เช็กลิสต์ ข้อมูลส่วนบุคคลบนเว็บไซต์ สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

คลินิกสองแห่งในย่านเดียวกันอาจใช้ระบบจองคิวออนไลน์ตัวเดียวกันทุกประการ แต่ผลลัพธ์ต่างกันคนละขั้ว แห่งแรกรู้ว่าฟอร์มจองคิวส่งเลขบัตรประชาชนไปเก็บที่ไหน คุกกี้ตัวไหนติดตามพฤติกรรมผู้ป่วย และไฟล์ผลแล็บที่แนบมาถูกเก็บในโฟลเดอร์ใดพร้อมใครมีสิทธิ์เปิดดู ส่วนอีกแห่งรู้แค่ว่าเว็บไซต์ทำงานได้ ระบบส่งอีเมลแจ้งนัดได้ ไม่เคยมีใครไล่ดูว่าข้อมูลที่กรอกเข้ามาไหลไปจบที่ระบบใดบ้าง ความต่างนี้ไม่ปรากฏให้เห็นในวันที่เว็บไซต์ทำงานปกติ แต่จะโผล่ขึ้นมาทันทีที่มีคนถามว่า ข้อมูลของฉันอยู่ที่ไหนบ้าง หรือเมื่อระบบใดระบบหนึ่งมีปัญหาแล้วต้องรู้ว่าใครได้รับผลกระทบ

เช็กลิสต์นี้เขียนขึ้นสำหรับทีมการตลาดและผู้ดูแลข้อมูลของคลินิก โรงพยาบาล และธุรกิจสุขภาพ ที่ต้องการรู้ว่าเว็บไซต์ของตนอยู่ฝั่งไหนใน 2 แบบข้างต้น ก่อนเปิดใช้งานฟีเจอร์ใหม่หรือแบบฟอร์มใหม่บนเว็บไซต์ แต่ละข้อคือจุดตรวจที่ควรมีหลักฐานรองรับ ไม่ใช่การเดาจากความคุ้นเคยกับระบบ

ก่อนเปิดใช้งานเว็บไซต์หรือแบบฟอร์มใหม่ ธุรกิจสุขภาพควรตรวจให้ครบว่ารู้ชัดว่าเก็บข้อมูลอะไรบ้างในทุกช่องทาง (แบบฟอร์มนัดหมาย พอร์ทัลผู้ป่วย คุกกี้ ไฟล์แนบผลตรวจ) เก็บไว้ที่ไหน ส่งต่อให้ใครบ้าง (แล็บ บริษัทประกัน ผู้ให้บริการคลาวด์) เก็บนานเท่าไร และใครเข้าถึงได้บ้าง การตรวจตามเช็กลิสต์นี้คือการทำแผนที่ข้อมูลให้ตรงกับระบบจริง ไม่ใช่การยืนยันสถานะทางกฎหมาย

ตรวจรายการช่องทางที่เก็บข้อมูลผู้ป่วยจริงทั้งหมด

เริ่มจากไล่รายการทุกจุดที่เว็บไซต์เก็บข้อมูล ไม่ใช่แค่แบบฟอร์มติดต่อหน้าแรก แต่รวมถึงฟอร์มจองคิวออนไลน์ ช่องแชทหรือปุ่มเชื่อมไลน์ทางการ พอร์ทัลสำหรับผู้ป่วยที่ล็อกอินดูผลตรวจ และแบบสอบถามความพึงพอใจหลังเข้ารับบริการ แต่ละช่องทางอาจเก็บข้อมูลต่างชุดกัน เช่น ฟอร์มจองคิวอาจขอแค่ชื่อและเบอร์โทร ขณะที่พอร์ทัลผู้ป่วยเก็บเลขบัตรประชาชนและประวัติการรักษา การไล่รายการให้ครบเป็นขั้นแรกที่ทำให้ข้อต่อไปในเช็กลิสต์นี้ตรวจได้จริง ไม่ใช่ตรวจแค่บางส่วนแล้วสรุปว่าครบแล้ว

ตรวจว่าคุกกี้และสคริปต์ติดตามบนเว็บไซต์เก็บอะไรบ้าง

เว็บไซต์ธุรกิจสุขภาพจำนวนมากติดตั้งพิกเซลโฆษณาหรือสคริปต์วิเคราะห์พฤติกรรมโดยทีมการตลาดเป็นผู้เพิ่มเอง โดยไม่ผ่านการตรวจว่าสคริปต์เหล่านั้นส่งข้อมูลอะไรออกไปนอกระบบบ้าง ควรเปิดเครื่องมือตรวจสอบเครือข่ายในเบราว์เซอร์แล้วไล่ดูว่าทุกคำขอที่ออกจากหน้าเว็บไปหาโดเมนภายนอกคือใคร ส่งพารามิเตอร์อะไรไปด้วย บางกรณีพบว่าคำค้นหาที่ผู้ป่วยพิมพ์ในช่องค้นหาอาการ เช่น ชื่อโรคเฉพาะ ถูกส่งต่อไปยังแพลตฟอร์มโฆษณาโดยไม่มีใครตั้งใจ ซึ่งเป็นข้อมูลสุขภาพที่ละเอียดอ่อนกว่าข้อมูลทั่วไป

ตรวจไฟล์แนบที่ผู้ป่วยอัปโหลดผ่านเว็บไซต์

หลายเว็บไซต์เปิดให้ผู้ป่วยอัปโหลดไฟล์ผลตรวจเก่า ใบส่งตัว หรือรูปถ่ายอาการก่อนนัดหมาย ไฟล์เหล่านี้มักถูกมองข้ามในการตรวจสอบเพราะไม่ใช่ข้อมูลในฟอร์มโดยตรง ควรตรวจว่าไฟล์ที่อัปโหลดถูกเก็บไว้ที่ใด เข้าถึงผ่านลิงก์สาธารณะที่เดารหัสได้หรือไม่ และมีการลบไฟล์ทิ้งเมื่อพ้นระยะเวลาที่จำเป็นหรือไม่ คลินิกความงามบางแห่งเก็บรูปถ่ายอาการที่ผู้ป่วยส่งมาไว้ในโฟลเดอร์ที่พนักงานทุกคนเข้าถึงได้โดยไม่มีการจำกัดสิทธิ์ ซึ่งเป็นความเสี่ยงเชิงปฏิบัติการที่ควรแก้ก่อนเปิดใช้งานฟีเจอร์อัปโหลดไฟล์ต่อไป

ตรวจรายชื่อผู้รับข้อมูลภายนอกที่เชื่อมกับเว็บไซต์

ระบบนัดหมายออนไลน์ของธุรกิจสุขภาพมักเชื่อมต่อกับผู้ให้บริการภายนอกหลายราย เช่น ผู้ให้บริการคลาวด์ที่โฮสต์ฐานข้อมูล ระบบส่ง SMS แจ้งเตือนนัดหมาย และในบางกรณีส่งข้อมูลต่อให้แล็บภายนอกหรือบริษัทประกันเพื่อประมวลผลเบิกจ่าย ควรทำรายการผู้รับข้อมูลเหล่านี้ให้ครบพร้อมระบุว่าส่งข้อมูลอะไรไปให้แต่ละราย ไม่ใช่แค่รู้ชื่อผู้ให้บริการเฉย ๆ เพราะบางระบบส่งข้อมูลมากกว่าที่จำเป็นสำหรับหน้าที่ของผู้รับข้อมูลรายนั้น

ตรวจระยะเวลาจัดเก็บข้อมูลในแต่ละระบบให้ตรงกับที่ตั้งค่าไว้จริง

อย่าตรวจแค่ว่านโยบายเขียนว่าเก็บนานเท่าไร แต่ควรเข้าไปดูการตั้งค่าจริงในระบบฐานข้อมูล ระบบอีเมลการตลาด และพื้นที่จัดเก็บไฟล์ว่าตั้งค่าลบข้อมูลอัตโนมัติตรงกับตัวเลขที่ประกาศไว้หรือไม่ หลายเว็บไซต์เขียนไว้ว่าลบข้อมูลผู้สมัครที่ไม่ได้มาใช้บริการภายใน 1 ปี แต่ระบบจริงไม่มีการตั้งค่าลบอัตโนมัติเลย ทำให้ข้อมูลสะสมอยู่ในฐานข้อมูลไปเรื่อย ๆ โดยไม่มีใครรู้ตัว ทีมที่ทำการตรวจจริงมักพบว่าฐานข้อมูลผู้สมัครนัดหมายมีรายชื่อผู้ป่วยที่ไม่เคยกลับมาใช้บริการอีกเลยตั้งแต่หลายปีก่อน ปะปนอยู่กับข้อมูลผู้ป่วยปัจจุบัน ซึ่งเพิ่มความเสี่ยงโดยไม่จำเป็นหากฐานข้อมูลนั้นถูกเข้าถึงโดยไม่ได้รับอนุญาต

ตรวจสิทธิ์การเข้าถึงข้อมูลผู้ป่วยในระบบหลังบ้าน

ควรตรวจว่าใครในทีมมีสิทธิ์เข้าถึงข้อมูลผู้ป่วยจากเว็บไซต์ได้บ้าง และสิทธิ์นั้นสอดคล้องกับหน้าที่งานจริงหรือไม่ พนักงานฝ่ายการตลาดที่ดูแลแคมเปญโฆษณาอาจไม่จำเป็นต้องเห็นเลขบัตรประชาชนหรือประวัติการรักษาของผู้ป่วย แต่หลายระบบให้สิทธิ์แบบเดียวกันหมดทั้งทีมเพื่อความสะดวกในการตั้งค่าตอนเริ่มต้น ควรแยกสิทธิ์ตามความจำเป็นจริงและมีบันทึกว่าใครเข้าถึงข้อมูลชุดใดเมื่อใด โรงพยาบาลขนาดกลางแห่งหนึ่งพบว่าพนักงานฝึกงานที่ลาออกไปแล้วกว่าครึ่งปียังคงมีบัญชีที่เข้าดูข้อมูลนัดหมายผู้ป่วยได้ เพราะไม่มีขั้นตอนตัดสิทธิ์เมื่อพนักงานพ้นสภาพ การตรวจรายชื่อผู้มีสิทธิ์เข้าถึงเป็นระยะจึงสำคัญพอกับการตั้งสิทธิ์ตั้งแต่แรก

ตรวจการเชื่อมต่อกับระบบ SaaS ของบุคคลที่สามที่ฝังอยู่ในเว็บไซต์

เว็บไซต์ธุรกิจสุขภาพยุคนี้แทบไม่มีระบบใดที่พัฒนาเองทั้งหมด ระบบจองคิว ระบบแชทบอทตอบคำถามเบื้องต้น และระบบรีวิวหลังเข้ารับบริการ ล้วนเป็นบริการ SaaS จากผู้ให้บริการภายนอกที่ฝังโค้ดหรือเชื่อมผ่าน API เข้ากับเว็บไซต์หลัก แต่ละบริการเหล่านี้มีนโยบายเก็บข้อมูลและที่ตั้งเซิร์ฟเวอร์ของตัวเอง ซึ่งอาจอยู่นอกประเทศไทย ก่อนเปิดใช้งานบริการใหม่ ควรขอเอกสารหรือหน้านโยบายของผู้ให้บริการ SaaS แต่ละรายมาตรวจว่าข้อมูลผู้ป่วยที่ส่งผ่านระบบเหล่านี้ถูกเก็บไว้ที่ใด และมีการลบข้อมูลออกจากระบบของผู้ให้บริการเมื่อยกเลิกสัญญาหรือไม่ เพราะบางกรณีข้อมูลยังค้างอยู่ในระบบ SaaS แม้คลินิกจะเลิกใช้บริการไปแล้ว

ความสัมพันธ์กับบทความอื่นในคลัสเตอร์เดียวกัน

เช็กลิสต์นี้เหมาะสำหรับตรวจครั้งแรกก่อนเปิดใช้งานฟีเจอร์หรือแบบฟอร์มใหม่ หากต้องการขั้นตอนสร้างระบบตรวจสอบข้อมูลแบบต่อเนื่อง อ่านเพิ่มเติมได้ที่ วิธีวางระบบข้อมูลส่วนบุคคลบนเว็บไซต์สำหรับ Healthcare และหากต้องการตรวจซ้ำเป็นระยะหลังเปิดใช้งานไปแล้ว ดูแนวทางได้ที่ Audit Guide ข้อมูลส่วนบุคคลบนเว็บไซต์สำหรับ Healthcare

ข้อผิดพลาดที่พบบ่อยเมื่อสำรวจข้อมูลบนเว็บไซต์ธุรกิจสุขภาพ

• ไล่ตรวจแค่แบบฟอร์มหลักหน้าแรก โดยลืมพอร์ทัลผู้ป่วยและฟีเจอร์อัปโหลดไฟล์
• ไม่ตรวจสคริปต์ติดตามและพิกเซลโฆษณาที่ทีมการตลาดติดตั้งเอง
• เก็บไฟล์แนบผลตรวจไว้ในโฟลเดอร์ที่พนักงานทุกคนเข้าถึงได้โดยไม่จำกัดสิทธิ์
• เขียนระยะเวลาจัดเก็บในนโยบายแต่ไม่ตั้งค่าลบอัตโนมัติในระบบจริง
• ให้สิทธิ์เข้าถึงข้อมูลผู้ป่วยแบบเดียวกันทั้งทีมโดยไม่แยกตามหน้าที่งาน

สรุป

เช็กลิสต์นี้ไม่ได้บอกว่าเว็บไซต์ของคุณถูกหรือผิดกฎหมาย แต่ช่วยให้เห็นชัดว่าข้อมูลผู้ป่วยไหลไปที่ไหนบ้างในทุกช่องทางของเว็บไซต์ ตั้งแต่แบบฟอร์ม คุกกี้ ไฟล์แนบ ไปจนถึงผู้รับข้อมูลภายนอกและสิทธิ์การเข้าถึง ทีมที่ตรวจครบทุกข้อก่อนเปิดใช้งานจะรู้จักระบบของตัวเองดีกว่าทีมที่เดาจากความคุ้นเคย ดูภาพรวมหัวข้ออื่นในหมวด Privacy Fundamentals เพิ่มเติมได้ที่ คลังความรู้ Privacy Fundamentals

แหล่งข้อมูลอ้างอิง

แนวทางเรื่องประเภทข้อมูลส่วนบุคคลและข้อมูลสุขภาพที่ละเอียดอ่อน ควรตรวจสอบกับประกาศของ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง เช็กลิสต์นี้เป็นแนวทางเชิงปฏิบัติการสำหรับทีมการตลาดและผู้ดูแลข้อมูล ไม่ใช่การตีความข้อกำหนดทางกฎหมายแทนหน่วยงานกำกับดูแล