วิธี Audit Privacy Policy ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

ในการตรวจสอบ Privacy Policy ของคลินิกและโรงพยาบาลขนาดกลางที่ทีมตรวจสอบภายในมักหยิบมาทบทวนทุกรอบปี พบรูปแบบซ้ำที่น่าสนใจคือเกือบ 7 ใน 10 ฉบับยังใช้ถ้อยคำเดิมจากวันเปิดคลินิกครั้งแรก ทั้งที่ระบบนัดหมายออนไลน์ ระบบเวชระเบียนอิเล็กทรอนิกส์ หรือพาร์ทเนอร์แล็บนอกสถานที่ ถูกเพิ่มเข้ามาในกระบวนการทำงานไปแล้วหลายจุดโดยไม่มีใครแก้เอกสารตาม ตัวเลขนี้สะท้อนปัญหาเดียวกันซ้ำ ๆ คือเอกสารถูกเขียนแล้วปล่อยทิ้งไว้ ไม่ได้ถูกผูกเข้ากับรอบทบทวนที่แท้จริง

บทความนี้วางขั้นตอน Audit Privacy Policy สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพแบบเป็นระบบ ครอบคลุมทั้งจุดที่ต้องตรวจและหลักฐานที่ควรเก็บไว้ทุกครั้งที่ทบทวน เพื่อให้ทีมการตลาดและผู้ดูแลข้อมูลใช้เป็นแนวทางตรวจสอบเอกสารที่มีอยู่แล้ว ไม่ใช่คู่มือเขียนเอกสารใหม่ตั้งแต่ต้น

การ Audit Privacy Policy ของธุรกิจสุขภาพต้องตรวจ 6 จุดหลักคือ ขอบเขตข้อมูลที่ระบุไว้ตรงกับข้อมูลที่ระบบเก็บจริงหรือไม่ ฐานทางกฎหมายและวัตถุประสงค์ครบทุกกิจกรรมหรือไม่ ระยะเวลาเก็บรักษาข้อมูลผู้ป่วยตรงกับนโยบายจัดเก็บเวชระเบียนจริงหรือไม่ ช่องทางใช้สิทธิ์ของผู้ป่วยใช้งานได้จริงหรือไม่ การเปิดเผยข้อมูลให้บุคคลที่สามอย่างบริษัทประกันหรือแล็บภายนอกถูกระบุครบหรือไม่ และโครงสร้างเอกสารอ่านเข้าใจง่ายสำหรับผู้ป่วยทั่วไปหรือไม่ ทุกจุดควรมีหลักฐานประกอบการตรวจเก็บไว้เป็นรอบ แนวทางนี้เป็นหลักปฏิบัติเพื่อให้เอกสารสะท้อนความจริง ไม่ใช่การยืนยันสถานะทางกฎหมายขององค์กร

เช็กพอยต์ที่ 1: ขอบเขตข้อมูลที่ระบุไว้ตรงกับข้อมูลที่เก็บจริงหรือไม่

จุดแรกที่ต้องตรวจคือรายการประเภทข้อมูลที่ Privacy Policy ระบุไว้ ครอบคลุมข้อมูลทุกจุดที่คลินิกเก็บจริงหรือไม่ เช่น ข้อมูลประวัติการรักษา ผลตรวจแล็บ ภาพถ่ายทางการแพทย์ ข้อมูลการนัดหมายผ่านแอปพลิเคชัน และข้อมูลการเบิกจ่ายผ่านบริษัทประกัน ผู้ตรวจควรขอดูรายการฟีเจอร์ทั้งหมดของระบบ HIS (Hospital Information System) หรือระบบนัดหมายที่ใช้งานอยู่ปัจจุบัน แล้วไล่เทียบกับข้อความในเอกสารทีละบรรทัด แทนที่จะอ่านเอกสารแล้วสรุปเอาเองว่าครอบคลุมแล้ว

โรงพยาบาลขนาดกลางแห่งหนึ่งพบระหว่างการตรวจว่าระบบนัดหมายผ่านไลน์ที่เพิ่งเปิดใช้เมื่อสองปีก่อน เก็บเลขบัตรประชาชนของผู้ป่วยไว้ในฐานข้อมูลแยกต่างหากเพื่อยืนยันตัวตนก่อนเข้ารับบริการ แต่ Privacy Policy ฉบับที่เผยแพร่บนเว็บไซต์ไม่เคยกล่าวถึงช่องทางนี้เลย เพราะเอกสารเขียนขึ้นก่อนที่ระบบไลน์จะเปิดใช้งาน

สัญญาณที่บอกว่าขอบเขตข้อมูลในเอกสารล้าหลังระบบจริง

สัญญาณที่พบบ่อยคือเอกสารเขียนคำกว้าง ๆ เช่น ระบุแค่ว่าเก็บ ข้อมูลส่วนบุคคลที่จำเป็นต่อการรักษา โดยไม่แจกแจงประเภทข้อมูลย่อย หากทีมตรวจสอบเจอถ้อยคำแบบนี้ ควรถือเป็นสัญญาณให้ขอรายการข้อมูลจริงจากทีม IT มาเทียบทันที เพราะถ้อยคำกว้างมักซ่อนช่องว่างที่ไม่มีใครสังเกตจนกว่าจะมีคำร้องเรียนจากผู้ป่วย

เช็กพอยต์ที่ 2: ฐานทางกฎหมายและวัตถุประสงค์ครบทุกกิจกรรมหรือไม่

ธุรกิจสุขภาพมีกิจกรรมประมวลผลข้อมูลหลายลักษณะที่ใช้ฐานทางกฎหมายต่างกัน เช่น การรักษาพยาบาลใช้ฐานสัญญาบริการหรือประโยชน์สำคัญต่อชีวิต การวิจัยทางการแพทย์ภายในอาจต้องขอความยินยอมแยก และการส่งข้อมูลให้บริษัทประกันเพื่อเบิกจ่ายอาจใช้ฐานสัญญาที่ผู้ป่วยเป็นคู่สัญญาด้วย ผู้ตรวจควรไล่ดูว่าเอกสารระบุฐานทางกฎหมายแยกตามแต่ละวัตถุประสงค์ชัดเจนหรือใช้คำเดียวครอบคลุมทุกกิจกรรม

คลินิกความงามแห่งหนึ่งเคยเขียนเอกสารโดยอ้างความยินยอมเป็นฐานเดียวสำหรับทุกกิจกรรม รวมถึงการเก็บข้อมูลเพื่อออกใบเสร็จซึ่งเป็นข้อผูกพันทางบัญชีที่ไม่จำเป็นต้องขอความยินยอมแยก การเขียนแบบนี้ทำให้ผู้ป่วยเข้าใจผิดว่าสามารถถอนความยินยอมเพื่อไม่ให้คลินิกเก็บข้อมูลบัญชีได้ ทั้งที่ในทางปฏิบัติทำไม่ได้ตามข้อกำหนดด้านภาษี

เช็กพอยต์ที่ 3: ระยะเวลาเก็บรักษาข้อมูลผู้ป่วยตรงกับนโยบายจัดเก็บเวชระเบียนจริงหรือไม่

สถานพยาบาลส่วนใหญ่มีระเบียบภายในเรื่องระยะเวลาเก็บเวชระเบียนอยู่แล้ว เช่น เก็บไว้ 5 หรือ 10 ปีตามระเบียบกระทรวงสาธารณสุขหรือมาตรฐานของแต่ละสถานพยาบาล แต่ Privacy Policy หลายฉบับกลับเขียนตัวเลขที่ต่างจากระเบียบจัดเก็บจริง หรือไม่ระบุตัวเลขเลย ผู้ตรวจควรขอดูนโยบายจัดเก็บเวชระเบียนจากฝ่ายเวชระเบียนโดยตรง แล้วเทียบกับตัวเลขในเอกสารสาธารณะทีละบรรทัด

โรงพยาบาลแห่งหนึ่งพบว่าฝ่ายเวชระเบียนเก็บไฟล์ภาพเอ็กซเรย์ไว้ในระบบ PACS นานถึง 15 ปีตามมาตรฐานวิชาชีพ แต่ Privacy Policy บนเว็บไซต์เขียนว่าเก็บข้อมูลผู้ป่วยไม่เกิน 5 ปี ความไม่ตรงกันนี้เกิดจากทีมการตลาดที่เขียนเอกสารไม่เคยคุยกับฝ่ายเวชระเบียนโดยตรง

เช็กพอยต์ที่ 4: ช่องทางใช้สิทธิ์ของผู้ป่วยใช้งานได้จริงหรือไม่

เอกสารที่ดีต้องระบุช่องทางที่ผู้ป่วยใช้สิทธิ์ขอเข้าถึง แก้ไข หรือขอสำเนาเวชระเบียนได้จริง ไม่ใช่แค่เขียนว่า ติดต่อโรงพยาบาล โดยไม่มีเบอร์โทรหรือแบบฟอร์มรองรับ ผู้ตรวจควรทดลองติดต่อผ่านช่องทางที่เอกสารระบุด้วยตัวเองว่าได้รับการตอบกลับจริงภายในระยะเวลาที่สมเหตุสมผลหรือไม่ และควรตรวจว่าเจ้าหน้าที่แผนกต้อนรับหรือคอลเซ็นเตอร์รู้ขั้นตอนรับคำขอนี้หรือไม่

คลินิกทันตกรรมแห่งหนึ่งเขียนไว้ในเอกสารว่าผู้ป่วยติดต่อขอสำเนาเวชระเบียนได้ที่แผนกต้อนรับ แต่เมื่อทีมตรวจสอบภายในลองสอบถามพนักงานหน้างานจริง กลับพบว่าไม่มีใครรู้ขั้นตอนหรือแบบฟอร์มที่ต้องใช้ ทำให้สิทธิ์ที่เขียนไว้ในเอกสารไม่มีกระบวนการรองรับจริงเบื้องหลัง

อีกประเด็นที่ควรตรวจคือระยะเวลาตอบกลับ ธุรกิจสุขภาพหลายแห่งเขียนในเอกสารว่าจะดำเนินการตามคำขอ ภายในเวลาอันสมควร โดยไม่ระบุกรอบเวลาชัดเจน ผู้ตรวจควรตรวจสอบว่าภายในองค์กรมีการกำหนดกรอบเวลาภายในไว้หรือไม่ เช่น ตอบกลับคำขอสำเนาเวชระเบียนภายใน 15 วันทำการ และมีบันทึกติดตามคำขอแต่ละครั้งว่าดำเนินการเสร็จตามกรอบเวลานั้นจริงหรือไม่ หากไม่มีการติดตามเป็นระบบ การเขียนกรอบเวลาไว้ในเอกสารก็เป็นเพียงตัวเลขที่ไม่มีอะไรรองรับ เช่นเดียวกับกรณีระยะเวลาเก็บข้อมูลที่กล่าวถึงในเช็กพอยต์ก่อนหน้า

เช็กพอยต์ที่ 5: การเปิดเผยข้อมูลให้บุคคลที่สามถูกระบุครบหรือไม่

ธุรกิจสุขภาพมักส่งข้อมูลผู้ป่วยให้บุคคลที่สามหลายราย เช่น บริษัทประกันเพื่อเบิกจ่าย แล็บภายนอกเพื่อตรวจวิเคราะห์ตัวอย่าง หรือระบบคลาวด์ที่ใช้เก็บเวชระเบียนอิเล็กทรอนิกส์ ผู้ตรวจควรทำรายการผู้รับข้อมูลภายนอกทั้งหมดที่มีสัญญาอยู่จริง แล้วเทียบกับรายชื่อที่ระบุในเอกสาร หากเอกสารระบุแค่คำกว้าง ๆ ว่า พันธมิตรทางธุรกิจ โดยไม่แจกแจงประเภทผู้รับข้อมูล ควรถือเป็นจุดที่ต้องปรับปรุงให้ชัดเจนขึ้น

อีกจุดที่มักถูกมองข้ามคือผู้ให้บริการเทคโนโลยีที่อยู่เบื้องหลังระบบ เช่น ผู้ให้บริการคลาวด์ที่โฮสต์ระบบ HIS หรือบริษัทที่พัฒนาแอปนัดหมาย ซึ่งเข้าถึงข้อมูลผู้ป่วยได้ในฐานะผู้ประมวลผลแทน แม้จะไม่ได้เป็นเจ้าของข้อมูลเอง ผู้ตรวจควรตรวจสอบว่ามีสัญญาประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement) กับผู้ให้บริการเหล่านี้ครบทุกรายหรือไม่ และเอกสาร Privacy Policy ควรกล่าวถึงบทบาทของผู้ให้บริการเทคโนโลยีในลักษณะที่ผู้ป่วยทั่วไปเข้าใจได้ ไม่ใช่แค่คำศัพท์ทางเทคนิคที่ทีมกฎหมายเข้าใจกันเอง

เช็กพอยต์ที่ 6: โครงสร้างเอกสารอ่านเข้าใจง่ายสำหรับผู้ป่วยทั่วไปหรือไม่

นอกจากเนื้อหาต้องครบถ้วน โครงสร้างเอกสารก็มีผลต่อความน่าเชื่อถือ เอกสารที่ดีควรมีหัวข้อแยกชัดเจน เช่น ข้อมูลที่เก็บ วัตถุประสงค์ ระยะเวลาเก็บ สิทธิ์ของผู้ป่วย และช่องทางติดต่อผู้ดูแลข้อมูล แทนที่จะเขียนเป็นย่อหน้ายาวต่อเนื่องกันโดยไม่มีหัวข้อคั่น ผู้ตรวจควรลองให้พนักงานแผนกต้อนรับที่ไม่เคยอ่านเอกสารมาก่อนลองอ่านแล้วสรุปกลับมาว่าเข้าใจว่าคลินิกเก็บข้อมูลอะไรบ้าง หากคำสรุปต่างจากที่ทีมกฎหมายตั้งใจสื่อ นั่นเป็นสัญญาณว่าโครงสร้างหรือถ้อยคำยังซับซ้อนเกินไป

ความถี่ในการ Audit และใครควรเป็นผู้รับผิดชอบ

คำถามที่ทีมการตลาดและผู้ดูแลข้อมูลของธุรกิจสุขภาพมักเจอคือควร Audit บ่อยแค่ไหน และใครควรเป็นเจ้าภาพ คำตอบที่ใช้ได้จริงคือกำหนดรอบทบทวนหลักทุก 6 เดือน บวกกับรอบทบทวนเฉพาะกิจทุกครั้งที่มีการเปลี่ยนแปลงระบบสำคัญ เช่น เปลี่ยนผู้ให้บริการคลาวด์ที่เก็บเวชระเบียน เพิ่มช่องทางนัดหมายใหม่ หรือเริ่มบริการ Telemedicine ที่ต้องส่งข้อมูลผ่านวิดีโอคอลและระบบแชท เจ้าภาพหลักไม่ควรเป็นทีมการตลาดฝ่ายเดียว เพราะทีมนี้มักไม่ทราบรายละเอียดทางเทคนิคของระบบ ควรตั้งเป็นทีมข้ามสายงานที่มีตัวแทนจากฝ่าย IT ฝ่ายเวชระเบียน และผู้ดูแลด้านความเป็นส่วนตัวร่วมกันตรวจ

โรงพยาบาลเอกชนขนาดกลางแห่งหนึ่งจัดรอบ Audit โดยให้ฝ่ายเวชระเบียนและฝ่าย IT ประชุมร่วมกันทุกไตรมาส เพื่อไล่ดูว่ามีระบบใหม่หรือพาร์ทเนอร์ภายนอกรายใดเข้ามาเพิ่มบ้าง ก่อนส่งสรุปให้ทีมกฎหมายพิจารณาว่าต้องปรับเอกสารหรือไม่ วิธีนี้ช่วยให้การเปลี่ยนแปลงเล็ก ๆ เช่น การเปลี่ยนผู้ให้บริการส่ง SMS แจ้งเตือนนัดหมาย ถูกจับได้ตั้งแต่ต้น แทนที่จะรอให้สะสมจนกลายเป็นช่องว่างใหญ่ในการทบทวนประจำปี

หลักฐานที่ควรเก็บไว้ระหว่างการ Audit

การ Audit ที่มีคุณค่าต้องทิ้งร่องรอยไว้เป็นหลักฐาน ไม่ใช่แค่ทำแล้วผ่านไป ทีมควรเก็บตารางเปรียบเทียบข้อมูลที่ระบบเก็บจริงกับข้อความในเอกสารทีละหัวข้อ บันทึกวันที่ตรวจ ชื่อผู้ตรวจ และข้อสรุปว่าจุดใดต้องแก้ไข พร้อมภาพหน้าจอผลการทดลองติดต่อช่องทางใช้สิทธิ์ หลักฐานเหล่านี้มีประโยชน์เมื่อถูกสอบถามจากหน่วยงานกำกับดูแลหรือเมื่อต้องอธิบายให้ผู้บริหารเห็นภาพว่าเอกสารได้รับการดูแลอย่างสม่ำเสมอ ไม่ใช่แค่เขียนทิ้งไว้ครั้งเดียว

ความสัมพันธ์กับบทความอื่นในคลัสเตอร์เดียวกัน

บทความนี้เน้นขั้นตอนตรวจสอบเอกสารที่มีอยู่แล้ว หากต้องการภาพรวมทั้งหมดของ Privacy Policy สำหรับธุรกิจสุขภาพ อ่านเพิ่มเติมได้ที่ Pillar Guide Privacy Policy สำหรับ Healthcare และหากต้องการรายการตรวจสอบก่อนเผยแพร่เอกสารฉบับใหม่หรือฉบับปรับปรุง ดูได้ที่ เช็กลิสต์ Privacy Policy สำหรับ Healthcare

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit Privacy Policy ธุรกิจสุขภาพ

• อ่านเอกสารแล้วสรุปเองว่าครอบคลุมครบ โดยไม่เทียบกับรายการฟีเจอร์จริงของระบบ HIS หรือระบบนัดหมาย
• ใช้ฐานทางกฎหมายเดียวครอบคลุมทุกกิจกรรม ทั้งที่แต่ละกิจกรรมมีลักษณะต่างกัน
• เขียนระยะเวลาเก็บข้อมูลที่ไม่ตรงกับระเบียบจัดเก็บเวชระเบียนจริงของฝ่ายเวชระเบียน
• ระบุช่องทางใช้สิทธิ์ในเอกสาร แต่ไม่มีเจ้าหน้าที่หน้างานรู้ขั้นตอนรองรับจริง
• ไม่แจกแจงรายชื่อผู้รับข้อมูลภายนอก เช่น แล็บหรือบริษัทประกัน ให้ชัดเจนพอ

สรุป

การ Audit Privacy Policy ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ คืองานตรวจสอบเอกสารที่มีอยู่แล้วให้ยังตรงกับระบบจริง ไม่ใช่งานเขียนใหม่ ทีมที่ตรวจครบทั้ง 6 จุด ตั้งแต่ขอบเขตข้อมูล ฐานทางกฎหมาย ระยะเวลาเก็บ ช่องทางใช้สิทธิ์ การเปิดเผยข้อมูลให้บุคคลที่สาม และโครงสร้างเอกสาร พร้อมเก็บหลักฐานการตรวจไว้ทุกรอบ จะมีเอกสารที่สะท้อนความจริงและพร้อมตอบคำถามได้ทันทีเมื่อถูกสอบถาม ดูภาพรวมหัวข้ออื่นในหมวด Policies & Notices เพิ่มเติมได้ที่ คลังความรู้ Policies & Notices

แหล่งข้อมูลอ้างอิง

แนวทางเรื่องฐานทางกฎหมาย สิทธิ์ของเจ้าของข้อมูล และการเปิดเผยข้อมูลด้านสุขภาพ ควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง บทความนี้เป็นแนวทางเชิงปฏิบัติสำหรับทีมการตลาดและผู้ดูแลข้อมูลของธุรกิจสุขภาพ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล