วิธี Audit สิทธิของเจ้าของข้อมูลส่วนบุคคล ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

คลินิกและโรงพยาบาลเอกชนขนาดกลางบางแห่งพบว่าตัวเองได้รับคำร้องขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลเฉลี่ยมากกว่าหนึ่งครั้งต่อเดือนในช่วงสองปีที่ผ่านมา ส่วนใหญ่เป็นคำร้องขอเข้าถึงประวัติการรักษาของตัวเอง ขอสำเนาผลตรวจเพื่อนำไปใช้เคลมประกัน หรือคำร้องจากญาติของผู้ป่วยที่ต้องการข้อมูลแทนผู้ป่วยที่เสียชีวิตไปแล้ว ตัวเลขนี้สูงกว่าที่ผู้บริหารหลายรายคาดไว้มาก เพราะข้อมูลสุขภาพเป็นข้อมูลที่คนไข้และครอบครัวให้ความสำคัญและอยากรู้สิทธิ์ของตัวเองมากขึ้นเรื่อยๆ การมีระบบรับคำร้องเพียงอย่างเดียวจึงไม่พอ ต้องมีการ Audit เป็นระยะเพื่อยืนยันว่าระบบนั้นยังทำงานได้จริง

บทความนี้เป็นแนวทาง Audit สิทธิของเจ้าของข้อมูลส่วนบุคคลสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ ครอบคลุมสิ่งที่ต้องตรวจในแต่ละรอบ หลักฐานที่ควรเก็บ กรณีเฉพาะของธุรกิจสุขภาพ เช่น คำร้องจากญาติหรือผู้ป่วยที่เสียชีวิต และสัญญาณที่บอกว่าต้อง Audit ด่วนกว่ากำหนดปกติ

การ Audit ระบบรับคำร้องสิทธิของเจ้าของข้อมูลสำหรับธุรกิจสุขภาพ คือการตรวจสอบเป็นระยะว่าช่องทางรับคำร้อง การยืนยันตัวตนผู้ป่วยหรือญาติ การส่งต่อภายใน และการตอบกลับภายในกำหนดเวลา ยังทำงานได้จริงหรือไม่ พร้อมตรวจสอบว่ามีหลักฐานครบถ้วนสำหรับทุกคำร้องที่ผ่านมา รวมถึงกรณีเฉพาะอย่างคำร้องจากญาติผู้ป่วยหรือผู้ป่วยที่เสียชีวิตแล้ว ซึ่งต้องมีเกณฑ์ยืนยันตัวตนที่ต่างจากผู้ป่วยทั่วไป

ทำไมธุรกิจสุขภาพต้อง Audit ระบบรับคำร้องสิทธิ์เป็นระยะ

ข้อมูลสุขภาพจัดเป็นข้อมูลอ่อนไหวที่มีความเสี่ยงสูงกว่าข้อมูลทั่วไปเมื่อเกิดข้อผิดพลาด การตอบคำร้องผิดคนหรือเปิดเผยประวัติการรักษาให้บุคคลที่ไม่ใช่เจ้าของข้อมูลจริง อาจสร้างความเสียหายรุนแรงทั้งต่อผู้ป่วยและต่อชื่อเสียงของสถานพยาบาล ระบบที่เคยออกแบบไว้ดีตอนเริ่มต้นอาจไม่ทันการเปลี่ยนแปลง เช่น เมื่อคลินิกเปิดสาขาใหม่ เปลี่ยนระบบเวชระเบียนอิเล็กทรอนิกส์ หรือเพิ่มช่องทางนัดหมายผ่านแอปที่เก็บข้อมูลเพิ่มขึ้น การ Audit เป็นระยะจึงเป็นวิธีเดียวที่ทำให้มั่นใจได้ว่าระบบยังรองรับความเปลี่ยนแปลงเหล่านี้อยู่

สิ่งที่ต้องตรวจในการ Audit แต่ละรอบ

การ Audit ที่มีประโยชน์จริงต้องตรวจทั้งกระบวนการและตัวอย่างคำร้องจริงที่ผ่านมา ไม่ใช่แค่อ่านเอกสารนโยบายผ่านๆ

รอบการตรวจสอบที่แนะนำ

ธุรกิจสุขภาพควร Audit ระบบรับคำร้องสิทธิ์อย่างน้อยทุก 6 เดือน และเพิ่มรอบตรวจพิเศษทันทีเมื่อมีการเปลี่ยนระบบเวชระเบียน เปิดสาขาใหม่ หรือเปลี่ยนผู้ให้บริการระบบนัดหมายที่เก็บข้อมูลผู้ป่วย เพราะการเปลี่ยนแปลงเหล่านี้มักทำให้ช่องทางรับคำร้องเดิมใช้ไม่ได้ หรือทำให้ข้อมูลผู้ป่วยกระจายไปอยู่ในระบบใหม่ที่ทีมรับคำร้องยังไม่รู้ว่าต้องดึงข้อมูลจากตรงไหนบ้าง คลินิกขนาดเล็กที่มีทรัพยากรจำกัดอาจเลือกทำ Audit แบบย่อทุก 3 เดือนแทน โดยเน้นสุ่มตรวจคำร้องเพียงไม่กี่กรณีแทนการตรวจครบทุกกรณีเหมือนรอบใหญ่ทุก 6 เดือน เพื่อให้ยังจับสัญญาณปัญหาได้เร็วโดยไม่ใช้ทรัพยากรมากเกินไป

กรณีเฉพาะของธุรกิจสุขภาพที่ต้องระวังเป็นพิเศษ

คำร้องสิทธิ์ในธุรกิจสุขภาพมีความซับซ้อนกว่าธุรกิจทั่วไปตรงที่ผู้ร้องไม่ใช่เจ้าของข้อมูลเสมอไป การ Audit จึงต้องตรวจสอบกรณีเหล่านี้เป็นพิเศษ

• คำร้องจากญาติของผู้ป่วยที่ยังมีชีวิตอยู่ — ต้องมีหลักฐานยินยอมจากผู้ป่วยเองหรือหลักฐานอำนาจตามกฎหมาย ไม่ใช่ให้ข้อมูลเพียงเพราะผู้ร้องอ้างว่าเป็นญาติ
• คำร้องเกี่ยวกับผู้ป่วยที่เสียชีวิตแล้ว — ต้องมีเกณฑ์ที่ชัดเจนว่าใครมีสิทธิ์ขอข้อมูลแทน เช่น ทายาทตามกฎหมาย พร้อมเอกสารยืนยันความสัมพันธ์
• คำร้องเกี่ยวกับผู้ป่วยเด็กหรือผู้ไร้ความสามารถ — ต้องยืนยันว่าผู้ร้องเป็นผู้ปกครองหรือผู้แทนโดยชอบธรรมจริง
• คำร้องที่มาพร้อมข้อพิพาทเรื่องการรักษา — ต้องระวังเป็นพิเศษเพราะข้อมูลที่ตอบไปอาจถูกใช้เป็นหลักฐานในกระบวนการทางกฎหมายภายหลัง จึงควรให้ทีมกฎหมายตรวจทานคำตอบก่อนส่งทุกครั้ง

ใครควรเป็นผู้ทำ Audit และควรมีส่วนร่วมจากใครบ้าง

การ Audit ที่ทำโดยคนคนเดียวจากทีม Privacy เพียงลำพัง มักมองข้ามรายละเอียดที่หน้างานจริงเจอ เพราะคนที่เขียนนโยบายกับคนที่รับสายลูกค้าหน้าเคาน์เตอร์เห็นปัญหาคนละมุม แนวทางที่ได้ผลดีกว่าคือให้ทีม Privacy เป็นผู้นำการ Audit แต่ดึงตัวแทนจากแผนกที่สัมผัสคำร้องสิทธิ์โดยตรงเข้ามาร่วมด้วย เช่น เจ้าหน้าที่เวชระเบียน พยาบาลที่ดูแลจุดรับผู้ป่วย และทีม IT ที่ดูแลระบบเวชระเบียนอิเล็กทรอนิกส์ เพราะแต่ละกลุ่มจะรู้ปัญหาที่ไม่เคยถูกบันทึกไว้ในเอกสารทางการ เช่น พยาบาลอาจรู้ว่ามีคำร้องบางประเภทที่มักถูกถามซ้ำแล้วซ้ำเล่าเพราะขั้นตอนไม่ชัดเจน ขณะที่ทีม IT อาจรู้ว่าระบบบางส่วนดึงข้อมูลผู้ป่วยได้ไม่ครบเพราะโครงสร้างฐานข้อมูลเก่าที่ยังไม่ได้อัปเดต

สำหรับโรงพยาบาลขนาดใหญ่ที่มีหลายแผนก ควรพิจารณาแต่งตั้งผู้ประสานงานประจำแผนกอย่างน้อยแผนกละหนึ่งคนเพื่อเป็นจุดติดต่อเมื่อทีม Privacy ต้องการข้อมูลระหว่างทำ Audit ผู้ประสานงานเหล่านี้ไม่จำเป็นต้องเป็นผู้เชี่ยวชาญด้านกฎหมาย แต่ต้องเข้าใจว่าแผนกตนเองเก็บข้อมูลอะไรบ้างและส่งต่อข้อมูลไปที่ไหนบ้าง เพื่อให้การรวบรวมข้อมูลตอนตอบคำร้องขอเข้าถึงข้อมูลทำได้เร็วและครบถ้วนมากขึ้น

ตัวอย่างสถานการณ์ที่พบจากการ Audit จริงและวิธีแก้ไข

การ Audit ที่ทำอย่างจริงจังมักเจอปัญหาที่ไม่มีใครคาดคิดมาก่อน ตัวอย่างต่อไปนี้เป็นสถานการณ์ที่พบได้บ่อยในธุรกิจสุขภาพขนาดกลางถึงใหญ่ ซึ่งช่วยให้ทีมที่กำลังจะเริ่ม Audit เห็นภาพว่าควรมองหาอะไร

ความสัมพันธ์กับภาพรวมของสิทธิเจ้าของข้อมูล

การ Audit ที่อธิบายในบทความนี้เป็นเพียงส่วนหนึ่งของการดูแลสิทธิของเจ้าของข้อมูลทั้งระบบ สำหรับภาพรวมของสิทธิทั้งหกประเภทและระบบที่ต้องมีตั้งแต่ต้น อ่านเพิ่มเติมได้ที่ คู่มือสิทธิของเจ้าของข้อมูลสำหรับธุรกิจสุขภาพ ส่วนเช็กลิสต์ก่อนเปิดใช้งานระบบหรือช่องทางใหม่ที่เก็บข้อมูลผู้ป่วยเพิ่ม อ่านได้ที่ เช็กลิสต์สิทธิของเจ้าของข้อมูลสำหรับธุรกิจสุขภาพ

สัญญาณที่บอกว่าต้อง Audit ด่วนกว่ากำหนดปกติ

บางสัญญาณบ่งบอกว่าไม่ควรรอถึงรอบ 6 เดือน เช่น มีคำร้องที่ตอบเลยกำหนดเวลาเกิดขึ้นแม้เพียงครั้งเดียว มีเจ้าหน้าที่ใหม่รับหน้าที่ดูแลคำร้องสิทธิ์โดยยังไม่ได้อบรม มีการร้องเรียนจากผู้ป่วยว่าไม่ได้รับคำตอบ หรือมีการเปลี่ยนผู้ให้บริการระบบเวชระเบียนอิเล็กทรอนิกส์ สัญญาณเหล่านี้ควรกระตุ้นให้ทีมที่ดูแลเรื่องนี้ Audit ทันทีแทนที่จะรอรอบถัดไป เพราะความเสี่ยงที่จะเกิดคำร้องผิดพลาดซ้ำมีสูงในช่วงเปลี่ยนผ่าน

ขั้นตอนหลัง Audit: จัดทำแผนแก้ไขและติดตามผล

ผลการ Audit ที่ดีที่สุดจะไร้ประโยชน์ถ้าไม่มีใครติดตามว่าปัญหาที่พบถูกแก้ไขจริงหรือไม่ หลังจบการ Audit แต่ละรอบ ทีมที่รับผิดชอบควรจัดทำแผนแก้ไขที่ระบุปัญหาแต่ละข้อ ผู้รับผิดชอบแก้ไข และกำหนดเวลาที่ต้องแก้เสร็จอย่างชัดเจน ไม่ใช่แค่บันทึกปัญหาไว้ในรายงานแล้วจบ เพราะประสบการณ์จากคลินิกและโรงพยาบาลหลายแห่งชี้ว่าปัญหาเดิมมักกลับมาซ้ำในรอบ Audit ถัดไปหากไม่มีการติดตามอย่างจริงจัง

แนวทางที่ใช้ได้ผลคือกำหนดให้ทีม Privacy หรือผู้จัดการที่ดูแลเรื่องนี้นัดประชุมติดตามผลแผนแก้ไขทุก 1-2 เดือนหลังจบ Audit จนกว่าทุกรายการจะปิดครบ และนำผลการติดตามนี้ไปเป็นส่วนหนึ่งของรายงาน Audit รอบถัดไปด้วย เพื่อให้เห็นภาพต่อเนื่องว่าองค์กรพัฒนาขึ้นจริงหรือย่ำอยู่กับที่ นอกจากนี้ ทีมควรพิจารณาว่าปัญหาที่พบเป็นปัญหาเฉพาะจุดหรือปัญหาเชิงระบบ เช่น ถ้าพบว่าสาขาหนึ่งไม่มีช่องทางรับคำร้องสิทธิ์ ควรตรวจสอบสาขาอื่นทั้งหมดทันทีว่าเจอปัญหาเดียวกันหรือไม่ แทนที่จะแก้เฉพาะสาขาที่ถูกตรวจพบเพียงแห่งเดียว

อีกส่วนที่มักถูกมองข้ามคือการสื่อสารผลการ Audit ให้ผู้บริหารระดับสูงรับทราบ ไม่ใช่แค่เก็บไว้ในทีม Privacy หรือทีมกฎหมายเท่านั้น เพราะปัญหาบางข้อ เช่น การขาดบุคลากรสำรองดูแลคำร้องสิทธิ์ หรือความจำเป็นต้องลงทุนระบบเวชระเบียนใหม่ เป็นการตัดสินใจที่ต้องได้รับการอนุมัติงบประมาณจากผู้บริหาร การรายงานอย่างสม่ำเสมอจึงช่วยให้เรื่องนี้ไม่ถูกลืมหรือถูกลดความสำคัญลงเมื่อเทียบกับงานเร่งด่วนอื่น

ข้อผิดพลาดที่พบบ่อยในการ Audit ระบบสิทธิ์ของธุรกิจสุขภาพ

• ไม่ทดสอบช่องทางรับคำร้องจริง แต่ดูแค่เอกสารนโยบายว่าเขียนถึงช่องทางไว้ครบ
• ไม่มีเกณฑ์แยกกรณีคำร้องจากญาติ ผู้ป่วยเด็ก และผู้ป่วยที่เสียชีวิตแล้วอย่างชัดเจน
• สุ่มตรวจคำร้องย้อนหลังน้อยเกินไปจนไม่สะท้อนปัญหาจริง
• ไม่ Audit เพิ่มเติมทันทีหลังเปลี่ยนระบบเวชระเบียนหรือเปิดสาขาใหม่
• เก็บผลการ Audit ไว้เป็นความเห็นปากเปล่า ไม่มีบันทึกเป็นลายลักษณ์อักษร

สรุป

การ Audit ระบบรับคำร้องสิทธิของเจ้าของข้อมูลสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ ไม่ใช่การตรวจครั้งเดียวแล้วจบ แต่เป็นการตรวจเป็นระยะโดยเน้นทดสอบของจริง ไม่ใช่แค่อ่านเอกสาร พร้อมให้ความสำคัญเป็นพิเศษกับกรณีคำร้องจากญาติหรือผู้ป่วยที่เสียชีวิตแล้วซึ่งมีความซับซ้อนกว่าคำร้องทั่วไป องค์กรที่ Audit สม่ำเสมอจะรู้ตัวก่อนที่ปัญหาจะกลายเป็นข้อร้องเรียนถึงหน่วยงานกำกับดูแล ดูภาพรวมหัวข้ออื่นในหมวด Privacy Fundamentals เพิ่มเติมได้ที่ คลังความรู้ Privacy Fundamentals

แหล่งข้อมูลอ้างอิง

แนวทางเรื่องสิทธิของเจ้าของข้อมูลส่วนบุคคลและการดูแลข้อมูลสุขภาพ ควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง บทความนี้เป็นแนวทางเชิงปฏิบัติสำหรับทีมดูแลข้อมูลผู้ป่วย ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล