วิธีวางระบบ PDPA สำหรับ SME สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพแบบเป็นขั้นตอน

การวางระบบ PDPA สำหรับคลินิกหรือธุรกิจสุขภาพขนาดเล็กควรเริ่มจากทำบัญชีรายการข้อมูลคนไข้แบบง่ายในสเปรดชีตเดียว ตามด้วยแก้แบบฟอร์มยินยอมให้ครอบคลุมการใช้ข้อมูลจริงทั้งหมด กำหนดระยะเวลาเก็บและลบข้อมูล และวางขั้นตอนสั้นๆ ว่าถ้ามีเหตุข้อมูลรั่วไหลหรือคนไข้ร้องขอสิทธิ์ต้องติดต่อใคร ไม่จำเป็นต้องมีแผนกกฎหมายเต็มรูปแบบ แต่ต้องมีคนหนึ่งคนรับผิดชอบชัดเจนในแต่ละขั้น

คลินิกกายภาพบำบัดขนาดเล็กแห่งหนึ่งต้องเริ่มวางระบบ PDPA เองทั้งที่ทีมงานทั้งหมดมีแค่นักกายภาพบำบัดสองคนกับพนักงานต้อนรับหนึ่งคน จะจ้างที่ปรึกษากฎหมายมาเขียนนโยบายฉบับเต็มก็เกินงบ จะปล่อยผ่านไปเฉยๆ ก็เสี่ยงเกินไปเพราะข้อมูลอาการและประวัติการบาดเจ็บของคนไข้ล้วนเป็นข้อมูลสุขภาพที่อ่อนไหว คำถามที่ธุรกิจขนาดนี้ต้องการคำตอบไม่ใช่ "ทำอย่างไรให้ครบทุกข้อกำหนดทางกฎหมาย" แต่คือ "ทำอะไรก่อนสามอย่างแรกที่ลดความเสี่ยงได้มากที่สุดด้วยแรงคนเท่าที่มี" บทความนี้ไล่เป็นขั้นตอนที่ทำได้จริงโดยไม่ต้องมีแผนกกฎหมายหรือ DPO ประจำ

ขั้นตอนที่ 1: ทำบัญชีรายการข้อมูลคนไข้แบบง่ายในสเปรดชีตเดียว

ก่อนจะแก้อะไรก็ตาม ต้องรู้ก่อนว่าตอนนี้ข้อมูลคนไข้อยู่ที่ไหนบ้าง เปิดสเปรดชีตเปล่าหนึ่งแผ่นแล้วไล่ถามทุกคนในทีมว่าใช้ระบบหรือช่องทางอะไรบ้างที่มีข้อมูลคนไข้เกี่ยวข้อง เช่น ระบบเวชระเบียนอิเล็กทรอนิกส์ ระบบจองคิวออนไลน์ ไฟล์เอกสารกระดาษในตู้เก็บ กลุ่มไลน์ที่ใช้แจ้งเตือนนัดหมาย หรือแม้แต่สมุดบันทึกหน้าเคาน์เตอร์ ในแต่ละแถวควรบันทึกว่าเก็บข้อมูลอะไร เก็บไว้ที่ไหน ใครเข้าถึงได้ และมีการส่งต่อให้ผู้ให้บริการภายนอกหรือไม่ ขั้นตอนนี้ใช้เวลาไม่เกินครึ่งวันถ้าทำจริงจัง แต่เป็นรากฐานของทุกขั้นตอนถัดไป เพราะถ้าไม่รู้ว่าข้อมูลอยู่ที่ไหน ก็ไม่มีทางเขียนแบบฟอร์มยินยอมหรือกำหนดระยะเวลาเก็บข้อมูลได้อย่างตรงจุด หลักฐานที่ควรเก็บไว้คือไฟล์สเปรดชีตนี้พร้อมวันที่ปรับปรุงล่าสุด

ขั้นตอนที่ 2: แก้แบบฟอร์มยินยอมให้ตรงกับการใช้ข้อมูลจริง

หลายคลินิกใช้แบบฟอร์มยินยอมฉบับเดียวที่เขียนกว้างๆ ตั้งแต่วันเปิดกิจการ แล้วไม่เคยแก้อีกเลยแม้จะเริ่มมีกิจกรรมใหม่ เช่น ส่งโปรโมชั่นทางไลน์ หรือขอรีวิวหลังนัดหมาย ขั้นตอนนี้คือการเทียบบัญชีรายการข้อมูลจากขั้นตอนที่ 1 กับแบบฟอร์มยินยอมที่ใช้อยู่ ว่าครอบคลุมกิจกรรมทั้งหมดหรือไม่ ถ้าไม่ครอบคลุม ต้องแยกให้ชัดระหว่างความยินยอมที่จำเป็นสำหรับการรักษา (ซึ่งปฏิเสธไม่ได้ถ้าจะรับบริการ) กับความยินยอมสำหรับการตลาดหรือการใช้ข้อมูลเพื่อวัตถุประสงค์อื่น (ซึ่งต้องแยกช่องให้คนไข้เลือกได้อิสระ) สำหรับข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหว ต้องขอความยินยอมโดยชัดแจ้ง ไม่ใช้วิธีเขียนป้ายแจ้งเฉยๆ แล้วถือว่ายินยอมโดยปริยาย

ตัวอย่างการแยกช่องยินยอมที่ทำได้จริงในหน้าเดียว

ธุรกิจขนาดเล็กไม่จำเป็นต้องเขียนเอกสารหลายหน้า แค่ทำแบบฟอร์มหน้าเดียวที่มีสามส่วนชัดเจน ส่วนแรกคือข้อมูลที่จำเป็นสำหรับการรักษาพร้อมคำอธิบายสั้นๆ ส่วนที่สองคือช่องติ๊กแยกสำหรับการรับข่าวสารหรือโปรโมชั่น และส่วนที่สามคือช่องติ๊กแยกสำหรับการขอรีวิวหรือใช้ภาพถ่ายเพื่อการตลาด การแยกสามส่วนนี้ทำให้คนไข้เลือกได้จริง และทำให้คลินิกมีหลักฐานชัดว่าใครยินยอมเรื่องไหนบ้าง

ขั้นตอนที่ 3: กำหนดระยะเวลาเก็บและลบข้อมูล

เวชระเบียนมักมีข้อกำหนดทางวิชาชีพเรื่องระยะเวลาเก็บอยู่แล้ว แต่ข้อมูลอื่นที่ไม่ใช่เวชระเบียนโดยตรง เช่น รายชื่อการตลาด ข้อมูลคนไข้ที่ไม่ได้มาใช้บริการแล้วหลายปี หรือประวัติแชทในไลน์ มักไม่มีการกำหนดระยะเวลาไว้เลย ขั้นตอนนี้คือการตั้งกฎง่ายๆ เช่น ข้อมูลการตลาดของคนไข้ที่ไม่ได้ติดต่อกลับมาเกินสองปีจะถูกลบหรือทำให้ไม่ระบุตัวตน และตั้งเตือนในปฏิทินให้มีคนไล่ทำจริงทุกครึ่งปี ไม่ใช่แค่เขียนนโยบายไว้เฉยๆ โดยไม่มีใครทำตาม หลักฐานที่ควรเก็บคือบันทึกการลบข้อมูลแต่ละรอบ พร้อมจำนวนรายการที่ลบและวันที่ดำเนินการ

ขั้นตอนที่ 4: ตรวจสอบผู้ให้บริการภายนอกทุกราย

ระบบจองคิว ระบบส่ง SMS แจ้งเตือน หรือแพลตฟอร์มเก็บรีวิว ล้วนเป็นจุดที่ข้อมูลคนไข้ไหลออกไปนอกธุรกิจ ขั้นตอนนี้คือการไล่รายชื่อผู้ให้บริการทั้งหมดจากบัญชีรายการข้อมูล แล้วตรวจว่าแต่ละรายมีข้อตกลงหรือสัญญาประมวลผลข้อมูลส่วนบุคคลกับคลินิกหรือไม่ ถ้าไม่มี ควรติดต่อผู้ให้บริการเพื่อขอเอกสารนี้ หรือพิจารณาว่ายังจำเป็นต้องใช้บริการนั้นต่อหรือไม่หากผู้ให้บริการไม่สามารถให้ความชัดเจนเรื่องการจัดเก็บข้อมูลได้

ขั้นตอนที่ 5: วางขั้นตอนสั้นๆ สำหรับกรณีฉุกเฉิน

ธุรกิจขนาดเล็กไม่จำเป็นต้องมีแผนรับมือเหตุข้อมูลรั่วไหลแบบองค์กรใหญ่ แต่ควรมีกระดาษหนึ่งแผ่นระบุว่า ถ้าเกิดเหตุข้อมูลรั่วไหลหรือมีคนไข้ร้องขอใช้สิทธิ์ (เช่น ขอลบข้อมูล ขอเข้าถึงข้อมูลของตัวเอง) ใครในทีมเป็นคนแรกที่ต้องรู้เรื่อง และมีเบอร์ติดต่อที่ปรึกษาภายนอกหรือผู้ให้บริการซอฟต์แวร์ไว้ล่วงหน้าหรือไม่ การมีกระดาษนี้ติดไว้ในห้องพนักงานช่วยให้ทีมไม่ต้องเสียเวลาหาข้อมูลตอนเกิดเหตุจริง ซึ่งเป็นช่วงเวลาที่สำคัญที่สุด

ขั้นตอนที่ 6: สอนทีมงานให้รู้ว่าต้องพูดอย่างไรกับคนไข้

ต่อให้มีบัญชีรายการข้อมูลและแบบฟอร์มยินยอมที่ดีแค่ไหน ถ้าพนักงานหน้าเคาน์เตอร์ไม่เข้าใจว่าทำไมต้องให้คนไข้ติ๊กช่องยินยอมแยกกัน ระบบก็จะพังตั้งแต่จุดแรก ขั้นตอนนี้ไม่ต้องใช้เวลาอบรมยาวๆ แค่ใช้เวลาสิบนาทีในที่ประชุมทีมประจำสัปดาห์เพื่ออธิบายสั้นๆ ว่าเหตุใดต้องแยกยินยอมการรักษาออกจากยินยอมการตลาด และถ้าคนไข้ถามว่าทำไมต้องเซ็นเยอะขึ้นกว่าเดิม ควรตอบว่าอย่างไรให้ฟังดูสมเหตุสมผลไม่ใช่เป็นภาระที่คนไข้รู้สึกว่าถูกบังคับ ทีมที่เข้าใจเหตุผลเบื้องหลังจะกรอกข้อมูลถูกต้องมากกว่าทีมที่แค่ทำตามคำสั่งโดยไม่รู้ที่มา

ตัวอย่างสถานการณ์จริงที่มักเกิดขึ้นระหว่างวางระบบ

ลองนึกภาพคลินิกที่เพิ่งเริ่มทำตามห้าขั้นตอนข้างต้น พบว่าเมื่อไล่บัญชีรายการข้อมูลแล้ว มีไฟล์ Excel เก่าที่พนักงานคนหนึ่งเคยส่งออกจากระบบเวชระเบียนไปเก็บไว้ในคอมพิวเตอร์ส่วนตัวเมื่อสองปีก่อนเพื่อทำรายงานสถิติ ไฟล์นี้ไม่มีใครจำได้ว่ายังอยู่จนกระทั่งมาไล่ตรวจตามขั้นตอนที่ 1 นี่คือเหตุผลที่การทำบัญชีรายการข้อมูลต้องถามทุกคนในทีมจริงๆ ไม่ใช่แค่ไล่ดูระบบหลักที่ใช้งานประจำวัน เพราะข้อมูลมักหลุดออกไปอยู่ในที่ที่ไม่มีใครคาดคิดโดยไม่มีเจตนาไม่ดี แต่เกิดจากความสะดวกในการทำงานช่วงหนึ่ง

ข้อผิดพลาดที่พบบ่อยเมื่อ SME ด้านสุขภาพวางระบบ PDPA

• เริ่มจากเขียนนโยบายยาวๆ ก่อนโดยไม่เคยทำบัญชีรายการข้อมูลจริงก่อน ทำให้นโยบายไม่ตรงกับสิ่งที่เกิดขึ้นจริง
• ใช้แบบฟอร์มยินยอมเดียวรวมทุกวัตถุประสงค์ ไม่แยกช่องให้คนไข้เลือกได้อิสระ
• ตั้งนโยบายเก็บ/ลบข้อมูลไว้ในเอกสาร แต่ไม่มีใครลงมือลบจริงตามรอบ
• ลืมตรวจสัญญากับผู้ให้บริการภายนอกเมื่อเปลี่ยนหรือเพิ่มระบบใหม่ระหว่างปี

เมื่อคลินิกขยายเป็นหลายสาขา ระบบยังใช้ได้อยู่หรือไม่

คำถามที่มักตามมาทีหลังคือ ถ้าคลินิกเริ่มมีสาขาที่สอง ระบบห้าขั้นตอนนี้ยังใช้ได้อยู่หรือไม่ คำตอบคือใช้ได้ แต่ต้องขยายบัญชีรายการข้อมูลให้ครอบคลุมทุกสาขา และตรวจว่าข้อมูลคนไข้ถูกแชร์ข้ามสาขากันหรือไม่ เช่น คนไข้ที่เคยรักษาที่สาขาแรกแล้วมาใช้บริการที่สาขาใหม่ ประวัติเดิมถูกดึงมาใช้อย่างไร และคนไข้รับรู้เรื่องนี้ตั้งแต่ตอนยินยอมครั้งแรกหรือไม่ ทีมที่ขยายสาขาโดยไม่ทบทวนจุดนี้มักพบว่าแบบฟอร์มยินยอมเดิมเขียนไว้แคบเกินไปจนไม่ครอบคลุมการใช้ข้อมูลข้ามสาขาที่เกิดขึ้นจริง

ข้อควรระวังเรื่องผลลัพธ์

การทำครบทั้งห้าขั้นตอนนี้ไม่ใช่สูตรที่ทำให้ธุรกิจพ้นจากความเสี่ยงทางกฎหมายโดยสิ้นเชิง เพราะไม่มีระบบใดที่ทำให้ผลลัพธ์แน่นอนตายตัวในทุกสถานการณ์ สิ่งที่ทำได้คือลดความเสี่ยงจากจุดที่มองเห็นได้ชัด และมีหลักฐานว่าธุรกิจพยายามจัดการอย่างมีระบบ ซึ่งต่างจากการไม่ทำอะไรเลยอย่างมีนัยสำคัญเมื่อถูกตรวจสอบหรือสอบถามจากคนไข้

สรุป: วางระบบ PDPA สำหรับธุรกิจสุขภาพขนาดเล็กแบบทำได้จริง

ทีมเล็กที่ไม่มีแผนกกฎหมายสามารถวางระบบ PDPA ได้จริงด้วยห้าขั้นตอนที่ไล่ตามลำดับ ตั้งแต่ทำบัญชีรายการข้อมูล แก้แบบฟอร์มยินยอม กำหนดระยะเวลาเก็บ-ลบ ตรวจสอบผู้ให้บริการภายนอก และวางขั้นตอนฉุกเฉินสั้นๆ ไว้ล่วงหน้า แต่ละขั้นตอนใช้เวลาไม่มากถ้าทำทีละอย่างและมีคนรับผิดชอบชัดเจน ดูภาพรวมทั้งคลัสเตอร์ได้ที่ คู่มือ PDPA สำหรับ SME ธุรกิจสุขภาพ และเมื่อวางระบบเสร็จแล้ว ควรใช้ เช็กลิสต์ก่อนเปิดให้บริการหรือเปิดตัวระบบใหม่ เพื่อยืนยันว่าไม่ตกหล่นจุดไหน หรือดูหัวข้ออื่นเพิ่มเติมที่ Business, Industry & SEO

แหล่งข้อมูลอ้างอิง

อ้างอิงแนวทางจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เกี่ยวกับข้อมูลอ่อนไหวและข้อมูลสุขภาพ ธุรกิจควรตรวจสอบแนวปฏิบัติล่าสุดจากเว็บไซต์ทางการก่อนสรุปนโยบายภายในของตนเอง