เช็กลิสต์ PDPA สำหรับ SME สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เช็กลิสต์ PDPA ก่อนเปิดใช้งานสำหรับคลินิกและธุรกิจสุขภาพ ต้องครอบคลุมอย่างน้อยสี่เรื่อง คือแบบฟอร์มความยินยอมครอบคลุมบริการใหม่หรือไม่ สิทธิ์การเข้าถึงข้อมูลผู้ป่วยจำกัดตามหน้าที่งานหรือไม่ มีกำหนดเวลาเก็บรักษาและทำลายข้อมูลชัดเจนหรือไม่ และมีคู่สัญญาภายนอกที่ต้องตรวจสอบข้อตกลงประมวลผลข้อมูลหรือไม่

คลินิกแห่งหนึ่งเปิดบริการให้คำปรึกษาทางไกลเพิ่มขึ้นในช่วงปลายปี เพราะลูกค้าหลายคนขอให้มีทางเลือกไม่ต้องเดินทางมาที่คลินิก ทีมงานตื่นเต้นกับฟีเจอร์ใหม่จนลืมกลับไปดูว่าแบบฟอร์มความยินยอมที่ใช้อยู่เดิมเขียนไว้สำหรับการมาพบแพทย์ที่คลินิกเท่านั้น ไม่ได้ครอบคลุมการบันทึกวิดีโอหรือการส่งข้อมูลอาการผ่านแอปเลย จนกระทั่งผู้ป่วยรายหนึ่งสอบถามว่าไฟล์บันทึกการปรึกษาของตนถูกเก็บไว้ที่ไหนและใครเข้าถึงได้บ้าง ทีมงานถึงพบว่าตอบไม่ได้ชัดเจน เหตุการณ์แบบนี้เกิดขึ้นได้ง่ายกับธุรกิจสุขภาพที่เพิ่มบริการใหม่โดยไม่มีจุดตรวจ PDPA ก่อนเปิดใช้งานจริง เช็กลิสต์ด้านล่างนี้คือสิ่งที่ควรตรวจทุกครั้งก่อนเปิดบริการใหม่หรือปรับกระบวนการรับผู้ป่วย

ทำไมต้องมีเช็กลิสต์ก่อนเปิดใช้งานเฉพาะสายสุขภาพ

ธุรกิจสุขภาพจัดการกับข้อมูลอ่อนไหวเป็นหลัก ตั้งแต่ประวัติการรักษาไปจนถึงผลตรวจทางห้องแล็บ การเปิดบริการใหม่แต่ละครั้งมักหมายถึงช่องทางเก็บข้อมูลใหม่ที่ยังไม่เคยถูกประเมินความเสี่ยงมาก่อน หากปล่อยให้เปิดใช้งานโดยไม่มีจุดตรวจ ความเสี่ยงจะสะสมไปเรื่อย ๆ จนยากต่อการแก้ไขย้อนหลัง เช็กลิสต์นี้จึงออกแบบมาให้ทำได้เร็วภายในหนึ่งวันโดยไม่ต้องรอที่ปรึกษากฎหมายทุกครั้ง

สิ่งที่ทำให้คลินิกขนาดเล็กพลาดจุดตรวจเหล่านี้ซ้ำแล้วซ้ำเล่าคือการโฟกัสอยู่ที่การให้บริการทางการแพทย์ให้ดีที่สุดก่อนเสมอ ส่วนเรื่องข้อมูลถูกผลักไปเป็นงานรอง ทั้งที่ในความเป็นจริงทั้งสองเรื่องต้องเดินไปพร้อมกัน เพราะการดูแลข้อมูลผู้ป่วยก็เป็นส่วนหนึ่งของคุณภาพการให้บริการเช่นกัน ทีมงานที่มีคนจำกัดจึงควรกำหนดให้เช็กลิสต์นี้เป็นขั้นตอนบังคับก่อนอนุมัติเปิดบริการใหม่ทุกครั้ง เหมือนกับการตรวจสอบอุปกรณ์การแพทย์ก่อนใช้งานจริง ไม่ใช่ขั้นตอนที่ทำหรือไม่ทำก็ได้ตามความสะดวก

เช็กลิสต์ที่ 1: ความยินยอมครอบคลุมบริการใหม่หรือไม่

ตรวจว่าแบบฟอร์มความยินยอมที่ใช้อยู่ระบุถึงบริการใหม่ที่กำลังจะเปิดหรือไม่ เช่น หากเพิ่มบริการให้คำปรึกษาทางไกล ต้องมีข้อความชัดเจนเรื่องการบันทึกวิดีโอ การส่งข้อมูลผ่านแอป และผู้ที่จะเข้าถึงข้อมูลเหล่านั้น หากแบบฟอร์มเดิมไม่ครอบคลุม ต้องแก้ไขหรือเพิ่มแบบฟอร์มเฉพาะก่อนเปิดให้บริการจริง ไม่ใช่เปิดใช้งานไปก่อนแล้วค่อยแก้ทีหลัง ตัวอย่างที่พบบ่อยคือคลินิกทันตกรรมที่เพิ่มบริการถ่ายภาพเอกซเรย์สามมิติแล้วส่งไฟล์ให้ทันตแพทย์ผู้เชี่ยวชาญภายนอกช่วยวินิจฉัย จุดนี้ต้องมีการแจ้งผู้ป่วยและขอความยินยอมให้ชัดว่าไฟล์ภาพจะถูกส่งต่อไปที่ใครนอกคลินิก ไม่ใช่ถือว่าการยินยอมให้ถ่ายภาพครอบคลุมการส่งต่อข้อมูลไปด้วยโดยอัตโนมัติ

กรณีคลินิกเสริมความงามที่เพิ่มช่องทางขายพ่วงกับบริการปรึกษา

อีกกรณีที่ทีมงานขนาดเล็กมักพลาดคือคลินิกเสริมความงามที่เปิดบริการปรึกษาออนไลน์แล้วผูกเข้ากับระบบขายคอร์สหรือผลิตภัณฑ์พ่วงไปด้วยในหน้าเดียวกัน ลูกค้าที่กรอกอาการผิวเพื่อขอคำปรึกษาอาจไม่รู้ตัวว่าข้อมูลเดียวกันนั้นถูกส่งต่อให้ทีมขายใช้ติดตามผลการซื้อคอร์สด้วย ทั้งที่จุดประสงค์ตอนขอความยินยอมระบุไว้แค่เรื่องการให้คำปรึกษาทางการแพทย์เท่านั้น ทางแก้ที่ทีมงานคนเดียวทำได้จริงคือแยกช่องกาความยินยอมออกเป็นสองส่วนตั้งแต่หน้าฟอร์มแรก ส่วนหนึ่งสำหรับให้แพทย์ใช้วินิจฉัย อีกส่วนสำหรับให้ทีมขายติดต่อกลับเรื่องโปรโมชัน โดยผู้ป่วยต้องเลือกได้อิสระว่าจะยินยอมส่วนไหนบ้าง ไม่ใช่บังคับเลือกทั้งสองอย่างพร้อมกันเพื่อความสะดวกของระบบหลังบ้าน

เช็กลิสต์ที่ 2: สิทธิ์การเข้าถึงข้อมูลตามหน้าที่งาน

ก่อนเปิดบริการใหม่ ต้องกำหนดชัดว่าใครมีสิทธิ์เข้าถึงข้อมูลที่เกิดจากบริการนั้น เช่น บริการให้คำปรึกษาทางไกลควรจำกัดให้เฉพาะแพทย์เจ้าของเคสและพยาบาลที่เกี่ยวข้องเข้าถึงบันทึกวิดีโอได้ ไม่ใช่ให้พนักงานทุกคนในคลินิกเข้าถึงได้เหมือนข้อมูลทั่วไป การตั้งค่าสิทธิ์ตั้งแต่วันแรกง่ายกว่าการไปจำกัดย้อนหลังหลังจากมีข้อมูลสะสมไปแล้วมาก

เช็กลิสต์ที่ 3: กำหนดเวลาเก็บรักษาและทำลายข้อมูล

บริการใหม่แต่ละอย่างควรมีนโยบายเก็บรักษาข้อมูลของตัวเองที่ชัดเจน ไม่ใช่ใช้นโยบายเดิมของบริการอื่นแบบเหมารวม เช่น ไฟล์วิดีโอการปรึกษาทางไกลอาจมีความจำเป็นต้องเก็บสั้นกว่าเวชระเบียนหลัก ควรระบุระยะเวลาที่ชัดเจนตั้งแต่ก่อนเปิดใช้งาน แทนที่จะปล่อยให้ไฟล์สะสมไปเรื่อย ๆ โดยไม่มีกำหนด

ตัวอย่างการกำหนดระยะเวลาที่ทีมงานคนเดียวใช้ได้จริง

ทีมงานที่ไม่มีแผนกกฎหมายหรือ DPO เต็มเวลาไม่จำเป็นต้องเขียนนโยบายเก็บรักษาข้อมูลให้ซับซ้อน สิ่งที่ทำได้จริงคือเปิดสเปรดชีตหนึ่งแผ่นแยกตามประเภทบริการ แล้วระบุระยะเวลาที่ตกลงกันไว้เป็นตัวเลขที่ตรวจสอบย้อนหลังได้ เช่น ไฟล์บันทึกวิดีโอการปรึกษาทางไกลเก็บไว้จนกว่าเคสจะปิดบวกระยะเวลาสำรองอีกช่วงหนึ่งตามที่ทีมกำหนด ส่วนเวชระเบียนหลักต้องเก็บตามระยะเวลาที่กฎหมายด้านสถานพยาบาลกำหนดไว้ ซึ่งยาวกว่าไฟล์วิดีโอมาก และผลตรวจแล็บที่ส่งต่อให้ผู้เชี่ยวชาญภายนอกควรมีกำหนดลบไฟล์ต้นทางออกจากอุปกรณ์ของผู้เชี่ยวชาญหลังส่งผลกลับเรียบร้อยแล้ว การเขียนตัวเลขไว้ในสเปรดชีตแผ่นเดียวแบบนี้ทำให้เมื่อมีคนถามว่าเก็บข้อมูลไว้นานแค่ไหน ทีมงานที่มีคนจำกัดตอบได้ทันทีโดยไม่ต้องเปิดหาเอกสารหลายที่

เช็กลิสต์ที่ 4: คู่สัญญาภายนอกที่เกี่ยวข้องกับบริการใหม่

หากบริการใหม่ต้องใช้แพลตฟอร์มหรือแอปของผู้ให้บริการภายนอก เช่น ระบบวิดีโอคอลหรือระบบจัดเก็บไฟล์คลาวด์ ต้องตรวจสอบก่อนว่าผู้ให้บริการนั้นมีข้อตกลงประมวลผลข้อมูลที่เหมาะสมหรือไม่ และข้อมูลผู้ป่วยที่ผ่านระบบเหล่านั้นถูกเก็บไว้ที่ใด เพราะคลินิกยังคงต้องรับผิดชอบในฐานะผู้ควบคุมข้อมูลแม้จะใช้ระบบของบุคคลภายนอก ดูภาพรวมการวางระบบทั้งหมดได้ที่ คู่มือ PDPA สำหรับ SME สายสุขภาพ

เช็กลิสต์ที่ 5: พนักงานหน้างานเข้าใจสิ่งที่ต้องอธิบายให้ผู้ป่วยฟัง

ก่อนเปิดบริการใหม่ ควรอบรมพนักงานที่ต้องอธิบายเรื่องความยินยอมให้ผู้ป่วยฟังก่อนเซ็นเอกสาร ไม่ใช่แค่ยื่นกระดาษให้เซ็นโดยไม่มีคำอธิบาย เพราะการเซ็นโดยไม่เข้าใจไม่ถือเป็นความยินยอมที่แท้จริง การอบรมสั้น ๆ ก่อนเปิดใช้งานบริการใหม่แต่ละครั้งช่วยลดความเสี่ยงนี้ได้มาก และควรมีการตรวจสอบต่อเนื่องในภายหลัง ดูแนวทางตรวจสอบเป็นรอบได้ที่ วิธี Audit PDPA สำหรับ SME สายสุขภาพ

ข้อผิดพลาดที่พบบ่อยก่อนเปิดใช้งานบริการใหม่

• เปิดบริการใหม่โดยใช้แบบฟอร์มความยินยอมเดิมที่ไม่ครอบคลุมช่องทางใหม่
• ให้พนักงานทุกคนเข้าถึงข้อมูลจากบริการใหม่ได้เท่ากันหมดโดยไม่จำกัดตามหน้าที่งาน
• ไม่กำหนดระยะเวลาเก็บรักษาข้อมูลของบริการใหม่ก่อนเปิดใช้งานจริง
• ไม่ตรวจสอบข้อตกลงประมวลผลข้อมูลกับผู้ให้บริการแพลตฟอร์มภายนอกที่ใช้ในบริการใหม่
• ปล่อยให้เปิดบริการไปก่อนแล้วค่อยแก้ไขปัญหาความยินยอมภายหลัง

ข้อผิดพลาดข้อแรกในลิสต์ด้านบนพบบ่อยที่สุดในทางปฏิบัติ เพราะทีมงานมักคิดว่าแบบฟอร์มความยินยอมเดิมที่ใช้มานานเขียนไว้กว้างพอจะครอบคลุมบริการอะไรก็ได้ในอนาคต ทั้งที่ความจริงแบบฟอร์มที่เขียนไว้กว้างเกินไปกลับมีความเสี่ยงอีกแบบหนึ่ง คือผู้ป่วยอาจโต้แย้งภายหลังว่าตอนเซ็นไม่ได้เข้าใจว่าครอบคลุมถึงบริการที่ยังไม่มีอยู่ในตอนนั้น ทางที่ปลอดภัยกว่าสำหรับทีมขนาดเล็กคือทุกครั้งที่จะเปิดบริการใหม่ ให้ถามตัวเองสั้น ๆ ว่าแบบฟอร์มที่มีอยู่พูดถึงบริการนี้ตรง ๆ หรือไม่ ถ้าคำตอบคือไม่หรือไม่แน่ใจ ให้ถือว่าต้องเพิ่มข้อความหรือทำแบบฟอร์มเฉพาะใหม่เสมอ ไม่ใช้การตีความแบบฟอร์มเดิมให้ครอบคลุมเกินกว่าที่เขียนไว้จริง

สรุป: เช็กก่อนเปิด ดีกว่าตามแก้ทีหลัง

การเปิดบริการใหม่ในคลินิกหรือธุรกิจสุขภาพมักมาพร้อมความตื่นเต้นเรื่องการให้บริการลูกค้าได้ดีขึ้น แต่จุดตรวจ PDPA ทั้งห้าข้อข้างต้นควรถูกทำให้เสร็จก่อนเปิดใช้งานจริงเสมอ ไม่มีสูตรตายตัวที่ทำให้ผลลัพธ์แน่นอนว่าจะไม่มีข้อร้องเรียนเกิดขึ้น แต่การเช็กก่อนเปิดใช้งานทุกครั้งย่อมลดความเสี่ยงได้มากกว่าการปล่อยผ่านไปแล้วค่อยแก้ปัญหาทีหลัง เมื่อผู้ป่วยรายหนึ่งถามคำถามตรง ๆ อย่างในเหตุการณ์ข้างต้น ทีมงานที่เตรียมพร้อมมาก่อนย่อมตอบได้ทันทีโดยไม่ต้องอึกอัก

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก ธุรกิจสุขภาพควรตรวจสอบประกาศและแนวปฏิบัติล่าสุดที่เกี่ยวข้องกับข้อมูลสุขภาพก่อนเปิดบริการใหม่ทุกครั้ง และดูภาพรวมหมวดธุรกิจอื่นเพิ่มเติมได้ที่ ศูนย์ความรู้ธุรกิจและอุตสาหกรรม