เปรียบเทียบแนวทางจัดการ Record of Processing Activities (ROPA) สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ทำเอง ใช้ปลั๊กอิน หรือใช้แพลตฟอร์ม

เจ้าหน้าที่ธุรการของคลินิกแห่งหนึ่งได้รับอีเมลจากทีมกฎหมายว่าให้ส่ง "บันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล" ภายในสัปดาห์หน้า เธอเปิดโฟลเดอร์ระบบนัดหมาย ระบบเวชระเบียนอิเล็กทรอนิกส์ ระบบเรียกเก็บเงินประกัน และไลน์ที่ใช้แจ้งผลตรวจ แล้วพบว่าไม่มีใครเคยรวบรวมข้อมูลเหล่านี้ไว้เป็นเอกสารเดียวมาก่อน สถานการณ์แบบนี้เกิดขึ้นซ้ำในคลินิกและโรงพยาบาลจำนวนมาก เพราะ Record of Processing Activities หรือ ROPA มักถูกมองว่าเป็นงานเอกสารที่ไม่เร่งด่วนจนกว่าจะมีคนถามหา

ROPA คือทะเบียนที่บันทึกว่าองค์กรเก็บข้อมูลส่วนบุคคลอะไรบ้าง เก็บจากใคร ใช้เพื่อวัตถุประสงค์ใด ส่งต่อให้ใคร และเก็บไว้นานเท่าใด ธุรกิจสุขภาพมีความซับซ้อนเพิ่มขึ้นเพราะข้อมูลจำนวนมากเป็นข้อมูลสุขภาพซึ่งถือเป็นข้อมูลอ่อนไหวตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล บทความนี้เปรียบเทียบสามแนวทางที่คลินิกและโรงพยาบาลเลือกใช้ทำ ROPA คือทำเอง ใช้เทมเพลตหรือปลั๊กอินสำเร็จรูป และใช้แพลตฟอร์มจัดการต่อเนื่อง

ROPA คืออะไร และเกี่ยวข้องกับข้อมูลสุขภาพอย่างไร

ROPA ไม่ใช่ Privacy Policy ที่เผยแพร่ต่อสาธารณะ แต่เป็นเอกสารภายในที่ใช้พิสูจน์ว่าองค์กรรู้จักข้อมูลของตัวเองจริง โดยทั่วไปแต่ละรายการควรระบุ Controller หรือ Processor ประเภทข้อมูล แหล่งที่มา วัตถุประสงค์ ฐานทางกฎหมายที่ต้องให้ผู้เชี่ยวชาญตรวจ ผู้รับข้อมูล การส่งข้อมูลข้ามพรมแดนถ้ามี และระยะเวลาการเก็บ

สำหรับคลินิกและโรงพยาบาล ข้อมูลที่ต้องบันทึกมักครอบคลุมประวัติการรักษา ผลตรวจทางห้องปฏิบัติการ ข้อมูลการนัดหมาย ข้อมูลการเรียกเก็บเงินและประกันสุขภาพ ข้อมูลติดต่อญาติในกรณีฉุกเฉิน และบางครั้งรวมถึงข้อมูลพันธุกรรมหรือสุขภาพจิต ข้อมูลกลุ่มนี้จัดอยู่ในหมวดข้อมูลอ่อนไหวซึ่งกฎหมายกำหนดเงื่อนไขการประมวลผลที่เข้มงวดกว่าข้อมูลทั่วไป องค์กรที่มีข้อมูลลักษณะนี้ควรให้ฝ่ายกฎหมายหรือที่ปรึกษาด้าน PDPA ตรวจสอบฐานการประมวลผลของแต่ละรายการ ไม่ใช่เดาเอาเอง

ตัวเลือกที่ 1: ทำ ROPA เองด้วย Spreadsheet

คลินิกขนาดเล็กที่มีระบบไม่กี่ระบบมักเริ่มต้นด้วยการเปิดตารางคำนวณแล้วไล่สัมภาษณ์แผนกต่าง ๆ ทีละแผนก วิธีนี้ไม่มีค่าใช้จ่ายเพิ่มเติมและควบคุมเนื้อหาได้เต็มที่ แต่มีข้อจำกัดตรงที่ต้องอาศัยวินัยของผู้ดูแลไฟล์ในการอัปเดตทุกครั้งที่มีระบบใหม่เข้ามา เช่น เมื่อคลินิกเริ่มใช้แอปนัดหมายผ่านมือถือ หรือเปลี่ยนผู้ให้บริการห้องแล็บ หากไม่มีใครแจ้งผู้ดูแล ROPA ก็จะไม่ถูกอัปเดตและกลายเป็นเอกสารที่ไม่ตรงกับความเป็นจริงภายในไม่กี่เดือน

วิธีนี้เหมาะกับคลินิกที่มีเจ้าของกิจการหรือผู้จัดการคนเดียวที่รู้ระบบทั้งหมดอยู่แล้ว และมีจำนวนจุดเก็บข้อมูลไม่เกินสิบระบบ หากเกินกว่านั้น ความเสี่ยงที่จะตกหล่นบางระบบจะสูงขึ้นตามจำนวนแผนกและสาขา

ตัวเลือกที่ 2: ใช้เทมเพลตหรือปลั๊กอินสำเร็จรูป

บางคลินิกเลือกดาวน์โหลดเทมเพลต ROPA จากอินเทอร์เน็ตหรือใช้ปลั๊กอินของระบบเวชระเบียนที่มีฟังก์ชันบันทึกกิจกรรมการประมวลผลมาให้ ข้อดีคือเริ่มต้นได้เร็วกว่าการเขียนจากศูนย์ และมีโครงสร้างคอลัมน์ให้กรอกตามมาตรฐานทั่วไป แต่เทมเพลตทั่วไปมักออกแบบมาสำหรับธุรกิจทั่วไป ไม่ได้ระบุช่องสำหรับข้อมูลสุขภาพอ่อนไหวโดยเฉพาะ ทีมงานจึงต้องปรับแก้โครงสร้างเองอยู่ดี และปลั๊กอินที่ผูกกับระบบเดียวมักไม่ครอบคลุมระบบอื่นที่อยู่นอกซอฟต์แวร์นั้น เช่น ไลน์แอดมิน อีเมลนัดหมาย หรือระบบเรียกเก็บเงินแยกต่างหาก

ตัวเลือกที่ 3: ใช้แพลตฟอร์มจัดการต่อเนื่อง

แพลตฟอร์มจัดการ ROPA อย่างต่อเนื่อง เช่นเครื่องมือประเภทที่ trusty ใช้จัดการข้อมูลธุรกิจ ช่วยให้ทีมบันทึกรายการกิจกรรมการประมวลผล ติดตามการเปลี่ยนแปลง และเชื่อมโยงกับผลสแกนเว็บไซต์หรือระบบที่ตรวจพบได้ในที่เดียว แพลตฟอร์มลักษณะนี้ช่วยลดภาระในการอัปเดตด้วยมือ แต่ไม่ได้ทำหน้าที่ตัดสินฐานทางกฎหมายแทนทีมกฎหมาย และไม่ได้มองเห็นข้อมูลที่อยู่นอกระบบดิจิทัล เช่น เอกสารกระดาษในแฟ้มผู้ป่วย หรือการพูดคุยทางโทรศัพท์ระหว่างพยาบาลกับญาติผู้ป่วย

ROPA สำหรับคลินิกและโรงพยาบาลควรเลือกแพลตฟอร์มอย่างไร คำตอบขึ้นอยู่กับจำนวนสาขา จำนวนระบบ IT และจำนวนคนที่ต้องเข้าถึงเอกสารพร้อมกัน หากมีหลายสาขาที่ใช้ระบบต่างกัน การมีศูนย์กลางเดียวที่ทุกแผนกอัปเดตร่วมกันมักคุ้มค่ากว่าการส่งไฟล์ Excel กันไปมาทางอีเมล

ตารางเปรียบเทียบ 3 แนวทาง

ข้อมูลสุขภาพที่ต้องระวังเป็นพิเศษใน ROPA

ข้อมูลสุขภาพประเภทใดต้องระวังเป็นพิเศษใน ROPA เป็นคำถามที่ทีมกฎหมายของคลินิกควรตอบให้ชัดตั้งแต่ต้น เพราะไม่ใช่ทุกข้อมูลที่ใช้เกณฑ์เดียวกันได้ คลินิกทำ ROPA เองได้ไหมถ้าไม่มีทีมกฎหมาย คำตอบคือทำได้ในระดับเริ่มต้น แต่ควรให้ผู้เชี่ยวชาญตรวจทานฐานทางกฎหมายของรายการที่เกี่ยวข้องกับข้อมูลสุขภาพก่อนนำไปใช้จริง เพราะการเลือกฐานผิดอาจกระทบต่อสิทธิของผู้ป่วยและความรับผิดขององค์กร ข้อมูลที่ควรแยกพิจารณาเป็นพิเศษ ได้แก่ ผลตรวจทางพันธุกรรม ประวัติสุขภาพจิต ข้อมูลการติดเชื้อ และภาพถ่ายทางการแพทย์ที่ระบุตัวตนได้

อีกจุดที่มักถูกมองข้ามคือข้อมูลของญาติหรือผู้ติดต่อฉุกเฉินที่คลินิกเก็บไว้ในระบบนัดหมาย ข้อมูลกลุ่มนี้เป็นข้อมูลส่วนบุคคลของบุคคลที่สามซึ่งไม่ใช่ผู้ป่วยโดยตรง แต่ยังต้องปรากฏใน ROPA เช่นกัน

ผู้รับข้อมูลภายนอกและการส่งต่อข้อมูล

คลินิกและโรงพยาบาลแทบทุกแห่งส่งข้อมูลผู้ป่วยออกไปยังบุคคลภายนอกอยู่เสมอ ไม่ว่าจะเป็นบริษัทประกันสุขภาพที่ต้องตรวจสอบสิทธิเบิกจ่าย ห้องปฏิบัติการภายนอกที่รับตรวจชิ้นเนื้อหรือตรวจเลือดเฉพาะทาง บริษัทซอฟต์แวร์ที่ให้บริการระบบเวชระเบียนแบบคลาวด์ หรือแม้แต่ผู้ให้บริการส่งข้อความแจ้งเตือนนัดหมายผ่านมือถือ แต่ละรายการเหล่านี้ควรมีบรรทัดของตัวเองใน ROPA ระบุว่าส่งข้อมูลอะไร ไปให้ใคร ด้วยวัตถุประสงค์ใด และมีข้อตกลงประมวลผลข้อมูลระหว่างกันหรือไม่

หากผู้ให้บริการซอฟต์แวร์เก็บข้อมูลไว้บนเซิร์ฟเวอร์ต่างประเทศ รายการนั้นควรถูกทำเครื่องหมายไว้เป็นพิเศษ เพื่อให้ทีมกฎหมายตรวจสอบเงื่อนไขการส่งข้อมูลข้ามพรมแดนที่เกี่ยวข้อง คลินิกไม่ควรสรุปเองว่าการส่งข้อมูลลักษณะนี้ทำได้หรือไม่ได้โดยไม่ผ่านการตรวจสอบจากผู้ที่มีความรู้ด้านกฎหมายคุ้มครองข้อมูล

ขั้นตอนเริ่มต้นทำ ROPA ใน 5 สัปดาห์

สำหรับคลินิกที่ยังไม่เคยมี ROPA มาก่อน การเริ่มต้นแบบมีกรอบเวลาชัดเจนช่วยให้งานไม่ค้างอยู่ที่ใครคนใดคนหนึ่ง สัปดาห์แรกควรใช้สำรวจรายชื่อระบบและผู้ให้บริการทั้งหมดที่แต่ละแผนกใช้งานจริง โดยสัมภาษณ์หัวหน้าแผนกแทนการเดาจากเอกสารเก่า สัปดาห์ที่สองเป็นการจัดกลุ่มข้อมูลตามประเภท แยกข้อมูลทั่วไปออกจากข้อมูลสุขภาพอ่อนไหว สัปดาห์ที่สามคือการระบุวัตถุประสงค์และผู้รับข้อมูลของแต่ละรายการ สัปดาห์ที่สี่ส่งร่างทั้งหมดให้ทีมกฎหมายหรือที่ปรึกษาตรวจฐานทางกฎหมายเฉพาะรายการที่เกี่ยวข้องกับข้อมูลอ่อนไหว และสัปดาห์ที่ห้าคือการอนุมัติฉบับแรกพร้อมกำหนดผู้รับผิดชอบดูแลต่อเนื่อง

แนวทางนี้ใช้ได้ไม่ว่าจะเลือกทำเอง ใช้เทมเพลต หรือใช้แพลตฟอร์ม เพราะขั้นตอนที่ต้องอาศัยความรู้เกี่ยวกับข้อมูลจริงของคลินิกยังคงเหมือนเดิม เครื่องมือช่วยได้เพียงเรื่องความเร็วในการบันทึกและติดตามการเปลี่ยนแปลงเท่านั้น ไม่สามารถทดแทนความรู้ของทีมงานเกี่ยวกับสิ่งที่เกิดขึ้นจริงในแต่ละแผนกได้

ผู้ป่วยเด็กและผู้ป่วยที่ไม่สามารถให้ความยินยอมได้เอง

คลินิกกุมารเวชและแผนกฉุกเฉินมักเจอกรณีที่ผู้ป่วยเป็นเด็กหรือเป็นผู้ที่ไม่สามารถให้ความยินยอมด้วยตนเองได้ในขณะนั้น ROPA ควรบันทึกแยกไว้ว่ากรณีเหล่านี้ใครเป็นผู้ให้ความยินยอมแทน เช่น ผู้ปกครองหรือญาติผู้มีอำนาจตามกฎหมาย และระบบใดเป็นที่เก็บหลักฐานความยินยอมนั้น เพราะหากเกิดข้อพิพาทในภายหลัง คลินิกจำเป็นต้องแสดงได้ว่าใครเป็นผู้ยินยอมแทนใครในแต่ละครั้ง

ประเด็นนี้ควรถูกยกระดับให้ทีมกฎหมายตรวจสอบร่วมกับฐานทางกฎหมายของข้อมูลสุขภาพอ่อนไหว เพราะเงื่อนไขการให้ความยินยอมแทนผู้เยาว์หรือผู้ไร้ความสามารถอาจแตกต่างจากกรณีทั่วไป การเขียน ROPA ให้ครอบคลุมกรณีเหล่านี้ตั้งแต่ต้นช่วยลดความสับสนเมื่อมีการร้องขอใช้สิทธิของผู้ป่วยในภายหลัง

เช็กลิสต์ปฏิบัติ

• ไล่รายชื่อระบบ IT ทุกระบบที่คลินิกหรือโรงพยาบาลใช้งานจริง รวมถึงแอปมือถือและไลน์แอดมิน
• ระบุประเภทข้อมูลสุขภาพอ่อนไหวแยกจากข้อมูลทั่วไป เช่น ชื่อ ที่อยู่ เบอร์โทร
• บันทึกวัตถุประสงค์การใช้ข้อมูลแต่ละรายการให้ตรงกับการใช้งานจริง ไม่ใช่วัตถุประสงค์ทั่วไป
• ทำเครื่องหมายรายการที่ต้องให้ทีมกฎหมายหรือ DPO ตรวจฐานทางกฎหมายก่อนเผยแพร่
• กำหนดผู้รับผิดชอบอัปเดต ROPA เมื่อมีระบบใหม่หรือผู้ให้บริการรายใหม่เข้ามา
• ตรวจสอบว่าผู้รับข้อมูลภายนอก เช่น บริษัทประกันหรือห้องแล็บภายนอก ถูกบันทึกไว้ครบ
• ต้องอัปเดต ROPA บ่อยแค่ไหน อย่างน้อยควรทบทวนปีละครั้งหรือทันทีที่มีการเปลี่ยนแปลงสำคัญ

ข้อผิดพลาดที่พบบ่อย

• รวมเฉพาะระบบที่ใช้ในแผนกหน้าบ้าน แต่ลืมระบบหลังบ้านอย่างการเรียกเก็บเงินหรือบัญชี
• เขียนวัตถุประสงค์กว้างเกินไป เช่น "เพื่อการรักษา" โดยไม่แยกย่อยกิจกรรมจริง
• ไม่มีคนรับผิดชอบอัปเดตเมื่อเปลี่ยนผู้ให้บริการห้องแล็บหรือระบบเวชระเบียน
• นำเทมเพลตธุรกิจทั่วไปมาใช้ตรง ๆ โดยไม่ปรับช่องสำหรับข้อมูลสุขภาพอ่อนไหว
• เก็บ ROPA ไว้เป็นไฟล์เดียวบนเครื่องคนเดียว ไม่มีการสำรองหรือแชร์ให้ทีมที่เกี่ยวข้อง

สรุป

คลินิกและโรงพยาบาลควรเลือกวิธีทำ ROPA ตามขนาดและความซับซ้อนของระบบที่มีจริง ไม่ใช่ตามความนิยม การทำเองเหมาะกับองค์กรเล็กที่มีจุดเก็บข้อมูลไม่มาก ส่วนแพลตฟอร์มต่อเนื่องช่วยลดภาระเมื่อมีหลายสาขาหรือหลายระบบ แต่ทุกแนวทางยังต้องให้ผู้เชี่ยวชาญตรวจฐานทางกฎหมายของข้อมูลสุขภาพอ่อนไหวก่อนนำไปใช้จริง

แหล่งข้อมูลอ้างอิง

• NIST Privacy Framework
• เช็กลิสต์ ROPA สำหรับธุรกิจสุขภาพ