วิธี Audit PDPA สำหรับ SME ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

การ Audit PDPA สำหรับ SME สายสุขภาพ คือการตรวจสอบเป็นรอบว่าทะเบียนข้อมูลผู้ป่วยยังตรงกับความเป็นจริง แบบฟอร์มความยินยอมครอบคลุมข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหว มีการจำกัดสิทธิ์เข้าถึงเวชระเบียนตามหน้าที่งาน และมีหลักฐานการตรวจทุกครั้งเป็นเอกสาร ไม่ใช่การตรวจครั้งเดียวตอนเปิดคลินิกแล้วไม่แตะอีกเลย

คลินิกและธุรกิจสุขภาพขนาดเล็กจำนวนมากทำแบบฟอร์มยินยอมและนโยบายความเป็นส่วนตัวไว้ตั้งแต่วันเปิดกิจการ แล้วไม่เคยกลับมาดูอีกเลยตลอดหลายปีถัดมา ทั้งที่พนักงานเปลี่ยนหน้าไปหลายรุ่น ระบบเวชระเบียนอัปเกรดใหม่ และมีการเพิ่มบริการเสริม เช่น การนัดหมายผ่านแอปหรือการส่งผลตรวจทางไลน์ ซึ่งแต่ละอย่างล้วนเปลี่ยนวิธีที่ข้อมูลผู้ป่วยไหลเข้าออกคลินิก ปัญหาคือไม่มีใครในทีมงานเล็ก ๆ กลับไปตรวจสอบว่าสิ่งที่เขียนไว้ในนโยบายยังตรงกับสิ่งที่ทำจริงหรือไม่ จนกระทั่งเกิดข้อร้องเรียนหรือถูกตรวจสอบจึงพบว่าเอกสารกับการปฏิบัติจริงห่างกันไปไกลแล้ว บทความนี้วางระบบการตรวจสอบที่ทำได้จริงด้วยทีมงานจำกัด ไม่ต้องมีแผนกกฎหมายเฉพาะ

ทำไมธุรกิจสุขภาพต้อง Audit บ่อยกว่าธุรกิจทั่วไป

ข้อมูลที่คลินิกและโรงพยาบาลขนาดเล็กเก็บ ไม่ใช่แค่ชื่อและเบอร์โทรศัพท์ แต่รวมถึงประวัติการรักษา ผลตรวจ ยาที่แพ้ และบางครั้งรวมถึงข้อมูลทางพันธุกรรมหรือสุขภาพจิต ซึ่งกฎหมายจัดเป็นข้อมูลอ่อนไหวที่ต้องมีมาตรการคุ้มครองสูงกว่าข้อมูลทั่วไป และต้องขอความยินยอมแบบชัดแจ้งแยกต่างหาก ความเสี่ยงจึงไม่ได้อยู่ที่ปริมาณข้อมูล แต่อยู่ที่ความอ่อนไหวของข้อมูลต่อคนคนเดียว หากประวัติการรักษาโรคใดโรคหนึ่งหลุดออกไป ผลกระทบต่อชื่อเสียงหรือความสัมพันธ์ในสังคมของผู้ป่วยอาจรุนแรงกว่าข้อมูลรั่วไหลประเภทอื่นมาก การตรวจสอบเพียงปีละครั้งจึงอาจไม่ทันการเปลี่ยนแปลงของระบบและบุคลากรที่เกิดขึ้นบ่อยในคลินิกขนาดเล็ก

อีกเหตุผลที่ธุรกิจสุขภาพต้อง Audit บ่อยกว่าธุรกิจทั่วไปคือจำนวนจุดสัมผัสข้อมูลที่มากกว่าที่คิด ผู้ป่วยคนหนึ่งอาจให้ข้อมูลผ่านหลายช่องทางในการมาใช้บริการครั้งเดียว ตั้งแต่แบบฟอร์มลงทะเบียนหน้าเคาน์เตอร์ การซักประวัติโดยพยาบาล บันทึกของแพทย์ ผลตรวจจากห้องแล็บ ไปจนถึงใบเสร็จที่ฝ่ายบัญชีออกให้ แต่ละจุดมีคนกลุ่มต่างกันเข้าถึง และมีความเสี่ยงที่จะหลุดออกนอกระบบไม่เท่ากัน คลินิกที่ไม่เคยแยกพิจารณาแต่ละจุดสัมผัสเหล่านี้มักคิดว่าตนเองมีมาตรการเพียงพอแล้วเพราะมีนโยบายฉบับเดียวครอบคลุมทุกอย่าง ทั้งที่ในทางปฏิบัติแต่ละจุดต้องการมาตรการที่ต่างกัน

ขั้นตอนที่ 1: ตรวจทะเบียนข้อมูลผู้ป่วยให้ตรงกับความเป็นจริง

เริ่มจากเปิดทะเบียนข้อมูลที่เคยทำไว้ แล้วเดินสำรวจจริงว่าคลินิกเก็บข้อมูลอะไรเพิ่มขึ้นบ้างนับตั้งแต่ครั้งล่าสุด เช่น มีการเก็บข้อมูลผ่านแอปนัดหมายใหม่หรือไม่ มีการส่งผลตรวจแล็บผ่านช่องทางออนไลน์เพิ่มขึ้นหรือไม่ และระบบเวชระเบียนอิเล็กทรอนิกส์ที่ใช้อยู่ยังเป็นเวอร์ชันเดิมหรือเปลี่ยนผู้ให้บริการไปแล้ว ทุกช่องทางใหม่ที่พบต้องถูกเพิ่มเข้าไปในทะเบียนพร้อมระบุว่าใครเข้าถึงได้และเก็บไว้นานเท่าไหร่ ทะเบียนที่ไม่ได้ปรับปรุงตามการเปลี่ยนแปลงจริงถือว่าใช้อ้างอิงไม่ได้แล้วในทางปฏิบัติ วิธีที่ทีมเล็กทำได้จริงคือกำหนดให้ผู้รับผิดชอบเดินสำรวจทุกแผนกในคลินิกทีละจุด ตั้งแต่เคาน์เตอร์ลงทะเบียน ห้องตรวจ ห้องยา ไปจนถึงฝ่ายบัญชี แล้วถามคำถามเดียวกันกับทุกจุดว่า ตอนนี้เก็บข้อมูลอะไรของผู้ป่วยบ้าง เก็บไว้ที่ไหน และมีใครเข้าถึงได้ คำตอบที่ได้จากการเดินสำรวจจริงมักต่างจากสิ่งที่เขียนไว้ในทะเบียนเดิมเสมอ โดยเฉพาะเมื่อมีการเพิ่มอุปกรณ์หรือซอฟต์แวร์ใหม่โดยไม่ผ่านการแจ้งส่วนกลาง

ขั้นตอนที่ 2: ตรวจแบบฟอร์มความยินยอมและช่องทางที่ใช้ขอ

ตรวจสอบว่าแบบฟอร์มยินยอมที่ใช้อยู่ปัจจุบันครอบคลุมบริการใหม่ทั้งหมดหรือไม่ เช่น หากเพิ่งเปิดบริการให้คำปรึกษาทางไกล ต้องมีการขอความยินยอมสำหรับการบันทึกวิดีโอหรือส่งข้อมูลผ่านช่องทางออนไลน์แยกต่างหาก ไม่ใช่ใช้แบบฟอร์มเดิมที่เขียนไว้ตอนคลินิกยังให้บริการเฉพาะหน้างานเดียว รวมถึงตรวจว่าพนักงานหน้าเคาน์เตอร์ยังคงอธิบายสิทธิ์ของผู้ป่วยตามที่ระบุในแบบฟอร์มจริงหรือไม่ หรือเพียงให้เซ็นผ่าน ๆ โดยไม่ได้อธิบายอะไรเลย เพราะการเซ็นโดยไม่เข้าใจไม่ถือเป็นความยินยอมที่แท้จริงตามเจตนารมณ์ของกฎหมาย วิธีตรวจที่ได้ผลจริงคือให้ผู้ตรวจปลอมตัวเป็นผู้ป่วยเดินเข้าไปใช้บริการจริงหนึ่งรอบ แล้วสังเกตว่าพนักงานอธิบายอะไรบ้างก่อนขอให้เซ็นเอกสาร หากพบว่าเป็นเพียงการยื่นกระดาษให้เซ็นโดยไม่มีคำอธิบายใด ๆ นั่นคือสัญญาณว่าต้องอบรมพนักงานใหม่ ไม่ใช่แค่แก้ไขถ้อยคำในแบบฟอร์ม

ขั้นตอนที่ 3: ตรวจสิทธิ์การเข้าถึงเวชระเบียน

คลินิกขนาดเล็กมักให้พนักงานทุกคนเข้าถึงระบบเวชระเบียนได้เหมือนกันหมดเพื่อความสะดวกในการทำงานแทนกัน แต่การ Audit ต้องตรวจว่าพนักงานฝ่ายบัญชีจำเป็นต้องเห็นประวัติการรักษาโดยละเอียดหรือไม่ หรือควรเห็นแค่ข้อมูลสำหรับออกใบเสร็จ พนักงานที่ลาออกไปแล้วยังมีบัญชีเข้าระบบค้างอยู่หรือไม่ และมีบันทึก log การเข้าถึงข้อมูลผู้ป่วยที่สามารถตรวจสอบย้อนหลังได้หรือไม่หากเกิดข้อสงสัย การจำกัดสิทธิ์ตามหน้าที่งานจริงเป็นหนึ่งในมาตรการที่ลดความเสี่ยงได้มากที่สุดโดยไม่ต้องลงทุนระบบใหญ่ คลินิกขนาดเล็กที่ใช้ระบบเวชระเบียนอิเล็กทรอนิกส์ทั่วไปมักมีฟังก์ชันกำหนดสิทธิ์ตามบทบาทอยู่แล้วโดยไม่ต้องซื้อโมดูลเพิ่ม เพียงแต่ไม่มีใครตั้งค่าใช้งานจริง การ Audit จึงควรตรวจว่าฟังก์ชันเหล่านี้ถูกเปิดใช้และตั้งค่าตรงกับโครงสร้างหน้าที่งานจริงหรือไม่ ดูขั้นตอนวางระบบตั้งแต่ต้นได้ที่ วิธีวางระบบ PDPA สำหรับ SME สายสุขภาพ

ขั้นตอนที่ 4: ตรวจการเก็บรักษาและทำลายข้อมูลผู้ป่วยเก่า

ตรวจว่ามีผู้ป่วยที่ไม่ได้มารับบริการมานานหลายปีแต่ข้อมูลยังอยู่ในระบบโดยไม่มีกำหนดทำลายหรือไม่ และการทำลายข้อมูลที่ผ่านมามีการบันทึกเป็นหลักฐานหรือเพียงลบทิ้งเฉย ๆ โดยไม่มีร่องรอย ธุรกิจสุขภาพบางแห่งมีข้อผูกพันต้องเก็บเวชระเบียนไว้ตามระยะเวลาที่กฎหมายวิชาชีพกำหนด จึงต้องแยกให้ชัดระหว่างข้อมูลที่ต้องเก็บตามข้อบังคับวิชาชีพกับข้อมูลที่เก็บเกินความจำเป็นแล้วโดยไม่มีเหตุผลรองรับ กรณีที่พบบ่อยคือคลินิกเปลี่ยนระบบเวชระเบียนใหม่แต่ยังเก็บระบบเก่าไว้แบบอ่านอย่างเดียวโดยไม่มีใครทบทวนว่าจำเป็นต้องเก็บนานแค่ไหน ทำให้มีข้อมูลผู้ป่วยซ้อนกันอยู่สองระบบโดยไม่มีใครดูแลอย่างจริงจัง การ Audit จึงควรถามตรง ๆ ว่าระบบเก่าที่เลิกใช้แล้วมีแผนปิดหรือทำลายเมื่อไหร่ ไม่ใช่ปล่อยไว้เฉย ๆ เพราะยังไม่มีเวลาจัดการ

ขั้นตอนที่ 5: ตรวจคู่สัญญาภายนอกที่เข้าถึงข้อมูลผู้ป่วย

คลินิกที่ใช้ห้องแล็บภายนอก ระบบคลาวด์เก็บเวชระเบียน หรือแพลตฟอร์มนัดหมายของบริษัทอื่น ต้องตรวจว่าแต่ละรายมีข้อตกลงประมวลผลข้อมูลที่ระบุขอบเขตการใช้ข้อมูลชัดเจนหรือไม่ และหากคู่สัญญารายใดเลิกให้บริการไปแล้ว มีการยืนยันว่าข้อมูลผู้ป่วยถูกลบออกจากระบบของเขาจริงหรือไม่ เพราะคลินิกยังคงมีหน้าที่รับผิดชอบในฐานะผู้ควบคุมข้อมูลแม้จะไม่ได้เก็บข้อมูลด้วยตัวเองโดยตรง คลินิกขนาดเล็กจำนวนมากใช้ระบบคลาวด์ต่างประเทศเพื่อประหยัดต้นทุน ซึ่งอาจเกี่ยวข้องกับการโอนข้อมูลข้ามพรมแดน จุดนี้ควรตรวจสอบเพิ่มเติมว่าผู้ให้บริการมีมาตรการคุ้มครองข้อมูลที่สอดคล้องกับที่กฎหมายไทยกำหนดหรือไม่ และมีข้อตกลงที่ระบุเรื่องนี้ไว้ชัดเจนในสัญญาหรือไม่

สรุปผลการตรวจและ Evidence ที่ต้องเก็บทุกรอบ

ทุกครั้งที่ตรวจสอบเสร็จ ให้บันทึกวันที่ตรวจ ผู้ตรวจ รายการที่พบว่าไม่ตรงกับความเป็นจริง และแผนแก้ไขพร้อมกำหนดเวลา เอกสารชุดนี้คือหลักฐานสำคัญที่แสดงว่าคลินิกมีกระบวนการตรวจสอบต่อเนื่องจริง ไม่ใช่แค่มีนโยบายสวยงามบนกระดาษ หากมีข้อบกพร่องที่แก้ไขได้ทันที ควรปิดงานภายในรอบเดียวกัน ส่วนข้อที่ต้องใช้เวลา เช่น การเปลี่ยนระบบเวชระเบียน ควรมีแผนติดตามในรอบถัดไปแทนที่จะปล่อยค้างไว้เฉย ๆ ทีมงานที่มีคนดูแลเพียงคนเดียวอาจใช้แบบฟอร์มบันทึกผล Audit ง่าย ๆ เป็นตาราง ระบุหัวข้อที่ตรวจ สถานะที่พบ ระดับความเสี่ยง และผู้รับผิดชอบแก้ไข วิธีนี้ทำให้เห็นภาพรวมได้เร็วโดยไม่ต้องเขียนรายงานยาว และยังใช้เป็นหลักฐานอ้างอิงเมื่อทำ Audit รอบถัดไปว่าข้อบกพร่องเดิมได้รับการแก้ไขจริงหรือยังคงค้างอยู่

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit PDPA สายสุขภาพ

• ตรวจแค่เอกสารนโยบายแต่ไม่เดินสำรวจว่าหน้างานจริงทำตามหรือไม่
• ไม่จำกัดสิทธิ์การเข้าถึงเวชระเบียนตามหน้าที่งาน ปล่อยให้พนักงานทุกคนเข้าถึงเท่ากันหมด
• ลืมตรวจบัญชีผู้ใช้งานของพนักงานที่ลาออกไปแล้วว่ายังเข้าระบบได้อยู่หรือไม่
• ไม่มีบันทึกการทำลายข้อมูลผู้ป่วยเก่า ทำให้ตอบไม่ได้ว่าลบไปแล้วจริงหรือยังค้างอยู่
• ไม่ตรวจสอบข้อตกลงประมวลผลข้อมูลกับห้องแล็บหรือระบบคลาวด์ภายนอกที่ใช้งานอยู่

สรุป: Audit ที่ทำได้จริงสำคัญกว่านโยบายที่สวยงาม

การ Audit PDPA สำหรับคลินิกและธุรกิจสุขภาพขนาดเล็กไม่จำเป็นต้องใช้ที่ปรึกษาราคาแพงทุกรอบ แต่ต้องมีคนในทีมที่รับผิดชอบเดินตรวจตามขั้นตอนข้างต้นอย่างสม่ำเสมอ และบันทึกทุกครั้งเป็นหลักฐาน ไม่มีสูตรตายตัวที่ทำให้ผลลัพธ์แน่นอนว่าจะไม่มีข้อร้องเรียนเกิดขึ้นอีก แต่การมีรอบตรวจสอบที่ต่อเนื่องและมีหลักฐานชัดเจนย่อมช่วยลดความเสี่ยงและแสดงเจตนาที่ดีของคลินิกได้มากกว่าการปล่อยผ่านไปเรื่อย ๆ ธุรกิจที่ยังไม่มีเช็กลิสต์ก่อนเปิดใช้งานบริการใหม่สามารถดูเพิ่มเติมได้ที่ เช็กลิสต์ PDPA สำหรับ SME สายสุขภาพ และดูภาพรวมทั้งหมดของ SME สายนี้ได้ที่ คู่มือ PDPA สำหรับ SME สายสุขภาพ

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก ธุรกิจสุขภาพควรตรวจสอบประกาศและแนวปฏิบัติล่าสุดที่เกี่ยวข้องกับข้อมูลสุขภาพโดยตรงจากเว็บไซต์ทางการ และดูภาพรวมหมวดธุรกิจอื่นเพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม