วิธี Audit ความยินยอมตาม PDPA ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

คลินิกและโรงพยาบาลจำนวนมากเข้าใจว่าเมื่อให้คนไข้เซ็นใบยินยอมตอนลงทะเบียนครั้งแรก เรื่องความยินยอมก็จบไปแล้ว ไม่ต้องกลับมาดูอีก ความเข้าใจนี้ผิดอย่างชัดเจน เพราะใบยินยอมที่เซ็นไว้เมื่อหลายปีก่อนมักครอบคลุมแค่การรักษาพยาบาลพื้นฐาน ไม่ได้ครอบคลุมบริการใหม่ที่คลินิกเริ่มใช้ภายหลัง เช่น ระบบนัดหมายผ่านแอปที่เชื่อมกับผู้ให้บริการภายนอก ระบบส่งผลตรวจทางไลน์ หรือการใช้ข้อมูลคนไข้เพื่อวิเคราะห์แนวโน้มการรักษาด้วยซอฟต์แวร์ใหม่ เมื่อความยินยอมเดิมไม่ครอบคลุมกิจกรรมใหม่เหล่านี้ แต่คลินิกยังใช้งานต่อไปโดยไม่ทบทวน ช่องว่างนี้จะไม่มีใครรู้ตัวจนกว่าจะมีคนไข้ร้องเรียนหรือมีการตรวจสอบจากภายนอกเข้ามา

บทความนี้อธิบายวิธี Audit ความยินยอมตาม PDPA สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพแบบเป็นรอบ พร้อมรายการ Evidence ที่ควรเก็บไว้ให้พร้อมตรวจสอบได้ทุกเมื่อ ไม่ใช่การตรวจครั้งเดียวแล้วจบ แต่เป็นวงจรที่ต้องทำซ้ำอย่างสม่ำเสมอ

การ Audit ความยินยอมตาม PDPA ของคลินิกและโรงพยาบาลไม่ใช่การตรวจว่ามีใบยินยอมเก็บไว้ครบหรือไม่เท่านั้น แต่ต้องตรวจว่าความยินยอมยังครอบคลุมวัตถุประสงค์ที่ใช้งานจริงในปัจจุบัน มีหลักฐานเวอร์ชันข้อความที่คนไข้เห็นจริง มีบันทึกการถอนความยินยอมที่ตรวจสอบย้อนหลังได้ และมีรอบทบทวนสม่ำเสมอ ไม่ใช่ทำครั้งเดียวตอนเปิดคลินิก การ Audit ควรทำเป็นวงจรทุกหกเดือนหรือเมื่อมีการเปลี่ยนระบบหรือบริการใหม่ที่ใช้ข้อมูลคนไข้

สิ่งที่ต้องตรวจข้อที่ 1: ใบยินยอมยังครอบคลุมบริการที่ใช้งานจริงหรือไม่

เริ่ม Audit ด้วยการเทียบใบยินยอมฉบับปัจจุบันกับรายการบริการที่คลินิกให้จริง ณ วันที่ตรวจ คลินิกฟันแห่งหนึ่งเมื่อทำ Audit ครั้งแรกพบว่าใบยินยอมที่ใช้อยู่เขียนไว้แค่เรื่องการเก็บประวัติการรักษาและนัดหมาย แต่คลินิกได้เริ่มใช้ระบบส่งภาพเอกซเรย์ให้คนไข้ดูผ่านแอปของบริษัทภายนอกมาแล้วกว่าหนึ่งปีโดยไม่เคยปรับปรุงใบยินยอมให้ครอบคลุม การตรวจข้อนี้ควรทำโดยเทียบรายการบริการทั้งหมดกับข้อความยินยอมทีละข้อ ไม่ใช่อ่านผ่าน ๆ แล้วสรุปว่าครอบคลุมแล้ว

สิ่งที่ต้องตรวจข้อที่ 2: มีหลักฐานเวอร์ชันข้อความที่คนไข้เห็นจริงหรือไม่

เมื่อคลินิกปรับปรุงข้อความใบยินยอมในแต่ละครั้ง ต้องเก็บสำเนาเวอร์ชันเก่าไว้ พร้อมวันที่เริ่มและสิ้นสุดการใช้งานแต่ละเวอร์ชัน เพื่อให้เมื่อดึงประวัติคนไข้รายใดรายหนึ่งย้อนหลัง สามารถระบุได้ว่าตอนนั้นคนไข้เห็นข้อความแบบไหน โรงพยาบาลขนาดกลางบางแห่งพบว่าเมื่อปรับปรุงใบยินยอมใหม่ ทีมงานลบไฟล์เวอร์ชันเก่าทิ้งทันทีเพราะคิดว่าไม่จำเป็นแล้ว ทำให้เมื่อต้องตรวจสอบคนไข้ที่ลงทะเบียนก่อนการปรับปรุง ไม่มีเอกสารยืนยันว่าตอนนั้นคนไข้เห็นข้อความอะไร การ Audit ข้อนี้ควรตรวจว่าคลังเก็บเวอร์ชันเก่ายังอยู่ครบและเข้าถึงได้เมื่อจำเป็น

สิ่งที่ต้องตรวจข้อที่ 3: บันทึกการถอนความยินยอมตรวจสอบย้อนหลังได้หรือไม่

เมื่อคนไข้ขอถอนความยินยอมบางเรื่อง เช่น ไม่ต้องการให้ส่งข้อมูลไปยังห้องปฏิบัติการภายนอกที่ไม่จำเป็นต่อการรักษาต่อเนื่อง ต้องมีบันทึกวันที่ขอถอน วิธีการที่คนไข้ใช้แจ้ง และวันที่คำขอถูกดำเนินการเสร็จสิ้น การ Audit ข้อนี้ควรสุ่มตรวจกรณีถอนความยินยอมย้อนหลังหลายกรณี แล้วตรวจว่าหลังจากวันที่ถอนความยินยอม ระบบยังคงส่งข้อมูลคนไข้รายนั้นไปยังปลายทางที่ถูกถอนความยินยอมแล้วหรือไม่ หากยังพบการส่งข้อมูลต่อเนื่องหลังวันที่ถอน นั่นคือช่องว่างที่ต้องแก้ไขทันที

สิ่งที่ต้องตรวจข้อที่ 4: ความยินยอมสำหรับข้อมูลสุขภาพที่เป็นข้อมูลอ่อนไหวเข้มงวดพอหรือไม่

ข้อมูลสุขภาพจัดเป็นข้อมูลอ่อนไหวที่ต้องได้รับการดูแลเข้มงวดกว่าข้อมูลทั่วไป การ Audit ควรตรวจว่าใบยินยอมแยกส่วนที่เกี่ยวกับข้อมูลสุขภาพออกจากข้อมูลทั่วไปอย่างชัดเจนหรือไม่ เช่น ประวัติการรักษา ผลตรวจทางห้องปฏิบัติการ หรือข้อมูลพันธุกรรมในกรณีคลินิกที่ให้บริการตรวจยีน ควรมีข้อความยินยอมเฉพาะแยกจากความยินยอมเรื่องการนัดหมายหรือการติดต่อทั่วไป คลินิกที่รวมทุกอย่างไว้ในใบยินยอมเดียวโดยไม่แยกระดับความอ่อนไหวของข้อมูล มักเป็นจุดที่ผู้ตรวจสอบให้ความสนใจเป็นพิเศษเมื่อเข้ามาตรวจ

สิ่งที่ต้องตรวจข้อที่ 5: ผู้ให้บริการภายนอกที่รับข้อมูลคนไข้มีข้อตกลงรองรับหรือไม่

คลินิกและโรงพยาบาลมักส่งข้อมูลคนไข้ไปยังผู้ให้บริการภายนอกหลายราย เช่น ห้องปฏิบัติการตรวจวิเคราะห์ ระบบจัดเก็บภาพทางการแพทย์ หรือระบบแจ้งเตือนนัดหมายผ่านข้อความ การ Audit ควรไล่รายชื่อผู้ให้บริการภายนอกทั้งหมดที่ได้รับข้อมูลคนไข้ แล้วตรวจว่าแต่ละรายมีข้อตกลงเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลรองรับหรือไม่ และความยินยอมที่ขอจากคนไข้ระบุชัดว่าจะส่งข้อมูลไปยังผู้ให้บริการประเภทใดบ้าง โรงพยาบาลบางแห่งพบว่าห้องปฏิบัติการภายนอกที่ใช้งานมานานหลายปีไม่เคยมีข้อตกลงลักษณะนี้เป็นลายลักษณ์อักษรเลย ทั้งที่รับส่งข้อมูลผลตรวจคนไข้กันเป็นประจำทุกวัน

สิ่งที่ต้องตรวจข้อที่ 6: รอบทบทวนความยินยอมสอดคล้องกับรอบเปลี่ยนแปลงระบบหรือไม่

ข้อสุดท้ายที่ต้อง Audit คือกระบวนการภายในที่เชื่อมโยงการเปลี่ยนแปลงระบบหรือบริการใหม่เข้ากับการทบทวนความยินยอม ควรตรวจว่าเมื่อคลินิกเริ่มใช้ระบบใหม่ในช่วงที่ผ่านมา มีการแจ้งทีมที่รับผิดชอบด้านความยินยอมล่วงหน้าหรือไม่ หากไม่มีกระบวนการนี้ ระบบใหม่มักถูกเปิดใช้งานไปก่อนแล้วค่อยพบว่าใบยินยอมไม่ครอบคลุมภายหลัง วิธีวางระบบให้มีกระบวนการแจ้งล่วงหน้าแบบนี้แบบเป็นขั้นตอน อ่านเพิ่มเติมได้ที่ วิธีวางระบบความยินยอมตาม PDPA สำหรับคลินิกและโรงพยาบาล

ใครควรเป็นผู้ทำ Audit และควรทำบ่อยแค่ไหน

คลินิกขนาดเล็กอาจให้เจ้าของกิจการหรือผู้จัดการคลินิกเป็นผู้ทำ Audit เอง โดยใช้เวลาไม่นานหากมีรายการบริการไม่มาก ส่วนโรงพยาบาลขนาดกลางถึงใหญ่ควรมอบหมายให้ทีมที่ดูแลด้านคุณภาพหรือทีมกฎหมายเป็นผู้รับผิดชอบ และควรมีบุคคลจากแผนกไอทีร่วมตรวจด้วยเพราะเกี่ยวข้องกับระบบที่ส่งข้อมูลข้ามหน่วยงาน ความถี่ที่แนะนำคือทุกหกเดือน หรือทันทีที่มีการเปลี่ยนระบบหรือเปิดบริการใหม่ที่เกี่ยวข้องกับข้อมูลคนไข้ ไม่ควรรอให้ถึงรอบประจำปีเพราะช่องว่างที่เกิดขึ้นระหว่างทางอาจสะสมจนแก้ไขยาก

สิ่งที่ทำก่อน Audit ครั้งแรก หากยังไม่เคยทำมาก่อนเลย

สำหรับคลินิกที่ยังไม่เคยทำ Audit ความยินยอมมาก่อนเลย ควรเริ่มจากวางระบบพื้นฐานให้ครบก่อน ทั้งการแยกความยินยอมตามวัตถุประสงค์และการบันทึกหลักฐาน แล้วจึงใช้เช็กลิสต์มาตรฐานตรวจสอบตัวเองก่อนเข้าสู่รอบ Audit เต็มรูปแบบ เพื่อไม่ให้พบปัญหาจำนวนมากเกินไปในการ Audit ครั้งแรกจนไม่รู้จะเริ่มแก้ตรงไหนก่อน รายการเช็กลิสต์เตรียมความพร้อมก่อน Audit อ่านเพิ่มเติมได้ที่ เช็กลิสต์ความยินยอมตาม PDPA สำหรับธุรกิจสุขภาพ

ความเชื่อมโยงกับการเลือกฐานทางกฎหมายที่เหมาะสม

ไม่ใช่ทุกกิจกรรมของคลินิกต้องอาศัยความยินยอมจากคนไข้ บางกิจกรรม เช่น การเก็บประวัติการรักษาที่จำเป็นต่อการดูแลต่อเนื่องหรือการรายงานโรคติดต่อตามข้อกำหนดของหน่วยงานสาธารณสุข อาจอาศัยฐานทางกฎหมายอื่นที่เหมาะสมกว่าความยินยอม การ Audit ควรตรวจด้วยว่ากิจกรรมที่คลินิกขอความยินยอมอยู่ในปัจจุบันเป็นกิจกรรมที่จำเป็นต้องขอจริงหรือไม่ หรือบางกิจกรรมควรใช้ฐานอื่นแทน ภาพรวมของหลักการเลือกฐานทางกฎหมายสำหรับกิจกรรมแต่ละประเภท อ่านเพิ่มเติมได้ที่ Privacy Fundamentals

เอกสารและระบบที่ควรเตรียมไว้ให้ตรวจสอบได้ทุกเมื่อ

นอกจากการตรวจตามหกข้อข้างต้น คลินิกควรจัดเตรียมชุดเอกสารที่พร้อมแสดงให้ผู้ตรวจสอบดูได้ทันทีหากมีการร้องขอ ได้แก่ รายการวัตถุประสงค์ทั้งหมดที่ขอความยินยอมพร้อมข้อความเวอร์ชันปัจจุบัน สำเนาข้อความเวอร์ชันเก่าทั้งหมดพร้อมช่วงเวลาที่ใช้งาน รายชื่อผู้ให้บริการภายนอกที่รับข้อมูลคนไข้พร้อมข้อตกลงที่เกี่ยวข้อง และบันทึกกรณีถอนความยินยอมย้อนหลังอย่างน้อยตามระยะเวลาที่กำหนดในนโยบายเก็บรักษาข้อมูลของคลินิก การจัดเก็บเอกสารเหล่านี้ให้เป็นระบบตั้งแต่ต้น ช่วยลดเวลาที่ต้องใช้ค้นหาเมื่อถูกตรวจสอบจริงได้มาก

วิธีเตรียมทีมและตารางเวลาสำหรับรอบ Audit

การ Audit ที่มีประสิทธิภาพต้องมีตารางเวลาชัดเจนล่วงหน้า ไม่ใช่ทำแบบฉับพลันเมื่อนึกขึ้นได้ โรงพยาบาลขนาดกลางแห่งหนึ่งกำหนดให้รอบ Audit ตรงกับช่วงต้นไตรมาสที่สองและไตรมาสที่สี่ของทุกปี โดยแจ้งแผนกที่เกี่ยวข้องล่วงหน้าอย่างน้อยหนึ่งเดือนให้เตรียมเอกสารและข้อมูลที่จำเป็น ทีมที่เข้าร่วม Audit ควรมีตัวแทนจากแผนกเวชระเบียน แผนกไอที และฝ่ายกฎหมายหรือฝ่ายคุณภาพ เพราะแต่ละแผนกมีมุมมองที่ต่างกัน แผนกเวชระเบียนรู้ว่าคนไข้กลุ่มใดยังใช้ใบยินยอมเวอร์ชันเก่าอยู่ แผนกไอทีรู้ว่าระบบใดเชื่อมส่งข้อมูลไปที่ใดบ้าง ส่วนฝ่ายกฎหมายรู้ว่าข้อความยินยอมฉบับปัจจุบันครอบคลุมกิจกรรมใดบ้างตามที่ตั้งใจไว้ การรวมมุมมองทั้งสามเข้าด้วยกันช่วยให้พบช่องว่างที่แผนกใดแผนกหนึ่งเพียงลำพังอาจมองข้ามไป

หลังจบการ Audit แต่ละรอบ ควรสรุปผลเป็นรายงานสั้น ๆ ระบุช่องว่างที่พบ ความเสี่ยงของแต่ละช่องว่าง และกำหนดวันที่ต้องแก้ไขให้เสร็จ พร้อมมอบหมายผู้รับผิดชอบชัดเจนเป็นรายข้อ รายงานนี้ควรเก็บไว้เป็นหลักฐานว่าคลินิกมีกระบวนการตรวจสอบตัวเองอย่างสม่ำเสมอ ซึ่งมีประโยชน์ทั้งในแง่การปรับปรุงระบบภายในและในแง่การแสดงความรับผิดชอบหากถูกตรวจสอบจากภายนอกในภายหลัง

ข้อผิดพลาดที่พบบ่อยเมื่อทำ Audit ความยินยอมในธุรกิจสุขภาพ

• เข้าใจว่าใบยินยอมที่เซ็นตอนลงทะเบียนครั้งแรกใช้ได้ตลอดไปโดยไม่ต้องทบทวน
• ลบไฟล์ใบยินยอมเวอร์ชันเก่าทิ้งทันทีเมื่อมีการปรับปรุงเวอร์ชันใหม่
• ไม่ตรวจว่าคำขอถอนความยินยอมถูกหยุดส่งข้อมูลไปยังปลายทางที่เกี่ยวข้องจริงหรือไม่
• รวมความยินยอมข้อมูลสุขภาพที่อ่อนไหวไว้กับความยินยอมข้อมูลทั่วไปในข้อความเดียวกัน
• ไม่มีกระบวนการแจ้งทีมความยินยอมล่วงหน้าก่อนเปิดใช้บริการหรือระบบใหม่

สรุป

การ Audit ความยินยอมตาม PDPA ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ ต้องตรวจทั้งความครอบคลุมของใบยินยอมเทียบกับบริการจริง หลักฐานเวอร์ชันข้อความที่คนไข้เห็น บันทึกการถอนความยินยอม ความเข้มงวดของความยินยอมสำหรับข้อมูลอ่อนไหว ข้อตกลงกับผู้ให้บริการภายนอก และกระบวนการแจ้งล่วงหน้าเมื่อมีระบบใหม่ ควรทำเป็นรอบทุกหกเดือนหรือทันทีที่มีการเปลี่ยนแปลงสำคัญ ไม่ใช่ทำครั้งเดียวตอนเปิดคลินิกแล้วถือว่าจบ

แหล่งข้อมูลอ้างอิง

แนวทางที่เกี่ยวข้องกับหลักการคุ้มครองข้อมูลส่วนบุคคลของไทยควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง บทความนี้เป็นแนวทางเชิงปฏิบัติสำหรับการ Audit ความยินยอม ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล