เช็กลิสต์ ฐานกฎหมายในการประมวลผลข้อมูล สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

ทีมการตลาดของคลินิกเสริมความงามแห่งหนึ่งเตรียมเปิดใช้ฟีเจอร์ใหม่ในแอประบบนัดหมาย ที่จะส่งข้อความแนะนำโปรแกรมดูแลผิวให้ตรงกับประวัติการรักษาของคนไข้แต่ละคนโดยอัตโนมัติ ทุกอย่างพร้อมเปิดตัวแล้วจนกระทั่งพนักงานคนหนึ่งถามขึ้นมาในที่ประชุมว่า ฟีเจอร์นี้ใช้ฐานทางกฎหมายอะไรในการดึงประวัติการรักษามาใช้ส่งข้อความการตลาด คำถามง่าย ๆ ข้อนี้ทำให้ทีมงานต้องหยุดโครงการไว้ก่อน เพราะไม่มีใครตอบได้ชัดเจน ทั้งที่ประวัติการรักษาเป็นข้อมูลสุขภาพซึ่งจัดเป็นข้อมูลอ่อนไหวตามกฎหมาย ไม่ใช่ข้อมูลทั่วไปที่จะหยิบมาใช้ต่อได้ทันที

สถานการณ์แบบนี้เกิดขึ้นบ่อยกับธุรกิจสุขภาพ เพราะข้อมูลที่เก็บมีทั้งข้อมูลทั่วไปอย่างชื่อและเบอร์โทร และข้อมูลสุขภาพที่ต้องดูแลเข้มงวดกว่ามาก เช็กลิสต์นี้จึงรวบรวมสิ่งที่ควรตรวจก่อนเปิดใช้งานกิจกรรมใหม่ใด ๆ ที่เกี่ยวข้องกับข้อมูลผู้ป่วย เพื่อให้เลือกฐานทางกฎหมายได้ถูกต้องตั้งแต่ต้น

เช็กลิสต์นี้ช่วยให้คลินิก โรงพยาบาล และธุรกิจสุขภาพตรวจสอบก่อนเปิดใช้งานฟีเจอร์หรือบริการใหม่ ว่าแต่ละกิจกรรมที่เกี่ยวข้องกับข้อมูลผู้ป่วยเลือกฐานทางกฎหมายที่ถูกต้องแล้วหรือไม่ เริ่มจากแยกว่าข้อมูลที่เก็บเป็นข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหวหรือไม่ จากนั้นจับคู่กิจกรรมหลักด้านการรักษากับฐานความจำเป็นตามสัญญา กิจกรรมฉุกเฉินกับฐานเพื่อรักษาชีวิต กิจกรรมที่มีกฎหมายกำหนดให้รายงานกับฐานหน้าที่ตามกฎหมาย และกิจกรรมด้านการตลาดหรือการสื่อสารเพิ่มเติมกับฐานความยินยอมโดยชัดแจ้ง เพราะข้อมูลสุขภาพต้องขอความยินยอมชัดแจ้งเป็นส่วนใหญ่ เว้นแต่เข้าข้อยกเว้นเฉพาะที่กฎหมายกำหนดไว้

ทำไมธุรกิจสุขภาพต้องระวังเรื่องฐานทางกฎหมายเป็นพิเศษ

ข้อมูลด้านสุขภาพจัดอยู่ในกลุ่มข้อมูลอ่อนไหวตามกฎหมาย ซึ่งมีเงื่อนไขเข้มงวดกว่าข้อมูลส่วนบุคคลทั่วไป โดยหลักแล้วการประมวลผลข้อมูลอ่อนไหวต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล เว้นแต่จะเข้าข้อยกเว้นเฉพาะ เช่น จำเป็นเพื่อรักษาชีวิตในสถานการณ์ฉุกเฉิน จำเป็นตามกฎหมายด้านสาธารณสุข หรือจำเป็นเพื่อเวชศาสตร์ป้องกันและอาชีวเวชศาสตร์ การเลือกฐานผิดประเภทสำหรับข้อมูลกลุ่มนี้มีผลกระทบมากกว่าข้อมูลทั่วไป เพราะกระทบความไว้วางใจของคนไข้โดยตรง และมักเป็นจุดที่หน่วยงานกำกับดูแลให้ความสำคัญเป็นอันดับต้น ๆ เมื่อตรวจสอบธุรกิจในกลุ่มนี้

ขั้นที่ 1: จัดประเภทข้อมูลก่อนเลือกฐานทางกฎหมาย

ก่อนตัดสินใจว่ากิจกรรมใหม่ควรใช้ฐานอะไร ให้แยกก่อนว่าข้อมูลที่เกี่ยวข้องเป็นข้อมูลทั่วไปหรือข้อมูลสุขภาพ ข้อมูลอย่างชื่อ ที่อยู่ เบอร์โทร หรือประวัติการนัดหมาย ถือเป็นข้อมูลทั่วไปที่เลือกฐานได้จากทั้งหกฐานตามลักษณะกิจกรรม แต่ข้อมูลอย่างผลตรวจ ประวัติการวินิจฉัย ยาที่ใช้ หรือภาพถ่ายทางการแพทย์ ถือเป็นข้อมูลสุขภาพที่ต้องใช้ฐานความยินยอมโดยชัดแจ้งเป็นหลัก เว้นแต่กิจกรรมนั้นเข้าข้อยกเว้นตามกฎหมายอย่างชัดเจน การแยกประเภทข้อมูลผิดตั้งแต่ขั้นแรกมักเป็นสาเหตุหลักที่ทำให้เลือกฐานผิดในขั้นตอนถัดไป

1. ก่อนเปิดใช้งานกิจกรรมหลักด้านการรักษา ตรวจสอบว่าใช้ฐานความจำเป็นเพื่อปฏิบัติตามสัญญาบริการทางการแพทย์หรือไม่ เช่น การนัดหมาย การบันทึกประวัติการรักษา การเก็บผลตรวจเพื่อใช้ในการรักษาต่อเนื่อง กิจกรรมกลุ่มนี้ไม่ควรใช้ฐานความยินยอมเพราะเป็นส่วนหนึ่งของการให้บริการที่คนไข้เลือกไม่ได้หากต้องการรับการรักษา
2. ก่อนเปิดใช้งานระบบรับมือเหตุฉุกเฉิน ตรวจสอบว่ากิจกรรมที่เกี่ยวข้องกับการช่วยชีวิตหรือป้องกันอันตรายร้ายแรงต่อร่างกาย ใช้ฐานเพื่อรักษาชีวิตของเจ้าของข้อมูล ซึ่งเป็นฐานเดียวที่ใช้ได้แม้ไม่มีความยินยอมในสถานการณ์ที่คนไข้ไม่สามารถให้ความยินยอมได้ทันเวลา
3. ก่อนส่งข้อมูลเพื่อวัตถุประสงค์ที่กฎหมายกำหนด เช่น การรายงานโรคติดต่อที่ต้องแจ้งหน่วยงานสาธารณสุข หรือการส่งเอกสารประกอบการเบิกประกันสุขภาพตามที่กฎหมายกำหนด ตรวจสอบว่าใช้ฐานหน้าที่ตามกฎหมายและมีเอกสารอ้างอิงกฎหมายฉบับที่กำหนดหน้าที่นั้นแนบไว้ด้วย
4. ก่อนเปิดใช้งานฟีเจอร์การตลาดหรือการสื่อสารเพิ่มเติม เช่น การส่งข้อความแนะนำโปรแกรมตามประวัติการรักษา การส่งจดหมายข่าวสุขภาพเฉพาะกลุ่มโรค ตรวจสอบว่าขอความยินยอมโดยชัดแจ้งแยกต่างหากจากความยินยอมเพื่อรับการรักษา และเปิดช่องให้ถอนความยินยอมได้ง่ายเท่ากับตอนให้ความยินยอม
5. ก่อนใช้ข้อมูลเพื่อพัฒนาคุณภาพบริการภายใน เช่น การวิเคราะห์แนวโน้มโรคของคนไข้เพื่อวางแผนบุคลากร ตรวจสอบว่าทำข้อมูลให้ไม่สามารถระบุตัวตนได้ก่อนนำไปวิเคราะห์ เพราะฐานประโยชน์โดยชอบด้วยกฎหมายมักไม่เพียงพอสำหรับข้อมูลสุขภาพที่ยังระบุตัวตนได้
6. ก่อนเปิดเผยข้อมูลให้บริษัทประกันหรือคู่สัญญาภายนอก ตรวจสอบว่ามีความยินยอมโดยชัดแจ้งจากคนไข้เฉพาะสำหรับการเปิดเผยครั้งนั้น และระบุชัดว่าเปิดเผยข้อมูลส่วนใดให้ใครเพื่อวัตถุประสงค์อะไร ไม่ใช่ใช้ความยินยอมทั่วไปตอนลงทะเบียนครั้งแรกมาครอบคลุมการเปิดเผยทุกกรณี
7. ก่อนเก็บข้อมูลของผู้เยาว์หรือผู้ป่วยที่ไม่สามารถให้ความยินยอมเองได้ ตรวจสอบว่ามีกระบวนการขอความยินยอมจากผู้ปกครองหรือผู้แทนโดยชอบธรรมที่บันทึกไว้เป็นหลักฐาน และแยกกรณีฉุกเฉินที่ใช้ฐานเพื่อรักษาชีวิตออกจากกรณีทั่วไปอย่างชัดเจน

สำหรับขั้นตอนการวางระบบฐานทางกฎหมายอย่างครบวงจรสำหรับธุรกิจสุขภาพ อ่านเพิ่มเติมได้ที่ ภาพรวมฐานกฎหมายในการประมวลผลข้อมูลสำหรับธุรกิจสุขภาพ

กรณีพิเศษที่ต้องระวังเป็นพิเศษ

บางกรณีในธุรกิจสุขภาพไม่สามารถจับคู่ฐานตามเช็กลิสต์มาตรฐานได้ตรงไปตรงมา เช่น กรณีคนไข้เสียชีวิตแล้วแต่ทายาทขอสำเนาประวัติการรักษา หรือกรณีคลินิกเครือข่ายที่ต้องแชร์ประวัติคนไข้ระหว่างสาขาเพื่อความต่อเนื่องในการรักษา ทีมงานควรปรึกษาฝ่ายกฎหมายเป็นรายกรณีแทนที่จะใช้ฐานเดิมที่เคยใช้กับกิจกรรมทั่วไปโดยไม่ทบทวน เพราะกรณีเหล่านี้มักมีเงื่อนไขเฉพาะที่แตกต่างจากกิจกรรมประจำวัน และควรบันทึกเหตุผลการเลือกฐานไว้เป็นลายลักษณ์อักษรทุกครั้งเพื่อใช้อ้างอิงในอนาคต

เอกสารหลักฐานที่ควรเก็บไว้หลังตรวจเช็กลิสต์ทุกครั้ง

เช็กลิสต์นี้ใช้ครั้งเดียวไม่พอ เพราะกิจกรรมใหม่ในธุรกิจสุขภาพเกิดขึ้นตลอดเวลา ไม่ว่าจะเป็นฟีเจอร์ใหม่ในแอปนัดหมาย บริการเสริมที่ทีมการตลาดคิดขึ้นมาเอง หรือความร่วมมือกับพันธมิตรรายใหม่ ทุกครั้งที่ผ่านเช็กลิสต์นี้ ควรบันทึกผลไว้เป็นเอกสารสั้น ๆ ระบุชื่อกิจกรรม ประเภทข้อมูลที่เกี่ยวข้อง ฐานทางกฎหมายที่เลือกใช้ เหตุผลที่เลือกฐานนั้น และผู้อนุมัติ เอกสารชุดนี้ไม่จำเป็นต้องยาวหรือเป็นทางการมาก แต่ต้องหาย้อนกลับมาดูได้เมื่อมีคนถามในภายหลังว่าทำไมกิจกรรมนั้นถึงเลือกใช้ฐานแบบนั้น

สำหรับกิจกรรมที่ใช้ฐานความยินยอมโดยชัดแจ้ง ควรเก็บหลักฐานเพิ่มอีกชั้นหนึ่งคือบันทึกว่าคนไข้ให้ความยินยอมเมื่อใด ผ่านช่องทางใด ข้อความที่แสดงตอนขอความยินยอมระบุวัตถุประสงค์ชัดเจนแค่ไหน และมีช่องทางถอนความยินยอมที่คนไข้เข้าถึงได้จริงหรือไม่ ส่วนกิจกรรมที่ใช้ฐานหน้าที่ตามกฎหมาย ควรแนบอ้างอิงกฎหมายหรือประกาศฉบับที่กำหนดหน้าที่นั้นไว้คู่กับบันทึกกิจกรรมเสมอ เพื่อให้ผู้ตรวจสอบภายในหรือทีมกฎหมายเปิดดูแล้วเข้าใจได้ทันทีโดยไม่ต้องไล่หาเอกสารจากหลายที่ เมื่อสะสมเอกสารเหล่านี้ไว้อย่างเป็นระบบ การตรวจสอบรอบถัดไปหรือการตอบคำถามจากหน่วยงานกำกับดูแลก็ทำได้เร็วขึ้นมาก เพราะไม่ต้องเริ่มไล่ทวนเหตุผลใหม่ทั้งหมดตั้งแต่ต้น

ข้อผิดพลาดที่พบบ่อยเมื่อเลือกฐานทางกฎหมายสำหรับข้อมูลสุขภาพ

• ใช้ฐานประโยชน์โดยชอบด้วยกฎหมายกับข้อมูลสุขภาพที่ยังระบุตัวตนได้ ทั้งที่ข้อมูลอ่อนไหวส่วนใหญ่ต้องใช้ความยินยอมโดยชัดแจ้ง
• ใช้ความยินยอมเดียวตอนลงทะเบียนครอบคลุมทั้งการรักษาและการตลาดโดยไม่แยกวัตถุประสงค์ให้ชัดเจน
• ไม่แยกกรณีฉุกเฉินออกจากกิจกรรมทั่วไป ทำให้ใช้ฐานเพื่อรักษาชีวิตกับกิจกรรมที่ไม่ใช่เหตุฉุกเฉินจริง
• เปิดเผยข้อมูลให้บริษัทประกันหรือคู่สัญญาภายนอกโดยอ้างความยินยอมทั่วไปที่ไม่ได้ระบุการเปิดเผยครั้งนั้นไว้
• ไม่บันทึกเหตุผลการเลือกฐานสำหรับกรณีพิเศษไว้เป็นลายลักษณ์อักษร ทำให้ตอบคำถามย้อนหลังไม่ได้เมื่อถูกตรวจสอบ

สรุป

ก่อนเปิดใช้งานกิจกรรมใหม่ที่เกี่ยวข้องกับข้อมูลคนไข้ ธุรกิจสุขภาพควรแยกประเภทข้อมูลก่อนเสมอว่าเป็นข้อมูลทั่วไปหรือข้อมูลสุขภาพ แล้วจับคู่แต่ละกิจกรรมกับฐานที่เหมาะสมตามเช็กลิสต์ข้างต้น โดยเฉพาะกิจกรรมที่เกี่ยวข้องกับข้อมูลสุขภาพซึ่งส่วนใหญ่ต้องใช้ความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นเฉพาะที่กำหนดไว้ชัดเจน ดูภาพรวมหัวข้อการคุ้มครองข้อมูลส่วนบุคคลเพิ่มเติมได้ที่ Privacy Fundamentals

แหล่งข้อมูลอ้างอิง

แนวทางเกี่ยวกับฐานทางกฎหมายในการประมวลผลข้อมูลสุขภาพควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง บทความนี้เป็นแนวทางเชิงปฏิบัติสำหรับทีมการตลาดและผู้ดูแลข้อมูลในธุรกิจสุขภาพ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล