วิธี Audit PDPA สำหรับโรงแรมและท่องเที่ยว ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

การ Audit PDPA สำหรับโรงแรมและท่องเที่ยวในบริบทของคลินิก โรงพยาบาล และธุรกิจสุขภาพที่มีบริการที่พักคล้ายโรงแรม ต้องไล่ตรวจตั้งแต่ขั้นตอนจองแพ็กเกจผ่านตัวแทนท่องเที่ยวเชิงสุขภาพ การเก็บสำเนาพาสปอร์ตตอนเช็กอิน การควบคุมสิทธิ์เข้าถึงข้อมูลระหว่างพักฟื้น ไปจนถึงหลักฐานความยินยอมและบันทึกการเข้าถึงที่ต้องเก็บอย่างสม่ำเสมอ ควรทำเป็นรอบทุก 6 เดือนและเก็บเอกสารที่ตรวจสอบย้อนกลับได้ทุกขั้นตอน

เจ้าหน้าที่แผนกต้อนรับผู้ป่วยต่างชาติของโรงพยาบาลแห่งหนึ่งเปิดกล่องเอกสารเช้าวันจันทร์ แล้วพบสำเนาพาสปอร์ตของผู้ป่วยที่เข้าพักในห้องพักฟื้นเมื่อสามเดือนก่อนวางปนอยู่กับใบเสร็จเก่า ไม่มีป้ายกำกับ ไม่มีบันทึกว่าใครเป็นคนหยิบออกมาดูล่าสุด และไม่มีใครจำได้ว่าไฟล์นี้ควรถูกทำลายไปตั้งแต่เมื่อไหร่ นี่คือจุดเริ่มต้นทั่วไปของการ Audit ที่มักถูกมองข้าม เพราะโรงพยาบาลหรือคลินิกที่มีบริการรับผู้ป่วยต่างชาติพร้อมที่พักฟื้น กำลังทำหน้าที่คล้ายโรงแรมโดยไม่รู้ตัว และข้อมูลที่เกิดขึ้นระหว่างทางก็ต้องถูกตรวจสอบด้วยมาตรฐานเดียวกับธุรกิจที่พัก

ผู้จัดการฝ่ายคุณภาพของโรงพยาบาลเดียวกันเล่าในภายหลังว่า กว่าจะรู้ว่าต้องเริ่ม Audit จากตรงไหน ทีมงานใช้เวลาเกือบสองสัปดาห์แค่ไล่หาว่าข้อมูลผู้ป่วยต่างชาติแต่ละคนผ่านมือใครบ้างตั้งแต่วันที่จองแพ็กเกจจนถึงวันที่กลับประเทศ เพราะไม่เคยมีใครวาดเส้นทางข้อมูลไว้เป็นลายลักษณ์อักษรมาก่อน บทความนี้จึงวางกรอบการ Audit สำหรับทีมที่ดูแลผู้ป่วยต่างชาติ ไม่ว่าจะเป็นศูนย์ศัลยกรรม คลินิกเวชศาสตร์ฟื้นฟู หรือโรงพยาบาลที่มีแพ็กเกจตรวจสุขภาพรวมที่พัก โดยยึดมุมมองเดียวกับที่ใช้ตรวจสอบโรงแรม คือดูว่าข้อมูลไหลจากภายนอกเข้ามาอย่างไร ใครแตะต้องข้อมูลบ้างระหว่างที่ผู้ป่วยยังอยู่ในสถานที่ และเมื่อผู้ป่วยกลับบ้านแล้วข้อมูลเหล่านั้นถูกจัดเก็บหรือทำลายอย่างไร

ทำไมธุรกิจสุขภาพที่มีบริการที่พักต้อง Audit ตามแนว PDPA สำหรับโรงแรมและท่องเที่ยว

สถานพยาบาลที่รับผู้ป่วยต่างชาติจำนวนมากทำงานร่วมกับตัวแทนจัดหาแพ็กเกจสุขภาพในต่างประเทศ ซึ่งทำหน้าที่คล้ายแพลตฟอร์มจองที่พักออนไลน์ นั่นคือข้อมูลของผู้ป่วยมักถูกเก็บครั้งแรกโดยตัวแทนหรือบริษัทนำเที่ยวเชิงสุขภาพ ก่อนจะถูกส่งต่อมาให้โรงพยาบาล ทำให้โรงพยาบาลกลายเป็นผู้ควบคุมข้อมูลที่รับข้อมูลมาจากบุคคลที่สามตั้งแต่ต้น ไม่ใช่ผู้เก็บข้อมูลโดยตรงจากผู้ป่วยเสมอไป จุดนี้ต่างจากคลินิกทั่วไปที่พบผู้ป่วยหน้างานเป็นครั้งแรก เพราะข้อมูลชุดแรกที่โรงพยาบาลได้รับอาจผ่านมือคนกลางมาแล้วหนึ่งหรือสองทอด และแต่ละทอดก็อาจมีมาตรฐานการจัดเก็บข้อมูลไม่เท่ากัน

อีกจุดที่ต่างจากธุรกิจสุขภาพทั่วไปคือ กฎหมายไทยกำหนดให้สถานที่พักต้องเก็บสำเนาหนังสือเดินทางของชาวต่างชาติที่เข้าพัก ซึ่งซ้อนทับกับข้อกำหนดของ PDPA ในเรื่องข้อมูลอ่อนไหวและข้อมูลระบุตัวตนระดับสูง ทีม Audit จึงต้องแยกให้ออกว่าการเก็บพาสปอร์ตส่วนไหนเป็นข้อบังคับตามกฎหมายอื่น และส่วนไหนเป็นการเก็บเกินความจำเป็นที่ควรตัดออก เช่น บางแผนกอาจถ่ายสำเนาพาสปอร์ตซ้ำหลายจุดโดยไม่จำเป็น ทั้งที่จุดเดียวก็เพียงพอแล้วหากมีระบบส่งต่อข้อมูลภายในที่ปลอดภัย

นอกจากนี้ยังมีเรื่องโปรไฟล์ผู้ป่วยที่กลับมาตรวจสุขภาพซ้ำทุกปี ซึ่งมีลักษณะเดียวกับโปรแกรมสมาชิกของโรงแรม คือสะสมประวัติการรักษา ความชอบด้านอาหาร และข้อมูลติดต่อในระยะยาว การ Audit จึงต้องครอบคลุมทั้งข้อมูลระยะสั้นตอนเข้าพัก และข้อมูลระยะยาวที่ผูกกับความสัมพันธ์ระหว่างผู้ป่วยกับสถานพยาบาล ยิ่งผู้ป่วยกลับมาบ่อยเท่าไหร่ ประวัติที่สะสมไว้ก็ยิ่งละเอียดขึ้นเท่านั้น และยิ่งจำเป็นต้องมีคนรับผิดชอบตรวจทานสิทธิ์การเข้าถึงเป็นระยะ ไม่ปล่อยให้ระบบเก็บสะสมไปเรื่อยๆ โดยไม่มีใครทบทวน

รูปแบบธุรกิจสุขภาพที่มักเข้าข่ายต้องตรวจสอบแบบเดียวกับโรงแรม

ไม่ใช่ทุกคลินิกที่ต้องยกระดับการตรวจสอบขนาดนี้ แต่มีสัญญาณบางอย่างที่บ่งบอกว่าธุรกิจสุขภาพของท่านกำลังทำงานคล้ายโรงแรมมากพอที่ต้องนำแนวทางนี้มาใช้ เช่น มีห้องพักฟื้นแบบพักค้างคืนสำหรับผู้ป่วยต่างชาติ มีแพ็กเกจที่รวมค่าที่พักและค่ารักษาไว้ด้วยกัน มีการจองผ่านตัวแทนหรือแพลตฟอร์มท่องเที่ยวเชิงสุขภาพในต่างประเทศ หรือมีบริการรถรับส่งและอาหารระหว่างพักฟื้นที่ต้องเก็บข้อมูลความชอบส่วนตัวของผู้ป่วยไว้ล่วงหน้า สถานพยาบาลที่มีลักษณะเหล่านี้ตั้งแต่สองข้อขึ้นไปควรเริ่มวางรอบ Audit อย่างจริงจังได้แล้ว

ข้อมูลที่เก็บในแต่ละขั้นตอนของเส้นทางผู้ป่วยต่างชาติ

ก่อนตรวจสอบ ทีม Audit ควรไล่แผนที่ข้อมูลตามเส้นทางจริงของผู้ป่วย เพราะแต่ละขั้นตอนมีผู้เกี่ยวข้องและความเสี่ยงต่างกัน

ขั้นตอน	ข้อมูลที่มักเก็บ	ใครเกี่ยวข้อง
จองแพ็กเกจ	ชื่อ อีเมล เบอร์โทร ประวัติการรักษาเบื้องต้น	ตัวแทนจัดหาแพ็กเกจ, ทีมประสานงานผู้ป่วยต่างชาติ
เช็กอิน	สำเนาพาสปอร์ต ข้อมูลการเงินสำหรับวางมัดจำ	แผนกต้อนรับ, การเงิน
พักฟื้น	บันทึกอาการ ภาพจากกล้องวงจรปิดในพื้นที่ส่วนกลาง หมายเหตุด้านอาหาร/การเข้าถึง	พยาบาล, ทีมดูแลผู้ป่วยใน
เช็กเอาต์และติดตามผล	ผลตรวจ นัดหมายครั้งถัดไป ข้อมูลติดต่อสำหรับส่งข่าวสาร	ทีมการตลาด, ทีมติดตามผล

เมื่อเห็นแผนที่นี้แล้ว ทีม Audit จะเห็นได้ทันทีว่าจุดที่มีความเสี่ยงสูงสุดคือรอยต่อระหว่างตัวแทนจัดหาแพ็กเกจกับแผนกต้อนรับ เพราะเป็นจุดที่ข้อมูลเปลี่ยนมือจากภายนอกเข้าสู่ระบบภายใน และมักไม่มีใครเป็นเจ้าของกระบวนการชัดเจน รองลงมาคือรอยต่อระหว่างทีมพยาบาลที่ดูแลระหว่างพักฟื้นกับทีมการตลาดที่นำข้อมูลติดต่อไปใช้ต่อหลังผู้ป่วยเช็กเอาต์แล้ว เพราะสองทีมนี้มักมองข้อมูลชุดเดียวกันด้วยวัตถุประสงค์ที่ต่างกันโดยสิ้นเชิง

ตัวอย่างจริง: แพ็กเกจศัลยกรรมความงามรวมที่พัก 5 คืน

ลองนึกภาพผู้ป่วยจากประเทศเพื่อนบ้านที่จองแพ็กเกจศัลยกรรมความงามผ่านตัวแทนในประเทศตนเอง ตัวแทนเก็บชื่อ หนังสือเดินทาง และประวัติแพ้ยาไว้ตั้งแต่ต้น ก่อนส่งไฟล์มาให้โรงพยาบาลไทยล่วงหน้าสองสัปดาห์ พอผู้ป่วยเดินทางถึง แผนกต้อนรับถ่ายสำเนาพาสปอร์ตซ้ำอีกครั้งเพื่อยืนยันตัวตน ระหว่างพักฟื้นห้าคืน มีพยาบาลผลัดเปลี่ยนดูแลอย่างน้อยสามกะ แต่ละกะบันทึกอาการลงระบบคนละหน้าจอ และเมื่อกลับประเทศแล้ว ทีมการตลาดยังคงมีชื่อและอีเมลของผู้ป่วยอยู่ในระบบส่งข่าวสารแพ็กเกจใหม่ต่อไปโดยไม่มีใครถามว่าผู้ป่วยต้องการรับข่าวสารต่อหรือไม่ ทุกจุดที่กล่าวมาคือจุดที่ทีม Audit ต้องเข้าไปตรวจสอบแยกกันทีละจุด

ขั้นตอน Audit ที่ควรทำทุก 6 เดือน

1. ตรวจสอบสัญญากับตัวแทนจัดหาแพ็กเกจ ว่าระบุชัดเจนหรือไม่ว่าใครเป็นผู้ควบคุมข้อมูล ใครเป็นผู้ประมวลผลแทน และมีข้อกำหนดการส่งต่อข้อมูลอย่างปลอดภัยหรือไม่
2. สุ่มตรวจไฟล์สำเนาพาสปอร์ต ในระบบจัดเก็บ ว่าถูกเข้ารหัสหรือเก็บในโฟลเดอร์ที่จำกัดสิทธิ์เฉพาะทีมที่จำเป็นต้องใช้จริงหรือไม่
3. ตรวจสอบสิทธิ์การเข้าถึงระบบเวชระเบียนของผู้ป่วยต่างชาติ ว่าจำกัดเฉพาะทีมดูแลตรงหรือเปิดกว้างเกินจำเป็น และมี log การเข้าถึงที่ดึงย้อนหลังได้
4. ทบทวนตำแหน่งกล้องวงจรปิด ในพื้นที่ส่วนกลางของห้องพักฟื้น ว่าไม่ล้ำเข้าไปในพื้นที่ที่ควรเป็นส่วนตัว และมีป้ายแจ้งเตือนการติดตั้งกล้องอย่างชัดเจน
5. ตรวจสอบระยะเวลาการเก็บข้อมูลของผู้ป่วยที่ไม่ได้กลับมาซ้ำ ว่ามีการกำหนดรอบทำลายหรือลบข้อมูลตามนโยบาย ไม่ปล่อยให้ค้างอยู่ในระบบไม่มีกำหนด
6. สัมภาษณ์ทีมแผนกต้อนรับและทีมการตลาด ว่าเข้าใจตรงกันหรือไม่ว่าข้อมูลติดต่อผู้ป่วยเดิมใช้ส่งข่าวสารได้ในขอบเขตไหน และผู้ป่วยเคยขอถอนความยินยอมหรือไม่

หลักฐาน (Evidence) ที่ควรเก็บไว้พิสูจน์การปฏิบัติตาม

การ Audit จะไม่มีความหมายถ้าไม่มีหลักฐานที่จับต้องได้เก็บไว้ย้อนดูภายหลัง ทีมควรเก็บอย่างน้อยดังนี้

• สำเนาสัญญาหรือข้อตกลงการแบ่งหน้าที่ข้อมูลกับตัวแทนจัดหาแพ็กเกจ พร้อมวันที่ทบทวนล่าสุด
• บันทึกผลการสุ่มตรวจไฟล์พาสปอร์ตในแต่ละรอบ พร้อมรายชื่อผู้ตรวจและวันที่
• รายงานสิทธิ์การเข้าถึงระบบเวชระเบียนที่ดึงจากระบบ IT พร้อมการเปรียบเทียบกับรอบก่อนหน้า
• ภาพถ่ายหรือแผนผังตำแหน่งกล้องวงจรปิดที่อัปเดตทุกครั้งที่มีการติดตั้งเพิ่ม
• บันทึกคำขอถอนความยินยอมหรือคำร้องขอลบข้อมูลจากผู้ป่วย พร้อมวันที่ดำเนินการเสร็จสิ้น

หลักฐานเหล่านี้ไม่จำเป็นต้องอยู่ในระบบซับซ้อน แม้แต่ตารางบันทึกใน spreadsheet ที่มีวันที่ ผู้รับผิดชอบ และผลการตรวจแต่ละครั้งก็เพียงพอ ตราบใดที่ทีมสามารถดึงย้อนหลังมาแสดงได้เมื่อมีการสอบถามจากผู้บริหารหรือหน่วยงานกำกับดูแล สิ่งที่สำคัญกว่าปริมาณเอกสารคือความสม่ำเสมอ นั่นคือต้องมีการบันทึกทุกรอบจริง ไม่ใช่แค่รอบแรกที่เริ่มทำแล้วขาดช่วงไปเมื่อทีมงานเปลี่ยนคนดูแล

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit คลินิกและโรงพยาบาลที่มีบริการคล้ายโรงแรม

• มองว่าข้อมูลที่ตัวแทนจัดหาแพ็กเกจส่งมาเป็น "ข้อมูลที่ผ่านการตรวจสอบแล้ว" โดยไม่เคยตรวจสัญญาหรือแหล่งที่มาจริง
• เก็บสำเนาพาสปอร์ตไว้ในโฟลเดอร์ใช้ร่วมกันของทั้งแผนก แทนที่จะจำกัดเฉพาะผู้ที่ต้องใช้จริง
• ลืมทบทวนสิทธิ์การเข้าถึงเมื่อพนักงานลาออกหรือย้ายแผนก ทำให้บัญชีเก่ายังเปิดเข้าเวชระเบียนได้
• ใช้ข้อมูลติดต่อของผู้ป่วยเก่าส่งโปรโมชันแพ็กเกจสุขภาพใหม่ โดยไม่เคยตรวจสอบว่าผู้ป่วยยินยอมรับข่าวสารระยะยาวไว้หรือไม่
• ไม่มีใครในทีมเป็นเจ้าของกระบวนการ Audit อย่างชัดเจน ทำให้แต่ละรอบตรวจใช้วิธีต่างกันและเทียบผลกับรอบก่อนหน้าไม่ได้

สังเกตว่าข้อผิดพลาดส่วนใหญ่ไม่ได้เกิดจากความตั้งใจ แต่เกิดจากการที่ไม่มีใครกำหนดเจ้าของกระบวนการชัดเจนตั้งแต่ต้น เมื่อไม่มีเจ้าของ ก็ไม่มีใครรู้สึกว่าต้องรับผิดชอบเมื่อพบข้อมูลตกค้างหรือสิทธิ์การเข้าถึงที่เปิดกว้างเกินไป การกำหนดผู้รับผิดชอบรายจุดตั้งแต่ก่อนเริ่ม Audit รอบแรกจึงเป็นเงื่อนไขที่สำคัญไม่แพ้ตัวขั้นตอนเอง

สรุป

การ Audit ธุรกิจสุขภาพที่มีบริการที่พักคล้ายโรงแรมต้องมองข้อมูลเป็นเส้นทางเดียวกันตั้งแต่ต้นจนจบ ไม่ใช่ตรวจแค่จุดใดจุดหนึ่ง เพราะความเสี่ยงมักซ่อนอยู่ตรงรอยต่อระหว่างหน่วยงาน เช่น ระหว่างตัวแทนจัดหาแพ็กเกจกับแผนกต้อนรับ หรือระหว่างทีมพยาบาลกับทีมการตลาดที่ใช้ข้อมูลติดต่อเดิม การทำรอบตรวจทุก 6 เดือนพร้อมเก็บหลักฐานที่ตรวจสอบย้อนกลับได้ จะช่วยให้ทีมเห็นจุดอ่อนก่อนที่จะกลายเป็นปัญหาจริง แนวทางนี้ควรใช้คู่กับภาพรวม PDPA สำหรับโรงแรมและท่องเที่ยวของธุรกิจสุขภาพ และเช็กลิสต์ก่อนเปิดใช้งานระบบใหม่แต่ละครั้ง

แหล่งข้อมูลอ้างอิง

ทีมควรอ้างอิงแนวปฏิบัติจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เป็นหลัก และทบทวนคู่กับนโยบายภายในของสถานพยาบาลเองทุกรอบ Audit เพราะแนวปฏิบัติด้านข้อมูลอ่อนไหวในภาคสุขภาพมักได้รับการปรับปรุงเป็นระยะ การตั้งเตือนให้ทีมกลับมาอ่านซ้ำทุกครั้งก่อนเริ่มรอบตรวจใหม่จะช่วยลดโอกาสใช้แนวทางที่ล้าสมัยไปแล้วโดยไม่รู้ตัว ดูภาพรวมเพิ่มเติมได้ที่หมวด Business, Industry & SEO ของ trusty