ความยินยอมตาม PDPA คืออะไร? คู่มือสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

เช้าวันหนึ่งที่แผนกลงทะเบียนของคลินิกเฉพาะทางแห่งหนึ่ง คนไข้รายใหม่ยื่นบัตรประชาชนพร้อมถามเจ้าหน้าที่ว่า "เอกสารที่ให้เซ็นนี้คืออะไร ต้องเซ็นทุกใบเลยหรือเปล่า" เจ้าหน้าที่ลงทะเบียนยิ้มแล้วอธิบายว่าใบหนึ่งคือยินยอมให้เก็บข้อมูลเพื่อการรักษา อีกใบคือยินยอมให้ส่งข้อมูลอาการต่อให้บริษัทประกันที่คนไข้ทำไว้ ส่วนใบสุดท้ายคือยินยอมรับข่าวสารโปรโมชันตรวจสุขภาพประจำปี คนไข้เลือกเซ็นสองใบแรก แต่ปฏิเสธใบสุดท้ายเพราะไม่ต้องการรับข่าวสารการตลาด เจ้าหน้าที่บันทึกไว้ในระบบทันทีว่าคนไข้รายนี้ยินยอมเฉพาะสองวัตถุประสงค์ ไม่รวมการตลาด

ฉากเล็ก ๆ นี้คือหัวใจของความยินยอมตาม PDPA ในธุรกิจสุขภาพ นั่นคือการแยกวัตถุประสงค์ให้ชัดเจน ให้คนไข้เลือกได้จริง และมีบันทึกที่ตรวจสอบย้อนหลังได้ คู่มือนี้จะพาไล่ตั้งแต่ความยินยอมคืออะไร ทำไมธุรกิจสุขภาพต้องให้ความสำคัญเป็นพิเศษ ไปจนถึงภาพรวมของกระบวนการดูแลความยินยอมตลอดวงจรชีวิตข้อมูลคนไข้

ความยินยอมตาม PDPA สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ คือกระบวนการขอ บันทึก และดูแลการอนุญาตจากคนไข้ให้ใช้ข้อมูลส่วนบุคคลและข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหว โดยต้องแยกความยินยอมตามวัตถุประสงค์ เช่น การรักษา การส่งต่อข้อมูลให้ประกัน หรือการส่งข่าวสารทางการตลาด แต่ละวัตถุประสงค์ต้องขอแยกกันชัดเจน มีบันทึกว่าคนไข้ยินยอมอะไรไว้เมื่อไร และต้องมีช่องทางให้ถอนความยินยอมได้ในภายหลัง คู่มือนี้ไม่ใช่การยืนยันว่าทำตามแล้วจะปลอดความเสี่ยงทางกฎหมายทั้งหมด แต่เป็นแนวทางเชิงปฏิบัติเพื่อวางระบบให้สอดคล้องกับหลักการ PDPA

ทำไมความยินยอมในธุรกิจสุขภาพต้องละเอียดกว่าธุรกิจทั่วไป

ข้อมูลที่คลินิกและโรงพยาบาลเก็บจากคนไข้ส่วนใหญ่จัดเป็นข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA เช่น ประวัติการรักษา ผลตรวจแล็บ หรือประวัติการแพ้ยา การจัดการข้อมูลกลุ่มนี้จึงต้องระมัดระวังกว่าข้อมูลทั่วไปอย่างชื่อกับเบอร์โทร เพราะหากรั่วไหลหรือถูกใช้ผิดวัตถุประสงค์ ผลกระทบต่อคนไข้อาจร้ายแรงกว่าข้อมูลทั่วไปมาก ธุรกิจสุขภาพจึงควรให้ความสำคัญกับความยินยอมเป็นพิเศษ ทั้งความชัดเจนของถ้อยคำที่ใช้ขอ และความละเอียดในการแยกวัตถุประสงค์แต่ละอย่างออกจากกัน

ความยินยอมกับการรักษา: ต้องแยกจากความยินยอมด้านอื่นเสมอ

การให้บริการรักษาพยาบาลโดยตรงมักอาศัยฐานทางกฎหมายอื่นควบคู่กับความยินยอม เช่น ความจำเป็นเพื่อการรักษาทางการแพทย์ แต่ความยินยอมยังคงมีบทบาทสำคัญในกิจกรรมที่ไม่ใช่แกนหลักของการรักษาโดยตรง เช่น การส่งต่อประวัติให้แพทย์ผู้เชี่ยวชาญนอกเครือข่าย การใช้ข้อมูลเพื่อวิจัยทางการแพทย์ หรือการเปิดเผยข้อมูลให้บุคคลอื่นตามคำขอของคนไข้เอง คลินิกควรแยกให้ชัดว่ากิจกรรมใดที่ต้องขอความยินยอมเพิ่มเติม ไม่ใช่ถือว่าคนไข้มาลงทะเบียนแล้วเท่ากับยินยอมทุกอย่างโดยอัตโนมัติ

ความยินยอมกับบริษัทประกัน: จุดที่มักเกิดความเข้าใจผิด

เมื่อคนไข้ทำประกันสุขภาพและต้องการเบิกค่ารักษา คลินิกมักต้องส่งข้อมูลอาการและผลการรักษาไปให้บริษัทประกันตรวจสอบ กิจกรรมนี้ต้องมีความยินยอมจากคนไข้แยกต่างหากจากความยินยอมด้านการรักษา เพราะเป็นการเปิดเผยข้อมูลให้บุคคลภายนอกที่ไม่ใช่ทีมรักษาโดยตรง คลินิกหลายแห่งเคยเจอปัญหาที่คนไข้ปฏิเสธการรักษาต่อเนื่องเพราะรู้สึกว่าไม่เคยยินยอมให้ส่งข้อมูลไปบริษัทประกันชัดเจน ทั้งที่จริงมีการขอความยินยอมแล้วแต่เอกสารเขียนไม่ชัดเจนพอจนคนไข้จำไม่ได้ ฟอร์มยินยอมสำหรับจุดนี้จึงควรระบุชื่อบริษัทประกันหรือประเภทของบุคคลภายนอกที่จะได้รับข้อมูลให้ชัดเจนที่สุดเท่าที่ทำได้

ความยินยอมกับการตลาดและข่าวสารสุขภาพ

บริการเสริมอย่างการแจ้งเตือนนัดตรวจสุขภาพประจำปี โปรโมชันวัคซีน หรือข่าวสารกิจกรรมของคลินิก ถือเป็นวัตถุประสงค์ทางการตลาดที่ต้องขอความยินยอมแยกออกจากความยินยอมด้านการรักษาอย่างชัดเจน เหมือนฉากที่เล่าไว้ตอนต้นที่คนไข้เลือกปฏิเสธเฉพาะช่องนี้ได้โดยไม่กระทบต่อสิทธิ์ในการรับการรักษา ธุรกิจสุขภาพที่รวมช่องยินยอมการตลาดไว้กับความยินยอมด้านการรักษาในช่องเดียว ถือเป็นความเสี่ยงที่ควรแก้ไข เพราะคนไข้ควรมีสิทธิ์ปฏิเสธการตลาดได้โดยไม่ต้องปฏิเสธการรักษาไปด้วย

การบันทึกความยินยอมให้สืบย้อนได้จริง

ทุกครั้งที่คนไข้ให้ความยินยอม ไม่ว่าจะเซ็นเอกสารกระดาษที่แผนกลงทะเบียนหรือกดยอมรับผ่านแอปนัดหมาย ระบบควรบันทึกว่าคนไข้ยินยอมวัตถุประสงค์ใดบ้าง เมื่อไร ผ่านช่องทางใด และเป็นฟอร์มเวอร์ชันไหน การบันทึกที่ดีช่วยให้เมื่อคนไข้ถามย้อนหลังว่าตัวเองเคยยินยอมอะไรไว้ ทีมงานตอบได้ทันทีโดยไม่ต้องเดา คลินิกขนาดเล็กที่ยังใช้เอกสารกระดาษควรมีระบบสแกนเก็บเข้าไฟล์ดิจิทัลพร้อมทำดัชนีค้นหาได้ ไม่ใช่เก็บเป็นแฟ้มกระดาษกองรวมกันตามลำดับวันที่มาโรงพยาบาลเพียงอย่างเดียว

ช่องทางถอนความยินยอมสำหรับคนไข้

คนไข้ควรมีช่องทางที่เข้าถึงง่ายในการถอนความยินยอม โดยเฉพาะความยินยอมด้านการตลาดหรือการส่งข้อมูลให้บุคคลภายนอกที่ไม่เกี่ยวกับการรักษาโดยตรง เช่น แจ้งที่แผนกลงทะเบียนครั้งถัดไป โทรแจ้งคอลเซ็นเตอร์ หรือกดยกเลิกผ่านลิงก์ในอีเมล เมื่อคนไข้ถอนความยินยอมแล้ว ระบบต้องหยุดกิจกรรมนั้นทันทีและปรับสถานะในบันทึกให้ตรงกับความจริง คลินิกควรทดสอบเป็นระยะว่าช่องทางถอนความยินยอมที่มีอยู่ยังใช้งานได้จริง ไม่ใช่แค่มีข้อความแจ้งไว้ในเอกสารเท่านั้น

เมื่อไรควรขอความยินยอมใหม่จากคนไข้เดิม

หากคลินิกเริ่มให้บริการใหม่ที่ต้องใช้ข้อมูลคนไข้ในวัตถุประสงค์ที่ไม่เคยขอไว้ก่อน เช่น เริ่มโครงการวิจัยร่วมกับสถาบันภายนอก หรือเปลี่ยนบริษัทประกันที่รับส่งข้อมูล ควรกลับไปขอความยินยอมใหม่จากคนไข้ที่เกี่ยวข้อง ไม่ใช่ถือว่าความยินยอมเดิมครอบคลุมโดยอัตโนมัติ การวางระบบแจ้งเตือนให้ทีมงานรู้ว่าเมื่อไรต้องขอความยินยอมใหม่ ช่วยลดความเสี่ยงที่จะใช้ข้อมูลเกินขอบเขตที่คนไข้เคยอนุญาตไว้ คลินิกบางแห่งกำหนดให้ฝ่าย IT หรือฝ่ายพัฒนาผลิตภัณฑ์แจ้งฝ่าย Privacy ทุกครั้งก่อนเปิดตัวบริการใหม่ที่เกี่ยวข้องกับข้อมูลคนไข้ เพื่อให้มีเวลาประเมินว่าจำเป็นต้องขอความยินยอมใหม่หรือไม่ก่อนเปิดใช้งานจริง แทนที่จะปล่อยให้บริการเปิดตัวไปก่อนแล้วค่อยแก้ไขภายหลัง

ภาพรวมงานที่เกี่ยวข้องกับการดูแลความยินยอมอย่างต่อเนื่อง

นอกจากการวางระบบครั้งแรก ธุรกิจสุขภาพยังต้องมีขั้นตอนตรวจสอบ (Audit) ความยินยอมเป็นระยะว่าบันทึกในระบบตรงกับความจริงหรือไม่ มีเช็กลิสต์สำหรับใช้ก่อนเปิดบริการใหม่ทุกครั้งที่อาจกระทบวัตถุประสงค์การใช้ข้อมูล และต้องติดตามการเปลี่ยนแปลงแนวปฏิบัติจากหน่วยงานกำกับดูแลอย่างสม่ำเสมอ อ่านรายละเอียดเชิงลึกของแต่ละงานได้ที่ วิธีวางระบบความยินยอมตาม PDPA สำหรับธุรกิจสุขภาพ และ วิธี Audit ความยินยอมตาม PDPA สำหรับธุรกิจสุขภาพ

ก่อนเปิดบริการใหม่ ใช้เช็กลิสต์และติดตามความเปลี่ยนแปลง

ทุกครั้งที่คลินิกจะเปิดบริการใหม่ที่เกี่ยวข้องกับข้อมูลคนไข้ ควรผ่านเช็กลิสต์ความยินยอมก่อนเปิดตัวจริง เพื่อไม่ให้ลืมขอความยินยอมสำหรับวัตถุประสงค์ใหม่ อ่านเช็กลิสต์ฉบับเต็มได้ที่ เช็กลิสต์ความยินยอมตาม PDPA ก่อนเปิดบริการใหม่สำหรับธุรกิจสุขภาพ และเนื่องจากแนวปฏิบัติด้านการคุ้มครองข้อมูลมีการปรับปรุงอยู่เสมอ ทีมงานควรติดตามสิ่งที่ต้องทบทวนในแต่ละปีได้ที่ อัปเดตความยินยอมตาม PDPA ปี 2026 สำหรับธุรกิจสุขภาพ

ความยินยอมกับฐานทางกฎหมายอื่น: ไม่ใช่เรื่องเดียวกันทั้งหมด

ควรเข้าใจว่าความยินยอมเป็นเพียงหนึ่งในฐานทางกฎหมายที่ธุรกิจสุขภาพใช้ได้ กิจกรรมบางอย่าง เช่น การรักษาฉุกเฉินที่จำเป็นต่อชีวิต อาจอาศัยฐานอื่นที่ไม่ใช่ความยินยอม ทีมงานที่ดูแลด้านกฎหมายควรทบทวนว่ากิจกรรมใดของคลินิกใช้ฐานใด เพื่อไม่ให้เข้าใจผิดว่าทุกกิจกรรมต้องรอความยินยอมจากคนไข้ก่อนเสมอ ภาพรวมของหมวดนี้อ่านเพิ่มเติมได้ที่ Privacy Fundamentals

ความยินยอมเมื่อคนไข้เป็นผู้เยาว์หรือไม่สามารถตัดสินใจเองได้

คลินิกเด็กและแผนกกุมารเวชของโรงพยาบาลต้องจัดการความยินยอมในรูปแบบที่ต่างจากคนไข้ผู้ใหญ่ทั่วไป เพราะผู้เยาว์อาจไม่สามารถให้ความยินยอมด้วยตัวเองได้ตามกฎหมาย ผู้ปกครองหรือผู้แทนโดยชอบธรรมจึงต้องเป็นผู้ให้ความยินยอมแทน ทีมลงทะเบียนควรตรวจสอบและบันทึกความสัมพันธ์ระหว่างผู้ให้ความยินยอมกับคนไข้ให้ชัดเจน เช่น เป็นบิดามารดาหรือผู้ปกครองตามกฎหมาย ไม่ใช่บันทึกแค่ชื่อผู้ปกครองโดยไม่มีหลักฐานความสัมพันธ์ กรณีคนไข้สูงอายุที่มีภาวะสมองเสื่อมหรือไม่สามารถสื่อสารได้ด้วยตัวเอง คลินิกควรมีแนวทางชัดเจนว่าจะขอความยินยอมจากญาติหรือผู้ดูแลอย่างไร พร้อมบันทึกเอกสารยืนยันสิทธิ์ของผู้ให้ความยินยอมแทนไว้ในระบบเช่นเดียวกับกรณีผู้เยาว์

การอบรมทีมงานให้อธิบายความยินยอมกับคนไข้ได้ชัดเจน

เจ้าหน้าที่ลงทะเบียนและพยาบาลที่พูดคุยกับคนไข้ก่อนเซ็นเอกสารมีบทบาทสำคัญไม่แพ้ตัวฟอร์มเอง เพราะคนไข้จำนวนมากไม่อ่านเอกสารละเอียดแต่ฟังคำอธิบายจากเจ้าหน้าที่แทน หากเจ้าหน้าที่อธิบายไม่ครบหรือเร่งรีบให้เซ็นโดยไม่อธิบายว่าแต่ละช่องหมายถึงอะไร ความยินยอมที่ได้มาอาจไม่ถือเป็นความยินยอมที่สมบูรณ์ตามเจตนารมณ์ของ PDPA คลินิกควรจัดอบรมให้เจ้าหน้าที่ทุกคนที่เกี่ยวข้องกับการขอความยินยอมเข้าใจความแตกต่างระหว่างวัตถุประสงค์แต่ละอย่าง และฝึกวิธีตอบคำถามคนไข้ที่ไม่แน่ใจ เหมือนฉากที่เล่าไว้ตอนต้นที่เจ้าหน้าที่อธิบายแยกทีละใบจนคนไข้ตัดสินใจได้ชัดเจน การอบรมควรทำซ้ำเป็นระยะ ไม่ใช่สอนแค่ครั้งเดียวตอนเริ่มงาน โดยเฉพาะเมื่อมีการปรับปรุงฟอร์มหรือเพิ่มวัตถุประสงค์ใหม่

ระยะเวลาการเก็บบันทึกความยินยอมด้านสุขภาพ

ข้อมูลสุขภาพมักมีข้อกำหนดด้านระยะเวลาการเก็บรักษาที่เกี่ยวข้องกับกฎหมายเฉพาะทางการแพทย์ด้วย นอกเหนือจากหลักการทั่วไปของ PDPA คลินิกควรตรวจสอบว่าระยะเวลาการเก็บบันทึกความยินยอมสอดคล้องกับระยะเวลาการเก็บเวชระเบียนที่กฎหมายด้านสาธารณสุขกำหนดไว้หรือไม่ เพราะบันทึกความยินยอมมักต้องเก็บควบคู่ไปกับเวชระเบียนของคนไข้รายนั้นตลอดระยะเวลาที่ยังต้องเก็บรักษาข้อมูล ไม่ควรลบบันทึกความยินยอมทิ้งก่อนที่เวชระเบียนที่เกี่ยวข้องจะถึงกำหนดทำลายตามระเบียบ เพื่อให้สามารถอธิบายได้เสมอว่าข้อมูลแต่ละส่วนถูกเก็บและใช้งานภายใต้ความยินยอมใด ฝ่ายเวชระเบียนและฝ่าย Privacy จึงควรทำงานร่วมกันกำหนดตารางระยะเวลาเก็บรักษาให้สอดคล้องกันตั้งแต่แรก แทนที่จะให้แต่ละฝ่ายกำหนดระยะเวลาของตัวเองแยกกันโดยไม่ปรึกษากัน ซึ่งอาจนำไปสู่ความขัดแย้งว่าควรลบข้อมูลเมื่อไรกันแน่

ข้อผิดพลาดที่พบบ่อยเมื่อจัดการความยินยอมในธุรกิจสุขภาพ

• รวมความยินยอมด้านการรักษาและการตลาดไว้ในฟอร์มเดียว ทำให้คนไข้เลือกปฏิเสธเฉพาะการตลาดไม่ได้
• เอกสารยินยอมส่งข้อมูลให้บริษัทประกันเขียนไม่ชัดเจน จนคนไข้จำไม่ได้ว่าเคยยินยอมอะไรไว้
• ยังใช้แฟ้มกระดาษกองรวมกันโดยไม่มีระบบค้นหา ทำให้สืบย้อนความยินยอมย้อนหลังไม่ได้
• ไม่ขอความยินยอมใหม่เมื่อเริ่มบริการที่ใช้ข้อมูลในวัตถุประสงค์ใหม่
• เข้าใจผิดว่าคนไข้มาลงทะเบียนแล้วเท่ากับยินยอมทุกกิจกรรมโดยอัตโนมัติ

สรุป

ความยินยอมตาม PDPA สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ ต้องแยกตามวัตถุประสงค์อย่างชัดเจน ตั้งแต่การรักษา การส่งข้อมูลให้บริษัทประกัน ไปจนถึงการตลาด พร้อมมีบันทึกที่สืบย้อนได้ ช่องทางถอนความยินยอมที่ใช้งานได้จริง และกลไกขอความยินยอมใหม่เมื่อวัตถุประสงค์เปลี่ยนแปลง คู่มือนี้เป็นภาพรวม ส่วนการวางระบบ การ Audit และเช็กลิสต์ก่อนเปิดบริการใหม่ควรอ่านเพิ่มเติมในบทความเฉพาะของแต่ละหัวข้อ

แหล่งข้อมูลอ้างอิง

แนวทางที่เกี่ยวข้องกับหลักการคุ้มครองข้อมูลส่วนบุคคลของไทยควรตรวจสอบกับประกาศและแนวปฏิบัติของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง คู่มือนี้เป็นแนวทางเชิงปฏิบัติสำหรับธุรกิจสุขภาพ ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล