักให้บุคลากร หรือศูนย์ตรวจสุขภาพที่เช่าพื้นที่ในอาคารสำนักงาน

ข้อมูลอสังหาริมทรัพย์แบบไหนที่ธุรกิจสุขภาพเก็บจริง

ธุรกรรมอสังหาริมทรัพย์ในบริบทสุขภาพมีชั้นข้อมูลมากกว่าการเช่าออฟฟิศทั่วไป เพราะมักผูกกับทั้งฝั่งองค์กรและฝั่งบุคคล ตั้งแต่ขั้นสอบถามพื้นที่ ทีมพัฒนาธุรกิจของโรงพยาบาลหรือคลินิกจะขอดูเอกสารสถานะการเงินขององค์กรที่จะเป็นผู้เช่า พอเข้าสู่ขั้นเข้าชมพื้นที่จริง อาคารพาณิชย์หลายแห่งมีกล้องวงจรปิดบันทึกผู้เข้าชม รวมถึงบันทึกชื่อและเบอร์โทรของผู้แทนที่มาดูสถานที่ไว้ในสมุดเยี่ยมชม เมื่อเข้าสู่ขั้นยื่นใบสมัครเช่า เจ้าของอาคารมักขอสำเนาบัตรประชาชนของกรรมการหรือผู้มีอำนาจลงนาม สำเนาบัญชีธนาคารเพื่อยืนยันสภาพคล่อง และในบางกรณีขอผลตรวจสอบเครดิตจากบริษัทภายนอกด้วย ถ้าธุรกิจสุขภาพต้องจัดหาหอพักหรือที่พักอาศัยให้บุคลากรทางการแพทย์ที่ย้ายมาประจำสาขาใหม่ ฝ่ายบุคคลก็จะเก็บบัตรประชาชน หมายเลขติดต่อฉุกเฉิน และบางครั้งจดหมายรับรองจากเจ้าของบ้านเช่าเดิมเพื่อยืนยันประวัติการอยู่อาศัยของพนักงาน ทั้งหมดนี้ผูกกับสัญญาที่มีอายุยาวเป็นปี ไม่ใช่ธุรกรรมซื้อขายทั่วไปที่จบภายในไม่กี่วัน

ที่ซับซ้อนขึ้นไปอีกคือกรณีศูนย์ตรวจสุขภาพหรือคลินิกเฉพาะทางที่เช่าพื้นที่ในอาคารสำนักงานร่วมกับธุรกิจอื่น ทีมงานส่วนกลางของอาคารมักเก็บข้อมูลผู้เช่าทุกรายไว้ในระบบเดียวกัน ทำให้ข้อมูลของคลินิกปนอยู่กับผู้เช่ารายอื่นที่ไม่เกี่ยวข้องกับธุรกิจสุขภาพเลย หากไม่มีการตกลงล่วงหน้าว่าใครในอาคารมีสิทธิ์เห็นเอกสารของผู้เช่ารายไหน ข้อมูลการเงินของคลินิกอาจถูกพนักงานอาคารที่ไม่เกี่ยวข้องเปิดดูได้โดยไม่มีเหตุผลทางธุรกิจรองรับ อีกกรณีคือโรงพยาบาลที่ซื้อที่ดินเพื่อสร้างอาคารใหม่ ขั้นตอนโอนกรรมสิทธิ์ต้องผ่านทั้งกรมที่ดิน ธนาคารผู้ปล่อยสินเชื่อ และบริษัทประเมินราคาทรัพย์สิน แต่ละฝ่ายต้องการสำเนาบัตรประชาชนและเอกสารการเงินของกรรมการผู้มีอำนาจชุดเดียวกันซ้ำหลายรอบ ถ้าไม่มีใครกำหนดว่าแต่ละฝ่ายเก็บสำเนาไว้กี่ชุดและลบเมื่อไหร่ เอกสารชุดเดิมอาจกระจายอยู่ในมือคนนอกองค์กรมากกว่าที่ทีมงานคาดคิด

เช็กลิสต์ก่อนเปิดใช้งานระบบเช่า/ซื้ออสังหาริมทรัพย์

ก่อนอนุมัติสัญญาเช่าหรือซื้อทรัพย์สินใด ๆ สำหรับสาขาคลินิก โรงพยาบาล หรือหอพักบุคลากร ให้ไล่ตรวจตามลำดับต่อไปนี้

1. ระบุชัดว่าไฟล์เอกสารการเงินและบัตรประชาชนของผู้เช่า/ผู้ซื้อเก็บอยู่ที่ไหน กี่ชุด และมีสำเนาซ้ำในอีเมลหรือแชทกลุ่มหรือไม่
2. จำกัดสิทธิ์เข้าถึงโฟลเดอร์เอกสารเหล่านั้นให้เหลือเฉพาะทีมที่ต้องใช้จริง เช่น ฝ่ายกฎหมายและผู้บริหารที่อนุมัติสัญญา ไม่ใช่ทั้งแผนกพัฒนาธุรกิจ
3. ตรวจว่าระบบมีบันทึกการเข้าถึงไฟล์ (log) ว่าใครเปิดดูเอกสารการเงินเมื่อไหร่ อย่างน้อยในระดับที่ตรวจย้อนหลังได้
4. เช็กสัญญากับธนาคารหรือบริษัทตรวจสอบประวัติที่รับส่งข้อมูลผู้เช่า/ผู้ซื้อ ว่าระบุขอบเขตการใช้ข้อมูลและระยะเวลาที่คู่สัญญาจะเก็บข้อมูลไว้หรือไม่
5. ตรวจตำแหน่งกล้องวงจรปิดที่จุดเข้าชมอาคารหรือหน่วยตัวอย่าง (show unit) ว่ามีป้ายแจ้งเตือนการบันทึกภาพให้ผู้มาเยี่ยมชมเห็นชัดเจน
6. กำหนดวันหมดอายุการเก็บเอกสารบัตรประชาชนและการเงินให้ผูกกับวันสิ้นสุดสัญญาบวกระยะเวลาที่กฎหมายหรือระเบียบภายในกำหนด ไม่ใช่เก็บไว้ถาวรโดยไม่มีกำหนด
7. ทำรายชื่อผู้ให้บริการภายนอกทั้งหมดที่แตะข้อมูลนี้ เช่น ธนาคารพันธมิตรสำหรับสินเชื่อ บริษัทตรวจสอบพื้นหลัง หรือนายหน้าอสังหาริมทรัพย์ พร้อมช่องทางติดต่อกรณีต้องแจ้งลบข้อมูล
8. ให้ฝ่ายบุคคลตรวจแยกไฟล์หอพักพนักงานออกจากไฟล์ผู้ป่วยหรือลูกค้าคลินิกโดยเด็ดขาด เพราะเป็นข้อมูลคนละบริบทแม้จะอยู่ในองค์กรเดียวกัน

ทำไมเอกสารการเงินและบัตรประชาชนต้องรัดกุมกว่าข้อมูลติดต่อทั่วไป

สำเนาบัตรประชาชนและสมุดบัญชีธนาคารเปิดเผยข้อมูลที่นำไปใช้สวมรอยหรือฉ้อโกงทางการเงินได้ง่ายกว่าชื่อกับเบอร์โทรทั่วไปมาก และในบริบทอสังหาริมทรัพย์เพื่อธุรกิจสุขภาพ เอกสารเหล่านี้มักถูกส่งต่อระหว่างหลายฝ่ายในเวลาไล่เลี่ยกัน ทั้งเจ้าของอาคาร นายหน้า ธนาคารที่ปล่อยสินเชื่อ และบริษัทตรวจสอบเครดิต หากไม่มีการกำหนดสิทธิ์เข้าถึงตั้งแต่ต้น ไฟล์เหล่านี้อาจถูกส่งต่อทางอีเมลแบบไม่เข้ารหัสหรือแชร์ผ่านลิงก์สาธารณะโดยไม่ได้ตั้งใจ ยิ่งธุรกิจสุขภาพต้องดูแลทั้งข้อมูลผู้ป่วยและข้อมูลอสังหาริมทรัพย์คู่ขนานกัน การแยกสิทธิ์การเข้าถึงให้ชัดเจนจึงเป็นเรื่องที่ต้องตรวจซ้ำทุกครั้งที่มีสาขาใหม่หรือสัญญาเช่าใหม่เกิดขึ้น

อีกมุมที่มักถูกมองข้ามคือระยะเวลาที่เอกสารเหล่านี้ต้องอยู่ในระบบ สัญญาเช่าอาคารคลินิกทั่วไปมักมีอายุสามถึงห้าปีและมีสิทธิ์ต่ออายุ ขณะที่สัญญาสินเชื่อซื้ออาคารโรงพยาบาลอาจยาวนานสิบปีขึ้นไป ตลอดช่วงเวลานั้นเอกสารการเงินและบัตรประชาชนของผู้เช่าหรือผู้กู้ต้องถูกเก็บไว้เพื่ออ้างอิงเมื่อมีข้อพิพาทหรือการต่อสัญญา แต่การเก็บไว้นานไม่ได้แปลว่าทุกคนในองค์กรควรเห็นได้ตลอดเวลา ทีมงานควรแยกชั้นการเข้าถึงระหว่างช่วงที่สัญญายังดำเนินอยู่กับช่วงที่เก็บไว้เพื่ออ้างอิงเท่านั้น เพราะความเสี่ยงจากการเข้าถึงโดยไม่จำเป็นสะสมมากขึ้นตามจำนวนปีที่ผ่านไป

ข้อผิดพลาดที่พบบ่อยเมื่อทำเช็กลิสต์นี้

• เปิดสิทธิ์เข้าถึงโฟลเดอร์เอกสารการเงินให้ทั้งแผนก แทนที่จะจำกัดเฉพาะคนที่อนุมัติสัญญาจริง
• ลืมกำหนดวันหมดอายุการเก็บข้อมูล ปล่อยให้บัตรประชาชนและเอกสารการเงินของผู้เช่าเดิมค้างอยู่ในระบบหลังย้ายออกไปแล้วหลายปี
• ไม่ได้ตรวจสัญญากับบริษัทตรวจสอบเครดิตหรือธนาคารพันธมิตรว่าเขาส่งต่อข้อมูลไปที่ไหนอีกบ้าง
• ใช้อีเมลส่วนตัวหรือแชทไลน์ทีมส่งไฟล์สแกนบัตรประชาชนแทนระบบที่มีการควบคุมสิทธิ์
• ไม่แยกไฟล์หอพักบุคลากรออกจากระบบข้อมูลผู้ป่วย ทำให้ทีมที่ไม่เกี่ยวข้องมองเห็นข้อมูลส่วนตัวของพนักงานโดยไม่จำเป็น

สรุปก่อนเปิดใช้งานจริง

เช็กลิสต์นี้ไม่ได้ออกแบบมาให้ทำครั้งเดียวจบ แต่ควรหยิบมาไล่ทุกครั้งที่ธุรกิจสุขภาพจะเช่าหรือซื้ออสังหาริมทรัพย์ใหม่ ไม่ว่าจะเป็นสาขาคลินิก อาคารโรงพยาบาล หรือหอพักบุคลากร จุดร่วมของทุกกรณีคือเอกสารการเงินและบัตรประชาชนต้องถูกจำกัดสิทธิ์เข้าถึง มีบันทึกการเข้าถึงย้อนหลังได้ และมีวันหมดอายุการเก็บที่ผูกกับอายุสัญญา การไล่ตรวจก่อนเปิดใช้งานแบบนี้ช่วยลดโอกาสที่ข้อมูลจะรั่วไหลระหว่างการส่งต่อไปมาระหว่างเจ้าของอาคาร ธนาคาร และบริษัทตรวจสอบประวัติ แต่ไม่มีเช็กลิสต์ชุดใดที่ทำให้ความเสี่ยงด้านข้อมูลหมดไปทั้งหมด ทีมงานจึงยังต้องทบทวนซ้ำเมื่อมีสัญญาใหม่หรือผู้ให้บริการภายนอกรายใหม่เข้ามาเกี่ยวข้อง ทีมที่ดูแลเรื่องนี้ควรกำหนดให้ชัดว่าใครเป็นเจ้าของงานตรวจเช็กลิสต์นี้ในแต่ละสาขา ไม่ใช่ปล่อยให้เป็นความรับผิดชอบลอยที่ไม่มีใครทำจริง เพราะเมื่อธุรกิจสุขภาพขยายจากหนึ่งสาขาเป็นหลายสิบสาขา จำนวนสัญญาเช่าและซื้ออสังหาริมทรัพย์ที่ต้องดูแลพร้อมกันก็เพิ่มขึ้นตามไปด้วย หากไม่มีเจ้าของงานชัดเจนตั้งแต่ต้น เช็กลิสต์นี้จะกลายเป็นเอกสารที่ทำครั้งแรกแล้วไม่มีใครหยิบมาใช้ซ้ำอีกเลย อ่านรายละเอียดขั้นตอนการวางระบบแบบเต็มรูปแบบเพิ่มเติมได้ที่ คู่มือ PDPA สำหรับอสังหาริมทรัพย์ธุรกิจสุขภาพ และภาพรวมของกลุ่มความรู้ทั้งหมดได้ที่ หมวดธุรกิจ อุตสาหกรรม และ SEO

แหล่งข้อมูลอ้างอิง

เช็กลิสต์นี้อ้างอิงกรอบการคุ้มครองข้อมูลส่วนบุคคลจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก ทีมงานควรตรวจสอบประกาศและแนวปฏิบัติล่าสุดจากเว็บไซต์ทางการก่อนนำไปปรับใช้กับสัญญาเช่าหรือซื้อขายจริงของแต่ละองค์กร เพราะรายละเอียดสัญญาของแต่ละอาคารหรือแต่ละธนาคารพันธมิตรอาจแตกต่างกัน